Umowa powierzenia przetwarzania danych

Tłumaczenie informacyjne. W razie wątpliwości rozstrzygająca jest wersja w języku hiszpańskim.

Artykuł 28 rozporządzenia (UE) 2016/679 (RODO) · Wersja 2026-10-01

1. Przedmiot

Administrator powierza elpizzero przetwarzanie danych osobowych niezbędne do świadczenia usług platformy: cyfrowa karta dań, przyjmowanie zamówień i zarządzanie nimi, TPV, rezerwacje, powiadomienia, fakturowanie i powiązane narzędzia. elpizzero będzie przetwarzać te dane wyłącznie w imieniu Administratora i zgodnie z jego udokumentowanymi poleceniami.

2. Czas trwania

Niniejsza umowa obowiązuje, dopóki istnieje stosunek usługowy między stronami. Po jego zakończeniu zastosowanie ma klauzula 9 (zwrot/usunięcie).

3. Charakter, cel i przetwarzane dane

• Kategorie osób, których dane dotyczą: klienci końcowi restauracji oraz, w stosownych przypadkach, pracownicy/użytkownicy restauracji.
• Rodzaje danych: dane identyfikacyjne i kontaktowe (imię i nazwisko, telefon, adres e-mail, adres dostawy), dane zamówienia i płatności (obsługiwane przez dostawcę płatności) oraz historia zamówień. Szczególne kategorie danych nie są przetwarzane celowo.
• Cel: wyłącznie wykonywanie usług zleconych przez Administratora.

4. Obowiązki elpizzero (Podmiot przetwarzający)

1. Przetwarzać dane wyłącznie zgodnie z udokumentowanymi poleceniami Administratora, w tym w odniesieniu do przekazywania danych za granicę, chyba że wymaga tego prawo. Jeżeli zdaniem podmiotu przetwarzającego polecenie narusza RODO lub inny przepis o ochronie danych, elpizzero niezwłocznie poinformuje o tym Administratora (art. 28 ust. 3 RODO).
2. Zapewnić poufność oraz zobowiązanie osób upoważnionych do jej zachowania.
3. Stosować odpowiednie środki techniczne i organizacyjne (art. 32 RODO): szyfrowanie wrażliwych danych uwierzytelniających, kontrola dostępu według ról, izolacja danych między restauracjami, szyfrowane kopie zapasowe i rejestr aktywności.
4. Pomagać Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie ich praw (dostęp, sprostowanie, usunięcie, sprzeciw, przenoszenie, ograniczenie).
5. Pomagać Administratorowi w wypełnianiu obowiązków wynikających z art. 32–36 (bezpieczeństwo, zgłaszanie naruszeń i oceny skutków).
6. Zawiadamiać Administratora bez zbędnej zwłoki i najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia bezpieczeństwa dotyczącego jego danych, wraz z informacjami niezbędnymi, aby Administrator mógł wypełnić obowiązek zgłoszenia organowi (72 h) oraz, w stosownych przypadkach, osobom, których dane dotyczą.
7. Udostępniać Administratorowi informacje niezbędne do wykazania zgodności z obowiązkami i umożliwiać rozsądne audyty.

5. Podmioty dalej przetwarzające

📣 Zmiany zakomunikowane 2 października 2026 r., obowiązujące od 18 października 2026 r.: przestajemy korzystać z ipwho.is (przybliżona lokalizacja adresu IP będzie obliczana na naszym własnym serwerze); pocztę elektroniczną świadczy Hostinger, który już figuruje jako podmiot dalej przetwarzający; a usługi OpenStreetMap są wykorzystywane także do map na stronie śledzenia zamówienia. Ponadto punkt 4 utrwala na piśmie Państwa polecenie, abyśmy w Państwa imieniu obsługiwali wnioski o usunięcie danych Państwa klientów otrzymane na platformie, zachowując to, co prawo nakazuje przechowywać. Mogą Państwo wnieść sprzeciw, pisząc na adres privacidad@elpizzero.com przed tą datą (art. 28 ust. 2 RODO).

Administrator upoważnia elpizzero do korzystania z następujących podmiotów dalej przetwarzających w celu świadczenia usługi, przy czym elpizzero zobowiązuje się nałożyć na nie równoważne obowiązki w zakresie ochrony danych:

• Hostinger — hosting i infrastruktura (serwery w UE).
• Stripe — przetwarzanie płatności (gdy restauracja włączy je za pomocą własnych kluczy).
• Dostawca poczty elektronicznej SMTP — wysyłanie powiadomień i komunikatów.
• OpenAI (Stany Zjednoczone) — tłumaczenie karty dań i uwag wpisywanych przez klienta w zamówieniu oraz odczytywanie menu i faktur; bez imienia i nazwiska, telefonu, adresu e-mail ani adresu.
• Twilio (Stany Zjednoczone) — automatyczne połączenia powiadamiające restaurację, gdy są włączone (telefon restauracji).
• Telegram — powiadomienia restauracji o zamówieniach, tylko jeśli Administrator je włączy; zawierają wyłącznie numer i kwotę zamówienia, żadnych danych jego klientów (Telegram nie oferuje umowy powierzenia, dlatego nie powierza mu się danych).
• hCaptcha · Intuition Machines (Stany Zjednoczone) — ochrona przed botami w formularzach publicznych (adres IP i dane przeglądarki).
• Usługi wyszukiwania adresów i obliczania tras oparte na OpenStreetMap (Nominatim, OSRM, openrouteservice) — adres dostawy.
• Reparto — platforma logistyczna ostatniej mili (api.elpizzero.es), wyłącznie jeśli Administrator włączy integrację «Reparto» i poda własny token. Z każdego zamówienia z dostawą do domu otrzymuje to, co niezbędne do wykonania dostawy: adres i współrzędne dostawy, telefon kontaktowy, kwotę do pobrania i szczegóły zamówienia. Przetwarza te dane wyłącznie w imieniu Administratora i podlega obowiązkom równoważnym obowiązkom z niniejszej umowy. Usunięcie: gdy Administrator poleca usunąć dane klienta, polecenie jest automatycznie przekazywane do Reparto, który usuwa adres, współrzędne, telefon, uwagi i szczegóły zamówienia, zachowując wyłącznie dane operacyjne niepozwalające na identyfikację (status, daty i kwoty).

Aktualna lista jest dostępna i będzie aktualizowana w niniejszym dokumencie. elpizzero poinformuje o zmianach podmiotów dalej przetwarzających, dając Administratorowi możliwość wniesienia sprzeciwu.

Podmiotami dalej przetwarzającymi nie są narzędzia osób trzecich, które Administrator decyduje się włączyć w swojej karcie dań za pomocą własnego konta (na przykład piksel Meta, który ładuje się tylko wtedy, gdy klient zaakceptuje marketingowe pliki cookie): ten dostawca przetwarza dane jako administrator, wspólnie z Administratorem, a nie w imieniu elpizzero (wyrok Trybunału Sprawiedliwości UE z 29 lipca 2019 r., Fashion ID, sprawa C-40/17).

5 bis. Wykorzystanie sztucznej inteligencji

Niektóre funkcje platformy korzystają z usług sztucznej inteligencji (obecnie OpenAI, USA, z odpowiednimi gwarancjami przekazywania danych) do: skanowania kart dań/menu (wyodrębnianie kategorii i produktów ze zdjęć lub plików PDF restauracji), skanowania faktur dostawców (doradztwo i inwentaryzacja), tłumaczenia karty dań i tekstów na inne języki oraz wykrywania stanów magazynowych i generowania treści pomocniczych.

Przesyłana jest wyłącznie niezbędna treść i dane klientów końcowych nie są wysyłane celowo; okazjonalnie tłumaczenie może obejmować dowolny tekst wpisany przez klienta (np. uwagę do zamówienia). Administrator upoważnia to przetwarzanie z użyciem AI poprzez zaakceptowanie niniejszej umowy i zobowiązuje się nie wprowadzać zbędnych danych osobowych do tych funkcji. Każda funkcja wykorzystująca AI jest w panelu oznaczona jako taka, zgodnie z zasadami przejrzystości (w tym rozporządzeniem (UE) 2024/1689 w sprawie AI).

6. Obowiązki Administratora (restauracji)

• Zapewnić podstawę prawną przetwarzania, które zleca, oraz informowanie osób, których dane dotyczą.
• Posiadać własną politykę prywatności i prawidłowe dane identyfikacji podatkowej w swoim profilu.
• Nie wprowadzać na platformę szczególnych kategorii danych bez odpowiedniej podstawy.

7. Lokalizacja danych i przekazywanie

Dane są przechowywane na serwerach znajdujących się w Unii Europejskiej. Jeśli któryś z podmiotów dalej przetwarzających będzie wiązał się z przekazaniem danych poza UE, nastąpi ono z zachowaniem gwarancji z rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne).

8. Naruszenia bezpieczeństwa

W przypadku naruszenia bezpieczeństwa danych elpizzero zastosuje swój protokół reagowania i powiadomi Administratora zgodnie z klauzulą 4.6, aby ten mógł wypełnić obowiązek z art. 33 RODO (zgłoszenie organowi nadzorczemu w ciągu 72 h, gdy ma to zastosowanie).

9. Zwrot lub usunięcie po zakończeniu

Po zakończeniu usługi, według wyboru Administratora, elpizzero zwróci lub usunie dane osobowe przetwarzane w jego imieniu, jak również istniejące kopie, chyba że istnieje prawny obowiązek ich przechowywania.

10. Odpowiedzialność i prawo

Każda ze stron odpowiada za niewykonanie swoich obowiązków zgodnie z RODO i LO 3/2018 (LOPDGDD). Niniejsza umowa podlega prawu hiszpańskiemu i prawu UE.

Akceptacja niniejszej umowy jest rejestrowana wraz z datą, wersją i adresem IP przy rejestracji lub przy jej zaakceptowaniu w panelu. Ostatnia aktualizacja: 2026-10-01.