Договір обробки даних

Цей договір обробки даних (DPA, ст. 28 GDPR) є частиною умов використання AllBooking. Сторони: салон — контролер даних своїх клієнтів і співробітників; Intseo7 OÜ (реєстраційний код 14238521, адреса: Sutste 50-17) — обробник, який обробляє ці дані за дорученням салону.

1. Предмет і цілі

Обробник зберігає та обробляє дані, щоб надавати салону сервіс: онлайн-запис, календар, картки клієнтів, сайт салону, сповіщення клієнтам і співробітникам, звіти. Обробка триває, поки діють умови використання.

2. Дані та суб'єкти

• клієнти салону: ім'я, телефон, e-mail, мова, записи та їх історія, нотатки салону, згоди;

• співробітники салону: ім'я, контакти, посада, графік, фото, якщо салон його додав;

• відвідувачі сайту салону, які пишуть через форму: ім'я, контакти, текст повідомлення.

Салон не вносить у сервіс особливі категорії даних (наприклад, відомості про здоров'я), окрім випадків, коли це прямо потрібно для послуги і законно.

3. Обов'язки обробника

• обробляти дані лише за документованими вказівками салону — ними вважаються ці умови та дії салону в кабінеті;

• допускати до даних лише осіб, зобов'язаних зберігати конфіденційність; підтримка бачить дані салону лише через тимчасовий доступ із причиною, який фіксується в журналі;

• застосовувати заходи безпеки: шифрування з'єднань і секретів, розмежування прав, двофакторний вхід, журнал аудиту, резервні копії;

• допомагати салону відповідати на запити клієнтів: вивантаження даних клієнта та його анонімізація є в кабінеті;

• повідомляти салон про витік даних без необґрунтованої затримки, не пізніше ніж через 48 годин після його виявлення, і допомагати з оцінкою наслідків.

4. Субпідрядники

Салон надає загальну згоду на залучення субпідрядників. Обробник укладає з ними договори з такими самими обов'язками щодо захисту даних і завчасно повідомляє салон про нових субпідрядників; салон може заперечити і відмовитися від сервісу. Поточний список:

• хостинг-провайдер — сервери застосунку та бази даних в ЄС;

• сховище файлів (S3-сумісне) — логотипи, фото, документи;

• SMTP2GO — надсилання листів;

• Cloudflare — DNS, захист від атак, перевірка Turnstile, підключення доменів салонів;

• Sentry — звіти про помилки застосунку;

• AI-сервіс (Groq або Anthropic) — переклад і генерація публічних текстів салону; персональні дані клієнтів туди не передаються;

• Stripe, PayPal, EveryPay — оплата підписки;

• Vonage — SMS-сповіщення, якщо салон підключив свій обліковий запис Vonage.

Якщо субпідрядник перебуває за межами ЄЕЗ, передача відбувається за стандартними договірними умовами Європейської комісії або іншою підставою за главою V GDPR.

5. Завершення обробки

Салон видаляється за запитом салону, при припиненні договору або як неактивний за умовами використання. Після видалення салону дані видаляються через 30 днів (протягом цього часу видалення можна скасувати і вивантажити дані); з резервних копій — з їх ротацією, не пізніше ніж ще через 30 днів. Рахунки платформи зберігаються стільки, скільки вимагає закон про бухгалтерський облік.

6. Перевірки

На запит салону обробник надає відомості, необхідні для перевірки дотримання цього договору. Перевірка на місці можлива за попередньою домовленістю та за рахунок салону. Контакт: [email protected].