Договор за обработване на лични данни

1. Страни и предмет

Настоящият договор се сключва между:

• Администратор — организацията, регистрирана в платформата DISA (наричана по-долу „Кантората"), чиито данни за идентификация са тези, въведени при регистрацията. Лицето, което приема Общите условия при регистрация, декларира, че има право да представлява Кантората за целите на този договор.
• Обработващ — „ДиСа Оперейшънс" ООД, ЕИК 207746684, със седалище и адрес на управление: България, гр. София, п.к. 1700, р-н Студентски, ж.к. Малинова долина, бл. 29, вх. В, ет. 8, ап. 49, имейл contact@disa.bg (наричано по-долу „DISA").

Предмет на договора е обработването от DISA, от името и по указания на Кантората, на личните данни, които Кантората въвежда или качва в платформата DISA във връзка с ползването на услугата по Общите условия.

Договорът влиза в сила с приемането на Общите условия при регистрация и действа, докато действа договорът за услугата. Раздели 12 и 13 продължават да се прилагат и след прекратяването му, докато данните бъдат изтрити или върнати.

2. Естество и цел на обработването

DISA извършва следните операции с данните: съхранение, организиране, показване, търсене, генериране на задачи по въведените от Кантората правила, изпращане на електронни писма по нареждане на Кантората, изготвяне на справки за Кантората и изтриване.

Единствената цел на обработването е предоставянето на услугата на Кантората. DISA не използва данните за собствени цели, не ги анализира за други цели и не ги предоставя на трети страни извън посочените в Приложение 1.

3. Категории субекти на данни

• Клиенти на Кантората, които са физически лица
• Представители, служители и лица за контакт на клиенти на Кантората, които са юридически лица
• Лица, чиито данни се съдържат в документите, качени от Кантората или от нейните клиенти — например служители на клиентите при обработка на възнаграждения

За данните на служителите и сътрудниците на Кантората, регистрирани като потребители на платформата (акаунт, имейл, роля), DISA е администратор — те са предмет на Политиката за поверителност, не на този договор.

4. Категории лични данни

• Идентификационни — имена, ЕИК, ЕГН или друг идентификационен номер, ДДС номер
• За контакт — адрес, имейл, телефон, лице за контакт
• За дейността — предмет на дейност, бележки в свободен текст, задачи и срокове по клиента
• Кореспонденция — съдържание и адресати на писмата, изпратени от платформата
• Съдържание на качени документи — определя се изцяло от Кантората

Специални категории данни (чл. 9 GDPR). Услугата не изисква такива данни. Ако Кантората качва документи, които ги съдържат — например документи за временна неработоспособност при обработка на възнаграждения — Кантората отговаря за наличието на основание по чл. 9, а DISA ги защитава със същите мерки като всички останали данни, без да ги обработва по различен начин.

5. Указания на Кантората

DISA обработва данните единствено по документирани указания на Кантората (чл. 28, ал. 3, буква „а"). За такива указания се считат настоящият договор, Общите условия и действията, които Кантората и нейните потребители извършват в платформата — въвеждане, редактиране, изтриване, качване на документи, изпращане на писма и настройка на задачи.

Предаване на данни към трета държава или международна организация се извършва само по указание на Кантората или при задължение по правото на Съюза или на държава членка, в който случай DISA уведомява Кантората преди обработването, освен ако това е забранено от закона поради важни основания от обществен интерес.

Ако DISA счита, че дадено указание нарушава GDPR или друга разпоредба на правото на Съюза или на държава членка, DISA уведомява Кантората незабавно.

6. Поверителност

DISA гарантира, че лицата, оправомощени да обработват данните, са поели задължение за поверителност или са обвързани със законово задължение за поверителност (чл. 28, ал. 3, буква „б"). Достъпът до данните е ограничен до лицата и до степента, необходими за поддръжката и развитието на услугата.

7. Сигурност на обработването

DISA прилага следните технически и организационни мерки по чл. 32 GDPR (чл. 28, ал. 3, буква „в"):

• Криптиране на данните при пренос (HTTPS/TLS)
• Криптиране на файловете и на резервните копия в покой (AES-256)
• Пароли за вход, съхранявани само като bcrypt хеш; пароли за пощенски сървъри на Кантората, съхранявани криптирани с ключ, който се пази отделно от базата данни
• Контрол на достъпа по роли в рамките на Кантората и пълна логическа изолация на данните на всяка организация от останалите
• Автоматични ежедневни резервни копия на базата данни със срок на съхранение 5 дни
• Сървъри, база данни и съхранение на файлове единствено в Европейския съюз
• Регистриране на нарушенията на сигурността и процедура за реакция (раздел 11)

DISA може да променя и допълва мерките в съответствие с развитието на технологиите, без да намалява общото ниво на защита.

8. Подобработващи

С приемането на този договор Кантората дава общо писмено разрешение (чл. 28, ал. 2) DISA да използва подобработващите, изброени в Приложение 1.

DISA уведомява Кантората за всяко намерение за добавяне или замяна на подобработващ най-малко 14 дни предварително по имейл до администратора на организацията. Кантората може да възрази в този срок. Ако възражението е основателно и DISA не може да предложи разумна алтернатива, Кантората има право да прекрати договора за услугата, при което се прилага раздел 12.

DISA налага на всеки подобработващ, с договор, същите задължения за защита на данните, каквито са предвидени в настоящия договор (чл. 28, ал. 4). Ако подобработващият не изпълни задълженията си, DISA остава изцяло отговорна пред Кантората.

9. Място на обработване и предаване извън ЕС/ЕИП

Данните се съхраняват и обработват в Европейския съюз. Предаване към трета държава се допуска само при наличие на гаранциите по глава V от GDPR — решение за адекватност или стандартни договорни клаузи — и след уведомяване на Кантората по реда на раздел 8.

10. Съдействие при упражняване на правата на субектите

DISA съдейства на Кантората, с подходящи технически и организационни мерки, за изпълнението на задълженията ѝ по глава III от GDPR (чл. 28, ал. 3, буква „д"):

• Платформата позволява на Кантората сама да преглежда, коригира и изтрива данните на своите клиенти и да ги експортира в структуриран машинночетим формат
• Ако субект на данни се обърне директно към DISA с искане, отнасящо се до данни, за които Кантората е администратор, DISA го насочва към Кантората без ненужно забавяне и не отговаря по същество без нейно указание, освен когато е задължена по закон

11. Съдействие по чл. 32–36 и уведомяване при нарушение

DISA съдейства на Кантората за изпълнението на задълженията ѝ по чл. 32–36 GDPR, като взема предвид естеството на обработването и наличната информация (чл. 28, ал. 3, буква „е"):

• Нарушение на сигурността. DISA уведомява Кантората без ненужно забавяне, след като узнае за нарушение на сигурността, засягащо нейни данни. Уведомлението съдържа, доколкото е известно към момента, естеството на нарушението, засегнатите категории и приблизителния брой субекти и записи, вероятните последици и предприетите или предложените мерки. Информация, която не е налична веднага, се предоставя допълнително без ненужно забавяне. DISA документира всяко нарушение.
• Оценка на въздействието и предварителна консултация. При поискване DISA предоставя наличната информация за обработването, необходима за оценка по чл. 35 или консултация по чл. 36.

12. Изтриване и връщане на данните

След прекратяване на договора за услугата (чл. 28, ал. 3, буква „ж"):

• Кантората може, преди прекратяването или в срок до 30 дни след него, да поиска данните си в структуриран машинночетим формат и DISA ги предоставя
• В срок до 30 дни след прекратяването DISA изтрива всички данни на Кантората, включително качените документи, освен ако правото на Съюза или на държава членка изисква съхранение на определени данни — например на издадените фактури
• Резервните копия, съдържащи данните, се презаписват в срок до 5 дни след изтриването

13. Информация и одити

DISA предоставя на Кантората цялата информация, необходима за доказване на изпълнението на задълженията по чл. 28 GDPR (чл. 28, ал. 3, буква „з").

Кантората или упълномощен от нея одитор, обвързан с поверителност, има право да извърши одит на обработването веднъж на 12 месеца, с най-малко 30 дни писмено предизвестие, в работно време и по начин, който не застрашава сигурността на данните на други организации в платформата. Разходите по одита са за сметка на Кантората. При установено нарушение на сигурността или по искане на надзорен орган одит може да се извърши и по-често.

14. Отговорност и приложимо право

Отговорността на страните се определя по чл. 82 GDPR. Ограниченията на отговорността в Общите условия се прилагат доколкото GDPR допуска това.

За договора се прилага българското законодателство. Споровете се решават от компетентния съд по седалището на DISA. Надзорен орган е Комисията за защита на личните данни, www.cpdp.bg.

15. Заключителни разпоредби

• Договорът е неразделна част от Общите условия. При противоречие по въпроси, свързани с обработването на лични данни, предимство има настоящият договор
• Промените в договора се съобщават на администратора на организацията по имейл най-малко 14 дни преди влизането им в сила. Всяка версия носи дата в горния край на страницата
• За организации, регистрирани преди датата на настоящата версия, договорът се прилага от датата на публикуването му, за което те се уведомяват по имейл

Приложение 1 — Подобработващи

• Amazon Web Services EMEA SARL (AWS), регион eu-central-1, Франкфурт, Германия — сървъри, база данни, съхранение на файлове, резервни копия
• MXroute — доставчик на изходяща електронна поща за писмата, изпращани от платформата. Не се използва за организации, въвели собствен пощенски сървър

Stripe обработва картовите плащания на Кантората към DISA, но не получава данни на клиентите на Кантората и не е подобработващ по този договор.