Polityka Prywatności Aplikacji KawaPass

Z uwagi na prowadzenie Serwisu w formule działalności nierejestrowanej na terytorium Rzeczypospolitej Polskiej, Administratorem Danych Osobowych Użytkowników oraz Partnerów jest osoba fizyczna zarządzająca platformą KawaPass (kontakt e-mail: app.kawapass@gmail.com).

Wszelkie dane osobowe są gromadzone i przetwarzane w ścisłej zgodności z przepisami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych, zwane dalej „RODO").

Przetwarzamy dane osobowe w zależności od roli, jaką podmiot pełni w naszym Serwisie:

A. Dane Użytkowników (Klientów kupujących karnety):

• Dane identyfikacyjne i kontaktowe podawane podczas rejestracji: adres e-mail, nazwa użytkownika (handle), unikalny identyfikator konta.
• Dane transakcyjne i eksploatacyjne: historia zakupionych karnetów, historia skanowań kodów QR w poszczególnych lokalach, unikalne tokeny weryfikacyjne.
• Dane techniczne: adres IP, identyfikator urządzenia mobilnego, wersja systemu operacyjnego, logi systemowe.

B. Dane Partnerów (Właścicieli i menedżerów kawiarni):

• Imię i nazwisko, adres e-mail, numer telefonu, nazwa i adres kawiarni.
• W przypadku firm: firma (nazwa), numer NIP, adres rejestrowy.
• Identyfikatory platformowe: Unikalny numer identyfikacyjny konta Stripe Connect (KawaPass nie zbiera, nie przetwarza ani nie przechowuje numerów kont bankowych kawiarni partnerów — proces ten jest w całości oddelegowany do bezpiecznego systemu Stripe).

Dane osobowe przetwarzane są w następujących celach:

• Świadczenie usług drogą elektroniczną (Art. 6 ust. 1 lit. b RODO): W celu rejestracji konta, obsługi cyfrowego portfela karnetów, generowania kodów QR oraz umożliwienia realizacji usług w lokalach gastronomicznych.
• Obsługa płatności i realizacja wypłat (Art. 6 ust. 1 lit. b oraz lit. c RODO): Przetwarzanie niezbędne do wykonania umowy pośrednictwa handlowego oraz podziału środków za pomocą infrastruktury płatniczej.
• Wypełnienie obowiązków prawnych i księgowych (Art. 6 ust. 1 lit. c RODO): Rozliczanie przychodów z działalności nierejestrowanej oraz wystawianie rachunków bądź faktur bez NIP dla Lokali Partnerskich.
• Prawnie uzasadniony interes Administratora (Art. 6 ust. 1 lit. f RODO): Zapobieganie oszustwom, nadużyciom kodów QR, obsługa zgłoszeń reklamacyjnych, dochodzenie roszczeń oraz obrona przed roszczeniami, a także analiza stabilności i optymalizacja działania aplikacji.

Przetwarzanie danych finansowych: KawaPass nie przechowuje ani bezpośrednio nie przetwarza pełnych danych kart płatniczych, danych autoryzacyjnych systemów bankowych, kodów BLIK ani numerów kont bankowych naszych partnerów. Wszystkie operacje płatnicze, podział funduszy (split-payments) oraz zbieranie danych do wypłat realizowane są bezpośrednio przez zewnętrznego, certyfikowanego dostawcę infrastruktury płatniczej — Stripe Payments Europe, Ltd. z siedzibą w Irlandii.

Dane osobowe, finansowe oraz ewentualne dokumenty tożsamości przekazywane podczas konfiguracji kont wypłat przez Lokale Partnerskie trafiają bezpośrednio do systemów Stripe na mocy umów o partnerstwie platformowym (Stripe Connect Platform Agreement). Szczegółowe zasady ochrony danych przez dostawcę płatności określa Polityka Prywatności Stripe dostępna na stronie: https://stripe.com/privacy.

Dane osobowe mogą być przekazywane wyłącznie następującym kategoriom odbiorców:

• Lokale Partnerskie (Connected Accounts): W celu umożliwienia poprawnego skanowania, walidacji salda karnetu oraz wydania fizycznego paragonu fiskalnego na ladzie, aplikacja programowo udostępnia kawiarni obsługującej Użytkownika minimalny, niezbędny zestaw danych (unikalny token passu, nazwę użytkownika oraz status transakcji). W momencie wydruku paragonu, kawiarnia staje się odrębnym administratorem danych niezbędnych do realizacji obowiązku fiskalnego.
• Podmioty przetwarzające (Procesory): Dostawcy usług hostingowych, bazodanowych (w tym Supabase/Lovable) oraz narzędzi analitycznych, z którymi Administrator współpracuje w celu utrzymania aplikacji.
• Organy publiczne: Urzędy skarbowe lub organy ścigania, wyłącznie w przypadkach wyraźnie wymaganych przez bezwzględnie obowiązujące przepisy prawa polskiego.

Dane osobowe będą przechowywane przez okres niezbędny do realizacji celów określonych w niniejszej Polityce:

• Dane konta Użytkownika — przez cały czas aktywności konta w aplikacji lub do momentu zgłoszenia żądania jego usunięcia.
• Dane transakcyjne, zakupowe i rozliczeniowe — przez okres wymagany przepisami prawa podatkowego (standardowo 5 lat od końca roku podatkowego, w którym dokonano rozliczenia).
• Dane przetwarzane na podstawie uzasadnionego interesu — do czasu zgłoszenia skutecznego sprzeciwu lub przedawnienia ewentualnych roszczeń cywilnoprawnych.

Każdej osobie, której dane przetwarzamy, przysługują następujące prawa wynikające z RODO:

• Prawo dostępu do swoich danych oraz otrzymania ich kopii;
• Prawo do sprostowania (poprawiania) swoich danych;
• Prawo do usunięcia danych („prawo do bycia zapomnianym") — o ile nie zachodzą przesłanki prawne nakazujące ich dalsze przechowywanie;
• Prawo do ograniczenia przetwarzania danych;
• Prawo do przenoszenia danych do innego administratora;
• Prawo do wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora;
• Prawo do wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

W celu realizacji swoich praw, należy skontaktować się z nami pod adresem e-mail: app.kawapass@gmail.com.

Stosujemy odpowiednie techniczne i organizacyjne środki bezpieczeństwa, w tym szyfrowanie transmisji danych protokołem SSL/TLS, tokenizację sesji oraz restrykcyjne zarządzanie dostępem do baz danych. Co do zasady, dane nie są przekazywane poza Europejski Obszar Gospodarczy (EOG), z wyjątkiem integracji z systemem płatności Stripe, który zapewnia odpowiedni poziom ochrony danych poprzez stosowanie m.in. Standardowych Klauzul Umownych zatwierdzonych przez Komisję Europejską.

Zastrzegamy sobie prawo do wprowadzania zmian w niniejszej Polityce prywatności w dowolnym momencie (np. ze względu na modyfikacje procesów technicznych, zmiany w architekturze Stripe lub nowe regulacje prawne). Wszelkie zmiany wchodzą w życie z efektem natychmiastowym w momencie ich opublikowania w Serwisie lub na stronie internetowej KawaPass. Dalsze korzystanie z aplikacji po opublikowaniu zmian oznacza ich pełną akceptację.