Споразумение за обработване на данни

Страни и обхват

Това споразумение (чл. 28 от ОРЗД) се сключва между вас, обекта, като администратор и Ospitera като обработващ лични данни. То е част от условията за ползване и се прилага, докато обработваме лични данни за вас. Версия 2026-11-05.

Какво обработваме

Предмет и цел: приемане, показване, отпечатване и доставка на поръчките на клиентите ви, изпращане на SMS, които включите, и свързаната поддръжка.

Субекти на данни: вашите клиенти и вашият персонал, който използва администрацията и екрана за персонала.

Лични данни: име, телефон, адрес за доставка, бележки и съдържание на поръчката на клиентите; потребителски имена на персонала; технически данни като IP адреси (съхранявани само като ключови хешове).

Срок: Адресът за доставка и бележките се изтриват 24 часа след приключване на поръчката, телефонният номер и фамилното име след 72 часа, а неприключените поръчки ги губят след 7 дни. Съдържанието и сумите на поръчките остават за счетоводството на обекта до прекратяване на дейността му или на услугата.

Нашите задължения

Документирани указания: обработваме личните ви данни само за целите и съгласно указанията в това споразумение, настройките, които изберете в администрацията, и последващите указания на упълномощените ви лица за контакт, включително относно предаването в чужбина. Ако правото на ЕС или на държава членка изисква друго обработване, ви уведомяваме предварително, освен ако това право не го забранява. Ако смятаме, че дадено указание нарушава правилата за защита на данните, ви уведомяваме незабавно и спираме указанието, докато не се договорим за следващите стъпки.

Всички лица в Ospitera с достъп са обвързани с поверителност.

Прилагаме подходящи мерки за сигурност, сред които: криптиране при пренос, криптиране при съхранение на данните за контакт на клиентите и на данните за удостоверяване за плащания, хеширани пароли и ПИН кодове, достъп, ограничен до обекта, ограничаване на заявките, регистриране на чувствителните действия, автоматично изтриване съгласно посоченото и резервни копия на базата данни.

Съдействие: като отчитаме обработването и наличната информация, ви помагаме с исканията на клиентите за упражняване на правата им, със сигурността, оценката и уведомяването за нарушения, с оценките на въздействието и консултациите с органите. Администрацията ви съдържа инструмент за експорт или изтриване на данните на един клиент; за всичко друго се обърнете към поддръжката. Препращаме ви незабавно исканията, които засягат вашето обработване, и не отговаряме сами на тях, освен ако законът не го изисква, и ви предоставяме информацията, с която разумно разполагаме, навреме за вашите срокове.

Уведомяваме ви за нарушение на сигурността, засягащо вашите данни, без ненужно забавяне и в рамките на 48 часа от установяването му, с информацията, необходима за собствените ви задължения.

Прекратяване на услугата: новите поръчки спират на датата на прекратяване. В продължение на 30 дни след това можете още да влизате и да експортирате (условия 9.4); на 30-ия ден изтриваме личните данни, които пазим за вас (поръчки, данни на клиенти, акаунти на персонала и собственика, менюто и данните за контакт в настройките), освен ако не ни помолите за по-ранно изтриване. Резервните копия на базата данни изтичат според графика за възстановяване на доставчика ни на база данни и никога не се използват при обичайната работа; ако резервно копие някога бъде възстановено, изтриванията се прилагат отново. Пазим само това, което законът изисква от нас: нашите фактури към вас и записа за приемането на условията.

Съответствие и одити: предоставяме информацията, разумно необходима за доказване на съответствието с това споразумение, и позволяваме одити, включително проверки, извършвани от вас или от независим одитор, възложен от вас, с разумно предизвестие и при спазване на поверителността, и съдействаме за тях. Рутинните одити могат да се обединяват, за да се избегне дублиране; допълнителни одити са винаги възможни след значителен инцидент, значителна промяна в обработването, основателно подозрение за несъответствие или по искане на надзорен орган.

Отделни роли: ние сме ваш обработващ за поръчките на клиентите ви и за акаунтите на персонала, които управлявате. За търговските ни отношения с вас, фактурирането, сигурността на платформата ни и правните претенции ние сме самостоятелен администратор, както описва политиката за поверителност (/legal/privacy). Никоя от ролите не ни позволява да използваме данните на клиентите за реклама, несвързано профилиране или обучение на модели на изкуствен интелект.

Подизпълнители

Одобрявате подизпълнителите, изброени на /legal/subprocessors. Налагаме им същите задължения за защита на данните и отговаряме за тях.

Обявяваме нови подизпълнители в администрацията най-малко 30 дни предварително. Можете да възразите на разумно основание; ако не се намери решение, можете да прекратите услугата преди промяната.

Предаване в чужбина

Списъкът на подизпълнителите посочва къде всеки доставчик обработва данните. Ако данните напуснат Европейското икономическо пространство, предаването се основава на решение относно адекватното ниво на защита или, ако няма такова, на стандартните договорни клаузи на Европейската комисия (модул 3, обработващ към обработващ), договорени с този доставчик, с допълнителни мерки, когато е необходимо. Последващото предаване от доставчиците ни се оценява отделно. Предаване без валиден механизъм не започва. При поискване ви предоставяме копие от гаранциите, заличено само там, където това е търговски необходимо.

Приложения по държави

Обединено кралство: личните данни от Обединеното кралство могат да бъдат предавани в ЕИП съгласно британските правила за адекватност по отношение на ЕИП. Ако ограничено предаване излиза извън ЕИП, се прилага UK International Data Transfer Addendum към клаузите, които имаме със съответния доставчик.

Швейцария: предаването към ЕИП се основава на признаването от Федералния съвет на адекватно ниво на защита; предаването другаде използва стандартните договорни клаузи, признати за съответната дестинация от швейцарския Федерален комисар по защита на данните и информацията.

Бразилия: предаването към Белгия и останалата част от ЕС се основава на решението на бразилския орган за защита на данните (ANPD) относно адекватното ниво на защита в Европейския съюз, доколкото то ги обхваща. Другите дестинации и последващото предаване използват посочения за тях механизъм; ако това са стандартните договорни клаузи на ANPD (Резолюция CD/ANPD 19/2024), прилагаме пълния им текст и попълнените приложения без промени.

Турция: ако гаранцията е стандартният договор на Органа за защита на личните данни, попълваме и подписваме с вас правилния турски модул, преди предаването да започне, а подписаният договор се съобщава на Органа в рамките на пет работни дни от подписването от страната, която той определя. Дотогава не започваме да обработваме данни за обект в Турция.

Квебек: преди личната информация да напусне Квебек, ви предоставяме информацията и писмените гаранции, необходими за собствената ви оценка съгласно Закона за защита на личната информация в частния сектор; оценката остава ваша.

Други държави със собствени правила за предаване на лични данни в чужбина (например Аржентина, Колумбия и Перу): предоставяме ви необходимата информация за обработването ни и преди началото на предаването въвеждаме клаузите, изисквани от това право.

Ред на предимство

Императивните разпоредби на посочения инструмент за предаване имат предимство пред това споразумение и условията за ползване. При тази уговорка приложението за дадена държава има предимство пред останалата част от споразумението, а това споразумение има предимство пред условията за ползване по въпросите на личните данни.

Контакт

Въпроси за поверителността и уведомяване за нарушения: support@ospitera.com.