Acord privind prelucrarea datelor

Cine răspunde pentru ce date

• Suntem operator, în sensul GDPR, pentru datele de cont ale tuturor utilizatorilor, clienți și furnizori deopotrivă, și pentru funcționarea platformei: căutare, rezervări, recenzii, facturarea abonamentelor, securitate și obligațiile noastre legale. Politica noastră de confidențialitate acoperă această prelucrare.
• Când un client te rezervă, primești numele lui, detaliile rezervării și mesajele lui. Ești operator independent pentru aceste date când le folosești ca să prestezi serviciul, să emiți factura clientului sau să îți îndeplinești propriile obligații legale, precum și pentru orice copie pe care o păstrezi în afara Bouncing Bison.
• Acționăm ca persoană împuternicită de tine atunci când stocăm și gestionăm date personale pentru afacerea ta, conform instrucțiunilor tale: evidențele rezervărilor tale, cu datele clienților din ele, conversațiile cu clienții, programul tău și notițele din el, precum și contactele de clienți pe care le imporți prin funcția de invitare. Acest Acord reglementează această prelucrare.

1. Obiectul și durata

Găzduim și gestionăm datele descrise la secțiunea 3 ca să poți administra prin Bouncing Bison rezervările, mesajele, programul și invitațiile către clienți. Prelucrarea durează cât timp folosești funcțiile de furnizor și încetează la ștergerea contului tău, conform secțiunii 5.

2. Natura și scopul

Stocarea, afișarea, organizarea, transmiterea (în aplicație și prin e-mail) și ștergerea datelor, exclusiv pentru a-ți pune la dispoziție funcțiile Serviciului de rezervare, mesagerie, programare și invitare.

3. Datele personale și persoanele vizate

Persoanele vizate sunt clienții tăi, persoanele care cer să te rezerve și persoanele pe care le inviți. Datele sunt numele și adresele lor de e-mail, datele, orele, prețurile și notițele rezervărilor, conținutul mesajelor, recenziile la anunțurile tale și orice scrii în notițele din program. Serviciul nu cere categorii speciale de date (articolul 9 GDPR). Nu introduce astfel de date în notițe sau mesaje decât dacă serviciul tău o cere și ai un temei legal.

4. Responsabilitățile și drepturile tale

Răspunzi pentru existența unui temei legal pentru prelucrare, pentru informarea clienților tăi conform articolelor 13 și 14 GDPR și pentru instrucțiunile pe care ni le dai. Modul în care folosești funcțiile Serviciului, împreună cu Termenii și cu acest Acord, constituie instrucțiunile tale documentate. Poți da instrucțiuni suplimentare prin e-mail la contactul de la secțiunea 9. Dacă o instrucțiune depășește ce poate face Serviciul, o putem refuza, iar tu îți poți încheia atunci abonamentul.

5. Obligațiile noastre

• Prelucrăm datele numai pe baza instrucțiunilor tale documentate, cu excepția cazului în care dreptul Uniunii sau al unui stat membru impune altceva. În acest caz te informăm înainte de prelucrare, dacă acel drept nu interzice acest lucru. Te anunțăm prompt dacă apreciem că o instrucțiune încalcă legislația privind protecția datelor.
• Toate persoanele pe care le autorizăm să prelucreze datele sunt obligate să păstreze confidențialitatea.
• Aplicăm măsurile tehnice și organizatorice din anexa de mai jos (articolul 32 GDPR). Le putem modifica atâta timp cât nivelul de protecție nu scade.
• Ne dai o autorizare generală să folosim subprocesatorii enumerați pe pagina noastră de subprocesatori. Anunțăm acolo orice adăugare sau înlocuire cu cel puțin 30 de zile înainte. Poți formula obiecții pe motive rezonabile de protecție a datelor în acest interval; dacă nu putem rezolva obiecția, îți poți încheia abonamentul înainte ca schimbarea să intre în vigoare. Impunem fiecărui subprocesator obligații de protecție a datelor echivalente cu cele din acest Acord și răspundem în continuare față de tine pentru activitatea lui.
• Te ajutăm să răspunzi cererilor persoanelor vizate conform capitolului III din GDPR, în principal prin funcțiile Serviciului. Dacă o persoană vizată ne întreabă direct despre date pe care le prelucrăm pentru tine, o îndrumăm către tine, cu excepția cazului în care cererea privește date pentru care suntem noi operator.
• Te ajutăm să îți îndeplinești obligațiile din articolele 32-36 GDPR (securitate, notificarea încălcărilor, evaluări ale impactului asupra protecției datelor și consultare prealabilă), ținând seama de natura prelucrării și de informațiile de care dispunem.
• Te notificăm fără întârzieri nejustificate după ce aflăm de o încălcare a securității datelor personale care afectează date pe care le prelucrăm pentru tine. Includem informațiile enumerate la articolul 33 alineatul (3) GDPR, în măsura în care le avem, și îți trimitem restul pe măsură ce le aflăm.
• Când contul tău este șters, ștergem datele pe care le prelucrăm pentru tine, cu excepția cazului în care dreptul Uniunii sau al unui stat membru ne obligă să le păstrăm ori deținem aceleași date în calitate de operator (de exemplu, o evidență de rezervare de care clientul tău încă are nevoie). Înainte să îți ștergi contul îți poți descărca datele de pe pagina Confidențialitate din contul tău.
• Îți punem la dispoziție informațiile necesare pentru a demonstra că respectăm articolul 28 GDPR și permitem și contribuim la audituri, inclusiv inspecții, efectuate de tine sau de un auditor mandatat de tine. Auditurile necesită o notificare prealabilă rezonabilă, au loc în timpul programului de lucru și nu trebuie să perturbe Serviciul sau să expună datele altor utilizatori. Fiecare parte își suportă propriile costuri.

6. Transferuri internaționale

Serverele aplicației, baza de date și stocarea fișierelor sunt configurate în Uniunea Europeană. Când un subprocesator prelucrează datele în afara Spațiului Economic European, transferul se bazează pe o decizie de adecvare a Comisiei Europene sau pe clauzele contractuale standard ale Comisiei, așa cum le oferă subprocesatorul respectiv. Pagina de subprocesatori arată unde prelucrează datele fiecare dintre ei.

7. Răspundere și ordinea de prioritate

Răspunderea în temeiul acestui Acord urmează Termenii și condițiile, cu excepția cazurilor în care GDPR nu permite limitarea răspunderii. Dacă acest Acord și Termenii se contrazic în privința prelucrării datelor personale, prevalează acest Acord.

8. Acceptare și modificări

Accepți acest Acord când începi un abonament sau apăsând Acceptă pe această pagină. Înregistrăm ce versiune ai acceptat și când. Anunțăm pe această pagină modificările importante înainte să intre în vigoare și îți cerem să accepți noua versiune.

9. Contact

Pentru orice legat de acest Acord, inclusiv instrucțiuni și cereri de audit, contactează Operatorul:

Companie

Technical Inside SRL

Număr de ordine în Registrul Comerțului

J2026044962009

Cod fiscal (CUI)

55236387

E-mail

[email protected]

Anexă: măsuri tehnice și organizatorice

Acestea sunt măsurile pe care Serviciul le aplică în prezent.

• Criptare în tranzit: site-ul este servit numai prin HTTPS. Furnizorul nostru de găzduire încheie conexiunea TLS și redirecționează HTTP simplu către HTTPS, iar browserelor li se cere să folosească în continuare HTTPS (HSTS).
• Găzduire: aplicația și baza ei de date PostgreSQL rulează pe Fly.io, la Frankfurt. Aplicația ajunge la baza de date prin rețeaua privată Fly.io, nu prin internetul public.
• Parolele sunt stocate doar ca hash-uri argon2id. O autentificare eșuată durează la fel de mult pentru o adresă de e-mail necunoscută ca pentru o parolă greșită, așa că timpii de răspuns nu dezvăluie ce conturi există.
• Sesiunile folosesc tokenuri aleatorii în cookie-uri marcate HttpOnly și SameSite=Lax, iar în producție și Secure. O sesiune expiră după 30 de zile, iar o resetare a parolei închide toate celelalte sesiuni.
• Controlul accesului: fiecare rezervare, mesaj, intrare din program și pagină de cont este verificată în raport cu utilizatorul autentificat înainte de a fi afișată sau modificată. Cine nu este parte la o rezervare primește același răspuns ca pentru o rezervare inexistentă. Paginile de administrare sunt limitate la conturile de administrator desemnate.
• Protecția cererilor: serverul respinge cererile care modifică date și vin de pe alte site-uri (o verificare Origin și Referer, pe lângă cookie-urile SameSite). O politică Content Security Policy limitează scripturile, cadrele și conexiunile pe care le poate folosi o pagină. Autentificarea, înregistrarea, resetarea parolei și ștergerea contului sunt limitate per adresă IP, la fel ca alte acțiuni de scriere și exporturile de date.
• Fișiere: fotografiile încărcate sunt păstrate în bucketuri private Cloudflare R2 și sunt servite doar prin aplicație. Încărcările trebuie să fie imagini, iar imaginile cu dimensiuni excesive sunt refuzate înainte de decodare.
• Plăți: datele cardului se introduc pe paginile găzduite de Stripe și nu ajung niciodată pe serverele noastre. Webhookurile Stripe sunt acceptate doar cu o semnătură validă.
• Dovada acceptării: fiecare acceptare este scrisă în baza de date și copiată într-un bucket de stocare privat separat.
• Jurnalizare: jurnalele noastre de cereri înregistrează metoda, calea, starea și durata fiecărei cereri. Nu conțin adrese IP sau valori ale cookie-urilor.
• Copii de siguranță: copiile de siguranță ale bazei de date sunt cele oferite de serviciul Managed Postgres al Fly.io.
• Păstrare: sesiunile expirate și linkurile expirate de resetare a parolei, evidențele vechi ale webhookurilor și notificările citite vechi sunt șterse automat, după calendarul din Politica noastră de confidențialitate.
• Drepturile persoanelor vizate: orice utilizator își poate descărca datele și își poate șterge contul din setările contului.