HaiLa для ресторанов
Соглашение об обработке данных (DPA)
Настоящее соглашение устанавливает роли и ответственность HaiLa и Ресторана при обработке персональных данных через платформу HaiLa. Оно содержит правила для процессов, в которых стороны действуют как самостоятельные операторы, и положения, применимые, когда HaiLa обрабатывает данные от имени Ресторана как обработчик (Часть B).
Версия 1.1, действует с 1 октября 2026 г.
Стороны
HaiLa Tech SRL («HaiLa»), юридический адрес: str. Vlaicu Pârcălab 63, Chișinău MD-2012, Республика Молдова, действует как обработчик в отношении данных, которые она обрабатывает от имени Ресторана, и как самостоятельный оператор в отношении собственных данных, согласно матрице ролей в разделе 3. Контакт по вопросам защиты данных: dpo@haila.md.
Рестораном признаётся юридическое лицо или профессионал, который принял Условия использования для ресторанов и действует как оператор в отношении данных собственных клиентов, согласно той же матрице.
Настоящий DPA применяется к каждому Ресторану, который пользуется сервисами HaiLa. Идентификационные данные Ресторана, его контакт по вопросам защиты данных и дата вступления в силу определяются Основным договором, формой присоединения или принятым предложением.
1. Цель и статус DPA
Настоящее Соглашение об обработке данных («DPA»), которое в Условиях использования для ресторанов именуется также «Приложение об обработке данных», является частью договора между HaiLa и Рестораном и устанавливает роли, ответственность и условия, применимые к обработке персональных данных через платформу HaiLa.
Стороны признают, что правовая роль определяется не коммерческим наименованием данных и не понятием «собственность на данные», а тем, кто определяет цели и средства обработки в каждом конкретном процессе.
DPA опирается на Закон № 195/2024 о защите персональных данных, действующий с 23 августа 2026 года, и на принципы GDPR, транспонированные этой нормативной базой.
2. Определения
| Термин | Значение |
|---|---|
| Данные HaiLa | Данные, в отношении которых HaiLa определяет цели и средства обработки в рамках сервиса HaiLa, например аккаунт HaiLa, номер телефона, имя, предпочтения по бронированию, история взаимодействий и показатели, необходимые для работы и безопасности платформы. |
| Данные Ресторана | Данные, внесённые или собранные Рестораном в собственных отношениях с клиентами, включая бронирования по телефону, клиентов без бронирования (walk-in), внутренние заметки CRM, операционные предпочтения, собственную программу лояльности и иные данные, которыми Ресторан управляет в своих целях. |
| Совместно используемые данные | Данные, передаваемые между HaiLa и Рестораном для управления заявкой или бронированием либо для обновления их статуса. |
| Оператор | Сторона, которая самостоятельно или совместно с другими определяет цели и средства обработки. |
| Обработчик | Сторона, которая обрабатывает персональные данные от имени оператора и в соответствии с его документированными инструкциями. |
| Субъект данных | Физическое лицо, к которому относятся данные, включая клиента или пользователя Ресторана либо платформы HaiLa. |
| Инцидент безопасности | Нарушение безопасности, которое случайно или незаконно приводит к уничтожению, утрате, изменению, несанкционированному раскрытию данных или к несанкционированному доступу к ним. |
| Субобработчик | Поставщик (субпроцессор), привлечённый HaiLa для части обработки, выполняемой от имени Ресторана. |
3. Матрица ролей
| Процесс | Роль HaiLa | Роль Ресторана | Примечание |
|---|---|---|---|
| Аккаунт HaiLa и профиль пользователя HaiLa | Оператор | Роли нет | HaiLa ведёт отношения пользователя с платформой. |
| Заявка, созданная в экосистеме HaiLa, до её передачи | Оператор | Роли нет | HaiLa управляет собственным процессом поиска заведений и бронирования. |
| Данные, передаваемые Ресторану для бронирования | Оператор в целях HaiLa | Оператор в собственных целях обслуживания | Каждая сторона отвечает за обработку, решение о которой она принимает в собственных целях. |
| Статус бронирования: подтверждено, отменено, клиент пришёл, no-show | Оператор в целях собственной работы, выставления счетов, безопасности и анализа | Оператор в отношении операций Ресторана | Данные совместно используются в обоих направлениях. |
| Клиент, внесённый непосредственно Рестораном | Обработчик, в той мере, в какой только размещает или обрабатывает данные по инструкции | Оператор | Если впоследствии HaiLa использует данные в собственных целях, роль должна быть пересмотрена. |
| Внутренние заметки CRM Ресторана | Обработчик | Оператор | HaiLa не использует их в собственных целях без отдельного основания и отдельного информирования. |
| Собственная программа лояльности Ресторана | Обработчик или оператор, в зависимости от настройки | Оператор | Точная роль устанавливается в Коммерческом приложении в зависимости от включённого модуля. |
| Статистический анализ HaiLa на уровне платформы | Оператор | Роли нет | В соответствии с Политикой конфиденциальности и применимыми правовыми основаниями. |
| Маркетинг Ресторана | Обработчик, только если выполняет техническую доставку по инструкции | Оператор | Ресторан отвечает за основание, список получателей и сообщение. |
5. Данные клиентов HaiLa, передаваемые Ресторану
В зависимости от функции HaiLa может передавать Ресторану:
- имя и/или идентификатор клиента;
- номер телефона;
- запрошенные дату и время;
- количество гостей;
- предпочтения, значимые для бронирования;
- статус бронирования и операционные обновления;
- иные данные, строго необходимые для подготовки визита и обслуживания во время него.
Ресторан может использовать эти данные для подтверждения бронирования и управления им, для связи с клиентом по поводу визита, для подготовки стола, для организации пребывания клиента в заведении, для соблюдения юридических обязанностей и для ведения собственных отношений с клиентом.
6. Данные клиентов Ресторана, обрабатываемые через HaiLa
В отношении бронирований по телефону, собственного сайта, клиентов без бронирования (walk-in), внутренней CRM, внутренних заметок или иных процессов, инициированных Рестораном, оператором выступает главным образом Ресторан. В той мере, в какой HaiLa только предоставляет программную инфраструктуру и обрабатывает данные по инструкциям Ресторана, применяются положения Части B настоящего DPA.
7. CRM и внутренние заметки
- Ресторан решает, вносить ли в CRM внутренние заметки и какие именно, и отвечает за их законность, уместность и точность.
- Ресторан не будет вносить заметки, которые дискриминационны, порочат клиента, избыточны или не связаны с его обслуживанием.
- Особых категорий данных следует избегать, кроме случаев, когда они строго необходимы и существует применимое правовое основание.
- HaiLa не будет использовать внутренние заметки Ресторана для ранжирования, рекомендаций, скоринга, маркетинга или иных собственных целей, не задокументировав отдельное основание и не обеспечив необходимое информирование.
- Доступ к внутренним заметкам должен быть ограничен уполномоченным персоналом Ресторана.
8. Caller ID
- Если Ресторан включает Caller ID, номер, связанный со звонком, может использоваться для поиска существующей записи и для показа уполномоченному персоналу имеющихся операционных сведений.
- Caller ID сам по себе не предполагает записи содержания разговора.
- Ресторан отвечает за использование функции в собственных отношениях с клиентом.
- HaiLa обрабатывает данные строго в пределах настройки и роли, установленной для этого процесса.
- Любая функция аудиозаписи, расшифровки или анализа звонка требует отдельной документации и по умолчанию не охватывается настоящим DPA.
Часть B. Положения об обработке от имени Ресторана
Положения этой части применяются, когда HaiLa действует как обработчик и обрабатывает Данные Ресторана от его имени.
9. Предмет, срок, характер и цель обработки
| Элемент | Описание |
|---|---|
| Предмет | Предоставление платформы HaiLa и предусмотренных договором модулей для управления бронированиями, CRM, Hostess, Table Management, Caller ID, loyalty, Website Widget и иных включённых функций. |
| Срок | В течение срока действия Основного договора, а после него только столько, сколько необходимо для возврата или удаления данных, для резервных копий либо для применимых юридических обязанностей. |
| Характер операций | Сбор, запись, систематизация, хранение, просмотр, обновление, разрешённая передача, сопоставление, экспорт, удаление и иные операции, необходимые для оказания услуги. |
| Цель | Оказание программной услуги по инструкциям Ресторана, без использования данных, обрабатываемых исключительно от имени Ресторана, в несовместимых собственных целях. |
10. Субъекты данных и категории данных
| Категория | Содержание |
|---|---|
| Субъекты данных | Клиенты Ресторана, лица, которые бронируют, клиенты без бронирования (walk-in), звонящие, участники программ лояльности и иные лица, данными которых Ресторан управляет на законном основании. |
| Идентификационные и контактные данные | Имя, фамилия, если она внесена, номер телефона, адрес электронной почты, если он имеется. |
| Операционные данные | Дата и время бронирования, количество гостей, стол, зона, статус, история визитов, источник бронирования. |
| Предпочтения | Предпочтения по посадке, по столу, по языку и иные операционные предпочтения. |
| Внутренние заметки | Замечания, созданные Рестораном для обслуживания клиента. |
| Loyalty | Идентификаторы, уровень или статус, привилегии, значимая история, если модуль включён. |
| Технические данные | Внутренние идентификаторы, отметки времени, журналы доступа и аудита, только в той мере, в какой это необходимо для оказания услуги и её безопасности. |
| Особые категории | Не предназначены для регулярной обработки. Могут появиться случайно, только если их вносит Ресторан или если они строго необходимы для конкретного требования; ответственным за применимое основание остаётся Ресторан. |
11. Инструкции Ресторана
HaiLa обрабатывает Данные Ресторана только на основании документированных инструкций Ресторана, в том числе в отношении передачи данных, за исключением случаев, когда закон требует иного.
Инструкции следуют из Основного договора, из включённых модулей, из настроек, сделанных уполномоченными пользователями Ресторана, из настоящего DPA и из последующих письменных инструкций, принятых HaiLa.
Если HaiLa обоснованно считает, что инструкция нарушает применимое законодательство о защите данных, она сообщит об этом Ресторану и может приостановить исполнение инструкции до прояснения.
12. Конфиденциальность и доступ
- HaiLa обеспечивает, чтобы лица, уполномоченные обрабатывать Данные Ресторана, были связаны обязательствами о конфиденциальности.
- Доступ предоставляется по принципу служебной необходимости и, где это возможно, по принципу минимальных привилегий.
- HaiLa поддерживает механизмы аутентификации и контроля доступа, соразмерные риску.
- Ресторан отвечает за управление аккаунтами, ролями и учётными данными собственной команды.
13. Технические и организационные меры
| Область | Общая мера |
|---|---|
| Контроль доступа | Роли и разрешения, аутентификация, ограничение доступа уполномоченным персоналом. |
| Безопасность связи | Защита каналов связи надлежащими протоколами шифрования. |
| Журналирование | Технические журналы и мониторинг ошибок по значимым операциям, в зависимости от модуля. |
| Управление уязвимостями | Обновления, исправления безопасности и меры по снижению уязвимостей в соответствии с техническими процессами. |
| Инциденты | Процесс выявления, оценки, документирования и эскалации инцидентов. |
| Пересмотр | Периодическая оценка эффективности мер с учётом риска и развития услуги. |
Меры могут обновляться в ходе оказания услуги при условии, что это существенно не снижает общий уровень защиты, применимый к обработке.
14. Субобработчики
- Ресторан разрешает HaiLa привлекать субобработчиков для оказания услуги с соблюдением условий настоящего раздела.
- HaiLa возложит на субобработчиков обязательства по защите данных, по существу равнозначные соответствующим обязательствам из настоящего DPA.
- HaiLa будет вести актуальный список соответствующих субобработчиков и предоставит его Ресторану согласно Приложению B.
- О новом субобработчике, который затрагивает Данные Ресторана, HaiLa заранее и разумным образом сообщит через договорный механизм или по установленному каналу.
- Ресторан может заявить мотивированное возражение по серьёзным причинам, связанным с защитой данных. Стороны постараются найти разумное решение.
- HaiLa продолжает отвечать перед Рестораном за исполнение обязательств, принятых субобработчиком, в той мере, в какой это предусмотрено законом и договором.
15. Трансграничная передача данных
HaiLa не будет передавать Данные Ресторана в какое-либо государство или международной организации иначе как на основании применимого правового механизма и документированных инструкций, относящихся к услуге.
В зависимости от случая механизмы могут включать решение об адекватности, стандартные договорные условия или иные гарантии, допускаемые Законом № 195/2024.
Места обработки, заявленные HaiLa, указаны в Списке субобработчиков.
16. Запросы субъектов данных
- Если HaiLa напрямую получает запрос, который очевидно касается Данных Ресторана, обрабатываемых исключительно от его имени, HaiLa сообщит об этом Ресторану и, в соответствующих случаях, направит заявителя к Ресторану.
- HaiLa окажет Ресторану разумное содействие в отношении доступа, исправления, удаления, ограничения, переносимости и возражения, с учётом характера обработки и имеющихся сведений.
- Ресторан остаётся ответственным за правовую оценку запроса и за ответ субъекту данных, если он является компетентным оператором.
- Если запрос касается и Данных HaiLa, в отношении которых HaiLa является оператором, HaiLa отдельно рассмотрит ту часть, которая относится к ней.
17. Инциденты безопасности
HaiLa уведомит Ресторан без неоправданных задержек после того, как ей станет известно об инциденте безопасности, который затрагивает Данные Ресторана, обрабатываемые от его имени.
Уведомление будет содержать, в той мере, в какой сведения доступны:
- характер инцидента;
- категории затронутых данных и лиц, если они известны;
- вероятные последствия;
- принятые или предлагаемые меры;
- контактный пункт для координации;
- дополнительные сведения, по мере хода расследования.
Ресторан отвечает за оценку своей обязанности уведомить Национальный центр по защите персональных данных (CNPDCP) и/или субъектов данных, когда он действует как оператор. HaiLa окажет разумное содействие в этом процессе.
18. Оценка воздействия (DPIA) и предварительная консультация
С учётом характера обработки и имеющихся сведений HaiLa окажет Ресторану разумное содействие в оценках воздействия на защиту данных и, в соответствующих случаях, в предварительной консультации с компетентным органом.
19. Учёт и подтверждение соответствия
- HaiLa ведёт требуемый законом учёт деятельности по обработке, которая осуществляется от имени операторов, в той мере, в какой эта обязанность применима.
- HaiLa предоставит Ресторану сведения, разумно необходимые для подтверждения соблюдения обязанностей, применимых к обработчику.
- Любые сведения, предоставленные с этой целью, остаются конфиденциальными и не могут использоваться в иных целях.
20. Аудит
Ресторан может запросить разумные сведения и доказательства соблюдения HaiLa настоящего DPA. Прямой аудит на месте применяется, только если имеющейся документации недостаточно или если есть разумная причина, связанная с инцидентом либо с существенным несоответствием.
- Об аудите уведомляют в разумный срок, за исключением обоснованных срочных случаев.
- Аудит проводится в обычное рабочее время и без ущерба для безопасности других клиентов, для коммерческой тайны или для инфраструктуры HaiLa.
- Стороны могут договориться о привлечении независимого аудитора, связанного обязательством о конфиденциальности.
- Чрезвычайные расходы, вызванные аудитом, может нести Ресторан, если аудит не выявит существенного несоответствия по вине HaiLa, в той мере, в какой это допускает договор.
21. Возврат и удаление данных
При прекращении соответствующей услуги HaiLa по выбору Ресторана и с учётом юридических обязанностей удалит или вернёт Данные Ресторана, обрабатываемые исключительно от его имени.
Данные могут временно оставаться в резервных копиях до их обычной ротации, с ограниченным доступом и без активного использования, за исключением необходимого восстановления.
Эта обязанность не требует удаления Данных HaiLa, в отношении которых у HaiLa есть самостоятельная роль оператора и собственное основание для хранения.
22. Обязанности Ресторана
Ресторан обязан:
- обеспечить, чтобы данные, предоставляемые HaiLa, собирались и обрабатывались законно;
- предоставлять субъектам данных необходимую информацию о собственной обработке;
- настраивать и использовать платформу в соответствии с законом;
- управлять доступом сотрудников и незамедлительно отключать аккаунты, которые больше не нужны;
- избегать внесения избыточных или чувствительных данных без необходимости и правового основания;
- отвечать на запросы субъектов данных, в отношении которых он является оператором;
- сообщать HaiLa о любой инструкции или инциденте, значимых для обработки, выполняемой через платформу.
23. Обязанности HaiLa
HaiLa обязана:
- обрабатывать Данные Ресторана в соответствии с документированными инструкциями в тех процессах, где она действует как обработчик;
- применять технические и организационные меры, соразмерные риску;
- сохранять конфиденциальность;
- контролировать и документировать соответствующих субобработчиков;
- содействовать Ресторану в разумных пределах в вопросах прав субъектов данных, инцидентов, DPIA и подтверждения соответствия;
- не использовать Данные Ресторана в собственных целях, несовместимых с ролью обработчика.
24. Незаконные инструкции и злоупотребление
HaiLa может отказать в исполнении инструкции или приостановить её, если она очевидно нарушала бы законодательство о защите данных, безопасность сервиса или права других клиентов. HaiLa сообщит Ресторану о причине в той мере, в какой это допускает закон.
25. Ответственность
Каждая сторона отвечает за собственные нарушения обязанностей по закону и по договору в пределах, предусмотренных законом и Основным договором. Настоящий DPA не ограничивает права субъектов данных и не может устранить ответственность, которая не может быть исключена по закону.
Если компетентный орган или суд квалифицирует обработку иначе, чем роль, которую предполагали стороны, стороны будут сотрудничать, чтобы скорректировать соответствующую документацию и процессы.
26. Приоритет документов
При противоречии между настоящим DPA и Основным договором в отношении защиты данных в вопросах защиты данных преимущественную силу имеет настоящий DPA. В коммерческих и финансовых вопросах продолжает применяться Основной договор.
27. Срок действия
Настоящий DPA применяется в течение всего периода, когда HaiLa обрабатывает персональные данные для Ресторана или совместно с ним в связи с услугами, предусмотренными договором.
Приложение A. Документированные инструкции и модули
Приведённые ниже общие инструкции применяются к модулям, включённым для Ресторана, в соответствии с пакетом, предусмотренным договором, и Коммерческим приложением.
| Модуль | Общая инструкция |
|---|---|
| Reservation Management | Управление бронированиями, внесёнными Рестораном или находящимися под его контролем. |
| Hostess App | Операционный доступ и обновление статусов. |
| Table Management | Столы, зоны, распределение и операционное состояние. |
| CRM Restaurant | Профили, история и внутренние заметки Ресторана. |
| Caller ID | Сопоставление номера звонящего с существующей карточкой. |
| Website Widget | Заявки из собственного канала Ресторана. |
| Loyalty | Программа лояльности, в соответствии с настройкой. |
| Waiter App | Операционные процессы персонала. |
| POS Integration | Обмен данными с POS-системой, в пределах интеграции. |
| Marketing delivery | Техническая отправка по инструкции Ресторана, если она предусмотрена договором. |
Приложение B. Субобработчики
Субобработчики, которых привлекает HaiLa, услуги, которые они оказывают, данные, которые они получают, и места обработки приведены в Списке субобработчиков, опубликованном на restaurants.haila.md/legal/subprocessors. Список поддерживается в актуальном состоянии, а о его изменениях сообщается согласно разделу 14.
Приложение C. Контакты по вопросам защиты данных и инцидентов
- HaiLa: dpo@haila.md, по вопросам конфиденциальности, инцидентов и настоящего DPA.
- Ресторан: контакт, указанный в Основном договоре, в форме присоединения или в принятом предложении.