Споразумение за обработване на данни

Настоящото Споразумение за обработване на данни (Споразумението) е част от Условията за ползване между вас и дружеството от групата GridStudio, посочено във вашата фактура (ние, нас). То се прилага винаги когато обработваме от ваше име лични данни, съдържащи се в Клиентските данни. Термините, изписани с главна буква, които не са определени тук, имат значението, дадено им в Условията за ползване.

По отношение на това обработване вие сте администратор или обработващ лични данни, действащ за свои клиенти, а ние сме вашият обработващ лични данни. Всяка страна спазва приложимото към нея законодателство за защита на данните, включително, когато е относимо, Общия регламент относно защитата на данните на ЕС и на Обединеното кралство, турския Закон за защита на личните данни (KVKK) и Закона за защита на личните данни на ОАЕ.

Настоящото Споразумение не обхваща данните, които обработваме като администратор за собствени цели, като данните за акаунта и за таксуването. Това обработване е описано в Политиката за поверителност.

При противоречие между настоящото Споразумение и останалата част от Условията за ползване относно обработването на лични данни предимство има настоящото Споразумение.

• Предмет и цел: изпращане и получаване на съобщения през Каналите, които свързвате, отчитане на техния статус, доставяне на уебхук събития до вас, таксуване и поддържане на сигурността на Услугата.
• Срок: докато имате Акаунт, а след това – докато данните бъдат изтрити, както е описано в раздел 10.
• Естество на обработването: получаване, съхранение, предаване на Доставчици на канали, записване в дневници, показване пред вас и изтриване.
• Субекти на данни: лицата, на които изпращате съобщения и от които получавате съобщения, както и всяко друго лице, споменато в съобщенията.
• Категории данни: идентификатори като телефонни номера, идентификатори на чатове и потребителски идентификатори в платформи; съдържание на съобщенията и посочената в тях медия; статуси на доставка и прочитане; както и референциите и метаданните, които прикачвате.
• Специални категории: Услугата не е предназначена за специални категории лични данни. Вие решавате какво съдържат вашите съобщения и не трябва да изпращате такива данни, освен ако имате законово основание и Доставчикът на канала го допуска.

Обработваме личните данни само по ваше документирано нареждане. Условията за ползване, настоящото Споразумение и използването на API и конзолата от ваша страна представляват вашите пълни нареждания. Уведомяваме ви, ако според нас дадено нареждане нарушава законодателството за защита на данните, и не сме длъжни да изпълняваме такова нареждане.

Можем да обработваме данните и когато това се изисква от приложим към нас закон. В този случай ви уведомяваме предварително, освен ако този закон го забранява.

Вие носите отговорност за законосъобразността на обработването: за наличието на правно основание, за съгласията и уведомленията, дължими на субектите на данни, и за точността на данните, които подавате.

Гарантираме, че лицата, оправомощени да обработват личните данни, са обвързани със задължение за поверителност и имат достъп до данните само доколкото работата им го изисква.

Прилагаме технически и организационни мерки, които са подходящи спрямо риска, и можем да ги актуализираме, стига нивото на защита да не се понижава. Понастоящем те включват:

• криптиране на данните при пренос с TLS;
• съхраняване на паролите като хешове с Argon2id, а на токените за сесии и API ключовете – само като хешове;
• криптиране в покой с AES-256-GCM на тайните за подписване на уебхукове и на ключовете, които свързват Акаунта с платформата за доставка;
• предаване на идентификационните данни, токените и кодовете за упълномощаване за Каналите към платформата за доставка, без да се съхраняват или записват в дневници от шлюза;
• достъп въз основа на роли за членовете на Акаунта, API ключове, ограничени по обхват и по IP адрес, ограничаване на честотата на заявките и заключване след многократни неуспешни опити за вход;
• логическо разделяне на данните на всеки Акаунт;
• журнал за одит на административните действия, включително всеки случай, в който наши служители осъществяват достъп до Акаунт, за да окажат поддръжка;
• подписани доставки на уебхукове и проверка на адресите на уебхукове спрямо диапазоните на частните мрежи.

Вие ни давате общо разрешение да включваме подобработващи лични данни. Включваме ги въз основа на писмен договор, който налага задължения за защита на данните, равностойни на тези в настоящото Споразумение, и оставаме отговорни пред вас за тяхната работа.

Категориите подобработващи лични данни, които използваме за Клиентските данни, са:

• Хостинг и инфраструктура: доставчиците, които хостват нашите сървъри, бази данни и резервни копия;
• Дружества от групата GridStudio: които управляват платформата за доставка, свързваща се с Доставчиците на канали, и които подпомагат Услугата.

Уведомяваме собствениците на вашия Акаунт, преди да добавим или заменим подобработващ лични данни. Можете да възразите на разумни основания, свързани със защитата на данните, в срок от четиринадесет дни. Ако не можем да разрешим възражението, можете да прекратите споразумението и в този случай ние възстановяваме неизползвания баланс на Портфейла, за който сте платили, и неизползваната част от неизтеклите Пакети, които сте закупили, изчислена пропорционално.

Доставчиците на канали, като Meta, Telegram, TikTok, Twilio и други доставчици на SMS и оператори, не са наши подобработващи лични данни. Вие ги избирате, имате собствено споразумение с всеки от тях и ние им предаваме данни по ваше нареждане. Нашият обработчик на плащания и нашият доставчик на услуги за доставка на имейли обработват данни за акаунта и за таксуването за нас в качеството ни на администратор и не получават Клиентски данни.

Като отчитаме естеството на обработването, ние ви подпомагаме чрез подходящи технически и организационни мерки да отговаряте на искания от субекти на данни, които упражняват правата си. Конзолата и API ви позволяват да търсите и извличате съобщенията на даден получател. Ако субект на данни се свърже пряко с нас, ние го насочваме към вас и не отговаряме сами на искането, освен ако вие не поискате това от нас или законът го изисква.

Оказваме ви и разумно съдействие при оценки на въздействието върху защитата на данните, при консултации с надзорни органи и във връзка със сигурността на обработването, доколкото те се отнасят до Услугата и вие не можете сами да получите информацията.

Уведомяваме собствениците на вашия Акаунт без ненужно забавяне, след като узнаем за нарушение на сигурността на личните данни, което засяга Клиентски данни. Уведомлението описва това, което ни е известно за естеството на нарушението, засегнатите данни, вероятните последици от него и предприетите или предложените мерки, и ние допълваме информацията, когато тя стане налична. Уведомлението не представлява признание за вина.

Вие ни нареждате да предаваме Клиентски данни на Доставчиците на канали и на получателите, към които адресирате съобщения, където и да се намират те. Ние и нашите подобработващи лични данни можем да обработваме Клиентски данни в държави, различни от тази, в която сте установени.

Когато законодателството за защита на данните ограничава дадено предаване, страните разчитат на признат от него механизъм за предаване. Когато за предаване от вас към нас се изискват стандартните договорни клаузи, одобрени от Европейската комисия, заедно с допълнението за Обединеното кралство, когато е относимо, те се включват в настоящото Споразумение чрез препращане, като вие сте износител на данни, а ние – вносител на данни, и като подробностите за обработването са посочени в раздели 2 и 5.

Докато споразумението е в сила, можете да извличате Клиентски данни чрез конзолата и API. Когато споразумението приключи, изтриваме Клиентските данни в разумен срок, освен ако приложим към нас закон изисква да ги съхраняваме; в този случай ги пазим поверителни и не ги използваме за никаква друга цел. При поискване, отправено преди закриването на Акаунта, ви оказваме разумно съдействие за експортиране на данните.

Резервните копия се презаписват съгласно нашия цикъл на архивиране. Записите, които са ни необходими като администратор, като общите стойности на потреблението за целите на таксуването, се съхраняват съгласно Политиката за поверителност.

Осигуряваме достъп до информацията, която е разумно необходима, за да се докаже, че спазваме настоящото Споразумение, и отговаряме на писмени въпроси относно нашите мерки за сигурност.

Когато тази информация не е достатъчна, за да се изпълни законово изискване, можете най-много веднъж в рамките на дванадесетмесечен период и с тридесетдневно писмено предизвестие да извършите одит сами или чрез независим одитор, обвързан със задължение за поверителност. Одитът се провежда в работно време, не трябва да нарушава работата на Услугата или да разкрива данни на други клиенти и е за ваша сметка. По-чести одити са възможни, когато надзорен орган ги изисква или след нарушение на сигурността на личните данни.

Ограниченията и изключванията на отговорността в Условията за ползване се прилагат към настоящото Споразумение, освен когато законодателството за защита на данните не допуска прилагането им спрямо правата на субектите на данни.

Настоящото Споразумение се прилага, докато обработваме лични данни от ваше име. Ако ви е необходим подписан екземпляр, пишете на support@omnimessage.co.