Споразумение за обработване на данни

Администратор: Клиентът на услугата Kontevia, бизнес или самоосигуряващо се лице, което обработва лични данни, съдържащи се в неговите счетоводни документи и други данни, подадени в Услугата.

Обработващ лични данни: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Чешка република, ЕИК 22103741, вписано в Търговския регистър, воден от Градския съд в Прага, дело № C 410771. Контакт за защита на данните: hello@kontevia.com.

1.1. Настоящото Споразумение урежда правата и задълженията на страните, когато Обработващият обработва лични данни от името на Администратора в хода на предоставянето на услугата Kontevia ("Услугата").

1.2. Настоящото Споразумение е неразделна част от Общите условия и влиза в сила при регистрацията на Администратора за Услугата. То се прилага, докато Обработващият обработва лични данни за Администратора.

2.1. Обработващият обработва лични данни единствено с цел предоставяне на Услугата, а именно:

• получаване и дигитализиране на счетоводни документи, подадени чрез чат, имейл или качване;
• извличане на данни от документи чрез оптично разпознаване на символи и автоматизирани модели за извличане;
• категоризиране, откриване на дублирания и предложения за третиране по ДДС;
• издаване на фактури и други документи по указание на Администратора;
• импортиране на банкови транзакции, свързани от Администратора, и съпоставянето им с документи;
• изготвяне на обобщения, отчети и експорти към счетоводната система или консултанта на Администратора;
• съхранение на документи и данни в рамките на Услугата за срока на договора и периода за експорт.

2.2. Обработващият обработва лични данни само въз основа на документирани указания от Администратора, включително относно предаване на данни на трети държави, освен ако не е задължен да го направи по силата на правото на Съюза или на държава членка; в такъв случай Обработващият уведомява Администратора преди обработването, освен ако законодателството не забранява това.

3.1. Субекти на данни: бизнес партньорите на Администратора (доставчици, клиенти, лица за контакт), служителите и изпълнителите на Администратора, когато се обработват документи, свързани с работни заплати или разходи, както и собствените потребители на Услугата на Администратора.

3.2. Категории лични данни: идентификационни данни (име, наименование на дружество, идентификационни номера на дружество и по ДДС); данни за контакт (адрес, имейл, телефон); финансови данни (фактурирани суми, номера на банкови сметки, референции за плащания); данни за трудова заетост, когато се подават документи за заплати (длъжност, заплата, идентификатори за осигуряване); данни за използване на потребителите на Администратора.

3.3. Обработващият не изисква специални категории данни по смисъла на член 9 от GDPR. Администраторът се задължава да не подава такива данни чрез Услугата, освен ако те се съдържат в документ, който Администраторът е законово задължен да съхранява, като в такъв случай Администраторът носи отговорност за законовото основание.

Обработващият се задължава да:

• обработва лични данни само въз основа на документирани указания от Администратора и само доколкото е необходимо за Услугата;
• гарантира, че лицата, оправомощени да обработват лични данни, са поели ангажимент за поверителност или са обвързани от подходящо законово задължение за поверителност;
• прилага техническите и организационните мерки, изисквани от член 32 от GDPR, по-специално изброените в Приложението към настоящото Споразумение;
• не наема друг обработващ без предварително общо писмено разрешение от Администратора, което Администраторът предоставя съгласно член 6 от настоящото Споразумение;
• като взема предвид естеството на обработването, подпомага Администратора чрез подходящи технически и организационни мерки при отговаряне на искания на субекти на данни, упражняващи правата си;
• подпомага Администратора при осигуряване на съответствие с членове 32 до 36 от GDPR (сигурност, уведомяване при нарушение, оценка на въздействието върху защитата на данните, предварителна консултация), като взема предвид естеството на обработването и информацията, с която разполага Обработващият;
• по избор на Администратора, изтрива или връща всички лични данни след приключване на предоставянето на Услугата и изтрива съществуващите копия, освен ако правото на Съюза или на държава членка не изисква съхранение;
• предоставя на Администратора цялата информация, необходима за доказване на съответствие с член 28 от GDPR, и допуска и съдейства при одити, включително проверки, извършвани от Администратора или от одитор, упълномощен от Администратора;
• незабавно информира Администратора, ако по негово мнение дадено указание нарушава GDPR или други разпоредби на правото на Съюза или на държава членка относно защитата на данните.

5.1. Обработващият уведомява Администратора за всяко нарушение на сигурността на личните данни без ненужно забавяне и не по-късно от 48 часа след узнаването за него.

5.2. Уведомлението съдържа поне: описание на естеството на нарушението, включително, когато е възможно, категориите и приблизителния брой на засегнатите субекти на данни и записи; името и данните за контакт на отговорното лице; описание на вероятните последици; както и описание на предприетите или предложените мерки за справяне с нарушението и смекчаване на последиците от него.

5.3. Обработващият съдейства на Администратора при изпълнение на неговите задължения за уведомяване на компетентния надзорен орган и на субектите на данни.

6.1. Администраторът предоставя общо разрешение на Обработващия да наема подобработващи за обработването на лични данни.

6.2. Актуалният списък на подобработващите, с цел и местоположение на всеки от тях, е публикуван на страницата „Подобработващи“ на уебсайта на Обработващия и представлява приложение към настоящото Споразумение.

6.3. Обработващият информира Администратора за всяко планирано добавяне или замяна на подобработващи най-малко 14 дни предварително, чрез имейл до контактния адрес на Администратора или чрез съобщение в Услугата, като предоставя на Администратора възможност да възрази.

6.4. Ако Администраторът повдигне обосновано възражение в срок от 14 дни от уведомлението, Обработващият или се отказва от планираната промяна, или предлага на Администратора възможност да прекрати договора без санкции и с възстановяване на предплатените такси за неизползвания период.

6.5. Обработващият налага на всеки подобработващ по договор същите задължения за защита на данните, каквито са посочени в настоящото Споразумение, по-специално достатъчни гаранции за прилагане на подходящи технически и организационни мерки. Ако подобработващ не изпълни задълженията си, Обработващият остава изцяло отговорен пред Администратора за изпълнението на задълженията на този подобработващ.

7.1. Личните данни се съхраняват на сървъри, разположени в Европейския съюз. Обработващият не предава лични данни извън Европейското икономическо пространство, освен на подобработващи, изброени на страницата „Подобработващи“, и само с подходящи гаранции съгласно глава V от GDPR.

7.2. Такива предавания се основават на решение относно адекватното ниво на защита на Европейската комисия (включително Рамката за защита на данните ЕС – САЩ за сертифицирани получатели), стандартните договорни клаузи, приети от Комисията съгласно член 46, параграф 2, буква в) от GDPR, или други подходящи гаранции, допълнени с допълнителни мерки, когато оценка на въздействието на предаването го изисква.

8.1. Обработващият оказва разумно съдействие на Администратора при обработване на искания на субекти на данни за упражняване на правата им по членове 15 до 22 от GDPR (достъп, коригиране, изтриване, ограничаване, преносимост, възражение). Услугата включва функции за търсене, експорт и изтриване, които позволяват на Администратора да обработва повечето искания директно.

8.2. Ако субект на данни се обърне директно към Обработващия, Обработващият насочва субекта на данни към Администратора без ненужно забавяне и уведомява Администратора, освен ако искането се отнася до данни, за които Обработващият сам е администратор.

9.1. Обработващият допуска Администратора или одитор, упълномощен от Администратора, да извършват одити и проверки за проверка на съответствието с настоящото Споразумение и с GDPR.

9.2. Одитите се извършват за сметка на Администратора, с разумно предварително уведомление от най-малко 14 работни дни, през работно време и по начин, който не нарушава дейността на Обработващия и не компрометира сигурността на данните на други клиенти. Одиторът трябва да бъде обвързан от задължение за поверителност.

9.3. Вместо одит на място, Обработващият може да предостави актуални сертификати, доклади от независими одитори или друга документация, доказваща съответствие с мерките за сигурност, когато те са достатъчни за отговор на въпросите на Администратора.

10.1. Настоящото Споразумение е в сила за периода на договорните отношения между Администратора и Обработващия, тоест докато Администраторът използва Услугата.

10.2. След приключване на договорните отношения Обработващият: позволява на Администратора да експортира данните си в рамките на 90 дни; след изтичане на 90-дневния период необратимо изтрива всички лични данни на Администратора; изтрива резервните копия не по-късно от 45 дни след изтриването на основните данни; и потвърждава изтриването по искане на Администратора. Изключват се данните, които Обработващият е задължен да съхранява по силата на правото на Съюза или на държава членка (по-специално счетоводни записи).

10.3. Задълженията по настоящото Споразумение, по-специално поверителността и сигурността, остават в сила след приключване на договорните отношения, докато Обработващият съхранява каквито и да е лични данни на Администратора.

11.1. Обработващият носи отговорност за вреди, причинени от обработване в нарушение на настоящото Споразумение или на GDPR, съгласно член 82 от GDPR, по-специално когато не е спазил задълженията на GDPR, специално насочени към обработващите лични данни, или е действал извън или в противоречие със законните указания на Администратора.

11.2. Ограниченията на отговорността в Общите условия се прилагат и към настоящото Споразумение, доколкото законът позволява това; те не ограничават правата на субектите на данни.

12.1. Настоящото Споразумение се урежда от правото на Чешката република и пряко приложимото право на Европейския съюз, по-специално ОРЗД.

12.2. При противоречие между настоящото Споразумение и Общите условия, настоящото Споразумение има предимство по въпроси, свързани със защитата на личните данни.

12.3. Изменения на настоящото Споразумение изискват писмена форма, което включва актуализирана версия, публикувана на уебсайта и съобщена на Администратора съгласно Общите условия.

12.4. Споровете, произтичащи от настоящото Споразумение, се решават от съдилищата на Чешката република, компетентни съобразно седалището на Обработващия, без да се засягат правата на субектите на данни и надзорните органи.

Криптиране

• AES-256 криптиране на данните в покой, включително резервните копия.
• TLS 1.2 или по-висока версия за всички данни при пренос, включително връзките с подобработващи.

Контрол на достъпа

• Достъп по принципа на най-малката привилегия; всеки служител и система разполага само с правата, необходими за неговата роля.
• Многофакторна автентикация за административен и инфраструктурен достъп.
• Разделяне на работните пространства на клиентите на ниво приложение и база данни.
• Редовен преглед и своевременно отнемане на права за достъп.

Наличност и устойчивост

• Редовни автоматизирани резервни копия с тествани процедури за възстановяване.
• Резервирана хостинг инфраструктура в рамките на Европейския съюз.
• Наблюдение на наличността и производителността с алармени известия.

Цялостност и водене на журнали

• Записване на достъпа до лични данни и на административните действия.
• Одитна следа за документите: кой ги е подал, променил, одобрил или изнесъл и кога.
• Откриване на аномалии и инциденти със сигурността.

Организационни мерки

• Задължения за поверителност на всички служители и подизпълнители с достъп до лични данни.
• Обучение на персонала по защита на данните и сигурност.
• Документирани вътрешни процедури за обработка на лични данни и за обработка на заявки от субекти на данни.
• План за реакция при инциденти с определени роли и срокове за уведомяване.
• Преглед на защитата на данните на нови подобработващи преди възлагане.