Информативен превод. При несъответствие надделява оригиналната английска версия, под юрисдикцията на Ирландия (Cuandeoro Limited, CRO 813028).
Споразумение за обработване на данни на Veripass
Представлява неразделна част от Общите условия.
1. Страни и роли. Клиентът е администратор. Cuandeoro Limited t/a Veripass е обработващ лични данни, съдържащи се в документите на Клиента и съдържанието на акаунта („Лични данни на Клиента“).
2. Предмет, характер и цел. Съхранение, извличане, анализ и публикуване на данни за продуктови и батерийни паспорти, единствено с цел предоставяне на Услугата.
3. Продължителност. Срокът на абонамента плюс периода за изтриване по клауза 11.
4. Категории субекти на данни. Служители и потребители на Клиента; лица за контакт на доставчиците, клиентите и лабораториите на Клиента, посочени в качените документи.
5. Категории данни. Имена, служебни данни за контакт, длъжности, подписи и идентификатори, фигуриращи в документите; данни от потребителски акаунти. Не се очакват специални категории данни. Клиентът няма да ги качва.
5A. Задължения на Клиента. Клиентът гарантира, че разполага със законно основание за обработването и дава законосъобразни указания, информира субектите на данни, както се изисква, и не качва специални категории данни.
6. Задължения на обработващия. Veripass ще:
- (a) обработва само по документирани указания на Клиента, включително във връзка с предаване към трета държава, освен ако правото на ЕС или на държава членка не изисква друго, в който случай Veripass уведомява Клиента за това правно изискване преди обработването, освен ако това право забранява такова уведомяване на важни основания от обществен интерес;
- (b) гарантира, че лицата, оправомощени да обработват данни, са обвързани със задължение за поверителност;
- (c) прилага техническите и организационните мерки, посочени в Приложение 2;
- (d) съдейства на Клиента при искания на субекти на данни и във връзка с Arts. 32-36 GDPR, като взема предвид естеството на обработването;
- (e) предоставя информацията, необходима за доказване на съответствие;
- (f) уведомява Клиента незабавно, ако дадено указание нарушава законодателството за защита на данните.
7. Подизпълнители по обработването.
- Клиентът дава общо разрешение за подизпълнителите по Приложение 3.
- Veripass уведомява по имейл за нови подизпълнители 30 дни предварително. Клиентът може да възрази на разумни основания и, ако не бъде договорено решение, да прекрати без неустойка.
- Veripass налага на всеки подизпълнител равностойни задължения за защита на данните и остава отговорен за тях.
8. Международни трансфери. Личните данни на Клиента могат да бъдат обработвани в Съединените щати от хостинг доставчика на Veripass (Cloud Clusters, Inc.) и от Google (Gemini API, платено ниво), съгласно Стандартните договорни клаузи (Решение (ЕС) 2021/914 на Комисията) и, когато е приложимо, Рамката за защита на личните данни между ЕС и САЩ, със допълнителни мерки (криптиране при предаване и в покой). Демо файловете се изтриват след 24 часа.
9. Обработване с изкуствен интелект. Документите се обработват от доставчиците на изкуствен интелект по Приложение 3 при условия, които не им позволяват да използват данните на Клиента за обучение на своите модели. Не използваме Вашите документи или данни за обучение на какъвто и да е модел на изкуствен интелект.
10. Нарушения на сигурността на личните данни. Veripass уведомява Клиента без ненужно забавяне и във всички случаи в рамките на 48 часа след като е узнал за нарушение, засягащо Личните данни на Клиента, с информацията, изисквана по Art. 33(3) GDPR, щом тя стане налична.
11. Връщане и изтриване. По избор на Клиента Veripass връща или изтрива Личните данни на Клиента. В рамките на 60 дни след прекратяването Клиентът може да експортира данните си. След това Veripass изтрива Личните данни на Клиента в рамките на 30 дни, включително резервните копия в рамките на техния цикъл на ротация (максимум 35 дни), освен ако правото на ЕС или на държава членка не изисква съхранение.
12. Одити. Veripass допуска и съдейства за одити, включително проверки, от страна на Клиента или на независим одитор, упълномощен от него и обвързан със задължение за поверителност. Одити се провеждат веднъж на 12 месеца при 30 дни предизвестие (по-често след нарушение или когато надзорен орган го изисква), в рамките на работното време и за сметка на Клиента. Първо се използва писмен въпросник, когато той е достатъчен.
13. Отговорност. При спазване на ограниченията в Общите условия, освен когато GDPR не допуска ограничаване.
14. Предимство. При противоречие настоящото DPA има предимство пред Общите условия по въпроси, свързани със защитата на данните.
Приложение 1 · Подробности за обработването
Както в клаузи 2 до 5.
Приложение 2 · Технически и организационни мерки
- TLS 1.2 или по-висока версия при предаване; криптиране AES-256 в покой.
- Достъп въз основа на роли, MFA за персонала, принцип на минималните привилегии.
- Данните на Клиента са логически разделени по акаунти.
- Журнал за одит на валидациите и публикуванията.
- Ежедневни криптирани резервни копия, ротация 35 дни.
- Демо файловете се изтриват след 24 h.
- Поправяне на критични уязвимости в рамките на 7 дни.
- Ежегоден преглед на тези мерки.
Приложение 3 · Подизпълнители по обработването
| Подизпълнител | Цел | Местоположение |
|---|---|---|
| Cloud Clusters, Inc. | Хостинг на приложението и страниците на паспортите | Съединени щати |
| Google (Gemini API, платено ниво) | Извличане на данни от документи | Съединени щати |
| Cloud Clusters, Inc. (собствен пощенски сървър, mailcow) | Имейл | Съединени щати |
Stripe обработва собствените данни на Veripass за фактуриране; не обработва Лични данни на Клиента от документи.