1. Strony i role
Klient jest administratorem danych osobowych gości i decyduje o tym, w jakim celu i w jaki sposób są one przetwarzane. [A PREENCHER: denominação social], o numerze identyfikacji podatkowej [A PREENCHER: NIF] i z siedzibą pod adresem [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), jest podmiotem przetwarzającym i przetwarza te dane w imieniu klienta.
Umowa jest zawierana z chwilą utworzenia przez klienta organizacji Pro, a jej akceptacja jest rejestrowana. Kto chce otrzymać podpisaną kopię, może o nią poprosić pod adresem privacy@seatalia.com.
2. Przedmiot, czas trwania i charakter przetwarzania
Przedmiotem jest świadczenie usługi Seatalia: przechowywanie, porządkowanie, rozsadzanie, eksportowanie i wyświetlanie danych gości (w tym strona QR i RSVP). Czas trwania to okres subskrypcji Pro, wydłużony o czas niezbędny do zwrotu lub usunięcia danych.
3. Rodzaje danych i osoby, których dane dotyczą
Osobami, których dane dotyczą, są goście i osoby towarzyszące na wydarzeniach klienta oraz użytkownicy jego organizacji. Przetwarzane dane mogą obejmować:
- imię, nazwisko, rodzinę, grupę i stół;
- informację, czy to dorosły, dziecko czy niemowlę, oraz wiek lub przedział wiekowy;
- danie, etykiety diet lub alergii oraz notatki o dietach, które mogą stanowić dane dotyczące zdrowia (art. 9);
- e-mail i telefon, jeśli RSVP o nie prosi lub jeśli klient je wprowadzi;
- e-mail oraz imię i nazwisko użytkowników organizacji.
4. Do czego zobowiązuje się Seatalia
Jako podmiot przetwarzający Seatalia zobowiązuje się do:
- przetwarzania danych wyłącznie na udokumentowane polecenie klienta (niniejsza umowa i sposób, w jaki klient korzysta z usługi) oraz do poinformowania go, jeśli uzna, że polecenie narusza RODO;
- zapewnienia, że osoby upoważnione do przetwarzania danych są związane zobowiązaniem do zachowania poufności;
- stosowania środków bezpieczeństwa z art. 32, opisanych poniżej;
- korzystania z usług dalszych podmiotów przetwarzających wyłącznie na podstawie ogólnej zgody klienta, z nałożeniem na nie równoważnych obowiązków. Lista jest opublikowana, a o zmianach informujemy z 30-dniowym wyprzedzeniem, przy czym klient może wnieść sprzeciw;
- pomagania klientowi w odpowiadaniu na żądania osób, których dane dotyczą, za pomocą narzędzi eksportu do CSV i usuwania dostępnych w usłudze;
- pomagania klientowi w wywiązywaniu się z obowiązków wynikających z art. 32–36 (bezpieczeństwo, naruszenia ochrony danych, oceny skutków i uprzednie konsultacje);
- zgłaszania klientowi każdego naruszenia ochrony danych osobowych bez zbędnej zwłoki i, jeśli to możliwe, w ciągu 48 godzin od momentu, w którym dowiemy się o naruszeniu;
- zwrotu danych po zakończeniu usługi (eksport) lub ich usunięcia, co następuje automatycznie 90 dni po dacie każdego wydarzenia, bez uszczerbku dla przechowywania wymaganego prawem. Usunięte dane znikają z kopii zapasowych w ciągu 30 dni;
- udostępniania klientowi informacji niezbędnych do wykazania zgodności z obowiązkami oraz umożliwiania uzasadnionych audytów, po uprzednim powiadomieniu;
- nieprzekazywania danych poza Europejski Obszar Gospodarczy bez odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne.
5. Do czego zobowiązuje się klient
Klient zobowiązuje się do:
- posiadania podstawy prawnej do przetwarzania danych gości i poinformowania ich o przetwarzaniu;
- wprowadzania tylko potrzebnych danych oraz rejestrowania diet i alergii wyłącznie wtedy, gdy są niezbędne dla cateringu;
- podjęcia decyzji, czy włączyć stronę QR i RSVP oraz na jak długo;
- wydawania poleceń na piśmie i odpowiadania osobom, których dane dotyczą;
- dopilnowania, aby jego użytkownicy korzystali z usługi zgodnie z regulaminem.
6. Wydarzenia utworzone przez link lokalu
Gdy para tworzy swoje wydarzenie przez link lokalu, para zachowuje swoje konto i swoje wydarzenie. Lokal ma dostęp do planu dopiero po tym, jak para zaakceptuje połączenie. Lokal przetwarza otrzymane dane jako administrator danych, na zasadach określonych w niniejszej umowie.
7. Środki bezpieczeństwa
Stosujemy między innymi następujące środki techniczne i organizacyjne:
- hosting w UE i szyfrowane połączenie (TLS);
- szyfrowanie w spoczynku na dysku i w kopiach zapasowych oraz szyfrowanie pole po polu notatek o dietach;
- logowanie bez hasła, za pomocą jednorazowych linków ważnych 15 minut;
- linki do udostępniania, kody QR i RSVP z długimi losowymi kodami oraz limity żądań;
- stronę QR, która pokazuje tylko imię i stół, nigdy diety, i działa bez trackerów;
- wewnętrzny dostęp do danych gości wyłącznie na prośbę klienta i z rejestrowaniem;
- kopie zapasowe przechowywane przez 30 dni oraz rejestr błędów bez danych osobowych.
8. Odpowiedzialność
Odpowiedzialność każdej ze stron wobec osób, których dane dotyczą, reguluje art. 82 RODO. Między stronami stosuje się ograniczenia wynikające z regulaminu, w zakresie dozwolonym przez prawo.
9. Czas obowiązywania i prawo właściwe
Umowa obowiązuje, dopóki klient korzysta z usługi, a obowiązki dotyczące usuwania danych i zachowania poufności trwają także po jej zakończeniu. Podlega prawu: [A PREENCHER: lei aplicável e tribunal competente].
10. Kontakt
Aby skorzystać z przysługujących praw lub poprosić o podpisaną kopię: privacy@seatalia.com.