1. Strany a role
Správcem je salon, studio nebo jiná firma, která přijala obchodní podmínky a používá Retunk ke správě svých vlastních klientů. Zpracovatelem je Morovid s.r.o., Kurzova 2222/16, 155 00 Praha, IČO 21762261, DIČ CZ21762261, zapsaná v obchodním rejstříku vedeném Městský soud v Praze.
Správce je správcem osobních údajů týkajících se jeho klientů, které zpracovává prostřednictvím služby Retunk. Zpracovatel tyto údaje zpracovává pouze jako zpracovatel a pouze na základě doložených pokynů správce, včetně pokynů uvedených v této smlouvě a v obchodních podmínkách.
Tato smlouva platí po dobu platnosti obchodních podmínek a do doby, než jsou všechny osobní údaje podle ní zpracované smazány nebo vráceny podle části 10.
2. Předmět a doba trvání
Zpracovatel poskytuje platformu Retunk: online rezervace, správu klientů a schůzek, oznámení, platby, vouchery a publikování webových stránek. Při tom jménem správce zpracovává osobní údaje obsažené v účtu správce, kartách klientů, rezervacích, prodejích a komunikaci.
3. Povaha a účel zpracování
Zpracování zahrnuje ukládání, organizaci, vyhledávání, zpřístupnění oprávněným zpracovatelům a mazání osobních údajů, a to pro tyto účely: umožnit klientům rezervovat schůzky; vést karty klientů a historii návštěv; zasílat potvrzení rezervací, upomínky a marketingové zprávy podle pokynů správce; zpracovávat platby a zálohy; prodávat a uplatňovat vouchery; a poskytovat správci analytické funkce.
Zpracovatel nezpracovává osobní údaje pro své vlastní účely, neprodává je a nepoužívá je k vytváření reklamních profilů.
4. Kategorie osobních údajů a subjektů údajů
Zpracování se týká těchto kategorií osobních údajů a subjektů údajů:
- Subjekty údajů: klienti správce, potenciální klienti a personál, jehož údaje správce zadává.
- Identifikační a kontaktní údaje: jméno, e-mailová adresa, telefonní číslo, datum narození nebo narozeniny, pokud je správce zaznamenává.
- Údaje o rezervacích: požadované služby, data a časy schůzek, přiřazený pracovník, stav a historie.
- Poznámky a preference: volné textové poznámky, alergie nebo preference zaznamenané správcem.
- Transakční údaje: částky, měna a identifikátory rezervací, voucherů a plateb.
- Komunikační údaje: obsah a stav doručení zpráv zasílaných subjektům údajů podle pokynů správce.
Správce určuje, zda jsou zpracovávány zvláštní kategorie údajů (článek 9 GDPR), a pokud ano, zajišťuje pro ně zákonný základ a odpovídající záruky. Zpracovatel zvláštní kategorie údajů nevyžaduje a doporučuje správci, aby je nezaznamenával, pokud to není nutné.
5. Povinnosti zpracovatele
Zpracovatel:
- zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně pokynů týkajících se předávání do třetích zemí, pokud mu právní předpisy Unie nebo členského státu neukládají jinak; v takovém případě o tom informuje správce, pokud mu to právní předpisy nezakazují;
- zajišťuje, aby osoby oprávněné zpracovávat údaje byly vázány příslušnými povinnostmi mlčenlivosti;
- zavádí technická a organizační opatření popsaná v části 6;
- dodržuje podmínky pro zapojení zpracovatelů uvedené v části 7;
- poskytuje správci součinnost při vyřizování žádostí subjektů údajů s ohledem na povahu zpracování;
- poskytuje správci součinnost při zajištění souladu s články 32 až 36 GDPR, včetně oznámení správci bez zbytečného odkladu poté, co se dozví o porušení zabezpečení osobních údajů;
- maže nebo vrací osobní údaje po ukončení poskytování služeb v souladu s částí 10; a
- poskytuje veškeré informace potřebné k prokázání souladu s článkem 28 GDPR a umožňuje audity podle části 9.
Pokud zpracovatel podle svého názoru obdrží pokyn, který porušuje GDPR nebo jiné právní předpisy o ochraně osobních údajů, bez odkladu o tom informuje správce.
6. Bezpečnostní opatření
S přihlédnutím ke stavu techniky, nákladům na provedení a povaze, rozsahu, kontextu a účelům zpracování zavádí zpracovatel přiměřená technická a organizační opatření, včetně:
- šifrování osobních údajů při přenosu (TLS) i v klidovém stavu;
- řízení přístupu na základě principu nejmenších oprávnění s ověřováním a přístupovými právy podle rolí;
- ochrany sítě a aplikace, protokolování a monitorování přístupu k produkčním systémům;
- bezpečných postupů vývoje, kontroly kódu a správy závislostí;
- pravidelných záloh s testovaným obnovením;
- zdokumentovaného procesu reakce na incidenty a oznamování porušení; a
- řádného prověření a smluvních záruk u všech zpracovatelů.
7. Zpracovatelé
Správce uděluje zpracovateli obecné oprávnění zapojovat další zpracovatele. Zpracovatel informuje správce o každé zamýšlené změně týkající se přidání nebo nahrazení zpracovatele, dá správci možnost vznést námitku a uloží každému zpracovateli stejné povinnosti na ochranu osobních údajů, jaké stanoví tato smlouva. Aktuální zpracovatelé jsou:
| Zpracovatel | Role |
|---|---|
| Cloudflare, Inc. | Hosting a doručování obsahu, úložiště objektů, fronty, doručování e-mailů a souhrnná analytika. |
| Stripe Payments Europe, Ltd. | Zpracování plateb, záloh, předplatného a výplat. |
| GatewayAPI A/S | Doručování SMS zpráv a upomínek. |
| Functional Software, Inc. (Sentry) | Monitorování chyb a diagnostika aplikace. |
| Seznam.cz, a.s. (Mapy.com) | Vyhledávání adres a geokódování. |
| Náš poskytovatel spravované databáze PostgreSQL | Ukládání dat aplikace. |
| Meta Platforms, Inc. | Volitelná integrace Instagramu propojená podle volby správce. |
8. Mezinárodní předávání
Zpracovatel nepředá osobní údaje mimo Evropský hospodářský prostor bez doloženého pokynu správce a odpovídajících záruk podle kapitoly V GDPR. Pokud k předání dojde, opírá se zpracovatel o rozhodnutí o odpovídající ochraně, standardní smluvní doložky Evropské komise a případně o rámec EU–USA Data Privacy Framework. Podrobnosti jsou uvedeny v zásadách ochrany osobních údajů.
9. Žádosti subjektů údajů a audit
Zpracovatel bez zbytečného odkladu předá správci každou žádost, kterou obdrží od subjektu údajů v souvislosti s osobními údaji správce, a nebude subjektu údajů odpovídat jinak než na pokyn správce nebo pokud to vyžaduje zákon.
Zpracovatel poskytne správci veškeré informace potřebné k prokázání souladu s touto smlouvou a umožní audity, včetně inspekcí, prováděné správcem nebo jím pověřeným auditorem, a to po přiměřeném oznámení a nejvýše jednou ročně, nestanoví-li zákon nebo konkrétní incident jinak.
10. Mazání a vrácení
Po ukončení poskytování služeb zpracovatel podle volby správce smaže nebo vrátí všechny osobní údaje zpracovávané jménem správce, včetně záloh, do 30 dnů a na požádání písemně potvrdí jejich smazání, pokud právní předpisy Unie nebo členského státu nevyžadují další uchovávání. Údaje v běžných zálohách se mažou při obvyklé rotaci záloh, a to do 90 dnů.
11. Odpovědnost
Každá strana odpovídá v souladu s obchodními podmínkami a platnými právními předpisy za škodu způsobenou zpracováním, které porušuje GDPR. Omezení odpovědnosti uvedená v obchodních podmínkách se na tuto smlouvu použijí v rozsahu povoleném článkem 82 GDPR a kogentními předpisy.
12. Obecná ustanovení a přednost
Tato smlouva je součástí obchodních podmínek. Přijetím obchodních podmínek a používáním služby Retunk ke zpracování osobních údajů správce uzavírá tuto smlouvu. V případě rozporu mezi touto smlouvou a obchodními podmínkami v oblasti ochrany osobních údajů má přednost tato smlouva.
Změny této smlouvy se provádějí v souladu s ustanoveními obchodních podmínek o změnách.
13. Kontakt
Dotazy k této smlouvě můžete směřovat na Morovid s.r.o., Kurzova 2222/16, 155 00 Praha, nebo e-mailem na [email protected].