Споразумение за обработка на данни

Това Споразумение за обработване на данни („СОД“) е част от Условия за ползване между Passport Digital Limited („ние“, обработващият) и клиента („вие“, администраторът). То се прилага винаги, когато обработваме лични данни от ваше име при предоставянето на MyProductPassport, и отговаря на член 28 от UK GDPR и, когато е приложимо, от EU GDPR. Ако партньор управлява работното ви пространство и държи договора ви, ние сме подизпълнител на този партньор при същите условия.

1. Подробности за обработката

• Предмет и срок: предоставяне на MyProductPassport на вас, докато трае договорът и докато данните бъдат изтрити, както е описано по-долу.
• Естество и цел: хостинг, съхранение, публикуване, превод и показване на данните за продуктите и паспортите ви; изготвяне на статистика за прегледите на паспортите; поддръжка; и резервни копия.
• Когато ги използвате, също: искане на информация от избраните от вас доставчици, поддържане на подписана история на всеки публикуван паспорт и осигуряване на вход на екипа ви чрез вашия доставчик на идентичност.
• Засегнати лица: вашите служители и членове на екипа; лица, посочени в продуктовите ви данни и документи; и лица, които разглеждат публикуваните ви паспорти.
• Видове лични данни: имена, бизнес данни за контакт и длъжности; всякакви лични данни, които включите в продуктови данни или документи; а за зрителите на паспорти — държава, тип устройство, браузър, операционна система, препращаща страница и кодиран идентификатор на посетителя (никога IP адресът).
• Когато включите следпродажбеното обслужване: регистриране на собствениците на вашите продукти и водене на гаранционните им данни, предаване на сервизни заявки, вашите отговори и снимките на клиентите между вас и тях, прехвърляне на продукт от собствениците и проверка дали артикул е автентичен.
• Засегнати лица, когато използвате следпродажбено обслужване: хората, които регистрират някой от вашите продукти, изпращат ви сервизна заявка, получават продукт от собственика му или проверяват автентичността на артикул.
• Видове лични данни за тях: име и имейл адрес; това, което решат да добавят, например телефонен номер, държава, дата и място на покупка, сериен номер, съобщения и снимки; дали са се съгласили да получават новини от вас, с точния текст, който са видели; и при проверки за автентичност държавата и кодиран идентификатор на посетителя (никога IP адресът).
• Когато искате информация от доставчици: лицата за контакт на вашите доставчици (име, имейл адрес и фирма) и отговорите и файловете, които те изпращат. Когато използвате единен вход: името и имейл адресът, които вашият доставчик на идентичност изпраща за всяко лице. Подписаната история на паспорт съхранява всяка публикувана версия така, както е била, включително предишните стойности на полетата. Тя се изтрива заедно с вашето работно пространство и ние ще премахнем предишни версии по ваше указание, ако от тях трябва да бъдат заличени лични данни.

Услугата не е предназначена за специални категории данни (например данни за здравето). Моля, не ги качвайте.

Вие решавате какво да научат клиентите ви. Уведомлението ви за поверителност е свързано във всеки формуляр и имейл на следпродажбеното обслужване, а тези функции остават изключени, докато не го добавите. Имейлите до клиентите ви се изпращат от ваше име, с вашия адрес за отговор, чрез нашия доставчик на изпращане.

2. Нашите задължения

Ние ще:

• да обработваме личните данни само по ваши документирани указания, които са тези условия и използването на услугата от вас, освен ако законът не изисква друго, като в такъв случай първо ще ви уведомим, освен ако законът не го забранява;
• да ви уведомим, ако смятаме, че дадено указание нарушава законодателството за защита на данните;
• да гарантираме, че всеки, когото упълномощим да обработва данните, е обвързан с поверителност;
• прилагаме мерките за сигурност, описани по-долу;
• да използваме подизпълнители само както е посочено по-долу;
• да ви помогнем да отговаряте на искания от лица, които упражняват правата си;
• да ви помогнем да изпълните задълженията си за сигурност, уведомяване за нарушения, оценки на въздействието върху защитата на данните и предварителни консултации, като вземем предвид наличната ни информация;
• да изтрием или върнем личните данни при прекратяване на договора, както е описано по-долу;
• да ви предоставим информацията, необходима да се докаже, че тези задължения се изпълняват, и да позволим одити, както е описано по-долу.

3. Подизпълнители

Упълномощавате ни да използваме следните подизпълнители:

• DigitalOcean чрез Cloudways: хостинг, бази данни и резервни копия (Лондон, Обединено кралство).
• Cloudflare: мрежа, сигурност и доставка на съдържание (глобална мрежа).
• Brevo (Sendinblue SAS): изпращане на служебни имейли до вас и екипа ви и, когато използвате следпродажбено обслужване, до клиентите ви (Франция).
• OpenAI: автоматичен превод на текста на публикуваните паспорти и четене на документите, които решите да импортирате в паспорт (Съединени щати).
• Sentry (Functional Software, Inc.): наблюдение на грешки (Германия, регион за данни в ЕС).
• Microsoft (Microsoft 365): имейл, за кореспонденция по поддръжката.

Налагаме на всеки подизпълнител задължения за защита на данните, не по-малко защитни от това СОД, и оставаме отговорни пред вас за работата им. Ще ви уведомим за нов подизпълнител по имейл или в приложението поне 30 дни преди да започне. Можете да възразите на разумни основания, свързани със защитата на данните; ако не можем да разрешим възражението, можете да прекратите засегнатата услуга и ще възстановим таксите, платени за периода след прекратяването.

4. Международни предавания на данни

Данните ви се хостват в Обединеното кралство, за което Европейската комисия е признала, че осигурява адекватна защита. Когато подизпълнител обработва лични данни в държава без решение относно адекватното ниво на защита, разчитаме на стандартните договорни клаузи на Европейската комисия заедно с UK International Data Transfer Addendum или на сертифицирането на подизпълнителя по Рамката за защита на данните ЕС-САЩ и нейното разширение за Обединеното кралство.

5. Искания от физически лица

Услугата ви позволява сами да преглеждате, коригирате, експортирате и изтривате данни. Ако някой се свърже с нас относно лични данни, които контролирате вие, ще ви препратим искането без неоправдано забавяне и няма да отговаряме сами, освен ако не ни помолите.

Собствениците на регистрирани продукти могат също сами да се откажат от маркетинговите ви имейли и да изтрият регистрацията си от страницата на собственика.

6. Мерки за сигурност

• Криптиране при пренос: TLS при всяка връзка, с HTTP Strict Transport Security.
• Криптиране в покой: номерът на компанията, ДДС номерът и телефонният номер в потребителските акаунти се криптират в приложението; паролите се съхраняват само като еднопосочни хешове.
• Достъп: ролеви достъп в работните пространства (собственик, администратор, редактор, наблюдател), незадължително двуфакторно удостоверяване и ограничен брой опити за вход. Достъпът до производствените сървъри е ограничен до определени по име администратори.
• Регистриране: важните действия се записват с потребителя, часа и IP адреса и се пазят 90 дни.
• Зрители на паспорти: IP адресите никога не се съхраняват; само кодиран идентификатор, създаден с таен ключ.
• Следпродажбено обслужване: скритите кодове на артикулите, ключовете на защитените етикети и личните връзки в имейлите до клиентите ви се криптират в приложението; снимките, които изпращат клиентите, се съхраняват поверително и се показват само на екипа ви и на клиента, който ги е изпратил.
• Устойчивост: ежедневни резервни копия на базата данни и защита от Cloudflare срещу атаки за отказ на услуга.
• Сигурност на приложението: строга политика за сигурност на съдържанието (CSP) с докладване на нарушения.

7. Нарушения на сигурността на личните данни

Ако узнаем за нарушение на сигурността на личните данни, засягащо вашите данни, ние ще:

• да ви уведомим без неоправдано забавяне и във всеки случай в рамките на 48 часа, по имейл до собственика на работното ви пространство;
• да ви предоставим информацията, необходима да уведомите Службата на комисаря по информацията (ICO) или вашия надзорен орган в рамките на 72 часа, и да я допълваме, когато научим повече;
• да работим с вас за разследване и ограничаване на нарушението и да документираме случилото се и предприетите от нас мерки.

Можете да ни съобщите за предполагаем проблем със сигурността на [email protected].

8. Одити

Ще отговаряме на разумни писмени въпроси относно спазването на това СОД. Ако това не е достатъчно, можете да извършите одит за своя сметка:

• с писмено предизвестие от поне 30 дни;
• в рамките на нормалното работно време;
• от одитори, обвързани с поверителност;
• не повече от веднъж годишно, освен ако нарушение или регулатор не изисква друго.

9. Връщане и заличаване на данни

Можете да експортирате данните си по всяко време и да поискате пълен експорт при прекратяване на договора (вижте „Преминаване към друг доставчик“ в нашите Условия за ползване). Когато изтриете акаунта си, личните данни в него се изтриват веднага. Ако договорът приключи по друг начин, изтриваме данните 30 дни след прекратяването. Копията в резервните архиви се презаписват в рамките на 60 дни след това. Запазваме само това, което изисква законът, като фактурите, и потвърждаваме изтриването писмено, ако поискате.

От 26 октомври 2026 г. паспортите на батерии остават достъпни след изтриването на акаунта, както е описано в Условията за ползване (Регламент (ЕС) 2023/1542, член 78, буква д)).

Данни от следпродажбеното обслужване: регистрация, която никой не потвърди, се изтрива след 30 дни, а данните на поканен нов собственик веднага щом прехвърлянето бъде прието, отменено или изтече. Собствениците могат сами да изтрият регистрацията си от страницата на собственика, а вие можете да премахнете регистрация или да изтриете сервизна заявка в таблото. Иначе тези данни се изтриват заедно с работното ви пространство.

10. Приложимо право

Това СОД се урежда от правото на Англия и Уелс, както и нашите Условия за ползване. Когато EU GDPR изисква то да се урежда от правото на държава членка на ЕС, се прилага ирландското право и юрисдикция имат съдилищата на Ирландия. Ако това СОД противоречи на Условията за ползване, това СОД има предимство по отношение на обработването на лични данни.

Въпроси относно това споразумение за обработка на данни: [email protected].