1. Parteien und Rollen
Der Kunde ist der Verantwortliche für die Verarbeitung der personenbezogenen Daten der Gäste und entscheidet, wofür und wie sie verarbeitet werden. Fortuly Apps, Steuernummer [A PREENCHER: NIF], mit Sitz in [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), ist der Auftragsverarbeiter und verarbeitet diese Daten im Auftrag des Kunden.
Der Vertrag wird in dem Moment akzeptiert, in dem der Kunde seine Pro-Organisation erstellt, und diese Annahme wird protokolliert. Wer eine unterzeichnete Kopie wünscht, kann sie unter privacy@seatalia.com anfordern.
2. Gegenstand, Dauer und Art der Verarbeitung
Gegenstand ist die Erbringung des Dienstes Seatalia: Speichern, Organisieren, Setzen, Exportieren und Anzeigen der Daten der Gäste (einschließlich der QR-Seite und der Zu- und Absagen). Die Dauer entspricht der des Pro-Abonnements zuzüglich der Zeit, die zur Rückgabe oder Löschung der Daten erforderlich ist.
3. Arten von Daten und betroffene Personen
Betroffene Personen sind die Gäste und Begleitpersonen der Veranstaltungen des Kunden sowie die Nutzer seiner Organisation. Die verarbeiteten Daten können sein:
- Vorname, Nachname, Haushalt, Gruppe und Tisch;
- Erwachsener, Kind oder Baby sowie Alter oder Altersgruppe;
- Gericht, Labels zu Ernährung oder Allergien und Ernährungshinweise, die Gesundheitsdaten sein können (Art. 9);
- E-Mail-Adresse und Telefonnummer, wenn die Zu- und Absagen sie abfragen oder der Kunde sie eingibt;
- E-Mail-Adresse und Name der Nutzer der Organisation.
4. Wozu sich Seatalia verpflichtet
Als Auftragsverarbeiter verpflichtet sich Seatalia:
- die Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten (dieser Vertrag und die Nutzung des Dienstes durch den Kunden) und ihn zu informieren, wenn eine Weisung nach unserer Auffassung gegen die DSGVO verstößt;
- sicherzustellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
- die Sicherheitsmaßnahmen nach Art. 32 anzuwenden, die weiter unten beschrieben sind;
- weitere Auftragsverarbeiter nur mit allgemeiner Genehmigung des Kunden hinzuzuziehen und ihnen gleichwertige Pflichten aufzuerlegen. Die Liste ist veröffentlicht, und wir informieren über Änderungen 30 Tage im Voraus, wobei der Kunde widersprechen kann;
- dem Kunden zu helfen, Anfragen betroffener Personen zu beantworten, mit den Werkzeugen des Dienstes zum CSV-Export und zur Löschung;
- dem Kunden bei der Erfüllung der Pflichten nach den Art. 32 bis 36 zu helfen (Sicherheit, Datenschutzverletzungen, Folgenabschätzungen und vorherige Konsultation);
- dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich und, wenn möglich, innerhalb von 48 Stunden nach Kenntnisnahme zu melden;
- nach Ende der Leistung die Daten zurückzugeben (Export) oder zu löschen, was automatisch 90 Tage nach dem Datum jeder Veranstaltung geschieht, unbeschadet gesetzlicher Aufbewahrungspflichten. Gelöschte Daten verschwinden innerhalb von 30 Tagen aus den Sicherungskopien;
- dem Kunden die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung erforderlich sind, und angemessene Prüfungen nach vorheriger Ankündigung zu ermöglichen;
- keine Daten ohne geeignete Garantien, etwa Standardvertragsklauseln, außerhalb des Europäischen Wirtschaftsraums zu übermitteln.
5. Wozu sich der Kunde verpflichtet
Der Kunde verpflichtet sich:
- eine Rechtsgrundlage für die Verarbeitung der Daten der Gäste zu haben und sie über die Verarbeitung zu informieren;
- nur die Daten einzugeben, die er benötigt, und Ernährung und Allergien nur zu erfassen, wenn sie für das Catering erforderlich sind;
- zu entscheiden, ob er die QR-Seite und die Zu- und Absagen aktiviert und für wie lange;
- seine Weisungen schriftlich zu erteilen und die Anfragen der betroffenen Personen zu beantworten;
- sicherzustellen, dass seine Nutzer den Dienst gemäß den Nutzungsbedingungen verwenden.
6. Über den Link der Location erstellte Veranstaltungen
Wenn ein Paar seine Veranstaltung über den Link einer Location erstellt, behält das Paar sein Konto und seine Veranstaltung. Die Location hat erst Zugriff auf den Plan, nachdem das Paar der Verknüpfung zugestimmt hat. Die Daten, die die Location erhält, werden von ihr als Verantwortlicher im Sinne dieses Vertrags verarbeitet.
7. Sicherheitsmaßnahmen
Wir wenden unter anderem die folgenden technischen und organisatorischen Maßnahmen an:
- Hosting in der EU und verschlüsselte Verbindung (TLS);
- Verschlüsselung im Ruhezustand auf der Festplatte und in den Sicherungskopien sowie feldweise Verschlüsselung der Ernährungshinweise;
- Anmeldung ohne Passwort über einmal verwendbare Links mit einer Gültigkeit von 15 Minuten;
- Links zum Teilen, zur QR-Seite und zu den Zu- und Absagen mit langen zufälligen Codes und Anfragelimits;
- QR-Seite, die nur den Vornamen und den Tisch anzeigt, nie Ernährungsangaben, und ohne Tracker;
- interner Zugriff auf die Daten der Gäste nur auf Anfrage des Kunden und mit Protokollierung;
- Sicherungskopien mit einer Aufbewahrung von 30 Tagen und Fehlerprotokolle ohne personenbezogene Daten.
8. Haftung
Die Haftung jeder Partei gegenüber den betroffenen Personen richtet sich nach Art. 82 DSGVO. Zwischen den Parteien gelten die Grenzen der Nutzungsbedingungen, soweit das Gesetz dies zulässt.
9. Laufzeit und anwendbares Recht
Dieser Vertrag gilt, solange der Kunde den Dienst nutzt, und die Pflichten zur Löschung und zur Vertraulichkeit bestehen darüber hinaus fort. Es gilt: [A PREENCHER: lei aplicável e tribunal competente].
10. Kontakt
Zur Ausübung von Rechten oder um eine unterzeichnete Kopie anzufordern: privacy@seatalia.com.