Umowa powierzenia przetwarzania danych (DPA)

Podmiot przetwarzający przetwarza dane osobowe wyłącznie w imieniu Administratora i na jego udokumentowane polecenie, w ramach Usługi Salonnare.

Niniejsza DPA obowiązuje przez okres obowiązywania podstawowej umowy subskrypcyjnej i wygasa automatycznie z chwilą jej zakończenia, z zastrzeżeniem punktu 10 (zakończenie przetwarzania).

Charakter: przechowywanie, wyświetlanie, porządkowanie, pobieranie, przesyłanie (e-mail/WhatsApp), usuwanie oraz tworzenie kopii zapasowych danych osobowych w wielodostępnym (multi-tenant) środowisku chmurowym SaaS.

Cel: zapewnienie funkcjonalności Salonnare (Kalendarz, Kasa, fakturowanie, kampanie, powiadomienia, raportowanie, kartoteka klientów) zgodnie z poleceniami, które Administrator wydaje za pośrednictwem interfejsu aplikacji lub kanałów wsparcia.

Podmiot przetwarzający nie przetwarza danych osobowych do własnych celów ani do celów osób trzecich, z wyjątkiem przypadków, w których jest to niezbędne do świadczenia Usługi, do anonimowych/zagregowanych badań produktowych lub do wypełnienia obowiązków prawnych.

Osoby, których dane dotyczą: klienci końcowi salonu; pracownicy/styliści salonu; dostawcy i osoby kontaktowe, które rejestruje Administrator.

Kategorie danych osobowych: dane kontaktowe (imię i nazwisko, e-mail, telefon), identyfikatory (numer klienta), historia wizyt, usługi, faktury, płatności, notatki, zdjęcia, preferencje, salda bonów podarunkowych i punktów lojalnościowych, komunikacja e-mail/WhatsApp, opinie.

Szczególne kategorie danych osobowych (art. 9 RODO) - takie jak notatki zdrowotne (alergie, leki, choroby skóry, ciąża) - są przechowywane w dedykowanym zaszyfrowanym sejfie, oddzielonym od zwykłych notatek o klientach. Podmiot przetwarzający stosuje następujące dodatkowe zabezpieczenia:

• Szyfrowanie kopertowe AES-256-GCM z użyciem klucza danych właściwego dla każdego najemcy (tenanta), który sam jest w stanie spoczynku opakowany (zaszyfrowany) kluczem głównym platformy.

• Klucz główny jest przechowywany wyłącznie w zmiennych środowiskowych, oddzielnie od kopii zapasowych bazy danych; utrata klucza powoduje, że wszystkie dane w sejfie stają się trwale nieczytelne.

• Kontrola dostępu oparta na rolach za pomocą dedykowanej flagi uprawnień (can_view_health_notes), możliwa do audytu dla każdego członkostwa; administratorzy nie otrzymują dostępu automatycznie.

• Niezmienny dziennik dostępu: każdy odczyt, zapis, pobranie i usunięcie jest rejestrowane wraz z wykonawcą, adresem IP i znacznikiem czasu oraz przechowywane przez 24 miesiące.

• Domyślny okres przechowywania wynoszący 12 miesięcy + 30-dniowy okres karencji, konfigurowalny przez Administratora dla każdej notatki.

• Impersonacja na poziomie platformy jest technicznie zablokowana w ścieżkach dotyczących danych zdrowotnych (obrona w głąb).

Administrator pozostaje odpowiedzialny za ustalenie i udokumentowanie właściwej podstawy prawnej na mocy art. 9 ust. 2 RODO (zazwyczaj wyraźnej zgody lub żywotnych interesów). Podmiot przetwarzający zapewnia techniczną możliwość rejestrowania, wykazywania i wycofywania takiej zgody za pośrednictwem odrębnego dziennika zdarzeń dotyczących zgód. Szczegóły techniczne zawiera runbook „art9-health-data-vault”.

Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na niego prawo. W takim przypadku Podmiot przetwarzający informuje Administratora przed rozpoczęciem przetwarzania, o ile prawo nie zabrania udzielania takiej informacji.

Jeżeli zdaniem Podmiotu przetwarzającego wydane polecenie narusza RODO lub inne unijne lub krajowe przepisy o ochronie danych, niezwłocznie informuje on o tym Administratora.

Podmiot przetwarzający zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się na piśmie do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

Dostęp do danych produkcyjnych jest ograniczony do założyciela VanIersel Development i wyraźnie upoważnionych osób, z zastosowaniem uwierzytelniania dwuskładnikowego (2FA).

Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Aktualna lista jest dostępna pod adresem salonnare.com/sub-processors i stanowi część niniejszej DPA przez odesłanie.

Podmiot przetwarzający powiadamia Administratora co najmniej 30 dni przed skorzystaniem z usług nowego dalszego podmiotu przetwarzającego lub zastąpieniem dotychczasowego. W ciągu tych 30 dni Administrator może wnieść umotywowany sprzeciw. Jeżeli sprzeciwu nie da się w rozsądny sposób rozwiązać, Administrator może wypowiedzieć umowę subskrypcyjną bez okresu wypowiedzenia, w części, w której korzysta się z usług danego dalszego podmiotu przetwarzającego.

Podmiot przetwarzający nakłada na każdy dalszy podmiot przetwarzający takie same lub surowsze obowiązki niż określone w niniejszej DPA, w drodze pisemnej umowy (dalszego) powierzenia przetwarzania. Podmiot przetwarzający ponosi pełną odpowiedzialność za przestrzeganie przepisów przez swoje dalsze podmioty przetwarzające.

Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne, w tym: TLS 1.3 podczas przesyłania, AES-256 w stanie spoczynku, HSTS preload, izolację najemców na poziomie wierszy w bazie danych, dostęp produkcyjny według zasady najmniejszych uprawnień z 2FA, rejestrowanie zmian w dzienniku audytu, automatyczne ograniczanie liczby żądań (rate limiting) i wykrywanie anomalii, regularne aktualizacje zależności i aktualizacje bezpieczeństwa.

Podmiot przetwarzający okresowo ocenia środki bezpieczeństwa i dostosowuje je, gdy wymaga tego stan wiedzy technicznej lub profil ryzyka.

Podmiot przetwarzający zapewnia Administratorowi rozsądną pomoc w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), poprzez odpowiednie środki techniczne i organizacyjne, w tym samoobsługowe eksporty w aplikacji (JSON/CSV) oraz punkty końcowe API.

Żądania osób, których dane dotyczą, otrzymane bezpośrednio przez Podmiot przetwarzający są przekazywane Administratorowi bez ich rozpatrywania, z wyjątkiem przypadków, w których Podmiot przetwarzający jest prawnie zobowiązany do ich samodzielnego rozpatrzenia.

Na żądanie Podmiot przetwarzający pomaga Administratorowi w przeprowadzaniu ocen skutków dla ochrony danych (DPIA) i uprzednich konsultacji z organem nadzorczym (art. 35-36 RODO), z zastrzeżeniem rozsądnego zwrotu faktycznie poniesionych kosztów w przypadku zleceń o dużym zakresie.

Podmiot przetwarzający powiadamia Administratora bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od wykrycia, o naruszeniu ochrony danych osobowych w rozumieniu art. 33 RODO.

Powiadomienie zawiera co najmniej: charakter naruszenia, kategorie i przybliżoną liczbę osób, których dotyczy, osobę kontaktową, możliwe konsekwencje oraz zastosowane lub proponowane środki.

Administrator pozostaje odpowiedzialny za zgłoszenie naruszenia holenderskiemu organowi ochrony danych oraz, w stosownych przypadkach, za zawiadomienie osób, których dane dotyczą (art. 33-34 RODO). Podmiot przetwarzający zapewnia w tym zakresie rozsądną pomoc.

Po rozwiązaniu podstawowej umowy Administrator ma 30 dni na pobranie wszystkich danych osobowych za pomocą samoobsługowej funkcji eksportu (JSON/CSV) lub API.

Po upływie tego okresu Podmiot przetwarzający usuwa wszystkie dane osobowe z systemów produkcyjnych. Dane są usuwane z kopii zapasowych w ramach standardowej 30-dniowej rotacji. Dane, które Podmiot przetwarzający musi zachować na mocy prawa UE lub prawa holenderskiego (takie jak dokumentacja fakturowa na mocy art. 52 AWR - 7-letni podatkowy okres przechowywania), są przechowywane przez ten ustawowy okres, a następnie niszczone.

Na uzasadnione żądanie Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności z niniejszą DPA, w tym polityki bezpieczeństwa i najnowszy raport z testów penetracyjnych (na podstawie umowy o zachowaniu poufności, NDA).

Administrator może, nie częściej niż raz na 12 miesięcy i na własny koszt, zlecić przeprowadzenie audytu niezależnemu audytorowi. Audyty są zapowiadane z co najmniej 30-dniowym wyprzedzeniem, planowane w uzgodnieniu między stronami i nie mogą zakłócać świadczenia usługi. Ustalenia audytu są poufne.

Podmiot przetwarzający nie przekazuje danych osobowych do państw trzecich spoza UE/EOG bez odpowiednich zabezpieczeń (standardowych klauzul umownych UE, certyfikacji w ramach Ramowego porozumienia UE-USA w sprawie ochrony danych (EU-US Data Privacy Framework) lub innego mechanizmu przewidzianego w rozdziale V RODO).

Aktualne zabezpieczenia dla poszczególnych dalszych podmiotów przetwarzających są wymienione pod adresem salonnare.com/sub-processors.

Odpowiedzialność na podstawie niniejszej DPA podlega ograniczeniu odpowiedzialności określonemu w Warunkach korzystania z usługi (salonnare.com/terms - punkt 12).

Żadne postanowienie niniejszej DPA nie ogranicza obowiązków wynikających z art. 82 RODO; strony pozostają w pełni odpowiedzialne wobec osób, których dane dotyczą, i organów nadzorczych.

Niniejsza DPA podlega prawu holenderskiemu. Spory rozstrzyga właściwy sąd w Bredzie (Holandia), chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.

Użytkownicy Administratora, którzy biorą udział w programie testowym lub programie wczesnego dostępu Salonnare, mogą zgłosić problem z poziomu aplikacji. Wyłącznie wtedy, gdy taki użytkownik sam wyśle zgłoszenie, Podmiot przetwarzający otrzymuje nagranie ostatnich 2 minut na ekranie (struktura strony i interakcje, bez obrazu wideo i dźwięku) oraz maksymalnie 100 wierszy z konsoli przeglądarki. W przypadku pozostałych użytkowników nic nie jest nagrywane.

Cel - Podmiot przetwarzający wykorzystuje te nagrania wyłącznie do zbadania i usunięcia zgłoszonego problemu, a nie do jakiegokolwiek innego celu.

Zabezpieczenia - Dane osobowe klientów końcowych (imiona i nazwiska, adresy e-mail, numery telefonów) są oznaczone w aplikacji i maskowane na urządzeniu przed wysłaniem, w tym w atrybutach, które mogą zawierać imię lub nazwisko (takich jak teksty dla czytników ekranu, podpowiedzi i alternatywne teksty obrazów). Linki zawierające numer telefonu lub adres e-mail są maskowane wszędzie. Zawartość wszystkich pól wprowadzania jest maskowana; sejf danych zdrowotnych, odpowiedzi z wywiadu wstępnego i zdjęcia klientów nie są rejestrowane. Jeżeli aplikacja nie otrzyma z serwera prawidłowych ustawień maskowania, maskuje dane z zastosowaniem najbardziej restrykcyjnego ustawienia. Nagrania są przechowywane w postaci zaszyfrowanej (AES-256-GCM, z dedykowanym kluczem), są dostępne wyłącznie dla ograniczonej liczby administratorów platformy Podmiotu przetwarzającego i są automatycznie usuwane po 30 dniach. Nie bierze w tym udziału żaden dalszy podmiot przetwarzający.

Ryzyko szczątkowe - Maskowanie dotyczy danych oznaczonych w aplikacji jako dane klientów. Nagranie rejestruje to, co w danej chwili znajduje się na ekranie, i może w związku z tym zawierać dane osobowe klientów końcowych wyświetlane jako zwykły tekst w nieoznaczonym miejscu, na przykład imię, które użytkownik sam wpisał w opisie. Podmiot przetwarzający postępuje z takimi danymi zgodnie z niniejszą DPA. Na żądanie Administratora przesłane na adres privacy@vaniersel.dev Podmiot przetwarzający wcześniej usuwa nagranie lub wyłącza funkcję przesyłania uwag (feedback) dla użytkowników Administratora.

Przy składaniu wniosku o import użytkownik Administratora może poprosić Podmiot przetwarzający o sugestię AI, która kolumna odpowiada któremu polu. Dzieje się to wyłącznie na prośbę użytkownika; bez takiej prośby nic nie jest wysyłane do AI, a przyporządkowanie według nazwy kolumny lub ręczne pozostaje zawsze dostępne. W tym celu Podmiot przetwarzający korzysta z usług Anthropic, PBC (USA) jako dalszego podmiotu przetwarzającego.

Jakie dane - Nazwy kolumn i profil typu dla każdej kolumny (rodzaj wartości, wzorzec daty, udział pustych komórek, długość). W przypadku plików z klientami nie jest wysyłana żadna wartość z pliku: trzy przykładowe wiersze są w całości zmyślone. W przypadku plików z produktami i usługami wysyłane są trzy przykładowe wiersze, w których adresy e-mail, numery telefonów, numery IBAN, kody pocztowe i dawne daty zostały zastąpione, a dowolny tekst dłuższy niż 40 znaków został pominięty; jeżeli jedna kolumna zawiera dwa lub więcej adresów e-mail, numerów telefonów lub numerów IBAN, nic nie jest wysyłane do AI. Plik bez wiersza nagłówka oraz kolumny płatności nigdy nie są wysyłane do AI; plik zawierający dane zdrowotne jest odrzucany już przy przesyłaniu. Same wiersze są przetwarzane wyłącznie przez Podmiot przetwarzający; AI zwraca jedynie przyporządkowanie.

Przechowywanie i wykorzystanie przez Anthropic - Anthropic nie wykorzystuje danych do trenowania modeli i usuwa dane wejściowe i wyjściowe w ciągu 30 dni. Jeżeli zautomatyzowane systemy bezpieczeństwa Anthropic oznaczą żądanie jako naruszające zasady korzystania, Anthropic może przechowywać dane wejściowe i wyjściowe przez okres do 2 lat. Podmiot przetwarzający nie rejestruje treści żądania ani odpowiedzi; przechowuje wyłącznie sugestię i liczbę wykorzystanych tokenów.

Przekazywanie - Anthropic przechowuje dane w USA; samo przetwarzanie może odbywać się również w innych państwach spoza EOG. Anthropic nie posiada certyfikacji w ramach Ramowego porozumienia UE-USA w sprawie ochrony danych (EU-US Data Privacy Framework). Przekazywanie opiera się na standardowych klauzulach umownych UE (moduł 3, przekazywanie danych od podmiotu przetwarzającego do podmiotu przetwarzającego) zawartych w aneksie dotyczącym przetwarzania danych Anthropic (anthropic.com/legal/data-processing-addendum).

Sprzeciw - Administrator może wnieść sprzeciw zgodnie z artykułem 6. Na żądanie przesłane na adres privacy@vaniersel.dev Podmiot przetwarzający wyłącza pomoc AI dla Administratora; import pozostaje dostępny.