1.Stranke i predmet
Voditelj obrade je poslovni korisnik – salon naveden na Kartonio računu. Izvršitelj obrade je TOMPA društvo s ograničenom odgovornošću za usluge i trgovinu, OIB 08722868476. Predmet je obrada osobnih podataka u mjeri potrebnoj za pružanje, zaštitu, podršku, održavanje i sigurnosno kopiranje Kartonio usluge.
2.Trajanje, priroda i svrha
Obrada traje za vrijeme aktivnog ugovora i ograničenog razdoblja izvoza/brisanja nakon prestanka. Obuhvaća pohranu, organizaciju, dohvat, prikaz ovlaštenim korisnicima, prijenos prema uputama salona, sigurnosne kopije, podršku i brisanje, a kada salon uključi online naručivanje i zaprimanje zahtjeva za termin te slanje obavijesti klijentima salona o rezervaciji. Svrha je digitalno vođenje poslovne kartoteke salona.
3.Vrste podataka i ispitanici
- Klijenti salona: ime, prezime, kontakt, datum rođenja, status, oznake, povijest dolazaka, usluge, proizvodi, formule, napomene i informacije potrebne za pružanje usluge.
- Djelatnici i korisnici: identitet, kontakt, uloga, ovlasti i zapisi korištenja.
- Mogući posebni podaci: alergije, osjetljivosti ili kontraindikacije samo kada ih salon zakonito i nužno evidentira. Salon mora izbjegavati nepotrebne dijagnoze i osjetljive podatke.
4.Dokumentirane upute
Kartonio obrađuje podatke samo prema dokumentiranim uputama salona, uključujući ove uvjete i radnje ovlaštenih korisnika u aplikaciji, osim kada obradu nalaže pravo Unije ili države članice. U tom slučaju salon će se obavijestiti prije obrade kada zakon to dopušta.
5.Povjerljivost i sigurnost
- pristup samo ovlaštenim osobama obvezanima na povjerljivost
- odvajanje salona i kontrola pristupa po ulogama
- šifrirani prijenos, sigurne lozinke, upravljanje sesijama i evidencija važnih radnji
- sigurnosne kopije, nadzor dostupnosti i postupci oporavka
- redovito održavanje softvera, ograničavanje zahtjeva i odgovor na incidente
6.Podizvršitelji
Salon daje opće prethodno odobrenje za angažiranje podizvršitelja s objavljenog popisa. Kartonio će najaviti namjeravanu bitnu promjenu i omogućiti razuman rok za obrazloženi prigovor. S podizvršiteljem se ugovaraju obveze zaštite podataka koje su u bitnome jednake obvezama iz ovog DPA-a.
7.Pomoć voditelju
Uzimajući u obzir prirodu obrade, Kartonio će razumnim tehničkim i organizacijskim mjerama pomoći salonu u odgovoru na zahtjeve ispitanika te u ispunjavanju obveza sigurnosti, prijave povrede, procjene učinka i savjetovanja s nadzornim tijelom. Salon ostaje odgovoran za odluke o zahtjevima i pravnim osnovama.
8.Povrede osobnih podataka
Kartonio će salon obavijestiti bez nepotrebnog odgađanja nakon saznanja za povredu podataka koju obrađuje u ime salona. Obavijest će, koliko je tada poznato, opisati prirodu povrede, kategorije podataka i ispitanika, moguće posljedice, poduzete mjere i kontakt [email protected].
9.Brisanje, povrat i sigurnosne kopije
Po prestanku usluge salon ima 30 dana za izvoz podataka, nakon čega se produkcijski podaci trajno brišu ili anonimiziraju, osim ako zakon zahtijeva čuvanje. Podaci u izoliranim rotirajućim sigurnosnim kopijama nisu dostupni za redovnu obradu, brišu se istekom ciklusa i nakon povrata kopije ponovno se primjenjuju valjani zahtjevi za brisanje.
10.Dokazi i revizija
Kartonio će salonu staviti na raspolaganje informacije potrebne za dokazivanje članka 28. GDPR-a i omogućiti razumnu provjeru, prvenstveno dokumentacijom i izvještajima. Terenska revizija moguća je kada dokumenti nisu dovoljni, uz zaštitu drugih salona, sigurnosti i poslovnih tajni te razumnu prethodnu najavu.
11.Međunarodni prijenosi i prvenstvo
Prijenos izvan EGP-a provodi se samo uz valjani mehanizam prema GDPR-u i odgovarajuće zaštitne mjere. U slučaju nesklada ovog DPA-a i općih uvjeta, za obradu osobnih podataka prednost ima ovaj DPA. Elektroničko prihvaćanje vlasnika salona smatra se sklapanjem ovog ugovora.