Договір про обробку даних

Цей договір діє між студією як контролером і Filippos Kagkiouzis, Würzburger Straße 2, 60385 Frankfurt am Main («Bookry») як обробником щодо всіх персональних даних, які студія обробляє за допомогою платформи Bookry. З моменту реєстрації студії він стає складовою частиною Умов користування.

1. Предмет, характер і мета

Предметом є забезпечення роботи сервісу онлайн-бронювання для студії: приймання записів і керування ними, надсилання підтверджень, нагадувань і повідомлень про скасування, ведення картотеки клієнток, а також аналітика для студії. Обробка у власних цілях обробника не здійснюється; зокрема, клієнтки однієї студії не передаються іншим студіям і не використовуються з рекламною метою.

2. Строк дії

Договір діє, доки студія користується платформою Bookry. Він припиняється разом із договором про користування.

3. Види даних і категорії суб'єктів даних

Клієнтки студії

Ім'я, адреса електронної пошти, номер телефону, заброньовані послуги, записи, добровільні примітки, обрана мова

Працівниці студії

Ім'я, робочий час, відсутності, навички, призначення на записи

Обліковий запис студії

Ім'я, адреса електронної пошти, пароль у вигляді хешу (hash), час входу в систему

Технічні дані

IP-адреса для обмеження доступу, журнали помилок, ідентифікатори сеансів

4. Обов'язковість вказівок

Обробник обробляє дані виключно на підставі задокументованих вказівок студії. Вказівки надаються через налаштування програмного забезпечення або в текстовій формі. Якщо обробник вважає вказівку незаконною, він повідомляє про це студію і має право призупинити її виконання.

5. Конфіденційність

Усі особи, залучені до обробки, зобов'язані дотримуватися конфіденційності. Доступ до даних студії обмежено необхідним мінімумом.

6. Технічні та організаційні заходи (стаття 32)

Передача

Виключно в зашифрованому вигляді через TLS; HSTS застосовується примусово

Паролі

Зберігаються лише у вигляді хешу (hash), ніколи у відкритому вигляді, ніколи в журналах

Розмежування орендарів

Кожен запит до бази даних автоматично обмежується відповідною студією; одна студія технічно не може отримати доступ до даних іншої

Обмеження доступу

Лічильник для захисту від автоматизованого доступу до входу в систему, бронювання та листа очікування

Місцезнаходження серверів

Застосунок і база даних у Франкфурті-на-Майні (Frankfurt am Main, ЄС). Субобробники мають місцезнаходження в США; передача туди забезпечується стандартними договірними положеннями ЄС і, за наявності сертифікації, Рамковою програмою конфіденційності даних ЄС–США (EU-US Data Privacy Framework)

Шрифти та скрипти

Завантажуються з власних серверів; на публічних сторінках сервіси зовнішніх постачальників не підключаються

Журнали

Журнали помилок без паролів у відкритому вигляді, обмежений строк зберігання

7. Субобробники

Студія погоджується на залучення таких субобробників. Перед заміною або додаванням субобробника обробник повідомляє студію про це електронною поштою щонайменше за 30 днів; студія може заперечити і в такому разі розірвати договір.

Vercel Inc., США

Забезпечення роботи застосунку; центр обробки даних у Франкфурті-на-Майні (Frankfurt am Main)

Neon, LLC (Databricks), США

Зберігання даних студії та даних про бронювання; центр обробки даних у Франкфурті-на-Майні (AWS eu-central-1)

Resend (Plus Five Five, Inc.), США

Надсилання підтверджень, нагадувань і повідомлень про скасування; сервери надсилання в ЄС, обробка також у США

8. Сприяння студії

Обробник сприяє студії у виконанні запитів щодо доступу, виправлення, видалення, обмеження обробки, перенесення даних і заперечення, а також у проведенні оцінок впливу на захист даних і виконанні обов'язків щодо повідомлення. Якщо клієнтка звертається безпосередньо до обробника, її скеровують до студії, а студію про це інформують.

9. Порушення захисту персональних даних

Обробник повідомляє студію про кожне порушення без невиправданої затримки після того, як йому стало про нього відомо, але не пізніше ніж протягом 24 годин, надаючи всі відомості, необхідні студії для її повідомлення відповідно до статті 33 GDPR.

10. Видалення та повернення

Після припинення договору студія може протягом 30 днів експортувати свої дані. Після цього вони видаляються, якщо цьому не перешкоджає встановлений законом обов'язок зберігання.

11. Підтвердження та перевірки

Обробник надає інформацію, необхідну для підтвердження відповідності, і уможливлює перевірки за умови попереднього повідомлення, якщо це не порушує роботу сервісу.

12. Контактна особа

Питання щодо обробки даних: hello@bookry.de. Підписаний примірник надаємо на запит.