1. POSTANOWIENIA OGÓLNE
- Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych zbieranych za pośrednictwem serwisu internetowego Foodyo dostępnego pod adresem foodyo.pl (dalej: „Serwis").
- Administratorem danych osobowych zbieranych za pośrednictwem Serwisu jest Przemysław Goławski prowadzący działalność gospodarczą pod firmą LAIT Przemysław Goławski, ul. Kresów Wschodnich 2B/65, 21-400 Łuków, NIP: 8252210652, REGON: 541323738 (dalej: „Administrator").
- Dane kontaktowe Administratora w sprawach ochrony danych osobowych: admin@foodyo.pl.
- Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). We wszelkich sprawach dotyczących przetwarzania danych osobowych należy kontaktować się z Administratorem pod adresem e-mail wskazanym w ust. 3.
- Dane osobowe przetwarzane są zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO) oraz z obowiązującymi przepisami prawa polskiego.
2. ZAKRES ZBIERANYCH DANYCH
2.1. Dane Klientów (restauratorów)
Administrator zbiera następujące dane osobowe Klientów (osób fizycznych prowadzących działalność gospodarczą) w związku z Rejestracją i korzystaniem z Serwisu:
- imię i nazwisko;
- firma (nazwa działalności gospodarczej);
- NIP, REGON;
- adres siedziby;
- adres e-mail;
- numer telefonu;
- adres IP;
- dane logowania (login, hasło — przechowywane w formie zaszyfrowanej);
- identyfikator konta Telegram (w przypadku konfiguracji powiadomień);
- dane dotyczące korzystania z Serwisu (historia logowań, aktywność w Panelu Klienta);
- dane pobrane z Bazy Internetowej REGON (BIR) — informacje publicznie dostępne o podmiocie gospodarczym powiązane z podanym numerem NIP, wykorzystywane wyłącznie w celu weryfikacji i uzupełnienia danych przed płatnością za Usługi.
2.2. Dane Klientów Końcowych (zamawiających)
Administrator przetwarza dane osobowe Klientów Końcowych wyłącznie jako podmiot przetwarzający (procesor) na zlecenie Klienta (Restauracji), który jest administratorem tych danych. Szczegóły powierzenia przetwarzania reguluje DPA (Załącznik nr 1 do Regulaminu).
Rodzaje danych Klientów Końcowych przetwarzanych w ramach Serwisu:
- imię i nazwisko;
- adres e-mail;
- numer telefonu;
- adres dostawy;
- treść zamówienia (dania, kwota, uwagi);
- adres IP;
- data i godzina zamówienia.
2.3. Dane zbierane automatycznie (cookies i logi)
Serwis zbiera automatycznie:
- adres IP;
- typ i wersję przeglądarki;
- system operacyjny;
- czas wizyty i przeglądane strony;
- źródło wejścia (referring URL).
3. CELE I PODSTAWY PRAWNE PRZETWARZANIA
3.1. Dane Klientów (restauratorów)
| Cel przetwarzania | Podstawa prawna (RODO) | Okres przechowywania |
|---|---|---|
| Zawarcie i wykonanie Umowy (rejestracja, świadczenie Usług, obsługa Panelu Klienta) | art. 6 ust. 1 lit. b) — wykonanie umowy | Czas trwania Umowy; po zawieszeniu lub rozwiązaniu Konto pozostaje w trybie ograniczonym, aby umożliwić wznowienie Usługi, i jest usuwane na żądanie Klienta albo po 24 miesiącach nieaktywności |
| Wystawianie faktur i rozliczenia | art. 6 ust. 1 lit. c) — obowiązek prawny (ustawa o rachunkowości, ordynacja podatkowa) | 5 lat od końca roku podatkowego |
| Obsługa reklamacji | art. 6 ust. 1 lit. b) — wykonanie umowy | Czas trwania Umowy + 30 dni |
| Dochodzenie roszczeń lub obrona przed roszczeniami | art. 6 ust. 1 lit. f) — prawnie uzasadniony interes | 3 lata od zakończenia Umowy (termin przedawnienia roszczeń) |
| Komunikacja formalna (korespondencja e-mail) | art. 6 ust. 1 lit. f) — prawnie uzasadniony interes | Czas trwania Umowy + 30 dni |
| Publikacja referencji i informacji o współpracy (firma, logotyp Restauracji) | art. 6 ust. 1 lit. f) — prawnie uzasadniony interes (marketing) | Do momentu wniesienia sprzeciwu |
| Weryfikacja danych podmiotu po numerze NIP w API BIR (Baza Internetowa REGON) przed płatnością za Usługi | art. 6 ust. 1 lit. b) — wykonanie umowy; art. 6 ust. 1 lit. c) — obowiązki prawne związane z rozliczeniami i dokumentacją | Czas trwania umowy + okres przechowywania jak dla danych rozliczeniowych |
3.2. Dane Klientów Końcowych
Dane Klientów Końcowych przetwarzane są przez Administratora wyłącznie jako procesora, na polecenie Klienta (Restauracji). Cele i podstawy przetwarzania tych danych określa Klient (Restauracja) w swoim regulaminie i polityce prywatności.
4. ODBIORCY DANYCH
Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:
4.1. Odbiorcy danych Klientów (restauratorów)
W celu świadczenia Usług, dane Klientów (restauratorów) oraz treści ich Restauracji (menu, opisy, zdjęcia) mogą być przetwarzane przez następujące podmioty:
| Nr | Odbiorca | Siedziba | Podstawa transferu | Zakres |
|---|---|---|---|---|
| 1 | OpenAI, LLC | San Francisco, USA | SCCs | Generowanie treści tekstowych restauracji (opisy, meta tagi) — model GPT-5-mini |
| 2 | Google LLC (Gemini AI) | Mountain View, USA | SCCs / Google Cloud DPA | OCR kart menu (model główny) — Gemini 2.0 Flash |
| 3 | Google LLC (Places, Maps, Search, Fonts) | Mountain View, USA | SCCs / Google Cloud DPA | Pobieranie danych restauracji (adres, godziny, zdjęcia), autouzupełnianie adresów, wyszukiwanie zdjęć, fonty stron |
| 4 | Anthropic, PBC | San Francisco, USA | SCCs | OCR kart menu — model zapasowy (Claude Sonnet); może zostać aktywowany w przypadku niedostępności modelu głównego |
| 5 | Rejestrator domen (aktualnie: HRD.pl / Domeny.pl sp. z o.o.) | Kraków, Polska | RODO (EOG) | Rejestracja domen — dane kontaktowe Klienta (firma, NIP, adres) |
| 6 | Minister właściwy do spraw gospodarki — udostępnianie Bazy Internetowej REGON (API BIR) | Polska | przepisy krajowe dotyczące dostępu do publicznych danych rejestrowych | Zapytanie o dane podmiotu po numerze NIP w celu weryfikacji przed płatnością za Usługi |
4.2. Sub-procesorzy danych Klientów Końcowych
Dane osobowe Klientów Końcowych (zamawiających) przetwarzane są przez Administratora jako procesora na zlecenie Klienta (Restauracji). Lista sub-procesorów przetwarzających dane Klientów Końcowych znajduje się w DPA (Załącznik nr 1 do Regulaminu) i obejmuje:
- Google LLC (Gmail SMTP, USA) — wysyłka e-maili transakcyjnych (potwierdzenia zamówień);
- Telegram FZ-LLC (Dubaj, ZEA) — powiadomienia o zamówieniach do Restauracji;
- Oracle Corporation (USA) — hosting infrastruktury (baza danych, serwer).
4.3. Inni odbiorcy
- HotPay — system płatności obsługiwany przez ePłatności sp. z o.o. sp.k. oraz HotPay B2B sp. z o.o., podmioty z grupy Lead Group S.A. HotPay jest samodzielnym administratorem danych w zakresie obsługi płatności. Dane przekazywane są na podstawie odrębnej umowy zawartej pomiędzy Klientem a HotPay. W zakresie Opłaty Abonamentowej uiszczanej na rzecz Administratora Serwisu dane Klienta niezbędne do zainicjowania transakcji (w tym dane rozliczeniowe) mogą być przekazywane do HotPay przez Serwis w sposób określony w integracji technicznej i dokumentacji operatora.
- Organy państwowe — w przypadkach przewidzianych prawem (np. urząd skarbowy, organy ścigania).
5. PRZEKAZYWANIE DANYCH POZA EOG
- W związku z korzystaniem z usług podmiotów mających siedzibę poza Europejskim Obszarem Gospodarczym (USA, ZEA), dane osobowe mogą być przekazywane poza EOG.
- Przekazywanie danych poza EOG odbywa się na podstawie:
- Standardowych klauzul umownych (SCCs) przyjętych przez Komisję Europejską — w przypadku: OpenAI, Google, Anthropic, Oracle;
- Polityki prywatności usługodawcy — w przypadku: Telegram.
- Administrator zapewnia, że przekazywanie danych poza EOG następuje z zachowaniem odpowiedniego poziomu ochrony danych osobowych wymaganego przez RODO.
6. PRAWA OSÓB, KTÓRYCH DANE DOTYCZĄ
- Osobom, których dane osobowe są przetwarzane przez Administratora, przysługują następujące prawa:
- a) prawo dostępu do swoich danych (art. 15 RODO);
- b) prawo do sprostowania danych (art. 16 RODO);
- c) prawo do usunięcia danych (art. 17 RODO) — z zastrzeżeniem sytuacji, gdy przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego;
- d) prawo do ograniczenia przetwarzania (art. 18 RODO);
- e) prawo do przenoszenia danych (art. 20 RODO);
- f) prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO);
- g) prawo do wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl).
- Żądania dotyczące realizacji praw należy kierować na adres e-mail: admin@foodyo.pl. Administrator rozpatruje żądania bez zbędnej zwłoki, nie później niż w terminie 30 dni.
- Klienci Końcowi — żądania dotyczące danych osobowych Klientów Końcowych należy kierować do Klienta (Restauracji), który jest administratorem tych danych. Usługodawca jako procesor poinformuje Klienta o otrzymanym żądaniu i pomoże w jego realizacji.
7. BEZPIECZEŃSTWO DANYCH
Administrator wdrożył odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych, w tym:
- szyfrowanie transmisji danych (HTTPS/TLS) na wszystkich domenach;
- uwierzytelnianie użytkowników (JWT) z hashowaniem haseł (bcrypt);
- kontrola dostępu do bazy danych (PostgreSQL z ograniczonymi rolami);
- separacja danych poszczególnych Klientów w bazie danych;
- przechowywanie kluczy API i poświadczeń w zmiennych środowiskowych (poza kodem źródłowym);
- regularne tworzenie kopii zapasowych bazy danych.
9. ZMIANY POLITYKI PRYWATNOŚCI
- Administrator zastrzega sobie prawo do zmiany Polityki Prywatności w przypadku zmiany przepisów prawa, zmiany zakresu Usług lub zmiany praktyk przetwarzania danych.
- O istotnych zmianach Polityki Prywatności Administrator informuje Klientów za pośrednictwem Serwisu lub poczty elektronicznej.
- Aktualna wersja Polityki Prywatności jest zawsze dostępna pod adresem foodyo.pl/polityka-prywatnosci.
LAIT Przemysław Goławski, ul. Kresów Wschodnich 2B/65, 21-400 Łuków, NIP: 8252210652, REGON: 541323738