POLITYKA PRYWATNOŚCI VIVI ESTETIC SP. Z O.O.

1. Kto jest administratorem Twoich danych?

Administratorem Twoich danych osobowych jest Vivi Estetic Sp. z o.o. z siedzibą w Żorach (44-240) przy ul. Promiennej 6/10, wpisaną do rejestru przedsiębiorców KRS pod numerem: 0000929879, NIP: 6511739991 (dalej jako: „Administrator”).

Kontakt w sprawach ochrony danych osobowych możliwy jest pod adresem e-mail: salon@viviestetic.eu lub pisemnie na adres siedziby Spółki.

2. Jakie dane zbieramy i w jakim celu?

Twoje dane przetwarzamy w następujących celach:

• Realizacja usług (kosmetologia i masaż): przetwarzamy dane tożsamości (imię, nazwisko) oraz dane dotyczące zdrowia (tzw. szczególna kategoria danych – art. 9 RODO). Jest to niezbędne do wykluczenia przeciwwskazań, dobrania odpowiedniej terapii i zapewnienia bezpieczeństwa podczas zabiegu.

• Rezerwacja wizyt: imię, nazwisko, numer telefonu i e-mail w celu umówienia terminu i wysyłki przypomnień (system Booksy/Versum).

• Marketing (Newsletter i SMS): wysyłka informacji o promocjach i nowościach (tylko na podstawie Twojej dobrowolnej zgody).

• Monitoring wizyjny: wizerunek zarejestrowany na kamerach w recepcjach salonów (Żory i Pniówek) w celu zapewnienia bezpieczeństwa osób i mienia.

• Media Społecznościowe: obsługa zapytań i interakcji na naszych profilach Facebook oraz Instagram.

• Dochodzenie roszczeń i obrona praw: dane mogą być przetwarzane w celu ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami (np. procesy reklamacyjne).

• Obsługa przez asystenta AI: przetwarzanie Twojego głosu i treści rozmowy przez system Agentki Kasi w celu automatyzacji zapisu na masaże i zabiegi, weryfikacji dostępności terminów oraz poprawy jakości obsługi klienta (na podstawie art. 6 ust. 1 lit. a oraz b RODO).

3. Podstawa prawna przetwarzania (RODO)

Działamy zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO):

• Art. 6 ust. 1 lit. b RODO: wykonanie umowy o świadczenie usług.

• Art. 9 ust. 2 lit. a RODO: Twoja wyraźna, pisemna zgoda na przetwarzanie danych o zdrowiu (Karta Klienta).

• Art. 6 ust. 1 lit. f RODO: nasz prawnie uzasadniony interes (monitoring, marketing własny, dochodzenie roszczeń).

• Art. 6 ust. 1 lit. a RODO: Twoja zgoda na działania marketingowe (newsletter, SMS).

4. Komu przekazujemy Twoje dane (Odbiorcy danych)?

Twoje dane powierzamy wyłącznie sprawdzonym podmiotom:

1. Versum / Booksy International Sp. z o.o. – system rezerwacyjny.

2. MailerLite Limited – narzędzie mailingowe.

3. Vercom S.A. (SerwerSMS.pl) – powiadomienia SMS.

4. Meta Platforms Ireland Ltd. – w zakresie interakcji społecznościowych i narzędzi biznesowych Meta.

5. Podmioty IT i księgowe – obsługa techniczna i rozliczeniowa.

6. ElevenLabs Inc. (Stany Zjednoczone) – w zakresie obsługi inteligentnego asystenta głosowego (Agentka Kasia). Podmiot ten przetwarza nagrania głosowe oraz transkrypcje rozmów w celu umożliwienia automatycznej rezerwacji wizyt i obsługi klienta.

5. Jak długo przechowujemy dane?

• Dokumentacja zabiegowa: przez okres 5 lat, licząc od końca roku kalendarzowego, w którym wykonano ostatnią usługę (okres przedawnienia roszczeń cywilnoprawnych).

• Dane marketingowe: do momentu wycofania przez Ciebie zgody lub wniesienia sprzeciwu.

• Monitoring: nagrania przechowywane są maksymalnie do 30 dni i automatycznie nadpisywane, chyba że nagranie stanowi dowód w sprawie.

6. Czy podanie danych jest obowiązkowe? (Wymóg prawny)

• Realizacja usługi: Podanie danych kontaktowych oraz danych o stanie zdrowia jest dobrowolne, ale niezbędne (wymóg umowny) do wykonania zabiegu. Odmowa podania informacji o stanie zdrowia skutkuje odmową wykonania usługi ze względów bezpieczeństwa.

• Marketing: Podanie danych w celach marketingowych jest całkowicie dobrowolne. Brak zgody nie wpływa na możliwość korzystania z usług salonu.

7. Twoje uprawnienia i sposób ich realizacji

Zgodnie z RODO przysługują Ci następujące prawa:

• Prawo dostępu do danych (art. 15 RODO): masz prawo otrzymać od nas informację, czy i jakie Twoje dane przetwarzamy.

• Prawo do sprostowania danych (art. 16 RODO): jeśli Twoje dane są nieaktualne lub błędne.

• Prawo do usunięcia danych („prawo do bycia zapomnianym” – art. 17 RODO): możesz żądać usunięcia danych, jeśli nie są już niezbędne do celów, dla których zostały zebrane, lub jeśli cofnąłeś zgodę (dotyczy to np. danych marketingowych). Uwaga: Nie możemy usunąć dokumentacji medycznej/zabiegowej przed upływem terminów dochodzenia roszczeń.

• Prawo do ograniczenia przetwarzania (art. 18 RODO).

• Prawo do przenoszenia danych (art. 20 RODO).

• Prawo do wniesienia sprzeciwu (art. 21 RODO).

Jak wycofać zgodę? W każdej chwili masz prawo cofnąć udzieloną zgodę na przetwarzanie danych (np. marketingowych). Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem. Aby skorzystać ze swoich praw, wyślij wiadomość na adres: salon@viviestetic.eu.

Masz również prawo wnieść skargę do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeśli uznasz, że przetwarzamy Twoje dane niezgodnie z prawem.

8. Skanowanie i bezpieczeństwo

Twoje pisemne zgody i Karty Klienta są skanowane i przechowywane w formie zaszyfrowanej w systemie Versum/Booksy. Oryginały papierowe są niszczone w sposób bezpieczny. Takie rozwiązanie minimalizuje ryzyko dostępu osób niepowołanych do dokumentacji papierowej.

9. Przekazywanie danych poza EOG

W przypadku korzystania z narzędzi marketingowych (MailerLite) lub społecznościowych (Meta), Twoje dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym. Dostawcy ci zapewniają jednak odpowiedni stopień ochrony zgodny z wymogami RODO (np. poprzez standardowe klauzule umowne lub decyzje stwierdzające odpowiedni stopień ochrony).

Informujemy, że w związku z korzystaniem z technologii ElevenLabs, Twoje dane w postaci nagrania głosu oraz jego transkrypcji mogą być przekazywane do Stanów Zjednoczonych. ElevenLabs Inc. zapewnia wysoki stopień ochrony danych osobowych poprzez stosowanie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską oraz dba o bezpieczeństwo danych zgodnie z wymogami RODO.

10. Procedury dotyczące żądań organów publicznych

W przypadku otrzymania oficjalnego żądania od organów publicznych (np. policji, organów bezpieczeństwa narodowego) o udostępnienie danych osobowych użytkowników, Administrator:

• Weryfikuje legalność żądania pod kątem merytorycznym i formalnym.

• Stosuje zasadę minimalizacji, udostępniając wyłącznie dane niezbędne do realizacji konkretnego celu prawnego.

• Dokumentuje każde żądanie, w tym podstawę prawną, zakres udostępnionych danych oraz podmiot wnioskujący.

• Zastrzega sobie prawo do zakwestionowania żądania, jeśli zostanie ono uznane za bezprawne lub wykraczające poza uprawnienia organu.