Договір доручення обробки даних

• Контролер даних: бізнес — власник акаунта Stampaz, з юридичними даними, вказаними в Налаштуваннях.
• Обробник даних: Miranda Network, S.L., NIF B-75866194, адреса: Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), контакт: support@mirandanetwork.es.

Обробник обробляє дані лише для надання сервісу карток лояльності: реєстрації клієнтів, обліку штампів, балів і нагород, випуску та оновлення карток в Apple Wallet і Google Wallet, надсилання сповіщень, про які вирішує контролер, статистики та задоволення запитів клієнтів щодо їхніх прав.

Операції: збирання, запис, зберігання, перегляд, зміна, передача Apple і Google для випуску картки, експорт і видалення.

Доручення діє, доки бізнес має акаунт у Stampaz.

• Суб'єкти даних: клієнти контролера, що реєструються в його програмі лояльності, і члени його команди, які користуються сканером.
• Дані: ім'я; email, телефон і дата народження, якщо контролер їх запитує; історія візитів, штампів, балів і нагород; налаштування щодо пропозицій; доказ згоди (дата, час і версія тексту); технічні ідентифікатори картки.
• Особливі категорії даних і дані геолокації не обробляються: про сповіщення поблизу вирішує телефон клієнта.

Контролер дає інструкції через налаштування своєї панелі: які дані запитувати, які сповіщення надсилати, як довго зберігати неактивних клієнтів (від 6 до 60 місяців) і яку юридичну інформацію показувати клієнту. Під час реєстрації клієнт бачить перший рівень інформації з даними контролера, а Stampaz зберігає доказ його згоди.

Якщо обробник вважає, що інструкція порушує законодавство, він повідомить про це контролера.

• Обробляти дані лише згідно із задокументованими інструкціями контролера і не використовувати їх для власних цілей.
• Забезпечувати конфіденційність з боку осіб, уповноважених обробляти дані.
• Застосовувати заходи безпеки за статтею 32 GDPR: шифрування під час передачі, ізоляцію даних кожного бізнесу, контроль доступу, резервні копії та журнал доступу.
• Допомагати контролеру задовольняти запити суб'єктів даних щодо їхніх прав. Клієнти можуть виправити й завантажити свої дані, відмовитися від пропозицій і видалити все у своїй картці; запити, що надходять обробнику, без зволікань передаються контролеру.
• Повідомляти контролера про порушення безпеки без невиправданої затримки і в будь-якому разі не пізніше ніж через 48 годин після того, як про них стало відомо, з наявною інформацією.
• Допомагати контролеру, коли це доречно, з оцінками впливу та консультаціями з наглядовим органом.
• Надавати контролеру інформацію, необхідну для підтвердження відповідності, і дозволяти розумні аудити з попередженням за 30 днів і за рахунок контролера.
• Вести реєстр діяльності з обробки як обробник.

Контролер надає загальний дозвіл на залучення таких субобробників:

• Supabase: база даних, автентифікація та сховище (розміщення в ЄС).
• Vercel: хостинг застосунку, що працює в його регіоні Франкфурт (Європейський Союз).
• Apple і Google: випуск і оновлення карток у їхніх Wallet (лише вміст картки: ім'я, штампи чи бали та код).

Ми повідомлятимемо щонайменше за 15 днів про будь-яку зміну субобробників, щоб контролер міг заперечити; якщо він заперечить і альтернативи немає, він може скасувати підписку. Кожен субобробник має рівноцінні зобов'язання. Передачі за межі ЄЕЗ здійснюються з гарантіями глави V GDPR (рішення про адекватність, як-от Рамкова програма конфіденційності даних ЄС–США, або стандартні договірні положення).

• Вказати свої юридичні дані в Налаштуваннях, інформувати клієнтів і мати дійсну правову підставу.
• Надсилати пропозиції лише тим, хто на них погодився, і не зловживати сповіщеннями.
• Стежити, щоб його персонал дотримувався GDPR і берег доступ до сканера.

Після завершення підписки обробник автоматично видаляє всі дані через 30 днів. Протягом цього строку контролер може їх експортувати (JSON). Якщо контролер видаляє свій акаунт, видалення відбувається одразу. Заблокованими зберігатимуться лише ті дані, які вимагає зберігати закон.