Contract de persoană împuternicită de operator

Traducere cu titlu informativ. În caz de dubiu, prevalează versiunea în limba spaniolă.

Articolul 28 din Regulamentul (UE) 2016/679 (RGPD) · Versiunea 2026-10-01

1. Obiect

Operatorul încredințează elpizzero prelucrarea datelor cu caracter personal necesară pentru prestarea serviciilor platformei: meniu digital, primirea și gestionarea comenzilor, TPV, rezervări, notificări, facturare și instrumentele asociate. elpizzero va prelucra aceste date exclusiv în numele și conform instrucțiunilor documentate ale Operatorului.

2. Durata

Acest contract este în vigoare cât timp există un raport de prestare de servicii între părți. La încetarea acestuia se va aplica clauza 9 (restituire/ștergere).

3. Natura, scopul și datele prelucrate

• Categorii de persoane vizate: clienții finali ai restaurantului și, după caz, personalul/utilizatorii restaurantului.
• Tipuri de date: de identificare și de contact (nume, telefon, e-mail, adresa de livrare), datele comenzii și ale plății (gestionate de furnizorul de plăți) și istoricul comenzilor. Nu se prelucrează în mod intenționat categorii speciale de date.
• Scop: exclusiv executarea serviciilor contractate de Operator.

4. Obligațiile elpizzero (Persoana împuternicită)

1. Să prelucreze datele numai conform instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile internaționale, cu excepția cazului în care există o obligație legală. Dacă, în opinia sa, o instrucțiune încalcă RGPD sau o altă normă de protecție a datelor, elpizzero va informa imediat Operatorul (art. 28 alin. (3) RGPD).
2. Să garanteze confidențialitatea și că persoanele autorizate se angajează să o respecte.
3. Să aplice măsuri tehnice și organizatorice adecvate (art. 32 RGPD): criptarea credențialelor sensibile, controlul accesului pe roluri, izolarea datelor între restaurante, copii de siguranță criptate și jurnal de activitate.
4. Să asiste Operatorul pentru a răspunde cererilor privind drepturile persoanelor vizate (acces, rectificare, ștergere, opoziție, portabilitate, restricționare).
5. Să asiste Operatorul în îndeplinirea art. 32-36 (securitate, notificarea încălcărilor și evaluări de impact).
6. Să notifice Operatorul fără întârzieri nejustificate și, cel târziu, în 48 de ore de la luarea la cunoștință a unei încălcări de securitate care afectează datele sale, cu informațiile necesare pentru ca Operatorul să își îndeplinească obligația de notificare către autoritate (72 h) și, după caz, către persoanele vizate.
7. Să pună la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea obligațiilor și să permită audituri rezonabile.

5. Subîmputerniciți

📣 Modificări comunicate la 2 octombrie 2026, în vigoare de la 18 octombrie 2026: se renunță la ipwho.is (localizarea aproximativă a IP-ului se va face pe propriul nostru server); e-mailul este furnizat de Hostinger, care figurează deja ca subîmputernicit; iar serviciile OpenStreetMap se folosesc și pentru hărțile din pagina de urmărire a comenzii. În plus, punctul 4 consemnează în scris instrucțiunea dumneavoastră ca să soluționăm în numele dumneavoastră cererile de ștergere ale clienților dumneavoastră primite pe platformă, păstrând ceea ce legea obligă să se păstreze. Vă puteți opune scriind la privacidad@elpizzero.com înainte de această dată (art. 28 alin. (2) RGPD).

Operatorul autorizează elpizzero să recurgă la următorii subîmputerniciți pentru prestarea serviciului, elpizzero angajându-se să le impună obligații echivalente de protecție a datelor:

• Hostinger — găzduire și infrastructură (servere în UE).
• Stripe — procesarea plăților (atunci când restaurantul îl activează cu propriile chei).
• Furnizor de e-mail SMTP — trimiterea de notificări și comunicări.
• OpenAI (Statele Unite) — traducerea meniului și a observațiilor pe care clientul le scrie în comandă, precum și citirea meniurilor și a facturilor; fără nume, telefon, e-mail sau adresă.
• Twilio (Statele Unite) — apeluri automate de avizare a restaurantului, atunci când sunt activate (telefonul restaurantului).
• Telegram — notificări către restaurant privind comenzile, doar dacă Operatorul le activează; conțin doar numărul și valoarea comenzii, nicio dată a clienților săi (Telegram nu oferă contract de persoană împuternicită, deci nu i se încredințează).
• hCaptcha · Intuition Machines (Statele Unite) — protecție împotriva roboților în formularele publice (IP și datele browserului).
• Servicii de căutare de adrese și calcul de rute bazate pe OpenStreetMap (Nominatim, OSRM, openrouteservice) — adresa de livrare.
• Reparto — platformă de logistică de ultimă milă (api.elpizzero.es), numai dacă Operatorul activează integrarea «Reparto» și furnizează propriul token. Pentru fiecare comandă la domiciliu primește strictul necesar pentru efectuarea livrării: adresa și coordonatele de livrare, telefonul de contact, suma de încasat și detaliul comenzii. Prelucrează aceste date exclusiv în numele Operatorului și este supusă unor obligații echivalente cu cele din acest contract. Ștergere: când Operatorul dispune ștergerea datelor unui client, ordinul este comunicat automat către Reparto, care șterge adresa, coordonatele, telefonul, observațiile și detaliul comenzii, păstrând doar date operaționale neidentificabile (starea, datele și sumele).

Lista în vigoare este disponibilă și va fi actualizată în acest document. elpizzero va informa cu privire la schimbările de subîmputerniciți, oferind Operatorului posibilitatea de a se opune.

Nu sunt subîmputerniciți instrumentele terților pe care Operatorul decide să le activeze în meniul său cu propriul cont (de exemplu, pixelul Meta, care se încarcă doar dacă clientul acceptă cookie-urile de marketing): acel furnizor prelucrează datele ca operator, împreună cu Operatorul, și nu în numele elpizzero (Hotărârea Curții de Justiție a UE din 29 iulie 2019, Fashion ID, cauza C-40/17).

5 bis. Utilizarea inteligenței artificiale

Unele funcții ale platformei folosesc servicii de inteligență artificială (în prezent OpenAI, SUA, cu garanții adecvate de transfer) pentru: scanarea meniurilor (extragerea categoriilor și a produselor din fotografii sau PDF-uri ale restaurantului), scanarea facturilor furnizorilor (consultanță și inventar), traducerea meniului și a textelor în alte limbi și detectarea inventarului și generarea de conținut de suport.

Se trimite doar conținutul necesar și nu se trimit în mod intenționat datele clienților finali; ocazional, o traducere ar putea include un text liber scris de client (de ex. o observație la comandă). Operatorul autorizează această prelucrare prin IA prin acceptarea acestui contract și se angajează să nu introducă date cu caracter personal inutile în aceste funcții. Fiecare funcție care folosește IA este identificată ca atare în panou, conform principiilor transparenței (inclusiv Regulamentul (UE) 2024/1689 privind IA).

6. Obligațiile Operatorului (restaurantul)

• Să asigure temeiul de legitimitate al prelucrărilor pe care le încredințează și informarea persoanelor vizate.
• Să dispună de propria politică de confidențialitate și de o identificare fiscală corectă în profilul său.
• Să nu introducă pe platformă categorii speciale de date fără un temei adecvat.

7. Locația datelor și transferuri

Datele sunt găzduite pe servere situate în Uniunea Europeană. Dacă vreun subîmputernicit ar implica un transfer internațional, acesta se va efectua cu garanțiile din Capitolul V al RGPD (decizie de adecvare sau clauze contractuale standard).

8. Încălcări de securitate

În cazul unei încălcări a securității datelor, elpizzero va urma protocolul său de răspuns și va notifica Operatorul conform clauzei 4.6, pentru ca acesta să își poată îndeplini obligația din art. 33 RGPD (notificarea autorității de supraveghere în 72 h, când este cazul).

9. Restituirea sau ștergerea la încetare

La încetarea serviciului, la alegerea Operatorului, elpizzero va restitui sau va șterge datele cu caracter personal prelucrate în numele său, precum și copiile existente, cu excepția cazului în care există o obligație legală de păstrare.

10. Răspundere și legislație

Fiecare parte răspunde pentru neîndeplinirea obligațiilor sale conform RGPD și LO 3/2018 (LOPDGDD). Acest contract este guvernat de legislația spaniolă și a UE.

Acceptarea acestui contract este înregistrată cu data, versiunea și IP-ul la înregistrare sau la acceptarea din panou. Ultima actualizare: 2026-10-01.