Umowa powierzenia przetwarzania danych

Niniejsza umowa obowiązuje między studiem jako administratorem danych a Filipposem Kagkiouzisem, Würzburger Straße 2, 60385 Frankfurt am Main („Bookry”) jako podmiotem przetwarzającym, w odniesieniu do wszystkich danych osobowych, które studio przetwarza za pośrednictwem platformy Bookry. Z chwilą rejestracji studia staje się ona częścią warunków korzystania.

1. Przedmiot, charakter i cel

Przedmiotem jest prowadzenie internetowej rezerwacji wizyt dla studia: przyjmowanie wizyt i zarządzanie nimi, wysyłanie potwierdzeń, przypomnień i informacji o odwołaniu, prowadzenie kartoteki klientek oraz analizy dla studia. Przetwarzanie do własnych celów podmiotu przetwarzającego nie ma miejsca; w szczególności klientki jednego studia nie są przekazywane innym studiom ani wykorzystywane do celów reklamowych.

2. Czas trwania

Umowa obowiązuje tak długo, jak studio korzysta z platformy Bookry. Wygasa wraz z umową o korzystanie.

3. Rodzaj danych i kategorie osób, których dane dotyczą

Klientki studia

Imię i nazwisko, adres e-mail, numer telefonu, zarezerwowane usługi, terminy wizyt, dobrowolne notatki, wybrany język

Pracownice studia

Imię i nazwisko, godziny pracy, nieobecności, umiejętności, przypisanie do wizyt

Konto studia

Imię i nazwisko, adres e-mail, hasło w postaci skrótu (hash), godziny logowania

Dane techniczne

Adres IP w celu ograniczania dostępu, logi błędów, identyfikatory sesji

4. Związanie poleceniami

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie studia. Polecenia są wydawane za pomocą ustawień oprogramowania lub w formie tekstowej. Jeżeli podmiot przetwarzający uzna polecenie za niezgodne z prawem, informuje o tym studio i jest uprawniony do wstrzymania jego wykonania.

5. Poufność

Wszystkie osoby zaangażowane w przetwarzanie są zobowiązane do zachowania poufności. Dostęp do danych studia jest ograniczony do niezbędnego minimum.

6. Środki techniczne i organizacyjne (art. 32)

Transmisja

Wyłącznie w sposób szyfrowany za pomocą TLS; HSTS wymuszony

Hasła

Przechowywane wyłącznie w postaci skrótu (hash), nigdy jawnym tekstem, nigdy w logach

Separacja klientów platformy

Każde zapytanie do bazy danych jest automatycznie ograniczane do danego studia; jedno studio nie ma technicznej możliwości dostępu do danych innego studia

Ograniczanie dostępu

Licznik chroniący przed zautomatyzowanym dostępem do logowania, rezerwacji i listy oczekujących

Lokalizacja serwerów

Aplikacja i baza danych we Frankfurcie nad Menem (Frankfurt am Main, UE). Podmioty podprzetwarzające mają siedzibę w USA; przekazanie danych do USA jest zabezpieczone standardowymi klauzulami umownymi UE oraz, w przypadku posiadania certyfikacji, ramami ochrony danych UE–USA (EU-US Data Privacy Framework)

Czcionki i skrypty

Dostarczane z własnych serwerów; brak osadzania zewnętrznych dostawców na stronach publicznych

Logi

Logi błędów bez haseł w postaci jawnej, ograniczony okres przechowywania

7. Podmioty podprzetwarzające

Studio wyraża zgodę na korzystanie z usług następujących podmiotów podprzetwarzających. Przed zmianą lub dodaniem podmiotu podprzetwarzającego podmiot przetwarzający informuje o tym studio z co najmniej 30-dniowym wyprzedzeniem za pomocą wiadomości e-mail; studio może wnieść sprzeciw i w takim przypadku wypowiedzieć umowę.

Vercel Inc., USA

Obsługa aplikacji; centrum danych we Frankfurcie nad Menem (Frankfurt am Main)

Neon, LLC (Databricks), USA

Przechowywanie danych studia i danych rezerwacji; centrum danych we Frankfurcie nad Menem (AWS eu-central-1)

Resend (Plus Five Five, Inc.), USA

Wysyłka potwierdzeń, przypomnień i informacji o odwołaniu; serwery nadawcze w UE, przetwarzanie także w USA

8. Wsparcie studia

Podmiot przetwarzający wspiera studio w realizacji żądań dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu, a także przy ocenach skutków dla ochrony danych oraz w wykonywaniu obowiązków zgłoszeniowych. Jeżeli klientka zwróci się bezpośrednio do podmiotu przetwarzającego, zostaje odesłana do studia, a studio zostaje o tym poinformowane.

9. Naruszenie ochrony danych osobowych

Podmiot przetwarzający zgłasza studiu każde naruszenie bez zbędnej zwłoki po jego stwierdzeniu, najpóźniej w ciągu 24 godzin, wraz ze wszystkimi informacjami, których studio potrzebuje do dokonania zgłoszenia zgodnie z art. 33 RODO.

10. Usunięcie i zwrot danych

Po zakończeniu umowy studio może przez 30 dni eksportować swoje dane. Następnie dane są usuwane, o ile nie sprzeciwia się temu ustawowy obowiązek przechowywania.

11. Dowody i kontrole

Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności i umożliwia przeprowadzanie kontroli po uprzednim zawiadomieniu, o ile nie zakłóca to funkcjonowania usługi.

12. Osoba kontaktowa

Pytania dotyczące powierzenia przetwarzania danych: hello@bookry.de. Podpisany egzemplarz udostępniamy na żądanie.