Polityka prywatności ShowyHair

1 Administrator i kontakt

Administratorem danych osobowych jest Aurea Enterprises sp. z o.o., właściciel marki ShowyHair, z siedzibą przy placu Bankowym 2, 00-095 Warszawa, NIP 9591956107. Salon ShowyHair znajduje się przy ul. Wynalazek 3F, 02-677 Warszawa. W tej polityce określenia „my”, „nas” i „ShowyHair” oznaczają administratora.

W sprawach prywatności i realizacji swoich praw możesz skorzystać z formularza kontaktowego na https://showyhair.pl, złożyć pismo w salonie lub wysłać je na adres siedziby spółki. Wskaż, czego dotyczy Twoje zgłoszenie i jak możemy przekazać odpowiedź. Nie wymagamy zakładania konta ani zgody na marketing, aby skorzystać z praw dotyczących danych.

Przypomnienia o wizytach wysyłamy przez Booksy oraz z telefonu salonu 510 15 15 11. Informacje o prywatności udostępniamy również osobom korzystającym z salonu bez odwiedzania strony internetowej.

2 Jakie dane otrzymujemy i skąd pochodzą

W zależności od sposobu korzystania z naszych usług przetwarzamy imię i nazwisko, numer telefonu, adres e-mail, dane rezerwacji, historię wizyt i zabiegów, informacje o użytych preparatach, preferencjach i stanie włosów, treść korespondencji, dane rozliczeniowe i dane potrzebne do wystawienia faktury. Nie każda z tych informacji jest potrzebna przy każdej wizycie.

Osobne zasady dotyczą informacji o zdrowiu, zdjęć i filmów oraz monitoringu; opisujemy je poniżej. Przy korzystaniu ze strony przetwarzane mogą być także adres IP, informacje o urządzeniu i przeglądarce, czas połączenia oraz identyfikatory cookies i podobnych technologii, zależnie od Twoich ustawień zgód.

Dane otrzymujemy przede wszystkim od Ciebie, podczas rezerwacji i wizyty, przez formularz lub w korespondencji. Dane rezerwacji mogą trafiać do nas przez Booksy, a informacje o płatności przez Stripe. Jeżeli wizytę umawia rodzic, opiekun lub inna osoba, możemy otrzymać od niej dane niezbędne do obsługi rezerwacji.

3 Po co wykorzystujemy dane i na jakiej podstawie

Rezerwacja i wykonanie usługi

Dane niezbędne do umówienia wizyty, potwierdzenia terminu, wysłania przypomnienia, wykonania usługi, przekazania zaleceń oraz obsługi płatności przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO, czyli w celu zawarcia lub wykonania umowy. Ta sama podstawa dotyczy obsługi zakupu kosmetyków i voucherów w salonie oraz uczestnictwa w zamówionym programie lojalnościowym.

Podanie danych niezbędnych do konkretnej rezerwacji lub usługi jest warunkiem jej obsługi. Bez danych kontaktowych możemy nie móc potwierdzić terminu lub poinformować o jego zmianie. Dodatkowe preferencje podajesz dobrowolnie. Zwykłe przypomnienie o umówionej wizycie jest komunikacją związaną z obsługą usługi.

Kontakt oraz historia współpracy

Na pytania o rezerwację i usługę odpowiadamy w ramach działań przed zawarciem umowy. Pozostałą korespondencję oraz podstawową historię wykonanych usług, potrzebną do kontynuacji obsługi, przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO. Naszym interesem jest sprawna komunikacja i zachowanie ciągłości obsługi. Podstawa ta nie zastępuje wymaganej przesłanki przetwarzania danych dotyczących zdrowia.

Rozliczenia oraz reklamacje

Dane potrzebne do wystawienia dokumentów sprzedaży, prowadzenia ksiąg i wykonania obowiązków podatkowych przetwarzamy na podstawie art. 6 ust. 1 lit. c RODO oraz właściwych przepisów podatkowych i o rachunkowości. Podanie wymaganych danych rozliczeniowych jest obowiązkiem wynikającym z tych przepisów.

Reklamacje obsługujemy w celu wykonania umowy i obowiązków prawnych, zgodnie z art. 6 ust. 1 lit. b lub c RODO. Dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO; naszym interesem jest ochrona praw salonu i wyjaśnianie sporów. Jeżeli w konkretnej sprawie niezbędne są dane dotyczące zdrowia, dodatkową przesłanką może być art. 9 ust. 2 lit. f RODO. Nie oznacza to przechowywania całej dokumentacji bez ograniczeń.

4 Informacje o zdrowiu i dobór zabiegu

Przy doborze zabiegu możemy pytać o alergie, choroby skóry głowy, przyjmowane leki, ciążę lub inne przeciwwskazania, w zakresie rzeczywiście potrzebnym do oceny bezpieczeństwa danego zabiegu. Informacje te mogą stanowić dane dotyczące zdrowia. Dotyczy to również zdjęć skóry głowy i opisów diagnostycznych, jeżeli ujawniają informacje o zdrowiu.

Przetwarzanie takich danych w celu oceny przeciwwskazań, doboru pielęgnacji i dokumentowania jej przebiegu opieramy na odrębnej, wyraźnej zgodzie: art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO. Zgodę możesz wycofać przez formularz kontaktowy albo w salonie. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Podanie tych informacji jest dobrowolne. Jeśli bez niezbędnej informacji nie możemy ocenić bezpieczeństwa określonego zabiegu, możemy zaproponować inną usługę albo odstąpić od tego zabiegu. Nie uzależniamy pozostałych usług od podawania informacji o zdrowiu, które nie są do nich potrzebne. Nie wykorzystujemy tych danych do marketingu ani dobierania reklam.

5 Zdjęcia i filmy

Zdjęcia i filmy mogą dokumentować stan włosów oraz efekty zabiegów. Odrębnie określamy zgodę na ich wykonanie i zachowanie w dokumentacji oraz zgodę na publikację. Podstawą przetwarzania materiałów opartych na zgodzie jest art. 6 ust. 1 lit. a RODO, a jeśli ujawniają zdrowie, dodatkowo art. 9 ust. 2 lit. a RODO.

Materiały publikujemy wyłącznie po uzyskaniu pisemnej zgody, w zakresie i kanałach wskazanych w tej zgodzie, bez pokazywania twarzy klientki lub klienta. Brak twarzy nie zawsze uniemożliwia rozpoznanie osoby, dlatego nie traktujemy automatycznie takich materiałów jako anonimowych. Odmowa publikacji nie wpływa na możliwość skorzystania z usługi.

Zgodę możesz wycofać przez formularz lub w salonie. Zaprzestaniemy wówczas dalszego wykorzystywania materiałów w objętym cofnięciem zakresie i usuniemy publikacje z kanałów, którymi zarządzamy, chyba że istnieje inna podstawa zachowania określonych danych. Nie możemy zagwarantować usunięcia niezależnych kopii rozpowszechnionych przez inne osoby, lecz podejmiemy działania wymagane przez RODO.

6 Osoby niepełnoletnie

Obsługujemy również osoby niepełnoletnie. Przetwarzamy tylko dane potrzebne do rezerwacji, bezpiecznego wykonania zabiegu i rozliczenia usługi oraz, gdy jest to potrzebne, dane kontaktowe rodzica lub opiekuna. Zasady wyrażania zgód i reprezentacji uwzględniają wiek dziecka oraz rodzaj czynności.

Przy dokumentowaniu zdrowia i publikacji materiałów dotyczących dziecka ustalamy osobę uprawnioną do wyrażenia zgody oraz uwzględniamy dojrzałość i stanowisko dziecka. Sprzeciw wobec publikacji respektujemy. Po osiągnięciu pełnoletności klient samodzielnie decyduje o dalszym obowiązywaniu wcześniej udzielonych zgód. Nie kierujemy spersonalizowanych reklam na podstawie danych o zdrowiu ani do dzieci na podstawie ich danych z karty klienta.

7 Marketing i program lojalnościowy

Newsletter oraz oferty przesyłane e-mailem lub SMS-em wysyłamy po uzyskaniu odpowiedniej zgody. Przetwarzanie danych do tych celów opieramy na art. 6 ust. 1 lit. a RODO, a zgodę na kontakt danym kanałem uzyskujemy zgodnie z art. 398 ustawy Prawo komunikacji elektronicznej. Wskazujemy, kto będzie nadawcą i jakich wiadomości dotyczy zgoda.

Możesz zrezygnować z marketingu przez formularz kontaktowy, składając oświadczenie w salonie lub używając sposobu rezygnacji podanego w wiadomości. Rezygnacja jest bezpłatna i nie wpływa na obsługę umówionej wizyty. Danych o zdrowiu oraz zdjęć diagnostycznych nie używamy do tworzenia grup odbiorców reklam. Dane programu lojalnościowego wykorzystujemy do naliczania i realizacji uprawnień zgodnie z jego zasadami.

8 Kto może otrzymywać dane

Nie sprzedajemy danych klientów. Korzystamy jednak z dostawców usług, którym udostępniamy lub powierzamy dane w zakresie potrzebnym do ich zadań. Dostęp wewnątrz spółki mają upoważnione osoby zajmujące się obsługą klienta, rozliczeniami i IT, stosownie do swoich obowiązków.

Booksy International sp. z o.o. obsługuje rezerwacje, kalendarz i przypomnienia. W zakresie usług świadczonych dla salonu może przetwarzać dane w naszym imieniu; w zakresie własnej platformy i kont użytkowników działa również jako odrębny administrator. Zasady Booksy: https://booksy.com/pl-pl/p/privacy (otwiera się w nowej karcie).

Stripe obsługuje płatności online. Otrzymuje dane potrzebne do transakcji, a nam przekazuje informacje niezbędne do jej powiązania z rezerwacją, rozliczenia, zwrotu lub wyjaśnienia sporu. Zależnie od operacji Stripe działa jako podmiot przetwarzający albo odrębny administrator, między innymi przy realizacji własnych obowiązków i przeciwdziałaniu nadużyciom. Szczegóły: https://stripe.com/pl/privacy (otwiera się w nowej karcie).

Hetzner zapewnia infrastrukturę hostingową wykorzystywaną przez stronę i system ShowyHair. Dostawcy poczty, komunikacji, narzędzi analitycznych i reklamowych przetwarzają dane w zakresie wynikającym z uruchomionych usług i Twoich zgód. Narzędzia Google opisano w części dotyczącej cookies.

Odbiorcami mogą być również podmioty obsługujące rozliczenia, doradcy, ubezpieczyciele lub kancelarie, jeżeli jest to potrzebne w konkretnej sprawie, a także organy uprawnione do uzyskania danych na podstawie prawa. Przekazujemy wtedy tylko niezbędny zakres danych. Podmioty działające na nasze zlecenie obowiązują odpowiednie umowy i instrukcje przetwarzania.

9 Przetwarzanie poza Europejskim Obszarem Gospodarczym

Korzystanie z dostawców o międzynarodowej strukturze może wiązać się z przetwarzaniem danych poza Europejskim Obszarem Gospodarczym, obejmującym państwa UE, Islandię, Liechtenstein i Norwegię. Stripe wskazuje między innymi Stany Zjednoczone i Indie. Narzędzia Google i Meta również mogą wiązać się z transferami poza EOG. Sam wybór serwera w Europie nie przesądza o lokalizacji danych przetwarzanych przez wszystkie integracje.

Transfery wymagające zabezpieczeń opieramy na właściwej decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo odpowiednich zabezpieczeniach, takich jak standardowe klauzule umowne i wymagane środki uzupełniające. Konkretny mechanizm zależy od odbiorcy i operacji. Informację o stosowanym zabezpieczeniu lub jego kopię można uzyskać przez kontakt z nami, z uwzględnieniem ochrony informacji poufnych.

10 Jak długo przechowujemy dane

Po upływie właściwego okresu dane usuwamy albo trwale anonimizujemy. Przywrócenie kopii zapasowej nie może powodować ponownego aktywnego wykorzystania danych, które wcześniej usunięto. Zachowanie części danych z powodu obowiązku prawnego lub konkretnego roszczenia nie uprawnia do dalszego wykorzystywania ich w marketingu.

11 Cookies oraz podobne technologie

Cookies i podobne technologie pozwalają stronie działać, zapamiętać wybory, analizować korzystanie z serwisu i mierzyć skuteczność reklam. Technologie niezbędne do zapewnienia funkcji, o którą prosisz, stosujemy w zakresie wyjątku przewidzianego w art. 399 ust. 3 Prawa komunikacji elektronicznej. Dane osobowe przetwarzamy wtedy odpowiednio dla wykonania zamówionej funkcji lub naszego uzasadnionego interesu zapewnienia sprawności i bezpieczeństwa serwisu.

Google Analytics wykorzystujemy do statystyk korzystania ze strony, a Google Ads do pomiaru skuteczności reklam i, zależnie od wybranych ustawień, dopasowania przekazu reklamowego. Mapy, osadzone filmy oraz czat mogą łączyć się z ich dostawcami i przekazywać im informacje o urządzeniu, adres IP lub dane o korzystaniu z danej funkcji.

Analitykę, reklamę i inne technologie wymagające zgody uruchamiamy po jej uzyskaniu. Podstawą jest art. 6 ust. 1 lit. a RODO oraz art. 399 Prawa komunikacji elektronicznej. Zanim podejmiesz decyzję, skrypt pomiarowy Google jest wczytany w stanie bez zgody: nie zapisuje ani nie odczytuje ciasteczek, nie zapamiętuje identyfikatora kliknięcia w reklamę i nie przekazuje danych pozwalających powiązać Twoją wizytę z Tobą albo z poprzednimi wizytami. Google otrzymuje wtedy wyłącznie podstawowe informacje techniczne o odsłonie, na podstawie których szacuje łączną skuteczność kampanii. Możesz przyjąć wybrane kategorie, odrzucić opcjonalne technologie i później zmienić decyzję w panelu ustawień cookies. Cofnięcie zgody ma być równie łatwe jak jej wyrażenie. Odrzucenie opcjonalnych cookies nie blokuje podstawowych informacji o salonie.

Dane przetwarzane przez narzędzia reklamowe mogą służyć profilowaniu zainteresowań i wyświetlaniu dopasowanych reklam. Nie wykorzystujemy do tego informacji o zdrowiu ani treści kart zabiegowych. ShowyHair nie korzysta z AI do analizy danych klientów i nie podejmuje wobec nich decyzji opartych wyłącznie na automatycznym przetwarzaniu, wywołujących skutki prawne lub podobnie istotnie wpływających na ich sytuację. Dostawcy płatności mogą stosować własne mechanizmy przeciwdziałania nadużyciom, opisane w ich informacjach o prywatności.

12 Monitoring w salonie

Dostęp do nagrań mają wyłącznie upoważnione osoby w zakresie niezbędnym do ustalonego celu oraz podmioty uprawnione na podstawie prawa. Informacja o monitoringu jest dostępna przed wejściem w jego zasięg. Z praw opisanych w sekcji 13 możesz skorzystać także w odniesieniu do nagrań dotyczących Twojej osoby. Nagrania nie są wykorzystywane do publikacji reklamowych.

13 Twoje prawa

Możesz żądać dostępu do danych i ich kopii, sprostowania oraz, w przypadkach określonych w RODO, usunięcia lub ograniczenia przetwarzania. Prawo do przenoszenia danych dotyczy danych dostarczonych przez Ciebie, które przetwarzamy automatycznie na podstawie zgody lub umowy.

Gdy podstawą jest nasz prawnie uzasadniony interes, możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją. W przypadku marketingu bezpośredniego sprzeciw nie wymaga uzasadnienia. Zgodę możesz wycofać w każdym czasie, bez wpływu na legalność wcześniejszych działań.

Żądanie usunięcia danych nie zawsze oznacza możliwość usunięcia całej dokumentacji od razu. Część informacji musimy zachować z powodu obowiązków prawnych lub gdy jest niezbędna do ustalenia, dochodzenia albo obrony roszczeń. W takim przypadku wyjaśnimy, które dane pozostają, dlaczego i przez jaki okres lub według jakiego kryterium.

Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca od otrzymania żądania. W razie uzasadnionej potrzeby termin może zostać przedłużony o kolejne dwa miesiące; o przyczynach i przedłużeniu poinformujemy w pierwszym miesiącu. Jeżeli mamy uzasadnione wątpliwości co do tożsamości osoby, możemy poprosić o informacje niezbędne do jej potwierdzenia. Nie wymagamy automatycznie kopii dowodu osobistego.

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o sposobach składania skarg znajdują się na https://uodo.gov.pl (otwiera się w nowej karcie). Możesz również zwrócić się do właściwego organu nadzorczego zgodnie z art. 77 RODO.

14 Bezpieczeństwo i zmiany polityki

Dostęp do danych ograniczamy do osób, które potrzebują ich do swoich zadań. Stosujemy środki organizacyjne i techniczne odpowiednie do rodzaju danych oraz ryzyka, w tym zasady upoważnień, poufności i ochrony systemów. Szczegóły zabezpieczeń wewnętrznych nie są publikowane w tej polityce.

Politykę aktualizujemy, gdy zmieniają się zasady przetwarzania, dostawcy lub funkcje strony. O zmianach wpływających na sposób korzystania z danych informujemy w odpowiednim czasie, a gdy jest potrzebna nowa zgoda, uzyskujemy ją przed rozpoczęciem nowego przetwarzania. Przed uruchomieniem sklepu internetowego uzupełnimy informacje o obsłudze zamówień i dostaw.