Договор поручения обработки данных

• Оператор (контролёр) обработки: бизнес — владелец аккаунта Stampaz, с юридическими данными, указанными им в Настройках.
• Обработчик данных: Miranda Network, S.L., NIF B-75866194, адрес: Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), контакт: support@mirandanetwork.es.

Обработчик обрабатывает данные только для оказания услуги карт лояльности: регистрация клиентов, учёт штампов, баллов и наград, выпуск и обновление карт в Apple Wallet и Google Wallet, отправка уведомлений по решению оператора, статистика и обеспечение прав клиентов.

Операции: сбор, запись, хранение, просмотр, изменение, передача Apple и Google для выпуска карты, экспорт и удаление.

Поручение действует, пока у бизнеса есть аккаунт в Stampaz.

• Субъекты данных: клиенты оператора, которые записываются в его программу лояльности, и сотрудники его команды, использующие сканер.
• Данные: имя; email, телефон и дата рождения, если их запрашивает оператор; история визитов, штампов, баллов и наград; предпочтения относительно предложений; подтверждение согласия (дата, время и версия текста); технические идентификаторы карты.
• Специальные категории данных и данные о местоположении не обрабатываются: уведомление о близости определяет телефон клиента.

Оператор даёт инструкции через настройки своей панели: какие данные запрашивать, какие уведомления отправлять, как долго хранить неактивных клиентов (от 6 до 60 месяцев) и какую юридическую информацию показывать клиенту. При регистрации клиент видит первый уровень информации с данными оператора, а Stampaz сохраняет подтверждение его согласия.

Если обработчик сочтёт, что инструкция нарушает законодательство, он сообщит об этом оператору.

• Обрабатывать данные только в соответствии с документированными инструкциями оператора и не использовать их в собственных целях.
• Обеспечивать конфиденциальность со стороны лиц, допущенных к обработке данных.
• Применять меры безопасности по статье 32 GDPR: шифрование при передаче, изоляция данных по бизнесам, контроль доступа, резервное копирование и журналирование доступа.
• Помогать оператору обеспечивать права субъектов данных. Клиенты могут исправить и скачать свои данные, отказаться от предложений и удалить всё из своей карты; запросы, поступившие обработчику, передаются оператору без промедления.
• Уведомлять оператора об утечках данных без неоправданной задержки и в любом случае не позднее 48 часов с момента, когда о них стало известно, с имеющейся информацией.
• При необходимости помогать оператору с оценкой воздействия и консультациями с надзорным органом.
• Предоставлять оператору информацию, необходимую для подтверждения соблюдения требований, и допускать разумные аудиты с предварительным уведомлением за 30 дней и за счёт оператора.
• Вести реестр операций обработки в качестве обработчика.

Оператор даёт общее разрешение на привлечение следующих субобработчиков:

• Supabase: база данных, аутентификация и хранилище (размещение в ЕС).
• Vercel: хостинг приложения, работающего в его регионе Франкфурт (Европейский союз).
• Apple и Google: выпуск и обновление карт в их Wallet (только содержимое карты: имя, штампы или баллы и код).

Мы сообщим о любой смене субобработчиков не менее чем за 15 дней, чтобы оператор мог возразить; если он возражает и альтернативы нет, он может отменить подписку. Каждый субобработчик несёт равнозначные обязательства. Передача данных за пределы ЕЭЗ осуществляется с гарантиями главы V GDPR (решения о достаточности защиты, например Рамочная программа конфиденциальности данных ЕС–США, или стандартные договорные положения).

• Указать свои юридические данные в Настройках, информировать клиентов и иметь действительное правовое основание.
• Отправлять предложения только тем, кто на них согласился, и не злоупотреблять уведомлениями.
• Следить за тем, чтобы его персонал соблюдал GDPR и берёг доступ к сканеру.

По окончании подписки обработчик автоматически удаляет все данные через 30 дней. В течение этого срока оператор может их экспортировать (JSON). Если оператор удаляет свой аккаунт, удаление происходит немедленно. В заблокированном виде сохраняются только данные, хранение которых требует закон.