Договор обработки данных

Этот договор обработки данных (DPA, ст. 28 GDPR) — часть условий использования AllBooking. Стороны: салон — контролёр данных своих клиентов и сотрудников; Intseo7 OÜ (регистрационный код 14238521, адрес: Sutste 50-17) — обработчик, который обрабатывает эти данные по поручению салона.

1. Предмет и цели

Обработчик хранит и обрабатывает данные, чтобы предоставлять салону сервис: онлайн-запись, календарь, карточки клиентов, сайт салона, уведомления клиентам и сотрудникам, отчёты. Обработка длится, пока действуют условия использования.

2. Данные и субъекты

• клиенты салона: имя, телефон, e-mail, язык, записи и их история, заметки салона, согласия;

• сотрудники салона: имя, контакты, должность, график, фото, если салон его добавил;

• посетители сайта салона, которые пишут через форму: имя, контакты, текст сообщения.

Салон не вносит в сервис особые категории данных (например, сведения о здоровье), кроме случаев, когда это прямо нужно для услуги и законно.

3. Обязанности обработчика

• обрабатывать данные только по документированным указаниям салона — ими считаются эти условия и действия салона в кабинете;

• допускать к данным только людей, обязанных хранить конфиденциальность; поддержка видит данные салона только через временный доступ с причиной, который записывается в журнал;

• применять меры безопасности: шифрование соединений и секретов, разграничение прав, двухфакторный вход, журнал аудита, резервные копии;

• помогать салону отвечать на запросы клиентов: выгрузка данных клиента и его анонимизация есть в кабинете;

• сообщать салону об утечке данных без неоправданной задержки, не позднее чем через 48 часов после её обнаружения, и помогать с оценкой последствий.

4. Субподрядчики

Салон даёт общее разрешение привлекать субподрядчиков. Обработчик заключает с ними договоры с теми же обязанностями по защите данных и сообщает салону о новых субподрядчиках заранее; салон может возразить и отказаться от сервиса. Текущий список:

• хостинг-провайдер — серверы приложения и базы данных в ЕС;

• хранилище файлов (S3-совместимое) — логотипы, фото, документы;

• SMTP2GO — отправка писем;

• Cloudflare — DNS, защита от атак, проверка Turnstile, подключение доменов салонов;

• Sentry — отчёты об ошибках приложения;

• AI-сервис (Groq или Anthropic) — перевод и генерация публичных текстов салона; персональные данные клиентов туда не передаются;

• Stripe, PayPal, EveryPay — оплата подписки;

• Vonage — SMS-уведомления, если салон подключил свой аккаунт Vonage.

Если субподрядчик находится за пределами ЕЭЗ, передача идёт по стандартным договорным условиям Европейской комиссии или другому основанию по главе V GDPR.

5. Окончание обработки

Салон удаляется по запросу салона, при прекращении договора или как неактивный по условиям использования. После удаления салона данные удаляются через 30 дней (в это время удаление можно отменить и выгрузить данные); из резервных копий — с их ротацией, не позднее чем ещё через 30 дней. Счета платформы хранятся столько, сколько требует закон о бухгалтерском учёте.

6. Проверки

По запросу салона обработчик предоставляет сведения, нужные для проверки соблюдения этого договора. Проверка на месте возможна по предварительному согласованию и за счёт салона. Контакт: [email protected].