Umowa powierzenia przetwarzania danych osobowych

pomiędzy

firmą, która korzysta z oprogramowania dla firm, oznaczoną danymi z jej noty prawnej na platformie — jako administratorem, zwaną dalej „Klientem” —

a

SavePaperwork, właściciel Andreas Gerum, Höfatsstraße 16, 86163 Augsburg, Niemcy — jako podmiotem przetwarzającym, zwanym dalej „Dostawcą”. Punktem kontaktowym w sprawach poleceń i ochrony danych jest adres e-mail podany w nocie prawnej.

Preambuła

(1) Dostawca udostępnia Klientowi platformę w modelu SaaS (oprogramowanie jako usługa) do zarządzania jego firmą, z funkcjami wymienionymi w § 1 ust. 3, zależnie od zamówionego produktu i planu. W tym zakresie przetwarza dane osobowe w imieniu i na polecenie Klienta. Klient jest administratorem tego przetwarzania w rozumieniu art. 4 pkt 7 RODO.

(2) Niniejsza umowa stanowi część umowy o korzystanie z platformy (umowa główna, OWH). W razie sprzeczności ma ona pierwszeństwo w sprawach ochrony danych, również przed postanowieniami OWH dotyczącymi usuwania danych po zakończeniu umowy.

(3) Niniejsza umowa nie obejmuje następujących czynności przetwarzania; w ich przypadku administratorem jest sam Dostawca, a opisuje je jego polityka prywatności:

1. dane umowne, rozliczeniowe i płatnicze Klienta i jego użytkowników w relacji z Dostawcą (subskrypcja, usługi dodatkowe, saldo SMS);
2. ogólnoplatformowe konto klienta (§ 2 ust. 4);
3. pomiar zasięgu i analiza korzystania na stronach platformy, także na stronie internetowej, stronie rezerwacji i w portalu klienta należących do Klienta oraz w jego panelu administracyjnym (Załącznik 3 pkt 2 i 3);
4. zapytania kontaktowe, uwagi i zgłoszenia do pomocy technicznej kierowane do Dostawcy.

Dostawca wymienia te czynności przetwarzania w Załączniku 3, aby Klient mógł prawidłowo poinformować swoich klientów i pracowników.

§ 1 Przedmiot, charakter, cel i czas trwania przetwarzania

(1) Przedmiot: udostępnianie i obsługa platformy oraz związane z tym przetwarzanie danych osobowych na potrzeby prowadzonego przez Klienta zarządzania wizytami, klientami, pojazdami, zleceniami, personelem i rozliczeniami.

(2) Charakter: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie (upoważnionym użytkownikom Klienta, samej osobie, której dane dotyczą, oraz podmiotom wymienionym w Załącznikach 2 i 3), dopasowywanie, łączenie, ograniczanie, anonimizacja i usuwanie, każdorazowo w sposób zautomatyzowany w ramach platformy.

(3) Cel: wyłącznie świadczenie uzgodnionych usług, w zakresie, w jakim Klient z nich korzysta:

Dane objęte niniejszą umową nie są przetwarzane do własnych celów Dostawcy — w szczególności do celów reklamowych, profilowania, ujawniania osobom trzecim do ich celów ani trenowania modeli AI. Postanowienia Preambuły ust. 3 pozostają nienaruszone.

(4) Czas trwania: okres obowiązywania umowy głównej. Niniejsza umowa nie wygasa przed wykonaniem obowiązków wynikających z § 9.

§ 2 Osoby, których dane dotyczą, i kategorie danych

(1) Osoby, których dane dotyczą

• klienci Klienta: osoby, które rezerwują wizytę, składają zapytanie o nią lub w niej uczestniczą, figurują w kartotece, oddają pojazd, akceptują kosztorys lub otrzymują fakturę;
• posiadacze i kierowcy pojazdów, o ile sami nie są klientami;
• pracownicy Klienta (jako zasób kalendarza, jako osoba wykonująca lub sprawdzająca pracę, jako posiadacz konta pracownika);
• kandydaci do pracy;
• autorzy opinii (opinie Google o firmie wyświetlane na jej stronie internetowej);
• osoby trzecie, które Klient odnotowuje w wolnym tekście (np. osoby towarzyszące).

(2) Kategorie danych — wszystkie produkty

(3) Kategorie danych — tylko Werkstattsystem

Ewidencja czasu pracy, kontrola jakości i pozycje prac to dane pracowników związane z wydajnością ich pracy. Za to, czy i w jaki sposób je analizuje, odpowiada Klient; Dostawca ich nie analizuje.

(4) Konto klienta. Konto klienta (e-mail, skrót hasła, imię i nazwisko, telefon, język, zdjęcie profilowe, identyfikatory potwierdzenia i resetowania, czas wyrażenia zgody na wyświetlanie wizyt w gabinetach w sekcji „Moje wizyty”) działa w całej platformie: to samo logowanie działa w każdej firmie, a każdy portal klienta pokazuje wyłącznie dane danej firmy. Administratorem samego konta klienta jest Dostawca (Preambuła ust. 3 pkt 2). Karta klienta oraz wizyty, pojazdy, zlecenia i faktury u Klienta stanowią przetwarzanie powierzone na podstawie niniejszej umowy. Powiązanie konta z kartą klienta powstaje przy pierwszej rezerwacji i wyłącznie w przypadku potwierdzonego adresu e-mail.

(5) Szczególne kategorie danych (art. 9 RODO) i dane, o których mowa w art. 10 RODO

a) Poziom ochrony zdrowia. Żadne pole platformy nie jest przeznaczone na dane dotyczące zdrowia klientów. Jednak w przypadku Klienta z branży wymienionej w Załączniku 4 (gabinety zawodów medycznych) już sam fakt, że dana osoba umówiła wizytę, stanowi dane dotyczące zdrowia (art. 9 ust. 1 RODO), podobnie jak wybrana usługa i osoba prowadząca leczenie. Przy umawianiu wizyt Klient opiera się zazwyczaj na art. 6 ust. 1 lit. b w związku z art. 9 ust. 2 lit. h RODO; podstawa ta nie obejmuje przypomnień ani próśb o opinię (§ 5 pkt 6). W przypadku Klientów, o których mowa w Załączniku 4, obowiązują następujące zasady, które można zmienić w ustawieniach rezerwacji:

1. Przypomnienia i prośby o opinię są wyłączone do czasu, aż Klient je włączy po uzyskaniu zgody swoich pacjentów. Osoba, która nie wyraziła zgody lub ją wycofała, zostaje oznaczona w karcie klienta adnotacją „bez przypomnień i bez próśb o opinię” i ich nie otrzymuje.
2. Przypomnienia wysyłane e-mailem i SMS-em nie podają usługi.
3. Zakończone wizyty są po upływie okresu przechowywania usuwane, a nie anonimizowane (§ 9 ust. 4).
4. Na stronie internetowej, stronie rezerwacji, w portalu klienta ani w panelu administracyjnym Klienta nie działa nagrywanie sesji (Załącznik 3 pkt 3); pomiar zasięgu bez plików cookie (Załącznik 3 pkt 2) pozostaje.
5. W ogólnoplatformowym koncie klienta wizyty u Klienta pojawiają się tylko wtedy, gdy dana osoba wyraźnie wyraziła na to zgodę w tym koncie. Zgoda jest zapisywana wraz z czasem jej wyrażenia i można ją tam wycofać.
6. Formularz rezerwacji wskazuje Klienta jako administratora, a Dostawcę jako podmiot, który zarządza wizytami w jego imieniu.

b) Wolny tekst. W notatkach w kartotece, przy wizytach, zapytaniach, pojazdach i zgłoszeniach szkód mogą znaleźć się informacje takie jak alergie, wrażliwość skóry, ciąża lub przyjmowane leki, a w notatkach warsztatowych na przykład informacje o przebiegu wypadku lub o postępowaniu karnym. O tym, czy odnotowywać takie informacje, decyduje Klient; potrzebuje do tego własnej podstawy prawnej (w przypadku art. 9 RODO zazwyczaj wyraźnej zgody). Platforma nie zapewnia szczególnej ochrony na poziomie poszczególnych pól: kto może zobaczyć kartę klienta lub wizytę, widzi także jej wolny tekst.

c) Choroba pracowników. Rodzaj nieobecności „choroba” i źródło „zgłoszenie choroby” utrwalają fakt choroby. Za podstawę prawną i zasady dostępu odpowiada Klient. Przyczyna choroby nie ma osobnego pola i nie należy jej wpisywać w wolny tekst.

d) Osoby małoletnie. Platforma nie pyta o wiek. O tym, czy przyjmuje rezerwacje od osób małoletnich, decyduje Klient.

§ 3 Polecenia

(1) Dostawca przetwarza dane wyłącznie na udokumentowane polecenie Klienta, także w odniesieniu do przekazywania danych do państw trzecich (§ 7). Polecenie podstawowe stanowią umowa główna, opis usług i niniejsza umowa.

(2) Za udokumentowane polecenia jednostkowe uważa się ustawienia, które Klient wprowadza na platformie, w szczególności: okresy przechowywania wizyt i zgłoszeń rekrutacyjnych (§ 9 ust. 4 i 5), przypomnienia i prośby o opinię, przypomnienia SMS dla poszczególnych poziomów, korzystanie z asystenta AI (§ 7 ust. 2) i z wyszukiwania po numerze rejestracyjnym (§ 7 ust. 4), utworzenie skrzynki pocztowej firmy, wyświetlanie opinii Google, publikowanie ofert pracy, przypomnienie o kolejnej wizycie dla poszczególnych usług, obszar działania i czas dojazdu przy wizytach pod adresem klienta.

(3) Dalsze polecenia Klient wydaje w formie tekstowej, kierując je do punktu kontaktowego Dostawcy. Uprawnieni do wydawania poleceń są posiadacz konta i osoby wskazane w tym celu przez firmę; na platformie są to ponadto konta pracowników z rolą „kierownictwo”, o ile mogą zmieniać ustawienia.

(4) Jeżeli Dostawca uzna polecenie za niezgodne z prawem, niezwłocznie informuje o tym Klienta (art. 28 ust. 3 akapit drugi RODO) i może wstrzymać jego wykonanie do czasu jego potwierdzenia lub zmiany.

§ 4 Obowiązki Dostawcy

Dostawca

1. przetwarza dane wyłącznie zgodnie z § 3;
2. zobowiązuje wszystkie osoby mające dostęp do danych do zachowania poufności, o ile nie podlegają one ustawowemu obowiązkowi zachowania tajemnicy;
3. stosuje środki techniczne i organizacyjne zgodnie z art. 32 RODO określone w Załączniku 1 i utrzymuje je w aktualnym stanie; istotne obniżenie poziomu ochrony jest wykluczone;
4. przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających określonych w § 6;
5. pomaga Klientowi w realizacji żądań osób, których dane dotyczą (art. 12–22 RODO). Platforma umożliwia Klientowi wgląd w karty klientów, wizyty, pojazdy i zgłoszenia rekrutacyjne, ich sprostowanie i usunięcie. Na żądanie Dostawca w ciągu 14 dni przygotowuje pełny eksport danych danej osoby w formacie nadającym się do odczytu maszynowego, jako plik CSV. Jeżeli osoba, której dane dotyczą, zwróci się do Dostawcy, Dostawca niezwłocznie przekazuje żądanie Klientowi; jeżeli żądanie dotyczy konta klienta (§ 2 ust. 4), Dostawca odpowiada na nie sam;
6. pomaga Klientowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO;
7. zgłasza Klientowi naruszenia ochrony danych osobowych niezwłocznie po ich stwierdzeniu, najpóźniej w ciągu 48 godzin, wraz z informacjami, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne, i na bieżąco je uzupełnia;
8. wyznacza jako osobę kontaktową w sprawach ochrony danych Andreasa Geruma, osiągalnego za pośrednictwem punktu kontaktowego, a jeżeli wymagają tego przepisy — inspektora ochrony danych;
9. udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia tych obowiązków (§ 8);
10. niezwłocznie informuje Klienta o czynnościach kontrolnych i działaniach organu nadzorczego, o ile dotyczą niniejszej umowy, oraz o żądaniach organów dotyczących danych Klienta, o ile jest to prawnie dopuszczalne.

§ 4a Tajemnica zawodowa (§ 203 niemieckiego kodeksu karnego)

(1) Zakres stosowania. Niniejszy paragraf ma zastosowanie, jeżeli Klient lub osoba u niego pracująca należy do osób wymienionych w § 203 ust. 1 lub 2 niemieckiego kodeksu karnego (StGB) — w szczególności lekarzy, lekarzy dentystów, lekarzy weterynarii oraz przedstawicieli zawodu medycznego, którego wykonywanie lub posługiwanie się tytułem zawodowym wymaga wykształcenia uregulowanego przez państwo (np. fizjoterapia, terapia zajęciowa, logopedia, podologia).

(2) Osoba współdziałająca. Dostawca współdziała w działalności zawodowej Klienta w rozumieniu § 203 ust. 3 zdanie drugie StGB. Zobowiązuje się zachować w tajemnicy wszystkie cudze tajemnice, o których dowie się podczas pracy dla Klienta lub przy okazji tej pracy, również po zakończeniu niniejszej umowy. Dostawca wie, że zgodnie z § 203 ust. 4 zdanie pierwsze StGB popełnia przestępstwo, jeżeli bez upoważnienia ujawni taką tajemnicę.

(3) Wiedza tylko w niezbędnym zakresie. Dostawca zapoznaje się z cudzymi tajemnicami tylko w zakresie niezbędnym do wykonania niniejszej umowy, na przykład w celu usunięcia błędu, o które poprosił Klient.

(4) Własny personel. Dostawca przed rozpoczęciem pracy zobowiązuje w formie tekstowej do zachowania tajemnicy każdą osobę, która uzyskuje dostęp do danych, i poucza ją o odpowiedzialności karnej na podstawie § 203 ust. 4 StGB.

(5) Dalsze podmioty przetwarzające. Jeżeli Dostawca korzysta z usług dalszych podmiotów przetwarzających (§ 6, Załącznik 2), zapewnia, aby były one zobowiązane do zachowania tajemnicy i ze swojej strony zobowiązały do tego swój personel oraz kolejnych podwykonawców (§ 203 ust. 4 zdanie drugie pkt 2 StGB). Zgodnie z zawartymi z nimi umowami usługodawca hostingowy (Załącznik 2 pkt 1 i 2) i usługodawca SMS (pkt 3) korzystają wyłącznie z osób zobowiązanych do zachowania poufności. W pamięci obiektowej (pkt 4) nie są przechowywane żadne dane pacjentów. Asystent AI (pkt 5–7) nie jest dostępny dla Klientów, o których mowa w ust. 1.

(6) Zawiadomienie. Jeżeli Dostawca ma powody, by przypuszczać, że tajemnica została ujawniona bez upoważnienia, niezwłocznie informuje o tym Klienta; § 4 pkt 7 stosuje się odpowiednio.

§ 5 Obowiązki Klienta

Klient

1. odpowiada za zgodność przetwarzania z prawem, w szczególności za podstawę prawną przypomnień e-mailowych i SMS, przypomnień o terminach serwisu i przeglądów, próśb o opinię, przypomnień o kolejnej wizycie oraz odnotowywania wolnego tekstu zgodnie z § 2 ust. 5;
2. informuje swoich klientów, pracowników i kandydatów zgodnie z art. 13 i 14 RODO, także o odbiorcach wymienionych w Załącznikach 2 i 3 oraz — jeżeli korzysta z wyszukiwania po numerze rejestracyjnym — o tym, że dane pojazdu pochodzą z rejestru publicznego;
3. ustawia na platformie okresy przechowywania (§ 9 ust. 4 i 5) odpowiadające jego zasadom usuwania danych; dopóki nie ustawi okresu dla wizyt, pozostają one zapisane — z wyjątkiem Klientów, o których mowa w Załączniku 4 (§ 9 ust. 4);
4. przydziela konta pracowników i role zgodnie z zasadą niezbędnego dostępu i odbiera je w przypadku odejścia danej osoby;
5. niezwłocznie zgłasza Dostawcy błędy lub nieprawidłowości, które stwierdzi podczas sprawdzania wyników;
6. uzyskuje — tylko jeśli jest Klientem, o którym mowa w Załączniku 4 — zgodę swoich pacjentów na przypomnienia e-mailem lub SMS-em oraz na prośby o opinię i jest w stanie ją wykazać. Platforma nie pyta o nią podczas rezerwacji online; przypomnienia i prośby o opinię wysyła dopiero wtedy, gdy Klient włączy je w ustawieniach rezerwacji. Wzór zgody do zbierania w recepcji znajduje się w jego panelu administracyjnym (Konfiguracja, sekcja „Dane do Twojej noty prawnej”). Osoby, które nie wyraziły zgody lub ją wycofały, Klient oznacza w karcie klienta;
7. przenosi — tylko jeśli jest Klientem, o którym mowa w Załączniku 4 — treści podlegające obowiązkowi dokumentowania do swojej dokumentacji medycznej. Kalendarz, karta klienta i wolny tekst na platformie nie stanowią dokumentacji medycznej;
8. wskazuje — tylko jeśli jest Klientem, o którym mowa w Załączniku 4 — Dostawcę jako odbiorcę w swojej informacji o ochronie danych i oferuje, obok rezerwacji online, inny sposób umówienia wizyty, na przykład telefonicznie. Wzór tego tekstu znajduje się w jego panelu administracyjnym (Konfiguracja, sekcja „Dane do Twojej noty prawnej”).

§ 6 Dalsze podmioty przetwarzające (art. 28 ust. 2 i 4 RODO)

(1) Ogólna zgoda. Klient wyraża zgodę na korzystanie z usług dalszych podmiotów przetwarzających wymienionych w Załączniku 2 i udziela ogólnej pisemnej zgody na korzystanie z usług kolejnych. O każdym zamierzonym dodaniu lub zastąpieniu Dostawca informuje co najmniej 30 dni wcześniej w formie tekstowej, e-mailem na adres konta oraz komunikatem na platformie.

(2) Sprzeciw. W tym terminie Klient może wnieść sprzeciw z ważnego powodu związanego z ochroną danych. Jeżeli nie uda się znaleźć rozwiązania, może wypowiedzieć umowę główną w trybie nadzwyczajnym w zakresie danej usługi ze skutkiem na dzień zmiany; opłaty uiszczone z góry za okres późniejszy zostaną zwrócone proporcjonalnie.

(3) Przeniesienie obowiązków. Dostawca nakłada umownie na każdy dalszy podmiot przetwarzający zasadniczo te same obowiązki w zakresie ochrony danych co niniejsza umowa, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Odpowiada wobec Klienta za ich wypełnienie.

(4) Dalszymi podmiotami przetwarzającymi nie są usługi, z których Dostawca korzysta jako z usług pomocniczych (np. telekomunikacja, poczta), ani podmioty wymienione w Załączniku 3, które otrzymują dane jako samodzielni administratorzy lub jako publiczne źródło danych.

§ 7 Miejsce przetwarzania, państwa trzecie, szczególni odbiorcy

(1) Przetwarzanie podstawowe. Aplikacja, baza danych, pliki i poczta e-mail działają u usługodawcy hostingowego w Niemczech (Załącznik 2 pkt 1 i 2, centrum danych we Frankfurcie nad Menem), który codziennie wykonuje kopie zapasowe danych i e-maili. Załączniki do zgłoszeń rekrutacyjnych oraz obrazy na stronie internetowej, w galerii i w opiniach są przechowywane u usługodawcy pamięci obiektowej we Frankfurcie nad Menem, którego grupa ma siedzibę w USA (Załącznik 2 pkt 4). Usługę wideo dla wizyty online wybiera Klient; Dostawca niczego jej nie przekazuje, a jedynie wyświetla link Klienta w e-mailach i w portalu klienta.

(2) Przekazywanie danych do państw trzecich. Przekazanie danych do państwa spoza UE i EOG następuje wyłącznie w przypadku asystenta AI, na podstawie art. 44 i nast. RODO:

• W panelu administracyjnym Salon Wizard dostępny jest asystent AI; zakres jego funkcji zależy od planu. W miarę możliwości asystent odpowiada na wpis na podstawie stałych reguł, bez udziału osób trzecich. Wyłącznie wpis, na który nie odpowiada żadna stała reguła, jest przekazywany do klasyfikacji usługodawcy modeli wymienionemu w Załączniku 2 pkt 5. Jeżeli ten nie odpowie, korzystanie z niego osiągnie limit kosztów lub limit liczby zapytań albo nie skonfigurowano do niego dostępu, asystent odpowiada na wpis na podstawie stałych reguł; żaden inny usługodawca nie jest pytany. Usługodawca przetwarza dane w USA.
• Przekazywane są: wpis w formie zamaskowanej, język interfejsu, data, otwarty obszar oraz — zgodnie z wcześniej wyświetloną listą — identyfikatory bez imion i nazwisk. Nie są przekazywane wyszukane dane (kartoteka klientów, wizyty, nieobecności, przychody), dane kontaktowe z bazy danych ani wcześniejsze wpisy i odpowiedzi.
• Zamaskowanie oznacza, że przed przekazaniem Dostawca zastępuje we wpisie symbolami zastępczymi adresy e-mail, numery telefonów oraz imiona i nazwiska, które Klient prowadzi na platformie (pracowników, kont pracowników, klientów i ich potwierdzonych kont klienta, imiona i nazwiska z wizyt i zapytań o wizytę z ostatnich 90 dni oraz z przyszłych wizyt, kandydatów). Jeżeli to się nie powiedzie, wpis nie jest przekazywany żadnemu usługodawcy. Zamaskowanie nie jest anonimizacją: imiona i nazwiska, których Klient nie prowadzi, przezwiska, imiona i nazwiska odmienione lub błędnie zapisane, imiona i nazwiska będące jednocześnie zwykłymi słowami, bardzo krótkie części imion i nazwisk, numery telefonów zapisane z kropkami lub mające mniej niż osiem cyfr oraz wszelkie inne informacje, które dana osoba wpisze, są przekazywane bez zmian. Klient poleca swoim upoważnionym osobom, aby nie wprowadzały do asystenta danych dotyczących zdrowia ani innych szczególnych kategorii danych osobowych.
• Podstawą przekazania są standardowe klauzule umowne Komisji Europejskiej (art. 46 ust. 2 lit. c RODO), a jeżeli usługodawca jest certyfikowany na podstawie Ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework) — decyzja stwierdzająca odpowiedni stopień ochrony wydana w odniesieniu do tych ram (art. 45 RODO), każdorazowo zgodnie z Załącznikiem 2.
• Sam Dostawca przechowuje w związku z asystentem, dla każdej firmy i każdego użytkownika, liczniki, koszty i czasy, nie przechowuje natomiast ani wpisów, ani odpowiedzi.

Z usługodawcy SMS korzysta się za pośrednictwem jego platformy w UE; nie dochodzi przy tym do przekazania danych do państwa trzeciego.

(3) Inne przekazania danych do państw trzecich nie mają miejsca. Przyszłe przekazania będą następować wyłącznie zgodnie z § 6 ust. 1 i art. 44 i nast. RODO.

(4) Wyszukiwanie po numerze rejestracyjnym (tylko Werkstattsystem, tylko niderlandzkie numery rejestracyjne). Jeżeli Klient korzysta z wyszukiwania w formularzu pojazdu lub z nocnej weryfikacji terminów przeglądów, Dostawca przekazuje wyłącznie numer rejestracyjny do otwartego rejestru pojazdów niderlandzkiego urzędu rejestracji pojazdów i przenosi dane pojazdu do karty pojazdu. Z rejestrem nie zawarto żadnej umowy; jest on źródłem danych i odbiorcą w rozumieniu Załącznika 3.

(5) Płatność kartą za pośrednictwem konta Stripe Klienta (tylko firmy z siedzibą w Niemczech). Jeżeli Klient połączy swoje własne konto Stripe, a upoważniona osoba zainicjuje płatność kartą, Dostawca na podstawie tego polecenia przekazuje dostawcy usług płatniczych Klienta kwotę, walutę, opis usługi z numerem rezerwacji i identyfikatory wewnętrzne, a w przypadku płatności składającej się z pozycji także opis, ilość i cenę jednostkową każdej pozycji — nie przekazuje natomiast imienia i nazwiska, adresu e-mail ani numeru telefonu klienta. Opis pozycji własnej jest wolnym tekstem Klienta; Klient nie wpisuje tam żadnych danych klientów. Dane karty klient podaje bezpośrednio dostawcy usług płatniczych. Dostawca otrzymuje zwrotnie wynik płatności oraz dane karty wymienione w § 2 ust. 2. Dostawca usług płatniczych jest kontrahentem Klienta, a nie dalszym podmiotem przetwarzającym Dostawcy; środki trafiają bezpośrednio na rachunek Klienta (Załącznik 3 pkt 10). Do opłaconej płatności kartą Dostawca tworzy potwierdzenie; jeżeli klient dokonał rezerwacji z konta klienta z potwierdzonym adresem e-mail, Dostawca wysyła mu potwierdzenie na ten adres, o ile klient z tego nie zrezygnował.

(6) Odbiorców, którym dane nie są powierzane do przetwarzania (m.in. analityka internetowa, mapy, geokodowanie, czcionki w e-mailach), wymieniono w Załączniku 3.

§ 8 Dowody i audyty

(1) Dostawca wykazuje przestrzeganie niniejszej umowy przede wszystkim za pomocą aktualnego opisu środków technicznych i organizacyjnych (Załącznik 1), dowodów przedstawionych przez dalsze podmioty przetwarzające oraz, jeśli są dostępne, certyfikatów (art. 28 ust. 3 lit. h RODO).

(2) Jeżeli to nie wystarcza, Klient może przeprowadzać audyty, w tym na miejscu, samodzielnie lub za pośrednictwem audytora zobowiązanego do zachowania poufności, po uprzednim zawiadomieniu z 14-dniowym wyprzedzeniem, w godzinach pracy i bez nieproporcjonalnego zakłócania działalności. Centra danych dalszych podmiotów przetwarzających są kontrolowane na podstawie przedstawionych przez nie dowodów.

(3) Każda ze stron ponosi własne koszty. Za każdy kolejny audyt w tym samym roku kalendarzowym Dostawca może obciążyć Klienta udokumentowanym nakładem pracy.

§ 9 Przechowywanie, usuwanie i zwrot danych

(1) Po zakończeniu umowy Dostawca, według wyboru Klienta, usuwa lub zwraca wszystkie dane objęte niniejszą umową oraz usuwa istniejące kopie, chyba że istnieje prawny obowiązek ich przechowywania (art. 28 ust. 3 lit. g RODO). Na żądanie udostępnia eksport w ciągu 30 dni od zakończenia umowy, a następnie usuwa dane w ciągu kolejnych 30 dni; kopie zapasowe są usuwane zgodnie z cyklem rotacji usługodawcy hostingowego. Na żądanie potwierdza usunięcie w formie tekstowej.

(2) Natychmiastowe usunięcie przez Klienta. Jeżeli Klient usunie produkt ze swojego konta, przesłane pliki są natychmiast i trwale usuwane, a wraz z produktem — jego ustawienia i dane firmy. Na żądanie Dostawca przygotowuje w ciągu 14 dni eksport w postaci pliku CSV; m.in. faktury i raporty można pobrać pojedynczo.

(3) Przechowywanie wymagane przez prawo handlowe i podatkowe należy do Klienta. Do ksiąg, zapisów i dowodów księgowych stosuje się § 147 niemieckiej ordynacji podatkowej (AO). Dostawca nie jest ustawowym archiwum Klienta; przed usunięciem danych zgodnie z ust. 1 lub 2 Klient sam zabezpiecza dokumenty, które musi przechowywać.

(4) Okres przechowywania wizyt. Klient może ustawić okres od 90 do 3650 dni; jeżeli go nie ustawi, funkcja jest wyłączona. Codzienne zadanie automatyczne usuwa w przypadku zakończonych wizyt, od których zakończenia upłynął ten okres, wolny tekst, dane kontaktowe podane przy rezerwacji, a także adres przy wizytach pod adresem klienta, oraz odnotowuje czas tej operacji. Data, usługa, pracownik, cena, numer rezerwacji i powiązanie z kartą klienta zostają zachowane. To samo zadanie usuwa komentarz, powód odmowy i podane dane kontaktowe z zapytań o wizytę, na które udzielono odpowiedzi, gdy od odpowiedzi upłynie ten okres, a także usuwa z dziennika SMS numer telefonu dotyczący tych wizyt. Otwarte zapytanie nigdy nie jest naruszane. W przypadku Klientów, o których mowa w Załączniku 4, obowiązuje — bez konieczności własnego ustawienia — okres pięciu lat; po jego upływie zadanie usuwa zakończoną wizytę wraz z zapytaniem o nią, na które udzielono odpowiedzi, zamiast ją anonimizować, a wcześniej usuwa numer telefonu z dziennika SMS. W karcie klienta pozostaje data ostatniej odbytej wizyty. Wpisy na liście oczekujących na kurs są usuwane, gdy tylko minie termin jego rozpoczęcia.

(5) Okres przechowywania zgłoszeń rekrutacyjnych. Domyślnie 180 dni, z możliwością ustawienia od 30 do 365 dni. Zgłoszenia o statusie ostatecznym są po upływie tego okresu usuwane wraz z załącznikami.

(6) Nie obowiązuje automatyczny okres dla kart klientów, pojazdów, zleceń, kosztorysów, ewidencji czasu pracy, przechowywania opon, dzienników SMS i nieobecności. Pozostają one zapisane do czasu ich usunięcia przez Klienta lub do zakończenia umowy.

(7) Kopie zapasowe są usuwane w ramach regularnej rotacji usługodawcy hostingowego (Załącznik 1).

§ 10 Odpowiedzialność, zmiany, postanowienia końcowe

(1) Odpowiedzialność wobec osób, których dane dotyczą, reguluje art. 82 RODO. W stosunkach między stronami obowiązują zasady odpowiedzialności przewidziane w umowie głównej, o ile nie sprzeciwia się temu art. 82 RODO.

(2) Dostawca może zmienić niniejszą umowę, jeżeli wymagają tego przepisy prawa, orzecznictwo, organy nadzorcze lub zmiana usług. Zapowiada zmiany w taki sam sposób jak zmiany OWH (OWH § 11 ust. 1 i 2); do nowych dalszych podmiotów przetwarzających stosuje się § 6. Inne zmiany wymagają formy tekstowej.

(3) Jeżeli którekolwiek z postanowień okaże się nieważne, pozostała część umowy pozostaje ważna.

(4) Zastosowanie ma prawo niemieckie. Miejscem jurysdykcji jest, w zakresie dopuszczalnym przez prawo, Augsburg. W przypadku Klienta w Zjednoczonym Królestwie odesłania do RODO uważa się za odesłania do UK GDPR.

(5) Wiążąca jest wersja niemiecka. Niniejsza wersja polska jest tłumaczeniem.

Załącznik 1 — Środki techniczne i organizacyjne (art. 32 RODO)

Środki stosowane przez usługodawcę hostingowego pochodzą z jego umowy powierzenia przetwarzania danych. Sam Dostawca nie prowadzi żadnych serwerów.

1. Poufność

• Fizyczny dostęp do serwerów (usługodawca hostingowy, centrum danych we Frankfurcie nad Menem): elektroniczny system kontroli dostępu z rejestrowaniem zdarzeń, ogrodzenie o wysokim stopniu zabezpieczenia, całodobowo obsadzona dyspozytornia, personel ochrony, monitoring wizyjny wejść i wyjść, organizacyjnie rozdzielone przyznawanie uprawnień dostępu.
• Dostęp do aplikacji: hasła są przechowywane wyłącznie w postaci skrótów. Konta właścicieli i operatorów mogą logować się z użyciem drugiego składnika lub klucza dostępu (passkey). Wszystkie logowania są chronione obliczeniową CAPTCHA; publiczne formularze rezerwacji ograniczają liczbę zapytań z jednego adresu IP i dla jednego adresu e-mail. Pliki cookie sesji są przesyłane wyłącznie w postaci zaszyfrowanej; konta pracowników i klientów pozostają zalogowane maksymalnie przez siedem dni. Po pięciu błędnych hasłach w ciągu minuty logowanie zostaje na krótko zablokowane.
• Dostęp w ramach aplikacji: wszystkie dane firmy są przypisane do jednej firmy, a każde zapytanie jest z nią powiązane. Operatorzy i właściciele, pracownicy oraz klienci logują się w odrębnych obszarach. Konta pracowników mają role pracownik, recepcja lub kierownictwo, każdorazowo ograniczone do przypisanych lokalizacji; przyczyny choroby współpracowników widzi tylko kierownictwo. Ogólnoplatformowe konto klienta pokazuje w odniesieniu do każdej firmy wyłącznie jej dane; obejmująca wszystkie firmy lista „Moje wizyty” pokazuje wizyty w gabinetach dopiero po wyrażeniu zgody przez daną osobę.
• Separacja: testy automatyczne są uruchamiane na odrębnych, pustych bazach danych. Wpisy do asystenta AI trafiają do usługodawcy modeli wyłącznie w formie zamaskowanej (§ 7 ust. 2).
• Personel: każda osoba, która uzyskuje u Dostawcy dostęp do danych, jest wcześniej zobowiązywana do zachowania poufności i tajemnicy (§ 4a ust. 4). Usługodawca hostingowy i usługodawca SMS korzystają wyłącznie z pracowników zobowiązanych do zachowania poufności.

2. Integralność

• Wszystkie strony i interfejsy wyłącznie przez TLS; wysyłanie e-maili i pobieranie poczty ze skrzynek wyłącznie w postaci szyfrowanej; SMS-y przez interfejs HTTPS usługodawcy SMS na jego platformie w UE.
• Hasła do skrzynek pocztowych firm są przechowywane w postaci zaszyfrowanej.
• Dzienniki aplikacji zawierają identyfikatory, a nie treści, i podlegają rotacji; rekordy zawierają czas utworzenia i modyfikacji.

3. Dostępność i odporność

• U usługodawcy hostingowego: codzienna kopia zapasowa przestrzeni WWW, baz danych i poczty e-mail; dublowanie dysków, agregat prądotwórczy i zasilanie bezprzerwowe; zapory sieciowe i stała ochrona przed atakami typu odmowa usługi; przywracanie baz danych i plików.
• U Dostawcy: o krytycznych błędach operator jest natychmiast alarmowany; wydania kodu można wycofać.

4. Usuwanie i minimalizacja danych

• Okresy usuwania wizyt, zapytań o wizytę i zgłoszeń rekrutacyjnych zgodnie z § 9 ust. 4 i 5; natychmiastowe usunięcie po usunięciu produktu zgodnie z § 9 ust. 2.
• Ustawienia domyślne dla Klientów, o których mowa w Załączniku 4 (art. 25 RODO), zgodnie z § 2 ust. 5 lit. a.

5. Kontrola powierzenia i przegląd

• Każdy odbiorca jest wymieniony (Załączniki 2 i 3); nowe dalsze podmioty przetwarzające są zapowiadane z 30-dniowym wyprzedzeniem (§ 6).
• Każda zmiana oprogramowania przed wydaniem przechodzi automatyczną kontrolę obejmującą testy, analizę statyczną i kontrolę zależności. Zasady projektu dotyczące danych o zdrowiu, usuwania danych i odbiorców obowiązują przy każdej zmianie.
• Niniejszy załącznik jest aktualizowany przy każdej zmianie dotyczącej usługodawcy hostingowego, odbiorców lub środków ochrony, co najmniej raz w roku.

Załącznik 2 — Dalsze podmioty przetwarzające

Załącznik 3 — Odbiorcy niebędący dalszymi podmiotami przetwarzającymi

Do wiadomości Klienta, aby mógł wypełnić swoje obowiązki informacyjne (§ 5 pkt 2).

Załącznik 4 — Poziom ochrony zdrowia

Branże, których Klienci należą do poziomu ochrony zdrowia (§ 2 ust. 5 lit. a, § 5 pkt 6–8), oraz branże, do których z reguły stosuje się § 4a. Decydująca jest branża wybrana na platformie; § 4a stosuje się ponadto zawsze, gdy spełnione są przesłanki jego ust. 1.