Политика конфиденциальности

Контролёр персональных данных

Контролёром персональных данных является SHODO j.d.o.o. (бренд EPIL ZAGREB), Drage Gervaisa 44, Zagreb, Croatia. ОИБ: будет обновлено после регистрации компании. Компания не является плательщиком НДС.

Контакт по вопросам конфиденциальности и защиты данных: epilzagreb@gmail.com.

Данные, которые мы обрабатываем, и цели обработки

• Учётная запись клиента: имя, контактные данные, пароль (в защищённом виде) — для создания и ведения личного кабинета.
• Бронирование без предварительной регистрации (гостевое бронирование): при таком бронировании личный кабинет создаётся автоматически на основе введённых контактных данных, чтобы клиент мог видеть историю своих записей.
• Бронирования: выбранная услуга, дата, время, специалист, статус записи — для организации и оказания услуги.
• Платежи: сведения об операции и её статусе через платёжного провайдера Stripe — мы никогда не храним полные данные банковской карты.
• Анкета о состоянии здоровья и противопоказаниях: сведения об особой категории (ст. 9 GDPR) — для безопасного проведения процедуры.
• Записи о процедурах: дата, вид процедуры, зона, специалист, заметки, рекомендации по уходу — для профессиональной документации и преемственности лечения.
• Фотографии «до/после»: для внутренней документации процедур и, при отдельном согласии, для маркетинговых целей.
• Программа лояльности: накопленные баллы и история их использования.
• Заказы в магазине/резервирование товаров и заказы напитков в салоне: для обработки и выдачи заказа.
• Уведомления: технические и сервисные сообщения о статусе записи, оплаты и т. п.
• Обращения в поддержку и жалобы: содержание обращения и контактные данные — для ответа на запрос.

Правовые основания обработки

• Исполнение договора и меры, предпринимаемые до его заключения (ст. 6(1)(b) GDPR) — учётная запись, бронирование, платежи, программа лояльности.
• Явно выраженное согласие (ст. 6(1)(a) и ст. 9(2)(a) GDPR) — анкета о здоровье, фотографии, маркетинговые сообщения.
• Законное обязательство (ст. 6(1)(c) GDPR) — выставление счетов и бухгалтерский учёт.
• Законный интерес (ст. 6(1)(f) GDPR) — обеспечение безопасности, предотвращение злоупотреблений, обработка жалоб.

Данные особой категории

[ТРЕБУЕТ ПРОВЕРКИ ЮРИСТОМ В ХОРВАТИИ]

Сведения о заболеваниях, приёме лекарств, беременности, аллергиях, состоянии кожи, гормональной терапии и т. п. являются данными особой категории по ст. 9 GDPR. Они обрабатываются исключительно на основании вашего явного согласия и только в объёме, необходимом для безопасного проведения процедуры.

Доступ к таким данным строго ограничен по ролям: специалист, непосредственно проводящий процедуру (при необходимости), г-жа Anastasiia Vando и уполномоченные администраторы. Каждое обращение к чувствительным данным фиксируется в журнале доступа.

История ответов на анкету версионируется: ранее данные ответы не удаляются и не перезаписываются без сохранения предыдущей версии.

Получатели данных и обработчики

Доступ к данным имеют только уполномоченные сотрудники в объёме, необходимом для выполнения их обязанностей. Часть данных обрабатывается по нашему поручению внешними поставщиками услуг (обработчиками) — их перечень и статус приведены в документе «Реестр обработчиков данных».

Мы не продаём персональные данные третьим лицам.

Международная передача данных

[ТРЕБУЕТ ПРОВЕРКИ ЮРИСТОМ В ХОРВАТИИ]

Если используемый нами поставщик услуг обрабатывает данные за пределами Европейской экономической зоны, применяются соответствующие гарантии согласно главе V GDPR (например, стандартные договорные положения). Конкретные условия по каждому поставщику подтверждаются в реестре обработчиков.

Сроки хранения

[ТРЕБУЕТ ПРОВЕРКИ ЮРИСТОМ В ХОРВАТИИ]

Данные хранятся не дольше, чем это необходимо для целей обработки, с учётом требований законодательства (в частности, бухгалтерского и налогового), а также для защиты от юридических претензий. Фотографии хранятся длительный срок в целях документации и доказательства проведённого лечения, но не бессрочно и с учётом политики хранения и последующего пересмотра в соответствии с GDPR.

Безопасность данных

Мы применяем технические и организационные меры защиты: шифрование соединений, аутентификацию пользователей, разграничение доступа по ролям, ограничения доступа на уровне базы данных и приватное (не публичное) хранение фотографий.

Несовершеннолетние

Услуги оказываются клиентам не младше 11 лет и только в период полового созревания, исключительно при наличии согласия и подтверждении личности родителя или законного представителя, зафиксированных в системе. Запись клиентов младше 11 лет невозможна.

Автоматизированное принятие решений

Мы не применяем автоматизированное принятие решений и профилирование, которые порождали бы юридические последствия или иным образом существенно затрагивали бы вас.

Ваши права

Вы имеете право на доступ, исправление, удаление, ограничение обработки, переносимость данных, возражение против обработки и отзыв согласия. Подробное описание прав и порядка их реализации приведено в документе «Права по GDPR».

Изменения политики

Мы можем обновлять настоящую политику. Действующая версия и дата обновления указаны в верхней части документа. Вопросы направляйте на epilzagreb@gmail.com.