Споразумение за обработка на лични данни (DPA)

Настоящото Споразумение за обработка на лични данни („Споразумението“, „DPA“) урежда обработката на лични данни от страна на Обработващия от името на Администратора във връзка с използването на платформата Trustio. То е неразделна част от Общите условия на Trustio и се приема заедно с тях при оформяне на абонамента — преди заплащане.

Споразумението се счита за сключено с приемането на Общите условия. При поискване Trustio предоставя на Администратора подписан екземпляр.

1. Определения

Термините „лични данни“, „обработване“, „субект на данни“, „администратор“, „обработващ лични данни“, „под-обработващ“, „нарушение на сигурността на личните данни“ и „надзорен орган“ имат значението, дадено им в GDPR. Останалите термини имат значението по Общите условия на Trustio.

2. Предмет, характер, цел и срок на обработката

Обработващият обработва лични данни от името на Администратора единствено за целите на предоставяне на услугата Trustio (изпращане на покани за обратна връзка чрез SMS/Viber, събиране на отзиви с цел обратна връзка и насочване към Google бизнес профил и свързана аналитика). Видовете данни, категориите субекти, характерът, целта и срокът са описани в Приложение № 1.

3. Указания на Администратора

Обработващият обработва личните данни само въз основа на документирани указания от Администратора, включително относно международни трансфери, освен ако правото на ЕС или на държава членка не изисква друго. Указанията се дават чрез настоящото Споразумение, Общите условия и функциите на платформата. Обработващият незабавно информира Администратора, ако счита, че дадено указание нарушава GDPR.

4. Поверителност на персонала

Обработващият гарантира, че лицата, оправомощени да обработват личните данни, са поели задължение за поверителност или са обвързани от подходящо законово задължение, и че достъп до данните имат само лицата, за които това е необходимо.

5. Сигурност на обработката (чл. 32 GDPR)

Обработващият прилага подходящи технически и организационни мерки за ниво на сигурност, съответстващо на риска. Конкретните мерки са в Приложение № 3 и се преразглеждат периодично.

6. Под-обработващи

Администраторът дава общо предварително разрешение за ползване на под-обработващи (списък в Приложение № 2). Обработващият уведомява Администратора при планирана промяна (добавяне/замяна) и му дава възможност да възрази в разумен срок (не по-кратък от 14 дни) на основания, свързани със защитата на данните. Обработващият налага на всеки под-обработващ същите задължения за защита на данните и остава отговорен за тяхното изпълнение.

7. Съдействие при правата на субектите

Като отчита характера на обработването, Обработващият съдейства на Администратора, доколкото е възможно, за изпълнение на исканията за упражняване на правата по Глава III от GDPR. Ако краен клиент се обърне директно към Обработващия, искането се препраща към Администратора без необосновано забавяне.

8. Нарушения на сигурността, DPIA и консултации

Обработващият уведомява Администратора без необосновано забавяне и не по-късно от 48 часа след узнаване за нарушение на сигурността, засягащо данните, обработвани от името на Администратора, с информацията по чл. 33, §3 GDPR. Обработващият съдейства и при изпълнение на задълженията по чл. 32–36 GDPR (вкл. оценки на въздействието и предварителни консултации).

9. Изтриване или връщане на данните

При прекратяване на услугата Обработващият, по избор на Администратора, изтрива или връща всички лични данни и изтрива копията, освен ако закон не изисква запазване. За техническа възможност за възстановяване данните се пазят до 90 дни след прекратяване, след което се изтриват.

10. Одит и проверки

Обработващият предоставя на Администратора цялата информация, необходима за доказване изпълнението на чл. 28 GDPR, и създава условия за и съдейства при одити и проверки. Одитите се извършват в разумни граници — след предварително писмено уведомление, в работно време, без необосновано да нарушават дейността, при поверителност. Задължението може да се изпълни и чрез актуални сертификати/доклади, когато са налични.

11. Международни трансфери

Обработващият не предава лични данни извън ЕС/ЕИП, освен при подходящи гаранции по чл. 46 GDPR (напр. Стандартни договорни клаузи) или друго основание по Глава V. Приложимите трансфери са посочени в Приложение № 2.

12. Отговорност

Отговорността на страните се урежда съгласно чл. 82 GDPR и Общите условия на Trustio.

13. Срок и прекратяване

Споразумението поражда действие с приемането на Общите условия и остава в сила за срока, през който Обработващият обработва лични данни от името на Администратора. Прекратяването на Общите условия прекратява и това Споразумение, при което се прилага раздел 9.

14. Заключителни разпоредби

За неуредените въпроси се прилагат GDPR, Законът за защита на личните данни на Република България и Общите условия. При противоречие по въпроси за обработка на данни от името на Администратора предимство има настоящото Споразумение. Прилага се българското право.

Приложение № 1 — Описание на обработката

Приложение № 2 — Списък на под-обработващите

Списъкът подлежи на актуализация. При промяна Администраторът се уведомява и има право на възражение (раздел 6).

Приложение № 3 — Технически и организационни мерки

• Криптиране при предаване — TLS на всички връзки между потребителя, платформата и под-обработващите.
• Контрол на достъпа — достъп на ниво приложение само за оторизирани лица; разделение на роли.
• Защитена база данни — защитени креденшъли; служебните ключове в защитено хранилище.
• Архиви (backup) — редовни автоматизирани архиви за възстановяване при инцидент.
• Поверителност на персонала — лицата с достъп са обвързани със задължение за поверителност.
• Регистър на действията — системни логове и одит на административните действия.
• Минимизиране — събиране само на необходимите данни.

Контакт

Този документ е достъпен и при поискване като подписан екземпляр в отделен файл.