Polityka prywatności

1. Administrator danych

Administratorem w rozumieniu art. 4 pkt 7 RODO jest:

• TOY GmbH
• Dr. Adolf-Schärf-Straße 1/2/24
• 2353 Guntramsdorf, Austria
• Numer VAT: ATU78882167
• E-mail: support@tapradar.app
• Strona internetowa: www.tapradar.app

Nie powołano firmowego inspektora ochrony danych, ponieważ nie zostały spełnione przesłanki z art. 37 RODO. Prosimy kierować zapytania dotyczące ochrony danych na powyższy adres e-mail; rozpatrujemy je niezwłocznie, nie później jednak niż w ciągu miesiąca od ich otrzymania.

2. Struktura niniejszej polityki

Aby ułatwić Państwu szybkie zorientowanie się w treści, niniejsza polityka prywatności podzielona jest na część ogólną (punkty 1–4), część szczegółową opisującą cztery obszary funkcjonalne aplikacji oraz dane lokalizacyjne i dane push (punkty 5–7), część dotyczącą klientów biznesowych, płatności i opinii (punkty 8–12), część dotyczącą strony internetowej, odbiorców, przekazywania danych do państw trzecich i okresów przechowywania (punkty 13–16) oraz część dotyczącą Państwa praw, bezpieczeństwa danych i innych informacji (punkty 17–22). Wykaz oficjalnych źródeł znajduje się na końcu dokumentu.

3. Ogólne zasady przetwarzania danych

Przetwarzamy dane osobowe z poszanowaniem zasad RODO, w szczególności zgodności z prawem, rzetelności, przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania oraz integralności i poufności (art. 5 RODO). Każde przetwarzanie danych osobowych opiera się na co najmniej jednej z poniższych podstaw prawnych:

• art. 6 ust. 1 lit. a) RODO – zgoda osoby, której dane dotyczą, w szczególności na udostępnianie danych lokalizacyjnych, otrzymywanie powiadomień push oraz opcjonalną funkcję znajomych i rankingu
• art. 6 ust. 1 lit. b) RODO – niezbędność do wykonania umowy lub podjęcia działań przed jej zawarciem, np. udostępnienie funkcji aplikacji Radar, Pieczątka, Karty i Home oraz zarządzanie subskrypcjami
• art. 6 ust. 1 lit. c) RODO – wypełnienie obowiązku prawnego, np. obowiązków przechowywania wynikających z przepisów podatkowych i prawa handlowego
• art. 6 ust. 1 lit. f) RODO – ochrona prawnie uzasadnionych interesów, np. zapobieganie oszustwom i nadużyciom, bezpieczeństwo IT oraz dalszy rozwój platformy, o ile interesy te nie są nadrzędne wobec interesów lub praw podstawowych osoby, której dane dotyczą

4. Przegląd: kto przetwarza co?

TapRadar łączy dwie grupy użytkowników: klientów końcowych, którzy za pomocą bezpłatnej aplikacji odkrywają lokalne firmy i zbierają pieczątki, oraz klientów biznesowych, którzy za pomocą płatnego panelu zarządzają lojalnością swoich klientów. Obie grupy generują dane, które są przetwarzane częściowo wyłącznie przez TOY GmbH, a częściowo wspólnie z danym partnerem umownym. Poniższe punkty 5–12 opisują te przepływy danych szczegółowo, w podziale na cztery obszary aplikacji oraz na dane lokalizacyjne, push, płatnicze i dotyczące opinii.

5.1 Radar – odkrywaj lokalne firmy

W obszarze Radar pokazujemy Państwu na mapie partnerskie firmy TapRadar w pobliżu. Widok można zawęzić za pomocą filtrów (akcja, kupon, nagroda, najlepiej oceniane, promień 500 metrów) oraz kategorii, takich jak kawiarnia, restauracja, fryzjer czy targ. Przy każdej firmie partnerskiej wyświetlane są godziny otwarcia, opinie oraz odznaka planu wskazująca wykupioną przez tę firmę taryfę (Bronze, Gold lub Platinum); odznaka ta dotyczy wyłącznie klienta biznesowego i nie stanowi dotyczących Państwa danych osobowych.

W celu udostępnienia tej funkcji przetwarzamy Państwa lokalizację (patrz punkt 6), wybrane przez Państwa ustawienia filtrów i kategorii oraz Państwa interakcje z wyświetlanymi firmami partnerskimi, np. otwarcie profilu firmy. Wykorzystujemy te dane interakcji, aby poprawić wyniki wyszukiwania i zwiększyć trafność wyświetlanych firm partnerskich. Podstawa prawna: art. 6 ust. 1 lit. a) RODO w zakresie udostępnienia lokalizacji, art. 6 ust. 1 lit. b) i f) RODO w zakresie danych filtrów, kategorii i interakcji.

5.2 Pieczątka – zbieraj cyfrowe pieczątki

W obszarze Pieczątka mogą Państwo automatycznie otrzymać cyfrową pieczątkę, dotykając punktu NFC lub alternatywnie skanując kod QR przy kasie firmy partnerskiej. Postęp, np. 7 z 10 pieczątek, wyświetlany jest natychmiast; po osiągnięciu wymaganej liczby pieczątek mogą Państwo wykorzystać zapisaną nagrodę, np. darmową kawę lub zniżkę. Za każdą pieczątkę otrzymują Państwo dodatkowo punkty do swojego poziomu w obszarze Home.

W tym celu przetwarzamy czas i miejsce każdego pieczętowania, daną firmę partnerską, aktualny stan pieczątek dla danej karty lojalnościowej, wykorzystane nagrody oraz odpowiedni kod realizacji. Podstawa prawna: art. 6 ust. 1 lit. b) RODO. Aby zweryfikować, że pieczętowanie rzeczywiście miało miejsce na terenie firmy, dodatkowo porównujemy lokalizację Państwa urządzenia; więcej informacji w punkcie 6.

5.3 Karty – cyfrowy portfel dla istniejących kart klienta

W obszarze Karty mogą Państwo cyfrowo zapisać w swoim portfelu TapRadar istniejące już karty klienta podmiotów trzecich, np. Billa, DM, H&M, Spar lub Hofer, skanując lub ręcznie wprowadzając odpowiedni kod kreskowy lub kod QR, a następnie okazać ją przy kasie. Wymienione marki służą wyłącznie jako przykłady kart zapisywanych samodzielnie przez Państwa; TapRadar nie jest powiązany z tymi przedsiębiorstwami i nie prowadzi z nimi żadnej wymiany danych.

Zapisane przez Państwa dane karty i kodu kreskowego są przechowywane w formie zaszyfrowanej i wykorzystywane wyłącznie do wyświetlania we własnej aplikacji. Podstawa prawna: art. 6 ust. 1 lit. b) RODO, ponieważ dodając kartę, wyraźnie zlecają nam Państwo jej przechowywanie.

5.4 Home – profil i grywalizacja

W obszarze Home znajdą Państwo swój profil z 20-stopniowym systemem poziomów – od „Nowicjusza” do „Mistrza”. Zdobywają Państwo punkty za zebrane pieczątki, wystawione opinie i zaproszonych znajomych, śledzą cel tygodniowy i korzystają z systemu serii, w którym siedem kolejnych aktywnych dni uruchamia bonus. Dodatkowo mogą Państwo zapraszać znajomych i porównywać swoje postępy w rankingu.

W tym celu przetwarzamy Państwa stan punktów, poziom, licznik serii, historię celów oraz – jeśli aktywnie korzystają Państwo z tej funkcji – listę zaproszonych lub połączonych znajomych oraz ich widoczne dla Państwa zagregowane dane postępów, o ile osoby te również wyraziły zgodę na wzajemną widoczność. Podstawa prawna dla funkcji podstawowych (poziom, punkty, seria, cel tygodniowy): art. 6 ust. 1 lit. b) RODO. Podstawa prawna dla opcjonalnej funkcji znajomych i rankingu: art. 6 ust. 1 lit. a) RODO, ponieważ dane stają się dzięki temu widoczne dla innych osób. Poziomy, punkty i miejsca w rankingu nie mają wartości pieniężnej i nie podlegają przeniesieniu.

6. Dane lokalizacyjne i GPS szczegółowo

TapRadar wykorzystuje dane lokalizacyjne Państwa urządzenia do dwóch odrębnych celów: (a) funkcji Radar w celu wyświetlania firm partnerskich w pobliżu oraz (b) weryfikacji wizyt klientów poprzez porównanie lokalizacji Państwa urządzenia w momencie pieczętowania NFC lub QR z zapisaną lokalizacją firmy partnerskiej, aby zapobiec pieczętowaniu bez fizycznej obecności.

W zależności od systemu operacyjnego mogą Państwo szczegółowo kontrolować udostępnianie lokalizacji, np. za pomocą opcji „zawsze”, „tylko podczas korzystania z aplikacji” lub „jednorazowo”. Dla podstawowej funkcji weryfikacji pieczątek wystarczające jest udostępnianie podczas korzystania z aplikacji; stałe udostępnianie lokalizacji w tle jest konieczne tylko wtedy, gdy chcą Państwo korzystać z reklamy opartej na bliskości firmy partnerskiej Platinum (patrz punkt 7.2). Podstawa prawna: art. 6 ust. 1 lit. a) RODO w związku z ustawieniami uprawnień Państwa systemu operacyjnego, pomocniczo nasz prawnie uzasadniony interes w zapobieganiu oszustwom zgodnie z art. 6 ust. 1 lit. f) RODO. Mogą Państwo w każdej chwili cofnąć udostępnianie lokalizacji za pomocą ustawień swojego urządzenia; niektóre funkcje, w szczególności weryfikacja pieczątek i reklama oparta na bliskości, nie będą wówczas dostępne lub będą dostępne w ograniczonym zakresie.

7.1 Powiadomienia serwisowe od TapRadar

Wysyłamy serwisowe wiadomości push na własną odpowiedzialność, np. dotyczące bezpieczeństwa konta, istotnych zmian na platformie lub potwierdzenia operacji. Podstawa prawna: art. 6 ust. 1 lit. b) i f) RODO.

7.2 Marketingowe i kampanijne powiadomienia push od klientów biznesowych

Klienci biznesowi mogą za pośrednictwem panelu wysyłać kampanie i powiadomienia push do klientów końcowych, którzy są już klientami danej firmy partnerskiej (co najmniej jedna zebrana pieczątka) lub którzy – w ramach reklamy opartej na bliskości, dostępnej wyłącznie w planie Platinum – znajdują się w jej pobliżu i wyrazili na to zgodę poprzez udostępnienie lokalizacji. Powiadomienia push są ograniczone do określonej częstotliwości w zależności od planu (Gold: do 2 kampanii graficznych/PDF miesięcznie, brak powiadomień push; Platinum: do 4 kampanii miesięcznie oraz powiadomienia push, aktywacja oparta na bliskości, odliczanie kampanii i retargeting w ciągu 30 dni od ostatniej wizyty).

Mogą Państwo w każdej chwili wyłączyć otrzymywanie powiadomień push o charakterze marketingowym i kampanijnym, całkowicie lub dla poszczególnych firm partnerskich, za pomocą ustawień urządzenia lub ustawień w aplikacji, bez utraty dostępu do podstawowych funkcji aplikacji. Podstawa prawna: art. 6 ust. 1 lit. a) RODO w związku z § 174 TKG 2021.

8. Rejestracja i konto użytkownika (klienci końcowi)

Podczas rejestracji w aplikacji TapRadar zbieramy adres e-mail, hasło (przechowywane w formie zaszyfrowanej), wybraną nazwę wyświetlaną oraz opcjonalne dane profilu. Cel: utworzenie, zarządzanie i zabezpieczenie Państwa konta użytkownika. Podstawa prawna: art. 6 ust. 1 lit. b) RODO.

9. Rejestracja, konto i dane firmy (klienci biznesowi)

W przypadku klientów biznesowych, którzy wykupują plan Bronze, Gold lub Platinum, przetwarzamy dodatkowo: nazwę firmy, formę prawną, adres siedziby, numer VAT, osobę kontaktową (imię i nazwisko, e-mail, numer telefonu), godziny otwarcia, kategorię i opis działalności, a także przesłane materiały reklamowe w formie obrazów i plików PDF oraz treści kampanii. Cel: wykonanie umowy, udostępnienie panelu dla klientów biznesowych, fakturowanie. Podstawa prawna: art. 6 ust. 1 lit. b) i c) RODO.

10. System PIN dla pracowników

W zależności od planu klienci biznesowi mogą skonfigurować do 15 (Platinum), 5 (Gold) lub 1 (Bronze) dostępów dla pracowników z indywidualnym kodem PIN. W tym celu przetwarzamy wprowadzone przez klienta biznesowego inicjały lub nazwiska pracowników oraz automatycznie prowadzony rejestr aktywności dotyczący pieczętowań i realizacji dokonanych za pomocą danego kodu PIN. Za zgodność z prawem tego przetwarzania wobec danych pracowników odpowiada dany klient biznesowy jako pracodawca; TOY GmbH udostępnia w tym zakresie wyłącznie infrastrukturę techniczną. Podstawa prawna po stronie TOY GmbH: art. 6 ust. 1 lit. b) RODO oraz art. 6 ust. 1 lit. f) RODO.

11. Przetwarzanie płatności

Przetwarzanie płatności za plany płatne odbywa się za pośrednictwem naszego dostawcy usług płatniczych Stripe. Sami nie przechowujemy pełnych danych kart płatniczych; są one przetwarzane wyłącznie przez Stripe. Otrzymujemy od Stripe potwierdzenia dotyczące statusu płatności i kwot faktur, a także w razie potrzeby ostatnie cztery cyfry użytego środka płatniczego, do celów dokumentacyjnych i rozliczeniowych. Podstawa prawna: art. 6 ust. 1 lit. b) i c) RODO. Więcej informacji na temat przetwarzania danych przez Stripe znajdą Państwo w polityce prywatności Stripe pod adresem stripe.com/privacy.

12. Opinie

Gdy jako klient końcowy wystawiają Państwo opinię o firmie partnerskiej, przetwarzamy treść opinii, ocenę w gwiazdkach, czas jej wystawienia oraz dowód zweryfikowanej wizyty (dowód pieczątki). Opinie są wyświetlane firmie partnerskiej oraz innym użytkownikom aplikacji wraz z Państwa nazwą wyświetlaną. Podstawa prawna: art. 6 ust. 1 lit. a) RODO w związku z art. 6 ust. 1 lit. f) RODO. Jeśli opinia zostanie zgłoszona jako niezgodna z prawem, np. ponieważ jest obraźliwa lub wyraźnie nie opiera się na rzeczywistej wizycie, sprawdzamy zgłoszenie i daną opinię w ramach naszej procedury zgłaszania i weryfikacji oraz informujemy o wyniku zarówno osobę zgłaszającą, jak i autora opinii.

13. Korzystanie ze strony internetowej, pliki dziennika serwera i pliki cookie

Podczas wejścia na naszą stronę internetową www.tapradar.app nasz dostawca hostingu automatycznie przetwarza techniczne dane dostępu (adres IP, data i godzina dostępu, wyświetlona strona, użyta przeglądarka i system operacyjny, adres URL strony odsyłającej) w plikach dziennika serwera. Cel: zapewnienie bezawaryjnego działania oraz bezpieczeństwa IT. Podstawa prawna: art. 6 ust. 1 lit. f) RODO. Nasz baner rozróżnia technicznie niezbędne pliki cookie służące do obsługi języka, logowania, bezpieczeństwa i zapisania Państwa wyboru oraz opcjonalne kategorie Analityka i Marketing. Opcjonalne pliki cookie analityczne lub marketingowe i powiązane usługi są używane dopiero po dobrowolnym wyrażeniu zgody. Wybór można w każdej chwili zmienić poprzez „Ustawienia plików cookie” w stopce lub wycofać zgodę ze skutkiem na przyszłość.

14. Odbiorcy i podmioty przetwarzające

Dane osobowe przekazujemy wyłącznie w zakresie niezbędnym do świadczenia naszych usług lub gdy jesteśmy do tego zobowiązani prawnie. Do naszych podmiotów przetwarzających lub odbiorców należą w szczególności:

• dostawcy usług hostingowych i infrastrukturalnych (obsługa serwerów i baz danych)
• Stripe (przetwarzanie płatności)
• dostawcy usług powiadomień push (np. Apple Push Notification Service, Firebase Cloud Messaging) dla powiadomień serwisowych i kampanijnych
• dostawcy usług wysyłki e-maili (komunikacja transakcyjna i serwisowa)
• dostawcy usług IT w ramach utrzymania i wsparcia

Ze wszystkimi podmiotami przetwarzającymi zawarliśmy, w zakresie wymaganym prawnie, umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. O ile firma partnerska (klient biznesowy) przegląda w panelu Państwa dane dotyczące pieczątek, wizyt lub kampanii w ramach realizacji umowy, działa ona w tym zakresie jako niezależny administrator lub – w przypadku kampanii push – jako współadministrator zgodnie z punktem 7.2 niniejszej polityki.

15. Przekazywanie danych do państw trzecich

O ile niektórzy z wymienionych powyżej dostawców usług przetwarzają dane poza Europejskim Obszarem Gospodarczym (EOG), co może dotyczyć w szczególności niektórych usług chmurowych i push dostawców amerykańskich, zapewniamy poprzez odpowiednie zabezpieczenia odpowiedni poziom ochrony danych, w szczególności poprzez zawarcie standardowych klauzul umownych UE zgodnie z art. 46 ust. 2 lit. c) RODO lub certyfikację odbiorcy w ramach Data Privacy Framework UE-USA, o ile ma to zastosowanie.

16. Okresy przechowywania

Dane osobowe przechowujemy wyłącznie przez czas niezbędny do realizacji danych celów:

• Dane konta (klienci końcowi i biznesowi): przez okres istnienia konta użytkownika lub stosunku umownego; po usunięciu konta dane są zasadniczo usuwane w ciągu 30 dni, o ile nie stoją temu na przeszkodzie ustawowe obowiązki przechowywania
• Dane dotyczące pieczątek, nagród i realizacji: przez okres istnienia konta w danej firmie partnerskiej; po rozwiązaniu umowy z klientem biznesowym odpowiednie karty lojalnościowe są oznaczane jako nieaktywne i usuwane po 12 miesiącach
• Dane portfela kart (punkt 5.3): do samodzielnego usunięcia przez Państwa lub do usunięcia Państwa konta
• Dane grywalizacji (poziom, punkty, seria, cel tygodniowy): przez okres istnienia Państwa konta
• Połączenia ze znajomymi i ranking: do usunięcia przez Państwa lub do usunięcia Państwa konta
• Dane rozliczeniowe i płatnicze: 7 lat zgodnie z § 132 BAO i § 212 UGB
• Dzienniki dostarczania i interakcji push: 12 miesięcy
• Pliki dziennika serwera: z reguły od 30 do 90 dni
• Dane lokalizacyjne do weryfikacji pieczątek: brak trwałego przechowywania; przetwarzanie tylko przez czas trwania weryfikacji, następnie ograniczenie do dziennika zdarzeń (czas, wynik)
• Komunikacja wsparcia: 3 lata od zakończenia sprawy, o ile przepisy prawa nie wymagają dłuższego przechowywania

17. Państwa prawa jako osoby, której dane dotyczą

Zgodnie z wymogami ustawowymi przysługują Państwu następujące prawa:

• prawo dostępu do danych (art. 15 RODO)
• prawo do sprostowania (art. 16 RODO)
• prawo do usunięcia danych (art. 17 RODO)
• prawo do ograniczenia przetwarzania (art. 18 RODO)
• prawo do przenoszenia danych (art. 20 RODO)
• prawo do sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f) RODO (art. 21 RODO)
• prawo do cofnięcia udzielonej zgody ze skutkiem na przyszłość (art. 7 ust. 3 RODO)

Do skorzystania z tych praw wystarczy nieformalna wiadomość na adres support@tapradar.app. Rozpatrzymy Państwa wniosek niezwłocznie, nie później jednak niż w ciągu miesiąca; termin ten może zostać przedłużony o kolejne dwa miesiące w przypadku złożonych lub licznych wniosków, o czym Państwa poinformujemy.

18. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO w celu ochrony Państwa danych przed utratą, nadużyciem i nieuprawnionym dostępem, w tym szyfrowanie transmisji danych (TLS), szyfrowanie szczególnie wrażliwych przechowywanych danych, takich jak hasła i dane portfela kart, ograniczenia dostępu zgodnie z zasadą najmniejszych uprawnień, regularne aktualizacje zabezpieczeń oraz rejestrowanie zdarzeń istotnych dla bezpieczeństwa. Nasze środki bezpieczeństwa są na bieżąco dostosowywane do aktualnego stanu wiedzy technicznej.

19. Brak zautomatyzowanego podejmowania decyzji, ograniczone profilowanie

Poziomy, punkty i rankingi w aplikacji opierają się na zautomatyzowanych, ale w pełni przejrzystych i zrozumiałych zasadach, bez skutku prawnego lub podobnie istotnego skutku w rozumieniu art. 22 RODO. W ramach reklamy opartej na bliskości (punkt 7.2) ma miejsce ograniczone profilowanie oparte na lokalizacji, mające na celu wyświetlanie Państwu powiadomień od pobliskich firm partnerskich; przetwarzanie to opiera się wyłącznie na Państwa zgodzie i nie wywołuje skutku prawnego ani podobnie istotnego skutku w rozumieniu art. 22 RODO. Wobec użytkowników nie ma miejsca żadne zautomatyzowane podejmowanie decyzji wywołujące skutki prawne.

20. Ochrona małoletnich

TapRadar nie jest skierowany specjalnie do dzieci poniżej 14 roku życia. Jeśli stwierdzimy, że dane osobowe dziecka poniżej minimalnego wieku określonego przepisami prawa krajowego zostały zebrane bez zgody opiekuna prawnego, niezwłocznie je usuniemy.

21. Zmiany niniejszej polityki prywatności

Zastrzegamy sobie prawo do dostosowania niniejszej polityki prywatności w celu jej dopasowania do zmieniających się przepisów prawa lub nowych funkcji platformy. Obowiązuje każdorazowo wersja opublikowana na stronie www.tapradar.app/datenschutz, aktualna w momencie Państwa wizyty lub korzystania z usług. W przypadku istotnych zmian opartych na zmienionej podstawie prawnej, takiej jak pierwotna zgoda, ponownie uzyskamy taką zgodę.

22. Kontakt i prawo do wniesienia skargi

W sprawach dotyczących ochrony danych mogą się Państwo z nami skontaktować pod adresem support@tapradar.app. Bez uszczerbku dla innych administracyjnych lub sądowych środków odwoławczych, przysługuje Państwu prawo wniesienia skargi do organu nadzorczego, w szczególności do organu właściwego dla Austrii:

• Austriacki Organ Ochrony Danych (Österreichische Datenschutzbehörde)
• Barichgasse 40-42, 1030 Wiedeń, Austria
• Strona internetowa: www.dsb.gv.at

Wykaz źródeł

Oficjalne źródła unijne i austriackie, na których opiera się niniejsza polityka prywatności:

• Ogólne rozporządzenie o ochronie danych (RODO), rozporządzenie (UE) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Austriacki Organ Ochrony Danych: https://www.dsb.gv.at/