Polityka prywatności

1. Administrator danych i dostawca techniczny

Administratorem Twoich danych osobowych (Organizatorem programu lojalnościowego) jest:

W zakresie obsługi technicznej, utrzymania i rozwoju aplikacji, serwisu i infrastruktury Administrator korzysta z usług dostawcy technicznego (podmiotu przetwarzającego):

W sprawach dotyczących ochrony danych osobowych możesz kontaktować się z Administratorem pod adresem e-mail: kontakt@izap2.pl lub korespondencyjnie na adres siedziby. Administrator nie powołał inspektora ochrony danych (IOD); jeśli IOD zostanie powołany, jego dane zostaną tu wskazane.

2. Zakres polityki

Niniejsza polityka dotyczy przetwarzania danych w ramach:

• aplikacji mobilnej IZAPzoo (Android / iOS), z której korzystają klienci sklepów,
• serwisu internetowego pod adresem app.izapzoo.pl (strona informacyjna oraz strony prawne i formularz usunięcia konta),
• panelu kasjera/administratora pod adresem panel.izapzoo.pl — narzędzia dla personelu sklepu (dostęp tylko dla upoważnionych pracowników; klienci z niego nie korzystają),
• programu lojalnościowego „Izapki”, obsługiwanego w powyższych narzędziach.

Zakupy odbywają się wyłącznie stacjonarnie w sklepach. Aplikacja nie przetwarza płatności i nie służy do dokonywania zakupów.

3. Jakie dane przetwarzamy

a) Dane konta (podane przy rejestracji)

• imię i nazwisko,
• adres e-mail,
• numer telefonu,
• hasło — przechowywane wyłącznie w postaci zabezpieczonej (skrótu) po stronie dostawcy uwierzytelniania; nie mamy dostępu do hasła w postaci jawnej,
• identyfikator użytkownika oraz zgody wyrażone przy rejestracji (akceptacja regulaminu, opcjonalna zgoda marketingowa).

b) Dane programu lojalnościowego

• numer karty lojalnościowej (loyalty_code) prezentowany jako kod QR,
• saldo zebranych Izapek oraz poziom opiekuna,
• historia operacji na punktach (naliczenia, wymiany, korekty),
• kupony przypisane lub wymienione przez użytkownika: tytuł, kod, jednorazowy token QR, status, daty ważności i realizacji.

c) Dane paragonu (wprowadzane przez kasjera przy naliczeniu punktów)

• numer paragonu, data zakupu, kwota zakupu,
• sklep oraz — jeżeli sklep tego używa — oznaczenie kasy/terminala,
• tzw. „odcisk paragonu” (skrót łączący sklep, datę, kasę i numer paragonu) — wyliczany po stronie serwera i używany wyłącznie do wykrywania wielokrotnego użycia tego samego paragonu.

Uwaga: kasjer wprowadza dane paragonu ręcznie. Aplikacja i program nie pobierają automatycznie danych ze sprzedaży ani z systemu kasowego sklepu.

d) Dane realizacji kuponów

• fakt i data realizacji kuponu przy kasie, sklep oraz identyfikator pracownika realizującego, opcjonalnie numer paragonu powiązanego z realizacją.

e) Żądania usunięcia konta

• adres e-mail (oraz opcjonalnie telefon i powód) podane w formularzu usunięcia konta lub w aplikacji, wraz ze statusem obsługi żądania.

f) Dane techniczne i sesyjne

• dane sesji i uwierzytelnienia (token sesji) — w aplikacji mobilnej przechowywany w postaci zaszyfrowanej w pamięci urządzenia (klucz w bezpiecznym magazynie systemowym — Keychain/Keystore); w panelu kasjera w pamięci przeglądarki,
• adres IP oraz podstawowe dane techniczne (typ urządzenia/przeglądarki, logi żądań) przetwarzane przez naszych dostawców infrastruktury w celu zapewnienia działania i bezpieczeństwa usługi,
• dzienniki zdarzeń aplikacji (audyt operacji i bezpieczeństwa) — rodzaj i wynik operacji (np. naliczenie punktów, realizacja kuponu, odmowa dostępu), data, identyfikator użytkownika lub pracownika oraz techniczne dane żądania; adresy e-mail zapisywane są w tych dziennikach wyłącznie w formie zamaskowanej, a jednorazowe tokeny kuponów — wyłącznie we fragmencie uniemożliwiającym ich użycie,
• na serwisie internetowym — niezbędne dane przechowywane lokalnie w przeglądarce oraz preferencje zgody na cookies (szczegóły w Polityce cookies).

g) Czego NIE przetwarzamy

Według stanu na dzień aktualizacji aplikacja mobilna IZAPzoo nie korzysta z: powiadomień push, narzędzi analitycznych, narzędzi śledzących/marketingowych, identyfikatorów reklamowych, narzędzi do monitorowania błędów/awarii, dostępu do aparatu ani skanowania kodów przez klienta (aplikacja jedynie wyświetla kody QR). Jeśli którakolwiek z tych funkcji zostanie w przyszłości włączona, zaktualizujemy tę politykę.

Kody QR (karta lojalnościowa oraz kupony) nie zawierają danych osobowych — kodują wyłącznie bezpieczny, techniczny identyfikator/token, który system odczytuje po stronie serwera.

4. Cele i podstawy prawne przetwarzania

• Założenie i prowadzenie konta oraz uczestnictwo w programie (naliczanie i wymiana Izapek, przydzielanie i realizacja kuponów, prezentacja salda i historii) — niezbędne do wykonania umowy o świadczenie usługi (art. 6 ust. 1 lit. b RODO).
• Zapobieganie nadużyciom i oszustwom (m.in. wykrywanie wielokrotnego użycia tego samego paragonu, blokowanie kont naruszających zasady) oraz zapewnienie bezpieczeństwa i dochodzenie/obrona roszczeń — prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).
• Obsługa reklamacji, zapytań i żądań (w tym usunięcia konta) — art. 6 ust. 1 lit. b oraz f RODO, a w zakresie obowiązków wynikających z RODO — art. 6 ust. 1 lit. c RODO.
• Obowiązki prawne ciążące na Administratorze (np. rozliczeniowo-księgowe, jeżeli wystąpią) — art. 6 ust. 1 lit. c RODO.
• Marketing (informacje o promocjach i nowościach) — wyłącznie na podstawie Twojej odrębnej, dobrowolnej zgody (art. 6 ust. 1 lit. a RODO), którą możesz w każdej chwili wycofać.

5. Zgody marketingowe

Zgoda marketingowa jest dobrowolna, nie jest zaznaczona domyślnie i nie jest warunkiem uczestnictwa w programie. Możesz ją wycofać w dowolnym momencie w aplikacji (Profil) lub kontaktując się z Administratorem. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Na podstawie udzielonej zgody przetwarzamy Twoje dane kontaktowe (imię, nazwisko, adres e-mail, numer telefonu) w celach marketingowych — przesyłamy informacje o promocjach i nowościach (np. w wiadomościach e-mail, SMS lub w aplikacji). Zgoda obejmuje także przesyłanie informacji handlowych środkami komunikacji elektronicznej w rozumieniu przepisów ustawy — Prawo komunikacji elektronicznej. Wycofanie zgody wstrzymuje dalsze przesyłanie takich informacji.

Marketing prowadzimy przy użyciu wewnętrznego narzędzia w panelu administracyjnym (zakładka „Klienci”), z którego korzystają wyłącznie upoważnieni pracownicy Administratora. Umożliwia ono przeglądanie i eksport danych kontaktowych oraz kierowanie wiadomości do osób, które wyraziły zgodę marketingową. Nie przekazujemy tych danych zewnętrznym platformom reklamowym i nie stosujemy zautomatyzowanego profilowania w celu reklamy behawioralnej.

6. Odbiorcy danych i podmioty przetwarzające

Twoje dane mogą być powierzane zaufanym podmiotom przetwarzającym je na zlecenie Administratora, na podstawie umów powierzenia, w minimalnym niezbędnym zakresie. Nie sprzedajemy Twoich danych. Główni odbiorcy:

7. Przekazywanie danych poza EOG

Baza danych programu prowadzona jest na serwerach w Unii Europejskiej (region Irlandia). Dostawcy infrastruktury (m.in. Vercel, Expo, Apple, Google) mogą przetwarzać dane techniczne zarówno na terenie Europejskiego Obszaru Gospodarczego, jak i poza nim, w tym w Stanach Zjednoczonych. W takich przypadkach przekazanie danych odbywa się z zastosowaniem odpowiednich zabezpieczeń przewidzianych w RODO — w szczególności standardowych klauzul umownych (SCC) lub umów powierzenia zawartych z danym dostawcą, a tam gdzie ma to zastosowanie — na podstawie decyzji o odpowiednim stopniu ochrony.

8. Okres przechowywania danych

• Konto użytkownika i dane programu — do czasu usunięcia konta.
• Historia punktów, paragonów i realizacji kuponów — przez czas posiadania konta; jest usuwana trwale wraz z kontem. Jeżeli w chwili zgłoszenia żądania usunięcia trwa postępowanie reklamacyjne lub istnieje spór, obsługa żądania może zostać wstrzymana do czasu ich zakończenia.
• Logi techniczne i dzienniki zdarzeń aplikacji — do 12 miesięcy.
• Żądania usunięcia konta — do 3 lat (cele dowodowe i audytowe — wykazanie realizacji żądania).
• Zgody marketingowe — do czasu wycofania zgody oraz przez okres niezbędny do wykazania jej udzielenia.

9. Twoje prawa

W związku z przetwarzaniem danych przysługują Ci prawa:

• dostępu do danych i uzyskania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych (w zakresie, w jakim ma zastosowanie),
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wycofania zgody w dowolnym momencie (bez wpływu na wcześniejsze przetwarzanie),
• wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Część praw zrealizujesz samodzielnie w aplikacji (edycja danych, zarządzanie zgodami, usunięcie konta). W pozostałym zakresie skontaktuj się z Administratorem (dane w sekcji 15).

10. Usunięcie konta

Konto możesz usunąć:

• w aplikacji: Profil → Usuń konto,
• przez formularz na stronie app.izapzoo.pl/usun-konto.

Obsługa żądania przebiega dwuetapowo:

• po zgłoszeniu żądania (w aplikacji) konto jest blokowane, a niewykorzystane Izapki i aktywne kupony zostają anulowane — przepadają bez ekwiwalentu;
• po zweryfikowaniu żądania konto oraz dane programu — profil, karta lojalnościowa, saldo, historia punktów i paragonów oraz kupony — są trwale usuwane. Usunięcie jest nieodwracalne; adres e-mail i numer karty mogą zostać po nim ponownie użyte przy nowej rejestracji.

Po usunięciu zachowujemy wyłącznie potwierdzenie obsłużenia żądania (adres e-mail, status i daty — do 3 lat, w celach dowodowych) oraz dane, których zachowania wymagają bezwzględnie obowiązujące przepisy prawa. Żądanie obsługujemy bez zbędnej zwłoki, nie później niż w terminie 30 dni. Szczegóły procesu opisuje także strona usuwania konta.

11. Cookies i podobne technologie

Serwis internetowy (app.izapzoo.pl) korzysta wyłącznie z niezbędnych technologii (m.in. zapamiętanie Twojej decyzji o zgodzie na cookies w pamięci przeglądarki). Na tej stronie nie stosujemy analitycznych ani marketingowych plików cookies (śledzących); przetwarzanie danych kontaktowych w celach marketingowych opisuje sekcja 5. Zasady dotyczące cookies opisuje szczegółowo Polityka cookies, w której możesz też zmienić swoje ustawienia.

Aplikacja mobilna nie wykorzystuje plików cookies. Do utrzymania sesji logowania używamy bezpiecznego magazynu danych urządzenia (zaszyfrowany token, klucz w Keychain/Keystore) oraz lokalnej pamięci na dane niewrażliwe (np. informacja o przejściu wprowadzenia).

Panel kasjera przechowuje w pamięci przeglądarki sesję logowania personelu oraz wybrany sklep/kasę (dane operacyjne, nie marketingowe).

12. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, m.in.:

• szyfrowanie połączeń (TLS/HTTPS),
• uwierzytelnianie użytkowników i personelu; dostęp personelu ograniczony rolami (kasjer/administrator),
• ścisłą kontrolę dostępu na poziomie bazy danych (Row Level Security) — każdy użytkownik ma dostęp wyłącznie do własnych danych,
• wykonywanie operacji wrażliwych (naliczanie i korekty punktów, realizacja kuponów, blokady) po stronie serwera, z weryfikacją uprawnień,
• przechowywanie sesji aplikacji mobilnej w postaci zaszyfrowanej (klucz w bezpiecznym magazynie systemowym),
• brak udostępniania po stronie klienta kluczy uprzywilejowanych (klucz serwisowy service_role nigdy nie trafia do aplikacji ani panelu — pozostaje po stronie serwera),
• kody QR bez danych osobowych.

13. Dane osób niepełnoletnich

Program przeznaczony jest dla osób pełnoletnich oraz osób, które ukończyły 16 lat i posiadają zgodę opiekuna prawnego, zgodnie z Regulaminem. Nie zbieramy świadomie danych dzieci poniżej tego wieku. Jeśli uznasz, że przetwarzamy dane osoby niepełnoletniej bez odpowiedniej zgody, skontaktuj się z nami — dane zostaną usunięte.

14. Zmiany polityki prywatności

Możemy aktualizować niniejszą politykę, np. w związku ze zmianami prawa, zakresu usług lub dostawców. O istotnych zmianach poinformujemy w aplikacji lub drogą elektroniczną. Aktualna wersja jest zawsze dostępna pod adresem app.izapzoo.pl/polityka-prywatnosci.

15. Kontakt