Tämä sopimus on osa käyttöehtoja ammattikäyttäjän tai salongin työtilan rekisterinpitäjän (”Rekisterinpitäjä”) ja Lovely Brand Estonia OÜ:n (”Käsittelijä”) välillä. Se koskee asiakkaiden, henkilöstön ja muiden henkilöiden tietojen tallentamista työtilaan.
Osapuolet ja ohjeet
Rekisterinpitäjä määrittää työtilatietojen käsittelyn tarkoitukset ja keinot. Käsittelijä käsittelee tietoja ainoastaan dokumentoitujen ohjeiden mukaisesti, mukaan lukien sovelluksessa annetut ohjeet, ellei laki edellytä muuta. Käsittelijä ilmoittaa tarvittaessa lakisääteisestä vaatimuksesta tai käsittelyohjeen mahdollisesta lainvastaisuudesta.
Käsittelyn kohde, luonne ja kesto
Käsittelijä ylläpitää, säilyttää, synkronoi, suojaa, näyttää, vie ja poistaa tietoja palvelun yhteydessä. Käsittely kestää palvelun käytön ajan ja sen jälkeisen määritellyn palautus- tai poistamisjakson lainmukaiset säilytysvelvoitteet huomioiden. Tarkemmat tiedot ovat liitteessä A.
Luottamuksellisuus ja turvallisuus
Käsittelijä varmistaa valtuutetun henkilöstön salassapitovelvollisuuden, soveltaa GDPR:n 32 artiklan mukaisia turvatoimia, erottaa salonkien työtilat käyttöoikeuksin ja rajoittaa ylläpidon pääsyä. Toimet kuvataan liitteessä B.
Rekisterinpitäjän avustaminen
Käsittelijä auttaa käsittelyn luonne ja käytettävissä olevat tiedot huomioiden rekisteröityjen pyyntöihin vastaamisessa, tietoturvassa, tietosuojaa koskevissa vaikutustenarvioinneissa ja tarvittavissa yhteydenotoissa valvontaviranomaisiin GDPR:n mukaisesti.
Henkilötietojen tietoturvaloukkaukset
Käsittelijä ilmoittaa loukkauksesta Rekisterinpitäjälle ilman aiheetonta viivytystä havaittuaan sen ja antaa tiedossaan olevat seikat arviointia ja jatkoilmoituksia varten. Lisätietoja toimitetaan niiden selvitessä. Rekisterinpitäjän omat ilmoitusvelvollisuudet pysyvät voimassa.
Alikäsittelijät
Rekisterinpitäjä antaa yleisen valtuutuksen käyttää liitteessä C lueteltuja alikäsittelijöitä. Käsittelijä asettaa näille asianmukaiset velvoitteet, ilmoittaa olennaisista lisäyksistä tai vaihdoksista ja antaa kohtuullisen mahdollisuuden vastustaa niitä sekä säilyttää GDPR:n 28 artiklan mukaisen vastuunsa. Vastustamismenettely ja ratkaisemattomien vastustusten vaikutukset ilmoitetaan tiliviesteillä tai tuen kautta.
Kansainväliset siirrot
Käsittelijä noudattaa tarvittaessa GDPR:n V lukua ja käyttää asianmukaisia suojatoimia rajoitetuissa kansainvälisissä siirroissa. Palvelimen fyysinen sijainti ei yksin määrää kaiken käsittelyn tai etäkäytön sijaintia.
Palautus ja poistaminen
Palvelun päättyessä Rekisterinpitäjä voi pyytää saatavilla olevia tietovientejä. Käsittelijä palauttaa tai poistaa tiedot Rekisterinpitäjän lainmukaisten ohjeiden mukaan, ellei laki edellytä säilyttämistä. Varmuuskopioiden tiedot poistuvat tai ylikirjoitetaan varmuuskopioiden elinkaaren mukaisesti.
Tiedot ja auditoinnit
Käsittelijä antaa käyttöön 28 artiklan noudattamisen osoittamiseen tarvittavat tiedot ja asiaankuuluvat selvitykset sekä sallii lakisääteiset auditoinnit ja tarkastukset kohtuullisin tietoturva-, luottamuksellisuus- ja toimintajärjestelyin. Vuosittainen enimmäismäärä ei syrjäytä lakisääteisiä oikeuksia.
Vastuut
Rekisterinpitäjä määrittää tarkoitukset, oikeusperusteet, tarvittavat 9 artiklan ehdot, ilmoitukset, työntekijöiden oikeudet, tietojen minimoinnin ja säilytysajat. Käsittelijä ei saa käyttää salongin tietoja tai asiakkaiden terveystietoja omaan mainontaansa tai markkinointiinsa.
Liite A — käsittelyn kuvaus
Kohde: työtilatietojen ylläpito, synkronointi, käyttö, varmuuskopiointi, haku, tarkastusvientien luonti ja poistaminen. Rekisteröidyt: salonkien asiakkaat, työntekijät ja valtuutetut yritysyhteyshenkilöt. Tiedot: nimet ja yhteystiedot, toimintaan ja koulutukseen liittyvät tiedot, käynnit ja toimenpiteet, suostumukset ja allekirjoitukset, valinnaiset valokuvat, asiaankuuluvat terveystiedot, poikkeamaraportit ja tarkastuslokit. Toiminnot: kirjaaminen, tallentaminen, järjestäminen, hakeminen, näyttäminen, siirtäminen valtuutetuille laitteille ja poistaminen. Kesto: aktiivinen palvelu ja määritelty lopettamisjakso.
Liite B — tekniset ja organisatoriset toimet
Salaus siirron ja säilytyksen aikana, turvallinen avainten hallinta ja tietokannan ylläpidon rajaus.
Yksilöllinen tunnistautuminen ja roolipohjainen pääsy työtilan, toimipisteen ja käyttäjän mukaan.
Ylläpitäjien monivaiheinen tunnistautuminen, seurattu tukipääsy ja tapahtumalokit.
Suojatut varmuuskopiot ja testattu palautus; dokumentoidut palautumistavoitteet ja säilytysajat.
Tietoturvapoikkeamien käsittely, haavoittuvuuksien hallinta, henkilöstön salassapito ja vähimpien oikeuksien periaate.
Asiakastietojen ja arkaluonteisen sisällön päätymisen estäminen analytiikkaan tai mainospikseleihin; tiedostojen ja diagnostiikan suojaus.
Offline-laitetallennuksen suojaus, PIN-hallinta sen ollessa käytössä sekä turvallinen uloskirjautuminen ja synkronointi.
Liite C — alikäsittelijät
Katso asiakirja ”Teknologiapalveluntarjoajat ja alikäsittelijät”. Ajantasainen luettelo sisältyy sopimukseen viittauksella, ja sitä päivitetään. Kaikki ulkoiset palvelut eivät ole alikäsittelijöitä: mainospalvelut voivat toimia erillisinä tai yhteisrekisterinpitäjinä tiettyihin tarkoituksiin.
