Acord privind prelucrarea datelor cu caracter personal

Art. 1. Definiții și interpretare

(1) În prezentul Acord, noțiunile „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată”, „terț”, „consimțământ”, „încălcarea securității datelor cu caracter personal” și „date privind sănătatea” au înțelesul prevăzut la art. 4 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date („RGPD”).

(2) În sensul prezentului Acord, noțiunile de mai jos au următoarele înțelesuri:

• a) „Acordul”: prezentul acord privind prelucrarea datelor cu caracter personal;
• b) „KYRO”: de completat: denumirea societății, furnizorul Platformei, identificat la art. 2 alin. (1);
• c) „Salonul”: profesionistul care își înregistrează unitatea în Kyro Studio și prestează servicii de înfrumusețare, îngrijire personală sau frizerie, în calitate de operator al datelor prevăzute la art. 5;
• d) „Termenii și condițiile pentru saloane”: termenii publicați la adresa /legal/termeni-saloane, care, împreună cu prezentul Acord, formează contractul încheiat între KYRO și Salon, astfel cum este definit în Termenii și condițiile pentru saloane;
• e) „Platforma”: Aplicația Kyro, Kyro Studio și aplicația web KYRO, împreună cu serviciile asociate;
• f) „Aplicația Kyro”: aplicația mobilă destinată Clienților;
• g) „Kyro Studio”: aplicația destinată Saloanelor și Membrilor Echipei;
• h) „Cont”: contul de utilizator creat în Aplicația Kyro sau în Kyro Studio;
• i) „Client”: orice persoană fizică ale cărei date sunt înregistrate în Kyro Studio în calitate de client al Salonului, indiferent dacă aceasta deține sau nu un Cont în Aplicația Kyro;
• j) „Membru al Echipei”: persoana fizică adăugată de Salon în Kyro Studio, cu unul dintre rolurile Proprietar, Manager, Specialist, Chiriaș sau Recepție;
• k) „Proprietar”: Membrul Echipei care a înregistrat Salonul ori căruia i-a fost transferată ulterior această calitate și care reprezintă Salonul față de KYRO;
• l) „Fișa Clientului”: ansamblul datelor privind un Client, înregistrate de Salon în Kyro Studio;
• m) „Notița privind alergiile”: informația înregistrată în câmpul dedicat alergiilor și intoleranțelor din Fișa Clientului;
• n) „Evaluarea Clientului”: nota de la 1 la 5 și comentariul pe care Salonul le poate atribui Clientului după data unei programări, inclusiv a uneia marcate ca neprezentare;
• o) „Sub-împuternicit”: o altă persoană împuternicită, recrutată de KYRO în condițiile art. 28 alin. (2) și (4) RGPD;
• p) „SEE”: Spațiul Economic European;
• q) „ANSPDCP”: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

(3) Termenele exprimate în zile se calculează pe zile calendaristice.

(4) Prevederile prezentului Acord se interpretează în conformitate cu RGPD. Titlurile articolelor au caracter exclusiv orientativ.

Art. 2. Părțile și cadrul contractual

(1) Prezentul Acord se încheie între Salon, în calitate de operator, și de completat: denumirea societății, cu sediul în de completat: sediul social, CUI de completat: CUI, în calitate de persoană împuternicită.

(2) Acordul formează, împreună cu Termenii și condițiile pentru saloane, Contractul încheiat între KYRO și Salon și se acceptă odată cu aceștia, la înregistrarea Salonului în Kyro Studio. KYRO păstrează evidența versiunii acceptate și a datei și orei acceptării.

(3) Acordul reprezintă contractul prevăzut la art. 28 alin. (3) RGPD.

(4) În cazul unei neconcordanțe între prezentul Acord și Termenii și condițiile pentru saloane, în privința prelucrării datelor cu caracter personal prevalează prezentul Acord.

Art. 3. Obiectul, durata, natura și scopul prelucrării

(1) Obiectul prelucrării îl constituie găzduirea și prelucrarea datelor cu caracter personal pe care Salonul și Membrii Echipei le introduc ori le primesc în Kyro Studio.

(2) Prelucrarea se desfășoară pe durata Termenilor și condițiilor pentru saloane, la care se adaugă perioada necesară ștergerii sau returnării datelor potrivit art. 11.

(3) Natura prelucrării cuprinde următoarele operațiuni:

• a) colectarea datelor prin intermediul aplicațiilor Platformei;
• b) stocarea, organizarea și consultarea datelor;
• c) afișarea datelor către Membrii Echipei autorizați;
• d) calcularea rapoartelor;
• e) transmiterea mesajelor de serviciu către Clienți;
• f) efectuarea copiilor de rezervă;
• g) ștergerea datelor.

(4) Scopul prelucrării este de a permite Salonului să își administreze programările, Clienții, echipa, încasările, programele de fidelitate și planurile de abonament, precum și să comunice cu Clienții cu privire la programări și la zilele în care Salonul este închis.

Art. 4. Categoriile de persoane vizate

Prelucrarea privește următoarele categorii de persoane vizate:

• a) Clienții, inclusiv Clienții care nu dețin un Cont în Aplicația Kyro și ale căror date sunt introduse de Salon;
• b) Membrii Echipei, respectiv Proprietarul, Managerii, persoanele cu rolul Recepție, Specialiștii și Chiriașii.

Art. 5. Categoriile de date cu caracter personal

(1) Prelucrarea privește următoarele categorii de date:

(2) Salonul nu are dreptul să introducă în Kyro Studio alte categorii speciale de date cu caracter personal în sensul art. 9 RGPD (inclusiv, fără a se limita la, alte informații medicale, convingeri religioase sau orientare sexuală), date privind condamnări penale și infracțiuni ori coduri numerice personale.

(3) Notițele interne, Evaluările Clienților și celelalte câmpuri de text liber nu pot conține date privind sănătatea. Alergiile se înregistrează exclusiv în câmpul dedicat acestora, cu respectarea condițiilor prevăzute la art. 6.

(4) Accesul Membrilor Echipei la Fișele Clienților este stabilit după cum urmează:

• a) Proprietarul, Managerii și persoanele cu rolul Recepție au acces la Fișele tuturor Clienților Salonului;
• b) Membrii Echipei cu rolul Specialist sau Chiriaș au acces exclusiv la Fișele Clienților cu care au cel puțin o programare, trecută ori viitoare.

Art. 6. Notițele privind alergiile

(1) În calitate de operator, Salonul are obligația să dispună de un temei legal pentru prelucrarea Notițelor privind alergiile. Temeiul legal este consimțământul explicit al Clientului, în sensul art. 9 alin. (2) lit. a) RGPD, obținut înainte de înregistrarea Notiței privind alergiile.

(2) Înainte de salvarea unei Notițe privind alergiile, Membrul Echipei are obligația să bifeze în Kyro Studio confirmarea, cu text prestabilit, prin care atestă că a solicitat și a obținut consimțământul explicit al Clientului. KYRO înregistrează identitatea Membrului Echipei care a bifat confirmarea și data și ora bifării, ca mijloc de probă la dispoziția Salonului.

(3) Salonul înregistrează exclusiv informațiile necesare siguranței Clientului în cursul prestării serviciilor (de exemplu, „alergie la latex”).

(4) Notița privind alergiile este accesibilă exclusiv Membrilor Echipei care au acces la Fișa Clientului potrivit art. 5 alin. (4).

(5) În cazul în care Clientul își retrage consimțământul, Salonul are obligația să șteargă Notița privind alergiile. Cererea Clientului de ștergere a Notiței privind alergiile are valoarea retragerii consimțământului.

(6) În cazul în care un Client își șterge Contul din Aplicația Kyro, KYRO șterge automat Notițele privind alergiile din toate Fișele Clientului legate de acel Cont, la toate Saloanele. Prin acceptarea prezentului Acord, Salonul dă KYRO instrucțiunea documentată de a efectua această ștergere.

(7) KYRO nu utilizează Notițele privind alergiile pentru clasarea Saloanelor, în scopuri de marketing, în scopuri statistice ori în orice alt scop decât găzduirea acestora pentru Salon, cu respectarea art. 3 din Legea nr. 190/2018 privind măsuri de punere în aplicare a RGPD.

Art. 7. Prelucrări excluse din domeniul de aplicare al Acordului

(1) Pentru următoarele prelucrări, KYRO are calitatea de operator independent, iar prelucrarea este descrisă în Politica de confidențialitate:

• a) Conturile Clienților din Aplicația Kyro și Conturile Membrilor Echipei din Kyro Studio;
• b) Recenziile publice;
• c) afișarea către Client a Evaluărilor Clientului atribuite acestuia de Salon și soluționarea raportărilor privind aceste Evaluări;
• d) securitatea Platformei, prevenirea abuzurilor, filtrul automat de limbaj și moderarea conținutului;
• e) jurnalul acțiunilor efectuate de administratorii KYRO;
• f) evidența programărilor, a punctelor de fidelitate și a planurilor de abonament, astfel cum este păstrată în Contul Clientului.

(2) Evaluările Clienților fac parte din Fișele Clienților ținute de Salon. O Evaluare a Clientului este accesibilă exclusiv Salonului care a atribuit-o și Clientului vizat și nu este accesibilă niciunui alt Salon.

(3) Datele pe care Clientul le transmite Salonului prin intermediul unei rezervări efectuate în Aplicația Kyro sunt primite de Salon în calitate de operator, pentru propria activitate.

Art. 8. Obligațiile KYRO

(1) În calitate de persoană împuternicită, KYRO are următoarele obligații:

• a) să prelucreze datele cu caracter personal numai pe baza instrucțiunilor documentate ale Salonului, cu excepția cazului în care prelucrarea este impusă de dreptul Uniunii sau de dreptul intern sub incidența căruia se află KYRO; într-un astfel de caz, KYRO informează Salonul cu privire la această cerință juridică înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de informare din motive importante de interes public (art. 28 alin. (3) lit. a) RGPD). Instrucțiunile documentate ale Salonului sunt cuprinse în Termenii și condițiile pentru saloane, în prezentul Acord și în setările configurate și acțiunile efectuate de Salon în Kyro Studio;
• b) să nu transfere datele cu caracter personal către o țară din afara SEE decât cu respectarea garanțiilor prevăzute în capitolul V RGPD, potrivit art. 9 (art. 28 alin. (3) lit. a) RGPD);
• c) să garanteze că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea (art. 28 alin. (3) lit. b) RGPD);
• d) să aplice măsurile tehnice și organizatorice adecvate prevăzute la art. 32 RGPD (art. 28 alin. (3) lit. c) RGPD), potrivit alin. (2);
• e) să respecte condițiile de recrutare a Sub-împuterniciților prevăzute la art. 9 (art. 28 alin. (3) lit. d) RGPD);
• f) să asiste Salonul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației acestuia de a răspunde cererilor persoanelor vizate privind exercitarea drepturilor de acces, rectificare, ștergere, restricționare a prelucrării, portabilitate și opoziție (art. 28 alin. (3) lit. e) RGPD), potrivit alin. (3);
• g) să asiste Salonul în asigurarea respectării obligațiilor prevăzute la art. 32 până la art. 36 RGPD privind securitatea prelucrării, notificarea încălcărilor securității datelor, evaluarea impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere, ținând seama de natura prelucrării și de informațiile aflate la dispoziția KYRO (art. 28 alin. (3) lit. f) RGPD);
• h) să șteargă sau să returneze datele cu caracter personal la încetarea prestării serviciilor, potrivit art. 11 (art. 28 alin. (3) lit. g) RGPD);
• i) să pună la dispoziția Salonului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 RGPD și să permită și să contribuie la auditurile efectuate potrivit art. 12 (art. 28 alin. (3) lit. h) RGPD).

(2) Măsurile tehnice și organizatorice prevăzute la alin. (1) lit. d) includ, fără a se limita la:

• a) criptarea conexiunilor;
• b) controlul accesului pe bază de roluri, aplicat la nivelul bazei de date, astfel încât un Salon să nu aibă acces la datele altui Salon;
• c) păstrarea parolelor și a codurilor exclusiv sub formă de amprente criptografice;
• d) limitarea numărului de încercări de autentificare;
• e) accesul la fotografiile de profil exclusiv prin linkuri temporare;
• f) restrângerea accesului administrativ la un număr redus de persoane;
• g) înregistrarea fiecărei consultări a datelor cu caracter personal de către administratorii KYRO;
• h) efectuarea de copii de rezervă.

(3) În cazul în care KYRO primește direct o cerere a unei persoane vizate privind datele prelucrate în temeiul prezentului Acord, KYRO transmite cererea Salonului fără întârziere și nu răspunde acesteia în numele Salonului, cu excepția cazului în care Salonul îi solicită acest lucru.

(4) În cazul în care, în opinia KYRO, o instrucțiune a Salonului încalcă RGPD sau alte dispoziții din dreptul Uniunii ori din dreptul intern privind protecția datelor, KYRO informează imediat Salonul (art. 28 alin. (3) al doilea paragraf RGPD).

Art. 9. Sub-împuterniciții

(1) Prin acceptarea prezentului Acord, Salonul acordă KYRO o autorizare generală scrisă, în sensul art. 28 alin. (2) RGPD, de a recruta următorii Sub-împuterniciți:

(2) KYRO nu procesează plățile efectuate de Clienți către Salon. Clienții achită serviciile direct la Salon.

(3) KYRO a încheiat cu fiecare Sub-împuternicit un contract (acordul de prelucrare a datelor al acestuia) care impune obligații de protecție a datelor cel puțin la fel de stricte ca cele prevăzute în prezentul Acord, inclusiv, acolo unde este cazul, clauzele contractuale standard pentru transferurile în afara SEE (art. 28 alin. (4) RGPD).

(4) KYRO informează Salonul prin e-mail și în Kyro Studio, cu cel puțin 15 zile înainte, cu privire la orice intenție de a adăuga sau de a înlocui un Sub-împuternicit. În acest termen, Salonul are dreptul să formuleze obiecții, motivate de considerente privind protecția datelor. În cazul în care părțile nu identifică o soluție, Salonul are dreptul să înceteze Termenii și condițiile pentru saloane, fără costuri, înainte de data la care modificarea produce efecte.

(5) KYRO răspunde integral față de Salon pentru îndeplinirea obligațiilor Sub-împuterniciților săi (art. 28 alin. (4) teza a doua RGPD).

Art. 10. Încălcarea securității datelor cu caracter personal

(1) KYRO notifică Salonul, prin e-mail și în Kyro Studio, fără întârzieri nejustificate și în termen de cel mult 48 de ore de la momentul în care a luat cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele Salonului.

(2) Notificarea cuprinde, în măsura în care sunt cunoscute de KYRO la data notificării:

• a) natura încălcării;
• b) categoriile și numărul aproximativ al persoanelor vizate afectate;
• c) categoriile și numărul aproximativ al înregistrărilor afectate;
• d) consecințele probabile ale încălcării;
• e) măsurile luate sau propuse de KYRO;
• f) datele de contact ale unei persoane de la care se pot obține informații suplimentare.

(3) Informațiile care nu sunt disponibile la data notificării se comunică Salonului ulterior, pe măsură ce devin disponibile.

(4) KYRO asistă Salonul în notificarea ANSPDCP în termenul de 72 de ore prevăzut la art. 33 alin. (1) RGPD și, după caz, în informarea persoanelor vizate potrivit art. 34 RGPD.

(5) KYRO ține un registru intern al încălcărilor securității datelor cu caracter personal.

Art. 11. Ștergerea și returnarea datelor

(1) Proprietarul are dreptul să închidă definitiv Salonul din Kyro Studio. Înainte de închidere, Proprietarul poate exporta din Kyro Studio Clienții, programările și serviciile Salonului. La închidere, programările viitoare se anulează, iar Clienții sunt notificați.

(2) La încetarea Termenilor și condițiilor pentru saloane sau la închiderea Salonului, Salonul are dreptul să solicite returnarea datelor, în termen de cel mult 30 de zile de la data încetării sau a închiderii (art. 28 alin. (3) lit. g) RGPD). KYRO transmite Salonului, prin e-mail, un export în format CSV care cuprinde programările, Clienții și serviciile.

(3) La încetarea Termenilor și condițiilor pentru saloane, indiferent de cauza acesteia, Salonul este închis definitiv cel târziu la data încetării. La împlinirea termenului de 30 de zile de la încetarea Termenilor și condițiilor pentru saloane, indiferent de cauza acesteia, KYRO șterge din sistemele active toate datele Salonului, inclusiv fotografiile și celelalte fișiere încărcate de Salon, respectiv datele prelucrate în temeiul prezentului Acord și evidența prevăzută la art. 7 alin. (1) lit. f) privind Salonul respectiv. Se păstrează exclusiv datele a căror păstrare este impusă de lege și dovada acceptării Termenilor și condițiilor pentru saloane și a prezentului Acord, pe durata prevăzută în Politica de confidențialitate. Copiile de rezervă automate ale bazei de date se suprascriu în termen de cel mult 30 de zile.

(4) KYRO păstrează date exclusiv în cazul în care legea îi impune acest lucru (de exemplu, documentele contabile privind raporturile dintre KYRO și Salon) și exclusiv pe durata impusă de lege.

(5) În cazul în care un Client își șterge Contul din Aplicația Kyro, Fișa Clientului se păstrează în Kyro Studio, ca înregistrare a Salonului, fără a mai fi legată de Contul Clientului. Notițele privind alergiile se șterg potrivit art. 6 alin. (6), iar planurile de abonament ale Clientului, inclusiv evidența plăților notate de Salon, se șterg la data ștergerii Contului. Prin acceptarea prezentului Acord, Salonul dă KYRO instrucțiunea documentată de a efectua aceste ștergeri.

(6) Pe durata Termenilor și condițiilor pentru saloane, datele se șterg automat la împlinirea perioadelor de păstrare prevăzute în Politica de confidențialitate.

(7) Perioadele de păstrare prevăzute la alin. (6) sunt următoarele:

• a) programările: 3 ani de la data vizitei; programarea pe care se întemeiază o recenzie publicată se păstrează cât timp recenzia rămâne publicată;
• b) programările anulate: 1 an de la data anulării;
• c) Evaluările Clienților: 2 ani de la data atribuirii;
• d) planurile de abonament: 3 ani de la ultima lună a planului de abonament;
• e) evidența confirmărilor consimțământului pentru Notițele privind alergiile: cât timp există Fișa Clientului, dar nu mai puțin de 3 ani de la data fiecărei înregistrări.

Art. 12. Informare și audit

(1) La cererea Salonului, KYRO pune la dispoziția acestuia informațiile necesare pentru a demonstra respectarea prezentului Acord, respectiv descrierea măsurilor de securitate, lista Sub-împuterniciților și acordurile de prelucrare a datelor încheiate cu aceștia.

(2) În cazul în care informațiile prevăzute la alin. (1) nu sunt suficiente, Salonul, direct sau prin intermediul unui auditor independent ținut de o obligație de confidențialitate, are dreptul să efectueze un audit, în următoarele condiții:

• a) Salonul notifică auditul cu cel puțin 30 de zile înainte;
• b) auditul se efectuează cel mult o dată pe an, cu excepția cazului în care este solicitat de o autoritate de supraveghere sau a avut loc o încălcare a securității datelor cu caracter personal;
• c) auditul se desfășoară la data și în intervalul orar convenite în prealabil de părți, fără a afecta datele altor Saloane;
• d) fiecare parte suportă propriile costuri aferente auditului.

Art. 13. Obligațiile Salonului

În calitate de operator, Salonul are următoarele obligații:

• a) să dispună de un temei legal pentru fiecare categorie de date pe care o introduce în Kyro Studio și să informeze Clienții și Membrii Echipei cu privire la prelucrare;
• b) să obțină consimțământul explicit al Clientului pentru Notițele privind alergiile și să fie în măsură să îl dovedească;
• c) să nu introducă date excesive și nici categoriile de date excluse potrivit art. 5 alin. (2) și (3);
• d) să stabilească, în limitele perioadelor prevăzute la art. 11 alin. (7), durata de păstrare a datelor propriilor Clienți și să le șteargă din Kyro Studio în momentul în care nu mai sunt necesare;
• e) să acorde acces exclusiv persoanelor care au nevoie de acesta și să retragă accesul Membrilor Echipei care părăsesc echipa.

Art. 14. Răspunderea și dispoziții finale

(1) Răspunderea fiecărei părți este cea prevăzută la art. 82 RGPD și în Termenii și condițiile pentru saloane.

(2) Prezentul Acord este guvernat de legea română.

(3) Prezentul Acord se modifică potrivit procedurii prevăzute la art. 13 din Termenii și condițiile pentru saloane.

(4) Comunicările privind protecția datelor cu caracter personal se transmit la adresa [email protected].

Înapoi sus