Договор об обработке данных

Настоящий договор заключается между студией в качестве контролёра (ответственного за обработку) и Filippos Kagkiouzis, Würzburger Straße 2, 60385 Frankfurt am Main («Bookry») в качестве обработчика в отношении всех персональных данных, которые студия обрабатывает с помощью платформы Bookry. С момента регистрации студии он становится составной частью Условий использования. Договор применяется во исполнение ст. 28 Общего регламента ЕС по защите данных (GDPR, Регламент (ЕС) 2016/679).

1. Предмет, характер и цель

Предметом является эксплуатация сервиса онлайн-записи для студии: приём и управление записями, отправка подтверждений, напоминаний и уведомлений об отмене, ведение клиентской базы, а также аналитика для студии. Обработка в собственных целях обработчика не осуществляется; в частности, клиентки одной студии не передаются другим студиям и не используются в рекламных целях.

2. Срок действия

Договор действует, пока студия пользуется платформой Bookry. Он прекращается вместе с договором об использовании.

3. Виды данных и категории субъектов данных

Клиентки студии

Имя, адрес электронной почты, номер телефона, забронированные услуги, записи, добровольные комментарии, выбранный язык

Сотрудницы студии

Имя, рабочее время, периоды отсутствия, навыки, распределение по записям

Учётная запись студии

Имя, адрес электронной почты, пароль в виде хеша, время входа в систему

Технические данные

IP-адрес для ограничения доступа, журналы ошибок, идентификаторы сеансов

4. Обработка по указаниям

Обработчик обрабатывает данные исключительно на основании документально оформленных указаний студии. Указания даются через настройки программного обеспечения или в текстовой форме. Если обработчик считает указание противоречащим закону, он сообщает об этом студии и вправе приостановить его исполнение.

5. Конфиденциальность

Все лица, участвующие в обработке, обязаны соблюдать конфиденциальность. Доступ к данным студии ограничен необходимым минимумом.

6. Технические и организационные меры (ст. 32 GDPR)

Передача данных

Исключительно в зашифрованном виде по TLS; HSTS обязателен

Пароли

Хранятся только в виде хеша, никогда в открытом виде, никогда в журналах

Разделение клиентов платформы

Каждый запрос к базе данных автоматически ограничивается соответствующей студией; одна студия технически не может получить доступ к данным другой

Ограничение доступа

Счётчик для защиты от автоматизированных обращений ко входу в систему, записи и листу ожидания

Местонахождение серверов

Приложение и база данных во Франкфурте-на-Майне (Frankfurt am Main, ЕС). Субобработчики имеют местонахождение в США; передача данных туда обеспечивается стандартными договорными положениями ЕС и, при наличии сертификации, Рамочным соглашением ЕС–США о конфиденциальности данных (EU-US Data Privacy Framework)

Шрифты и скрипты

Загружаются с собственных серверов; без подключения внешних поставщиков на общедоступных страницах

Журналы

Журналы ошибок без паролей в открытом виде, ограниченный срок хранения

7. Субобработчики

Студия даёт согласие на привлечение следующих субобработчиков. О замене или добавлении субобработчика обработчик уведомляет студию по электронной почте не менее чем за 30 дней; студия вправе возразить и в этом случае расторгнуть договор.

Vercel Inc., США

Эксплуатация приложения; центр обработки данных во Франкфурте-на-Майне (Frankfurt am Main)

Neon, LLC (Databricks), США

Хранение данных студии и данных о записях; центр обработки данных во Франкфурте-на-Майне (AWS eu-central-1)

Resend (Plus Five Five, Inc.), США

Отправка подтверждений, напоминаний и уведомлений об отмене; серверы отправки в ЕС, обработка также в США

8. Содействие студии

Обработчик оказывает студии содействие в связи с запросами о доступе, исправлении, удалении, ограничении обработки, переносимости данных и возражении, а также при проведении оценки воздействия на защиту данных и выполнении обязанностей по уведомлению. Если клиентка обращается непосредственно к обработчику, её перенаправляют к студии, а студию информируют об этом.

9. Нарушение защиты персональных данных

Обработчик уведомляет студию о любом нарушении без неоправданной задержки после того, как ему стало о нём известно, но не позднее чем в течение 24 часов, предоставляя все сведения, необходимые студии для её уведомления в соответствии со ст. 33 GDPR.

10. Удаление и возврат

После прекращения договора студия может экспортировать свои данные в течение 30 дней. После этого они удаляются, если этому не препятствует установленная законом обязанность хранения.

11. Подтверждения и проверки

Обработчик предоставляет информацию, необходимую для подтверждения соблюдения требований, и обеспечивает возможность проверок по предварительному уведомлению в той мере, в какой это не нарушает работу сервиса.

12. Контактное лицо

Вопросы об обработке данных: hello@bookry.de. Подписанный экземпляр предоставляется по запросу.