1. Страни и сключване
Администратор: Клиентът, който е сключил Абонамент за FrameCRM („Администраторът“).
Обработващ: Pavlo Okhmak, едноличен търговец (физическо лице, извършващо стопанска дейност), вписан в чешкия търговски (занаятчийски) регистър, идентификационен номер (IČO) 29485941, седалище (място на стопанската дейност) Bezručova 4201, 430 03 Chomutov, Чешка република, нерегистриран по ДДС („Обработващият“).
Настоящото Споразумение за обработване на данни („Споразумението“ или „DPA“) е част от Общите условия. Администраторът го приема, като потвърждава съгласието си при регистрацията във FrameCRM; не се изисква подпис. Споразумението изпълнява изискването за договор съгласно чл. 28, пар. 3 от Регламент (ЕС) 2016/679 (GDPR).
Обвързваща е чешката версия на настоящото Споразумение; настоящият текст на български език е превод, предоставен единствено за информация, и при каквото и да е несъответствие предимство има чешката версия. По въпросите на защитата на личните данни Споразумението има предимство пред Общите условия.
2. Предмет, срок, естество и цел
- Предмет: обработване на личните данни, които Администраторът или неговите потребители въвеждат във FrameCRM.
- Срок: за срока на Абонамента и след това до изтриването на данните съгласно член 10.
- Естество на обработването: събиране (включително запитвания и резервации от уебсайта или онлайн формата за резервации на Администратора, ако се използват), съхранение, организиране, показване, търсене, промяна, експорт, подготовка на напомняния и съобщения, които потребителите на Администратора сами изпращат на клиентите (напр. чрез линк към WhatsApp), известия до потребителите на Администратора (чрез Telegram, ако Администраторът е включил тази функция), издаване на документи като фактури, създаване на резервни копия и изтриване.
- Цел: предоставяне на услугата FrameCRM — водене на регистър на клиентите на Администратора, превозните средства, поръчките, календара, напомнянията, отзивите, фактурите, склада, възнагражденията и статистиката.
3. Категории субекти на данни и лични данни
Субекти на данни: клиентите и потенциалните клиенти на Администратора, техните лица за контакт, служителите и другите потребители на Администратора.
Категории данни:
- идентификационни данни и данни за контакт (име, телефон, имейл, адрес);
- данни за превозното средство (марка, модел, регистрационен номер, VIN, показание на километража);
- история на поръчките, часове за посещение, цени и записи за плащания, бележки;
- данни за фактуриране (наименование за фактуриране, адрес, идентификационен номер / номер по ДДС);
- снимки (предимно на превозни средства), които могат да съдържат и други лични данни;
- комуникация с клиентите и отзиви;
- данни за потребителите на Администратора (име, имейл, телефон, роля, записи за влизанията, журнал на действията), а ако Администраторът използва модула за възнаграждения — и правилата за заплащането им, техните възнаграждения и изплатени суми.
Не се предвижда обработване на специални категории данни (чл. 9 от GDPR) или на данни, свързани с присъди и нарушения; Администраторът не въвежда такива данни във FrameCRM.
4. Задължения на Администратора
Администраторът отговаря за наличието на правно основание за обработването, за надлежното информиране на субектите на данни, за точността на въведените данни и за това неговите указания към Обработващия да са в съответствие със закона. Администраторът опазва данните за достъп на своите потребители.
5. Задължения на Обработващия
Обработващият:
- обработва личните данни само по документирани указания на Администратора — за такива указания се считат Общите условия, настоящото Споразумение и настройките и действията на Администратора в приложението — включително по отношение на предаването на данни към трети държави; незабавно уведомява Администратора, ако счита, че дадено указание е незаконосъобразно;
- гарантира, че лицата, оправомощени да обработват данните, са поели задължение за поверителност;
- прилага технически и организационни мерки съгласно чл. 32 от GDPR (член 7);
- спазва условията за включване на подизпълнители (член 6);
- подпомага Администратора при отговорите на искания на субектите на данни — по-специално чрез функциите на приложението за търсене, коригиране, експорт и изтриване на данни;
- подпомага Администратора при изпълнението на задълженията му по чл. 32–36 от GDPR, като отчита естеството на обработването и наличната информация;
- изтрива или връща данните след прекратяването на услугата (член 10);
- предоставя на Администратора информацията, необходима за доказване на спазването на задълженията, и допуска одити (член 11);
- не използва данните на Администратора за собствени цели.
6. Подизпълнители
Администраторът дава общо разрешение за включване на подизпълнители (последващи обработващи). Към датата на влизане в сила на настоящото Споразумение това са:
| Подизпълнител | Дейност | Местоположение / гаранции |
|---|---|---|
| Cloudflare, Inc. | Работа на приложението (Workers), CDN, защита от атаки | Глобална мрежа — DPF, стандартни договорни клаузи |
| Supabase, Inc. | База данни (PostgreSQL) и съхранение на файлове | Данните се съхраняват в ЕС (Франкфурт, Германия) — стандартни договорни клаузи |
| Resend | Изпращане на служебни имейли до потребителите на Администратора (напр. потвърждение на регистрацията, известия за плащания) | САЩ — стандартни договорни клаузи |
| Telegram | Известия за потребителите на Администратора (само ако Администраторът е включил тази функция) | Извън ЕС — използването е незадължително |
| Maps/Places за търсене на адреси и оценки (по избор) | Google Ireland Ltd. — DPF, стандартни договорни клаузи |
Плащанията по Абонамента се обработват от Stripe; Stripe обаче не обработва лични данни на клиентите на Администратора.
Съобщенията до клиентите чрез WhatsApp се изпращат от потребителите на Администратора от собственото им приложение WhatsApp (линк за чат); поради това WhatsApp (Meta) не е подизпълнител (последващ обработващ) на Обработващия, а използването на WhatsApp от Администратора се урежда от собствените му отношения с Meta. Когато потребител декодира VIN, към безплатната публична база данни NHTSA vPIC (Министерство на транспорта на САЩ) се изпраща само VIN номерът (без каквито и да е други данни), за да се установят марката и моделът; адресите на студиата могат да се търсят в OpenStreetMap (Nominatim).
Обработващият ще уведоми Администратора по имейл най-малко 14 дни предварително за всяко планирано добавяне или замяна на подизпълнител. Администраторът може да направи възражение на разумни основания, свързани със защитата на данните; ако страните не намерят решение, Администраторът може да прекрати Абонамента, считано от датата на промяната. Обработващият възлага на своите подизпълнители същите задължения за защита на данните и остава отговорен за тяхното изпълнение.
Предаването на данни към трети държави се извършва само при наличие на гаранции съгласно глава V от GDPR (решения относно адекватното ниво на защита, стандартни договорни клаузи).
7. Технически и организационни мерки
- криптиране при пренос (HTTPS/TLS) и криптиране на съхраняваните данни от доставчика на базата данни;
- вход с пароли или еднократни линкове за вход (с ограничен срок на валидност), защитени сесии, роли и права на потребителите в рамките на профила;
- логическо разделяне на данните на всеки клиент;
- достъп на Обработващия до производствените данни само в необходимия обем (поддръжка, отстраняване на проблеми), защитен със силно удостоверяване;
- редовни резервни копия при доставчика на базата данни с възможност за възстановяване;
- непрекъснато актуализиране на софтуера и зависимостите, управление на тайните ключове извън изходния код;
- журнали на операциите и на събитията, свързани със сигурността;
- свеждане на данните до минимум — лични данни на клиентите не се изпращат към аналитичните инструменти;
- процедура за реагиране при инциденти, свързани със сигурността.
8. Нарушения на сигурността на личните данни
Обработващият уведомява Администратора за нарушение на сигурността на личните данни без неоправдано забавяне и не по-късно от 48 часа, след като е узнал за него. Уведомлението съдържа наличната за Обработващия информация съгласно чл. 33, пар. 3 от GDPR и се допълва при получаване на нова информация. Обработващият предприема разумни мерки за смекчаване на последиците.
9. Искания на субекти на данни
Ако Обработващият получи искане от субект на данни, отнасящо се до данните на Администратора, той го препраща на Администратора без неоправдано забавяне и не отговаря на него сам, освен ако Администраторът не го е упълномощил за това.
10. Изтриване и връщане на данните
По време на Абонамента Администраторът може по всяко време да експортира и изтрива данни. След прекратяването на Абонамента Обработващият съхранява данните 90 дни, през които Администраторът може да ги поиска в машинночетим формат. След това Обработващият изтрива данните окончателно; копията в резервните копия изтичат при ротацията на резервните копия най-късно в рамките на следващите 30 дни. Това не се прилага, когато съхраняването се изисква от закона.
11. Информация и одити
При поискване Обработващият предоставя на Администратора информацията, необходима за доказване на спазването на чл. 28 от GDPR, обикновено под формата на писмени отговори и документация. Администраторът или упълномощен от него одитор, обвързан със задължение за поверителност, може да извърши одит или проверка на място с предварително уведомление най-малко 30 дни по-рано, не повече от веднъж годишно (освен при разследване на нарушение на сигурността на личните данни или по искане на надзорен орган), за сметка на Администратора.
12. Отговорност и заключителни разпоредби
Отговорността на страните се урежда от чл. 82 от GDPR, а в останалата част — от Общите условия. Настоящото Споразумение остава в сила, докато Обработващият обработва данните на Администратора. То се урежда от законодателството на Чешката република.
Контакт по въпросите на защитата на данните: info@frame-webs.com.