Політика конфіденційності Tax Free Club

§1. Загальні положення

• 1. Ця Політика конфіденційності (далі: «Політика») описує правила обробки персональних даних Користувачів мобільного застосунку та вебсервісу Tax Free Club (далі: «Застосунок»), зокрема інформацію, що вимагається статтями 13 і 14 Регламенту (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 р. (далі: «GDPR»).
• 2. Політика доповнює Положення про надання послуг Tax Free Club. Терміни, написані з великої літери та не визначені в Політиці, мають значення, надане їм у Положенні.
• 3. Користуючись Застосунком, Користувач підтверджує, що ознайомився зі змістом Політики.

§2. Розпорядник персональних даних

• 1. Розпорядником персональних даних є:
  
  RTFC.PL Sp. z o.o.
  з місцезнаходженням у Кракові (31-545), вул. Могильська 43 (ul. Mogilska 43), Польща,
  податковий номер (NIP): PL 6751778186,
  електронна пошта: faktura@tfc.eu,
  далі: «Розпорядник» або «TFC».
• 2. З усіх питань, що стосуються обробки персональних даних, можна звертатися до Розпорядника на адресу електронної пошти faktura@tfc.eu або листовно на адресу місцезнаходження.
• 3. Розпорядник не призначив Спеціаліста із захисту даних (DPO). З усіх питань, що стосуються персональних даних, слід звертатися до Розпорядника у спосіб, зазначений у пункті 2.

§3. Які дані ми обробляємо

Залежно від способу користування Застосунком ми обробляємо такі категорії даних:

• 1. Дані облікового запису та автентифікації — адреса електронної пошти та ідентифікатор із сервісу входу (Google OAuth / Apple ID), ім'я та відображуване ім'я, надані постачальником входу.
• 2. Дані, необхідні для процедури TAX FREE (вимагаються законодавством і системою PUESC):
  a) ім'я та прізвище згідно з документом для подорожі,
  b) номер паспорта або іншого рівнозначного документа, що посвідчує особу,
  c) дата народження,
  d) країна проживання за межами Європейського Союзу,
  e) номер банківського рахунку (IBAN) — у разі повернення на рахунок.
• 3. Дані про покупки — відскановані чеки та рахунки-фактури, їх зміст (позиції, суми, дані продавця) та дані, зіставлені зі структурованих рахунків-фактур у системі KSeF.
• 4. Дані про транзакції — інформація про Документи TAX FREE, суми повернення, комісію та виплати.
• 5. Технічні та діагностичні дані — модель пристрою, операційна система, версія Застосунку, ідентифікатори push-сповіщень, а також дані про помилки застосунку (діагностичні журнали).

§4. Цілі та правові підстави обробки

Надання даних, зазначених у §3(2), є добровільним, але необхідним для користування поверненням ПДВ — без них надання Послуги неможливе.

§5. Одержувачі даних

Дані можуть надаватися таким категоріям одержувачів виключно в обсязі, необхідному для досягнення зазначених цілей:

• 1. Органи державної адміністрації — Міністерство фінансів (системи PUESC і KSeF), Національна податкова адміністрація, податково-митні органи — на підставі юридичного обов'язку.
• 2. Продавці, зареєстровані в процедурі TAX FREE — в обсязі, необхідному для затвердження та розрахунку повернення.
• 3. Банки та платіжні установи — з метою здійснення виплати повернення на рахунок Користувача.
• 4. Постачальники сервісів входу — Google та Apple — для автентифікації (через AWS Cognito).
• 5. Суб'єкти, що обробляють дані за дорученням Розпорядника (процесори), на підставі договорів про доручення обробки:
  a) постачальник хмарної інфраструктури Amazon Web Services (AWS) — хостинг у регіоні ЄС (Франкфурт, eu-central-1);
  b) постачальник послуг діагностики помилок Sentry (сервери в ЄС) — без передачі даних, що дають змогу безпосередньо ідентифікувати особу (конфігурація «без персональних даних»);
  c) сервіси автоматичного зчитування вмісту документів (OCR / модель ШІ), що працюють в інфраструктурі AWS у ЄС.
• 6. Розпорядник не продає персональні дані третім особам.

§6. Передача даних за межі Європейського економічного простору (ЄЕП)

• 1. Як правило, дані обробляються на серверах, розташованих у Європейському Союзі.
• 2. У межах користування сервісами входу Google / Apple може відбуватися передача обмежених даних за межі ЄЕП (зокрема до США). Передача здійснюється на підставі відповідних запобіжних заходів, зазначених у розділі V GDPR (стандартні договірні положення або рішення Європейської Комісії про адекватність, напр. Data Privacy Framework).

§7. Строк зберігання даних

• 1. Дані, пов'язані з процедурою TAX FREE, а також бухгалтерські та податкові документи ми зберігаємо протягом строку, визначеного законодавством — як правило, 5 років від кінця календарного року, в якому минув строк сплати податку.
• 2. Дані Облікового запису ми зберігаємо протягом строку його наявності. Коли Користувач видаляє Обліковий запис у Застосунку, ми негайно видаляємо або анонімізуємо його персональні дані — зокрема ім'я та прізвище, адресу електронної пошти, паспортні дані, збережені способи повернення та токени push-сповіщень — і Користувач більше не може увійти. Рахунки-фактури, документи TAX FREE та дані повернень податку (зокрема дані виплати, збережені при завершеному поверненні) ми зберігаємо протягом строку, визначеного в пункті 1 вище, у формі, від'єднаній від видаленого Облікового запису, оскільки маємо юридичний обов'язок їх зберігати.
• 3. Діагностичні журнали ми зберігаємо протягом строку, необхідного для забезпечення безпеки, не довше ніж 90 днів.

§8. Права Користувача

• 1. Користувач має такі права:
  a) доступу до своїх даних та отримання їх копії;
  b) виправлення неправильних або неповних даних;
  c) видалення даних («право бути забутим») — в обсязі, що не суперечить юридичному обов'язку зберігати дані;
  d) обмеження обробки;
  e) перенесення даних, що обробляються на підставі договору або згоди;
  f) заперечення проти обробки, що ґрунтується на законному інтересі;
  g) відкликання згоди будь-коли (без впливу на законність обробки до відкликання) — якщо обробка здійснюється на підставі згоди.
• 2. Для реалізації прав слід звернутися до Розпорядника на адресу faktura@tfc.eu. Частину прав (зокрема видалення Облікового запису) Користувач може реалізувати самостійно в Застосунку (розділ Профіль → Видалити обліковий запис).
• 3. Користувач має право подати скаргу до наглядового органу — Голови Управління з захисту персональних даних (PUODO), ul. Stawki 2, 00-193 Варшава, Польща.

§9. Автоматизоване ухвалення рішень і профілювання

• 1. Для зіставлення відсканованих чеків із рахунками-фактурами в KSeF та зчитування вмісту документів Розпорядник використовує автоматизовану обробку, зокрема інструменти OCR та моделі штучного інтелекту.
• 2. Така обробка не спричиняє щодо Користувача правових наслідків і не впливає на нього подібним істотним чином у розумінні статті 22 GDPR — рішення про надання повернення ПДВ належить Продавцю та податково-митним органам, а Користувач має змогу перевірити та виправити дані в Застосунку.

§10. Безпека даних

Розпорядник застосовує технічні та організаційні заходи, що забезпечують захист даних, відповідний до загроз, зокрема: шифрування передачі (TLS) із перевіркою сертифіката (т. зв. SSL pinning), безпечне зберігання даних автентифікації на пристрої, контроль доступу та зберігання даних у хмарній інфраструктурі на території ЄС.

§11. Діти

Застосунок не призначений для осіб, які не досягли 16 років. Розпорядник свідомо не збирає даних осіб віком до 16 років. Якщо буде встановлено, що дані такої особи було надано без необхідної згоди, дані буде видалено.

§12. Файли cookie та аналітика на сайті

Цей параграф стосується сайту tfc.eu. Необхідні механізми зберігання даних працюють завжди; аналітичні та маркетингові інструменти запускаються лише після вашої згоди в банері cookies.

Vercel Web Analytics. Сайт також використовує Vercel Web Analytics, який не використовує файли cookie та обробляє лише агреговану анонімну статистику трафіку. Правова підстава — наш законний інтерес у підтримці та покращенні сайту (ст. 6(1)(f) GDPR).

Правова підстава. Аналітичні та маркетингові інструменти використовуються лише на підставі вашої згоди (ст. 6(1)(a) GDPR у зв'язку зі ст. 399 Закону Польщі про електронні комунікації – Prawo komunikacji elektronicznej).

Одержувачі. Google Ireland Ltd. (Google Analytics) та Meta Platforms Ireland Ltd. (Meta Pixel). Дані можуть передаватися до США; така передача ґрунтується на EU-US Data Privacy Framework.

• Контактна форма. Ми обробляємо ім'я, адресу e-mail, номер телефону та текст повідомлення, щоб відповісти на ваш запит (ст. 6(1)(f) GDPR).
• Розсилку надсилаємо лише за окремою згодою (ст. 6(1)(a) GDPR).
• Дані запиту зберігаємо протягом часу, потрібного для його опрацювання, а потім не довше 12 місяців; дані для розсилки — до відкликання згоди.

Відкликання згоди. Ви можете будь-коли змінити або відкликати згоду через посилання «Налаштування cookies» у футері сайту. Відкликання згоди не впливає на законність обробки до моменту відкликання.

§13. Зміни Політики

• 1. Розпорядник може оновлювати Політику в разі зміни законодавства, функціональності Застосунку або правил обробки даних.
• 2. Про істотні зміни Користувача буде поінформовано через повідомлення в Застосунку або на вказану адресу електронної пошти. Чинна версія Політики завжди доступна в Застосунку.

§14. Контакт

Усі питання щодо обробки персональних даних просимо спрямовувати на адресу: faktura@tfc.eu.