Umowa powierzenia przetwarzania danych

• Administrator: firma będąca właścicielem konta w Stampaz, z danymi prawnymi podanymi w Ustawieniach.
• Podmiot przetwarzający: Miranda Network, S.L., NIF B-75866194, siedziba: Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), kontakt: support@mirandanetwork.es.

Podmiot przetwarzający przetwarza dane wyłącznie w celu świadczenia usługi kart lojalnościowych: zapisywania klientów, zarządzania pieczątkami, punktami i nagrodami, wydawania i aktualizowania kart w Apple Wallet i Google Wallet, wysyłania powiadomień zleconych przez administratora, statystyk oraz obsługi praw klientów.

Operacje: zbieranie, utrwalanie, przechowywanie, przeglądanie, modyfikowanie, przekazywanie do Apple i Google w celu wydania karty, eksport i usuwanie.

Powierzenie trwa, dopóki firma ma konto w Stampaz.

• Osoby, których dane dotyczą: klienci administratora zapisujący się do jego programu lojalnościowego oraz członkowie jego zespołu korzystający ze skanera.
• Dane: imię; e-mail, telefon i data urodzin, jeśli administrator o nie prosi; historia wizyt, pieczątek, punktów i nagród; preferencja dotycząca ofert; dowód zgody (data, godzina i wersja tekstu); identyfikatory techniczne karty.
• Nie są przetwarzane szczególne kategorie danych ani dane o lokalizacji: o powiadomieniu w pobliżu decyduje telefon klienta.

Administrator wydaje polecenia za pomocą ustawień swojego panelu: jakie dane zbiera, jakie powiadomienia wysyła, jak długo przechowywani są nieaktywni klienci (od 6 do 60 miesięcy) i jakie informacje prawne są wyświetlane klientowi. Przy zapisie klient widzi pierwszą warstwę informacji z danymi administratora, a Stampaz przechowuje dowód jego zgody.

Jeśli podmiot przetwarzający uzna, że polecenie narusza przepisy, poinformuje o tym administratora.

• Przetwarzać dane wyłącznie na udokumentowane polecenie administratora i nie wykorzystywać ich do własnych celów.
• Zapewnić poufność osób upoważnionych do przetwarzania danych.
• Stosować środki bezpieczeństwa z art. 32 RODO: szyfrowanie podczas przesyłania, izolację danych każdej firmy, kontrolę dostępu, kopie zapasowe i rejestr dostępów.
• Pomagać administratorowi w realizacji praw osób, których dane dotyczą. Klienci mogą poprawić i pobrać swoje dane, zrezygnować z ofert i usunąć wszystko ze swojej karty; wnioski, które trafią do podmiotu przetwarzającego, zostaną niezwłocznie przekazane administratorowi.
• Zgłaszać administratorowi naruszenia ochrony danych bez zbędnej zwłoki, a w każdym razie w ciągu maksymalnie 48 godzin od ich stwierdzenia, wraz z dostępnymi informacjami.
• Pomagać administratorowi, w stosownych przypadkach, w ocenach skutków i konsultacjach z organem nadzorczym.
• Udostępniać administratorowi informacje niezbędne do wykazania zgodności i umożliwiać rozsądne audyty, z 30-dniowym wyprzedzeniem i na koszt administratora.
• Prowadzić rejestr kategorii czynności przetwarzania jako podmiot przetwarzający.

Administrator udziela ogólnej zgody na następujące podmioty podprzetwarzające:

• Supabase: baza danych, uwierzytelnianie i przechowywanie (hosting w UE).
• Vercel: hosting aplikacji, uruchamianej w regionie Frankfurt (Unia Europejska).
• Apple i Google: wydawanie i aktualizowanie kart w ich Wallet (wyłącznie zawartość karty: imię, pieczątki lub punkty i kod).

O każdej zmianie podmiotów podprzetwarzających poinformujemy co najmniej 15 dni wcześniej, aby administrator mógł wnieść sprzeciw; jeśli go wniesie, a nie ma alternatywy, może anulować. Każdy podmiot podprzetwarzający podlega równoważnym obowiązkom. Przekazywanie danych poza EOG odbywa się z zabezpieczeniami z rozdziału V RODO (decyzje stwierdzające odpowiedni stopień ochrony, np. Ramy ochrony prywatności danych UE-USA, lub standardowe klauzule umowne).

• Podać swoje dane prawne w Ustawieniach, informować klientów i mieć ważną podstawę prawną.
• Wysyłać oferty tylko osobom, które się na nie zgodziły, i nie nadużywać powiadomień.
• Dbać o to, by jego personel przestrzegał RODO i chronił dostęp do skanera.

Po zakończeniu subskrypcji podmiot przetwarzający automatycznie usuwa wszystkie dane po 30 dniach. W tym czasie administrator może je wyeksportować (JSON). Jeśli administrator usunie konto, usunięcie następuje natychmiast. W formie zablokowanej przechowywane będą wyłącznie dane, których zachowania wymaga prawo.