Umowa powierzenia przetwarzania danych osobowych

§1. Strony i zawarcie umowy

1. Umowa jest zawarta między właścicielem salonu, który założył konto w BeSkiz (Administrator), a osobą fizyczną prowadzącą projekt BeSkiz (Procesor), której dane kontaktowe są podane poniżej:
2. Umowa jest częścią Regulaminu BeSkiz. Zawierasz ją, akceptując Regulamin przy zakładaniu konta. Nie trzeba jej osobno podpisywać.
3. Umowa spełnia wymogi art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
4. Na prośbę wysłaną na kontakt@beskiz.app prześlemy umowę w PDF z datą akceptacji przypisaną do Twojego konta.

§2. Przedmiot, cel i czas trwania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych wyłącznie w celu świadczenia usługi BeSkiz: prowadzenia kalendarza wizyt, bazy klientek, rezerwacji online, wysyłki przypomnień i powiadomień (SMS, e-mail, push) oraz związanych z tym funkcji panelu.
2. Przetwarzanie obejmuje zbieranie, zapisywanie, przechowywanie, porządkowanie, przeglądanie, udostępnianie Administratorowi i jego pracownikom, wysyłanie wiadomości, tworzenie kopii zapasowych oraz usuwanie danych.
3. Umowa obowiązuje przez cały czas korzystania z BeSkiz i wygasa wraz z usunięciem konta lub rozwiązaniem umowy o świadczenie usług, z uwzględnieniem §10.

§3. Rodzaje danych i kategorie osób

Powierzenie obejmuje dane następujących osób:

• klientek i klientów salonu: imię, nazwisko, numer telefonu, adres e-mail, data urodzenia, historia i terminy wizyt, wybrane usługi, notatki, zgody i preferencje kontaktu, treść wysłanych wiadomości;
• pracowników i współpracowników salonu: imię, nazwisko, numer telefonu, adres e-mail, zdjęcie, grafik pracy, uprawnienia w panelu;
• innych osób, których dane Administrator sam wpisze do panelu.

Dane o zdrowiu. Jeśli Administrator wpisuje do notatek dane o zdrowiu (np. alergie, przeciwwskazania, przebyte zabiegi), są to dane szczególnej kategorii z art. 9 RODO. Procesor przetwarza je na tych samych zasadach i z tymi samymi zabezpieczeniami. Administrator odpowiada za to, żeby miał podstawę prawną do ich zbierania, i wpisuje tylko to, co jest potrzebne do wykonania usługi.

§4. Obowiązki Procesora

Procesor zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest korzystanie z funkcji panelu, ustawienia konta oraz wiadomości wysłane na adres kontaktowy. Jeśli polecenie narusza prawo, Procesor niezwłocznie o tym poinformuje;
2. nie wykorzystywać danych do własnych celów, w szczególności do marketingu, profilowania, sprzedaży danych ani trenowania modeli sztucznej inteligencji;
3. dopuszczać do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, i tylko w zakresie potrzebnym do utrzymania i wsparcia usługi (np. gdy Administrator poprosi o pomoc techniczną);
4. stosować środki bezpieczeństwa opisane w §5;
5. pomagać Administratorowi w realizacji praw osób, których dane dotyczą (§7), oraz w obowiązkach z art. 32–36 RODO, w zakresie wynikającym z charakteru usługi;
6. udostępniać Administratorowi informacje potrzebne do wykazania zgodności z art. 28 RODO (§9).

§5. Bezpieczeństwo danych

Procesor stosuje środki techniczne i organizacyjne z art. 32 RODO, w szczególności:

• przechowywanie danych na serwerach w Unii Europejskiej (Irlandia);
• szyfrowanie połączeń (TLS) oraz szyfrowanie bazy danych i kopii zapasowych;
• oddzielenie danych salonów na poziomie bazy danych (reguły dostępu na poziomie wierszy): pracownik jednego salonu nie widzi danych innego salonu;
• role i uprawnienia w panelu, dzięki którym Administrator decyduje, co widzą jego pracownicy;
• bezpieczne logowanie (hasła przechowywane w postaci skrótu, kody jednorazowe, ochrona przed automatycznymi próbami logowania);
• codzienne kopie zapasowe;
• dziennik zmian kluczowych danych oraz monitorowanie błędów i nietypowych zdarzeń;
• dostęp administracyjny do infrastruktury tylko dla upoważnionych osób, z uwierzytelnianiem wieloskładnikowym;
• regularny przegląd i aktualizacja zabezpieczeń.

Administrator odpowiada za bezpieczeństwo po swojej stronie: chroni hasła i urządzenia, nadaje pracownikom tylko potrzebne uprawnienia i usuwa dostęp osobom, które już nie współpracują z salonem.

§6. Dalsze podmioty przetwarzające

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających. Ich aktualna lista znajduje się na stronie beskiz.app/podwykonawcy.
2. O planowanym dodaniu lub zmianie podmiotu Procesor poinformuje co najmniej 14 dni wcześniej, e-mailem lub w panelu.
3. W tym czasie Administrator może zgłosić uzasadniony sprzeciw. Jeśli strony nie znajdą rozwiązania, Administrator może rozwiązać umowę bez dodatkowych kosztów przed wprowadzeniem zmiany. Brak sprzeciwu oznacza zgodę.
4. Procesor nakłada na każdy dalszy podmiot obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada wobec Administratora za jego działania jak za własne.

§7. Prawa osób, których dane dotyczą

1. Panel pozwala Administratorowi samodzielnie przeglądać, poprawiać i usuwać dane klientek oraz zarządzać ich zgodami.
2. Jeśli osoba zwróci się z żądaniem bezpośrednio do Procesora, Procesor niezwłocznie przekaże je Administratorowi i nie odpowie na nie samodzielnie, chyba że Administrator o to poprosi.
3. W sprawach, których nie da się załatwić w panelu (np. eksport wszystkich danych jednej osoby), Procesor pomoże bezpłatnie w rozsądnym zakresie.

§8. Naruszenia ochrony danych

1. Procesor zawiadomi Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres konta.
2. Zawiadomienie opisze, w miarę dostępnych informacji: charakter naruszenia, kategorie i przybliżoną liczbę osób i danych, możliwe skutki oraz podjęte i proponowane działania. Brakujące informacje Procesor przekaże, gdy tylko je ustali.
3. Zgłoszenie naruszenia do Prezesa UODO i zawiadomienie osób należy do Administratora. Procesor pomoże je przygotować.

§9. Kontrola i audyt

1. Administrator może sprawdzić, czy Procesor przestrzega umowy. Najpierw przez pytania pisemne, na które Procesor odpowie w ciągu 14 dni.
2. Jeśli odpowiedzi nie wystarczą, Administrator może przeprowadzić audyt nie częściej niż raz w roku (oraz dodatkowo po naruszeniu ochrony danych), z co najmniej 14-dniowym wyprzedzeniem, w dni robocze. Audyt nie może naruszać poufności danych innych salonów ani bezpieczeństwa usługi.
3. Audytor nie może być konkurentem BeSkiz i podpisuje zobowiązanie do poufności. Koszty audytu ponosi Administrator.
4. Kontrole Prezesa UODO dotyczące powierzonych danych odbywają się zgodnie z przepisami, bez powyższych ograniczeń.

§10. Zakończenie umowy i usunięcie danych

1. Przed usunięciem konta Administrator może poprosić o bezpłatny eksport swoich danych (np. listy klientek i historii wizyt w pliku CSV) na kontakt@beskiz.app.
2. Po usunięciu konta Procesor trwale usuwa lub anonimizuje powierzone dane w ciągu 90 dni. Z kopii zapasowych dane znikają w cyklu ich nadpisywania, najpóźniej w ciągu kolejnych 30 dni.
3. Procesor może zachować dane tylko wtedy, gdy wymaga tego prawo. Na prośbę Administratora potwierdzi usunięcie danych.

§11. Przekazywanie danych poza EOG

Baza danych znajduje się w Unii Europejskiej. Niektórzy dalsi dostawcy (np. operator SMS) mają siedzibę w USA. Dane trafiają do nich tylko w zakresie potrzebnym do wykonania usługi i wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Szczegóły są na liście podwykonawców.

§12. Odpowiedzialność

Każda ze stron odpowiada za szkody wyrządzone naruszeniem tej umowy lub RODO na zasadach z art. 82 RODO. W pozostałym zakresie stosuje się ograniczenie odpowiedzialności z pkt 6 Regulaminu. Ograniczenie nie dotyczy szkód wyrządzonych umyślnie.

§13. Postanowienia końcowe

1. Zmiany umowy wprowadza się w trybie zmiany Regulaminu, z co najmniej 14-dniowym wyprzedzeniem.
2. W razie rozbieżności między tą umową a Regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma ta umowa.
3. W sprawach nieuregulowanych stosuje się RODO i prawo polskie.