Споразумение за обработване на лични данни

1. Страни

Администратор: физическото или юридическото лице, посочено в заявката, офертата, поръчката или клиентския профил, което определя целите и средствата за обработване на личните данни.

Обработващ: „ЕКЗ РЕНТАЛС“ ЕООД, ЕИК 205403982, гр. София 1220, район Надежда, ж.к. Толстой, бл. 26, вх. А, ет. 2, ап. 4, office@hostapart.com, доставчик на HostApart.

2. Предмет и срок

Обработващият предоставя хоствана SaaS платформа за управление на имоти и обработва лични данни само доколкото това е необходимо за активиране, хостване, съхранение, показване, организиране, архивиране, защита, поддръжка, експорт и изтриване на данните по документирани инструкции на Администратора.

Споразумението действа от приемането му и за целия период, през който Обработващият обработва лични данни от името на Администратора, включително приложимия период за връщане и заличаване след прекратяване.

3. Инструкции на Администратора

Обработващият обработва данните само по документирани инструкции на Администратора, освен ако правото на ЕС или България не изисква друго. Настройките, действията и заявките в клиентската среда, писмената кореспонденция, използването на модулите и този договор представляват документирани инструкции.

Ако инструкция според Обработващия нарушава GDPR или друго приложимо право, той уведомява Администратора и може да спре изпълнението й до изясняване. Обработващият не продава данните, не ги използва за собствен маркетинг и не определя самостоятелни цели за гостовите данни.

4. Описание на обработването

5. Категории лица и данни

Категориите лица могат да включват гости и придружители, потенциални гости, служители, почистващ персонал, техници, собственици на имоти, корпоративни клиенти, доставчици и потребители на Администратора.

Категориите данни могат да включват:

• идентификационни данни: имена, дата на раждане, гражданство, адрес, вид, номер, валидност и издател на документ за самоличност;
• контакти: имейл, телефон и адрес за кореспонденция;
• данни за резервация и престой: имот, период, придружители, платформа, референция, цена и плащания;
• данни за законова регистрация на туристи и подготовка на ЕСТИ, определени от Администратора;
• профил, роля, права, работни задачи, графици, чеклисти, възнаграждения и оперативни бележки;
• комуникации, снимки, файлове, сигнали за щети и данни за достъп до имот;
• технически записи: IP адрес, дата и час, сесии, логове и събития по сигурността.

Специални категории данни по чл. 9 GDPR не са предназначени за стандартна употреба. Администраторът не трябва да ги въвежда, освен ако има конкретно основание, необходимост и подходящи допълнителни мерки.

6. Задължения на Обработващия

• да обработва данните само по документирани инструкции;
• да осигури поверителност на лицата с разрешен достъп;
• да прилага подходящи технически и организационни мерки;
• да подпомага Администратора при искания за права, оценки на въздействието, консултации и задължения по сигурността според естеството на обработването;
• да поддържа необходимите записи за категориите обработване;
• да предоставя разумно необходимата информация за доказване на съответствие и да допуска проверки при условията по-долу;
• да изтрие или върне данните след прекратяване според избора на Администратора и приложимите законови изисквания.

7. Задължения на Администратора

• да гарантира законосъобразност, прозрачност, точност, минимизация и определени срокове;
• да предостави на гостите и другите лица необходимата информация по чл. 13 или 14 GDPR;
• да определи валидно основание за всяка цел, включително законовите регистрации на туристи;
• да настройва полетата, ролите и достъпа само до необходимото и своевременно да премахва ненужни потребители;
• да не използва публичното демо за реални лични данни;
• да отговаря на исканията на лицата и да уведомява компетентния орган, когато е приложимо;
• да не дава незаконни инструкции и да не въвежда данни, които не са необходими.

8. Поверителност

Лицата, действащи под ръководството на Обработващия и имащи достъп до лични данни, са обвързани с договорно или законово задължение за поверителност и получават достъп само според служебната необходимост.

9. Технически и организационни мерки

Мерките се преглеждат и развиват според риска, развитието на технологиите и цената за прилагане, без да се понижава съществено общото ниво на защита.

10. Подизпълнители

Администраторът дава общо писмено разрешение за използване на подизпълнители, необходими за услугата. Към датата на тази версия одобреният основен подизпълнител е:

Обработващият уведомява Администратора за планирано добавяне или замяна на подизпълнител по имейл или чрез услугата, по възможност поне 30 дни предварително. Администраторът може да възрази на обосновано основание, свързано със защитата на данните. Ако не може да се намери разумно решение, засегнатата услуга може да бъде прекратена за бъдещ период.

Обработващият налага на подизпълнителя задължения за защита, съответстващи на това DPA, и остава отговорен към Администратора за възложеното обработване.

11. Международни предавания

Обработващият не прехвърля гостови данни извън ЕИП без документирана инструкция и валиден механизъм по глава V GDPR. При необходимост се използват решение за адекватност, стандартни договорни клаузи или друг приложим механизъм и допълнителни мерки според риска.

12. Искания на лица

Ако Обработващият получи искане, отнасящо се до данни в клиентска среда, той го препраща на Администратора, освен ако законът забранява това. Срещу разумно предизвестие Обработващият подпомага чрез наличните функции за търсене, корекция, експорт, ограничаване и изтриване. Администраторът определя отговора и неговата законосъобразност.

13. Нарушения на сигурността

След узнаване за потвърдено нарушение на сигурността на лични данни, обработвани по това DPA, Обработващият уведомява Администратора без ненужно забавяне, целево до 24 часа след вътрешното потвърждение, когато това е практически възможно.

Уведомлението съдържа наличните данни за естеството и обхвата, вероятните последици, предприетите или предложени мерки и контакт за допълнителна информация. Данните могат да се предоставят поетапно. Това уведомяване не е признание за вина. Администраторът решава за уведомяване на КЗЛД и засегнатите лица.

14. Одити и информация

При разумно писмено искане не повече от веднъж годишно Обработващият предоставя наличната документация за мерките и съответствието. Проверка на място се допуска само когато документите не са достатъчни или след съществен инцидент, с поне 30 дни предизвестие, в работно време, без достъп до данни на други клиенти и при задължение за поверителност.

Администраторът поема разумните допълнителни разходи за проверка, освен ако тя установи съществено нарушение на Обработващия.

15. Връщане и заличаване

По време на активния договор Администраторът използва наличните средства за експорт. След прекратяване може да поиска наличен стандартен експорт в срок до 30 дни. След изтичането на този срок Обработващият изтрива или необратимо анонимизира оперативните лични данни, освен ако закон изисква запазване.

Данни в резервни копия се извеждат от употреба по приложимия цикъл на архивиране и не се възстановяват за други цели. Ако възстановяване е необходимо при инцидент, правилата за изтриване се прилагат повторно. Страните могат писмено да договорят различен срок според плана и техническата конфигурация.

16. Отговорност и предимство

Отговорността се урежда от GDPR, приложимото право и Общите условия. Нищо в това DPA не ограничава права на субекти или правомощия на надзорен орган. При противоречие относно личните данни това DPA има предимство пред Общите условия, а задължителният закон има предимство пред всички договорни клаузи.

17. Контакти и изменения

Оперативни инструкции и уведомления се изпращат от упълномощен контакт на Администратора до office@hostapart.com. Съществени промени в DPA се съобщават предварително. Актуална версия е публикувана на тази страница.