Hợp đồng xử lý dữ liệu

• Bên kiểm soát dữ liệu: cửa hàng sở hữu tài khoản Stampaz, với thông tin pháp lý được cung cấp trong Cài đặt.
• Bên xử lý dữ liệu: Miranda Network, S.L., NIF B-75866194, địa chỉ tại Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), liên hệ support@mirandanetwork.es.

Bên xử lý chỉ xử lý dữ liệu để cung cấp dịch vụ thẻ khách hàng thân thiết: đăng ký khách hàng, quản lý tem, điểm và phần thưởng, phát hành và cập nhật thẻ trên Apple Wallet và Google Wallet, gửi các thông báo do bên kiểm soát quyết định, thống kê và hỗ trợ thực hiện quyền của khách hàng.

Các hoạt động: thu thập, ghi nhận, lưu trữ, tra cứu, sửa đổi, cung cấp cho Apple và Google để phát hành thẻ, xuất và xóa.

Việc xử lý kéo dài trong thời gian cửa hàng có tài khoản trên Stampaz.

• Chủ thể dữ liệu: khách hàng của bên kiểm soát đăng ký tham gia chương trình khách hàng thân thiết và các nhân viên của họ sử dụng máy quét.
• Dữ liệu: tên; email, số điện thoại và ngày sinh nếu bên kiểm soát yêu cầu; lịch sử lượt ghé, tem, điểm và phần thưởng; tùy chọn nhận ưu đãi; bằng chứng về sự đồng ý (ngày, giờ và phiên bản văn bản); mã định danh kỹ thuật của thẻ.
• Không xử lý các loại dữ liệu đặc biệt hay dữ liệu vị trí: thông báo khi ở gần do điện thoại của khách hàng quyết định.

Bên kiểm soát đưa ra chỉ thị thông qua cấu hình bảng điều khiển: yêu cầu dữ liệu nào, gửi thông báo nào, lưu khách hàng không hoạt động trong bao lâu (từ 6 đến 60 tháng) và hiển thị thông tin pháp lý nào cho khách hàng. Khi đăng ký, khách hàng thấy lớp thông tin đầu tiên với dữ liệu của bên kiểm soát, và Stampaz lưu bằng chứng về sự đồng ý của họ.

Nếu bên xử lý cho rằng một chỉ thị vi phạm quy định, bên xử lý sẽ thông báo cho bên kiểm soát.

• Chỉ xử lý dữ liệu theo chỉ thị bằng văn bản của bên kiểm soát và không sử dụng cho mục đích riêng.
• Bảo đảm tính bảo mật của những người được phép xử lý dữ liệu.
• Áp dụng các biện pháp bảo mật theo điều 32 GDPR: mã hóa khi truyền tải, tách biệt dữ liệu theo cửa hàng, kiểm soát truy cập, sao lưu và ghi nhật ký truy cập.
• Hỗ trợ bên kiểm soát đáp ứng quyền của chủ thể dữ liệu. Khách hàng có thể chỉnh sửa và tải dữ liệu, ngừng nhận ưu đãi và xóa tất cả từ thẻ của mình; các yêu cầu gửi đến bên xử lý sẽ được chuyển cho bên kiểm soát không chậm trễ.
• Thông báo cho bên kiểm soát về các vi phạm bảo mật không chậm trễ quá mức và, trong mọi trường hợp, trong vòng tối đa 48 giờ kể từ khi biết được, kèm theo thông tin hiện có.
• Hỗ trợ bên kiểm soát, khi cần, trong việc đánh giá tác động và tham vấn cơ quan giám sát.
• Cung cấp cho bên kiểm soát thông tin cần thiết để chứng minh việc tuân thủ và cho phép kiểm toán hợp lý, với thông báo trước 30 ngày và do bên kiểm soát chịu chi phí.
• Lưu giữ hồ sơ các hoạt động xử lý với tư cách bên xử lý.

Bên kiểm soát cho phép chung đối với các bên xử lý phụ sau:

• Supabase: cơ sở dữ liệu, xác thực và lưu trữ (máy chủ tại EU).
• Vercel: lưu trữ ứng dụng, chạy tại khu vực Frankfurt (Liên minh Châu Âu).
• Apple và Google: phát hành và cập nhật thẻ trong Wallet của họ (chỉ nội dung thẻ: tên, tem hoặc điểm và mã).

Chúng tôi sẽ thông báo trước ít nhất 15 ngày về mọi thay đổi bên xử lý phụ để bên kiểm soát có thể phản đối; nếu phản đối và không có phương án thay thế, bên kiểm soát có thể hủy. Mỗi bên xử lý phụ đều phải tuân theo các nghĩa vụ tương đương. Việc chuyển dữ liệu ra ngoài EEA được thực hiện với các bảo đảm của chương V GDPR (quyết định về mức độ bảo vệ tương xứng, như Khung Quyền riêng tư Dữ liệu EU-Hoa Kỳ, hoặc các điều khoản hợp đồng mẫu).

• Điền thông tin pháp lý trong Cài đặt, thông tin cho khách hàng và có cơ sở pháp lý hợp lệ.
• Chỉ gửi ưu đãi cho người đã đồng ý và không lạm dụng thông báo.
• Bảo đảm nhân viên tuân thủ GDPR và bảo vệ quyền truy cập máy quét.

Khi gói đăng ký kết thúc, bên xử lý tự động xóa toàn bộ dữ liệu sau 30 ngày. Trong thời gian đó, bên kiểm soát có thể xuất dữ liệu (JSON). Nếu bên kiểm soát xóa tài khoản, việc xóa có hiệu lực ngay lập tức. Chỉ những dữ liệu mà pháp luật bắt buộc lưu giữ mới được lưu ở trạng thái phong tỏa.