Споразумение за обработване на лични данни

1. Страни

Това споразумение е сключено съгласно чл. 28, пар. 3 от Регламент (ЕС) 2016/679 („ОРЗД“) между:

• Администратор — етажната собственост или сдружението на собствениците, което използва BlockBooks („Клиентът“), представлявано от своя управител, председател на управителния съвет или друг надлежно упълномощен представител; и
• Обработващ — Иван Мартинов Димитров, свободна професия, с постоянен адрес: Младен Стоянов 31, гр. Перник 2303, имейл [email protected] („Доставчикът“).

Споразумението е неразделна част от договора за ползване на BlockBooks, сключен при Общите условия, и се приема заедно с тях. При противоречие по въпроси на защитата на данните предимство има това споразумение.

2. Предмет, срок, естество и цел

• Предмет: обработване на лични данни, въведени от Клиента в приложението BlockBooks.
• Срок: докато трае договорът за ползване, както и срокът за връщане и изтриване на данните по т. 11.
• Естество: съхранение, организиране, показване, търсене, обобщаване, експорт, архивиране чрез резервни копия, изпращане на имейли за удостоверяване и изтриване.
• Цел: предоставяне на услугата за финансова отчетност на сградата и за достъп на живущите до информацията, която ги засяга.

3. Субекти и видове данни

Категории субекти: собственици, ползватели и живущи в сградата; членове на управителните органи; контактни лица на доставчици и обслужващи фирми; потребители на приложението.

Видове данни: имена; номер на апартамент и връзка с него; имейл адрес и телефон; суми, получени от апартамент, и техните дати; очаквани месечни суми; платени разходи с описание; бележки и причини за корекции; роля и данни за профила; технически данни от историята на промените (дата, час, потребител).

Услугата не е предназначена за обработване на специални категории данни по чл. 9 ОРЗД или на данни за присъди и нарушения. Клиентът не въвежда такива данни в бележките и описанията.

4. Указания на Клиента

Доставчикът обработва личните данни само по документирани указания на Клиента — тези условия, настройките и действията на Администраторите в приложението и писмените указания по имейл, — включително по отношение на предаването на данни към трета държава, освен ако е длъжен да го направи по правото на ЕС или на държава членка. В такъв случай Доставчикът уведомява Клиента преди обработването, освен ако законът забранява това. Доставчикът незабавно информира Клиента, ако според него дадено указание нарушава ОРЗД или друга разпоредба за защита на данните.

5. Поверителност

Доставчикът гарантира, че лицата, оправомощени да обработват личните данни, са поели задължение за поверителност или са задължени по закон да я спазват. Достъп до данните на Клиента имат само лицата, които се нуждаят от него за поддръжка и работа на услугата, и то в необходимия обем.

6. Мерки за сигурност

Доставчикът прилага технически и организационни мерки по чл. 32 ОРЗД, съобразени с риска, сред които:

• криптиране на връзката (HTTPS/TLS) и достъп до сървъра само през защитен тунел, без отворени входящи портове;
• отделна схема в базата данни за всяка сграда и проверка на правата при всяка заявка;
• достъп според ролята (Администратор, Наблюдател), като наблюдателите виждат подробно само своите апартаменти;
• съхраняване на паролите и личните ключове за достъп само като необратими криптографски хешове; ограничаване на опитите за вход; сесии с ограничен срок;
• криптирана опашка за имейли за удостоверяване и изтриване на съдържанието след изпращане;
• пълна история на промените на финансовите записи и сторниране вместо изтриване;
• криптирани резервни копия, съхранявани извън сървъра в ЕС, и периодична проверка на възстановяването;
• ограничен административен достъп с ключове, своевременни актуализации на сигурността и автоматизирани проверки на софтуера преди всяко издание.

7. Подизпълнители

Клиентът дава общо разрешение Доставчикът да използва подизпълнители. Актуалният списък е публикуван на страницата „Подизпълнители“.

• Доставчикът уведомява Администраторите на Клиента по имейл най-малко 30 дни преди добавяне или замяна на подизпълнител.
• Клиентът може да възрази с мотиви в този срок. Ако страните не намерят решение, Клиентът може да прекрати договора без неустойка преди промяната да влезе в сила.
• Доставчикът налага на всеки подизпълнител по договор същите задължения за защита на данните и остава изцяло отговорен пред Клиента за тяхното изпълнение.

8. Съдействие при искания на субектите

Като отчита естеството на обработването, Доставчикът съдейства на Клиента чрез подходящи технически и организационни мерки при изпълнението на задължението му да отговаря на искания за упражняване на правата по глава III ОРЗД. Приложението позволява на Администраторите да преглеждат, коригират и експортират данните. Ако Доставчикът получи искане директно от субект на данни, той го препраща на Клиента без ненужно забавяне и не отговаря по същество без указание на Клиента.

9. Съдействие по чл. 32–36 ОРЗД

Доставчикът съдейства на Клиента за спазване на задълженията му за сигурност на обработването, за уведомяване за нарушения на сигурността, за оценка на въздействието върху защитата на данните и за предварителна консултация с надзорния орган, като отчита естеството на обработването и информацията, с която разполага.

10. Нарушения на сигурността на данните

Доставчикът уведомява Клиента без ненужно забавяне, и най-късно в срок от 48 часа, след като узнае за нарушение на сигурността на личните данни на Клиента. Уведомлението се изпраща по имейл до Администраторите и съдържа, доколкото е известно:

• описание на нарушението, засегнатите категории и приблизителния брой субекти и записи;
• вероятните последици;
• предприетите или предлаганите мерки за овладяване и ограничаване на последиците;
• лице за контакт за допълнителна информация.

Когато не цялата информация е налична веднага, тя се предоставя поетапно. Решението дали да се уведоми надзорният орган и субектите на данни взема Клиентът като администратор; Доставчикът му съдейства.

11. Връщане и изтриване на данните

При прекратяване на договора Клиентът може в срок от 30 дни да експортира данните си, а по искане Доставчикът предоставя пълно копие в общоприет машинночетим формат. След този срок Доставчикът изтрива личните данни на Клиента от работната система, а от резервните копия — при тяхната ротация, но не по-късно от 90 дни, освен ако правото на ЕС или на държава членка изисква съхраняването им. По искане Доставчикът потвърждава изтриването писмено.

12. Информация и одити

Доставчикът предоставя на Клиента цялата информация, необходима за доказване на изпълнението на задълженията по чл. 28 ОРЗД, и позволява и съдейства за одити, включително проверки, извършвани от Клиента или от упълномощен от него одитор, обвързан със задължение за поверителност. Одитите се заявяват писмено най-малко 30 дни предварително, провеждат се в работно време, не по-често от веднъж годишно (освен след нарушение на сигурността или по искане на надзорен орган) и без достъп до данни на други клиенти. Всяка страна поема своите разходи.

13. Предаване извън ЕИП

Данните на Клиента се съхраняват в ЕС. Предаване към трета държава се извършва само чрез подизпълнител от списъка и при наличие на подходящи гаранции по глава V ОРЗД — решение относно адекватното ниво на защита (включително Рамката за защита на личните данни между ЕС и САЩ) или стандартни договорни клаузи.

14. Отговорност и заключителни разпоредби

Отговорността на страните се урежда съгласно чл. 82 ОРЗД и Общите условия. Споразумението се прилага, докато Доставчикът обработва лични данни от името на Клиента. Прилага се българското право. При несъответствие между българския и английския текст предимство има българският.