Угода про обробку даних (DPA)
Угода про обробку даних за ст. 28 GDPR між AI Waiter та ресторанами-клієнтами.
Ця Угода про обробку даних («DPA») є частиною Умов використання між AI Waiter / waiter24.ai («Процесор», «ми») та клієнтом («Контролер», «ви») і приймається під час створення акаунту. Вона регулює обробку персональних даних ваших гостей через Сервіс відповідно до ст. 28 GDPR.
1. Предмет і строк
Ми обробляємо персональні дані ваших гостей за вашим дорученням для надання AI-чат-асистента та пов'язаних функцій (замовлення, бронювання, лояльність, відгуки, підтримка). DPA діє, поки існує ваш акаунт, і до моменту видалення чи повернення всіх даних гостей.
2. Характер і мета обробки
Збирання, зберігання, структурування та передача чат-розмов і пов'язаних сервісних даних для генерації AI-відповідей, обробки замовлень і бронювань, роботи програми лояльності та надання вам аналітики.
3. Категорії даних і суб'єктів
- Суб'єкти даних: ваші гості та відвідувачі сайту, які користуються чатом.
- Категорії даних: повідомлення чату та метадані; ім'я, телефон, адреса доставки й інші деталі замовлення, які надає гість; деталі бронювань; баланс лояльності, прив'язаний до телефону; оцінки та коментарі після замовлення; зображення, які завантажує гість. Дієтичні рекомендації (дані про здоров'я) обробляються транзитно за явною згодою гостя і ніколи не зберігаються.
4. Наші обов'язки як процесора
- Ми обробляємо дані гостей лише за вашими задокументованими інструкціями, втіленими в налаштуваннях Сервісу, які ви контролюєте, окрім випадків, коли інше вимагає право ЄС, держави-члена чи України.
- Особи, допущені до обробки, зобов'язані зберігати конфіденційність.
- Ми впроваджуємо технічні та організаційні заходи, описані на сторінці Безпека (TLS при передачі, шифрування збережених ключів, ізоляція тенантів, контроль доступу, резервні копії, ліміти зберігання логів).
- Ми в розумних межах допомагаємо вам відповідати на запити суб'єктів даних (доступ, виправлення, видалення, портативність, заперечення) та виконувати обов'язки за ст. 32–36 GDPR.
- Ми повідомляємо вас без невиправданої затримки, щойно дізнаємося про витік персональних даних, що стосується даних ваших гостей.
- Після припинення акаунту ми видаляємо або, за вашим запитом до припинення, повертаємо дані гостей і видаляємо наявні копії, якщо закон не вимагає подальшого зберігання.
- Ми надаємо інформацію, необхідну для підтвердження відповідності, та допускаємо аудити, які насамперед задовольняються документацією і письмовими відповідями; виїзні аудити потребують розумного попередження і не повинні загрожувати даним інших клієнтів.
5. Субпроцесори
Ви надаєте загальну авторизацію на залучення субпроцесорів із переліку нижче. Про заплановані зміни ми повідомимо зареєстрованих клієнтів (email або сповіщення в продукті) щонайменше за 14 днів, щоб ви могли заперечити.
| Субпроцесор | Мета | Розташування |
|---|---|---|
| Anthropic (або AI-провайдер, налаштований вами через BYOK) | Генерація AI-відповідей | США (SCC) |
| Хостинг / інфраструктурні провайдери | Сервери, сховище, резервні копії | ЄС / Україна |
| Postmark, Brevo або Resend (за конфігурацією) | Транзакційні листи | ЄС / США (SCC) |
| Paddle / LiqPay | Обробка платежів (ваші платіжні дані, не дані гостей) | Велика Британія–ЄС / Україна |
| Telegram, Meta (WhatsApp) | Доставка повідомлень — лише якщо ви увімкнули ці канали | за їхніми умовами |
6. Міжнародні передачі
Якщо обробка залучає провайдерів поза ЄС/ЄЕЗ чи Україною (наприклад, AI-провайдерів у США), передачі спираються на належні гарантії, зокрема стандартні договірні положення цих провайдерів.
7. Ваші обов'язки як контролера
Ви відповідаєте за законність обробки, інформування гостей (повідомлення про приватність на вашому сайті), отримання необхідних згод і налаштування Сервісу (наприклад, строк зберігання чат-логів, перевірка віку, функція дієт-плану) відповідно до застосовного до вашого бізнесу права.
8. Контакти
Питання щодо цієї DPA: [email protected]
Дата останнього оновлення: 14 липня 2026 р.