前言
本数据处理协议（以下简称"DPA"）构成 SUZZY（SAS，注册资本3 000欧元，巴黎RCS 102 900 487，"处理者"或"Suzzy"）与已订阅Suzzy订阅的餐厅（"控制者"或"您"）之间签订的餐厅商家销售总条款（"条款"）不可分割的附件。本DPA规范处理者代表控制者处理控制者终端客户个人数据的条件，符合2016年4月27日（欧盟）2016/679号条例（"GDPR"）和经修订的1978年1月6日法律 n°78-17。
1. 定义
首字母大写的术语具有条款或GDPR中给出的含义。
控制者
指已订阅Suzzy订阅的餐厅，确定其终端客户个人数据处理的目的和方式。
处理者
指Suzzy，根据控制者的书面指示代表控制者处理个人数据。
再处理者
指Suzzy委托执行特定处理活动的任何第三方提供商（特别是Railway、Stripe、Octopush、Resend）。
数据
指GDPR第4条定义的Suzzy在服务范围内处理的任何个人数据。
数据主体
指与数据相关的已识别或可识别的自然人（特别是控制者的终端客户）。
2. 目的
本DPA定义Suzzy作为处理者代表控制者执行严格用于提供服务所必需的个人数据处理操作的条件。
3. 处理说明
Suzzy代表控制者执行的处理具有以下特点：
3.1 处理性质
数据的托管、存储、结构化、查阅、通信、提供、备份、删除。如适用：发送交易性通知（邮件/短信）、营销通知（须经数据主体同意）、生成忠诚度通行证、为忠诚度目的的轻度画像。
3.2 目的
向控制者提供服务，即：管理预订、忠诚度计划、推广游戏、收集和发布评论以及发送数据主体授权的营销活动。
3.3 期限
处理在Suzzy订阅期间进行。订阅结束后，根据下文第10条返回或删除数据。
3.4 数据类别
- 身份数据：姓名、电子邮件地址、电话号码
- 预订数据：日期、时间、人数、备注
- 忠诚度数据：积分、等级、交易、Apple/Google Wallet 标识符
- 评论数据：评分、评论、日期
- 游戏数据：参与、获奖、奖励状态
- 营销同意数据：opt-in/opt-out、来源、时间戳
- 导航数据：IP地址、技术日志（限定时长）
3.5 数据主体类别
控制者的终端客户、与餐厅迷你店铺互动过的潜在客户。
4. 控制者义务
控制者承诺：
4.1 处理合法性
保证通过服务进行的数据处理基于 GDPR 第6条意义上的有效合法依据。
4.2 数据主体的告知和同意
按 GDPR 第13和第14条规定的条件向数据主体告知其数据处理情况，并在需要时收集其明确同意（特别是短信营销通信）。
4.3 书面指示
向 Suzzy 提供书面处理指示，并保证这些指示符合适用的法规。Suzzy 后台中选择的设置构成本 DPA 意义上的书面指示。
5. Suzzy 义务（处理者）
根据 GDPR 第28条，Suzzy 承诺：
5.1 按照指示进行处理
仅根据控制者的书面指示处理数据，包括关于数据传输到第三国的指示。
5.2 保密性
确保被授权处理数据的人员承诺保密或受适当的法定保密义务约束。
5.3 安全措施
实施 GDPR 第32条规定的适当的技术和组织措施。
5.4 协助控制者
在可能的情况下协助控制者：响应数据主体权利请求；进行数据保护影响评估（DPIA）；咨询监管机构（CNIL）。
5.5 数据返回/删除
服务结束时，Suzzy 删除或返回所有个人数据并销毁现有副本，但法定保留义务除外。默认应用30天保留期以允许根据请求恢复数据。
5.6 审计
向控制者提供证明遵守 GDPR 第28条所规定义务所需的所有信息，并允许审计，限于每年一次，需提前30天合理通知，由控制者承担费用，除非审计揭示 Suzzy 已证实的违规行为。
5.7 违规通知
在意识到任何个人数据违规后72小时内通过电子邮件通知控制者。
6. 再处理者
6.1 一般授权
控制者明确授权 Suzzy 为提供服务而委托再处理者（"再处理者"）。
6.2 再处理者列表
截至本 DPA 之日，再处理者为：
- Railway Corporation — 平台和数据托管 — 美国加利福尼亚旧金山
- Stripe, Inc. — 支付处理 — 爱尔兰都柏林/美国旧金山
- Octopush — 交易和营销短信 — 法国
- Resend Inc. — 交易电子邮件 — 美国特拉华
- Apple Inc. 和 Google LLC — 忠诚度通行证托管（Apple Wallet/Google Wallet）— 美国
6.3 列表演变
再处理者列表的任何更改将在新再处理者投入使用前至少30天通过电子邮件或后台通知控制者。
7. 欧盟境外传输
7.1 原则
Suzzy 努力优先在欧盟境内托管数据。但是，某些再处理者可能位于欧盟境外（特别是美国）。
7.2 标准合同条款（SCC）
向不享有欧洲委员会充分性决定的欧盟境外国家的任何数据传输都受2021年6月4日通过的标准合同条款（SCC）约束（实施决定（欧盟）2021/914），符合 GDPR 第44至49条。
7.3 向 Railway Corporation（美国）传输
平台和数据的主要托管由位于美国的 Railway Corporation 提供。此传输由 Suzzy 与 Railway 签署的标准合同条款（SCC）规范，并辅以额外的技术措施。
8. 数据安全
Suzzy 实施技术和组织措施以确保数据安全：传输中的加密（HTTPS/TLS 1.2+）；强密码策略；多因素身份验证；基于角色的访问控制；敏感操作的日志记录；定期自动化备份；环境分离；定期审查软件依赖项。
9. 数据违规
在数据违规事件发生时，Suzzy 在意识到后72小时内通知控制者。通知包括：违规性质；联系点详细信息；可能后果；已采取或预期采取的措施。
10. 处理结束
在本 DPA 结束时，Suzzy 在30天内根据控制者的选择：以结构化、常用、机器可读的格式（CSV或JSON）返回数据；或永久删除数据（法定保留义务除外）。
11. 责任
每方对因违反其 GDPR 义务而处理造成的损害负责，符合 GDPR 第82条。条款第11条规定的责任上限完全适用于本 DPA。
12. 适用法律和管辖权
本 DPA 受法国法律和 GDPR 管辖。如有不一致，以法文版为准。