Acordul de prelucrare a datelor (DPA)

Acest acord se încheie conform art. 28 din Regulamentul (UE) 2016/679 (GDPR) și face parte din Termenii și condițiile Masa9. Îl acceptă managerul localului, în numele firmei, din panou; data, versiunea și persoana care l-a acceptat se păstrează și se văd în Setări.

1. Părțile și rolurile

• Operatorul: firma care folosește Masa9 pentru localul ei („Clientul”).
• Persoana împuternicită: [de completat], CUI [de completat], nr. de înregistrare la Registrul Comerțului [de completat], cu sediul în [de completat], email contact@masa9.ro („Masa9”).

2. Obiectul, natura și scopul prelucrării

Masa9 prelucrează date personale doar ca să furnizeze serviciul: meniul digital, primirea și împărțirea comenzilor pe stații, aplicația ospătarului, conturile echipei și panoul de administrare. Operațiunile sunt: colectare, stocare, afișare către echipa localului, transmitere în timp real către ecranele localului, copii de siguranță și ștergere.

3. Persoanele vizate și datele

Serviciul nu cere categorii speciale de date (art. 9 GDPR). Ele pot apărea doar dacă un client scrie de bunăvoie o notiță (de exemplu o alergie); notițele se șterg automat după 30 de zile.

4. Durata

Acordul se aplică cât timp Clientul folosește serviciul și până la ștergerea datelor după încetare. Prelucrările automate de ștergere sunt descrise în Politica de confidențialitate.

5. Obligațiile Masa9

• Prelucrează datele doar pe baza instrucțiunilor documentate ale Clientului: acest acord, Termenii și setările făcute de Client în panou. Dacă o instrucțiune ar încălca legea, Masa9 îl anunță pe Client. Excepție face doar o obligație legală, despre care Masa9 îl informează pe Client înainte, dacă legea permite.
• Persoanele care au acces la date sunt obligate să păstreze confidențialitatea.
• Aplică măsurile tehnice și organizatorice din Anexa 1 (art. 32 GDPR).
• Îl ajută pe Client să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Managerul poate șterge direct conturile echipei din panou; pentru restul, Masa9 răspunde la contact@masa9.ro în cel mult 5 zile lucrătoare.
• Îl ajută pe Client să-și îndeplinească obligațiile din art. 32–36 GDPR, în funcție de informațiile pe care le are.
• La încetare, la alegerea Clientului, îi predă datele într-un format structurat și le șterge în cel mult 30 de zile; copiile de siguranță expiră în cel mult 60 de zile. Masa9 poate păstra date doar dacă legea o cere.
• Pune la dispoziție informațiile necesare pentru a dovedi respectarea acestui acord și permite audituri, anunțate cu cel puțin 30 de zile înainte, cel mult o dată pe an (în afara cazului unei încălcări a securității datelor), pe cheltuiala Clientului.

6. Sub-împuterniciți

Clientul îi dă Masa9 o autorizare generală să folosească sub-împuterniciții din Anexa 2. Masa9 anunță în panou sau pe email orice schimbare cu cel puțin 30 de zile înainte; Clientul se poate opune motivat, iar dacă nu se găsește o soluție, poate înceta contractul fără penalități. Masa9 impune sub-împuterniciților aceleași obligații de protecție și răspunde pentru ei.

7. Transferuri în afara UE

Datele sunt stocate în UE. Un transfer în afara Spațiului Economic European se face doar cu garanțiile din capitolul V GDPR (decizie de adecvare, inclusiv EU-US Data Privacy Framework, sau clauze contractuale standard).

8. Încălcarea securității datelor

Masa9 anunță Clientul fără întârzieri nejustificate, în cel mult 48 de ore de la constatarea unei încălcări care îi afectează datele, cu informațiile din art. 33 alin. (3) GDPR disponibile atunci, ca să poată notifica, dacă e cazul, ANSPDCP în 72 de ore.

9. Obligațiile Clientului

• Are un temei legal pentru prelucrare și își informează clienții și angajații (poate trimite la Politica de confidențialitate Masa9).
• Dă instrucțiuni conforme cu legea și nu introduce în aplicație date personale care nu sunt necesare.

10. Răspundere și ordinea documentelor

Răspunderea părților e cea din art. 82 GDPR. Pentru protecția datelor, acest acord are prioritate față de Termeni.

Anexa 1. Măsuri tehnice și organizatorice

Confidențialitate și acces

• HTTPS peste tot (HSTS), politică strictă de conținut (CSP), fără scripturi sau servicii de urmărire de la terți.
• Parolele și PIN-urile sunt stocate cu hash scrypt; tokenurile de sesiune, doar ca hash SHA-256.
• Separarea datelor pe local: fiecare interogare e filtrată după local, iar rolul se verifică pe server la fiecare acțiune.
• Limitarea încercărilor de autentificare și a numărului de comenzi trimise într-un timp scurt.
• Accesul la server e permis doar cu cheie SSH, cu firewall și fail2ban; conturile de administrare au autentificare în doi pași.

Integritate și disponibilitate

• Copii de siguranță zilnice ale bazei de date și ale pozelor: 14 zile pe server, 60 de zile în altă locație din UE, cu restaurarea testată.
• Actualizări de securitate automate; monitorizarea disponibilității la fiecare 5 minute.

Minimizare și ștergere

• Clienții nu au cont; nu se cer nume, telefon, email sau localizare.
• Ștergere automată: legătura comenzilor cu telefonul și notițele după 30 de zile, jurnalul de evenimente după 30 de zile, sesiunile expirate zilnic.
• Pozele încărcate sunt curățate de metadate (EXIF, inclusiv localizarea).

Anexa 2. Sub-împuterniciți