Политика конфиденциальности

Кто мы и какова наша роль

Roomtray - программа для отелей: гости заказывают еду и услуги по QR-коду в номере, а команда отеля обрабатывает заказы.

В отношении учётных записей владельцев, менеджеров и персонала отелей мы являемся контролёром данных.

В отношении заказов гостей мы действуем как обработчик по поручению отеля согласно статье 28 GDPR. Контролёр данных - отель, он решает, какие данные собирать у гостей. Договор об обработке данных является частью наших условий использования и принимается при регистрации.

Какие данные мы обрабатываем

• Учётные записи команды отеля: имя, адрес электронной почты, пароль (хранится только в виде хеша), язык интерфейса, настройки двухфакторного входа, время входов и IP-адрес при входе.
• Заказы гостей: номер комнаты, заказанные позиции, комментарий, время заказа, язык меню, число персон и фамилия гостя, если отель её запрашивает.
• Проверка заселения, если отель её включил: фамилия, которую ресепшен вводит при заселении, а также время заселения и выезда из номера.
• Защита от спама: хеш идентификатора устройства и хеш IP-адреса. Мы храним хеш, а не сам адрес.
• Статистика меню для отеля: сканирования QR-кода, просмотры меню и блюд, шаги корзины и заказы с указанием номера, языка меню и времени. Каждая запись несёт только короткий код, который меняется каждый день, поэтому гостей можно посчитать, но нельзя отследить изо дня в день. Без IP-адреса, без данных браузера, без персональных данных. Записи удаляются через 400 дней.
• Telegram: ID и название чата персонала, который подключает отель.
• Статистика сайта, только с вашего согласия: см. раздел о cookies и статистике.

Гости не создают учётных записей. Мы не запрашиваем у гостей адрес электронной почты, номер телефона или платёжную карту.

Зачем мы их обрабатываем

• Чтобы оказывать отелю услугу по договору (статья 6(1)(b) GDPR).
• Для безопасности, защиты от спама и журнала действий на основании нашего законного интереса в безопасном сервисе (статья 6(1)(f) GDPR).
• Для статистики сайта на основании вашего согласия (статья 6(1)(a) GDPR), которое вы можете отозвать в любой момент.
• Для счетов и бухгалтерии, потому что этого требует закон (статья 6(1)(c) GDPR).

Мы не продаём данные, не показываем рекламу и не используем данные гостей в собственных целях.

Где и как долго мы их храним

Все данные хранятся на серверах в дата-центрах Европейского союза. Резервные копии зашифрованы и тоже остаются в ЕС.

Заказы гостей по умолчанию автоматически обезличиваются через 90 дней: фамилия, комментарий и хеши устройства удаляются, а позиции и суммы остаются для отчётов отеля. Отель может сократить или продлить этот срок в настройках.

Учётные записи отелей удаляются в течение 30 дней после окончания договора. Счета хранятся 7 лет, как требует налоговое законодательство Австрии.

Cookies и статистика

Меню гостей, доска заказов персонала и панели управления не используют стороннюю аналитику. Меню гостя считает посещения анонимно на наших собственных серверах (см. выше) без дополнительных cookies. Они устанавливают только cookies, необходимые для работы: сессию, устройство, корзину и выбранный язык.

Этот сайт, а также страницы входа и регистрации используют Google Analytics 4, но только после вашего согласия в баннере cookies. До этого скрипт аналитики не загружается и cookie статистики не устанавливается. Мы используем Consent Mode v2 со всеми отключёнными рекламными сигналами и не используем данные для рекламы.

Ваш выбор хранится в браузере (localStorage), и его можно изменить в любой момент по ссылке «Настройки cookies» внизу каждой страницы. Если вы отзовёте согласие, мы удалим cookies Google Analytics (_ga, _ga_*).

Ещё мы сами считаем посещения этого сайта на своих серверах и без cookie: страницу, откуда вы пришли, страну, тип устройства, браузер, время на странице, прокрутку и нажатия. В вашем браузере ничего не сохраняется, а IP-адрес не записывается, поэтому согласие не нужно. Посещения можно различить только в пределах одного дня по анонимному коду, который меняется каждый день. Правовое основание - наш законный интерес знать, какие страницы полезны (статья 6(1)(f) GDPR). Эти записи удаляются через 90 дней.

Этот сайт также хранит один cookie с выбранным языком (rf_lang) в течение одного года.

Поставщики услуг

• Хостинг и резервные копии: дата-центры в ЕС.
• Отправка писем с кодами входа и приглашениями: поставщик в ЕС.
• Google Analytics 4 (Google Ireland Limited): только на этом сайте и на страницах входа и регистрации, и только с согласия. Google может передавать данные в США в рамках EU-US Data Privacy Framework.
• Telegram: только если отель его подключил. Уведомления персоналу содержат номер комнаты и заказ. Telegram может обрабатывать данные за пределами ЕС, поэтому отель сам решает, использовать ли его.
• Машинный перевод меню: получает только тексты меню, никогда данные гостей.

Актуальный список поставщиков мы отправим по запросу.

Ваши права

Вы имеете право на доступ к своим данным, их исправление и удаление, на ограничение обработки или возражение против неё, а также на получение данных в переносимом формате.

Гостям следует сначала обращаться в отель, потому что контролёр данных заказов - отель. Мы помогаем отелю ответить на каждый запрос в течение 30 дней.

Вы также можете подать жалобу в надзорный орган по защите данных: в Австрии это Datenschutzbehörde, или в орган вашей страны.

Безопасность

Все соединения защищены TLS. Пароли хранятся в виде хешей. Владельцы и менеджеры обязаны использовать двухфакторный вход. Каждый отель видит только свои данные, а важные действия записываются в журнал.

Изменения политики

Если мы существенно изменим эту политику, мы сообщим отелям по электронной почте не менее чем за 30 дней. Вопросы: [email protected].