1. Загальні положення
1.1. Ця Політика конфіденційності визначає правила оброблення персональних даних осіб, які користуються рестораном to.gather, а також сайтом, доступним за адресою togathergdansk.pl.
1.2. Адміністратором персональних даних є SECRET COMPANY spółka z ograniczoną odpowiedzialnością (товариство з обмеженою відповідальністю за польським правом) з місцезнаходженням за адресою: ul. Stępkarska 7/U1, 80-859 Gdańsk, внесене до реєстру підприємців Національного судового реєстру (Krajowy Rejestr Sądowy, KRS), який веде Sąd Rejonowy Gdańsk-Północ w Gdańsku, VII Господарський відділ Національного судового реєстру, за номером KRS 0001147401, NIP 5833529164, REGON 540745816, статутний капітал 5 000 злотих (далі — «Адміністратор» або «to.gather»).
1.3. Зв'язатися з Адміністратором з питань, що стосуються персональних даних, можна:
за адресою електронної пошти: kontakt@togathergdansk.com,
за телефоном: +48 888 333 770,
письмово за адресою місцезнаходження, зазначеною в п. 1.2.
1.4. Адміністратор обробляє персональні дані відповідно до Регламенту (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 р. (GDPR) і польського законодавства про захист персональних даних.
1.5. Адміністратор не призначив інспектора із захисту даних. З усіх питань, що стосуються оброблення даних, можна звернутися до Адміністратора, використовуючи дані, зазначені в п. 1.3.
2. Визначення
Персональні дані означають інформацію про ідентифіковану або таку, що може бути ідентифікована, фізичну особу.
Оброблення означає будь-яку операцію, що здійснюється з персональними даними, таку як збирання, зберігання, використання чи видалення.
Процесор означає суб'єкта, який обробляє персональні дані від імені Адміністратора.
Гість означає особу, яка користується послугами to.gather або сайтом.
3. Цілі, правові підстави та обсяг оброблення
3.1. Бронювання столика
У процесі бронювання Адміністратор обробляє: ім'я, номер телефону, адресу електронної пошти (якщо її вказано), дату й час візиту, кількість гостей, а також зміст приміток, наданих Гостем.
Мета: приймання й обслуговування бронювання, а також зв'язок щодо бронювання. Правова підстава: стаття 6(1)(b) GDPR (дії, необхідні для виконання договору або для вжиття заходів до його укладення) та стаття 6(1)(f) GDPR (законний інтерес, що полягає в підтвердженні й організації візитів).
Якщо в полі приміток Гість добровільно надає відомості про харчову алергію або дієтичні вимоги, які можуть становити дані про стан здоров'я, такі дані обробляються виключно з метою належного виконання бронювання на підставі згоди, вираженої шляхом їх надання (стаття 9(2)(a) GDPR). Надання таких відомостей є добровільним.
3.2. Передоплати, завдатки та розрахунки
У разі бронювання з попереднім замовленням страв чи напоїв, а також бронювання великих груп у визначені дати, Адміністратор стягує завдаток. У зв'язку з цим він обробляє дані, необхідні для розрахунку платежу та оформлення бухгалтерських документів.
Мета: виконання бронювання із завдатком, розрахунок належних сум і виконання податкових та бухгалтерських обов'язків. Правова підстава: стаття 6(1)(b) GDPR (виконання договору) та стаття 6(1)(c) GDPR (правові обов'язки Адміністратора, зокрема ті, що випливають з податкового та бухгалтерського законодавства).
3.3. Ваучери та подарункові картки
У разі придбання ваучера Адміністратор обробляє дані, необхідні для його оформлення, реалізації та розрахунку. Мета: продаж і реалізація ваучера. Правова підстава: стаття 6(1)(b) GDPR та стаття 6(1)(c) GDPR у частині бухгалтерських обов'язків.
3.4. Організація заходів і приватних бронювань
У разі запитів щодо організації заходів, бронювання зали або оренди всього закладу, Адміністратор обробляє контактні дані та відомості, необхідні для підготовки та проведення заходу. Мета: опрацювання запиту, а також організація та проведення заходу. Правова підстава: стаття 6(1)(b) GDPR та стаття 6(1)(f) GDPR (законний інтерес, що полягає в опрацюванні запитів).
3.5. Рекламації
Рекламації можна подавати за адресою електронної пошти kontakt@togathergdansk.com. Під час розгляду рекламації Адміністратор обробляє контактні дані та відомості, що стосуються звернення. Мета: розгляд рекламації. Правова підстава: стаття 6(1)(b) і (c) GDPR, а в частині захисту від можливих претензій — стаття 6(1)(f) GDPR.
3.6. Контакт телефоном та електронною поштою
У разі звернення до to.gather Адміністратор обробляє дані, надані Гостем, такі як ім'я, номер телефону, адреса електронної пошти та зміст повідомлення. Мета: надання відповіді та опрацювання звернення. Правова підстава: стаття 6(1)(f) GDPR (законний інтерес, що полягає у веденні листування та опрацюванні запитів).
3.7. Відеоспостереження (CCTV)
У закладі to.gather ведеться відеоспостереження. Мета: забезпечення безпеки людей і майна, а також установлення, пред'явлення або захист вимог. Правова підстава: стаття 6(1)(f) GDPR (законний інтерес Адміністратора). Обсяг: зображення осіб, які перебувають у зоні спостереження. Записи зберігаються протягом 30 днів, а потім видаляються або перезаписуються, крім випадків, коли запис є доказом у провадженні або Адміністратору стало відомо, що він може бути таким доказом. Зона, охоплена спостереженням, позначена відповідною інформацією.
3.8. Користування сайтом
Під час користування сайтом togathergdansk.pl обробляються технічні дані, такі як IP-адреса, дані про браузер і пристрій, дані про спосіб користування сайтом, а також інформація, що зберігається у файлах cookies та подібних технологіях. Подробиці щодо файлів cookies та інструментів описано в п. 11.
Мета: забезпечення правильної та безпечної роботи сайту, ведення статистики й аналітики, а також маркетингові дії, зокрема ремаркетинг. Правова підстава: стаття 6(1)(f) GDPR (законний інтерес, що полягає в забезпеченні роботи, безпеки та безперервності сайту) щодо необхідних файлів та стаття 6(1)(a) GDPR (згода) щодо статистичних, аналітичних і маркетингових файлів cookies.
3.9. Wi-Fi для Гостей
У закладі надається відкрита мережа Wi-Fi. Підключення до неї не потребує реєстрації або надання персональних даних.
3.10. Маркетинг
Адміністратор може здійснювати маркетингові дії, зокрема, надсилати інформацію про пропозицію та заходи, виключно на підставі окремо вираженої згоди. Мета: надання маркетингової інформації. Правова підстава: стаття 6(1)(a) GDPR (згода), а в частині електронної комунікації — також згода, що вимагається положеннями про надання послуг електронним шляхом і телекомунікаційним правом. Згоду можна будь-коли відкликати без впливу на правомірність оброблення, здійсненого до її відкликання.
3.11. Профілі в соціальних мережах
Адміністратор веде профілі в сервісах Facebook та Instagram. У зв'язку з їх веденням він обробляє дані осіб, які взаємодіють із профілями, зокрема, підписуються на профіль, реагують на дописи, коментують, поширюють контент або звертаються через повідомлення.
Мета: ведення профілів, комунікація з аудиторією та інформування про пропозицію і заходи. Правова підстава: стаття 6(1)(f) GDPR (законний інтерес, що полягає у веденні профілів і комунікації з аудиторією).
Щодо статистики, яку надає Facebook, Адміністратор і Meta Platforms Ireland Limited є спільними адміністраторами даних. Правила оброблення даних цими сервісами визначено в регламентах і політиках конфіденційності їхніх операторів, на які Адміністратор не впливає в тій частині, у якій оператори обробляють дані самостійно.
3.12. Програма лояльності to.gather CLUB
Адміністратор веде програму лояльності to.gather CLUB, у межах якої Гість отримує картку постійного гостя, що додається до Apple Wallet або Google Wallet, та користується cashback і привілеями, які залежать від рівня участі. Програму обслуговує платформа Syrve.
У межах програми Адміністратор обробляє: ім'я, номер телефону, дату народження, історію рахунків і транзакцій, баланс cashback та рівень участі (CLOSER або INSIDER).
Мета: ведення програми лояльності, зокрема реєстрація учасника, видача картки, нарахування cashback, визначення рівня участі та надання привілеїв, зокрема знижки до дня народження. Правова підстава: стаття 6(1)(b) GDPR (виконання договору про участь у програмі), а в частині надсилання маркетингової інформації, пов'язаної з програмою, — стаття 6(1)(a) GDPR (згода).
Рівень участі визначається автоматично на підставі загальної вартості рахунків. Правила, пов'язані з цим профілюванням, описані в п. 10. Дата народження використовується виключно для надання знижки до дня народження.
Участь у програмі є добровільною, і Гість може будь-коли від неї відмовитися.
3.13. Замовлення на винос і доставлення
У разі замовлень на винос та замовлень із доставленням Адміністратор обробляє дані, необхідні для приймання та виконання замовлення.
Мета: приймання та виконання замовлення на винос або з доставленням.
Правова підстава: стаття 6(1)(b) GDPR (виконання договору), а в частині бухгалтерських обов'язків — стаття 6(1)(c) GDPR.
Замовлення, оформлені через зовнішні платформи (Uber Eats, Glovo), підпорядковуються політикам конфіденційності цих платформ, які в цій частині діють як окремі адміністратори даних. У такому разі Адміністратор обробляє дані в обсязі, необхідному для виконання замовлення, переданого відповідною платформою.
4. Добровільність надання даних
Надання даних є добровільним, однак у деяких випадках воно необхідне для користування послугою. Ненадання даних, необхідних для бронювання, розгляду рекламації, оформлення ваучера чи організації заходу, унеможливить надання відповідної послуги.
5. Одержувачі даних і процесори
Персональні дані можуть надаватися суб'єктам, які підтримують Адміністратора у веденні діяльності, зокрема:
Syrve, постачальник платформи, на якій ведеться програма лояльності to.gather CLUB,
Apple Distribution International Ltd, постачальник послуги Apple Wallet, у межах якої видається картка програми лояльності,
Webflow, Inc. (Сполучені Штати), постачальник хостингу та платформи, на якій працює сайт, разом з технічними інструментами цієї платформи, зокрема інструментом моніторингу помилок Sentry,
Cloudflare, Inc. (Сполучені Штати), постачальник послуг мережі доставлення контенту та безпеки,
Google Ireland Limited / Google LLC, постачальник службової пошти Google Workspace, послуги Google Fonts, послуги Google Wallet, а також аналітичних і маркетингових інструментів, зокрема Google Analytics, Google Tag Manager і Google Ads,
Meta Platforms Ireland Limited, оператор сервісів Facebook та Instagram і постачальник інструмента Meta Pixel,
Stape, постачальник послуги серверного керування тегами (server-side Google Tag Manager),
ipapi, постачальник послуги геолокації на підставі IP-адреси,
постачальники бухгалтерських, юридичних та ІТ-послуг в обсязі, необхідному для надання їхніх послуг,
суб'єкти, уповноважені отримувати дані на підставі чинного законодавства, коли вони звертаються з таким запитом на відповідній правовій підставі.
Із суб'єктами, які обробляють дані від імені Адміністратора, укладаються договори про доручення оброблення персональних даних, що відповідають вимогам статті 28 GDPR.
6. Передавання даних за межі Європейського економічного простору
Частина одержувачів та інструментів, зазначених у п. 5 (зокрема Webflow разом з інструментом Sentry, Cloudflare, Google у частині послуг Google Workspace, Google Fonts, Google Wallet, Google Analytics, Google Tag Manager і Google Ads, Meta у частині інструмента Meta Pixel, Apple, Stape та ipapi), має місцезнаходження або обробляє дані у Сполучених Штатах чи в інших країнах поза Європейським економічним простором, що може бути пов'язане з передаванням даних за межі цього простору. Передавання відбувається із застосуванням належних гарантій, передбачених статтями 44 і наступними GDPR, зокрема стандартних договірних положень, затверджених Європейською Комісією, або на підставі рішення про належний рівень захисту, зокрема участі в Data Privacy Framework, якщо відповідний одержувач до нього приєднався.
Оператори соціальних мереж (Facebook, Instagram) можуть передавати дані за межі Європейського економічного простору на умовах, визначених у їхніх власних політиках конфіденційності, на що Адміністратор не впливає.
7. Строк зберігання даних
Персональні дані зберігаються протягом строку, необхідного для досягнення цілей, для яких їх було зібрано:
дані щодо бронювання — протягом строку, необхідного для його виконання, а потім до спливу строку позовної давності за можливими вимогами,
дані, що містяться в бухгалтерських документах, зокрема щодо завдатків, ваучерів і розрахунків, — протягом строку, що вимагається законодавством, як правило 5 років, рахуючи від кінця календарного року, у якому виник податковий обов'язок,
дані, пов'язані з рекламаціями, — протягом строку їх розгляду та до спливу строку позовної давності за вимогами,
записи відеоспостереження — протягом 30 днів, з урахуванням п. 3.7,
дані, що обробляються на підставі згоди, — до її відкликання,
дані, що обробляються на підставі законного інтересу, — до моменту заявлення обґрунтованого заперечення або припинення цього інтересу.
8. Права суб'єктів даних
Суб'єкт даних має право:
- на доступ до своїх даних та отримання їх копії,
- на виправлення даних,
- на видалення даних,
- на обмеження оброблення,
- на переносність даних,
- на заперечення проти оброблення, що ґрунтується на законному інтересі,
- на відкликання згоди в будь-який момент, якщо оброблення здійснюється на підставі згоди, без впливу на правомірність оброблення, здійсненого до відкликання.
Для реалізації цих прав необхідно звернутися до Адміністратора у спосіб, зазначений у п. 1.3.
9. Скарга до наглядового органу
Суб'єкт даних має право подати скаргу Голові Управління із захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, якщо він вважає, що оброблення його даних порушує законодавство про захист персональних даних.
10. Автоматизоване прийняття рішень і профілювання
У межах програми лояльності to.gather CLUB відбувається профілювання, що полягає в автоматичному визначенні рівня участі на підставі загальної вартості рахунків і в доборі привілеїв та пропозицій. Це профілювання не спричиняє щодо Гостя правових наслідків і не впливає на нього подібним істотним чином.
Крім зазначеного випадку, персональні дані не підлягають автоматизованому прийняттю рішень, що спричиняє щодо Гостя правові наслідки або подібним чином істотно на нього впливає.
11. Файли cookies та подібні технології
11.1. Сайт togathergdansk.pl використовує файли cookies та подібні технології в обсязі, необхідному для його правильної та безпечної роботи і для ведення статистики.
11.2. На сайті використовуються:
необхідні (технічні) файли, зокрема файл, що встановлюється Cloudflare, які забезпечують роботу та безпеку сайту,
аналітичні та статистичні файли, зокрема Google Analytics і Google Tag Manager, зокрема в серверному варіанті, що обслуговується Stape,
маркетингові файли та інструменти, зокрема Google Ads і Meta Pixel, що використовуються, зокрема, для ремаркетингу,
послуга геолокації на підставі IP-адреси (ipapi),
послуга Google Fonts, у межах якої постачальнику може передаватися IP-адреса для відображення шрифтів,
інструмент Sentry для діагностики помилок роботи сайту.
11.3. Файли cookies та аналітичні, статистичні й маркетингові інструменти використовуються на підставі згоди Гостя, вираженої через механізм керування згодами, доступний на сайті. Згоду можна будь-коли відкликати або змінити налаштування. Файли, необхідні для роботи сайту, не потребують згоди.
11.4. Налаштування файлів cookies можна змінити в налаштуваннях браузера. Обмеження використання файлів cookies може вплинути на деякі функції сайту.
12. Безпека даних
Адміністратор застосовує належні технічні та організаційні заходи, що забезпечують захист оброблюваних персональних даних, відповідний ризикам і категоріям захищуваних даних, зокрема, захищає дані від надання неуповноваженим особам, втрати чи пошкодження.
13. Дані неповнолітніх
Послуги to.gather, зокрема продаж алкогольних напоїв і заходи, позначені як призначені для повнолітніх, не адресовані особам молодшим 18 років. Адміністратор свідомо не збирає дані неповнолітніх з метою надання таких послуг.
14. Зміни Політики конфіденційності
Адміністратор може оновлювати цю Політику конфіденційності. Актуальна версія публікується на сайті togathergdansk.pl із зазначенням дати набрання нею чинності.
