Wersja angielska tego dokumentu jest wersją autorytatywną. Niniejsze tłumaczenie ma charakter pomocniczy.

Polityka Prywatności FaveCard

Kogo dotyczy niniejsza polityka

Niniejsza Polityka Prywatności wyjaśnia, w jaki sposób FaveCard postępuje z danymi osobowymi. W zależności od sposobu interakcji z nami, zastosowanie mają różne części tej polityki:

• Część A informuje, kim jesteśmy i jak się z nami skontaktować. Dotyczy ona wszystkich.
• Część B ma zastosowanie, jeśli jesteś Klientem Biznesowym FaveCard, na przykład właścicielem kawiarni, menedżerem siłowni lub pracownikiem firmy, która zarejestrowała się w celu korzystania z platformy FaveCard.
• Część C ma zastosowanie, jeśli jesteś Klientem Końcowym (posiadaczem karty), czyli osobą, która otrzymała kartę lojalnościową FaveCard od firmy ("Wystawcy") i której dane przetwarzamy w imieniu tego Wystawcy.
• Część D ma zastosowanie, jeśli jesteś osobą odwiedzającą stronę internetową, przeglądającą strony FaveCard bez zakładania konta.
• Część E opisuje prawa podmiotów danych i sposób ich egzekwowania. Dotyczy ona wszystkich.
• Część F określa transfery międzynarodowe, retencję, bezpieczeństwo oraz ujawnienia specyficzne dla poszczególnych jurysdykcji. Dotyczy ona wszystkich.

Jeśli nie jesteś pewien, która część Cię dotyczy, skontaktuj się z nami pod adresem privacy@favecard.co, a my pomożemy.

Część A, O FaveCard

A.1 Kim jesteśmy

Administratorem (lub, w niektórych przypadkach, podmiotem przetwarzającym) danych osobowych opisanych w niniejszej polityce jest:

Qualityc Łukasz Fryc Kasinka Mała 472, 34-734 Kasinka Mała, Polska NIP: 7372138804 EU VAT: PL7372138804 Email: privacy@favecard.co

Prowadzimy usługę FaveCard, platformę typu oprogramowanie jako usługa (SaaS), która pozwala firmom projektować, dystrybuować i zarządzać cyfrowymi kartami lojalnościowymi dostarczanymi za pośrednictwem Apple Wallet, Google Wallet i porównywalnych platform portfeli cyfrowych.

W całej tej polityce "my", "nas" i "nasz" odnoszą się do powyższego podmiotu. "Ty" zależy od części, którą czytasz, zobacz wprowadzenie.

A.2 Inspektor Ochrony Danych

Nie wyznaczyliśmy formalnie Inspektora Ochrony Danych na podstawie art. 37 RODO, ponieważ progi, które by nas do tego zobowiązywały, nie mają obecnie zastosowania do naszej działalności (nie prowadzimy regularnego i systematycznego monitorowania osób na dużą skalę, nie przetwarzamy szczególnych kategorii danych na dużą skalę i nie jesteśmy organem publicznym). Wszelkie zapytania dotyczące prywatności należy kierować do punktu kontaktowego: privacy@favecard.co.

A.3 Zakres i powiązanie z innymi dokumentami

Niniejsza Polityka Prywatności stanowi uzupełnienie naszych Warunków Świadczenia Usług (favecard.co/legal/terms), Umowy Powierzenia Przetwarzania Danych (favecard.co/legal/dpa) oraz Listy Podpodmiotów Przetwarzających (favecard.co/legal/subprocessors). O ile niniejsza polityka opisuje ogólne stanowisko FaveCard w zakresie ochrony danych, o tyle Umowa Powierzenia Przetwarzania Danych reguluje szczegóły naszej roli jako podmiotu przetwarzającego dane Klientów Końcowych w imieniu Wystawców.

W przypadku sprzeczności między niniejszą polityką a Umową Powierzenia Przetwarzania Danych w kwestii przetwarzania danych Klientów Końcowych, pierwszeństwo ma Umowa Powierzenia Przetwarzania Danych.

Część B, Dla Klientów Biznesowych (Wystawców)

Ta część opisuje dane osobowe, które zbieramy bezpośrednio od Państwa jako Klienta Biznesowego FaveCard, gdy tworzą Państwo konto, logują się, subskrybują plan, kontaktują się z działem wsparcia lub w inny sposób wchodzą z nami w interakcję jako sprzedawca na platformie.

B.1 Jakie dane zbieramy od Wystawców

Zbieramy następujące kategorie danych osobowych o Państwie jako Kliencie Biznesowym:

Nie zbieramy żadnych "szczególnych kategorii" danych osobowych o Państwie w rozumieniu art. 9 RODO (zdrowie, dane biometryczne, religia, poglądy polityczne itp.) i prosimy o nieprzekazywanie takich danych za pośrednictwem platformy.

B.2 Numery kart płatniczych

Pełne numery kart płatniczych (PAN), kody CVV i daty ważności są obsługiwane przez naszego procesora płatności Stripe. Nigdy ich nie widzimy, nie przechowujemy ani nie mamy do nich dostępu. Stripe zwraca nam jedynie identyfikator metody płatności (token), który przechowujemy w celu powiązania metody płatności z Państwa kontem dla opłat cyklicznych.

B.3 Dlaczego przetwarzamy Państwa dane (cele i podstawy prawne)

Gdy powołujemy się na prawnie uzasadnione interesy, przeprowadziliśmy test równowagi i stwierdziliśmy, że nasze interesy (prowadzenie i ulepszanie Usługi, zapobieganie oszustwom, docieranie do obecnych klientów z istotnymi aktualizacjami) nie są nadrzędne wobec Państwa praw i interesów. Mogą Państwo poprosić nas o szczegóły każdego konkretnego testu równowagi pod adresem privacy@favecard.co, a także mają Państwo prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionych interesach (zobacz Część E).

Gdy opieramy się na zgodzie, mogą ją Państwo wycofać w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, które miało miejsce przed wycofaniem. Mogą Państwo wycofać zgodę marketingową, klikając link rezygnacji z subskrypcji w dowolnej wiadomości marketingowej lub wysyłając do nas e-mail.

B.4 Kto otrzymuje Państwa dane

Udostępniamy Państwa dane następującym kategoriom odbiorców, z których każdy jest związany odpowiednimi zobowiązaniami do zachowania poufności i ochrony danych:

• Podpodmioty przetwarzające, pełna i aktualna lista znajduje się na favecard.co/legal/subprocessors. Kategorie obejmują: infrastrukturę chmurową (Google Cloud), dostarczanie poczty e-mail (Resend, Loops), płatności (Stripe), monitorowanie błędów (Sentry), analitykę produktu (PostHog), ochronę formularzy rejestracji przed botami (Cloudflare), zaproszenia do wystawienia opinii (Trustpilot), automatyzację marketingu i narzędzia do obsługi klienta.
• Trustpilot (Trustpilot A/S, Dania), po zakupie płatnego planu e-mail z podziękowaniem od naszego założyciela trafia także, jako ukryta kopia (BCC), na adres zaproszeń Trustpilot, aby Trustpilot mógł zaprosić Państwa do wystawienia opinii o FaveCard. Trustpilot otrzymuje ten e-mail, a z nim Państwa adres e-mail, imię (jeśli je mamy), nazwę firmy i język e-maila. Wykorzystuje je w naszym imieniu, na podstawie swojej umowy powierzenia przetwarzania danych (Data Processing Agreement, wersja 8.0), aby wysłać Państwu zaproszenie. Trustpilot deklaruje, że przekazuje dane poza EOG i Wielką Brytanię tylko z zabezpieczeniami, których wymagają przepisy o ochronie danych. Jeśli wystawią Państwo opinię, Trustpilot przetwarza ją i Państwa konto w Trustpilot na podstawie własnej polityki prywatności.
• Profesjonalni doradcy, księgowi, audytorzy i prawnicy, związani tajemnicą zawodową.
• Organy publiczne, gdy jest to wymagane przez prawo, nakaz sądowy lub uzasadnione żądanie rządowe.
• Następcy prawni, w związku z fuzją, przejęciem, reorganizacją lub zmianą formy prawnej (taką jak przekształcenie jednoosobowej działalności gospodarczej FaveCard w spółkę z ograniczoną odpowiedzialnością), w którym to przypadku przekażemy dane następcy wraz z obowiązkiem honorowania niniejszej polityki.

Nie sprzedajemy Państwa danych osobowych stronom trzecim. Nie udostępniamy Państwa danych sieciom reklamowym ani brokerom danych.

B.5 Zautomatyzowane podejmowanie decyzji i profilowanie

Nie używamy Państwa danych do podejmowania zautomatyzowanych decyzji, które wywołują wobec Państwa skutki prawne lub w podobny sposób istotnie na Państwa wpływają (art. 22 RODO). Personalizacja panelu i rekomendacje funkcji, o ile istnieją, nie są "zautomatyzowanymi decyzjami" w tym znaczeniu.

Część C, Dla Klientów Końcowych (posiadaczy kart)

Ta część jest dla Ciebie, jeśli firma wystawiła Ci kartę lojalnościową FaveCard, na przykład kawiarnia przekazała Ci kartę pieczątkową, którą dodałeś do swojego Apple Wallet lub Google Wallet. Wersja skrócona: firma, która wystawiła Twoją kartę ("Wystawca"), jest prawnie administratorem danych, ale FaveCard obsługuje większość codziennych operacji związanych z prywatnością w imieniu Wystawcy. Oznacza to w praktyce, że możesz skontaktować się z nami bezpośrednio pod adresem privacy@favecard.co i otrzymać merytoryczną odpowiedź.

C.1 Kto jest administratorem danych?

Wystawca (firma, której logo widnieje na Twojej karcie) jest administratorem danych osobowych gromadzonych w związku z Twoją kartą lojalnościową. To on podjął decyzję o gromadzeniu Twoich danych, decyduje o sposobie ich wykorzystania i ponosi prawną odpowiedzialność za przestrzeganie przepisów o ochronie danych.

FaveCard jest podmiotem przetwarzającym. Przechowujemy, przesyłamy i przetwarzamy Twoje dane w imieniu Wystawcy i zgodnie z jego instrukcjami, na podstawie Umowy Powierzenia Przetwarzania Danych.

Mając na uwadze fakt, że małe firmy nie zawsze dysponują zasobami pozwalającymi na samodzielną obsługę procesów związanych z prywatnością, Wystawca polecił FaveCard w Umowie Powierzenia Przetwarzania Danych wykonywanie szeregu działań związanych z zapewnieniem zgodności w imieniu Wystawcy, w tym:

• publikowanie informacji o ochronie prywatności, która dotyczy Twojej karty (z wprowadzonymi danymi identyfikacyjnymi Wystawcy);
• przyjmowanie i rozpatrywanie Twoich wniosków dotyczących praw osoby, której dane dotyczą;
• przygotowywanie i wysyłanie zawiadomień o naruszeniach tam, gdzie jest to wymagane;
• prowadzenie rejestru wszelkich udzielonych przez Ciebie zgód marketingowych.

Zostało to opisane bardziej szczegółowo w punkcie C.7 poniżej. Odpowiedzialność prawna za zgodność z przepisami nadal spoczywa na Wystawcy, a FaveCard wykonuje jedynie prace operacyjne na podstawie udokumentowanych instrukcji w charakterze podmiotu przetwarzającego.

Nie wykorzystujemy Twoich danych do własnych celów, z wyjątkiem przypadków opisanych w Części C.5 poniżej.

C.2 Jakie dane na Twój temat przetwarzamy w imieniu Wystawcy

Gdy rejestrujesz się na kartę za pośrednictwem formularza hostowanego na FaveCard (na przykład przez link z kodu QR lub link na stronie biznesowej Wystawcy), zazwyczaj zbierane są następujące kategorie. Dokładne pola zależą od tego, jak Wystawca skonfigurował swój formularz:

• Imię
• Adres e-mail
• Urodziny (tylko dzień i miesiąc, bez roku)
• Wystawca, u którego się zarejestrowałeś i kiedy
• Czy wyraziłeś zgodę na otrzymywanie wiadomości marketingowych od Wystawcy (stan pola wyboru)
• Twoja liczba pieczątek, zdobyte nagrody i historia transakcji w programie lojalnościowym Wystawcy
• Identyfikator Twojej karty w Apple Wallet lub Google Wallet (techniczny token używany do dostarczania aktualizacji do Twojej karty)
• Podstawowe informacje o urządzeniu i przeglądarce, gdy wchodziłeś w interakcję ze stroną rejestracji

Wystawca może zlecić nam zbieranie dodatkowych lub innych pól. Zapoznaj się z polityką prywatności Wystawcy, aby uzyskać pełny obraz.

C.3 Dlaczego przetwarzamy Twoje dane (w imieniu Wystawcy)

Przetwarzamy Twoje dane w celach, które wskazał nam Wystawca, a które zazwyczaj obejmują:

• Tworzenie i dostarczanie Twojej karty lojalnościowej do aplikacji portfela
• Aktualizowanie karty, gdy zdobywasz pieczątki i odbierasz nagrody
• Wysyłanie karty i powiązanej komunikacji na Twój adres e-mail
• Dostarczanie powiadomień push do Twojej karty w portfelu (jeśli ją dodałeś)
• Jeśli wyraziłeś zgodę na marketing: wysyłanie Ci wiadomości promocyjnych od Wystawcy
• Zapobieganie oszustwom i nadużyciom w programie lojalnościowym

Ustalenie podstawy prawnej dla każdej z tych czynności jest obowiązkiem Wystawcy. Zazwyczaj jest to albo wykonanie umowy (dostarczenie karty lojalnościowej, o którą prosiłeś), prawnie uzasadniony interes (prowadzenie programu lojalnościowego), albo zgoda (dla opcjonalnych wiadomości marketingowych). Jeśli chcesz poznać dokładną podstawę prawną dla konkretnej czynności przetwarzania, skontaktuj się z Wystawcą, to on jest administratorem i musi odpowiedzieć.

C.4 Jak skorzystać ze swoich praw

Wystawca jest prawnym administratorem, jednak na podstawie Umowy Powierzenia Przetwarzania Danych polecił FaveCard przyjmowanie i rozpatrywanie wniosków dotyczących Twoich praw jako osoby, której dane dotyczą, w imieniu Wystawcy. W związku z tym możesz realizować swoje prawa na dwa sposoby, w zależności od tego, który jest dla Ciebie wygodniejszy:

1. Skontaktuj się bezpośrednio z FaveCard pod adresem privacy@favecard.co. Potwierdzimy otrzymanie Twojego wniosku w ciągu 72 godzin, zweryfikujemy Twoją tożsamość na podstawie informacji znajdujących się już w rejestrze Twojej karty i udzielimy merytorycznej odpowiedzi w ustawowym terminie jednego miesiąca przewidzianym przez RODO (z możliwością przedłużenia o maksymalnie dwa kolejne miesiące w skomplikowanych przypadkach zgodnie z art. 12 ust. 3 RODO). W przypadku, gdy Twój wniosek w istotny sposób wpływa na Twoje relacje z Wystawcą, poinformujemy o tym Wystawcę, a jeśli czas na to pozwoli, damy Wystawcy rozsądną możliwość zajęcia stanowiska przed udzieleniem przez nas odpowiedzi.
2. Skontaktuj się bezpośrednio z Wystawcą. Jego dane kontaktowe znajdują się zazwyczaj w kierowanej do Ciebie korespondencji. Jeśli Wystawca samodzielnie obsłuży Twój wniosek, FaveCard nie bierze w tym udziału.

Obie ścieżki są właściwe. Nie musisz próbować jednej przed drugą, a my nie odeślemy Cię z powrotem do Wystawcy.

Możesz również wnieść skargę do organu nadzorczego. W Polsce jest to Urząd Ochrony Danych Osobowych (UODO) pod adresem uodo.gov.pl. Jeśli mieszkasz w innym kraju UE/EOG, możesz zamiast tego skontaktować się ze swoim lokalnym organem nadzorczym.

C.5 Kiedy FaveCard działa jako własny administrator danych Klientów Końcowych

W niewielkiej liczbie sytuacji przetwarzamy dane Klientów Końcowych we własnym imieniu jako administrator, a nie w imieniu Wystawcy. Są to:

• Bezpieczeństwo i zapobieganie nadużyciom, możemy analizować wzorce rejestracji, adresy IP i sygnały z urządzeń na całej platformie, aby wykrywać oszustwa i nadużycia. Podstawa prawna: prawnie uzasadniony interes (ochrona Usługi i wszystkich jej użytkowników).
• Weryfikacja tożsamości: gdy weryfikują Państwo swoją tożsamość na stronie firmowej (na przykład poprzez wprowadzenie jednorazowego kodu), FaveCard przetwarza zdarzenie weryfikacji i przechowuje potwierdzenie, że są Państwo zweryfikowani, w ujednoliconym profilu klienta. Pozwala to Państwu na korzystanie z karty lojalnościowej bez powtarzania weryfikacji przy każdej wizycie. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
• Zanonimizowana, zagregowana analityka, możemy używać zagregowanych danych o użytkowaniu, których nie można powiązać z Tobą, w celu ulepszenia Usługi. Dbamy o to, aby zagregowane dane nie mogły być ponownie zidentyfikowane.
• Zgodność z naszymi obowiązkami prawnymi, na przykład odpowiadanie na zgodne z prawem żądania organów publicznych.
• Obrona roszczeń prawnych, gdy jest to konieczne do ochrony naszej własnej pozycji prawnej.

Gdy działamy jako administrator w tych ograniczonych celach, Części D i E niniejszej polityki mają do Ciebie bezpośrednie zastosowanie.

C.6 Nie kontaktujemy się z Tobą bezpośrednio w celach marketingowych

FaveCard sama nie wysyła wiadomości marketingowych do Klientów Końcowych. Wszelki marketing, który otrzymujesz po zarejestrowaniu się na kartę, pochodzi od Wystawcy, a nie od FaveCard. Jeśli otrzymujesz niechciany marketing od Wystawcy, skontaktuj się z Wystawcą (jego link do rezygnacji z subskrypcji powinien znajdować się w e-mailu) i, jeśli to konieczne, poinformuj nas również pod adresem privacy@favecard.co, abyśmy mogli pomóc Wystawcy w wyegzekwowaniu Twojego żądania.

C.7 Operacyjne wsparcie w zakresie zgodności, co FaveCard robi w imieniu Wystawcy

Większość firm wydających karty lojalnościowe FaveCard to małe przedsiębiorstwa, takie jak pojedyncze kawiarnie, salony fryzjerskie czy siłownie, które nie posiadają wewnętrznych zespołów prawnych ani działów do spraw zgodności. Zamiast wymagać od każdego Wystawcy samodzielnego sporządzania informacji o ochronie prywatności, odpowiadania na wnioski osób, których dane dotyczą, oraz obsługi naruszeń ochrony danych, Wystawca w Umowie Powierzenia Przetwarzania Danych zleca FaveCard wykonywanie tych czynności w imieniu Wystawcy.

Jest to dozwolone na mocy art. 28 ust. 3 lit. e i f RODO, które zobowiązują podmiot przetwarzający do pomagania administratorowi w zakresie praw osób, których dane dotyczą, oraz zgłaszania naruszeń "poprzez odpowiednie środki techniczne i organizacyjne, o ile jest to możliwe". FaveCard maksymalizuje tę pomoc na poziomie małych sprzedawców.

W praktyce czynności, które FaveCard wykonuje w imieniu Wystawcy, to:

• Utrzymywanie informacji o ochronie prywatności, która dotyczy Twojej karty. FaveCard publikuje Informację o Prywatności dla Klientów Końcowych pod adresem favecard.co/legal/customer-privacy?company={slug}, z wprowadzonymi danymi identyfikacyjnymi Wystawcy (nazwa, numer rejestracyjny, kontaktowy adres e-mail, adres), i aktualizuje ją na bieżąco w miarę zmian danych Wystawcy.
• Przyjmowanie i rozpatrywanie Twoich wniosków dotyczących praw osób, których dane dotyczą. Gdy piszesz na adres privacy@favecard.co, potwierdzamy odbiór w ciągu 72 godzin, weryfikujemy Twoją tożsamość i udzielamy merytorycznej odpowiedzi w ustawowym terminie przewidzianym przez RODO. Zobacz punkt C.4.
• Wykrywanie i zgłaszanie naruszeń ochrony danych osobowych. Jeśli naruszenie dotyczy Twoich danych, przygotowujemy i wysyłamy zawiadomienia wymagane na mocy art. 33 i 34 RODO (do organu nadzorczego, a w przypadku wysokiego ryzyka dla Twoich praw i wolności także do Ciebie) w imieniu Wystawcy, w ustawowych terminach.
• Prowadzenie ścieżki audytu zgód marketingowych. Gdy rejestrujesz się w celu uzyskania karty i zaznaczasz (lub nie zaznaczasz) pole wyboru zgody na marketing, FaveCard zapisuje znacznik czasu, adres IP, parametr user agent, ustawienia regionalne oraz dokładną treść tekstu zgody, który Ci wyświetlono, dzięki czemu Wystawca może udowodnić stan zgody w momencie rejestracji w przypadku kontroli.
• Egzekwowanie Polityki Dopuszczalnego Użytkowania w komunikacji wychodzącej. FaveCard kontroluje korzystanie przez Wystawcę z kanału marketingowego (chroniąc przed użyciem importowanych list, wysyłaniem do odbiorców, którzy nie wyrazili zgody, oraz promowaniem zakazanych kategorii) i zawiesza Wystawców, którzy naruszają tę politykę.

Warunek wstępny: wypełniony profil tożsamości prawnej Wystawcy. Całe opisane powyżej wsparcie operacyjne zależy od tego, czy FaveCard wie, kim w rzeczywistości jest Wystawca. Podczas rejestracji Wystawca podaje jedynie nazwę wyświetlaną firmy oraz podstawowe dane kontaktowe osoby tworzącej konto. Zanim Wystawca będzie mógł aktywować jakąkolwiek funkcję Usługi dla Klientów Końcowych (dystrybucję kart lojalnościowych, publikację publicznej strony biznesowej, wysyłanie materiałów marketingowych do Klientów Końcowych), musi uzupełnić swój profil tożsamości prawnej w ustawieniach panelu, podając zarejestrowaną nazwę prawną, formę prowadzenia działalności, numer identyfikacji podatkowej tam, gdzie ma to zastosowanie, oraz zarejestrowany adres. Dopóki profil nie zostanie ukończony, żaden Klient Końcowy nie może zapisać się do programu lojalnościowego Wystawcy za pośrednictwem FaveCard, żadna specyficzna dla firmy Informacja o Prywatności dla Klientów Końcowych nie jest publikowana w imieniu Wystawcy, a działania wspierające opisane w tej sekcji nie obejmują żadnych danych Klientów Końcowych.

Wystawca pozostaje prawnym administratorem i nadal ponosi odpowiedzialność za treść wszelkich komunikatów, które otrzymujesz (prawdziwe twierdzenia, legalne kategorie produktów itp.). FaveCard odpowiada za operacyjne mechanizmy zapewnienia zgodności.

Część D, Dla osób odwiedzających stronę internetową

Ta część ma zastosowanie, jeśli odwiedzasz favecard.co, stronę biznesową hostowaną przez FaveCard (na przykład, publiczną stronę profilową kawiarni korzystającej z FaveCard) lub panel FaveCard bez zalogowania.

D.1 Co zbieramy

Gdy odwiedzasz nasze strony internetowe bez tworzenia konta:

• Dane z logów, adres IP, typ i wersja przeglądarki, system operacyjny, odwiedzane strony, odsyłający URL, znaczniki czasu. Używane do celów bezpieczeństwa i zagregowanej analizy ruchu.
• Niezbędne pliki cookie, używane do zarządzania sesją, bezpieczeństwa i (w stosownych przypadkach) preferencji językowych. Nie można ich wyłączyć, ponieważ bez nich strona nie będzie działać.
• Pliki cookie uwierzytelniania na stronach firmowych: gdy weryfikują Państwo swoją tożsamość na stronie firmowej (na przykład poprzez wprowadzenie jednorazowego kodu wysłanego na Państwa adres e-mail), platforma ustawia plik cookie, aby nie musieli Państwo ponownie się weryfikować przy każdym zbieraniu pieczątki. Ten plik cookie identyfikuje Państwa tylko wobec konkretnej firmy, której stronę Państwo odwiedzają. Wygasa on po upływie jednego roku lub po wyczyszczeniu danych przeglądarki. Nie zawiera on danych marketingowych ani informacji o Państwa aktywności u innych sprzedawców. Jeśli wyczyszczą Państwo plik cookie, przy następnej wizycie będą Państwo musieli po prostu ponownie zweryfikować swoją tożsamość.
• Analityczne pliki cookie: używamy narzędzia PostHog na instancji w UE (eu.posthog.com) do analityki produktu wyłącznie w panelu sterowania. Nie używamy analitycznych ani reklamowych plików cookie na publicznych stronach firmowych.
• Monitorowanie błędów, używamy Sentry (region UE) do przechwytywania śladów błędów, gdy coś się zepsuje. Te ślady mogą przypadkowo zawierać Twój adres IP i user agent, ale nie są używane do Twojego profilowania.
• Ochrona formularzy rejestracji przed botami: formularze rejestracji i listy oczekujących FaveCard korzystają z Cloudflare Turnstile (Cloudflare, Inc.), aby odróżnić człowieka od automatycznego skryptu. Gdy formularz jest otwarty, Turnstile odczytuje Państwa adres IP, user agent i odcisk TLS przeglądarki oraz adres strony z formularzem, a formularzowi przekazuje jednorazowy token, który nasz serwer sprawdza w Cloudflare. Państwa imię i nazwisko, adres e-mail ani inne wpisane dane nigdy nie trafiają do Cloudflare. Z samego sprawdzenia zachowujemy tylko jego wynik (zaliczone, niezaliczone, brak tokenu, błąd lub niesprawdzone) i losowy identyfikator próby, a nie sygnały odczytywane przez Turnstile; przy rejestracji wynik wiążemy w analityce produktu z kontem, które ona tworzy. Adres IP i user agent z rejestracji zapisujemy osobno (Część B.1, dane uwierzytelniające, zapisywane przy rejestracji). Cloudflare przetwarza te sygnały w naszym imieniu, aby przeprowadzić sprawdzenie, a jako niezależny administrator, na podstawie swojego Turnstile Privacy Addendum, także w celu ulepszania wykrywania botów.

D.2 Podstawa prawna przetwarzania danych na stronie internetowej

• Niezbędne pliki cookie i logi bezpieczeństwa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), bezpieczne prowadzenie strony internetowej.
• Pliki cookie uwierzytelniania na stronach firmowych: plik cookie jest ustawiany tylko po aktywnym zweryfikowaniu przez Państwa tożsamości (na przykład poprzez wprowadzenie jednorazowego kodu). Jest to niezbędne do świadczenia usługi, o którą Państwo prosili, czyli zbierania pieczątek bez ponownej weryfikacji przy każdej wizycie. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO). Zgodnie z art. 5 ust. 3 dyrektywy ePrivacy nie jest wymagana odrębna zgoda na pliki cookie, ponieważ plik cookie jest absolutnie niezbędny do świadczenia usługi, o którą Państwo wyraźnie prosili.
• Analityka w panelu sterowania: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), polegający na zrozumieniu sposobu korzystania z produktu. Nie używamy analitycznych ani reklamowych plików cookie na publicznych stronach firmowych.
• Monitorowanie błędów: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), naprawianie błędów i poprawa stabilności.
• Ochrona formularzy rejestracji przed botami: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), polegający na ochronie Usługi przed automatycznymi rejestracjami i nadużyciami. Sprawdzenie jest absolutnie niezbędne dla bezpieczeństwa rejestracji lub zapisu na listę oczekujących, o które Państwo prosili, dlatego zgodnie z art. 5 ust. 3 dyrektywy ePrivacy nie wymaga odrębnej zgody.

Część E, Państwa prawa

Niezależnie od tego, która część Cię dotyczy, masz prawa wymienione poniżej. Niektóre obowiązują bezwarunkowo; inne podlegają warunkom i wyjątkom w obowiązującym prawie.

• Prawo dostępu do danych (art. 15 RODO), mogą Państwo poprosić nas o potwierdzenie, czy przetwarzamy Państwa dane osobowe, oraz o dostarczenie kopii tych danych wraz z informacjami o tym, jak ich używamy.
• Prawo do sprostowania danych (art. 16 RODO), mogą Państwo poprosić nas o poprawienie niedokładnych danych lub uzupełnienie niekompletnych danych.
• Prawo do usunięcia danych ("prawo do bycia zapomnianym") (art. 17 RODO), mogą Państwo poprosić nas o usunięcie swoich danych osobowych, gdy nie są nam już potrzebne, gdy wycofają Państwo zgodę lub gdy przetwarzanie było niezgodne z prawem.
• Prawo do ograniczenia przetwarzania (art. 18 RODO), mogą Państwo poprosić nas o ograniczenie sposobu, w jaki używamy Państwa danych, podczas gdy oceniamy żądanie sprostowania lub usunięcia.
• Prawo do przenoszenia danych (art. 20 RODO), gdy przetwarzamy Państwa dane na podstawie zgody lub umowy, i w sposób zautomatyzowany, mogą Państwo poprosić o nie w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.
• Prawo do wniesienia sprzeciwu (art. 21 RODO), mogą Państwo sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionych interesach; w takim przypadku zaprzestaniemy przetwarzania, chyba że będziemy mieć nadrzędne prawnie uzasadnione podstawy. Zawsze mogą Państwo sprzeciwić się marketingowi bezpośredniemu.
• Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (art. 22 RODO), nie przeprowadzamy takich decyzji, jak wyjaśniono w Części B.5.
• Prawo do wycofania zgody, gdy przetwarzanie opiera się na zgodzie, mogą ją Państwo wycofać w dowolnym momencie. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
• Prawo do wniesienia skargi do organu nadzorczego, mogą Państwo wnieść skargę do organu nadzorczego. W Polsce jest to Urząd Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, Polska, uodo.gov.pl. Jeśli mieszkasz w innym kraju UE/EOG, możesz skontaktować się z właściwym organem krajowym.

E.1 Jak korzystać ze swoich praw

Prosimy o przesłanie żądania na adres privacy@favecard.co. Prosimy o dołączenie wystarczających informacji, abyśmy mogli Państwa zidentyfikować i określić relację (na przykład, Państwa firmowy adres e-mail, jeśli są Państwo Wystawcą, lub nazwę Wystawcy i adres e-mail, którego użyli Państwo do rejestracji na kartę, jeśli są Państwo Klientem Końcowym).

Odpowiemy w ciągu jednego miesiąca od otrzymania żądania, zgodnie z wymogami art. 12 ust. 3 RODO. W skomplikowanych przypadkach możemy przedłużyć ten termin o kolejne dwa miesiące, o czym poinformujemy w ciągu pierwszego miesiąca.

Nie pobieramy opłat za odpowiedź na Państwa żądanie, z wyjątkiem sytuacji, gdy żądania są w sposób oczywisty nieuzasadnione lub nadmierne (art. 12 ust. 5 RODO), w którym to przypadku możemy pobrać rozsądną opłatę lub odmówić wykonania żądania.

Możemy potrzebować zweryfikować Państwa tożsamość przed podjęciem działań w odpowiedzi na żądanie, aby chronić Państwa przed nieautoryzowanym dostępem.

E.2 Jeśli jesteś Klientem Końcowym

W przypadku danych z karty lojalnościowej Wystawca jest prawnym administratorem, ale Wystawca polecił FaveCard przyjmowanie i rozpatrywanie Twoich wniosków dotyczących praw osoby, której dane dotyczą, w imieniu Wystawcy. W związku z tym możesz wysłać swoje żądanie bezpośrednio na adres privacy@favecard.co i otrzymać merytoryczną odpowiedź od FaveCard, albo skontaktować się bezpośrednio z Wystawcą. Pełne szczegóły znajdują się w Części C.4.

Część F, Transfery międzynarodowe, retencja, bezpieczeństwo i informacje dla określonych jurysdykcji

F.1 Transfery międzynarodowe

FaveCard ma siedzibę w Polsce i przechowuje większość danych osobowych w Unii Europejskiej (w szczególności w regionach Google Cloud w Europie). Jednak niektórzy z naszych podpodmiotów przetwarzających mają siedzibę poza EOG lub mogą przechowywać lub uzyskiwać dostęp do danych poza EOG, w tym w Stanach Zjednoczonych. Należą do nich (lista niewyczerpująca, pełny obraz znajduje się na Liście Podpodmiotów Przetwarzających):

• Apple Push Notification Service (Apple Inc., Stany Zjednoczone), do dostarczania aktualizacji kart Apple Wallet
• Google Wallet API (Google LLC, Stany Zjednoczone), do generowania kart Google Wallet
• Stripe Payments Europe, Limited (Irlandia) z firmą macierzystą w USA, do rozliczeń
• Resend (Plus Five Five, Inc., Stany Zjednoczone), do dostarczania e-maili transakcyjnych
• Loops (Astrodon Corporation, Stany Zjednoczone), do własnego marketingu FaveCard dla klientów biznesowych
• Sentry (Functional Software, Inc., Stany Zjednoczone), region UE (Frankfurt), z dostępem do płaszczyzny kontrolnej w USA, do monitorowania błędów
• PostHog (PostHog, Inc., Stany Zjednoczone / Hiberly Ltd., Zjednoczone Królestwo), instancja UE (eu.posthog.com) do analityki produktu
• Vercel (Vercel Inc., Stany Zjednoczone), do hostowania publicznej strony biznesowej
• Cloudflare (Cloudflare, Inc., Stany Zjednoczone), do ochrony formularzy rejestracji i listy oczekujących przed botami (Turnstile)

Gdy dochodzi do transferu do kraju spoza EOG, opieramy się na jednym z następujących zabezpieczeń (zgodnie z art. 46 RODO):

• Decyzja stwierdzająca odpowiedni stopień ochrony, w przypadku transferów do krajów, które Komisja Europejska uznała za zapewniające odpowiedni poziom ochrony. Na dzień obowiązywania niniejszej wersji, Ramy ochrony danych UE-USA (DPF) zapewniają mechanizm adekwatności dla certyfikowanych odbiorców w USA.
• Standardowe Klauzule Umowne (SKU), unijne SKU z 2021 r. (Moduł 2 dla transferów od administratora do podmiotu przetwarzającego, Moduł 3 dla transferów od podmiotu przetwarzającego do podmiotu przetwarzającego), gdy nie ma zastosowania decyzja o adekwatności.
• UK International Data Transfer Agreement (IDTA) lub UK Addendum do SKU, dla transferów danych osobowych z Wielkiej Brytanii.
• Szwajcarskie mechanizmy równoważne FADP, dla transferów danych osobowych ze Szwajcarii.

Mogą Państwo zażądać kopii zabezpieczeń stosowanych przy konkretnym transferze, wysyłając e-mail na adres privacy@favecard.co.

F.2 Retencja danych

Przechowujemy dane osobowe tylko tak długo, jak jest to konieczne do celów określonych w niniejszej polityce. Typowe okresy retencji:

Gdy jesteśmy prawnie zobowiązani do dłuższego przechowywania danych, będziemy to robić do czasu wygaśnięcia obowiązku prawnego.

F.3 Bezpieczeństwo

Stosujemy standardowe w branży środki techniczne i organizacyjne w celu ochrony danych osobowych, w tym (lista niewyczerpująca):

• Szyfrowanie w tranzycie (TLS 1.2 lub wyższy) dla całej komunikacji z platformą
• Szyfrowanie w spoczynku dla wrażliwych danych przechowywanych w Google Cloud i Firestore
• Kontrola dostępu oparta na rolach w ramach platformy, z zasadą najmniejszych uprawnień
• Uwierzytelnianie wieloskładnikowe dla dostępu administracyjnego
• Dzienniki audytowe operacji uprzywilejowanych
• Ciągłe monitorowanie zależności i podatności
• Procedury tworzenia kopii zapasowych i odzyskiwania dla Firestore i powiązanych magazynów danych
• Szkolenia personelu z zakresu bezpieczeństwa informacji i ochrony danych
• Procedury reagowania na incydenty, które obejmują powiadamianie Wystawców o naruszeniu (gdy działamy jako podmiot przetwarzający) bez zbędnej zwłoki i w terminach określonych w Umowie Powierzenia Przetwarzania Danych

Pełny opis naszych środków technicznych i organizacyjnych znajduje się w Załączniku 2 do Umowy Powierzenia Przetwarzania Danych.

F.4 Zgłaszanie naruszeń ochrony danych osobowych

Jeśli dojdzie do naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, podejmiemy następujące działania:

• Powiadomimy poszkodowanych Wystawców (gdy działamy jako podmiot przetwarzający) bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od stwierdzenia naruszenia.
• Jeśli Wystawca zlecił nam to w Umowie Powierzenia Przetwarzania Danych (stała instrukcja opisana w Części C.7), przygotujemy i wyślemy w imieniu Wystawcy zawiadomienia wymagane na mocy art. 33 RODO (do właściwego organu nadzorczego, w ciągu 72 godzin) oraz art. 34 RODO (do poszkodowanych osób, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko dla ich praw i wolności, bez zbędnej zwłoki), informując Wystawcę na bieżąco o przebiegu procesu.
• Powiadomimy bezpośrednio Urząd Ochrony Danych Osobowych (UODO) oraz poszkodowane osoby, których dane dotyczą (gdy działamy jako niezależny administrator), zgodnie z art. 33 i 34 RODO.
• Udokumentujemy naruszenie, jego skutki oraz podjęte działania zaradcze w naszym wewnętrznym rejestrze incydentów.

F.5 Dzieci

Usługa nie jest skierowana do dzieci poniżej 16 roku życia. Świadomie nie zbieramy danych osobowych od dzieci poniżej 16 lat. Jeśli uważasz, że dziecko poniżej 16 lat dostarczyło nam dane osobowe (bezpośrednio lub poprzez program lojalnościowy Wystawcy, którego nie autoryzowałeś), skontaktuj się z nami pod adresem privacy@favecard.co, a my podejmiemy kroki w celu usunięcia danych i, gdy jesteśmy podmiotem przetwarzającym, powiadomimy Wystawcę.

Wystawcy są zobowiązani przez nasze Warunki Świadczenia Usług do nietargetowania programów lojalnościowych zbieranych za pośrednictwem Usługi do dzieci poniżej 16 lat.

F.6 Informacje dla określonych jurysdykcji

F.6.1 Jeśli znajdujesz się w Zjednoczonym Królestwie

UK GDPR i Data Protection Act 2018 mają zastosowanie do Twoich danych. Twoje prawa odzwierciedlają te z Części E. Organem nadzorczym jest Information Commissioner's Office (ICO) pod adresem ico.org.uk. Transfery danych osobowych z Wielkiej Brytanii poza Wielką Brytanię są chronione przez UK IDTA lub UK Addendum do unijnych SKU, jak opisano w F.1.

F.6.2 Jeśli znajdujesz się w Kalifornii (Stany Zjednoczone)

Zgodnie z California Consumer Privacy Act (CCPA) ze zmianami wprowadzonymi przez CPRA, mieszkańcy Kalifornii mają określone prawa, w tym:

• Prawo do informacji, jakie dane osobowe zbieramy, jak ich używamy i komu je udostępniamy.
• Prawo do usunięcia danych osobowych, z zastrzeżeniem wyjątków.
• Prawo do poprawienia niedokładnych danych osobowych.
• Prawo do rezygnacji ze "sprzedaży" lub "udostępniania" danych osobowych, nie sprzedajemy ani nie udostępniamy danych osobowych w celu międzykontekstowej reklamy behawioralnej, więc nie ma z czego rezygnować.
• Prawo do ograniczenia wykorzystania wrażliwych danych osobowych, nie używamy wrażliwych danych osobowych poza tym, co jest niezbędne do świadczenia Usługi.
• Prawo do niedyskryminacji za korzystanie ze swoich praw.

Notice of Financial Incentive. Usługa może umożliwiać firmom prowadzenie programów lojalnościowych, które nagradzają klientów na podstawie ich zakupów. Gdy taki program jest oferowany mieszkańcom Kalifornii, firma (Wystawca) jest odpowiedzialna za dostarczenie uczestnikom CCPA Notice of Financial Incentive. FaveCard sama nie oferuje zachęty finansowej konsumentom w Kalifornii.

FaveCard ma siedzibę w Polsce i obecnie nie spełnia progów kwalifikujących jako „przedsiębiorstwo" w rozumieniu California Civil Code §1798.140(d). Mimo to honorujemy wymienione powyżej prawa jako kwestię polityki wobec każdego mieszkańca Kalifornii, który się z nami skontaktuje. Ponieważ nie sprzedajemy ani nie udostępniamy danych osobowych w celu międzykontekstowej reklamy behawioralnej, nie udostępniamy linku „Do Not Sell or Share My Personal Information" — nie ma z czego rezygnować.

Aby skorzystać z praw CCPA, napisz na adres privacy@favecard.co. Zweryfikujemy Twoje żądanie zgodnie z wymogami przepisów CCPA przed udzieleniem odpowiedzi.

F.6.3 Jeśli znajdujesz się w Australii

Nasze przetwarzanie podlega Privacy Act 1988 (Cth) i Australian Privacy Principles (APPs), gdy dotyczy osób lub firm australijskich. Przestrzegamy APP 1 (jawność), APP 5 (powiadomienie), APP 6 (wykorzystanie i ujawnienie), APP 8 (ujawnienie transgraniczne), APP 11 (bezpieczeństwo), APP 12 (dostęp) i APP 13 (korekta). E-maile marketingowe wysyłane przez Wystawców za pośrednictwem platformy podlegają Spam Act 2003, a Wystawcy są odpowiedzialni za zapewnienie zgodności z jego wymogami dotyczącymi zgody, identyfikacji i rezygnacji z subskrypcji.

Aby skorzystać ze swoich praw na mocy prawa australijskiego, napisz na adres privacy@favecard.co. Możesz również złożyć skargę do Office of the Australian Information Commissioner (OAIC) pod adresem oaic.gov.au.

F.6.4 Jeśli znajdujesz się w Brazylii

Lei Geral de Proteção de Dados (LGPD, ustawa 13.709/2018) przyznaje mieszkańcom Brazylii prawa podobne do opisanych w Części E, w tym potwierdzenie przetwarzania, dostęp, korektę, anonimizację, przenoszenie, usunięcie oraz informacje o udostępnianiu danych podmiotom trzecim. Nasze praktyki zgodne z RODO — wyraźna zgoda, minimalizacja danych, ograniczenie celu i limity retencji — spełniają odpowiednie zasady LGPD. Transfery danych osobowych z Brazylii są chronione przez Standardowe Klauzule Umowne, jak opisano w F.1.

Aby skorzystać ze swoich praw na mocy prawa brazylijskiego, napisz na adres privacy@favecard.co. Możesz również skontaktować się z Autoridade Nacional de Proteção de Dados (ANPD) pod adresem gov.br/anpd.

F.6.5 Jeśli znajdujesz się w Kanadzie

Nasze przetwarzanie danych osobowych mieszkańców Kanady jest zgodne z Personal Information Protection and Electronic Documents Act (PIPEDA) oraz równoważnymi przepisami prowincjonalnymi. Masz prawo do dostępu, korekty i kwestionowania naszego przetwarzania Twoich danych osobowych.

E-maile marketingowe wysyłane przez Wystawców za pośrednictwem platformy podlegają Canada's Anti-Spam Legislation (CASL). CASL wymaga wyraźnej zgody przed wysłaniem komercyjnych wiadomości elektronicznych, dokładnej identyfikacji nadawcy oraz działającego mechanizmu rezygnacji z subskrypcji w każdej wiadomości. Wystawcy są odpowiedzialni za zapewnienie zgodności swoich komunikatów z CASL. Infrastruktura zbierania zgód FaveCard (wyraźne pole wyboru opt-in, rejestr audytu dla każdego kanału, rezygnacja jednym kliknięciem) jest zaprojektowana tak, aby spełniać wymogi CASL dotyczące zgody i prowadzenia dokumentacji.

Aby skorzystać ze swoich praw na mocy prawa kanadyjskiego, napisz na adres privacy@favecard.co. Możesz również skontaktować się z Office of the Privacy Commissioner of Canada (OPC) pod adresem priv.gc.ca.

F.6.6 Jeśli znajdujesz się w Japonii

Act on the Protection of Personal Information (APPI) reguluje przetwarzanie danych osobowych mieszkańców Japonii. Komisja Europejska uznała Japonię za zapewniającą odpowiedni poziom ochrony danych, a Japonia wzajemnie uznała UE. Nasze praktyki zgodne z RODO spełniają odpowiednie wymogi APPI. Masz prawo do żądania ujawnienia, korekty, zaprzestania wykorzystywania i usunięcia swoich danych osobowych.

Aby skorzystać ze swoich praw na mocy prawa japońskiego, napisz na adres privacy@favecard.co. Możesz również skontaktować się z Personal Information Protection Commission (PPC) pod adresem ppc.go.jp.

F.6.7 Inne jurysdykcje

Jeśli jesteś w państwie członkowskim UE/EOG innym niż Polska, możesz skontaktować się zarówno z UODO (polskim organem nadzorczym), jak i z własnym krajowym organem nadzorczym. Będziemy współpracować z oboma.

Jeśli znajdujesz się w jurysdykcji niewymienionej powyżej, prawa opisane w Części E mają zastosowanie w zakresie wymaganym przez Twoje lokalne prawo. Aby skorzystać z dowolnego prawa lub zadać pytanie o przetwarzanie Twoich danych, napisz na adres privacy@favecard.co.

Zmiany w niniejszej polityce

Możemy od czasu do czasu aktualizować niniejszą politykę. W przypadku drobnych zmian (korekty typograficzne, wyjaśnienia), zaktualizowana wersja wchodzi w życie w dniu jej opublikowania na stronie favecard.co/legal/privacy. W przypadku istotnych zmian (nowe kategorie danych, nowe cele, nowi odbiorcy, nowe okresy retencji), poinformujemy o tym z co najmniej 30-dniowym wyprzedzeniem e-mailem Klientów Biznesowych oraz poprzez powiadomienie w panelu, a w przypadku zmian dotyczących Klientów Końcowych, poprosimy Wystawców o odpowiednią aktualizację ich własnych informacji.

Prowadzimy archiwum poprzednich wersji tej polityki pod adresem favecard.co/legal/privacy/archive.

Kontakt

Pytania dotyczące niniejszej Polityki Prywatności lub żądania skorzystania z praw można kierować na adres:

Qualityc Łukasz Fryc Kasinka Mała 472 34-734 Kasinka Mała Polska

NIP: 7372138804 EU VAT: PL7372138804 Email: privacy@favecard.co

Dla Klientów Końcowych: pamiętaj, że Twoim pierwszym punktem kontaktowym w sprawie danych z karty lojalnościowej jest Wystawca (firma, której kartę otrzymałeś), a nie FaveCard. Zobacz Część C.

Historia wersji