Verwerkersovereenkomst

1. Definities

• Verwerkingsverantwoordelijke — de restaurantpartner (Gebruiker) die het doel en de middelen van de verwerking van persoonsgegevens van zijn eindklanten via het FoxiFood-platform vaststelt.
• Verwerker — Elite Digital Services, LLC, die persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke om de diensten van het FoxiFood-platform te leveren. De Verwerker is de enige exploitant van het FoxiFood-platform en kan geautoriseerde subverwerkers in verschillende rechtsgebieden inschakelen voor het uitvoeren van specifieke technische taken, zoals uiteengezet in Artikel 5 van deze DPA.
• Betrokkene — de natuurlijke persoon wiens persoonsgegevens worden verwerkt (doorgaans de eindklant die een voedselbestelling plaatst).
• Persoonsgegevens — alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon, zoals gedefinieerd in Artikel 4, lid 1, van de AVG.
• Verwerking — elke bewerking die op persoonsgegevens wordt uitgevoerd, met inbegrip van verzameling, opslag, gebruik, overdracht en verwijdering.
• Subverwerker — een derde partij die door de Verwerker wordt ingeschakeld om persoonsgegevens namens de Verwerkingsverantwoordelijke te verwerken.

2. Reikwijdte en doel van de verwerking

2.1. Onderwerp

De Verwerker verwerkt persoonsgegevens namens de Verwerkingsverantwoordelijke ten behoeve van het leveren van het FoxiFood-bestelplatform voor restaurants, met inbegrip van het hosten van de bestelwebsite van de Verwerkingsverantwoordelijke, het verwerken van klantbestellingen, het beheren van klantaccounts, het faciliteren van betalingstransacties en het exploiteren van de FOXI ID gedeelde klantidentiteitsinfrastructuur waarmee eindklanten één account kunnen gebruiken op meerdere bestelwebsites van restaurants op het platform.

2.2. Duur

De verwerking van persoonsgegevens op grond van deze DPA duurt voort gedurende de looptijd van de Overeenkomst tussen de Verwerkingsverantwoordelijke en de Verwerker. Bij beëindiging worden de gegevens behandeld in overeenstemming met Artikel 8 van deze DPA.

2.3. Aard en doel

De aard en het doel van de verwerking is het leveren van een software-as-a-service-platform dat de Verwerkingsverantwoordelijke in staat stelt online voedselbestellingen van zijn klanten te ontvangen, bestellingen te beheren en betalingen te verwerken.

De Verwerker bepaalt niet het doel van de verwerking van bestelgegevens van eindklanten. De Verwerker levert uitsluitend de technische infrastructuur die door de Verwerkingsverantwoordelijke wordt gebruikt om dergelijke gegevens te verzamelen en te verwerken.

Uitzondering — FOXI ID-accountgegevens: Ten behoeve van de exploitatie van de FOXI ID gedeelde klantidentiteitsinfrastructuur treedt Elite Digital Services, LLC op als zelfstandig verwerkingsverantwoordelijke voor FOXI ID-accountgegevens (inloggegevens, authenticatiesessies en contactgegevens die worden gebruikt voor het vooraf invullen bij verschillende restaurants). Deze gegevens worden niet verwerkt op grond van deze DPA maar op grond van het eigen Privacybeleid van de Aanbieder. De rechten en verplichtingen van de Verwerkingsverantwoordelijke als verwerkingsverantwoordelijke op grond van deze DPA zijn van toepassing op bestelgegevens, klantvoorkeuren en bestelgeschiedenis die via de bestelwebsite van de Verwerkingsverantwoordelijke zijn gegenereerd.

2.4. Categorieën van betrokkenen

• Eindklanten van de restaurantpartner (personen die voedselbestellingen plaatsen);
• Werknemers of vertegenwoordigers van de restaurantpartner met toegang tot het beheerdersdashboard.

2.5. Soorten persoonsgegevens

• Contactgegevens: naam, e-mailadres, telefoonnummer;
• Bezorgadres (indien van toepassing);
• Bestelgegevens: bestelde artikelen, bestelbedragen, bestelgeschiedenis, dieetvoorkeuren;
• Payment references: transaction IDs, payment status (card details are handled exclusively by the payment processor and not stored by the Processor);
• Technische gegevens: IP-adres, apparaatinformatie, browsergegevens (voor fraudepreventie en dienstexploitatie);
• FOXI ID-accountgegevens: inloggegevens (e-mail en gehasht wachtwoord), authenticatiesessietokens.

2.6. Gegevensisolatie en FOXI ID

Het platform hanteert een gedeelde klantidentiteitsinfrastructuur ('FOXI ID') waarmee eindklanten één account kunnen gebruiken op meerdere bestelwebsites van restaurants. De volgende principes voor gegevensisolatie zijn van toepassing:

• Elke Verwerkingsverantwoordelijke heeft uitsluitend toegang tot bestelgegevens, klantvoorkeuren en bestelgeschiedenis die via zijn eigen bestelwebsite zijn gegenereerd;
• Geen enkele Verwerkingsverantwoordelijke heeft toegang tot bestelgegevens, voorkeuren of bestelgeschiedenis van eindklanten bij een ander restaurant op het platform;
• De enige gegevens die via FOXI ID tussen Verwerkingsverantwoordelijken worden gedeeld, zijn de contactgegevens van de eindklant (naam, e-mail, telefoonnummer, bezorgadres), uitsluitend ten behoeve van het vooraf invullen van het bestelformulier om het bestelproces te vergemakkelijken;
• De Verwerker verstrekt geen enkele Verwerkingsverantwoordelijke geaggregeerde, geanonimiseerde of restaurant-overstijgende gegevens die zijn afgeleid van FOXI ID.

3. Verplichtingen van de Verwerker

De Verwerker dient:

• Persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook met betrekking tot doorgifte van gegevens naar derde landen, tenzij dit op grond van toepasselijk recht is vereist;
• Ervoor te zorgen dat personen die gemachtigd zijn om persoonsgegevens te verwerken, zich tot geheimhouding hebben verplicht of onder een passende wettelijke geheimhoudingsplicht vallen;
• Passende technische en organisatorische maatregelen te treffen om een beveiligingsniveau te waarborgen dat afgestemd is op het risico, zoals vereist door Artikel 32 van de AVG;
• Geen andere verwerker (subverwerker) in te schakelen zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke, met inachtneming van Artikel 5 van deze DPA;
• De Verwerkingsverantwoordelijke bij te staan bij het beantwoorden van verzoeken van Betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) binnen de door de AVG vereiste termijnen;
• De Verwerkingsverantwoordelijke bij te staan bij het waarborgen van naleving van verplichtingen met betrekking tot gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van toezichthoudende autoriteiten (Artikelen 35 en 36 van de AVG);
• Naar keuze van de Verwerkingsverantwoordelijke alle persoonsgegevens te wissen of terug te geven na beëindiging van de dienstverlening, en bestaande kopieën te wissen tenzij EU- of lidstaatrecht opslag vereist;
• Alle informatie die nodig is om de naleving van de verplichtingen op grond van Artikel 28 van de AVG aan te tonen beschikbaar te stellen aan de Verwerkingsverantwoordelijke en audits en inspecties mogelijk te maken en eraan bij te dragen;
• Een register van verwerkingsactiviteiten bij te houden die namens de Verwerkingsverantwoordelijke worden uitgevoerd, in overeenstemming met Artikel 30, lid 2, van de AVG;
• Gegevensbescherming door ontwerp en standaardinstellingen te implementeren in overeenstemming met Artikel 25 van de AVG, waarbij wordt gewaarborgd dat uitsluitend persoonsgegevens die noodzakelijk zijn voor elk specifiek verwerkingsdoel worden verwerkt.

4. Beveiligingsmaatregelen

De Verwerker treft de volgende technische en organisatorische maatregelen ter bescherming van persoonsgegevens:

• Versleuteling van gegevens tijdens overdracht met TLS 1.2+ / SSL;
• Versleuteling van gevoelige gegevens in rust;
• Toegangscontroles met rolgebaseerde machtigingen en meervoudige authenticatie voor beheerderstoegang;
• Regelmatige automatische back-ups met een minimale bewaartermijn van 30 dagen;
• Beveiligde cloud-hostinginfrastructuur met fysieke toegangscontroles (DigitalOcean);
• Regelmatige beveiligingsupdates, patches en kwetsbaarheidsbeoordelingen;Regelmatige beveiligingsupdates, patches en kwetsbaarheidsbeoordelingen;
• Payment processing delegated to a PCI DSS Level 1 certified payment processor — no card data stored by the Processor;
• Wachtwoordhashing met industriestandaard cryptografische algoritmen;
• Logboekregistratie en monitoring van toegang tot persoonsgegevens;
• Procedures voor incidentrespons en melding van datalekken.

5. Subverwerkers

5.1. Geautoriseerde subverwerkers

De Verwerkingsverantwoordelijke verleent hierbij algemene toestemming aan de Verwerker om de volgende subverwerkers in te schakelen:

• Betalingsverwerker (momenteel Stripe, Inc.) — betalingsverwerking, fraudepreventie (VS, PCI DSS Level 1, SCCs van toepassing);
• DigitalOcean, LLC — cloudhosting en infrastructuur (EU- en VS-datacenters, SCCs van toepassing);
• Brevo (Sendinblue) — transactionele e-mailbezorging (Frankrijk/EU).

5.2. Wijzigingen in subverwerkers

De Verwerker zal de Verwerkingsverantwoordelijke ten minste 30 dagen van tevoren op de hoogte stellen van voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van subverwerkers, waarbij de Verwerkingsverantwoordelijke de mogelijkheid wordt geboden om bezwaar te maken tegen dergelijke wijzigingen. Indien de Verwerkingsverantwoordelijke op redelijke gronden bezwaar maakt, zullen de partijen de bezwaren te goeder trouw bespreken. Indien geen oplossing wordt bereikt, kan de Verwerkingsverantwoordelijke de Overeenkomst beëindigen.

5.3. Verplichtingen van subverwerkers

De Verwerker draagt er zorg voor dat elke subverwerker gebonden is aan gegevensbeschermingsverplichtingen die niet minder beschermend zijn dan die welke in deze DPA zijn vastgelegd. De Verwerker blijft volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van elke subverwerker.

6. Rechten van betrokkenen

De Verwerker dient:

• De Verwerkingsverantwoordelijke onverwijld in kennis te stellen indien de Verwerker rechtstreeks een verzoek ontvangt van een Betrokkene met betrekking tot zijn persoonsgegevens;
• Niet rechtstreeks op dergelijke verzoeken te reageren tenzij daartoe gemachtigd door de Verwerkingsverantwoordelijke of daartoe verplicht op grond van de wet;
• De Verwerkingsverantwoordelijke redelijke bijstand te verlenen bij het vervullen van verzoeken van Betrokkenen, met inbegrip van technische maatregelen voor gegevenstoegang, rectificatie, wissing, beperking en overdraagbaarheid;
• Binnen de Dienst tools ter beschikking te stellen waarmee de Verwerkingsverantwoordelijke zelfstandig klantgegevens kan beheren, exporteren en verwijderen.

7. Gegevensbeschermingseffectbeoordelingen

Wanneer een soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen (Artikel 35 AVG), is de Verwerkingsverantwoordelijke verantwoordelijk voor het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA). De Verwerker dient:

• de Verwerkingsverantwoordelijke alle redelijkerwijs benodigde informatie te verstrekken voor het uitvoeren van een DPIA;
• de Verwerkingsverantwoordelijke op redelijk verzoek bij te staan bij de DPIA, op kosten van de Verwerkingsverantwoordelijke;
• de Verwerkingsverantwoordelijke bij te staan bij voorafgaande raadpleging van de toezichthoudende autoriteit waar Artikel 36 van de AVG dit vereist.

De Verwerkingsverantwoordelijke dient de Verwerker vooraf in kennis te stellen indien een DPIA aangeeft dat de verwerking een hoog risico zou opleveren bij het ontbreken van maatregelen door de Verwerker.

8. Melding van datalekken

In geval van een inbreuk op persoonsgegevens dient de Verwerker:

• De Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval binnen 24 uur na kennisneming van de inbreuk, in kennis te stellen, opdat de Verwerkingsverantwoordelijke kan voldoen aan zijn meldingsverplichting van 72 uur aan de toezichthoudende autoriteit op grond van Artikel 33 van de AVG;
• De Verwerkingsverantwoordelijke voldoende informatie te verstrekken om hem in staat te stellen te voldoen aan zijn verplichting om de toezichthoudende autoriteit en getroffen Betrokkenen te melden op grond van de Artikelen 33 en 34 van de AVG;
• Samen te werken met de Verwerkingsverantwoordelijke en redelijke stappen te ondernemen om de gevolgen van de inbreuk te beperken;
• De inbreuk te documenteren, met inbegrip van de gevolgen ervan en de genomen corrigerende maatregelen.

De melding van de inbreuk dient, voor zover beschikbaar, te bevatten: de aard van de inbreuk, de categorieën en het geschatte aantal getroffen Betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen om de inbreuk aan te pakken.

9. Gegevensbewaring en -verwijdering

9.1. Bewaarverantwoordelijkheid van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke is als verwerkingsverantwoordelijke voor bestelgegevens van zijn eindklanten als enige verantwoordelijk voor het vaststellen van passende bewaartermijnen en voor de naleving van alle toepasselijke wettelijke, fiscale en boekhoudkundige bewaarverplichtingen in het rechtsgebied van de Verwerkingsverantwoordelijke. De bewaring van FOXI ID-accountgegevens wordt beheerd door de Verwerker in zijn hoedanigheid als zelfstandig verwerkingsverantwoordelijke, zoals beschreven in het Privacybeleid van de Aanbieder.

De Dienst kan instelbare gegevensbewaarinstellingen bieden waarmee de Verwerkingsverantwoordelijke automatische verwijderingsperioden voor eindklantgegevens kan instellen. De Verwerker verwerkt en verwijdert eindklantgegevens strikt volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, met inbegrip van de bewaarinstellingen die door de Verwerkingsverantwoordelijke binnen het platform zijn geconfigureerd. De Verwerker draagt geen verantwoordelijkheid voor de keuze van bewaartermijnen door de Verwerkingsverantwoordelijke of voor eventuele juridische gevolgen die voortvloeien uit het bewaren of verwijderen van gegevens in overeenstemming met de instructies van de Verwerkingsverantwoordelijke.

9.2. Beëindiging

• Bij beëindiging van de Overeenkomst verleent de Verwerker de Verwerkingsverantwoordelijke 30 kalenderdagen om alle persoonsgegevens te exporteren via de exportfuncties van de Dienst;
• Na de periode van 30 dagen zal de Verwerker alle persoonsgegevens die namens de Verwerkingsverantwoordelijke zijn verwerkt verwijderen, tenzij bewaring op grond van toepasselijk recht is vereist;
• Verwijdering zal worden uitgevoerd met behulp van veilige methoden die gegevens onherstelbaar maken;
• De Verwerker zal op verzoek van de Verwerkingsverantwoordelijke een schriftelijke bevestiging van gegevensverwijdering verstrekken;
• Back-upkopieën worden verwijderd volgens het reguliere back-uprotatieschema (binnen 30 dagen na het verwijderingsverzoek).

10. Internationale gegevensdoorgiften

Wanneer persoonsgegevens buiten de Europese Economische Ruimte (EER) worden doorgegeven, waarborgt de Verwerker dat passende waarborgen zijn getroffen zoals vereist door Hoofdstuk V van de AVG, waaronder:

• Standaardcontractbepalingen (SCCs) vastgesteld door de Europese Commissie op grond van Uitvoeringsbesluit (EU) 2021/914 van 4 juni 2021. Voor doorgiften aan subverwerkers worden Module Twee (verwerkingsverantwoordelijke-naar-verwerker) of Module Drie (verwerker-naar-verwerker) SCCs toegepast, voor zover van toepassing;
• Transfer Impact Assessments voor elke subverwerker om het juridische kader van het land van bestemming te evalueren;
• Aanvullende maatregelen om een adequate bescherming van persoonsgegevens te waarborgen wanneer de Transfer Impact Assessment risico's identificeert.

De Verwerker dient de Verwerkingsverantwoordelijke te informeren over eventuele wettelijke vereisten in het land van bestemming die van invloed kunnen zijn op de bescherming van persoonsgegevens en op het vermogen om aan deze DPA te voldoen. Kopieën van de ondertekende SCCs zijn op verzoek beschikbaar.

11. Audits en inspecties

De Verwerker stelt alle redelijkerwijs benodigde informatie beschikbaar aan de Verwerkingsverantwoordelijke om naleving van Artikel 28 van de AVG aan te tonen. De Verwerkingsverantwoordelijke kan audits uitvoeren, met inbegrip van inspecties, hetzij rechtstreeks hetzij via een onafhankelijke externe auditor, met inachtneming van:

• Een redelijke voorafgaande kennisgeving van ten minste 30 kalenderdagen;
• Audits uitgevoerd tijdens reguliere kantooruren en op een wijze die verstoring tot een minimum beperkt;
• De auditor gebonden is aan geheimhoudingsverplichtingen;
• Niet meer dan één audit per periode van 12 maanden, tenzij vereist door een toezichthoudende autoriteit.

12. Aansprakelijkheid

De aansprakelijkheid van elke partij op grond van deze DPA is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid zoals uiteengezet in de Algemene Voorwaarden. Niets in deze DPA beperkt de aansprakelijkheid van een van beide partijen voor schendingen van de AVG voor zover een dergelijke beperking niet is toegestaan op grond van toepasselijk recht.

13. EU-vertegenwoordiger

In overeenstemming met Artikel 27 van de AVG heeft de Verwerker de volgende entiteit aangewezen als zijn vertegenwoordiger in de Europese Unie:

Euro business company Kft.
Rómer Flóris utca 8/B. 3. em., Budapest 1024, Hungary
Belastingnummer: HU28959364

Voor volledige informatie over de EU-vertegenwoordiger en zijn rol, zie de AVG-pagina in het Juridisch gedeelte van de FoxiFood-website.

14. Contact

Voor vragen over deze Verwerkersovereenkomst of verwerkingszaken kunt u contact met ons opnemen via: support@foxi.food

Elite Digital Services, LLC
1111B S Governors Ave #21653
Dover, DE 19904, USA