Polityka prywatności: Stampeo

1. Wprowadzenie

Niniejsza polityka prywatności opisuje, w jaki sposób Stampeo (dalej „my”, „nasz” lub „Platforma”), prowadzone przez Harry'ego Viennot, przedsiębiorcę prowadzącego jednoosobową działalność gospodarczą zarejestrowaną we Francji pod numerem SIRET 10477625700016, zbiera, wykorzystuje, przechowuje i chroni dane osobowe w ramach swojej usługi cyfrowych kart lojalnościowych.

Zobowiązujemy się przestrzegać Ogólnego rozporządzenia o ochronie danych (RODO, rozporządzenie UE 2016/679) oraz francuskiej ustawy o ochronie danych osobowych (Informatique et Libertés).

Niniejsza polityka dotyczy wszystkich użytkowników Platformy: właścicieli firm, pracowników oraz klientów końcowych posiadających kartę lojalnościową.

2. Administrator danych i podmiot przetwarzający

2.1 Użytkownicy Business (właściciele i pracownicy)

Stampeo działa jako administrator danych w odniesieniu do danych kont firmowych (rejestracja, uwierzytelnianie, rozliczenia).

2.2 Klienci końcowi (posiadacze kart lojalnościowych)

Firma korzystająca ze Stampeo jest administratorem danych swoich własnych klientów. Stampeo działa jako podmiot przetwarzający: przetwarzamy dane klientów końcowych wyłącznie w imieniu firmy i zgodnie z jej poleceniami.

Każda firma sama wybiera, jakie informacje zbiera od swoich klientów (anonimowo, sam adres e-mail, imię + e-mail albo pola własne). Domyślnie włączone są adres e-mail i imię.

2.3 Dostęp serwisowy personelu Stampeo

Upoważnieni członkowie personelu Stampeo mogą, w ściśle ograniczonym zakresie, uzyskać dostęp do panelu użytkownika Business wyłącznie w celu udzielenia wsparcia technicznego lub handlowego, zdiagnozowania zgłoszonego problemu albo wypełnienia obowiązku prawnego. Taki dostęp:

• jest tylko do odczytu: w trakcie sesji nie można zmienić, utworzyć ani usunąć żadnych danych;
• może zostać przyznany w kontekście dowolnej roli użytkownika Business (właściciel, administrator lub skaner) i może być ograniczony do wybranej roli albo do konkretnej wskazanej osoby, aby wiernie odtworzyć problem właściwy dla danej roli;
• uruchamia automatyczne powiadomienie e-mail do właściciela firmy w momencie rozpoczęcia sesji, niezależnie od tego, jakiej roli lub jakiej osoby dotyczy;
• jest ograniczony do maksymalnie 60 minut, po których sesja wygasa automatycznie;
• jest rejestrowany na potrzeby audytu: tożsamość członka personelu, firma, której dotyczy, docelowa osoba i rola, podany powód, znaczniki czasu rozpoczęcia i zakończenia, adres IP członka personelu oraz strony przeglądane w trakcie sesji.

Podstawa prawna: prawnie uzasadniony interes (interes operatora w udzielaniu wsparcia i zapewnieniu bezpieczeństwa platformy), wyważony wobec interesów użytkownika Business dzięki opisanym wyżej zabezpieczeniom (tylko do odczytu, ograniczony czas, audyt, powiadomienie). Dzienniki dostępu serwisowego są przechowywane przez 24 miesiące (zob. §8).

3. Zbierane dane

3.1 Użytkownicy Business

Strona internetowa, numer telefonu i odpowiedź na pytanie o źródło informacji o Stampeo są zbierane przy rejestracji i przechowywane w wewnętrznej tabeli dostępnej wyłącznie dla administracji, wykorzystywanej do wsparcia, kontaktu z firmami i analizy procesu wdrożenia. Informacje te nie są pokazywane innym użytkownikom Platformy.

3.2 Pracownicy (rola Skaner)

Te statystyki aktywności są widoczne dla właściciela firmy i dają mu obraz pracy zespołu. Stampeo nie wykorzystuje ich do własnych celów.

3.3 Klienci końcowi

Zbierane dane zależą w całości od konfiguracji wybranej przez firmę. Wszystkie trzy pola identyfikacyjne są opcjonalne i można je wyłączać niezależnie od siebie:

Data urodzin jest zbierana wyłącznie jako dzień i miesiąc. Nie przechowujemy roku, więc nie mamy ani daty urodzenia, ani wieku.

Firmy w planach Growth i Pro mogą dodawać własne pola do swojego formularza rejestracji (na przykład preferencję albo rozmiar). Dla każdego takiego pola firma ustala pytanie oraz krótkie zdanie wyjaśniające, po co je zadaje, wyświetlane klientowi nad przyciskiem odbioru karty. Firma sama decyduje, o co pyta, i występuje jako administrator danych w odniesieniu do tych odpowiedzi; Stampeo przechowuje je jako podmiot przetwarzający, na polecenie firmy, i stosuje do nich te same zasady przechowywania, anonimizacji i usuwania co do każdego innego pola klienta końcowego. Firmom umownie zabrania się wykorzystywania tych pól do zbierania danych płatniczych, danych z dokumentów tożsamości ani danych objętych art. 9 RODO (zdrowie, przekonania religijne lub światopoglądowe, pochodzenie rasowe lub etniczne, poglądy polityczne, przynależność związkowa, orientacja seksualna, dane biometryczne lub genetyczne). Usunięcie pola z formularza rejestracji kasuje również wszystkie zapisane już odpowiedzi na to pytanie.

Platformę można skonfigurować w trybie całkowicie anonimowym (żadne dane osobowe nie są zbierane, wyłącznie identyfikator karty).

3.4 Dane techniczne

W przypadku wszystkich użytkowników możemy zbierać:

• Rodzaj karty (Apple Wallet lub Google Wallet)
• Token urządzenia (device token) do aktualizacji karty
• Dane o korzystaniu wysyłane do PostHog na potrzeby naszych wewnętrznych statystyk produktowych: nazwa zdarzenia, znacznik czasu, przeglądana strona, adres IP odwiedzającego oraz, po utworzeniu konta Business, powiązany identyfikator firmy. Nie zapisujemy żadnych plików cookie ani żadnego identyfikatora w pamięci przeglądarki (zob. §5)
• Kontekst monitorowania błędów wysyłany do Sentry przy wystąpieniu wyjątku: identyfikator użytkownika, identyfikator firmy, ścieżka żądania i ślad stosu (bez adresu e-mail, bez hasła, bez danych płatniczych)
• W przypadku e-maili, które wysyłamy do użytkowników Business, zdarzenia interakcji rejestrowane przez naszego dostawcę poczty (Resend): dostarczenie, otwarcie, kliknięcie (w tym to, w który link nastąpiło kliknięcie), odrzucenie (bounce) i zgłoszenie jako spam, powiązane z identyfikatorem firmy i użytkownika będącego odbiorcą. Służą wyłącznie do mierzenia i ulepszania naszej własnej komunikacji oraz do utrzymania jakości list adresowych, nigdy do celów reklamowych

4. Usługi podmiotów trzecich

Korzystamy z następujących dalszych podmiotów przetwarzających:

Dystrybutorzy (jeśli dotyczy)

Stampeo prowadzi opcjonalny program dystrybutorski. Gdy firma zdecyduje się na obsługę przez partnera dystrybucyjnego, taki dystrybutor otrzymuje pełny dostęp do panelu obsługiwanej firmy (w tym do danych jej klientów końcowych), aby móc prowadzić program lojalnościowy w jej imieniu.

W ujęciu RODO tworzy to łańcuch administrator → podmiot przetwarzający → dalszy podmiot przetwarzający: obsługiwana firma pozostaje administratorem danych swoich klientów końcowych, Stampeo działa jako podmiot przetwarzający, a dystrybutor występuje jako dalszy podmiot przetwarzający, upoważniony wyłącznie w zakresie uzgodnionym z tą firmą. Współpraca z dystrybutorem wymaga podpisanej umowy partnerskiej zawierającej zasady przetwarzania danych opisane w Regulaminie (§9.1). Stampeo może cofnąć dostęp dystrybutora w razie naruszenia lub nadużycia.

Firma, która nie jest obsługiwana przez dystrybutora, nie jest narażona na żaden dostęp dystrybutora.

Transfery poza UE

Niektóre z podmiotów, z których korzystamy (Stripe, Apple, Google), mogą przekazywać dane do Stanów Zjednoczonych. Transfery te odbywają się na podstawie EU-US Data Privacy Framework albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Supabase, OVH, Resend, PostHog, Sentry oraz nasz własny Redis przetwarzają dane wyłącznie na terenie UE.

5. Pliki cookie

Stampeo korzysta z PostHog (hostowanego w UE) do wewnętrznych statystyk produktowych i pomiaru ruchu. PostHog jest skonfigurowany tak, że nie zapisuje żadnych plików cookie służących do śledzenia i nie przechowuje żadnego identyfikatora w pamięci przeglądarki (cookie, localStorage lub odpowiednik). Zdarzenia są ograniczone do bieżącej sesji przeglądarki i nie są łączone pomiędzy wizytami. Adres IP odwiedzającego jest przekazywany na serwer PostHog na potrzeby rejestrowania technicznego i usuwania duplikatów zdarzeń, ale nie jest łączony z trwałym identyfikatorem, nie służy do profilowania ani do reklamy i nie jest udostępniany podmiotom trzecim. Hosting odbywa się w całości na terenie Unii Europejskiej.

W tych warunkach pomiar ruchu prowadzony przez Stampeo mieści się w zwolnieniu z obowiązku zgody, przewidzianym dla ściśle niezbędnego pomiaru ruchu w dyrektywie o prywatności i łączności elektronicznej (ePrivacy) oraz w wytycznych CNIL, i nie wymaga baneru zgody na pliki cookie.

Do uwierzytelniania i zarządzania sesją w panelu firmowym mogą być używane pliki cookie ściśle niezbędne. Takie pliki cookie nie wymagają zgody.

6. Wykorzystanie danych

Zebrane dane wykorzystujemy, aby:

• Świadczyć i utrzymywać usługę cyfrowych kart lojalnościowych
• Generować i aktualizować karty w portfelu
• Wysyłać powiadomienia lojalnościowe (pieczątki, nagrody)
• Zarządzać kontami, subskrypcjami i rozliczeniami
• Wysyłać e-maile transakcyjne i operacyjne (potwierdzenie konta, odzyskanie karty, powiadomienia dotyczące okresu próbnego, potwierdzenia zmiany planu, informację wysyłaną przed każdym rocznym odnowieniem subskrypcji oraz inne powiadomienia rozliczeniowe; zob. Regulamin §5.7)
• Tworzyć zanonimizowane statystyki dla firm
• Tworzyć zbiorcze, wewnętrzne statystyki produktowe pozwalające zrozumieć, jak Platforma jest używana we wszystkich firmach, wykrywać nadużycia i ustalać priorytety ulepszeń
• Wysyłać użytkownikom Business ograniczoną liczbę e-maili cyklu życia i marketingowych, z zastrzeżeniem sprzeciwu opisanego w §6.1
• Ulepszać Platformę

Nigdy nie sprzedajemy danych osobowych. Nie prowadzimy żadnego śledzenia pomiędzy firmami: dane klienta w jednej firmie są całkowicie odseparowane od jego danych w innej.

6.1 E-maile cyklu życia i marketingowe do użytkowników Business

Poza wymienionymi wyżej e-mailami transakcyjnymi i operacyjnymi wysyłamy użytkownikom Business ograniczoną liczbę e-maili cyklu życia i marketingowych: wskazówki dotyczące wdrożenia i uruchomienia programu, przypomnienia, gdy konto zostało założone, ale nie jest jeszcze używane, okresowe podsumowanie aktywności, ogłoszenia o nowościach produktowych oraz wiadomości odzyskujące po rezygnacji.

• Podstawa prawna: nasz prawnie uzasadniony interes w pomaganiu użytkownikom Business w czerpaniu korzyści z Platformy oraz w promowaniu funkcji usługi, z której już korzystają (art. 6 ust. 1 lit. f RODO), przy czym w zakresie pozyskiwania klientów opieramy się na obowiązującej między przedsiębiorcami zasadzie „soft opt-in” przewidzianej w dyrektywie ePrivacy i w art. L34-5 francuskiej ustawy LCEN.
• Sprzeciw: każdy taki e-mail zawiera link wypisu w jednym kliknięciu oraz link do strony preferencji, na której użytkownik Business może zrezygnować niezależnie w podziale na kategorie: ponowne zaangażowanie, marketing i nowości produktowe. E-maile transakcyjne i operacyjne opisane w §5.7 Regulaminu są wyłączone z tego sprzeciwu, ponieważ są niezbędne do administrowania kontem.
• Aby mierzyć i ulepszać tę komunikację, rejestrujemy zdarzenia interakcji opisane w §3.4.

Dotyczy to wyłącznie e-maili, które Stampeo wysyła do własnych użytkowników Business. To co innego niż powiadomienia w portfelu, które firma wysyła do swoich klientów końcowych, opisane w §7.

7. Powiadomienia

Gdy klient doda kartę do portfela, karta może otrzymywać powiadomienia od firmy, która ją wydała. Istnieją dwie kategorie, każda z odrębną podstawą prawną.

7.1 Powiadomienia transakcyjne

Wysyłane automatycznie w odpowiedzi na aktywność klienta: otrzymana pieczątka, zdobyte punkty, osiągnięty próg, zdobyta nagroda, odebrana nagroda.

• Podstawa prawna: wykonanie usługi lojalnościowej (art. 6 ust. 1 lit. b RODO), w imieniu firmy będącej administratorem danych.
• Treść: ściśle związana z aktywnością własnej karty lojalnościowej klienta.

7.2 Rozsyłki promocyjne

Firmy w planach Growth i Pro mogą wysyłać rozsyłki do posiadaczy swoich kart (na przykład: oferta sezonowa, nowa pozycja w menu, wydarzenie specjalne). Growth ma miesięczny limit; Pro jest bez limitu. Plan Starter nie pozwala wysyłać rozsyłek.

• Podstawa prawna: prawnie uzasadniony interes firmy w prowadzeniu marketingu wobec swoich obecnych klientów (art. 6 ust. 1 lit. f RODO), w połączeniu z zasadą „soft opt-in” przewidzianą w dyrektywie ePrivacy (art. 13 ust. 2) i w art. L34-5 francuskiej ustawy LCEN. To zwolnienie z obowiązku uprzedniej wyraźnej zgody ma zastosowanie, ponieważ (a) dane kontaktowe klienta zostały pozyskane przy okazji świadczenia usługi (zainstalowania karty lojalnościowej firmy), (b) wiadomość dotyczy podobnych produktów lub usług tej samej firmy oraz (c) przy każdej wiadomości dostępny jest prosty i bezpłatny sposób wniesienia sprzeciwu (zob. 7.3).
• Zakres, ściśle własny. Firma może używać rozsyłek wyłącznie po to, aby docierać do swoich własnych posiadaczy kart w sprawie swoich własnych produktów, usług lub ofert. Rozsyłek nie wolno używać do reklamy podmiotów trzecich, promocji krzyżowej pomiędzy firmami, udostępniania danych ani do treści niezwiązanych z ofertą samej firmy. Ograniczenia te są zapisane w Regulaminie (§8), a ich naruszenie stanowi podstawę do zawieszenia konta. To one utrzymują w mocy zwolnienie „soft opt-in”.

7.3 Rezygnacja

Każda karta udostępnia przełącznik powiadomień dla tej karty w Apple Wallet i Google Wallet. Jego wyłączenie jest jedynym, standardowym w branży sposobem rezygnacji i jest prawnie wystarczające zarówno dla wiadomości transakcyjnych, jak i promocyjnych na tej karcie. To ten sam element sterujący, z którego korzysta każdy duży program lojalnościowy oparty na portfelu.

Ponieważ system portfela udostępnia jeden przełącznik na kartę, jego wyłączenie wyłącza jednocześnie wiadomości transakcyjne i promocyjne dla tej karty. To ograniczenie samego portfela, a nie decyzja Stampeo. Klient, który chce zatrzymać wyłącznie wiadomości promocyjne, może: poprosić firmę o wykluczenie go z przyszłych rozsyłek (Regulamin zobowiązuje firmy do respektowania takich próśb) albo usunąć kartę z portfela.

7.4 Obowiązki firmy

Firmy korzystające z rozsyłek muszą opublikować własną informację o prywatności skierowaną do swoich klientów, pozostać w opisanym wyżej zakresie własnym oraz respektować sprzeciwy otrzymane dowolnym kanałem (ustnie, e-mailem, osobiście), wykluczając klienta z przyszłych rozsyłek albo unieważniając kartę. Obowiązki te są szczegółowo opisane w Regulaminie §8.

8. Okres przechowywania danych

Okres 24 miesięcy dla dzienników dostępu serwisowego został ustalony tak, aby umożliwić zbadanie incydentu bezpieczeństwa, pozostając jednocześnie proporcjonalnym do tego celu, zgodnie z wytycznymi CNIL dotyczącymi rejestrowania zdarzeń bezpieczeństwa.

Gdy konto Business staje się nieaktywne, przechowujemy jego dane maksymalnie przez 12 miesięcy, aby umożliwić ponowną aktywację, wysyłając wcześniej dwa e-maile z ostrzeżeniem przed trwałym usunięciem. W momencie usunięcia dane osobowe konta Business są usuwane, a dane osobowe klientów końcowych są nieodwracalnie anonimizowane; zanonimizowane statystyki mogą zostać zachowane. Dane rozliczeniowe są przechowywane przez 10 lat, zgodnie z wymogiem prawa.

9. Usunięcie karty przez klienta końcowego

Gdy klient usunie kartę z portfela:

• Jego dane identyfikujące (e-mail, imię, numer telefonu) są anonimizowane na żądanie
• Historia wizyt jest zachowywana w formie zanonimizowanej na potrzeby statystyk firmy
• Klient może zażądać całkowitego usunięcia danych, kontaktując się z daną firmą lub bezpośrednio ze Stampeo

10. Prawa użytkowników

Zgodnie z RODO użytkownikowi przysługują następujące prawa:

• Dostęp: uzyskanie kopii swoich danych osobowych
• Sprostowanie: poprawienie nieprawidłowych danych
• Usunięcie: żądanie usunięcia swoich danych
• Ograniczenie: ograniczenie przetwarzania swoich danych
• Przenoszenie: otrzymanie swoich danych w ustrukturyzowanym formacie
• Sprzeciw: wniesienie sprzeciwu wobec przetwarzania swoich danych

Użytkownicy Business i pracownicy: prosimy o kontakt pod adresem contact@stampeo.app.

Klienci końcowi: prosimy najpierw o kontakt z firmą zarządzającą kartą lojalnościową. Można też napisać do nas pod adresem contact@stampeo.app.

Na wszystkie wnioski odpowiadamy w ciągu 30 dni. W razie skargi można ją złożyć do CNIL (francuskiego organu ochrony danych): www.cnil.fr.

10.1 Prawo sprzeciwu wobec dostępu serwisowego

Użytkownicy Business mogą, na pisemny wniosek wysłany na adres contact@stampeo.app, zażądać, aby na ich koncie nie był otwierany żaden dostęp serwisowy (§2.3) poza zgłoszeniem, które sami otworzyli. Możliwość ta jest oferowana w ramach kurtuazji umownej i nie obejmuje przypadków, w których taki dostęp jest wymagany przez prawo, przez orzeczenie sądu albo przez bezpośrednio zagrażający Platformie incydent bezpieczeństwa.

11. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne chroniące dane:

• Szyfrowanie w transmisji (TLS/HTTPS)
• Hasła haszowane bezpiecznymi algorytmami
• Ograniczony i kontrolowany dostęp do bazy danych
• Odseparowanie danych pomiędzy firmami (architektura wielodostępna)
• Hosting na terenie UE (Supabase Irlandia, OVH Francja)
• Certyfikaty podpisu Apple Pass osobne dla każdej firmy, szyfrowane w spoczynku algorytmem AES-256-GCM

W razie naruszenia ochrony danych osobowych Stampeo zawiadomi CNIL w ciągu 72 godzin od jego wykrycia oraz poinformuje administratorów, których naruszenie dotyczy (lub, w odpowiednich przypadkach, osoby, których dane dotyczą), zgodnie z art. 33 i 34 RODO.

12. Osoby niepełnoletnie

Platforma nie jest przeznaczona dla osób poniżej 16. roku życia. Nie zbieramy świadomie danych osób poniżej 16. roku życia. Konta Business są zastrzeżone dla osób, które ukończyły 18 lat.

13. Zmiany

Możemy aktualizować niniejszą politykę prywatności. W razie istotnych zmian użytkownicy Business zostaną poinformowani e-mailem. Data ostatniej aktualizacji jest podana na górze tego dokumentu.

14. Kontakt

• E-mail: contact@stampeo.app
• Administrator danych: Harry Viennot, Stampeo
• SIRET: 10477625700016
• Adres: 20 rue Marcel Paul, Bat. D Apt. 133-B, 94800 Villejuif, Francja