Споразумение за обработване на лични данни

Приложение към Общите условия · в сила от 2026-10-06 · Превод на български език; предимство има чешката версия

Настоящото споразумение по член 28 от Регламент (ЕС) 2016/679 („ОРЗД“) се сключва между Организацията, която ползва платформата Negotiq („Администраторът“), и SynQflows, s.r.o., идентификационен № 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 („Обработващият“), и е част от Общите условия. То се сключва с приемането на Общите условия и действа за срока на Договора. Термините, изписани с главна буква, имат значението, определено в Общите условия.

1. Предмет и обхват на обработването

Предмет	обработване на лични данни, които Администраторът или неговите Потребители въвеждат в Платформата или които Платформата получава или изпраща по тяхно указание: Съдържание на Потребителя (Запитвания, спецификации, прикачени файлове, ценови листи, данни на колеги и на лица за контакт), съобщения, изпратени до Адреса за входящи имейли, данни за достъп до свързаните системи и данни, извлечени от тях, както и данни, изпращани до Webhook-ите на Администратора
Естество и цел	съхраняване, предоставяне на оправомощени лица и на насрещните страни в преговорите, импорт и преобразуване на ценови листи, получаване и анализ на имейл съобщения, извличане на данни от свързаните системи, експорт на поръчки, изпращане на известия до Webhook-ите, създаване на резервни копия и друго техническо обработване, необходимо за предоставянето на Платформата
Категории субекти на данни	служители и сътрудници на Администратора; лица за контакт на неговите търговски партньори; податели на съобщения до Адреса за входящи имейли; лица, чиито данни се съдържат в ценова листа, извлечена от свързана система
Категории данни	идентификационни данни и данни за контакт (име, служебен имейл адрес, телефон, длъжност); данни за имейл съобщенията (подател, получател, тема, време на получаване, резултати от удостоверяването на подателя) и прикачените към тях файлове; данни за вход в свързаните системи; други данни, които Администраторът включи в съдържанието. Администраторът не въвежда специални категории данни, нито данни, свързани с присъди за престъпления
Срок	за срока на Договора и до изтриването съгласно чл. 8; съобщенията, получени на Адреса за входящи имейли — 90 дни от получаването; записите за доставката на Webhook-и — най-много 90 дни

2. Указания на Администратора

Обработващият обработва личните данни само въз основа на документирани указания на Администратора, включително по отношение на предаването на данни на трети държави. Указанията се дават чрез Общите условия, настоящото споразумение и настройките на Платформата; с настройването на Интеграция (Адрес за входящи имейли, свързване с ERP система, Webhook, API ключ за агент на трета страна) Администраторът дава указание за обработване в обхвата, който Интеграцията изисква. Допълнителни указания се дават от Администратора на Организацията в текстова форма.
Ако Обработващият счита, че дадено указание нарушава ОРЗД или други разпоредби относно защитата на данните, той незабавно уведомява Администратора и не е длъжен да изпълни указанието до получаване на становището на Администратора.
Ако правото на Съюза или на държава членка изисква от Обработващия да обработва данните, той уведомява предварително Администратора за това, освен ако това право не забранява такова уведомяване (член 28, параграф 3, буква а) от ОРЗД).
Обработващият не обработва личните данни на Администратора за свои собствени цели. Анонимизираните и агрегираните статистики (чл. 11, ал. 2 от Общите условия) не съдържат лични данни. Записите от Одитната верига, Потвържденията и Записите AP2 се обработват от Обработващия като самостоятелен администратор съгласно Политиката за защита на личните данни, а не съгласно настоящото споразумение.
Администраторът отговаря за законосъобразността на обработването, за информирането на субектите на данни и за това, че има право да въвежда личните данни в Платформата и да предоставя достъп до свързаните системи.

3. Задължения на Обработващия

Обработващият гарантира, че лицата, оправомощени да обработват личните данни, са поели задължение за поверителност или са задължени по закон да спазват поверителност.
Обработващият прилага техническите и организационните мерки по член 32 от ОРЗД, посочени в Приложение 1. Той може да ги изменя, при условие че общото ниво на сигурност не се понижава.
Обработващият подпомага Администратора при отговарянето на искания на субектите на данни, преди всичко чрез инструментите на Платформата (експорт на данни във формат JSON, коригиране на данни, закриване на акаунт на Потребител или на Организацията). Искане, получено пряко от субект на данни, той препраща на Администратора без неоправдано забавяне и не отговаря сам по същество.
Обработващият подпомага Администратора при изпълнението на задълженията по членове 32—36 от ОРЗД (сигурност, уведомяване за нарушения, оценка на въздействието и предварителна консултация), като отчита естеството на обработването и информацията, с която разполага.

4. Подизпълнители по обработването

Администраторът дава на Обработващия общо разрешение за включване на подизпълнители по обработването. Актуален списък:

Подизпълнител по обработването	Дейност	Местоположение, гаранции
Railway Corporation	хостинг на приложението и базата данни, резервни копия	САЩ / ЕС; стандартни договорни клаузи (модул 3) или Рамката за защита на данните между ЕС и САЩ (EU-U.S. Data Privacy Framework)
Anthropic, PBC	преобразуване на неструктурирани ценови листи в таблици (само при използване на функцията)	САЩ; стандартни договорни клаузи (модул 3); без обучение на модели с данните
доставчик на услугата за получаване на имейли (конкретният доставчик ще бъде добавен в списъка преди пускането на функцията)	получаване на съобщенията, изпратени до Адресите за входящи имейли, и предаването им на Платформата	ще бъде посочено заедно с доставчика; предаване извън ЕИП само при наличие на гаранции съгласно чл. 7
доставчик на имейл услуга (SMTP)	доставяне на фактури, напомняния и служебни съобщения (адрес на получателя и съдържание на съобщението)	ЕС

Обработващият уведомява Администратора за всяко планирано добавяне или замяна на подизпълнител по обработването най-малко 14 дни предварително в Платформата или по имейл до Администратора на Организацията. В този срок Администраторът може да направи възражение по обосновани причини, свързани със защитата на личните данни. Страните ще се опитат да намерят решение; ако не успеят, Администраторът може да прекрати Договора без санкция, с действие преди включването на подизпълнителя по обработването.
Обработващият възлага по договорен път на подизпълнителите по обработването същите задължения за защита на данните, каквито има съгласно настоящото споразумение, включително достатъчни гаранции за прилагане на технически и организационни мерки, и продължава да носи отговорност пред Администратора за изпълнението на техните задължения (член 28, параграф 4 от ОРЗД).
Системите, избрани от самия Администратор (свързани ERP системи, продуктови фийдове, крайни точки на Webhook-и и агенти на трети страни), не са подизпълнители по обработването на Обработващия; Обработващият им предава данни по указание на Администратора.

5. Нарушение на сигурността на личните данни

Обработващият уведомява Администратора за нарушение на сигурността на личните данни без неоправдано забавяне и най-късно в срок от 48 часа, след като е узнал за него, по имейл до Администратора на Организацията и в Платформата.
Уведомлението съдържа наличната при Обработващия информация съгласно член 33, параграф 3 от ОРЗД (естество на нарушението, категории и приблизителен брой на засегнатите субекти на данни и записи, точка за контакт, вероятни последици и предприети или предложени мерки); информацията, която все още не е известна, се предоставя поетапно.
Обработващият незабавно предприема мерки за отстраняване на нарушението и смекчаване на последиците от него, сътрудничи с Администратора и документира нарушението. Уведомлението не представлява признаване на отговорност.

6. Информация и одити

Обработващият предоставя на Администратора информацията, необходима за доказване на спазването на задълженията по член 28 от ОРЗД, преди всичко чрез документа Сигурност и доверие и чрез отговори на разумен въпросник за сигурността.
Ако тази информация не е достатъчна, Обработващият допуска одит от Администратора или от независим одитор, който е обвързан със задължение за поверителност и не е конкурент на Обработващия, при предизвестие от най-малко 30 дни, не повече от веднъж в календарна година (с изключение на случаите на нарушение на сигурността или на искане от надзорен орган), за сметка на Администратора, без достъп до данните на други клиенти и без застрашаване на тяхната сигурност.
Правомощията на надзорните органи за разследване не се засягат.

7. Предаване извън ЕИП

Предаването на данни на трети държави се извършва само при наличие на гаранции съгласно глава V от ОРЗД.
Когато Обработващият предава лични данни на подизпълнител по обработването в трета държава, за която не е налице решение относно адекватното ниво на защита (или когато получателят не е сертифициран по Рамката за защита на данните между ЕС и САЩ), той сключва с него стандартните договорни клаузи съгласно Решение за изпълнение (ЕС) 2021/914 на Комисията, модул 3 (предаване от обработващ на обработващ), оценява правната среда в държавата на получателя и приема допълнителни мерки (по-специално криптиране при пренос и при съхранение и свеждане на данните до минимум).
С настоящото Администраторът разрешава такова предаване. Обработващият предоставя на Администратора при поискване копие от гаранциите; търговските договорености в него могат да бъдат заличени.

8. Изтриване и връщане на данните

По време на действието на Договора Администраторът може по всяко време да експортира данните на Организацията във формат JSON и сам да изтрива данни.
След прекратяването на Договора Обработващият, по избор на Администратора, връща (чрез експорт) или изтрива личните данни, включително копията, в срок от 30 дни, освен ако законодателството изисква по-нататъшното им съхраняване. Резервните копия се презаписват в рамките на обичайния цикъл най-късно в срок от 90 дни; дотогава те са защитени и не се използват.
Съобщенията, получени на Адреса за входящи имейли, се изтриват автоматично след 90 дни. Обработващият престава да използва данните за достъп до свързана система незабавно след премахването на връзката и ги изтрива най-късно съгласно ал. 2.
Настоящият член не се прилага по отношение на записите по чл. 2, ал. 4, второ и трето изречение.

9. Отговорност, предимство и приложимо право

Отговорността на страните се урежда от член 82 от ОРЗД и от Общите условия, включително ограниченията в тях, доколкото законът ги допуска. По въпросите на защитата на личните данни настоящото споразумение има предимство пред Общите условия. Настоящото споразумение се урежда от правото на Чешката република.

Приложение 1 — Технически и организационни мерки

Криптиране и псевдонимизация: криптиране на цялата комуникация (TLS) и криптиране на съхраняваните данни при доставчика на хостинг; данните за достъп до свързаните системи и тайните ключове за подписване на Webhook-и са криптирани с AES-256-GCM; паролите — като хеш Argon2id; кодовете за възстановяване, сесиите за вход и API ключовете се съхраняват само като хеш; псевдонимизация на записите от Одитната верига след закриване на акаунта.
Контрол на достъпа: достъп според ролите, управлявани от Администратора на Организацията; разделяне на данните на отделните Организации, наложено на ниво приложение; прикачените файлове са достъпни само за оправомощени лица и винаги като файлове за изтегляне; достъп до производствената среда само за оправомощени служители на Обработващия, обвързани със задължение за поверителност.
Защита на акаунтите и сесиите: бисквитки HttpOnly, Secure и SameSite; проверка на произхода (Origin) при заявки, променящи данни; временно заключване на акаунта след многократни неуспешни опити за влизане; смяната на паролата прекратява всички сесии; ограничения на броя на заявките към API.
Интегритет и проверимост: Одитна верига с криптографски свързани записи, чиято промяна или изтриване се блокира от тригер в базата данни; подписи Ed25519 на Мандатите, Потвържденията и Записите AP2; Webhook-и, подписани с HMAC-SHA256.
Наличност и възстановяване: редовни резервни копия на базата данни; презаписване на резервните копия най-късно в срок от 90 дни.
Свеждане до минимум и изтриване: съобщенията на Адреса за входящи имейли — 90 дни; оперативните журнали — най-много 90 дни; за потенциалните доставчици — само общи фирмени данни за контакт; автоматичен импорт на имейли само от Проверени податели.
Сигурна разработка: автоматизирани тестове на инвариантите за сигурност (разделяне на Организациите, ограничения на Агентите, поверителност на лимитите) при всяка промяна; зависимости, фиксирани към точни версии; Агентите не възприемат съдържанието на файловете като указания.
Инциденти и преглед: процедура за справяне с инциденти и уведомяване съгласно чл. 5; канал за съобщаване на уязвимости; редовен преглед на ефективността на мерките.

По-подробно описание се съдържа в документа Сигурност и доверие.