Acord de prelucrare a datelor (DPA)

1. Definiții

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată” și „încălcarea securității datelor” au sensul din GDPR. „Serviciul” înseamnă platforma Menixo, așa cum e descrisă în Termeni.

2. Obiectul și durata

Persoana împuternicită prelucrează date personale în numele Operatorului numai pentru a furniza Serviciul, pe durata abonamentului și a perioadei de ștergere prevăzute la punctul 10.

3. Natura și scopul prelucrării

Găzduirea și afișarea meniului, transmiterea comenzilor și a cererilor de la mese către ecranul de comenzi, afișarea statusului comenzii pe telefonul clientului, administrarea conturilor personalului și a tabletelor, păstrarea istoricului comenzilor și calculul totalurilor zilnice.

4. Persoanele vizate și categoriile de date

Clienții restaurantului: conținutul comenzii, masa, ora, notele scrise la produse, cererile de serviciu (inclusiv modul de plată ales, card sau numerar), un identificator aleator de sesiune și adresa IP, folosită pentru limitarea abuzurilor.

Personalul restaurantului: numele afișat pe tabletă, PIN-ul (stocat doar ca hash), tableta folosită și momentul acțiunilor asupra comenzilor. Managerii: numele și adresa de email.

Serviciul nu este conceput pentru categorii speciale de date. Operatorul nu le cere clienților să scrie astfel de date în notele de comandă.

5. Obligațiile Persoanei împuternicite

Prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului; Termenii, acest acord și setările făcute de Operator în panou constituie aceste instrucțiuni. Dacă o instrucțiune încalcă legea, îl informează pe Operator.

Se asigură că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea și aplică măsurile de securitate din Anexa 1.

Îl ajută pe Operator, în măsura posibilului, să răspundă cererilor persoanelor vizate, să evalueze impactul asupra protecției datelor și să își îndeplinească obligațiile din art. 32–36 GDPR.

Pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite audituri, cu o notificare prealabilă de 30 de zile, cel mult o dată pe an, pe cheltuiala Operatorului, fără a afecta securitatea celorlalți clienți.

6. Obligațiile Operatorului

Operatorul are temei legal pentru prelucrare, își informează clienții și personalul despre prelucrare (de exemplu printr-o notă în meniu sau în local) și nu dă instrucțiuni contrare legii.

7. Sub-împuterniciți

Operatorul autorizează în general folosirea sub-împuterniciților din Anexa 2. Persoana împuternicită anunță Operatorul pe email cu cel puțin 30 de zile înainte de a adăuga sau înlocui un sub-împuternicit; Operatorul se poate opune din motive întemeiate și, dacă nu se găsește o soluție, poate anula abonamentul.

Fiecare sub-împuternicit are, prin contract, obligații de protecție a datelor cel puțin la fel de stricte ca acestea. Persoana împuternicită răspunde față de Operator pentru sub-împuterniciții ei.

8. Transferuri internaționale

Datele clienților restaurantului sunt găzduite în Uniunea Europeană. Orice transfer în afara SEE se face numai pe baza unei decizii de adecvare sau a clauzelor contractuale standard ale Comisiei Europene.

9. Încălcarea securității datelor

Persoana împuternicită anunță Operatorul fără întârzieri nejustificate, cel târziu în 48 de ore de la constatarea unei încălcări a securității datelor care îl privește, și îi transmite informațiile disponibile: natura încălcării, categoriile și numărul aproximativ de persoane și date afectate, consecințele probabile și măsurile luate.

10. Păstrarea și ștergerea datelor

Comenzile se păstrează 12 luni; după aceea rămân doar totalurile pe zi, fără date despre persoane. Evenimentele tehnice ale ecranului de comenzi se șterg după 7 zile.

La încetarea abonamentului, datele Operatorului se șterg după 90 de zile, cu excepția celor pe care legea ne obligă să le păstrăm. La cerere, înainte de ștergere, Operatorul primește o copie a datelor.

11. Răspundere

Răspunderea părților se stabilește conform art. 82 GDPR și limitelor din Termeni, în măsura în care legea permite.

Anexa 1. Măsuri tehnice și organizatorice

Criptarea conexiunilor (HTTPS/TLS). Parolele și PIN-urile stocate doar ca hash. Separarea datelor pe restaurant, verificată pe server la fiecare cerere. Roluri distincte (owner, manager, personal) cu drepturi minime.

Blocarea PIN-ului după 5 încercări greșite și limite de cereri pe masă și pe adresă IP. Copii de siguranță zilnice ale bazei de date, păstrate 14 zile. Acces administrativ la servere doar pentru persoane autorizate, cu autentificare puternică.

Anexa 2. Sub-împuterniciți

OVH SAS: găzduirea serverelor și a bazei de date, în Uniunea Europeană.

[FURNIZOR_EMAIL]: trimiterea emailurilor de serviciu către utilizatorii contului.

Anthropic PBC: traducerea automată a textelor din meniu (nume și descrieri de produse). Nu primește date despre clienții restaurantului sau despre personal.