Databehandleravtale

Parter og omfang

Denne avtalen (personvernforordningen artikkel 28) inngås mellom deg, serveringsstedet, som behandlingsansvarlig og Ospitera som databehandler. Den er en del av vilkårene for tjenesten og gjelder så lenge vi behandler personopplysninger for deg. Versjon 2026-11-05.

Hva vi behandler

Formål og gjenstand: motta, vise, skrive ut og levere gjestenes bestillinger, sende sms-ene du slår på, og tilhørende støtte.

Registrerte: gjestene dine og personalet ditt som bruker administrasjonen og personalskjermen.

Personopplysninger: gjestenes navn, telefon, leveringsadresse, notater og bestillingens innhold; personalets brukernavn; tekniske opplysninger som IP-adresser (lagres bare som nøkkelbaserte hasher).

Varighet: Leveringsadresse og notater slettes 24 timer etter at bestillingen er avsluttet, telefonnummer og etternavn etter 72 timer, og bestillinger som ikke ble avsluttet, mister dem etter 7 dager. Bestillingenes innhold og beløp beholdes for serveringsstedets regnskap til serveringsstedet eller tjenesten opphører.

Våre forpliktelser

Dokumenterte instrukser: vi behandler personopplysningene dine bare for formålene og etter instruksene som følger av denne avtalen, innstillingene du velger i administrasjonen og senere instrukser fra de autoriserte kontaktpersonene dine, også når det gjelder overføring til utlandet. Krever EU-retten eller nasjonal rett en annen behandling, varsler vi deg på forhånd, med mindre den retten forbyr det. Mener vi at en instruks er i strid med personvernreglene, varsler vi deg straks og venter med instruksen til vi er enige om de neste skrittene.

Alle hos Ospitera som har tilgang, har taushetsplikt.

Vi gjennomfører egnede sikkerhetstiltak, blant annet: kryptering under overføring, kryptering av gjestenes kontaktopplysninger og betalingsopplysninger ved lagring, hashede passord og PIN-koder, tilgang begrenset til serveringsstedet, begrensning av forespørsler, logging av sensitive handlinger, automatisk sletting som angitt over og sikkerhetskopier av databasen.

Bistand: ut fra behandlingen og tilgjengelig informasjon hjelper vi deg med gjesters forespørsler om å utøve rettighetene sine, med sikkerhet, vurdering og melding av brudd, med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med myndigheter. Administrasjonen din har et verktøy for å eksportere eller slette opplysningene om én gjest; kontakt støtte for resten. Vi videresender straks forespørsler som gjelder din behandling, og svarer ikke selv på dem med mindre loven krever det, og vi gir deg informasjonen vi med rimelighet har, i tide for fristene dine.

Vi varsler deg om et brudd på personopplysningssikkerheten som gjelder opplysningene dine, uten ugrunnet opphold og innen 48 timer etter at vi ble kjent med det, med informasjonen du trenger for dine egne forpliktelser.

Opphør av tjenesten: nye bestillinger stopper på opphørsdatoen. I 30 dager etterpå kan du fortsatt logge inn og eksportere (vilkår 9.4); på dag 30 sletter vi personopplysningene vi lagrer for deg (bestillinger, gjesteopplysninger, personal- og eierkontoer, menyen og kontaktopplysningene i innstillingene), med mindre du ber oss slette tidligere. Sikkerhetskopiene av databasen utløper etter databaseleverandørens gjenopprettingsplan og brukes aldri i vanlig drift; gjenopprettes en sikkerhetskopi noen gang, gjennomføres slettingene på nytt. Vi oppbevarer bare det loven krever av oss: fakturaene våre til deg og registreringen av at vilkårene ble godtatt.

Etterlevelse og revisjon: vi gjør tilgjengelig informasjonen som med rimelighet trengs for å vise at denne avtalen etterleves, og legger til rette for revisjoner, inkludert inspeksjoner, utført av deg eller en uavhengig revisor du har utpekt, med rimelig varsel og under hensyn til konfidensialitet, og vi bidrar til dem. Rutinemessige revisjoner kan samordnes for å unngå dobbeltarbeid; flere revisjoner er alltid mulig etter en betydelig hendelse, en betydelig endring i behandlingen, begrunnet mistanke om manglende etterlevelse eller på forespørsel fra en tilsynsmyndighet.

Atskilte roller: vi er databehandleren din for gjestenes bestillinger og for personalkontoene du administrerer. For forretningsforholdet vårt til deg, fakturering, plattformens sikkerhet og rettskrav er vi selvstendig behandlingsansvarlig, slik personvernerklæringen beskriver (/legal/privacy). Ingen av rollene tillater oss å bruke gjesteopplysninger til reklame, uvedkommende profilering eller trening av KI-modeller.

Underdatabehandlere

Du godkjenner underdatabehandlerne som er oppført på /legal/subprocessors. Vi pålegger dem de samme personvernforpliktelsene og er ansvarlige for dem.

Nye underdatabehandlere varsler vi i administrasjonen minst 30 dager på forhånd. Du kan protestere av rimelige grunner; finnes det ingen løsning, kan du si opp tjenesten før endringen.

Overføring til utlandet

Listen over underdatabehandlere viser hvor hver leverandør behandler opplysningene. Forlater opplysningene Det europeiske økonomiske samarbeidsområdet, bygger overføringen på en beslutning om tilstrekkelig beskyttelsesnivå eller, hvis ingen gjelder, på Europakommisjonens standard personvernbestemmelser (modul 3, databehandler til databehandler) avtalt med den leverandøren, med supplerende tiltak der det trengs. Leverandørenes videreoverføringer vurderes for seg. Ingen overføring starter uten en gyldig mekanisme. På forespørsel gir vi deg en kopi av garantiene, sladdet bare der det er forretningsmessig nødvendig.

Landvedlegg

Storbritannia: personopplysninger fra Storbritannia kan overføres til EØS etter de britiske reglene om tilstrekkelig beskyttelsesnivå for EØS. Går en begrenset overføring ut over EØS, gjelder UK International Data Transfer Addendum til bestemmelsene vi har med den leverandøren.

Sveits: overføringer til EØS bygger på Forbundsrådets anerkjennelse av et tilstrekkelig beskyttelsesnivå; overføringer andre steder bruker standardbestemmelsene som den sveitsiske føderale personvern- og informasjonskommissæren har anerkjent for det mottakerlandet.

Brasil: overføringer til Belgia og resten av EU bygger på den brasilianske personvernmyndighetens (ANPD) beslutning om tilstrekkelig beskyttelsesnivå i Den europeiske union, i den grad den omfatter dem. Andre mottakerland og videreoverføringer bruker mekanismen som er angitt for dem; er det ANPDs standardbestemmelser (resolusjon CD/ANPD 19/2024), legger vi ved hele teksten og de utfylte vedleggene uten endringer.

Tyrkia: er garantien Personopplysningsmyndighetens standardavtale, fyller vi ut og signerer riktig tyrkisk modul med deg før overføringen begynner, og den signerte avtalen meldes til Myndigheten innen fem arbeidsdager etter signering av parten Myndigheten angir. Til da begynner vi ikke å behandle opplysninger for et serveringssted i Tyrkia.

Québec: før personopplysninger forlater Québec, gir vi deg informasjonen og de skriftlige garantiene du trenger for din egen vurdering etter loven om vern av personopplysninger i privat sektor; vurderingen forblir din.

Andre land med egne regler for overføring av personopplysninger til utlandet (for eksempel Argentina, Colombia og Peru): vi gir deg informasjonen du trenger om behandlingen vår, og innfører, før overføringen begynner, bestemmelsene den retten krever.

Rangordning

De ufravikelige bestemmelsene i overføringsinstrumentet som er nevnt, har forrang foran denne avtalen og vilkårene for tjenesten. Med dette forbeholdet har et landvedlegg forrang foran resten av denne avtalen, og denne avtalen har forrang foran vilkårene for tjenesten i spørsmål om personopplysninger.

Kontakt

Spørsmål om personvern og melding om brudd: support@ospitera.com.