本文梳理了部分头部SaaS服务商与餐饮企业关于数据安全的公开协议，并就相关条款设计提出初步建议，助力餐饮数字化发展。
2024年6月13日，国家发展改革委、农业农村部、商务部、文化和旅游部和市场监管总局联合发布《关于打造消费新场景培育消费新增长点的措施》（发改就业[2024]840号，以下简称《措施》）。《措施》围绕餐饮消费、文旅体育消费、购物消费、大宗商品消费、健康养老托育消费和社区服务消费等方面部署了各项重点任务。其中，在培育餐饮消费新场景方面，提出要“支持餐饮消费智能升级，推进餐饮经营主体数字化改造，提升市场分析和客户获取能力。推进餐饮外卖点单和配送智能化升级……”等。与之对应，中国连锁经营协会与美团联合发布的《2024中国餐饮加盟行业白皮书》指出：“大众化餐饮成为中国餐饮业发展的主流方向，餐饮行业连锁化、数字化、产业化、标准化、绿色化等方面的高水平发展为餐饮‘万店时代’筑起牢固的根基。[1]”
餐饮数字化改造离不开数字化工具。本文分为上下两篇，上篇将结合笔者服务餐饮和零售行业SaaS服务商的相关实务经验，就餐饮企业与SaaS服务商之间关于数据归属的合同条款设计提出初步建议，供讨论参考。下篇将重点讨论餐饮企业与SaaS服务商之间关于数据处理以及数据安全责任划分的条款设计。
根据国家信息中心2023年10月发布的《中国餐饮业数字化发展报告》，餐饮数字化的内涵和外延如下图所示[2]：
如上图所示，餐饮数字化包含数字供应链、扫码点餐、移动支付、在线外卖、在线点评、中央厨房等多个应用场景，其中堂食和外卖是最主要的两大应用场景。除此之外，餐饮数字化由餐饮企业、餐饮平台、消费者、骑手、供应商与政府监管等多方主体参与。
在数据流通领域，餐饮平台向餐饮公司可以提供数字化方案并处理有关数据。餐饮数字化主要收集和处理的数据类型包括但不限于：
（1）订单数据：主要指订单号、菜品名称、价格、数量、点餐时间等信息，用于跟踪和管理顾客的订单；
（2）菜品数据：涉及菜品的详情信息，例如菜品列表、菜品分类、菜品口味、原料类别等，用于菜品管理和库存控制；
（3）库存数据：记录原材料、半成品、成品的库存情况，以及库存预警线等，用于库存管理和原材料采购；
（4）会员数据：包括会员的基础信息、消费记录、积分、充值情况等，用于会员管理和营销活动；
（5）销售数据：涉及门店的销售额、订单及客流量、会员数、门店KPI、日消耗项等，用于分析门店的营收情况和趋势；
（6）员工数据：记录员工的基础信息、工作效率、排班情况、培训情况等，用于员工管理和绩效评估；
（7）收银数据：涉及收银结算、移动支付、聚合支付等，用于防止收银损耗和提高收银效率；
（8）营销数据：涉及营销活动的成效，例如活动期间的销售额、客流量等，用于评估经营销售的策略的效果；
（10）食品安全监管数据：监控后厨环境和员工的操作规范，确保食品安全等。
如第1.2部分所述，我们得知餐饮数字化管理软件处理的数据有如下三大特点：
第一、软件涉及处理个人隐私信息、金融信息等敏感程度较高的数据，且数据量较大；
第二、软件涉及处理多个数据主体的信息，包括门店、消费者、员工、供应商甚至是金融机构或第三方支付机构等；
第三、餐饮数字化管理软件大部分采用SaaS模式；SaaS服务商并不直接面向消费者，更不参与餐饮门店与消费者之间的交易，而仅仅为门店或餐饮品牌提供产品和技术服务。在此基础之上，餐饮数字化SaaS服务商在数据安全方面的责任往往与门店和品牌方、第三方机构之间的责任混淆在一起，明确餐饮数字化SaaS服务商的数据安全责任边界也是十分困难的事情。
为了方便讨论，以餐饮数字化SaaS服务商为中心，餐饮数字化各方主体之间的合同关系可以简要概括如下：
如上图所示，在商户端，餐饮数字化SaaS服务商与餐饮企业签署《商户服务协议》，通常在餐饮企业注册账号并开始使用数字化管理软件之日起生效。实践中存在两种情况：（1）餐饮品牌购买SaaS产品后，旗下授权门店均可使用；（2）门店自行购买SaaS产品。在消费端，SaaS服务商与消费者签署《用户服务协议》或《平台隐私政策》，通常自消费者扫码/注册账号之时签署并生效。而针对第三方机构，例如支付机构、配送平台等，SaaS服务商主要与他们签署《技术服务合作协议》，往往自餐饮数字化管理软件部署实施之日起开始计算服务期。
针对不同主体之间的数据流通关系，合同主要对数据的归属、数据的处理、保障数据安全的责任等三大方面做了约定。本文仅讨论SaaS服务商与餐饮企业之间关于数据安全的合同约定，SaaS服务商与消费者之间、SaaS服务商与第三方合作机构之间关于数据安全的合同条款将在今后的文章中进行分析。
我们检索并研究了国内市场上部分头部餐饮数字化管理软件（代名披露为A/B/C/D）和北美市场的头部餐饮数字化SaaS服务商S的公开协议，仅为讨论之目的分析如下：
明确数据归属，是划分数据处理权限和保护数据安全责任的基础。数据归属是指数据的所有权或控制权，即谁拥有数据、谁能够决定收集数据的方式和目的。
如上图所示，餐饮企业与SaaS服务商之间关于数据归属的约定思路各不相同，可以大致分为如下三类：
第一、对数据的归属没有明确约定，但约定了服务商享有数据的使用权。例如：服务商A约定其对餐饮企业上传的数据具有使用权。服务商B则进一步明确取得该等数据使用权的目的是为了技术服务的稳定及相应问题（BUG）等的排查、解决。
第二、对数据的归属尝试进行明确，但界定并不清晰。例如：服务商C约定用户数据和平台运营数据的所有权及其他相关权利属于服务商C，且是服务商C的商业机密，但依法属于用户享有的相关权利除外。那么，什么是依法属于用户享有的相关权利呢？文本中没有明确定义。这在实际履约过程中就可能会产生争议空间。服务商D使用商业机密的概念，约定数据是服务商D的商业机密，受到相关法律和法规的保护。但是，数据归属和商业机密并不是一个概念。根据我们国家《反不正当竞争法》第九条的规定，商业机密是指不为公众所知悉、具有商业经济价值并经权利人采取对应保密措施的技术信息、经营信息等商业信息。协议约定数据属于服务商的商业机密，只是强调了服务商对该等信息负有保密的义务和责任；但即使是归属于餐饮企业或第三方的数据，也可能构成服务商的商业机密，属于服务商应当保密的范畴。因此，从该等约定来看，我们理解服务商C和D是试图对数据的归属进行明确，但是条款设计上仍有歧义和不够完善的地方。
第三、放弃对数据归属的约定，转而从使用权能的角度，列举服务商使用数据的权利。即境外服务商S对商户上传的内容有权使用、复制、修改、改编、发布、准备衍生作品、分发、公开表演和公开展示等，列举式的约定了多种使用的权能。
那么，应当怎么样来判断数据的归属呢？我国并没有采用欧盟《通用数据保护条例》（GDPR）的做法，对数据控制者和数据处理者进行划分。但是，我们大家可以从国家有关政策和立法演变中，窥见数据角色划分的主要参考因素。中央、国务院2022年12月2日发布的《关于构建数据基础制度更好地发挥数据要素作用的意见》（以下简称《数据二十条》）第二条第（三）款提出：“依据数据来源和数据生成特征，分别界定数据生产、流通、使用的过程中各参与方享有的合法权利，建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制，推进非公共数据按市场化方式‘共同使用、共享收益’的新模式，为激活数据要素价值创造和价值实现提供基础性制度保障。”《数据二十条》提出了依据数据来源和数据的生成特征界定数据归属、划分数据参与主体的角色的指导性方向。
同时，我国《个人隐私信息保护法》提出了“个人隐私信息处理者”的概念。《个人隐私信息保护法》第二十条规定：“两个以上的个人信息处理者共同决定个人信息的处理目的和解决方法的，应当约定各自的权利和义务。”根据本条规定，判断个人隐私信息处理者的标准是哪一方决定个人信息的处理目的和解决方法。这个标准和GDPR的规定类似。
（1）从数据来源和数据的生成特征角度来看：餐饮企业与SaaS服务商之间，数据主要来自于餐饮企业，是餐饮企业以及它门店上传或操作系统的行为形成了有关数据。典型的场景为餐饮连锁店的管理模式：SaaS系统在连锁门店布放和实施之后，门店工作人员操作系统将当天的经营数据包括但不限于配餐数据、订单数据、物流运输数据、收入现金流等上传到云端，方便餐饮企业总部进行查阅，判断门店在某一特定时期的经营状况。据此，原则上该等数据应当归属于餐饮企业。
（2）从决定数据的处理目的和解决方法的角度来看：餐饮企业是决定数据处理目的的第一决策者也是第一责任人，SaaS服务商仅为餐饮公司可以提供技术服务。但是，SaaS服务商也存在对该等数据来进行编辑、加工或分析的可能。例如餐饮排行榜的发布，平台服务商通过一系列分析门店的餐品特色、用餐环境、消费者的体验等，推出各大排行榜、推荐榜等，这种榜单背后反映的是SaaS服务商或平台企业的大数据分析能力，其目的是为了推广SaaS服务商的增值服务、增强客户黏度。因此，餐饮企业和SaaS服务商都可能会决定数据的处理目的和解决方法。对该等加工数据的归属，我们大家都认为可以视情况约定由餐饮企业与SaaS服务商共享、或完全归属于SaaS服务商。
综上所述，我们大家都认为关于数据归属的约定，能够使用二分法的方法。对于餐饮企业以及它门店在日常经营活动过程中上传的原始数据，应当归属于餐饮企业；对于SaaS服务商将平台上累积的原始数据进行编辑、分析、处理后形成的加工数据，则能够准确的通过商业实质由双方协商一致决定由餐饮企业与SaaS服务商共享或完全归属于SaaS服务商。此外，我们也建议在数据归属条款中保留餐饮企业对SaaS服务商的必要授权。即使是完全归属于餐饮企业的原始数据，也应当授权SaaS服务商在提供技术服务、履行系统检修、运维、故障排除等工作中做必要的处理。
明确数据归属是厘清餐饮数字化场景下各方权利义务的第一步，第二步是数据处理的授权，尤其是归属于餐饮企业的数据，餐饮公司能够授权SaaS服务商进行何种范围、何种程度的处理。在此基础上，本文下篇将进一步分析餐饮企业和SaaS服务商之间关于数据处理授权、数据安全责任划分的合同条款，并为SaaS服务商提供初步建议。
[1] 详见中国连锁经营协会和美团联合发布的《2024中国餐饮加盟行业白皮书》，下载链接：。
[2] 详见国家信息中心2023年10月发布的《中国餐饮业数字化发展报告》，下载链接：。
以上所刊登的文章仅代表作者本人观点，不代表北京市中伦律师事务所或其律师出具的任何形式之法律意见或建议。
