Smlouva o zpracování osobních údajů (DPA)

1. Smluvní strany a rozsah

Tato smlouva o zpracování osobních údajů („DPA“) se uzavírá mezi Zákazníkem, který používá Glanevo pro svůj salon, jako správcem a společností Glanevo SRL (CUI 40041255) jako zpracovatelem. Je součástí Podmínek používání a přijímá se společně s nimi. Vztahuje se na osobní údaje, které Zákazník zadává do Glanevo, a na všechny ostatní osobní údaje, které Glanevo při poskytování služby zpracovává jménem Zákazníka.

2. Standardní smluvní doložky

Smluvní strany se dohodly, že budou uplatňovat standardní smluvní doložky mezi správci a zpracovateli uvedené v příloze prováděcího rozhodnutí Komise (EU) 2021/915 ze dne 4. června 2021 (EUR-Lex), přičemž Glanevo SRL vystupuje jako zpracovatel a Zákazník jako správce. Doložky 1 až 10 uvedené přílohy jsou do této DPA začleněny odkazem. Oddíly 3 až 6 níže obsahují informace pro přílohy I až IV.

Zvolené možnosti: pro doložku 7.7 platí možnost 2 (obecné písemné povolení) a Glanevo informuje Zákazníka písemně o každém zamýšleném přidání nebo nahrazení dalších zpracovatelů nejméně 30 dnů předem. Volitelná doložka o přistoupení (doložka 5) se nepoužije. Jsou-li tato DPA nebo Podmínky používání v rozporu s doložkami, mají přednost doložky (doložka 4).

3. Příloha I — Seznam smluvních stran

Správce: Zákazník, identifikovaný údaji svého účtu Glanevo; jeho kontaktní osobou je vlastník účtu.

Zpracovatel: Glanevo SRL, Str. Nicolae Corneanu nr. 18, Caransebeș, župa Caraș-Severin, Rumunsko; kontakt: gdpr@glanevo.com.

Zákazník tuto DPA podepisuje přijetím Podmínek používání při zakládání účtu; Glanevo SRL ji podepisuje jejím zveřejněním a poskytováním služby.

4. Příloha II — Popis zpracování

• Kategorie subjektů údajů: klienti salonu, osoby, které se objednávají online, a zaměstnanci salonu.
• Kategorie osobních údajů: identifikační a kontaktní údaje; rezervace a historie služeb; preference a poznámky; fotografie nahrané salonem; platební údaje (token, nikdy číslo karty); recenze a odpovědi.
• Citlivé údaje: zdravotní informace, které se salon rozhodne zaznamenat, například alergie, kontraindikace nebo lékařské poznámky (zvláštní kategorie údajů, čl. 9 GDPR). Záruky: lékařská poznámka ve volném textu je šifrována na úrovni pole; ostatní zdravotní pole, která salon může vyplnit — alergie, chronická onemocnění, současné léky, krevní skupina a nouzový kontakt — se ukládají bez šifrování na úrovni pole. Všechna může otevřít pouze personál, jemuž salon udělil oprávnění upravovat klienty, a každé otevření zdravotního záznamu se zapisuje do protokolu o přístupu. Zdravotní údaje nepoužíváme k automatizovanému rozhodování ani k profilování (čl. 3 odst. 1 rumunského zákona č. 190/2018). Před zaznamenáním takových údajů musí mít Zákazník právní základ, zpravidla výslovný souhlas dotčené osoby.
• Povaha zpracování: hosting, ukládání, uspořádání a zobrazování údajů, zasílání oznámení (SMS, e-mail a, pokud je salon zapne, komunikační kanály jako WhatsApp) a zálohování.
• Účel: poskytování služby správy salonu podle Podmínek používání.
• Doba trvání: po dobu trvání smlouvy a přechodného období a období pro vyzvednutí údajů popsaných v oddílu 12 Podmínek používání; poté se údaje vymažou, ledaže právo Unie nebo členského státu vyžaduje jejich uchování.

5. Příloha III — Technická a organizační opatření

• Šifrování veškerého provozu (vynucené HTTPS/TLS) a šifrování úložiště databáze v klidovém stavu zajišťované poskytovatelem hostingu.
• Šifrování lékařské poznámky ve volném textu na úrovni pole; kontrola oprávnění a zaznamenávání přístupu u každého zdravotního záznamu, včetně polí pro alergie, chronická onemocnění a léky, která na úrovni pole šifrována nejsou.
• Oddělení dat každého salonu od dat všech ostatních salonů. Před každým commitem běží automatická kontrola, která blokuje kód, jenž by identitu salonu bral z globálního nastavení místo z požadavku; samotné oddělení pokrývají testy v naší testovací sadě.
• Dvoufaktorové ověřování dostupné pro účty panelu, oprávnění podle rolí nastavovaná vlastníkem salonu a odvolávání relací.
• Průběžné zálohování databáze s možností obnovy k libovolnému okamžiku.
• Údaje o kartách zpracovává pouze poskytovatel plateb; Glanevo ukládá pouze token.
• Povinnost mlčenlivosti pro všechny osoby ve společnosti Glanevo, které mají přístup k osobním údajům.

6. Příloha IV — Další zpracovatelé

Zákazník povoluje další zpracovatele uvedené na stránce Další zpracovatelé. Glanevo každému z nich smluvně ukládá stejné povinnosti v oblasti ochrany údajů jako v této DPA a o změnách seznamu informuje Zákazníka nejméně 30 dnů předem. Zákazník může vznést námitku; nelze-li námitku vyřešit, může Zákazník smlouvu ukončit bez dodatečných nákladů.

7. Předávání mimo Evropský hospodářský prostor

Zpracovává-li další zpracovatel osobní údaje mimo Evropský hospodářský prostor, opírá se Glanevo u certifikovaných příjemců o rozhodnutí Evropské komise o odpovídající ochraně pro rámec ochrany osobních údajů EU–USA (prováděcí rozhodnutí (EU) 2023/1795), nebo o standardní smluvní doložky přijaté prováděcím rozhodnutím (EU) 2021/914 (modul 3, předávání mezi zpracovateli). Doložky uvedené v oddílu 2 samy o sobě takové předávání nepokrývají. Na požádání Glanevo Zákazníkovi sdělí, jaká záruka se vztahuje na konkrétního dalšího zpracovatele.

8. Porušení zabezpečení osobních údajů

Glanevo ohlásí Zákazníkovi porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví, spolu s informacemi uvedenými v doložce 9.2, aby Zákazník mohl splnit své povinnosti podle článků 33 a 34 GDPR.

9. Ukončení zpracování

Po skončení smlouvy může Zákazník exportovat své údaje podle oddílu 12 Podmínek používání. Glanevo poté vymaže osobní údaje zpracovávané jménem Zákazníka, včetně existujících kopií, ledaže právo Unie nebo členského státu vyžaduje jejich uchování (doložka 10).

10. Kontakt

Dotazy k této DPA, žádosti o součinnost či provedení auditu: gdpr@glanevo.com.