Споразумение за обработка на данни
Настоящото Споразумение за обработка на данни („Споразумението“) урежда отношенията между търговеца, ползващ платформата Fulbit („Клиент“ / „Администратор“), и ФУЛБИТ ЕООД („Оператора“ / „Обработващ“) относно личните данни, които Клиентът въвежда в платформата. То е неразделна част от Условията за ползване и влиза в сила с приемането им.
1. Роли и инструкции
Клиентът е Администратор на личните данни на своите купувачи и получатели на пратки. Операторът действа като Обработващ лични данни по смисъла на чл. 28 от Регламент (ЕС) 2016/679 (GDPR) и обработва тези данни единствено по документирани инструкции на Администратора, включително по отношение на предаването им извън ЕС. Инструкции са настоящото Споразумение, Условията за ползване и действията, които Клиентът извършва в платформата.
Администраторът отговаря за законосъобразността на данните, които въвежда в платформата, и на инструкциите, които дава. Той гарантира, че има правно основание за обработването им и че е информирал своите купувачи, получатели и служители за него съгласно чл. 13 и 14 от GDPR.
Операторът незабавно уведомява Администратора, ако според него дадена инструкция нарушава GDPR или друго приложимо право в областта на защитата на данните.
Фулфилмънт оператори: Когато Клиентът съхранява и изпраща стоки за други търговци, той действа като обработващ спрямо тези търговци, а Операторът действа като подобработващ. В тези случаи Клиентът гарантира, че има необходимите договори и разрешения от съответния администратор, за да възложи обработването на Оператора.
2. Предмет, срок и категории данни
Предмет и естество: Съхраняване и обработване на данни в софтуерна платформа за управление на склад: наличности, поръчки, пратки, товарителници и връщания.
Срок: Обработването продължава, докато акаунтът на Клиента е активен, и приключва с изтриването на данните по раздел 7.
Категории субекти: Купувачи и получатели на стоки на Администратора (или на търговците, за които той работи), както и негови служители и контактни лица, които ползват платформата.
Категории лични данни:
- имена на получателя;
- адрес за доставка (населено място, улица, офис на куриер, пощенски код);
- телефон и имейл адрес;
- данни за поръчки, съдържание на пратки, наложени платежи и върнати стоки;
- имена, имейл и действия в платформата на потребителите на Клиента.
3. Подобработващи
Администраторът дава общо писмено разрешение на Оператора да ангажира подобработващи. Към момента подобработващи са:
- CoolIceHost: хостинг на платформата и базите данни, със сървъри в България;
- Cloudflare, Inc. (САЩ): мрежова защита и защита от DDoS атаки. Предаването на данни в САЩ става въз основа на Рамката за защита на данните между ЕС и САЩ или на стандартни договорни клаузи, одобрени от Европейската комисия.
Операторът налага на всеки подобработващ договорно същите задължения за защита на данните като тези в настоящото Споразумение и отговаря пред Администратора за изпълнението им. Операторът уведомява Администратора по имейл поне 14 дни преди добавяне или замяна на подобработващ. Администраторът може да възрази в този срок, а ако възражението не бъде уважено, да закрие акаунта си.
Куриерските компании, които Клиентът свързва с акаунта си, не са подобработващи на Оператора. Платформата им предава данни по нареждане на Клиента, а те ги обработват по силата на собствения си договор с Клиента.
4. Поверителност и мерки за сигурност
Лицата, които имат достъп до данните от страна на Оператора, са поели задължение за поверителност. Операторът прилага подходящи технически и организационни мерки по чл. 32 от GDPR за защита на данните срещу случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп:
- Контрол на достъпа: достъп до данните имат само упълномощени лица, в рамките на необходимото за работата им; в платформата всеки потребител има роля и права, определени от Клиента.
- Криптиране: връзката с платформата е криптирана (TLS).
- Архивиране: автоматични ежедневни резервни копия за възстановяване на данните при инцидент; след възстановяване от копие всички изтривания, направени след него, се изпълняват отново.
- Проследимост: действията в акаунта се записват.
5. Съдействие на Администратора
Права на субектите: Когато получи искане от субект на данни (достъп, коригиране, изтриване и др.), Операторът незабавно го препраща на Администратора, без да отговаря сам, и му оказва необходимото техническо съдействие за изпълнението му.
Инциденти със сигурността: При нарушение на сигурността на личните данни Операторът уведомява Администратора без излишно забавяне и не по-късно от 48 часа след като е узнал за него, като предоставя наличната информация за естеството на нарушението, засегнатите данни и предприетите мерки.
Други задължения: Съобразно естеството на обработването и наличната му информация Операторът съдейства на Администратора за изпълнение на задълженията му по чл. 32 до 36 от GDPR, включително при оценка на въздействието върху защитата на данните и предварителна консултация с надзорния орган.
6. Информация и одити
Операторът предоставя на Администратора информацията, необходима за доказване на изпълнението на задълженията по чл. 28 от GDPR, и допуска и съдейства за одити и проверки, извършвани от Администратора или упълномощен от него одитор. Проверката се заявява по имейл поне 30 дни предварително, провежда се в работно време, без да нарушава работата на Оператора и поверителността на данните на други клиенти, и е за сметка на Администратора.
7. Прекратяване и изтриване на данните
При закриване на акаунта или прекратяване на договора:
- акаунтът се изключва веднага, а личните данни в него се изтриват 30 дни по-късно; дотогава Администраторът може да откаже закриването или да поиска данните си, които Операторът предоставя във формат CSV или JSON по реда на раздел 10 от Условията за ползване;
- данните по поръчка или връщане, които още не са приключени, се изтриват 14 дни след приключването им;
- изтритите данни изчезват от резервните копия при подмяната им, а дотогава копията се използват само за възстановяване при инцидент;
- данни се пазят след тези срокове само ако правото на ЕС или българското право изисква това, и само за целта и срока, които то посочва.
По искане на Администратора Операторът потвърждава изтриването по имейл.