Споразумение за обработване на данни

1. Предмет и срок

Предмет: личните данни в бизнес данните, които клиентът и потребителите му въвеждат в e:corg one или получават чрез свързаните от тях интеграции, обработвани за предоставяне на услугата, описана в Общите условия.

Срок: срокът на абонамента на клиента и след прекратяването му — до изтриването или връщането на данните по раздел 9.

2. Естество и цел на обработването

• Хостинг и съхранение на организацията на клиента в e:corg one.
• Въвеждане и изчисляване на документи за покупки и продажби, касови бележки, наличности, плащания, задължения и счетоводни записвания, както и изготвяне на експортите и файловете, поискани от клиента (SAF-T, файлове по ЗДДС, счетоводни експорти).
• Изпращане по имейл, по указание на клиента, на документи, покани, напомняния и електронни бележки.
• Обмен на данни със свързаните от клиента услуги: куриери, маркетплейси и онлайн магазини, ПОС терминали, счетоводен софтуер, а за Румъния — SPV на ANAF.
• Анализите, прогнозите и отговорите на асистента marql, вграден в e:corg one, за собствената организация на клиента (раздел 6).
• Поддръжка по искане на клиента и сигурност на услугата (контрол на достъпа, журнали, предотвратяване на злоупотреби).

Обработваме данните само за тези цели. Никога не ги използваме за собствени цели, за реклама или профилиране и никога не ги продаваме.

3. Категории субекти на данни

• Потребителите и служителите на клиента: собственици, администратори, касиери, складови служители, счетоводители и поканени за инвентаризация.
• Клиентите на клиента: купувачите във фактури и бележки, лицата, поискали електронна бележка, получателите на онлайн поръчки и доставки, членовете на програмата за лоялност на клиента.
• Партньорите на клиента: доставчици, едноличните търговци и лицата за контакт на фирмите партньори.
• Други лица, посочени в документите на клиента, например шофьори и упълномощени лица в транспортни документи.

4. Категории лични данни

• Данни за идентификация и контакт: име, имейл адрес, телефон, пощенски адрес и адрес за доставка.
• Данъчни и фирмени идентификатори на партньори, а ЕГН и други национални идентификатори — само ако клиентът ги въведе, например когато законът ги изисква във фактура.
• Данни за сделки: фактури, бележки, поръчки, доставки, плащания, задължения, редове от банкови извлечения и точки за лоялност.
• Данни за служители: потребителски профил, роля, магазини, смени и действия на касата, касови разлики и журнал на действията.
• Технически данни: IP адреси, устройства, сесии и журнали за сигурност.

e:corg one не е предназначен за специални категории лични данни (чл. 9 от ОРЗД); клиентът не следва да ги въвежда.

5. Нашите задължения

• Указания: обработваме данните само по документирани указания на клиента, включително по отношение на предаването на лични данни на трета държава или международна организация. Такива указания са Общите условия, това DPA и начинът, по който клиентът използва и настройва e:corg one. Ако указание изглежда в нарушение на законодателството за защита на данните, уведомяваме клиента. Ако законът ни задължава да обработваме данните по друг начин, уведомяваме клиента предварително, освен ако законът го забранява.
• Поверителност: достъп имат само хората, на които е нужен, за да предоставят или поддържат услугата, и те са задължени да пазят поверителност.
• Сигурност (чл. 32): криптирани връзки (HTTPS); ключовете за достъп на интеграциите — криптирани при съхранение (AES-256-GCM); базата данни е достъпна само от частната мрежа на приложението; данните на всяка организация са отделени от тези на другите във всяка заявка; достъп по роли и магазини в организацията; вход в две стъпки; ограничаване на заявките, журнали за сигурност и журнал на действията; осчетоводените документи не могат да се променят; редовни прегледи на сигурността и публичен адрес за съобщаване на уязвимости (security@ecorg.one).
• Съдействие: помагаме на клиента при оценки на въздействието върху защитата на данните и предварителни консултации с надзорния орган, доколкото позволява информацията, с която разполагаме.

6. Подобработващи

• Railway Corporation (САЩ; регион EU West на Railway, Европейски съюз): хостинг на приложението, базата данни и съхранените файлове.
• Resend (САЩ; регион в ЕС): доставка на имейлите, които приложението изпраща по указание на клиента.
• MARQL LTD (Обединено кралство; данни, съхранявани в Европейския съюз), сродният продукт за анализи на e:corg one: анализи, прогнози и отговори с изкуствен интелект за организацията на клиента. Собствените му подобработващи са изброени на marql.one/subprocessors. Клиентът може да изключи marql по всяко време (Политика за поверителност, раздел 5).
• Apple (Apple Push Notification service) и Google (Firebase Cloud Messaging): доставка на известия до мобилното приложение e:corg one, само за потребителите, които ги включат. Известието не показва суми, освен ако потребителят е избрал това.

Клиентът дава общо разрешение за подобработващите по-долу. Всеки от тях е обвързан с писмен договор със задължения за защита на данните, равностойни на това DPA, а ние оставаме отговорни пред клиента за тяхната работа.

6.1 Промени в подобработващите

Обявяваме нов или заменящ подобработващ поне 30 дни предварително, по имейл до собствениците и администраторите на организацията и в приложението, и актуализираме този списък. В този срок клиентът може да възрази по разумни съображения за защита на данните. Ако не можем да отговорим на възражението, клиентът може да прекрати абонамента преди промяната да започне да се прилага, без неустойка.

Stripe обработва плащанията за абонамента на клиента в e:corg one; за тези данни за фактуриране ние сме администратор, затова Stripe не е подобработващ на бизнес данните на клиента. Услугите, които клиентът свързва сам (данъчни органи, куриери, маркетплейси, банки, счетоводен софтуер, собствените му платежни сметки), получават данни по негово указание и не са наши подобработващи.

7. Искания на субектите на данни

e:corg one позволява на клиента да намира, коригира, експортира и изтрива личните данни, с които разполага, за да може да отговаря на исканията на засегнатите лица. Ако лице ни пише за данни, които се контролират от клиента, препращаме искането на клиента, без да отговаряме сами, освен ако клиентът не ни помоли за това. Когато клиентът има нужда от допълнителна помощ, ние я оказваме.

8. Нарушения на сигурността на личните данни

Уведомяваме клиента без ненужно забавяне, след като узнаем за нарушение на сигурността на личните данни, засягащо неговите данни, като се стремим да го направим в рамките на 24 часа, по имейл до собствениците и администраторите на организацията. Уведомлението описва, доколкото е известно, естеството на нарушението, категориите и приблизителния брой засегнати лица и записи, вероятните последици и предприетите или предлаганите мерки; допълваме го, щом научим повече. Следваме документиран процес за реагиране на инциденти, ограничаваме нарушението и помагаме на клиента да изпълни задълженията си за уведомяване на надзорния орган и на засегнатите лица.

9. Прекратяване на обработването

Докато абонаментът е активен и 30 дни след като уведомим клиента, че абонаментът е прекратен, клиентът може да експортира данните си (SAF-T, счетоводни експорти, CSV и API за експорт); този експорт е начинът, по който данните се връщат. Изтриваме данните на организацията 90 дни след това уведомление или 7 дни след искането за изтриване на самия клиент, освен ако той не го оттегли в рамките на тези 7 дни. Искаме от подобработващите, включително marql, да изтрият копията си; собствена организация на клиента в marql, свързана с e:corg one, се развързва, а не се изтрива. Резервните копия изтичат в съответствие със срока за съхранение на резервни копия на хостинг доставчика. Пазим само собствените си фактури към клиента и минимален запис за изтриването без лични данни, както и данните, които правото на Европейския съюз или на държава членка или, когато е приложимо, правото на Обединеното кралство ни задължава да пазим, само за тази цел.

10. Одити

Предоставяме на клиента информацията, необходима за доказване на съответствие с чл. 28, и отговаряме на разумни писмени въпросници. Допускаме одити, включително проверки, от клиента или от независим одитор, определен от него и обвързан с поверителност, с предизвестие от 30 дни, в работно време и не повече от веднъж годишно, освен след нарушение на сигурността на данните или по искане на надзорен орган. Всяка страна поема собствените си разходи.

11. Международно предаване

Данните на клиента се хостват в Европейския съюз. Предаването между ЕС и Обединеното кралство се основава на решението на Европейската комисия относно адекватното ниво на защита в Обединеното кралство и на регламентите на Обединеното кралство за адекватност по отношение на ЕИП. Когато подобработващ обработва данни извън ЕИП или Обединеното кралство, предаването се основава на решение за адекватност, като EU-US Data Privacy Framework, или на стандартните договорни клаузи на Европейската комисия (Решение (ЕС) 2021/914), а за данни по правото на Обединеното кралство — на UK International Data Transfer Agreement или на UK Addendum към тези клаузи.

12. Отговорност, предимство и контакт

Отговорността по това DPA е предмет на ограниченията в Общите условия (раздел 9, Отговорност), освен когато законът не ги допуска. Ако това DPA и Общите условия си противоречат по отношение на защитата на личните данни, предимство има това DPA. Приложимото право и компетентните съдилища са определените в Общите условия.

Въпроси за това DPA: hello@ecorg.one. Инциденти със сигурността и уязвимости: security@ecorg.one.

Политика за поверителност

Общи условия