Zpracovatelská smlouva (DPA)

1. Strany a uzavření

Tato smlouva o zpracování osobních údajů (dále „DPA“) se uzavírá mezi Salonem jako správcem a Provozovatelem SalonGo jako zpracovatelem podle čl. 28 nařízení (EU) 2016/679 (GDPR).

DPA je součástí Obchodních podmínek a je uzavřena registrací Salonu ve Službě. Platí po dobu užívání Služby a do výmazu dat podle článku 10.

2. Předmět, povaha a účel

Zpracovatel uchovává a zpracovává osobní údaje, které Salon do Služby vloží, za účelem poskytování Služby: kalendáře a rezervací, evidence klientů, pokladny a dokladů, výpočtu mezd, přehledů, zasílání připomínek a zpráv klientům na pokyn Salonu, zálohování a podpory.

3. Kategorie subjektů a údajů

Subjekty údajů: klienti Salonu, zaměstnanci a spolupracovníci Salonu.

Údaje: jméno, telefon, e-mail, datum narození, historie rezervací a služeb, platby a doklady, poznámky, fotografie, údaje o věrnostních programech; u zaměstnanců také role, tržby, provize, mzdy a spropitné.

Zvláštní kategorie (např. údaje o zdraví jako alergie) jen tehdy, když je Salon zadá. Salon odpovídá za to, že má pro ně právní titul podle čl. 9 GDPR.

4. Pokyny správce

Zpracovatel zpracovává údaje jen na doložené pokyny Salonu. Pokynem je tato DPA, Obchodní podmínky a nastavení a úkony, které Salon ve Službě provede.

Pokud by pokyn podle názoru Zpracovatele porušoval právní předpisy, Zpracovatel na to Salon upozorní.

Zpracovatel nepoužije údaje pro vlastní účely; může však vytvářet anonymizované souhrnné statistiky, které nejsou osobními údaji.

5. Mlčenlivost a zabezpečení

Osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí.

Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR, zejména: šifrovaný přenos (HTTPS/TLS), šifrovaná hesla, logické oddělení dat salonů, řízení přístupů podle rolí, minimální přístup provozních osob, pravidelné zálohy, záznamy o přístupech a průběžné aktualizace softwaru.

6. Subdodavatelé (další zpracovatelé)

Salon uděluje obecný souhlas se zapojením dalších zpracovatelů. Aktuální seznam:

• Vercel Inc. – hosting (EU, Frankfurt),
• Neon Inc. – databáze (AWS, Frankfurt),
• Resend (Plus Five Five Inc.) – e-mailové zprávy klientům a uživatelům,
• Google Ireland Ltd. / Firebase Cloud Messaging – push oznámení,
• Functional Software Inc. (Sentry) – hlášení chyb,
• Stripe Payments Europe Ltd. – platby (pokud Salon platby přes Službu využívá).

O plánovaném přidání nebo výměně dalšího zpracovatele informuje Zpracovatel Salon e-mailem nebo v aplikaci nejméně 14 dní předem. Salon může z oprávněných důvodů vznést námitku; pokud se strany nedohodnou, může Salon smlouvu vypovědět a obdrží poměrnou část zaplaceného období.

Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany údajů a odpovídá za jejich plnění.

Předání mimo EU probíhá jen na základě rozhodnutí o odpovídající ochraně (např. EU-US Data Privacy Framework) nebo standardních smluvních doložek.

7. Součinnost při právech subjektů

Služba umožňuje Salonu údaje vyhledat, opravit, exportovat a smazat. Pokud Salon nemůže žádost subjektu vyřídit sám, Zpracovatel mu na žádost poskytne přiměřenou součinnost.

Obdrží-li Zpracovatel žádost subjektu přímo, předá ji Salonu a sám ji nevyřizuje, pokud ho k tomu Salon nepověří.

8. Porušení zabezpečení

Zpracovatel oznámí Salonu porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, a poskytne dostupné informace podle čl. 33 odst. 3 GDPR, aby mohl Salon splnit svou ohlašovací povinnost.

9. Další součinnost a kontrola

Zpracovatel poskytne Salonu přiměřenou součinnost při posouzení vlivu (DPIA) a předchozí konzultaci s dozorovým úřadem.

Zpracovatel poskytne informace potřebné k doložení plnění této DPA. Kontrolu (audit) lze provést po písemném oznámení nejméně 30 dní předem, nejvýše jednou ročně, v pracovní době, bez narušení provozu a bez přístupu k datům jiných salonů; náklady nese Salon, pokud kontrola neodhalí podstatné porušení.

10. Ukončení: vrácení a výmaz

Po ukončení smlouvy může Salon do 30 dní exportovat data nebo požádat o jejich předání v běžném strojově čitelném formátu. Poté Zpracovatel údaje smaže; ze záloh budou odstraněny nejpozději do 90 dalších dní, ledaže právní předpis vyžaduje jejich uchování.

11. Odpovědnost a rozhodné právo

Odpovědnost stran se řídí čl. 82 GDPR a Obchodními podmínkami.

Tato DPA se řídí právem České republiky. Při rozporu s Obchodními podmínkami má v otázkách ochrany osobních údajů přednost tato DPA.