1. Palët dhe fusha e zbatimit

Kjo Marrëveshje për Përpunimin e të Dhënave («DPA») lidhet ndërmjet Klientit që përdor Glanevo për sallonin e tij, si kontrollues, dhe Glanevo SRL (CUI 40041255), si përpunues. Ajo është pjesë e Kushteve të Përdorimit dhe pranohet së bashku me to. Zbatohet për të dhënat personale që Klienti fut në Glanevo dhe për të gjitha të dhënat e tjera personale që Glanevo përpunon në emër të Klientit gjatë ofrimit të shërbimit.

2. Klauzolat standarde kontraktuale

Palët bien dakord të zbatojnë klauzolat standarde kontraktuale ndërmjet kontrolluesve dhe përpunuesve të përcaktuara në Aneksin e Vendimit Zbatues të Komisionit (BE) 2021/915 të datës 4 qershor 2021 (EUR-Lex), me Glanevo SRL si përpunues dhe Klientin si kontrollues. Klauzolat 1 deri në 10 të atij Aneksi përfshihen në këtë DPA me referencë. Seksionet 3 deri në 6 më poshtë përmbajnë informacionin për Aneksët I deri në IV.

Opsionet e zgjedhura: për Klauzolën 7.7 zbatohet Opsioni 2 (autorizim i përgjithshëm me shkrim), dhe Glanevo e informon Klientin me shkrim për çdo shtim ose zëvendësim të synuar të nënpërpunuesve të paktën 30 ditë përpara. Klauzola fakultative e aderimit (Klauzola 5) nuk përdoret. Nëse kjo DPA ose Kushtet e Përdorimit bien ndesh me Klauzolat, mbizotërojnë Klauzolat (Klauzola 4).

3. Aneksi I — Lista e palëve

Kontrolluesi: Klienti, i identifikuar nga të dhënat e llogarisë së tij Glanevo; personi i tij i kontaktit është pronari i llogarisë.

Përpunuesi: Glanevo SRL, Str. Nicolae Corneanu nr. 18, Caransebeș, qarku Caraș-Severin, Rumani; kontakt: gdpr@glanevo.com.

Klienti e nënshkruan këtë DPA duke pranuar Kushtet e Përdorimit gjatë krijimit të llogarisë; Glanevo SRL e nënshkruan atë duke e publikuar dhe duke ofruar shërbimin.

4. Aneksi II — Përshkrimi i përpunimit

Kategoritë e subjekteve të të dhënave: klientët e sallonit, personat që rezervojnë në internet dhe stafi i sallonit.
Kategoritë e të dhënave personale: të dhëna identifikimi dhe kontakti; takimet dhe historiku i shërbimeve; preferencat dhe shënimet; fotografitë e ngarkuara nga salloni; të dhënat e pagesës (një token, kurrë numri i kartës); vlerësimet dhe përgjigjet.
Të dhëna të ndjeshme: informacione shëndetësore që salloni zgjedh t’i regjistrojë, si alergji, kundërindikacione ose shënime mjekësore (kategori të veçanta të dhënash, neni 9 i GDPR-së). Garanci: shënimi mjekësor në tekst të lirë është i enkriptuar në nivel fushe; fushat e tjera shëndetësore që salloni mund të plotësojë — alergjitë, sëmundjet kronike, medikamentet aktuale, grupi i gjakut dhe kontakti i emergjencës — ruhen pa enkriptim në nivel fushe. Të gjitha mund të hapen vetëm nga personeli të cilit salloni i ka dhënë të drejtën e redaktimit të klientëve, dhe çdo hapje e një dosjeje shëndetësore shkruhet në regjistrin e aksesit. Të dhënat shëndetësore nuk përdoren për vendime të automatizuara ose profilizim (neni 3(1) i Ligjit rumun nr. 190/2018). Përpara se të regjistrojë të dhëna të tilla, Klienti duhet të ketë një bazë ligjore, si rregull pëlqimin e shprehur të personit.
Natyra e përpunimit: hostimi, ruajtja, organizimi dhe shfaqja e të dhënave, dërgimi i njoftimeve (SMS, e-mail dhe, kur salloni i aktivizon, kanale mesazhesh si WhatsApp) dhe kopjet rezervë.
Qëllimi: ofrimi i shërbimit të menaxhimit të sallonit sipas Kushteve të Përdorimit.
Kohëzgjatja: gjatë kohëzgjatjes së kontratës dhe të periudhave të tranzicionit dhe të tërheqjes së të dhënave të përshkruara në seksionin 12 të Kushteve të Përdorimit; më pas të dhënat fshihen, përveç rasteve kur e drejta e Bashkimit ose e shtetit anëtar kërkon ruajtjen e tyre.

5. Aneksi III — Masat teknike dhe organizative

Enkriptimi i të gjithë trafikut (HTTPS/TLS i detyrueshëm) dhe enkriptimi i ruajtjes së bazës së të dhënave në gjendje pushimi nga ofruesi i hostimit.
Enkriptim në nivel fushe i shënimit mjekësor në tekst të lirë; kontroll i lejeve dhe regjistrim i aksesit për çdo dosje shëndetësore, përfshirë fushat e alergjive, sëmundjeve kronike dhe medikamenteve, të cilat nuk janë të enkriptuara në nivel fushe.
Ndarja e të dhënave të çdo salloni nga ato të të gjithë salloneve të tjera. Para çdo commit-i kryhet një kontroll i automatizuar që bllokon kodin që do ta merrte identitetin e sallonit nga një cilësim global në vend të kërkesës; vetë ndarja mbulohet nga testet në grupin tonë të testeve.
Autentifikimi me dy faktorë i disponueshëm për llogaritë e panelit, lejet sipas roleve të caktuara nga pronari i sallonit dhe revokimi i sesioneve.
Kopje rezervë të vazhdueshme të bazës së të dhënave me rikuperim në një moment të caktuar kohor.
Të dhënat e kartave përpunohen vetëm nga ofruesi i pagesave; Glanevo ruan vetëm një token.
Detyrime konfidencialiteti për këdo në Glanevo që ka akses në të dhëna personale.

6. Aneksi IV — Nënpërpunuesit

Klienti autorizon nënpërpunuesit e renditur në faqen Nënpërpunues. Glanevo i detyron secilin prej tyre, me kontratë, me të njëjtat detyrime për mbrojtjen e të dhënave si në këtë DPA dhe e informon Klientin për ndryshimet në listë të paktën 30 ditë përpara. Klienti mund të kundërshtojë; nëse kundërshtimi nuk mund të zgjidhet, Klienti mund ta zgjidhë kontratën pa kosto shtesë.

7. Transferimet jashtë Zonës Ekonomike Evropiane

Kur një nënpërpunues përpunon të dhëna personale jashtë Zonës Ekonomike Evropiane, Glanevo mbështetet te vendimi i Komisionit Evropian për përshtatshmërinë në lidhje me Kuadrin BE-SHBA për Privatësinë e të Dhënave (EU-US Data Privacy Framework; Vendimi Zbatues (BE) 2023/1795) për marrësit e certifikuar, ose te klauzolat standarde kontraktuale të miratuara me Vendimin Zbatues (BE) 2021/914 (moduli 3, nga përpunuesi te përpunuesi). Klauzolat e përmendura në seksionin 2 nuk i mbulojnë vetvetiu transferime të tilla. Me kërkesë, Glanevo i tregon Klientit se cila masë mbrojtëse zbatohet për një nënpërpunues të caktuar.

8. Shkeljet e të dhënave personale

Glanevo e njofton Klientin për një shkelje të të dhënave personale pa vonesë të panevojshme pasi merr dijeni për të, me informacionin e përcaktuar në Klauzolën 9.2, në mënyrë që Klienti të mund të përmbushë detyrimet e tij sipas neneve 33 dhe 34 të GDPR-së.

9. Përfundimi i përpunimit

Kur kontrata përfundon, Klienti mund t'i eksportojë të dhënat e tij siç përshkruhet në seksionin 12 të Kushteve të Përdorimit. Më pas Glanevo i fshin të dhënat personale të përpunuara në emër të Klientit, përfshirë kopjet ekzistuese, përveç rasteve kur e drejta e Bashkimit ose e shtetit anëtar kërkon ruajtjen e tyre (Klauzola 10).

10. Kontakt

Pyetje rreth kësaj DPA-je, kërkesa për ndihmë dhe kërkesa për auditim: gdpr@glanevo.com.