GDPR and Data Protection Policy Polasaí GDPR & Cosaint Sonraí

1. Purpose of This Policy 1. Cuspóir an Pholasaí Seo

Elegant Aesthetics Ltd is committed to protecting the privacy, confidentiality, and security of all personal data processed by the company. This policy sets out how personal data is collected, used, stored, shared, and protected in accordance with:
• EU General Data Protection Regulation (GDPR)
• Irish Data Protection Acts 1988–2018
• Guidance issued by the Data Protection Commission (Ireland)
This policy applies to all employees, contractors, directors, and third parties acting on behalf of the company. Tá Elegant Aesthetics Ltd tiomanta do phríobháideachas, rúndacht agus slándáil gach sonraí pearsanta a phróiseálann an chuideachta a chosaint. Leagtar amach sa pholasaí seo conas a bhailítear, a úsáidtear, a stóráiltear, a roinntear agus a chosnaítear sonraí pearsanta de réir:
• Rialachán Ginearálta an AE maidir le Cosaint Sonraí (GDPR)
• Na hAchtanna um Chosaint Sonraí 1988–2018 (Éire)
• Treoir arna eisiúint ag an gCoimisiún um Chosaint Sonraí (Éire)
Baineann an polasaí seo le gach fostaí, conraitheoir, stiúrthóir agus tríú páirtí atá ag gníomhú thar ceann na cuideachta.

2. Definitions 2. Sainmhínithe

• Personal Data: Any information relating to an identifiable person
• Special Category Data: Includes health data, medical history, photographs, and biometric data
• Data Subject: The individual whose data is processed (clients, staff)
• Processing: Any operation performed on personal data (collection, storage, use, disclosure, deletion) • Sonraí Pearsanta: Aon fhaisnéis a bhaineann le duine inaitheanta
• Sonraí Catagóire Speisialta: Áirítear sonraí sláinte, stair leighis, grianghraif agus sonraí bithmhéadracha
• Ábhar Sonraí: An duine aonair a ndéantar a shonraí a phróiseáil (cliaint, foireann)
• Próiseáil: Aon oibríocht a dhéantar ar shonraí pearsanta (bailiú, stóráil, úsáid, nochtadh, scriosadh)

3. Data Controller 3. Rialaitheoir Sonraí

Elegant Aesthetics Ltd is the Data Controller for all personal data processed by the company.
Company Details: Elegant Aesthetics Ltd
Company Registration Number: 761780
VAT Number: 4457340NH
Location: Portarlington Is é Elegant Aesthetics Ltd an Rialaitheoir Sonraí maidir leis na sonraí pearsanta uile a phróiseálann an chuideachta.
Sonraí na Cuideachta: Elegant Aesthetics Ltd
Uimhir Chláraithe na Cuideachta: 761780
Uimhir CBL: 4457340NH
Suíomh: Portarlington

4. Lawful Basis for Processing 4. Bunús Dlíthiúil le haghaidh Próiseála

Personal data is processed only where at least one lawful basis applies, including:
• Consent (explicit for medical data)
• Contractual necessity
• Legal obligation
• Vital interests
• Legitimate interests (balanced against individual rights)
Medical data is processed under Article 9 GDPR with explicit consent and clinical necessity. Ní phróiseáiltear sonraí pearsanta ach amháin nuair a bhíonn bunús dlíthiúil amháin ar a laghad i bhfeidhm, lena n-áirítear:
• Toiliú (sainráite i gcás sonraí leighis)
• Riachtanas conarthach
• Oibleagáid dhlíthiúil
• Leasanna ríthábhachtacha
• Leasanna dlisteanacha (cothromaithe i gcoinne chearta an duine aonair)
Próiseáiltear sonraí leighis faoi Airteagal 9 GDPR le toiliú sainráite agus riachtanas cliniciúil.

5. Data We Collect 5. Sonraí a Bhailímid

Clients:

• Name, contact details
• Date of birth
• Medical history and consultation records
• Treatment plans and consent forms
• Before/after photographs
• Payment and booking details

Staff:

• Contact details
• Employment records
• Payroll and banking information
• Training records
• Performance and disciplinary records Cliaint:

• Ainm, sonraí teagmhála
• Dáta breithe
• Stair leighis agus taifid chomhairliúcháin
• Pleananna cóireála agus foirmeacha toilithe
• Grianghraif roimh/tar éis
• Sonraí íocaíochta agus áirithinte

Foireann:

• Sonraí teagmhála
• Taifid fostaíochta
• Sonraí párolla agus baincéireachta
• Taifid oiliúna
• Taifid feidhmíochta agus araíonachta

6. Data Protection Principles 6. Prionsabail Cosanta Sonraí

All personal data must be:
1. Processed lawfully, fairly, and transparently
2. Collected for specified and legitimate purposes
3. Adequate, relevant, and limited
4. Accurate and kept up to date
5. Stored securely
6. Retained only as long as necessary Ní mór gach sonraí pearsanta a bheith:
1. Próiseáilte go dleathach, go cothrom agus go trédhearcach
2. Bailithe chun críocha sonraithe dleathacha
3. Leordhóthanach, ábhartha agus teoranta
4. Cruinn agus cothrom le dáta
5. Stóráilte go slán
6. Coinnithe ach amháin chomh fada agus is gá

7. Roles & Responsibilities 7. Róil & Freagrachtaí

7.1 Doctors (Medical Staff) 7.1 Dochtúirí (Foireann Leighis)

Doctors have primary responsibility for clinical data protection and must:
• Ensure all medical records are accurate, complete, and up to date
• Obtain explicit informed consent before collecting or processing medical data
• Ensure consultations take place in private settings
• Protect access to medical records (paper and digital)
• Never access records without legitimate clinical reason
• Ensure treatment photographs are stored securely and used only with consent
• Report any data breach immediately to management
• Follow all SOPs relating to medical record keeping and GDPR

Doctors must not:

• Discuss patient information in public or non-secure areas
• Share medical data via personal devices or unsecured platforms Tá príomhfhreagracht ar dhochtúirí maidir le cosaint sonraí cliniciúla agus ní mór dóibh:
• A chinntiú go bhfuil gach taifead leighis cruinn, iomlán agus cothrom le dáta
• Toiliú feasach sainráite a fháil sula mbailítear nó sula bpróiseáiltear sonraí leighis
• A chinntiú go dtarlaíonn comhairliúcháin i suíomhanna príobháideacha
• Rochtain ar thaifid leighis (páipéar agus digiteach) a chosaint
• Gan taifid a rochtain gan chúis chliniciúil bhailí
• A chinntiú go stóráiltear grianghraif chóireála go slán agus nach n-úsáidtear iad ach le toiliú
• Aon sárú sonraí a thuairisciú láithreach don bhainistíocht
• Gach SOP a leanúint a bhaineann le taifid leighis agus GDPR

Ní cheadaítear do dhochtúirí:

• Faisnéis othar a phlé in áiteanna poiblí nó neamhshlán
• Sonraí leighis a roinnt trí ghléasanna pearsanta nó ardáin neamhshlán

7.2 Nurses 7.2 Altraí

Nurses must:
• Handle medical data strictly within their scope of practice
• Access client records only where required for treatment
• Maintain confidentiality at all times
• Ensure devices, screens, and paperwork are not visible to unauthorised persons
• Securely store and dispose of medical records
• Follow SOPs for consent, photography, and documentation
• Report any suspected data breach immediately Ní mór d’altraí:
• Sonraí leighis a láimhseáil go docht laistigh dá scóip chleachtais
• Rochtain a fháil ar thaifid chliaint ach amháin nuair is gá don chóireáil
• Rúndacht a choinneáil i gcónaí
• A chinntiú nach bhfuil gléasanna, scáileáin ná páipéarachas le feiceáil ag daoine neamhúdaraithe
• Taifid leighis a stóráil agus a dhiúscairt go slán
• SOPanna maidir le toiliú, grianghrafadóireacht agus doiciméadú a leanúint
• Aon sárú sonraí amhrasta a thuairisciú láithreach

7.3 Administrative & Clerical Staff 7.3 Foireann Riaracháin & Chléireachais

Administrative staff play a critical role in GDPR compliance and must:
• Handle personal data only for booking, billing, communication, and administration
• Verify client identity before discussing appointments or accounts
• Never disclose medical information unless authorised
• Ensure booking systems and emails are used securely
• Lock screens when unattended
• Follow clean desk policies
• Store paper records securely
• Never access medical records unless required and authorised

Admin staff must not:

• Discuss client information in public areas
• Share personal data via personal email or messaging apps Tá ról ríthábhachtach ag foireann riaracháin i gcomhlíonadh GDPR agus ní mór dóibh:
• Sonraí pearsanta a láimhseáil ach amháin le haghaidh áirithintí, billeála, cumarsáide agus riaracháin
• Aitheantas cliaint a fhíorú sula bpléitear coinní nó cuntais
• Gan faisnéis leighis a nochtadh gan údarú
• A chinntiú go n-úsáidtear córais áirithinte agus ríomhphoist go slán
• Scáileáin a ghlasáil nuair nach bhfuil siad faoi mhaoirseacht
• Polasaithe deisce glana a leanúint
• Taifid pháipéir a stóráil go slán
• Gan taifid leighis a rochtain mura bhfuil gá agus údarú ann

Ní cheadaítear d’fhoireann riaracháin:

• Faisnéis chliaint a phlé in áiteanna poiblí
• Sonraí pearsanta a roinnt trí ríomhphost pearsanta nó aipeanna teachtaireachta

8. Data Security Measures 8. Bearta Slándála Sonraí

Elegant Aesthetics Ltd uses the following safeguards:
• Password-protected systems
• Role-based access controls
• Secure booking and medical record systems
• Encrypted devices where applicable
• Locked filing cabinets for paper records
• Regular system updates and backups Úsáideann Elegant Aesthetics Ltd na cosaintí seo a leanas:
• Córais atá cosanta ag pasfhocal
• Rialuithe rochtana bunaithe ar ról
• Córais áirithinte agus taifead leighis shlána
• Gléasanna criptithe nuair is infheidhme
• Comhaid pháipéir i gcófraí glasáilte
• Nuashonruithe córas agus cúltacaí rialta

9. Data Breach Management 9. Bainistíocht Sáraithe Sonraí

All staff must:

• Report breaches immediately to management
• Not attempt to conceal breaches

The company will:

• Assess risk
• Notify the Data Protection Commission within 72 hours if required
• Inform affected individuals where there is high risk Ní mór do gach ball foirne:

• Sáruithe a thuairisciú láithreach don bhainistíocht
• Gan iarracht a dhéanamh sáruithe a cheilt

Déanfaidh an chuideachta:

• Measúnú riosca
• An Coimisiún um Chosaint Sonraí a chur ar an eolas laistigh de 72 uair an chloig más gá
• Daoine lena mbaineann a chur ar an eolas nuair atá ardriosca ann

10. Data Subject Rights 10. Cearta Ábhar Sonraí

Individuals have the right to:
• Access their data
• Rectify inaccurate data
• Erase data (where legally permitted)
• Restrict processing
• Data portability
• Object to processing
• Withdraw consent
Requests must be responded to within one month. Tá sé de cheart ag daoine aonair:
• Rochtain a fháil ar a sonraí
• Sonraí míchearta a cheartú
• Sonraí a scriosadh (nuair atá ceadaithe go dleathach)
• Próiseáil a shrianadh
• Inaistritheacht sonraí
• Agóid a dhéanamh i gcoinne próiseála
• Toiliú a tharraingt siar
Ní mór freagra a thabhairt ar iarratais laistigh de mhí amháin.

11. Data Retention 11. Coinneáil Sonraí

• Medical records are retained in line with medical and legal guidelines
• Employment records retained per statutory requirements
• Data is securely destroyed when no longer required • Coinnítear taifid leighis de réir treoirlínte leighis agus dlíthiúla
• Coinnítear taifid fostaíochta de réir riachtanas reachtúil
• Scriostar sonraí go slán nuair nach bhfuil gá leo a thuilleadh

12. Third Parties 12. Tríú Páirtithe

• Data is shared only with trusted third parties (labs, accountants, IT providers)
• All third parties must be GDPR-compliant
• Data Processing Agreements are in place where required • Roinntear sonraí ach amháin le tríú páirtithe iontaofa (saotharlanna, cuntasóirí, soláthraithe TF)
• Ní mór do gach tríú páirtí a bheith comhlíontach le GDPR
• Tá Comhaontuithe Próiseála Sonraí i bhfeidhm nuair is gá

13. Training & Awareness 13. Oiliúint & Feasacht

• All staff receive GDPR training on induction
• Refresher training provided regularly
• Failure to comply may result in disciplinary action • Faigheann gach ball foirne oiliúint GDPR ar ionduchtú
• Cuirtear oiliúint athnuachana ar fáil go rialta
• D’fhéadfadh gníomh araíonachta a bheith mar thoradh ar neamhchomhlíonadh

14. Enforcement & Disciplinary Action 14. Forfheidhmiú & Gníomh Araíonachta

Breach of this policy may result in:
• Disciplinary action
• Termination of employment
• Legal action where appropriate D’fhéadfadh na hiarmhairtí seo a leanas a bheith mar thoradh ar shárú an pholasaí seo:
• Gníomh araíonachta
• Foirceannadh fostaíochta
• Caingean dlí nuair is cuí

15. Policy Review 15. Athbhreithniú Polasaí

This policy is reviewed annually or sooner if required due to legislative or operational changes. Déantar athbhreithniú ar an bpolasaí seo gach bliain nó níos luaithe más gá de bharr athruithe reachtaíochta nó oibriúcháin.

Review Date: 1st July 2026 Dáta Athbhreithnithe: 1 Iúil 2026

- by Graham Williamson.
on behalf of Elegant Aesthetics Ltd