Повідомлення про конфіденційність
1. Володілець даних
Blooms Coffee Club GmbH
An der Frauenkirche 18, 01067 Dresden
Представник: Hakan Özgür, Geschäftsführer
hello@7-labs.de
2. Що таке COFFEE+
COFFEE+ — проєкт Blooms. Людина отримує обмежений кавовий бонус, потім вибирає рівно одну наступну людину. Окремі кампанії мають обмежену публічну видачу. Застосунок керує кодами, посиланнями, строками, прийняттям, наступним вибором, відмовами й отриманням.
3. Оброблювані дані
Залежно від використання: ім’я, прізвище, пошта й телефон лише за ввімкненого збору; кампанія, коди, статуси й дати; публічна/запрошена реєстрація та зв’язок запрошення; отримання; внутрішні кроки пілоту (відкриття, прийняття, поширення, WhatsApp/копіювання); добровільні відповіді; статус пошти; сесія й безпека. Мова зберігається для сторінок і листів.
4. Доступ до сайту й журнали сервера
Під час доступу обробляються необхідні IP, час, URL, статус передавання, браузер і ОС для роботи сайту, аналізу помилок та захисту від атак. Підстава: GDPR ст. 6(1)(f), безпека й стабільність. Хостинг може зберігати журнали обмежений строк, довше за інцидентів, згідно з оприлюдненими правилами.
5. Необхідна сесія
Необхідна PHP-сесія пов’язує коди, захищає форми, розпізнає авторизованих гостей і захищає адміністрування. Аналітичні, рекламні й соціальні відстежувальні cookies не використовуються. Сесія також зберігає вибрану мову.
6. Відкриття й перевірка запрошень
Відкриття посилання або введення коду обробляє код, кампанію, строк і сесію для перевірки існування, чинності й невикористання. Підстава: GDPR ст. 6(1)(b) для запитаної функції; додатково ст. 6(1)(f) для безпеки й захисту від зловживань.
7. Реєстрація або прийняття
Публічна реєстрація зберігає ім’я й пошту, перевірену посиланням. Резерв тимчасовий і звільняється після спливу без підтвердження. Особисті запрошення зберігають поля кампанії, статус, час і зв’язок із запрошувачем. Підстава: GDPR ст. 6(1)(b) для бонусу; 6(1)(f) проти повторного отримання, зловживань і перевищення лімітів.
8. Вибір наступної людини
Вибір створює запрошення з кодом, запрошувачем, активацією, строком і статусом. Одержувач зазвичай невідомий на ім’я до прийняття, коли фіксується зв’язок. COFFEE+ може надати текст з ім’ям і посиланням. Одержувача вибирає користувач.
9. Листи підтвердження
За ввімкнених збору пошти й підтверджень адресу використовують для прийняття/отримання й даних кампанії: місце, час, інструкції та посилання. Підстава: GDPR ст. 6(1)(b). Прийняття, відмова чи повернення можуть повідомити запрошувача за наявності адреси й функції; лише для процесу запрошення.
10. Добровільні нагадування
Додаткові нагадування потребують явної добровільної згоди за GDPR ст. 6(1)(a), яку можна відкликати на майбутнє будь-коли за посиланням. Відмова чи відкликання не впливає на підтверджений Coffee+. Адреса не використовується для реклами поза кампанією.
11. Отримання й реєстрація
Уповноважений працівник знаходить учасника в списку й підтверджує отримання. Статус і час зберігаються для надання бонусу й запобігання повторам. Підстава: GDPR ст. 6(1)(b), додатково 6(1)(f) для безпеки й доказів.
12. Захист від зловживань
Ліміти захищають вразливі операції: повторні хибні коди й невдалі входи адміністратора. Зберігаються SHA-256-хеш IP, операція, кількість спроб і можливий строк блокування, а не постійний відкритий IP. Підстава: GDPR ст. 6(1)(f), захист системи, бонусів та облікових записів від автоматичних атак і зловживань.
13. Хостинг і надсилання пошти
Сайт, база й пошта використовують ALL-INKL.COM – Neue Medien Münnich, власник René Münnich, Hauptstraße 68, 02742 Friedersdorf. Провайдер обробляє технічні й особисті дані для хостингу/пошти, за дорученням — за договором GDPR ст. 28. Навмисне передавання даних учасників поза ЄС/ЄЕЗ наразі не передбачено.
14. Зовнішні посилання й соціальні мережі
Зовнішні посилання на сайти/соцмережі можуть бути на сторінках і в листах без завантаження плагінів або пікселів у COFFEE+. Лише натискання виводить із COFFEE+; далі діє політика зовнішнього сервісу.
15. WhatsApp
COFFEE+ сам не надсилає повідомлення WhatsApp. Кнопка відкриває WhatsApp з готовими текстом і посиланням. Користувач там вибирає одержувача й надсилає. Далі діє політика WhatsApp.
16. Одержувачі та доступ
Доступ лише тим, кому дані потрібні для адміністрування, кампаній, підтримки чи видачі. Blooms — володілець власних кампаній. Для окремого зовнішнього оператора ролі визначалися б фактичними рішеннями про цілі й основні засоби, не лише назвою договору: розпорядник, самостійний чи спільний володілець. Обробка за дорученням потребує договору GDPR ст. 28.
17. Внутрішній аналіз пілоту без рекламних трекерів
Внутрішні журнали продукту/пілоту фіксують відкриття, початок прийняття, екран і натискання поширення, пов’язуючи з кампанією та наявним запрошенням/гостем. У таблиці немає IP і рекламних профілів. Добровільні відповіді про відмову чи відсутність наступного вибору пов’язуються за потреби. Підстава: GDPR ст. 6(1)(f), оцінка/поліпшення пілоту, виявлення неясностей і збоїв. Без зовнішньої аналітики, рекламних трекерів, соціальних пікселів, профілів між кампаніями чи суто автоматичних рішень із правовими або подібними істотними наслідками за ст. 22.
18. Строк зберігання
Дані участі, запрошень і отримання зберігаються лише для кампанії, аналізу, захисту й адміністрування. Зазвичай видаляються не пізніше 30 днів після завершення, крім обов’язкового зберігання чи правових вимог. У MVP видалення запускає адміністратор. Перед скиданням можливий CSV-архів з тими самими обмеженнями мети й видалення. Сесії зазвичай завершуються з браузером; журнали — за технічною потребою. Мова видаляється за відсутності запису гостя.
19. Обов’язкові дані
Обов’язкові поля потрібні для призначення й правильного отримання Coffee+. Без них функція недоступна. Додаткові дані й згода на нагадування не обов’язкові для прийняття.
20. Права суб’єктів даних
За умовами GDPR доступні доступ, виправлення, видалення, обмеження й перенесення даних. Проти обробки за ст. 6(1)(f) можна заперечити на законних підставах. Згоду можна відкликати будь-коли на майбутнє. Запити: hello@7-labs.de; можлива розумна перевірка особи проти неправомірного розкриття.
21. Право на скаргу
Можна подати скаргу до органу захисту даних. Для недержавних володільців Саксонії зазвичай компетентний Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden; post@sdtb.sachsen.de.
22. Безпека даних
Технічні й організаційні заходи включають серверні сесії, CSRF-захист, підготовлені запити, хешування паролів адміністраторів і ліміти вразливих операцій. Їх перевіряють і коригують за стадією розробки та фактичним використанням.
23. Зміни повідомлення
Повідомлення оновлюється за істотних змін функцій, одержувачів, провайдерів, правових підстав чи ролей. Застосовується версія, опублікована в COFFEE+.