Ugovor o obradi podataka

1. Definicije

• Voditelj obrade — restoranski partner (Korisnik) koji određuje svrhe i sredstva obrade osobnih podataka svojih krajnjih kupaca putem platforme FoxiFood.
• Izvršitelj obrade — Elite Digital Services, LLC, koji obrađuje osobne podatke u ime Voditelja obrade radi pružanja usluga platforme FoxiFood. Izvršitelj obrade jedini je operater platforme FoxiFood i može angažirati ovlaštene podizvršitelje obrade u različitim jurisdikcijama za obavljanje određenih tehničkih zadataka, kako je navedeno u Odjeljku 5 ovog DPA-a.
• Ispitanik — pojedinac čiji se osobni podaci obrađuju (obično krajnji kupac koji naručuje hranu).
• Osobni podaci — svaka informacija koja se odnosi na identificiranu ili odredivu fizičku osobu, kako je definirano u članku 4. stavku 1. GDPR-a.
• Obrada — svaka radnja koja se izvodi nad osobnim podacima, uključujući prikupljanje, pohranu, korištenje, prijenos i brisanje.
• Podizvršitelj obrade — treća strana koju Izvršitelj obrade angažira za obradu osobnih podataka u ime Voditelja obrade.

2. Opseg i svrha obrade

2.1. Predmet

Izvršitelj obrade obrađuje osobne podatke u ime Voditelja obrade u svrhu pružanja platforme za naručivanje za restorane FoxiFood, uključujući hostiranje Voditeljeve stranice za naručivanje, obradu narudžbi kupaca, upravljanje računima kupaca, omogućavanje platnih transakcija te upravljanje zajedničkom infrastrukturom identiteta kupaca FOXI ID koja krajnjim kupcima omogućuje korištenje jednog računa na više stranica za naručivanje restorana na platformi.

2.2. Trajanje

Obrada osobnih podataka prema ovom DPA-u trajat će tijekom razdoblja Ugovora između Voditelja obrade i Izvršitelja obrade. Po raskidu, s podacima će se postupati u skladu s Odjeljkom 8 ovog DPA-a.

2.3. Priroda i svrha

Priroda i svrha obrade jest pružanje softverske platforme (software-as-a-service) koja Voditelju obrade omogućuje primanje online narudžbi hrane od svojih kupaca, upravljanje narudžbama i obradu plaćanja.

Izvršitelj obrade ne određuje svrhe obrade podataka o narudžbama krajnjih kupaca. Izvršitelj obrade pruža samo tehničku infrastrukturu koju Voditelj obrade koristi za prikupljanje i obradu takvih podataka.

Iznimka — podaci računa FOXI ID: U svrhu upravljanja zajedničkom infrastrukturom identiteta kupaca FOXI ID, Elite Digital Services, LLC djeluje kao neovisni voditelj obrade za podatke računa FOXI ID (vjerodajnice za prijavu, autentifikacijske sesije i kontaktne podatke koji se koriste za automatsko popunjavanje na više restorana). Ti se podaci ne obrađuju prema ovom DPA-u, nego prema vlastitim Pravilima o privatnosti Pružatelja usluge. Prava i obveze Voditelja obrade kao voditelja obrade prema ovom DPA-u primjenjuju se na podatke o narudžbama, postavke kupaca i povijest narudžbi generiranu putem Voditeljeve stranice za naručivanje.

2.4. Kategorije ispitanika

• Krajnji kupci restoranskog partnera (pojedinci koji naručuju hranu);
• Zaposlenici ili predstavnici restoranskog partnera koji imaju pristup administratorskoj nadzornoj ploči.

2.5. Vrste osobnih podataka

• Kontaktni podaci: ime, adresa e-pošte, telefonski broj;
• Adresa za dostavu (kada je primjenjivo);
• Podaci o narudžbama: naručene stavke, iznosi narudžbi, povijest narudžbi, prehrambene preferencije;
• Reference plaćanja: ID-jevi transakcija, status plaćanja (podatke o kartici obrađuje isključivo procesor plaćanja te ih Izvršitelj obrade ne pohranjuje);
• Tehnički podaci: IP adresa, informacije o uređaju, podaci o pregledniku (za sprječavanje prijevara i rad usluge);
• Podaci računa FOXI ID: vjerodajnice za prijavu (e-pošta i raspršena lozinka), tokeni autentifikacijske sesije.

2.6. Izolacija podataka i FOXI ID

Platforma upravlja zajedničkom infrastrukturom identiteta kupaca ('FOXI ID') koja krajnjim kupcima omogućuje korištenje jednog računa na više stranica za naručivanje restorana. Primjenjuju se sljedeća načela izolacije podataka:

• Svaki Voditelj obrade može pristupiti samo podacima o narudžbama, postavkama kupaca i povijesti narudžbi generiranima putem vlastite stranice za naručivanje;
• Nijedan Voditelj obrade nema pristup podacima o narudžbama, postavkama ili povijesti narudžbi krajnjih kupaca u bilo kojem drugom restoranu na platformi;
• Jedini podaci koji se dijele između Voditelja obrade putem FOXI ID-a kontaktni su podaci krajnjeg kupca (ime, e-pošta, telefonski broj, adresa dostave), isključivo u svrhu automatskog popunjavanja obrasca za narudžbu radi olakšavanja postupka naručivanja;
• Izvršitelj obrade nijednom Voditelju obrade ne dostavlja agregirane, anonimizirane ni međurestoranske podatke izvedene iz FOXI ID-a.

3. Obveze izvršitelja obrade

Izvršitelj obrade dužan je:

• Obrađivati osobne podatke samo na temelju dokumentiranih uputa Voditelja obrade, uključujući u pogledu prijenosa podataka u treće zemlje, osim ako to zahtijeva primjenjivo pravo;
• Osigurati da su osobe ovlaštene za obradu osobnih podataka preuzele obvezu povjerljivosti ili podliježu odgovarajućoj zakonskoj obvezi povjerljivosti;
• Provesti odgovarajuće tehničke i organizacijske mjere kako bi se osigurala razina sigurnosti primjerena riziku, kako to zahtijeva članak 32. GDPR-a;
• Ne angažirati drugog izvršitelja obrade (podizvršitelja) bez prethodnog pisanog odobrenja Voditelja obrade, podložno Odjeljku 5 ovog DPA-a;
• Pomagati Voditelju obrade u odgovaranju na zahtjeve Ispitanika (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor) unutar rokova koje propisuje GDPR;
• Pomagati Voditelju obrade u osiguravanju usklađenosti s obvezama u vezi s procjenama učinka na zaštitu podataka i prethodnim savjetovanjem s nadzornim tijelima (članci 35. i 36. GDPR-a);
• Po izboru Voditelja obrade, izbrisati ili vratiti sve osobne podatke nakon prestanka pružanja usluga te izbrisati postojeće kopije, osim ako pravo EU-a ili države članice zahtijeva pohranu;
• Staviti Voditelju obrade na raspolaganje sve informacije potrebne za dokazivanje usklađenosti s obvezama utvrđenima u članku 28. GDPR-a te omogućiti revizije i inspekcije i doprinositi njima;
• Voditi Evidenciju aktivnosti obrade koje se provode u ime Voditelja obrade, u skladu s člankom 30. stavkom 2. GDPR-a;
• Provoditi zaštitu podataka već u izradi i prema zadanim postavkama u skladu s člankom 25. GDPR-a, osiguravajući da se obrađuju samo osobni podaci nužni za svaku pojedinu svrhu obrade.

4. Sigurnosne mjere

Izvršitelj obrade provodi sljedeće tehničke i organizacijske mjere za zaštitu osobnih podataka:

• Enkripcija podataka u prijenosu korištenjem TLS 1.2+ / SSL;
• Enkripcija osjetljivih podataka u mirovanju;
• Kontrole pristupa s ovlastima temeljenima na ulogama i višefaktorskom autentifikacijom za administrativni pristup;
• Redovite automatizirane sigurnosne kopije s minimalnim zadržavanjem od 30 dana;
• Sigurna infrastruktura oblaka s fizičkim kontrolama pristupa (DigitalOcean);
• Redovita sigurnosna ažuriranja, zakrpe i procjene ranjivosti;
• Obrada plaćanja povjerena je procesoru plaćanja certificiranom prema standardu PCI DSS razine 1 — Obrađivač ne pohranjuje podatke o karticama;
• Hashiranje lozinki korištenjem kriptografskih algoritama industrijskog standarda;
• Bilježenje i praćenje pristupa osobnim podacima;
• Postupci odgovora na incidente i obavijesti o povredi podataka.

5. Podizvršitelji obrade

5.1. Ovlašteni podizvršitelji obrade

Voditelj obrade ovime daje opće odobrenje Obrađivaču za angažiranje sljedećih podobrađivača:

• Obrađivač plaćanja (trenutno Stripe, Inc.) — obrada plaćanja, sprječavanje prijevara (SAD, PCI DSS razine 1, uspostavljene standardne ugovorne klauzule);
• DigitalOcean, LLC — hosting u oblaku i infrastruktura (podatkovni centri u EU-u i SAD-u, uspostavljene standardne ugovorne klauzule);
• Brevo (Sendinblue) — dostava transakcijskih e-poruka (Francuska/EU).

5.2. Promjene podizvršitelja obrade

Obrađivač će obavijestiti Voditelja obrade o svim planiranim promjenama u vezi s dodavanjem ili zamjenom podobrađivača najmanje 30 dana unaprijed, pružajući Voditelju obrade mogućnost da uloži prigovor na takve promjene. Ako Voditelj obrade opravdano uloži prigovor, stranke će u dobroj vjeri razmotriti iznesene primjedbe. Ako se ne postigne rješenje, Voditelj obrade može raskinuti Ugovor.

5.3. Obveze podizvršitelja obrade

Obrađivač osigurava da je svaki podobrađivač obvezan obvezama zaštite podataka koje nisu manje stroge od onih utvrđenih u ovom Ugovoru o obradi podataka. Obrađivač ostaje u potpunosti odgovoran Voditelju obrade za ispunjavanje obveza svakog podobrađivača.

6. Prava ispitanika

Izvršitelj obrade dužan je:

• Bez odgode obavijestiti Voditelja obrade ako izravno zaprimi zahtjev od ispitanika u vezi s njegovim osobnim podacima;
• Ne odgovarati izravno na takve zahtjeve, osim ako za to nije ovlašten od strane Voditelja obrade ili obvezan zakonom;
• Pružiti Voditelju obrade razumnu pomoć pri ispunjavanju zahtjeva ispitanika, uključujući tehničke mjere za pristup podacima, njihov ispravak, brisanje, ograničavanje i prenosivost;
• Pružiti unutar Usluge alate koji omogućuju Voditelju obrade samostalno upravljanje, izvoz i brisanje korisničkih podataka.

7. Procjene učinka na zaštitu podataka

Ako je vjerojatno da će neka vrsta obrade prouzročiti visok rizik za prava i slobode pojedinaca (članak 35. GDPR-a), Voditelj obrade odgovoran je za provedbu procjene učinka na zaštitu podataka (DPIA). Obrađivač će:

• pružiti Voditelju obrade sve informacije koje su razumno potrebne za provedbu procjene učinka na zaštitu podataka;
• pomoći Voditelju obrade pri provedbi procjene učinka na zaštitu podataka na razuman zahtjev, o trošku Voditelja obrade;
• pomoći Voditelju obrade pri prethodnom savjetovanju s nadzornim tijelom kada je to propisano člankom 36. GDPR-a.

Voditelj obrade mora unaprijed obavijestiti Obrađivača ako procjena učinka na zaštitu podataka pokaže da bi obrada prouzročila visok rizik u nedostatku mjera koje poduzima Obrađivač.

8. Obavijest o povredi podataka

U slučaju povrede osobnih podataka, izvršitelj obrade dužan je:

• Obavijestiti Voditelja obrade bez nepotrebne odgode, a u svakom slučaju u roku od 24 sata nakon saznanja o povredi, kako bi Voditelj obrade mogao ispuniti svoju obvezu obavješćivanja nadzornog tijela u roku od 72 sata u skladu s člankom 33. GDPR-a;
• Pružiti Voditelju obrade dovoljno informacija kako bi mu se omogućilo ispunjavanje obveze obavješćivanja nadzornog tijela i pogođenih ispitanika u skladu s člancima 33. i 34. GDPR-a;
• Surađivati s Voditeljem obrade i poduzeti razumne korake za ublažavanje posljedica povrede;
• Dokumentirati povredu, uključujući njezine posljedice i poduzete korektivne mjere.

Obavijest o povredi uključuje, u mjeri u kojoj su dostupni: prirodu povrede, kategorije i približan broj pogođenih ispitanika, vjerojatne posljedice te poduzete ili predložene mjere za rješavanje povrede.

9. Zadržavanje i brisanje podataka

9.1. Odgovornost voditelja obrade za zadržavanje

Voditelj obrade, kao voditelj obrade podataka o narudžbama svojih krajnjih kupaca, isključivo je odgovoran za određivanje odgovarajućih razdoblja čuvanja podataka te za usklađenost sa svim primjenjivim zakonskim, poreznim i računovodstvenim obvezama čuvanja podataka u nadležnosti Voditelja obrade. Čuvanjem podataka o FOXI ID računima upravlja Obrađivač u svojstvu neovisnog voditelja obrade, kako je opisano u Pravilima o privatnosti Pružatelja.

Usluga može pružati postavke čuvanja podataka koje se mogu konfigurirati, a koje omogućuju Voditelju obrade postavljanje razdoblja automatskog brisanja podataka krajnjih kupaca. Obrađivač obrađuje i briše podatke krajnjih kupaca strogo u skladu s dokumentiranim uputama Voditelja obrade, uključujući postavke čuvanja koje je Voditelj obrade konfigurirao unutar platforme. Obrađivač ne snosi nikakvu odgovornost za izbor razdoblja čuvanja od strane Voditelja obrade niti za bilo kakve pravne posljedice koje proizlaze iz čuvanja ili brisanja podataka u skladu s uputama Voditelja obrade.

9.2. Raskid

• Po raskidu Ugovora, Obrađivač će Voditelju obrade omogućiti rok od 30 kalendarskih dana za izvoz svih osobnih podataka putem funkcija izvoza Usluge;
• Nakon isteka razdoblja od 30 dana, Obrađivač će izbrisati sve osobne podatke obrađivane u ime Voditelja obrade, osim ako je čuvanje propisano primjenjivim pravom;
• Brisanje će se provesti sigurnim metodama koje čine podatke nepovratnima;
• Obrađivač će na zahtjev Voditelja obrade dostaviti pisanu potvrdu o brisanju podataka;
• Sigurnosne kopije bit će izbrisane u skladu s redovitim rasporedom rotacije sigurnosnih kopija (u roku od 30 dana od zahtjeva za brisanje).

10. Međunarodni prijenosi podataka

Kada se osobni podaci prenose izvan Europskoga gospodarskog prostora (EGP), Obrađivač osigurava uspostavu odgovarajućih zaštitnih mjera kako je propisano poglavljem V. GDPR-a, uključujući:

• Standardne ugovorne klauzule (SCC-ovi) koje je donijela Europska komisija u skladu s Provedbenom odlukom (EU) 2021/914 od 4. lipnja 2021. Za prijenose podobrađivačima primjenjuje se, ovisno o slučaju, Modul dva (voditelj obrade prema obrađivaču) ili Modul tri (obrađivač prema obrađivaču) standardnih ugovornih klauzula;
• Procjene učinka prijenosa za svakog podobrađivača radi ocjene pravnog okvira zemlje odredišta;
• Dopunske mjere za osiguravanje odgovarajuće zaštite osobnih podataka kada procjena učinka prijenosa utvrdi rizike.

Obrađivač će obavijestiti Voditelja obrade o svim zakonskim zahtjevima u zemlji odredišta koji mogu utjecati na zaštitu osobnih podataka i mogućnost usklađenosti s ovim Ugovorom o obradi podataka. Primjerci potpisanih standardnih ugovornih klauzula dostupni su na zahtjev.

11. Revizije i inspekcije

Obrađivač će Voditelju obrade staviti na raspolaganje sve informacije koje su razumno potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a. Voditelj obrade može provoditi revizije, uključujući inspekcije, izravno ili putem neovisnog vanjskog revizora, pod uvjetom da:

• Razumna prethodna obavijest od najmanje 30 kalendarskih dana;
• Revizije se provode tijekom redovnog radnog vremena i na način koji u najvećoj mjeri smanjuje ometanje poslovanja;
• Revizor mora biti vezan obvezama povjerljivosti;
• Najviše jedna revizija u razdoblju od 12 mjeseci, osim ako to zahtijeva nadzorno tijelo.

12. Odgovornost

Odgovornost svake stranke na temelju ovog Ugovora o obradi podataka podliježe ograničenjima i isključenjima odgovornosti utvrđenima u Uvjetima pružanja usluge. Ništa u ovom Ugovoru o obradi podataka ne ograničava odgovornost bilo koje stranke za povrede GDPR-a u mjeri u kojoj takvo ograničenje nije dopušteno primjenjivim pravom.

13. Predstavnik u EU

U skladu s člankom 27. GDPR-a, Obrađivač je imenovao sljedeći subjekt svojim predstavnikom u Europskoj uniji:

Euro business company Kft.
Rómer Flóris utca 8/B. 3. em., Budapest 1024, Hungary
Porezni broj: HU28959364

Za sve pojedinosti o predstavniku u EU-u i njegovoj ulozi, pogledajte stranicu o GDPR-u u odjeljku Pravne informacije na internetskim stranicama FoxiFood.

14. Kontakt

Za pitanja o ovom Ugovoru o obradi podataka ili pitanjima obrade podataka, obratite nam se na: support@foxi.food

Elite Digital Services, LLC
1111B S Governors Ave #21653
Dover, DE 19904, USA