1. Przedmiot i czas trwania

Przedmiotem powierzenia jest przetwarzanie danych osobowych Klientów dokonujących rezerwacji usług, stolików i zasobów przez System Seatly Bookings. Powierzenie trwa przez okres obowiązywania umowy SaaS z Usługodawcą.

2. Charakter i cel przetwarzania

Przetwarzanie odbywa się wyłącznie w celu umożliwienia Usługodawcy zarządzania rezerwacjami i harmonogramem. Obejmuje: zbieranie danych, utrwalanie, harmonogramowanie, powiadamianie i udostępnianie raportów Usługodawcy.

3. Kategorie danych i osób

• Kategorie osób: Klienci rezerwujący wizyty, stoliki, gabinety lub inne zasoby Usługodawcy.
• Zakres danych: Imię, nazwisko, e-mail, telefon, wybrana usługa i pracownik, data i godzina wizyty, numer stolika/zasobu, metadane płatności zaliczkowej, notatki Usługodawcy w karcie klienta.

4. Obowiązki Podmiotu Przetwarzającego (Seatly)

• Polecenia Administratora: Dane przetwarzane wyłącznie zgodnie z konfiguracją systemu przez Usługodawcę.
• Poufność: Zobowiązanie osób mających dostęp do danych do zachowania tajemnicy.
• Bezpieczeństwo: Szyfrowanie TLS 1.3, kontrola dostępu oparta na rolach, regularne backupy (art. 32 RODO).
• Wsparcie praw podmiotów danych: Pomoc w realizacji żądań dostępu, usunięcia i przeniesienia danych klientów Usługodawcy.

5. Podpowierzenie (Sub-processing)

Usługodawca wyraża ogólną zgodę na korzystanie z następujących sub-procesorów:

• Stripe Payments Europe, Ltd. — pobieranie i zwrot zaliczek/zadatków.
• Supabase / AWS Frankfurt — baza danych i hosting infrastruktury.
• Resend, Inc. — wysyłka potwierdzeń i przypomnień e-mail.
• Hetzner Online GmbH (Niemcy, UE) — serwery aplikacji Seatly.
• PayU S.A. (Polska) — płatności, gdy Usługodawca podłączy własne konto PayU.
• SMSAPI — LINK Mobility Poland sp. z o.o. (UE) — wysyłka SMS, o ile aktywowana przez Usługodawcę.

6. Prawo do audytu

Usługodawca ma prawo do audytu przestrzegania zasad ochrony danych, po uprzednim zawiadomieniu z min. 14-dniowym wyprzedzeniem.

7. Zakończenie przetwarzania

Po rozwiązaniu umowy Seatly usuwa lub anonimizuje dane Rezerwujących, chyba że prawo nakazuje ich dalsze przechowywanie.