Kdo je kdo: Salon používající systém je správcem údajů svých klientek. BeautyForms je zpracovatelem, který tyto údaje zpracovává výhradně v rozsahu nezbytném pro poskytování služby.
1Definice
GDPR — Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů.
Správce — zákazník, tj. salon, studio nebo jiný subjekt využívající službu, který rozhoduje o účelech a prostředcích zpracování údajů svých klientů.
Zpracovatel — provozovatel služby BeautyForms.
Údaje — osobní údaje klientů správce zadané do služby.
2Předmět a účel zpracování
2.1 Správce svěřuje zpracovateli zpracování údajů výhradně za účelem poskytování služby elektronické klientské karty a konzultačních formulářů, v rozsahu a po dobu stanovenou v obchodních podmínkách.
2.2 Zpracovatel zpracovává údaje výhradně na doložený pokyn správce, kterým je zejména využívání funkcí služby.
3Rozsah svěřených údajů
| Kategorie osob | Kategorie údajů |
|---|
| Klienti správce |
Jméno a příjmení, datum narození, telefonní číslo, e-mailová adresa, údaje zadané správcem do polí formuláře, včetně údajů o zdravotním stavu (čl. 9 GDPR) v rozsahu, který si správce sám stanoví, podoba ve formě ošetřovacích fotografií, elektronický podpis, obsah a datum udělených souhlasů. |
| Personál správce |
Jméno a příjmení, e-mailová adresa, přihlašovací údaje, protokol činností ve službě. |
Rozsah údajů o zdravotním stavu vyplývá z obsahu formulářů vytvořených samotným správcem. Zpracovatel nerozhoduje o tom, na jaké informace se správce svých klientů ptá.
4Povinnosti zpracovatele
Zpracovatel se zavazuje:
- zpracovávat údaje výhradně na doložený pokyn správce;
- zajistit, aby se osoby oprávněné ke zpracování údajů zavázaly k mlčenlivosti;
- uplatňovat technická a organizační opatření odpovídající riziku, včetně šifrování přenosu a uložených údajů, řízení přístupu, ověřování a pravidelného zálohování;
- být správci nápomocen při vyřizování žádostí subjektů údajů (právo na přístup, opravu, výmaz, omezení, přenositelnost a vznesení námitky) prostřednictvím poskytnutí odpovídajících funkcí služby;
- být správci nápomocen při plnění povinností podle čl. 32–36 GDPR;
- ohlásit správci porušení zabezpečení údajů bez zbytečného odkladu po jeho zjištění, nejpozději do 24 hodin;
- poskytnout správci informace nezbytné k doložení splnění povinností podle čl. 28 GDPR a umožnit audit za podmínek stanovených v §6;
- vymazat nebo vrátit údaje po ukončení poskytování služby v souladu s §7.
5Další zpracovatelé
5.1 Správce uděluje obecný souhlas s tím, aby zpracovatel využíval dalších zpracovatelů (subzpracovatelů) v oblasti serverové infrastruktury, odesílání SMS a e-mailových zpráv a zpracování plateb.
5.2 Zpracovatel zajišťuje, že každému subzpracovateli budou uloženy povinnosti ochrany údajů odpovídající povinnostem podle této smlouvy, a nese vůči správci plnou odpovědnost za plnění jejich povinností.
5.3 O zamýšlených změnách týkajících se přidání nebo nahrazení subzpracovatele informuje zpracovatel správce s předstihem a umožní mu vznést námitku.
6Audit
6.1 Správce má právo provést audit zpracování svěřených údajů po předchozím oznámení nejméně 14 dní předem, nejvýše jednou za kalendářní rok, během pracovní doby a způsobem, který nenarušuje běžnou činnost zpracovatele.
6.2 Zpracovatel může nejprve předložit aktuální dokumenty nebo zprávy potvrzující soulad, pokud dostatečně odpovídají rozsahu auditu.
7Doba trvání a ukončení
7.1 Smlouva platí po dobu využívání služby správcem.
7.2 Po ukončení smlouvy o poskytování služeb má správce možnost samostatně exportovat údaje po dobu 30 dnů. Po uplynutí této lhůty jsou údaje trvale vymazány, pokud povinnost jejich dalšího uchovávání nevyplývá z právních předpisů.
7.3 Správce může kdykoli samostatně vymazat údaje vybraného klienta nebo celý účet prostřednictvím funkcí služby.
8Místo zpracování
8.1 Údaje jsou zpracovávány na serverech umístěných v rámci Evropského hospodářského prostoru (EHP). Zpracovatel nepředává údaje do třetích zemí mimo Evropský hospodářský prostor bez předchozího informování správce a zajištění právního základu pro takový přenos.
9Odpovědnost
9.1 Každá ze stran odpovídá za škody způsobené zpracováním, pokud nesplnila povinnosti vyplývající z GDPR, které jsou jí přímo uloženy, nebo jednala mimo zákonné pokyny druhé strany.
9.2 Správce nese výhradní odpovědnost za zákonnost shromažďování údajů, zejména za existenci řádného právního základu, obsah informačních doložek a rozsah otázek obsažených ve formulářích, které sám vytváří.
10Závěrečná ustanovení
10.1 V záležitostech, které nejsou upraveny, se použijí ustanovení GDPR, zákona o ochraně osobních údajů a občanského zákoníku.
10.2 Smlouva je uzavřena okamžikem přijetí obchodních podmínek a nevyžaduje písemnou formu. Na žádost správce zpracovatel zpřístupní dokument ve formátu PDF.