Denne databehandleravtalen (heretter kalt Avtalen) fastsetter vilkårene for at Fysisk person med næringsvirksomhet etter lovene i Ukraina, Serdiukova Anna (heretter kalt Administrasjonen eller Databehandler), behandler personopplysningene til kundene og medarbeiderne til en Bruker av PodoCard-tjenesten på vegne av og etter instruks fra denne Brukeren ved levering av Tjenesten.
Avtalen supplerer Vilkår for bruk av PodoCard-tjenesten og Personvernerklæringen, som er publisert på nettstedet https://podocard.com, og gjelder sammen med dem. Avtalen er en adhesjonsavtale i henhold til artikkel 634 i sivilloven i Ukraina. Brukeren tiltrer Avtalen (aksepterer den) når han eller hun godtar Vilkår for bruk og legger inn personopplysninger om Brukerens kunder eller Brukerens medarbeidere i Tjenesten, herunder når han eller hun slår på mottak av bookinger via Siden for nettbooking.
Avtalen er utarbeidet i samsvar med loven i Ukraina «Om beskyttelse av personopplysninger» av 01.06.2010 nr. 2297-VI og, for Brukere som er omfattet av den generelle personvernforordningen (EU) 2016/679 (GDPR), også i samsvar med artikkel 28 i GDPR.
Sist oppdatert: 29. oktober 2026.
AVSNITT 1: TERMINOLOGI
I Avtalen brukes begrepene i Vilkår for bruk og Personvernerklæringen (herunder «Tjenesten», «Nettstedet», «Bruker», «Brukerens kunde», «Kundeprofil», «CRM-funksjoner», «Siden for nettbooking», «Brukerens medarbeider») samt følgende begreper:
«Behandlingsansvarlig» — den Brukeren som er eier av en bedrift i Tjenesten, eller, hvis bedriftens kontoplass føres for en juridisk person eller en fysisk person med næringsvirksomhet, denne personen. Behandlingsansvarlig fastsetter formålene med og midlene for behandlingen av Overlatte data og er i henhold til terminologien i loven i Ukraina «Om beskyttelse av personopplysninger» eier av dem.
«Databehandler» — Administrasjonen, som behandler Overlatte data på vegne av og etter instruks fra Behandlingsansvarlig; i henhold til terminologien i loven i Ukraina «Om beskyttelse av personopplysninger» — behandler av personopplysninger.
«Overlatte data» — personopplysninger om Brukerens kunder og Brukerens medarbeidere som legges inn i bedriftens kontoplass av Behandlingsansvarlig, Brukerens medarbeidere eller Brukerens kunder selv via Siden for nettbooking, og som Databehandler behandler etter instruks fra Behandlingsansvarlig. Sammensetningen av dem er angitt i vedlegg 1.
«Registrert» — en fysisk person som Overlatte data gjelder.
«Underdatabehandler» — en tredjepart som Databehandler engasjerer i behandlingen av Overlatte data.
«Hendelse» — et brudd på sikkerheten som har ført til utilsiktet eller ulovlig tilintetgjøring, tap, endring eller ikke-autorisert utlevering av Overlatte data eller ikke-autorisert tilgang til dem.
«Personvernlovgivning» — loven i Ukraina «Om beskyttelse av personopplysninger» samt GDPR og andre lover om beskyttelse av personopplysninger, hvis de gjelder for Behandlingsansvarlig.
AVSNITT 2: AVTALENS GJENSTAND OG VIRKEOMRÅDE
2.1. Behandlingsansvarlig gir Databehandler i oppdrag, og Databehandler forplikter seg til, å behandle Overlatte data utelukkende for å levere Tjenesten til Behandlingsansvarlig i samsvar med Vilkår for bruk, yte teknisk støtte for Tjenesten og beskytte den. Behandlingens art og formål, kategoriene av data og av Registrerte samt behandlingens varighet er angitt i vedlegg 1.
2.2. Avtalen gjelder ikke personopplysninger der formålene med og midlene for behandlingen fastsettes av Administrasjonen selv som eier (behandlingsansvarlig): kontodata for Brukere, herunder for Brukerens medarbeidere som brukere av Tjenesten; data om betaling av abonnementet; teknisk informasjon, informasjonskapsler og analysedata; data om deltakere i partner- (henvisnings)programmet. Behandlingen av slike data er regulert av Personvernerklæringen.
2.3. Ved motstrid mellom Avtalen og Vilkår for bruk eller Personvernerklæringen når det gjelder behandlingen av Overlatte data, gjelder bestemmelsene i Avtalen.
AVSNITT 3: PLIKTER FOR BEHANDLINGSANSVARLIG
3.1. Behandlingsansvarlig fastsetter selv formålene med behandlingen av Overlatte data og er ansvarlig for at behandlingen er lovlig, herunder for:
at det finnes et forsvarlig rettslig grunnlag for behandlingen, herunder samtykke fra Brukerens kunder til behandling av opplysninger om helsetilstand, fotografier og signaturer, hvis slikt samtykke kreves etter lovgivningen;
at de Registrerte informeres om formålene, sammensetningen og varigheten av behandlingen av dataene deres, samt om at dataene behandles ved hjelp av Tjenesten;
at dataene som legges inn, er korrekte og oppdaterte og samsvarer med formålene med behandlingen.
3.2. Instrukser som Behandlingsansvarlig gir Databehandler, skal være i samsvar med Personvernlovgivningen.
3.3. Behandlingsansvarlig tildeler Brukerens medarbeidere roller og filialer slik at tilgangen deres til data samsvarer med arbeidet de utfører, og deaktiverer eller sletter i tide kontoene til Brukerens medarbeidere som har sluttet. Handlinger som Brukerens medarbeidere utfører i bedriftens kontoplass, anses som handlinger utført av Behandlingsansvarlig.
3.4. Behandlingsansvarlig sørger for beskyttelse av passordene og enhetene som Behandlingsansvarlig selv og Brukerens medarbeidere logger inn i Tjenesten fra, og er ansvarlig for Overlatte data som er hentet ut av Tjenesten: eksporten, PDF-dokumenter, fotografier og andre nedlastede filer.
3.5. Behandlingsansvarlig behandler og oppfyller selv henvendelser fra Registrerte (avsnitt 7).
AVSNITT 4: PLIKTER FOR DATABEHANDLER
4.1. Databehandler behandler Overlatte data bare etter dokumenterte instrukser fra Behandlingsansvarlig, herunder når det gjelder overføring av data til utlandet (avsnitt 9), med mindre noe annet kreves etter lovgivning som gjelder for Databehandler. I så fall underretter Databehandler Behandlingsansvarlig om dette kravet før behandlingen starter, med mindre loven forbyr slik underretning.
4.2. Dokumenterte instrukser fra Behandlingsansvarlig er: Avtalen og Vilkår for bruk; handlinger som Behandlingsansvarlig og Brukerens medarbeidere utfører i Tjenesten (innlegging, endring og sletting av data, innstillinger for bedriften og filialene, aktivering av CRM-funksjonene og Siden for nettbooking, sending av dokumenter til kunder); skriftlige henvendelser fra bedriftseieren til støttetjenesten på support@podocard.com, herunder anmodning om eksport av data. Andre instrukser utføres hvis de er teknisk gjennomførbare innenfor rammen av Tjenesten og er avtalt mellom partene.
4.3. Databehandler underretter umiddelbart Behandlingsansvarlig hvis en instruks fra Behandlingsansvarlig etter Databehandlers oppfatning er i strid med Personvernlovgivningen.
4.4. Databehandler bruker ikke Overlatte data til egne formål, herunder markedsføring, selger dem ikke og overfører dem ikke til tredjeparter, med unntak av Underdatabehandlere (avsnitt 6) og de tilfellene loven fastsetter. Databehandler sender ikke reklamemeldinger til Brukerens kunder.
4.5. Databehandler gir tilgang til Overlatte data bare til personer som trenger det for å levere, støtte og beskytte Tjenesten, og sørger for at de har forpliktet seg til å overholde konfidensialitet eller er forpliktet til det i henhold til lov. Slike personer ser innholdet i Kundeprofiler bare når det er nødvendig for å behandle Brukerens henvendelse til støttetjenesten, rette en teknisk feil eller oppfylle rettslige krav.
4.6. Databehandler iverksetter tekniske og organisatoriske tiltak for å beskytte Overlatte data (avsnitt 5 og vedlegg 3), bistår Behandlingsansvarlig med å oppfylle sine plikter (avsnitt 7 og 8) og gir den informasjonen som er nødvendig for å påvise at Avtalen overholdes (avsnitt 10).
AVSNITT 5: SIKKERHET VED BEHANDLINGEN
5.1. Med hensyn til arten av Overlatte data, herunder opplysninger om helsetilstand, anvender Databehandler tiltakene som er angitt i vedlegg 3, og opprettholder nivået på dem i hele Avtalens gyldighetsperiode. Databehandler har rett til å endre enkelte tiltak, forutsatt at det samlede beskyttelsesnivået for Overlatte data ikke reduseres.
5.2. En del av tiltakene er under kontroll av Behandlingsansvarlig selv: tildeling av roller og filialer til Brukerens medarbeidere, rettidig deaktivering av kontoene deres, sterke passord, beskyttelse av enheter, deaktivering av nettbooking for en filial, en av Brukerens medarbeidere eller en kunde. Behandlingsansvarlig vurderer selv om tiltakene til Databehandler er tilstrekkelige for sin egen behandling.
AVSNITT 6: UNDERDATABEHANDLERE
6.1. Behandlingsansvarlig gir Databehandler generell tillatelse til å engasjere Underdatabehandlere. Den gjeldende listen over Underdatabehandlere er angitt i vedlegg 2.
6.2. Databehandler varsler om at en ny Underdatabehandler planlegges engasjert, eller at en eksisterende planlegges erstattet, ved å publisere et oppdatert vedlegg 2 på Nettstedet med angivelse av datoen da endringen trer i kraft, senest 14 (fjorten) kalenderdager før denne datoen.
6.3. Før den angitte datoen har Behandlingsansvarlig rett til å sende en begrunnet innsigelse til support@podocard.com. Hvis partene ikke kommer til enighet, har Behandlingsansvarlig rett til å slutte å bruke Tjenesten før endringen trer i kraft: få en eksport av data og slette kontoen etter fremgangsmåten i avsnitt 11.
6.4. Hvis det er nødvendig å skifte ut en Underdatabehandler uten opphold for å ivareta sikkerheten eller kontinuiteten i driften av Tjenesten, har Databehandler rett til å gjøre dette uten forhåndsvarsel, forutsatt at et sammenlignbart nivå av databeskyttelse opprettholdes, og publiserer snarest mulig et oppdatert vedlegg 2. Behandlingsansvarlig har rett til å gjøre innsigelse mot en slik utskifting etter fremgangsmåten i punkt 6.3.
6.5. Databehandler engasjerer Underdatabehandlere bare på grunnlag av en avtale som pålegger dem plikter når det gjelder databeskyttelse, som ikke er mindre strenge enn pliktene fastsatt i Avtalen, i den grad de gjelder for tjenestene til Underdatabehandleren, og er ansvarlig overfor Behandlingsansvarlig for at Underdatabehandlerne oppfyller slike plikter.
AVSNITT 7: HENVENDELSER FRA REGISTRERTE
7.1. Tjenesten gjør det mulig for Behandlingsansvarlig selv å oppfylle henvendelser fra Registrerte: se, rette og slette data om en kunde, kundens besøk og bookinger, slå av nettbooking for kunden og få en kopi av dataene i bedriftens kontoplass (en eksport) etter fremgangsmåten som er fastsatt i Personvernerklæringen.
7.2. Hvis en henvendelse fra en Registrert kommer til Databehandler, realitetsbehandler Databehandler den ikke, men videresender den til eieren av den aktuelle bedriften, hvis bedriften kan identifiseres ut fra opplysningene i henvendelsen, og informerer avsenderen om at vedkommende må henvende seg til Behandlingsansvarlig for å utøve sine rettigheter.
7.3. Hvis Behandlingsansvarlig ikke kan oppfylle en henvendelse ved hjelp av Tjenestens verktøy, bistår Databehandler etter anmodning fra bedriftseieren innenfor rimelige grenser med å oppfylle den, med hensyn til behandlingens art.
AVSNITT 8: HENDELSER OG BISTAND TIL BEHANDLINGSANSVARLIG
8.1. Databehandler varsler Behandlingsansvarlig om en Hendelse umiddelbart, uten ugrunnet opphold etter å ha fått kjennskap til den. Varselet sendes til bedriftseierens e-postadresse som er oppgitt i kontoen, og/eller som en melding i Tjenesten.
8.2. Varselet inneholder, i den grad Databehandler kjenner til disse opplysningene: en beskrivelse av Hendelsen, kategoriene og omtrentlig antall berørte Registrerte og registreringer av personopplysninger, de sannsynlige konsekvensene, tiltak som er iverksatt og foreslått, og en kontakt for å få ytterligere informasjon. Opplysninger som ikke er kjent på tidspunktet for varselet, gir Databehandler trinnvis etter hvert som de blir tilgjengelige.
8.3. Databehandler iverksetter umiddelbart rimelige tiltak for å avhjelpe Hendelsen og begrense konsekvensene av den, og gir Behandlingsansvarlig de opplysningene som er nødvendige for å varsle tilsynsmyndigheten og de Registrerte. Slike varsler sendes, hvis de kreves, av Behandlingsansvarlig.
8.4. Med hensyn til behandlingens art og informasjonen som er tilgjengelig for Databehandler, bistår Databehandler Behandlingsansvarlig med vurdering av personvernkonsekvenser og med forhåndsdrøftinger med tilsynsmyndigheten, hvis dette kreves for Behandlingsansvarlig, ved å gi opplysninger om Tjenesten og de anvendte beskyttelsestiltakene.
AVSNITT 9: BEHANDLINGSSTED OG OVERFØRING AV DATA TIL UTLANDET
9.1. Overlatte data lagres på servere som befinner seg i Forbundsrepublikken Tyskland, i datasentrene til Hetzner Online GmbH (Nürnberg, Falkenstein). Sikkerhetskopier av databasen lagres i et eget lager hos samme leverandør i Tyskland. Lagringsstedet for Overlatte data endres etter fremgangsmåten i avsnitt 6.
9.2. Databehandler er registrert i Ukraina. Tilgang til Overlatte data for Databehandlers autoriserte personer med sikte på støtte, vedlikehold og beskyttelse av Tjenesten kan skje utenfor Det europeiske økonomiske samarbeidsområdet, herunder fra Ukraina.
9.3. Hvis GDPR gjelder for Behandlingsansvarlig og slik tilgang utgjør en overføring av personopplysninger til et land som Europakommisjonen ikke har truffet beslutning om tilstrekkelig beskyttelsesnivå for, gjelder for slik overføring standard personvernbestemmelser vedtatt ved Kommisjonens gjennomføringsbeslutning (EU) 2021/914 av 4. juni 2021, modul 2 «fra behandlingsansvarlig til databehandler» (heretter kalt SCC). SCC innlemmes i Avtalen ved henvisning; Behandlingsansvarlig opptrer der som dataeksportør, Databehandler som dataimportør. Med henblikk på SCC gjelder følgende: klausul 7 får ikke anvendelse; etter klausul 9 bokstav a gjelder alternativ 2 (generell tillatelse) med varslingsfristen som er angitt i punkt 6.2 i Avtalen; den valgfrie formuleringen i klausul 11 bokstav a får ikke anvendelse; etter klausul 17 gjelder lovgivningen i den EU-medlemsstaten der Behandlingsansvarlig er etablert, og hvis denne lovgivningen ikke gir rettigheter for tredjepartsbegunstigede, lovgivningen i Forbundsrepublikken Tyskland; etter klausul 18 behandles tvister av domstolene i den EU-medlemsstaten der Behandlingsansvarlig er etablert; vedlegg I, II og III til SCC anses som utfylt med opplysningene i henholdsvis vedlegg 1, 3 og 2 til Avtalen. Ved motstrid mellom Avtalen og SCC har SCC forrang.
AVSNITT 10: INFORMASJON OG KONTROLLER
10.1. Etter anmodning fra bedriftseieren gir Databehandler den informasjonen som er nødvendig for å påvise at Avtalen overholdes: en beskrivelse av de anvendte beskyttelsestiltakene, listen over Underdatabehandlere, opplysninger om sertifiseringen til infrastrukturleverandøren og svar på rimelige spørsmål fra Behandlingsansvarlig om behandlingen av Overlatte data.
10.2. Hvis slik informasjon ikke er tilstrekkelig, eller tilsynsmyndigheten krever en kontroll, har Behandlingsansvarlig rett til å gjennomføre en kontroll (revisjon) av behandlingen av Overlatte data selv eller ved hjelp av en uavhengig revisor som er bundet av en konfidensialitetsforpliktelse. Kontrollen gjennomføres høyst én gang i løpet av 12 (tolv) måneder, med mindre den er foranlediget av en Hendelse eller et krav fra tilsynsmyndigheten, med varsel til Databehandler minst 30 (tretti) kalenderdager i forveien, i arbeidstiden, uten tilgang til data om andre brukere av Tjenesten og på bekostning av Behandlingsansvarlig. Infrastrukturen til Underdatabehandlerne kontrolleres på grunnlag av deres rapporter og sertifikater.
AVSNITT 11: VARIGHET, TILBAKELEVERING OG SLETTING AV DATA
11.1. Avtalen trer i kraft ved aksept og gjelder så lenge Databehandler behandler Overlatte data fra Behandlingsansvarlig, frem til de slettes i samsvar med dette avsnittet.
11.2. Kunder, besøk og bookinger i kalenderen som Behandlingsansvarlig eller Brukerens medarbeidere sletter i Tjenesten, flyttes til arkivet og kan gjenopprettes i 30 (tretti) kalenderdager. Når denne perioden er utløpt, slettes de automatisk uten mulighet for gjenoppretting, sammen med fotografiene og dokumentene som hører til dem. Bookinger i kalenderen som det er registrert betalinger for, slettes likevel ikke, men lagres i bedriftens kontoplass, og etter at kunden er slettet — uten tilknytning til kunden.
11.3. Kopien av e-postadressen og navnet til Brukerens kunde fra skjemaet på Siden for nettbooking, som lagres for å sende påminnelser om besøket, slettes 30 (tretti) dager etter at besøket har startet.
11.4. Før dataene slettes, har bedriftseieren rett til kostnadsfritt å få en kopi av dataene i bedriftens kontoplass (en eksport). Eksportens innhold, format og fremgangsmåte er fastsatt i Personvernerklæringen.
11.5. Hvis bedriftseieren sletter kontoen sin, slettes bedriftens kontoplass og alle Overlatte data uten mulighet for gjenoppretting når 7 (syv) kalenderdager har gått fra det øyeblikket anmodningen om sletting ble bekreftet. Før denne perioden utløper, kan anmodningen avbrytes etter fremgangsmåten som er fastsatt i Vilkår for bruk.
11.6. Hvis tilgangen til Tjenesten er avsluttet ved utløpet av prøveperioden eller den betalte perioden, og kontoen ikke er slettet, lagres Overlatte data slik at Behandlingsansvarlig kan gjenopprette tilgangen: i 2 (to) måneder fra slutten av prøveperioden, hvis det ikke er kjøpt et betalt abonnement, eller i 2 (to) år fra slutten av den siste betalte perioden. Når disse periodene er utløpt, slettes dataene automatisk uten mulighet for gjenoppretting. Behandlingsansvarlig som ikke ønsker slik lagring, har rett til når som helst å slette kontoen etter fremgangsmåten i punkt 11.5.
11.7. Fra sikkerhetskopiene slettes Overlatte data etter hvert som sikkerhetskopiene erstattes etter planen. Inntil da beskyttes sikkerhetskopiene med de samme tiltakene og brukes bare til å gjenopprette Tjenesten etter driftsforstyrrelser.
11.8. Hvis lovgivningen krever at Databehandler fortsetter å lagre enkelte Overlatte data, lagrer Databehandler dem bare i den fastsatte perioden, sikrer konfidensialiteten deres og behandler dem ikke for andre formål.
AVSNITT 12: ANSVAR
12.1. Partene er ansvarlige for brudd på Avtalen i samsvar med gjeldende lovgivning. Ansvarsbegrensningene som er fastsatt i Vilkår for bruk, gjelder for Avtalen i den grad Personvernlovgivningen tillater det, og begrenser ikke rettighetene til de Registrerte.
AVSNITT 13: AVSLUTTENDE BESTEMMELSER
13.1. Administrasjonen har rett til å endre Avtalen ved å publisere en ny versjon på Nettstedet med angivelse av datoen for siste oppdatering. Endringer i listen over Underdatabehandlere gjøres etter fremgangsmåten i avsnitt 6. Fortsatt bruk av Tjenesten etter at den nye versjonen har trådt i kraft, innebærer samtykke til den. Hvis Brukeren ikke er enig, har han eller hun rett til å slutte å bruke Tjenesten og slette kontoen.
13.2. Avtalen er underlagt lovgivningen i Ukraina, med forbehold om ufravikelige regler i Personvernlovgivningen som gjelder for Behandlingsansvarlig, og om avsnitt 9. Tvister løses etter fremgangsmåten som er fastsatt i Vilkår for bruk.
13.3. Varsler til Behandlingsansvarlig sendes til bedriftseierens e-postadresse som er oppgitt i kontoen, eller som en melding i Tjenesten; til Databehandler — til support@podocard.com.
13.4. At en enkelt bestemmelse i Avtalen er ugyldig, medfører ikke at de øvrige bestemmelsene i Avtalen er ugyldige.
VEDLEGG 1: BESKRIVELSE AV BEHANDLINGEN
1. Kategorier av Registrerte:
Brukerens kunder, herunder personer som har bestilt time via Siden for nettbooking;
Brukerens medarbeidere — når det gjelder data som bedriften legger inn i Tjenesten.
2. Kategorier av Overlatte data:
data om Brukerens kunder: etternavn, fornavn, farsnavn, kjønn, fødselsdato, yrke; telefonnummer, e-postadresse, kontakter på Telegram og Instagram; medisinsk spørreskjema (opplysninger om sykdommer og tilstander, allergier, fotstørrelse, notater); besøkshistorikk (beskrivelse av prosedyrer, markeringer på fotdiagrammer, opplysninger om korrigerende systemer, notater, fotografier, herunder før og etter prosedyrer); elektroniske signaturer og signerte dokumenter, herunder informerte samtykker i PDF-format; andre opplysninger og filer som Behandlingsansvarlig legger inn;
ved bruk av CRM-funksjonene: bookinger (dato og tidspunkt, filial, spesialist, tjenester og prisene på dem, bookingens status, kommentarer), opplysninger om betalinger for bookinger (beløp, betalingsmåte, dato) og om oppgjør med kunder, tillatelse for kunden til å bestille time via Siden for nettbooking;
ved bestilling via Siden for nettbooking: fornavn, etternavn, telefonnummer og e-postadresse som er oppgitt i skjemaet, valgte tjenester, spesialist, dato og tidspunkt samt avkrysningen for samtykke til behandling av personopplysninger (dato og tidspunkt, IP-adresse, opplysninger om nettleseren, dokumentets versjon);
data om Brukerens medarbeidere: fornavn, etternavn, kontaktopplysninger, stilling, bilde (avatar), rolle og filialer, arbeidsplan (arbeidsdager og arbeidstid, pauser, fridager), kundenes bookinger og utførte tjenester, lønnsvilkår (prosent av prisen på tjenestene og/eller fast sats), hvis Behandlingsansvarlig angir dem, og godtgjørelsesbeløpene som beregnes på grunnlag av dem.
3. Særlige kategorier av personopplysninger: opplysninger om helsetilstanden til Brukerens kunder (medisinsk spørreskjema, beskrivelser av prosedyrer, fotografier). Omfanget av behandlingen av dem fastsettes av Behandlingsansvarlig.
4. Behandlingens art: innsamling, herunder via Siden for nettbooking; registrering, systematisering, lagring og endring; visning for brukerne av bedriftens kontoplass i samsvar med deres roller og filialer; generering av PDF-dokumenter, rapporter og beregninger; sending av e-post — dokumenter til kunden på kundens e-postadresse, e-poster om bookinger og påminnelser om besøk til Brukerens kunder, meldinger om bookinger via Siden for nettbooking til bedriftseieren samt til lederne og administratorene i filialen; visning av fornavn, etternavn, stilling og bilde av spesialistene på Siden for nettbooking; beskyttelse mot misbruk; sikkerhetskopiering; eksport; sletting.
5. Formål med behandlingen: levering av Tjenesten og dens funksjoner til Behandlingsansvarlig, teknisk støtte til Behandlingsansvarlig, sikring av sikkerheten og kontinuiteten i driften av Tjenesten, gjenoppretting etter driftsforstyrrelser.
6. Behandlingens varighet: i Avtalens gyldighetsperiode (avsnitt 11).
VEDLEGG 2: UNDERDATABEHANDLERE
Listen gjelder fra 29. oktober 2026.
Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Tyskland) — skyinfrastruktur for Tjenesten: servere, database, lager for fotografier og dokumenter, sikkerhetskopier. Behandlingssted — Tyskland (datasentre i Nürnberg og Falkenstein).
E-poster fra Tjenesten, herunder til Brukerens kunder, sendes via Databehandlers egen e-postserver. Betalingsleverandørene, appbutikkene og analysetjenestene som er nevnt i Personvernerklæringen, er ikke Underdatabehandlere: de mottar bare de opplysningene om Brukeren som er nødvendige for å utføre funksjonene deres, og har ingen tilgang til Kundeprofiler.
VEDLEGG 3: TEKNISKE OG ORGANISATORISKE TILTAK
1. Plassering. Tjenestens servere og sikkerhetskopier er plassert i datasentrene til Hetzner Online GmbH i Tyskland. Leverandørens styringssystem for informasjonssikkerhet er sertifisert etter den internasjonale standarden ISO/IEC 27001.
2. Beskyttelse av dataoverføring. Datautveksling mellom mobilappen, nettstedet og Tjenestens servere skjer utelukkende over en beskyttet forbindelse (HTTPS/TLS).
3. Lagring av filer. Fotografier og dokumenter oppbevares i et privat lager og er ikke tilgjengelige via permanente direkte lenker: appen gir tilgang til dem gjennom midlertidige lenker med begrenset gyldighetstid.
4. Tilgang til infrastrukturen. Databasen er ikke tilgjengelig fra Internett. Administrativ tilgang til serverne har bare Databehandlers autoriserte tekniske personale ved hjelp av nøkkelbasert autentisering.
5. Kontoer. Passord lagres bare i form av kryptografiske hash-verdier. Tilgang til Tjenesten gis ved hjelp av tokener med begrenset gyldighetstid; etter tilbakestilling av passordet trekkes tidligere utstedte tokener tilbake. Antall forsøk på innlogging og inntasting av bekreftelseskoder er begrenset.
6. Tilgangsstyring. Bedriftens data er bare tilgjengelige for brukerne av bedriftens kontoplass. Omfanget av tilgangen til Brukerens medarbeidere bestemmes av rollen deres (eier, leder, administrator, spesialist), og ved bruk av CRM-funksjonene også av filialene de er knyttet til; blant annet vises ikke kontaktopplysningene til Brukerens kunder for en spesialist. Roller og tilknytning til filialer tildeles av bedriftseieren og lederne.
7. Databehandlers personale. Personer som har fått tilgang til Overlatte data, er forpliktet til å overholde konfidensialitet og ser innholdet i Kundeprofiler bare i tilfellene som er angitt i punkt 4.5 i Avtalen.
8. Siden for nettbooking. Antall forespørsler og bookinger begrenses per IP-adresse, telefonnummer og e-postadresse; disse verdiene brukes i form av hash-verdier i midlertidige tellere, som slettes automatisk når begrensningsperioden er utløpt. Lenken for å avbestille en booking inneholder en kode som ikke kan gjettes, og bare hash-verdien av koden lagres i databasen. På Siden for nettbooking og på siden for avbestilling av bookingen brukes verken Meta-pikselen eller andre reklame- og analyseverktøy.
9. Logger. Feil og driftsforstyrrelser registreres i logger for å overvåke driften av Tjenesten; passord, tokener og bekreftelseskoder maskeres i loggene.
10. Sikkerhetskopiering. Sikkerhetskopier av databasen opprettes jevnlig og lagres i et eget lager i Tyskland.
11. Sletting. Slettede kunder, besøk og bookinger oppbevares i arkivet i 30 (tretti) kalenderdager og slettes deretter automatisk; dataene i bedriftens kontoplass slettes automatisk når lagringsperiodene er utløpt (avsnitt 11 i Avtalen).
12. Eksport. En kopi av dataene i bedriftens kontoplass utleveres bare til bedriftseieren: nedlastingslenken sendes bare til e-postadressen i eierens konto og er gyldig i 7 (syv) kalenderdager, hvoretter arkivet slettes fra Tjenestens servere.
OPPLYSNINGER
Fysisk person med næringsvirksomhet etter lovene i Ukraina, Serdiukova Anna
TIN 3117915209
Tel. +380731234011
E-post: support@podocard.com