Masa9 e o aplicație prin care clienții unui restaurant, al unei cafenele sau al unui bar comandă de la masă, scanând un cod QR. Aici explicăm, pe scurt și concret, ce date se prelucrează, de ce, cât timp și ce drepturi ai, conform Regulamentului (UE) 2016/679 (GDPR).
1. Cine răspunde de datele tale
Masa9 e operată de [de completat], CUI [de completat], nr. de înregistrare la Registrul Comerțului [de completat], cu sediul în [de completat], email contact@masa9.ro.
- Când comanzi într-un local, localul e operatorul datelor: el decide ce se întâmplă cu comanda ta. Masa9 e persoana împuternicită: prelucrează datele doar în numele localului și după instrucțiunile lui, pe baza unui acord de prelucrare. Același lucru e valabil pentru conturile ospătarilor și ale bucătarilor.
- Masa9 e operator pentru site-ul masa9.ro, pentru conturile managerilor (ca relație cu clientul nostru, localul) și pentru mesajele trimise la contact@masa9.ro.
Pentru orice cerere despre datele tale ne poți scrie direct; dacă privește un local, o transmitem localului și te ajutăm să primești răspuns.
2. Dacă ești client și comanzi de la masă
Nu ai nevoie de cont. Nu îți cerem numele, telefonul, emailul sau localizarea, și nu există reclame sau urmărire de la terți.
| Ce date | De ce | Temei (GDPR art. 6) | Cât timp |
|---|---|---|---|
| Un identificator aleator în cookie-ul m9_guest, fără legătură cu identitatea ta | Ca să vezi pe telefon comenzile tale și starea lor, și să limităm comenzile false | Executarea comenzii (b); interes legitim pentru prevenirea abuzurilor (f) | Cookie-ul expiră după 30 de zile; legătura comenzii cu telefonul se șterge după 30 de zile |
| Comanda: masa, produsele, variantele, prețul, ora | Ca localul să o pregătească, să o servească și să o încaseze | Executarea comenzii (b); obligații legale contabile ale localului (c) | Cât o păstrează localul în evidențe; după 30 de zile nu mai e legată de niciun telefon |
| Notițele scrise de tine la comandă sau la un produs | Ca bucătăria și barul să țină cont de ele | Executarea comenzii (b) | Se șterg după 30 de zile |
| Cererile „Cheamă ospătarul” și „Vreau nota” (cu numerar / card) | Ca ospătarul să vină la masa ta | Executarea comenzii (b) | Cât sunt păstrate datele mesei de către local |
| Adresa IP | Limitarea numărului de comenzi trimise într-un timp scurt | Interes legitim pentru securitate (f) | Doar în memoria serverului, câteva minute; nu se salvează |
Notițele sunt opționale. Dacă menționezi o alergie sau o intoleranță, o faci ca bucătăria să țină cont de ea; nu scrie acolo alte date personale.
3. Dacă lucrezi într-un local (ospătar, bucătar, manager)
- Date de cont: numele, utilizatorul (sau emailul, pentru manageri), rolurile și stațiile, data ultimei autentificări. PIN-ul și parola se păstrează doar sub formă de hash; nimeni nu le poate citi, nici noi.
- Sesiuni: browserul folosit (user agent) și data, ca să poți fi deconectat de pe toate dispozitivele. Expiră după 30 de zile de inactivitate și se șterg automat.
- Acțiuni în aplicație: cine a marcat o comandă „Gata”, cine a preluat o cerere sau a închis o masă, ca serviciul să fie organizat.
Operatorul acestor date e localul, ca angajator (interes legitim pentru organizarea serviciului, art. 6 alin. (1) lit. f). Datele se păstrează cât timp contul există. Managerul poate șterge oricând un cont din pagina Echipă; numele persoanei dispare atunci și din istoricul comenzilor.
4. Dacă vizitezi masa9.ro
- Nu folosim Google Analytics, pixeli de reclamă sau alte scripturi de urmărire. Fonturile și imaginile sunt găzduite de noi.
- Formularul de înscriere la pilot e găzduit de Tally (Tally BV, Belgia). Ce completezi acolo (localul, datele de contact) folosim doar ca să te contactăm despre pilot (demersuri înainte de un contract, art. 6 alin. (1) lit. b) și păstrăm cel mult 12 luni dacă nu începem o colaborare.
- Mesajele trimise la contact@masa9.ro le păstrăm cât durează discuția și cel mult 2 ani după, apoi le ștergem, cu excepția celor legate de un contract.
5. Cookie-uri și stocare în browser
| Nume | Scop | Durată |
|---|---|---|
| m9_guest (cookie) | Leagă comenzile tale de telefonul tău, fără să știm cine ești | 30 de zile |
| m9_session (cookie) | Ține personalul autentificat | 30 de zile de inactivitate |
| Coșul (localStorage) | Păstrează coșul dacă pagina se reîncarcă; rămâne doar pe telefonul tău | Până trimiți comanda |
Toate sunt strict necesare pentru serviciul pe care îl ceri. Nu folosim cookie-uri de analiză sau de publicitate, de aceea nu îți cerem acordul pentru cookie-uri (Legea nr. 506/2004 și Directiva 2002/58/CE permit stocarea strict necesară fără consimțământ).
6. Cine mai are acces la date
Localul în care comanzi și echipa lui. Nu vindem și nu închiriem date. Folosim acești furnizori, cu contracte care îi obligă să protejeze datele:
| Furnizor | Pentru ce | Unde |
|---|---|---|
| Hetzner Online GmbH | Serverul aplicației, baza de date și pozele | Germania (UE) |
| Cloudflare, Inc. (R2) | Copiile de siguranță, criptate la stocare | Date stocate în UE; firma e certificată EU-US Data Privacy Framework |
| Apple Distribution International Ltd. (iCloud+) | Emailul de suport contact@masa9.ro | Irlanda (UE) |
Datele pot fi comunicate autorităților doar când legea o cere.
7. Cum le protejăm
- Conexiune criptată (HTTPS) peste tot; serverul e în Germania, în UE.
- Parolele și PIN-urile sunt stocate cu hash (scrypt); sesiunile, doar ca hash SHA-256.
- Fiecare local își vede doar datele lui; rolurile se verifică pe server la fiecare acțiune.
- Firewall, acces la server doar cu cheie, actualizări automate, autentificare în doi pași pe conturile de administrare. Copii de siguranță zilnice: 14 zile pe server și 60 de zile în altă locație din UE. Datele șterse dispar și din copii după cel mult 60 de zile.
8. Drepturile tale
Ai dreptul să afli ce date avem despre tine, să le corectezi, să le ștergi, să restricționezi prelucrarea, să te opui prelucrării bazate pe interes legitim și să primești datele într-un format portabil (art. 15–21 GDPR). Scrie-ne la contact@masa9.ro; răspundem în cel mult o lună.
Pentru clienți: cum nu știm cine ești, ca să găsim comanda ta avem nevoie de localul, masa, data și ora aproximativă sau numărul comenzii. Dacă nu o putem identifica, îți spunem (art. 11 GDPR).
Poți depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, București, www.dataprotection.ro.
9. Alte informații
Decizii automate
Nu luăm decizii automate și nu facem profiluri.
Modificări
Când schimbăm această politică, actualizăm data de sus; schimbările importante le anunțăm localurilor din panou.