Договор за обработване на лични данни (чл. 28 от ОРЗД)

1. Страни и предмет

1.1 Администратор е Ползвателят (наричан по-нататък „Възложител“), а обработващ лични данни е iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Германия (наричано по-нататък „iBeekeeper“).

1.2 iBeekeeper обработва лични данни от името на Възложителя, доколкото той ги съхранява в Услугата в рамките на договора за ползване (ОУ). Срок: срокът на договора за ползване плюс сроковете съгласно точка 9.

2. Естество, цел и обхват

3. Нареждания

iBeekeeper обработва данните само по документирано нареждане на Възложителя. Нарежданията са определени изчерпателно в договора за ползване и в настройките и функциите на Услугата, които Възложителят използва. Допълнителни нареждания той дава в текстова форма на service@ibeekeeper.de. Ако iBeekeeper счита, че дадено нареждане е незаконосъобразно, iBeekeeper незабавно уведомява Възложителя за това (чл. 28, параграф 3, изречение 3 от ОРЗД).

4. Поверителност

iBeekeeper използва само лица, които са поели задължение за поверителност или са обвързани от законово задължение за пазене на тайна.

5. Технически и организационни мерки

iBeekeeper предприема мерките съгласно чл. 32 от ОРЗД, описани в приложение 1, и ги привежда в съответствие с достиженията на техническия прогрес, без да намалява нивото на защита.

6. Подизпълнители, обработващи лични данни

6.1 Възложителят одобрява посочените в приложение 2 подизпълнители, обработващи лични данни.

6.2 iBeekeeper уведомява Възложителя в текстова форма най-малко 30 дни предварително за всяко планирано включване или замяна. В този срок Възложителят може да възрази по важна причина, свързана със защитата на данните. Ако страните не могат да постигнат съгласие, Възложителят може да прекрати договора за ползване към момента на промяната.

6.3 iBeekeeper възлага по договор на всеки подизпълнител, обработващ лични данни, същите задължения за защита на данните.

7. Съдействие на Възложителя

iBeekeeper подпомага Възложителя с подходящи мерки при отговаряне на искания на субекти на данни (чл. 12 до 22 от ОРЗД), по-специално чрез функциите на Услугата за експорт, промяна и изтриване, както и при изпълнението на задълженията по чл. 32 до 36 от ОРЗД. Ако субект на данни се обърне пряко към iBeekeeper, iBeekeeper препраща искането на Възложителя.

8. Нарушения на сигурността на личните данни

iBeekeeper уведомява Възложителя за нарушение на сигурността на обработваните от негово име данни незабавно, по възможност в рамките на 48 часа след узнаването, като посочва информацията съгласно чл. 33, параграф 3 от ОРЗД, доколкото е известна.

9. Изтриване и връщане

Възложителят може по всяко време сам да експортира и да изтрие данните. След края на договора за ползване, съответно след изтриването на акаунта, iBeekeeper изтрива обработваните от името на Възложителя данни в сроковете по ОУ (точка 9.7), доколкото не съществува законово задължение за съхранение. Ежедневните резервни копия се изтриват след 30 дни, а по едно състояние за всеки календарен месец – след 12 месеца. Резервните копия са криптирани и се използват само за възстановяване; след възстановяване междувременно изтритите данни се изтриват отново.

10. Доказателства и проверки

iBeekeeper предоставя на Възложителя при поискване информацията, необходима за доказване на спазването на тези задължения, и дава възможност за проверки от Възложителя или от възложен от него проверител, обвързан със задължение за поверителност, след предварително уведомяване в разумен срок и в работно време. Доказването се извършва с предимство чрез документи и сведения.

11. Отговорност и заключителни разпоредби

За отговорността се прилага чл. 82 от ОРЗД; в останалата част се прилагат ОУ. При противоречия настоящият договор има предимство пред ОУ, доколкото става дума за защитата на личните данни.

Приложение 1: Технически и организационни мерки

• Достъп до помещенията и физическа сигурност: сървъри единствено в центрове за данни на OVHcloud, страна по договора OVH GmbH, Кьолн; контрол на достъпа до помещенията от OVHcloud съгласно неговия договор за обработване на лични данни (версия от 17.10.2025 г.).
• Достъп до системите: вход с парола, паролите се съхраняват само като хеш; администраторски достъп до сървърите само чрез SSH ключ.
• Достъп до данните: права в Услугата за всеки акаунт, споделяне само от Ползвателя; административните достъпи се записват в журнал (административно приложение, журнал на действията с клиентите).
• Предаване: транспортно криптиране TLS за всички връзки; снимки без метаданни.
• Контрол на въвеждането: дневник на промените за касовата книга и изходящите фактури, непроменимо съхранение с контролна сума.
• Наличност: ежедневно резервно копие на базата данни и медийните файлове в отделно хранилище (обектно хранилище на OVHcloud в Германия); ежедневните резервни копия се изтриват след 30 дни, а по едно състояние за всеки календарен месец – след 12 месеца; резервните копия са криптирани и се използват само за възстановяване; възстановяването се изпробва най-малко веднъж годишно и резултатът се документира.
• Разделяне: съхранение на данните с поддръжка на множество клиенти, заявки за всеки акаунт поотделно.
• Преглед: актуализации на сигурността на сървърите и на зависимостите, ежегодна проверка на мерките.

Приложение 2: Подизпълнители, обработващи лични данни

OVH GmbH от своя страна използва дружества от групата OVHcloud, а за обслужване и поддръжка – също OVH Hébergement Inc. (Канада) и OVH Limited (Обединено кралство); актуалният списък е наличен на адрес https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Не са подизпълнители, обработващи лични данни: Mollie, Apple и Google (плащане, съответно доставка в собствено отношение с Ползвателя, без данни, обработвани от името на Възложителя).