Договор за обработване на лични данни

Автошколата, която ползва dsp, е администратор на личните данни, които въвежда в него. Операторът на dsp – Стилиян Вътов („ние“), с когото се свързвате на [email protected], е обработващ лични данни от нейно име.

Предмет на договора е обработването на тези данни, за да предоставяме dsp на автошколата по Общите условия за автошколи. Той не се отнася за данните, които обработваме като администратор за свои цели (профилите за вход, заявките за достъп, статистиката за посещенията), описани в Политиката за поверителност.

Договорът е в сила, докато автошколата ползва dsp, и след това, докато данните ѝ не бъдат изтрити или върнати по т. 13.

Съхраняваме, подреждаме, показваме на профилите на автошколата според ролята им, променяме и изтриваме данните, когато автошколата направи това в dsp; изпращаме от нейно име имейлите, които тя е включила (покани, напомняния за часове, изпити, плащания и документите на автомобилите); изготвяме фактурите ѝ като PDF; подаваме графика на курсиста към календара му; правим резервни копия. Известията (в приложението и записа за изпратените имейли) изтриваме 90 дни след създаването им, а записите в дневника на промените – две години след промяната. Единствената цел е предоставянето на dsp на автошколата. Не ползваме данните за свои цели, не ги продаваме и не ги предоставяме за реклама.

Субектите на данните са:

• курсистите на автошколата, включително непълнолетни;
• собствениците, администраторите и инструкторите ѝ и другите хора, на които тя дава профил.

Данните са тези, които автошколата реши да въведе в полетата на dsp:

• за курсистите: имена, имейл, телефон, категория, група и състояние на обучението, дати на записване, учебни часове и присъствие, изпити и резултати, плащания, разсрочвания и фактури;
• за екипа: имейл, роля, валидност на свидетелството за управление, категории, работни часове, заплащане и изплащания;
• дневникът на промените, които профилите правят в dsp.

dsp не пази ЕГН, нито копия на документите на курсиста (лична карта, медицинско свидетелство, снимка, договор): тях автошколата пази сама. Автошколата не въвежда в dsp данни за здравето или други данни по чл. 9 ОРЗД, включително в бележките към часовете.

Обработваме данните само по документирани инструкции на автошколата. Инструкциите са Общите условия, този договор и действията, които профилите на автошколата извършват в dsp. Други инструкции тя ни дава писмено на [email protected]. Ако смятаме, че инструкция нарушава ОРЗД или друг закон, уведомяваме автошколата веднага и не я изпълняваме, докато не я потвърди или промени. Изключение е обработване, което ни налага законът, като тогава уведомяваме автошколата, освен ако законът го забранява.

До данните имат достъп само хората, които поддържат dsp от наше име, и само доколкото това е нужно за поддръжката, за отстраняване на проблем или по искане на автошколата. Те са поели задължение за поверителност или са обвързани от такова по закон.

Прилагаме тези мерки по чл. 32 ОРЗД:

• всяка връзка към dsp е криптирана (TLS);
• паролите се пазят само като криптографски отпечатък (bcrypt);
• всяка заявка в dsp е ограничена до автошколата на профила, а какво вижда и прави профилът зависи от ролята му; качените файлове се отварят само от профилите, на които ролята позволява, чрез временни връзки;
• промените в плащанията, фактурите, екипа и автошколата се записват в дневник, който собственикът вижда;
• сървърът и базата данни са в център за данни в Германия, зад защитна стена, без публично достъпни портове на базата данни;
• всяка нощ правим резервно копие на базата данни и го пазим 7 дни.

Преглеждаме мерките, когато dsp се променя, и не ги намаляваме без да уведомим автошколата.

Автошколата ни разрешава да ползваме следните подобработващи, всеки само за своята задача:

С всеки от тях имаме договор, който го задължава да защитава данните поне колкото този договор, и отговаряме пред автошколата за изпълнението му. Google Analytics не е в списъка: той получава само почистени адреси на страниците, без данните, които автошколата въвежда (виж Политиката за поверителност).

Преди да добавим или сменим подобработващ, уведомяваме собствениците по имейл поне 30 дни предварително. Автошколата може да възрази в този срок с обосновка; ако не намерим решение, тя може да прекрати договора, преди промяната да влезе в сила.

Данните се обработват в Европейското икономическо пространство, с изключение на Cloudflare, Inc., която е в САЩ и е сертифицирана по Рамката за защита на данните между ЕС и САЩ (решение за адекватност на Европейската комисия от 10 юли 2023 г., чл. 45 ОРЗД). Друго предаване извън ЕИП правим само по т. 8 и при гаранциите по глава V от ОРЗД.

Автошколата отговаря на исканията на курсистите и на екипа си за достъп, поправка, изтриване и другите им права, като повечето от тях може да изпълни сама в dsp. Ако искане стигне до нас, препращаме го на автошколата без забавяне и не отговаряме на него сами. При нужда ѝ помагаме с данните, до които тя няма достъп в dsp.

Съобразно информацията, с която разполагаме, помагаме на автошколата да изпълни задълженията си за сигурност, за уведомяване при нарушение, за оценка на въздействието и за предварителна консултация с Комисията за защита на личните данни.

Ако научим за нарушение на сигурността на данните на автошколата, уведомяваме собственика ѝ по имейл без неоправдано забавяне, за да може тя да уведоми Комисията за защита на личните данни в 72-часовия срок по чл. 33 ОРЗД. Уведомлението описва какво се е случило, кои категории данни и субекти засяга и приблизително колко, вероятните последици и мерките, които сме взели или предлагаме. Каквото не знаем веднага, съобщаваме, щом го научим.

Когато договорът се прекрати, автошколата се изтрива: никой от профилите ѝ няма повече достъп, а данните се пазят още една година. През нея собственикът може да поиска всички данни и файлове на автошколата (връщане), а също и да поиска да ги изтрием веднага. След годината изтриваме окончателно всичко в автошколата, включително качените файлове, а резервните копия, които ги съдържат, изтичат до 7 дни след това. Запазваме данни само ако закон ни задължава.

Предоставяме на автошколата информацията, нужна да докаже, че изпълняваме този договор и чл. 28 ОРЗД. Допускаме проверки, включително на място, от автошколата или от одитор, когото тя е упълномощила и който е обвързан с поверителност, с предизвестие поне 30 дни, най-много веднъж годишно, освен след нарушение на сигурността или по искане на надзорен орган. Разходите за проверката са за автошколата.

Администратор или обработващ може да копира документ за самоличност, свидетелство за управление на моторно превозно средство или документ за пребиваване само когато това е предвидено в закон (чл. 25е от Закона за защита на личните данни). dsp не е място за такива копия и автошколата не ги качва в него, включително като документ на автомобил.

За договора се прилага българското право, а за неуредените в него въпроси – Общите условия за автошколи, включително за отговорността, промените и споровете. При противоречие между двата документа относно личните данни има предимство този договор.