Verwerkersovereenkomst

Informatieve vertaling. In geval van twijfel prevaleert de Spaanse versie.

Artikel 28 van Verordening (EU) 2016/679 (AVG) · Versie 2026-10-01

1. Voorwerp

De Verwerkingsverantwoordelijke draagt elpizzero de verwerking op van de persoonsgegevens die nodig zijn om de diensten van het platform te verlenen: digitale menukaart, ontvangst en beheer van bestellingen, kassasysteem, reserveringen, meldingen, facturering en bijbehorende hulpmiddelen. elpizzero verwerkt deze gegevens uitsluitend namens en volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke.

2. Duur

Deze overeenkomst geldt zolang er een dienstverband tussen de partijen bestaat. Na beëindiging is clausule 9 (teruggave/wissing) van toepassing.

3. Aard, doel en verwerkte gegevens

• Categorieën van betrokkenen: eindklanten van het restaurant en, in voorkomend geval, personeel/gebruikers van het restaurant.
• Soorten gegevens: identificatie- en contactgegevens (naam, telefoonnummer, e-mailadres, bezorgadres), bestel- en betaalgegevens (beheerd door de betalingsdienstaanbieder) en bestelgeschiedenis. Bijzondere categorieën worden niet opzettelijk verwerkt.
• Doel: uitsluitend de uitvoering van de door de Verwerkingsverantwoordelijke afgenomen diensten.

4. Verplichtingen van elpizzero (Verwerker)

1. De gegevens uitsluitend verwerken volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook met betrekking tot internationale doorgiften, tenzij een wettelijke verplichting anders bepaalt. Als een instructie naar zijn mening in strijd is met de AVG of andere regelgeving inzake gegevensbescherming, elpizzero informeert de Verwerkingsverantwoordelijke onmiddellijk (art. 28.3 AVG).
2. De vertrouwelijkheid waarborgen en ervoor zorgen dat de gemachtigde personen zich daartoe verbinden.
3. De passende technische en organisatorische maatregelen toepassen (art. 32 AVG): versleuteling van gevoelige toegangsgegevens, toegangscontrole per rol, scheiding van gegevens tussen restaurants, versleutelde back-ups en activiteitenregistratie.
4. De Verwerkingsverantwoordelijke bijstaan bij het beantwoorden van verzoeken van betrokkenen om hun rechten uit te oefenen (inzage, rectificatie, wissing, bezwaar, overdraagbaarheid, beperking).
5. De Verwerkingsverantwoordelijke bijstaan bij de naleving van art. 32 tot en met 36 (beveiliging, melding van inbreuken en effectbeoordelingen).
6. De Verwerkingsverantwoordelijke in kennis stellen zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij kennis heeft genomen van een beveiligingsinbreuk die zijn gegevens treft, met de informatie die nodig is opdat de Verwerkingsverantwoordelijke zijn meldingsplicht jegens de autoriteit (72 uur) en, in voorkomend geval, jegens de betrokkenen kan nakomen.
7. De Verwerkingsverantwoordelijke de informatie ter beschikking stellen die nodig is om de naleving aan te tonen en redelijke audits mogelijk maken.

5. Subverwerkers

📣 Wijzigingen meegedeeld op 2 oktober 2026, van kracht op 18 oktober 2026: ipwho.is wordt niet meer gebruikt (de geschatte locatie van het IP-adres wordt voortaan op onze eigen server bepaald); de e-maildienst wordt verleend door Hostinger, dat al als subverwerker is vermeld; en de diensten van OpenStreetMap worden ook gebruikt voor de kaarten op de pagina voor het volgen van de bestelling. Bovendien legt punt 4 uw instructie schriftelijk vast dat wij namens u de verzoeken tot verwijdering van uw klanten afhandelen die op het platform worden ontvangen, met behoud van wat de wet verplicht te bewaren. U kunt bezwaar maken door vóór die datum te schrijven naar privacidad@elpizzero.com (art. 28.2 AVG).

De Verwerkingsverantwoordelijke machtigt elpizzero om de volgende subverwerkers in te schakelen om de dienst te verlenen, waarbij elpizzero zich ertoe verbindt hun gelijkwaardige verplichtingen op het gebied van gegevensbescherming op te leggen:

• Hostinger — hosting en infrastructuur (servers in de EU).
• Stripe — verwerking van betalingen (wanneer het restaurant dit met zijn eigen sleutels activeert).
• Aanbieder van SMTP-e-mail — verzending van meldingen en communicatie.
• OpenAI (Verenigde Staten) — vertaling van de menukaart en van de opmerkingen die de klant bij zijn bestelling schrijft, en het lezen van menu's en facturen; zonder naam, telefoonnummer, e-mailadres of adres.
• Twilio (Verenigde Staten) — automatische telefoongesprekken om het restaurant te waarschuwen, indien geactiveerd (telefoonnummer van het restaurant).
• Telegram — meldingen van bestellingen aan het restaurant, alleen als de Verwerkingsverantwoordelijke deze activeert; ze bevatten alleen het nummer en het bedrag van de bestelling, geen enkel gegeven van zijn klanten (Telegram biedt geen verwerkersovereenkomst, dus er worden geen gegevens aan toevertrouwd).
• hCaptcha · Intuition Machines (Verenigde Staten) — bescherming tegen bots in de openbare formulieren (IP-adres en browsergegevens).
• Diensten voor het zoeken van adressen en het berekenen van routes op basis van OpenStreetMap (Nominatim, OSRM, openrouteservice) — bezorgadres.
• Reparto — logistiek platform voor de laatste kilometer (api.elpizzero.es), uitsluitend als de Verwerkingsverantwoordelijke de integratie «Reparto» activeert en zijn eigen token verstrekt. Van elke thuisbezorgde bestelling ontvangt het het hoogstnodige om de bezorging uit te voeren: bezorgadres en coördinaten, contacttelefoonnummer, te innen bedrag en details van de bestelling. Het verwerkt deze gegevens uitsluitend namens de Verwerkingsverantwoordelijke en is gebonden aan verplichtingen die gelijkwaardig zijn aan die van deze overeenkomst. Wissing: wanneer de Verwerkingsverantwoordelijke opdracht geeft de gegevens van een klant te verwijderen, wordt deze opdracht automatisch aan Reparto doorgegeven, dat adres, coördinaten, telefoonnummer, opmerkingen en details van de bestelling wist en alleen niet-identificerende operationele gegevens bewaart (status, data en bedragen).

De geldende lijst is beschikbaar en wordt in dit document bijgewerkt. elpizzero informeert over wijzigingen van subverwerkers en geeft de Verwerkingsverantwoordelijke de mogelijkheid bezwaar te maken.

Geen subverwerkers zijn de hulpmiddelen van derden die de Verwerkingsverantwoordelijke besluit te activeren in zijn menukaart met zijn eigen account (bijvoorbeeld de pixel van Meta, die alleen wordt geladen als de klant de marketingcookies aanvaardt): die aanbieder verwerkt de gegevens als verwerkingsverantwoordelijke, gezamenlijk met de Verwerkingsverantwoordelijke, en niet namens elpizzero (arrest van het Hof van Justitie van de EU van 29 juli 2019, Fashion ID, zaak C-40/17).

5 bis. Gebruik van kunstmatige intelligentie

Sommige functies van het platform gebruiken diensten voor kunstmatige intelligentie (momenteel OpenAI, VS, met passende doorgiftewaarborgen) voor: het scannen van menukaarten (categorieën en producten uit foto's of pdf's van het restaurant halen), het scannen van leveranciersfacturen (administratie en voorraad), vertaling van de menukaart en van teksten naar andere talen, en voorraadherkenning en het genereren van ondersteunende inhoud.

Er wordt alleen de noodzakelijke inhoud verzonden en er worden niet opzettelijk gegevens van eindklanten verzonden; incidenteel kan een vertaling een vrije tekst van de klant bevatten (bijv. een opmerking bij de bestelling). De Verwerkingsverantwoordelijke machtigt deze verwerking door middel van AI door deze overeenkomst te aanvaarden en verbindt zich ertoe geen onnodige persoonsgegevens in deze functies in te voeren. Elke functie die AI gebruikt, is als zodanig aangeduid in het dashboard, overeenkomstig de transparantiebeginselen (waaronder Verordening (EU) 2024/1689 inzake AI).

6. Verplichtingen van de Verwerkingsverantwoordelijke (restaurant)

• De rechtsgrond waarborgen voor de verwerkingen die hij opdraagt en de informatieverstrekking aan de betrokkenen.
• Beschikken over een eigen privacybeleid en een juiste fiscale identificatie in zijn profiel.
• Geen bijzondere categorieën van gegevens in het platform invoeren zonder passende grondslag.

7. Locatie van de gegevens en doorgiften

De gegevens worden gehost op servers in de Europese Unie. Als een subverwerker een internationale doorgifte zou meebrengen, vindt deze plaats met de waarborgen van hoofdstuk V van de AVG (adequaatheidsbesluit of standaardcontractbepalingen).

8. Beveiligingsinbreuken

In geval van een inbreuk op de beveiliging van de gegevens volgt elpizzero zijn responsprotocol en stelt hij de Verwerkingsverantwoordelijke daarvan in kennis overeenkomstig clausule 4.6, zodat deze art. 33 AVG kan nakomen (melding aan de toezichthoudende autoriteit binnen 72 uur indien van toepassing).

9. Teruggave of wissing bij beëindiging

Bij beëindiging van de dienst en naar keuze van de Verwerkingsverantwoordelijke elpizzero geeft de namens hem verwerkte persoonsgegevens, alsmede de bestaande kopieën, terug of wist deze, tenzij een wettelijke bewaarplicht bestaat.

10. Aansprakelijkheid en toepasselijk recht

Elke partij is aansprakelijk voor de niet-nakoming van haar verplichtingen overeenkomstig de AVG en de LO 3/2018 (LOPDGDD). Op deze overeenkomst is het Spaanse en het EU-recht van toepassing.

De aanvaarding van deze overeenkomst wordt vastgelegd met datum, versie en IP-adres bij de aanmelding of bij aanvaarding vanuit het dashboard. Laatst bijgewerkt: 2026-10-01.