Договір про обробку даних

Сторони та сфера застосування

Цей договір (стаття 28 GDPR) укладається між вами, закладом, як контролером і Ospitera як обробником. Він є частиною умов використання сервісу і діє доти, доки ми обробляємо персональні дані для вас. Версія 2026-11-05.

Що ми обробляємо

Предмет і мета: прийом, відображення, друк і доставка замовлень ваших гостей, надсилання текстових повідомлень, які ви вмикаєте, та пов’язана з цим підтримка.

Суб’єкти даних: ваші гості, а також ваш власний персонал, який користується панеллю адміністрування та табло персоналу.

Персональні дані: ім’я гостя, номер телефону, адреса доставки, примітки та вміст замовлення; імена користувачів персоналу; технічні дані, як-от IP-адреси (зберігаються лише у вигляді хешів із ключем).

Тривалість: Адреса доставки та примітки видаляються через 24 години після закриття замовлення, номер телефону та прізвище — через 72 години, а в незакритих замовленнях ці дані видаляються через 7 днів. Вміст і суми замовлень зберігаються для бухгалтерського обліку закладу, доки не припиниться діяльність закладу або сервіс.

Наші обов’язки

Задокументовані інструкції: ми обробляємо ваші персональні дані лише для цілей і згідно з інструкціями, викладеними в цьому договорі, у налаштуваннях, які ви вибираєте в панелі адміністрування, і в подальших інструкціях ваших уповноважених контактних осіб, зокрема щодо передавання за кордон. Якщо право ЄС або держави-члена вимагає іншої обробки, ми спершу повідомляємо вас, якщо таке право цього не забороняє. Якщо ми вважаємо, що інструкція порушує законодавство про захист даних, ми невідкладно повідомляємо вас і призупиняємо виконання цієї інструкції, доки ми не домовимося, як діяти далі.

Усі працівники Ospitera, які мають доступ, зобов’язані дотримуватися конфіденційності.

Ми підтримуємо належні заходи безпеки, зокрема: шифрування під час передавання, шифрування під час зберігання контактних даних гостей і платіжних облікових даних, хешовані паролі та PIN-коди, доступ, обмежений окремим закладом, обмеження частоти запитів, журналювання чутливих дій, автоматичне видалення, як описано вище, і резервні копії бази даних.

Допомога: з урахуванням характеру обробки та наявної в нас інформації ми допомагаємо вам у роботі із запитами гостей щодо здійснення їхніх прав, у забезпеченні безпеки, в оцінюванні порушень і повідомленні про них, в оцінках впливу та консультаціях з органами влади. Ваша панель адміністрування містить інструмент для експорту або видалення даних окремого гостя; щодо всього, що він не охоплює, пишіть до підтримки. Ми невідкладно пересилаємо вам запити щодо вашої обробки і не відповідаємо на них самостійно, якщо цього не вимагає закон, а також своєчасно надаємо вам інформацію, яка в нас обґрунтовано є, щоб ви встигли дотриматися своїх строків.

Ми повідомляємо вас без зайвої затримки і протягом 48 годин після того, як нам стало про це відомо, про порушення безпеки персональних даних, що стосується ваших даних, разом з інформацією, потрібною вам для виконання власних обов’язків.

Припинення сервісу: прийом нових замовлень припиняється в дату припинення. Протягом 30 днів після неї ви ще можете входити в систему й експортувати дані (умови, пункт 9.4); на 30-й день ми видаляємо персональні дані, які зберігаємо для вас (замовлення, дані гостей, облікові записи персоналу й власника, меню та контактні дані у ваших налаштуваннях), якщо ви не попросите видалити їх раніше. Строк зберігання резервних копій бази даних спливає відповідно до графіка відновлення нашого провайдера бази даних, і вони ніколи не використовуються у звичайній роботі; якщо резервну копію колись буде відновлено, видалення застосовуються повторно. Ми зберігаємо лише те, чого від нас вимагає закон: наші рахунки, виставлені вам, і запис про прийняття вами умов.

Відповідність і аудити: ми надаємо вам інформацію, обґрунтовано необхідну для підтвердження дотримання цього договору, а також дозволяємо проводити аудити, зокрема інспекції, вами або незалежним аудитором, якого ви призначите, і сприяємо їм — за умови розумного попереднього повідомлення та дотримання конфіденційності. Планові аудити можна поєднувати, щоб уникнути дублювання; додаткові аудити завжди можливі після суттєвого інциденту, суттєвої зміни в обробці, обґрунтованих ознак невідповідності або на запит наглядового органу.

Окремі ролі: ми є вашим обробником щодо замовлень ваших гостей і облікових записів персоналу, якими ви керуєте. Ми є окремим контролером щодо наших відносин із вами як клієнтом, виставлення рахунків, безпеки нашої власної платформи та правових вимог, як описано в нашій політиці конфіденційності (/legal/privacy). Жодна з цих ролей не дозволяє нам використовувати дані гостей для реклами, профілювання, не пов’язаного із сервісом, або навчання моделей штучного інтелекту.

Субобробники

Ви надаєте дозвіл на залучення субобробників, перелічених на /legal/subprocessors. Ми покладаємо на них ті самі зобов’язання щодо захисту даних і залишаємося відповідальними за них.

Ми оголошуємо про нових субобробників у вашій панелі адміністрування щонайменше за 30 днів. Ви можете заперечити з обґрунтованих підстав; якщо ми не зможемо це врегулювати, ви можете припинити сервіс до зміни.

Передавання за кордон

У переліку субобробників зазначено, де кожен постачальник обробляє дані. Якщо дані залишають Європейську економічну зону, передавання ґрунтується на рішенні про адекватність або, якщо такого немає, на стандартних договірних положеннях Європейської комісії (модуль 3, від обробника до обробника), які ми узгодили з цим постачальником, з додатковими заходами, де це потрібно. Подальше передавання даних нашими постачальниками ми оцінюємо окремо. Передавання без чинного механізму не розпочинається. На запит ми надаємо вам копію гарантій, у якій приховано лише те, що необхідно з комерційних міркувань.

Додатки для окремих країн

Велика Британія: персональні дані з Великої Британії можуть передаватися до ЄЕЗ на підставі британських регламентів про адекватність щодо ЄЕЗ. Якщо обмежене передавання виходить за межі ЄЕЗ, застосовується UK International Data Transfer Addendum до положень, які ми маємо з цим постачальником.

Швейцарія: передавання до ЄЕЗ ґрунтується на визнанні Федеральною радою належного рівня захисту там; передавання до інших країн здійснюється на підставі стандартних договірних положень у тому вигляді, в якому їх визнав для відповідної країни призначення Федеральний уповноважений Швейцарії із захисту даних та інформації.

Бразилія: передавання до Бельгії та решти ЄС ґрунтується на рішенні бразильського органу із захисту даних (ANPD) про адекватність щодо Європейського Союзу тією мірою, якою воно їх охоплює. Для інших країн призначення та подальшого передавання використовується механізм, зазначений для них; якщо це стандартні договірні положення ANPD (Резолюція CD/ANPD 19/2024), до цього договору без змін додаються їхній повний текст і заповнені додатки.

Туреччина: якщо гарантією є стандартний договір Ради із захисту персональних даних, ми заповнюємо та підписуємо з вами відповідний турецький модуль до початку будь-якого передавання, а сторона, визначена в цьому договорі, повідомляє Раду про підписаний договір протягом п’яти робочих днів після підписання. До цього ми не починаємо обробку для закладу в Туреччині.

Квебек: перш ніж персональна інформація залишить Квебек, ми надаємо вам інформацію та письмові гарантії, потрібні для вашої власної оцінки відповідно до Закону про захист персональної інформації в приватному секторі; оцінка залишається за вами.

Інші країни з власними правилами передавання персональних даних за кордон (наприклад, Аргентина, Колумбія та Перу): ми надаємо вам потрібну інформацію про нашу обробку і запроваджуємо положення, яких вимагає відповідний закон, до початку передавання.

Порядок пріоритетності

Імперативні положення зазначеного вище інструменту передавання мають перевагу над цим договором і умовами використання сервісу. З урахуванням цього додаток для країни має перевагу над рештою цього договору щодо цієї країни, а цей договір має перевагу над умовами використання сервісу щодо персональних даних.

Контакти

Запитання щодо конфіденційності та повідомлення про порушення: support@ospitera.com.