1. Ugovorne strane i područje primjene

Ovaj Ugovor o obradi podataka („DPA”) sklapa se između Korisnika koji Glanevo upotrebljava za svoj salon, kao voditelja obrade, i društva Glanevo SRL (CUI 40041255), kao izvršitelja obrade. Sastavni je dio Uvjeta korištenja i prihvaća se zajedno s njima. Primjenjuje se na osobne podatke koje Korisnik unosi u Glanevo i na sve druge osobne podatke koje Glanevo obrađuje u ime Korisnika pri pružanju usluge.

2. Standardne ugovorne klauzule

Strane su suglasne primjenjivati standardne ugovorne klauzule između voditelja obrade i izvršitelja obrade iz Priloga Provedbenoj odluci Komisije (EU) 2021/915 od 4. lipnja 2021. (EUR-Lex), pri čemu je Glanevo SRL izvršitelj obrade, a Korisnik voditelj obrade. Klauzule od 1. do 10. tog Priloga uključene su u ovaj DPA upućivanjem. Odjeljci od 3. do 6. u nastavku sadržavaju informacije za priloge od I. do IV.

Odabrane opcije: za klauzulu 7.7. primjenjuje se opcija 2 (opće pisano odobrenje), a Glanevo pisanim putem obavještava Korisnika o svakom namjeravanom dodavanju ili zamjeni podizvršitelja obrade najmanje 30 dana unaprijed. Neobvezna klauzula o pristupanju (klauzula 5.) ne primjenjuje se. Ako su ovaj DPA ili Uvjeti korištenja u suprotnosti s Klauzulama, prednost imaju Klauzule (klauzula 4.).

3. Prilog I. — Popis stranaka

Voditelj obrade: Korisnik, identificiran podacima svojeg korisničkog računa na platformi Glanevo; njegova je kontaktna osoba vlasnik korisničkog računa.

Izvršitelj obrade: Glanevo SRL, Str. Nicolae Corneanu nr. 18, Caransebeș, okrug Caraș-Severin, Rumunjska; kontakt: gdpr@glanevo.com.

Korisnik potpisuje ovaj DPA prihvaćanjem Uvjeta korištenja pri otvaranju korisničkog računa; Glanevo SRL potpisuje ga njegovom objavom i pružanjem usluge.

4. Prilog II. — Opis obrade

Kategorije ispitanika: klijenti salona, osobe koje termine rezerviraju putem interneta i osoblje salona.
Kategorije osobnih podataka: identifikacijski i kontaktni podaci; termini i povijest usluga; preferencije i napomene; fotografije koje učita salon; podaci o plaćanju (token, nikada broj kartice); recenzije i odgovori.
Osjetljivi podaci: zdravstvene informacije koje salon odluči zabilježiti, poput alergija, kontraindikacija ili liječničkih bilješki (posebne kategorije podataka, čl. 9. GDPR-a). Zaštitne mjere: liječnička bilješka u slobodnom tekstu enkriptirana je na razini polja; ostala zdravstvena polja koja salon može ispuniti — alergije, kronične bolesti, trenutačni lijekovi, krvna grupa i kontakt za hitne slučajeve — pohranjuju se bez enkripcije na razini polja. Sva ih može otvoriti samo osoblje kojemu je salon dodijelio ovlast uređivanja klijenata, a svako otvaranje zdravstvenog zapisa bilježi se u zapisnik pristupa. Zdravstveni se podaci ne koriste za automatizirane odluke ni za izradu profila (čl. 3. st. 1. rumunjskog Zakona br. 190/2018). Prije bilježenja takvih podataka Kupac mora imati pravnu osnovu, u pravilu izričitu privolu ispitanika.
Priroda obrade: hosting, pohrana, organizacija i prikaz podataka, slanje obavijesti (SMS, e-pošta i, ako ih salon uključi, kanali za razmjenu poruka poput WhatsAppa) te sigurnosne kopije.
Svrha: pružanje usluge upravljanja salonom u skladu s Uvjetima korištenja.
Trajanje: za vrijeme trajanja ugovora te prijelaznog razdoblja i razdoblja za preuzimanje podataka opisanih u odjeljku 12. Uvjeta korištenja; nakon toga podaci se brišu, osim ako pravo Unije ili pravo države članice zahtijeva njihovo čuvanje.

5. Prilog III. — Tehničke i organizacijske mjere

Šifriranje cjelokupnog prometa (obvezni HTTPS/TLS) i šifriranje pohrane baze podataka u mirovanju, koje osigurava pružatelj usluge hostinga.
Enkripcija na razini polja za liječničku bilješku u slobodnom tekstu; provjera ovlaštenja i bilježenje pristupa za svaki zdravstveni zapis, uključujući polja za alergije, kronične bolesti i lijekove, koja nisu enkriptirana na razini polja.
Odvajanje podataka svakog salona od podataka svih ostalih salona. Prije svakog commita izvodi se automatska provjera koja blokira kôd koji bi identitet salona uzeo iz globalne postavke umjesto iz zahtjeva; samo odvajanje pokriveno je testovima u našem skupu testova.
Dvofaktorska autentifikacija dostupna za korisničke račune panela, dopuštenja temeljena na ulogama koja postavlja vlasnik salona te opoziv sesija.
Kontinuirane sigurnosne kopije baze podataka s mogućnošću oporavka do određenog trenutka.
Podatke kartica obrađuje isključivo pružatelj usluga plaćanja; Glanevo pohranjuje samo token.
Obveze povjerljivosti za sve osobe u društvu Glanevo koje imaju pristup osobnim podacima.

6. Prilog IV. — Podizvršitelji obrade

Korisnik odobrava podizvršitelje obrade navedene na stranici Podizvršitelji obrade. Glanevo svakome od njih ugovorom nameće iste obveze zaštite podataka kao u ovom DPA-u i obavještava Korisnika o izmjenama popisa najmanje 30 dana unaprijed. Korisnik može uložiti prigovor; ako se prigovor ne može riješiti, Korisnik može raskinuti ugovor bez dodatnih troškova.

7. Prijenosi izvan Europskog gospodarskog prostora

Ako podizvršitelj obrade obrađuje osobne podatke izvan Europskog gospodarskog prostora, Glanevo se za certificirane primatelje oslanja na odluku Europske komisije o primjerenosti za Okvir EU-a i SAD-a za privatnost podataka (EU-US Data Privacy Framework; Provedbena odluka (EU) 2023/1795) ili na standardne ugovorne klauzule donesene Provedbenom odlukom (EU) 2021/914 (modul 3., prijenos od izvršitelja obrade izvršitelju obrade). Klauzule iz odjeljka 2. same po sebi ne obuhvaćaju takve prijenose. Na zahtjev Glanevo obavještava Korisnika o tome koja se zaštitna mjera primjenjuje na pojedinog podizvršitelja obrade.

8. Povrede osobnih podataka

Glanevo obavještava Korisnika o povredi osobnih podataka bez nepotrebnog odgađanja nakon što sazna za nju, uz informacije navedene u klauzuli 9.2., kako bi Korisnik mogao ispuniti svoje obveze iz članaka 33. i 34. GDPR-a.

9. Završetak obrade

Po prestanku ugovora Korisnik može izvesti svoje podatke kako je opisano u odjeljku 12. Uvjeta korištenja. Glanevo zatim briše osobne podatke obrađene u ime Korisnika, uključujući postojeće kopije, osim ako pravo Unije ili pravo države članice zahtijeva njihovo čuvanje (klauzula 10.).

10. Kontakt

Pitanja o ovom DPA-u, zahtjevi za pomoć i zahtjevi za reviziju: gdpr@glanevo.com.