Договор с обработчиком данных

Информационный перевод. В случае сомнений приоритет имеет испанская версия.

Статья 28 Регламента (ЕС) 2016/679 (GDPR / RGPD) · Версия 2026-10-01

1. Предмет

Контролер поручает elpizzero обработку персональных данных, необходимую для оказания услуг платформы: цифровое меню, приём заказов и управление ими, TPV, бронирования, уведомления, выставление счетов и связанные инструменты. elpizzero будет обрабатывать эти данные исключительно по поручению и согласно документированным инструкциям Контролера.

2. Срок действия

Настоящий договор действует, пока между сторонами существуют отношения по оказанию услуг. По их окончании применяется пункт 9 (возврат/удаление).

3. Характер, цель и обрабатываемые данные

• Категории субъектов данных: конечные клиенты ресторана и, при необходимости, персонал/пользователи ресторана.
• Виды данных: идентификационные и контактные (имя, телефон, адрес электронной почты, адрес доставки), данные заказа и платежа (обрабатываются платёжным провайдером) и история заказов. Особые категории данных намеренно не обрабатываются.
• Цель: исключительно исполнение услуг, заказанных Контролером.

4. Обязанности elpizzero (Обработчика)

1. Обрабатывать данные только в соответствии с документированными инструкциями Контролера, включая международные передачи, если иное не требуется законом. Если, по его мнению, инструкция нарушает GDPR или другую норму о защите данных, elpizzero немедленно проинформирует Контролера (ст. 28(3) GDPR).
2. Обеспечивать конфиденциальность и то, чтобы уполномоченные лица взяли на себя обязательство её соблюдать.
3. Применять соответствующие технические и организационные меры (ст. 32 GDPR): шифрование чувствительных учётных данных, контроль доступа по ролям, разделение данных между ресторанами, зашифрованные резервные копии и журнал активности.
4. Оказывать содействие Контролеру в ответе на запросы субъектов данных об осуществлении их прав (доступ, исправление, удаление, возражение, переносимость, ограничение).
5. Оказывать содействие Контролеру в выполнении ст. 32–36 (безопасность, уведомление о нарушениях и оценки воздействия).
6. Уведомлять Контролера без неоправданной задержки и не позднее чем в течение 48 часов с момента, когда ему стало известно о нарушении безопасности, затрагивающем его данные, с информацией, необходимой Контролеру для выполнения обязанности уведомить надзорный орган (72 ч) и, при необходимости, субъектов данных.
7. Предоставлять Контролеру информацию, необходимую для подтверждения соблюдения обязательств, и допускать разумные аудиты.

5. Субобработчики

📣 Изменения, сообщённые 2 октября 2026 г., вступают в силу 18 октября 2026 г.: прекращается использование ipwho.is (приблизительное определение местоположения по IP будет выполняться на нашем собственном сервере); электронную почту предоставляет Hostinger, который уже указан как субобработчик; а сервисы OpenStreetMap используются также для карт на странице отслеживания заказа. Кроме того, пункт 4 письменно фиксирует вашу инструкцию обрабатывать от вашего имени запросы на удаление, поступившие от ваших клиентов на платформе, с сохранением того, что закон обязывает хранить. Вы можете возразить, написав на privacidad@elpizzero.com до этой даты (ст. 28(2) GDPR).

Контролер разрешает elpizzero привлекать следующих субобработчиков для оказания услуги, при этом elpizzero обязуется возложить на них эквивалентные обязательства по защите данных:

• Hostinger — хостинг и инфраструктура (серверы в ЕС).
• Stripe — обработка платежей (когда ресторан включает его с собственными ключами).
• Поставщик электронной почты SMTP — отправка уведомлений и сообщений.
• OpenAI (США) — перевод меню и примечаний, которые клиент пишет в заказе, а также распознавание меню и счетов; без имени, телефона, адреса электронной почты и адреса.
• Twilio (США) — автоматические звонки-оповещения ресторану, когда они включены (телефон ресторана).
• Telegram — оповещения ресторана о заказах, только если Контролер их включает; содержат лишь номер и сумму заказа, никаких данных его клиентов (Telegram не предлагает договор обработчика, поэтому ему данные не доверяются).
• hCaptcha · Intuition Machines (США) — защита от ботов в публичных формах (IP-адрес и данные браузера).
• Сервисы поиска адресов и расчёта маршрутов на основе OpenStreetMap (Nominatim, OSRM, openrouteservice) — адрес доставки.
• Reparto — логистическая платформа последней мили (api.elpizzero.es), только если Контролер включает интеграцию «Reparto» и предоставляет собственный токен. По каждому заказу с доставкой на дом она получает только необходимое для выполнения доставки: адрес и координаты доставки, контактный телефон, сумму к получению и детали заказа. Она обрабатывает эти данные исключительно по поручению Контролера и подчиняется обязательствам, эквивалентным обязательствам настоящего договора. Удаление: когда Контролер распоряжается удалить данные клиента, распоряжение автоматически передаётся в Reparto, который удаляет адрес, координаты, телефон, примечания и детали заказа, сохраняя только неидентифицирующие операционные данные (статус, даты и суммы).

Действующий список доступен и будет обновляться в настоящем документе. elpizzero будет информировать об изменениях субобработчиков, давая Контролеру возможность возразить.

Не являются субобработчиками сторонние инструменты, которые Контролер решает включить в своём меню с собственной учётной записью (например, пиксель Meta, который загружается, только если клиент принимает маркетинговые файлы cookie): этот поставщик обрабатывает данные как контролер, совместно с Контролером, а не по поручению elpizzero (решение Суда ЕС от 29 июля 2019 г., Fashion ID, дело C-40/17).

5 bis. Использование искусственного интеллекта

Некоторые функции платформы используют сервисы искусственного интеллекта (в настоящее время OpenAI, США, с надлежащими гарантиями передачи) для: сканирования меню (извлечение категорий и продуктов из фотографий или PDF ресторана), сканирования счетов поставщиков (консультации и инвентаризация), перевода меню и текстов на другие языки, а также определения остатков и создания вспомогательного содержимого.

Отправляется только необходимое содержимое, и данные конечных клиентов намеренно не отправляются; в отдельных случаях перевод может включать произвольный текст, написанный клиентом (например, примечание к заказу). Контролер разрешает эту обработку с помощью ИИ, принимая настоящий договор, и обязуется не вводить в эти функции лишние персональные данные. Каждая функция, использующая ИИ, обозначена как таковая в панели в соответствии с принципами прозрачности (включая Регламент (ЕС) 2024/1689 об ИИ).

6. Обязанности Контролера (ресторана)

• Обеспечивать правовое основание обработки, которую он поручает, и информирование субъектов данных.
• Иметь собственную политику конфиденциальности и правильные налоговые реквизиты в своём профиле.
• Не вводить на платформу особые категории данных без надлежащего основания.

7. Местонахождение данных и передачи

Данные размещаются на серверах, расположенных в Европейском союзе. Если привлечение какого-либо субобработчика повлечёт международную передачу, она будет осуществляться с гарантиями главы V GDPR (решение об адекватности или стандартные договорные положения).

8. Нарушения безопасности

В случае нарушения безопасности данных elpizzero будет следовать своему протоколу реагирования и уведомит Контролера в соответствии с пунктом 4.6, чтобы тот мог выполнить требование ст. 33 GDPR (уведомление надзорного органа в течение 72 ч, когда это применимо).

9. Возврат или удаление по окончании

По окончании услуги, по выбору Контролера, elpizzero вернёт или удалит персональные данные, обрабатываемые по его поручению, а также существующие копии, если закон не обязывает их хранить.

10. Ответственность и право

Каждая сторона отвечает за неисполнение своих обязательств в соответствии с GDPR и LO 3/2018 (LOPDGDD). Настоящий договор регулируется законодательством Испании и ЕС.

Принятие настоящего договора регистрируется с датой, версией и IP-адресом при регистрации или при принятии из панели. Последнее обновление: 2026-10-01.