Споразумение за обработване на данни

1. Предмет и роли

Настоящото СОД урежда обработването на лични данни от MAINSYSTEMS, LDA. („обработващ“) от името на клиента („администратор“) във връзка с платформата UNOVOX, съгласно чл. 28 от Регламент (ЕС) 2016/679 („ОРЗД“). Клиентът определя целите и средствата на обработването на данните по неговите случаи; MAINSYSTEMS обработва тези данни само по документирани указания на клиента, включително чрез конфигурациите, направени в платформата, освен когато е задължено да го стори по правото на Съюза или на държава членка. В такъв случай MAINSYSTEMS информира клиента преди обработването, освен ако правото забранява такова информиране.

2. Описание на обработването

• Предмет: хостинг и предоставяне на платформата UNOVOX, включително портала за подаване на сигнали, управлението на случаи, комуникацията, отчетите, техническата поддръжка и, когато са активирани от клиента, AI агентите.
• Продължителност: срокът на абонамента, плюс периода за възстановяване и заличаване по раздел 10.
• Естество и цел: събиране, съхранение, организиране, справка, разкриване пред клиента и изтриване на данни, изключително за функционирането на канала за подаване на сигнали на клиента и за управлението на случаите.
• Категории субекти на данни: сигнализиращи лица, засегнати лица, свидетели и трети лица, посочени в сигналите; оправомощените потребители на клиента.
• Категории данни: идентификационни и контактни данни, професионална информация, съдържание на сигналите, съобщения и приложения, документация по разглеждането на случаите; те могат да включват специални категории данни (чл. 9 от ОРЗД) и данни, свързани с престъпления и нарушения (чл. 10 от ОРЗД), в зависимост от подаденото.

3. Указания на клиента

MAINSYSTEMS информира незабавно клиента, ако по негова преценка дадено указание нарушава ОРЗД или други разпоредби за защита на данните, и може да спре изпълнението на това указание, докато то не бъде потвърдено или изменено. Клиентът гарантира, че указанията му са законосъобразни и че разполага с правно основание за обработването, което определя.

4. Поверителност

MAINSYSTEMS гарантира, че лицата, оправомощени да обработват личните данни, са поели задължение за поверителност или са обвързани от подходящо законово задължение за поверителност, и че достъпът е ограничен до строго необходимото за предоставянето, защитата и поддръжката на услугата. В контекста на подаването на сигнали поверителността обхваща по-специално самоличността на сигнализиращото лице и информацията, от която тя може пряко или непряко да бъде установена, в съответствие с чл. 16 от Директива (ЕС) 2019/1937 и с чл. 31 от Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения (ЗЗЛПСПОИН), който урежда изчерпателно случаите, в които разкриване е допустимо.

5. Мерки за сигурност

MAINSYSTEMS прилага подходящите на риска технически и организационни мерки, изисквани от чл. 32 от ОРЗД, включително към настоящата версия: контрол на достъпа и роли с определени от клиента права; удостоверяване с криптирано съхранение на паролите; достъп до платформата през HTTPS връзки; логическо разделяне на средата на всеки клиент; липса на регистриране на IP адресите на сигнализиращите лица в портала за подаване на сигнали; журнали на дейността в управленската зона; периодични резервни копия; управление на уязвимостите и процедури за реакция при инциденти. Актуализирано описание на мерките е достъпно при поискване и може да се развива, при условие че общото ниво на защита не се намалява съществено.

6. Подобработващи

Клиентът дава общо разрешение за използването на подобработващи за хостинг и инфраструктура, комуникации, сигурност и, когато са активирани, AI услуги. MAINSYSTEMS поддържа списък на съответните подобработващи, достъпен за клиента при поискване, и уведомява клиента с разумно предизвестие за всяка съществена промяна, като дава възможност за възражение на легитимни основания; при липса на разумно решение клиентът може да прекрати засегнатата услуга. MAINSYSTEMS налага на всеки подобработващ по договорен път задължения за защита на данните, равностойни на тези в настоящото СОД, и остава отговорно пред клиента за тяхното изпълнение.

7. Съдействие на клиента

Като се вземе предвид естеството на обработването, MAINSYSTEMS оказва разумно съдействие на клиента чрез подходящи технически и организационни мерки и чрез функциите на платформата, за да: отговаря на искания на субекти на данни; изпълнява задълженията по чл. 32 до 36 от ОРЗД, включително сигурност, уведомяване за нарушения, оценки на въздействието и предварителни консултации. Ако субект на данни се обърне пряко към MAINSYSTEMS относно данни, обработвани от името на клиента, MAINSYSTEMS препраща искането на клиента без ненужно забавяне и не отговаря по същество без указание от клиента, освен когато това се изисква по закон. Съдействие, надхвърлящо разумното в рамките на услугата, може да бъде таксувано по разумни ставки.

8. Нарушения на сигурността на личните данни

MAINSYSTEMS уведомява клиента без ненужно забавяне, след като узнае за нарушение на сигурността на лични данни, засягащо данни, обработвани от името на клиента, като предоставя разумно наличната информация за естеството на нарушението, категориите и приблизителния брой засегнати субекти на данни и записи, вероятните последици и предприетите или предложените мерки, и допълва информацията, когато тя стане налична. Уведомяването на надзорния орган и на субектите на данни е решение и отговорност на клиента в качеството му на администратор; MAINSYSTEMS съдейства в разумна степен.

9. Международни предавания

Данните се обработват в Европейското икономическо пространство. Предаване извън ЕИП се извършва само при наличие на валиден механизъм по глава V от ОРЗД (решение относно адекватното ниво на защита, стандартните договорни клаузи на Европейската комисия с допълнителни мерки, когато е уместно, или друг правно признат инструмент) и се отразява в информацията за подобработващите.

10. Връщане и заличаване

При прекратяване на услугата и по избор на клиента MAINSYSTEMS връща личните данни чрез наличните функции за експорт в рамките на 30-дневен период за възстановяване, освен ако в поръчката е предвиден друг срок, след което заличава съществуващите данни и копия, освен доколкото правото на Съюза или на държава членка изисква тяхното съхраняване. Заличаването от резервните копия се извършва в рамките на защитени цикли на ротация. Клиентът отговаря за това да изнесе преди края на периода за възстановяване регистъра на сигналите по чл. 18 от ЗЗЛПСПОИН и свързаната документация, които съгласно чл. 18, ал. 2, т. 9 от ЗЗЛПСПОИН и чл. 8 от Наредба № 1 от 27 юли 2023 г. се съхраняват пет години след приключване на разглеждането на сигнала, освен при образувано наказателно, гражданско, трудовоправно и/или административно производство във връзка със сигнала.

11. Информация и одити

MAINSYSTEMS предоставя на клиента информацията, необходима за доказване на съответствието с чл. 28 от ОРЗД, включително отговори на въпросници за сигурност и документация за прилаганите мерки. Клиентът може да извърши сам или чрез независим одитор, обвързан с поверителност, одит на съответните операции по обработване, с разумно предварително предизвестие, най-много веднъж годишно, освен когато това се изисква от надзорен орган или след съществено нарушение, в работно време и без достъп до данни на други клиенти. Разходите за одита се поемат от клиента.

12. Отговорност и срок

Отговорността на страните по настоящото СОД следва чл. 82 от ОРЗД и ограниченията в Условията за услугата, доколкото те могат законно да се прилагат. Настоящото СОД остава в сила, докато MAINSYSTEMS обработва лични данни от името на клиента, и има предимство пред противоречащи разпоредби на Условията по въпросите на обработването на лични данни. То се урежда от португалското право.

13. Контакти

MAINSYSTEMS, LDA. (UNOVOX)
Av. da República, 50, 2.º andar, 1050-196 Лисабон, Португалия
Поверителност: dpo@mainsystems.pt
Общи въпроси: info@mainsystems.pt
Телефон: +351 211 245 202