合作伙伴数据处理委托协议

本译文仅供参考。如有疑义，以西班牙语版本为准。

《欧盟条例 2016/679》（GDPR）第 28 条 · 《数据处理者协议》附件 · 版本 1.0 · 2026-10-26

1. 各方及其身份

数据控制者：通过合作伙伴订购 elpizzero 服务的各餐厅，即其账户及其客户数据的所有者。

数据处理者：elpizzero，依据各餐厅接受的《数据处理者协议》行事。

次级数据处理者：在加入合作伙伴计划或进入其管理面板时接受本附件的合作伙伴（代理商、经销商、管理服务机构或供应商）。

合作伙伴代表 elpizzero，并通过 elpizzero 代表各餐厅处理该等数据。elpizzero 对其施加与自身对餐厅承担的相同数据保护义务（GDPR 第 28.4 条），且仅允许其访问由其负责的餐厅。

2. 目的与期限

本附件旨在允许合作伙伴在平台内添加、配置并支持其餐厅，包括在线菜单、订单、POS 收银、厨房屏幕、预订及门店配置。

本附件的有效期与合作伙伴参与本计划的期限相同；对每家餐厅而言，在该餐厅由其负责期间持续有效。保密义务在此后继续有效。

3. 数据与数据主体

数据主体：餐厅的最终顾客，以及餐厅的员工和用户。

数据：身份及联系信息（姓名、电话、电子邮箱和配送地址）、订单、预订及历史记录，以及餐厅账户数据。税务数据和 VERI*FACTU 配置，仅在餐厅所有者通过其管理面板明确授权时方可处理。

处理操作：在平台内查询、记录、修改和配置。合作伙伴不得删除餐厅账户，也不得将其移出系统。

4. 指示及禁止用于自身目的

合作伙伴仅可为向该餐厅提供 elpizzero 服务并按照本指示处理数据。如认为某项指示违反适用法规，应立即通知 elpizzero。

禁止将数据用于自身或第三方目的：不得将其复制到自有数据库，不得向餐厅顾客发送商业信息，也不得将其提供给任何人。如果合作伙伴使用个人数据向餐厅提供其他自有服务，其身份为餐厅的直接数据处理者，并须与餐厅另行签订协议。

未经 elpizzero 事先书面授权，合作伙伴不得委托其他次级数据处理者。

5. 保密与安全

合作伙伴对数据负有保密义务，并确保其团队中进入管理面板的人员承诺保密，且只能访问工作所需的信息。

合作伙伴应采取适当的技术和组织措施（GDPR 第 32 条）：使用个人专属且不可转让的账户、安全密码和受保护的设备，并立即撤销离职人员的访问权限。每次进入餐厅管理面板的行为均会被记录。

6. 数据安全事件

合作伙伴发现任何影响该等数据的安全事件后，应立即且最迟在知悉之时起48 小时内，向 elpizzero 提供当时可掌握的信息，以便 elpizzero 和餐厅履行通知义务。

7. 数据主体的权利

如数据主体联系合作伙伴行使其权利，合作伙伴应在最多 5 天内将该请求转交 elpizzero 和餐厅，并协助其作出答复。

8. 返还与删除

当某餐厅不再由合作伙伴负责，或合作伙伴退出本计划时，elpizzero 将撤销其访问权限。合作伙伴应在 15 天内删除其在平台之外持有的该等数据的任何副本，并应要求提供书面证明。数据仍保留在餐厅账户中，餐厅为其所有者。

9. 审计

合作伙伴应向 elpizzero 和餐厅提供证明其遵守本附件所需的信息，并允许其本人或其指定审计员开展合理的审计和检查。

10. 责任和适用法律

各方应根据 GDPR 和《组织法 3/2018》对自身的违规行为承担责任。如合作伙伴违反本附件，elpizzero 可立即撤销其访问权限并暂停其合作伙伴账户。本附件受西班牙及欧盟法律管辖。

如对数据保护有疑问，请联系：privacidad@elpizzero.com。