Споразумение за обработване на лични данни

2Предмет и срок на обработването

ПРЕДМЕТ: обработване на лични данни от името на администратора, доколкото е необходимо за предоставянето на платформата Rentnivo по Общите условия за ползване.

СРОК: обработването започва с активирането на акаунта и продължава, докато трае договорът. След неговото прекратяване обработването продължава единствено в 90-дневния срок за замразяване по Общите условия, за да можете да изнесете данните си, и приключва с изтриването им по раздела „Изтриване или връщане на данните“.

3Характер и цел на обработването

ХАРАКТЕР: събиране, записване, съхранение, структуриране, справка, показване, изменение, предаване към подизпълнителите по Приложение А, ограничаване и изтриване — изцяло с автоматизирани средства.

ЦЕЛИ:

• водене на имоти, жилища, наемни договори и свързаните с тях документи;
• фактуриране на наеми и проследяване на плащания, включително качени платежни нареждания;
• приемане и разпределяне на заявки за поддръжка, включително възлагане към фирми изпълнители;
• комуникация между страните — съобщения, известия в приложението и push известия;
• автоматизирана помощ с езикови модели: триаж на заявки, отговори в чата, разчитане на качени документи, обобщения и превод на съдържание;
• износ на данни по ваше искане и водене на одитни дневници.

4Вид лични данни и категории субекти

Единният граждански номер се третира с повишена защита: показва се само при изрично действие и всяко разкриване се записва. Подробностите са в Приложение Б.

5Обработване само по документирано нареждане

Обработващият обработва лични данни само по документирано нареждане на администратора, включително при трансфер към трета държава или международна организация (чл. 28, пар. 3, буква а ОРЗД).

Документирано нареждане са:

• това споразумение и Общите условия за ползване;
• всяко действие на администратора или на негов потребител в самата платформа — създаване на договор, изпращане на съобщение, качване на документ, стартиране на AI действие;
• настройките на акаунта, включително сроковете за съхранение, зададени на отделен документ;
• писмено нареждане от администратора до kalingblagov@gmail.com.

Обработващият може да обработва данни извън нареждане само когато правото на ЕС или на държава членка му налага това. В такъв случай той уведомява администратора предварително, освен ако същото право забранява уведомяването по важни съображения от обществен интерес.

Обработващият уведомява администратора незабавно, ако смята, че дадено нареждане нарушава ОРЗД или друга разпоредба за защита на данните. До изясняването той може да спре изпълнението на това нареждане.

6Поверителност на персонала

Обработващият гарантира, че всяко лице, което има достъп до лични данни по това споразумение, е поело писмено задължение за поверителност или е обвързано със съответното законово задължение (чл. 28, пар. 3, буква б ОРЗД). Задължението остава в сила и след прекратяване на отношението с обработващия.

Достъп получават само лица, на които той е необходим за поддръжката и развитието на платформата, и само в необходимия обем. Достъпът се отнема при отпадане на нуждата.

7Мерки за сигурност по чл. 32

Обработващият прилага подходящи технически и организационни мерки за сигурност на обработването, съобразени с нивото на риска (чл. 28, пар. 3, буква в и чл. 32 ОРЗД). Мерките, които действат днес, са описани поименно в Приложение Б.

Мерките могат да се развиват. Обработващият няма право да ги понижава под нивото, описано в Приложение Б, освен ако ги замени с поне равностойни. При съществена промяна той обновява Приложение Б и уведомява администратора по реда за промени в Общите условия.

Администраторът отговаря за мерките от своята страна: кого кани в акаунта, какви роли раздава, дали отнема достъпа на напуснали хора и колко силна е паролата му.

8Подизпълнители

Администраторът дава ОБЩО ПРЕДВАРИТЕЛНО РАЗРЕШЕНИЕ обработващият да ангажира други обработващи (чл. 28, пар. 2, изр. 2 и пар. 3, буква г ОРЗД). Действащите подизпълнители са изброени в Приложение А.

• Обработващият уведомява администратора поне 30 дни преди да добави или замени подизпълнител — по имейл на адреса на акаунта и с обновяване на Приложение А.
• В този срок администраторът може да възрази писмено по обосновани съображения за защита на данните. Ако възражението не бъде преодоляно, всяка от страните може да прекрати договора без санкция, а администраторът получава обратно предплатената и неизползвана част.
• Обработващият налага на всеки подизпълнител същите задължения по договор, каквито има сам, и остава изцяло отговорен пред администратора за неговите действия.
• При спешна замяна по съображения за сигурност или заради отпадане на доставчик обработващият може да действа веднага и да уведоми незабавно след това.

9Съдействие за правата на субектите на данни

Обработващият съдейства на администратора с подходящи технически и организационни мерки за изпълнението на исканията по глава трета от ОРЗД — достъп, коригиране, изтриване, ограничаване, преносимост, възражение (чл. 28, пар. 3, буква д).

• Голяма част от исканията администраторът може да изпълни сам от екраните на платформата — да коригира данни, да прекрати достъп или да изнесе списък в CSV.
• Когато е нужна намеса от наша страна, обработващият отговаря в срок до 10 работни дни от писменото искане, за да остане администраторът в едномесечния срок по чл. 12, пар. 3 ОРЗД.
• Ако субект на данни се обърне направо към обработващия, той не отговаря по същество, а пренасочва искането към администратора и го уведомява.

10Съдействие по чл. 32–36: нарушения, оценки, консултации

Обработващият подпомага администратора при изпълнението на задълженията по чл. 32–36 ОРЗД, като отчита естеството на обработването и информацията, с която разполага (чл. 28, пар. 3, буква е).

НАРУШЕНИЕ НА СИГУРНОСТТА. Обработващият уведомява администратора БЕЗ НЕОБОСНОВАНО ЗАБАВЯНЕ и не по-късно от 48 часа, след като узнае за нарушение, засягащо неговите данни. Уведомлението съдържа известното към момента:

• естеството на нарушението, засегнатите категории данни и приблизителния брой засегнати лица;
• вероятните последици;
• предприетите и предложените мерки за ограничаване на щетите;
• лице за контакт, от което може да се получи повече информация.

Уведомлението към надзорния орган и към субектите на данни е задължение на АДМИНИСТРАТОРА. Обработващият не уведомява надзорния орган от негово име, освен по изрично писмено искане.

ОЦЕНКА НА ВЪЗДЕЙСТВИЕТО. Обработващият предоставя на администратора информацията, с която разполага, за нуждите на оценка на въздействието по чл. 35 и на предварителна консултация по чл. 36 — включително описанието на мерките в Приложение Б, списъка на подизпълнителите в Приложение А и местата на съхранение.

Подаването на сигнали и жалби е към Комисия за защита на личните данни, гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, kzld@cpdp.bg, https://www.cpdp.bg.

11Изтриване или връщане на данните след края

По избор на администратора обработващият връща или изтрива всички лични данни след края на предоставянето на услугата и изтрива съществуващите копия, освен ако правото на ЕС или на държава членка изисква съхранение (чл. 28, пар. 3, буква ж ОРЗД).

Резервните копия не се изтриват поединично. Те се изтърколват по свой график и изтритият запис изчезва от тях най-късно с изтичането на цикъла им. През това време той не се възстановява в работната система.

12Информация, одит и инспекции

Обработващият предоставя на администратора цялата информация, необходима за доказване на спазването на чл. 28, и позволява и съдейства при одити и инспекции, извършвани от администратора или от одитор, упълномощен от него (чл. 28, пар. 3, буква з ОРЗД).

• Първата стъпка е писмено запитване. Обработващият отговаря в срок до 20 работни дни с описание на мерките, местата на съхранение и подизпълнителите, както и с наличните сертификати и доклади на подизпълнителите.
• Ако отговорът не е достатъчен, администраторът може да поиска одит на място или дистанционно, веднъж годишно, с 30-дневно предизвестие, в работно време и без да нарушава работата на платформата. При доказано нарушение или по разпореждане на надзорен орган ограничението веднъж годишно не се прилага.
• Одиторът не може да е конкурент на обработващия и подписва споразумение за поверителност. Одитът не обхваща данни на други клиенти.
• Разходите за одита са за сметка на администратора, освен когато одитът установи съществено нарушение от страна на обработващия.

13Трансфер извън Европейското икономическо пространство

Основното съхранение — базата данни, файловете и хостингът — е в Европейския съюз (Ирландия и Германия). Данни напускат ЕИП само в две направления: AI обработката и изпращането на имейли, при подизпълнителите в САЩ по Приложение А.

За тези трансфери се прилагат Стандартните договорни клаузи по Решение за изпълнение (ЕС) 2021/914 на Комисията, модул 3 (обработващ към обработващ), заедно с оценка на въздействието на трансфера и с допълнителните мерки, произтичащи от нея. Когато получателят е сертифициран по Рамката за защита на личните данни ЕС–САЩ, тя се прилага като самостоятелно основание.

Администраторът дава нареждане за тези трансфери, доколкото те са необходими за функциите, които той ползва. Ако не желае AI обработка извън ЕИП, той може да поиска изключване на AI модула за своя акаунт.

14Отговорност между страните

Отговорността към субектите на данни и към надзорния орган се разпределя по чл. 82 ОРЗД. Ограниченията на отговорността в Общите условия за ползване НЕ се прилагат към задълженията по това споразумение и към санкции по ОРЗД, дължащи се на действие или бездействие на обработващия.

Всяка страна понася последиците от собственото си нарушение. Обработващият не отговаря за качени без основание данни, за неправилно раздадени роли в акаунта или за нареждания на администратора, за които го е предупредил писмено.

При противоречие между това споразумение и Общите условия за ползване по въпроси на защитата на данните предимство има това споразумение.

15Приложение А: Подизпълнители

Списъкът е актуален към датата на версията. Промените се обявяват по реда в раздела „Подизпълнители“.

16Приложение Б: Технически и организационни мерки

Описани са мерките, които действително действат в платформата към датата на версията. Приложението е основа за оценката на въздействието на администратора — затова изброява и това, което ГО НЯМА.