Andmetöötluse leping

1. Mõisted

• Vastutav töötleja — restoranipartner (kasutaja), kes määrab oma lõppklientide isikuandmete töötlemise eesmärgid ja vahendid FoxiFoodi platvormi kaudu.
• Volitatud töötleja — Elite Digital Services, LLC, kes töötleb isikuandmeid vastutava töötleja nimel, et osutada FoxiFoodi platvormi teenuseid. Volitatud töötleja on FoxiFoodi platvormi ainuoperaator ja võib kaasata erinevates jurisdiktsioonides volitatud alltöötlejaid konkreetsete tehniliste ülesannete täitmiseks, nagu on sätestatud käesoleva DPA punktis 5.
• Andmesubjekt — füüsiline isik, kelle isikuandmeid töödeldakse (tavaliselt toidutellimust esitav lõppklient).
• Isikuandmed — mis tahes teave tuvastatud või tuvastatava füüsilise isiku kohta, nagu on määratletud GDPR-i artiklis 4(1).
• Töötlemine — mis tahes isikuandmetega tehtav toiming, sealhulgas kogumine, säilitamine, kasutamine, edastamine ja kustutamine.
• Alamtöötleja — kolmas osapool, kelle volitatud töötleja kaasab isikuandmete töötlemiseks vastutava töötleja nimel.

2. Töötlemise ulatus ja eesmärk

2.1. Ese

Volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel eesmärgiga osutada FoxiFoodi restoranitellimuste platvormi, sealhulgas vastutava töötleja tellimissaidi majutamiseks, klienditellimuste töötlemiseks, kliendikontode haldamiseks, maksetehingute hõlbustamiseks ja FOXI ID jagatud kliendi identiteedi infrastruktuuri käitamiseks, mis võimaldab lõppklientidel kasutada ühte kontot mitmel platvormi restoranitellimuste saidil.

2.2. Kestus

Isikuandmete töötlemine käesoleva DPA alusel jätkub vastutava töötleja ja volitatud töötleja vahelise lepingu kehtivuse ajal. Lõpetamisel käsitletakse andmeid vastavalt käesoleva DPA punktile 8.

2.3. Olemus ja eesmärk

Töötlemise olemus ja eesmärk on pakkuda tarkvara kui teenuse platvormi, mis võimaldab vastutaval töötlejal võtta oma klientidelt vastu veebipõhiseid toidutellimusi, hallata tellimusi ja töödelda makseid.

Volitatud töötleja ei määra lõppkliendi tellimuste andmete töötlemise eesmärke. Volitatud töötleja pakub üksnes tehnilist infrastruktuuri, mida vastutav töötleja kasutab selliste andmete kogumiseks ja töötlemiseks.

Erand — FOXI ID konto andmed: FOXI ID jagatud kliendi identiteedi infrastruktuuri käitamise eesmärgil tegutseb Elite Digital Services, LLC FOXI ID konto andmete (sisselogimisandmed, autentimisseansid ja restoranideülese eeltäitmise jaoks kasutatav kontaktteave) sõltumatu vastutava töötlejana. Neid andmeid ei töödelda käesoleva DPA alusel, vaid teenusepakkuja enda privaatsuspoliitika alusel. Vastutava töötleja õigused ja kohustused vastutava töötlejana käesoleva DPA alusel kehtivad tellimuste andmete, klientide eelistuste ja vastutava töötleja tellimissaidi kaudu loodud tellimuste ajaloo suhtes.

2.4. Andmesubjektide kategooriad

• Restoranipartneri lõppkliendid (toidutellimusi esitavad füüsilised isikud);
• Restoranipartneri töötajad või esindajad, kellel on juurdepääs halduspaneelile.

2.5. Isikuandmete liigid

• Kontaktandmed: nimi, e-posti aadress, telefoninumber;
• Kohaletoimetamise aadress (kui kohaldatav);
• Tellimuste andmed: tellitud tooted, tellimuste summad, tellimuste ajalugu, toitumiseelistused;
• Makseviited: tehingu ID-d, makse olek (kaardiandmeid käsitleb eranditult makseteenuse pakkuja ja volitatud töötleja neid ei säilita);
• Tehnilised andmed: IP-aadress, seadme teave, brauseriandmed (pettuste ennetamiseks ja teenuse toimimiseks);
• FOXI ID konto andmed: sisselogimisandmed (e-post ja räsitud parool), autentimisseansi tokenid.

2.6. Andmete isoleerimine ja FOXI ID

Platvorm haldab jagatud kliendi identiteedi infrastruktuuri ('FOXI ID'), mis võimaldab lõppklientidel kasutada ühte kontot mitmel restoranitellimuste saidil. Kehtivad järgmised andmete eraldamise põhimõtted:

• Iga vastutav töötleja pääseb juurde ainult oma tellimissaidi kaudu loodud tellimuste andmetele, klientide eelistustele ja tellimuste ajaloole;
• Ühelgi vastutaval töötlejal ei ole juurdepääsu platvormi ühegi teise restorani lõppklientide tellimuste andmetele, eelistustele ega tellimuste ajaloole;
• Ainsad andmed, mida vastutavate töötlejate vahel FOXI ID kaudu jagatakse, on lõppkliendi kontaktteave (nimi, e-post, telefoninumber, tarneaadress), üksnes tellimisvormi eeltäitmise eesmärgil tellimisprotsessi hõlbustamiseks;
• Volitatud töötleja ei anna ühelegi vastutavale töötlejale FOXI ID-st tuletatud koondatud, anonüümseks muudetud ega restoranideüleseid andmeid.

3. Volitatud töötleja kohustused

Volitatud andmetöötleja on kohustatud:

• töödelda isikuandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas seoses andmete edastamisega kolmandatesse riikidesse, välja arvatud juhul, kui kohaldatav õigus seda nõuab;
• tagada, et isikud, kellel on luba isikuandmeid töödelda, on võtnud endale konfidentsiaalsuskohustuse või kelle suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus;
• rakendada asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada riskile vastav turvalisuse tase, nagu nõuab GDPR-i artikkel 32;
• mitte kaasata teist töötlejat (alltöötlejat) ilma vastutava töötleja eelneva kirjaliku loata, vastavalt käesoleva DPA punktile 5;
• abistada vastutavat töötlejat andmesubjekti taotlustele (juurdepääs, parandamine, kustutamine, piiramine, ülekantavus, vastuväide) vastamisel GDPR-iga nõutavate tähtaegade jooksul;
• abistada vastutavat töötlejat andmekaitsealaste mõjuhinnangute ja järelevalveasutustega eelneva konsulteerimisega seotud kohustuste täitmise tagamisel (GDPR-i artiklid 35 ja 36);
• kustutada või tagastada vastutava töötleja valikul kõik isikuandmed pärast teenuste osutamise lõppemist ning kustutada olemasolevad koopiad, välja arvatud juhul, kui ELi või liikmesriigi õigus nõuab nende säilitamist;
• teha vastutavale töötlejale kättesaadavaks kogu teave, mis on vajalik GDPR-i artiklis 28 sätestatud kohustuste täitmise tõendamiseks, ning võimaldada auditeid ja kontrolle ning aidata neile kaasa;
• pidada vastutava töötleja nimel tehtud töötlemistoimingute registrit vastavalt GDPR-i artiklile 30(2);
• rakendada lõimitud ja vaikimisi andmekaitset vastavalt GDPR-i artiklile 25, tagades, et töödeldakse ainult iga konkreetse töötlemiseesmärgi jaoks vajalikke isikuandmeid.

4. Turvameetmed

Volitatud töötleja rakendab isikuandmete kaitsmiseks järgmisi tehnilisi ja korralduslikke meetmeid:

• Edastatavate andmete krüptimine TLS 1.2+ / SSL abil;
• Tundlike andmete krüptimine salvestamisel;
• juurdepääsukontroll rollipõhiste õiguste ja mitmeastmelise autentimisega haldusjuurdepääsu jaoks;
• Regulaarsed automatiseeritud varukoopiad vähemalt 30-päevase säilitamisega;
• turvaline pilvemajutuse infrastruktuur füüsilise juurdepääsukontrolliga (DigitalOcean);
• Regulaarsed turvauuendused, parandused ja haavatavuse hindamised;
• maksete töötlemine on delegeeritud PCI DSS Level 1 sertifitseeritud makseteenuse pakkujale — volitatud töötleja ei säilita kaardiandmeid;
• Paroolide räsimine tööstusstandardi krüptograafiliste algoritmidega;
• Isikuandmetele juurdepääsu logimine ja jälgimine;
• Intsidentidele reageerimise ja andmerikkumisest teavitamise protseduurid.

5. Alamtöötlejad

5.1. Volitatud alamtöötlejad

Vastutav töötleja annab käesolevaga volitatud töötlejale üldise loa kaasata järgmised alltöötlejad:

• Maksete töötleja (praegu Stripe, Inc.) — maksete töötlemine, pettuste ennetamine (USA, PCI DSS Level 1, SCC-d kehtestatud);
• DigitalOcean, LLC — pilvemajutus ja infrastruktuur (ELi ja USA andmekeskused, SCC-d kehtestatud);
• Brevo (Sendinblue) — tehingute e-kirjade edastamine (Prantsusmaa/EL).

5.2. Alamtöötlejate muudatused

Volitatud töötleja teavitab vastutavat töötlejat kõigist kavandatavatest muudatustest, mis puudutavad alltöötlejate lisamist või asendamist, vähemalt 30 päeva ette, andes vastutavale töötlejale võimaluse selliste muudatuste vastu vaielda. Kui vastutav töötleja esitab põhjendatud vastuväite, arutavad pooled muresid heas usus. Kui lahendust ei saavutata, võib vastutav töötleja lepingu lõpetada.

5.3. Alamtöötlejate kohustused

Volitatud töötleja tagab, et iga alltöötleja on seotud andmekaitsekohustustega, mis ei ole vähem kaitsvad kui käesolevas DPA-s sätestatud kohustused. Volitatud töötleja jääb vastutava töötleja ees täielikult vastutavaks iga alltöötleja kohustuste täitmise eest.

6. Andmesubjekti õigused

Volitatud andmetöötleja on kohustatud:

• teavitada viivitamatult vastutavat töötlejat, kui ta saab andmesubjektilt otse tema isikuandmeid puudutava taotluse;
• mitte vastata sellistele taotlustele otse, välja arvatud juhul, kui vastutav töötleja on selleks loa andnud või kui seadus seda nõuab;
• osutada vastutavale töötlejale mõistlikku abi andmesubjekti taotluste täitmisel, sealhulgas tehnilisi meetmeid andmetele juurdepääsuks, parandamiseks, kustutamiseks, piiramiseks ja ülekandmiseks;
• pakkuda teenuse raames tööriistu, mis võimaldavad vastutaval töötlejal kliendiandmeid iseseisvalt hallata, eksportida ja kustutada.

7. Andmekaitse mõjuhinnangud

Kui teatud liiki töötlemine põhjustab tõenäoliselt suure ohu füüsiliste isikute õigustele ja vabadustele (GDPR-i artikkel 35), vastutab vastutav töötleja andmekaitsealase mõjuhinnangu (DPIA) läbiviimise eest. Volitatud töötleja:

• annab vastutavale töötlejale kogu teabe, mis on mõistlikult vajalik DPIA läbiviimiseks;
• abistab vastutavat töötlejat DPIA-ga mõistliku taotluse korral, vastutava töötleja kulul;
• abistab vastutavat töötlejat järelevalveasutusega eelneval konsulteerimisel, kui seda nõuab GDPR-i artikkel 36.

Vastutav töötleja peab volitatud töötlejat eelnevalt teavitama, kui DPIA näitab, et töötlemine põhjustaks suure ohu volitatud töötleja võetud meetmete puudumisel.

8. Andmerikkumisest teavitamine

Isikuandmete rikkumise korral on volitatud töötleja kohustatud:

• teavitada vastutavat töötlejat põhjendamatu viivituseta ja igal juhul 24 tunni jooksul pärast rikkumisest teadasaamist, et võimaldada vastutaval töötlejal täita oma 72-tunnine teavitamiskohustus järelevalveasutuse ees GDPR-i artikli 33 alusel;
• anda vastutavale töötlejale piisavalt teavet, et võimaldada vastutaval töötlejal täita oma kohustust teavitada järelevalveasutust ja asjaomaseid andmesubjekte GDPR-i artiklite 33 ja 34 alusel;
• teha vastutava töötlejaga koostööd ja võtta mõistlikke meetmeid rikkumise tagajärgede leevendamiseks;
• dokumenteerida rikkumine, sealhulgas selle tagajärjed ja võetud parandusmeetmed.

Rikkumisteade sisaldab võimaluse korral: rikkumise olemust, mõjutatud andmesubjektide kategooriaid ja ligikaudset arvu, tõenäolisi tagajärgi ning rikkumise käsitlemiseks võetud või kavandatavaid meetmeid.

9. Andmete säilitamine ja kustutamine

9.1. Vastutava töötleja säilitamiskohustus

Vastutav töötleja kui oma lõppklientide tellimuste andmete vastutav töötleja vastutab ainuisikuliselt asjakohaste andmete säilitamise tähtaegade määramise ning kõigi vastutava töötleja jurisdiktsioonis kohaldatavate õiguslike, maksu- ja raamatupidamisalaste andmete säilitamise kohustuste täitmise eest. FOXI ID konto andmete säilitamist haldab volitatud töötleja sõltumatu vastutava töötlejana, nagu on kirjeldatud teenusepakkuja privaatsuspoliitikas.

Teenus võib pakkuda konfigureeritavaid andmete säilitamise seadeid, mis võimaldavad vastutaval töötlejal määrata lõppkliendi andmete automaatse kustutamise tähtajad. Volitatud töötleja töötleb ja kustutab lõppkliendi andmeid rangelt vastavalt vastutava töötleja dokumenteeritud juhistele, sealhulgas vastutava töötleja poolt platvormis seadistatud säilitamise seadetele. Volitatud töötleja ei vastuta vastutava töötleja valitud säilitamise tähtaegade ega õiguslike tagajärgede eest, mis tulenevad andmete säilitamisest või kustutamisest vastavalt vastutava töötleja juhistele.

9.2. Lõpetamine

• Lepingu lõpetamisel annab volitatud töötleja vastutavale töötlejale 30 kalendripäeva, et eksportida kõik isikuandmed teenuse ekspordifunktsioonide kaudu;
• Pärast 30-päevast perioodi kustutab volitatud töötleja kõik vastutava töötleja nimel töödeldud isikuandmed, välja arvatud juhul, kui kohaldatav õigus nõuab nende säilitamist;
• Kustutamine toimub turvaliste meetoditega, mis muudavad andmed taastamatuks;
• Volitatud töötleja esitab vastutava töötleja taotlusel andmete kustutamise kohta kirjaliku kinnituse;
• Varukoopiad kustutatakse vastavalt tavapärasele varukoopiate rotatsiooni ajakavale (30 päeva jooksul pärast kustutamistaotlust).

10. Rahvusvahelised andmeedastused

Kui isikuandmeid edastatakse väljapoole Euroopa Majanduspiirkonda (EMP), tagab volitatud töötleja asjakohaste kaitsemeetmete olemasolu, nagu nõuab GDPR-i V peatükk, sealhulgas:

• Euroopa Komisjoni poolt rakendusotsuse (EL) 2021/914 (4. juuni 2021) alusel vastu võetud standardsed lepingutingimused (SCC-d). Alltöötlejatele edastamise puhul kohaldatakse vastavalt vajadusele teist moodulit (vastutavalt töötlejalt volitatud töötlejale) või kolmandat moodulit (volitatud töötlejalt volitatud töötlejale) SCC-sid;
• edastamise mõjuhinnangud iga alltöötleja kohta, et hinnata sihtriigi õigusraamistikku;
• täiendavad meetmed, et tagada isikuandmete piisav kaitse, kui edastamise mõjuhinnang tuvastab riske.

Volitatud töötleja teavitab vastutavat töötlejat kõigist sihtriigi õiguslikest nõuetest, mis võivad mõjutada isikuandmete kaitset ja võimet käesolevat DPA-d täita. Allkirjastatud SCC-de koopiad on saadaval taotluse alusel.

11. Auditid ja kontrollid

Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on mõistlikult vajalik GDPR-i artikli 28 täitmise tõendamiseks. Vastutav töötleja võib läbi viia auditeid, sealhulgas kontrolle, kas otse või sõltumatu kolmandast osapoolest audiitori kaudu, järgmistel tingimustel:

• Mõistlik etteteatamine vähemalt 30 kalendripäeva ette;
• auditid viiakse läbi tavapärasel tööajal ja viisil, mis minimeerib häireid;
• Audiitor peab olema seotud konfidentsiaalsusnõuetega;
• mitte rohkem kui üks audit 12-kuulise perioodi jooksul, välja arvatud juhul, kui järelevalveasutus seda nõuab.

12. Vastutus

Iga poole vastutus käesoleva DPA alusel allub teenusetingimustes sätestatud vastutuse piirangutele ja välistustele. Miski käesolevas DPA-s ei piira kummagi poole vastutust GDPR-i rikkumiste eest ulatuses, milles selline piirang ei ole kohaldatava õiguse alusel lubatud.

13. EL-i esindaja

Vastavalt GDPR-i artiklile 27 on volitatud töötleja määranud oma esindajaks Euroopa Liidus järgmise üksuse:

Euro business company Kft.
Rómer Flóris utca 8/B. 3. em., Budapest 1024, Hungary
Maksunumber: HU28959364

ELi esindaja ja tema rolli täielike üksikasjade saamiseks vaadake FoxiFoodi veebisaidi õigusteabe jaotises olevat GDPR-i lehte.

14. Kontakt

Küsimuste korral käesoleva andmetöötluslepingu või andmetöötluse kohta võtke meiega ühendust aadressil: support@foxi.food

Elite Digital Services, LLC
1111B S Governors Ave #21653
Dover, DE 19904, USA