Споразумение за обработване на данни (DPA)

1. Предмет и продължителност

Предмет е обработването на лични данни при предоставянето на LogCon като софтуер като услуга. Продължителността съответства на срока на основния договор.

2. Естество и цел на обработването

Управление на транспорт, обработване на поръчки с подкрепа от ИИ, диспечиране, комуникация с клиенти, превозвачи и шофьори, създаване на документи, подготовка за митници и фактуриране.

3. Категории данни и субекти на данни

• Служители на администратора: име, имейл, телефон, роля, език, данни за вход
• Шофьори (собствени и на подизпълнители): име, телефон, език, квалификации, данни за позиция по време на курсове
• Лица за контакт при клиенти и превозвачи: име, данни за контакт, съдържание на комуникацията
• Данни за поръчки, документи, митници и фактури с лична референция

4. Задължения на обработващия

• Обработване само по документирани инструкции на администратора
• Задължение за поверителност за всички упълномощени лица
• Прилагане на техническите и организационни мерки (приложение 1)
• Подпомагане при правата на субектите на данни, оценки на въздействието върху защитата на данните и задължения за уведомяване
• Информиране на администратора, ако дадена инструкция, по мнение на обработващия, нарушава законодателството за защита на данните

5. Подизпълнители

Администраторът одобрява подизпълнителите, изброени в приложение 2. Обработващият информира администратора за предвидени промени поне 30 дни предварително; администраторът може да възрази по важна причина съгласно законодателството за защита на данните.

6. Технически и организационни мерки (приложение 1)

• Контрол на физическия достъп: център за данни в ЕС със сертификация по ISO 27001, без физически достъп от персонала на обработващия
• Контрол на достъпа до системата: пароли, хеширани с bcrypt, двуфакторно удостоверяване, блокиране след неуспешни опити, изтичащ JWT токен, API ключове, съхранявани само като хешове
• Контрол на достъпа до данни: права на базата на роли, минимални необходими права, администрация на ниво платформа само с права, проверени в базата данни
• Контрол на разделянето: идентификатор на клиента във всяка таблица, отделни пътища за съхранение за всеки клиент
• Криптиране: TLS при предаване, AES-256-GCM за данни за достъп при интеграции, криптиране на диска при доставчика на хостинг
• Контрол на въвеждането: одитен дневник със състояние преди/след за промени и действия на ИИ
• Контрол на предаването: уебхуци, подписани с HMAC, изходящи е-писма само чрез конфигурирани сървъри
• Наличност: ежедневни криптирани резервни копия на базата данни и документите, като се съхраняват 7 дневни, 4 седмични и 12 месечни резервни копия, криптирано копие извън обекта при втори доставчик, документирана процедура за възстановяване, наблюдение
• Управление на защитата на данните: регистър на дейностите по обработване, концепция за изтриване, процес за реакция при инциденти

7. Уведомяване за нарушения на сигурността на данните

Обработващият докладва нарушения на сигурността на личните данни без ненужно забавяне, най-късно в рамките на 24 часа от узнаването, с информацията съгласно чл. 33, ал. 3 от ОРЗД.

8. Права за одит

Администраторът може да проверява спазването на това споразумение чрез преглед на доказателства и доклади и, след своевременно предизвестие, чрез одити на място.

9. Изтриване и връщане

След прекратяване на договора обработващият осигурява пълен експорт на данните за срок от 30 дни, след което изтрива всички данни на администратора, включително копията, и потвърждава изтриването. Законовите задължения за съхранение остават незасегнати; криптираните резервни копия се презаписват в рамките на обичайния цикъл на ротация, най-късно след 12 месеца.

10. Прехвърляния към трети държави

Прехвърляния към трети държави се извършват само при условията на чл. 44 и следващи от ОРЗД, по-специално въз основа на решение за адекватност или стандартни договорни клаузи.

11. Прозрачност на ИИ (приложение 4)

ИИ агентите създават предложения или – в зависимост от нивото на автономност, зададено от администратора – изпълняват действия. Всяко действие на ИИ се записва с модел, време, увереност и състояние преди/след; автоматичните действия са обратими. Данните на клиента не се използват за обучение на ИИ модели.

12. Заключителни разпоредби

При противоречие това споразумение има предимство пред основния договор по въпроси на защитата на данните. Прилага се австрийското право; място на юрисдикция е Wien.

Приложение 2: подизпълнители

Вижте следната таблица.