Договор за обработване на лични данни

Този договор е по чл. 28 от Общия регламент относно защитата на данните (ОРЗД). Сключва се, когато фирма създаде профил във Фактурист или поеме профил по покана, и важи за фирмата, от чието име е приет, както и за фирмите-клиенти, добавени от счетоводна кантора по т. 1а. Той е част от общите условия; при противоречие по защитата на личните данни предимство има този договор.

1. Страни

• Администратор — фирмата-клиент, от чието име е приет договорът.
• Обработващ — Карбон Стелт ЕДПК (Carbon Stealth VCC), ЕИК 208725180, ул. „Самуил“ № 3, 2670 Бобов дол, България, privacy@carbonstealth.eu.

1а. Кантори

Когато счетоводна кантора създава или обслужва във Фактурист фирма-клиент, администратор на личните данни в документите на клиента е фирмата-клиент, кантората е обработващ, а обработващият по този договор е подобработващ на кантората. Кантората декларира — с отметка при добавянето на всеки клиент, която се записва, — че клиентът ѝ е разрешил писмено да ползва Фактурист (чл. 28, пар. 2 ОРЗД) и че с договора си с клиента е поела задълженията по чл. 28, пар. 3 ОРЗД. Между кантората и обработващия този договор се прилага по чл. 28, пар. 4 ОРЗД. Когато собственикът на фирмата-клиент приеме покана и поеме профила ѝ, договорът се сключва пряко с фирмата-клиент.

2. Предмет, естество и цел

Обработващият обработва лични данни от името на администратора, за да му предостави Фактурист: съхраняване на контрагентите и документите; създаване на документите като XML и PDF; доставката им в шкафчето на получателя и по имейл; автоматично издаване на повтарящи се фактури по шаблон на администратора и изпращането им по имейл до адреса, който той посочи; проформи и изпращането им по имейл до адреса, който той посочи; отбелязване на плащанията по документите и — ако администраторът ги включи — напомняния за просрочено плащане до имейла на получателя от документа; сверка на постъпленията от банкови извлечения, които администраторът качва, с неговите фактури; приемане, проверка и регистър на входящи електронни фактури, които той качва; достъп до тези функции през API с ключ на администратора; резервни копия. Целта е издаването, получаването, пазенето и изпращането на фактурите и известията на администратора и проследяването на плащанията по тях.

3. Видове данни и субекти

• Субекти: контрагенти на администратора (клиенти и доставчици) — физически лица (търговци, свободни професии, клиенти), представители и лица за контакт на контрагенти; получатели на писмата, които администраторът изпраща чрез услугата; наредители на постъпления по сметката на администратора от качените извлечения, включително лица, които не са негови контрагенти; служители и потребители на администратора.
• Данни: имена, адреси, ЕИК или ДДС номер, имейл, банкова сметка (IBAN), съдържанието на документите (стоки и услуги, количества, суми, дати, основания); от извлеченията — само постъпленията: дата, сума, валута, име и IBAN на наредителя, основание и референция на банката; от входящите електронни фактури — XML файлът, както е получен. ЕГН — само ако администраторът го въведе, когато законът изисква.
• Специални категории данни (чл. 9 ОРЗД) и данни за присъди не се обработват съзнателно: администраторът не ги въвежда и не качва файлове, за които знае, че ги съдържат. Ако входящ документ ги съдържа, той се пази само като част от файла, без да се разчита или обработва отделно.

4. Срок

Договорът важи, докато администраторът ползва Фактурист, и след това — до изтриването на данните по т. 11.

5. Указания

Обработващият обработва данните само по документирани указания на администратора — те са действията на администратора в услугата (въвеждане, качване, издаване, свързване, изпращане, изтегляне), задачите, които администраторът е включил (повтарящи се фактури, напомняния), заявките през API с ключ на администратора и този договор. Ако указание според обработващия нарушава ОРЗД или друг закон, той незабавно уведомява администратора. Указанията обхващат и трансфера към трета държава. Ако закон задължава обработващия да обработи данните, той уведомява администратора за това задължение преди обработването, освен ако законът го забранява. Обработващият не използва данните за свои цели, не ги продава и не ги предоставя за реклама.

6. Поверителност

Достъп до данните имат само хора, които поддържат услугата, при задължение за поверителност, и само доколкото е нужно за работата ѝ, за поддръжка по искане на администратора или по закон.

7. Сигурност (чл. 32 ОРЗД)

• Само HTTPS с HSTS; приложението не пази IP адреси, а уеб сървърът ги записва само в дневника си за критични грешки.
• Пароли — хеш Argon2id; двуфакторен вход (задължителен за екипа на обработващия); тайни ключове и ключове на интеграции — шифровани с AES-256-GCM.
• Достъп по роли и пълномощни, проверяван на сървъра при всяка заявка; кантора вижда фирма само с действащо пълномощно.
• API ключовете се пазят само като хеш SHA-256, показват се веднъж и работят само докато създателят им е член на администратора; таван на заявките по ключ и по адрес.
• Веригата от отпечатъци на документите и одитният дневник показват всяка промяна; издаден документ не се пипа.
• Строга политика за съдържанието (CSP), без външни скриптове, шрифтове и анализи.
• Резервно копие на базата всеки ден и преди всяко обновяване, с проверено възстановяване; копията се пазят най-много 90 дни; тайните на сървъра са с права само за собственика и не влизат в копията на кода.
• Сървърът и копията са в център за данни в Европейския съюз.

8. Подобработващи

Администраторът дава общо разрешение за следните подобработващи:

За нов или сменен подобработващ обработващият уведомява администратора по имейл поне 30 дни предварително. Администраторът може да възрази в този срок; ако не се разберат, той може да прекрати ползването без неустойка. С всеки подобработващ обработващият има договор със същите задължения за защита на данните и отговаря за него пред администратора.

9. Трансфери

Данните не се прехвърлят извън Европейския съюз. Ако подизпълнител на подобработващ ги обработва извън ЕС, трансферът е защитен със стандартни договорни клаузи на Европейската комисия (чл. 46 ОРЗД).

10. Съдействие

• Права на субектите: обработващият помага на администратора да отговаря на искания по чл. 12–23 ОРЗД — чрез функциите на услугата (преглед, изтегляне на документите като PDF и XML) и при нужда — по имейл. Искане, получено директно от субект, обработващият препраща на администратора без отговор по същество.
• Нарушения на сигурността: обработващият уведомява администратора без ненужно забавяне и не по-късно от 48 часа, след като узнае за нарушение, засягащо данните му, с наличната информация по чл. 33, пар. 3 ОРЗД, и я допълва, щом научи повече.
• Обработващият съдейства при оценки на въздействието и консултации с надзорния орган (чл. 35–36 ОРЗД), доколкото те засягат услугата.

11. След края на договора

След прекратяване на ползването администраторът има 30 дни да изтегли документите си. По негово искане в този срок обработващият му предоставя архив с всички документи като PDF и XML и списък на контрагентите в машинно четим вид до 10 работни дни. След това обработващият изтрива данните му, освен ако закон изисква тяхното пазене от обработващия. Резервните копия на базата се правят всеки ден и преди всяко обновяване на услугата и се пазят най-много 90 дни; изтритите данни изчезват от тях най-късно тогава. По искане обработващият потвърждава изтриването писмено.

Докато договорът действа, данните от качените извлечения се пазят само за сверката: 90 дни след като ред бъде свързан с документ или пропуснат, името и IBAN на наредителя и основанието се заличават — остават датата, сумата и референцията на банката към плащането по документа; несвързан ред се изтрива 12 месеца след датата на постъплението, а извлечение с по-стари постъпления не се приема. Администраторът може да изтрие качено извлечение по всяко време; редовете, свързани с документи, остават без името, IBAN и основанието на наредителя, за да не се внесе същото постъпление втори път. Задължението да пази извлеченията си по Закона за счетоводството е на администратора.

Документите, доставени в шкафчето на получател (т. 7 от общите условия), остават при него като негово копие — за тях получателят е самостоятелен администратор.

12. Информация и проверки

Обработващият предоставя информацията, нужна за доказване на спазването на този договор. Администраторът може да поиска проверка — писмено, с разумно предизвестие, най-много веднъж годишно (освен след нарушение), за своя сметка и без достъп до данни на други клиенти.

13. Задължения на администратора

Администраторът отговаря за законното основание за обработването, за информирането на субектите и за верността на данните, които въвежда, и не въвежда данни, които не са нужни за документите. Когато включва писма до получатели извън Фактурист или напомняния за плащане, администраторът отговаря да има основание за тях и да информира получателите, че ги изпраща чрез Фактурист; отговорите на писмата отиват на неговия имейл. Той качва само извлечения по свои сметки.

14. Отговорност

Всяка страна отговаря по чл. 82 ОРЗД за вредите, причинени от нейно нарушение. В останалото важи т. 13 от общите условия.