Pravila privatnosti

1. Opseg

Ova politika pokriva tri dijela usluge: prikaz za gosta koji se otvara nakon skeniranja QR koda objekta, pozadinsko sučelje (back office) koje koriste objekti, njihovo osoblje i prodajni partneri, te javnu web stranicu kymiro.com uključujući njezin natpis o kolačićima.

2. Voditelj obrade i kontakt

NT Investments UG (haftungsbeschränkt), Katzbachstraße 8, 40231 Düsseldorf, Njemačka. Direktor: Nikolaos Charalampidis. Trgovački registar: Amtsgericht Düsseldorf, HRB 83079. PDV ID sukladno § 27a UStG: DE321423608. E-mail: info@kymiro.com. Prema zakonu, za našu organizaciju nije potreban službenik za zaštitu podataka; molimo Vas da koristite gore navedenu e-mail adresu za sva pitanja o zaštiti podataka.

3. Tko je odgovoran za koje podatke

Uloge su podijeljene, što je važno za Vaša prava:

• Podatke o gostima stvorene unutar digitalnog jelovnika objekta — odabiri, napomene o stavkama, sesije za stolom, prikazana imena gostiju, pozivi konobara — Kymiro obrađuje isključivo u ime tog objekta. Objekt je voditelj obrade (Art. 4(7) GDPR), a Kymiro je izvršitelj obrade (Art. 28 GDPR) prema ugovoru o obradi podataka koji čini dio naših uvjeta.
• Podatke o računu, ugovoru, naplati i web stranici za objekte, članove osoblja i prodajne partnere Kymiro obrađuje kao samostalni voditelj obrade.
• Nikada ne prodajemo osobne podatke, ne koristimo ih za profile oglašavanja i ne provodi se nikakvo automatizirano donošenje odluka s pravnim učinkom prema Art. 22 GDPR.

4. Podaci o gostima: kategorije, svrhe, pravne osnove

Gosti koriste jelovnik bez računa i bez registracije. Obrađujemo samo ono što je objektu potrebno za ispunjenje zahtjeva:

• Sadržaj zahtjeva: odabrani proizvodi, količine, opcije, napomene o stavkama, preliminarni iznosi, zahtjevi za uslugu i pozivi konobara. Svrha: prijenos zahtjeva objektu. Pravna osnova: Art. 6(1)(b) GDPR (mjere na zahtjev gosta) i Art. 6(1)(f) GDPR (legitimni interes objekta u vođenju svoje usluge).
• Podaci o sesiji: objekt, područje, mjesto ili kod stola, identifikator sesije, izborno samostalno odabrano ime gosta koje se prikazuje drugim gostima za istim stolom i prikaz naknada primijenjen na sesiju. Svrha: održavanje jedne ispravne zajedničke sesije po mjestu. Pravna osnova: Art. 6(1)(b) i (f) GDPR.
• Postavke uređaja: jezik i postavke prikaza, identifikator košarice. Svrha: prikazivanje jelovnika na ispravnom jeziku i zadržavanje košarice tijekom posjeta. Pravna osnova: § 25(2) TDDDG (strogo potrebno) zajedno s Art. 6(1)(f) GDPR.
• Tehnički podaci zapisnika: IP adresa, vrijeme zahtjeva, verzija preglednika i operativnog sustava, izvješća o pogreškama. Svrha: isporuka stranice, sigurnost i rješavanje problema. Pravna osnova: Art. 6(1)(f) GDPR.
• Gosti u Kymiro sustavu nikada ne moraju unositi ime, telefonski broj, e-mail adresu ili platnu karticu.

5. Podaci o objektu, osoblju i partnerima

Za sve koji se prijave u pozadinsko sučelje obrađujemo:

• Podaci o računu: e-mail adresa, ime, hash lozinke ili Google identifikator prijave, uloga, dodijeljeni objekti i postaje, status pozivnice. Pravna osnova: Art. 6(1)(b) GDPR (korisnički ugovor).
• Matični podaci objekta: naziv tvrtke, adresa, kontakt podaci, radno vrijeme, brendiranje, sadržaj jelovnika, tarife i paket. Pravna osnova: Art. 6(1)(b) GDPR.
• Operativni zapisi: unosi u zapisnik revizije za osjetljive radnje kao što su popusti, stornirane stavke, promjene paketa ili uloga. Svrha: sljedivost i sprječavanje zlouporabe. Pravna osnova: Art. 6(1)(f) GDPR.
• Podaci o naplati za godišnju pretplatu. Pravna osnova: Art. 6(1)(b) GDPR i Art. 6(1)(c) GDPR u vezi s obvezama čuvanja komercijalne i porezne dokumentacije.

6. Kolačići i lokalna pohrana

Kymiro radi s malim skupom strogo potrebnih unosa u pohranu preglednika i traži privolu prije nego što se postavi bilo što drugo. Strogo potrebni unosi — sesija prijave, košarica i sesija za stolom, jezik, izgled i sama Vaša odluka o kolačićima — pohranjuju se prema § 25(2) TDDDG bez privole jer usluga bez njih ne može funkcionirati. Izborne kategorije (postavke, analitika, marketing) aktiviraju se tek nakon što date privolu prema § 25(1) TDDDG i Art. 6(1)(a) GDPR. Svoju odluku možete promijeniti ili povući u bilo kojem trenutku pomoću gumba ispod ili na stranici politike kolačića; povlačenje ne utječe na obradu koja se dogodila prije toga. Jelovnik za goste ne sadrži pratioce za oglašavanje.

7. AI značajke

Objekti mogu automatski prevesti tekstove jelovnika, uvesti jelovnik s fotografije tiskanog cjenika te generirati ili označiti slike proizvoda. Za ove značajke sadržaj jelovnika objekta — tekst i učitane slike — šalje se našem pružatelju AI usluga putem AI pristupnika. Nikakvi podaci o zahtjevima gostiju ne koriste se za AI značajke i nikakvi podaci iz ovih značajki ne koriste se za treniranje modela trećih strana prema našim uputama. Slike koje je izradila umjetna inteligencija označene su kao takve u jelovniku za goste.

8. Primatelji i izvršitelji obrade

Podatke prosljeđujemo samo pružateljima usluga koji su ugovorno obvezani prema Art. 28 GDPR:

• Hosting, baza podataka, pohrana datoteka i autentifikacija (Lovable Cloud, izgrađen na Supabase infrastrukturi) — pohranjuje podatke o objektu, jelovniku, sesiji i računu.
• Pružatelj AI pristupnika za prijevod jelovnika, uvoz jelovnika s fotografija i generiranje slika proizvoda.
• Pružatelj usluge dostave e-pošte za prijavu, lozinku i e-mailove s pozivnicama za osoblje.
• Stripe Payments Europe za pretplatu objekta — ovo je pripremljeno, ali još nije aktivno; obrađivat će samo podatke o naplati objekta, nikada plaćanja gostiju.
• Objekt kojem pošaljete zahtjev prima taj zahtjev. Osim toga, podaci se otkrivaju javnim tijelima samo tamo gdje smo na to zakonski obvezni.

9. Prijenosi izvan EU/EGP-a

Naša infrastruktura radi u Europskoj uniji gdje god je to moguće. Neki pružatelji AI usluga i infrastrukture mogu obrađivati podatke u trećim zemljama, posebno u Sjedinjenim Američkim Državama. Takvi prijenosi osigurani su odlukom o primjerenosti Europske komisije ili Standardnim ugovornim klauzulama EU-a sukladno Art. 46(2)(c) GDPR zajedno s dodatnim tehničkim i organizacijskim mjerama. Kopiju zaštitnih mjera možete zatražiti na info@kymiro.com.

10. Razdoblja čuvanja

Podatke čuvamo ne duže nego što je potrebno:

• Sesije za stolom i njihovi zahtjevi: automatski se brišu 30 dana nakon zatvaranja sesije; objekti ih mogu obrisati ranije u bilo kojem trenutku. Samo anonimni dnevni ukupni iznosi čuvaju se do 90 dana za vlastitu statistiku objekta.
• Zahtjevi za podršku: brišu se 24 mjeseca nakon podnošenja. Unosi u zapisnik revizije pozadinskog sučelja: brišu se 12 mjeseci nakon radnje.
• Podaci o računu i ugovoru: za vrijeme trajanja ugovora, a zatim se brišu osim ako se ne primjenjuju obveze čuvanja.
• Računi i računovodstvena evidencija: 10 godina prema § 147 AO i § 257 HGB; poslovna korespondencija 6 godina.
• Dokaz o privoli za kolačiće: za vrijeme trajanja ciklusa privole plus razdoblje potrebno za njezino dokazivanje.
• Tehnički podaci zapisnika: obično se brišu ili anonimiziraju nakon kratkog razdoblja, osim ako su potrebni za sigurnosnu istragu.
• Nakon brisanja računa: čuvamo samo pseudonimizirani dokaz — prihvaćanje ugovora i računovodstvenu evidenciju tijekom 10 godina, a sam zapis o brisanju tijekom 3 godine. Ne sadrži ime, e-mail adresu niti telefonski broj.
• Pravno zadržavanje: dok je predmet u tijeku (otvoreni račun, spor, zahtjev nadležnog tijela) brisanje se obustavlja, podaci se ograničavaju i uklanjaju čim se predmet završi.

11. Vaša prava

Prema GDPR-u imate pravo na pristup (Art. 15), ispravak (Art. 16), brisanje (Art. 17), ograničenje obrade (Art. 18), prenosivost podataka (Art. 20), prigovor na obradu temeljenu na legitimnim interesima (Art. 21) i povlačenje privole u bilo kojem trenutku (Art. 7(3)). Gosti bi trebali uputiti zahtjeve o svojim narudžbama objektu, koji je voditelj obrade tih podataka; ako umjesto toga kontaktirate nas, proslijedit ćemo Vaš zahtjev objektu bez nepotrebnog odgađanja i podržati ih u odgovoru. Za podatke o računu i ugovoru, kontaktirajte izravno info@kymiro.com.

12. Pravo na podnošenje pritužbe

Pritužbu možete podnijeti nadzornom tijelu, posebno u državi članici Vašeg prebivališta ili mjesta navodnog kršenja:

• Grčka: Hellenic Data Protection Authority (HDPA), Kifissias 1-3, 115 23 Atena, www.dpa.gr
• Njemačka: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2-4, 40213 Düsseldorf, www.ldi.nrw.de

13. Sigurnost

Podaci se prenose putem kriptiranih TLS veza. Pristup je zaštićen autentifikacijom, dozvolama temeljenim na ulogama i pravilima sigurnosti na razini retka u bazi podataka, tako da osoblje objekta može pristupiti samo podacima tog objekta. Osjetljive radnje upisuju se u zapisnik revizije. Redovito pregledavamo te mjere; međutim, nijedna online usluga ne može jamčiti apsolutnu sigurnost.

14. Djeca

Usluga je usmjerena na ugostiteljske objekte i njihove odrasle goste. Nije namijenjena djeci mlađoj od 16 godina i svjesno ne obrađujemo njihove podatke izvan uobičajenog zahtjeva poslanog za stolom.

15. Izmjene ove politike

Ovu politiku ažuriramo kada se usluga ili pravna situacija promijene. Uvijek se primjenjuje trenutna verzija, s datumom prikazanim na vrhu ove stranice.