Споразумение за обработка на данни (DPA)

Това споразумение е част от Общите условия и се прилага автоматично за всеки салон, който използва Stilno. То не изисква подпис, за да е в сила — ползването на платформата за обработка на клиентски данни го активира. Салон, който има нужда от подписан екземпляр за одит, може да поиска такъв на hello@stilno.net.

1. Страни и роли

• Администратор: салонът, който използва платформата.
• Обработващ: Stilno (Уърлд Про ЕООД).

Салонът решава защо и как се обработват данните на неговите клиенти. Stilno ги обработва единствено по негово документирано указание — а указанието са действията, които салонът извършва в продукта.

2. Предмет и продължителност

Предмет: предоставяне на платформа за онлайн записване, управление на клиенти, плащания и комуникация. Продължителност: докато салонът има активен акаунт, плюс 30-дневния период на възстановяване след напускане.

3. Категории данни и субекти

4. Задължения на Stilno като обработващ

• Обработва данните само по указание на салона и никога за собствени цели (не ги продава, не ги ползва за реклама, не ги предоставя на други салони).
• Осигурява поверителност — достъп имат само лица, обвързани със задължение за конфиденциалност.
• Прилага техническите и организационни мерки по т. 6.
• Съдейства на салона при заявки на субекти на данни и при задълженията му по чл. 32–36 GDPR.
• Уведомява салона без ненужно забавяне при узнаване за нарушение на сигурността, засягащо негови данни.
• При прекратяване връща данните (експорт) и след 30 дни ги изтрива необратимо.
• Предоставя информацията, необходима за доказване на съответствие, и допуска одит при разумно предизвестие.

5. Подизпълнители

Салонът дава общо разрешение за следните подизпълнители. При смяна или добавяне уведомяваме поне 30 дни предварително; салонът може да възрази, а ако възражението е основателно и не може да бъде удовлетворено — да прекрати без санкция.

Забележка: за платежните данни Stripe действа като самостоятелен администратор, не като наш подизпълнител — отношенията със Stripe се уреждат от неговите условия.

6. Технически и организационни мерки

• Криптиране при пренос (TLS) за целия трафик; пароли се съхраняват само като хешове (bcrypt).
• Многофакторно влизане чрез passkey/биометрия, където устройството го поддържа.
• Разделяне на данните по салон на ниво заявка: всяка справка е ограничена до бизнеса от заявката, не до организацията.
• Ролев достъп: собственик, администратор и специалист виждат различни данни; клиентските карти и финансите са само за администратор.
• Одитен дневник за административните действия, включително промяна на категорията на салона (тя разширява видимостта на паспорта).
• Резервни копия на базата данни; съхранение в ЕС.
• Матрица за видимост на Beauty Passport: салонът вижда само секциите, релевантни за неговата категория, и само с активно съгласие на клиента.

7. Международни трансфери

Данните се съхраняват в ЕС. Cloudflare и Stripe могат да обработват технически данни извън ЕС на основание Стандартните договорни клаузи и приложимите решения за адекватност.

8. Заявки на субекти на данни

Клиентите упражняват правата си на достъп и изтриване сами, през профила си. Ако клиент се обърне директно към нас за данни, за които салонът е администратор, ние препращаме заявката към салона и не отговаряме от негово име.

9. Отговорност

Всяка страна отговаря за нарушенията, произтичащи от собственото ѝ поведение. Ограниченията на отговорността в Общите условия се прилагат и тук, доколкото законът позволява.