سیاست حریم خصوصی

منویو یک پلتفرمِ چندمستأجری است؛ پس چند گروهِ متفاوت در آن داده دارند:

این تفکیک، ستونِ کلِ این سند است:

• منویو کنترل‌کنندهٔ داده است نسبت به: حساب کاربریِ صاحب کسب‌وکار، دادهٔ سفیرانِ برند، و اطلاعاتِ فنیِ بازدیدکنندگانِ سایت. یعنی خودمان تصمیم می‌گیریم این داده‌ها چرا و چطور پردازش شوند.
• منویو صرفاً پردازشگر است نسبت به: دادهٔ مشتریانِ نهایی، پرسنل و پیک‌های هر کسب‌وکار. کنترل‌کنندهٔ این داده‌ها، خودِ کسب‌وکار است. ما آن‌ها را به دستور و به‌نیابت از او نگه می‌داریم و پردازش می‌کنیم.

یعنی چه؟ مسئولیتِ قانونیِ اینکه اطلاعاتِ مشتریان و پرسنل درست و با رضایت جمع‌آوری شده باشد، با کسب‌وکار است — نه با منویو. شرحِ کاملِ مرزِ مسئولیت در بند ۱۱ قوانین و شرایط استفاده آمده است.

۳.۱ حساب کاربری و کسب‌وکار — نام و نام خانوادگی، شمارهٔ موبایل، ایمیل، رمزِ عبور (به‌شکلِ هش، نه متنِ خام)، نام و آدرس و تلفنِ کسب‌وکار، لوگو، شناسهٔ شبکه‌های اجتماعی، ساعتِ کاری، و کلِ محتوای منو (دسته، آیتم، قیمت، عکس، ویدیو).

۳.۲ مشتریانِ نهایی (کنترل‌کننده: کسب‌وکار) — شمارهٔ موبایل (کلیدِ هویت، با تأییدِ پیامکی)، نام، ایمیل، تاریخ تولد (برای کمپین‌های مناسبتی)، یادداشتِ مالک، تاریخِ رضایتِ پیامک، سوابقِ کاملِ سفارش، امتیاز و سطحِ باشگاه، کوپن‌ها و جوایز، متنِ نظرها و امتیازها، پاسخِ نظرسنجی‌ها، سوابقِ گردونهٔ شانس و فالِ حافظ، بدهی و تسویه در حساب دفتری، و نامِ نمایشی و سهمِ هر نفر در سفارشِ گروهیِ سرِ میز.

آنچه عمومی دیده می‌شود: نظری که مشتری ثبت می‌کند، پس از تأییدِ کسب‌وکار روی صفحهٔ منو منتشر می‌شود و برای همه قابلِ دیدن است. در سفارشِ گروهیِ سرِ میز، نامِ نمایشی و سهمِ هر نفر برای بقیهٔ هم‌میزی‌ها دیده می‌شود. بقیهٔ داده‌های این بند فقط برای همان کسب‌وکار است.

۳.۳ سفارش، تحویل و پیک — از گیرندهٔ سفارش: نام، تلفن، آدرسِ کاملِ تحویل، مختصات جغرافیایی، مختصات و کدِ ثبت‌شده در لحظهٔ تحویل و عکسِ اثباتِ تحویل. از پیک: نام، موبایل، کدملی، نوع وسیله و شمارهٔ پلاک، امتیازِ دریافتی از مشتریان، و موقعیتِ مکانی در حینِ مأموریتِ فعال.

دقیقاً چه چیزی از موقعیتِ پیک نگه‌داری می‌شود: مسیرِ لحظه‌به‌لحظهٔ پیک ذخیره نمی‌شود. تنها آخرین موقعیتِ اعلام‌شده روی ردیفِ خودِ پیک نگهداری و با هر به‌روزرسانی رونویسی می‌شود، به‌علاوهٔ مختصاتِ لحظهٔ هر تغییرِ وضعیتِ مأموریت (تحویل‌گرفتن، تحویل‌دادن). ردیابیِ بیرون از مأموریتِ فعال انجام نمی‌شود. آدرس و مختصاتِ تحویل هم فقط برای همان کسب‌وکار و پیکی که مأموریت به او سپرده شده قابلِ دیدن است.

۳.۴ پرسنل — افزونهٔ منابع انسانی — ساعتِ ورود و خروج، تأخیر و اضافه‌کار، برنامهٔ شیفت، حقوق و مزایا و کسورات و فیشِ حقوقی؛ همگی توسط مدیرِ مجموعه در پنل ثبت می‌شود.

✅ هیچ دادهٔ بیومتریکی پردازش یا ذخیره نمی‌شود. کیوسکِ حضور و غیاب با رمزِ عددیِ هش‌شده کار می‌کند، نه اثر انگشت و نه چهره.

۳.۵ سفیرانِ برند — کدملی، شمارهٔ کارت و شمارهٔ شبا، صرفاً برای احرازِ هویت، تسویهٔ کمیسیون و تکالیفِ مالیاتی. این ستون‌ها از خروجی‌های عمومیِ سامانه حذف شده‌اند و در پاسخ‌های JSON ظاهر نمی‌شوند. تغییرِ حسابِ بانکیِ ثبت‌شده نیازمندِ تأییدِ منویوست.

۳.۶ مالی و پرداخت — مبلغ، شناسهٔ سفارش، وضعیت و زمانِ تراکنش، و سوابقِ صورتحسابِ اشتراک. از زمانِ فعال‌سازیِ درگاه: کدِ رهگیریِ تراکنش نیز ثبت می‌شود و برای واریزِ سهمِ هر کسب‌وکار در سیستمِ تسهیم، شمارهٔ شبا و اطلاعاتِ هویتیِ لازم نزدِ ارائه‌دهندهٔ پرداخت ثبت می‌شود.

اطلاعاتِ کارتِ بانکی مستقیماً در صفحهٔ امنِ ارائه‌دهندهٔ پرداخت وارد می‌شود، هیچ‌گاه به سرورهای منویو نمی‌رسد و در آن ذخیره نمی‌شود.

۳.۷ ارتباط با ما — از تیکتِ پشتیبانی: متنِ گفت‌وگو و فایل‌های ضمیمه. از چتِ زندهٔ سایت: نام، ایمیل یا شمارهٔ تماسی از تو خواسته و ذخیره نمی‌شود؛ فقط متنِ گفت‌وگو، ضمیمه‌های احتمالی و دادهٔ فنیِ لازم برای ادامهٔ همان گفت‌وگو (آدرس IP، مشخصاتِ مرورگر، آدرسِ صفحه و صفحهٔ ارجاع‌دهنده). از فرمِ تماس: نام، راهِ ارتباطی، متنِ پیام و آدرس IP برای جلوگیری از اسپم.

۳.۸ دادهٔ فنی و آماری:

• نشستِ کاربرانِ واردشده: آدرس IP و مشخصاتِ مرورگر، برای امنیتِ حساب.
• آدرس IP در سدهای ضدِ سوءاستفاده (ورود، کدِ تأیید، گردونهٔ شانس، فالِ حافظ) — در گردونه و فال فقط به‌شکلِ هش‌شده.
• کلیکِ لینکِ کوتاهِ کمپین‌های پیامکی، برای شمارشِ کلیک‌های یکتا — با IPِ هش‌شده، بدونِ نگه‌داریِ IP خام.
• آمارِ بازدیدِ منو و اسکنِ QR: شمارنده‌های تجمیعی و بی‌شناسه (تاریخ، ساعت، تعداد). هیچ پروفایلِ رفتاریِ فردی از بازدیدکنندهٔ منو ساخته نمی‌شود.
• سابقهٔ تغییراتِ پنل (چه کاربری چه چیزی را کِی تغییر داد)، برای ممیزی و رسیدگی به اختلاف.

۳.۹ آنچه جمع نمی‌کنیم — دادهٔ بیومتریک · اطلاعاتِ کارتِ بانکی · موقعیتِ مکانیِ مشتریِ نهایی بیرون از آدرسی که خودش وارد می‌کند · موقعیتِ پیک بیرون از مأموریتِ فعال · هیچ دادهٔ ردیابیِ تبلیغاتی.

منویو هیچ ابزارِ ردیابیِ تبلیغاتی یا آنالیتیکسِ شخصِ ثالث ندارد — نه Google Analytics، نه Tag Manager، نه Clarity، نه Hotjar، نه هیچ شبکهٔ تبلیغاتی. نه روی سایت، نه روی پنل، نه روی منوی کسب‌وکارها. تمامِ فونت‌ها هم روی سرورهای خودمان میزبانی می‌شوند؛ هیچ درخواستی به سرورهای خارجیِ فونت زده نمی‌شود.

چون هیچ کوکیِ تبلیغاتی یا تحلیلی نداریم، بنرِ رضایتِ کوکی هم نداریم؛ کوکی‌های زیر همگی برای کارکردِ خودِ سرویس‌اند.

کوکیِ menu_device HttpOnly است و مثل بقیهٔ کوکی‌های سامانه رمزنگاری و امضا می‌شود؛ نه با اسکریپت خواندنی است و نه جعل‌شدنی. هیچ‌کدام از این کوکی‌ها برای تبلیغات یا فروشِ داده استفاده نمی‌شود.

آنچه فقط روی مرورگرِ خودت می‌ماند: این‌ها در localStorage دستگاهِ توست و هرگز به سرور فرستاده نمی‌شود — سبدِ خرید، فهرستِ علاقه‌مندی‌ها (به‌ازای هر شعبه)، حالتِ روشن و تیره، ترجیحاتِ نمایشیِ پنل، شناسهٔ نظرسنجی‌های پاسخ‌داده‌شده و شناسهٔ گفت‌وگوی چتِ زنده.

اگر با حسابِ شخصیِ مشتری وارد شوی، علاقه‌مندی‌هایت علاوه بر مرورگر روی حسابت هم ذخیره می‌شود تا روی دستگاه‌های دیگرت هم باشد. تا وقتی وارد نشده‌ای، هیچ‌کدام از این‌ها از مرورگرت بیرون نمی‌رود.

از داده‌ها برای ارائهٔ سرویس، نمایشِ درستِ منو به مشتریان، پردازشِ سفارش، محاسبهٔ آمار، پشتیبانی و بهبودِ محصول استفاده می‌کنیم. هیچ‌گاه دادهٔ تو یا مشتریانت را به کسی نمی‌فروشیم و برای بازاریابیِ مستقلِ شخصِ ثالث در اختیار کسی نمی‌گذاریم.

۵.۱ پیامکِ خدماتی — کدِ تأیید (ورود و ثبت‌نام)، اطلاع‌رسانیِ وضعیتِ سفارش، دعوتِ پرسنل و پیک، و هشدارهای امنیتی. این پیامک‌ها بخشِ لازمِ سرویس‌اند و قابلِ لغو نیستند.

۵.۲ پیامکِ تبلیغاتی و باشگاه مشتریان — پیامکِ بازاریابی و مناسبتی فقط برای مشتریانی فرستاده می‌شود که رضایتشان ثبت شده باشد. این قاعده در خودِ سامانه قفل شده است: پیامکِ تبلیغاتی به مشتریِ بدونِ رضایتِ ثبت‌شده بیرون نمی‌رود، حتی اگر کسب‌وکار بخواهد. هر مشتری می‌تواند در هر لحظه از طریقِ لینکِ لغوِ عضویتِ داخلِ هر پیامک رضایتش را پس بگیرد و اثرش فوری است. متنِ کاملِ پیامک‌های ارسالی، به‌همراه شمارهٔ گیرنده و وضعیتِ تحویل، برای رسیدگی به اختلاف نگه‌داری می‌شود (مدتش در بخش ۸).

۵.۳ حسابِ شخصیِ مشتری — مشتری می‌تواند در account.menuyou.app با کدِ تأیید وارد شود و سفارش‌ها، کوپن‌ها، جوایز، رزروها و علاقه‌مندی‌های خودش را در همهٔ کافه‌هایی که عضو است، یک‌جا ببیند.

این نما فقط برای خودِ مشتری است. هیچ کافه‌ای دادهٔ کافهٔ دیگر را نمی‌بیند؛ بانکِ مشتریِ هر کسب‌وکار جدا و ایزوله می‌ماند. چیزی که بین کسب‌وکارها مشترک است فقط تأییدِ «این شماره متعلق به این شخص است» است — نه نام، نه تاریخچه و نه امتیاز.

۵.۴ تحلیلِ داده و توسعهٔ فناوری‌های هوشمند — برای بهبودِ مستمرِ منویو و ارائهٔ ویژگی‌های هوشمند (مانند پیشنهادِ خودکارِ محصول، تحلیلِ رفتارِ خرید، دستیارِ پاسخ‌گویی به نظرها و پیش‌بینیِ روندهای فروش) ممکن است از داده‌های ثبت‌شده در پلتفرم، شامل تعاملات، آمارِ فروش، نظرها و پاسخ‌ها، جهتِ آموزش، ارزیابی و توسعهٔ مدل‌های هوش مصنوعی و یادگیریِ ماشین استفاده کنیم.

تعهدِ ما: تمامِ داده‌هایی که برای آموزشِ الگوریتم‌ها استفاده می‌شود، پیش از پردازش کاملاً بی‌نام‌سازی می‌شود تا هیچ اطلاعاتِ هویتیِ قابلِ انتساب — نام، شمارهٔ تماس، آدرس یا شناسهٔ اختصاصیِ مجموعه — در آن باقی نماند.

تنها انتقالِ هوش مصنوعیِ فعالِ امروز: اگر افزونهٔ ترجمهٔ خودکارِ منو را روشن کنی، نام و توضیحِ آیتم‌های منویت برای ترجمه به یک سرویسِ هوش مصنوعیِ خارج از ایران فرستاده می‌شود. این ارسال فقط با فعال‌سازیِ خودت انجام می‌شود، فقط شاملِ متنِ عمومیِ منوست، و هیچ دادهٔ شخصی، مالی یا اطلاعاتِ مشتریان در آن نیست. حالتِ ترجمهٔ دستی هیچ ارسالی ندارد.

۵.۵ گزارش‌های تجمیعیِ خودمان — برای برنامه‌ریزیِ محصول و ظرفیتِ زیرساخت از شمارنده‌های تجمیعی (تعدادِ کسب‌وکارهای فعال، حجمِ سفارش، مصرفِ منابع) استفاده می‌کنیم. این گزارش‌ها هیچ دادهٔ فردی یا قابلِ انتساب به یک مجموعه ندارند.

برای بخشی از خدمات ناچاریم دادهٔ لازم را به تأمین‌کنندهٔ تخصصی بسپاریم. در همهٔ موارد فقط حداقلِ دادهٔ لازم می‌رود، نه بیشتر:

• نمایشِ نقشه در مرورگرِ تو انجام می‌شود؛ یعنی آدرس IP مرورگر توسطِ سرویسِ نقشه دریافت می‌شود. جست‌وجو و تبدیلِ مختصات به آدرس اما از سرورِ ما می‌رود و IPِ تو در آن نیست.
• افشای قانونی: در صورتِ الزامِ قانونی و بر اساسِ درخواستِ مستندِ مراجعِ ذی‌صلاحِ جمهوری اسلامی ایران، موظف به ارائهٔ اطلاعات خواهیم بود. جز این، دادهٔ تو در اختیارِ هیچ شخصِ ثالثی قرار نمی‌گیرد.
• اگر تأمین‌کننده‌ای اضافه یا جایگزین شود که دستهٔ تازه‌ای از داده را ببیند، پیش از اجرا در همین سند اعلام می‌شود.

• کلِ ترافیک روی HTTPS با گواهیِ معتبر.
• رمزهای عبور با bcrypt هش می‌شوند؛ رمزِ خام هرگز ذخیره نمی‌شود.
• جداسازیِ دادهٔ هر کسب‌وکار در سطحِ اپلیکیشن: هر پرس‌وجو اجباراً به شناسهٔ همان کسب‌وکار محدود است و دسترسیِ متقاطع ممکن نیست.
• سه لایه کنترلِ دسترسی روی هر درخواستِ پنل: پلن ← افزونه ← نقش و اجازهٔ کاربر. هر قفلی که در رابطِ کاربری می‌بینی، معادلِ سمت‌سروریِ اجباری دارد.
• فایل‌های حساس روی دیسکِ خصوصی: ضمیمهٔ فاکتورِ هزینه‌ها، ضمیمهٔ تیکت و چت، و عکسِ اثباتِ تحویل — هیچ‌کدام با حدسِ آدرس از اینترنت قابلِ خواندن نیستند.
• سدِ نرخ روی ورود، کدِ تأیید، ورودِ پرسنل و پیک، گردونه و فال.
• حضور و غیاب با رمزِ عددیِ هش‌شده، نه بیومتریک.
• کوکیِ نشست در محیطِ عملیاتی با نشانه‌های Secure و SameSite.
• دسترسیِ پرسنلِ پشتیبانیِ منویو به دادهٔ کسب‌وکارها محدود، مبتنی بر نقش و ثبت‌شده در سابقهٔ ممیزی است.

هیچ سامانه‌ای صددرصد نفوذناپذیر نیست؛ ما تعهد می‌دهیم که به‌طورِ مستمر این لایه‌ها را به‌روز نگه داریم.

حذفِ حساب: با درخواستِ کتبیِ حذفِ حساب از طریقِ پشتیبانی، اطلاعاتِ هویتی و دسترسیِ تو و دادهٔ مشتریانت ظرف حداکثر ۱۴ روزِ کاری حذف یا بی‌نام‌سازی می‌شود.

آنچه پس از حذف باقی می‌ماند: سوابقِ مالیِ الزامی — فاکتورها، پرداخت‌ها و دفترِ کمیسیونِ سفیران — که نگه‌داریِ آن‌ها تکلیفِ قانونی و حسابداریِ ماست؛ و داده‌های تجمیعیِ بی‌نام که به هیچ شخص یا مجموعه‌ای قابلِ انتساب نیستند.

۹.۱ اگر صاحب کسب‌وکاری:

• اطلاعاتِ حساب و کسب‌وکارت را هر وقت بخواهی از پنل می‌بینی و ویرایش می‌کنی.
• از بخش‌های اصلیِ پنل — مشتریان، فاکتورها، هزینه‌ها، انبار و گزارش‌ها — خروجیِ اکسل می‌گیری (در محدودهٔ پلن و افزونه‌های فعالت). پیش از پایانِ دورهٔ اشتراک خروجی بگیر؛ پس از آن با پشتیبانی هماهنگ کن.
• حذفِ کاملِ حساب را می‌توانی درخواست کنی (بخش ۸).

۹.۲ اگر مشتریِ یک کافه‌ای:

• از account.menuyou.app با کدِ تأیید وارد شو، اطلاعاتت را ببین و ویرایش کن.
• رضایتِ پیامکِ تبلیغاتی را از همان‌جا یا از لینکِ لغوِ داخلِ هر پیامک، در هر لحظه پس بگیر.
• برای اصلاح یا حذفِ سوابقت نزدِ یک کافه، ابتدا به همان کسب‌وکار مراجعه کن — کنترل‌کنندهٔ آن داده اوست. اگر پاسخ نگرفتی، به ما بنویس؛ ظرف ۱۴ روزِ کاری پیگیری می‌کنیم.

۹.۳ اگر پرسنل، پیک یا سفیری — اطلاعاتت را از پنلِ اختصاصیِ خودت می‌بینی. برای اصلاح یا حذفِ دادهٔ کارکردی (حضور و غیاب، حقوق، مأموریت) به کسب‌وکارِ کارفرما مراجعه کن؛ برای دادهٔ سفیری (کدملی و اطلاعاتِ بانکی) مستقیم به ما بنویس.

ساختنِ حسابِ کسب‌وکار در منویو مستلزمِ داشتنِ ۱۸ سالِ تمام است. عضویتِ مشتریانِ زیرِ ۱۸ سال در باشگاهِ مشتریانِ یک کسب‌وکار، منوط به اجازهٔ ولیِ قانونی است و مسئولیتِ آن با همان کسب‌وکار است. اگر متوجه شویم دادهٔ فردی زیرِ سنِ قانونی بدونِ اجازه ثبت شده، آن را حذف می‌کنیم.

تمامِ داده‌های منویو روی سرورهای واقع در داخلِ ایران نگه‌داری می‌شود. تنها انتقالِ برون‌مرزی، همان ارسالِ متنِ منو به سرویسِ ترجمهٔ هوش مصنوعی است که در بخش ۵.۴ توضیح داده شد و فقط با فعال‌سازیِ خودت رخ می‌دهد. اگر روزی محلِ نگه‌داری تغییر کند، پیش از انتقال در همین سند اعلام می‌شود.

اگر حادثه یا رخنه‌ای رخ دهد که اطلاعاتِ کاربران را در معرضِ خطر بگذارد، متعهدیم ظرفِ حداکثر ۷۲ ساعت پس از شناسایی، موضوع را از طریقِ پیامک و اعلانِ پنل — و در صورتِ امکان ایمیل — به اطلاعِ کاربرانِ متأثر برسانیم، همراه با شرحِ آنچه رخ داده و کاری که باید بکنند.

اگر رخنه دادهٔ مشتریانِ یک کسب‌وکار را در بر بگیرد، به آن کسب‌وکار به‌عنوانِ کنترل‌کنندهٔ داده اطلاع می‌دهیم تا او هم بتواند به تکالیفِ خودش عمل کند.

در صورتِ ادغام، تصاحب یا فروشِ بخشی یا تمامیِ دارایی‌های منویو، اطلاعاتِ کاربران ممکن است به‌عنوانِ بخشی از دارایی‌های منتقل‌شده به مالکِ جدید منتقل شود. در چنین حالتی پیش از انتقال به تو اطلاع می‌دهیم و مالکِ جدید ملزم به رعایتِ همین سیاست خواهد بود.

• لینکِ شخصِ ثالث: منوی کسب‌وکارها، وبلاگ و سایتِ ما ممکن است لینک‌هایی به وب‌سایت‌ها یا شبکه‌های اجتماعیِ دیگر داشته باشد. سیاستِ حریم خصوصیِ آن سایت‌ها مالِ خودشان است و ما مسئولیتی در قبالش نداریم.
• پلِ چاپِ حرارتی: اگر از چاپِ رسید استفاده کنی، محتوای رسید از مرورگرِ تو به برنامهٔ پلِ چاپ روی رایانهٔ خودت می‌رود و از آن‌جا به چاپگر. این داده از دستگاهِ تو خارج نمی‌شود و به سرورِ ثالثی نمی‌رود؛ امنیتِ آن رایانه بر عهدهٔ توست.

هر تغییری از طریقِ همین صفحه اعلام می‌شود و شمارهٔ نسخه و تاریخ در بالای سند به‌روز می‌شود؛ نسخه‌های قبلی بایگانی و در دسترس می‌ماند. در صورتِ تغییرِ بنیادی — دستهٔ تازه‌ای از داده، تأمین‌کنندهٔ تازه، یا تغییرِ محلِ نگه‌داری — دستِ‌کم ۳۰ روز قبل از طریقِ اعلانِ پنل و پیامک اطلاع می‌دهیم. ادامهٔ استفاده از سرویس پس از اعلام، به‌منزلهٔ پذیرشِ متنِ جدید است.

در صورتِ وجودِ ترجمهٔ انگلیسی یا هر زبانِ دیگر از این سند، متنِ فارسی ملاکِ تفسیر است.

ارائه‌دهنده: شرکت نوآور فرآیند ژرف (سهامی خاص) · وب‌سایت: menuyou.app

برای هر سوال، درخواست یا شکایتِ مربوط به حریم خصوصی: support@menuyou.app — یا از فرمِ تماس پیام بگذار.

اسنادِ مرتبط: قوانین و شرایط استفاده · توافق‌نامهٔ سفیرانِ برند