Umowa powierzenia przetwarzania danych osobowych (UPPDO)

Strony umowy

Umowa powierzenia przetwarzania danych osobowych (UPPDO), zgodna z art. 28 RODO, zawarta pomiędzy:

Administratorem – Lokalem gastronomicznym zarejestrowanym w systemie TasteText, którego dane (nazwa, NIP, adres) podane zostały w formularzu rejestracji lokalu w Panelu; kontakt e-mail Administratora to adres konta użytkownika Panelu podany przy rejestracji w TasteText,

a

§ 1. Definicje

1. RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
2. Umowa główna – Regulamin usług TasteText akceptowany przez Administratora przy dodawaniu lokalu.
3. Podmiot Przetwarzający oświadcza, że dysponuje środkami technicznymi i organizacyjnymi spełniającymi wymogi art. 32 RODO.

§ 2. Przedmiot powierzenia

1. Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych w celu realizacji Umowy głównej – prowadzenia bazy lojalnościowej i wysyłki powiadomień SMS do klientów Administratora za pomocą systemu TasteText.
2. Kategorie osób: klienci (goście) restauracji Administratora.
3. Rodzaje danych: numer telefonu, imię (jeśli podane przy rejestracji QR lub NFC).
4. Operacje: zbieranie (kody QR lub tagi NFC), utrwalanie, przechowywanie, wykorzystywanie do wysyłki SMS, usuwanie.
5. Umowa obowiązuje przez czas trwania Umowy głównej (od akceptacji do usunięcia lokalu/konta).

§ 3. Miejsce przetwarzania i podwykonawcy

1. Dane powierzone przechowywane są w bazie PostgreSQL na serwerach w Unia Europejska (infrastruktura hostingowa w UE).
2. Podmiot Przetwarzający korzysta m.in. z następujących podwykonawców (sub-processorów):
   • Dostawca hostingu / infrastruktury IT (serwery w UE) – hosting aplikacji i bazy danych
   • SMSAPI (Polkomtel Sp. z o.o.) – wysyłka wiadomości SMS na polecenie restauracji
3. O zamierzonej zmianie listy podwykonawców Administrator zostanie poinformowany e-mailem z 7-dniowym terminie na sprzeciw (zgodnie z § 6).

§ 4. Okres przechowywania i usuwanie

1. Numery telefonów gości przechowywane są do momentu wycofania zgody przez gościa, wypisania z listy SMS (STOP / tastetext.pl/unregister) lub usunięcia lokalu/konta restauracji.
2. Po zakończeniu Umowy głównej (usunięcie lokalu lub konta) Podmiot Przetwarzający usuwa powierzone dane w terminie do 30 dni, chyba że prawo wymaga dłuższego przechowywania.
3. Na żądanie Administratora Podmiot Przetwarzający umożliwia eksport bazy klientów (np. CSV) przed usunięciem.

§ 5. Obowiązki Podmiotu Przetwarzającego

1. Przetwarzanie wyłącznie na udokumentowane polecenie Administratora (konfiguracja wysyłek w Panelu).
2. Zapewnienie poufności osób upoważnionych do przetwarzania danych.
3. Środki bezpieczeństwa zgodne z art. 32 RODO, w tym szyfrowanie AES-256-GCM numerów telefonów gości w bazie danych, szyfrowanie kluczy API SMS w bazie danych oraz regularne kopie zapasowe bazy danych przechowywane w infrastrukturze w UE, z ograniczonym dostępem administracyjnym.
4. Pomoc Administratorowi w realizacji praw osób, których dane dotyczą.
5. Zgłoszenie naruszenia ochrony danych Administratorowi nie później niż w ciągu 48 godzin od wykrycia.
6. Usunięcie danych po zakończeniu świadczenia usług, chyba że prawo nakazuje dłuższe przechowywanie.
7. Udostępnienie informacji niezbędnych do wykazania zgodności z art. 28 RODO.

§ 6. Podpowierzenie (sub-processing)

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot Przetwarzający z podwykonawców, w szczególności dostawców hostingu oraz certyfikowanych operatorów bramek SMS (np. SMSAPI).
2. O zamierzonych zmianach listy podwykonawców Administrator zostanie poinformowany e-mailem. Administrator może wnieść sprzeciw w terminie 7 dni.
3. Na podwykonawców nałożone zostaną obowiązki ochrony danych zgodne z RODO.

§ 7. Odpowiedzialność

1. Administrator oświadcza, że posiada podstawę prawną do przetwarzania powierzanych danych, w tym zgodę gości na komunikację marketingową SMS.
2. Podmiot Przetwarzający odpowiada za szkody wyłącznie gdy nie dopełnił obowiązków RODO lub działał wbrew instrukcjom Administratora.

§ 8. Postanowienia końcowe

1. W sprawach nieuregulowanych mają zastosowanie przepisy RODO.
2. UPPDO zostaje zawarta w formie elektronicznej w momencie akceptacji przez Administratora przy dodawaniu lokalu w Panelu TasteText.