Συμφωνία Επεξεργασίας Δεδομένων (DPA)

1. Συμβαλλόμενα μέρη και πεδίο εφαρμογής

Η παρούσα Συμφωνία Επεξεργασίας Δεδομένων («Συμφωνία») συνάπτεται μεταξύ του Πελάτη που χρησιμοποιεί τη Glanevo για το σαλόνι του, ως υπευθύνου επεξεργασίας, και της Glanevo SRL (CUI 40041255), ως εκτελούσας την επεξεργασία. Αποτελεί μέρος των Όρων Χρήσης και γίνεται αποδεκτή μαζί με αυτούς. Εφαρμόζεται στα δεδομένα προσωπικού χαρακτήρα που εισάγει ο Πελάτης στη Glanevo και σε όλα τα άλλα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται η Glanevo για λογαριασμό του Πελάτη κατά την παροχή της υπηρεσίας.

2. Τυποποιημένες συμβατικές ρήτρες

Τα μέρη συμφωνούν να εφαρμόζουν τις τυποποιημένες συμβατικές ρήτρες μεταξύ υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία που περιλαμβάνονται στο παράρτημα της εκτελεστικής απόφασης (ΕΕ) 2021/915 της Επιτροπής, της 4ης Ιουνίου 2021 (EUR-Lex), με τη Glanevo SRL ως εκτελούσα την επεξεργασία και τον Πελάτη ως υπεύθυνο επεξεργασίας. Οι ρήτρες 1 έως 10 του εν λόγω παραρτήματος ενσωματώνονται στην παρούσα Συμφωνία μέσω παραπομπής. Οι ενότητες 3 έως 6 κατωτέρω περιέχουν τις πληροφορίες για τα παραρτήματα I έως IV.

Επιλεγείσες εναλλακτικές: για τη ρήτρα 7.7 εφαρμόζεται η επιλογή 2 (γενική γραπτή άδεια), και η Glanevo ενημερώνει εγγράφως τον Πελάτη για κάθε σκοπούμενη προσθήκη ή αντικατάσταση υποεκτελούντων την επεξεργασία τουλάχιστον 30 ημέρες νωρίτερα. Η προαιρετική ρήτρα προσχώρησης (ρήτρα 5) δεν χρησιμοποιείται. Αν η παρούσα Συμφωνία ή οι Όροι Χρήσης αντιβαίνουν στις Ρήτρες, υπερισχύουν οι Ρήτρες (ρήτρα 4).

3. Παράρτημα I — Κατάλογος μερών

Υπεύθυνος επεξεργασίας: ο Πελάτης, όπως προσδιορίζεται από τα στοιχεία του λογαριασμού του στη Glanevo· πρόσωπο επικοινωνίας είναι ο κάτοχος του λογαριασμού.

Εκτελών την επεξεργασία: Glanevo SRL, Str. Nicolae Corneanu nr. 18, Caransebeș, νομός Caraș-Severin, Ρουμανία· επικοινωνία: gdpr@glanevo.com.

Ο Πελάτης υπογράφει την παρούσα Συμφωνία αποδεχόμενος τους Όρους Χρήσης κατά τη δημιουργία του λογαριασμού· η Glanevo SRL την υπογράφει δημοσιεύοντάς την και παρέχοντας την υπηρεσία.

4. Παράρτημα II — Περιγραφή της επεξεργασίας

• Κατηγορίες υποκειμένων των δεδομένων: οι πελάτες του σαλονιού, τα πρόσωπα που κλείνουν ραντεβού ηλεκτρονικά και το προσωπικό του σαλονιού.
• Κατηγορίες δεδομένων προσωπικού χαρακτήρα: δεδομένα ταυτοποίησης και επικοινωνίας· ραντεβού και ιστορικό υπηρεσιών· προτιμήσεις και σημειώσεις· φωτογραφίες που ανεβάζει το σαλόνι· δεδομένα πληρωμών (ένα token, ποτέ ο αριθμός της κάρτας)· αξιολογήσεις και απαντήσεις.
• Ευαίσθητα δεδομένα: πληροφορίες υγείας που το κομμωτήριο επιλέγει να καταγράψει, όπως αλλεργίες, αντενδείξεις ή ιατρικές σημειώσεις (ειδικές κατηγορίες δεδομένων, άρθρο 9 ΓΚΠΔ). Εγγυήσεις: η ιατρική σημείωση ελεύθερου κειμένου είναι κρυπτογραφημένη σε επίπεδο πεδίου· τα υπόλοιπα πεδία υγείας που μπορεί να συμπληρώσει το κομμωτήριο — αλλεργίες, χρόνιες παθήσεις, τρέχουσα φαρμακευτική αγωγή, ομάδα αίματος και επαφή έκτακτης ανάγκης — αποθηκεύονται χωρίς κρυπτογράφηση σε επίπεδο πεδίου. Όλα μπορούν να ανοιχθούν μόνο από προσωπικό στο οποίο το κομμωτήριο έχει χορηγήσει το δικαίωμα επεξεργασίας πελατών, και κάθε άνοιγμα αρχείου υγείας καταγράφεται στο αρχείο πρόσβασης. Τα δεδομένα υγείας δεν χρησιμοποιούνται για αυτοματοποιημένες αποφάσεις ή κατάρτιση προφίλ (άρθρο 3 παρ. 1 του ρουμανικού νόμου αριθ. 190/2018). Πριν από την καταγραφή τέτοιων δεδομένων, ο Πελάτης πρέπει να διαθέτει νομική βάση, κατά κανόνα τη ρητή συγκατάθεση του υποκειμένου.
• Φύση της επεξεργασίας: φιλοξενία, αποθήκευση, οργάνωση και προβολή των δεδομένων, αποστολή ειδοποιήσεων (SMS, email και, όπου το σαλόνι τα ενεργοποιεί, κανάλια ανταλλαγής μηνυμάτων όπως το WhatsApp) και αντίγραφα ασφαλείας.
• Σκοπός: η παροχή της υπηρεσίας διαχείρισης σαλονιού σύμφωνα με τους Όρους Χρήσης.
• Διάρκεια: για όσο διαρκεί η σύμβαση και οι περίοδοι μετάβασης και ανάκτησης δεδομένων που περιγράφονται στην ενότητα 12 των Όρων Χρήσης· στη συνέχεια τα δεδομένα διαγράφονται, εκτός αν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί τη διατήρησή τους.

5. Παράρτημα III — Τεχνικά και οργανωτικά μέτρα

• Κρυπτογράφηση όλης της κίνησης (υποχρεωτικό HTTPS/TLS) και κρυπτογράφηση του αποθηκευτικού χώρου της βάσης δεδομένων σε κατάσταση ηρεμίας από τον πάροχο φιλοξενίας.
• Κρυπτογράφηση σε επίπεδο πεδίου της ιατρικής σημείωσης ελεύθερου κειμένου· έλεγχος δικαιωμάτων και καταγραφή πρόσβασης για κάθε αρχείο υγείας, συμπεριλαμβανομένων των πεδίων για αλλεργίες, χρόνιες παθήσεις και φαρμακευτική αγωγή, τα οποία δεν είναι κρυπτογραφημένα σε επίπεδο πεδίου.
• Διαχωρισμός των δεδομένων κάθε κομμωτηρίου από εκείνα όλων των άλλων κομμωτηρίων. Πριν από κάθε commit εκτελείται αυτοματοποιημένος έλεγχος που μπλοκάρει κώδικα ο οποίος θα λάμβανε την ταυτότητα του κομμωτηρίου από καθολική ρύθμιση αντί από το αίτημα· ο ίδιος ο διαχωρισμός καλύπτεται από δοκιμές της σουίτας δοκιμών μας.
• Έλεγχος ταυτότητας δύο παραγόντων διαθέσιμος για τους λογαριασμούς του πίνακα ελέγχου, δικαιώματα βάσει ρόλων που ορίζει ο ιδιοκτήτης του σαλονιού και ανάκληση συνεδριών.
• Συνεχή αντίγραφα ασφαλείας της βάσης δεδομένων με δυνατότητα επαναφοράς σε συγκεκριμένο χρονικό σημείο.
• Τα δεδομένα καρτών υποβάλλονται σε επεξεργασία μόνο από τον πάροχο πληρωμών· η Glanevo αποθηκεύει μόνο ένα token.
• Υποχρεώσεις εμπιστευτικότητας για όλους στη Glanevo που έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα.

6. Παράρτημα IV — Υποεκτελούντες την επεξεργασία

Ο Πελάτης εγκρίνει τους υποεκτελούντες την επεξεργασία που απαριθμούνται στη σελίδα Υποεκτελούντες την επεξεργασία. Η Glanevo επιβάλλει συμβατικά σε καθέναν από αυτούς τις ίδιες υποχρεώσεις προστασίας δεδομένων με εκείνες της παρούσας Συμφωνίας και ενημερώνει τον Πελάτη για αλλαγές στον κατάλογο τουλάχιστον 30 ημέρες νωρίτερα. Ο Πελάτης μπορεί να προβάλει αντίρρηση· αν η αντίρρηση δεν μπορεί να επιλυθεί, ο Πελάτης μπορεί να καταγγείλει τη σύμβαση χωρίς πρόσθετο κόστος.

7. Διαβιβάσεις εκτός του Ευρωπαϊκού Οικονομικού Χώρου

Όταν ένας υποεκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, η Glanevo βασίζεται στην απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής για το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ (εκτελεστική απόφαση (ΕΕ) 2023/1795) για πιστοποιημένους αποδέκτες ή στις τυποποιημένες συμβατικές ρήτρες που εκδόθηκαν με την εκτελεστική απόφαση (ΕΕ) 2021/914 (ενότητα τρία: από εκτελούντα την επεξεργασία σε εκτελούντα την επεξεργασία). Οι ρήτρες που αναφέρονται στην ενότητα 2 δεν καλύπτουν από μόνες τους τέτοιες διαβιβάσεις. Κατόπιν αιτήματος, η Glanevo ενημερώνει τον Πελάτη για την εγγύηση που ισχύει για συγκεκριμένο υποεκτελούντα την επεξεργασία.

8. Παραβιάσεις δεδομένων προσωπικού χαρακτήρα

Η Glanevo γνωστοποιεί στον Πελάτη κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβει γνώση της, με τις πληροφορίες που ορίζονται στη ρήτρα 9.2, ώστε ο Πελάτης να μπορεί να εκπληρώσει τις υποχρεώσεις του βάσει των άρθρων 33 και 34 ΓΚΠΔ.

9. Λήξη της επεξεργασίας

Όταν λήξει η σύμβαση, ο Πελάτης μπορεί να εξαγάγει τα δεδομένα του όπως περιγράφεται στην ενότητα 12 των Όρων Χρήσης. Στη συνέχεια, η Glanevo διαγράφει τα δεδομένα προσωπικού χαρακτήρα που υποβλήθηκαν σε επεξεργασία για λογαριασμό του Πελάτη, συμπεριλαμβανομένων των υφιστάμενων αντιγράφων, εκτός αν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί τη διατήρησή τους (ρήτρα 10).

10. Επικοινωνία

Ερωτήσεις σχετικά με την παρούσα Συμφωνία, αιτήματα συνδρομής και αιτήματα ελέγχου: gdpr@glanevo.com.