Polityka prywatności Tavorii
Polityka opisuje, jakie dane przetwarza Tavoria jako administrator: dane kont restauratorów (w tym wiadomości na start i program poleceń), dane konta gościa w panelu gościa, dane z formularzy na stronie tavoria.pl — szkicu strony bez konta, darmowego audytu, prośby o rozmowę i zgłoszenia partnera — oraz dane lokali, którym proponujemy stronę. Opisuje też, jak Tavoria w imieniu restauracji obsługuje funkcje jej strony: asystenta AI, prośby o stolik i zamawianie z telefonu. Dane gości w programie konkretnej restauracji mają własnego administratora — jest nim ta restauracja, a jej politykę znajdziesz na jej stronie.
1. Administrator i kontakt
Administratorem jest Konrad Litwinowicz, prowadzący jednoosobową działalność gospodarczą, ul. Ludwika Rydygiera 42 lok. 20, 50-249 Wrocław, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, REGON 526287974, NIP 8982297401, świadczący usługę pod marką Tavoria (dalej „Tavoria”).
W sprawach ochrony danych piszcie na prywatnosc@tavoria.pl.
2. Kiedy Tavoria jest administratorem, a kiedy nie
| Dane | Administrator |
|---|---|
| Konto restauratora w panelu | Tavoria |
| Konto gościa w moje.tavoria.pl: tożsamość, zgody, karta w portfelu | Tavoria |
| Udział gościa w programie konkretnej restauracji, jego wizyty i rachunki | ta restauracja |
| Treść karty menu i strony lokalu | ta restauracja |
| Formularze na tavoria.pl: szkic strony bez konta, darmowy audyt, „Umów rozmowę”, „Dla partnerów” | Tavoria |
| Lokale z publicznych źródeł, którym proponujemy stronę | Tavoria |
| Pytania do asystenta AI, prośby o stolik i zamówienia na stronie restauracji | ta restauracja (Tavoria przetwarza je w jej imieniu) |
Rozdział ten ma praktyczne znaczenie: żądanie usunięcia danych skierowane do Tavorii obejmuje konto gościa i skutkuje odpięciem go od danych we wszystkich restauracjach, ale nie usuwa z ksiąg restauracji faktu sprzedaży.
3. Cele i podstawy prawne
| Cel | Podstawa |
|---|---|
| Prowadzenie konta i świadczenie usługi | art. 6 ust. 1 lit. b RODO — wykonanie umowy |
| Wystawianie faktur i rozliczenia | art. 6 ust. 1 lit. c RODO — obowiązek prawny |
| Bezpieczeństwo: dziennik audytu, wykrywanie nadużyć | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes |
| Komunikaty transakcyjne (saldo, wygaśnięcie punktów, zmiana regulaminu) | art. 6 ust. 1 lit. b RODO |
| Wiadomości marketingowe | zgoda na dany kanał — art. 6 ust. 1 lit. a RODO oraz art. 398 Prawa komunikacji elektronicznej |
| Preferencje żywieniowe gościa | art. 9 ust. 2 lit. a RODO — wyraźna zgoda |
| Szkic strony bez konta na tavoria.pl | art. 6 ust. 1 lit. b RODO — działania na żądanie osoby przed zawarciem umowy |
| Darmowy audyt strony lokalu na tavoria.pl/audyt | art. 6 ust. 1 lit. f RODO — odpowiedź na zapytanie i przedstawienie oferty |
| Wynik audytu wysłany e-mailem | art. 6 ust. 1 lit. a RODO — zgoda potwierdzona kliknięciem w link |
| Ograniczanie liczby prób w formularzach publicznych (adres IP) | art. 6 ust. 1 lit. f RODO — ochrona usługi przed nadużyciem |
| Odpowiedź na prośbę „Umów rozmowę” | art. 6 ust. 1 lit. b RODO — działania na żądanie osoby przed zawarciem umowy |
| Wiadomości pomagające zacząć korzystać z usługi (e-maile na start) | art. 6 ust. 1 lit. b RODO — wykonanie umowy; wiadomość „W czym pomóc?” — art. 6 ust. 1 lit. f RODO |
| Program poleceń lokali: kod polecenia, nagrody, informacja dla polecającego | art. 6 ust. 1 lit. b RODO — zasady programu; pokazanie polecającemu nazwy poleconego lokalu — art. 6 ust. 1 lit. f RODO |
| Zgłoszenia „Dla partnerów” i współpraca z partnerami | art. 6 ust. 1 lit. b RODO — działania przed zawarciem umowy i jej wykonanie |
| Jednorazowa propozycja strony dla lokalu z publicznych źródeł | art. 6 ust. 1 lit. f RODO — marketing bezpośredni własnych usług |
| Lista „nie kontaktować” | art. 6 ust. 1 lit. f RODO — uszanowanie sprzeciwu (art. 21 ust. 3 RODO) |
| Zlecenie „Zróbcie to za mnie” — ustawienie karty i strony | art. 6 ust. 1 lit. b RODO — wykonanie umowy |
4. Zgody
Każda zgoda jest odrębna, dotyczy jednego kanału albo jednego celu i nie jest zaznaczona z góry. Odmowa zapisuje się tak samo jak zgoda — bez tego nie dałoby się wykazać, że w ogóle pytaliśmy.
Zgodę można wycofać w każdej chwili jednym kliknięciem w panelu gościa albo linkiem w stopce wiadomości. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania i działa natychmiast: wycofanie zgody na preferencje żywieniowe kasuje je z bazy w tym samym żądaniu.
5. Odbiorcy danych
Dane trafiają do dostawców, bez których usługa nie działa: dostawcy infrastruktury, poczty transakcyjnej, wiadomości SMS, portfeli cyfrowych Apple i Google oraz operatora płatności. Ich aktualna lista jest w dokumencie „Lista subprocesorów”.
Dostawcą modelu językowego jest OpenAI Ireland Ltd. Trafiają do niego treści lokalu (karta menu, teksty strony), opisy ze szkicu strony bez konta, tekst strony lokalu, któremu proponujemy stronę, oraz pytania gości do asystenta AI na stronie lokalu. Dostawca może przetwarzać dane poza Europejskim Obszarem Gospodarczym na podstawie decyzji Komisji Europejskiej (EU-US Data Privacy Framework) albo standardowych klauzul umownych.
Dane nie są sprzedawane ani udostępniane do celów marketingowych podmiotów trzecich.
6. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| Rachunki i historia punktów gościa nieaktywnego w danym lokalu | 36 miesięcy, potem anonimizacja |
| Konto gościa bez żadnego czynnego uczestnictwa w programie | 24 miesiące, potem usunięcie |
| Dowody zgód | czas uczestnictwa powiększony o 6 lat |
| Dzienniki techniczne zawierające adres IP | 90 dni |
| Dzienniki diagnostyczne portfela i źródła importu karty menu | 30 dni |
| Kopie zapasowe | 30 dni |
| Szkic strony bez konta: nazwa, miasto, gotowy szkic | 24 godziny, a po założeniu konta — przeniesienie do lokalu |
| Wynik darmowego audytu | 90 dni |
| Skrót adresu IP (HMAC) w limicie prób szkicu strony i „Umów rozmowę” | doba w pamięci podręcznej serwera; sól do skrótu — 2 doby |
| Adres IP w limicie prób darmowego audytu | najdłużej doba, tylko w pamięci procesu serwera |
| Prośba „Umów rozmowę” | 90 dni od wysłania, niezależnie od odpowiedzi |
| Zgłoszenie „Dla partnerów”, po którym nie zawarliśmy umowy | 180 dni |
| Kod polecenia podany przy zakładaniu konta, zanim powstanie lokal | 30 dni |
| Zapis wysłanych wiadomości na start (kto, która wiadomość, kiedy) | 120 dni |
| Lokal z listy, któremu proponujemy stronę | najdłużej 6 miesięcy od dodania; po odmowie 30 dni sam stan z nazwą i miastem |
| Prywatny szkic strony dla lokalu z listy | 30 dni |
| Lista „nie kontaktować” — wyłącznie skróty danych | bez ograniczenia czasu, żeby sprzeciw działał |
| Pliki i notatka zlecenia „Zróbcie to za mnie” | 30 dni od zamknięcia zlecenia |
Usunięcie danych z systemu nie usuwa ich natychmiast z kopii zapasowych. Kopie są rotowane, więc dane znikają z nich najpóźniej po 30 dniach; w tym czasie nie są używane do niczego poza odtworzeniem po awarii.
7. Prawa osoby, której dane dotyczą
- dostęp do danych i otrzymanie ich kopii (art. 15),
- sprostowanie (art. 16),
- usunięcie (art. 17) — realizowane w ciągu 72 godzin od potwierdzenia żądania,
- ograniczenie przetwarzania (art. 18),
- przenoszenie danych w formacie nadającym się do odczytu maszynowego (art. 20),
- sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec profilowania (art. 21) — sprzeciw wobec marketingu bezpośredniego jest bezwzględny,
- wycofanie zgody w każdej chwili,
- skarga do Prezesa Urzędu Ochrony Danych Osobowych.
Pierwsze pięć praw można wykonać samodzielnie w panelu gościa, bez kontaktu z nikim. Eksport danych powstaje jako plik do pobrania, a link do niego wygasa po 7 dniach.
8. Profilowanie
W obrębie jednego lokalu goście są dzieleni na segmenty na potrzeby kampanii — na przykład „nie był od 60 dni”. Nie podejmujemy wobec gości decyzji wywołujących skutki prawne w sposób zautomatyzowany.
Profilowanie obejmujące wiele lokali naraz wymaga osobnej zgody i nie jest uruchomione.
9. Pliki cookie i pomiar ruchu
Strony lokali nie używają plików cookie do śledzenia ani do reklamy. Wizyty są liczone bez identyfikowania odwiedzającego.
Panel restauratora i panel gościa używają plików cookie niezbędnych do utrzymania sesji i ochrony przed fałszowaniem żądań. Bez nich zalogowanie się nie jest możliwe.
Formularze na stronach lokali, na przykład prośba o stolik i odpowiedź na przypomnienie o stoliku, ustawiają niezbędne ciasteczko ochrony przed fałszowaniem żądań. Zamawianie z telefonu ustawia dodatkowo niezbędne ciasteczko „tavoria.zamowienie” z losowym identyfikatorem urządzenia — wiąże telefon ze stolikiem i zamówieniem, pozwala pokazać Ci stan Twojego zamówienia i ograniczyć liczbę otwartych zamówień z jednego urządzenia. Te ciasteczka są konieczne do usługi, o którą prosisz, więc nie wymagają zgody.
10. Szkic strony bez konta
Na stronie głównej tavoria.pl można zobaczyć szkic strony lokalu bez zakładania konta. Formularz przyjmuje nazwę lokalu, miasto, rodzaj kuchni i krótki opis. Nie pytamy o adres e-mail ani o imię.
Opis trafia do modelu językowego, który układa z niego teksty strony — dostawcą modelu jest OpenAI Ireland Ltd. (lista subprocesorów). Opisu nie zapisujemy. Nazwę, miasto i gotowy szkic przechowujemy przez dobę; jeżeli w tym czasie założysz konto, szkic przechodzi do Twojego lokalu.
Żeby ograniczyć liczbę prób, liczymy je po skrócie adresu IP (HMAC z solą losowaną raz na dobę). Skrót żyje dobę, sól dwie — potem nie da się powiązać prób z adresem. W bazie danych adres IP nie jest zapisywany.
11. Darmowy audyt strony lokalu
Na tavoria.pl/audyt każdy może sprawdzić publicznie dostępną stronę lokalu. Administratorem danych jest Tavoria.
- Adres IP osoby, która zleca sprawdzenie, przetwarzamy wyłącznie w pamięci serwera, najdłużej przez dobę, żeby ograniczyć nadużycia; nie zapisujemy go w bazie.
- Zapisujemy adres sprawdzanej strony, wynik oraz nazwę lokalu, jeżeli strona podaje ją sama. Nazwa firmy bywa imieniem i nazwiskiem przedsiębiorcy.
Dane o stronie pochodzą z tej strony, a nie od osoby, której dotyczą (art. 14 RODO). Wynik jest dostępny tylko pod losowym linkiem, nie jest indeksowany przez wyszukiwarki i znika po 90 dniach.
Wynik można też dostać e-mailem. Wysyłamy go dopiero wtedy, gdy potwierdzisz adres, klikając w link z pierwszej wiadomości (podwójna zgoda) — sam wpis adresu w formularzu niczego nie wysyła. Podstawą jest Twoja zgoda; możesz ją wycofać w każdej chwili, bez wpływu na wcześniejsze wysyłki.
Przedsiębiorca, którego strona została sprawdzona, może zażądać usunięcia wyniku albo wnieść sprzeciw, pisząc na prywatnosc@tavoria.pl.
12. Prośba o rozmowę i zgłoszenie partnera
Formularz „Umów rozmowę” na tavoria.pl przyjmuje imię, telefon albo e-mail, nazwę lokalu i preferowaną porę. Dane służą wyłącznie do odpowiedzi na Twoją prośbę o kontakt w sprawie oferty. Powiadomienie o prośbie trafia do nas pocztą elektroniczną. Adres IP liczymy tylko jako skrót, żeby ograniczyć liczbę prób w ciągu doby. Prośbę usuwamy po 90 dniach, niezależnie od tego, czy doszło do rozmowy.
Formularz „Dla partnerów” (księgowi, instalatorzy kas, hurtownie, agencje) przyjmuje dane kontaktowe osoby z firmy. Służą do odpowiedzi na zgłoszenie i przygotowania umowy partnerskiej. Adresu IP nie zapisujemy. Zgłoszenie, po którym nie zawarliśmy umowy, usuwamy po 180 dniach. Dane partnera, z którym zawarliśmy umowę, przetwarzamy przez czas jej wykonywania i rozliczeń.
13. Wiadomości na start dla restauratora
Po założeniu konta wysyłamy osobie z kontem w panelu kilka wiadomości, które pomagają zacząć: przypomnienie o potwierdzeniu adresu, o publikacji strony i o kodach QR, informację o pierwszej karcie gościa, pytanie „W czym pomóc?” oraz informację o końcu okresu próbnego planu Pro. Każda wiadomość dotyczy wyłącznie Twojego konta i lokalu i milknie, gdy zrobisz to, o czym mówi.
- Nie ma w nich danych gości ani treści promujących alkohol.
- Najwyżej jedna wiadomość dziennie, nigdy w nocy w strefie czasowej lokalu.
- Każdą wiadomość można wyłączyć jednym kliknięciem w stopce, bez logowania, albo przełącznikiem w ustawieniach konta — to jest też sprzeciw wobec wiadomości „W czym pomóc?”.
- Odpowiedzi na te wiadomości trafiają do skrzynki założyciela Tavorii jako zwykła korespondencja.
Zapis, która wiadomość i kiedy została wysłana, przechowujemy 120 dni.
14. Polecenia lokali i program partnerski
Link polecający z kodem lokalu albo partnera niesie kod w adresie strony. Nie zapisujemy niczego w Twoim urządzeniu. Kod podany przy zakładaniu konta czeka przy koncie najwyżej 30 dni — do założenia lokalu.
Lokal polecający widzi nazwę poleconego lokalu i stan nagrody (oczekuje, przyznana, nie kwalifikuje się). Partner widzi wyłącznie nazwę lokalu, jego plan i stan konta — nigdy dane gości ani dane kontaktowe właściciela. Nazwa lokalu prowadzonego jednoosobowo bywa imieniem i nazwiskiem przedsiębiorcy.
Przyznanie, odmowa i cofnięcie nagrody są zapisywane w dzienniku audytu. Gotowy tekst „Poleć Tavorię” wysyła sam restaurator ze swojego telefonu — Tavoria nie wysyła niczego do osób, które poleca.
15. Propozycja strony dla lokalu
Niektórym lokalom sami proponujemy stronę. Dane — nazwę lokalu, miasto, adres strony lub karty menu oraz, jeżeli są publiczne, firmowy e-mail i telefon — bierzemy z publicznie dostępnych źródeł: strony lokalu, wizytówek w sieci, CEIDG. Nie pochodzą od Ciebie, dlatego informację z art. 14 RODO dostajesz najpóźniej przy pierwszym kontakcie.
- Pierwszy kontakt to wyłącznie pocztówka pocztą albo wizyta osobista. Nie wysyłamy w tej sprawie e-maili ani SMS-ów i nie dzwonimy bez Twojej zgody.
- Z Twojej strony bierzemy tylko tekst karty (dania, opisy, ceny) — bez zdjęć i bez innych tekstów. Tekst trafia do dostawcy modelu językowego, który układa z niego szkic.
- Szkic jest prywatny: dostępny tylko pod linkiem z kodu na pocztówce, niewidoczny dla wyszukiwarek, znika po 30 dniach. Karta trafia do lokalu dopiero wtedy, gdy po rejestracji restaurator ją zatwierdzi.
- Dane lokalu z naszej listy usuwamy najpóźniej po 6 miesiącach od dodania. Po odmowie zostaje przez 30 dni sam stan z nazwą i miastem, a dane kontaktowe znikają od razu.
Sprzeciw działa jednym przyciskiem „Nie kontaktujcie się ze mną” na podglądzie szkicu, bez konta, albo mailem na prywatnosc@tavoria.pl. Szkic znika, a lokal trafia na listę „nie kontaktować”. Ta lista jest trwała, bo sprzeciw trzeba pamiętać, ale zawiera wyłącznie skróty danych (nie da się z nich odczytać adresu ani telefonu).
16. Zlecenie „Zróbcie to za mnie”
Restaurator może zlecić nam ustawienie karty i strony, przesyłając pliki karty i notatkę. Zlecenie realizujemy z panelu lokalu na podstawie zgody wyrażonej przy jego wysłaniu; każde wejście jest zapisane w dzienniku audytu z powodem. Stronę publikuje sam właściciel.
Zdjęcie karty z telefonu bywa zdjęciem sali z ludźmi, dlatego pliki i notatkę usuwamy 30 dni po zamknięciu zlecenia.
17. Funkcje stron lokali, w których Tavoria działa w imieniu restauracji
W tych funkcjach administratorem danych gościa jest restauracja, a Tavoria przetwarza je na jej polecenie, na podstawie umowy powierzenia. Szczegóły, w tym podstawy prawne, podaje polityka prywatności restauracji na jej stronie.
Asystent AI na stronie lokalu:
- Gość wie, że rozmawia z automatycznym asystentem (AI), zanim cokolwiek wpisze. Asystent odpowiada tylko na podstawie informacji ze strony lokalu.
- Pytanie trafia do dostawcy modelu językowego (OpenAI) wyłącznie po to, żeby na nie odpowiedzieć. Rozmów nie zapisujemy — ani w bazie, ani w dziennikach. Poprzednie wypowiedzi pamięta tylko przeglądarka gościa.
- Restauracja widzi wyłącznie ogólne statystyki pytań (pytanie ogólne, temat, liczby) — bez adresu IP, godziny i identyfikatora rozmowy, z usuniętymi adresami e-mail i liczbami. Statystyki usuwamy po 30 dniach.
- Przy polu pytania prosimy, by nie wpisywać danych osobowych ani informacji o zdrowiu.
Prośba o stolik, przypomnienie i odwołanie:
- Prośba zawiera imię, telefon albo e-mail, termin, liczbę osób i uwagi. Gość z adresem e-mail dostaje przypomnienie przed wizytą w czasie ustawionym przez lokal (domyślnie dzień wcześniej), bez treści promocyjnych i nigdy w nocy.
- Przypomnienie ma linki „Będę” i „Nie przyjdę”, a e-mail z potwierdzeniem stolika — link do odwołania. Link tylko otwiera stronę z pytaniem — stolik odwołuje dopiero przycisk. Link nie zawiera danych gościa i wygasa z godziną wizyty.
- Restauracja widzi odpowiedź gościa i dostaje powiadomienie bez jego danych (termin, liczba osób). Liczy wyłącznie sumy nieprzyjść dla całego lokalu — bez listy i licznika po osobie.
- Prośbę razem z odpowiedzią usuwamy 90 dni po terminie wizyty.
Zamawianie z telefonu do stolika i na wynos z płatnością na miejscu:
- Zamówienie zawiera wybrane pozycje, kwotę, stolik albo porę odbioru i uwagi, a zamówienie na wynos — także powiązanie z kontem gościa. Płatność odbywa się w lokalu — przez stronę nie przechodzą dane karty płatniczej.
- Niezbędne ciasteczko „tavoria.zamowienie” z losowym identyfikatorem urządzenia (pkt 9) wiąże telefon z zamówieniem przy stoliku. Do ograniczania nadużyć zapisujemy przy zamówieniu wyłącznie skróty identyfikatora urządzenia i adresu IP.
- Gość zamawiający na wynos dostaje e-mail z godziną odbioru po przyjęciu zamówienia albo wiadomość o jego odrzuceniu — bez treści promocyjnych.
- Zamówienia usuwamy 90 dni po złożeniu.
- Jeżeli zamówienie na wynos nie zostanie odebrane, obsługa lokalu może — decyzją człowieka, nigdy automatycznie — zablokować gościowi kolejne zamówienia na wynos. Przy blokadzie zapisujemy powód, zamówienie, którego dotyczy, i krótką notatkę obsługi (do 200 znaków), a panel pokazuje liczbę nieodebranych zamówień gościa z ostatnich 90 dni. Blokada nie dotyczy zamówień przy stoliku ani karty stałego gościa, gość dowiaduje się o niej przy próbie zamówienia, a lokal może ją zdjąć w każdej chwili. Wygasa sama po 180 dniach; usunięcie konta gościa zdejmuje ją od razu.
18. Zmiany polityki
O istotnych zmianach informujemy pocztą elektroniczną z 14-dniowym wyprzedzeniem. Każda wersja polityki pozostaje dostępna pod własnym adresem.