Informacja o prywatności
1. Administrator danych
Blooms Coffee Club GmbH
An der Frauenkirche 18, 01067 Dresden
Reprezentowany przez: Hakan Özgür, Geschäftsführer
hello@7-labs.de
2. Czym jest COFFEE+
COFFEE+ to projekt Blooms. Osoba otrzymuje ograniczony benefit kawowy, po czym wybiera dokładnie jedną kolejną osobę. Niektóre kampanie mają też ograniczoną pulę publiczną. Aplikacja obsługuje kody, linki, terminy, przyjęcia, kolejne wybory, rezygnacje i odbiory.
3. Przetwarzane dane
Zależnie od użycia: imię, nazwisko, e-mail i telefon tylko po włączeniu; kampania, kody, statusy i daty; pochodzenie publiczne/z zaproszenia oraz relacja zaproszenia; odbiór; kroki pilotażu (otwarcie, przyjęcie, udostępnienie, WhatsApp/kopiowanie); dobrowolne odpowiedzi; status wysyłki; sesja i bezpieczeństwo. Wybrany język jest zapisywany dla stron i e-maili.
4. Dostęp i logi serwera
Przy dostępie przetwarzane są niezbędne IP, czas, URL, status transmisji, przeglądarka i system dla działania strony, analizy błędów i ochrony przed atakami. Podstawa: RODO art. 6(1)(f), bezpieczeństwo i stabilność. Hosting może według opublikowanych zasad przechowywać logi czasowo, dłużej przy incydentach.
5. Niezbędna sesja
Niezbędna sesja PHP przyporządkowuje kody, chroni formularze, rozpoznaje zalogowanych gości i zabezpiecza administrację. Brak cookies analitycznych, reklamowych i śledzenia społecznościowego. Sesja zapamiętuje też wybrany język.
6. Otwieranie i sprawdzanie zaproszeń
Otwarcie linku lub wpisanie kodu przetwarza kod, kampanię, ważność i sesję w celu sprawdzenia istnienia, ważności i niewykorzystania. Podstawa: RODO art. 6(1)(b) dla zamówionej funkcji; dodatkowo art. 6(1)(f) dla bezpieczeństwa i kontroli nadużyć.
7. Rozpoczęcie lub przyjęcie
Rejestracja publiczna zapisuje imię, nazwisko i e-mail weryfikowany linkiem. Rezerwacja jest tymczasowa i zwalniana po wygaśnięciu bez potwierdzenia. Zaproszenia osobiste zapisują pola kampanii, status, czas i relację zaproszenia. Podstawa: RODO art. 6(1)(b) dla realizacji benefitu; 6(1)(f) przeciw wielokrotnemu odbiorowi, nadużyciom i przekroczeniom.
8. Wybór kolejnej osoby
Wybór tworzy zaproszenie z kodem, zapraszającym, aktywacją, ważnością i statusem. Odbiorca zwykle nie jest znany z nazwiska do przyjęcia, gdy zapisuje się relację. COFFEE+ może przygotować tekst z imieniem i linkiem. Użytkownik wybiera odbiorcę.
9. E-maile potwierdzające
Przy włączonym e-mailu i potwierdzeniach adres służy do potwierdzania przyjęcia/odbioru i przekazania miejsca, czasu, wskazówek i linków kampanii. Podstawa: RODO art. 6(1)(b). Przyjęcie, odmowa lub rezygnacja mogą powiadomić zapraszającego, gdy dostępny jest adres i funkcja; wyłącznie dla obsługi zaproszenia.
10. Dobrowolne przypomnienia
Dodatkowe przypomnienia wymagają wyraźnej, dobrowolnej zgody według RODO art. 6(1)(a), odwołalnej na przyszłość w dowolnym momencie przez link. Odmowa lub wycofanie nie wpływa na potwierdzony Coffee+. System nie używa adresu do reklam niezwiązanych z kampanią.
11. Odbiór i rejestracja
Upoważnione osoby wyszukują uczestnika na liście i potwierdzają odbiór. Status i czas zapisuje się dla realizacji benefitu i zapobiegania wielokrotnemu odbiorowi. Podstawa: RODO art. 6(1)(b), dodatkowo 6(1)(f) dla bezpieczeństwa i dowodów.
12. Ochrona przed nadużyciami
Limity chronią wrażliwe operacje, np. błędne kody i nieudane logowania administratora. Aplikacja zapisuje hash SHA-256 IP, typ operacji, liczbę prób i ewentualny czas blokady, nie trwały jawny IP. Podstawa: RODO art. 6(1)(f), ochrona systemu, benefitów i kont przed automatycznymi atakami i nadużyciem.
13. Hosting i wysyłka e-maili
Strona, baza i e-mail korzystają z ALL-INKL.COM – Neue Medien Münnich, właściciel René Münnich, Hauptstraße 68, 02742 Friedersdorf. Dostawca przetwarza dane techniczne i osobowe dla hostingu/poczty, jako podmiot przetwarzający na podstawie umowy RODO art. 28. Celowy transfer danych uczestników poza UE/EOG nie jest obecnie planowany.
14. Linki zewnętrzne i media społecznościowe
Linki do stron/mediów mogą być na stronie lub w e-mailach bez ładowania wtyczek i pikseli w COFFEE+. Dopiero kliknięcie opuszcza COFFEE+; dalej obowiązuje polityka zewnętrznego dostawcy.
15. WhatsApp
COFFEE+ sam nie wysyła wiadomości WhatsApp. Przycisk otwiera WhatsApp z tekstem i linkiem. Użytkownik wybiera tam odbiorcę i wysyła. Dalsze przetwarzanie reguluje prywatność WhatsApp.
16. Odbiorcy i uprawnienia dostępu
Dostęp tylko dla osób potrzebujących danych do administracji, zarządzania, wsparcia lub odbioru. Blooms administruje własnymi kampaniami. Dla odrębnego operatora role zależałyby od rzeczywistych decyzji o celach i istotnych środkach, nie samej nazwy umowy: przetwarzający, administrator samodzielny lub wspólny. Powierzenie wymaga umowy RODO art. 28.
17. Analiza pilotażu bez śledzenia reklamowego
Wewnętrzne logi produktu/pilotażu rejestrują otwarcie, początek przyjęcia, widok i kliknięcia udostępniania, przypisane do kampanii i istniejącego zaproszenia/gościa. W tabeli brak IP i profili reklamowych. Dobrowolne odpowiedzi o odmowie lub braku kolejnego wyboru przypisuje się w razie potrzeby. Podstawa: RODO art. 6(1)(f), ocena/poprawa pilotażu i wykrywanie niezrozumienia lub przerwań. Brak analityki zewnętrznej, trackerów, pikseli społecznościowych, profilowania między kampaniami i wyłącznie automatycznych decyzji o skutkach prawnych lub podobnie istotnych według art. 22.
18. Okres przechowywania
Dane udziału, zaproszeń i odbioru przechowuje się tylko dla kampanii, analizy, ochrony i obsługi. Zwykłe usunięcie najpóźniej 30 dni po końcu, chyba że prawo lub roszczenia wymagają dłużej. W MVP usuwanie uruchamia administrator. Przed resetem można zarchiwizować CSV pod tymi samymi zasadami celu i usuwania. Sesje zwykle kończą się z przeglądarką; logi tylko na technicznie konieczny czas. Język usuwa się po zniknięciu rekordu gościa.
19. Dane obowiązkowe
Pola obowiązkowe są niezbędne do przypisania i poprawnego odbioru Coffee+. Bez nich funkcja nie działa. Dane opcjonalne i zgoda na przypomnienia nie warunkują przyjęcia.
20. Prawa osób
Na warunkach RODO przysługują dostęp, sprostowanie, usunięcie, ograniczenie i przenoszenie danych. Przetwarzaniu z art. 6(1)(f) można się sprzeciwić na warunkach prawa. Zgodę można wycofać w dowolnym momencie na przyszłość. Wnioski: hello@7-labs.de; uzasadniona kontrola tożsamości może zapobiegać nieuprawnionemu ujawnieniu.
21. Prawo do skargi
Można złożyć skargę do organu ochrony danych. Dla podmiotów niepublicznych w Saksonii właściwy jest zasadniczo Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden; post@sdtb.sachsen.de.
22. Bezpieczeństwo danych
Środki techniczne i organizacyjne obejmują sesje serwerowe, ochronę CSRF, przygotowane zapytania, hashowanie haseł administratorów i limity prób. Są sprawdzane i dostosowywane do rozwoju i rzeczywistego użycia.
23. Zmiany informacji
Informację aktualizuje się przy istotnych zmianach funkcji, odbiorców, dostawców, podstaw prawnych lub ról. Obowiązuje wersja opublikowana w COFFEE+.