Umowa powierzenia przetwarzania danych osobowych (system rezerwacji)

Niniejsza umowa powierzenia (dalej: „Umowa”) jest zawierana w formie elektronicznej, zgodnie z art. 28 ust. 3 i 9 RODO, pomiędzy właścicielem salonu korzystającym z systemu rezerwacji online Future Life (dalej: „Administrator” lub „Salon”) a Future by Life sp. z o.o. z siedzibą w Szczecinie, ul. Jana Kazimierza 11A lok. 6, 71-620 Szczecin, KRS 0001199212, NIP 9552591446 (dalej: „Podmiot przetwarzający” lub „Spółka”). Umowa zostaje zawarta z chwilą zaznaczenia akceptacji przy tworzeniu salonu w serwisie i obowiązuje przez czas korzystania z systemu rezerwacji.

1. Przedmiot i charakter przetwarzania

Administrator powierza Spółce przetwarzanie danych osobowych w celu świadczenia usługi systemu rezerwacji online: przyjmowania i obsługi rezerwacji, prowadzenia kalendarza i kartoteki klientów, wysyłki potwierdzeń, przypomnień i próśb o opinię (e-mail, SMS), rozliczeń wewnętrznych salonu (wynagrodzenia, najem, magazyn) oraz statystyk. Przetwarzanie ma charakter ciągły i odbywa się w systemach informatycznych Spółki.

2. Rodzaj danych i kategorie osób

• klienci Salonu: imię i nazwisko, numer telefonu, adres e-mail, historia i szczegóły wizyt, notatki Salonu, zgody marketingowe, opinie; a także – jeżeli Salon je wprowadzi – informacje o przeciwwskazaniach i przebiegu zabiegów, które stanowią dane dotyczące zdrowia (art. 9 RODO);
• pracownicy i współpracownicy Salonu (w tym najemcy stanowisk): imię i nazwisko, e-mail, rola, grafik, warunki wynagrodzenia wprowadzone przez Salon.

Administrator oświadcza, że dysponuje podstawą prawną przetwarzania powierzonych danych, w szczególności wyraźną zgodą klientów na przetwarzanie danych o zdrowiu (art. 9 ust. 2 lit. a RODO) lub inną podstawą z art. 9 ust. 2 RODO, oraz że realizuje wobec klientów obowiązek informacyjny (art. 13 RODO). Spółka udostępnia na stronie rezerwacji Salonu wzór informacji o przetwarzaniu, który Salon może uzupełnić własnym tekstem.

3. Obowiązki Podmiotu przetwarzającego

• przetwarza dane wyłącznie na udokumentowane polecenie Administratora – za polecenie uważa się korzystanie z funkcji systemu przez Salon i jego zespół oraz ustawienia wprowadzone w panelu;
• zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
• stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO): szyfrowanie transmisji (TLS), szyfrowane kopie zapasowe, kontrola dostępu oparta na rolach (właściciel / administrator / specjalista / najemca – najemca nie ma dostępu do bazy klientów Salonu), dziennik zdarzeń, oddzielenie danych o zdrowiu w interfejsie, ograniczenie dostępu personelu Spółki do danych o zdrowiu do osób z rolą kierowniczą;
• korzysta z dalszych podmiotów przetwarzających tylko wymienionych w pkt 5; o zamiarze dodania lub zmiany dalszego podmiotu informuje Administratora z co najmniej 14-dniowym wyprzedzeniem (e-mail), dając możliwość sprzeciwu, którego skutkiem może być rozwiązanie Umowy;
• pomaga Administratorowi w realizacji praw osób (dostęp, sprostowanie, usunięcie, przenoszenie) poprzez funkcje panelu: wyszukiwanie klienta, edycję karty, funkcję „usuń dane osobowe klienta” oraz eksport danych na żądanie;
• pomaga w wywiązaniu się z obowiązków z art. 32–36 RODO, w tym zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia;
• po zakończeniu świadczenia usługi – zgodnie z decyzją Administratora – usuwa lub zwraca (eksport) wszystkie powierzone dane, a kopie usuwa najpóźniej po 90 dniach od zakończenia, chyba że prawo Unii lub prawo polskie nakazuje przechowywanie; usunięcie konta właściciela powoduje natychmiastowe usunięcie danych salonu;
• udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwia audyt (w tym inspekcję) po uprzednim uzgodnieniu terminu, nie częściej niż raz w roku, chyba że doszło do naruszenia.

4. Obowiązki Administratora

• wprowadza do systemu tylko dane niezbędne do celu (minimalizacja) i nie wprowadza danych wrażliwych bez podstawy prawnej;
• nadaje dostępy członkom zespołu adekwatnie do ich roli i cofa je niezwłocznie po zakończeniu współpracy;
• odpowiada za treść komunikatów wysyłanych do klientów (w tym za posiadanie zgód na komunikację marketingową zgodnie z art. 398 Prawa komunikacji elektronicznej);
• informuje klientów o przetwarzaniu i o korzystaniu z platformy Future Life jako podmiotu przetwarzającego.

5. Dalsze podmioty przetwarzające

• dostawca hostingu (serwery VPS w Europejskim Obszarze Gospodarczym) – infrastruktura i kopie zapasowe;
• SMSAPI sp. z o.o., Polska – wysyłka przypomnień SMS (wyłącznie numer telefonu i treść przypomnienia);
• własny serwer poczty Spółki (EOG) – wysyłka wiadomości e-mail;
• Cloudflare, Inc., USA – ochrona przed botami i dostarczanie treści (adres IP, dane techniczne) – przekazanie na podstawie EU-U.S. Data Privacy Framework / standardowych klauzul umownych;
• Stripe – wyłącznie dane rozliczeniowe Salonu (nie dane klientów Salonu).

Dane klientów Salonu nie są przekazywane dostawcom sztucznej inteligencji ani wykorzystywane przez Spółkę do własnych celów.

6. Odpowiedzialność i postanowienia końcowe

Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem w zakresie wynikającym z art. 82 RODO. Spółka nie odpowiada za skutki działań użytkowników Salonu (np. wprowadzenie danych bez podstawy prawnej, udostępnienie loginu). Umowa podlega prawu polskiemu. Zmiany Umowy wymagają poinformowania Administratora z 14-dniowym wyprzedzeniem; dalsze korzystanie z usługi oznacza akceptację zmian, a sprzeciw – prawo do rozwiązania Umowy i zwrotu danych. Aktualna wersja Umowy oraz data jej akceptacji są zapisane w panelu salonu.