Споразумение за обработка на данни

Страни

Администратор на данни („Възложител“)

Обработващ данни („Alvoru“)

Наричани по-нататък заедно: „Страни“.

Като имат предвид, че

• Страните са сключили основен договор, в който Alvoru като Обработващ данни обработва лични данни от името на Възложителя (наричан по-нататък: „Основен договор“);
• съгласно член 28, параграф 3 GDPR се изисква писмено споразумение за обработка на данни, в което са уредени договорености за начина, по който Обработващият данни обработва лични данни;
• това споразумение за обработка на данни (наричано по-нататък: „DPA“) е неразделна част от Основния договор.

Член 1 — Дефиниции

Понятията в това DPA, изписани с главна буква, имат значението, което им се придава в GDPR, допълнено с дефинициите в Общите условия на Alvoru.

Член 2 — Предмет и срок

2.1 Това DPA урежда обработката на лични данни от Alvoru по поръчка на Възложителя в рамките на Основния договор.

2.2 Това DPA влиза в сила на датата, на която започва Основният договор, и се прекратява по право при прекратяване на Основния договор, без да се засягат разпоредбите, които по своето естество са предназначени да продължат да важат.

Член 3 — Естество и цел на обработката

3.1 Естеството и целта на обработката се състоят в предоставянето на описаната в Основния договор Услуга (AI обслужване на клиенти, включително чатбот, имейл и календар).

3.2 Alvoru обработва лични данни изключително по документирано указание на Възложителя, освен при различни законови задължения (чл. 28, параграф 3, буква а GDPR). В последния случай Alvoru уведомява Възложителя преди обработката, освен ако този закон не забранява това по важни причини.

Член 4 — Вид лични данни и категории субекти на данни

Специални категории лични данни (чл. 9 GDPR) и данни за наказателни присъди (чл. 10 GDPR) не се обработват, освен ако не е договорено писмено допълнително.

Член 5 — Задължения на Обработващия данни

5.1 Alvoru обработва лични данни изключително за целите, определени в Основния договор и това DPA, и по писмено указание на Възложителя.

5.2 Alvoru гарантира, че лицата, които обработват лични данни, имат задължение за поверителност, било то по силата на закона, било то по силата на договор.

5.3 Alvoru предоставя на Възложителя, като отчита естеството на обработката, разумно съдействие при удовлетворяване на исканията на субектите на данни за упражняване на техните права съгласно GDPR.

5.4 Alvoru предоставя на Възложителя цялата информация, необходима за доказване на спазването на член 28 GDPR.

5.5 Забрана за обучение на AI. Alvoru никога няма да използва личните данни, които обработва от името на Администратора на данни, за обучение, фина настройка или друго подобряване на AI модели, нито за разработване на собствени или трети AI приложения.

Член 6 — Мерки за сигурност (член 32 GDPR)

Alvoru предприема подходящи технически и организационни мерки за гарантиране на ниво на сигурност, съобразено с риска, сред които:

• Криптиране по време на пренос (TLS 1.2+) и където е приложимо, криптиране в покой;
• Контрол на достъпа въз основа на least privilege; двуфакторна автентикация за администраторите;
• Защитни стени, fail2ban и наблюдение за прониквания;
• Ежедневни криптирани резервни копия със срок на съхранение максимум 90 дни;
• Ограничителни права за файлове (600) върху конфигурационните файлове и файловете с данни;
• Регистриране и наблюдение на достъпа до производствените системи;
• Периодична оценка и актуализиране на мерките за сигурност.

Член 7 — Подизпълнители

7.1 Възложителят предоставя на Alvoru общо писмено съгласие за използване на подизпълнители, при условие че Alvoru спазва останалите разпоредби на този член.

7.2 Актуално използваните подизпълнители са:

7.3 Alvoru налага на подизпълнителите същите задължения за защита на данните, каквито са предвидени в тази DPA (член 28, параграф 4 GDPR).

7.4 Alvoru информира Възложителя минимум 14 дни предварително за замяна или добавяне на подизпълнители. В този срок Възложителят може да направи мотивирано възражение. При основателно възражение Възложителят има право да прекрати безплатно Основния договор.

Член 8 — Предаване извън ЕИП

Предаването на лични данни към държава извън Европейското икономическо пространство се извършва единствено въз основа на решение относно адекватното ниво на защита (чл. 45 GDPR), задължителни фирмени правила, Стандартни договорни клаузи на ЕС (чл. 46, параграф 2, буква в GDPR) или друга предвидена в GDPR гаранция, допълнена с допълнителни технически и организационни мерки, където е необходимо.

Член 9 — Права на субектите на данни

9.1 Alvoru предоставя на Възложителя подходяща подкрепа при обработката на исканията на субектите на данни (достъп, коригиране, изтриване, ограничаване, преносимост, възражение) чрез технически функционалности в клиентския портал и, където е необходимо, допълнително съдействие.

9.2 Alvoru незабавно препраща на Възложителя исканията на субектите на данни, които постъпват директно при Alvoru.

Член 10 — Нарушения на сигурността на данните

10.1 Alvoru информира Възложителя незабавно и най-късно в рамките на 48 часа след установяване на нарушение на сигурността на личните данни (чл. 33, параграф 2 GDPR), за да може Възложителят своевременно да изпълни задължението си за уведомяване в рамките на 72 часа пред Autoriteit Persoonsgegevens.

10.2 Уведомлението съдържа във всеки случай: естеството на нарушението, категориите и броя на засегнатите субекти, категориите и броя на засегнатите записи, вероятните последици и предприетите или предложените мерки.

10.3 Alvoru предоставя на Възложителя подходящо съдействие при уведомяването на Autoriteit Persoonsgegevens и, където е приложимо, на субектите на данни.

Член 11 — Одит

11.1 Веднъж на календарна година Възложителят може, след предварително писмено уведомление от минимум 30 дни, за своя сметка да (възложи да) извърши одит на спазването на тази DPA от страна на Alvoru.

11.2 Одитът се извършва от независим одитор, обвързан със задължение за поверителност, през работно време и по начин, който не нарушава нормалната дейност на Alvoru.

11.3 Вместо одит на място Alvoru може да се ограничи до актуален доклад на независима трета страна (например ISO 27001 или SOC 2), при условие че този доклад предоставя разумно достатъчна увереност.

Член 12 — Прекратяване и изтриване на данни

12.1 След прекратяване на Основния договор Alvoru ще изтрие или върне на Възложителя всички лични данни, по избор на Възложителя и при първо писмено искане, съгласно член 28, параграф 3, буква ж GDPR.

12.2 Такова искане може да бъде подадено в рамките на 60 дни след прекратяването. При липса на такова данните се изтриват автоматично след 60 дни.

12.3 Офлайн резервните копия се изтриват съгласно редовния график на ротация най-късно 90 дни след прекратяването.

12.4 Данните, които Alvoru е длъжен да съхранява по силата на закона, се съхраняват за законово предписания срок.

Член 13 — Отговорност

13.1 Отговорността на Alvoru по тази DPA е включена в и ограничена от разпоредбите за отговорност на Общите условия, приложими към Основния договор.

13.2 Императивните разпоредби на GDPR остават незасегнати.

Член 13а — Регистър на дейностите по обработване

Alvoru поддържа регистър на дейностите по обработване съгласно член 30 GDPR. Този регистър съдържа във всеки случай: името и данните за контакт на Alvoru като обработващ, категориите обработвания, извършвани от името на Администраторите на данни, предаванията към трети държави и приложените гаранции, и общо описание на техническите и организационните мерки за сигурност. Регистърът е достъпен при поискване за Autoriteit Persoonsgegevens.

Член 14 — Приложимо право и спорове

Към тази DPA се прилага нидерландското право. Споровете се отнасят до съда Overijssel, локация Almelo.

Подписване

Изпрати подписаната версия (сканирана или подписана дигитално) на info@alvoru.com. Alvoru връща съвместно подписано копие.