Adatfeldolgozási megállapodás
Hatályos: 2026.10.23.
Ez az adatfeldolgozási megállapodás (a továbbiakban: Megállapodás) az Általános Szerződési Feltételek (a továbbiakban: ÁSZF) elválaszthatatlan része. Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) 28. cikke szerint rendezi, hogyan kezeli a Szolgáltató az Előfizető megbízásából a Foodino éttermi rendszerben tárolt személyes adatokat.
1. A felek
- Adatkezelő: az Előfizető, azaz a Foodino rendszert előfizetéssel használó vendéglátóhely.
- Adatfeldolgozó: Szabó Róbert e.v. (székhely: 6723 Szeged, Gém utca 16b 2/5; adószám: 91791821-1-26; e-mail: [email protected]), a továbbiakban: Szolgáltató.
A Megállapodás az előfizetési szerződés létrejöttével jön létre, külön aláírás nélkül. Ha az Előfizető kéri, a Szolgáltató a Megállapodást aláírt formában is megküldi.
2. Az adatfeldolgozás tárgya és célja
A Szolgáltató a személyes adatokat kizárólag azért kezeli, hogy az Előfizető számára működtesse a Szolgáltatást: az étterem weboldalát, az online rendelést és fizetést, az asztalfoglalást, a vendégfiókokat, a kuponokat, a rendeléskövetést, az értesítő e-maileket és az admin felületet.
Az adatfeldolgozás tevékenységei: az adatok tárolása, rendszerezése, megjelenítése az Előfizető admin felületén, az értesítő e-mailek kiküldése, a biztonsági mentés, a hibaelhárítás és az adatok törlése.
3. Az érintettek és az adatok köre
Érintettek:
- az Előfizető vendégei, akik rendelést adnak le, asztalt foglalnak vagy vendégfiókot regisztrálnak,
- az Előfizető munkatársai, akik az admin felületet használják.
Kezelt adatok:
- azonosító és kapcsolati adatok: név, e-mail cím, telefonszám,
- szállítási cím és a mentett címek,
- a rendelések adatai: a rendelt ételek, az összeg, az átvételi és fizetési mód, a megjegyzés, a rendelés állapota,
- a foglalások adatai: időpont, létszám, megjegyzés,
- a fiók adatai: titkosított jelszó, a kétfaktoros azonosítás adatai, rendelési előzmények,
- a fizetés adatai: a Barion tranzakció azonosítója és állapota (bankkártyaadatot a Szolgáltató nem kap és nem tárol, azt a Barion kezeli),
- technikai adatok: IP-cím, munkamenet- és naplóadatok.
A Szolgáltatás működéséhez különleges adat (például egészségügyi adat) nem szükséges. Ha a vendég a megjegyzésben ilyet ad meg (például ételallergiát), azt a Szolgáltató a többi rendelési adattal azonos módon, kizárólag a rendelés teljesítéséhez kezeli.
4. Az Adatkezelő kötelezettségei
- Az Előfizető felel azért, hogy az adatkezelésnek legyen jogalapja, és hogy a vendégeit saját adatvédelmi tájékoztatójában tájékoztassa. A tájékoztatót a Szolgáltatás admin felületén adhatja meg.
- Az Előfizető felel a weboldalába általa beállított külső szolgáltatásokért (például analitikai vagy egyéb scriptekért). Ezek nem a Szolgáltató adatfeldolgozói.
- Az online fizetéshez az Előfizető saját szerződést köt a Barionnal. A Barion az Előfizetővel áll szerződésben, nem a Szolgáltató további adatfeldolgozója.
5. A Szolgáltató kötelezettségei
- A személyes adatokat kizárólag az Előfizető dokumentált utasításai alapján kezeli. Utasításnak minősül az ÁSZF, ez a Megállapodás, valamint az Előfizető által az admin felületen végzett beállítás és művelet. Ha a Szolgáltató szerint egy utasítás jogszabályba ütközik, erről haladéktalanul tájékoztatja az Előfizetőt.
- Az adatokat saját céljára nem használja fel, harmadik félnek nem adja át, kivéve a 7. pontban felsorolt további adatfeldolgozókat és a jogszabályban előírt eseteket.
- Az adatokhoz csak a Szolgáltató és az általa megbízott, titoktartásra kötelezett személyek férhetnek hozzá, és csak olyan mértékben, amennyire az a Szolgáltatás működtetéséhez, a hibaelhárításhoz vagy az Előfizető kérésének teljesítéséhez szükséges.
- Segíti az Előfizetőt az érintetti kérelmek (hozzáférés, helyesbítés, törlés, adathordozhatóság) teljesítésében. Ha egy vendég közvetlenül a Szolgáltatóhoz fordul, a kérelmet haladéktalanul továbbítja az Előfizetőnek.
- Az Előfizető kérésére rendelkezésre bocsátja azokat az információkat, amelyek a Megállapodás betartásának igazolásához szükségesek, és segíti az Előfizetőt az adatbiztonsági, adatvédelmi incidens-kezelési és hatásvizsgálati kötelezettségei teljesítésében.
6. Adatbiztonság
A Szolgáltató a GDPR 32. cikke szerint megfelelő technikai és szervezési intézkedésekkel védi az adatokat, különösen:
- az adatok titkosított (HTTPS) kapcsolaton keresztül közlekednek,
- a jelszavakat visszafejthetetlen, titkosított formában tárolja,
- a vendégfiókokhoz és az admin felülethez kétfaktoros azonosítás is beállítható,
- az admin felülethez csak az Előfizető által létrehozott felhasználók férnek hozzá,
- rendszeres biztonsági mentést készít, és a rendszert rendszeresen frissíti.
7. További adatfeldolgozók
Az Előfizető általános felhatalmazást ad arra, hogy a Szolgáltató további adatfeldolgozót vegyen igénybe. A Szolgáltató a további adatfeldolgozóra ugyanazokat az adatvédelmi kötelezettségeket rója, mint amelyek ebben a Megállapodásban szerepelnek, és felel annak teljesítéséért.
A jelenleg igénybe vett további adatfeldolgozó:
- tárhely- és e-mail szolgáltatás: Rackhost Zrt. (székhely: 6722 Szeged, Tisza Lajos körút 41.; cégjegyzékszám: 06-10-000489; adószám: 25333572-2-06; e-mail: [email protected]; telefon: +36 1 445 1200; weboldal: www.rackhost.hu)
Új további adatfeldolgozó bevonása vagy csere előtt a Szolgáltató legalább 15 nappal e-mailben értesíti az Előfizetőt. Az Előfizető ez alatt kifogást emelhet. Ha a felek nem tudnak megegyezni, az Előfizető a változás hatálybalépéséig azonnali hatállyal felmondhatja az előfizetést, és a hátralévő teljes hónapokra eső, már megfizetett díjat a Szolgáltató időarányosan visszatéríti.
Az adatokat a Szolgáltató az Európai Gazdasági Térségen belül tárolja. Az EGT-n kívülre csak a GDPR V. fejezetében előírt garanciák mellett továbbíthatja.
8. Adatvédelmi incidens
Ha a Szolgáltató tudomására jut, hogy az Előfizető adatait érintő adatvédelmi incidens történt, indokolatlan késedelem nélkül, legkésőbb 48 órán belül e-mailben értesíti az Előfizetőt. Az értesítésben a rendelkezésére álló mértékben leírja az incidens jellegét, az érintettek és az adatok körét, a várható következményeket és a megtett vagy tervezett intézkedéseket. Az incidens bejelentése a Nemzeti Adatvédelmi és Információszabadság Hatóság felé és az érintettek tájékoztatása az Előfizető feladata, ebben a Szolgáltató segíti.
9. Ellenőrzés
Az Előfizető a Megállapodás betartását elsősorban írásbeli tájékoztatás kérésével ellenőrizheti, amelyre a Szolgáltató 15 napon belül válaszol. Ha ez nem elegendő, az Előfizető évente egyszer, legalább 30 nappal előre egyeztetett időpontban, saját költségén, titoktartásra kötelezett ellenőrrel helyszíni ellenőrzést is végezhet.
10. A Megállapodás időtartama és az adatok sorsa
A Megállapodás az előfizetési szerződés időtartamára szól. A szerződés megszűnése után az Előfizető 30 napig kérheti, hogy a Szolgáltató az adatait (például a rendeléseket és a vendégfiókokat) általánosan használt, géppel olvasható formában átadja. Ezt követően a Szolgáltató az adatokat további 30 napon belül törli az éles rendszerből. A biztonsági mentésekből az adatok a mentések lejártával, legkésőbb 90 napon belül törlődnek. Ha jogszabály az adatok további megőrzését írja elő, a Szolgáltató csak az ehhez szükséges adatokat és csak az előírt ideig őrzi meg.
11. Egyéb rendelkezések
A felek felelősségére a GDPR 82. cikke és az ÁSZF irányadó. A Megállapodás módosítására az ÁSZF módosításának szabályai vonatkoznak. Ha a Megállapodás és az ÁSZF eltér egymástól, a személyes adatok kezelésének kérdéseiben ez a Megállapodás az irányadó. A Megállapodásban nem szabályozott kérdésekben a GDPR, az Infotv. és a magyar jog az irányadó.