Zásady ochrany osobných údajov

Účinné od 28. 10. 2026

Tieto zásady vysvetľujú, ako spoločnosť BonusQR s. r. o. spracúva osobné údaje pri prevádzke webu bonusqr.com a služby BonusQR (webová aplikácia app.bonusqr.com, mobilné aplikácie, karty v Apple Wallet a Google Wallet, rezervácie, e-shop a súvisiace funkcie). Pojmy Poskytovateľ, Klient, Manažér, Personál, Zákazník a Služba majú rovnaký význam ako vo Všeobecných obchodných podmienkach.

1. Kto spracúva vaše osobné údaje

Prevádzkovateľom je spoločnosť BonusQR s. r. o., so sídlom Bosákova 3783/7, 851 04 Bratislava – mestská časť Petržalka, Slovenská republika, IČO 57246475, zapísaná v Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka č. 192253/B (ďalej „BonusQR“ alebo „my“).

Vo veciach ochrany osobných údajov nás môžete kontaktovať e-mailom na info@bonusqr.com alebo písomne na adrese sídla.

2. V akej úlohe vaše údaje spracúvame

BonusQR je platforma, ktorú podniky (kaviarne, reštaurácie, salóny, obchody a ďalšie prevádzky) používajú na svoje vernostné programy. Preto vaše údaje spracúvame v dvoch úlohách:

• Ako prevádzkovateľ spracúvame údaje návštevníkov webu, údaje Klientov a Manažérov (registrácia, účet, predplatné, podpora), údaje vášho používateľského účtu BonusQR (prihlasovacie údaje, meno, e-mail a nastavenia profilu) a technické údaje potrebné na bezpečnú prevádzku Služby.
• Ako sprostredkovateľ v mene podniku spracúvame údaje o vašej účasti vo vernostnom programe konkrétneho podniku – návštevy, nákupy, pečiatky, body, poukážky, rezervácie, nákupy v jeho e-shope a správy, ktoré vám podnik posiela. Prevádzkovateľom týchto údajov je podnik, do ktorého programu ste sa zapojili. Ak sa chcete na tieto údaje opýtať alebo uplatniť svoje práva, obráťte sa priamo na podnik; ak sa obrátite na nás, žiadosť mu odovzdáme a pomôžeme s jej vybavením.

3. Aké údaje spracúvame a prečo

3.1 Návštevníci webu bonusqr.com

• Technické údaje (IP adresa, typ prehliadača a zariadenia, navštívené stránky, čas návštevy) – na zobrazenie webu, jeho bezpečnosť a riešenie chýb. Právny základ: oprávnený záujem (čl. 6 ods. 1 písm. f) GDPR).
• Voľba krajiny a jazyka – aby sa vám zobrazoval správny jazyk a ceny v mene vašej krajiny. Krajinu určujeme aj podľa IP adresy. Právny základ: oprávnený záujem.
• Kontaktné formuláre a dopyty (meno, e-mail, telefón, obsah správy) – na odpoveď na vašu otázku alebo dopyt. Právny základ: opatrenia pred uzavretím zmluvy a oprávnený záujem. Formuláre chránime pred spamom službou Google reCAPTCHA.
• Analytika a meranie reklamy (Google Analytics, Google Ads, OpenAI) a záznam návštevy – na porozumenie používaniu webu a meranie kampaní. Nepovinnú analytiku, reklamné meranie a záznam návštev spúšťame iba po vašom predchádzajúcom súhlase (čl. 6 ods. 1 písm. a) GDPR), vrátane súhlasu s použitím cookies alebo podobných technológií. Pri odmietnutí zostávajú vypnuté. Voľbu môžete kedykoľvek zmeniť alebo súhlas odvolať podľa bodu 8.
• Chat – ak nám napíšete cez chat, spracúvame obsah konverzácie a údaje, ktoré nám poskytnete, na odpoveď. Právny základ: oprávnený záujem.

3.2 Klienti a Manažéri

• Registrácia a účet – meno, e-mail, prihlasovacie údaje, jazyk; pri prihlásení cez Google alebo Apple aj identifikátor účtu a profilovú fotografiu. Účel: vytvorenie a správa účtu a poskytovanie Služby. Právny základ: plnenie zmluvy (čl. 6 ods. 1 písm. b) GDPR).
• Údaje o prevádzke – názov, adresa a poloha prevádzky, prepojenie s profilom na Google Mapách, logo, farby a obrázky. Tieto údaje sa zobrazujú Zákazníkom. Právny základ: plnenie zmluvy.
• Predplatné a platby – plán, obdobie, história platieb, identifikátor zákazníka v platobnej bráne Stripe, typ a posledné štyri číslice platobnej karty. Celé údaje karty spracúva Stripe, nie my. Právny základ: plnenie zmluvy a zákonná povinnosť pri vedení účtovníctva (čl. 6 ods. 1 písm. c) GDPR).
• Komunikácia – servisné e-maily, návody potrebné na používanie Služby, mesačné prehľady programu a komunikácia s podporou. Servisná komunikácia sa opiera o plnenie zmluvy alebo oprávnený záujem na poskytovaní podpory zástupcom Klienta. Z mesačných prehľadov sa možno odhlásiť jedným kliknutím. Marketingové správy posielame len s vaším súhlasom alebo na inom platnom právnom základe.
• Podpora – oprávnení administrátori majú technický prístup k účtom a údajom aj bez osobitného predchádzajúceho súhlasu Klienta. Prístup smú použiť len v nevyhnutnom rozsahu na podporu, údržbu, riešenie chýb, bezpečnosť alebo splnenie zákonnej povinnosti. Pri údajoch, ktoré spracúvame ako sprostredkovateľ, sa riadime zdokumentovanými pokynmi Klienta a článkom 10 VOP; pri vlastnom spracúvaní je právnym základom podľa účelu plnenie zmluvy, oprávnený záujem na bezpečnej prevádzke alebo zákonná povinnosť.

Pri údajoch Manažéra, ktorý nie je sám zmluvnou stranou (napr. zamestnanec Klienta), je právnym základom správy firemného účtu náš oprávnený záujem a oprávnený záujem Klienta na zabezpečení zmluvného vzťahu; nejde automaticky o plnenie zmluvy s touto fyzickou osobou.

3.3 Personál podnikov

Meno, e-mail a prístupové údaje Personálu a záznamy o tom, kto naskenoval QR kód alebo spravoval rezerváciu, spracúvame v mene Klienta, ktorý Personálu prístup zriadil a je prevádzkovateľom týchto údajov.

3.4 Zákazníci – členovia vernostných programov

• Používateľský účet BonusQR (prevádzkovateľ BonusQR) – meno, e-mail, prihlasovacie údaje, jazyk, pri prihlásení cez Google alebo Apple identifikátor účtu a profilová fotografia, voliteľne dátum narodenia a pohlavie, nastavenie odberu noviniek e-mailom. Účel: vedenie účtu, prihlásenie a zobrazenie vašich vernostných kariet u všetkých podnikov, ktorých programov sa zúčastňujete. Právny základ: plnenie zmluvy o používaní účtu (čl. 6 ods. 1 písm. b) GDPR).
• Účasť vo vernostnom programe podniku (prevádzkovateľ podnik, my ako sprostredkovateľ) – návštevy, nákupy a ich sumy, stav pečiatok, bodov, cashbacku a kreditu, poukážky a odmeny, odporúčania, zaradenie do skupín, nákupy v e-shope podniku a údaje z prepojeného internetového obchodu podniku (napr. WooCommerce, Shopify – e-mail, číslo a suma objednávky). Podnik vidí údaje o vašej účasti vo svojom programe; ostatné podniky ich nevidia.
• Novinky a notifikácie – prevádzka môže za nižšie uvedených právnych podmienok posielať marketingové e-maily iba svojim Zákazníkom po prvej návšteve zaznamenanej použitím QR kódu, ak nemajú e-mailový odber vypnutý. Nemá prístup k celej databáze BonusQR ani možnosť oslovovať zákazníkov iných prevádzok. Nastavenie e-mailového odberu v profile je spoločné pre prevádzky BonusQR, ktorých je používateľ zákazníkom. Pri push notifikáciách sa používa povolenie operačného systému; pri správach na kartách Apple Wallet a Google Wallet sa spracúvajú identifikátory karty a zariadenia. Marketing vyžaduje váš súhlas alebo splnenie konkrétnej zákonnej výnimky; prijatie VOP, prvý sken ani technické nastavenia takýmto súhlasom nie sú. Prevádzka zodpovedá za právny základ a rešpektovanie odhlásenia; voči priamemu marketingu môžete kedykoľvek namietať.
• Narodeninové a príležitostné ponuky – podnik môže nastaviť automatické ponuky podľa dobrovoľne uvedeného dátumu narodenia, návštev, nákupov alebo neaktivity. Uvedenie dátumu narodenia nie je marketingovým súhlasom; platia pravidlá uvedené vyššie.
• Žiadosti o recenziu – podnik vás môže po návštevách požiadať o recenziu na Google Mapách; musí rešpektovať príslušný právny základ, pravidlá komunikácie a pravidlá Google.

Ak sa v e-mailoch používa nepovinné meranie otvorení správ a kliknutí na odkazy, vykonáva sa iba na základe vášho samostatného predchádzajúceho súhlasu s týmto meraním. Súhlas s meraním môžete odvolať prostredníctvom kontaktu uvedeného v správe alebo na info@bonusqr.com; po odvolaní sa ďalšie meranie pre vás zastaví.

3.5 Rezervácie, darčekové poukážky a e-shop

• Rezervácie – meno, e-mail, telefónne číslo, poznámka a údaje potrebné na rezerváciu podľa nastavení podniku, potvrdenia a pripomienky e-mailom. Transakčné SMS sú voliteľné a odosielajú sa iba pri aktivácii tejto funkcie podnikom, výlučne ako potvrdenia a pripomienky rezervácií. Na doručenie sa službe BulkGate a zapojeným telekomunikačným poskytovateľom odovzdáva telefónne číslo príjemcu, obsah SMS a nevyhnutné doručovacie údaje. Spracúvame ich v mene podniku, ktorý zodpovedá za príslušný právny základ a informovanie Zákazníkov. SMS neslúžia na marketing; systém nepodporuje platby vopred ani storno poplatky za rezerváciu. Medzinárodné doručovanie upravuje bod 5.
• Darčekové poukážky – ak niekomu darujete poukážku, spracúvame e-mail príjemcu, aby sme mu ju mohli doručiť. Spracúvame ho v mene podniku.
• E-shop podniku – pri nákupe jednorazových voucherov alebo ich balíčkov evidujeme údaje o nákupe a platbe. Platby cez Stripe smerujú najskôr na Stripe účet BonusQR a následne na prepojený účet podniku; refundáciu môže technicky vykonať podnik aj BonusQR. Úplné údaje platobnej karty spracúva Stripe. Podnik je predávajúcim a vybavuje zákaznícke nároky.

3.6 Bezpečnosť a prevádzka Služby

Na bezpečnosť, ochranu pred zneužitím a riešenie chýb spracúvame v nevyhnutnom rozsahu technické záznamy – IP adresu, typ zariadenia a prehliadača, záznamy o prihláseniach, skenovaniach a volaniach rozhrania API a chybové hlásenia. Právnym základom je oprávnený záujem na bezpečnej a spoľahlivej prevádzke Služby. Nepovinná analytika správania, reklamné meranie a záznam návštev sa riadia súhlasom podľa bodov 3.1 a 8; nepovažujeme ich za nevyhnutné bezpečnostné záznamy.

3.7 Automatické skupiny a profilovanie

Podnik si vytvára vlastné skupiny a pravidlá automatického zaraďovania podľa návštev, nákupov, útraty, narodenín alebo neaktivity a môže podľa nich nastavovať kampane. Ide o segmentáciu, ktorá môže predstavovať profilovanie. Podnik určuje účel, pravidlá a právny základ a informuje o ich dôsledkoch; ak by pravidlo malo pre vás právne alebo podobne významné účinky, musí postupovať podľa čl. 22 GDPR. Voči profilovaniu spojenému s priamym marketingom môžete kedykoľvek namietať.

4. Komu údaje poskytujeme

Osobné údaje nepredávame. Poskytujeme ich len v rozsahu potrebnom na fungovanie Služby:

• podniku, do ktorého vernostného programu ste sa zapojili, u ktorého ste si rezervovali termín alebo nakúpili – v rozsahu vašej účasti v jeho programe;
• dodávateľom a ďalším príjemcom podľa využívanej funkcie a ich právnej úlohy (prehľad nižšie);
• orgánom verejnej moci, ak nám to ukladá právny predpis.

Dodávateľ môže podľa činnosti vystupovať ako sprostredkovateľ alebo samostatný prevádzkovateľ. Podmienky zapojenia ďalších sprostredkovateľov a predchádzajúceho informovania Klienta upravuje článok 10 VOP.

Chat podpory a záznam používania (náš vlastný nástroj Palus) prevádzkujeme sami na infraštruktúre Hetzner; nejde o externého príjemcu údajov. Na hosting sa vzťahuje bod 5, na nepovinný záznam používania pravidlá súhlasu podľa bodu 8.

Ak podnik prepojí Službu so svojím internetovým obchodom (napr. WooCommerce alebo Shopify), údaje si vymieňame s týmto obchodom na pokyn podniku.

5. Kde údaje ukladáme – hosting v EÚ a prenos mimo EÚ

Hlavnú databázu BonusQR a vlastné úložiská záloh, logov, súborov a e-mailov prevádzkujeme u spoločnosti Hetzner Online GmbH v Nemecku, teda v Európskej únii. Podnik, ktorý Službu používa, si môže zvoliť jeden z dvoch režimov hostingu:

• Režim EÚ-only – údaje podniku a údaje jeho zákazníkov spracúvané pre jeho vernostný program, rezervácie a e-shop sa ukladajú a spracúvajú výlučne v Európskej únii (Hetzner, Nemecko) a nie sú súčasťou žiadnych replík ani záloh mimo EÚ/EHP. Podnik si režim EÚ-only vyžiada e-mailom na info@bonusqr.com; aktivujeme ho bez zbytočného odkladu a potvrdíme e-mailom. Ktorý režim váš podnik používa, sa dozviete u neho alebo na našom kontakte v bode 1.
• Štandardný režim – centrálna databáza obsahuje údaje zo všetkých regiónov a jej repliky sú uložené aj v USA a Singapure (Hetzner US LLC, Hetzner Singapore Pte. Ltd.). V tomto režime môžu byť mimo EÚ/EHP uložené aj osobné údaje používateľov z EÚ/EHP, vždy však so zárukami uvedenými nižšie.

Režim hostingu sa vzťahuje na našu vlastnú infraštruktúru (databáza, zálohy, logy, súbory, e-maily). Služby tretích strán uvedené nižšie (napr. Apple Wallet, Google Wallet, Stripe, push notifikácie, SMS) majú vlastné miesta spracúvania bez ohľadu na zvolený režim a používajú sa len pri funkciách, ktoré podnik zapne alebo vy sami použijete.

S Hetzner Online GmbH máme uzatvorenú zmluvu o spracúvaní osobných údajov. Pri replikách v USA a Singapure (štandardný režim) sa zapájajú jej ďalší sprostredkovatelia Hetzner US LLC a Hetzner Singapore Pte. Ltd.; ich aktuálny prehľad zverejňuje Hetzner. Tieto prenosy sú chránené štandardnými zmluvnými doložkami Európskej komisie podľa článku 46 GDPR, ktorými sa podľa bodu 6.2 podmienok Hetzner dopĺňa zmluva pri službách v tretích krajinách. Na tieto prenosy sa nespoliehame na všeobecnú primeranosť ochrany údajov v USA alebo Singapure.

Ďalšie služby z bodu 4 majú vlastné miesta spracúvania. Nasledujúci prehľad opisuje ich zverejnené podmienky vo vzťahu k využívaným funkciám. Konkrétna lokalita môže závisieť od regiónu služby, príjemcu správy alebo používanej funkcie; uvedenie viacerých krajín neznamená, že každá z nich dostane údaje každého používateľa.

DPF nižšie znamená rámec ochrany údajov EÚ – USA, na ktorý sa vzťahuje rozhodnutie Európskej komisie o primeranosti pre zapojených amerických príjemcov a pokryté spracúvanie. SCC sú štandardné zmluvné doložky Európskej komisie podľa článku 46 GDPR; ich použitie zahŕňa posúdenie konkrétneho prenosu a potrebných doplnkových opatrení.

Každý prenos mimo EHP má základ podľa kapitoly V GDPR. Podrobnosti o príjemcoch a krajinách vzťahujúcich sa na vaše údaje, ako aj kópiu príslušných záruk, si môžete vyžiadať na info@bonusqr.com. Odkazy vyššie vedú na podmienky a prehľady príjemcov dodávateľov.

6. Ako dlho údaje uchovávame

Údaje potrebné na poskytovanie Služby spracúvame počas trvania príslušného účtu alebo služby. Po zrušení účtu alebo ukončení služby uchovávame údaje najviac štyri roky (všeobecná premlčacia doba podľa Obchodného zákonníka), a to len v rozsahu potrebnom na preukázanie plnenia zmluvy a na uplatnenie alebo obhajobu právnych nárokov. Ak účel zanikne skôr alebo vznikne povinnosť výmazu, údaje vymažeme skôr. Osobitné zákonné lehoty (napr. účtovníctvo) majú prednosť. Po uplynutí lehoty údaje vymažeme alebo nezvratne anonymizujeme.

• Centrálne kontá BonusQR – údaje potrebné na účet počas jeho trvania; zrušením zákazníckeho konta sa ukončí jeho používanie, nie automaticky uchovávanie údajov prevádzok. Po zrušení konta uchovávame len údaje potrebné na splnenie zákonnej povinnosti alebo ochranu právnych nárokov, najviac po uvedenú štvorročnú lehotu.
• Údaje prevádzok – dobu a účel určuje príslušná prevádzka ako prevádzkovateľ. Pri ukončení spracúvania údaje podľa voľby prevádzky vrátime alebo vymažeme (článok 10 VOP); štvorročná lehota sa uplatní len na údaje, ktoré musíme uchovať podľa práva Únie alebo členského štátu alebo na ochranu právnych nárokov.
• Účtovné doklady – po zákonom stanovenú dobu, pri dokladoch podliehajúcich desaťročnej lehote podľa slovenského zákona o účtovníctve desať rokov nasledujúcich po roku, ktorého sa týkajú.
• Podpora a dopyty – do vybavenia veci; následne iba v rozsahu a po dobu nevyhnutnú na uplatnenie alebo obhajobu súvisiacich právnych nárokov, najviac po uvedenú štvorročnú lehotu od zrušenia súvisiaceho účtu alebo ukončenia služby, pri podpore bez účtu od vybavenia požiadavky.
• Technické a bezpečnostné záznamy – po dobu nevyhnutnú na odhalenie a riešenie chýb alebo bezpečnostných incidentov; pri konkrétnom incidente do ukončenia jeho vyšetrovania a prípadného uplatnenia alebo obhajoby súvisiacich právnych nárokov.
• Marketing a súhlas – po odvolaní súhlasu alebo námietke v priamom marketingu nepokračujeme. Evidenciu vašej voľby uchovávame po dobu potrebnú na jej rešpektovanie a na preukázanie zákonnosti spracúvania.
• Zálohy – vytvárajú sa pravidelne a automaticky na obnovu údajov a uchovávajú sa obmedzený čas, spravidla do 365 dní, potom sa prepisujú. Údaje vymazané z databázy tak zo záloh zmiznú najneskôr po uplynutí tohto cyklu; obnovou zo zálohy sa lehoty nepredlžujú a po obnove opätovne uplatníme uskutočnené výmazy a obmedzenia spracúvania. Pri údajoch spracúvaných pre prevádzku platia aj pravidlá vrátenia a výmazu podľa článku 10 VOP.

7. Vaše práva

Podľa GDPR máte právo:

• požadovať prístup k svojim osobným údajom a ich kópiu,
• požadovať opravu nesprávnych alebo neúplných údajov,
• požadovať vymazanie údajov,
• požadovať obmedzenie spracúvania,
• na prenosnosť údajov, ktoré ste nám poskytli,
• namietať proti spracúvaniu na základe oprávneného záujmu a kedykoľvek proti priamemu marketingu,
• kedykoľvek odvolať súhlas bez vplyvu na zákonnosť spracúvania pred jeho odvolaním,
• podať sťažnosť dozornému orgánu – Úradu na ochranu osobných údajov Slovenskej republiky, dataprotection.gov.sk.

Meno, e-mail, dátum narodenia, pohlavie a odber noviniek môžete spravovať v profile. Tam môžete zrušiť centrálne konto; údaje prevádzok tým automaticky nezaniknú. Push notifikácie vypnete v nastaveniach zariadenia. Žiadosti nám pošlite na info@bonusqr.com; vybavujeme ich individuálne a odpovieme bez zbytočného odkladu, spravidla do jedného mesiaca od prijatia. Pri odôvodnenom predĺžení podľa GDPR vás v prvom mesiaci informujeme o dôvodoch a novej lehote. Pri údajoch prevádzky postupujeme podľa bodu 2; právo na výmaz podlieha zákonným podmienkam a výnimkám.

8. Cookies a podobné technológie

Web bonusqr.com a aplikácia používajú cookies a podobné technológie vrátane lokálneho úložiska. Rozlišujeme ich podľa účelu:

• nevyhnutné technológie – umožňujú prenos komunikácie alebo službu, ktorú výslovne požadujete, napríklad prihlásenie, bezpečnosť relácie a uloženie vašej voľby súhlasu;
• preferencie – pamätajú si krajinu, jazyk alebo naposledy otvorenú prevádzku; ak nie sú nevyhnutné na vami požadovanú funkciu, používame ich až po súhlase;
• analytika a reklamné meranie – pomáhajú porozumieť používaniu Služby a účinnosti kampaní prostredníctvom Google Analytics, Google Ads a OpenAI;
• záznam používania – umožňuje analyzovať priebeh návštevy prostredníctvom služby Palus; spúšťa sa iba po súhlase;
• ďalšie funkcie – chat, hlásenie chýb a push notifikácie; bez súhlasu sa používajú iba technológie nevyhnutné na prenos komunikácie alebo poskytnutie funkcie, ktorú výslovne požadujete. Ostatné podliehajú súhlasu.

Nepovinné technológie vrátane analytiky, reklamného merania a záznamu návštev sú pred vašou voľbou vypnuté a aktivujú sa iba po udelení súhlasu s príslušným účelom. Ak ich odmietnete, zostanú vypnuté; odmietnutie nebráni používaniu základných funkcií Služby. Nevyhnutné technológie používame iba v rozsahu potrebnom na uvedené účely.

Súhlas môžete kedykoľvek jednoducho odvolať alebo zmeniť v nastaveniach cookies a súkromia na webe alebo v aplikácii. Odvolaním sa zastaví ďalšie nepovinné meranie a záznam návštev; zákonnosť spracúvania pred odvolaním tým nie je dotknutá. Cookies môžete spravovať aj v prehliadači.

9. Zabezpečenie údajov

Údaje chránime primeranými technickými a organizačnými opatreniami podľa rizika – šifrovaným prenosom (HTTPS), bezpečným ukladaním hesiel, prístupom podľa rolí a oprávnení, záznamom prístupov a pravidelnými automatickými zálohami na obnovu údajov (ich uchovávanie upravuje bod 6). Infraštruktúru prevádzkujeme v dátových centrách Hetzner v EÚ, pri režime EÚ-only výlučne tam (bod 5). Administrátorský prístup obmedzujeme na účely uvedené v bode 3.2. Žiadne opatrenia nevylučujú incident úplne; ak k nemu dôjde, postupujeme podľa zákonných oznamovacích povinností a dotknuté podniky a používateľov informujeme bez zbytočného odkladu.

10. Deti

Služba nie je určená osobám mladším ako 16 rokov. Pri registrácii sa vek technicky neoveruje. Ak zistíme spracúvanie údajov dieťaťa bez potrebného právneho základu, údaje bez zbytočného odkladu vymažeme a prijmeme ďalšie potrebné opatrenia.

11. Zmeny týchto zásad

Tieto zásady môžeme aktualizovať najmä pri zmene Služby, dodávateľov alebo právnych predpisov. Aktuálne znenie s dátumom účinnosti zverejňujeme na tejto stránke; o podstatných zmenách vás informujeme aj e-mailom alebo v aplikácii. Ak právne predpisy vyžadujú nový súhlas, vyžiadame si ho pred ďalším spracúvaním.