Verwerkersovereenkomst (DPA)

1. Partijen en toepassingsgebied

Deze verwerkersovereenkomst („DPA”) wordt gesloten tussen de Klant die Glanevo voor zijn salon gebruikt, als verwerkingsverantwoordelijke, en Glanevo SRL (CUI 40041255), als verwerker. Zij maakt deel uit van de Gebruiksvoorwaarden en wordt samen daarmee aanvaard. Zij is van toepassing op de persoonsgegevens die de Klant in Glanevo invoert en op alle andere persoonsgegevens die Glanevo bij het leveren van de dienst namens de Klant verwerkt.

2. Modelcontractbepalingen

De partijen komen overeen de standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers toe te passen die zijn opgenomen in de bijlage bij Uitvoeringsbesluit (EU) 2021/915 van de Commissie van 4 juni 2021 (EUR-Lex), met Glanevo SRL als verwerker en de Klant als verwerkingsverantwoordelijke. De bepalingen 1 tot en met 10 van die bijlage worden door verwijzing in deze DPA opgenomen. De punten 3 tot en met 6 hieronder bevatten de informatie voor de bijlagen I tot en met IV.

Gekozen opties: voor bepaling 7.7 geldt optie 2 (algemene schriftelijke toestemming), en Glanevo stelt de Klant ten minste 30 dagen van tevoren schriftelijk in kennis van elke voorgenomen toevoeging of vervanging van subverwerkers. De facultatieve koppelingsclausule (bepaling 5) wordt niet gebruikt. Als deze DPA of de Gebruiksvoorwaarden in strijd zijn met de bepalingen, hebben de bepalingen voorrang (bepaling 4).

3. Bijlage I — Lijst van partijen

Verwerkingsverantwoordelijke: de Klant, geïdentificeerd aan de hand van de gegevens van zijn Glanevo-account; zijn contactpersoon is de accounthouder.

Verwerker: Glanevo SRL, gevestigd aan de Str. Nicolae Corneanu nr. 18, Caransebeș, district Caraș-Severin, Roemenië; contact: gdpr@glanevo.com.

De Klant ondertekent deze DPA door bij het aanmaken van het account de Gebruiksvoorwaarden te aanvaarden; Glanevo SRL ondertekent haar door haar te publiceren en de dienst te leveren.

4. Bijlage II — Beschrijving van de verwerking

• Categorieën van betrokkenen: de klanten van de salon, personen die online boeken, en het personeel van de salon.
• Categorieën van persoonsgegevens: identificatie- en contactgegevens; afspraken en behandelgeschiedenis; voorkeuren en notities; door de salon geüploade foto's; betalingsgegevens (een token, nooit het kaartnummer); recensies en reacties.
• Gevoelige gegevens: gezondheidsinformatie die de salon ervoor kiest vast te leggen, zoals allergieën, contra-indicaties of medische notities (bijzondere categorieën van gegevens, art. 9 AVG). Waarborgen: de medische notitie in vrije tekst is op veldniveau versleuteld; de overige gezondheidsvelden die de salon kan invullen — allergieën, chronische aandoeningen, huidige medicatie, bloedgroep en noodcontact — worden zonder versleuteling op veldniveau bewaard. Alle kunnen uitsluitend worden geopend door medewerkers aan wie de salon het recht om klanten te bewerken heeft toegekend, en elke opening van een gezondheidsdossier wordt in het toegangslog vastgelegd. Gezondheidsgegevens worden niet gebruikt voor geautomatiseerde besluiten of profilering (art. 3, lid 1, van de Roemeense wet nr. 190/2018). Voordat dergelijke gegevens worden vastgelegd, moet de Klant over een rechtsgrond beschikken, in de regel de uitdrukkelijke toestemming van de betrokkene.
• Aard van de verwerking: hosting, opslag, ordening en weergave van de gegevens, verzending van meldingen (sms, e-mail en, als de salon deze inschakelt, berichtenkanalen zoals WhatsApp) en back-ups.
• Doel: het leveren van de salonbeheerdienst op grond van de Gebruiksvoorwaarden.
• Duur: gedurende de looptijd van de overeenkomst en van de overgangs- en ophaalperioden die in punt 12 van de Gebruiksvoorwaarden zijn beschreven; daarna worden de gegevens gewist, tenzij het Unierecht of het lidstatelijke recht bewaring ervan vereist.

5. Bijlage III — Technische en organisatorische maatregelen

• Versleuteling van al het verkeer (HTTPS/TLS verplicht) en versleuteling in rust van de databaseopslag door de hostingaanbieder.
• Versleuteling op veldniveau van de medische notitie in vrije tekst; rechtencontrole en toegangslogging voor elk gezondheidsdossier, met inbegrip van de velden voor allergieën, chronische aandoeningen en medicatie, die niet op veldniveau zijn versleuteld.
• Scheiding van de gegevens van elke salon van die van alle andere salons. Vóór elke commit draait een geautomatiseerde controle die code blokkeert die de salonidentiteit uit een globale instelling zou halen in plaats van uit het verzoek; de scheiding zelf wordt gedekt door tests in onze testsuite.
• Tweefactorauthenticatie beschikbaar voor paneelaccounts, rolgebaseerde machtigingen die door de saloneigenaar worden ingesteld, en intrekking van sessies.
• Continue databaseback-ups met herstel naar een willekeurig tijdstip (point-in-time recovery).
• Kaartgegevens worden uitsluitend door de betaalprovider verwerkt; Glanevo bewaart alleen een token.
• Geheimhoudingsverplichtingen voor iedereen bij Glanevo die toegang heeft tot persoonsgegevens.

6. Bijlage IV — Subverwerkers

De Klant geeft toestemming voor de subverwerkers die op de pagina Subverwerkers zijn vermeld. Glanevo legt elk van hen contractueel dezelfde gegevensbeschermingsverplichtingen op als in deze DPA en stelt de Klant ten minste 30 dagen van tevoren in kennis van wijzigingen in de lijst. De Klant kan bezwaar maken; als het bezwaar niet kan worden opgelost, kan de Klant de overeenkomst zonder extra kosten beëindigen.

7. Doorgiften buiten de Europese Economische Ruimte

Wanneer een subverwerker persoonsgegevens buiten de Europese Economische Ruimte verwerkt, baseert Glanevo zich voor gecertificeerde ontvangers op het adequaatheidsbesluit van de Europese Commissie voor het EU-US Data Privacy Framework (Uitvoeringsbesluit (EU) 2023/1795), of op de standaardcontractbepalingen die zijn vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 (module 3, van verwerker naar verwerker). De in punt 2 bedoelde bepalingen dekken dergelijke doorgiften op zichzelf niet. Op verzoek deelt Glanevo de Klant mee welke waarborg voor een bepaalde subverwerker geldt.

8. Inbreuken in verband met persoonsgegevens

Glanevo stelt de Klant zonder onredelijke vertraging in kennis van een inbreuk in verband met persoonsgegevens nadat zij daarvan kennis heeft gekregen, met de informatie genoemd in bepaling 9.2, zodat de Klant kan voldoen aan zijn verplichtingen op grond van de artikelen 33 en 34 AVG.

9. Einde van de verwerking

Wanneer de overeenkomst eindigt, kan de Klant zijn gegevens exporteren zoals beschreven in punt 12 van de Gebruiksvoorwaarden. Glanevo wist vervolgens de namens de Klant verwerkte persoonsgegevens, met inbegrip van bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht bewaring ervan vereist (bepaling 10).

10. Contact

Vragen over deze DPA, verzoeken om bijstand en auditverzoeken: gdpr@glanevo.com.