Umowa powierzenia przetwarzania danych osobowych Lokanda

Umowa powierzenia przetwarzania danych osobowych (dalej: "Umowa powierzenia") zostaje zawarta między Klientem, czyli przedsiębiorcą prowadzącym lokal gastronomiczny, jako administratorem danych (dalej: "Administrator") a Michałem Foxem, prowadzącym działalność pod marką "Lokanda", działającym w Krakowie, e-mail: hello@lokanda.pl, jako podmiotem przetwarzającym (dalej: "Lokanda", "Operator", "my").

Umowę powierzenia zawiera się przez akceptację Regulaminu przy zakładaniu konta w Panelu. Jest ona częścią Umowy i obowiązuje przez czas jej trwania, także w czasie Próby, a po jej zakończeniu do usunięcia danych na zasadach pkt 12.

Umowa powierzenia jest zawierana na podstawie art. 28 rozporządzenia (UE) 2016/679 (RODO).

Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie albo w RODO. W sprawach danych osobowych Umowa powierzenia ma pierwszeństwo przed Regulaminem.

Przetwarzamy dane wyłącznie po to, żeby udostępnić Administratorowi Panel do prowadzenia lokalu: rezerwacje i karty gości, Strony gościa, Wiadomości serwisowe, grafik pracowników, rachunki, dostawy, raporty i dziennik aktywności.

Przetwarzanie obejmuje przechowywanie, porządkowanie, udostępnianie Administratorowi w Panelu, wysyłanie Wiadomości serwisowych, obliczanie zestawień, tworzenie kopii na żądanie Administratora i usuwanie.

Przetwarzanie trwa przez czas trwania Umowy i okres opisany w pkt 12.

Przetwarzanie dotyczy następujących osób i danych:

Panel nie wymaga podawania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO) i nie wyodrębnia ich. Pola opisowe mogą je jednak zawierać, jeżeli wpisze je gość albo obsługa lokalu, na przykład informację o alergii w uwagach do rezerwacji albo powód wniosku o wolne.

Za takie wpisy i ich podstawę prawną odpowiada Administrator. Przechowujemy je wyłącznie jako część wpisu i nie przetwarzamy ich w inny sposób.

Przetwarzamy dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek wynika z prawa Unii albo państwa członkowskiego. W takim przypadku informujemy o tym Administratora przed rozpoczęciem przetwarzania, jeżeli prawo tego nie zabrania.

Poleceniem są Umowa, ustawienia i działania Użytkowników w Panelu oraz Zgłoszenia.

Jeżeli polecenie naszym zdaniem narusza RODO albo inne przepisy o ochronie danych, niezwłocznie informujemy o tym Administratora i wstrzymujemy jego wykonanie do czasu wyjaśnienia.

Danych nie przetwarzamy we własnych celach, nie sprzedajemy ich, nie łączymy danych różnych lokali i nie używamy ich do marketingu.

Operator:

1. dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności;
2. stosuje środki bezpieczeństwa opisane w pkt 6;
3. pomaga Administratorowi w realizacji praw osób, których dane dotyczą, a żądanie, które trafi do nas bezpośrednio, niezwłocznie przekazuje Administratorowi;
4. pomaga Administratorowi w wykonaniu obowiązków z art. 32 do 36 RODO, w szczególności przekazuje opis przetwarzania potrzebny do oceny skutków;
5. zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki po jego stwierdzeniu, z opisem charakteru naruszenia, kategorii i przybliżonej liczby osób, prawdopodobnych skutków i podjętych środków;
6. prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

Rezerwacje, pracowników, zmiany i dostawców Administrator usuwa i poprawia sam w Panelu. Karty gości i wpisy dziennika aktywności usuwamy na polecenie Administratora złożone w Zgłoszeniu.

Administrator może sprawdzić, czy przestrzegamy Umowy powierzenia. Audyt zapowiada z rozsądnym wyprzedzeniem i prowadzi przede wszystkim przez pytania i dokumenty, a na miejscu po uzgodnieniu terminu, w sposób, który nie ujawnia danych innych lokali. Udostępniamy informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO. Koszty audytu ponosi Administrator.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

1. szyfrowanie połączeń z Serwisem i Panelem (HTTPS);
2. hasła Użytkowników przechowywane wyłącznie jako skrót bcrypt z solą;
3. sesję w ciasteczku niedostępnym dla skryptów strony, ważną 30 dni, którą można zakończyć na każdym urządzeniu;
4. limity prób logowania, rejestracji i rezerwacji online;
5. role w Panelu (właściciel, menedżer, obsługa) i uprawnienia nadawane Użytkownikom;
6. oddzielenie danych poszczególnych lokali, z dostępem wyłącznie dla Użytkowników danego lokalu;
7. dziennik aktywności widoczny dla lokalu;
8. dostęp administracyjny ograniczony do osób upoważnionych.

Środki możemy zmieniać na równie skuteczne albo skuteczniejsze.

Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających w następujących kategoriach:

Aktualną listę dostawców przekazujemy Administratorowi na żądanie.

O planowanej zmianie dalszego podmiotu albo dodaniu nowej kategorii informujemy e-mailem i w Panelu co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw. Jeżeli nie znajdziemy rozwiązania, Administrator może wypowiedzieć Umowę ze skutkiem na dzień zmiany i otrzymuje zwrot części Abonamentu za niewykorzystany czas.

Dalszy podmiot przetwarzający ma obowiązki ochrony danych nie słabsze niż w Umowie powierzenia. Za jego działania odpowiadamy wobec Administratora jak za własne.

Wiadomości serwisowe wysyłamy w imieniu Administratora, wyłącznie w sprawie rezerwacji gościa: potwierdzenie, zmiana, przypomnienie i odwołanie.

Nie wysyłamy gościom marketingu i nie używamy ich danych w żadnym innym celu.

Jeżeli dalszy podmiot przetwarzający przetwarza dane poza Europejskim Obszarem Gospodarczym, przekazanie opieramy na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo na standardowych klauzulach umownych. Na żądanie informujemy Administratora o miejscu i podstawie przekazania.

Dostęp do Panelu z państwa trzeciego przez Administratora i jego Użytkowników jest decyzją Administratora.

Administrator odpowiada za zgodność przetwarzania z prawem, w szczególności za:

1. podstawę prawną przetwarzania danych gości, pracowników i dostawców, w tym za informacje o zdrowiu wpisane w polach opisowych;
2. obowiązek informacyjny wobec tych osób. Tekst pokazywany przy formularzu rezerwacji jest wzorem, który Administrator sprawdza, a w razie potrzeby uzupełnia;
3. okres przechowywania danych w Panelu i ich usuwanie w tym czasie;
4. realizację praw osób, których dane dotyczą;
5. to, kto ma dostęp do Panelu i z jakimi uprawnieniami.

Administrator nie wprowadza do Panelu danych, które nie są potrzebne do prowadzenia lokalu.

Odpowiadamy za szkody wyrządzone przetwarzaniem niezgodnym z Umową powierzenia albo z obowiązkami nałożonymi przez RODO bezpośrednio na podmioty przetwarzające, na zasadach art. 82 RODO.

W stosunkach między Stronami stosuje się ograniczenia odpowiedzialności z Regulaminu w zakresie, w jakim pozwala na to prawo.

Przez 30 dni od zakończenia Umowy Administrator może przeglądać dane w Panelu i zażądać ich kopii na zasadach Regulaminu. Następnie, w ciągu 30 dni, usuwamy wszystkie dane powierzone, także u dalszych podmiotów przetwarzających.

Na żądanie Administratora usuwamy dane wcześniej albo przekazujemy je w formacie CSV, a następnie usuwamy. Usunięcie potwierdzamy w Formie dokumentowej.

Przechowujemy dłużej tylko dane, których przechowywania wymaga prawo, i informujemy o tym Administratora.

Do Umowy powierzenia stosuje się prawo polskie. Spory rozstrzyga sąd właściwy według Regulaminu.

Umowa powierzenia jest dostępna w języku polskim i angielskim. W razie rozbieżności rozstrzyga wersja polska.

Umowa powierzenia obowiązuje od 6 listopada 2026.