Hợp đồng xử lý dữ liệu cá nhân

1. Các bên và đối tượng

Hợp đồng này theo Điều 28 GDPR là một phần của Điều khoản sử dụng Lichio. Khách hàng (tiệm) là bên kiểm soát dữ liệu, đơn vị vận hành Lichio là bên xử lý. Hợp đồng có hiệu lực trong suốt thời gian cung cấp dịch vụ.

2. Tính chất và mục đích

Vận hành trang web, đặt lịch online, lịch làm việc, sổ khách hàng của tiệm và gửi tin nhắn cho khách cũng như nhân viên của tiệm.

3. Loại dữ liệu và đối tượng

• Khách của tiệm: tên, số điện thoại, email, lịch hẹn và lần đến tiệm, ghi chú và nhãn do tiệm nhập, sự đồng ý nhận tin, tài khoản trên trang web của tiệm.
• Nhân viên của tiệm: tên, email, vai trò, giờ làm và ngày nghỉ, nhật ký đăng nhập và thay đổi.
• Dữ liệu kỹ thuật: địa chỉ IP và nhật ký sử dụng.
• Dữ liệu nhạy cảm (ví dụ thông tin sức khỏe như dị ứng) tiệm chỉ được ghi vào ghi chú khi có cơ sở pháp lý.
• Tài khoản Lichio của khách: chỉ liên kết của nó với thẻ khách hàng tại tiệm; bản thân tài khoản do Lichio quản lý với vai trò bên kiểm soát (xem Chính sách bảo mật).

4. Nghĩa vụ của bên xử lý

• Chỉ xử lý dữ liệu theo chỉ dẫn của khách hàng, thể hiện qua cài đặt và cách sử dụng dịch vụ.
• Ràng buộc nghĩa vụ bảo mật với mọi người có quyền truy cập.
• Áp dụng các biện pháp kỹ thuật và tổ chức theo mục 5.
• Hỗ trợ khách hàng xử lý yêu cầu của người có dữ liệu.
• Thông báo sự cố dữ liệu cá nhân không chậm trễ, chậm nhất 48 giờ sau khi phát hiện.
• Cung cấp thông tin cần thiết để chứng minh việc tuân thủ và cho phép kiểm tra khi đã thỏa thuận trước.
• Xóa dữ liệu khách sau thời hạn lưu mà khách hàng cài đặt (mặc định 36 tháng kể từ lần đến cuối) và xóa hoặc bàn giao theo yêu cầu bất cứ lúc nào.

5. Biện pháp kỹ thuật và tổ chức

• Kết nối mã hóa (HTTPS) và mã hóa thông tin truy cập dịch vụ bên ngoài.
• Tách dữ liệu của từng tiệm ở cấp cơ sở dữ liệu.
• Phân quyền theo vai trò, tài khoản cá nhân không dùng chung mật khẩu, nhật ký thay đổi.
• Sao lưu hằng ngày, lưu tại EU.
• Cập nhật máy chủ thường xuyên và giới hạn quyền quản trị.

6. Bên xử lý phụ

Khách hàng đồng ý chung cho việc sử dụng bên xử lý phụ. Danh sách hiện tại có trong Chính sách bảo mật. Chúng tôi báo trước qua email khi có thay đổi; khách hàng có thể phản đối và trong trường hợp đó có thể hủy hợp đồng. Bên xử lý phụ chịu cùng nghĩa vụ như chúng tôi.

7. Chuyển dữ liệu ra ngoài EU

Dữ liệu chỉ được chuyển ra ngoài EU khi có biện pháp bảo đảm theo Chương V GDPR, đặc biệt là điều khoản hợp đồng mẫu.

8. Kết thúc xử lý

Khi dịch vụ kết thúc, theo yêu cầu chúng tôi giao lại dữ liệu dạng máy đọc được và xóa trong vòng 30 ngày. Dữ liệu biến mất khỏi bản sao lưu trong 30 ngày tiếp theo, trừ khi luật yêu cầu lưu giữ.

9. Giao kết hợp đồng

Người có thẩm quyền giao kết hợp đồng này thay cho khách hàng cùng với đơn đặt dịch vụ và xác nhận lại khi đăng nhập ứng dụng lần đầu. Chúng tôi lưu phiên bản và thời điểm đồng ý.