Политика за поверителност

1. Обхват

Тази политика обхваща три части от услугата: изгледа за гости, който се отваря след сканиране на QR код на обект, бек офиса, използван от обектите, техния персонал и търговските партньори, както и публичния уебсайт kymiro.com, включително неговия банер за бисквитки.

2. Администратор и контакт

NT Investments UG (haftungsbeschränkt), Katzbachstraße 8, 40231 Düsseldorf, Германия. Управител: Nikolaos Charalampidis. Търговски регистър: Amtsgericht Düsseldorf, HRB 83079. ДДС номер съгласно § 27a UStG: DE321423608. Имейл: info@kymiro.com. По закон за нашата организация не се изисква длъжностно лице по защита на данните; моля, използвайте посочения по-горе имейл адрес за всички въпроси, свързани със защитата на данните.

3. Кой отговаря за кои данни

Ролите са разпределени и това има значение за Вашите права:

• Данните за гости, създадени в дигиталното меню на даден обект — избрани артикули, бележки към артикули, сесии на маси, екранни имена на гости, повиквания на сервитьор — се обработват от Kymiro стриктно от името на този обект. Обектът е администратор (чл. 4, т. 7 от GDPR), а Kymiro е обработващ (чл. 28 от GDPR) по силата на споразумение за обработка на данни, което е част от нашите общи условия.
• Данните за профили, договори, фактуриране и уебсайт на обекти, членове на персонала и търговски партньори се обработват от Kymiro в качеството му на самостоятелен администратор.
• Ние никога не продаваме лични данни, не ги използваме за рекламни профили и не се извършва автоматизирано вземане на решения с правни последици съгласно чл. 22 от GDPR.

4. Данни за гости: категории, цели, правни основания

Гостите използват менюто без профил и без регистрация. Ние обработваме само това, което е необходимо на обекта, за да обслужи заявката:

• Съдържание на заявката: избрани продукти, количества, опции, бележки към артикули, предварителни суми, сервизни заявки и повиквания на сервитьор. Цел: предаване на заявката към обекта. Правно основание: чл. 6, ал. 1, б. „б“ от GDPR (стъпки по искане на госта) и чл. 6, ал. 1, б. „е“ от GDPR (легитимен интерес на обекта да предоставя услугата си).
• Данни за сесията: обект, зона, код на място или маса, идентификатор на сесията, незадължително избрано от госта име, показвано на останалите гости на същата маса, и приложената към сесията информация за такси. Цел: поддържане на коректна споделена сесия за всяко място. Правно основание: чл. 6, ал. 1, б. „б“ и б. „е“ от GDPR.
• Настройки на устройството: предпочитания за език и изглед, идентификатор на количката. Цел: показване на менюто на правилния език и запазване на количката по време на посещението. Правно основание: § 25(2) TDDDG (строго необходими) във връзка с чл. 6, ал. 1, б. „е“ от GDPR.
• Технически лог данни: IP адрес, час на заявката, версия на браузъра и операционната система, доклади за грешки. Цел: зареждане на страницата, сигурност и отстраняване на неизправности. Правно основание: чл. 6, ал. 1, б. „е“ от GDPR.
• От гостите никога не се изисква да въвеждат име, телефонен номер, имейл адрес или платежна карта в Kymiro.

5. Данни за обекти, персонал и партньори

За всеки, който влиза в бек офиса, обработваме:

• Данни за профила: имейл адрес, име, хеш на паролата или идентификатор за вход чрез Google, роля, присвоени обекти и станции, статус на поканата. Правно основание: чл. 6, ал. 1, б. „б“ от GDPR (потребителско споразумение).
• Основни данни за обекта: търговско наименование, адрес, данни за контакт, работно време, брандиране, съдържание на менюто, тарифи и пакет. Правно основание: чл. 6, ал. 1, б. „б“ от GDPR.
• Оперативни записи: записи в одитния лог за чувствителни действия като жестове на добра воля/отстъпки, анулирани артикули, промени в пакета или ролята. Цел: проследимост и предотвратяване на злоупотреби. Правно основание: чл. 6, ал. 1, б. „е“ от GDPR.
• Данни за фактуриране на годишния абонамент. Правно основание: чл. 6, ал. 1, б. „б“ от GDPR и чл. 6, ал. 1, б. „в“ от GDPR във връзка със задълженията за търговско и данъчно съхранение.

6. Бисквитки и локално хранилище

Kymiro работи с малък набор от строго необходими записи в хранилището на браузъра и изисква съгласие, преди да бъде зададено каквото и да е друго. Строго необходимите записи — сесия за вход, количка и сесия на масата, език, изглед и самото Ваше решение за бисквитките — се съхраняват съгласно § 25(2) TDDDG без съгласие, тъй като услугата не може да работи без тях. Незадължителните категории (предпочитания, анализи, маркетинг) се активират само след като дадете съгласие съгласно § 25(1) TDDDG и чл. 6, ал. 1, б. „а“ от GDPR. Можете да промените или оттеглите решението си по всяко време чрез бутона по-долу или на страницата с политиката за бисквитки; оттеглянето не засяга обработването, извършено преди това. Менюто за гости не съдържа рекламни тракери.

7. AI функции

Обектите могат да превеждат текстовете на менюто автоматично, да импортират меню от снимка на печатно меню и да генерират или маркират изображения на продукти. За тези функции съдържанието на менюто на обекта — текст и качени снимки — се изпраща към нашия доставчик на AI чрез AI шлюз (gateway). Никакви данни от заявки на гости не се използват за AI функции и никакви данни от тези функции не се използват за обучение на модели на трети страни по наше указание. Изображенията, създадени с AI, са обозначени като такива в менюто за гости.

8. Получатели и обработващи данни

Предоставяме данни само на доставчици на услуги, които са договорно обвързани съгласно чл. 28 от GDPR:

• Хостинг, база данни, съхранение на файлове и автентикация (Lovable Cloud, изграден върху инфраструктурата на Supabase) — съхранява данни за обекти, менюта, сесии и профили.
• Доставчик на AI шлюз (gateway) за превод на меню, импортиране на меню от снимки и генериране на изображения на продукти.
• Доставчик за доставка на имейли за вход, пароли и покани за персонал.
• Stripe Payments Europe за абонамента на обекта — това е подготвено, но все още не е активно; ще обработва само данни за фактуриране на обекти, никога плащания от гости.
• Обектът, към когото изпращате заявка, получава тази заявка. Извън това данните се разкриват пред публични органи само когато сме законово задължени да го направим.

9. Предаване на данни извън ЕС/ЕИП

Нашата инфраструктура се оперира в Европейския съюз, където е възможно. Някои доставчици на AI и инфраструктура могат да обработват данни в трети държави, по-специално Съединените щати. Такова предаване е защитено чрез решение относно адекватното ниво на защита на Европейската комисия или чрез стандартните договорни клаузи на ЕС съгласно чл. 46, ал. 2, б. „в“ от GDPR заедно с допълнителни технически и организационни мерки. Можете да поискате копие от гаранциите на info@kymiro.com.

10. Срокове за съхранение

Съхраняваме данните не по-дълго от необходимото:

• Сесии на маси и техните заявки: изтриват се автоматично 30 дни след затваряне на сесията; обектите могат да ги изтрият по-рано по всяко време. Само анонимни дневни обобщения се пазят до 90 дни за собствената статистика на обекта.
• Запитвания за поддръжка: изтриват се 24 месеца след изпращането. Записи в одитния лог на бек офиса: изтриват се 12 месеца след действието.
• Данни за профили и договори: за срока на споразумението, след което се изтриват, освен ако не се прилагат задължения за съхранение.
• Фактури и счетоводна документация: 10 години съгласно § 147 AO и § 257 HGB; търговска кореспонденция — 6 години.
• Доказателство за съгласие за бисквитки: за срока на цикъла на съгласие плюс периода, необходим за неговото доказване.
• Технически лог данни: обикновено се изтриват или анонимизират след кратък период, освен ако не са необходими за разследване на сигурността.
• След изтриване на профил: запазваме само псевдонимизирано доказателство — приемане на споразуменията и счетоводни записи за 10 години, записа за самото изтриване за 3 години. Той не съдържа име, имейл адрес или телефонен номер.
• Правно задържане: докато даден казус е висящ (неплатена фактура, спор, искане от орган), изтриването се спира, данните се ограничават и се премахват веднага след приключване на казуса.

11. Вашите права

Съгласно GDPR имате право на достъп (чл. 15), коригиране (чл. 16), изтриване (чл. 17), ограничаване (чл. 18), преносимост на данните (чл. 20), възражение срещу обработване въз основа на легитимни интереси (чл. 21) и оттегляне на съгласието по всяко време (чл. 7, ал. 3). Гостите следва да отправят искания относно своите поръчки към обекта, който е администратор на тези данни; ако вместо това се свържете с нас, ние препращаме Вашето искане към обекта без неоправдано забавяне и му съдействаме за отговора. За данни за профили и договори се свържете директно на info@kymiro.com.

12. Право на подаване на жалба

Можете да подадете жалба до надзорен орган, по-специално в държавата членка по Вашето обичайно местопребиваване или мястото на предполагаемото нарушение:

• Гърция: Hellenic Data Protection Authority (HDPA), Kifissias 1-3, 115 23 Athens, www.dpa.gr
• Германия: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2-4, 40213 Düsseldorf, www.ldi.nrw.de

13. Сигурност

Данните се предават чрез криптирани TLS връзки. Достъпът е защитен чрез автентикация, права на достъп според ролята и правила за сигурност на ниво ред (row-level security) в базата данни, така че персоналът на даден обект има достъп само до данните на този обект. Чувствителните действия се записват в одитен лог. Преглеждаме редовно тези мерки; въпреки това никоя онлайн услуга не може да гарантира абсолютна сигурност.

14. Деца

Услугата е насочена към бизнеса в сферата на хотелиерството и ресторантьорството и неговите пълнолетни гости. Тя не е предназначена за деца под 16 години и ние не обработваме съзнателно техни данни извън обичайна заявка, направена от маса.

15. Промени в тази политика

Актуализираме тази политика, когато услугата или правната рамка се променят. Винаги се прилага актуалната версия с датата, посочена в горната част на тази страница.