Privacy Policy
Effective 12 August 2026 · Replaces all earlier versions
1. Who we are
The Chappa mobile app ("the App") is operated by CEAPA COOL SRL, a company registered in Romania (trade register no. J35/956/2023, fiscal code CUI 47755081), with its registered office at Str. Diana 4, Et. 3, Ap. 16, Timișoara, Romania ("we", "us").
For anything related to your personal data, write to us at office@ceapa.cool.
We are the data controller for the processing described in this policy, except where this policy explicitly says otherwise: the venue you order from is an independent controller of its own sales and fiscal records, and payment and sign-in providers (Stripe, Google, Apple) are independent controllers of the data you give them directly.
2. The short version
- The App works without an account. Browsing venues, viewing menus, scanning a table QR code and ordering all work logged out. An account is only needed for reviews, leaderboards and visit counts.
- No advertising, no analytics, no tracking. The App contains no ad networks, no analytics or crash-reporting tools, and does not track you across other apps or websites.
- No location tracking. The App never asks for or reads your device's GPS position. You choose your city yourself.
- We never see your card details. Card payments are handled by Stripe inside their secure payment sheet.
- We do not sell or rent your data, and we email you only about your own activity — never marketing spam. Your email address is never shared with anyone.
- Reviews and leaderboards are public. Posting a review or joining a venue leaderboard publishes your display name, avatar and the associated content — both are your choice, and both can be undone.
3. What we process, feature by feature
3.1 Browsing without an account
When you use the App, your device communicates with our servers over the internet. Like every server on the internet, ours receive your device's IP address as a technical necessity of answering your requests. We do not store IP addresses in our databases, do not use them to identify or profile you, and process them only to deliver responses and protect our services against abuse.
What the App fetches while you browse — city lists, venues, menus, images, ratings — is our data flowing to you, not yours flowing to us. Your chosen city and language are saved only on your device.
The city map is drawn from map tiles loaded from OpenFreeMap, a third-party map service. Like any content server, it receives your IP address and the map areas you view. No account data is ever sent to it.
3.2 Table sessions and ordering
Scanning a table QR code starts a table session: the App receives a temporary table token that identifies the venue and the table, and connects to that venue's server (operated by us on the venue's behalf). Orders you place — items, quantities, table, timestamps — become part of that venue's sales records, exactly as if you had ordered through a waiter. Venues are legally required to keep their sales and fiscal records; those records belong to the venue.
You can optionally attach a photo to your table, whose whole purpose is to be printed on your bill. It is uploaded only when you choose it, is resized before upload — a process that removes embedded metadata such as location tags — and is visible to your table and the venue's staff until the bill is printed, after which it is deleted. You can also delete it yourself at any time before that. It is tied to the table session, not to any account.
If you are signed in, orders you place additionally carry your account identifier — see section 3.4.
3.3 Your account
Accounts are optional and are created by signing in with Google or (on iOS) Apple. There is no password stored with us. During sign-in, your provider gives us a cryptographically signed token which we verify and discard; from it we record:
- a random account identifier (UUID) that we generate;
- which provider you used and the stable subject identifier the provider assigns you (this is how we recognise you on future sign-ins);
- your display name as reported by the provider — you can change it in the App at any time;
- the email address reported by the provider;
- an optional profile photo (avatar), if you choose to upload one — it is re-encoded and resized on your device before upload, which removes embedded metadata;
- account creation and last sign-in timestamps, your privacy settings, and a hashed form of your session token (we store only the hash, never the token itself).
About your email address: we use it to send you notifications about your own activity — replies venues post to your reviews, payment confirmations, and updates from venues you visit often or have opted into. Never random news or third-party marketing, and every category can be turned off in the App. Your email address is displayed nowhere and is never shared with anyone — not with venues, not with anyone else.
While you are signed in, the App holds a short-lived, cryptographically signed "identity pass" containing only your account identifier and display name. It is presented to venue servers so they can attribute your orders to your account without contacting our central server. It expires within days and is refreshed automatically.
You can delete your account from inside the App (My account → Privacy → Delete account). Deletion is immediate and permanent — see section 8.
3.4 Purchase attribution and visit counts
When you are signed in, orders and payments you make at a venue are stamped with your account identifier in that venue's database. This association is not shown in the venue's reports or to its staff and exists to power exactly two things you control:
- Visit counts on reviews. Your review of a venue can display "visited N times" — the number of distinct days on which you made purchases there. This makes reviews more credible. It is controlled by the "Show visits on reviews" setting (My account → Privacy), which is on by default; you can turn it off at any time, and the change takes full effect within 12 hours. While it is off, the count cannot be computed or displayed by anyone.
- Leaderboards — see section 3.6, which you must explicitly opt into per venue.
3.5 Reviews — public content
You can write one review per venue: a 1–5 star rating, up to 1000 characters of text, and up to 3 photos (re-encoded and resized before upload, which removes embedded metadata such as location tags).
Reviews are public. Anyone using the App — signed in or not — can see your review together with your display name, your avatar, your account identifier, the date, whether it was edited, and any public reply the venue posts. Venue staff see the same public information (never your email or sign-in provider). Because reviews carry your account identity, someone reading reviews at different venues could recognise the same profile across them.
Photos you attach to a 5-star review may additionally be shown in that venue's public photo carousel in the venue list — an extra bit of exposure worth knowing about before you attach photos.
You can edit or delete your review, or remove individual photos, at any time. Deleting your account permanently deletes all your reviews and their photos.
3.6 Leaderboards — opt-in, public
Venues can enable a per-venue leaderboard ranking their most loyal customers. Whether a leaderboard exists at all, and what it counts (all products or specific categories), is configured by each venue.
You appear on a venue's leaderboard only after you explicitly opt in at that venue. Before you opt in, your purchases are never shown to anyone. Know before opting in:
- Opting in reveals your purchase history at that venue retroactively — your standing reflects everything your account has ordered there, not just orders after you join.
- The leaderboard is public: anyone viewing that venue in the App, without any account, sees your rank, display name, avatar, and your product and order counts. Money amounts are never shown in the App.
- The venue's own staff, in their administration interface, can additionally see the amount spent by leaderboard participants at their venue. Opting in makes this visible to the venue.
- You can opt out at any time from the leaderboard screen's menu; you disappear from the leaderboard immediately. Opting out and back in later is allowed.
3.7 Payments (Chappa Pay)
Some venues let you pay your bill from the App (a venue-configurable feature, powered by Stripe). When you pay:
- Your card details never reach us. Card, Apple Pay and Google Pay entry happens inside Stripe's own secure payment sheet, which communicates directly with Stripe. We receive confirmation that a payment succeeded or failed — never a card number.
- We process the payment's business data: the items you selected, amounts, any tip you add, the payment's status, and Stripe's payment reference. The charge is made on the venue's own Stripe account — the venue is the merchant, receives the money directly, and handles its own refunds and disputes through Stripe.
- If you are signed in, the payment is attributed to your account like any order (section 3.4). Signing in is not required to pay.
- The App stores one random identifier on your device (a "payment nonce") whose only purpose is to let the same phone resume a payment that was interrupted. It identifies the payment attempt, not you.
Stripe processes your payment data as an independent controller — see the Stripe Privacy Policy.
3.8 Prize wheel
Some venues offer a prize wheel (venue-configurable). To enforce spin limits fairly — one prize per device rather than unlimited retries — the App sends a device identifier to the venue's server together with wheel requests. On Android this is the operating system's "Android ID"; on iOS it is a random identifier created by the App and kept in your device's secure storage. It is used solely to limit spins and prizes (fraud prevention), is not linked to your account, and is not sent with any other feature.
3.9 What stays on your device
- Your table session (token, venue, table), chosen city, and language preference — cleared when the session ends or you disconnect.
- Account session tokens and (on iOS) the App's random device identifier — kept in the operating system's secure storage (Keychain / Keystore), removed on sign-out.
- The payment nonce (section 3.7).
- A cache of images (menus, avatars, venue photos) for performance.
Uninstalling the App removes all of this (on iOS, Keychain entries may persist per OS behaviour until overwritten).
4. What we don't do
- No analytics or crash-reporting SDKs of any kind — the App contains no Google Analytics, Firebase, Meta/Facebook SDK, or similar.
- No advertising networks and no advertising identifiers. On iOS the App performs no App-Tracking-Transparency-regulated tracking.
- No access to your GPS location, contacts, microphone, or files beyond the photos you explicitly pick.
- No selling, renting, or sharing of personal data for advertising or "data monetisation" of any kind.
- No marketing spam — emails concern only your own activity and can be turned off in the App; no push notifications, no SMS.
- No automated decision-making or profiling producing legal or similarly significant effects.
5. Who receives your data
| Recipient | What and why |
|---|---|
| The venue you visit | Your orders and payments as part of its sales and fiscal records; your public reviews (with the ability to reply); for leaderboard participants, standings including amounts spent at that venue. Never your email address or sign-in provider. |
| Other App users / the public | Your reviews and, if you opt in, your leaderboard entries — with display name and avatar. |
| Google / Apple | Sign-in, if you create an account. Governed by their own privacy policies. |
| Stripe (and Apple Pay / Google Pay) | Payment processing, if you use Chappa Pay. Card data goes only to them. |
| OpenFreeMap | Map tile delivery (receives IP address and viewed map areas, like any web server). |
| Public authorities | Only where the law requires it (e.g. fiscal records kept by venues under Romanian law). |
We use no advertising partners, no data brokers, and no analytics providers.
6. Legal bases (GDPR)
| Processing | Legal basis |
|---|---|
| Running the App: browsing, table sessions, orders, payments | Performance of a contract — Art. 6(1)(b) GDPR |
| Your account (sign-in, profile, avatar) | Performance of a contract — Art. 6(1)(b) |
| Email notifications about your activity (review replies, payment confirmations, venue updates) | Performance of a contract and legitimate interest — Art. 6(1)(b) and (f); each category can be turned off in the App |
| Publishing reviews and leaderboard entries | Performance of a contract at your initiative — Art. 6(1)(b); publishing happens only through your own action and is reversible |
| Visit counts on reviews | Legitimate interest in credible reviews — Art. 6(1)(f), with an always-available off switch (My account → Privacy) |
| Prize-wheel device identifier | Legitimate interest in preventing abuse — Art. 6(1)(f) |
| Security and abuse prevention | Legitimate interest — Art. 6(1)(f) |
| Venue sales and fiscal records | The venue's legal obligations — Art. 6(1)(c), with the venue as controller |
7. Where your data lives, and how it is protected
Our servers are operated by us and located in the European Union. We do not transfer your data outside the European Economic Area. Google, Apple and Stripe may process the data you give them directly on their own global infrastructure under their own GDPR transfer safeguards.
Protections we apply: all connections use TLS encryption; session tokens are stored only as cryptographic hashes on our servers and in the operating system's secure storage on your device; identity passes shared with venue servers are short-lived and cryptographically signed; venue servers verify them without ever receiving your session credentials; database backups are accessible only to our administrators.
8. Retention and deletion
- Account data is kept until you delete your account. Deletion — available directly in the App under My account → Privacy — is a hard delete: your account record, email, avatar, sessions, and all your reviews and review photos are permanently removed from our live systems immediately.
- After deletion, venue sales records retain a pseudonymous account reference that no longer resolves to any name, avatar or profile — it points at a record that no longer exists. The sales and fiscal records themselves are the venue's and are retained for as long as the law requires the venue to keep them.
- Backups. Venue databases are backed up to our central server; backups are kept at most 31 days centrally and 7 days on venue servers, then deleted. Data you delete can therefore persist inside backups for up to 31 days before disappearing entirely. Backups are never used to restore deleted accounts.
- Table sessions end when the venue closes your table or you disconnect; the App clears its local session data.
- Review photos uploaded but never attached to a review are automatically removed after about 2 days.
9. Your controls, in one place
| Control | Where |
|---|---|
| Use the App without any account | Just don't sign in — everything except reviews, leaderboards and visit counts works |
| Show / hide visit counts on your reviews | My account → Privacy → "Show visits on reviews" (on by default) |
| Join / leave a venue leaderboard | The venue's leaderboard screen (opt-in per venue; opt-out in its menu) |
| Change your display name | My account → tap your name |
| Add / replace your avatar | My account → tap your photo (optional) |
| Edit / delete your reviews and photos | The venue's review screen |
| Delete a table photo you uploaded | The table screen |
| Choose which emails you receive | My account settings |
| Sign out | My account → Sign out |
| Delete your account, permanently | My account → Privacy → Delete account — no email or support ticket needed |
10. Your rights
Under the GDPR you have the right to access your data, rectify it, erase it, restrict or object to its processing, and receive a portable copy. Most of these you can exercise directly in the App (see section 9); for anything else, contact us at office@ceapa.cool. To protect your data we may ask you to verify control of your account (for example by signing in) before acting on a request. We answer within one month.
You also have the right to lodge a complaint with a supervisory authority — in Romania, the National Supervisory Authority for Personal Data Processing (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Bucharest, www.dataprotection.ro — or with the authority of your own EU country.
11. Children
The App is not directed at children. Creating an account requires you to be at least 16 years old, the age of digital consent in Romania. Age restrictions on what venues may serve (such as alcohol) apply at the venue under local law, independently of the App.
12. Changes to this policy
When we change this policy we will publish the new version at this address with a new effective date. If a change meaningfully affects how your data is handled, we will make it clearly visible in the App before it takes effect.
13. Contact
CEAPA COOL SRL · Str. Diana 4, Et. 3, Ap. 16, Timișoara, Romania · CUI 47755081 · J35/956/2023
office@ceapa.cool
Politica de confidențialitate
În vigoare din 12 august 2026 · Înlocuiește toate versiunile anterioare
1. Cine suntem
Aplicația mobilă Chappa („Aplicația") este operată de CEAPA COOL SRL, societate înregistrată în România (nr. Registrul Comerțului J35/956/2023, CUI 47755081), cu sediul în Str. Diana 4, Et. 3, Ap. 16, Timișoara, România („noi").
Pentru orice întrebare legată de datele tale personale, scrie-ne la office@ceapa.cool.
Suntem operatorul de date pentru prelucrările descrise în această politică, cu excepțiile menționate explicit: localul de la care comanzi este operator independent pentru propriile evidențe de vânzări și fiscale, iar furnizorii de plăți și autentificare (Stripe, Google, Apple) sunt operatori independenți pentru datele pe care li le dai direct.
2. Pe scurt
- Aplicația funcționează fără cont. Răsfoirea localurilor, meniurile, scanarea codului QR de pe masă și comenzile funcționează fără autentificare. Contul e necesar doar pentru recenzii, clasamente și numărul de vizite.
- Fără reclame, fără analytics, fără urmărire. Aplicația nu conține rețele de publicitate, instrumente de analiză sau raportare a erorilor și nu te urmărește în alte aplicații sau site-uri.
- Fără localizare. Aplicația nu cere și nu citește niciodată poziția GPS a telefonului. Orașul îl alegi tu.
- Nu vedem niciodată datele cardului tău. Plățile cu cardul sunt procesate de Stripe, în interfața lor securizată.
- Nu vindem și nu închiriem datele tale, iar pe email îți scriem doar despre activitatea ta — niciodată spam de marketing. Adresa ta de email nu este partajată cu nimeni.
- Recenziile și clasamentele sunt publice. Publicarea unei recenzii sau înscrierea într-un clasament îți afișează public numele și avatarul — ambele sunt alegerea ta și ambele pot fi anulate.
3. Ce prelucrăm, funcție cu funcție
3.1 Răsfoire fără cont
Când folosești Aplicația, telefonul tău comunică cu serverele noastre prin internet. Ca orice server, ale noastre primesc adresa IP a dispozitivului — o necesitate tehnică pentru a-ți răspunde. Nu stocăm adrese IP în bazele noastre de date, nu le folosim pentru a te identifica sau profila și le procesăm doar pentru a livra răspunsuri și a ne proteja serviciile de abuzuri.
Ce descarcă Aplicația în timp ce răsfoiești — orașe, localuri, meniuri, imagini, note — sunt datele noastre care curg spre tine, nu ale tale spre noi. Orașul și limba alese se salvează doar pe dispozitivul tău.
Harta orașului este desenată cu piese de hartă („tiles") încărcate de la OpenFreeMap, un serviciu terț de hărți. Ca orice server de conținut, acesta primește adresa IP și zonele de hartă pe care le vizualizezi. Nicio dată de cont nu îi este trimisă vreodată.
3.2 Sesiunea de masă și comenzile
Scanarea codului QR de pe masă pornește o sesiune de masă: Aplicația primește un token temporar care identifică localul și masa și se conectează la serverul acelui local (operat de noi în numele localului). Comenzile pe care le plasezi — produse, cantități, masă, ore — devin parte din evidențele de vânzări ale localului, exact ca și cum ai fi comandat prin ospătar. Localurile sunt obligate legal să își păstreze evidențele de vânzări și fiscale; acele evidențe aparțin localului.
Poți atașa opțional o fotografie la masa ta, al cărei singur rol este să fie tipărită pe nota de plată. Se încarcă doar când o alegi tu, este redimensionată înainte de încărcare — proces care elimină metadatele încorporate, cum ar fi etichetele de locație — și este vizibilă mesei tale și personalului localului până la tipărirea notei, după care este ștearsă. O poți șterge și tu oricând înainte de asta. Este legată de sesiunea de masă, nu de vreun cont.
Dacă ești autentificat, comenzile tale poartă în plus identificatorul contului tău — vezi secțiunea 3.4.
3.3 Contul tău
Conturile sunt opționale și se creează prin autentificare cu Google sau (pe iOS) Apple. Nu există nicio parolă stocată la noi. La autentificare, furnizorul ne dă un token semnat criptografic pe care îl verificăm și îl aruncăm; din el reținem:
- un identificator de cont aleatoriu (UUID) generat de noi;
- furnizorul folosit și identificatorul stabil pe care acesta ți-l atribuie (așa te recunoaștem la autentificările viitoare);
- numele de afișare raportat de furnizor — îl poți schimba oricând din Aplicație;
- adresa de email raportată de furnizor;
- o fotografie de profil (avatar) opțională, dacă alegi să o încarci — este recodificată și redimensionată pe dispozitivul tău înainte de încărcare, ceea ce elimină metadatele încorporate;
- data creării contului și a ultimei autentificări, setările tale de confidențialitate și o formă criptografică (hash) a token-ului de sesiune (stocăm doar hash-ul, niciodată token-ul propriu-zis).
Despre adresa ta de email: o folosim pentru a-ți trimite notificări despre activitatea ta — răspunsurile localurilor la recenziile tale, confirmări de plată și noutăți de la localurile pe care le vizitezi des sau la care te-ai înscris. Niciodată știri la întâmplare sau marketing pentru terți, iar fiecare categorie poate fi oprită din Aplicație. Adresa ta de email nu este afișată nicăieri și nu este partajată cu nimeni — nici cu localurile, nici cu altcineva.
Cât timp ești autentificat, Aplicația deține un „pașaport de identitate" de scurtă durată, semnat criptografic, care conține doar identificatorul contului și numele de afișare. El este prezentat serverelor localurilor ca să îți poată atribui comenzile fără a contacta serverul nostru central. Expiră în câteva zile și se reînnoiește automat.
Îți poți șterge contul direct din Aplicație (Contul meu → Confidențialitate → Șterge contul). Ștergerea este imediată și permanentă — vezi secțiunea 8.
3.4 Atribuirea cumpărăturilor și numărul de vizite
Când ești autentificat, comenzile și plățile tale la un local sunt marcate cu identificatorul contului tău în baza de date a acelui local. Această asociere nu apare în rapoartele localului și nu este arătată personalului; ea există pentru exact două lucruri pe care le controlezi:
- Numărul de vizite pe recenzii. Recenzia ta la un local poate afișa „a vizitat de N ori" — numărul de zile distincte în care ai făcut cumpărături acolo. Asta face recenziile mai credibile. Este controlat de setarea „Vizite vizibile în recenzii" (Contul meu → Confidențialitate), care este activă implicit; o poți opri oricând, iar schimbarea își face efectul complet în cel mult 12 ore. Cât timp e oprită, numărul nu poate fi calculat sau afișat de nimeni.
- Clasamentele — vezi secțiunea 3.6; necesită înscrierea ta explicită, per local.
3.5 Recenzii — conținut public
Poți scrie o singură recenzie per local: o notă de 1–5 stele, până la 1000 de caractere de text și până la 3 fotografii (recodificate și redimensionate înainte de încărcare, ceea ce elimină metadatele încorporate, cum ar fi etichetele de locație).
Recenziile sunt publice. Oricine folosește Aplicația — autentificat sau nu — îți poate vedea recenzia împreună cu numele de afișare, avatarul, identificatorul contului, data, dacă a fost editată și eventualul răspuns public al localului. Personalul localului vede aceleași informații publice (niciodată emailul sau furnizorul tău de autentificare). Pentru că recenziile poartă identitatea contului tău, cineva care citește recenzii la localuri diferite ar putea recunoaște același profil.
Fotografiile atașate unei recenzii de 5 stele pot apărea în plus în caruselul public de fotografii al localului, în lista de localuri — un plus de expunere bun de știut înainte să atașezi fotografii.
Îți poți edita sau șterge recenzia, ori elimina fotografii individuale, oricând. Ștergerea contului îți șterge definitiv toate recenziile și fotografiile lor.
3.6 Clasamente — cu înscriere, publice
Localurile pot activa un clasament propriu al celor mai fideli clienți. Dacă există un clasament și ce anume numără (toate produsele sau anumite categorii) se configurează de fiecare local.
Apari în clasamentul unui local doar după ce te înscrii explicit la acel local. Înainte de înscriere, cumpărăturile tale nu sunt arătate nimănui. De știut înainte să te înscrii:
- Înscrierea îți dezvăluie istoricul cumpărăturilor la acel local retroactiv — poziția ta reflectă tot ce a comandat contul tău acolo, nu doar comenzile de după înscriere.
- Clasamentul este public: oricine vede acel local în Aplicație, fără niciun cont, îți vede poziția, numele de afișare, avatarul și numărul de produse și comenzi. Sumele de bani nu sunt afișate niciodată în Aplicație.
- Personalul localului, în interfața sa de administrare, poate vedea în plus suma cheltuită la localul respectiv de participanții la clasament. Înscrierea face această informație vizibilă localului.
- Te poți retrage oricând din meniul ecranului de clasament; dispari din clasament imediat. Reînscrierea ulterioară este permisă.
3.7 Plăți (Chappa Pay)
Unele localuri îți permit să plătești nota din Aplicație (funcție configurabilă de local, bazată pe Stripe). Când plătești:
- Datele cardului tău nu ajung niciodată la noi. Introducerea cardului, Apple Pay și Google Pay se întâmplă în interfața securizată a Stripe, care comunică direct cu Stripe. Noi primim confirmarea că o plată a reușit sau a eșuat — niciodată un număr de card.
- Prelucrăm datele comerciale ale plății: produsele selectate, sumele, bacșișul adăugat, starea plății și referința Stripe a plății. Încasarea se face pe contul Stripe propriu al localului — localul este comerciantul, primește banii direct și își gestionează singur rambursările și disputele prin Stripe.
- Dacă ești autentificat, plata este atribuită contului tău ca orice comandă (secțiunea 3.4). Autentificarea nu este necesară pentru a plăti.
- Aplicația păstrează pe dispozitiv un identificator aleatoriu („payment nonce") al cărui singur rol este ca același telefon să poată relua o plată întreruptă. Identifică încercarea de plată, nu pe tine.
Stripe prelucrează datele tale de plată ca operator independent — vezi Politica de confidențialitate Stripe.
3.8 Roata norocului
Unele localuri oferă o roată a norocului (funcție configurabilă de local). Pentru a limita corect încercările — un premiu per dispozitiv, nu reîncercări nelimitate — Aplicația trimite serverului localului un identificator de dispozitiv împreună cu cererile pentru roată. Pe Android acesta este „Android ID"-ul sistemului de operare; pe iOS este un identificator aleatoriu creat de Aplicație și păstrat în stocarea securizată a dispozitivului. Este folosit exclusiv pentru limitarea încercărilor și premiilor (prevenirea abuzurilor), nu este legat de contul tău și nu este trimis cu nicio altă funcție.
3.9 Ce rămâne pe dispozitivul tău
- Sesiunea de masă (token, local, masă), orașul ales și limba — șterse când sesiunea se încheie sau te deconectezi.
- Token-urile de sesiune ale contului și (pe iOS) identificatorul aleatoriu de dispozitiv — păstrate în stocarea securizată a sistemului de operare (Keychain / Keystore), eliminate la deconectare.
- Payment nonce-ul (secțiunea 3.7).
- Un cache de imagini (meniuri, avatare, fotografii de localuri) pentru performanță.
Dezinstalarea Aplicației elimină toate acestea (pe iOS, intrările din Keychain pot persista, conform comportamentului sistemului, până sunt suprascrise).
4. Ce nu facem
- Niciun SDK de analytics sau raportare a erorilor — Aplicația nu conține Google Analytics, Firebase, SDK-ul Meta/Facebook sau ceva similar.
- Nicio rețea de publicitate și niciun identificator de publicitate. Pe iOS, Aplicația nu efectuează urmărire reglementată de App Tracking Transparency.
- Niciun acces la localizarea GPS, contacte, microfon sau fișiere, în afara fotografiilor pe care le alegi explicit.
- Nu vindem, nu închiriem și nu partajăm date personale pentru publicitate sau orice fel de „monetizare a datelor".
- Fără spam de marketing — emailurile privesc doar activitatea ta și pot fi oprite din Aplicație; nicio notificare push, niciun SMS.
- Nicio decizie automatizată sau profilare cu efecte juridice ori similar semnificative.
5. Cine îți primește datele
| Destinatar | Ce și de ce |
|---|---|
| Localul pe care îl vizitezi | Comenzile și plățile tale, ca parte a evidențelor sale de vânzări și fiscale; recenziile tale publice (cu posibilitatea de a răspunde); pentru participanții la clasament, pozițiile, inclusiv sumele cheltuite la acel local. Niciodată adresa ta de email sau furnizorul de autentificare. |
| Alți utilizatori / publicul | Recenziile tale și, dacă te înscrii, pozițiile tale în clasamente — cu nume de afișare și avatar. |
| Google / Apple | Autentificarea, dacă îți creezi cont. Guvernată de politicile lor de confidențialitate. |
| Stripe (și Apple Pay / Google Pay) | Procesarea plăților, dacă folosești Chappa Pay. Datele cardului ajung doar la ei. |
| OpenFreeMap | Livrarea pieselor de hartă (primește adresa IP și zonele de hartă vizualizate, ca orice server web). |
| Autorități publice | Doar unde legea o cere (de ex. evidențele fiscale păstrate de localuri conform legislației române). |
Nu folosim parteneri de publicitate, brokeri de date sau furnizori de analytics.
6. Temeiuri juridice (GDPR)
| Prelucrare | Temei juridic |
|---|---|
| Funcționarea Aplicației: răsfoire, sesiuni de masă, comenzi, plăți | Executarea unui contract — art. 6(1)(b) GDPR |
| Contul tău (autentificare, profil, avatar) | Executarea unui contract — art. 6(1)(b) |
| Notificări pe email despre activitatea ta (răspunsuri la recenzii, confirmări de plată, noutăți de la localuri) | Executarea unui contract și interes legitim — art. 6(1)(b) și (f); fiecare categorie poate fi oprită din Aplicație |
| Publicarea recenziilor și a pozițiilor în clasamente | Executarea unui contract la inițiativa ta — art. 6(1)(b); publicarea are loc doar prin acțiunea ta și este reversibilă |
| Numărul de vizite pe recenzii | Interes legitim pentru recenzii credibile — art. 6(1)(f), cu buton de oprire disponibil permanent (Contul meu → Confidențialitate) |
| Identificatorul de dispozitiv la roata norocului | Interes legitim în prevenirea abuzurilor — art. 6(1)(f) |
| Securitate și prevenirea abuzurilor | Interes legitim — art. 6(1)(f) |
| Evidențele de vânzări și fiscale ale localurilor | Obligațiile legale ale localului — art. 6(1)(c), localul fiind operator |
7. Unde stau datele tale și cum sunt protejate
Serverele noastre sunt operate de noi și se află în Uniunea Europeană. Nu transferăm datele tale în afara Spațiului Economic European. Google, Apple și Stripe pot prelucra datele pe care li le dai direct pe propria infrastructură globală, sub propriile garanții de transfer conforme GDPR.
Protecții pe care le aplicăm: toate conexiunile folosesc criptare TLS; token-urile de sesiune sunt stocate pe serverele noastre doar ca hash-uri criptografice, iar pe dispozitivul tău în stocarea securizată a sistemului de operare; pașapoartele de identitate partajate cu serverele localurilor au durată scurtă și sunt semnate criptografic; serverele localurilor le verifică fără a primi vreodată credențialele tale de sesiune; copiile de rezervă ale bazelor de date sunt accesibile doar administratorilor noștri.
8. Păstrare și ștergere
- Datele contului sunt păstrate până îți ștergi contul. Ștergerea — disponibilă direct în Aplicație la Contul meu → Confidențialitate — este definitivă: înregistrarea contului, emailul, avatarul, sesiunile și toate recenziile tale cu fotografiile lor sunt eliminate permanent din sistemele noastre active, imediat.
- După ștergere, evidențele de vânzări ale localurilor păstrează o referință pseudonimă de cont care nu mai duce la niciun nume, avatar sau profil — indică o înregistrare care nu mai există. Evidențele de vânzări și fiscale în sine aparțin localului și se păstrează atât timp cât legea îi cere localului.
- Copiile de rezervă. Bazele de date ale localurilor sunt copiate pe serverul nostru central; copiile se păstrează cel mult 31 de zile central și 7 zile pe serverele localurilor, apoi se șterg. Datele șterse pot așadar persista în copii de rezervă până la 31 de zile înainte să dispară complet. Copiile de rezervă nu sunt folosite niciodată pentru a restaura conturi șterse.
- Sesiunile de masă se încheie când localul îți închide masa sau te deconectezi; Aplicația își șterge datele locale de sesiune.
- Fotografiile de recenzie încărcate dar neatașate niciodată unei recenzii sunt eliminate automat după aproximativ 2 zile.
9. Controalele tale, într-un singur loc
| Control | Unde |
|---|---|
| Folosește Aplicația fără niciun cont | Pur și simplu nu te autentifica — totul funcționează, mai puțin recenziile, clasamentele și numărul de vizite |
| Arată / ascunde numărul vizitelor pe recenziile tale | Contul meu → Confidențialitate → „Vizite vizibile în recenzii" (activ implicit) |
| Înscrie-te / retrage-te dintr-un clasament | Ecranul de clasament al localului (înscriere per local; retragere din meniul lui) |
| Schimbă-ți numele de afișare | Contul meu → atinge numele |
| Adaugă / schimbă avatarul | Contul meu → atinge fotografia (opțional) |
| Editează / șterge recenziile și fotografiile tale | Ecranul de recenzii al localului |
| Șterge o fotografie încărcată la masă | Ecranul mesei |
| Alege ce emailuri primești | Setările contului |
| Deconectează-te | Contul meu → Deconectare cont |
| Șterge-ți contul, definitiv | Contul meu → Confidențialitate → Șterge contul — fără email sau ticket de suport |
10. Drepturile tale
Conform GDPR ai dreptul de acces la datele tale, de rectificare, de ștergere, de restricționare sau opoziție la prelucrare și de a primi o copie portabilă. Pe cele mai multe le poți exercita direct în Aplicație (vezi secțiunea 9); pentru orice altceva, contactează-ne la office@ceapa.cool. Pentru a-ți proteja datele, îți putem cere să dovedești controlul contului (de exemplu prin autentificare) înainte de a da curs unei cereri. Răspundem în cel mult o lună.
Ai de asemenea dreptul de a depune o plângere la o autoritate de supraveghere — în România, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, București, www.dataprotection.ro — sau la autoritatea din țara ta din UE.
11. Copii
Aplicația nu se adresează copiilor. Crearea unui cont necesită vârsta de cel puțin 16 ani, vârsta consimțământului digital în România. Restricțiile de vârstă privind ce pot servi localurile (cum ar fi alcoolul) se aplică la local, conform legii, independent de Aplicație.
12. Modificări ale acestei politici
Când modificăm această politică, publicăm noua versiune la această adresă, cu o nouă dată de intrare în vigoare. Dacă o modificare afectează semnificativ modul în care îți sunt tratate datele, o vom face clar vizibilă în Aplicație înainte să intre în vigoare.
13. Contact
CEAPA COOL SRL · Str. Diana 4, Et. 3, Ap. 16, Timișoara, România · CUI 47755081 · J35/956/2023
office@ceapa.cool