Договор за обработване на данни

1. Страни и предмет

Настоящият договор се сключва между клиента като администратор и EAS International, Klybeckstr. 141, 4057 Basel, Schweiz като обработващ лични данни (Доставчикът). Представител на Доставчика в ЕС съгласно чл. 27 от ОРЗД: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Негов предмет е обработването на лични данни, които клиентът въвежда в Batteriepass Online или събира чрез него. Естеството, целта, видовете данни и категориите субекти на данни са описани в приложение 1. Договорът се прилага за срока на договора за услуги, включително фазата само за четене съгласно раздел 8 от Условията.

2. Указания

Доставчикът обработва данните изключително в рамките на договора за услуги и по документирани указания на клиента. Клиентът дава указания чрез използването на функциите на софтуера (например публикуване на паспорт, определяне на нива на достъп, изпращане на заявка към доставчик, експорт, изтриване) и в текстова форма на info@batteriepass-online.eu. Указанията извън договорения обхват се третират като искания за промяна и могат да бъдат таксувани отделно.

Ако Доставчикът счита, че дадено указание е незаконосъобразно, той незабавно уведомява клиента и може да спре изпълнението до потвърждаване.

Предоставянето на съдържанието на паспортите на обществеността, на лицата със законен интерес и на органите се извършва в съответствие с Регламент (ЕС) 2023/1542 в конфигурацията, избрана от клиента, и се счита за указание на клиента.

3. Задължения на Доставчика

• Поверителност: всички лица, участващи в обработването, са задължени да спазват поверителност. Достъп до данните на клиента се осъществява само когато това е необходимо за експлоатацията, поддръжката или отстраняването на неизправности.
• Сигурност: Доставчикът прилага техническите и организационните мерки по приложение 3 и ги адаптира към достиженията на техническия прогрес, без да понижава нивото на защита.
• Съдействие: Доставчикът подпомага клиента със средствата на софтуера (експорт, коригиране, изтриване, журнал за достъп) при изпълнението на правата на субектите на данни, както и при оценките на въздействието върху защитата на данните и консултациите с надзорния орган, доколкото информацията е на разположение на Доставчика.
• Уведомяване: Доставчикът уведомява клиента за нарушения на сигурността на личните данни, засягащи данните на клиента, без ненужно забавяне, но не по-късно от 48 часа след като е узнал за тях, на имейл адреса, съхранен в акаунта, като предоставя наличната информация съгласно чл. 33, параграф 3 от ОРЗД.
• Искания на субекти на данни: ако субекти на данни се обърнат пряко към Доставчика, той препраща искането на клиента, без сам да отговаря по същество, доколкото искането се отнася до данни на клиента.
• Доказателства: при поискване Доставчикът предоставя информацията, необходима за доказване на спазването на настоящия договор, по-специално описание на мерките по приложение 3 и доклади за инциденти, свързани със сигурността.
• Изтриване: след приключване на обработването Доставчикът изтрива данните съгласно раздел 8 от Условията, освен ако не съществува законово задължение за съхранение. За публикуваните паспорти на батерии законовото задължение за поддържане на достъпност съгласно чл. 77, параграф 8 от Регламент (ЕС) 2023/1542 се счита за задължение за съхранение.

4. Права на клиента за проверка

Клиентът може да проверява спазването на настоящия договор веднъж годишно и при наличие на конкретен повод. Проверката се извършва предимно чрез преглед на документация, доклади и потвърждения от подизпълнителите обработващи лични данни. Проверка на място е възможна след уведомление с разумен срок (най-малко 14 дни) в рамките на обичайното работно време, при условие че не застрашава данните на други клиенти. За проверки, надхвърлящи една годишно или неопределени от инцидент, Доставчикът може да таксува произтичащите разходи по разумна ставка.

5. Подизпълнители обработващи лични данни

Клиентът дава съгласието си за използването на подизпълнителите обработващи лични данни, посочени в приложение 2. Доставчикът ги обвързва със задължения за защита на данните, равностойни на договорените тук.

Доставчикът уведомява клиента за предвидени промени (добавяне или замяна) най-малко 30 дни предварително по имейл. Клиентът може да възрази в този срок по важни причини, свързани със защитата на данните. В случай на възражение всяка от страните може да прекрати договора за услуги, считано от датата на промяната; раздел 8 от Условията остава незасегнат.

6. Обработване в трети държави

Данните се съхраняват на сървъри в Германия. Доставчикът е установен в Швейцария, по отношение на която е налице решение на Европейската комисия относно адекватното ниво на защита; поради това достъпът от Швейцария е допустим. Обработване в други трети държави се извършва само със съгласието на клиента и въз основа на подходящи гаранции съгласно глава V от ОРЗД.

7. Задължения на клиента

Клиентът отговаря за законосъобразността на обработването, по-специално за правното основание за публикуването на информация за физически лица в паспортите, за информирането на субектите на данни и за законосъобразността на осъществяването на контакт с доставчици и заявители. Той определя нивата на достъп и предоставянето на достъп на своя отговорност и проверява дали данните, направени достъпни чрез софтуера, отговарят на правните изисквания.

Клиентът посочва в акаунта имейл адрес, достъпен за въпроси, свързани със защитата на данните, и го поддържа актуален.

8. Отговорност, срок, заключителни разпоредби

По отношение на отговорността се прилага раздел 11 от Условията; чл. 82 от ОРЗД остава незасегнат. Настоящият договор се прекратява заедно с договора за услуги, но продължава да действа, докато Доставчикът поддържа данни на клиента достъпни съгласно раздел 8 от Условията. В останалата част се прилагат заключителните разпоредби на Условията. В случай на противоречие между настоящия договор и Условията по въпросите на защитата на данните предимство има настоящият договор.

Приложение 1 – Предмет на обработването

• Естество и цел: хостинг, съхранение, показване, експорт и предаване на съдържанието на паспортите на батерии и свързаните с тях документи; изпращане на имейли от името на клиента (заявки към доставчици, решения относно достъпа); регистриране на достъпа до защитено съдържание; предоставяне на API и уебхукове.
• Видове данни: имена, длъжности и данни за контакт на лица за контакт на клиента, на неговите доставчици и на заявителите на достъп (имейл адрес, организация, роля, цел, доказателствени документи); съдържание на полетата на паспортите и на документите, доколкото те съдържат информация за физически лица (например отговорното лице на икономическия оператор, лицата, подписали ЕС декларации за съответствие); журнали за достъп (съкратен хеширан IP адрес, user agent, час, ниво на достъп); данни, предадени от клиента чрез API.
• Категории субекти на данни: служители и лица за контакт на клиента, на неговите доставчици и бизнес партньори; лица, които заявяват достъп до защитено съдържание на паспортите (органи, оператори в областта на ремонта и рециклирането, купувачи); посетители на публичните страници на паспортите.
• Специални категории лични данни (чл. 9 от ОРЗД) не са предмет на обработването; клиентът не въвежда такива данни в софтуера.

Приложение 2 – Подизпълнители обработващи лични данни

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Германия – услуги на център за данни (сървъри, база данни, хранилище за документи, резервни копия) във Фалкенщайн и Нюрнберг.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Германия – изпращане на имейли от името на клиента.
• Stripe Payments Europe Ltd., Dublin, Ирландия, обработва данните за плащане на клиента като самостоятелен администратор и не е подизпълнител обработващ лични данни по отношение на данните на клиента по смисъла на настоящия договор.

Приложение 3 – Технически и организационни мерки

• Физически достъп и достъп до системите: сървъри в центрове за данни на Hetzner, сертифицирани по ISO 27001; администриране само чрез SSH с ключове и частна мрежа; базата данни не е достъпна от публичния интернет.
• Достъп до данните: права, основани на роли (собственик, редактор, наблюдател), за всяка организация; разделяне на клиентите на ниво база данни чрез идентификатора на организацията във всяка заявка; нивата на достъп до съдържанието на паспортите (обществеността, законен интерес, орган) се прилагат от страна на сървъра в една-единствена филтърна функция.
• Удостоверяване: паролите като хешове scrypt; сесии със случайни токени в базата данни, 30 дни; потвърждаване на имейл адреса преди достъп с право на запис; ограничения на опитите за вход, регистрация и нулиране; API ключовете се съхраняват само като хешове.
• Предаване: TLS за всички връзки; Content Security Policy; подписани уебхукове (HMAC) с тайни, съхранявани в криптиран вид.
• Цялост: всяко публикуване на паспорт създава версия с верига от хешове (предишен хеш); одитен журнал на всички действия по запис; нищо не се изтрива физически преди изтичането на договорните срокове.
• Достъпност: ежедневно резервно копие на базата данни и на хранилището за документи със срок на съхранение най-малко 30 дни на второ местоположение; редовни тестове за възстановяване; наблюдение на достъпността.
• Разделяне: производствените данни са отделени от средите за разработка и тестване; паспортите в плана Pilot са обозначени като тестови данни.
• Организация: свеждане на данните до минимум, вградено в софтуера (само полетата, необходими за паспорта); преглед на сигурността при всяка промяна на услугата; документиране на инциденти; редовни актуализации на системните компоненти.