O que é tratado
- Objeto e duração: fornecer o Eats All Over ao restaurante, enquanto a sua conta estiver ativa e até os dados serem apagados.
- Natureza e finalidade: receber os pedidos do site e das mesas do restaurante, mostrá-los à cozinha e ao pessoal, imprimir talões, gerir as contas das mesas, situar no mapa as moradas de entrega, enviar os emails do pedido e preparar relatórios.
- Titulares dos dados: os clientes que fazem pedidos ao restaurante.
- Dados pessoais: nome, telefone, email, morada de entrega e as suas coordenadas, conteúdo e notas do pedido, estado e valores do pagamento com os seus ids da Stripe, e ids anónimos de comensal nas mesas.
- Categorias especiais: as alergias que um cliente declara (dados de saúde), usadas apenas para preparar o pedido com segurança.
Instruções
Tratamos os dados apenas para prestar o serviço e segundo as instruções documentadas do restaurante: os Termos do serviço, este acordo e as definições que o restaurante escolhe no painel. Se considerarmos que uma instrução viola a lei, informamos o restaurante.
Confidencialidade
Só podem aceder aos dados as pessoas da All Over Apps que operam a plataforma e precisam disso, e estão obrigadas a confidencialidade.
Segurança
Aplicamos as medidas descritas na Política de privacidade, entre elas:
- Ligações cifradas (TLS) e dados pessoais dos clientes cifrados em repouso.
- Apenas hashes de tokens, sessões, links e PIN, e tentativas de emparelhamento e de PIN limitadas.
- Acesso aos dados limitado às pessoas que precisam dele.
- Cópias de segurança da base de dados, guardadas durante 30 dias.
Subcontratantes ulteriores
O restaurante autoriza estes subcontratantes ulteriores, descritos em Fornecedores que nos ajudam:
- OVHcloud (OVH US): servidores, base de dados e cache, nos Estados Unidos.
- Cloudflare: domínios, DNS, ligações cifradas, proteção e cache, domínios próprios, fotografias dos pratos e cópias da base de dados (R2), na sua rede global.
- Stripe: pagamentos com cartão na conta própria do restaurante (Stripe Connect), na Irlanda e nos Estados Unidos. A Stripe é também responsável independente pelos dados de pagamento.
- Amazon Web Services (Amazon SES): envio dos emails do pedido, nos Estados Unidos (Ohio).
- Sentry: acompanhamento de erros, sem conteúdo dos pedidos HTTP, cookies nem dados de utilizador, nos Estados Unidos.
- komoot (Photon): sugestões de moradas, na Alemanha.
- OpenStreetMap Foundation (Nominatim): situar moradas no mapa, no Reino Unido.
- OpenFreeMap: mosaicos do mapa no editor de zonas do painel, pedidos pelo navegador do pessoal.
Impomos-lhes obrigações de proteção de dados equivalentes às deste acordo e continuamos a responder por eles.
Se acrescentarmos ou mudarmos um subcontratante ulterior, avisamos os restaurantes com uma antecedência razoável. O restaurante pode opor-se escrevendo para [email protected] e, se não pudermos atender a sua objeção, pode encerrar a sua conta.
Ajuda com os pedidos dos titulares
Ajudamos o restaurante a responder aos pedidos dos seus clientes (acesso, retificação, apagamento e os restantes), que nos pode encaminhar escrevendo para [email protected], e com as avaliações de impacto quando forem necessárias.
Violações de dados pessoais
Se uma violação de segurança afetar os dados pessoais do restaurante, notificamo-lo sem demora injustificada e no máximo 72 horas depois de termos conhecimento dela, com o que sabemos, as suas consequências prováveis e as medidas tomadas.
Apagamento
Os dados pessoais dos clientes são retirados dos pedidos 90 dias depois de cada pedido. Quando o restaurante encerra a sua conta, apagamos os seus dados no máximo em 30 dias, e as cópias de segurança que ainda os contenham desaparecem no máximo noutros 30 dias.
Informação e auditorias
Disponibilizamos ao restaurante a informação necessária para demonstrar que cumprimos este acordo e atendemos os seus pedidos razoáveis de auditoria, ou os de um auditor que designe, acordando previamente a data e o âmbito.
Transferências internacionais
Os dados são tratados nos Estados Unidos. Para as transferências a partir do Espaço Económico Europeu, do Reino Unido ou da Suíça aplicam-se as Cláusulas Contratuais-Tipo da Comissão Europeia (de responsável para subcontratante), que fazem parte deste acordo, e, quando um fornecedor está certificado, o Quadro de Privacidade de Dados UE-EUA.