Споразумение за обработване на лични данни

Версия от 3 ноември 2026 г.

Това споразумение (по чл. 28, пар. 3 от Регламент (ЕС) 2016/679 — ОРЗД) е неразделна част от договора за ползване на TIR Logix и урежда обработването на лични данни, което Доставчикът извършва от името на Клиента.

1. Страни и роли

Администратор: Клиентът по договора за ползване на TIR Logix. Обработващ: „VZ Services“ правна форма, ЕИК ЕИК, седалище и адрес на управление: адрес, имейл: [email protected]. Обработващият обработва личните данни единствено от името на Администратора и по негови документирани указания; договорът, Общите условия и ползването на функциите на системата са такива указания.

2. Предмет, срок, естество и цел

Предмет е предоставянето на системата TIR Logix като услуга: хостинг, съхранение, резервни копия, поддръжка и техническа помощ. Срокът съвпада със срока на договора и с периода на изтриване по т. 9. Естеството на обработването е автоматизирано съхранение, извличане, структуриране и показване на данните, въведени от потребителите на Администратора. Целта е управлението на автопарка и финансите на Администратора. Подробности — Приложение 1.

3. Задължения на Обработващия

• обработва данните само по указания на Администратора, включително относно предаване към трета държава, освен ако правото на ЕС или на държава членка го задължава; в такъв случай уведомява Администратора преди обработването, доколкото законът позволява;
• гарантира, че лицата с достъп до данните са поели задължение за поверителност;
• прилага техническите и организационни мерки по Приложение 2 и ги поддържа в съответствие с чл. 32 ОРЗД;
• спазва условията за подизпълнители по т. 4;
• съдейства на Администратора с подходящи мерки за изпълнение на искания на субекти на данни (достъп, коригиране, изтриване, преносимост и др.) — препраща получени искания до 3 работни дни и предоставя необходимите извлечения;
• съдейства за сигурността, уведомяването при нарушения, оценката на въздействието и консултациите с надзорния орган (чл. 32–36 ОРЗД), като отчита характера на обработването и наличната информация;
• уведомява Администратора без ненужно забавяне и не по-късно от 48 часа, след като узнае за нарушение на сигурността на личните данни, с наличната информация по чл. 33, пар. 3, и я допълва впоследствие;
• при прекратяване изтрива или връща данните по т. 9;
• предоставя информацията, необходима за доказване на спазването на чл. 28, и допуска одити по т. 6;
• незабавно уведомява Администратора, ако счита, че дадено указание нарушава ОРЗД или друго приложимо право.

4. Подизпълнители

Администраторът дава общо разрешение за ползване на подизпълнителите по Приложение 3. Обработващият уведомява Администратора най-малко 30 дни преди добавяне или замяна на подизпълнител; Администраторът може да възрази писмено в този срок по основателни причини, а ако не бъде намерено решение — да прекрати договора без неустойка. Обработващият налага на всеки подизпълнител писмено същите задължения за защита на данните и отговаря за изпълнението им.

5. Предаване извън ЕИП

Данните се съхраняват в Европейския съюз. Предаване извън ЕИП се извършва само чрез подизпълнителите по Приложение 3 и при наличие на подходящи гаранции по глава V ОРЗД (решение за адекватност — Рамка за защита на личните данни ЕС–САЩ, или стандартни договорни клаузи).

6. Одити

Администраторът може веднъж годишно, с 30-дневно писмено предизвестие, да поиска документи и писмени отговори, доказващи спазването на споразумението. Проверка на място се допуска при основателно съмнение за нарушение или по искане на надзорен орган, в работно време, без да се нарушава сигурността на останалите клиенти, като разходите са за Администратора, освен ако проверката установи съществено нарушение.

7. Задължения на Администратора

Администраторът гарантира, че има правно основание за обработването и е изпълнил задълженията си за информиране на субектите на данни; въвежда само данните, необходими за целта; не въвежда специални категории данни по чл. 9 ОРЗД; управлява потребителите и правата им; дава указания в писмена форма (имейл е достатъчен).

8. Отговорност

Отговорността на страните се урежда от договора и Общите условия, доколкото ОРЗД не предвижда друго.

9. Изтриване и връщане на данните

До 30 дни след прекратяване на договора Администраторът може да поиска пълно копие на данните (SQL дъмп и/или XLSX). След изтичането на този срок, или по-рано по искане на Администратора, Обработващият изтрива инстанцията и базата данни на Администратора; резервните копия се изтриват по автоматичен ред до 30 дни след това. Данни, за които правото на ЕС или на държава членка изисква съхранение, се запазват само за този срок и цел.

Приложение 1 — Описание на обработването

Приложение 2 — Технически и организационни мерки

• Изолация: отделен контейнер и отделна база данни за всеки Администратор; достъп между инстанциите е технически невъзможен.
• Криптиране при пренос: TLS за всички връзки; HTTP се пренасочва към HTTPS; сертификатите се подновяват автоматично.
• Контрол на достъпа: роли и гранулирани права; пароли само като bcrypt хеш; задължителна смяна на временни пароли; ограничаване на неуспешните опити за вход (5 на потребител, 20 на IP адрес за 15 минути); кратки токени за достъп с автоматично подновяване и възможност за прекратяване на сесии.
• Проследимост: пълна история на създаване, промяна и изтриване на бизнес данните с потребител и час (Hibernate Envers).
• Наличност и възстановяване: нощни резервни копия на всяка база данни, пазени 30 дни на сървъра и копирани в отделно хранилище; резервно копие непосредствено преди всяка актуализация; наблюдение на системата с известяване на екипа.
• Сигурност на софтуера: ежедневни автоматични проверки за уязвимости в зависимостите и образите, за изтекли тайни и за грешки в кода; бързо прилагане на корекции; защитна мрежа срещу атаки пред всички адреси.
• Организационни: достъп до продукционната среда само за екипа на Обработващия с лични ключове; задължение за поверителност; принцип на минимален достъп; документирана процедура при инциденти.
• Хостинг: център за данни в ЕС с физически контрол на достъпа, сертифициран по ISO 27001 (Hetzner).

Приложение 3 — Подизпълнители

Актуалният списък се публикува на tirlogix.com/dpa.html; промените се съобщават по т. 4.