Споразумение за обработване на данни (DPA)

1. Роли и инструкции

Клиентът е администратор, а доставчикът е обработващ, освен ако законът определя друго. Обработващият действа само по документирани инструкции, включително договора, конфигурацията и законосъобразните действия на упълномощени потребители.

2. Предмет и продължителност

Обработването включва хостване, организиране, извличане, защита, архивиране, поддръжка, export и изтриване на данни за срока на услугата и ограничен период след прекратяване.

3. Категории данни и субекти

• Субекти: служители, кандидати, клиенти, доставчици, партньори, представители и потребители.
• Данни: идентификационни и контактни данни, трудови и графикови данни, договорни, финансови, складови, комуникационни и технически записи.
• Специални категории се обработват само ако клиентът има валидно основание и е активирал подходящи ограничения.

4. Поверителност и персонал

Достъп имат само лица с необходимост, обвързани с поверителност и подходящо обучение. Правата се преглеждат и отнемат при промяна на ролята или напускане.

5. Технически и организационни мерки

• Логическа tenant изолация, ролеви контрол и принцип на минималните права.
• Криптиране при пренос, защита на секрети и криптиране на чувствителни стойности.
• 2FA, password policy, rate limiting, audit и access logging.
• Мониторинг, health checks, управление на уязвимости и реакция при инциденти.
• Периодични backup-и, контролирано възстановяване и retention на архивите.

6. Подизпълнители

Клиентът дава общо разрешение за подизпълнители, необходими за услугата. Доставчикът налага еквивалентни задължения и уведомява за съществени промени по договорения канал, като предоставя разумен срок за възражение.

7. Международни трансфери

Когато е необходимо, страните сключват приложимите стандартни договорни клаузи. Модулите, ролите и приложимото право се определят според местоположението и страните.

8. Съдействие и инциденти

Обработващият съдейства разумно за права на субекти, оценки на въздействието, консултации и регулаторни запитвания. За потвърдено нарушение на лични данни клиентът се уведомява без неоправдано забавяне с наличната информация.

9. Изтриване, връщане и одит

При прекратяване данните се връщат или изтриват по избор на клиента, освен когато закон изисква съхранение. Доставчикът предоставя информация за съответствие и допуска разумен одит при поверителност, предварително известие и без риск за други клиенти.

10. Приоритет и подписване

При противоречие това DPA има предимство по въпросите за обработване на лични данни. То влиза в сила чрез подписан договор, поръчка или електронно приемане от упълномощен представител.