CG Shops: Споразумение за обработване на лични данни

Споразумението е между вас, търговеца, като администратор, и „Аспар Софтуер“ ЕООД (CG Shops) като обработващ лични данни по чл. 28 от Общия регламент относно защитата на данните (ОРЗД). То е част от Общите условия и се приема заедно с тях.

1. Какво обработваме

Хостваме и поддържаме магазина ви и за това обработваме личните данни в него:

• имената, e-mail адресите, телефоните, адресите и профилите на купувачите ви, както и поръчките им и данните за плащанията и доставките им;
• писмата, които магазинът изпраща;
• сесиите и журналите;
• свързаните с магазина AI асистенти;
• данните на вашите администратори;
• данните на вашите служители и сътрудници, които добавите в екипа.

Целта е предоставянето на услугата. Обработваме данните, докато действа договорът и до изтриването им по т. 10. Магазинът не трябва да съдържа специални категории данни (например данни за здравето), освен ако не сме се договорили писмено за това.

2. Указанията ви

Обработваме данните само по ваши документирани указания. Такива са Общите условия, това споразумение и начинът, по който настройвате и използвате магазина си, включително свързаните от вас услуги.

• Ако законът ни задължава да постъпим другояче, ви уведомяваме предварително, освен ако законът забранява това.
• Ако смятаме, че дадено указание нарушава правото в областта на защитата на данните, ви уведомяваме.

3. Поверителност

Достъп имат само малкото наши служители, които се нуждаят от него, и те са обвързани със задължение за поверителност. Използваме служебните си профили в магазина ви само за следното:

• да създадем, обновим и проверим магазина;
• да ви помогнем, когато поискате;
• да се справим с инциденти;
• когато законът го изисква.

Влизаме в администраторския панел на магазина ви само когато го разрешите. Можем да ви поискаме достъп за определен срок и с повод, а вие го одобрявате или отказвате от страницата „Достъп на поддръжката“ в панела. Можете и сами да дадете достъп и да го спрете по всяко време. Без разрешение влизаме само при инцидент, тоест прекъсване на магазина или съмнение за нарушение на сигурността, за най-много един час, и ви уведомяваме веднага. Влизаме с отделен профил „Поддръжка CG Shops“, който не може да променя пароли, двуфакторно удостоверяване, администратори, платежни и банкови данни и не може да изнася данни. Записваме всяка заявка, разрешение, влизане, страница и промяна; виждате ги в панела си и получавате имейл, когато влезем и излезем. Пазим записите 2 години или по-дълго, ако са нужни за спор или за проверка на инцидент.

4. Сигурност

Прилагаме мерките, изброени в края на това споразумение, и ги поддържаме поне на това ниво.

5. Подобработващи

• Разрешавате ни да използваме подобработващите, отбелязани в таблицата по-долу.
• Уведомяваме ви по e-mail поне 30 дни преди да добавим или заменим подобработващ. Можете да възразите в срок от 15 дни. Ако не можем да удовлетворим възражението ви, можете да прекратите договора преди промяната и ние ви възстановяваме предплатените суми.
• Налагаме на всеки подобработващ същите задължения за защита на данните и отговаряме пред вас за неговите действия. Поддържаме списъка актуален. Ако поискате, ви казваме кои обработващи използват на свой ред нашите подобработващи.
• Услугите, които свързвате сами (доставчици на платежни услуги, куриери, услуги за анализ на посещенията, AI клиенти), са ваши доставчици, а не наши подобработващи.

6. Предаване извън ЕИП

Данните на магазина ви се съхраняват в ЕС: в Google Cloud във Франкфурт, Германия; снимките и дигиталните файлове в Cloudflare R2, в ЕС; криптираните резервни копия в Backblaze, в ЕС (Амстердам, Нидерландия). Когато подобработващ ги обработва извън ЕИП, прилагаме решение на Европейската комисия относно адекватното ниво на защита (за САЩ това е Рамката за защита на данните между ЕС и САЩ) или стандартните договорни клаузи на Комисията.

7. Съдействие

• Администраторският панел ви позволява да намирате, изнасяте, коригирате и изтривате данните на купувач.
• Ако купувач се обърне с искане към нас, ви го препращаме в срок от 5 работни дни.
• Доколкото е разумно възможно, ви съдействаме да отговаряте на исканията на субектите на данни, както и за сигурността, уведомяването за нарушения и оценките на въздействието.

8. Нарушения на сигурността

Уведомяваме ви без неоправдано забавяне и не по-късно от 48 часа, след като узнаем за нарушение, което засяга данните на магазина ви. Съобщаваме ви:

• какво се е случило;
• кои данни и кои лица са засегнати;
• вероятните последици;
• какво предприемаме;
• с кого да се свържете.

Документираме всяко нарушение и ви съдействаме при уведомяването на КЗЛД и на засегнатите лица.

9. Проверки

Предоставяме ви информацията, която ви е нужна, за да докажете, че спазваме това споразумение, и допускаме одити, включително проверки на място, от вас или от независим одитор, обвързан с поверителност. Изпращате ни предизвестие 30 дни предварително. Одит се провежда не повече от веднъж годишно, освен ако е имало нарушение или орган го изисква. Всяка страна поема своите разходи.

10. Край на услугата: експорт, после изтриване

По ваш избор ви връщаме данните на магазина или ги изтриваме. Можете да поискате експорт (каталога, клиентите, поръчките и снимките, без пароли и ключове) на всеки етап, до последния ден, който ви съобщаваме в предупрежденията си – 7 дни преди изтриването. Изготвяме експорт само ако го поискате, и не изтриваме магазина, преди да сте го получили. Ако въпреки опитите си не можем да го изготвим, ви уведомяваме преди изтриването, като посочваме причината, и ви предоставяме това, което сме успели да изготвим. Пазим експорта само за да можете да го изтеглите, най-много 30 дни.

Изтриваме магазина и всички негови данни на датата по Общите условия: ако напускате – на датата, която ви съобщаваме поне 30 дни предварително; ако магазинът е затворен поради неплащане и не е възстановен – 180 дни след затварянето. Можете писмено да поискате по-ранно изтриване. Резервните копия изтичат до 30 дни след изтриването в Google и до 7 месеца в Backblaze, където са криптирани. Не пазим нищо, освен ако законът не изисква това. Потвърждаваме ви изтриването писмено.

11. Други условия

Прилагат се ограниченията на отговорността по Общите условия, освен при умисъл или груба небрежност и доколкото чл. 82 ОРЗД изисква друго. Прилага се българското право.

Мерки за сигурност

• всеки магазин има собствен контейнер и собствена база данни;
• няма отворени портове: трафикът пристига само през криптиран тунел, по HTTPS;
• данните за достъп, които пазим, са криптирани, а паролите се пазят като bcrypt хешове;
• администраторите могат да използват двуфакторно удостоверяване;
• AI асистентите действат само след одобрение от администратор, а рисковите действия изискват потвърждение;
• правим резервни копия на базите данни всяка нощ, криптирани, в Google Cloud, в ЕС, и ги пазим 14 дни, с възможност за възстановяване към определен момент от последните 7 дни;
• второ нощно резервно копие на базите данни и файловете, криптирано от нас, се пази в Backblaze, в ЕС (Амстердам, Нидерландия), до 6 месеца;
• услугата се наблюдава и ни алармира при проблем;
• промените минават през преглед на кода и тестове, версиите са фиксирани и можем да се върнем към предишна версия;
• малко на брой служители, обвързани с поверителност.