Това споразумение е част от договора с WPhost по Общите условия на https://wphost.bg/terms. То урежда личните данни в сайтовете и сървърите на клиентите, до които получаваме достъп, докато работим по тях, например данните на купувачите в онлайн магазин. В текста „Регламентът“ е Регламент (ЕС) 2016/679, а понятията от Общите условия имат същото значение.
1. Страни и обхват
1.1. Страни са Клиентът като администратор („Администраторът“) и „ПРАЙВЪТ ДЕВОПС“ ЕООД като обработващ („Обработващият“). Когато самият Клиент е обработващ от името на свой клиент, например като агенция, Обработващият е негов подизпълнител и Клиентът гарантира, че има разрешение за това от своя администратор.
1.2. Споразумението не се прилага, доколкото Регламентът не се отнася до Клиента, например когато физическо лице ползва Сайта за чисто лични или домашни занимания.
2. Предмет, срок, характер и цел
2.1. При поддръжката и проектите Обработващият получава достъп до файловете и базите данни на Сайта и до Сървъра. Обработва личните данни в тях само доколкото е нужно за поддръжката, копието в staging, резервните копия, мониторинга и договорените проекти. Обработването включва копиране и съхраняване на копия, преглед, промяна и възстановяване на данни при работата по Сайта и изтриване на копията след края на договора.
2.2. Споразумението важи през срока на договора и до изтриването на данните по т. 9.1.
3. Видове данни и субекти
3.1. Данните и субектите зависят от Сайта. Обичайно това са купувачите, регистрираните потребители, посетителите и абонатите на Сайта и служителите на Администратора, а данните са имена, имейли, телефони, адреси за доставка и фактуриране, поръчки и плащания, профили и вход, IP адреси и съдържание на съобщения, отзиви и коментари. Обработващият не проверява какви данни Администраторът държи в Сайта.
3.2. Не пазете в Сайта пълни данни за платежни карти, а за плащания с карти ползвайте платежен доставчик. Ако Сайтът съдържа особени категории данни по чл. 9 от Регламента, кажете ни го предварително. За допълнителните мерки за тях отговаряте Вие.
4. Задължения на Обработващия
4.1. Обработващият:
- а) обработва данните само по документирани нареждания на Администратора, каквито са договорът, приетите оферти и заявките до поддръжката, и го уведомява незабавно, ако според него нареждане нарушава правото за защита на данните. Ако закон го задължава да обработи данни по друг начин, уведомява Администратора предварително, освен ако законът го забранява;
- б) допуска до данните само членове на екипа си, на които достъпът е нужен за работата и които са поели задължение за поверителност;
- в) прилага мерките за сигурност по раздел 5;
- г) включва подизпълнители само по раздел 6;
- д) помага на Администратора да отговаря на искания на субектите на данни, например като по негово нареждане намира, изнася, поправя или изтрива данни в Сайта. Не отговаря пряко на субектите, а ги насочва към Администратора;
- е) помага на Администратора с изпълнението на задълженията му за сигурност, уведомяване за нарушения, оценка на въздействието и предварителна консултация, според естеството на обработването и информацията, с която разполага;
- ж) след края на услугите връща или изтрива данните по раздел 9;
- з) дава на Администратора информацията, нужна да докаже спазването на това споразумение, и позволява одити по раздел 8.
4.2. Обичайното съдействие по букви „д“ и „е“ е без допълнително заплащане.
5. Мерки за сигурност
5.1. Обработващият прилага следните мерки и ги преразглежда, когато е нужно.
- Работи с отделен достъп само за него, който Администраторът може да спре по всяко време, и никога не иска пароли по имейл.
- Достъп до сайтовете и сървърите на клиентите и до копията им при Обработващия имат само членовете на екипа, на които е нужен.
- Свързва се със сайтовете и сървърите на клиентите само по криптирани връзки.
- Всяка промяна е версия в Git, изпробва се в staging и стига до живия сайт след тестовете, с план за връщане назад.
- Копието в staging и резервните копия служат само за поддръжката на съответния Сайт, пазят се извън Сървъра му и възстановяването от тях се пробва редовно.
- Софтуерът, който поддържа, се обновява, включително с поправките за сигурност, а плъгините и темите се следят за известни уязвимости.
6. Подизпълнители
6.1. Администраторът дава общо разрешение за следния подизпълнител.
| Подизпълнител | Дейност | Къде са данните |
|---|---|---|
| Hetzner Online GmbH | сървъри, на които пазим копието в staging и резервните копия | Германия |
6.2. За нов или друг подизпълнител уведомяваме Администратора по имейл поне 30 дни предварително. Той може да възрази в този срок, а ако възражението е основателно и не може да се отстрани, да прекрати договора. Тогава му връщаме неизползваната част от платения период или, при проект, платеното за неизвършената работа.
6.3. На подизпълнителите налагаме с договор същите задължения за защита на данните и отговаряме за тяхното изпълнение. Ако за проект е нужен друг подизпълнител, например доставчик на услуга с изкуствен интелект, офертата го посочва и с приемането ѝ Администраторът разрешава включването му.
6.4. Cloudflare, когато го настройваме в собствения акаунт на Администратора, и Хостинг доставчикът на Администратора, включително облачен доставчик в негов акаунт, не са наши подизпълнители. Те действат за Администратора по договора му с тях.
7. Нарушения на сигурността
7.1. Уведомяваме Администратора без ненужно забавяне и не по-късно от 48 часа, след като узнаем за нарушение на сигурността на данните по това споразумение, и му даваме наличната информация. Дали да уведоми надзорния орган и субектите на данни, решава Администраторът.
8. Одити
8.1. Даваме информацията, нужна за доказване на спазването на споразумението, например описание на мерките и отговори на въпросник.
8.2. Администраторът може да извърши одит или да възложи одит на одитор, обвързан с поверителност, след предизвестие от 30 дни, до веднъж годишно, освен след нарушение на сигурността. Одитът е в работно време, без да пречи на услугите, а разноските за него са за Администратора.
9. Край на обработването
9.1. До 30 дни след края на договора Администраторът може да поиска копие на данните, а след това ги изтриваме заедно с копията им, както е описано в Общите условия, освен ако закон изисква да ги пазим.
10. Други разпоредби
10.1. Не предаваме данните извън Европейското икономическо пространство, освен ако това е посочено в приета оферта, и тогава само при условията на глава V от Регламента. Къде е Сървърът, решава Администраторът.
10.2. Ако орган поиска достъп до данните, уведомяваме Администратора, освен ако законът го забранява, и даваме данни само при законово основание.
10.3. Администраторът отговаря за правното основание на обработването, за информирането на субектите на данни, за бисквитките в Сайта и за законосъобразността на нарежданията си.
10.4. Отговорността на страните е по Общите условия, без да се засягат правата на субектите на данни по чл. 82 от Регламента. По въпросите на защитата на данните това споразумение има предимство пред Общите условия.