資料處理協議

對於您透過 Ordpin 蒐集或管理的顧客與員工個人資料，您是控制者，Ordpin 是您的處理者。本協議涵蓋該項處理。Ordpin 以自身控制者的身分處理資料的方式（顧客帳號、裝置紀錄、統計資料與詐欺防範），已在隱私權政策中說明。

目的：依服務的運作方式及您的設定，營運您的線上商店、訂單、廚房和收銀機螢幕、外送，以及發送給顧客的訊息。

資料：姓名、電話號碼、地址與地圖位置、訂單內容、備註與評價、員工帳號，以及與訂單相關聯的裝置 ID 和 IP 位址。人員：您的顧客、您的員工，以及訂單的收件人。

期間：在您的帳號開啟期間，之後依刪除條款所述辦理。

我們僅依您有記載的指示處理資料：這些條款、您的設定，以及您在後台中的操作。如果我們認為某項指示違反資料保護法，我們會告知您。除非法律要求，否則我們不會以其他方式處理資料，且在這種情況下，除非該法律禁止，否則我們會通知您。

Ordpin 中所有能存取資料的人都須遵守保密義務，且僅在工作需要的範圍內存取資料。

我們採取適當的技術與組織措施（GDPR 第 32 條），包括傳輸中（TLS）和靜態儲存（加密磁碟、檔案儲存和備份）的加密、僅能透過個人帳號並以所需的最低權限存取、兩種獨立的備份、監控與紀錄，以及定期更新。

您授權我們使用這些次處理者，並以書面條款要求其如同本協議一樣保護資料：Amazon Web Services（託管、資料庫、檔案儲存和電子郵件，位於歐盟法蘭克福）；Cloudflare（Ordpin 以及您所預訂網域的 DNS；它不會存取商店資料）。

我們會在任何新的次處理者開始處理的 30 天前，在本頁面公告。如果您基於正當的資料保護理由提出異議，而我們無法解決，您可以關閉您的帳號。

在服務允許的範圍內，我們會協助您回應資料主體的請求（查閱、更正、刪除、可攜性），以及在安全性、外洩通知和資料保護影響評估方面提供協助。許多請求您可以自行在後台處理。

在得知影響您資料的外洩事件後，我們會不得無故延遲地通知您，並說明我們所知道的情況、可能的後果和已採取的措施，讓您能符合自己的期限（依 GDPR 為 72 小時）。

資料儲存和處理於歐盟（Amazon Web Services，法蘭克福）。凡歐盟、英國或瑞士以外的人員可存取資料之處——包括在伊拉克的 Ordpin 團隊——該項傳輸適用歐盟執委會的標準合約條款（模組二，控制者對處理者），並於適用時附帶英國附錄與瑞士修正，這些內容以引用方式納入本協議。

您的帳號關閉時，我們會在 90 天內刪除我們為您處理的個人資料，或在此之前如您要求，則將資料交還給您，但法律要求我們保留的資料（例如財務紀錄）除外，這些資料我們僅為該目的而保留。

我們會提供證明我們履行這些義務所需的資訊。您可以每年稽核一次合規情況，須提前 30 天通知，在工作時間內進行並自行負擔費用，並以文件和報告的方式為佳；稽核不得洩露其他客戶的資料。

在資料保護事項上，本協議優先於其餘條款。條款中關於責任、期間與爭議解決的規定，在資料保護法允許的範圍內適用於本協議。

若對本協議有疑問，或需要向我們下達指示，請透過客服表單寫信給 Ordpin 團隊。