Integritetspolicy

1. Personuppgiftsansvarig

Oy Sjoba Ab (FO-nummer 3402091-5), Vasa, Finland.

E-post: [email protected]. Ämnesrad: ”Dataskyddsfråga”.

2. Uppgifter vi samlar in

Vilka uppgifter vi har beror på hur du använder Smajl.

• Restaurangkonton: namn, e-postadress, telefonnummer, roll, företagets namn och FO-nummer, enheter och faktureringsuppgifter.
• Inloggning: e-postadress och lösenord för ägarkonton hanteras av vår inloggningstjänst och lagras bara som hashvärde. Kassans PIN-koder och API-nycklar lagras också bara som hashvärden.
• Formulär på webbplatsen: namn, e-postadress och, om du uppger dem, telefonnummer, restaurang, antal enheter, kassasystem och ditt meddelande.
• Klubbmedlemmar (restaurangens gäster): namn, telefonnummer och/eller e-postadress, valfritt födelsedatum, språk, köp (belopp, tidpunkt, enhet och vad som beställdes), poäng och belöningar, samtycke till marknadsföring, pushprenumeration för dem som har sagt ja samt supportmeddelanden. Vi sparar aldrig kortuppgifter. Betalningen sker i restaurangens kortterminal.
• Meddelandeloggar: mottagare, innehåll och leveransstatus för sms och e-post som skickas via plattformen.
• Tekniska uppgifter: IP-adress, webbläsartyp, enhetsuppgifter och felloggar.

3. Därför använder vi uppgifterna

Vi använder personuppgifter:

• För att skapa och driva konton, klubbar, kassan, adminpanelen och de integrationer som en restaurang har slagit på.
• För att svara på förfrågningar, sätta upp piloter och introducera restauranger.
• För att skicka meddelanden på en restaurangs vägnar (sms, e-post, push), bara när restaurangen skickar dem.
• För fakturering och bokföring.
• För att hålla tjänsten säker, förhindra missbruk och felsöka.
• För att utveckla tjänsten. Då använder vi bara sammanställda och anonymiserade användningsdata, där ingen enskild restaurang, gäst eller transaktion kan identifieras. Sådana uppgifter är inte personuppgifter.
• För att uppfylla lagstadgade skyldigheter, till exempel bokförings- och skattelagstiftningen, och svara på lagliga förfrågningar.

4. Rättslig grund

Vi behandlar personuppgifter på följande grunder enligt artikel 6 i GDPR:

• Avtal (6.1 b): skapa konton, tillhandahålla plattformen, introduktion och fakturering.
• Berättigat intresse (6.1 f): besvara förfrågningar, säkerhet och felsökning samt utveckling av tjänsten.
• Rättslig förpliktelse (6.1 c): bokföring och skatter.
• Samtycke (6.1 a): listan för tidig tillgång och marknadsföring från oss. Du kan återkalla samtycket när som helst.
• För klubbmedlemmar avgör restaurangen som personuppgiftsansvarig den rättsliga grunden: oftast medlemsavtalet, och samtycke för marknadsföring och pushnotiser.

5. När vi är personuppgiftsansvariga

Vi är personuppgiftsansvariga för:

• Konton och kontaktuppgifter för restaurangägare och personal
• Förfrågningar, anmälningar om tidig tillgång och pilotdiskussioner
• Uppgifter om avtal, fakturering och bokföring
• Tekniska loggar och säkerhetsloggar

6. När vi är personuppgiftsbiträde

För klubbmedlemmarnas uppgifter är restaurangen som driver klubben personuppgiftsansvarig och vi är dess personuppgiftsbiträde. Vi behandlar uppgifterna bara enligt restaurangens dokumenterade instruktioner och ett personuppgiftsbiträdesavtal, och får inte använda dem för egna ändamål.

Varje klubb har en egen integritetspolicy. Är du medlem i en klubb utövar du dina rättigheter hos restaurangen, och vi hjälper den att svara.

Restaurangen ansvarar för att:

• Ha en rättslig grund för behandlingen
• Informera sina medlemmar, bland annat i sin egen integritetspolicy
• Besvara medlemmarnas begäranden om deras rättigheter
• Bestämma vem i personalen som får se vad

7. Tjänsteleverantörer

Vi använder leverantörerna nedan. De behandlar uppgifter för vår räkning enligt avtal och får inte använda dem för egna ändamål. Vi säljer aldrig personuppgifter.

• Supabase: databas och inloggning, driftad inom EU (Stockholm). Varje restaurang har en egen databas.
• Netlify: drift av den här webbplatsen och klubbapparna.
• Resend och Brevo: leverans av e-post.
• Bird: leverans av sms.
• Pushtjänster som drivs av webbläsar- och enhetstillverkare (till exempel Apple, Google och Mozilla): leverans av pushnotiser till gäster som har sagt ja.
• Partner som en restaurang kopplar in själv, till exempel ett kassasystem eller en leveransplattform: de skickar köpuppgifter till klubben och styrs av restaurangen, inte av oss.
• Myndigheter, när lagen kräver det.

8. Överföringar utanför EU

Dina uppgifter lagras inom EU. Några av våra leverantörer, till exempel Netlify och Resend, är amerikanska företag, så uppgifter kan också behandlas i USA. Överföringarna grundar sig på EU–US Data Privacy Framework när leverantören är certifierad, och i övrigt på Europeiska kommissionens standardavtalsklausuler. Hör av dig så skickar vi en kopia av skyddsåtgärderna.

9. Hur länge vi sparar uppgifter

Vi sparar personuppgifter bara så länge de behövs:

• Förfrågningar via webbplatsen som inte leder till en kundrelation: raderas senast 24 månader efter vår senaste kontakt.
• Listan för tidig tillgång: tills du ber oss ta bort dig.
• Restaurangkonton och klubbdata: så länge avtalet gäller. När det upphör raderar vi restaurangens uppgifter, inklusive medlemmarnas, inom två månader, om inte lagen kräver att vi sparar något. Restaurangen kan be om en export innan dess.
• Fakturor och bokföringsmaterial: sex år, enligt bokföringslagen.
• Klubbmedlemmar: en medlem kan när som helst radera sitt konto i appen. Personuppgifterna tas då bort direkt, medan köp som restaurangen måste spara för bokföringen blir kvar utan personuppgifter.
• Tekniska loggar: bara så länge som behövs för säkerhet och felsökning.

10. Säkerhet

Vi skyddar uppgifterna bland annat med:

• Krypterade anslutningar (HTTPS) överallt.
• En egen databas för varje restaurang, så att en restaurangs medlemmar aldrig blandas med en annans.
• Åtkomst enligt roll: ägare, kassapersonal och skrivskyddad åtkomst för bokföraren.
• Lösenord som hanteras av vår inloggningstjänst, och PIN-koder och API-nycklar som bara lagras som hashvärden.
• QR-koder som förnyas var 30:e sekund och belöningskoder som bara gäller en gång.
• En poänglogg där inget skrivs över: varje ändring lämnar en rad och en orsak.
• Signerade integrationer: samma kvitto räknas aldrig två gånger.

11. Dina rättigheter

Enligt GDPR har du rätt att:

• Få tillgång till dina uppgifter (artikel 15)
• Få felaktiga uppgifter rättade (artikel 16)
• Få dina uppgifter raderade (artikel 17)
• Begära begränsning av behandlingen (artikel 18)
• Få ut dina uppgifter i ett maskinläsbart format (artikel 20)
• Invända mot behandling som grundar sig på berättigat intresse (artikel 21)
• Återkalla ditt samtycke när som helst (artikel 7)

12. Så använder du dina rättigheter

Skicka e-post till [email protected]. Är du medlem i en restaurangs klubb, kontakta restaurangen som driver klubben, så hjälper vi den. Du kan också radera ditt eget konto i klubbens app.

Vi besvarar begäranden inom 30 dagar.

13. Cookies

Den här webbplatsen använder inga analys- eller marknadsföringscookies. En funktionell cookie kommer ihåg vilket språk du har valt.

I en klubbapp håller nödvändiga cookies gäster inloggade (upp till 180 dagar) och personal inloggad i kassan (14 timmar).

14. Barns integritet

Plattformen är byggd för restauranger och företagsanvändning. Restaurangerna bestämmer vem som får gå med i deras klubb. Vi samlar inte medvetet in personuppgifter från barn för egna ändamål.

15. Ändringar i policyn

Vi kan uppdatera den här policyn. Datumet högst upp visar när den senast ändrades. Vid väsentliga ändringar meddelar vi också restaurangkunderna via e-post. Om du fortsätter använda tjänsten efter en ändring godkänner du den uppdaterade policyn.

16. Tillsynsmyndighet

Du har rätt att lämna in ett klagomål till dataombudsmannens byrå (tietosuoja.fi), e-post [email protected], telefon 029 566 6700.