Договор за обработване на лични данни

1. За какво е този договор

1.1. Когато бизнес клиент използва Zentho, в платформата може да има лични данни на други хора: последователи и коментиращи в свързаните профили, хора на снимки и във видео, имена в текстове, хора в постовете на конкуренти, които клиентът въвежда. За тези данни клиентът е администратор, а „Развивай се“ ООД е обработващ — обработваме ги само от името на клиента и само за да му предоставим Zentho.

1.2. Този договор урежда това обработване по чл. 28 от Регламент (ЕС) 2016/679. Той е част от договора за ползване на Zentho и допълва т. 14.2 от Общите условия. За данните на самия клиент и на хората в неговия екип — акаунт, вход, плащания — ние сме администратор и важи Политиката за поверителност.

2. Стандартните договорни клаузи

2.1. Страните прилагат стандартните договорни клаузи от приложението към Решение за изпълнение (ЕС) 2021/915 на Комисията от 4 юни 2021 г. (ОВ L 199, 7.6.2021 г., стр. 18), без изменения. Клаузите са неразделна част от този договор. Пълният им текст на български е на https://eur-lex.europa.eu/legal-content/BG/TXT/?uri=CELEX:32021D0915

2.2. Изборът по клаузите:

• клауза 5 (присъединяване на трети лица) не се прилага;
• клауза 7.7, буква а) — вариант 2, общо писмено разрешение: клиентът разрешава подизпълнителите в приложение IV; за всяка планирана промяна го уведомяваме писмено най-малко 14 дни предварително, за да може да възрази;
• приложенията I–IV са попълнени по-долу.

2.3. Ако нещо в този договор или в Общите условия противоречи на клаузите, предимство имат клаузите.

3. Указанията на клиента

3.1. Клиентът дава указанията си, като използва функциите на Zentho — генериране, качване, свързване на профили, публикуване, добавяне на конкуренти, изтриване — и с писма до academy@razvivai.se. Обработваме данните само по тези указания.

3.2. Клиентът отговаря обработването да има правно основание и засегнатите лица да са информирани. Не качва специални категории лични данни (например за здравето), освен когато това е нужно и има основание за него.

4. Проверки

4.1. При поискване даваме на клиента информацията, нужна да докаже, че задълженията по чл. 28 се спазват — описание на мерките, списъка на подизпълнителите, отговори на въпросници.

4.2. Проверка на място клиентът може да поиска с писмо поне 30 дни предварително, по правило веднъж годишно, а и по всяко време, когато има признаци, че задълженията не се спазват (клауза 7.6). Тя е за сметка на клиента и не бива да засяга данните на другите клиенти.

5. Край на обработването

При изтриване на акаунта — а с него и на организациите, в които клиентът е единственият член — данните се изтриват веднага; резервните копия се презаписват до 30 дни. Ако клиентът поиска данните си преди това, ги предоставяме в широко използван формат. Пазим само това, което законът изисква — например документите за плащане.

6. Отговорност

Отговорността между страните е по раздел 13 от Общите условия, а пред засегнатите лица — по чл. 82 от Регламент (ЕС) 2016/679.

Приложение I. Страните

Администратор: организацията-клиент в Zentho, с данните, вписани в акаунта (наименование, ЕИК, адрес). Лице за контакт: администраторът на организацията в Zentho, на имейла на неговия акаунт.

Обработващ: „Развивай се“ ООД, ЕИК 208666305, гр. Враца 3000, ул. „Петропавловска“ № 4, ет. 3, ап. 13. Контакт: academy@razvivai.se, +359 888 202 221.

Приложение II. Описанието на обработването

• Категории засегнати лица: последователи, коментиращи и други лица, чиито данни се съдържат в свързаните профили и в статистиката им; лица, изобразени или споменати в съдържанието, което клиентът качва, въвежда или генерира; лица, споменати в постовете и в информацията за конкуренти, които клиентът въвежда или търси.
• Категории лични данни: имена и потребителски имена, публични идентификатори на профили, снимки и видео, текстове на постове и на коментарите под публикуваните постове, обобщена статистика на публикациите (харесвания, коментари, обхват), както и всичко друго, което клиентът въведе.
• Чувствителни данни: не се очакват (т. 3.2). Ако все пак има, за тях важат мерките от приложение III — криптирана връзка и достъп само за членовете на организацията и за упълномощени лица от екипа ни за поддръжка.
• Естество на обработването: съхраняване; предаване към модели за изкуствен интелект за генериране; публикуване в свързаните профили по указание на клиента; четене на статистиката и на минали постове на свързаните профили; четене на последните коментари под публикуваните постове във Facebook и показването им на членовете на организацията, без да се записват; търсене на публична информация за конкуренти; изтриване.
• Цел: да предоставим Zentho по Общите условия.
• Срок: докато трае договорът за ползване на Zentho; след това — по раздел 5.

Приложение III. Техническите и организационните мерки

• Връзката със сайта и с доставчиците е криптирана (HTTPS).
• Токените за социалните мрежи се пазят криптирани (AES-256-GCM); паролите — само като хеш (bcrypt).
• Данните на всяка организация са отделени от данните на другите; достъп имат само членовете ѝ, според ролите им, и упълномощени лица от екипа ни за поддръжка, задължени да пазят поверителност.
• Опитите за вход и регистрация са ограничени по честота.
• Сървърът, базата данни и медийните файлове са в Германия (Hetzner, Фалкенщайн). Достъпът до сървъра е само с SSH ключове на определени хора от екипа.
• Ежедневни резервни копия: 14 дни на сървъра и 30 дни копие извън Hetzner, на машина на дружеството в България.
• Техническите логове се пазят до 30 дни.
• При генериране на текст заявките минават само през доставчици, които не съхраняват данните (режим „Zero Data Retention“ на OpenRouter), когато избраният модел има такъв доставчик.
• Изтриване на акаунта с един бутон, заедно с организациите, в които клиентът е единственият член; заличаване на токените при прекъсване на връзката със свързан профил.
• Уведомлението при нарушение по клауза 9.2 съдържа, доколкото са известни, и вида и приблизителния брой на засегнатите записи и какво препоръчваме на клиента да направи.

Приложение IV. Подизпълнителите

Системните писма (Zoho Corporation B.V., Нидерландия) съдържат само данни на клиента като наш потребител — за тях сме администратор и те са описани в Политиката за поверителност.

Социалните мрежи (Meta, TikTok, Google) не са наши подизпълнители: когато клиентът публикува, съдържанието отива при тях и те го обработват като самостоятелни администратори.