Umowa powierzenia przetwarzania danych

Strony i zakres

Niniejsza umowa (art. 28 RODO) zostaje zawarta między Państwem, lokalem, jako administratorem a Ospitera jako podmiotem przetwarzającym. Stanowi część warunków świadczenia usług i obowiązuje tak długo, jak przetwarzamy dane osobowe w Państwa imieniu. Wersja 2026-11-05.

Co przetwarzamy

Przedmiot i cel: przyjmowanie, wyświetlanie, drukowanie i dostarczanie zamówień Państwa gości, wysyłanie włączonych przez Państwa SMS-ów oraz związane z tym wsparcie.

Osoby, których dane dotyczą: Państwa goście oraz Państwa personel korzystający z panelu i ekranu personelu.

Dane osobowe: imię i nazwisko, telefon, adres dostawy, uwagi i treść zamówienia gości; nazwy użytkowników personelu; dane techniczne, takie jak adresy IP (przechowywane wyłącznie jako skróty z kluczem).

Czas trwania: Adres dostawy i uwagi są usuwane 24 godz. po zamknięciu zamówienia, numer telefonu i nazwisko po 72 godz., a niezamknięte zamówienia tracą je po 7 dniach. Treść i kwoty zamówień pozostają na potrzeby księgowości lokalu do zakończenia jego działalności lub usługi.

Nasze obowiązki

Udokumentowane polecenia: przetwarzamy Państwa dane osobowe wyłącznie w celach i według poleceń zawartych w tej umowie, ustawień wybranych w panelu oraz późniejszych poleceń upoważnionych osób kontaktowych, także w zakresie przekazywania za granicę. Jeżeli prawo UE lub państwa członkowskiego wymaga innego przetwarzania, informujemy o tym wcześniej, chyba że to prawo tego zabrania. Jeżeli uważamy, że polecenie narusza przepisy o ochronie danych, niezwłocznie informujemy i wstrzymujemy to polecenie do czasu uzgodnienia dalszego postępowania.

Wszystkie osoby w Ospitera mające dostęp są zobowiązane do zachowania poufności.

Stosujemy odpowiednie środki bezpieczeństwa, w tym: szyfrowanie w transmisji, szyfrowanie w spoczynku danych kontaktowych gości i danych uwierzytelniających płatności, hasła i PIN-y w postaci skrótów, dostęp ograniczony do lokalu, ograniczanie liczby żądań, rejestrowanie czynności wrażliwych, automatyczne usuwanie jak wyżej i kopie zapasowe bazy danych.

Pomoc: uwzględniając charakter przetwarzania i posiadane informacje, pomagamy w obsłudze żądań gości dotyczących ich praw, w bezpieczeństwie, ocenie i zgłaszaniu naruszeń, ocenach skutków i konsultacjach z organami. Panel zawiera narzędzie do eksportu lub usunięcia danych jednego gościa; w pozostałych sprawach prosimy pisać do wsparcia. Żądania dotyczące Państwa przetwarzania niezwłocznie przekazujemy i nie odpowiadamy na nie sami, chyba że wymaga tego prawo, a informacje, którymi rozsądnie dysponujemy, przekazujemy w terminie umożliwiającym dotrzymanie Państwa terminów.

Bez zbędnej zwłoki, w ciągu 48 godzin od stwierdzenia, zawiadamiamy o naruszeniu ochrony danych osobowych dotyczącym Państwa danych, przekazując informacje potrzebne do wykonania Państwa obowiązków.

Zakończenie usługi: nowe zamówienia ustają w dniu zakończenia. Przez 30 dni po nim mogą się Państwo logować i eksportować (warunki 9.4); w dniu 30 usuwamy dane osobowe przechowywane w Państwa imieniu (zamówienia, dane gości, konta personelu i właściciela, menu oraz dane kontaktowe z ustawień), chyba że poproszą Państwo o wcześniejsze usunięcie. Kopie zapasowe bazy danych wygasają zgodnie z harmonogramem przywracania naszego dostawcy i nigdy nie są używane w zwykłej pracy; jeśli któraś zostanie przywrócona, usunięcia są stosowane ponownie. Zachowujemy tylko to, czego wymaga od nas prawo: nasze faktury dla Państwa i zapis akceptacji warunków.

Zgodność i audyty: udostępniamy informacje rozsądnie potrzebne do wykazania przestrzegania tej umowy oraz umożliwiamy audyty, w tym inspekcje, przeprowadzane przez Państwa lub wyznaczonego przez Państwa niezależnego audytora, z rozsądnym wyprzedzeniem i z zachowaniem poufności, i w nich uczestniczymy. Audyty rutynowe można łączyć, aby uniknąć powielania; dodatkowe audyty są zawsze możliwe po istotnym incydencie, istotnej zmianie przetwarzania, uzasadnionych sygnałach niezgodności lub na żądanie organu nadzorczego.

Odrębne role: jesteśmy Państwa podmiotem przetwarzającym w zakresie zamówień gości i zarządzanych przez Państwa kont personelu. Jesteśmy odrębnym administratorem w zakresie relacji handlowej z Państwem, rozliczeń, bezpieczeństwa naszej platformy i roszczeń prawnych, jak opisano w polityce prywatności (/legal/privacy). Żadna z ról nie pozwala nam wykorzystywać danych gości do reklamy, niezwiązanego profilowania ani trenowania modeli AI.

Dalsze podmioty przetwarzające

Wyrażają Państwo zgodę na podmioty przetwarzające wymienione na /legal/subprocessors. Nakładamy na nie te same obowiązki w zakresie ochrony danych i pozostajemy za nie odpowiedzialni.

Nowe podmioty przetwarzające zapowiadamy w panelu z co najmniej 30-dniowym wyprzedzeniem. Mogą Państwo wnieść sprzeciw z uzasadnionych powodów; jeśli nie uda się tego rozwiązać, mogą Państwo zakończyć usługę przed zmianą.

Przekazywanie za granicę

Lista podmiotów przetwarzających wskazuje, gdzie każdy dostawca przetwarza dane. Gdy dane opuszczają Europejski Obszar Gospodarczy, przekazanie opiera się na decyzji stwierdzającej odpowiedni stopień ochrony lub, w jej braku, na standardowych klauzulach umownych Komisji Europejskiej (moduł 3, podmiot przetwarzający — podmiot przetwarzający) uzgodnionych z tym dostawcą, z dodatkowymi środkami w razie potrzeby. Dalsze przekazania przez naszych dostawców oceniamy odrębnie. Przekazanie bez ważnego mechanizmu nie rozpoczyna się. Na żądanie udostępniamy kopię zabezpieczeń, zaczernioną tylko tam, gdzie jest to handlowo konieczne.

Załączniki krajowe

Wielka Brytania: dane osobowe z Wielkiej Brytanii mogą trafiać do EOG na podstawie brytyjskich przepisów o odpowiednim stopniu ochrony dla EOG. Gdy ograniczone przekazanie wykracza poza EOG, stosuje się UK International Data Transfer Addendum do klauzul zawartych z tym dostawcą.

Szwajcaria: przekazania do EOG opierają się na uznaniu przez Radę Federalną odpowiedniego stopnia ochrony; przekazania gdzie indziej wykorzystują standardowe klauzule umowne uznane dla danego miejsca przez szwajcarskiego Federalnego Komisarza ds. Ochrony Danych i Informacji.

Brazylia: przekazania do Belgii i reszty UE opierają się na decyzji brazylijskiego organu ochrony danych (ANPD) stwierdzającej odpowiedni stopień ochrony w Unii Europejskiej, w zakresie, w jakim je obejmuje. Inne miejsca i dalsze przekazania wykorzystują wskazany dla nich mechanizm; jeśli są to standardowe klauzule umowne ANPD (Uchwała CD/ANPD 19/2024), ich pełny tekst i wypełnione załączniki dołączamy bez zmian.

Turcja: gdy zabezpieczeniem jest standardowa umowa Urzędu Ochrony Danych Osobowych, przed rozpoczęciem przekazania wypełniamy i podpisujemy z Państwem właściwy moduł turecki, a podpisaną umowę zgłasza się Urzędowi w ciągu pięciu dni roboczych od podpisania przez wskazaną w niej stronę. Wcześniej nie rozpoczynamy przetwarzania dla lokalu w Turcji.

Quebec: zanim informacje osobowe opuszczą Quebec, przekazujemy informacje i pisemne zabezpieczenia potrzebne do Państwa własnej oceny na podstawie ustawy o ochronie informacji osobowych w sektorze prywatnym; ocena należy do Państwa.

Inne kraje z własnymi zasadami przekazywania danych osobowych za granicę (np. Argentyna, Kolumbia i Peru): przekazujemy potrzebne informacje o naszym przetwarzaniu i wprowadzamy wymagane tym prawem klauzule przed rozpoczęciem przekazania.

Kolejność pierwszeństwa

Bezwzględnie obowiązujące postanowienia wskazanego wyżej instrumentu przekazania mają pierwszeństwo przed tą umową i warunkami świadczenia usług. Z tym zastrzeżeniem załącznik krajowy ma pierwszeństwo przed resztą tej umowy dla danego kraju, a ta umowa ma pierwszeństwo przed warunkami świadczenia usług w zakresie danych osobowych.

Kontakt

Pytania dotyczące prywatności i zgłaszanie naruszeń: support@ospitera.com.