Ugovor o obradi podataka (DPA)

1. Ugovorne strane i područje primene

Ovaj Ugovor o obradi podataka („DPA”) zaključuje se između Korisnika koji koristi Glanevo za svoj salon, kao rukovaoca, i društva Glanevo SRL (CUI 40041255), kao obrađivača. Sastavni je deo Uslova korišćenja i prihvata se zajedno sa njima. Primenjuje se na podatke o ličnosti koje Korisnik unosi u Glanevo i na sve druge podatke o ličnosti koje Glanevo obrađuje u ime Korisnika prilikom pružanja usluge.

2. Standardne ugovorne klauzule

Strane su saglasne da primenjuju standardne ugovorne klauzule između rukovalaca i obrađivača iz Priloga Sprovedbene odluke Komisije (EU) 2021/915 od 4. juna 2021. godine (EUR-Lex), pri čemu je Glanevo SRL obrađivač, a Korisnik rukovalac. Klauzule od 1 do 10 tog Priloga uključene su u ovaj DPA pozivanjem na njih. Odeljci od 3 do 6 u nastavku sadrže podatke za Priloge I–IV.

Izabrane opcije: za Klauzulu 7.7 primenjuje se Opcija 2 (opšte pisano ovlašćenje), a Glanevo pisanim putem obaveštava Korisnika o svakom nameravanom dodavanju ili zameni podobrađivača najmanje 30 dana unapred. Opciona klauzula o pristupanju (Klauzula 5) se ne koristi. Ako su ovaj DPA ili Uslovi korišćenja u suprotnosti sa Klauzulama, prednost imaju Klauzule (Klauzula 4).

3. Prilog I — Spisak strana

Rukovalac: Korisnik, identifikovan podacima svog Glanevo naloga; njegovo kontakt lice je vlasnik naloga.

Obrađivač: Glanevo SRL, Str. Nicolae Corneanu nr. 18, Caransebeș, okrug Caraș-Severin, Rumunija; kontakt: gdpr@glanevo.com.

Korisnik potpisuje ovaj DPA prihvatanjem Uslova korišćenja prilikom otvaranja naloga; Glanevo SRL ga potpisuje njegovim objavljivanjem i pružanjem usluge.

4. Prilog II — Opis obrade

• Kategorije lica na koja se podaci odnose: klijenti salona, lica koja zakazuju termine putem interneta i osoblje salona.
• Kategorije podataka o ličnosti: podaci za identifikaciju i kontakt; termini i istorija usluga; preferencije i napomene; fotografije koje otpremi salon; podaci o plaćanju (token, nikada broj kartice); recenzije i odgovori.
• Osetljivi podaci: zdravstvene informacije koje salon odluči da zabeleži, poput alergija, kontraindikacija ili lekarskih beleški (posebne kategorije podataka, čl. 9. GDPR). Zaštitne mere: lekarska beleška u slobodnom tekstu enkriptovana je na nivou polja; ostala zdravstvena polja koja salon može da popuni — alergije, hronične bolesti, trenutni lekovi, krvna grupa i kontakt za hitne slučajeve — čuvaju se bez enkripcije na nivou polja. Sva ih može otvoriti samo osoblje kojem je salon dodelio ovlašćenje za uređivanje klijenata, a svako otvaranje zdravstvenog zapisa beleži se u dnevnik pristupa. Zdravstveni podaci se ne koriste za automatizovane odluke ni za profilisanje (čl. 3. st. 1. rumunskog Zakona br. 190/2018). Pre beleženja takvih podataka Kupac mora imati pravni osnov, po pravilu izričit pristanak lica.
• Priroda obrade: hosting, skladištenje, organizovanje i prikaz podataka, slanje obaveštenja (SMS, e-pošta i, ako ih salon uključi, kanali za razmenu poruka kao što je WhatsApp) i rezervne kopije.
• Svrha: pružanje usluge upravljanja salonom u skladu sa Uslovima korišćenja.
• Trajanje: za vreme trajanja ugovora, kao i prelaznog perioda i perioda za preuzimanje podataka opisanih u odeljku 12 Uslova korišćenja; nakon toga podaci se brišu, osim ako pravo Unije ili pravo države članice zahteva njihovo čuvanje.

5. Prilog III — Tehničke i organizacione mere

• Šifrovanje celokupnog saobraćaja (obavezan HTTPS/TLS) i šifrovanje skladišta baze podataka u mirovanju, koje obezbeđuje pružalac hostinga.
• Enkripcija na nivou polja za lekarsku belešku u slobodnom tekstu; provera ovlašćenja i beleženje pristupa za svaki zdravstveni zapis, uključujući polja za alergije, hronične bolesti i lekove, koja nisu enkriptovana na nivou polja.
• Odvajanje podataka svakog salona od podataka svih ostalih salona. Pre svakog komita izvodi se automatska provera koja blokira kôd koji bi identitet salona uzeo iz globalnog podešavanja umesto iz zahteva; samo odvajanje pokriveno je testovima u našem skupu testova.
• Dvofaktorska autentifikacija dostupna za naloge u panelu, ovlašćenja zasnovana na ulogama koja određuje vlasnik salona i opoziv sesija.
• Neprekidne rezervne kopije baze podataka sa mogućnošću oporavka do određenog trenutka.
• Podatke o karticama obrađuje isključivo pružalac platnih usluga; Glanevo čuva samo token.
• Obaveze čuvanja poverljivosti za sva lica u društvu Glanevo koja imaju pristup podacima o ličnosti.

6. Prilog IV — Podobrađivači

Korisnik ovlašćuje podobrađivače navedene na stranici Podobrađivači. Glanevo svakom od njih ugovorom nameće iste obaveze zaštite podataka kao u ovom DPA i obaveštava Korisnika o izmenama spiska najmanje 30 dana unapred. Korisnik može da uloži prigovor; ako se prigovor ne može rešiti, Korisnik može raskinuti ugovor bez dodatnih troškova.

7. Prenosi van Evropskog ekonomskog prostora

Kada podobrađivač obrađuje podatke o ličnosti van Evropskog ekonomskog prostora, Glanevo se za sertifikovane primaoce oslanja na odluku Evropske komisije o adekvatnosti za Okvir za privatnost podataka EU–SAD (EU-US Data Privacy Framework; Sprovedbena odluka (EU) 2023/1795) ili na standardne ugovorne klauzule usvojene Sprovedbenom odlukom (EU) 2021/914 (modul 3, prenos od obrađivača ka obrađivaču). Klauzule iz odeljka 2 same po sebi ne obuhvataju takve prenose. Na zahtev, Glanevo obaveštava Korisnika koja se mera zaštite primenjuje na određenog podobrađivača.

8. Povrede podataka o ličnosti

Glanevo obaveštava Korisnika o povredi podataka o ličnosti bez nepotrebnog odlaganja nakon što sazna za nju, uz informacije navedene u Klauzuli 9.2, kako bi Korisnik mogao da ispuni svoje obaveze iz članova 33. i 34. GDPR.

9. Okončanje obrade

Po prestanku ugovora Korisnik može izvesti svoje podatke kako je opisano u odeljku 12 Uslova korišćenja. Glanevo zatim briše podatke o ličnosti obrađene u ime Korisnika, uključujući postojeće kopije, osim ako pravo Unije ili pravo države članice zahteva njihovo čuvanje (Klauzula 10).

10. Kontakt

Pitanja o ovom DPA, zahtevi za pomoć i zahtevi za reviziju: gdpr@glanevo.com.