Integritetspolicy för Stellar Kiosk

1. Vad Stellar Kiosk är och vem som behandlar dina uppgifter

Stellar Kiosk är appen i de självbeställningsskärmar som vissa restauranger har i sina egna lokaler: du väljer i menyn, betalar med kort i läsaren och får ett kvitto med ditt ordernummer. Den används av restauranger som har Stellar Store. Tre olika parter är inblandade:

• Restaurangen där kiosken står är personuppgiftsansvarig. Det är den som säljer maten till dig och bestämmer vad uppgifterna i din beställning används till. Dess namn, organisationsnummer och adress står på ditt kvitto.
• Stellar Digital S.L. är personuppgiftsbiträde (artikel 28 i GDPR): det tillhandahåller appen och servrarna och behandlar uppgifterna för restaurangens räkning och enligt dess instruktioner. Det använder inte uppgifterna för egna syften och varken säljer eller lämnar ut dem.
• Stripe behandlar kortbetalningen: för restaurangens räkning, för att ta betalt, och dessutom som självständigt personuppgiftsansvarig för sina egna syften (att förebygga bedrägerier och rättsliga skyldigheter), enligt sin policy (avsnitt 4).

Om du kopplar ditt konto med kioskens QR-kod (avsnitt 2) gäller för ditt konto och dina stämplar dessutom integritetspolicyn för samma restaurangs webbutik, där restaurangen också är personuppgiftsansvarig.

Om Stellar, utvecklaren av appen:
Stellar Digital S.L. (verksamt som Stellar Technology)
Organisationsnummer (CIF): B-93774057
Adress: Avd. Juan Gómez Juanito 16, 29640 Fuengirola, Málaga (Spanien)
E-post: hello@stellartech.app · Webbplats: stellartech.app

2. Vilka uppgifter som behandlas

Du behöver inte lämna några personuppgifter för att beställa i kiosken. Den frågar inte efter telefonnummer, e-post, adress eller användarkonto. Om du inte skannar QR-koden för restaurangens app (se nedan) är beställningen anonym: den kopplas inte till något kundregister, lojalitetsprogram, stämplar eller rabattkoder.

Uppgift	Ändamål
Beställningens innehåll: produkter, valda tillval, antal, belopp, äta här eller ta med, språk, datum och tid, ordernummer och beställningskod	Att tillaga och lämna ut din beställning, ta betalt, skriva ut ditt kvitto och sköta restaurangens kassa och bokföring
Ett namn att ropa upp (bara om restaurangen ber om det, och då krävs det för att beställa; högst 40 tecken; det behöver inte vara ditt riktiga namn. Om den inte ber om det ropas du upp med turnumret på ditt kvitto)	Att meddela dig när din beställning är klar. Det syns på ditt kvitto, på köksbongen och i restaurangens kassasystem
Anteckningar till köket som du skriver på en produkt (valfritt, till exempel ”utan lök”)	Att tillaga rätten så som du bett om
Betalningsuppgifter som Stripe skickar tillbaka: kortmärke, kortets 4 sista siffror, hur kortet lästes och de tekniska kvittouppgifter som kortnätverken kräver (till exempel auktoriseringskoden)	Att skriva ut dem på ditt kvitto. Stellars servrar sparar bara Stripes referens för betalningen och beloppet, inte kortmärket eller siffrorna

Skriv inte hälsouppgifter eller andra personuppgifter i anteckningarna. Om du har en allergi eller intolerans, kontrollera allergenerna i menyn och säg till personalen innan du beställer.

Om du skannar QR-koden med restaurangens app (frivilligt)

På restauranger som har funktionen påslagen visar kioskens startskärm en QR-kod. Om du själv väljer att skanna den med restaurangens kundapp (hos Lettus appen ”Lettus”), inloggad på ditt konto, kopplas kiosken till ditt konto i restaurangens webbutik medan du lägger beställningen:

• Beställningen kopplas till ditt konto och ger en stämpel på ditt stämpelkort för den restaurangen, precis som dina beställningar på dess webbplats: när du har 10 beställningar är nästa gratis upp till det genomsnittliga matbeloppet för de 10. Kioskbeställningen syns inte i din beställningslista under ”Mitt konto”, men den räknas till dina stämplar.
• Om du har en gratis beställning kan du använda den i kiosken om du vill: den dras bara av om du väljer den på skärmen.
• Skärmen visar bara ditt förnamn, dina stämplar och, om du har en, din gratis beställning med dess belopp. Aldrig ditt efternamn, telefonnummer eller din e-post.
• Om du inte skriver ett annat namn att ropas upp med använder kiosken ditt förnamn, som syns på ditt kvitto, på köksbongen och i restaurangens kassasystem, som alla namn du anger i kiosken.
• Kopplingen avslutas när du betalar, om du inte rör hälsningsskärmen inom 10 sekunder, om beställningen avbryts eller rensas på grund av inaktivitet, eller när du trycker på ”Logga ut”. Om den skulle bli kvar öppen avslutar servern den efter högst 30 minuter.

Uppgift (bara om du skannar QR-koden)	Ändamål
Ditt kontos interna id, sparat i beställningen	Att ge dig stämpeln och, om du väljer det, dra av din gratis beställning
Logg över kopplingen: kiosk och restaurang, ditt kontos interna id, starttid, tid för kopplingen och sluttid, hur den avslutades och vilken beställning som kom från den	Att veta vilket konto som hör till vilken beställning, se till att ingen annan kan använda kopplingen och i efterhand kunna kontrollera eventuella problem med en stämpel eller en gratis beställning
Misslyckade skanningar: IP-adressen för din anslutning och ditt kontos id, bara när du skannar en kod som inte är giltig	Att stoppa den som provar koder på måfå

Om du inte skannar QR-koden behandlas inget av detta och beställningen är anonym.

Uppgifter om enheten (inte om kunderna)

För att kiosken ska fungera behandlas även uppgifter om själva enheten, som tillhör restaurangen: namnet som restaurangen ger den, tillverkare och modell, appversion, den IP-adress den ansluter från och tidpunkten för senaste anslutning, samt en åtkomstnyckel (på Stellars servrar sparas bara dess kryptografiska kontrollsumma, hash, och dess 4 sista tecken för att känna igen den, aldrig hela nyckeln). På själva enheten sparas dessutom serienumret på den anslutna kortläsaren och PIN-koden till personalens tekniska skärm, den senare oåterkalleligt krypterad.

3. Behörigheter som appen använder

• Plats. Stripes betalsystem (Stripe Terminal) fungerar bara med enhetens plats påslagen och använder den för att veta var betalningarna görs, för att förebygga bedrägerier och minska tvister. Det är platsen för kiosken, som står fast i lokalen, inte för din telefon. Stellars app läser inte platsen på egen hand, sparar den inte och skickar den inte till Stellars servrar: den behandlas av Stripe.
• Bluetooth och USB, enbart för att hitta och ansluta kortläsaren. Bluetooth används inte för att ta reda på platsen.
• Internet, för att ta emot menyn och skicka beställningar, alltid via en krypterad anslutning (HTTPS).

När restaurangen installerar appen som en dedikerad enhet (kioskläge) ger appen sig själv dessa behörigheter och slår på enhetens plats, så att betalningarna fungerar utan att någon behöver göra det för hand. Appen har inte åtkomst till kontakter, bilder, kamera eller mikrofon (QR-koden i avsnitt 2 läses av din telefon, inte av kiosken) och innehåller ingen reklam och inga analys- eller spårningsverktyg. Komponenten Stripe Terminal som är inbyggd i appen skickar däremot till Stripe de tekniska uppgifter som behövs för att läsaren och betalningen ska fungera (till exempel enhetens modell och operativsystem, läsarens serienummer, anslutnings- och betalningshändelser samt platsen), enligt Stripes integritetspolicy.

4. Kortbetalning

Betalningen görs i en kortläsare från Stripe (till exempel WisePad 3) som är ansluten till kiosken. Kortuppgifterna läses och krypteras av läsaren själv och går direkt till Stripe: varken appen eller Stellars servrar ser hela kortnumret, giltighetstiden eller säkerhetskoden. Pengarna går till restaurangens konto hos Stripe.

Beloppet auktoriseras först och dras först när beställningen har registrerats korrekt; om något går fel innan dess makuleras auktoriseringen och du debiteras inte. Om felet skulle inträffa precis efter debiteringen återbetalas hela beloppet till samma kort.

Betalningen behandlas av Stripe Payments Europe, Ltd. (Irland) i två roller: som personuppgiftsbiträde, när det tar betalt för restaurangens räkning enligt Stripes personuppgiftsbiträdesavtal (stripe.com/se/legal/dpa), och som självständigt personuppgiftsansvarig för sina egna syften, till exempel att förebygga bedrägerier och fullgöra sina rättsliga skyldigheter, enligt sin integritetspolicy (stripe.com/se/privacy).

5. Rättslig grund

• Fullgörande av köpeavtalet som du ingår när du beställer: att tillaga, ta betalt för och lämna ut beställningen samt ge dig ditt kvitto.
• Rättslig förpliktelse för restaurangen att spara bokförings- och skatteunderlag för sin försäljning.
• Om du skannar QR-koden: fullgörande av avtalet om stämpelprogrammet som du deltar i med ditt konto i restaurangens webbutik, dvs. att koppla beställningen till ditt konto, ge dig stämpeln och dra av din gratis beställning om du väljer det. Att skanna är frivilligt och behövs inte för att beställa.
• Berättigat intresse för restaurangen i tjänstens säkerhet och i att förebygga bedrägerier vid betalningar (uppgifter om enheten och misslyckade skanningar av QR-koden). Kioskens plats behandlas av Stripe för dess egna syften att förebygga bedrägerier, enligt dess policy.

Inga automatiserade beslut fattas om dig, inga profiler skapas och uppgifterna används inte för att skicka reklam till dig.

6. Vem som tar emot uppgifterna

• Restaurangen: personalen ser beställningen i kassasystemet och i köket, där köksbongen skrivs ut.
• Stellar Digital S.L., som personuppgiftsbiträde.
• Hetzner Online GmbH, som driftar servrarna och säkerhetskopiorna i datacenter inom Europeiska unionen, som underbiträde.
• Stripe, för betalningen, enligt avsnitt 4.

Beställningar från kiosken skickas inte till leveransplattformar eller till tredje part i marknadsföringssyfte. Uppgifterna lagras inom Europeiska unionen. Utanför Europeiska ekonomiska samarbetsområdet:

• Stripe kan överföra uppgifter till Stripe, Inc. (USA), som är ansluten till dataskyddsramen mellan EU och USA (EU-U.S. Data Privacy Framework), och dessutom med Europeiska kommissionens standardavtalsklausuler i sitt personuppgiftsbiträdesavtal (länk i avsnitt 4).

När något går fel (en beställning som inte når köket, en betalning som inte slutförs) varnar systemet Stellars tekniska team via en meddelandetjänst (Telegram, utanför EES). Varningen är bara operativ: typen av händelse och restaurangen, utan några kunduppgifter (inga namn, beställningskoder, belopp eller identifierare). Detaljerna stannar i serverns interna loggar, inom Europeiska unionen.

Du kan begära mer information om dessa skyddsåtgärder via hello@stellartech.app.

Appen laddas ner och uppdateras via Google Play, som behandlar sina egna uppgifter som personuppgiftsansvarig enligt sin integritetspolicy.

7. Hur länge uppgifterna sparas

• I kiosken. Det du väljer raderas när du slutför eller avbryter beställningen, eller efter cirka 80 sekunder utan att skärmen rörs (med en varning först). Medan en betalning avgörs sparas den pågående beställningen krypterad i enheten så att den inte går förlorad om enheten startar om. Kiosken sparar dessutom, i sitt privata internminne, en kopia av de senast utskrivna kvittona (högst 100 filer; de äldsta raderas automatiskt) med deras innehåll, namnet om du angav ett samt kortmärke och kortets 4 sista siffror, så att personalen kan lösa eventuella problem. Inget av detta säkerhetskopieras till molnet.
• På servrarna. Beställningen sparas för restaurangens kassa och bokföring. Namnet, om du angav ett, används bara för att ropa upp dig: en automatisk månatlig process raderar det när beställningen är 30 dagar gammal (vid den månadens körning eller nästa), även i kopian som går till restaurangens kassasystem och i dess utskriftskö. Efter 36 månader raderar samma process även de anteckningar du skrev på produkterna. Resten av beställningen (produkter, tillval och belopp) sparas utan dessa uppgifter så länge restaurangen behåller tjänsten. Om den lämnar skickar den automatiska månatliga processen en intern varning från uppsägningen och raderar dess kunders uppgifter vid en senare körning, aldrig tidigare än 30 dagar efter uppsägningen eller 7 dagar efter varningen: oftast mellan en och två månader efter uppsägningen. De raderas inte så länge restaurangen fortsätter använda kiosken eller ta emot beställningar, om den ber att få behålla dem, eller när de måste sparas enligt lag (4 år för skatteunderlag och 6 år för bokföringsunderlag enligt spansk lag). En beställning som aldrig betalas makuleras och sparas lika länge.
• Om du skannade QR-koden. Beställningen förblir kopplad till ditt konto så länge kontot finns, som dina beställningar på webbplatsen, och räknas till dina stämplar; tiderna för ditt konto och dina stämplar står i integritetspolicyn för restaurangens webbutik. Förnamnet som kiosken använder för att ropa upp dig raderas efter 30 dagar, som alla namn i kiosken. Loggen över kopplingen raderas 30 dagar efter att den avslutats. Misslyckade skanningar raderas efter en dag. Rensningarna sker automatiskt: om de inte har gjorts tidigare görs de vid nästa månatliga körning.
• Uppgifter om enheten: så länge restaurangen har kiosken registrerad och, efter att den tagits bort, som en registrering av borttagningen så länge tjänsten pågår (utan den senaste IP-adressen om restaurangen lämnar tjänsten).
• Webbserverns åtkomstloggar (IP-adress, datum och begärd sida): 14 dagar. Applikationens tekniska loggar (fel och varningar, som kan innehålla samma referenser): 30 dagar.
• Säkerhetskopior: databasens kopior är krypterade och förnyas automatiskt; den äldsta är högst cirka tre månader gammal. Driftleverantören sparar dessutom fullständiga avbilder av servern för de senaste 7 dagarna. Raderade uppgifter finns kvar i kopiorna tills de förnyas och används bara för att återställa tjänsten efter ett fel.
• Stripe sparar betalningsuppgifterna enligt sin egen policy.

8. Säkerhet

All kommunikation är krypterad (HTTPS). Varje enhet identifieras med en egen åtkomstnyckel, sparad krypterad i enheten, som kan återkallas när som helst på restaurangens begäran. Varje restaurang kan bara se sina egna uppgifter och varje kiosk bara de beställningar den själv har gjort. Kiosken körs i dedikerat läge, utan väg ut till andra appar, och dess tekniska skärm är skyddad med PIN-kod. Kioskens QR-kod byts var 10:e sekund, varje kod slutar gälla efter 30 sekunder och varje koppling tar bara emot en person.

9. Dina rättigheter

Du kan utöva dina rättigheter till tillgång, rättelse, radering, invändning, begränsning av behandling och dataportabilitet. Eftersom restaurangen är personuppgiftsansvarig, vänd dig i första hand till den (dess uppgifter står på ditt kvitto). Om du inte kan det, skriv till hello@stellartech.app: vi vidarebefordrar din begäran till restaurangen och hjälper den att besvara den. Om du inte skannade QR-koden är beställningen anonym, och för att hitta den behöver vi restaurangen, datum och tid samt ordernumret eller koden som står på ditt kvitto. Om du skannade den kan vi också hitta den via ditt konto.

Du kan också lämna in ett klagomål till den spanska dataskyddsmyndigheten (www.aepd.es) eller till dataskyddsmyndigheten i det land där du bor (i Sverige Integritetsskyddsmyndigheten, www.imy.se).

10. Barn

Appen riktar sig inte särskilt till barn och ber dem inte om några uppgifter: man kan beställa utan att lämna några.

11. Ändringar i denna policy

Om denna policy ändras publiceras den nya versionen på samma adress med ett nytt uppdateringsdatum. Detta är en översättning av den spanska versionen, som gäller vid eventuella avvikelser.