Договор за обработка на лични данни

1. Предмет

Обработващият обработва лични данни от името на администратора само за да му предоставя WashDesk: поръчки и опашка, резервации, клиенти, каса, персонал, абонаменти и известия към клиентите.

2. Какви данни и за кого

• клиенти на мивката: име, телефон, имейл (по желание), регистрационен номер и данни за колата, посещения и суми, снимки на колата, SMS и имейл съобщения и известия в браузъра;
• служители на мивката: име, роля, смени, процент и надник.

Не се обработват специални категории данни (чл. 9 GDPR).

3. Срок

Договорът важи, докато мивката ползва WashDesk.

4. Задължения на обработващия

• обработва данните само по документирани указания на администратора: този договор и действията на мивката в WashDesk. Ако указание нарушава GDPR, уведомява администратора незабавно;
• хората с достъп до данните са задължени да пазят поверителност;
• прилага технически и организационни мерки (чл. 32 GDPR): отделна база за всяка мивка, криптирана връзка, пароли и PIN кодове само като хеш, права по роли, проверени на сървъра, ограничение на опитите за вход и нощни резервни копия с проверено възстановяване;
• помага на администратора да отговаря на искания на клиенти: експорт и изтриване на данните на клиент от „Клиенти“, както и автоматичните срокове за изтриване;
• помага при сигурността на данните, оценката на въздействието и консултациите с Комисията за защита на личните данни;
• уведомява администратора без излишно забавяне и до 48 часа, след като узнае за нарушение на сигурността на данните;
• при прекратяване изтрива данните до 30 дни или по искане ги предава преди това, освен ако законът изисква да се пазят; от резервните копия те изчезват до 14 дни след това;
• дава на администратора нужната информация, за да докаже спазването на чл. 28 GDPR, и съдейства за проверки.

5. Подизпълнители

Администраторът дава общо разрешение за следните подизпълнители:

• Hostinger: сървър и база данни, Франкфурт, Германия (ЕС);
• „ЛИНК Мобилити България“ ЕАД, ЕИК 131384920 (SMSAPI.bg), България (ЕС): изпращане на SMS;
• Sendinblue SAS (Brevo), Париж, Франция (ЕС): изпращане на имейли.

За нов подизпълнител обработващият уведомява администратора поне 14 дни предварително и администраторът може да възрази. Подизпълнителите имат същите задължения за защита на данните. Данните не се предават извън ЕС и ЕИП.

6. Задължения на администратора

Администраторът има основание за обработването, информира клиентите си (може да ползва страницата „Лични данни“ на мивката в WashDesk), отговаря на техните искания и въвежда само нужните данни.

7. Сключване

Договорът се сключва електронно: при регистрация собственикът отбелязва, че го приема от името на мивката. Датата и версията се пазят в WashDesk. Прилага се българското право.