Acord de prelucrare a datelor

Părți și domeniu

Acest acord (art. 28 GDPR) se încheie între dumneavoastră, localul, în calitate de operator, și Ospitera, în calitate de persoană împuternicită. Face parte din condițiile de utilizare și se aplică atât timp cât prelucrăm date cu caracter personal pentru dumneavoastră. Versiunea 2026-11-05.

Ce prelucrăm

Obiect și scop: primirea, afișarea, imprimarea și livrarea comenzilor clienților dumneavoastră, trimiterea SMS-urilor pe care le activați și asistența aferentă.

Persoane vizate: clienții dumneavoastră și personalul dumneavoastră care folosește panoul de administrare și ecranul personalului.

Date cu caracter personal: numele, telefonul, adresa de livrare, notele și conținutul comenzii clienților; numele de utilizator ale personalului; date tehnice, cum ar fi adresele IP (stocate doar ca hash-uri cu cheie).

Durată: Adresa de livrare și notele sunt șterse la 24 ore după închiderea comenzii, numărul de telefon și numele de familie după 72 ore, iar comenzile neînchise le pierd după 7 zile. Conținutul și sumele comenzilor rămân pentru contabilitatea localului până la încetarea activității acestuia sau a serviciului.

Obligațiile noastre

Instrucțiuni documentate: prelucrăm datele dumneavoastră cu caracter personal numai în scopurile și conform instrucțiunilor din acest acord, din setările pe care le alegeți în panoul de administrare și din instrucțiunile ulterioare ale persoanelor de contact autorizate, inclusiv în ceea ce privește transferurile în străinătate. Dacă dreptul Uniunii sau al unui stat membru impune o altă prelucrare, vă informăm în prealabil, cu excepția cazului în care acest drept o interzice. Dacă considerăm că o instrucțiune încalcă normele privind protecția datelor, vă informăm imediat și suspendăm instrucțiunea până când convenim asupra pașilor următori.

Toate persoanele din cadrul Ospitera care au acces sunt obligate la confidențialitate.

Aplicăm măsuri de securitate adecvate, printre care: criptare în tranzit, criptarea datelor de contact ale clienților și a datelor de autentificare pentru plăți în repaus, parole și PIN-uri sub formă de hash, acces limitat la local, limitarea cererilor, jurnalizarea operațiunilor sensibile, ștergere automată conform celor de mai sus și copii de rezervă ale bazei de date.

Asistență: ținând seama de prelucrare și de informațiile disponibile, vă ajutăm cu cererile clienților de exercitare a drepturilor, cu securitatea, evaluarea și notificarea încălcărilor, cu evaluările de impact și cu consultarea autorităților. Panoul dumneavoastră de administrare conține un instrument pentru exportul sau ștergerea datelor unui client; pentru restul, contactați asistența. Vă transmitem fără întârziere cererile care privesc prelucrarea dumneavoastră și nu le răspundem noi înșine, cu excepția cazului în care legea o impune, și vă furnizăm informațiile pe care le deținem în mod rezonabil la timp pentru termenele dumneavoastră.

Vă notificăm o încălcare a securității datelor care vă privește datele fără întârzieri nejustificate și în termen de 48 de ore de la constatare, cu informațiile necesare pentru propriile obligații.

Încetarea serviciului: comenzile noi se opresc la data încetării. Timp de 30 de zile după aceea vă mai puteți autentifica și exporta (condiții 9.4); în ziua 30 ștergem datele cu caracter personal pe care le păstrăm pentru dumneavoastră (comenzi, datele clienților, conturile personalului și ale proprietarului, meniul și datele de contact din setări), cu excepția cazului în care ne cereți o ștergere mai devreme. Copiile de rezervă ale bazei de date expiră conform calendarului de restaurare al furnizorului nostru de baze de date și nu sunt folosite niciodată în funcționarea curentă; dacă o copie de rezervă este vreodată restaurată, ștergerile se aplică din nou. Păstrăm doar ceea ce ne impune legea: facturile noastre către dumneavoastră și înregistrarea acceptării condițiilor.

Conformitate și audituri: punem la dispoziție informațiile necesare în mod rezonabil pentru a demonstra conformitatea cu acest acord și permitem audituri, inclusiv inspecții, efectuate de dumneavoastră sau de un auditor independent mandatat de dumneavoastră, cu un preaviz rezonabil și cu respectarea confidențialității, și contribuim la acestea. Auditurile de rutină pot fi grupate pentru a evita dublarea; audituri suplimentare sunt întotdeauna posibile după un incident semnificativ, o modificare semnificativă a prelucrării, o suspiciune întemeiată de neconformitate sau la cererea unei autorități de supraveghere.

Roluri separate: suntem persoana dumneavoastră împuternicită pentru comenzile clienților și pentru conturile personalului pe care le gestionați. Pentru relația noastră comercială cu dumneavoastră, facturare, securitatea platformei noastre și pretențiile legale, suntem operator independent, așa cum descrie politica de confidențialitate (/legal/privacy). Niciunul dintre roluri nu ne permite să folosim datele clienților pentru publicitate, profilare fără legătură sau antrenarea modelelor de IA.

Subcontractanți

Aprobați subcontractanții enumerați pe /legal/subprocessors. Le impunem aceleași obligații privind protecția datelor și răspundem pentru ei.

Anunțăm noii subcontractanți în panoul de administrare cu cel puțin 30 de zile înainte. Vă puteți opune din motive rezonabile; dacă nu se găsește o soluție, puteți înceta serviciul înainte de modificare.

Transferuri în străinătate

Lista subcontractanților indică unde prelucrează datele fiecare furnizor. Dacă datele părăsesc Spațiul Economic European, transferul se bazează pe o decizie privind caracterul adecvat sau, dacă nu se aplică niciuna, pe clauzele contractuale standard ale Comisiei Europene (modulul 3, persoană împuternicită către persoană împuternicită) convenite cu acel furnizor, cu măsuri suplimentare acolo unde este necesar. Transferurile ulterioare efectuate de furnizorii noștri sunt evaluate separat. Niciun transfer nu începe fără un mecanism valabil. La cerere, vă punem la dispoziție o copie a garanțiilor, cu informații ascunse doar acolo unde este strict necesar din punct de vedere comercial.

Anexe pe țări

Regatul Unit: datele cu caracter personal din Regatul Unit pot ajunge în SEE în temeiul normelor britanice privind caracterul adecvat pentru SEE. Dacă un transfer restricționat depășește SEE, se aplică UK International Data Transfer Addendum la clauzele pe care le avem cu furnizorul respectiv.

Elveția: transferurile către SEE se bazează pe recunoașterea de către Consiliul Federal a unui nivel adecvat de protecție; transferurile către alte destinații folosesc clauzele contractuale standard recunoscute pentru acea destinație de Comisarul federal elvețian pentru protecția datelor și transparență.

Brazilia: transferurile către Belgia și restul UE se bazează pe decizia autorității braziliene pentru protecția datelor (ANPD) privind nivelul adecvat de protecție din Uniunea Europeană, în măsura în care le acoperă. Alte destinații și transferurile ulterioare folosesc mecanismul indicat pentru ele; dacă acesta este clauzele contractuale standard ale ANPD (Rezoluția CD/ANPD 19/2024), le atașăm textul integral și anexele completate, fără modificări.

Turcia: dacă garanția este contractul standard al Autorității pentru Protecția Datelor cu Caracter Personal, completăm și semnăm cu dumneavoastră modulul turc corespunzător înainte de începerea transferului, iar contractul semnat este notificat Autorității în termen de cinci zile lucrătoare de la semnare de partea pe care aceasta o desemnează. Până atunci nu începem prelucrarea datelor pentru un local din Turcia.

Québec: înainte ca informațiile personale să părăsească Québecul, vă furnizăm informațiile și garanțiile scrise de care aveți nevoie pentru propria evaluare în temeiul Legii privind protecția informațiilor personale în sectorul privat; evaluarea rămâne a dumneavoastră.

Alte țări cu reguli proprii privind transferul datelor cu caracter personal în străinătate (de exemplu Argentina, Columbia și Peru): vă furnizăm informațiile necesare despre prelucrarea noastră și, înainte de începerea transferului, introducem clauzele impuse de acea lege.

Ordinea de prioritate

Dispozițiile imperative ale instrumentului de transfer menționat prevalează asupra acestui acord și a condițiilor de utilizare. Sub această rezervă, anexa pentru o țară prevalează asupra restului acestui acord, iar acest acord prevalează asupra condițiilor de utilizare în ceea ce privește datele cu caracter personal.

Contact

Întrebări privind confidențialitatea și notificarea încălcărilor: support@ospitera.com.