Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej „Umowa powierzenia”) jest zawierana między Klientem jako administratorem danych (dalej „Administrator”) a Usługodawcą wskazanym w § 2 Regulaminu jako podmiotem przetwarzającym (dalej „Podmiot przetwarzający”).
2. Umowa powierzenia stanowi załącznik nr 1 do Regulaminu i zostaje zawarta w postaci elektronicznej z chwilą akceptacji Regulaminu przez Klienta (przy założeniu Konta, aktywacji Abonamentu albo akceptacji nowej wersji w Panelu). Podmiot przetwarzający zapisuje wersję zaakceptowanego dokumentu i czas akceptacji. Umowa powierzenia jest umową, o której mowa w art. 28 ust. 3 RODO.
3. Pojęcia pisane wielką literą, niezdefiniowane w Umowie powierzenia, mają znaczenie nadane im w Regulaminie.

§ 2. Definicje

1. RODO: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.
2. Dane: dane osobowe powierzone Podmiotowi przetwarzającemu przez Administratora w ramach Usług, opisane w § 5.
3. Dalszy podmiot przetwarzający: podmiot, któremu Podmiot przetwarzający podpowierza przetwarzanie Danych.
4. Naruszenie: naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO dotyczące Danych.

§ 3. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych w zakresie i celu niezbędnym do świadczenia Usług opisanych w Regulaminie, w szczególności: prowadzenia Strony Klienta, przyjmowania i obsługi rezerwacji i zamówień (z odbiorem i dostawą), obsługi zadatków i płatności online przez konto Administratora u operatora płatności, prowadzenia programu lojalnościowego, zapisów na wiadomości i kampanii e-mail, próśb o opinie, wystawiania faktur i paragonów, obsługi kurierów, kont zespołu Administratora, raportów oraz narzędzi eksportu danych i obsługi żądań Gości.
2. Przetwarzanie ma charakter zautomatyzowany i obejmuje operacje: zbieranie przez formularze Strony Klienta, zapisywanie, przechowywanie, porządkowanie, przeglądanie, wykorzystywanie, przesyłanie (w tym wysyłkę wiadomości e-mail), udostępnianie na polecenie Administratora, pseudonimizację, usuwanie i tworzenie kopii zapasowych.
3. Podmiot przetwarzający przetwarza Dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest Regulamin wraz z Umową powierzenia, konfiguracja Usług dokonana przez Administratora w Panelu (np. włączenie modułów, integracji i wiadomości) oraz polecenia przekazane e-mailem.

§ 4. Czas przetwarzania

Umowa powierzenia obowiązuje przez czas trwania Umowy, a po jej zakończeniu do czasu usunięcia Danych zgodnie z § 12.

§ 5. Kategorie osób i rodzaje danych

1. Kategorie osób, których dane dotyczą: Goście (osoby rezerwujące, zamawiające, uczestnicy programu lojalnościowego, osoby zapisane na wiadomości restauracji, adresaci kampanii i próśb o opinie), nabywcy, dla których wystawiono faktury, kurierzy Administratora, członkowie zespołu Administratora posiadający konta w Panelu oraz osoby kontaktujące się z Administratorem przez formularze Strony Klienta.
2. Rodzaje danych: imię i nazwisko; adres e-mail; numer telefonu; adres dostawy; treść, termin i historia rezerwacji i zamówień, w tym uwagi i odpowiedzi na pytania formularza; dane do faktury (nazwa firmy, NIP, adres); informacje o płatności (status, identyfikator i kwota, bez pełnych danych karty); saldo punktów lojalnościowych; zgody marketingowe i ich historia; notatki i tagi dodane przez Administratora; w przypadku kurierów imię, telefon, zabezpieczony kod PIN i bieżąca lokalizacja w trakcie dostawy (przechowywana nie dłużej niż 30 minut); w przypadku członków zespołu adres e-mail, rola i skrót hasła.
3. Usługi nie są przeznaczone do przetwarzania szczególnych kategorii danych (art. 9 RODO). Jeżeli Gość poda takie dane z własnej inicjatywy (np. informację o alergii lub diecie w uwagach), są one przetwarzane wyłącznie jako część rezerwacji lub zamówienia, a Administrator odpowiada za podstawę prawną ich przetwarzania.

§ 6. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania Danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania udzielania takiej informacji.
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.
3. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy, a dostęp do Danych mają wyłącznie w zakresie niezbędnym do świadczenia Usług, obsługi zgłoszeń Administratora i zapewnienia bezpieczeństwa.
4. Podmiot przetwarzający stosuje środki techniczne i organizacyjne wymagane na podstawie art. 32 RODO, w szczególności:
   • szyfrowanie transmisji danych (HTTPS/TLS) na Stronach Klientów i w Panelu;
   • przechowywanie haseł wyłącznie w postaci skrótu (PBKDF2 z solą) i unieważnianie sesji po zmianie hasła lub usunięciu konta;
   • szyfrowanie kluczy dostępu do usług zewnętrznych Administratora (np. tokenu Fakturownia) algorytmem AES-GCM;
   • oddzielenie danych poszczególnych Klientów na poziomie aplikacji oraz role i uprawnienia w Panelu;
   • uwierzytelnianie dwuskładnikowe dla kont personelu Usługodawcy i rejestrowanie jego działań w danych Klientów;
   • ograniczanie liczby prób logowania i wysyłki formularzy oraz ochronę przed botami i atakami;
   • codzienne kopie zapasowe w odrębnym, prywatnym magazynie, przechowywane przez 30 dni, z możliwością odtworzenia danych pojedynczego Klienta;
   • minimalizację danych (np. rejestr zgód na pliki cookie bez adresu IP, lokalizacja kuriera usuwana po 30 minutach).
5. Podmiot przetwarzający, uwzględniając charakter przetwarzania, pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (§ 9), oraz z obowiązków określonych w art. 32-36 RODO, w tym przy ocenie skutków dla ochrony danych i uprzednich konsultacjach, w zakresie informacji, którymi dysponuje.
6. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia audyty na zasadach § 11.
7. Podmiot przetwarzający niezwłocznie informuje Administratora o każdym prawnie wiążącym żądaniu udostępnienia Danych przez organ władzy publicznej, chyba że prawo tego zabrania.

§ 7. Obowiązki Administratora

1. Administrator oświadcza, że jest uprawniony do przetwarzania Danych w zakresie, w jakim je powierza, i odpowiada za istnienie podstawy prawnej ich przetwarzania, wykonanie obowiązków informacyjnych wobec Gości oraz uzyskanie wymaganych zgód, w tym na wiadomości marketingowe.
2. Administrator konfiguruje Usługi zgodnie z przepisami i nie wprowadza do Usług danych zbędnych dla celów przetwarzania.
3. Administrator odpowiada za integracje, które sam włącza, i za dane przekazywane na jego polecenie podmiotom, z którymi zawarł własne umowy, w szczególności: operatorowi płatności Stripe (konto Administratora w Stripe Connect), dostawcy systemu Fakturownia (konto Administratora), Krajowemu Systemowi e-Faktur (KSeF), odbiorcom webhooków pod adresami wskazanymi przez Administratora oraz dostawcom narzędzi analitycznych i reklamowych dodanych przez Administratora (np. Google, Meta). Podmioty te nie są Dalszymi podmiotami przetwarzającymi Podmiotu przetwarzającego.

§ 8. Dalsze podmioty przetwarzające

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej zgody na korzystanie z Dalszych podmiotów przetwarzających. Na dzień zawarcia Umowy powierzenia są to:

2. Podmiot	Zakres	Miejsce przetwarzania	Podstawa przekazania poza EOG
   Cloudflare, Inc.	hosting Stron Klientów i Panelu, baza danych, przechowywanie plików i kopii zapasowych, sieć CDN, ochrona przed atakami, wysyłka części wiadomości e-mail	USA, globalna sieć centrów danych (także w EOG)	decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework oraz standardowe klauzule umowne
   Plus Five Five, Inc. (Resend)	wysyłka wiadomości e-mail do Gości (potwierdzenia i przypomnienia rezerwacji, potwierdzenia zamówień, kampanie i wiadomości restauracji)	USA	standardowe klauzule umowne
   Amazon Web Services, Inc. (Amazon SES)	infrastruktura wysyłki e-mail używana przez Resend (dalszy podmiot przetwarzający)	USA, UE	decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework oraz standardowe klauzule umowne
   Mapbox, Inc.	mapy dojazdu oraz sprawdzanie, czy adres dostawy leży w strefie dostaw (adres dostawy)	USA	standardowe klauzule umowne lub decyzja w sprawie EU-US Data Privacy Framework, jeżeli dostawca jest certyfikowany

3. Podmiot przetwarzający informuje Administratora e-mailem i w Panelu o zamiarze dodania lub zastąpienia Dalszego podmiotu przetwarzającego co najmniej 14 dni przed zmianą. W tym terminie Administrator może zgłosić uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę ze skutkiem na dzień poprzedzający zmianę i otrzymać zwrot proporcjonalnej części opłaty za niewykorzystany Okres rozliczeniowy.
4. Podmiot przetwarzający nakłada na Dalszych podmiotów przetwarzających, w drodze umowy, obowiązki ochrony danych zasadniczo odpowiadające obowiązkom z Umowy powierzenia, w szczególności obowiązek wdrożenia odpowiednich środków bezpieczeństwa, i odpowiada wobec Administratora za wypełnianie przez nie tych obowiązków.
5. Przekazanie Danych do państwa trzeciego następuje wyłącznie z zastosowaniem zabezpieczeń przewidzianych w rozdziale V RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) lub standardowych klauzul umownych przyjętych przez Komisję Europejską.

§ 9. Pomoc w realizacji praw osób, których dane dotyczą

1. Administrator realizuje żądania Gości samodzielnie, za pomocą narzędzi Panelu: wyszukania wszystkich danych Gościa po adresie e-mail lub numerze telefonu, pobrania ich kopii (prawo dostępu i przenoszenia danych) oraz ich usunięcia lub anonimizacji (prawo do usunięcia), w sekcji „Dane gości”, a także eksportu rezerwacji, zamówień i listy Gości. Narzędzie usuwania zachowuje dane, które Administrator musi przechowywać na podstawie przepisów (np. wystawione faktury), i informuje o tym.
2. Żądanie, które Podmiot przetwarzający otrzyma bezpośrednio od osoby, której dane dotyczą, przekazuje Administratorowi niezwłocznie, nie później niż w ciągu 5 Dni roboczych, i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni.
3. Jeżeli narzędzia Panelu nie wystarczają do realizacji żądania, Podmiot przetwarzający, na wniosek Administratora, udziela mu rozsądnej pomocy technicznej.

§ 10. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzone Naruszenie bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail Konta.
2. Zgłoszenie zawiera, w miarę dostępności informacji: opis charakteru Naruszenia, w tym kategorie i przybliżoną liczbę osób i wpisów, których dotyczy; dane kontaktowe osoby, od której można uzyskać więcej informacji; opis możliwych konsekwencji; opis zastosowanych lub proponowanych środków w celu zaradzenia Naruszeniu i zminimalizowania jego skutków. Informacje, których nie można przekazać od razu, Podmiot przetwarzający przekazuje sukcesywnie bez zbędnej zwłoki.
3. Podmiot przetwarzający dokumentuje Naruszenia, współpracuje z Administratorem przy ich wyjaśnianiu i podejmuje niezwłocznie działania w celu ograniczenia ich skutków. Zgłoszenia Naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, dokonuje Administrator.

§ 11. Audyty i kontrole

1. Administrator ma prawo sprawdzać, czy Podmiot przetwarzający przestrzega RODO i Umowy powierzenia. Audyt jest przeprowadzany przede wszystkim zdalnie: przez pisemne pytania, wgląd w dokumentację, polityki i opis środków bezpieczeństwa oraz certyfikaty i raporty z audytów Dalszych podmiotów przetwarzających.
2. Administrator zawiadamia Podmiot przetwarzający o zamiarze przeprowadzenia audytu z co najmniej 14-dniowym wyprzedzeniem, podając jego zakres. Audyt może być przeprowadzany nie częściej niż raz na 12 miesięcy, chyba że jest uzasadniony Naruszeniem lub żądaniem organu nadzorczego.
3. Audyt w innej formie niż zdalna jest dopuszczalny tylko wtedy, gdy audyt zdalny okaże się niewystarczający, w uzgodnionym terminie, w sposób niezakłócający działalności Podmiotu przetwarzającego i bez dostępu do danych innych Klientów. Audytor, jeżeli nie jest nim Administrator, musi być zobowiązany do zachowania poufności i nie może być podmiotem konkurencyjnym wobec Podmiotu przetwarzającego. Koszty audytu ponosi Administrator.
4. Infrastruktura Dalszych podmiotów przetwarzających (np. centra danych) jest weryfikowana na podstawie ich certyfikatów i raportów, a nie przez audyt na miejscu.

§ 12. Zakończenie przetwarzania: zwrot i usunięcie Danych

1. Przez cały czas trwania Umowy oraz w okresie 90 dni po jej zakończeniu Administrator może pobrać Dane za pomocą funkcji eksportu w Panelu; pobranie danych stanowi ich zwrot w rozumieniu art. 28 ust. 3 lit. g RODO.
2. Po upływie 90 dni od zakończenia Umowy (a w przypadku Okresu próbnego zakończonego bez aktywacji Abonamentu, po upływie 90 dni od końca Okresu próbnego) Podmiot przetwarzający usuwa Dane z systemów produkcyjnych. Kopie zapasowe zawierające Dane wygasają w ciągu kolejnych 30 dni. Na wniosek Administratora Podmiot przetwarzający potwierdza usunięcie Danych e-mailem.
3. Administrator może zażądać wcześniejszego usunięcia Danych po zakończeniu Umowy. Podmiot przetwarzający może zachować Dane wyłącznie wtedy, gdy wymaga tego prawo Unii lub prawo polskie, w zakresie i przez czas wynikający z tych przepisów.

§ 13. Odpowiedzialność

1. Każda ze stron odpowiada za szkody wyrządzone naruszeniem RODO lub Umowy powierzenia na zasadach określonych w RODO, w szczególności w art. 82 RODO.
2. W stosunkach między stronami do odpowiedzialności Podmiotu przetwarzającego stosuje się ograniczenia określone w § 19 Regulaminu, w zakresie dopuszczalnym przez prawo. Ograniczenia te nie wyłączają ani nie ograniczają praw osób, których dane dotyczą.
3. Jeżeli Administrator naprawił szkodę wyrządzoną osobie, której dane dotyczą, w całości, może dochodzić od Podmiotu przetwarzającego zwrotu tej części odszkodowania, która odpowiada jego udziałowi w odpowiedzialności za szkodę (art. 82 ust. 5 RODO), i odwrotnie.

§ 14. Postanowienia końcowe

1. W sprawach ochrony danych osobowych Umowa powierzenia ma pierwszeństwo przed pozostałymi postanowieniami Regulaminu. W sprawach nieuregulowanych stosuje się Regulamin oraz przepisy RODO i prawa polskiego.
2. Zmiany Umowy powierzenia następują w trybie zmiany Regulaminu (§ 23 Regulaminu), z zastrzeżeniem § 8 w zakresie Dalszych podmiotów przetwarzających.
3. Umowa powierzenia wygasa wraz z Umową, z zastrzeżeniem obowiązków dotyczących zwrotu i usunięcia Danych, które trwają do ich wykonania.