GDPR

GDPR loči upravljavca, ki odloča, zakaj in kako se podatki obdelujejo, in obdelovalca, ki jih obdeluje po njegovih navodilih. V ONtime se ti vlogi menjata glede na to, za katere podatke gre:

Praktično: če ste stranka salona, se z zahtevkom obrnite na salon. Če ste salon, ste za svoje stranke upravljavec vi — tudi kadar podatke v resnici hrani naš sistem.

Kam poslati zahtevek. Za podatke o rezervacijah na salon, pri katerem ste rezervirali. Za vse ostalo na E-NASLOV ZA GDPR ZAHTEVKE. Če vam salon ne odgovori v enem mesecu, pišite nam in mu bomo pri odgovoru pomagali.

Rok. En mesec, izjemoma trije, o čemer vas obvestimo. Odgovor je brezplačen; plačilo smemo zahtevati le pri očitno neutemeljenih ali pretiranih ponavljajočih se zahtevah.

Pritožba. Informacijski pooblaščenec RS, Dunajska cesta 22, 1000 Ljubljana, www.ip-rs.si.

To povemo naravnost, ker je pogost vir nesporazumov. Gumb za brisanje stranke v aplikaciji odstrani kartico stranke, ne pa vseh njenih sledi. Ime, telefonska številka in elektronski naslov ostanejo:

• na že opravljenih terminih v zgodovini,
• na izdanih računih,
• v dnevniku poslanih in prejetih sporočil,
• na morebitnih darilnih bonih,
• v varnostnih kopijah, dokler te ne potečejo.

Za popoln izbris je potreben naš poseg. Zahtevo izvedemo v 30 dneh in pisno sporočimo, kaj je bilo izbrisano in kaj je bilo treba ohraniti. Podatkov z izdanih računov ne moremo izbrisati — hrambo zahteva davčna zakonodaja, sistem pa izbrisa fiskalnih zapisov niti ne dopušča.

Če pride do kršitve, ki zadeva podatke salona, salon obvestimo brez nepotrebnega odlašanja, najpozneje v 48 urah od ugotovitve, in mu posredujemo, kar vemo o naravi kršitve, obsegu in ukrepih.

Priglasitev nadzornemu organu v 72 urah in obveščanje prizadetih posameznikov je obveznost upravljavca — za podatke strank torej salona, za podatke o platformi pa naša.

ONtime je programsko orodje. Skladnost z GDPR ni funkcija, ki bi jo bilo mogoče vklopiti — nekaj stvari mora salon urediti sam. Spodnji seznam ni pravno mnenje, je pa dober izhodiščni pregled.

1. Lastna politika zasebnosti in objava na vaših površinah: spletni strani, družbenih omrežjih, v salonu.
2. Evidenca dejavnosti obdelave po členu 30 GDPR. Izjema za manjše organizacije v praksi skoraj nikoli ne velja, ker obdelava strank ni priložnostna.
3. Pogodba o obdelavi z vsakim ponudnikom, ki zna do podatkov vaših strank: z nami je sklenjena s standardnimi pogodbenimi določili, potrebujete pa jo tudi z računovodstvom, z izdelovalcem spletne strani in podobnimi.
4. Obveščanje strank ob zbiranju podatkov — tudi ko termin vpišete ročno po telefonu. V tem primeru stranka ne gre skozi spletni obrazec in privolitve ne da; podlaga je izvajanje pogodbe, obvestiti pa jo je vseeno treba.
5. Zaveza zaposlenih k zaupnosti in dodelitev le tistih dovoljenj, ki jih za delo potrebujejo. Aplikacija omogoča, da posameznemu zaposlenemu skrijete telefonske številke in elektronske naslove strank.
6. Previdnost pri prostih poljih. V opombe o stranki ne vpisujte podatkov o zdravju, alergijah ali drugih občutljivih okoliščinah, če za to nimate posebne podlage.
7. Če vgradite rezervacijski gradnik na svojo spletno stran: v svoji politiki razkrijte, da se pri tem naloži storitev za zaščito pred zlorabo obrazcev in da se ob napaki pošlje tehnično sporočilo z naslovom IP obiskovalca.
8. Obravnava zahtevkov strank — določite, kdo jih v salonu sprejema in v kakšnem roku odgovori.
9. Neposredno trženje pošiljajte le tistim, ki so v to privolili, in vedno z možnostjo odjave. Sporočila, ki jih pošilja ONtime, so vezana na termin in trženjska niso.

• Podatki so ločeni po salonih na ravni podatkovne baze.
• Osrednja obdelava poteka v Evropski uniji.
• Analitika na javnih straneh teče brez piškotkov.
• Snemanja obiskovalcev javnih strani ni.
• Poverilnice in digitalna potrdila so v bazi šifrirani.
• Varnostne kopije so šifrirane in se redno preizkusijo z obnovo.
• Naslovi strani se pred analitiko in beleženjem napak očistijo dostopnih žetonov.
• Fiskalni zapisi so zaščiteni pred spreminjanjem in izbrisom.
• Vpogled v kontaktne podatke strank je mogoče omejiti po posameznem zaposlenem.

Podrobnosti so v Prilogi C standardnih pogodbenih določil.

Ali ONtime podatke prodaja ali uporablja za oglaševanje? Ne. Podatki se uporabljajo za zagotavljanje storitve. Za razvoj uporabljamo statistiko uporabe v obliki, ki ne omogoča prepoznavanja posameznika.

Ali umetna inteligenca vidi podatke strank? Ne. Jezikovni model uporabljamo samo za klepetalnega pomočnika na predstavitveni strani. Ta nima dostopa do baze; prejme le besedilo, ki ga obiskovalec sam vpiše, in naša javna pogosta vprašanja.

Ali so podatki v Sloveniji? Ne v celoti. Baza je v Nemčiji, aplikacija na Irskem, sporočila SMS pa gredo prek slovenskega operaterja ali prek naše naprave v Sloveniji. Izjeme in prenosi izven EGP so našteti v izjavi o zasebnosti.

Ali potrebujem pasico o piškotkih? Za javno stran za rezervacije ne — tam se v napravo ne shrani nič. Za svojo spletno stran presodite sami, glede na to, kaj še uporabljate.