Umowa powierzenia przetwarzania danych

Ta umowa o przetwarzaniu danych (DPA, art. 28 RODO) stanowi część warunków korzystania z AllBooking. Strony: salon — administrator danych swoich klientów i pracowników; Intseo7 OÜ (kod rejestracyjny 14238521, adres: Sutste 50-17) — podmiot przetwarzający, który przetwarza te dane na zlecenie salonu.

1. Przedmiot i cele

Podmiot przetwarzający przechowuje i przetwarza dane, aby zapewnić salonowi usługę: rezerwacje online, kalendarz, karty klientów, stronę salonu, powiadomienia dla klientów i pracowników, raporty. Przetwarzanie trwa, dopóki obowiązują warunki korzystania.

2. Dane i osoby, których dotyczą

• klienci salonu: imię, telefon, e-mail, język, rezerwacje i ich historia, notatki salonu, zgody;

• pracownicy salonu: imię, dane kontaktowe, stanowisko, grafik, zdjęcie, jeśli salon je dodał;

• odwiedzający stronę salonu, którzy piszą przez formularz: imię, dane kontaktowe, treść wiadomości.

Salon nie wprowadza do usługi szczególnych kategorii danych (np. informacji o zdrowiu), chyba że jest to bezpośrednio potrzebne do usługi i zgodne z prawem.

3. Obowiązki podmiotu przetwarzającego

• przetwarzać dane wyłącznie na udokumentowane polecenia salonu — są nimi niniejsze warunki oraz działania salonu w panelu;

• udostępniać dane wyłącznie osobom zobowiązanym do zachowania poufności; wsparcie widzi dane salonu wyłącznie przez tymczasowy dostęp z podaniem przyczyny, który jest rejestrowany w dzienniku;

• stosować środki bezpieczeństwa: szyfrowanie połączeń i sekretów, rozdział uprawnień, logowanie dwuskładnikowe, dziennik audytu, kopie zapasowe;

• pomagać salonowi odpowiadać na żądania klientów: eksport danych klienta i jego anonimizacja są dostępne w panelu;

• zgłaszać salonowi naruszenie danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego wykrycia, oraz pomagać w ocenie skutków.

4. Podwykonawcy

Salon udziela ogólnej zgody na korzystanie z podwykonawców. Podmiot przetwarzający zawiera z nimi umowy z tymi samymi obowiązkami w zakresie ochrony danych i informuje salon o nowych podwykonawcach z wyprzedzeniem; salon może zgłosić sprzeciw i zrezygnować z usługi. Aktualna lista:

• dostawca hostingu — serwery aplikacji i baz danych w UE;

• magazyn plików (zgodny z S3) — logotypy, zdjęcia, dokumenty;

• SMTP2GO — wysyłka wiadomości e-mail;

• Cloudflare — DNS, ochrona przed atakami, weryfikacja Turnstile, podłączanie domen salonów;

• Sentry — raporty o błędach aplikacji;

• usługa AI (Groq lub Anthropic) — tłumaczenie i generowanie publicznych tekstów salonu; dane osobowe klientów nie są tam przekazywane;

• Stripe, PayPal, EveryPay — płatności za subskrypcję;

• Vonage — powiadomienia SMS, jeśli salon podłączył własne konto Vonage.

Jeśli podwykonawca znajduje się poza EOG, przekazanie odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej lub innej podstawy z rozdziału V RODO.

5. Zakończenie przetwarzania

Salon jest usuwany na żądanie salonu, po rozwiązaniu umowy lub jako nieaktywny zgodnie z warunkami korzystania. Po usunięciu salonu dane są usuwane po 30 dniach (w tym czasie można anulować usunięcie i wyeksportować dane); z kopii zapasowych — wraz z ich rotacją, nie później niż kolejne 30 dni. Faktury platformy są przechowywane tak długo, jak wymaga ustawa o rachunkowości.

6. Kontrole

Na żądanie salonu podmiot przetwarzający przekazuje informacje niezbędne do sprawdzenia zgodności z niniejszą umową. Kontrola na miejscu jest możliwa po wcześniejszym uzgodnieniu i na koszt salonu. Kontakt: [email protected].