Polityka prywatności

1. Administrator danych

Administratorem danych osobowych, a więc podmiotem decydującym o celach i metodach przetwarzania danych osobowych, jest TEJST SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, adres: ul. JAŚKOWA DOLINA 101, 80-286 GDAŃSK, POMORSKIE, POLSKA, KRS: 0000970033, NIP: 9571076461, REGON: 360510564, kapitał zakładowy: 126 100,00 zł.

W sprawach dotyczących przetwarzania danych osobowych, w tym usunięcia konta i danych, można skontaktować się z Administratorem pod adresem info@surfburger.pl lub na adres siedziby wskazany powyżej.

2. Pozyskanie danych oraz zakres ich przetwarzania

Dane osobowe, obejmują dane, które zostały pozyskane z formularza kontaktowego, podczas rozmów telefonicznych, korespondencji e-mail, SMS, a w szczególności:

• Dane konta Użytkownika: imię i nazwisko, e-mail, numer telefonu, hasło (w postaci skrótu), historia logowania i zgód.
• Dane zamówień: produkty, kwoty, adres dostawy, preferencje realizacji, historia statusów zamówień.
• Dane techniczne: identyfikatory sesji, losowy identyfikator instalacji Aplikacji, token powiadomień Apple Push Notification service (APNs) na iOS lub Firebase Cloud Messaging (FCM) na Androidzie, podstawowe logi techniczne i informacje niezbędne do działania Aplikacji. Na Androidzie Firebase przetwarza również identyfikator instalacji Firebase (FID) oraz dane techniczne aplikacji i urządzenia, takie jak wersja aplikacji, systemu i pakietów SDK oraz model urządzenia, w zakresie obsługi i utrzymania usługi.
• Dane lokalizacyjne: dokładna lokalizacja urządzenia wyłącznie po wybraniu przez Użytkownika funkcji „Użyj mojej lokalizacji” i udzieleniu zgody systemowej. Współrzędne służą jednorazowo do ustalenia adresu dostawy i nie są wykorzystywane do ciągłego śledzenia Użytkownika.

3. Cele i podstawy prawne

Administrator przetwarza dane osobowe zgodnie z prawem, zbierając je dla oznaczonych, zgodnych z prawem celów i nie poddaje dalszemu przetwarzaniu niezgodnemu z tymi celami. Dane zbierane są w niezbędnym i adekwatnym zakresie, w stosunku do celów w jakich są przetwarzane. Pozyskane dane osobowe, przetwarzane będą w celu:

• Kontaktu wynikającego z zawartej umowy lub prowadzenia działań zmierzających do zawarcia i realizacji umowy z Użytkownikiem lub kontrahentem, w zakresie działalności Administratora – art. 6 ust. 1 lit. b,c oraz f RODO,
• Realizacji usług, w tym dla wykonania zawartej umowy i sprzedaży produktów, w szczególności w celu realizacji zamówień i obsługi konta Użytkownika - art. 6 ust. 1 lit. b RODO.
• Ustalenia adresu dostawy na wyraźne żądanie Użytkownika oraz przesyłania powiadomień transakcyjnych o zmianach statusu zamówienia - art. 6 ust. 1 lit. b RODO oraz, pomocniczo, art. 6 ust. 1 lit. f RODO. Użytkownik może odmówić systemowej zgody na lokalizację lub powiadomienia i nadal wpisać adres oraz sprawdzać status zamówienia ręcznie.
• Rozpatrywania skarg, wniosków i reklamacji, obsługi zgłoszeń oraz udzielania odpowiedzi na przesłane pytania i prowadzenie korespondencji - art. 6 ust. 1 lit. b, c oraz f RODO
• Wypełniania prawnie ciążących obowiązków na Administratorze, w tym w celu prowadzenia rozliczeń, księgowości i sprawozdawczości finansowej, a więc w celu wykonywania obowiązków podatkowo-księgowych - art. 6 ust. 1 lit. c RODO
• Zapewnienia bezpieczeństwa Witryn i Aplikacji oraz obrony przed roszczeniami i dochodzeniem roszczeń, do czasu wygaśnięcia okresu roszczeń, zgodnie z prawnie uzasadnionym interesem Administratora danych - art. 6 ust. 1 lit. f RODO
• Prowadzenia działań marketingowych, w tym marketingu bezpośredniego (e-mail/SMS/push) – po uprzednim wyrażeniu zgody przez Użytkownika - art. 6 ust. 1 lit. a RODO.

4. Odbiorcy danych i podmioty przetwarzające

W związku z koniecznością realizacji wskazanych celów, Twoje dane osobowe mogą być udostępniane następującym odbiorcom:

• Podmiotom prowadzącym działalność gospodarczą, świadczącym usługi na rzecz Administratora.
• Podmiotom uprawnionym do otrzymania danych osobowych na mocy bezwzględnie obowiązujących przepisów prawa.
• Dostawcom zewnętrznych rozwiązań IT, między innymi w zakresie hostingu Aplikacji i bazy danych – np. Hetzner Online GmbH.
• Dostawcom usług płatniczych, w szczególności Centrum Elektronicznych Usług Płatniczych eService Sp. z o.o. — operatorowi płatności online w Aplikacji — oraz bankom uczestniczącym w realizacji płatności.
• Podmiotom świadczącym usługi kurierskie, odpowiedzialnym za dostarczenie zakupionych przez Użytkownika produktów np. Glovo.
• Dostawcom standardu technologicznego Oauth np. Google lub Apple.
• Dostawcom poczty transakcyjnej SMTP, dostawcom SMS, Apple Inc. w zakresie usługi APNs na iOS oraz Google w zakresie Firebase Cloud Messaging (FCM) i Firebase Installations na Androidzie. Usługi push służą dostarczaniu powiadomień o zamówieniach oraz, po wyrażeniu odrębnej zgody marketingowej, informacji o ofertach.
• Dostawcy usługi geokodowania OpenStreetMap Nominatim w zakresie współrzędnych przekazywanych na wyraźne żądanie Użytkownika w celu ustalenia adresu. Zapytanie jest wysyłane przez serwer Administratora, bez przekazywania dostawcy adresu IP urządzenia Użytkownika.
• Portalom rekrutacyjnym – w przypadku osób aplikujących na oferty pracy.

Dane powierzane są na podstawie umów powierzenia przetwarzania danych osobowych.

Firebase może automatycznie przetwarzać techniczne dane instalacji. Zgoda systemowa na wyświetlanie powiadomień nie jest zgodą na marketing; jej odmowa nie oznacza wyłączenia całego technicznego przetwarzania przez pakiety Firebase. Powiadomienia można wyłączyć w ustawieniach systemowych, a zgodę marketingową wycofać w ustawieniach konta. Więcej informacji o usługach Google: prywatność i bezpieczeństwo Firebase.

5. Miejsce przetwarzania danych

• W aktualnym wdrożeniu produkcyjnym, dane osobowe Użytkowników, przechowywane są na serwerze na którym działa Witryna i Aplikacja, w środowisku Hetzner.
• Jeżeli dane osobowe byłyby przekazywane poza obszar EOG, Administrator wdroży odpowiednie zabezpieczenia wymagane przez RODO.

6. Okres przechowywania danych

Administrator przechowuje dane osobowe przez okres niezbędny do realizacji celów przetwarzania, wykonania umowy, dla danych niezbędnych do wypełnienia obowiązku prawnego ciążącego na Administratorze nie dłużej niż przez czas określony w obowiązujących w tym zakresie przepisach prawa i nie dłużej niż jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administratora. Dane osobowe przetwarzane są przykładowo przez okres:

• Dane konta Użytkownika - do czasu usunięcia konta lub skutecznego zgłoszenia sprzeciwu, z uwzględnieniem okresów wymaganych prawem.
• Dane zamówień i rozliczeń - przez okres wymagany przepisami prawa m.in. podatkowego i rachunkowego, w szczególności w odniesieniu do dokumentacji księgowej – przez okres 5 lat od końca roku, w którym miało miejsce zdarzenie zobowiązujące do utworzenia danego dokumentu.
• Dane marketingowe - do momentu wycofania zgody.
• Token urządzenia i identyfikator instalacji Aplikacji - do czasu wyrejestrowania urządzenia, unieważnienia tokenu przez dostawcę systemu, usunięcia konta lub ustania celu przetwarzania. Powiązanie tokenu z kontem jest usuwane przy wylogowaniu.
• Dane dotyczące rozpatrywania wszelkich skarg, wniosków oraz reklamacji – przez okres obowiązywania umowy, a także do momentu zakończenia okresu rękojmi lub finalizacji procesu reklamacyjnego.
• Dane dotyczące obrony przez roszczeniami i dochodzenia roszczeń zgodnie z prawnie uzasadnionym interesem – do momentu przedawnienia ewentualnych roszczeń umownych, a także do momentu finalizacji procesu dochodzenia roszczeń, zgodnie z przepisami prawa.

Pozostałe dane osobowe będą przetwarzane do momentu zgłoszenia sprzeciwu wobec ich przetwarzania.

7. Prawa w związku z przetwarzaniem danych osobowych

W związku z przetwarzaniem Twoich danych osobowych, masz prawo do:

• Dostępu do treści przetwarzanych danych, sprostowania przetwarzanych danych, usunięcia przetwarzanych danych, ograniczenia przetwarzania oraz przenoszenia danych – art. 15, 16, 17, 18 oraz 20 RODO
• Wniesienia sprzeciwu wobec przetwarzania danych, opartego o uzasadniony interes – art. 21 RODO.
• Wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem – art. 7 RODO.
• Wniesienia skargi do Prezesa UODO, w związku z przetwarzaniem danych osobowych przez Administratora – art. 77 RODO.

Konto można trwale usunąć bezpośrednio w Aplikacji w sekcji „Twoje konto” poprzez przycisk „Usuń konto”. Usunięcie obejmuje profil Konta, sesje logowania, punkty, nagrody, zgody marketingowe i powiązane identyfikatory urządzeń. Dane zamówień i rozliczeń, których dalsze przechowywanie wynika z obowiązków prawnych Administratora, pozostają przechowywane wyłącznie przez wymagany okres i nie są dalej dostępne jako historia usuniętego Konta.

Usunięcie konta bez aplikacji: wyślij prośbę o usunięcie konta SurfBurger i powiązanych danych na info@surfburger.pl. Wskaż adres e-mail konta; przed wykonaniem prośby możemy poprosić o potwierdzenie, że konto należy do Ciebie. Nie przesyłaj hasła ani danych karty płatniczej. Pełna instrukcja i zakres usuwanych danych.

8. Transfer danych do krajów trzecich

W związku z korzystaniem z usług globalnych dostawców technologicznych, w szczególności Apple i Google, dane mogą być przetwarzane poza EOG. W takim przypadku Administrator stosuje podstawy i zabezpieczenia wymagane przez RODO, w szczególności decyzje stwierdzające odpowiedni stopień ochrony lub standardowe klauzule umowne.

9. Udostępnianie i bezpieczeństwo przetwarzania danych osobowych

Podanie przez Ciebie danych osobowych jest niezbędne, aby nawiązać współpracę i realizować zawartą umowę, a także spełniać obowiązki prawne nałożone na Administratora. W szczczególności, podanie danych jest niezbędne do korzystania z oferowanych przez nas usług, sprzedaży produków, jak również w przypadkach gdy zamierzasz dołączyć do naszego zespołu np. w celu założenia Konta, złożenia zamówienia lub skorzystania z programu Surf Club.

Podanie danych osobowych w pozostałym zakresie jest dobrowolne.

Administrator dokłada wszelkich starań, aby chronić dane osobowe klientów, Użytkowników i kontrahentów przed nieuprawnionym dostępem do nich osób trzecich. W tym zakresie Administrator stosuje środki bezpieczeństwa odpowiadające danemu ryzyku przetwarzania danych osobowych, zgodnie z art. 32 RODO. Wszyscy nasi pracownicy zobowiązani są do przestrzegania naszych Polityk i procedur związanych z prywatnością, poufnością i bezpieczeństwem.

10. Zmiany polityki prywatności

Niniejsza Polityka obowiązuje od daty wskazanej na jej wstępie. Administrator może wprowadzić do niej zmiany w każdym czasie, gdy uzna to za konieczne, a w szczególności w przypadku zmian prawnych, technologicznych lub organizacyjnych, dokonując aktualizacji całości lub wybranych fragmentów Polityki. Aktualna wersja Polityki publikowana jest w Centrum dokumentów.

Ostatnia aktualizacja: 8 października 2026 r. — doprecyzowanie powiadomień na Androidzie oraz kontaktu w sprawie usunięcia konta.