یک ارائه دهنده از شما نام، نام خانوادگی، ایمیل، تلفن و شماره حساب بانکی (RIB) بدون رعایت GDPR می‌خواهد؟

⚠️ سناریو 2026 — فرم تماس gofoodup.com (برند “FoodUp”) 6 فیلد داده شخصی را جمع‌آوری می‌کند (نام، نام خانوادگی، ایمیل، تلفن، نام رستوران، پیام آزاد) بدون هیچ سیاست حفظ حریم خصوصی قابل مشاهده، نه بالای فرم، نه در فوتر، و هیچ کجا در وب‌سایت. این نقض آشکار ماده 13 GDPR است که می‌تواند توسط CNIL مجازات شود. مشاهده مطالعه موردی واقعی کامل →

هنگامی که یک وب‌سایت داده‌های شخصی را جمع‌آوری می‌کند - نام، نام، ایمیل، تلفن - باید فوراً در لحظه جمع‌آوری، اطلاعات کاملی مطابق با GDPR ارائه دهد. نه یک لینک کوچک در پایین صفحه. نه یک “با ارسال این فرم شما شرایط را می‌پذیرید” بدون هیچ توضیحی. اطلاعات شفاف، کامل و به راحتی قابل دسترس در مورد آنچه با داده‌های شما انجام خواهد شد.

در سال 2026، در بازار ارائه دهندگان “تحویل غذا” برای رستوران‌ها، این الزام به طور بسیار نابرابر رعایت می‌شود. نحوه بررسی و تفسیر آن را بیاموزید.

آنچه قانون می‌خواهد (ماده 13 GDPR)

ماده 13 از مقررات عمومی حفاظت از داده‌ها 11 اطلاعاتی را که یک پردازشگر مسئول (کسی که داده‌ها را جمع‌آوری می‌کند) باید در زمان جمع‌آوری به فرد مورد نظر ارائه دهد، فهرست می‌کند:

1. هویت و اطلاعات تماس پردازشگر مسئول
2. اطلاعات تماس DPO (نماینده حفاظت از داده) در صورت تعیین
3. اهداف پردازش (داده‌ها برای چه چیزی استفاده می‌شوند)
4. پایه قانونی پردازش (رضایت، قرارداد، منافع مشروع …)
5. گیرندگان داده‌ها (تحت‌تولیدکاران، هاست‌گردان، CRM و غیره)
6. انتقال خارج از اتحادیه اروپا در صورت لزوم، با ضمانت‌های موجود
7. مدت نگهداری داده‌ها
8. حقوق فرد (دسترسی، اصلاح، حذف، ابطال، قابلیت حمل، قابلیت استفاده مجدد)
9. حق انصراف از رضایت در هر زمان
10. حق شکایت به CNIL
11. پیامدهای عدم ارائه داده‌ها

به طور مشخص: یک لینک “سیاست حفظ حریم خصوصی” باید به طور مستقیم بالای دکمه ارسال فرم وجود داشته باشد، یا در خود فرم با یک علامت تجویجی (برای رضایت) ادغام شده باشد، اگر مرتبط باشد.

مجازات‌ها

ماده 83 GDPR تا 20 میلیون یورو یا 4٪ درآمد سالانه جهانی (هر کدام که بیشتر باشد) را برای عدم ارائه اطلاعات به فرد مورد نظر در نظر می‌گیرد.

در فرانسه، CNIL این مجازات‌ها را به صورت تدریجی اما واقعی اعمال می‌کند. برای مشاغل کوچک و متوسط، جریمه‌های رایج بین 3000 تا 20000 یورو همراه با الزامات انضباطی است (به عنوان مثال: 500 یورو در روز تاخیر).

مهم‌تر از همه، ثبت‌نام رایگان، سریع و فعال‌سازی یک رویه بازرسی رسمی توسط CNIL است. هر رستوران‌دار می‌تواند در 5 دقیقه یک شکایت را در cnil.fr/fr/plaintes ثبت کند، بدون اینکه قربانی نباشد - فقط کافی است نقض را مشاهده کنید.

نحوه بررسی در یک وب‌سایت ارائه دهنده

1. فرم تماس را پیدا کنید (درخواست دمو، ارزیابی رایگان، تماس مستقیم…).
2. فیلدهای درخواست شده را فهرست کنید : نام، نام خانوادگی، ایمیل، تلفن، نام رستوران، آدرس، پیام… هر کدام داده‌های شخصی هستند.
3. فقط بالای دکمه ارسال را نگاه کنید : آیا لینکی به “سیاست حفظ حریم خصوصی” یا مشابه وجود دارد؟ آیا یک علامت تجویجی برای رضایت وجود دارد؟
4. اگر هیچ : این یک نقض است. رستوران‌دار که این فرم را ارسال می‌کند، داده‌های شخصی خود را به یک پردازشگر مسئول که الزامات اطلاع‌رسانی خود را رعایت نمی‌کند، منتقل می‌کند.
5. بررسی تکمیلی: به دنبال لینکی به “سیاست حفظ حریم خصوصی” در فوتر یا منو باشید. اگر در هیچ کجا وجود نداشته باشد، این یک عدم رعایت مشخص است.

سناریوی مشاهده شده در 2026: gofoodup.com (برند “FoodUp”)

در طول ارزیابی اکوسیستم “افزایش تحویل” در ماه مه 2026، فرم تماس gofoodup.com نمونه‌ای از نقض GDPR است که به طور مشخص مشاهده شده است (تحلیل کامل در مطالعه موردی اختصاصی). به طور خاص، فرم:

• 6 فیلد داده شخصی را جمع‌آوری می‌کند: نام، نام خانوادگی، آدرس ایمیل، تلفن، نام رستوران، پیام آزاد
• هیچ سیاست حفظ حریم خصوصی را نشان نمی‌دهد (نه بالای فرم، نه در فوتر، نه در هیچ کجا در وب‌سایت - URL های /privacy, /politique-confidentialite به HTTP 404 برمی‌گردند)
• هیچ پردازشگر مسئول را شناسایی نمی‌کند (بدون SIRET، بدون نام تجاری، بدون آدرس - بنابراین کسی که داده‌های جمع‌آوری شده را دریافت می‌کند، حتی نمی‌داند چه کسی داده‌های او را پردازش می‌کند)
• هیچ اطلاعاتی در مورد گیرندگان داده‌های جمع‌آوری شده را نشان نمی‌دهد
• هیچ اطلاعاتی در مورد مدت نگهداری ارائه نمی‌دهد
• هیچ اشاره‌ای به حقوق افراد (دسترسی، اصلاح، حذف، ابطال، قابلیت حمل، قابلیت استفاده مجدد) ندارد
• هیچ DPO را شناسایی نمی‌کند (در حالی که حجم جمع‌آوری و حساسیت (تلفن حرفه‌ای + نام تجاری رستوران = شناسایی فوری) می‌تواند تعیین DPO را در راستای ماده 37 GDPR ضروری کند)

این یک نقض آشکار GDPR مطابق با ماده 13 است. تعداد فیلدها (6) و حساسیت (تلفن حرفه‌ای + نام تجاری رستوران = شناسایی فوری) هیچ ابهامی را برطرف نمی‌کند. CNIL می‌تواند در 5 دقیقه از cnil.fr/fr/plaintes شکایت کند، بدون اینکه قربانی باشد - فقط کافی است نقض را مشاهده کنید.

چرا شما، رستوران‌دار، به طور شخصی تحت تأثیر قرار می‌گیرید

اگر داده‌های خود و محل کار خود را به یک ارائه دهنده منتقل کنید، دو خطر جمع شده را متحمل می‌شوید:

1. خطر مستقیم : داده‌های شما در اختیار یک عامل قرار می‌گیرد که الزامات GDPR را رعایت نمی‌کند. عدم اطلاع‌رسانی در مورد مدت نگهداری = به طور بالقوه برای همیشه نگهداری می‌شود. عدم لیست‌کردن گیرندگان = به طور بالقوه به اشخاص ثالث (کارگزاران داده، سایر ارائه دهندگان) فروخته می‌شود. عدم وجود DPO = کسی برای تماس در صورت بروز حادثه وجود ندارد.
2. خطر غیرمستقیم (بیشترین اهمیت) : در صورت انتقال داده‌های مشتریان خود (سفارش‌ها، آدرس‌ها، شماره تلفن تحویل) به یک ارائه دهنده، شما به عنوان پردازشگر مسئول برای این داده‌ها هستید. ارائه دهنده یک تحت‌تولیدکار شما در راستای ماده 28 GDPR است. این امر الزام به یک قرارداد رسمی (DPA) را ایجاد می‌کند که باید 10 الزام خاص تحت‌تولیدکار را فهرست کند. بدون سیاست حفظ حریم خصوصی عمومی، بعید است که ارائه دهنده DPA مطابق با شما را ارائه دهد. در صورت انجام یک بازرسی CNIL در محل شما، شما به عنوان پردازشگر مسئول مجازات خواهید شد برای انتقال داده‌های مشتریان خود به یک تحت‌تولیدکار نامناسب.

بنابراین، منافع مستقیم، قانونی، مالی و عملی شما، عدم امضای قرارداد با یک ارائه دهنده که الزامات اساسی GDPR را رعایت نمی‌کند، است.

چه کاری باید انجام دهید اگر یک مورد را شناسایی کنید

1. فرم را ارسال نکنید. اگر می‌خواهید با آنها تماس بگیرید، از یک کانال جایگزین (پیام مستقیم LinkedIn به بنیان‌گذار اگر آن را پیدا کنید) استفاده کنید، بدون اینکه تا زمانی که سیاست حفظ حریم خصوصی در دسترس نباشد، داده‌های شخصی را منتقل کنید.
2. ثبت کنید : اسکرین‌شات‌های تاریخ‌دار فرم و فوتر وب‌سایت را بایگانی کنید، آرشیو وب (archive.org/web) را که تاریخ و اثبات می‌کند را ذخیره کنید.
3. شکایت کنید به CNIL: cnil.fr/fr/plaintes، فرآیند آنلاین، رایگان. نیازی نیست قربانی باشید - فقط کافی است نقض را مشاهده کنید.
4. یک ارائه دهنده سازگار را انتخاب کنید : Fooderise سیاست حفظ حریم خصوصی خود را از فوتر هر صفحه نشان می‌دهد، DPA استاندارد را با مشتریان خود ارائه می‌دهد و DPO خود را شناسایی می‌کند. این حداقل انتظاری است که باید از یک ارائه دهنده برای انتقال داده‌های مشتریان خود در تحویل دریافت کنید.

خلاصه

یک فرم تماس که 6 فیلد شخصی را بدون سیاست حفظ حریم خصوصی جمع‌آوری می‌کند، یک “جزئیات فنی” نیست - این یک نقض آشکار GDPR است که ارائه دهنده را در معرض مجازات CNIL قرار می‌دهد و شما را نیز در صورت انتقال بعدی داده‌های مشتریان خود، در معرض خطر قرار می‌دهد.