Kto je kto: Salón používajúci systém je prevádzkovateľom údajov svojich klientok. BeautyForms je sprostredkovateľom, ktorý tieto údaje spracúva výhradne v rozsahu nevyhnutnom na poskytovanie služby.
1Definície
GDPR — Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov.
Prevádzkovateľ — zákazník, t. j. salón, štúdio alebo iný subjekt využívajúci službu, ktorý rozhoduje o účeloch a prostriedkoch spracúvania údajov svojich klientov.
Sprostredkovateľ — prevádzkovateľ služby BeautyForms.
Údaje — osobné údaje klientov prevádzkovateľa zadané do služby.
2Predmet a účel spracúvania
2.1 Prevádzkovateľ zveruje sprostredkovateľovi spracúvanie údajov výhradne na účel poskytovania služby elektronickej klientskej karty a konzultačných formulárov, v rozsahu a na čas stanovený v obchodných podmienkach.
2.2 Sprostredkovateľ spracúva údaje výhradne na zdokumentovaný pokyn prevádzkovateľa, ktorým je najmä využívanie funkcií služby.
3Rozsah zverených údajov
| Kategória osôb | Kategórie údajov |
|---|
| Klienti prevádzkovateľa |
Meno a priezvisko, dátum narodenia, telefónne číslo, e-mailová adresa, údaje zadané prevádzkovateľom do polí formulára, vrátane údajov o zdravotnom stave (čl. 9 GDPR) v rozsahu, ktorý si prevádzkovateľ sám stanoví, podoba vo forme ošetrovacích fotografií, elektronický podpis, obsah a dátum udelených súhlasov. |
| Personál prevádzkovateľa |
Meno a priezvisko, e-mailová adresa, prihlasovacie údaje, protokol činností v službe. |
Rozsah údajov o zdravotnom stave vyplýva z obsahu formulárov vytvorených samotným prevádzkovateľom. Sprostredkovateľ nerozhoduje o tom, na aké informácie sa prevádzkovateľ svojich klientov pýta.
4Povinnosti sprostredkovateľa
Sprostredkovateľ sa zaväzuje:
- spracúvať údaje výhradne na zdokumentovaný pokyn prevádzkovateľa;
- zabezpečiť, aby sa osoby oprávnené na spracúvanie údajov zaviazali na mlčanlivosť;
- uplatňovať technické a organizačné opatrenia zodpovedajúce riziku, vrátane šifrovania prenosu a uložených údajov, riadenia prístupu, overovania a pravidelného zálohovania;
- pomáhať prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb (právo na prístup, opravu, vymazanie, obmedzenie, prenosnosť a namietanie) prostredníctvom poskytnutia zodpovedajúcich funkcií služby;
- pomáhať prevádzkovateľovi pri plnení povinností podľa čl. 32–36 GDPR;
- oznámiť prevádzkovateľovi porušenie ochrany údajov bez zbytočného odkladu po jeho zistení, najneskôr do 24 hodín;
- poskytnúť prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožniť audit za podmienok stanovených v §6;
- vymazať alebo vrátiť údaje po ukončení poskytovania služby v súlade s §7.
5Ďalší sprostredkovatelia
5.1 Prevádzkovateľ udeľuje všeobecný súhlas s tým, aby sprostredkovateľ využíval ďalších sprostredkovateľov (subsprostredkovateľov) v oblasti serverovej infraštruktúry, odosielania SMS a e-mailových správ a spracovania platieb.
5.2 Sprostredkovateľ zabezpečuje, že každému subsprostredkovateľovi budú uložené povinnosti ochrany údajov zodpovedajúce povinnostiam podľa tejto zmluvy, a nesie voči prevádzkovateľovi plnú zodpovednosť za plnenie ich povinností.
5.3 O zamýšľaných zmenách týkajúcich sa pridania alebo nahradenia subsprostredkovateľa informuje sprostredkovateľ prevádzkovateľa vopred a umožní mu vzniesť námietku.
6Audit
6.1 Prevádzkovateľ má právo vykonať audit spracúvania zverených údajov po predchádzajúcom oznámení najmenej 14 dní vopred, najviac raz za kalendárny rok, počas pracovného času a spôsobom, ktorý nenarúša bežnú činnosť sprostredkovateľa.
6.2 Sprostredkovateľ môže najprv predložiť aktuálne dokumenty alebo správy potvrdzujúce súlad, ak dostatočne zodpovedajú rozsahu auditu.
7Doba trvania a ukončenie
7.1 Zmluva platí počas využívania služby prevádzkovateľom.
7.2 Po ukončení zmluvy o poskytovaní služieb má prevádzkovateľ možnosť samostatne exportovať údaje počas 30 dní. Po uplynutí tejto lehoty sú údaje trvalo vymazané, pokiaľ povinnosť ich ďalšieho uchovávania nevyplýva z právnych predpisov.
7.3 Prevádzkovateľ môže kedykoľvek samostatne vymazať údaje vybraného klienta alebo celý účet prostredníctvom funkcií služby.
8Miesto spracúvania
8.1 Údaje sú spracúvané na serveroch umiestnených v rámci Európskeho hospodárskeho priestoru (EHP). Sprostredkovateľ neprenáša údaje do tretích krajín mimo Európskeho hospodárskeho priestoru bez predchádzajúceho informovania prevádzkovateľa a zabezpečenia právneho základu pre takýto prenos.
9Zodpovednosť
9.1 Každá zo strán zodpovedá za škody spôsobené spracúvaním, ak nesplnila povinnosti vyplývajúce z GDPR, ktoré sú jej priamo uložené, alebo konala mimo zákonných pokynov druhej strany.
9.2 Prevádzkovateľ nesie výhradnú zodpovednosť za zákonnosť zhromažďovania údajov, najmä za existenciu riadneho právneho základu, obsah informačných doložiek a rozsah otázok obsiahnutých vo formulároch, ktoré sám vytvára.
10Záverečné ustanovenia
10.1 Vo veciach, ktoré nie sú upravené, sa použijú ustanovenia GDPR, zákona o ochrane osobných údajov a občianskeho zákonníka.
10.2 Zmluva je uzavretá okamihom prijatia obchodných podmienok a nevyžaduje písomnú formu. Na žiadosť prevádzkovateľa sprostredkovateľ sprístupní dokument vo formáte PDF.