Ta polityka wyjaśnia, jak przetwarzamy dane osobowe osób korzystających ze sklepu internetowego Kebab Kong i składających w nim zamówienia — zgodnie z Rozporządzeniem (UE) 2016/679 („RODO”).
§ 1. Administrator danych
- Administratorem danych osobowych jest Kebab Kong, ul. Bolesława Limanowskiego 34, 02-943 Warszawa (Sadyba, Mokotów) („Administrator”), prowadząca lokal Kebab Kong.
- Kontakt w sprawach danych osobowych: e-mail: kebabkong933@gmail.com, telefon: +48 517 975 905, adres: ul. Bolesława Limanowskiego 34, 02-943 Warszawa (Sadyba, Mokotów). Administrator nie wyznaczył inspektora ochrony danych.
§ 2. Cele, podstawy prawne i zakres przetwarzania
- Realizacja zamówienia (przyjęcie, przygotowanie, dostawa lub wydanie, kontakt w sprawie zamówienia) — art. 6 ust. 1 lit. b RODO (umowa). Dane:
- imię i numer telefonu,
- adres dostawy i uwagi do zamówienia (przy dostawie),
- numer stolika (zamówienie na miejscu),
- treść zamówienia, kwoty, sposób płatności i status.
- Płatność online — art. 6 ust. 1 lit. b RODO. Przekazujemy operatorowi płatności adres e-mail (wymagany przy płatności online), imię, numer telefonu, kwotę, numer i opis zamówienia. Danych karty ani logowania do banku nie otrzymujemy.
- Powiadomienia SMS o statusie zamówienia i kody weryfikacyjne SMS (zakładanie Konta, reset hasła) — art. 6 ust. 1 lit. b RODO.
- Konto i program lojalnościowy (pieczątki, punkty, historia zamówień, opcjonalnie dzień i miesiąc urodzin do rabatu urodzinowego) — art. 6 ust. 1 lit. b RODO. Hasło przechowujemy wyłącznie w postaci skrótu kryptograficznego.
- Sprawdzenie, czy dowozimy pod adres — wpisany adres przekazujemy do usługi geokodowania, aby obliczyć odległość od Lokalu — art. 6 ust. 1 lit. b RODO.
- Faktury, paragony i obowiązki podatkowo-rachunkowe (dane nabywcy, NIP) oraz obsługa reklamacji i odstąpienia od umowy — art. 6 ust. 1 lit. c RODO (obowiązek prawny).
- Marketing — oferty i promocje SMS lub e-mail wyłącznie za zgodą (art. 6 ust. 1 lit. a RODO); zgodę można wycofać w każdej chwili, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.
- Bezpieczeństwo Sklepu, zapobieganie nadużyciom i dochodzenie lub obrona roszczeń (m.in. logi serwera, adres IP, limity zapytań, dowody zgód) — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
- Statystyki odwiedzin i pliki cookie inne niż niezbędne — wyłącznie za zgodą (art. 6 ust. 1 lit. a RODO); szczegóły w części „Pliki cookie” poniżej.
§ 3. Czat z asystentem w Sklepie
- Czat w Sklepie odpowiada na pytania o menu, ceny, alergeny, godziny otwarcia i dostawę. Treść wiadomości wpisanych w czat przekazujemy dostawcy modelu językowego — Anthropic PBC (USA), a gdy jego usługa jest niedostępna — OpenAI — wyłącznie w celu wygenerowania odpowiedzi. Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — obsługa pytań klientów).
- Nie zapisujemy treści rozmów w naszym systemie — przechowujemy jedynie liczbę i czas odpowiedzi (statystyka bez danych osobowych). Historia rozmowy jest przechowywana tylko w Twojej przeglądarce, do zamknięcia karty.
- Nie wpisuj w czat danych osobowych ani płatniczych. Czat nie przyjmuje zamówień ani reklamacji i może się pomylić — wiążące są ceny i opisy w menu Sklepu; w pozostałych sprawach skontaktuj się z Lokalem.
§ 4. Odbiorcy danych
- PayPro S.A. (ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935) — operator serwisu Przelewy24 — przy płatności online. PayPro przetwarza dane jako odrębny administrator w celu wykonania płatności, obsługi reklamacji płatniczych i obowiązków przeciwdziałania praniu pieniędzy; zasady opisuje klauzula informacyjna Przelewy24.
- Podmioty przetwarzające dane na zlecenie Administratora, na podstawie umów powierzenia:
- dostawca serwera i hostingu — Hetzner Online GmbH (Niemcy, serwery w Unii Europejskiej),
- operator bramki SMS — wysyłka powiadomień i kodów SMS,
- dostawca poczty elektronicznej — korespondencja e-mail,
- biuro rachunkowe i dostawcy oprogramowania kasowo-fiskalnego — w zakresie rozliczeń,
- dostawcy modeli językowych obsługujących czat — Anthropic PBC, zapasowo OpenAI — wyłącznie treść wiadomości wpisanych w czat.
- Fundacja OpenStreetMap (usługa Nominatim) — wyłącznie wpisany adres dostawy, bez imienia i numeru telefonu, w celu obliczenia odległości od Lokalu.
- Google Ireland Ltd. — statystyki odwiedzin (Google Analytics) wyłącznie za zgodą oraz mapa w sekcji „Kontakt” dopiero po jej kliknięciu.
- Kancelarie prawne, a także sądy i organy publiczne — gdy obowiązek przekazania danych wynika z przepisów prawa.
- Zamówienia składane przez platformy dostaw (np. Pyszne.pl) podlegają także zasadom prywatności tych platform, które są odrębnymi administratorami danych.
§ 5. Przekazywanie danych poza Europejski Obszar Gospodarczy
- Co do zasady dane przetwarzamy w Europejskim Obszarze Gospodarczym.
- Przy korzystaniu z Google Analytics (za zgodą) i mapy Google dane mogą trafiać do USA — na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE-USA (EU-US Data Privacy Framework).
- Wiadomości wpisane w czat mogą być przetwarzane w USA przez dostawcę modelu językowego (Anthropic PBC, zapasowo OpenAI) — na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE-USA (gdy dostawca jest nimi objęty) albo standardowych klauzul umownych zatwierdzonych przez Komisję (art. 46 RODO).
- Adres dostawy przekazywany usłudze Nominatim może być przetwarzany w Wielkiej Brytanii — państwie, wobec którego Komisja Europejska stwierdziła odpowiedni stopień ochrony danych.
§ 6. Okres przechowywania danych
- Dane zamówień — przez czas realizacji zamówienia, a następnie przez okres wymagany przepisami podatkowymi i rachunkowymi (5 lat licząc od końca roku kalendarzowego, w którym zamówienie złożono) i do upływu terminów przedawnienia roszczeń.
- Surowe dane zamówień przekazywane przez platformy dostaw — 90 dni, potem są usuwane.
- Dane Konta i programu lojalnościowego — do usunięcia Konta; po usunięciu dane są anonimizowane, z wyjątkiem danych, które musimy przechowywać na podstawie przepisów.
- Dane przetwarzane na podstawie zgody (marketing, statystyki) — do jej wycofania; dowód udzielenia lub wycofania zgody — do upływu terminów przedawnienia roszczeń.
- Kody weryfikacyjne SMS — przez czas ich ważności (do 10 minut). Logi techniczne serwera — przez okres niezbędny do zapewnienia bezpieczeństwa Sklepu.
§ 7. Twoje prawa
- Masz prawo do:
- dostępu do swoich danych i otrzymania ich kopii,
- sprostowania danych,
- usunięcia danych („prawo do bycia zapomnianym”),
- ograniczenia przetwarzania,
- przenoszenia danych (dane przetwarzane na podstawie umowy lub zgody),
- wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
- wycofania zgody w dowolnym momencie.
- Aby skorzystać z praw, skontaktuj się z Administratorem (e-mail: kebabkong933@gmail.com, telefon: +48 517 975 905, adres: ul. Bolesława Limanowskiego 34, 02-943 Warszawa (Sadyba, Mokotów)). Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca.
- Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
§ 8. Dobrowolność podania danych i decyzje automatyczne
- Podanie danych jest dobrowolne, ale niezbędne do złożenia zamówienia: imię i telefon zawsze, adres przy dostawie, adres e-mail przy płatności online, NIP przy fakturze.
- Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.
§ 9. Bezpieczeństwo i zmiany polityki
- Połączenie ze Sklepem jest szyfrowane (HTTPS). Dostęp do danych zamówień ma wyłącznie upoważniony personel, a hasła do Kont przechowujemy jako skróty kryptograficzne.
- Politykę możemy zmienić, np. przy zmianie przepisów lub sposobu działania Sklepu; aktualna wersja jest zawsze dostępna na tej stronie.