Tiedonkäsittelyn Liite | Quandoo for Restaurants

Palvelusopimuksen ("Palvelusopimus") Tietojenkäsittelyn liite Palvelusopimuksessa määritellyn Kumppanin – "jäljempänä "Rekisterinpitäjä" – ja Quandoo Finland Oy , Konepajankuja 1, 00510 Helsinki, Finland – jäljempänä "Henkilötietojen käsittelijä" – välillä, kukin erikseen "Osapuoli", yhdessä "Osapuolet"

1. Laajuus

Rekisterinpitäjä tarjoaa ravintolavarauksia ja muita niihin liittyviä palveluita, mukaan lukien varauksiin liittyvän yhteydenpidon ruokailijalle sekä pääsyn tietokantaan ("Tietokanta") ravintolavarausten ja niihin liittyvien tietojen hallintaa varten (yhdessä "Palvelut").

Henkilötietojen käsittelijän omistaa kokonaisuudessaan Quandoo GmbH, KulturBrauerei, Schönhauser Allee 36, 10435 Berliini, joka toimii lisäkäsittelijänä kaikessa olennaisessa tietojenkäsittelyssä. Henkilötietojen käsittelijän ja Quandoo GmbH:n välistä suhdetta varten on tehty asianmukaiset yritysten väliset tietojen yhteiskäyttösopimukset.

Rekisterinpitäjä omistaa ravintolan, ja on tilannut Henkilötietojen käsittelijän Palvelut Palvelusopimuksen solmimisen yhteydessä. Palvelujen tarjoamisen osalta Henkilötietojen käsittelijä käsittelee Rekisterinpitäjän tietokantaan tallentamia henkilötietoja Rekisterinpitäjän puolesta.

Tämä Tiedonkäsittelyn liite ("Liite") sisältää Osapuolten tietosuojavelvoitteet, jotka syntyvät siitä, että Henkilötietojen käsittelijä käsittelee tietoja Rekisterinpitäjän puolesta.

2. Käsittelyn kuvaus

Henkilötietojen käsittelijä käsittelee Rekisterinpitäjän henkilötietoja seuraavasti:

2.1 Käsittelyn kohde, tarkoitus ja tyyppi

Käsittelyn kohde ja tarkoitus on Tietokannan tarjoaminen, jotta Rekisterinpitäjä voi käsitellä varauspyyntöjä ja tallentaa ruokailijoihin liittyviä tietoja tietokantaan, sekä Palvelujen tarjoaminen. Henkilötietojen käsittelijä lähettää Rekisterinpitäjän puolesta tietyn ilmoituksen sähköpostitse tai tekstiviestinä ruokailijalle kyseessä olevan varauksen tilasta.

2.2 Käsittelyn kesto

Tämän lisäyksen voimassaoloaika vastaa Palvelusopimuksen voimassaoloaikaa.

2.3 Tiedon tyyppi

Seuraavat tietotyypit/luokat sisältyvät käsiteltyihin tietoihin:

• Etu- ja sukunimi
• Sähköpostiosoite
• Puhelinnumero
• Tilauksen tiedot
• Rekisterinpitäjän ilmoittamat erityiset huomautukset tai pyynnöt
• Rekisterinpitäjän työntekijöiden nimi ja sähköpostiosoite, jos ne on lisätty tietokantaan pääsyn myöntämiseksi.

2.4 Asianomaisten henkilöiden luokat

Tietojenkäsittely koskee seuraavia henkilöitä:

• Ruokailijat
• Rekisterinpitäjän työntekijät

3. Rekisterinpitäjän oikeudet ja velvollisuudet

3.1. Rekisterinpitäjä sekä Henkilötietojen käsittelijä ovat kukin vastuussa käsiteltäviin tietoihin liittyvien sovellettavien tietosuojalakien noudattamisesta ja jokaisen on noudatettava niitä. Erityisesti Rekisterinpitäjän osalta Rekisterinpitäjä hyväksyy, että:

3.1.1 sillä on yksinomainen määräysvalta ja vastuu päättää, mitä henkilötietoja Henkilötietojen käsittelijä voi käsitellä Palvelusopimuksen ja tämän lisäyksen yhteydessä, sekä antaa selkeät kirjalliset ohjeet Henkilötietojen käsittelijälle;

3.1.2. se on vastuussa siitä, että kohdehenkilöille on toimitettu riittävät tiedot kaikkien sovellettavien tietosuojalakien mukaisesti heidän henkilötietojensa käsittelystä; ja

3.1.3 se vastaa siitä, että rekisteröityjen käyttäjien henkilötietojen käsittelylle on laillinen perusta, mukaan lukien kaikkien tarvittavien suostumusten hankkiminen tarvittaessa tietosuojalakien mukaisesti.

3.2. Rekisterinpitäjä ilmoittaa viipymättä Henkilötietojen käsittelijälle, jos se havaitsee soveltuvaa tietosuojalakia koskevia virheitä ja/tai sääntöjenvastaisuuksia tietojenkäsittelyn voimassaoloaikana.

4. Henkilötietojen käsittelijän velvollisuudet

4.1. Henkilötietojen käsittelijä käsittelee tietoja vain Rekisterinpitäjän ohjeiden puitteissa ja sopimuksen mukaisesti:

4.1.1 Henkilötietojen käsittelijän suorittama käsittely suoritetaan Rekisterinpitäjän ohjeiden mukaisesti. Tämä Liite ja Palvelusopimus sisältävät yleisesti Rekisterinpitäjän ohjeet. Rekisterinpitäjä varaa kuitenkin oikeuden antaa kohtuulliset lisäohjeet tietojenkäsittelyn luonteesta, laajuudesta ja menetelmästä kirjallisesti. Jos Henkilötietojen käsittelijä ei pysty tai halua noudattaa näitä lisäohjeita, Henkilötietojen käsittelijällä on oikeus irtisanoutua tästä Liitteestä ja palvelusopimuksesta ilmoittamalla siitä kirjallisesti Rekisterinpitäjälle.

4.1.2 Henkilötietojen käsittelijän ja alikäsittelijän suorittaman henkilötietojen käsittelyn on tapahduttava (i) Euroopan unionin tai ETA:n alueella ja (ii) kolmansien maiden alueilla, jotka tarjoavat riittävän EU-lainsäädäntöön sopivan tietosuojan tason tai (iii) jos henkilötietojen käsittely perustuu sopimukseen perustuviin takeisiin, kuten EU:n vakiosopimuslausekkeisiin tai sitoviin yrityssääntöihin. Kaikki muu siirto kolmanteen maahan edellyttää ennakkosuostumusta ja vastaavaa ohjetta Rekisterinpitäjältä sekä lakisääteisten vaatimusten noudattamista tietojen siirtämiselle kolmanteen maahan. Poikkeuksena on, kun Henkilötietojen käsittelijä on lain mukaan velvollinen siirtämään tietoja kolmanteen maahan. Tässä tapauksessa Henkilötietojen käsittelijän tulee ilmoittaa Rekisterinpitäjälle tällaisista lakisääteisistä vaatimuksista ennen käsittelyn aloittamista (edellyttäen, että asiaa koskeva laki ei estä tällaista viestintää). Jos alikäsittelijä otetaan käyttöön, sovelletaan näitä vaatimuksia 8 §:n säännösten lisäksi.

4.1.3. Henkilötietojen käsittelijä ilmoittaa Rekisterinpitäjälle kirjallisesti (sähköpostiosoite Palvelusopimuksessa mainittuun sähköpostiosoitteeseen riittää), jos hän katsoo, että Rekisterinpitäjän antama ohje on lain vastainen. Henkilötietojen käsittelijällä on oikeus keskeyttää ohjeiden täytäntöönpano, kunnes Rekisterinpitäjä on kirjallisesti vahvistanut tai muuttanut ohjeita Henkilötietojen käsittelijälle.

4.1.4. Henkilötietojen käsittelijä käsittelee tietoja yksinomaan Palvelusopimuksen tarkoituksiin ja ohjeiden puitteissa. Henkilötietojen käsittelijä ei saa käyttää tietoja omiin tarkoituksiinsa tai luovuttaa niitä kolmansille osapuolille, ellei laki velvoita sitä.

4.2. Henkilötietojen käsittelijä suunnittelee sisäiset prosessinsa varmistaakseen tietosuojaa koskevien erityisvaatimusten noudattamisen Henkilötietojen käsittelijän vastuualueella ja asianomaisten käyttäjien henkilötietojen oikeudellisen suojan. Henkilötietojen käsittelijä toteuttaa kohdassa 5 mainitut tekniset ja organisatoriset toimenpiteet suojatakseen tiedot asianmukaisesti väärinkäytöltä ja katoamiselta.

4.3. Henkilötietojen käsittelijä nimittää tietosuojavastaavan, jos laki niin vaatii.

4.4. Henkilötietojen käsittelijä uskoo tässä Liitteessä kuvatun tietojenkäsittelyn vain sellaisille työntekijöille, jotka ovat olleet luottamuksellisia ja jotka ovat aiemmin perehtyneet työtään koskeviin tietosuojasäännöksiin.

4.5. Henkilötietojen käsittelijän tulee viipymättä ilmoittaa Rekisterinpitäjälle tietoturvaloukkauksista, jotka liittyvät tämän Liitteen mukaiseen Rekisterinpitäjän tietojen käsittelyyn.

4.6. Henkilötietojen käsittelijän ja Rekisterinpitäjän tulee tehdä yhteistyötä kaikkien valvontaviranomaisten kanssa, jotka ovat toimivaltaisia tässä lisäyksessä mainituissa asioissa. Siltä osin kuin Rekisterinpitäjä on valvontaviranomaisen tarkastuksen kohteena, hallinnollinen tai lyhytaikainen rikkomus tai rikosoikeudellinen menettely, rekisteröidyn tai kolmannen osapuolen vastuuvaatimus tai muu vaatimus Henkilötietojen käsittelijän suorittaman tietojenkäsittelyn yhteydessä, Henkilötietojen käsittelijä tekee kaiken kohtuullisen yhteistyön rekisterinpitäjän kanssa, Rekisterinpitäjän kustannuksella.

4.7. 30 päivän kuluessa tämän lisäyksen voimassaolon päättymisestä ja/tai Rekisterinpitäjän pyynnöstä Henkilötietojen käsittelijän on poistettava kaikki tämän lisäyksen mukaisesti annetut henkilötiedot.

4.8. Henkilötietojen käsittelijä avustaa Rekisterinpitäjää noudattamaan henkilötietojen käsittelyn turvallisuutta, tietoturvaloukkauksista ilmoittamisvaatimuksia asianomaiselle viranomaiselle tai rekisteröidyille, tietosuojavaikutusten arviointeja ja ennakkoneuvotteluja koskevia velvoitteita.

4.9. Henkilötietojen käsittelijä voi vaatia kohtuullista korvausta tukipalveluista, jotka eivät sisälly Palveluiden kuvaukseen, erityisesti tietosuojavaikutusten arvioinnit ja ennakkoneuvottelut, ja jotka eivät johdu Henkilötietojen käsittelijän virheistä.

5. Tekniset ja organisatoriset toimenpiteet

5.1 Henkilötietojen käsittelijä noudattaa asianmukaisen tietojenkäsittelyn periaatteita ja toteuttaa kaikki sovitut toimenpiteet liittyen Rekisterinpitäjän sopimusperusteiseen henkilötietojen käsittelyyn. Henkilötietojen käsittelijä erottaa käsitellyt tiedot muusta tietovarastosta. Henkilötietojen käsittelijä ryhtyy asianmukaisiin sopimuksessa sovittuihin ja lain edellyttämiin teknisiin ja organisatorisiin toimenpiteisiin ja varmistaa siten, että tietojen käsittely on lakisääteisten vaatimusten ja asianomaisten henkilöiden oikeudellisen suojan mukaista. Toimenpiteisiin tulee erityisesti sisältyä riittävät tietoturvatarkastukset, joilla varmistetaan järjestelmän luottamuksellisuuden, eheyden, saatavuuden ja kestävyyden riskiä vastaava suojan taso, ja niissä on otettava huomioon parhaat käytännöt, käyttöönottokustannukset sekä käsittelyn luonne, laajuus ja tarkoitus sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvan riskin erilainen todennäköisyys ja vakavuus. Liitteessä 1 kuvatut tekniset ja organisatoriset toimenpiteet ovat osa tätä Liitettä ja niistä on sovittu sitovasti.

5.2 Henkilötietojen käsittelijä voi muuttaa teknisiä ja organisatorisia toimenpiteitä sopimussuhteen aikana, säännöstä ja organisaatiotietojen kehityksestä johtuen. Henkilötietojen käsittelijä voi toteuttaa vaihtoehtoisia riittäviä toimenpiteitä tätä tarkoitusta varten. Tässä suhteessa vaihtoehtoisten toimenpiteiden turvallisuustason tulee olla vähintään yhtä korkea kuin määriteltyjen toimenpiteiden turvallisuustason.

6. Rekisterinpitäjän tarkastusoikeus

6.1. Rekisterinpitäjällä on oikeus vähintään 30 arkipäivän irtisanomisajalla ja enintään kerran sopimusvuodessa varmistua niiden teknisten ja organisatoristen toimenpiteiden riittävyydestä, jotka Henkilötietojen käsittelijä on toteuttanutHenkilötietojen käsittelijän tiloissa tavanomaisina aukioloaikoina, ilman liiketoiminnan keskeyttämistä ja salassapitosopimuksen ennakolta solmimista. Rekisterinpitäjä korvaa Henkilötietojen käsittelijälle tällaisen paikan päällä tapahtuvaan tarkastukseen käytetyn ajan. Ennen tällaisen paikan päällä suoritettavan tarkastuksen aloittamista Rekisterinpitäjän ja Henkilötietojen käsittelijän tulee sopia keskenään tällaisen tarkastuksen laajuudesta, ajasta ja kestosta sekä korvausprosentista, josta Rekisterinpitäjä on vastuussa.

6.2. Rekisterinpitäjä hyväksyy sen, että edellä olevasta kohdasta 6.1 poiketen Henkilötietojen käsittelijä voi antaa Rekisterinpitäjän tarkastettavaksi kopiot todistuksista tai raporteista, jotka osoittavat, että Henkilötietojen käsittelijä noudattaa Rekisterinpitäjän henkilötietojen käsittelyyn sovellettavia voimassa olevia tietoturvastandardeja.

7. Käyttäjien oikeudet

7.1. Rekisterinpitäjä on yksinomaan vastuussa asianomaisten henkilöiden lakisääteisten oikeuksien toteuttamisesta, mukaan lukien rajoituksetta heidän henkilötietojensa tiedottaminen, luovuttaminen, poistaminen tai merkitseminen/esto ja siirto. Henkilötietojen käsittelijä ei saa päättää tai täyttää asianomaisten henkilöiden heille osoittamia pyyntöjä, ellei Rekisterinpitäjä sitä pyydä.

7.2. Jos käyttäjä ottaa suoraan yhteyttä Henkilötietojen käsittelijään, Henkilötietojen väsittelijä välittää pyynnön viipymättä Rekisterinpitäjälle. Jos Rekisterinpitäjä on tietosuojalain säännösten mukaan velvollinen antamaan henkilölle tietoja henkilötietojen keräämisestä, käsittelystä tai käytöstä, Henkilötietojen käsittelijä avustaa Rekisterinpitäjää näiden tietojen toimittamisessa edellyttäen, että Rekisterinpitäjä on näin pyytänyt. Henkilötietojen käsittelijän on tehtävä se kirjallisesti ja korvattava Henkilötietojen käsittelijälle aiheutuneet kustannukset.

8. Alikäsittelijät

8.1. Rekisterinpitäjä tiedostaa ja hyväksyy, että Henkilötietojen käsittelijä voi käyttää Alikäsittelijöitä Palveluiden tarjoamisen yhteydessä.

8.2. Edellytyksenä Alikäsittelijöille sallimiselle Henkilötietojen käsittelijä tekee jokaisen klikäsittelijän kanssa kirjallisen sopimuksen, joka sisältää tietosuojavelvoitteet, jotka tarjoavat vähintään saman suojan kuin tässä Liitteessä mainitut.

8.3. Nykyinen luettelo Alikäsittelijöistä on saatavilla osoitteessa Alihankkijana toimivat käsittelijät. Rekisterinpitäjä antaa nimenomaisesti luvan Alikäsittelijöille, kuten edellä mainitulla verkkosivulla on kerrottu. Henkilötietojen käsittelijä voi päivittää tätä luetteloa ajoittain. Rekisterinpitäjä on velvollinen tarkistamaan luetteloa jatkuvasti. Suostumus minkä tahansa uuden Alikäsittelijän sitouttamiseen katsotaan annetuksi, jos Rekisterinpitäjä ei kiellä minkään uuden Alikäsittelijän sitoutumista sähköpostitse osoitteeseen dataprotection@quandoo.com viimeistään kaksi viikkoa ennen käyttöönottopäivää, kuten edellä mainitulla verkkosivustolla on ilmoitettu.

8.4. Rekisterinpitäjällä on oikeus vastustaa minkä tahansa uuden Alikäsittelijän toimeksiantoa vain tärkeistä syistä, ja hänen on ilmoitettava nämä syyt edellä mainitussa ilmoituksessa Henkilötietojen käsittelijälle. Henkilötietojen käsittelijällä on oikeus irtisanoa tämä Liite sekä Palvelusopimus tässä tapauksessa.

8.5. Henkilötietojen käsittelijä on vastuussa Alikäsittelijöidensä toimista ja laiminlyönneistä samalla tavalla kuin Henkilötietojen käsittelijä olisi vastuussa, jos hän suorittaisi kunkin Alikäsittelijän palveluita suoraan tämän Liitteen ehtojen mukaisesti.

9. Vastuu

9.1 Henkilötietojen käsittelijä on lain ja lakisääteisten ohjeistusten mukaisesti vastuussa Rekisterinpitäjälle kaikista vahingoista, jotka aiheutuvat hänen omista toimistaan, tämän Liitteen rikkomisesta tai tietosuojavaatimusten mukaisten lakisääteisten velvoitteiden rikkomisesta ja jotka ovat aiheutuneet Rekisterinpitäjää, sen työntekijöitä tai sen puolesta toimivia kolmansia osapuolia kohtaan tarjotessaan sopimuspalveluja. Henkilötietojen käsittelijä ei ole vastuussa, jos se pystyy osoittamaan, että se on käsitellyt Rekisterinpitäjän toimittamia tietoja yksinomaan Rekisterinpitäjän ohjeiden ja Henkilötietojen käsittelijälle erityisesti asetettujen soveltuvien tietosuojalakien mukaisten velvoitteiden mukaisesti.

9.2 Rekisterinpitäjä vapauttaa Henkilötietojen käsittelijän kaikista kolmansien osapuolien sille esittämistä vaatimuksista, jotka perustuvat siihen, että Rekisterinpitäjä rikkoo tätä Liitettä tai sovellettavia tietosuojavaatimuksia.

9.3 Rekisterinpitäjän vastuu Henkilötietojen käsittelijää kohtaan ulottuu Henkilötietojen käsittelijälle määrättyihin sakkoihin siltä osin kuin ne perustuvat Rekisterinpitäjän tietosuojavelvoitteiden rikkomiseen. Jos Rekisterinpitäjän tällaisen velvollisuuden rikkomisen seurauksena Henkilötietojen käsittelijälle määrätään sakko, Rekisterinpitäjä korvaa tietojen käsittelijälle sakon, jolloin hyvityksen määrä perustuu yksittäiseen tapaukseen. Rekisterinpitäjä on vastuussa sakolla määräämästä rikkomuksesta vastaavan määrän. Rekisterinpitäjällä on todistustaakka, että rangaistuksen kohteena oleva rikkomus ei perustu Rekisterinpitäjän velvollisuuden rikkomiseen ja ettei Rekisterinpitäjä ole vastuussa rikkomuksesta.

9.4 Edellä mainittu Rekisterinpitäjän vastuu 3 kohdan mukaisesti edellyttää, että Henkilötietojen käsittelijä ilmoittaa välittömästi kirjallisesti Rekisterinpitäjälle vastuuseen johtaneesta tapahtumasta sekä Henkilötietojen käsittelijän kyvyttömyydestä/kyvyttömyydestä tunnistaa väitettyä rikkomusta. Kaikki riidat, oikeudelliset tai oikeuden ulkopuoliset asiat käsitellään vain yhteisellä suostumuksella Rekisterinpitäjän kanssa. Rekisterinpitäjä voi erityisesti vaatia Henkilötietojen käsittelijää ottamaan yhteyttä tuomioistuimeen tarkastaakseen annetut sakkoilmoitukset, jolloin Rekisterinpitäjä on velvollinen korvaamaan Henkilötietojen käsittelijälle käsittelystä aiheutuneet kulut lakisääteisten maksujen mukaisesti.

10. Sekalaiset asiat

10.1. Jos Rekisterinpitäjän tiedot ovat vaarassa täytäntöönpano- tai menetetyksi tuomitsemisen, maksukyvyttömyysmenettelyn tai muun vastaavan tapahtuman vuoksi, Henkilötietojen käsittelijän on viipymättä ilmoitettava siitä Rekisterinpitäjälle.

10.2. Kaikki tämän Liitteen muutokset ja/tai lisäykset on tehtävä kirjallisesti ja molempien osapuolten on allekirjoitettava ne.

10.3. Jos jokin tämän Liitteen määräyksistä on tai tulee pätemättömäksi tai täytäntöönpanokelvottomaksi, se ei vaikuta muiden ehtojen pätevyyteen. Tehoton tai täytäntöönpanokelvoton määräys korvataan määräyksellä, joka on lähinnä sen merkitystä ja tarkoitusta.

10.4. Jos Palvelusopimuksen ja tämän Liitteen välillä on ristiriita, tämä Liite on voimassa.

10.5. Tähän Liitteeseen sovelletaan Suomen lakeja ja sitä tulkitaan niiden mukaisesti, ja Helsingin tuomioistuimilla on yksinomainen toimivalta.

Lisäys 1 Liitteeseen: Tekniset ja organisatoriset toimenpiteet

Kuvaus Henkilötietojen käsittelijän toteuttamista teknisistä ja organisatorisista turvatoimista:

1. Pääsyoikeuden Valvonta

Toimenpiteet, joilla estetään asiattomien pääsy henkilötietoja käsitteleviin tai käyttäviin tietojenkäsittelyjärjestelmiin