1. Zmluvné strany a rozsah

Táto zmluva o spracúvaní osobných údajov („DPA“) sa uzatvára medzi Zákazníkom, ktorý používa Glanevo pre svoj salón, ako prevádzkovateľom a spoločnosťou Glanevo SRL (CUI 40041255) ako sprostredkovateľom. Je súčasťou Podmienok používania a prijíma sa spolu s nimi. Vzťahuje sa na osobné údaje, ktoré Zákazník zadáva do Glanevo, a na všetky ostatné osobné údaje, ktoré Glanevo pri poskytovaní služby spracúva v mene Zákazníka.

2. Štandardné zmluvné doložky

Zmluvné strany sa dohodli, že budú uplatňovať štandardné zmluvné doložky medzi prevádzkovateľmi a sprostredkovateľmi uvedené v prílohe k vykonávaciemu rozhodnutiu Komisie (EÚ) 2021/915 zo 4. júna 2021 (EUR-Lex), pričom Glanevo SRL vystupuje ako sprostredkovateľ a Zákazník ako prevádzkovateľ. Doložky 1 až 10 uvedenej prílohy sú do tejto DPA začlenené odkazom. Oddiely 3 až 6 nižšie obsahujú informácie pre prílohy I až IV.

Zvolené možnosti: pre doložku 7.7 platí možnosť 2 (všeobecné písomné povolenie) a Glanevo písomne informuje Zákazníka o každom zamýšľanom pridaní alebo nahradení ďalších sprostredkovateľov najmenej 30 dní vopred. Nepovinná doložka o pristúpení (doložka 5) sa neuplatňuje. Ak sú táto DPA alebo Podmienky používania v rozpore s doložkami, prednosť majú doložky (doložka 4).

3. Príloha I — Zoznam zmluvných strán

Prevádzkovateľ: Zákazník, identifikovaný údajmi svojho účtu Glanevo; jeho kontaktnou osobou je vlastník účtu.

Sprostredkovateľ: Glanevo SRL, Str. Nicolae Corneanu nr. 18, Caransebeș, župa Caraș-Severin, Rumunsko; kontakt: gdpr@glanevo.com.

Zákazník túto DPA podpisuje prijatím Podmienok používania pri zakladaní účtu; Glanevo SRL ju podpisuje jej zverejnením a poskytovaním služby.

4. Príloha II — Opis spracúvania

Kategórie dotknutých osôb: klienti salónu, osoby, ktoré si rezervujú termín online, a zamestnanci salónu.
Kategórie osobných údajov: identifikačné a kontaktné údaje; rezervácie a história služieb; preferencie a poznámky; fotografie nahrané salónom; platobné údaje (token, nikdy číslo karty); recenzie a odpovede.
Citlivé údaje: zdravotné informácie, ktoré sa salón rozhodne zaznamenať, napríklad alergie, kontraindikácie alebo lekárske poznámky (osobitné kategórie údajov, čl. 9 GDPR). Záruky: lekárska poznámka vo voľnom texte je šifrovaná na úrovni poľa; ostatné zdravotné polia, ktoré salón môže vyplniť — alergie, chronické ochorenia, súčasné lieky, krvná skupina a núdzový kontakt — sa ukladajú bez šifrovania na úrovni poľa. Všetky môže otvoriť iba personál, ktorému salón udelil oprávnenie upravovať klientov, a každé otvorenie zdravotného záznamu sa zapisuje do protokolu o prístupe. Zdravotné údaje nepoužívame na automatizované rozhodovanie ani na profilovanie (čl. 3 ods. 1 rumunského zákona č. 190/2018). Pred zaznamenaním takýchto údajov musí mať Zákazník právny základ, spravidla výslovný súhlas dotknutej osoby.
Povaha spracúvania: hosting, uchovávanie, usporiadanie a zobrazovanie údajov, zasielanie notifikácií (SMS, e-mail a, ak ich salón zapne, komunikačné kanály ako WhatsApp) a zálohovanie.
Účel: poskytovanie služby správy salónu podľa Podmienok používania.
Doba trvania: počas trvania zmluvy a prechodného obdobia a obdobia na vyzdvihnutie údajov opísaných v oddiele 12 Podmienok používania; potom sa údaje vymažú, pokiaľ právo Únie alebo členského štátu nevyžaduje ich uchovávanie.

5. Príloha III — Technické a organizačné opatrenia

Šifrovanie celej prevádzky (vynútené HTTPS/TLS) a šifrovanie úložiska databázy v pokoji, ktoré zabezpečuje poskytovateľ hostingu.
Šifrovanie lekárskej poznámky vo voľnom texte na úrovni poľa; kontrola oprávnení a zaznamenávanie prístupu pri každom zdravotnom zázname vrátane polí pre alergie, chronické ochorenia a lieky, ktoré na úrovni poľa šifrované nie sú.
Oddelenie údajov každého salónu od údajov všetkých ostatných salónov. Pred každým commitom beží automatická kontrola, ktorá blokuje kód, ktorý by identitu salónu bral z globálneho nastavenia namiesto z požiadavky; samotné oddelenie pokrývajú testy v našej testovacej sade.
Dvojfaktorová autentifikácia dostupná pre účty panela, oprávnenia podľa rolí nastavované vlastníkom salónu a odvolávanie relácií.
Nepretržité zálohovanie databázy s možnosťou obnovy k ľubovoľnému okamihu.
Údaje o kartách spracúva iba poskytovateľ platieb; Glanevo uchováva iba token.
Povinnosť mlčanlivosti pre všetky osoby v spoločnosti Glanevo, ktoré majú prístup k osobným údajom.

6. Príloha IV — Ďalší sprostredkovatelia

Zákazník povoľuje ďalších sprostredkovateľov uvedených na stránke Ďalší sprostredkovatelia. Glanevo každému z nich zmluvne ukladá rovnaké povinnosti v oblasti ochrany údajov ako v tejto DPA a o zmenách zoznamu informuje Zákazníka najmenej 30 dní vopred. Zákazník môže vzniesť námietku; ak námietku nemožno vyriešiť, Zákazník môže zmluvu ukončiť bez dodatočných nákladov.

7. Prenosy mimo Európskeho hospodárskeho priestoru

Ak ďalší sprostredkovateľ spracúva osobné údaje mimo Európskeho hospodárskeho priestoru, Glanevo sa v prípade certifikovaných príjemcov opiera o rozhodnutie Európskej komisie o primeranosti ochrany pre rámec ochrany údajov EÚ – USA (vykonávacie rozhodnutie (EÚ) 2023/1795) alebo o štandardné zmluvné doložky prijaté vykonávacím rozhodnutím (EÚ) 2021/914 (modul 3, prenos medzi sprostredkovateľmi). Doložky uvedené v oddiele 2 samy osebe takéto prenosy nepokrývajú. Na požiadanie Glanevo Zákazníkovi oznámi, ktorá záruka sa vzťahuje na konkrétneho ďalšieho sprostredkovateľa.

8. Porušenie ochrany osobných údajov

Glanevo oznámi Zákazníkovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie, spolu s informáciami uvedenými v doložke 9.2, aby Zákazník mohol splniť svoje povinnosti podľa článkov 33 a 34 GDPR.

9. Ukončenie spracúvania

Po skončení zmluvy môže Zákazník exportovať svoje údaje podľa oddielu 12 Podmienok používania. Glanevo potom vymaže osobné údaje spracúvané v mene Zákazníka vrátane existujúcich kópií, pokiaľ právo Únie alebo členského štátu nevyžaduje ich uchovávanie (doložka 10).

10. Kontakt

Otázky k tejto DPA, žiadosti o súčinnosť alebo audit: gdpr@glanevo.com.