Это перевод для вашего удобства. Юридическую силу имеет только немецкая версия.
Kevin Baur, BSc
Hochstraß 542
3033 Klausen-Leopoldsdorf
Австрия
E-mail: [email protected]
Ответственный за обработку данных (контролер) в смысле Общего регламента ЕС по защите данных (GDPR), Закона Австрии о защите данных (DSG), а также — для пользователей из Швейцарии — швейцарского Закона о защите данных в новой редакции (revDSG).
Pelican — приложение для планирования заказов на предприятиях общественного питания. Мы обрабатываем персональные данные исключительно для того, чтобы предоставлять приложение и связанный с ним сайт, исполнять договор с заведением и выполнять требования закона. Ниже указано, какие данные мы обрабатываем, на каком правовом основании и какие поставщики услуг (обработчики данных) в этом участвуют.
Этот сайт размещён на платформе Cloudflare Pages (Cloudflare, Inc., США) и доставляется пользователям через неё. При открытии сайта обрабатываются технически необходимые данные серверных журналов (в том числе IP-адрес, время, запрошенный ресурс, User-Agent), чтобы обеспечить доставку страниц и безопасность. Правовым основанием служит наш законный интерес в безопасной работе сайта (ст. 6(1)(f) GDPR). Для измерения посещаемости мы используем DataFast; маркетинговые cookie-файлы Meta и Reddit устанавливаются только после вашего согласия (см. раздел 16).
Если вы пользуетесь голосовым вводом, ваша аудиозапись передаётся на обработку в OpenAI (OpenAI, L.L.C., США). Там запись расшифровывается (распознавание речи) и затем анализируется, чтобы выделить из неё товар, количество, единицу измерения и категорию и сопоставить их с каталогом продуктов. Распознанные позиции переносятся в ваш список заказов.
Аккаунты, аутентификацию и базу данных обеспечивает сервис Supabase (Supabase, Inc.). Здесь хранятся данные аккаунтов, организаций и контента, перечисленные в разделе 4. Доступ защищён правилами на уровне базы данных (Row Level Security), поэтому каждое заведение видит только свои данные. Правовым основанием служит исполнение договора (ст. 6(1)(b) GDPR). Регион хостинга ориентирован на площадку в ЕС (Франкфурт); если обработка происходит за пределами ЕС, действуют гарантии, описанные в разделе 10.
Оплата производится исключительно через внешнюю платформу Lemon Squeezy (Merchant of Record, то есть официальный продавец). Платёжные данные и данные для выставления счетов (например, имя, платёжный адрес, способ оплаты) собирает и обрабатывает непосредственно Lemon Squeezy; полных платёжных данных мы не получаем. Для активации заведения мы получаем через подписанное уведомление (webhook) только сведения, необходимые для сопоставления (например, идентификатор заведения, статус подписки/оплаты, дату окончания доступа). Как Merchant of Record, Lemon Squeezy также уплачивает причитающийся налог на добавленную стоимость. Правовым основанием служит исполнение договора (ст. 6(1)(b) GDPR).
При изменениях в списках заказов приложение может отправлять push-уведомления. Для этого через сервис Expo обрабатывается токен устройства. Вы можете в любой момент отключить push-уведомления в приложении или в настройках устройства (opt-out). Правовым основанием служит наш законный интерес в слаженной работе команды (ст. 6(1)(f) GDPR) либо ваше согласие, данное в ответ на системный запрос (ст. 6(1)(a) GDPR).
С этими поставщиками при необходимости заключаются договоры об обработке данных (AVV/DPA) в соответствии со ст. 28 GDPR.
Некоторые из перечисленных сервисов обрабатывают данные в США или других третьих странах. При такой передаче мы опираемся на надлежащие гарантии согласно ст. 44 и след. GDPR — в частности, на стандартные договорные положения (SCC) Европейской комиссии и, если поставщики сертифицированы, на EU-US Data Privacy Framework (DPF). Несмотря на эти гарантии, уровень защиты данных в третьих странах может быть ниже, чем в ЕС.
Обработка осуществляется для исполнения договора (ст. 6(1)(b) GDPR), на основании законных интересов (ст. 6(1)(f) GDPR), на основании вашего согласия (ст. 6(1)(a) GDPR, в частности для обработки голосовых записей), а также для выполнения обязанностей, установленных законом (ст. 6(1)(c) GDPR).
Мы храним персональные данные лишь до тех пор, пока это необходимо для указанных целей или требуется в силу установленных законом сроков хранения. Аккаунты и связанные с ними данные можно удалить с помощью встроенной в приложение функции удаления аккаунта. После прекращения договора или удаления данные в разумный срок удаляются или обезличиваются. [Конкретные сроки ещё предстоит дополнить, например: удаление данных заведения через X дней после окончания использования; хранение данных счетов в течение установленных законом сроков.]
Вы имеете право на получение информации, исправление, удаление, ограничение обработки, переносимость данных, а также право на возражение. Данное согласие вы можете в любой момент отозвать с действием на будущее. Чтобы воспользоваться этими правами, достаточно написать на [email protected].
Вы вправе подать жалобу в надзорный орган:
Для субъектов данных в Швейцарии дополнительно действует швейцарский Закон о защите данных в новой редакции (revDSG). Понятия GDPR применяются к revDSG по аналогии; вместо правовых оснований по GDPR действуют соответствующие положения revDSG.
Технически необходимые. На портале активации для входа в браузере локально сохраняется токен аутентификации (Local Storage). Cookie-файл запоминает выбранный вами язык. И то и другое служит исключительно работе сайта и не анализируется в рекламных целях. Правовым основанием служит наш законный интерес (ст. 6(1)(f) GDPR).
Измерение посещаемости с помощью DataFast. Мы в анонимизированном виде измеряем, какие страницы открываются. Профили, охватывающие разные сайты, не создаются, данные не передаются рекламным сетям. Правовым основанием служит наш законный интерес в сайте, отвечающем потребностям пользователей (ст. 6(1)(f) GDPR).
Пиксель Reddit и Conversions API — только с вашего согласия. Если вы даёте согласие в уведомлении о cookie-файлах, мы загружаем рекламный пиксель Reddit, Inc. (США). Он устанавливает cookie-файл (_rdt_uuid) и сообщает Reddit, привёл ли клик по одному из наших объявлений к просмотру страницы, регистрации или покупке. Дополнительно мы передаём те же события на стороне сервера через Conversions API; ваш адрес электронной почты и IP-адрес перед передачей хешируются по алгоритму SHA-256, поэтому Reddit не получает их в открытом виде. Reddit может объединять эти данные с существующим аккаунтом Reddit и в этой части является совместным с нами контролером (ст. 26 GDPR). Правовым основанием служит исключительно ваше согласие (ст. 6(1)(a) GDPR; § 165(3) TKG — австрийского Закона о телекоммуникациях). Без согласия пиксель не загружается и cookie-файл не устанавливается.
Пиксель Meta и Conversions API — только с вашего согласия. Если вы даёте согласие в уведомлении о cookie-файлах, мы загружаем пиксель Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Ирландия). Он устанавливает cookie-файл _fbp, а если вы перешли по объявлению в Facebook или Instagram, — также _fbc, и сообщает Meta, привёл ли клик по объявлению к просмотру страницы, регистрации или оформлению подписки. Дополнительно мы передаём те же события на стороне сервера через Meta Conversions API: идентификатор события, время, адрес открытой страницы, IP-адрес, идентификатор браузера (User-Agent), значения _fbp и _fbc, хешированный идентификатор пользователя и ваш адрес электронной почты в виде хеша SHA-256 (не в открытом виде). Если ваше заведение впоследствии перейдёт на платное использование, мы однократно сообщим об этом как об оформлении подписки с указанием суммы и валюты. Кроме того, мы сохраняем для вашего заведения сведения о том, из какой кампании вы к нам пришли (UTM-параметры, идентификатор клика), чтобы самостоятельно оценивать эффективность нашей рекламы. За сбор данных и их передачу в Meta мы отвечаем совместно с Meta (ст. 26 GDPR, соглашение); за дальнейшую обработку отвечает исключительно Meta (Политика конфиденциальности Meta). Meta может передавать данные в США и сертифицирована в рамках EU-US Data Privacy Framework. Правовым основанием служит исключительно ваше согласие (ст. 6(1)(a) GDPR; § 165(3) TKG; § 25(1) TDDDG — немецкого Закона о защите данных в сфере телекоммуникаций и цифровых услуг). Без согласия пиксель не загружается, cookie-файлы не устанавливаются и никакие события в Meta не передаются. Срок хранения: _fbp и _fbc — 90 дней, данные кампании для вашего заведения — до удаления заведения.
Отзыв согласия. Вы можете в любой момент отозвать своё согласие с действием на будущее: откройте настройки cookie-файлов (ссылка есть также внизу каждой страницы) и выберите «Отклонить». После этого мы удаляем установленные cookie-файлы и данные кампании, сохранённые в браузере. В качестве альтернативы достаточно написать на [email protected].
Мы вносим изменения в настоящую Политику конфиденциальности, если меняется законодательство, используемые сервисы или функции. Действует та редакция, которая опубликована на этой странице.
Редакция: октябрь 2026 года
Pelican