Политика конфиденциальности (GDPR и KVKK)
Кто отвечает за данные
За данные аккаунтов, оплаты и сайта владельцев заведений и сотрудников, а также за аккаунты гостей отвечает команда QRder. За данные заказов гостей заведения (что заказано за каким столиком) отвечает заведение как контролёр, а QRder действует как его обработчик, см. Условия обработки данных. Этот текст также является информационным уведомлением, которого требует турецкий закон о защите персональных данных (KVKK, закон № 6698).
Какие данные мы обрабатываем
Аккаунт: e-mail, пароль (хранится только в виде хеша), вход через Google, имя, аватар. Профиль (по желанию): полное имя, телефон, страна, день рождения только как месяц и день. Гости, которые не входят в аккаунт, получают анонимный аккаунт без личных данных. Заказы: позиции, столик, примечания, статус, по желанию имя и телефон. Лояльность: штампы, награды, посещения «сюрприз-бокса», баллы мэра и заданий, избранное, предпочитаемый язык. Устройство: подписка на push-уведомления, если вы её разрешили, cookie и локальное хранилище (см. Политику cookie), IP-адрес для проверок безопасности. Сотрудники: имя, роль, e-mail приглашения, PIN официанта. Оплата заведения: название компании или имя человека, адрес, e-mail, телефон, налоговый или идентификационный номер. Данные карты QRder никогда не хранит, их напрямую обрабатывает iyzico. Имена, телефоны, e-mail и идентификационные номера шифруются в нашей базе данных.
Зачем мы используем данные и на каком основании
Чтобы работал сервис, доставлялись заказы и велись аккаунты (исполнение договора). Чтобы выставлять счета и вести учёт (обязанность по закону). Чтобы предотвращать злоупотребления, защищать платформу и проверять, что вы человек (законный интерес). Чтобы отправлять обновления по заказам и уведомления, о которых вы просили (договор или согласие там, где оно нужно, его можно отозвать). Чтобы работали функции лояльности и сюрприз ко дню рождения (договор, а для необязательных даты рождения и страны согласие). По турецкому праву это соответствует основаниям из статей 5 и 6 KVKK.
Кто получает данные
Только нужные нам поставщики услуг: Supabase (база данных, вход, хранение файлов), Vercel (хостинг), iyzico (платежи за подписку), Resend или SMTP-почта, например Gmail (e-mail), push-сервисы браузеров Apple, Google или Mozilla (уведомления), Cloudflare (проверка Turnstile), Google (вход через Google, данные Places, Cloud Translation и Gemini для текстов меню, а также Business Profile, если заведение его подключило) и Microsoft Azure (перевод текстов меню, если включён). Названия и описания блюд, написанные заведениями, отправляются поставщику перевода, данные гостей нет. Заведение видит заказы своих гостей и, для программы лояльности, нужные ему данные участников. Государственные органы получают данные только тогда, когда этого требует закон. Мы не продаём персональные данные и не используем их для рекламы.
Передача за границу
Некоторые поставщики обрабатывают данные за пределами Турции и Европейской экономической зоны. Вы можете запросить у нас подробности.
Как долго мы храним данные
Аккаунты клиентов без активности в течение 90 дней удаляются автоматически. Примерно за 14 дней до этого мы отправляем одно предупреждение (по e-mail и, если включено, push-уведомлением); один вход в аккаунт сохраняет его. Анонимные гостевые аккаунты удаляются после 30 дней неактивности. При удалении аккаунта заказы и счета в заведениях сохраняются для бухгалтерии заведений, но обезличиваются (без связи с аккаунтом, без имени, без e-mail, без имени и телефона для выдачи заказа); всё остальное о человеке удаляется, например профиль, push-подписки, избранное, программа лояльности, штампы и награды, сканирования визитов. При удалении заведения вместе с ним удаляются его заказы, счета и отчёты, а аккаунты сотрудников, работающих только в этом заведении, удаляются. После ухода владельца записи об оплате подписки (сумма, дата, способ, номер у провайдера) и поля компании и налоговые поля организации сохраняются для бухгалтерии и выполнения требований закона; личные платёжные поля удаляются. Обращения через контактную форму удаляются через 90 дней. История статусов заказа и завершённые запросы обслуживания удаляются через 90 дней. Код подтверждения заказа действует 60 минут. Счётчики безопасности хранятся около одного дня. Некоторые данные могут оставаться у сторонних обработчиков (например, собственная запись клиента у платёжного провайдера) в соответствии с их политиками.
Безопасность
Мы используем шифрование при передаче, шифрование важных полей, правила доступа для каждого заведения, ограничения на попытки входа и ввода PIN, а также проверку на человека против автоматических злоупотреблений. Ни одна система не защищена идеально. Если утечка коснётся вас, мы сообщим вам и органам власти, как требует закон.
Ваши права
Согласно статье 11 KVKK и GDPR вы можете узнать, обрабатываем ли мы ваши данные, получить копию, исправить или удалить данные, ограничить обработку или возразить против неё, отозвать согласие и перенести данные в другой сервис. Клиенты могут сами удалить свой аккаунт в приложении (Аккаунт > Профиль > Удалить мой аккаунт); владельцы заведений удаляют свои заведения в Настройки > Удалить заведение, а затем свой аккаунт. По другим вопросам пишите на контактный адрес, указанный на сайте QRder; мы отвечаем в течение 30 дней. По данным заказов гостей можно также обратиться в заведение.
Жалобы
Если вы считаете, что мы не соблюдаем ваши права, вы можете пожаловаться в Совет по защите персональных данных Турции (Kişisel Verileri Koruma Kurulu) или в орган по защите данных в вашей стране проживания.
Дети
Сервис не предназначен для детей без родителя или опекуна. Не создавайте аккаунт для ребёнка.
Изменения
Мы будем обновлять эту политику, когда меняется сервис или закон.