Databehandleraftale (DPA)

Version 1.0, Gældende fra april 2026

Denne aftale regulerer Ravios behandling af persondata på vegne af spisestedet (den dataansvarlige) i henhold til GDPR artikel 28.

1. Parter

• Dataansvarlig: Spisestedet (identificeret ved CVR og registrering på Ravio)
• Databehandler: Ravio ApS

2. Behandlingens art og formål

Ravio behandler kunders persondata udelukkende med det formål at:

• Modtage og formidle bestillinger
• Facilitere betaling via Stripe
• Levere ordrebekræftelser og statusopdateringer
• Generere statistik og rapporter til spisestedet

3. Typer af persondata

• Kundenavn, email, telefonnummer
• Leveringsadresse
• Ordrehistorik og betalingsdata
• Allergen-præferencer (hvis kunden har opsat)

4. Sikkerhedsforanstaltninger

Ravio implementerer tekniske og organisatoriske foranstaltninger jf. GDPR artikel 32, herunder:

• Kryptering af data under transport (TLS) og i hvile
• Adgangskontrol med rollebaseret autorisation
• Audit logging af alle dataændringer
• Automatisk anonymisering efter 5 år

5. Underdatabehandlere

Ravio benytter følgende underdatabehandlere:

• Stripe Inc., Betalingsbehandling
• AWS (Amazon), Hosting (EU-region)
• Mailgun, Email-afsendelse

Spisestedet informeres ved ændring af underdatabehandlere.

6. Databrud

Ravio underretter spisestedet uden unødig forsinkelse (og senest inden 48 timer) ved konstateret databrud der berører spisestedets kundedata.

7. Varighed og ophør

Aftalen gælder så længe spisestedet er registreret på Ravio. Ved ophør slettes eller returneres persondata inden 90 dage, med undtagelse af data der skal opbevares jf. Bogføringsloven.

8. Audit

Spisestedet har ret til at gennemføre eller lade gennemføre audit af Ravios databehandling med 30 dages varsel.