Politika privatnosti

1. Voditelj obrade

Voditelj obrade u smislu čl. 4. t. 7. GDPR-a je:

• TOY GmbH
• Dr. Adolf-Schärf-Straße 1/2/24
• 2353 Guntramsdorf, Austrija
• OIB/PDV broj: ATU78882167
• E-pošta: support@tapradar.app
• Web-stranica: www.tapradar.app

Interni službenik za zaštitu podataka nije imenovan jer nisu ispunjeni uvjeti iz čl. 37. GDPR-a. Pitanja vezana uz zaštitu podataka pošaljite na gore navedenu e-adresu; obradit ćemo ih bez odgode, a najkasnije u roku od mjesec dana od zaprimanja.

2. Struktura ove izjave

Kako biste se brzo snašli, ova politika privatnosti podijeljena je na opći dio (točke 1. do 4.), poseban dio koji detaljno opisuje četiri funkcionalna dijela aplikacije te podatke o lokaciji i push obavijestima (točke 5. do 7.), dio o poslovnim korisnicima, plaćanjima i recenzijama (točke 8. do 12.), dio o web-stranici, primateljima, prijenosu u treće zemlje i razdoblju čuvanja (točke 13. do 16.) te dio o vašim pravima, sigurnosti podataka i ostalim napomenama (točke 17. do 22.). Popis službenih izvora nalazi se na kraju dokumenta.

3. Opća načela obrade podataka

Osobne podatke obrađujemo poštujući načela GDPR-a, posebice zakonitost, poštenost, transparentnost, ograničavanje svrhe, smanjenje količine podataka, točnost, ograničenje pohrane te cjelovitost i povjerljivost (čl. 5. GDPR-a). Svaka obrada osobnih podataka temelji se na barem jednoj od sljedećih pravnih osnova:

• čl. 6. st. 1. t. a) GDPR-a – privola ispitanika, posebice za dijeljenje podataka o lokaciji, primanje push obavijesti te opcionalnu funkciju prijatelja i ljestvice
• čl. 6. st. 1. t. b) GDPR-a – nužnost za izvršenje ugovora ili poduzimanje mjera prije sklapanja ugovora, primjerice pružanje funkcija aplikacije Radar, Pečat, Kartice i Home te upravljanje pretplatama
• čl. 6. st. 1. t. c) GDPR-a – ispunjenje pravne obveze, primjerice poreznih i trgovačkopravnih obveza čuvanja
• čl. 6. st. 1. t. f) GDPR-a – zaštita legitimnih interesa, primjerice sprječavanje prijevare i zlouporabe, IT sigurnost i daljnji razvoj platforme, ako ti interesi ne prevladaju nad interesima ili temeljnim pravima ispitanika

4. Pregled: tko obrađuje što?

TapRadar povezuje dvije skupine korisnika: krajnje korisnike koji putem besplatne aplikacije otkrivaju lokalne poslovne subjekte i sakupljaju pečate te poslovne korisnike koji putem plaćene nadzorne ploče upravljaju lojalnošću svojih kupaca. Obje skupine generiraju podatke koji se dijelom obrađuju isključivo od strane TOY GmbH, a dijelom zajedno s relevantnim ugovornim partnerom. Sljedeće točke 5. do 12. detaljno opisuju te tokove podataka, strukturirane prema četiri područja aplikacije te prema podacima o lokaciji, push obavijestima, plaćanju i recenzijama.

5.1 Radar – otkrijte lokalne poslovne subjekte

U dijelu Radar prikazujemo vam na karti partnerske poslovne subjekte TapRadar u vašoj blizini. Prikaz možete suziti pomoću filtara (akcija, kupon, nagrada, najbolje ocijenjeno, radijus od 500 metara) i kategorija poput kafića, restorana, frizerskog salona ili tržnice. Za svaki partnerski poslovni subjekt prikazuju se radno vrijeme, recenzije i oznaka paketa koja označava paket koji je taj subjekt odabrao (Bronze, Gold ili Platinum); ova oznaka odnosi se isključivo na poslovnog korisnika i ne predstavlja vaš osobni podatak.

Za pružanje ove funkcije obrađujemo vašu lokaciju (vidi točku 6.), postavke filtara i kategorija koje ste odabrali te vaše interakcije s prikazanim partnerskim poslovnim subjektima, primjerice otvaranje profila poslovnog subjekta. Ove podatke o interakciji koristimo za poboljšanje prikaza rezultata i povećanje relevantnosti prikazanih partnerskih poslovnih subjekata. Pravna osnova: čl. 6. st. 1. t. a) GDPR-a za dijeljenje lokacije, čl. 6. st. 1. t. b) i f) GDPR-a za podatke o filtrima, kategorijama i interakciji.

5.2 Pečat – sakupljajte digitalne pečate

U dijelu Pečat možete automatski dobiti digitalni pečat dodirom na NFC točku ili, alternativno, skeniranjem QR koda na blagajni partnerskog poslovnog subjekta. Vaš napredak, primjerice 7 od 10 pečata, prikazuje se odmah; po dostizanju potrebnog broja pečata možete iskoristiti pohranjenu nagradu, primjerice besplatnu kavu ili popust. Za svaki pečat dobivate i bodove za svoju razinu u dijelu Home.

U tu svrhu obrađujemo vrijeme i mjesto svakog pečatiranja, relevantni partnerski poslovni subjekt, trenutačni broj pečata po pojedinačnoj kartici vjernosti, iskorištene nagrade te pripadajući kod za iskorištavanje. Pravna osnova: čl. 6. st. 1. t. b) GDPR-a. Kako bismo provjerili da je pečatiranje doista obavljeno na licu mjesta, dodatno uspoređujemo lokaciju vašeg uređaja; pojedinosti pogledajte u točki 6.

5.3 Kartice – digitalni novčanik za postojeće korisničke kartice

U dijelu Kartice možete digitalno pohraniti u svoj TapRadar novčanik već postojeće korisničke kartice trećih strana, primjerice Billa, DM, H&M, Spar ili Hofer, skeniranjem ili ručnim unosom odgovarajućeg crtičnog ili QR koda, a zatim ih pokazati na blagajni. Navedeni brendovi služe samo kao primjeri kartica koje sami pohranjujete; TapRadar nije povezan s tim tvrtkama i ne razmjenjuje s njima nikakve podatke.

Podaci o kartici i crtičnom kodu koje pohranite čuvaju se u šifriranom obliku i koriste se isključivo za prikaz u vašoj vlastitoj aplikaciji. Pravna osnova: čl. 6. st. 1. t. b) GDPR-a, jer nas dodavanjem kartice konkretno zadužujete za njezino pohranjivanje.

5.4 Home – profil i gamifikacija

U dijelu Home nalazi se vaš profil sa sustavom od 20 razina, od „Početnika” do „Prvaka”. Sakupljate bodove za sakupljene pečate, dane recenzije i pozvane prijatelje, pratite tjedni cilj i koristite sustav nizova u kojem sedam uzastopnih aktivnih dana pokreće bonus. Osim toga, možete pozivati prijatelje i uspoređivati svoj napredak na ljestvici.

U tu svrhu obrađujemo vaš broj bodova, vašu razinu, brojač niza, povijest vaših ciljeva te – ako aktivno koristite ovu funkciju – popis prijatelja koje ste pozvali ili s kojima ste povezani te njihove agregirane podatke o napretku koji su vidljivi vama, ako su i te osobe pristale na uzajamnu vidljivost. Pravna osnova za osnovne funkcije (razina, bodovi, niz, tjedni cilj): čl. 6. st. 1. t. b) GDPR-a. Pravna osnova za opcionalnu funkciju prijatelja i ljestvice: čl. 6. st. 1. t. a) GDPR-a, jer time podaci postaju vidljivi drugim osobama. Razine, bodovi i pozicije na ljestvici nemaju novčanu vrijednost i nisu prenosivi.

6. Podaci o lokaciji i GPS detaljno

TapRadar koristi podatke o lokaciji vašeg uređaja u dvije odvojene svrhe: (a) funkciju Radar za prikaz partnerskih poslovnih subjekata u vašoj blizini i (b) provjeru posjeta kupaca, uspoređivanjem lokacije vašeg uređaja u trenutku NFC ili QR pečatiranja sa spremljenom lokacijom partnerskog poslovnog subjekta, kako bi se spriječilo pečatiranje bez fizičke prisutnosti.

Ovisno o operacijskom sustavu, dijeljenje lokacije možete detaljno kontrolirati, primjerice opcijama „uvijek”, „samo tijekom korištenja aplikacije” ili „jednokratno”. Za osnovnu funkciju provjere pečata dovoljno je dijeljenje tijekom korištenja aplikacije; trajno dijeljenje lokacije u pozadini potrebno je samo ako želite koristiti oglašavanje temeljeno na blizini partnerskog poslovnog subjekta s Platinum paketom (vidi točku 7.2). Pravna osnova: čl. 6. st. 1. t. a) GDPR-a u vezi s postavkama dozvola vašeg operacijskog sustava, podredno naš legitimni interes za sprječavanje prijevare prema čl. 6. st. 1. t. f) GDPR-a. Dijeljenje lokacije možete u svakom trenutku opozvati putem postavki vašeg uređaja; pojedine funkcije, posebice provjera pečata i oglašavanje temeljeno na blizini, tada neće biti dostupne ili će biti dostupne samo ograničeno.

7.1 Servisne obavijesti od TapRadar

Servisne push poruke šaljemo na vlastitu odgovornost, primjerice u vezi sa sigurnošću računa, bitnim promjenama platforme ili potvrdom transakcija. Pravna osnova: čl. 6. st. 1. t. b) i f) GDPR-a.

7.2 Marketinške i kampanjske push obavijesti poslovnih korisnika

Poslovni korisnici mogu putem nadzorne ploče slati kampanje i push obavijesti krajnjim korisnicima koji su već kupci relevantnog partnerskog poslovnog subjekta (barem jedan sakupljen pečat) ili koji se – u okviru oglašavanja temeljenog na blizini, dostupnog isključivo u Platinum paketu – nalaze u njegovoj blizini i za to su dali privolu za dijeljenje lokacije. Push obavijesti su, ovisno o paketu, ograničene na određenu učestalost (Gold: do 2 slikovne/PDF kampanje mjesečno, bez push obavijesti; Platinum: do 4 kampanje mjesečno, uz push obavijesti, aktiviranje na temelju blizine, odbrojavanje kampanje i retargeting u roku od 30 dana od vašeg posljednjeg posjeta).

Primanje marketinških i kampanjskih push obavijesti možete u svakom trenutku potpuno ili po pojedinačnom partnerskom poslovnom subjektu deaktivirati putem postavki uređaja ili postavki u aplikaciji, a da vam se time ne onemogući pristup osnovnim funkcijama aplikacije. Pravna osnova: čl. 6. st. 1. t. a) GDPR-a u vezi s § 174 TKG 2021.

8. Registracija i korisnički račun (krajnji korisnici)

Prilikom registracije u aplikaciji TapRadar prikupljamo vašu e-adresu, lozinku (pohranjenu u šifriranom obliku), odabrano prikazano ime te opcionalne podatke o profilu. Svrha: uspostava, upravljanje i osiguranje vašeg korisničkog računa. Pravna osnova: čl. 6. st. 1. t. b) GDPR-a.

9. Registracija, račun i podaci o tvrtki (poslovni korisnici)

Za poslovne korisnike koji se pretplate na Bronze, Gold ili Platinum paket, dodatno obrađujemo: naziv tvrtke, pravni oblik, adresu poslovnice, OIB/PDV broj, kontakt osobu (ime, e-pošta, broj telefona), radno vrijeme, kategoriju i opis poslovnog subjekta te otpremljeni slikovni i PDF reklamni materijal i sadržaj kampanja. Svrha: izvršenje ugovora, pružanje nadzorne ploče za poslovne korisnike, fakturiranje. Pravna osnova: čl. 6. st. 1. t. b) i c) GDPR-a.

10. Sustav PIN-a za zaposlenike

Poslovni korisnici mogu, ovisno o paketu, uspostaviti do 15 (Platinum), 5 (Gold), odnosno 1 (Bronze) pristup za zaposlenike s pojedinačnim PIN kodom. U tu svrhu obrađujemo od poslovnog korisnika unesene inicijale ili imena zaposlenika te automatski vođen dnevnik aktivnosti pečatiranja i iskorištavanja obavljenih putem relevantnog PIN-a. Za zakonitost ove obrade prema relevantnim zaposlenicima odgovoran je relevantni poslovni korisnik kao poslodavac; TOY GmbH u tom pogledu osigurava samo tehničku infrastrukturu. Pravna osnova na strani TOY GmbH: čl. 6. st. 1. t. b) GDPR-a te čl. 6. st. 1. t. f) GDPR-a.

11. Obrada plaćanja

Obrada plaćanja za plaćene pakete odvija se putem našeg pružatelja usluga plaćanja Stripe. Mi sami ne pohranjujemo potpune podatke o platnim karticama; njih obrađuje isključivo Stripe. Od Stripea dobivamo potvrde o statusu plaćanja i iznosima računa te, po potrebi, posljednje četiri znamenke korištenog sredstva plaćanja, u svrhu dokumentacije i obračuna. Pravna osnova: čl. 6. st. 1. t. b) i c) GDPR-a. Više informacija o obradi podataka od strane Stripea potražite u politici privatnosti Stripea na stripe.com/privacy.

12. Recenzije

Kada kao krajnji korisnik date recenziju o partnerskom poslovnom subjektu, obrađujemo tekst recenzije, ocjenu zvjezdicama, vrijeme te dokaz o provjerenom posjetu (dokaz o pečatu). Recenzije se prikazuju partnerskom poslovnom subjektu te drugim korisnicima aplikacije uz vaše prikazano ime. Pravna osnova: čl. 6. st. 1. t. a) GDPR-a u vezi s čl. 6. st. 1. t. f) GDPR-a. Ako se recenzija prijavi kao protupravna, primjerice jer je uvredljiva ili očito ne počiva na stvarnom posjetu, prijavu i predmetnu recenziju provjeravamo u okviru našeg postupka prijave i provjere te rezultat priopćavamo i osobi koja je podnijela prijavu i autoru recenzije.

13. Korištenje web-stranice, log datoteke poslužitelja i kolačići

Prilikom posjeta našoj web-stranici www.tapradar.app naš pružatelj hostinga automatski obrađuje tehničke podatke o pristupu (IP adresa, datum i vrijeme pristupa, posjećena stranica, korišteni preglednik i operacijski sustav, referentni URL) u log datotekama poslužitelja. Svrha: osiguravanje neometanog rada i IT sigurnosti. Pravna osnova: čl. 6. st. 1. t. f) GDPR-a. Web-stranica koristi isključivo tehnički nužne kolačiće potrebne za rad stranice; trenutačno se ne koriste kolačići za praćenje ili marketing. Ako se to u budućnosti promijeni, zatražit ćemo vašu privolu putem banera za privolu na kolačiće.

14. Primatelji i izvršitelji obrade

Osobne podatke prosljeđujemo samo u mjeri nužnoj za pružanje naših usluga ili kada smo na to zakonski obvezni. Naši izvršitelji obrade, odnosno primatelji, uključuju posebice:

• pružatelje usluga hostinga i infrastrukture (rad poslužitelja i baza podataka)
• Stripe (obrada plaćanja)
• pružatelje usluga push obavijesti (npr. Apple Push Notification Service, Firebase Cloud Messaging) za servisne i kampanjske push obavijesti
• pružatelje usluga slanja e-pošte (transakcijska i servisna komunikacija)
• IT pružatelje usluga u okviru održavanja i podrške

Sa svim izvršiteljima obrade sklopili smo, u mjeri u kojoj je to zakonski potrebno, ugovore o obradi podataka sukladno čl. 28. GDPR-a. Ako partnerski poslovni subjekt (poslovni korisnik) u okviru izvršenja ugovora uvidi vaše podatke o pečatima, posjetima ili kampanjama na nadzornoj ploči, on u tom pogledu djeluje kao samostalni voditelj obrade, odnosno, u slučaju push kampanja, kao zajednički voditelj obrade sukladno točki 7.2 ove izjave.

15. Prijenos u treće zemlje

Ako pojedini od gore navedenih pružatelja usluga obrađuju podatke izvan Europskog gospodarskog prostora (EGP), što se posebice može odnositi na određene cloud i push usluge američkih pružatelja, odgovarajućim jamstvima osiguravamo primjerenu razinu zaštite podataka, posebice sklapanjem standardnih ugovornih klauzula EU-a sukladno čl. 46. st. 2. t. c) GDPR-a ili certifikacijom primatelja u okviru okvira za zaštitu podataka EU-SAD (Data Privacy Framework), gdje je to primjenjivo.

16. Razdoblje čuvanja

Osobne podatke čuvamo samo onoliko dugo koliko je nužno za relevantne svrhe:

• Podaci o računu (krajnji korisnici i poslovni korisnici): za vrijeme trajanja korisničkog računa, odnosno ugovornog odnosa; nakon brisanja računa podaci se u pravilu brišu u roku od 30 dana, ako tomu ne stoje na putu zakonske obveze čuvanja
• Podaci o pečatima, nagradama i iskorištavanjima: za vrijeme trajanja računa kod relevantnog partnerskog poslovnog subjekta; nakon raskida ugovora s poslovnim korisnikom relevantne kartice vjernosti označavaju se kao neaktivne i brišu se nakon 12 mjeseci
• Podaci o novčaniku kartica (točka 5.3): do samostalnog brisanja od strane vas ili do brisanja vašeg računa
• Podaci o gamifikaciji (razina, bodovi, niz, tjedni cilj): za vrijeme trajanja vašeg računa
• Povezivanja s prijateljima i ljestvica: do uklanjanja od strane vas ili do brisanja vašeg računa
• Podaci o fakturiranju i plaćanju: 7 godina sukladno § 132 BAO i § 212 UGB
• Dnevnici isporuke i interakcije push obavijesti: 12 mjeseci
• Log datoteke poslužitelja: u pravilu 30 do 90 dana
• Podaci o lokaciji za provjeru pečata: bez trajne pohrane; obrada samo za vrijeme trajanja provjere, nakon čega se svode na dnevnik događaja (vrijeme, rezultat)
• Komunikacija s podrškom: 3 godine od okončanja predmeta, ako zakon ne propisuje dulje čuvanje

17. Vaša prava kao ispitanika

Sukladno zakonskim uvjetima, pripadaju vam sljedeća prava:

• pravo na pristup (čl. 15. GDPR-a)
• pravo na ispravak (čl. 16. GDPR-a)
• pravo na brisanje (čl. 17. GDPR-a)
• pravo na ograničenje obrade (čl. 18. GDPR-a)
• pravo na prenosivost podataka (čl. 20. GDPR-a)
• pravo na prigovor na obradu temeljenu na čl. 6. st. 1. t. f) GDPR-a (čl. 21. GDPR-a)
• pravo na opoziv dane privole s učinkom ubuduće (čl. 7. st. 3. GDPR-a)

Za ostvarivanje ovih prava dovoljna je neformalna poruka na support@tapradar.app. Vaš zahtjev obradit ćemo bez odgode, a najkasnije u roku od mjesec dana; taj se rok kod složenih ili brojnih zahtjeva može produžiti za dodatna dva mjeseca, o čemu ćemo vas obavijestiti.

18. Sigurnost podataka

Primjenjujemo odgovarajuće tehničke i organizacijske mjere sukladno čl. 32. GDPR-a kako bismo zaštitili vaše podatke od gubitka, zlouporabe i neovlaštenog pristupa, uključujući šifriranje prijenosa podataka (TLS), šifriranje posebno osjetljivih pohranjenih podataka poput lozinki i podataka novčanika kartica, ograničenja pristupa prema načelu najmanjih ovlasti, redovita sigurnosna ažuriranja te bilježenje sigurnosno relevantnih događaja. Naše sigurnosne mjere neprekidno prilagođavamo trenutačnom stanju tehnike.

19. Bez automatiziranog donošenja odluka, ograničeno profiliranje

Razine, bodovi i ljestvice unutar aplikacije temelje se na automatiziranim, ali potpuno transparentnim i razumljivim pravilima, bez pravnog ili slično značajnog učinka u smislu čl. 22. GDPR-a. U okviru oglašavanja temeljenog na blizini (točka 7.2) odvija se ograničeno profiliranje temeljeno na lokaciji, kako bi vam se prikazale obavijesti od partnerskih poslovnih subjekata u vašoj blizini; ova obrada temelji se isključivo na vašoj privoli i nema pravni ili slično značajan učinak u smislu čl. 22. GDPR-a. Automatizirano donošenje odluka s pravnim učinkom prema korisnicima ne odvija se.

20. Zaštita maloljetnika

TapRadar nije ciljano usmjeren na djecu mlađu od 14 godina. Ako utvrdimo da su bez privole zakonskog zastupnika prikupljeni osobni podaci djeteta mlađeg od minimalne dobi koja je relevantna prema nacionalnom pravu, te ćemo podatke bez odgode izbrisati.

21. Izmjene ove politike privatnosti

Pridržavamo pravo izmijeniti ovu politiku privatnosti kako bismo je prilagodili izmijenjenoj pravnoj situaciji ili novim funkcijama platforme. Uvijek vrijedi aktualna verzija objavljena na www.tapradar.app/datenschutz u trenutku vašeg posjeta, odnosno korištenja. U slučaju bitnih izmjena temeljenih na izmijenjenoj pravnoj osnovi, poput prvotne privole, tu ćemo privolu ponovno pribaviti.

22. Kontakt i pravo na pritužbu

Za pitanja vezana uz zaštitu podataka možete nas kontaktirati na support@tapradar.app. Ne dovodeći u pitanje drugi upravni ili sudski pravni lijek, imate pravo podnijeti pritužbu nadzornom tijelu, posebice tijelu nadležnom za Austriju:

• Austrijsko tijelo za zaštitu podataka (Österreichische Datenschutzbehörde)
• Barichgasse 40-42, 1030 Beč, Austrija
• Web-stranica: www.dsb.gv.at

Popis izvora

Službeni izvori EU-a i Austrije na kojima se temelji ova politika privatnosti:

• Opća uredba o zaštiti podataka (GDPR), Uredba (EU) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Austrijsko tijelo za zaštitu podataka: https://www.dsb.gv.at/