Polityka prywatności

Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych w serwisie QR System (dalej: „Serwis”), dostępnym pod adresem https://www.qrsystem.pl/app. Zasady korzystania z Serwisu określa Regulamin. Serwis umożliwia m.in. ewidencję urządzeń i paszportów produktów, obsługę zleceń serwisowych, współpracę między użytkownikami a serwisantami oraz skanowanie kodów QR przypisanych do urządzeń.

1. Administrator danych

Administratorem danych osobowych w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) jest operator Serwisu QR System.

W sprawach związanych z ochroną danych osobowych można kontaktować się pod adresem: noreply@qrsystem.pl.

2. Kto korzysta z Serwisu

Serwis jest przeznaczony dla:

• użytkowników — właścicieli lub zarządzających urządzeniami,
• serwisantów — podmiotów świadczących usługi serwisowe (konto serwisowe jest bezpłatne),
• producentów — prowadzących ewidencję paszportów produktów i powiązanych urządzeń,
• osób skanujących publiczne karty urządzeń lub paszportów (bez konieczności zakładania konta).

3. Jakie dane przetwarzamy

W zależności od sposobu korzystania z Serwisu możemy przetwarzać m.in.:

3.1. Konto i profil

• imię, nazwisko, nazwa firmy, NIP, REGON (opcjonalnie, m.in. z rejestru GUS),
• adres e-mail, numer telefonu,
• hash hasła (hasło nie jest przechowywane w postaci jawnej),
• adres korespondencyjny, kod pocztowy, miejscowość, kraj,
• współrzędne geograficzne i promień działania (dla serwisantów — wyszukiwanie w okolicy),
• kategorie serwisowanych urządzeń, dane rozliczeniowe (dla abonamentów),
• zgody marketingowe: powiadomienia e-mail i SMS (consent_email, consent_sms),
• data weryfikacji telefonu i e-mail, status konta, poziom abonamentu.

3.2. Urządzenia, paszporty i zlecenia

• dane urządzeń (nazwa, lokalizacja, kategoria, pola własne, notatki, zdjęcia),
• dane paszportów produktów i ich wersji,
• historia zdarzeń urządzenia, zlecenia serwisowe, komentarze, załączniki,
• dane współpracy: lista „Moi serwisanci”, „Moi klienci”, zaproszenia.

3.3. Skanowanie kodów QR

Przy wejściu na publiczną kartę urządzenia lub paszportu (po zeskanowaniu kodu QR) możemy zapisać:

• datę i godzinę skanu, rodzaj akcji (np. wyświetlenie karty),
• adres IP, identyfikator przeglądarki (user agent), adres referer,
• opcjonalnie współrzędne GPS urządzenia końcowego — wyłącznie jeśli użytkownik wyrazi na to zgodę w przeglądarce;
• identyfikator zalogowanego użytkownika, jeśli skan wykonuje osoba zalogowana.

Geolokalizacja przy skanie nie jest wymagana do wyświetlenia karty; służy m.in. właścicielowi urządzenia do statystyk i mapy skanów.

3.4. Komunikacja i powiadomienia

• kody weryfikacyjne SMS (rejestracja, profil),
• wiadomości e-mail: aktywacja konta, zaproszenia, powiadomienia o zleceniach, przypomnienia serwisowe, kody QR,
• powiadomienia w aplikacji (dzwonek),
• SMS-y systemowe: zaproszenia serwisantów i klientów, zapytania do serwisów z wyszukiwarki Google, anulowania zapytań.

3.5. Wyszukiwanie serwisów Google

Przy wyszukiwaniu serwisu w okolicy Serwis korzysta z usług Google (m.in. Mapy, Places). Mogą być przekazywane do Google współrzędne lokalizacji użytkownika oraz zapytania o miejsca; w naszej bazie mogą być zapisywane publiczne dane serwisów (nazwa, adres, telefon, identyfikator miejsca).

3.6. Płatności i abonament

Przy zakupie abonamentu płatności obsługuje operator płatności PayU. Administrator nie przechowuje pełnych danych karty płatniczej — otrzymuje informacje o statusie transakcji, kwocie, identyfikatorze zamówienia i okresie ważności abonamentu.

3.7. Logi techniczne

Serwer może rejestrować adres IP, datę żądania i podstawowe informacje techniczne niezbędne do działania, bezpieczeństwa i diagnostyki (m.in. logi SMS i e-mail w zakresie technicznym).

4. Cele i podstawy prawne przetwarzania

Zgody na komunikację można wycofać w profilu konta; wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania. Powiadomienia niezbędne do realizacji umowy (np. kod weryfikacyjny) mogą być wysłane niezależnie od zgód marketingowych.

5. Odbiorcy danych

Dane mogą być przekazywane podmiotom wspierającym działanie Serwisu, w tym:

• dostawca hostingu — przechowywanie aplikacji i bazy danych,
• bramka SMS (egsmart.pl) — wysyłka wiadomości tekstowych,
• dostawca poczty / serwer SMTP — wysyłka e-maili,
• PayU S.A. — obsługa płatności online,
• Google Ireland Limited — Mapy, Places (wyszukiwanie serwisów),
• Główny Urząd Statystyczny — pobranie publicznych danych firmy po NIP (na żądanie użytkownika),
• innym użytkownikom Serwisu — w zakresie niezbędnym do realizacji współpracy (np. serwisant widzi dane zlecenia i urządzenia).

Podmioty te przetwarzają dane na podstawie umów powierzenia lub własnych regulaminów (procesorzy / niezależni administratorzy, np. PayU, Google).

6. Przekazywanie danych poza EOG

Korzystanie z usług Google i PayU może wiązać się z przekazaniem danych do państw trzecich. Odbywa się to z zachowaniem wymogów RODO (m.in. standardowe klauzule umowne lub decyzje Komisji Europejskiej — zależnie od dostawcy).

7. Okres przechowywania danych

• dane konta — do czasu usunięcia konta lub wycofania zgody, jeżeli przetwarzanie opiera się wyłącznie na zgodzie,
• dane zleceń i urządzeń — przez czas korzystania z Serwisu oraz dalej, o ile historia serwisowa ma znaczenie dla użytkowników (np. przy przeniesieniu urządzenia),
• skany QR — zgodnie z ustawieniami konta i limitami planu (np. historia ostatnich skanów),
• kody weryfikacyjne SMS — do weryfikacji lub wygaśnięcia (zwykle kilkanaście minut),
• dane płatności i abonamentu — przez okres wymagany przepisami podatkowymi i rachunkowymi,
• logi techniczne — przez okres niezbędny do bezpieczeństwa, zwykle do 12 miesięcy.

8. Prawa osób, których dane dotyczą

Przysługuje Państwu prawo do:

• dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania,
• przenoszenia danych (gdy przetwarzanie odbywa się na podstawie umowy lub zgody),
• wniesienia sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu,
• cofnięcia zgody w dowolnym momencie (jeśli była podstawą przetwarzania),
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Wiele danych można zaktualizować samodzielnie w profilu. Usunięcie konta jest możliwe w profilu (sekcja „Usuń konto”) — operacja jest nieodwracalna z Państwa strony; dane osobowe są anonimizowane, natomiast historia serwisowa urządzeń może pozostać w systemie w formie nie pozwalającej na bezpośrednią identyfikację.

9. Pliki cookies i sesja

Serwis wykorzystuje pliki cookies sesyjne niezbędne do utrzymania logowania i bezpieczeństwa sesji. Nie stosujemy cookies marketingowych osób trzecich w ramach podstawowej obsługi konta. Ustawienia cookies w przeglądarce można zmieniać samodzielnie; wyłączenie cookies sesyjnych uniemożliwi logowanie.

10. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka (m.in. szyfrowane hasła, dostęp przez HTTPS, kontrola uprawnień według ról: użytkownik, serwisant, producent, administrator). Żaden system nie gwarantuje jednak absolutnego bezpieczeństwa — prosimy o używanie silnego hasła i ochronę dostępu do telefonu.

11. Dane dzieci

Serwis nie jest przeznaczony dla osób poniżej 16. roku życia. Nie zbieramy świadomie danych dzieci. Jeśli uzyskamy taką informację, usuniemy konto po zgłoszeniu.

12. Zmiany polityki

Polityka może być aktualizowana wraz z rozwojem funkcji Serwisu. O istotnych zmianach poinformujemy w Serwisie lub e-mailem. Data ostatniej aktualizacji znajduje się na górze dokumentu.