Thoả thuận xử lý dữ liệu (DPA)

1. Các bên và việc ký kết

Thoả thuận xử lý dữ liệu cá nhân này (gọi là "DPA") được ký giữa Salon (bên kiểm soát) và Người vận hành SalonGo (bên xử lý) theo Điều 28 Quy định (EU) 2016/679 (GDPR).

DPA là một phần của Điều khoản dịch vụ và được ký kết khi Salon đăng ký Dịch vụ. DPA có hiệu lực trong thời gian sử dụng Dịch vụ và cho tới khi dữ liệu được xoá theo Điều 10.

2. Đối tượng, bản chất và mục đích

Bên xử lý lưu trữ và xử lý dữ liệu cá nhân mà Salon đưa vào Dịch vụ để cung cấp Dịch vụ: lịch hẹn và đặt lịch, quản lý khách, tính tiền và hoá đơn, tính lương, báo cáo, gửi nhắc lịch và tin nhắn cho khách theo chỉ dẫn của Salon, sao lưu và hỗ trợ.

3. Loại chủ thể và loại dữ liệu

Chủ thể dữ liệu: khách của Salon, nhân viên và cộng tác viên của Salon.

Dữ liệu: tên, số điện thoại, email, ngày sinh, lịch sử lịch hẹn và dịch vụ, thanh toán và hoá đơn, ghi chú, ảnh, thông tin thẻ thành viên; với nhân viên thêm vai trò, doanh thu, hoa hồng, lương và tiền tip.

Dữ liệu đặc biệt (ví dụ thông tin sức khoẻ như dị ứng) chỉ khi Salon nhập. Salon chịu trách nhiệm có cơ sở pháp lý theo Điều 9 GDPR.

4. Chỉ dẫn của bên kiểm soát

Bên xử lý chỉ xử lý dữ liệu theo chỉ dẫn có ghi nhận của Salon. Chỉ dẫn gồm DPA này, Điều khoản dịch vụ, và các cài đặt, thao tác Salon thực hiện trong Dịch vụ.

Nếu Bên xử lý cho rằng một chỉ dẫn vi phạm pháp luật, Bên xử lý sẽ báo cho Salon.

Bên xử lý không dùng dữ liệu cho mục đích riêng, nhưng có thể làm thống kê tổng hợp đã ẩn danh, không còn là dữ liệu cá nhân.

5. Bảo mật thông tin

Người được phép xử lý dữ liệu đều có nghĩa vụ giữ bí mật.

Bên xử lý áp dụng biện pháp kỹ thuật và tổ chức theo Điều 32 GDPR, gồm: truyền dữ liệu mã hoá (HTTPS/TLS), mật khẩu mã hoá, tách dữ liệu các salon, phân quyền theo vai trò, hạn chế tối đa người vận hành được truy cập, sao lưu định kỳ, ghi nhật ký truy cập và cập nhật phần mềm thường xuyên.

6. Nhà cung cấp phụ (bên xử lý phụ)

Salon đồng ý chung cho việc dùng bên xử lý phụ. Danh sách hiện tại:

• Vercel Inc. – hosting (EU, Frankfurt),
• Neon Inc. – cơ sở dữ liệu (AWS, Frankfurt),
• Resend (Plus Five Five Inc.) – email gửi khách và người dùng,
• Google Ireland Ltd. / Firebase Cloud Messaging – thông báo push,
• Functional Software Inc. (Sentry) – báo lỗi,
• Stripe Payments Europe Ltd. – thanh toán (nếu Salon dùng thanh toán qua Dịch vụ).

Bên xử lý báo cho Salon qua email hoặc trong app ít nhất 14 ngày trước khi thêm hoặc thay bên xử lý phụ. Salon có thể phản đối với lý do chính đáng; nếu hai bên không thống nhất, Salon có thể chấm dứt hợp đồng và được hoàn phần tương ứng của kỳ đã trả.

Bên xử lý ràng buộc bên xử lý phụ bằng nghĩa vụ bảo vệ dữ liệu tương đương và chịu trách nhiệm về việc họ tuân thủ.

Chuyển dữ liệu ra ngoài EU chỉ dựa trên quyết định về mức bảo vệ tương đương (ví dụ EU-US Data Privacy Framework) hoặc điều khoản hợp đồng mẫu.

7. Hỗ trợ thực hiện quyền của chủ thể

Dịch vụ cho phép Salon tìm, sửa, xuất và xoá dữ liệu. Nếu Salon không tự xử lý được yêu cầu của chủ thể, Bên xử lý hỗ trợ ở mức hợp lý khi được yêu cầu.

Nếu Bên xử lý nhận trực tiếp yêu cầu của chủ thể, Bên xử lý chuyển cho Salon và không tự xử lý, trừ khi Salon uỷ quyền.

8. Sự cố dữ liệu

Bên xử lý báo cho Salon về sự cố vi phạm dữ liệu cá nhân không chậm trễ, chậm nhất trong 48 giờ kể từ khi phát hiện, kèm thông tin hiện có theo Điều 33 khoản 3 GDPR, để Salon thực hiện nghĩa vụ thông báo của mình.

9. Hỗ trợ khác và kiểm tra

Bên xử lý hỗ trợ Salon ở mức hợp lý khi đánh giá tác động (DPIA) và tham vấn trước với cơ quan giám sát.

Bên xử lý cung cấp thông tin cần thiết để chứng minh việc tuân thủ DPA. Việc kiểm tra (audit) được báo trước bằng văn bản ít nhất 30 ngày, tối đa mỗi năm một lần, trong giờ làm việc, không làm gián đoạn hoạt động và không truy cập dữ liệu của salon khác; Salon chịu chi phí, trừ khi phát hiện vi phạm nghiêm trọng.

10. Chấm dứt: trả lại và xoá dữ liệu

Sau khi chấm dứt hợp đồng, Salon có 30 ngày để xuất dữ liệu hoặc yêu cầu bàn giao ở định dạng máy đọc được thông dụng. Sau đó Bên xử lý xoá dữ liệu; bản sao lưu được xoá chậm nhất trong 90 ngày tiếp theo, trừ khi luật yêu cầu lưu giữ.

11. Trách nhiệm và luật áp dụng

Trách nhiệm các bên theo Điều 82 GDPR và Điều khoản dịch vụ.

DPA này điều chỉnh theo pháp luật Cộng hoà Séc. Khi mâu thuẫn với Điều khoản dịch vụ về bảo vệ dữ liệu cá nhân, DPA này được ưu tiên.