Databehandleraftale

1. Definitioner

• Dataansvarlig — restaurantpartneren (Brugeren), der bestemmer formålene med og midlerne til behandling af personoplysninger om deres slutkunder via FoxiFood-platformen.
• Databehandler — Elite Digital Services, LLC, som behandler personoplysninger på vegne af den Dataansvarlige for at levere FoxiFood-platformens tjenester. Databehandleren er den eneste operatør af FoxiFood-platformen og kan engagere autoriserede underdatabehandlere i forskellige jurisdiktioner til at udføre specifikke tekniske opgaver, som beskrevet i afsnit 5 i denne DPA.
• Registreret — den person, hvis personoplysninger behandles (typisk slutkunden, der afgiver en madbestilling).
• Personoplysninger — enhver oplysning vedrørende en identificeret eller identificerbar fysisk person, som defineret i artikel 4, stk. 1, i GDPR.
• Behandling — enhver operation udført på personoplysninger, herunder indsamling, opbevaring, brug, overførsel og sletning.
• Underdatabehandler — en tredjepart engageret af Databehandleren til at behandle personoplysninger på vegne af den Dataansvarlige.

2. Omfang og formål med behandling

2.1. Genstand

Databehandleren behandler personoplysninger på vegne af den Dataansvarlige med det formål at levere FoxiFood-restaurantbestillingsplatformen, herunder hosting af den Dataansvarliges bestillingswebsted, behandling af kundeordrer, administration af kundekonti, facilitering af betalingstransaktioner og drift af FOXI ID-den delte kundeidentitetsinfrastruktur, der gør det muligt for slutkunder at bruge en enkelt konto på tværs af flere restaurantbestillingswebsteder på platformen.

2.2. Varighed

Behandlingen af personoplysninger i henhold til denne DPA skal fortsætte i aftalens varighed mellem den Dataansvarlige og Databehandleren. Ved ophør skal data håndteres i overensstemmelse med afsnit 8 i denne DPA.

2.3. Art og formål

Arten og formålet med behandlingen er at levere en software-as-a-service-platform, der gør det muligt for den Dataansvarlige at modtage online madbestillinger fra deres kunder, administrere ordrer og behandle betalinger.

Databehandleren bestemmer ikke formålene med behandling af slutkunders ordredata. Databehandleren leverer kun den tekniske infrastruktur, som den Dataansvarlige bruger til at indsamle og behandle sadanne data.

Undtagelse - FOXI ID-kontodata: Med henblik på driften af FOXI ID-den delte kundeidentitetsinfrastruktur fungerer Elite Digital Services, LLC som en uafhængig dataansvarlig for FOXI ID-kontodata (loginoplysninger, godkendelsessessioner og kontaktoplysninger brugt til udfyldning på tværs af restauranter). Disse data behandles ikke i henhold til denne DPA, men i henhold til Udbyderens egen privatlivspolitik. Den Dataansvarliges rettigheder og forpligtelser som dataansvarlig i henhold til denne DPA gælder for ordredata, kundepræferencer og ordrehistorik genereret via den Dataansvarliges bestillingswebsted.

2.4. Kategorier af registrerede

• Slutkunder hos restaurantpartneren (enkeltpersoner, der afgiver madbestillinger);
• Ansatte eller repræsentanter for restaurantpartneren med adgang til administrationspanelet.

2.5. Typer af personoplysninger

• Kontaktdata: navn, e-mailadresse, telefonnummer;
• Leveringsadresse (når relevant);
• Ordredata: bestilte varer, ordrebeløb, ordrehistorik, kostpræferencer;
• Betalingsreferencer: transaktions-ID'er, betalingsstatus (kortoplysninger håndteres udelukkende af Stripe og opbevares ikke af Databehandleren);
• Tekniske data: IP-adresse, enhedsoplysninger, browserdata (til forebyggelse af svindel og servicedrift);
• FOXI ID-kontodata: loginoplysninger (e-mail og hashet adgangskode), godkendelsessessionstokens.

2.6. Dataisolering og FOXI ID

Platformen driver en delt kundeidentitetsinfrastruktur ('FOXI ID'), der gør det muligt for slutkunder at bruge en enkelt konto på tværs af flere restaurantbestillingswebsteder. Følgende dataisoleringsprincipper gælder:

• Hver Dataansvarlig kan kun få adgang til ordredata, kundepræferencer og ordrehistorik genereret via sit eget bestillingswebsted;
• Ingen Dataansvarlig har adgang til ordredata, præferencer eller ordrehistorik for slutkunder hos nogen anden restaurant på platformen;
• De eneste data, der deles på tværs af Dataansvarlige via FOXI ID, er slutkundens kontaktoplysninger (navn, e-mail, telefonnummer, leveringsadresse), udelukkende med det formål at forudfylde bestillingsformularen for at lette bestillingsprocessen;
• Databehandleren giver ingen Dataansvarlig adgang til aggregerede, anonymiserede eller tværgående restaurantdata afledt af FOXI ID.

3. Databehandlerens forpligtelser

Databehandleren skal:

• Behandle personoplysninger udelukkende efter dokumenterede instrukser fra den Dataansvarlige, herunder med hensyn til overførsel af data til tredjelande, medmindre det kræves i henhold til gældende lovgivning;
• Sikre, at personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt;
• Implementere passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der er passende i forhold til risikoen, som krævet i artikel 32 i GDPR;
• Ikke engagere en anden databehandler (underdatabehandler) uden forudgående skriftlig godkendelse fra den Dataansvarlige, med forbehold for afsnit 5 i denne DPA;
• Bistå den Dataansvarlige med at besvare anmodninger fra registrerede (adgang, berigtigelse, sletning, begrænsning, portabilitet, indsigelse) inden for de tidsfrister, der kræves i GDPR;
• Bistå den Dataansvarlige med at sikre overholdelse af forpligtelser vedrørende konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheder (artikel 35 og 36 i GDPR);
• Efter den Dataansvarliges valg slette eller returnere alle personoplysninger efter afslutningen af leveringen af tjenesterne og slette eksisterende kopier, medmindre EU- eller medlemsstatslovgivning kræver opbevaring;
• Stille alle oplysninger til radighed for den Dataansvarlige, der er nødvendige for at dokumentere overholdelse af forpligtelserne i artikel 28 i GDPR, og tillade og bidrage til revisioner og inspektioner;
• Opretholde fortegnelser over behandlingsaktiviteter udført på vegne af den Dataansvarlige i overensstemmelse med artikel 30, stk. 2, i GDPR;
• Implementere databeskyttelse gennem design og som standard i overensstemmelse med artikel 25 i GDPR, og sikre at kun personoplysninger, der er nødvendige for hvert specifikt behandlingsformel, behandles.

4. Sikkerhedsforanstaltninger

Databehandleren implementerer følgende tekniske og organisatoriske foranstaltninger til beskyttelse af personoplysninger:

• Kryptering af data under overførsel ved brug af TLS 1.2+ / SSL;
• Kryptering af følsomme data i hvile;
• Adgangskontrol med rollebaserede tilladelser og multifaktorgodkendelse til administrativ adgang;
• Regelmæssige automatiserede sikkerhedskopier med minimum 30 dages opbevaring;
• Sikker cloud-hostinginfrastruktur med fysisk adgangskontrol (DigitalOcean);
• Regelmæssige sikkerhedsopdateringer, rettelser og sårbarhedsvurderinger;
• Betalingsbehandling overlades til en PCI DSS Level 1-certificeret betalingsudbyder — ingen kortdata lagres af Databehandleren;
• Hashing af adgangskoder ved brug af branchestandardkryptografiske algoritmer;
• Logning og overvågning af adgang til personoplysninger;
• Hændelsesrespons- og databrudmeddelelsesprocedurer.

5. Underdatabehandlere

5.1. Autoriserede underdatabehandlere

Den Dataansvarlige giver hermed generel tilladelse til, at Databehandleren engagerer følgende underdatabehandlere:

• Betalingsprocessor (i øjeblikket Stripe, Inc.) — betalingsbehandling, forebyggelse af svindel (USA, PCI DSS Level 1, SCC'er på plads);
• DigitalOcean, LLC — cloud-hosting og infrastruktur (EU- og USA-datacentre, SCC'er på plads);
• Brevo (Sendinblue) — transaktionel e-maillevering (Frankrig/EU).

5.2. Ændringer af underdatabehandlere

Databehandleren vil underrette den Dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere mindst 30 dage i forvejen, hvilket giver den Dataansvarlige mulighed for at gøre indsigelse mod sadanne ændringer. Hvis den Dataansvarlige med rimelighed gør indsigelse, skal parterne drøfte bekymringerne i god tro. Hvis der ikke nas en løsning, kan den Dataansvarlige ophæve aftalen.

5.3. Underdatabehandlerens forpligtelser

Databehandleren skal sikre, at hver underdatabehandler er bundet af databeskyttelsesforpligtelser, der ikke er mindre beskyttende end dem, der er fastsat i denne DPA. Databehandleren forbliver fuldt ansvarlig over for den Dataansvarlige for opfyldelsen af hver underdatabehandlers forpligtelser.

6. Registreredes rettigheder

Databehandleren skal:

• Straks underrette den Dataansvarlige, hvis den modtager en anmodning direkte fra en registreret vedrørende deres personoplysninger;
• Ikke besvare sadanne anmodninger direkte, medmindre det er godkendt af den Dataansvarlige eller krævet ved lov;
• Give den Dataansvarlige rimelig bistand til at opfylde anmodninger fra registrerede, herunder tekniske foranstaltninger til dataadgang, berigtigelse, sletning, begrænsning og portabilitet;
• Stille værktøjer til radighed inden for Tjenesten, der gør det muligt for den Dataansvarlige at administrere, eksportere og slette kundedata selvstændigt.

7. Konsekvensanalyser vedrørende databeskyttelse

Hvor en type behandling sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder (artikel 35 GDPR), er den Dataansvarlige ansvarlig for at gennemføre en konsekvensanalyse vedrørende databeskyttelse (DPIA). Databehandleren skal:

• give den Dataansvarlige alle oplysninger, der med rimelighed er nødvendige for at gennemføre en DPIA;
• bistå den Dataansvarlige med DPIA'en efter rimelig anmodning, på den Dataansvarliges regning;
• bistå den Dataansvarlige ved forudgående høring af tilsynsmyndigheden, hvor det kræves i henhold til artikel 36 i GDPR.

Den Dataansvarlige skal underrette Databehandleren på forhånd, hvis en DPIA indikerer, at behandlingen ville medføre en høj risiko i fravaret af foranstaltninger truffet af Databehandleren.

8. Meddelelse om databrud

I tilfælde af brud på persondatasikkerheden skal Databehandleren:

• Underrette den Dataansvarlige uden unodig forsinkling og under alle omstændigheder inden for 24 timer efter at være blevet bekendt med bruddet, for at gøre det muligt for den Dataansvarlige at opfylde sin 72-timers underretningspligt over for tilsynsmyndigheden i henhold til artikel 33 i GDPR;
• Give den Dataansvarlige tilstrækkelige oplysninger til, at den Dataansvarlige kan opfylde sin forpligtelse til at underrette tilsynsmyndigheden og berørte registrerede i henhold til artikel 33 og 34 i GDPR;
• Samarbejde med den Dataansvarlige og tage rimelige skridt til at begrænse virkningerne af bruddet;
• Dokumentere bruddet, herunder dets virkninger og de afhjelpende foranstaltninger, der er truffet.

Meddelelsen om bruddet skal, i det omfang det er tilgængeligt, indeholde: bruddets art, kategorier og omtrentligt antal berørte registrerede, sandsynlige konsekvenser og foranstaltninger truffet eller foreslåt til at afhjælpe bruddet.

9. Dataopbevaring og sletning

9.1. Den Dataansvarliges opbevaringsansvar

Den Dataansvarlige er som dataansvarlig for ordredata vedrørende sine slutkunder eneansvarlig for at fastsætte passende dataopbevaringsperioder og for overholdelse af alle gældende lovmæssige, skattemæssige og regnskabsmæssige dataopbevaringsforpligtelser i den Dataansvarliges jurisdiktion. FOXI ID-kontodata opbevares af Databehandleren i sin egenskab af uafhængig dataansvarlig, som beskrevet i Udbyderens privatlivspolitik.

Tjenesten kan give konfigurerbare dataopbevaringsindstillinger, der gør det muligt for den Dataansvarlige at indstille automatiske sletningsperioder for slutkundedata. Databehandleren behandler og sletter slutkundedata udelukkende i overensstemmelse med den Dataansvarliges dokumenterede instrukser, herunder de opbevaringsindstillinger, som den Dataansvarlige har konfigureret i platformen. Databehandleren bærer intet ansvar for den Dataansvarliges valg af opbevaringsperioder eller for eventuelle juridiske konsekvenser, der opstår som følge af, at data opbevares eller slettes i overensstemmelse med den Dataansvarliges instrukser.

9.2. Ophør

• Ved ophør af aftalen vil Databehandleren give den Dataansvarlige 30 kalenderdage til at eksportere alle personoplysninger via Tjenestens eksportfunktioner;
• Efter 30-dages perioden vil Databehandleren slette alle personoplysninger behandlet på vegne af den Dataansvarlige, medmindre opbevaring kræves i henhold til gældende lovgivning;
• Sletning vil blive udført ved hjælp af sikre metoder, der gør data uigenkaldelige;
• Databehandleren vil give skriftlig bekræftelse af datasletning efter anmodning fra den Dataansvarlige;
• Sikkerhedskopier vil blive slettet i henhold til den regelmæssige sikkerhedskopieringsrotationsplan (inden for 30 dage fra sletningsanmodningen).

10. Internationale dataoverførsler

Hvor personoplysninger overføres uden for Det Europæiske Økonomiske Samarbejdsomrade (EØS), sikrer Databehandleren, at passende garantier er på plads som krævet i kapitel V i GDPR, herunder:

• Standardkontraktbestemmelser (SCC'er) vedtaget af Europa-Kommissionen i henhold til gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021. For overførsler til underdatabehandlere anvendes Modul To (dataansvarlig-til-databehandler) eller Modul Tre (databehandler-til-databehandler) SCC'er, alt efter hvad der er relevant;
• Konsekvensanalyser af overførsler for hver underdatabehandler til evaluering af det juridiske grundlag i destinationslandet;
• Supplerende foranstaltninger for at sikre tilstrækkelig beskyttelse af personoplysninger, hvor konsekvensanalysen af overførslen identificerer risici.

Databehandleren skal informere den Dataansvarlige om eventuelle juridiske krav i destinationslandet, der kan påvirke beskyttelsen af personoplysninger og evnen til at overholde denne DPA. Kopier af de underskrevne SCC'er er tilgængelige efter anmodning.

11. Revisioner og inspektioner

Databehandleren skal stille alle oplysninger til radighed for den Dataansvarlige, der med rimelighed er nødvendige for at dokumentere overholdelse af artikel 28 i GDPR. Den Dataansvarlige kan gennemføre revisioner, herunder inspektioner, enten direkte eller via en uafhængig tredjepartsrevisor, med forbehold for:

• Rimeligt forudgående varsel på mindst 30 kalenderdage;
• Revisioner gennemført i normal arbejdstid og på en måde, der minimerer forstyrrelser;
• At revisoren er bundet af fortrolighedsforpligtelser;
• Højst en revision pr. 12-maneders periode, medmindre det kræves af en tilsynsmyndighed.

12. Ansvar

Hver parts ansvar i henhold til denne DPA er underlagt de begrænsninger og udelukkelser af ansvar, der er fastsat i servicevilkårene. Intet i denne DPA begrænser nogen parts ansvar for overtrædelser af GDPR i det omfang, en sådan begrænsning ikke er tilladt i henhold til gældende lovgivning.

13. EU-repræsentant

I overensstemmelse med artikel 27 i GDPR har Databehandleren udpeget følgende enhed som sin repræsentant i Den Europæiske Union:

Euro business company Kft.
Rómer Flóris utca 8/B. 3. em., Budapest 1024, Hungary
Skattenummer: HU28959364

For fuldstændige oplysninger om EU-repræsentanten og dens rolle, se GDPR-siden i den juridiske sektion på FoxiFood-webstedet.

14. Kontakt

For spørgsmål om denne databehandleraftale eller databehandlingsforhold, kontakt os på: support@foxi.food

Elite Digital Services, LLC
1111B S Governors Ave #21653
Dover, DE 19904, USA