Politica de confidențialitate

Ultima actualizare: 1 noiembrie 2026

1. Domeniu de aplicare

Prezenta notă de informare explică modul în care sunt prelucrate datele cu caracter personal în cadrul serviciului QR Wait (qrwait.app), în temeiul Legii turce nr. 6698 privind protecția datelor cu caracter personal („KVKK”) și al Regulamentului general privind protecția datelor al UE („GDPR”).

2. Operatorul de date

QR Wait este operatorul de date pentru datele titularilor de cont. Contact: hello@qrwait.app

Afacerile care organizează cozi cu QR Wait (titularii de cont) sunt operatori de date pentru datele clienților care intră în cozile lor; QR Wait acționează în calitate de persoană împuternicită de operator, prelucrând aceste date în numele afacerii exclusiv pentru furnizarea serviciului.

3. Datele clienților care intră într-o coadă

Înscrierea în coadă: mărimea grupului, numerele de locuri acceptate, numărul de ordine, ora înscrierii și ora la care ați fost chemat, limba interfeței, ultima dată când pagina dumneavoastră din coadă a fost deschisă (afișată operatorului împreună cu informația dacă notificările sunt activate, pentru ca acesta să știe dacă veți afla că ați fost chemat).
ID-ul dispozitivului: un identificator aleatoriu care împiedică obținerea unui al doilea număr de ordine de pe același telefon și asociază QR Wait de pe ecranul principal cu browserul dumneavoastră. Acesta nu este asociat cu numele sau cu numărul dumneavoastră de telefon.
Locația: dacă coada folosește verificarea locației, aceasta este utilizată numai în momentul înscrierii, pentru a verifica dacă vă aflați la locul cozii sau în apropierea operatorului. Cât timp vă aflați în coadă și pagina dumneavoastră din coadă este deschisă pe ecran, locația este transmisă pe măsură ce vă deplasați și cel puțin o dată pe minut, pentru a afișa distanța până la coadă (sau până la operator); operatorul vede această distanță. Locația dumneavoastră nu este stocată; doar distanța și momentul măsurării sunt păstrate împreună cu înscrierea dumneavoastră în coadă.
Abonamentul la notificări: adresa push a browserului dumneavoastră, dacă permiteți notificările „Ți-a venit rândul”. Aceasta este folosită și pentru transmiterea mesajelor pe care operatorul le trimite tuturor celor din coadă. Dacă ați adăugat QR Wait pe ecranul principal, această adresă este stocată și împreună cu ID-ul dispozitivului, astfel încât să primiți notificări și în cozile ulterioare; lista cozilor în care aveți un număr de ordine este păstrată numai pentru ca aplicația să vă poată afișa numărul atunci când este deschisă.
Nota operatorului: o notă scurtă, dacă operatorul vă adaugă manual.
Numele: dacă afacerea a activat această opțiune pentru coadă, numele pe care îl introduceți la înscriere (opțional sau obligatoriu, cel mult 30 de caractere). Acesta apare lângă numărul dumneavoastră în panoul operatorului și se șterge odată cu înscrierea în coadă. De asemenea, este păstrat numai în browserul dumneavoastră, pentru a vă fi sugerat data viitoare. Clienților nu li se cere niciodată un număr de telefon sau o adresă de e-mail.
Răspunsurile din formularul de înscriere și solicitările: dacă afacerea a adăugat întrebări în formularul de înscriere al cozii (de exemplu, motivul vizitei), răspunsurile dumneavoastră (cel mult 60 de caractere fiecare); și, dacă le folosiți, momentul în care ați indicat „Sunt pe drum” și de câte ori ați cerut mai mult timp. Acestea apar în panoul operatorului și se șterg odată cu înscrierea în coadă. Acceptarea regulilor cozii este verificată la înscriere și nu este stocată.
Feedbackul: dacă afacerea îl solicită, după ce ați fost deservit puteți evalua vizita de la 1 la 5 și puteți adăuga o notă de cel mult 200 de caractere. Evaluarea este doar numărată (pe zi și pe operatorul care v-a deservit); nota este afișată afacerii fără numele sau numărul dumneavoastră și se șterge conform termenului de păstrare a înscrierii în coadă, cel târziu la 24 de ore după înscriere. O evaluare slabă poate fi trimisă afacerii prin e-mail, împreună cu nota.
Mesajele: dacă afacerea a activat mesajele pentru coadă, mesajele scurte pe care le schimbați cu operatorul pe pagina dumneavoastră din coadă (cel mult 300 de caractere fiecare, maximum 50). Acestea apar pe pagina dumneavoastră din coadă și în panoul operatorului, iar o notificare poate transmite mesajul operatorului pe telefonul dumneavoastră. Mesajele sunt păstrate numai împreună cu înscrierea în coadă: nu sunt incluse în copiile de siguranță, statisticile zilnice doar le numără, iar jurnalul de acțiuni al operatorilor menționează doar faptul că a fost trimis un mesaj, fără conținutul acestuia.
Programările: dacă afacerea acceptă programări și rezervați o oră, ora, mărimea grupului, serviciul, un cod de programare, limba interfeței și orice informații solicitate în formularul de înscriere (nume, răspunsuri), precum și adresa push pentru memento, dacă îl activați. Programarea este păstrată și în browserul dumneavoastră, pentru a o putea deschide din nou. La confirmarea sosirii, aceasta devine înscrierea dumneavoastră în coadă; dacă operatorul face programarea pentru dumneavoastră la telefon, se stochează doar ceea ce îi comunicați. Clienților nu li se cere niciodată un număr de telefon sau o adresă de e-mail pentru a face o programare.
Aplicația QR Wait (iPhone): dacă folosiți aplicația, adresa sa de notificare este un token de dispozitiv emis de Apple, în locul adresei push a unui browser; notificările sunt transmise prin serviciul push al Apple, iar tokenul este păstrat la fel ca adresa push de mai sus. Live Activity (numărul dumneavoastră pe ecranul de blocare) primește de la Apple un token propriu, păstrat până la încheierea înscrierii în coadă. Dacă permiteți aplicației să vă transmită distanța în timp ce este închisă (accesul la locație „Întotdeauna”), locația dumneavoastră continuă să fie transmisă cât timp aveți un număr de ordine, ca atunci când pagina din coadă este deschisă: și în acest caz se păstrează doar distanța, iar transmiterea încetează la încheierea înscrierii. Aplicația nu conține funcții de urmărire sau publicitate și nu colectează nimic altceva.
Aplicația QR Wait (Android): dacă folosiți aplicația, adresa sa de notificare este un token emis de Firebase Cloud Messaging al Google, în locul adresei push a unui browser, păstrat la fel ca adresa push de mai sus. Dacă permiteți aplicației să vă transmită distanța în timp ce este închisă, pe durata transmiterii este afișată o notificare, iar transmiterea încetează la încheierea înscrierii; și în acest caz se păstrează doar distanța. Aplicația nu conține funcții de urmărire sau publicitate și nu colectează nimic altceva.

4. Datele titularilor de cont

Contul: numele de utilizator, adresa de e-mail, limba, versiunea și momentul acceptării termenilor de utilizare, precum și modul în care ați ajuns prima dată pe site (eticheta campaniei sau site-ul de proveniență) și pagina pe care ați ajuns.
Utilizare și e-mailurile noastre: momentul verificării adresei dumneavoastră de e-mail, momentele în care ați deschis prima coadă, ați făcut un test și ați primit primul bilet, câte bilete au venit de la vizitatori și câte ați adăugat dumneavoastră, o etapă de utilizare stabilită pe baza acestora (de exemplu configurat, activ, inactiv), ce e-mailuri v-am trimis și când, grupurile de e-mailuri pe care le-ați dezactivat, precum și țara și fusul orar citite din conexiunea dumneavoastră la înregistrare (fusul orar urmează apoi cozile dumneavoastră).
Parola: se stochează numai un hash ireversibil (PBKDF2). Verificarea dacă o parolă apare în breșe de date cunoscute se face prin trimiterea doar a primelor 5 caractere ale hashului acesteia (k-anonimitate); parola sau hashul complet nu sunt trimise niciodată nicăieri.
Membrii echipei: dacă un titular de cont invită persoane în contul său, adresa de e-mail a persoanei invitate (pentru trimiterea linkului de invitație) și rolul oferit; după ce aceasta se alătură, propriul nume de utilizator, hashul parolei, rolul și cozile pe care le poate deschide. Acțiunile unui membru în panoul operatorului sunt înregistrate sub numele său de utilizator.
Conectarea în doi pași: dacă o activați, cheia secretă partajată cu aplicația de autentificare și hashurile unidirecționale ale codurilor de recuperare neutilizate.
Browserele de conectare: un ID aleatoriu într-un cookie „ad”; pentru ultimele 10 browsere din care v-ați conectat se stochează un hash unidirecțional al acestuia, astfel încât să vă putem trimite un e-mail atunci când cineva se conectează la contul dumneavoastră dintr-un browser nou. Acest e-mail menționează browserul și sistemul citite din user agent-ul browserului dumneavoastră; acestea nu sunt stocate.
Cozile: numele cozii, adresa, locația și setările. Pentru cozile care verifică locația în raport cu operatorul, ultima locație transmisă de panoul operatorului (numai cea mai recentă, pentru verificare). Statisticile zilnice conțin exclusiv numărători (câte grupuri s-au înscris, câte au fost chemate, timpul mediu de așteptare) și nu conțin informații despre clienți.
Evidențele de utilizare și de plată: bonurile folosite și cele rămase, numărul comenzii, pachetul și suma. Datele cardului dumneavoastră nu ajung niciodată la noi; plata este încasată de Lemon Squeezy.

5. Toți vizitatorii

Date tehnice: adresa IP, informații despre browser și jurnalele de cereri, în scopuri de securitate, de limitare a numărului de cereri și de prevenire a abuzurilor.
Rapoartele de erori: dacă o pagină nu funcționează în browserul dumneavoastră, mesajul de eroare, adresa paginii și versiunea browserului ne sunt trimise pentru a putea remedia defecțiunea; acestea sunt păstrate la fel ca jurnalele tehnice.
Verificarea anti-bot: Cloudflare Turnstile în formularele de înregistrare și de resetare a parolei.
Sursa vizitei: la prima vizită, eticheta campaniei sau site-ul de proveniență și pagina pe care ați ajuns sunt păstrate în stocarea locală a browserului. Acestea părăsesc browserul numai dacă vă creați un cont și sunt apoi stocate împreună cu acesta.

6. Scopuri și temeiuri juridice

Furnizarea serviciului de coadă, gestionarea conturilor, evidența bonurilor, creditarea plăților și e-mailurile de cont legate de acestea (de ex. bonuri pe terminate sau epuizate, bonuri adăugate): executarea unui contract (art. 5 alin. (2) lit. (c) din KVKK; art. 6 alin. (1) lit. (b) din GDPR).
Securitatea, prevenirea înregistrărilor false și a abuzurilor, verificarea conturilor, măsurarea canalelor de marketing care funcționează: interese legitime (art. 5 alin. (2) lit. (f) din KVKK; art. 6 alin. (1) lit. (f) din GDPR).
E-mailuri despre contul dumneavoastră și mementouri (bun venit, memento de verificare, ajutor la configurare, un mesaj când un cont activ nu mai este folosit) și stabilirea etapei de utilizare a contului pentru acestea și pentru urmărirea de către echipa noastră: interese legitime (art. 5 alin. (2) lit. (f) din KVKK; art. 6 alin. (1) lit. (f) din GDPR). Fiecare e-mail de memento conține un link pentru dezactivarea mementourilor.
Obligațiile legale și solicitările autorităților: obligație legală (art. 5 alin. (2) lit. (ç) din KVKK; art. 6 alin. (1) lit. (c) din GDPR).

7. Destinatari și transferuri internaționale

Cloudflare, Inc. (SUA): găzduire, stocare, trimiterea e-mailurilor, verificări anti-bot, securitate, statistici de vizitare fără cookie-uri (Web Analytics).
Lemon Squeezy, LLC (SUA): plăți și facturare. Lemon Squeezy este vânzătorul înregistrat (merchant of record); datele de plată se supun politicii sale de confidențialitate.
Apple Inc. (SUA): transmiterea notificărilor și a actualizărilor Live Activity către aplicațiile QR Wait pentru iPhone (Apple Push Notification service). Primește tokenul aplicației și notificarea: titlul, textul și pagina pe care o deschide sau, pentru o Live Activity, numărul dumneavoastră și starea acestuia.
Google LLC (SUA): transmiterea notificărilor către aplicațiile QR Wait pentru Android (Firebase Cloud Messaging). Primește tokenul aplicației și notificarea: titlul, textul și pagina pe care o deschide.
Telegram (Telegram FZ-LLC, EAU): notificări interne ale echipei noastre despre conturi (înregistrări, praguri de utilizare, un rezumat zilnic). Conțin numele de utilizator (numele paginii publice a contului), categoria, sursa înregistrării, limba, țara, etapa de utilizare și numere; niciodată o adresă de e-mail, un număr de telefon sau date ale vizitatorilor.
Serviciul push al browserului dumneavoastră: dacă permiteți notificările în browser, acestea sunt livrate de serviciul push folosit de browserul dumneavoastră (de exemplu, Google pentru Chrome, Apple pentru Safari, Mozilla pentru Firefox, Microsoft pentru Edge). Acesta primește doar adresa dumneavoastră push și notificarea criptată end-to-end, pe care nu o poate citi.
OpenStreetMap Foundation (Regatul Unit): fragmentele de hartă și căutarea adreselor în panoul de administrare.
Afacerea care administrează coada: înscrierea dumneavoastră este afișată pe ecranul operatorului acesteia.
Sistemele conectate de afacere: dacă afacerea configurează webhookuri, evenimentele privind înscrierile în coadă (număr, mărimea grupului, serviciu, ore) sunt trimise la adresele alese de aceasta; numele dumneavoastră, răspunsurile din formularul de înscriere și codul de programare sunt trimise numai dacă afacerea a activat această opțiune pentru o adresă. Cheile sale API permit sistemelor proprii ale afacerii să citească coada și să adauge, să cheme sau să marcheze ca deservite numere de ordine.
Transferuri internaționale: principalul nostru subîmputernicit este Cloudflare, Inc. (SUA), care găzduiește serviciul. În temeiul GDPR, transferurile către Cloudflare se bazează pe clauzele contractuale standard ale UE incluse în Data Processing Addendum al Cloudflare (capitolul V din GDPR). În temeiul art. 9 din KVKK, contractul standard va fi semnat și notificat Autorității turce pentru protecția datelor cu caracter personal odată cu primul nostru contract încheiat cu un client instituțional. Datele dumneavoastră nu sunt niciodată vândute sau partajate în scopuri publicitare.

8. Perioade de păstrare

Înscrierea în coadă: până când operatorul vă marchează ca sosit sau vă elimină, până când ieșiți din coadă ori până când afacerea resetează coada (cu excepția cazului în care afacerea a dezactivat această opțiune, coada se resetează automat la sfârșitul zilei); abonamentul push se șterge odată cu aceasta. Atunci când operatorul vă elimină, înscrierea este păstrată încă 1 minut, pentru ca o eventuală greșeală să poată fi anulată. Adresa push și lista de bonuri asociate dispozitivului dumneavoastră se șterg după 30 de zile de neutilizare. Indiferent de setările cozii, o înscriere, inclusiv numele și răspunsurile din formularul de înscriere, se șterge cel târziu la 24 de ore după înscriere. O notă de feedback se șterge în același termen; evaluarea rămâne doar sub formă de numărătoare.
Programarea: până la confirmarea sosirii (din acel moment, la fel ca o înscriere în coadă) sau până la anulare; anularea șterge imediat numele, răspunsurile și adresa push. Numele și răspunsurile unei programări a cărei sosire nu a fost confirmată se șterg la 2 ore după ora programării, iar programarea însăși cel târziu la 24 de ore după ora sa.
Mesajele: împreună cu înscrierea în coadă, deci cel târziu la 24 de ore după înscriere; jurnalul de acțiuni păstrează doar faptul că a fost trimis un mesaj.
Contul: până la ștergerea contului. Conturile al căror e-mail nu este verificat în termen de 7 zile se șterg automat. După ștergerea unui cont, numele său de utilizator este rezervat timp de 1 an, pentru ca codurile QR tipărite să nu conducă la altcineva, iar un hash unidirecțional (SHA-256) al adresei sale de e-mail este păstrat timp de 1 an, pentru ca bonurile gratuite să nu fie acordate din nou unui cont recreat.
Linkurile de verificare și de resetare a parolei: 3 zile, respectiv 1 oră; se șterg după utilizare.
Invitațiile și membrii echipei: un link de invitație timp de 7 zile, până când este folosit sau retras; accesul de conectare al unui membru până când un proprietar îl elimină, membrul părăsește contul sau contul este șters.
Webhookurile și cheile API: adresele webhook ale unei afaceri, secretele de semnare și cheile API (doar un hash unidirecțional al fiecărei chei) până când afacerea le șterge; livrările care așteaptă să fie reîncercate, timp de cel mult aproximativ 9 ore; jurnalul livrărilor (ora, evenimentul, adresa și statusul răspunsului, fără conținut) pentru ultimele 50 de livrări.
Jurnalul de acțiuni al operatorilor: acțiunile efectuate în panourile operatorilor (numerele bonurilor, numele linkului de operator sau al membrului echipei, ora), timp de 30 de zile și cel mult 5.000 de acțiuni pentru fiecare coadă. Statisticile pe operator sunt calculate pe baza acestuia.
Contoarele de conectări eșuate: cel mult 1 zi. Jurnalele tehnice: pe durata perioadei de păstrare a jurnalelor la furnizor, de regulă câteva zile.

9. Cookie-uri și stocarea în browser

Esențiale: cheia de sesiune, ID-ul dispozitivului și numărul de ordine sunt păstrate în stocarea locală a browserului; serviciul nu poate funcționa fără acestea. ID-ul dispozitivului este păstrat și într-un cookie „d” (care poate fi citit numai de server și este valabil pe toate adresele QR Wait). Dacă alegeți o limbă, aceasta este păstrată într-un cookie „lang”, astfel încât adresele afacerilor să se deschidă în aceeași limbă. Conectarea la panoul de administrare setează un cookie „ad” (care poate fi citit numai de server), prin care browserul este recunoscut în scopul e-mailului privind o conectare nouă.

10. Drepturile dumneavoastră

În temeiul art. 11 din KVKK și al GDPR, aveți dreptul de acces la datele dumneavoastră, dreptul la rectificarea și la ștergerea acestora, dreptul la restricționarea prelucrării sau de a vă opune prelucrării, dreptul de a primi datele într-un format portabil și dreptul de a solicita despăgubiri pentru prejudiciile suferite.

Trimiteți solicitările la hello@qrwait.app; răspundem în termen de 30 de zile. Titularii de cont își pot șterge singuri contul din panoul de administrare. Solicitările clienților privind o coadă sunt transmise afacerii care are calitatea de operator de date pentru aceasta. De asemenea, puteți depune o plângere la Autoritatea turcă pentru protecția datelor cu caracter personal sau la autoritatea pentru protecția datelor din țara în care vă aflați.

11. Securitate

Toate conexiunile sunt criptate (HTTPS). Parolele sunt stocate în mod ireversibil, încercările de conectare sunt limitate, iar linkurile trimise prin e-mail sunt de unică folosință, fiind stocate doar hashurile acestora.

12. Modificări

Putem actualiza prezenta notă de informare; titularii de cont sunt informați prin e-mail cu privire la modificările semnificative. Pentru regulile serviciului, consultați Termenii de utilizare.