Договор за обработка на данни (DPA)

01Предмет и роли на страните

По отношение на личните данни на гостите и персонала на заведението Клиентът-ресторант действа като администратор на лични данни, който определя целите и средствата на обработката, а FudiAR действа като обработващ, който обработва данните единствено от името и по документирано указание на Администратора.

02Предмет, срок, характер и цел на обработката

• Предмет — обработка на лични данни, необходима за предоставяне на услугите на платформата FudiAR (дигитално меню, поръчки, плащания, известия, доставка, аналитика).
• Срок — за времето на действие на договорните отношения между страните, освен ако законът не изисква по-дълго съхранение.
• Характер — събиране, съхранение, организиране, структуриране, използване, предаване и изтриване на лични данни чрез автоматизирани средства.
• Цел — изпълнение на услугите, описани в Общите условия, по указание на Администратора.

03Категории субекти и данни

Обработват се лични данни на следните категории субекти:

• Гости на заведението — име, телефон, имейл, адрес за доставка, съдържание на поръчки, технически данни (IP, устройство, приблизителна геолокация).
• Персонал на заведението — име, имейл, телефон, роля, данни за смени и присъствие.

Не се обработват специални категории данни по смисъла на чл. 9 от GDPR.

04Задължения на обработващия

FudiAR се задължава да:

• обработва личните данни само въз основа на документирани указания на Администратора, включително относно международни трансфери, освен ако правото на ЕС или на държава членка не изисква друго;
• гарантира, че лицата с достъп до данните са поели задължение за поверителност или са обвързани със законово такова;
• прилага подходящи технически и организационни мерки за сигурност съгласно чл. 32 от GDPR;
• оказва съдействие на Администратора при изпълнение на задълженията му за отговор на искания на субектите и при чл. 32–36 (сигурност, уведомяване за нарушения, оценка на въздействието и предварителна консултация);
• по избор на Администратора изтрие или върне всички лични данни след прекратяване на услугите и заличи съществуващите копия, освен ако законът не изисква запазване;
• предоставя на Администратора цялата информация, необходима за доказване на спазването на задълженията по чл. 28.

05Сигурност на обработката (чл. 32)

FudiAR прилага подходящи технически и организационни мерки, включително криптиране при пренос, контрол на достъпа на ниво потребител и роля (RLS), резервно копиране и непрекъснато наблюдение, с цел осигуряване на ниво на сигурност, съответстващо на риска.

06Под-обработващи

Администраторът дава генерално разрешение на FudiAR да ангажира под-обработващи за предоставяне на услугите. Текущите под-обработващи са:

• Supabase — хостинг на база данни и съхранение.
• Vercel — хостинг на приложението.
• Stripe — обработка на плащания.
• Resend — изпращане на имейли.
• Anthropic — AI превод на менютата.

FudiAR налага на всеки под-обработващ задължения за защита на данните, не по-малко обременяващи от тези в настоящия DPA, и уведомява Администратора при всяка планирана промяна на под-обработващите, давайки му възможност да възрази.

07Международни трансфери

Когато лични данни се предават на под-обработващи извън ЕС/ЕИП (напр. Stripe, Resend, Vercel, Anthropic в САЩ), трансферите са защитени със Стандартни договорни клаузи (SCC), одобрени от Европейската комисия, или с друг подходящ механизъм по глава V от GDPR.

08Права на субектите и съдействие

FudiAR съдейства на Администратора, доколкото е възможно, чрез подходящи технически и организационни мерки, за изпълнение на задължението му да отговаря на искания за упражняване на правата на субектите на данни (достъп, коригиране, изтриване, ограничаване, преносимост, възражение). Когато субект се обърне директно към FudiAR, искането се препраща към съответния Администратор.

09Нарушения на сигурността на данните

При установяване на нарушение на сигурността на личните данни FudiAR уведомява Администратора без неоснователно забавяне и му предоставя информацията, необходима за изпълнение на собствените му задължения за уведомяване по чл. 33 и 34 от GDPR.

10Одит и проверки

FudiAR предоставя на Администратора при разумно искане информация, необходима за доказване на спазването на чл. 28, и допуска и съдейства за одити, включително проверки, провеждани от Администратора или от упълномощен от него одитор, при предварително уведомление и при спазване на поверителността.

11Прекратяване

При прекратяване на услугите FudiAR, по избор на Администратора, изтрива или връща всички лични данни и заличава съществуващите копия, освен ако правото на ЕС или на държава членка не изисква тяхното запазване. Сроковете за изтриване следват Политиката за поверителност.

12Подписан екземпляр

За получаване на подписан екземпляр на този Договор за обработка на данни, моля пишете на privacy@fudiar.com или през страницата за контакти.