Документ адресован заведениям (кафе, ресторанам), которые работают на платформе Menuvo, и определяет условия, на которых Menuvo обрабатывает персональные данные гостей заведения по его поручению (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон).
1. Стороны и порядок заключения
1.1. Заведение — юридическое лицо или индивидуальный предприниматель, реквизиты которого указаны в карточке заведения в бэк-офисе Menuvo и на странице условий заведения, — оператор персональных данных гостей, оформляющих у него заказы и брони.
1.2. Обработчик — Menuvo, лицо, осуществляющее обработку персональных данных по поручению Заведения. Реквизиты Обработчика — в разделе 9.
1.3. Поручение даётся Заведением путём акцепта настоящих условий владельцем аккаунта заведения в бэк-офисе Menuvo (кнопка «Принимаю»). Обработчик фиксирует дату, время, редакцию документа и пользователя, совершившего акцепт. Акцепт совершается лицом, уполномоченным действовать от имени Заведения; совершая его, владелец аккаунта подтверждает такие полномочия. Поручение действует отдельно для каждого заведения, для которого совершён акцепт.
2. Предмет поручения
Заведение поручает, а Обработчик принимает на себя обработку персональных данных гостей Заведения, поступающих при оформлении заказов и броней в сервисе Menuvo (сайт https://menuvo.ru, мобильное приложение Заведения, кухонный экран и бэк-офис), в объёме и в целях, указанных в разделе 3. Обработка персональных данных пользователей в собственных целях Обработчика (вход в сервис, профиль, отзывы) ведётся Обработчиком как самостоятельным оператором по его Политике и настоящим поручением не регулируется.
3. Данные, цели и действия
3.1. Категории субъектов: гости Заведения, оформившие заказ или бронь; получатели доставки.
3.2. Перечень данных: имя, номер телефона, адрес доставки, состав и сумма заказа, способ и статус оплаты (без реквизитов банковской карты), дата, время и количество гостей брони, комментарии к заказу и брони.
3.3. Цели: приём и передача заказов и броней персоналу Заведения, на кухонный экран, в кассовую систему и курьерскую службу Заведения; уведомление гостя о статусе; хранение истории заказов и формирование отчётов для Заведения; рассмотрение претензий гостей.
3.4. Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) персоналу Заведения и лицам, указанным Заведением в настройках интеграций (кассовая система, курьерская служба, адреса уведомлений о заказах), обезличивание, блокирование, удаление, уничтожение — с использованием средств автоматизации.
4. Обязанности Обработчика
- обрабатывать данные только в целях и в объёме раздела 3 и по документированным указаниям Заведения, в том числе заданным настройками бэк-офиса;
- соблюдать конфиденциальность персональных данных и принципы и правила обработки, предусмотренные Законом;
- принимать меры по защите данных по ст. 18.1 и 19 Закона: разграничение доступа по ролям и заведениям, передача по защищённым каналам (HTTPS), шифрование секретов, журналирование доступа, резервное копирование, контроль уязвимостей;
- осуществлять запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных на территории Российской Федерации (ч. 5 ст. 18 Закона); не осуществлять трансграничную передачу;
- привлекать к обработке третьих лиц (хостинг-провайдеров на территории РФ, операторов связи) только при условии соблюдения ими не меньших требований к конфиденциальности и защите;
- по запросу Заведения в течение срока действия поручения предоставлять документы и сведения, подтверждающие принятие мер и соблюдение требований ст. 6 Закона (ч. 3 ст. 6 Закона);
- содействовать Заведению в ответах на запросы субъектов и Роскомнадзора: предоставлять сведения об обработке данных конкретного гостя, уточнять, блокировать и уничтожать данные по требованию Заведения в течение 5 рабочих дней;
- передавать Заведению поступившие Обработчику запросы гостей, касающиеся обработки данных Заведением, в течение 2 рабочих дней.
5. Обязанности Заведения
- иметь правовое основание для обработки данных гостей (в том числе исполнение договора с гостем — п. 5 ч. 1 ст. 6 Закона) и опубликовать свою политику обработки персональных данных — собственную или сформированную на странице условий заведения;
- направить в Роскомнадзор уведомление об обработке персональных данных в случаях, предусмотренных ст. 22 Закона;
- обеспечивать конфиденциальность данных, к которым получают доступ сотрудники Заведения в бэк-офисе и на кухонном экране, и своевременно отзывать доступ уволенным сотрудникам;
- указывать в настройках интеграций только тех получателей, которым Заведение вправе передавать данные гостей.
6. Инциденты
При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных гостей Заведения Обработчик уведомляет Заведение по адресу электронной почты владельца аккаунта не позднее 12 часов с момента выявления, сообщая известные сведения об инциденте, чтобы Заведение могло выполнить обязанности по ч. 3.1 ст. 21 Закона, и в течение 48 часов — о результатах внутреннего расследования.
7. Срок действия и прекращение
7.1. Поручение действует с момента акцепта и до удаления заведения из Menuvo либо прекращения использования платформы Заведением.
7.2. При прекращении поручения Обработчик по выбору Заведения передаёт ему данные заказов в электронном виде и в течение 30 дней уничтожает их либо обезличивает, за исключением данных, хранение которых обязательно для Обработчика по закону, — они хранятся в пределах установленных сроков и не используются в иных целях.
7.3. Обработчик вправе изменить условия поручения, опубликовав новую редакцию и уведомив Заведение в бэк-офисе. Новая редакция применяется после её акцепта; до этого действует предыдущая.
8. Ответственность
В соответствии с ч. 5 ст. 6 Закона ответственность перед гостем за действия Обработчика несёт Заведение, а Обработчик несёт ответственность перед Заведением. Стороны освобождаются от ответственности за неисполнение, вызванное обстоятельствами непреодолимой силы.
9. Реквизиты Обработчика
Продавец ещё не указал реквизиты. Уточните их по контактам заведения.