Politika zasebnosti

1. Upravljavec in kontakt

Upravljavec vaših osebnih podatkov je KN MEDIA d.o.o., Meškova ulica 21, 2380 Slovenj Gradec, Slovenija, matična številka 8522286000, ID za DDV SI64914852, vpisana v Poslovni register Slovenije.

Za vsa vprašanja o zasebnosti in uveljavljanje pravic nam pišite na privacy@hereeats.com. Pooblaščene osebe za varstvo podatkov (DPO) nismo imenovali, ker naša dejavnost po členu 37 GDPR tega ne zahteva; zgornji naslov je edini kontakt, ki ga potrebujete.

2. Katere podatke obdelujemo

• Račun: ime in priimek, e-poštni naslov, telefonska številka, geslo (shranjeno le kot kriptografski izvleček, nikoli v čitljivi obliki), izbrani jezik aplikacije.
• Preverjanje: enkratne kode in žetoni za potrditev e-pošte in telefona ter za ponastavitev gesla.
• Naslovi: naslovi za dostavo, ki jih shranite, z opombo za dostavljavca (nadstropje, zvonec) in koordinatami, da restavracija preveri območje dostave.
• Naročila: naročene jedi z izbranimi možnostmi in cenami, opomba k naročilu, naslov dostave, način in stanje plačila, zgodovina stanj naročila s časi.
• Ocene in reklamacije: ocene in komentarji, ki jih oddate po zaključenem naročilu, ter vsebina morebitne reklamacije in njena rešitev.
• Podpora: sporočila, ki si jih izmenjate z našo podporo v aplikaciji, in interne opombe naše ekipe ob pogovoru (te vam niso prikazane).
• Obvestila: potisna obvestila in obvestila v aplikaciji, ki smo vam jih poslali, ter žeton naprave za potisna obvestila, če jih vklopite.
• Evidenca privolitev: kaj ste sprejeli ali zavrnili (pogoji, politika zasebnosti, trženje), različica dokumenta, iz katere aplikacije, IP-naslov, podatki o brskalniku oziroma napravi in čas.
• Tehnični podatki: strežniški dnevniki z IP-naslovom in časom zahtevka, ki jih hranimo zaradi varnosti in odpravljanja napak.

Lokacijo naprave uporabimo le, če jo dovolite, in samo v trenutku iskanja restavracij v bližini; ne shranjujemo je na strežniku. Vedno lahko namesto tega vpišete naslov.

Podatkov o plačilnih karticah ne vidimo in ne hranimo. Kartična plačila v celoti obdela Stripe; k nam pride samo potrdilo o stanju plačila in identifikator transakcije.

3. Zakaj in na kateri pravni podlagi

• Izvajanje pogodbe (člen 6(1)(b) GDPR): ustvarjanje in vodenje računa, prikaz restavracij, posredovanje naročila restavraciji, obveščanje o stanju naročila, obdelava plačil, podpora uporabnikom in reševanje reklamacij. Telefonsko številko preverjamo zato, da vas restavracija ali dostavljavec lahko pokliče, če pri naročilu kaj ne gre.
• Zakonska obveznost (člen 6(1)(c)): hramba računovodskih in davčnih evidenc o naročilih in plačilih po slovenskih predpisih, odgovarjanje na zahteve pristojnih organov.
• Zakoniti interes (člen 6(1)(f)): preprečevanje zlorab in goljufij, varnost sistema (strežniški dnevniki, omejevanje zahtevkov), servisna sporočila o vašem računu ali naročilu, izboljševanje storitve na podlagi zbirnih, neosebnih statistik. Vedno tehtamo naš interes proti vašim pravicam; temu lahko ugovarjate (glejte 8. točko).
• Privolitev (člen 6(1)(a)): trženjska sporočila po e-pošti ali s potisnimi obvestili. Privolitev je prostovoljna, ni pogoj za uporabo storitve in jo lahko kadar koli prekličete v profilu.

Ne izvajamo profiliranja in ne sprejemamo odločitev, ki bi temeljile izključno na avtomatizirani obdelavi in bi imele za vas pravne ali podobno pomembne učinke.

4. Komu posredujemo podatke

Restavracija, pri kateri naročite, prejme vaše ime, telefonsko številko, vsebino naročila, opombo in naslov za dostavo, ker brez tega naročila ne more pripraviti in dostaviti. Restavracije so samostojni upravljavci teh podatkov za lastno poslovanje (izdaja računov, računovodstvo) in so po naših pogojih zavezane, da jih uporabijo izključno za izvedbo vašega naročila.

Obdelovalci, ki delajo v našem imenu in po naših navodilih, prejmejo le tisto, kar potrebujejo za svojo nalogo: - netcup GmbH (Nemčija, EU): gostovanje strežnikov in baze podatkov. - Stripe Payments Europe Ltd. (Irska; Stripe Inc., ZDA): kartična plačila in izplačila restavracijam prek Stripe Connect. - Twilio (Irska; Twilio Inc., ZDA): pošiljanje SMS-kod za preverjanje telefona. - Resend (ZDA): pošiljanje transakcijskih e-poštnih sporočil (potrditve, ponastavitev gesla, obvestila). - BunnyWay d.o.o. (Slovenija, EU): shranjevanje in dostava slik prek omrežja CDN. - Expo (ZDA) ter Apple in Google: dostava potisnih obvestil na vašo napravo.

Osebnih podatkov ne prodajamo in jih ne posredujemo tretjim za njihovo lastno oglaševanje. Organom pregona ali sodiščem jih razkrijemo samo, kadar to od nas zahteva zakon.

5. Prenos podatkov izven EU

Naši strežniki so v Evropski uniji. Nekateri obdelovalci (Stripe, Twilio, Resend, Expo, Apple, Google) lahko podatke obdelujejo tudi v ZDA. Prenosi potekajo na podlagi sklepa Evropske komisije o ustreznosti za okvir EU-ZDA za zasebnost podatkov (Data Privacy Framework) oziroma na podlagi standardnih pogodbenih klavzul EU, kadar obdelovalec ni certificiran. Kopijo zaščitnih ukrepov lahko zahtevate na privacy@hereeats.com.

6. Kako dolgo hranimo podatke

• Podatki o računu: dokler imate račun. Ob izbrisu jih takoj izbrišemo oziroma anonimiziramo.
• Naročila: zgodovina naročil je vidna v vašem računu, dokler ta obstaja. Po izbrisu računa ostanejo naročila anonimizirana (brez naslova, koordinat, opomb in povezave na vas) kot računovodski dokument restavracije in naš dokument o proviziji, in sicer 10 let od konca poslovnega leta, kot zahteva slovenska davčna zakonodaja.
• Pogovori s podporo in reklamacije: dokler imate račun; ob izbrisu se izbrišejo.
• Ocene: ostanejo objavljene, po izbrisu računa brez vašega imena.
• Evidenca privolitev: dokler imate račun, kot dokaz, da je bila privolitev dana (člen 7(1) GDPR).
• Kode za preverjanje in žetoni za ponastavitev: največ 48 ur oziroma do uporabe.
• Strežniški dnevniki: do 30 dni.
• Podatki o plačilih pri Stripu: po pravilih Stripa in zakonski dobi hrambe za finančne transakcije.

7. Piškotki in lokalna shramba

Uporabljamo samo nujno potrebne tehnologije: piškotek z izbranim jezikom in lokalno shrambo brskalnika za prijavo, košarico in izbrano lokacijo. Oglaševalskih piškotkov, sledilnikov in analitike tretjih oseb ne uporabljamo, zato tudi ne potrebujemo pasice za privolitev v piškotke. Če bomo kdaj uvedli lastno, brezpiškotkovno statistiko obiska, bomo to tukaj navedli.

8. Vaše pravice

Po GDPR imate pravico do dostopa, popravka, izbrisa, omejitve obdelave, prenosljivosti podatkov in ugovora, pa tudi pravico, da privolitev kadar koli prekličete brez posledic za zakonitost obdelave pred preklicem.

• Dostop in prenosljivost: v profilu izberite »Prenesi svoje podatke« in dobili boste vse svoje podatke v strojno berljivi obliki JSON.
• Popravek: ime, telefon, naslove in jezik uredite neposredno v profilu.
• Izbris: v profilu izberite »Izbriši račun« in potrdite z geslom. Kako to poteka in kaj se s podatki zgodi, je opisano na strani Izbris računa.
• Preklic privolitve za trženje: stikalo v profilu pod »Zasebnost in podatki«.
• Ugovor in omejitev obdelave: pišite na privacy@hereeats.com.

Zahteve, ki jih ne morete urediti sami v aplikaciji, rešimo najpozneje v 30 dneh; če je zahteva zapletena, vas obvestimo o podaljšanju. Pred izvedbo lahko preverimo vašo identiteto.

Če menite, da vaše podatke obdelujemo nezakonito, se lahko pritožite pri nadzornem organu: Informacijski pooblaščenec Republike Slovenije, Dunajska cesta 22, 1000 Ljubljana, gp.ip@ip-rs.si, www.ip-rs.si. Če prebivate v drugi državi EU, se lahko obrnete tudi na nadzorni organ v svoji državi.

9. Varnost

Podatke prenašamo izključno prek šifriranih povezav (HTTPS). Gesla hranimo kot izvlečke z algoritmom Argon2, dostop do produkcijskih sistemov je omejen na pooblaščene osebe, vsa dejanja zaposlenih na podatkih strank v administrativnem panelu (spremembe, vračila, izbrisi) pa se beležijo z imenom in časom. Kljub temu noben sistem ni popolnoma varen; če izvemo za kršitev, ki ogroža vaše pravice, vas in nadzorni organ obvestimo v rokih, ki jih določa GDPR.

10. Otroci

HereEats ni namenjen otrokom. Račun lahko ustvarite, če ste stari vsaj 15 let (v Sloveniji po ZVOP-2) oziroma 16 let, kjer to zahteva zakonodaja vaše države. Če izvemo, da smo brez ustrezne privolitve zbrali podatke mlajše osebe, jih izbrišemo.

11. Spremembe te politike

Politiko posodobimo, kadar se spremenijo naše storitve ali predpisi. Pomembne spremembe napovemo v aplikaciji ali po e-pošti, preden začnejo veljati. Zgoraj je vedno navedena veljavna različica in datum.