Ochrona danych i bezpieczeństwo w waitrAI
Tutaj znajdziesz informacje o tym, kto odpowiada za jakie dane, gdzie się one znajdują, z jakich usługodawców korzystamy i jak je chronimy. Wiążące są umowa powierzenia przetwarzania danych osobowych oraz nasza polityka prywatności.
Kto za co odpowiada
- Dane twoich gości: Gdy goście składają u ciebie zamówienia lub rezerwacje przez WhatsApp, to ty jako restauracja jesteś administratorem. Przetwarzamy te dane wyłącznie w twoim imieniu i zgodnie z twoimi poleceniami. W tym celu zawieramy z tobą umowę powierzenia przetwarzania danych osobowych zgodnie z art. 28 RODO.
- Twoje własne dane: W odniesieniu do twojego konta, rozliczeń i wsparcia sami jesteśmy administratorem. Więcej na ten temat w polityce prywatności.
- Brak własnego wykorzystania: Nie wykorzystujemy danych twoich gości do własnych celów, również nie do reklamy ani do trenowania modeli AI.
Gdzie znajdują się dane
- Nasza baza danych znajduje się w regionie AWS Frankfurt nad Menem. Prowadzi ją nasz usługodawca Supabase.
- Niektórzy usługodawcy przetwarzają dane również poza UE, przede wszystkim OpenAI w USA. Obowiązują przy tym standardowe klauzule umowne UE lub EU-US Data Privacy Framework. Poniższa lista wymienia ich pojedynczo.
Usługodawcy przetwarzający dane twoich gości
| Usługodawca | W jakim celu | Miejsce przetwarzania | Podstawa dla państwa trzeciego |
|---|---|---|---|
| Supabase Pte. Ltd., Singapur | baza danych, logowanie, przechowywanie plików, funkcje serwerowe | AWS Frankfurt (UE) | standardowe klauzule umowne |
| Meta Platforms Ireland Ltd. | platforma WhatsApp Business | treści przechowywane w Niemczech (Local Storage), w trakcie doręczania do 60 minut na całym świecie; Meta działa bezpośrednio dla ciebie za pośrednictwem twojego własnego konta WhatsApp Business | EU-US Data Privacy Framework |
| OpenAI Ireland Ltd. | model językowy do odpowiedzi na czacie, zamiana wiadomości głosowych na tekst | USA | standardowe klauzule umowne |
| Vercel Inc., USA | hosting strony internetowej i aplikacji webowej | funkcje serwerowe we Frankfurcie; dostarczanie stron na całym świecie przez sieć Vercel | EU-US Data Privacy Framework i standardowe klauzule umowne |
Samodzielni administratorzy (nie podmioty przetwarzające): PayPal w zakresie płatności online gości, Google w zakresie sprawdzania adresów dostawy na mapie.
Usługodawcy przetwarzający twoje własne dane
- Stripe: rozliczanie twojej subskrypcji.
- Resend: wysyłka raportów e-mailem.
- OpenAI: wczytywanie menu.
- Supabase i Vercel: jak wyżej, również w odniesieniu do twojego konta.
Zmiany na liście
Zanim zaczniemy korzystać z nowego usługodawcy przetwarzającego dane gości lub zastąpimy dotychczasowego, informujemy cię o tym e-mailem co najmniej 30 dni wcześniej. Z przyczyn związanych z ochroną danych możesz wyrazić sprzeciw w ciągu 14 dni, zgodnie z umową powierzenia przetwarzania danych osobowych. Każda zmiana jest odnotowana z datą w historii zmian poniżej.
Historia zmian: 21 października 2026 – pierwsza wersja. 23 października 2026 – usunięto PDF.co (nie jest już używany).
AI w waitrAI
- Co robi AI: Rozumie wiadomości twoich gości, odpowiada na pytania dotyczące twojej restauracji i przyjmuje zamówienia oraz rezerwacje. Podczas konfiguracji wczytuje twoje menu.
- Czego nie robi: Nie przyjmuje zamówień i rezerwacji w sposób ostateczny – robi to twój zespół w dashboardzie. Ceny i alergeny pochodzą wyłącznie z zatwierdzonego przez ciebie menu.
- Informacja dla gości: Na początku rozmowy goście dowiadują się, że odpowiada asystent AI (art. 50 rozporządzenia (UE) 2024/1689 w sprawie sztucznej inteligencji, „AI Act”).
- Model: Korzystamy z modeli językowych OpenAI za pośrednictwem ich API. OpenAI nie wykorzystuje tych danych do trenowania i przechowuje je do 30 dni w celu wykrywania nadużyć.
Jak chronimy dane
Pełna lista znajduje się w załączniku dotyczącym środków technicznych i organizacyjnych do umowy powierzenia przetwarzania danych osobowych. W skrócie:
- Szyfrowana transmisja (TLS); baza danych jest szyfrowana w stanie spoczynku (według Supabase).
- Reguły dostępu na poziomie wierszy w bazie danych oddzielają od siebie dane poszczególnych restauracji.
- Dostęp w zespole tylko w niezbędnym zakresie; obszar menedżera dodatkowo chroniony PIN-em.
- Przychodzące wiadomości WhatsApp sprawdzamy pod kątem ważnego podpisu Meta.
- Codzienna kopia zapasowa wykonywana przez Supabase z okresem przechowywania 7 dni (według Supabase).
Supabase deklaruje dla swojej platformy raport SOC 2 (typ 2). Sama waitrAI nie posiada certyfikacji.
Zgłaszanie incydentów bezpieczeństwa
Jeżeli znajdziesz lukę w zabezpieczeniach lub podejrzewasz incydent, napisz na adres hello@waitrai.app. W przypadku naruszenia ochrony danych informujemy restauracje, których to dotyczy, niezwłocznie, najpóźniej w ciągu 36 godzin, zgodnie z umową powierzenia przetwarzania danych osobowych.
Informacje zgodnie z art. 28 Data Act
- Porządek prawny infrastruktury: waitrAI Sp. z o.o. podlega prawu polskiemu. Baza danych działa w Amazon Web Services w Niemczech. Supabase ma siedzibę w Singapurze, Amazon Web Services w USA. Organy tych państw mogłyby zatem żądać dostępu.
- Ochrona przed dostępem państwowym z państw trzecich: przechowywanie w UE, szyfrowanie podczas transmisji i w stanie spoczynku. Nasi usługodawcy zobowiązują się umownie do weryfikowania żądań organów, wydawania tylko tego, co niezbędne, i informowania nas, o ile jest to dozwolone.