1. Pogodbeni stranki in področje uporabe

Ta Pogodba o obdelavi podatkov (»DPA«) je sklenjena med Naročnikom, ki uporablja Glanevo za svoj salon, kot upravljavcem, in družbo Glanevo SRL (CUI 40041255) kot obdelovalcem. Je sestavni del Pogojev uporabe in se sprejme skupaj z njimi. Velja za osebne podatke, ki jih Naročnik vnese v Glanevo, in za vse druge osebne podatke, ki jih Glanevo pri zagotavljanju storitve obdeluje v imenu Naročnika.

2. Standardne pogodbene klavzule

Pogodbeni stranki se dogovorita, da bosta uporabljali standardne pogodbene klavzule med upravljavci in obdelovalci iz Priloge k Izvedbenemu sklepu Komisije (EU) 2021/915 z dne 4. junija 2021 (EUR-Lex), pri čemer je Glanevo SRL obdelovalec, Naročnik pa upravljavec. Klavzule 1 do 10 navedene priloge so s sklicevanjem vključene v to pogodbo. Oddelki 3 do 6 v nadaljevanju vsebujejo podatke za prvo do četrto prilogo h klavzulam.

Izbrane možnosti: za klavzulo 7.7 se uporablja možnost 2 (splošno pisno dovoljenje), Glanevo pa Naročnika o vsaki nameravani dodaji ali zamenjavi podobdelovalcev pisno obvesti najmanj 30 dni vnaprej. Neobvezna klavzula o pristopu (klavzula 5) se ne uporablja. Če sta ta pogodba ali Pogoji uporabe v nasprotju s klavzulami, prevladajo klavzule (klavzula 4).

3. Priloga I — Seznam strank

Upravljavec: Naročnik, ki ga identificirajo podatki njegovega uporabniškega računa Glanevo; njegova kontaktna oseba je lastnik uporabniškega računa.

Obdelovalec: Glanevo SRL, Str. Nicolae Corneanu nr. 18, Caransebeș, okrožje Caraș-Severin, Romunija; kontakt: gdpr@glanevo.com.

Naročnik to pogodbo podpiše s sprejetjem Pogojev uporabe ob odprtju uporabniškega računa; Glanevo SRL jo podpiše z objavo in zagotavljanjem storitve.

4. Priloga II — Opis obdelave

Kategorije posameznikov, na katere se nanašajo osebni podatki: stranke salona, osebe, ki termine rezervirajo prek spleta, in osebje salona.
Kategorije osebnih podatkov: identifikacijski in kontaktni podatki; termini in zgodovina storitev; preference in opombe; fotografije, ki jih naloži salon; podatki o plačilih (žeton, nikoli številka kartice); ocene in odgovori.
Občutljivi podatki: zdravstvene informacije, ki se jih salon odloči beležiti, na primer alergije, kontraindikacije ali zdravniške opombe (posebne vrste podatkov, člen 9 GDPR). Zaščitni ukrepi: zdravniška opomba v prostem besedilu je šifrirana na ravni polja; druga zdravstvena polja, ki jih salon lahko izpolni — alergije, kronične bolezni, trenutna zdravila, krvna skupina in kontakt za nujne primere —, so shranjena brez šifriranja na ravni polja. Vsa lahko odpre le osebje, ki mu je salon podelil pravico urejanja strank, vsako odpiranje zdravstvenega zapisa pa se zabeleži v dnevnik dostopa. Zdravstvenih podatkov ne uporabljamo za avtomatizirane odločitve ali oblikovanje profilov (člen 3(1) romunskega zakona št. 190/2018). Pred zapisom takih podatkov mora imeti Stranka pravno podlago, praviloma izrecno privolitev posameznika.
Narava obdelave: gostovanje, shranjevanje, organiziranje in prikazovanje podatkov, pošiljanje obvestil (SMS, e-pošta in, če jih salon vklopi, kanali za sporočanje, kot je WhatsApp) ter varnostne kopije.
Namen: zagotavljanje storitve upravljanja salona v skladu s Pogoji uporabe.
Trajanje: ves čas trajanja pogodbe ter prehodnega obdobja in obdobja za prevzem podatkov, opisanih v oddelku 12 Pogojev uporabe; nato se podatki izbrišejo, razen če pravo Unije ali pravo države članice zahteva njihovo hrambo.

5. Priloga III — Tehnični in organizacijski ukrepi

Šifriranje vsega prometa (obvezni HTTPS/TLS) in šifriranje shrambe podatkovne zbirke v mirovanju, ki ga zagotavlja ponudnik gostovanja.
Šifriranje zdravniške opombe v prostem besedilu na ravni polja; preverjanje dovoljenj in beleženje dostopa za vsak zdravstveni zapis, vključno s polji za alergije, kronične bolezni in zdravila, ki na ravni polja niso šifrirana.
Ločitev podatkov vsakega salona od podatkov vseh drugih salonov. Pred vsakim commitom se izvede samodejno preverjanje, ki blokira kodo, ki bi identiteto salona vzela iz globalne nastavitve namesto iz zahteve; samo ločitev pokrivajo testi v našem naboru testov.
Dvofaktorsko preverjanje pristnosti za uporabniške račune nadzorne plošče, dovoljenja na podlagi vlog, ki jih določi lastnik salona, in preklic sej.
Neprekinjene varnostne kopije podatkovne zbirke z obnovitvijo na določeno točko v času.
Podatke o karticah obdeluje izključno ponudnik plačilnih storitev; Glanevo hrani samo žeton.
Obveznosti zaupnosti za vse osebe v družbi Glanevo, ki imajo dostop do osebnih podatkov.

6. Priloga IV — Podobdelovalci

Naročnik odobri podobdelovalce, navedene na strani Podobdelovalci. Glanevo vsakemu od njih s pogodbo naloži enake obveznosti glede varstva podatkov, kot so določene v tej pogodbi, in Naročnika o spremembah seznama obvesti najmanj 30 dni vnaprej. Naročnik lahko ugovarja; če ugovora ni mogoče rešiti, lahko Naročnik pogodbo odpove brez dodatnih stroškov.

7. Prenosi zunaj Evropskega gospodarskega prostora

Kadar podobdelovalec obdeluje osebne podatke zunaj Evropskega gospodarskega prostora, se Glanevo za certificirane prejemnike opira na sklep Evropske komisije o ustreznosti za okvir EU-ZDA za zasebnost podatkov (EU-US Data Privacy Framework; Izvedbeni sklep (EU) 2023/1795) ali na standardne pogodbene klavzule, sprejete z Izvedbenim sklepom (EU) 2021/914 (modul 3, prenos od obdelovalca obdelovalcu). Klavzule iz oddelka 2 same po sebi takih prenosov ne zajemajo. Glanevo Naročnika na zahtevo obvesti, kateri zaščitni ukrep velja za določenega podobdelovalca.

8. Kršitve varnosti osebnih podatkov

Glanevo Naročnika o kršitvi varnosti osebnih podatkov obvesti brez nepotrebnega odlašanja, potem ko se z njo seznani, skupaj z informacijami iz klavzule 9.2, da lahko Naročnik izpolni svoje obveznosti iz členov 33 in 34 GDPR.

9. Konec obdelave

Ob prenehanju pogodbe lahko Naročnik izvozi svoje podatke, kot je opisano v oddelku 12 Pogojev uporabe. Glanevo nato izbriše osebne podatke, obdelane v imenu Naročnika, vključno z obstoječimi kopijami, razen če pravo Unije ali pravo države članice zahteva njihovo hrambo (klavzula 10).

10. Kontakt

Vprašanja o tej pogodbi, zahteve za pomoč in zahteve za revizijo: gdpr@glanevo.com.