Personuppgiftsbiträdesavtal

1. Parter

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") gäller mellan den restaurang som har konto i tjänsten ("Personuppgiftsansvarig") och Marx Media AB, org.nr 556942-0796 ("Personuppgiftsbiträde", "vi"). Biträdesavtalet utgör en integrerad del av de allmänna villkoren och gäller så länge vi behandlar personuppgifter för Personuppgiftsansvariges räkning.

2. Bakgrund och roller

Restaurangen är personuppgiftsansvarig för de uppgifter som gästerna lämnar när de beställer. Vi tillhandahåller beställningssidan och behandlar uppgifterna endast för att leverera tjänsten. För uppgifter om restaurangens eget konto - kontaktuppgifter, inloggning, fakturaunderlag - är vi själva personuppgiftsansvariga, och den behandlingen omfattas inte av detta Biträdesavtal utan av vår integritetspolicy.

3. Föremål, varaktighet, art och ändamål

Vi behandlar personuppgifter för att ta emot, visa, bekräfta och avisera beställningar för avhämtning och hemleverans, samt för drift, säkerhet och support av tjänsten. Behandlingen pågår så länge restaurangen har ett aktivt konto. Kategorier av registrerade och personuppgifter framgår av Bilaga A.

4. Instruktioner

Vi behandlar personuppgifter endast enligt Personuppgiftsansvariges dokumenterade instruktioner. Användningen av tjänsten enligt de allmänna villkoren, inklusive de inställningar restaurangen själv väljer i adminvyn, utgör sådana instruktioner. Ytterligare instruktioner lämnas skriftligen till help@takeawayer.com. Om en instruktion enligt vår bedömning strider mot GDPR eller annan tillämplig dataskyddslagstiftning underrättar vi Personuppgiftsansvarig utan dröjsmål. Om unionsrätt eller svensk rätt kräver att vi behandlar uppgifter utöver instruktionerna informerar vi Personuppgiftsansvarig innan behandlingen, om inte lagen förbjuder det.

5. Konfidentialitet

Personer som får tillgång till personuppgifterna hos oss är bundna av tystnadsplikt. Åtkomst ges endast till dem som behöver den för att leverera tjänsten.

6. Personuppgiftsansvariges skyldigheter

Personuppgiftsansvarig ansvarar för att det finns rättslig grund för behandlingen, för den information som lämnas till gästerna, och för att inte föra in känsliga personuppgifter (artikel 9 GDPR) i fritextfält som meddelanderutan vid beställning.

7. Säkerhetsåtgärder

Vi vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, i huvudsak:

• Kryptering under överföring. All trafik till tjänsten går över TLS (HTTPS). Uppgifterna lagras krypterade i vilotillstånd hos databasleverantören.
• Åtkomstkontroll. Restaurangens personal loggar in med engångslänk via e-post; vi lagrar inga lösenord. Varje restaurang når endast sina egna beställningar och sin egen meny.
• Loggning. Ändringar av inställningar och meny loggas med tidpunkt och vem som gjorde dem.
• Motståndskraft. Frekvensbegränsning på beställnings- och inloggningsvägarna. Felövervakning sker utan personuppgifter.
• Säkerhetskopiering och återställning. Databasen säkerhetskopieras dagligen, så att uppgifterna kan göras tillgängliga igen i rimlig tid efter en incident.
• Lagringsminimering. Namn, telefonnummer, e-postadress och meddelande raderas automatiskt 90 dagar efter beställningen. Beställningens belopp behålls anonymt för restaurangens bokföring.

8. Underbiträden

Personuppgiftsansvarig ger oss ett allmänt förhandsgodkännande att anlita underbiträden. De som anlitas vid detta avtals ingående framgår av Bilaga B. Vi ålägger varje underbiträde samma skyldigheter som följer av detta Biträdesavtal och ansvarar för deras behandling som för vår egen.

Byte eller tillägg av underbiträde meddelas minst 30 dagar i förväg. Personuppgiftsansvarig får då invända på sakliga grunder; om vi inte kan erbjuda ett rimligt alternativ har Personuppgiftsansvarig rätt att säga upp tjänsten utan kostnad från den dag ändringen träder i kraft.

9. Överföring till tredjeland

Personuppgifterna lagras inom EU/EES (Frankfurt). Vissa underbiträden är etablerade utanför EU/EES; för dessa sker överföring med stöd av EU-kommissionens standardavtalsklausuler eller ett annat giltigt överföringsverktyg, kompletterat med de skyddsåtgärder som krävs. Bilaga B anger var varje underbiträde behandlar uppgifterna.

10. Bistånd vid registrerades rättigheter

Vänder sig en gäst direkt till oss hänvisar vi till restaurangen och informerar Personuppgiftsansvarig utan onödigt dröjsmål. Vi bistår med lämpliga tekniska och organisatoriska åtgärder så att Personuppgiftsansvarig kan besvara begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Restaurangen kan själv se och ändra sina beställningsuppgifter i adminvyn.

11. Personuppgiftsincident

Vi underrättar Personuppgiftsansvarig utan onödigt dröjsmål från det att vi fått kännedom om en personuppgiftsincident som rör uppgifter vi behandlar för Personuppgiftsansvariges räkning. Underrättelsen beskriver incidentens art, berörda kategorier och antal så långt de är kända, sannolika konsekvenser och vidtagna åtgärder. Vi bistår Personuppgiftsansvarig med anmälan till Integritetsskyddsmyndigheten och med information till registrerade.

12. Bistånd i övrigt

Vi bistår Personuppgiftsansvarig med säkerhet enligt artikel 32, konsekvensbedömning enligt artikel 35 och förhandssamråd enligt artikel 36, i den utsträckning det är rimligt med hänsyn till behandlingens art och den information vi har tillgång till.

13. Radering och återlämnande

När tjänsten upphör raderar vi personuppgifterna inom 90 dagar, om inte unionsrätt eller svensk rätt kräver fortsatt lagring - fakturaunderlag sparas enligt bokföringslagen i sju år. Innan radering kan Personuppgiftsansvarig exportera sin meny som CSV och sina beställningar via adminvyn.

14. Granskning

Vi ger Personuppgiftsansvarig den information som behövs för att visa att skyldigheterna i artikel 28 GDPR uppfylls, och möjliggör och medverkar vid granskning. Granskning sker på Personuppgiftsansvariges bekostnad, högst en gång per år om inte en incident eller ett myndighetskrav motiverar fler, och efter minst 30 dagars varsel.

15. Ansvar, ändringar och tvist

Ansvarsbegränsningen i de allmänna villkoren gäller även detta Biträdesavtal, i den mån tvingande rätt tillåter det. Ändringar meddelas minst 30 dagar i förväg. Vid konflikt mellan detta Biträdesavtal och de allmänna villkoren har Biträdesavtalet företräde i frågor om behandling av personuppgifter. Svensk rätt tillämpas och tvist prövas av allmän domstol med Uppsala tingsrätt som första instans.

Bilaga A - Behandlingen

Kategorier av registrerade: restaurangens gäster som lägger en beställning, samt restaurangens egen personal med tillgång till adminvyn.

Kategorier av personuppgifter: namn, telefonnummer, e-postadress, fritt meddelande till köket, beställningens innehåll och belopp, vald hämttid, samt vid hemleverans leveransadress. För personal: e-postadress och roll. Tekniska loggar för drift och säkerhet.

Känsliga personuppgifter: efterfrågas inte och ska inte föras in i tjänsten. Uppgifter om allergier kan förekomma om en gäst själv skriver dem i meddelandefältet; de behandlas då som en del av beställningen och raderas med den.

Behandlingar: insamling, lagring, visning för restaurangen, utskick av bekräftelse- och statusmejl, framtagning av underlag för restaurangens egen försäljningsuppföljning, samt automatisk radering efter 90 dagar.

Bilaga B - Underbiträden

Listan uppdateras på denna sida. Frågor om behandlingen: help@takeawayer.com.