Політика захисту персональних даних

1.1. Контролером персональних даних є оператор вебсайту:

• Комерційне найменування або ім’я та прізвище: KEBAB HOUSE BONE’MA
• Адреса закладу: třída T. G. Masaryka 1077, 293 01 Mladá Boleslav 1
• Ідентифікаційний номер (IČO): 03350339
• Податковий ідентифікаційний номер (DIČ): CZ03350339
• Телефон: 326210955
• Вебсайт: kebab-house-bonema.vercel.app
• Контактна форма: сторінка «Контакти»
• Чат: вікно чату на вебсайті

1.2. Контролер не призначив інспектора з питань захисту персональних даних, оскільки відповідно до ст. 37 GDPR такий обов’язок у нього не виникає. З усіх питань захисту персональних даних суб’єкти даних можуть звертатися безпосередньо до контролера за допомогою будь-якого із засобів зв’язку, зазначених у пункті 1.1 (далі - «контактні дані, зазначені в статті 1»).

2.1. Політика поширюється на обробку персональних даних у зв’язку з вебсайтом контролера, включно з його версією, встановленою як вебзастосунок, із замовленнями товарів, обліковим записом клієнта, програмою лояльності, підтримкою клієнтів, надсиланням сповіщень, заявками кур’єрів, договорами з кур’єрами та обліком їхньої роботи. Терміни, які не визначено в цій політиці, мають значення, наведене в умовах продажу.

2.2. Контролер обробляє персональні дані відповідно до GDPR, Закону № 110/2019 Зб. про обробку персональних даних, Закону № 127/2005 Зб. про електронні комунікації та Закону № 480/2004 Зб. про деякі послуги інформаційного суспільства.

2.3. За винятком обробки, описаної в статті 11, політика не поширюється на обробку персональних даних працівників та інших співпрацівників контролера, про яку ці особи інформуються окремо.

3.1. У таблиці нижче підсумовано цілі обробки; докладну інформацію наведено в статтях 4–11.

• Мета

  Замовлення

  Персональні дані

  ім’я, телефон, електронна пошта, адреса доставки, зміст замовлення та коментарі, дані про оплату, історія статусів, дані про час

  Правова підстава

  виконання договору, юридичний обов’язок, законний інтерес

  Строк зберігання

  3 роки з моменту виконання або скасування замовлення; дані в бухгалтерських і податкових документах - протягом строку, встановленого законом

• Мета

  Обліковий запис клієнта та програма лояльності

  Персональні дані

  електронна пошта, ім’я, телефон, відбиток пароля, адреси, улюблені страви, кошик, замовлення, бали, мова, налаштування, згоди

  Правова підстава

  виконання договору, законний інтерес

  Строк зберігання

  до видалення облікового запису

• Мета

  Підтримка клієнтів

  Персональні дані

  ім’я, контактні дані, зміст повідомлень, пов’язане замовлення

  Правова підстава

  законний інтерес, виконання договору, юридичний обов’язок

  Строк зберігання

  24 місяці з моменту останнього повідомлення; запити щодо замовлень і рекламації - 3 роки з моменту їх вирішення

• Мета

  Безпека та запобігання зловживанням

  Персональні дані

  солений відбиток IP-адреси, серверні журнали, записи про вхід, журнали аудиту

  Правова підстава

  законний інтерес

  Строк зберігання

  від 24 годин до 3 років залежно від виду запису (пункт 5.3 і стаття 7)

• Мета

  Комерційні повідомлення

  Персональні дані

  електронна пошта, ім’я, мова, запис про згоду

  Правова підстава

  згода

  Строк зберігання

  до відкликання згоди або видалення облікового запису

• Мета

  Push-сповіщення

  Персональні дані

  адреса підписки, ключі шифрування, прив’язка до облікового запису, ідентифікація браузера

  Правова підстава

  згода

  Строк зберігання

  до скасування або припинення підписки

• Мета

  Файли cookie та сховище на пристрої

  Персональні дані

  див. політику використання файлів cookie

  Правова підстава

  виконання договору, законний інтерес

  Строк зберігання

  див. політику використання файлів cookie

• Мета

  Заявки кур’єрів

  Персональні дані

  ім’я, телефон, електронна пошта, транспортний засіб, район або населений пункт, часова доступність, повідомлення, мова сторінки

  Правова підстава

  заходи до укладення договору

  Строк зберігання

  6 місяців з моменту останньої зміни заявки

• Мета

  Договори з кур’єрами

  Персональні дані

  ім’я, дата народження, громадянство, місце постійного проживання, персональний номер (rodné číslo), номер рахунку, медична страхова компанія, заява платника податку, посвідчення водія та транспортний засіб, приватна електронна пошта, запис про підписання договору

  Правова підстава

  виконання договору, юридичний обов’язок, законний інтерес

  Строк зберігання

  протягом строку дії договору, а після його припинення - протягом строку, встановленого законодавством про страхування, оподаткування та бухгалтерський облік; неукладені договори - 6 місяців, договори після відмови від них - 1 рік

• Мета

  Робота кур’єрів

  Персональні дані

  електронна пошта для входу, ім’я, телефон, роль, ключі доступу, зміни та перерви (облік робочого часу), проїхані кілометри, прийняті доставки та їх час, частки від замовлень, отримана готівка, розрахунок, місцезнаходження під час доставки

  Правова підстава

  виконання договору, юридичний обов’язок, законний інтерес

  Строк зберігання

  протягом строку дії договору, а після його припинення - протягом строку, встановленого законодавством про страхування, оподаткування та бухгалтерський облік; місцезнаходження - до доставки або скасування замовлення

4.1. Під час замовлення контролер обробляє ім’я, номер телефону та адресу електронної пошти покупця; у разі доставки - адресу доставки та коментар для кур’єра; зміст замовлення, включно з варіантами, добавками та коментарями; ціну, застосовані знижки та бали програми лояльності; спосіб отримання; спосіб і статус оплати, включно з ідентифікатором платіжної транзакції та даними про повернення платежу; номер замовлення та посилання на сторінку статусу замовлення; статус замовлення та історію його змін, включно з причиною можливого скасування; дані про час і мову замовлення, а для зареєстрованого покупця - також прив’язку замовлення до облікового запису клієнта.

4.2. Метою обробки є укладення та виконання договору купівлі-продажу, зокрема підтвердження, приготування, видача та доставка замовлення, прийняття платежу, інформування про статус замовлення, опрацювання відмов від договору та рекламацій і ведення обліку замовлень.

4.3. Правовою підставою обробки є виконання договору та вжиття заходів до його укладення на запит суб’єкта даних (ст. 6 ч. 1 п. b) GDPR), виконання юридичних обов’язків контролера, зокрема у сфері бухгалтерського обліку, оподаткування та захисту прав споживачів (ст. 6 ч. 1 п. c) GDPR), а також законний інтерес контролера щодо захисту його правових вимог і запобігання зловживанню системою замовлень (ст. 6 ч. 1 п. f) GDPR). Зазначення імені, номера телефону, адреси електронної пошти, а в разі доставки - адреси доставки є необхідним; без них здійснити замовлення неможливо.

4.4. Доступ до даних про замовлення мають лише уповноважені працівники контролера та кур’єри в обсязі, необхідному для їхньої роботи. Контактні дані та адресу доставки бачать лише ті, кому вони потрібні для виконання замовлення, зокрема обслуговуючий персонал і кур’єр, який прийняв доставку замовлення (пункт 4.9); працівники кухні доступу до них не мають.

4.5. Онлайн-платежі опрацьовує компанія Stripe Payments Europe, Limited, з осідком в Ірландії. Дані платіжної картки суб’єкт даних вводить безпосередньо на сторінці платіжного шлюзу; контролер їх не обробляє й не має до них доступу. Від надавача платіжних послуг контролер отримує лише інформацію про результат платежу, ідентифікатор транзакції та дані про повернення платежу. Компанія Stripe обробляє дані про платіж частково як обробник, а частково як самостійний контролер, зокрема для виконання своїх юридичних обов’язків і запобігання шахрайству; докладну інформацію наведено в політиці конфіденційності компанії Stripe.

4.6. Персональні дані щодо замовлення контролер зберігає протягом строку виконання договору купівлі-продажу, а після цього - протягом 3 років з моменту виконання або скасування замовлення, що відповідає загальному строку позовної давності для пред’явлення вимог за договором купівлі-продажу; якщо розпочато провадження щодо вимоги, він зберігає їх до його остаточного завершення. Після цього він видаляє або анонімізує контактні дані, адресу доставки та коментарі. Замовлення зареєстрованого покупця залишаються частиною історії замовлень в обліковому записі до видалення облікового запису клієнта; у разі видалення облікового запису вони анонімізуються відповідно до пункту 5.5.

4.7. Дані, що є частиною бухгалтерських записів або податкових документів, контролер зберігає протягом строку, встановленого законодавством, зокрема 10 років з кінця податкового періоду, у якому було здійснено постачання (§ 35 Закону № 235/2004 Зб. про податок на додану вартість), і 5 років з кінця облікового періоду, якого вони стосуються (§ 31 Закону № 563/1991 Зб. про бухгалтерський облік). Ці записи, як правило, не містять контактних даних покупця.

4.8. Після підтвердження замовлення на сторінці його статусу відображається карта з розташуванням закладу. У разі доставки кур’єр, який везе замовлення, може передавати своє місцезнаходження - як працівник закладу, так і кур’єр, який працює на підставі договору (стаття 11); тоді покупець бачить на карті приблизне місцезнаходження кур’єра, округлене орієнтовно до 10 метрів, причому лише під час доставки. Контролер зберігає лише останнє місцезнаходження кур’єра, після доставки або скасування замовлення видаляє його і не веде історії маршруту. Якщо покупець вибере на карті «Показати мене», його місцезнаходження визначається й обробляється лише в його браузері та контролеру не надсилається. Картографічні дані надає сервіс OpenFreeMap (стаття 13).

4.9. Доставку здійснюють кур’єри, тобто працівники закладу або кур’єри, які працюють у контролера на підставі договору про виконання роботи чи договору про трудову діяльність (стаття 11); вони діють від імені контролера та зобов’язані зберігати конфіденційність. Доки кур’єр не прийняв доставку, кур’єрський портал показує йому щодо запропонованого замовлення лише назву вулиці без номера будинку, населений пункт, кількість позицій, суму замовлення, орієнтовну частку кур’єра та спосіб оплати. Кур’єр, який прийняв доставку, бачить ім’я та номер телефону покупця, адресу доставки та коментар для кур’єра, коментар до замовлення, замовлені позиції та суму до сплати, причому лише щодо цієї доставки і лише доки вона активна. Після доставки в історії доставок кур’єра відображаються лише номер замовлення, дата та суми, а не дані покупця.

5.1. У зв’язку з обліковим записом клієнта контролер обробляє адресу електронної пошти, ім’я, за наявності - номер телефону, пароль у вигляді криптографічного відбитка, бажану мову, збережені адреси доставки, улюблені страви, вміст збереженого кошика, історію замовлень, дані про бали програми лояльності та їх рух, налаштування сповіщень і повідомлення в обліковому записі, час останнього запуску встановленого застосунку (лише для того, щоб у браузері не відображалася пропозиція встановити застосунок), дані про надані згоди та про підтвердження умов продажу із зазначенням часу, можливий запит на видалення облікового запису та технічні дані про вхід.

5.2. Метою обробки є створення та ведення облікового запису клієнта, надання його функцій, проведення програми лояльності та забезпечення безпеки облікового запису. Правовою підставою є виконання договору про обліковий запис клієнта, складовою частиною якого є правила програми лояльності (ст. 6 ч. 1 п. b) GDPR), а також законний інтерес контролера щодо забезпечення безпеки облікових записів і доведення того, що покупець висловив згоду з умовами продажу (ст. 6 ч. 1 п. f) GDPR). Зазначення імені, адреси електронної пошти та пароля є необхідним для створення облікового запису; інші дані суб’єкт даних додає добровільно залежно від того, якими функціями облікового запису він користується.

5.3. Вхід і керування паролями забезпечує служба автентифікації Supabase Auth. Пароль зберігається виключно у вигляді криптографічного відбитка (хешу); ні контролер, ні його працівники не мають до нього доступу. Під час реєстрації, входу, відновлення пароля та подібних подій служба автентифікації фіксує дані безпеки, зокрема час і вид події, IP-адресу та ідентифікацію браузера, які слугують для захисту облікового запису від несанкціонованого доступу. Дані про активний сеанс входу зберігаються протягом усього часу його тривання, записи про події безпеки - не довше ніж 90 днів.

5.4. Персональні дані в обліковому записі клієнта контролер обробляє протягом усього часу існування облікового запису. Повідомлення, що відображаються в обліковому записі клієнта, автоматично видаляються через 180 днів. Вміст збереженого кошика зберігається до його очищення або до надсилання замовлення.

5.5. Суб’єкт даних може в розділі «Конфіденційність і дані» облікового запису клієнта подати запит на видалення облікового запису та відкликати його до моменту опрацювання. Запит опрацьовує уповноважений працівник контролера без зайвих зволікань, не пізніше ніж протягом одного місяця. Під час опрацювання запиту контролер припиняє доступ до облікового запису та видаляє дані облікового запису; у замовленнях він анонімізує ім’я, номер телефону, адресу електронної пошти, адресу доставки, коментар для кур’єра, коментар до замовлення та коментарі до окремих позицій, анонімізує зміст запитів, поданих через форму звернення до підтримки щодо замовлення, і видаляє розмови в чаті, пов’язані з обліковим записом клієнта. Дані про замовлення, необхідні для виконання обов’язків у сфері бухгалтерського обліку та оподаткування, він зберігає в анонімізованому вигляді. Дані, які контролер має право або зобов’язаний зберігати й надалі, наприклад якщо триває розгляд рекламації або спору, він зберігає протягом безумовно необхідного часу.

5.6. У тому самому розділі суб’єкт даних може будь-коли завантажити копію своїх персональних даних, зокрема профілю, адрес, замовлень, балів програми лояльності, запитів до підтримки та розмов у чаті, у машинозчитуваному форматі JSON.

5.7. Якщо клієнт бере участь у програмі BONE’MA Crew, контролер обробляє його особистий код поради, дані про замовлення з цим кодом (чи було це перше замовлення нового клієнта, чи його завершено або скасовано, і результат перевірки, що це не власний обліковий запис, не той самий номер телефону чи та сама адреса доставки) і нараховані бали, а також посилання на відео, які клієнт надсилає на схвалення, вказане ним ім’я в мережі й повідомлення, згоду на публікацію та результат розгляду. Метою є проведення програми за її правилами та захист від зловживань. Правовою підставою є виконання договору про обліковий запис клієнта (ст. 6(1)(b) GDPR) і законний інтерес контролера в запобіганні шахрайству (ст. 6(1)(f) GDPR); відео контролер показує на сайті та у своїх соцмережах лише за згодою клієнта (ст. 6(1)(a) GDPR), яку можна будь-коли відкликати. Той, хто порадив, дізнається лише кількість порад і нарахованих балів, а не ім’я чи інші дані клієнта, якому порадив. Контролер обробляє дані, поки існує обліковий запис клієнта; після його видалення посилання на відео видаляються, а записи про поради відв’язуються від облікового запису.

6.1. Якщо суб’єкт даних звертається до контролера через чат, контактну форму, форму звернення до підтримки щодо замовлення, електронну пошту або телефон, контролер обробляє його ім’я, контактні дані, зміст повідомлень із зазначенням часу, за наявності - номер пов’язаного замовлення та інші дані, які суб’єкт даних сам зазначить. Розмову в чаті відвідувача, який не увійшов в обліковий запис, вебсайт прив’язує до нього за допомогою файлу cookie kh_chat, описаного в політиці використання файлів cookie.

6.2. Метою обробки є опрацювання запитання, запиту, скарги або рекламації. Правовою підставою є законний інтерес контролера щодо комунікації з клієнтами та опрацювання їхніх звернень (ст. 6 ч. 1 п. f) GDPR); якщо комунікація стосується укладення або виконання договору - також ст. 6 ч. 1 п. b) GDPR, а під час розгляду рекламацій - виконання юридичних обов’язків відповідно до Закону про захист прав споживачів (ст. 6 ч. 1 п. c) GDPR).

6.3. На повідомлення в чаті відповідають працівники контролера. На поширені запитання, наприклад щодо годин роботи, адреси, доставки або статусу замовлення, чат може надавати автоматичні відповіді із заздалегідь підготовленим змістом. Наразі контролер не використовує інструменти штучного інтелекту для комунікації із суб’єктами даних; якщо він у майбутньому запровадить асистента, що використовує штучний інтелект, суб’єкта даних буде про це заздалегідь і чітко поінформовано, а цю політику буде відповідно доповнено.

6.4. Повідомлення в чаті та з контактної форми і пов’язані з ними дані контролер зберігає протягом 24 місяців з моменту останнього повідомлення у відповідній розмові. Запити, подані через форму звернення до підтримки щодо замовлення, та іншу документацію щодо рекламацій він зберігає протягом 3 років з моменту їх вирішення.

7.1. Для захисту вебсайту від автоматизованих атак і зловживань, наприклад від масових спроб входу, повторного надсилання замовлень або підбору промокодів, контролер обмежує кількість запитів з одного джерела. Для цієї мети IP-адреса зберігається лише у вигляді одностороннього відбитка, створеного з використанням секретного ключа (так званий солений хеш), з якого без знання цього ключа її неможливо встановити; записи видаляються не пізніше ніж через 24 години.

7.2. Під час запитів до вебсайту надавач послуг хостингу фіксує технічні дані, зокрема IP-адресу, дату й час, запитувану адресу, ідентифікацію браузера та результат запиту, у серверних журналах, які слугують для забезпечення роботи, виявлення помилок і захисту від атак. Ці журнали зберігаються короткостроково, як правило, не довше ніж 30 днів. Журнали помилок застосунку не містять адрес електронної пошти та номерів телефонів.

7.3. Дії працівників контролера в системі замовлень, наприклад зміни статусу та скасування замовлень, повернення платежів або опрацювання запитів на видалення облікових записів, фіксуються в журналах аудиту із зазначенням часу та особи, яка виконала дію. Журнали аудиту слугують для забезпечення підзвітності й безпеки та для підтвердження належного виконання замовлень і зберігаються протягом 3 років.

7.4. Облікові записи працівників захищені двоетапною перевіркою (для облікових записів із доступом до адміністрування обов’язково); кур’єри та інші користувачі можуть увімкнути її добровільно. Секретний ключ застосунку-автентифікатора зберігає сервіс автентифікації Supabase Auth. Користувачі можуть також входити за допомогою ключа доступу (passkey): ключ створює та зберігає їхній пристрій або менеджер паролів і захищає його відбитком пальця, розпізнаванням обличчя або PIN-кодом пристрою. Контролеру передаються, а в сервісі Supabase Auth зберігаються лише відкрита частина ключа, його назва, а також час створення та останнього використання; біометричні дані пристрій контролеру не надсилає, і контролер їх не обробляє. Під час входу працівника або кур’єра контролер фіксує час входу, опис пристрою (браузер і операційна система) та односторонній хеш випадкового ідентифікатора пристрою, збереженого в cookie, щоб попереджати про вхід із нового пристрою. До записів безпеки також заносяться зміни прав, увімкнення та видалення двоетапної перевірки, додавання та видалення ключа доступу, повторні невдалі спроби входу (з хешем IP-адреси) та заблоковані спроби завантажити недозволений вміст сайту (без персональних даних). Записи безпеки та дані про пристрої зберігаються 1 рік.

7.5. Номер телефону, зазначений у замовленні, контролер використовує також для обмеження кількості одночасно відкритих замовлень, здійснених без реєстрації.

7.6. Правовою підставою обробки відповідно до цієї статті є законний інтерес контролера щодо забезпечення безпеки та функціональності вебсайту і захисту від зловживань, шахрайства та атак (ст. 6 ч. 1 п. f) GDPR); водночас обробка слугує для забезпечення безпеки персональних даних відповідно до ст. 32 GDPR.

8.1. Якщо суб’єкт даних під час реєстрації або пізніше в налаштуваннях облікового запису клієнта надасть згоду на надсилання комерційних повідомлень, контролер може надсилати йому електронною поштою інформацію про новинки, пропозиції та акції ресторану. Комерційні повідомлення контролер надсилає лише на підставі згоди.

8.2. Правовою підставою є згода суб’єкта даних (ст. 6 ч. 1 п. a) GDPR і § 7 Закону № 480/2004 Зб.). Надання згоди є добровільним і не є умовою укладення договору купівлі-продажу чи створення облікового запису клієнта.

8.3. Згоду можна будь-коли відкликати в розділі «Особисті дані» облікового запису клієнта, за посиланням для відписки, яке міститиметься в кожному комерційному повідомленні, або через контактні дані, зазначені в статті 1. Відкликання згоди не впливає на законність обробки до її відкликання.

8.4. Дані для надсилання комерційних повідомлень контролер обробляє до відкликання згоди або до видалення облікового запису клієнта. Запис про надання та відкликання згоди він зберігає протягом 3 років з моменту відкликання згоди, щоб мати змогу довести правомірність надсилання (ст. 6 ч. 1 п. f) GDPR). Контролер не здійснює профілювання для цілей прямого маркетингу.

9.1. Якщо користувач, який увійшов в обліковий запис, дозволить у браузері або у встановленому вебзастосунку надсилання сповіщень (push-сповіщень), контролер обробляє дані про підписку: адресу підписки, надану push-службою браузера, ключі шифрування, прив’язку до облікового запису клієнта, мову, ідентифікацію браузера та пристрою, а також час оформлення підписки та останньої успішної доставки. Сповіщення інформують про зміни статусу замовлень і про відповіді працівників контролера в чаті; кур’єрів сповіщення під час їхньої робочої зміни інформують про нові доставки, які можна взяти, і про готовність узятого ними замовлення.

9.2. Вміст сповіщення зашифровано для конкретного пристрою, і він містить лише номер замовлення, вид події та за потреби суму або кількість позицій, а в разі відповіді в чаті - лише інформацію про те, що надійшла відповідь; він не містить імені, номера телефону, адреси чи тексту повідомлень. Сповіщення доставляють push-служби постачальників браузерів, наприклад Google, Apple, Mozilla або Microsoft, які не можуть прочитати вміст сповіщень.

9.3. Правовою підставою є згода суб’єкта даних, виражена дозволом на сповіщення (ст. 6 ч. 1 п. a) GDPR). Згоду можна будь-коли відкликати, вимкнувши сповіщення в обліковому записі клієнта або в налаштуваннях браузера чи пристрою. Дані про підписку контролер обробляє до скасування підписки; підписки, які push-служба позначить як недійсні, видаляються автоматично.

9.4. Повідомлення про зміни статусу замовлень в обліковому записі клієнта та електронні листи щодо замовлень і облікового запису клієнта, наприклад підтвердження замовлення, зміна його статусу, підтвердження реєстрації, відновлення пароля або зміна адреси електронної пошти, контролер надсилає на підставі виконання договору (ст. 6 ч. 1 п. b) GDPR); вони не є комерційними повідомленнями.

10.1. Вебсайт використовує лише необхідні та функціональні файли cookie і подібні технології першої сторони, які слугують для його функціонування, наприклад для входу, збереження кошика, запам’ятовування мови та збереження налаштувань файлів cookie. Аналітичних чи рекламних файлів cookie, а також файлів cookie третіх сторін вебсайт наразі не використовує. Докладну інформацію наведено в політиці використання файлів cookie.

10.2. Шрифти завантажуються із сервера вебсайту, а не із сервісів третіх сторін. За винятком карти на сторінці статусу замовлення (пункт 4.8), на карти та соціальні мережі вебсайт лише посилається, і вони не вбудовані в нього; після переходу на них обробка персональних даних регулюється умовами їхніх операторів. Онлайн-оплата здійснюється на сторінках платіжного шлюзу Stripe, на які поширюється політика компанії Stripe.

Заявки кандидатів

11.1. Особа, яка бажає співпрацювати з контролером як кур’єр (далі - «кандидат»), може подати заявку через форму на сторінці вебсайту для кандидатів у кур’єри. Контролер при цьому обробляє ім’я, номер телефону та адресу електронної пошти кандидата і тип його транспортного засобу (автомобіль, скутер або мотоцикл, велосипед чи інший), а якщо кандидат їх зазначить, - також район або населений пункт, відомості про часову доступність і повідомлення; разом із заявкою зберігається мова сторінки, з якої її надіслано. Замість заповнення форми кандидат може звернутися до контролера телефоном.

11.2. Метою обробки є оцінювання кандидата та домовленість про співпрацю з ним як із кур’єром. Правовою підставою є вжиття заходів до укладення договору на запит суб’єкта даних (ст. 6 ч. 1 п. b) GDPR). Зазначення імені, номера телефону, адреси електронної пошти та типу транспортного засобу є необхідним; без них надіслати заявку неможливо. Інші дані у формі кандидат зазначає добровільно.

11.3. Заявки зберігаються в базі даних контролера (пункт 13.2), і доступ до них мають лише уповноважені працівники контролера, які керують командою. До кожної заявки також фіксуються стан її опрацювання, внутрішня нотатка, хто й коли її опрацював, а для схваленої заявки - зв’язок із договором і обліковим записом кур’єра. Під час розгляду заявок автоматизоване ухвалення рішень не здійснюється. Контролер автоматично видаляє заявку через 6 місяців з моменту її останньої зміни незалежно від того, чи її було схвалено, відхилено, чи вона залишилася без відповіді.

Договір із кур’єром

11.4. Кур’єри працюють у контролера на підставі договору про виконання роботи (DPP) або договору про трудову діяльність (DPČ) відповідно до Трудового кодексу Чеської Республіки (далі - «договір»). Договір готує уповноважений працівник контролера; на адресу електронної пошти, зазначену в заявці, кандидатові надходить персональне посилання для підпису, яке діє 14 днів і зберігається лише у вигляді одностороннього відбитка.

11.5. Під час підписання договору кур’єр зазначає, а контролер обробляє повне ім’я, дату народження, громадянство, адресу місця постійного проживання, персональний номер (rodné číslo), якщо його було присвоєно, номер банківського рахунку для виплати винагороди, медичну страхову компанію та інформацію про те, чи бажає він підписати заяву платника податку; якщо кур’єр їздить автомобілем або скутером, - також категорії та строк дії посвідчення водія і номерний знак транспортного засобу, а в разі погодженої компенсації транспортних витрат - вид і середню витрату пального транспортного засобу. Крім того, він зазначає приватну адресу електронної пошти, на яку йому буде доставлено примірник договору. Персональний номер, номер рахунку, адреса та текст підписаного договору зберігаються в зашифрованому вигляді (AES-256-GCM) з використанням ключа, який зберігається окремо від бази даних. Повні дані може переглянути лише уповноважений працівник контролера після повторного підтвердження особи за допомогою двоетапної перевірки, і кожен перегляд фіксується.

11.6. Кур’єр підписує договір в електронній формі: він підтверджує згоду з його текстом, вписує своє повне ім’я та вводить одноразовий код, надісланий на приватну адресу електронної пошти. Від імені контролера договір підписує особа, яка має право діяти від імені контролера та увійшла в обліковий запис із двоетапною перевіркою. Разом із підписом фіксуються час, відбиток тексту договору (SHA-256), односторонній відбиток IP-адреси та опис браузера; етапи договору (надсилання, відкриття посилання, коди, підписи, доставка примірника, припинення) записуються в історію, захищену від змін. Примірник договору у форматі PDF контролер надсилає кур’єрові на приватну адресу електронної пошти (§ 21 Трудового кодексу), і кур’єр може також завантажити його в кур’єрському порталі.

11.7. Метою обробки є укладення та виконання договору, обчислення та виплата винагороди, виконання обов’язків контролера як роботодавця перед Чеським управлінням соціального забезпечення (Česká správa sociálního zabezpečení), медичними страховими компаніями та податковим органом, облік робочого часу та захист правових вимог контролера. Правовою підставою є виконання договору (ст. 6 ч. 1 п. b) GDPR), виконання юридичних обов’язків контролера відповідно до законодавства про працю, соціальне та медичне страхування, оподаткування та бухгалтерський облік (ст. 6 ч. 1 п. c) GDPR), а також законний інтерес контролера щодо доведення факту укладення та змісту договору і щодо забезпечення безпеки (ст. 6 ч. 1 п. f) GDPR). Зазначення даних, наведених у пункті 11.5, є вимогою, передбаченою законом і договором; без них укласти договір неможливо. Під час укладення договору автоматизоване ухвалення рішень не здійснюється.

Кур’єрський портал і облік робочого часу

11.8. Після підписання договору обома сторонами кур’єр отримує доступ до кур’єрського порталу. Він входить за допомогою ключа доступу (пункт 7.4) або пароля; двоетапну перевірку він може увімкнути добровільно. Вхід захищає служба автентифікації Supabase Auth так само, як і для облікового запису клієнта (пункт 5.3). Дані покупців, які кур’єр бачить під час доставки, описано в пункті 4.9.

11.9. У порталі кур’єр розпочинає та завершує зміну і перерви. Контролер фіксує початок і кінець кожного періоду роботи, кілометри, проїхані власним транспортним засобом (якщо погоджено компенсацію транспортних витрат), а також виправлення записів, внесені уповноваженими працівниками контролера, включно з їх причиною. Ці записи є обліком робочого часу відповідно до § 96 Трудового кодексу і слугують також для обчислення винагороди, включно з доплатою до мінімальної заробітної плати та надбавками, а також для відстеження обсягу роботи, дозволеного договором. Приймати доставки кур’єр може, а сповіщення про нові доставки отримує лише під час зміни.

11.10. Щодо кур’єрів контролер також обробляє адресу електронної пошти, що використовується для входу, ім’я, номер телефону та роль у системі; дані про доставки, які кур’єр прийняв, тобто номер замовлення та час прийняття доставки, отримання замовлення в закладі та його доставки; частку кур’єра від кожного доставленого замовлення за відсотком, погодженим у договорі; готівку, яку кур’єр отримав від покупців під час доставки; а також запис про її розрахунок.

11.11. Під час доставки кур’єр може передавати своє місцезнаходження відповідно до пункту 4.8: місцезнаходження обробляється лише під час доставки, контролер зберігає лише останнє місцезнаходження, показує його покупцю в округленому вигляді та видаляє після доставки або скасування замовлення. Правовою підставою є законний інтерес контролера щодо інформування покупця про хід доставки (ст. 6 ч. 1 п. f) GDPR).

Строк зберігання

11.12. Договір, який не було укладено, оскільки контролер його скасував або сплив строк дії посилання для підпису, контролер видаляє через 6 місяців після цього; договір, від якого кур’єр відмовився, він видаляє через 1 рік після відмови. Посилання для підпису та одноразові коди зберігаються лише у вигляді відбитків і видаляються не пізніше ніж через 90 днів після закінчення строку їх дії. Укладені договори, дані, необхідні для виплати винагороди, страхування та оподаткування, записи обліку робочого часу та дані про доставки контролер зберігає протягом строку дії договору, а після його припинення - протягом строку, встановленого законодавством про пенсійне страхування, страхування на випадок хвороби, медичне страхування, оподаткування та бухгалтерський облік; після цього він їх видаляє. З припиненням договору кур’єр втрачає доступ до кур’єрського порталу.

12.1. Контролер не вимагає даних про стан здоров’я. Якщо суб’єкт даних добровільно зазначить у коментарі до замовлення, у чаті або в іншому повідомленні інформацію про алергію, непереносимість чи інше обмеження, пов’язане зі здоров’ям, контролер використовує її виключно для приготування замовлення або для відповіді на запитання на підставі явної згоди суб’єкта даних, вираженої шляхом зазначення цієї інформації (ст. 9 ч. 2 п. a) GDPR). Згоду можна будь-коли відкликати; така інформація зберігається та видаляється разом із даними про замовлення або з повідомленням, у якому її було зазначено. Суб’єктам даних рекомендується зазначати лише інформацію, необхідну для приготування страви.

12.2. Послуги вебсайту не призначені для дітей, молодших 15 років, а обліковий запис клієнта може створити лише особа, яка досягла 15-річного віку (§ 7 Закону № 110/2019 Зб.). Якщо контролер виявить, що обліковий запис створила особа, молодша 15 років, він видаляє обліковий запис і персональні дані.

13.1. Контролер надає доступ до персональних даних лише в обсязі, необхідному для відповідної мети, а саме:

• уповноваженим працівникам контролера та кур’єрам, які здійснюють доставку від імені контролера (пункт 4.9); усі вони зобов’язані зберігати конфіденційність;
• обробникам, зазначеним у пункті 13.2, які обробляють персональні дані для контролера на підставі договору про обробку персональних даних відповідно до ст. 28 GDPR;
• постачальникам послуг, які обробляють персональні дані частково як самостійні контролери, зокрема надавачу платіжних послуг та операторам push-служб браузерів;
• зовнішнім постачальникам бухгалтерських, податкових, юридичних та ІТ-послуг, які зобов’язані зберігати конфіденційність;
• органам публічної влади, зокрема судам, органам, що здійснюють кримінальне провадження, податковим органам і наглядовим органам, якщо це передбачено законодавством; щодо кур’єрів - також Чеському управлінню соціального забезпечення та медичним страховим компаніям в обсязі, якого вимагає законодавство про страхування.

13.2. Основними обробниками та іншими одержувачами є:

• Одержувач

  Supabase Pte. Ltd.

  Діяльність

  база даних, автентифікація користувачів, сховище файлів

  Осідок і місце обробки

  Сінгапур; дані зберігаються в ЄС (Франкфурт-на-Майні, Німеччина); технічну підтримку може надавати також компанія з групи Supabase у США

  Гарантії в разі передачі за межі ЄЕЗ

  стандартні договірні положення

• Одержувач

  Vercel Inc.

  Діяльність

  хостинг вебсайту, мережа доставки контенту (CDN), серверні функції

  Осідок і місце обробки

  США; серверні функції вебсайту працюють у регіоні Франкфурт-на-Майні

  Гарантії в разі передачі за межі ЄЕЗ

  EU–US Data Privacy Framework, стандартні договірні положення

• Одержувач

  постачальник послуги розсилання електронних листів щодо замовлень, облікового запису клієнта та договорів із кур’єрами, якщо він залучається (напр. Resend, Inc.)

  Діяльність

  доставка електронних листів, для кур’єрів - включно з кодом для підпису та примірником договору

  Осідок і місце обробки

  США

  Гарантії в разі передачі за межі ЄЕЗ

  EU–US Data Privacy Framework

• Одержувач

  Stripe Payments Europe, Limited, якщо онлайн-оплата пропонується на вебсайті

  Діяльність

  опрацювання онлайн-платежів

  Осідок і місце обробки

  Ірландія

  Гарантії в разі передачі за межі ЄЕЗ

  відповідно до політики компанії Stripe, зокрема EU–US Data Privacy Framework і стандартні договірні положення

• Одержувач

  оператори push-служб браузерів (напр. Google, Apple, Mozilla, Microsoft)

  Діяльність

  доставка зашифрованих сповіщень

  Осідок і місце обробки

  залежно від постачальника браузера

  Гарантії в разі передачі за межі ЄЕЗ

  відповідно до умов оператора

• Одержувач

  Hyperknot Software Kft. (сервіс OpenFreeMap), якщо відображається карта замовлення

  Діяльність

  картографічні дані для карти на сторінці статусу замовлення; під час відображення карти браузер підключається до серверів сервісу, які таким чином бачать IP-адресу, дані про браузер і відображену ділянку карти; відповідно до політики конфіденційності сервісу IP-адреса зберігається лише в журналах помилок (не довше ніж 7 днів) і під час розслідування інцидентів безпеки (не довше ніж 30 днів)

  Осідок і місце обробки

  Угорщина (ЄС); сервіс може використовувати мережу доставки контенту Cloudflare

  Гарантії в разі передачі за межі ЄЕЗ

  для мережі Cloudflare - EU–US Data Privacy Framework

13.3. Контролер не продає персональних даних і не передає їх третім особам для їхніх маркетингових цілей.

14.1. Деякі одержувачі мають осідок за межами Європейської економічної зони або можуть мати доступ до даних із країн поза її межами, зокрема зі США та Сінгапуру. Контролер передає персональні дані до третіх країн лише на умовах глави V GDPR, а саме:

• одержувачам у США, сертифікованим у межах EU–US Data Privacy Framework, на підставі Імплементаційного рішення Комісії (ЄС) 2023/1795 від 10 липня 2023 року про адекватний рівень захисту персональних даних (ст. 45 GDPR), дійсність якого підтвердив Загальний суд Європейського Союзу рішенням від 3 вересня 2025 року у справі T-553/23;
• в інших випадках - на підставі стандартних договірних положень, ухвалених Імплементаційним рішенням Комісії (ЄС) 2021/914 (ст. 46 ч. 2 п. c) GDPR), за потреби доповнених додатковими захисними заходами.

14.2. База даних вебсайту розміщена в центрі обробки даних у Німеччині. Копію гарантій, зазначених у пункті 14.1, або інформацію про те, де їх зроблено доступними, контролер надає на запит.

15.1. Контролер не здійснює автоматизованого ухвалення рішень, включно з профілюванням, яке мало б для суб’єктів даних юридичні наслідки або подібним чином істотно на них впливало (ст. 22 GDPR).

15.2. Розрахунок ціни замовлення за опублікованими цінами та умовами знижок, автоматичні відповіді в чаті й технічні заходи безпеки, наприклад тимчасове обмеження кількості запитів або одночасно відкритих замовлень, не є ухваленням рішень у значенні ст. 22 GDPR. Вони мають технічний і тимчасовий характер, і суб’єкт даних може вирішити питання щодо їхніх можливих наслідків із працівниками контролера.

16.1. Контролер запровадив технічні та організаційні заходи для захисту персональних даних, зокрема шифровану передачу даних (HTTPS), рольове керування доступом із мінімально необхідним рівнем повноважень і контролем повноважень на рівні бази даних, зберігання паролів лише у вигляді криптографічного відбитка, шифрування персонального номера, номера рахунку, адреси та договорів кур’єрів на рівні застосунку, окреме зберігання контактних даних із замовлень, журнали аудиту дій працівників та обробку платіжних даних виключно надавачем платіжних послуг.

16.2. Після спливу строку зберігання контролер видаляє або анонімізує персональні дані. У резервних копіях бази даних дані можуть залишатися протягом строку зберігання цих копій, як правило, не довше ніж 30 днів; резервні копії слугують виключно для відновлення даних.

16.3. У разі порушення безпеки персональних даних контролер діє відповідно до ст. 33 і 34 GDPR.

17.1. За умов, встановлених GDPR, суб’єкт даних має право:

• на доступ до персональних даних і на отримання їх копії (ст. 15 GDPR);
• на виправлення неточних і доповнення неповних персональних даних (ст. 16 GDPR);
• на видалення персональних даних, за винятком даних, обробка яких необхідна для виконання юридичного обов’язку або для встановлення, реалізації чи захисту правових вимог (ст. 17 GDPR);
• на обмеження обробки (ст. 18 GDPR);
• на перенесення даних, які обробляються автоматизовано на підставі договору або згоди (ст. 20 GDPR);
• заперечити проти обробки на підставі законного інтересу; проти обробки для цілей прямого маркетингу заперечення можна висловити будь-коли, і після цього контролер не обробляє дані для цієї мети (ст. 21 GDPR);
• будь-коли відкликати надану згоду, що не впливає на законність обробки до її відкликання (ст. 7 ч. 3 GDPR);
• не бути об’єктом рішення, що ґрунтується виключно на автоматизованій обробці (ст. 22 GDPR);
• подати скаргу до наглядового органу (ст. 77 GDPR).

17.2. Зареєстрований покупець може реалізувати низку прав безпосередньо в обліковому записі клієнта: дані профілю та збережені адреси він може виправити або видалити, згоду на надсилання комерційних повідомлень і дозвіл на сповіщення він може відкликати в налаштуваннях облікового запису, а в розділі «Конфіденційність і дані» він може завантажити копію своїх даних у форматі JSON або подати запит на видалення облікового запису.

18.1. Права можна реалізувати через контактні дані, зазначені в статті 1. Контролер має право перевірити особу заявника, зокрема вимагати, щоб запит було надіслано з адреси електронної пошти, зазначеної в обліковому записі клієнта або в замовленні, або щоб заявник зазначив номер замовлення та інші дані, відомі лише покупцю.

18.2. Контролер опрацьовує запит без зайвих зволікань, не пізніше ніж протягом одного місяця з моменту його отримання; з огляду на складність і кількість запитів він може продовжити цей строк ще на два місяці, про що повідомляє заявника із зазначенням причин. Реалізація прав є безоплатною; якщо запити є явно необґрунтованими або надмірними, зокрема через їх повторюваність, контролер може вимагати розумну плату або відмовити в задоволенні запитів (ст. 12 GDPR).

18.3. Суб’єкт даних має право подати скаргу до Управління з питань захисту персональних даних (Úřad pro ochranu osobních údajů) з осідком за адресою Pplk. Sochora 727/27, 170 00 Praha 7, електронна пошта: posta@uoou.gov.cz, скринька даних (datová schránka): qkbaa2n, вебсайт: https://uoou.gov.cz, або до наглядового органу держави - члена Європейського Союзу, у якій він має звичайне місце проживання або місце роботи чи в якій сталося ймовірне порушення.

19.1. Контролер має право оновлювати цю політику, зокрема в разі зміни способу обробки, одержувачів або правового регулювання. Актуальну редакцію оприлюднено на вебсайті із зазначенням дати набрання чинності. Про істотні зміни, що стосуються зареєстрованих покупців, контролер інформує їх в обліковому записі клієнта або електронною поштою до набрання цими змінами чинності.