Tietojenkäsittelysopimus

1. Määritelmät

• Rekisterinpitäjä — ravintolakumppani (Käyttäjä), joka määrittää loppuasiakkaidensa henkilötietojen käsittelyn tarkoitukset ja keinot FoxiFood-alustan kautta.
• Käsittelijä — Elite Digital Services, LLC, joka käsittelee henkilötietoja Rekisterinpitäjän puolesta FoxiFood-alustapalveluiden tarjoamiseksi. Käsittelijä on FoxiFood-alustan ainoa ylläpitäjä ja voi käyttää valtuutettuja alikäsittelijöitä eri lainkäyttöalueilla tiettyjen teknisten tehtävien suorittamiseen tämän DPA:n kohdassa 5 kuvatulla tavalla.
• Rekisteröity — henkilö, jonka henkilötietoja käsitellään (tyypillisesti ruokatilauksen tekevä loppuasiakas).
• Henkilötiedot — kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot GDPR:n artiklan 4 kohdan 1 mukaisesti.
• Käsittely — mikä tahansa henkilötietoihin kohdistuva toiminto, mukaan lukien keruu, tallennus, käyttö, siirto ja poistaminen.
• Alikäsittelijä — kolmas osapuoli, jonka Käsittelijä on valtuuttanut käsittelemään henkilötietoja Rekisterinpitäjän puolesta.

2. Käsittelyn laajuus ja tarkoitus

2.1. Kohde

Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän puolesta FoxiFood-ravintolan tilausjärjestelmän tarjoamiseksi, mukaan lukien Rekisterinpitäjän tilaussivuston majoittaminen, asiakastilausten käsittely, asiakastilien hallinta, maksutapahtumien välittäminen ja FOXI ID -jaetun asiakasidentiteetti-infrastruktuurin ylläpitäminen, joka mahdollistaa loppuasiakkaiden yhden tilin käytön useilla alustan ravintolan tilaussivustoilla.

2.2. Kesto

Henkilötietojen käsittely tämän DPA:n nojalla jatkuu Rekisterinpitäjän ja Käsittelijän välisen Sopimuksen keston ajan. Sopimuksen päättyessä tietoja käsitellään tämän DPA:n kohdan 8 mukaisesti.

2.3. Luonne ja tarkoitus

Käsittelyn luonne ja tarkoitus on tarjota ohjelmisto palveluna (SaaS) -alusta, joka mahdollistaa Rekisterinpitäjän ruokatilausten vastaanottamisen verkossa asiakkailtaan, tilausten hallinnan ja maksujen käsittelyn.

Käsittelijä ei määritä loppuasiakkaiden tilaustietojen käsittelyn tarkoituksia. Käsittelijä tarjoaa ainoastaan teknisen infrastruktuurin, jota Rekisterinpitäjä käyttää tällaisten tietojen keräämiseen ja käsittelyyn.

Poikkeus — FOXI ID -tilitiedot: FOXI ID -jaetun asiakasidentiteetti-infrastruktuurin ylläpitämiseksi Elite Digital Services, LLC toimii itsenäisenä rekisterinpitäjänä FOXI ID -tilitietojen osalta (kirjautumistiedot, todennusistunnot ja yhteystiedot, joita käytetään ravintoloiden väliseen esitäyttöön). Näitä tietoja ei käsitellä tämän DPA:n nojalla, vaan Palveluntarjoajan oman tietosuojakäytännön mukaisesti. Rekisterinpitäjän oikeudet ja velvollisuudet rekisterinpitäjänä tämän DPA:n nojalla koskevat tilaustietoja, asiakasasetuksia ja tilaushistoriaa, jotka on luotu Rekisterinpitäjän tilaussivuston kautta.

2.4. Rekisteröityjen ryhmät

• Ravintolakumppanin loppuasiakkaat (ruokatilauksia tekevät henkilöt);
• Ravintolakumppanin työntekijät tai edustajat, joilla on pääsy hallintapaneeliin.

2.5. Henkilötietojen tyypit

• Yhteystiedot: nimi, sähköpostiosoite, puhelinnumero;
• Toimitusosoite (tapauksen mukaan);
• Tilaustiedot: tilatut tuotteet, tilausmäärät, tilaushistoria, ruokavalioasetukset;
• Maksuviitteet: transaktiotunnukset, maksun tila (korttitiedot käsittelee yksinomaan maksupalvelun tarjoaja, eikä Käsittelijä tallenna niitä);
• Tekniset tiedot: IP-osoite, laitetiedot, selaintiedot (petostentorjuntaa ja palvelun ylläpitoa varten);
• FOXI ID -tilitiedot: kirjautumistiedot (sähköposti ja tiivistetty salasana), todennusistuntotunnukset.

2.6. Tietojen eristäminen ja FOXI ID

Alusta ylläpitää jaettua asiakasidentiteetti-infrastruktuuria ('FOXI ID'), joka mahdollistaa loppuasiakkaiden yhden tilin käytön useilla ravintolan tilaussivustoilla. Seuraavat tietojen eristämisperiaatteet ovat voimassa:

• Kukin Rekisterinpitäjä voi käyttää ainoastaan oman tilaussivustonsa kautta luotuja tilaustietoja, asiakasasetuksia ja tilaushistoriaa;
• Millään Rekisterinpitäjällä ei ole pääsyä minkään muun alustan ravintolan loppuasiakkaiden tilaustietoihin, asetuksiin tai tilaushistoriaan;
• Ainoa FOXI ID:n kautta Rekisterinpitäjien välillä jaettava tieto on loppuasiakkaan yhteystiedot (nimi, sähköposti, puhelinnumero, toimitusosoite), ainoastaan tilauslomakkeen esitäyttämiseksi tilausprosessin helpottamiseksi;
• Käsittelijä ei tarjoa millekään Rekisterinpitäjälle koostettua, anonymisoitua tai ravintoloiden välistä FOXI ID:stä johdettua tietoa.

3. Käsittelijän velvollisuudet

Käsittelijän tulee:

• Käsitellä henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden perusteella, mukaan lukien tietojen siirrot kolmansiin maihin, ellei sovellettava lainsäädäntö toisin edellytä;
• Varmistaa, että henkilötietojen käsittelyyn valtuutetut henkilöt ovat sitoutuneet salassapitovelvollisuuteen tai ovat asianmukaisen lakisääteisen salassapitovelvoitteen alaisia;
• Toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet riskiin nähden asianmukaisen turvallisuustason varmistamiseksi GDPR:n artiklan 32 edellyttämällä tavalla;
• Olla käyttämättä toista käsittelijää (alikäsittelijää) ilman Rekisterinpitäjän ennalta antamaa kirjallista lupaa, tämän DPA:n kohdan 5 mukaisesti;
• Avustaa Rekisterinpitäjää Rekisteröityjen pyyntöihin (pääsy, oikaisu, poistaminen, rajoittaminen, siirrettävyys, vastustaminen) vastaamisessa GDPR:n edellyttämien määräaikojen puitteissa;
• Avustaa Rekisterinpitäjää tietosuojavaikutusten arviointeihin ja valvontaviranomaisten kanssa käytäviin ennakkokuulemisiin (GDPR:n artiklat 35 ja 36) liittyvien velvollisuuksien noudattamisessa;
• Rekisterinpitäjän valinnan mukaan poistaa tai palauttaa kaikki henkilötiedot palvelujen tarjoamisen päätyttyä ja poistaa olemassa olevat kopiot, ellei EU:n tai jäsenvaltion lainsäädäntö edellytä niiden säilyttämistä;
• Saattaa Rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen GDPR:n artiklan 28 mukaisten velvollisuuksien noudattamisen osoittamiseksi, sekä mahdollistaa ja edesauttaa auditointeja ja tarkastuksia;
• Ylläpitää käsittelytoimien selosteita Rekisterinpitäjän puolesta suoritetuista käsittelytoimista GDPR:n artiklan 30(2) mukaisesti;
• Toteuttaa sisäänrakennettu ja oletusarvoinen tietosuoja GDPR:n artiklan 25 mukaisesti varmistaen, että ainoastaan kutakin käsittelyn erityistarkoitusta varten tarpeelliset henkilötiedot käsitellään.

4. Turvallisuustoimenpiteet

Käsittelijä toteuttaa seuraavat tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi:

• Tietojen salaus siirron aikana TLS 1.2+ / SSL -teknologialla;
• Arkaluonteisten tietojen salaus levossa;
• Pääsynhallinta roolipohjaisilla oikeuksilla ja monivaiheinen tunnistautuminen hallintapääsyä varten;
• Säännölliset automaattiset varmuuskopiot vähintään 30 päivän säilytysajalla;
• Turvallinen pilvipalveluinfrastruktuuri fyysisellä pääsynhallinnalla (DigitalOcean);
• Säännölliset tietoturvapäivitykset, korjaukset ja haavoittuvuusarvioinnit;
• Maksujen käsittely on delegoitu PCI DSS Level 1 -sertifioidulle maksupalvelun tarjoajalle — Käsittelijä ei tallenna korttitietoja;
• Salasanojen tiivistäminen alan standardien mukaisilla kryptografisilla algoritmeilla;
• Henkilötietojen käyttöoikeuksien kirjaaminen ja valvonta;
• Poikkeamatilanteiden hallinta- ja tietoturvaloukkausilmoitusmenettelyt.

5. Alikäsittelijät

5.1. Valtuutetut alikäsittelijät

Rekisterinpitäjä antaa täten yleisen valtuutuksen Käsittelijälle käyttää seuraavia alikäsittelijöitä:

• Maksupalveluntarjoaja (tällä hetkellä Stripe, Inc.) — maksunkäsittely, petostentorjunta (USA, PCI DSS Level 1, SCCs käytössä);
• DigitalOcean, LLC — pilvipalvelut ja infrastruktuuri (EU:n ja USA:n datakeskukset, SCCs käytössä);
• Brevo (Sendinblue) — tapahtumapohjainen sähköpostinvälitys (Ranska/EU).

5.2. Muutokset alikäsittelijöihin

Käsittelijä ilmoittaa Rekisterinpitäjälle alikäsittelijöiden lisäämistä tai korvaamista koskevista suunnitelluista muutoksista vähintään 30 päivää etukäteen ja antaa Rekisterinpitäjälle mahdollisuuden vastustaa muutoksia. Jos Rekisterinpitäjä perustellusti vastustaa, osapuolet keskustelevat huolenaiheista vilpittömässä mielessä. Jos ratkaisua ei saavuteta, Rekisterinpitäjä voi irtisanoa Sopimuksen.

5.3. Alikäsittelijän velvollisuudet

Käsittelijän on varmistettava, että kukin alikäsittelijä on sidottu tietosuojavelvoitteisiin, jotka eivät ole vähemmän suojaavia kuin tässä DPA:ssa esitetyt. Käsittelijä on edelleen täysin vastuussa Rekisterinpitäjälle kunkin alikäsittelijän velvollisuuksien täyttämisestä.

6. Rekisteröidyn oikeudet

Käsittelijän tulee:

• Ilmoittaa viipymättä Rekisterinpitäjälle, jos se vastaanottaa pyynnön suoraan Rekisteröidyltä tämän henkilötietojen osalta;
• Olla vastaamatta tällaisiin pyyntöihin suoraan, ellei Rekisterinpitäjä ole valtuuttanut tai lainsäädäntö edellytä;
• Tarjota Rekisterinpitäjälle kohtuullista apua Rekisteröityjen pyyntöjen täyttämisessä, mukaan lukien tekniset toimenpiteet tietojen käyttöoikeutta, oikaisua, poistamista, rajoittamista ja siirrettävyyttä varten;
• Tarjota Palvelun sisällä työkaluja, joiden avulla Rekisterinpitäjä voi hallita, viedä ja poistaa asiakastietoja itsenäisesti.

7. Tietosuojavaikutusten arvioinnit

Kun käsittelytyyppi todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille (GDPR:n artikla 35), Rekisterinpitäjä on vastuussa tietosuojavaikutusten arvioinnin (DPIA) suorittamisesta. Käsittelijän tulee:

• tarjota Rekisterinpitäjälle kaikki kohtuullisesti tarvittavat tiedot DPIA:n suorittamiseksi;
• avustaa Rekisterinpitäjää DPIA:ssa kohtuullisesta pyynnöstä Rekisterinpitäjän kustannuksella;
• avustaa Rekisterinpitäjää valvontaviranomaisen kanssa käytävässä ennakkokuulemisessa GDPR:n artiklan 36 edellyttäessä.

Rekisterinpitäjän on ilmoitettava Käsittelijälle etukäteen, mikäli DPIA osoittaa, että käsittely johtaisi korkeaan riskiin ilman Käsittelijän toteuttamia toimenpiteitä.

8. Tietoturvaloukkausilmoitus

Henkilötietojen tietoturvaloukkauksen tapauksessa Käsittelijän tulee:

• Ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa loukkauksesta tietoiseksi tulemisesta, jotta Rekisterinpitäjä voi täyttää 72 tunnin ilmoitusvelvollisuutensa valvontaviranomaiselle GDPR:n artiklan 33 mukaisesti;
• Antaa Rekisterinpitäjälle riittävät tiedot, jotta Rekisterinpitäjä voi täyttää velvollisuutensa ilmoittaa valvontaviranomaiselle ja asianomaisille Rekisteröidyille GDPR:n artiklojen 33 ja 34 mukaisesti;
• Tehdä yhteistyötä Rekisterinpitäjän kanssa ja ryhtyä kohtuullisiin toimenpiteisiin loukkauksen vaikutusten lieventämiseksi;
• Dokumentoida loukkaus mukaan lukien sen vaikutukset ja toteutetut korjaavat toimenpiteet.

Loukkausilmoituksen tulee sisältää saatavilla olevassa laajuudessa: loukkauksen luonne, asianomaisten Rekisteröityjen ryhmät ja likimääräinen lukumäärä, todennäköiset seuraukset sekä loukkauksen käsittelemiseksi toteutetut tai ehdotetut toimenpiteet.

9. Tietojen säilyttäminen ja poistaminen

9.1. Rekisterinpitäjän säilytysvastuut

Rekisterinpitäjä on loppuasiakkaidensa tilaustietojen rekisterinpitäjänä yksin vastuussa asianmukaisten tietojen säilytysaikojen määrittämisestä ja kaikkien Rekisterinpitäjän lainkäyttöalueella sovellettavien lakisääteisten, verotuksellisten ja kirjanpidollisten tietojen säilytysvelvoitteiden noudattamisesta. FOXI ID -tilitietojen säilytystä hallinnoi Käsittelijä itsenäisen rekisterinpitäjän ominaisuudessa Palveluntarjoajan tietosuojakäytännössä kuvatulla tavalla.

Palvelu voi tarjota muokattavia tietojen säilytysasetuksia, joiden avulla Rekisterinpitäjä voi asettaa automaattiset poistoajat loppuasiakkaan tiedoille. Käsittelijä käsittelee ja poistaa loppuasiakkaiden tiedot täsmällisesti Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, mukaan lukien Rekisterinpitäjän alustalle määrittämät säilytysasetukset. Käsittelijä ei vastaa Rekisterinpitäjän säilytysaikavalinnasta eikä mistään oikeudellisista seurauksista, jotka johtuvat tietojen säilyttämisestä tai poistamisesta Rekisterinpitäjän ohjeiden mukaisesti.

9.2. Irtisanominen

• Sopimuksen päättyessä Käsittelijä antaa Rekisterinpitäjälle 30 kalenteripäivää kaikkien henkilötietojen viemiseksi Palvelun vientitoimintojen kautta;
• 30 päivän jakson jälkeen Käsittelijä poistaa kaikki Rekisterinpitäjän puolesta käsitellyt henkilötiedot, ellei sovellettava lainsäädäntö edellytä niiden säilyttämistä;
• Poistaminen suoritetaan turvallisilla menetelmillä, jotka tekevät tiedoista palautuskelvottomia;
• Käsittelijä antaa kirjallisen vahvistuksen tietojen poistamisesta Rekisterinpitäjän pyynnöstä;
• Varmuuskopiot poistetaan säännöllisen varmuuskopiokierron aikataulun mukaisesti (30 päivän kuluessa poistopyynnöstä).

10. Kansainväliset tiedonsiirrot

Kun henkilötietoja siirretään Euroopan talousalueen (ETA) ulkopuolelle, Käsittelijä varmistaa, että asianmukaiset suojatoimet ovat käytössä GDPR:n V luvun edellyttämällä tavalla, mukaan lukien:

• Euroopan komission täytäntöönpanopäätöksen (EU) 2021/914 (4. kesäkuuta 2021) mukaisesti hyväksytyt vakiosopimuslausekkeet (SCCs). Alikäsittelijöille tapahtuviin siirtoihin sovelletaan tapauksen mukaan moduulia kaksi (rekisterinpitäjältä käsittelijälle) tai moduulia kolme (käsittelijältä käsittelijälle);
• Siirtovaikutusten arvioinnit kullekin alikäsittelijälle kohdemaan oikeudellisen kehyksen arvioimiseksi;
• Täydentävät toimenpiteet henkilötietojen riittävän suojan varmistamiseksi, kun siirtovaikutusten arviointi tunnistaa riskejä.

Käsittelijän on ilmoitettava Rekisterinpitäjälle kaikista kohdemaan oikeudellisista vaatimuksista, jotka voivat vaikuttaa henkilötietojen suojaamiseen ja tämän DPA:n noudattamiskykyyn. Kopiot allekirjoitetuista vakiosopimuslausekkeista ovat saatavilla pyynnöstä.

11. Auditoinnit ja tarkastukset

Käsittelijän on saatettava Rekisterinpitäjän saataville kaikki kohtuullisesti tarvittavat tiedot GDPR:n artiklan 28 mukaisten velvollisuuksien noudattamisen osoittamiseksi. Rekisterinpitäjä voi suorittaa auditointeja, mukaan lukien tarkastuksia, joko suoraan tai riippumattoman kolmannen osapuolen auditoijan kautta seuraavin ehdoin:

• Kohtuullinen ennakkoilmoitus vähintään 30 kalenteripäivää etukäteen;
• Auditoinnit suoritetaan tavanomaisina aukioloaikoina ja häiriöitä minimoivalla tavalla;
• Auditoijan on oltava sidottu salassapitovelvoitteisiin;
• Enintään yksi auditointi 12 kuukauden jaksoa kohden, ellei valvontaviranomainen toisin edellytä.

12. Vastuu

Kummankin osapuolen vastuu tämän DPA:n nojalla on käyttöehdoissa esitettyjen vastuunrajoitusten ja -poissulkemisten alainen. Mikään tässä DPA:ssa ei rajoita kummankaan osapuolen vastuuta GDPR:n rikkomisista siltä osin kuin sovellettava lainsäädäntö ei salli tällaista rajoitusta.

13. EU-edustaja

GDPR:n artiklan 27 mukaisesti Käsittelijä on nimennyt seuraavan yhteisön edustajakseen Euroopan unionissa:

Euro business company Kft.
Rómer Flóris utca 8/B. 3. em., Budapest 1024, Hungary
Veronumero: HU28959364

Täydelliset tiedot EU-edustajasta ja sen roolista löytyvät FoxiFood-verkkosivuston Oikeudelliset asiat -osion GDPR-sivulta.

14. Yhteystiedot

Tätä henkilötietojen käsittelysopimusta tai tietojen käsittelyä koskevissa kysymyksissä ota meihin yhteyttä osoitteeseen: support@foxi.food

Elite Digital Services, LLC
1111B S Governors Ave #21653
Dover, DE 19904, USA