Договор за обработка на лични данни

Настоящият Договор за обработка на лични данни (DPA) се прилага съгласно чл. 28 от Регламент (ЕС) 2016/679 (GDPR) между „Вюар 13“ ЕООД, ЕИК 207797465 („NAPdesk“, „Обработващ“) и Търговеца, ползващ услугата napdesk.bg („Администратор“).

DPA е неразделна част от Общите условия и влиза в сила автоматично с регистрацията на акаунт. Не се изисква отделно подписване.

1. Роли

• Администратор на лични данни на крайните клиенти на e-commerce магазина е Търговецът.
• Обработващ е NAPdesk — обработва личните данни само и единствено по документирани указания на Администратора (тези указания се изразяват в използването на услугата).

2. Категории субекти и данни

• Субекти: крайните клиенти на e-commerce магазина на Администратора.
• Категории данни: имейл адрес, имена (когато са подадени от платформата), номер и стойност на поръчка, артикули, начин на плащане, дата и час.
• Категории специални данни: няма. NAPdesk не обработва специални категории по чл. 9 GDPR.

3. Цел и продължителност

Целта на обработката е изпълнение на нормативно задължение по Наредба Н-18 (издаване на електронни касови бележки и месечни одиторски XML файлове) и доставка на договорената услуга.

Срокът на обработката съответства на срока на договора между Администратора и Обработващия, увеличен с 5-годишния период на задължителен архив по Наредба Н-18.

4. Задължения на Обработващия

NAPdesk се задължава да:

• Обработва личните данни само по указания на Администратора (или съгласно изрично нормативно задължение).
• Осигурява, че лицата с достъп до данните са поели задължение за поверителност.
• Прилага подходящи технически и организационни мерки по чл. 32 GDPR — TLS, шифроване at rest, RBAC, ротация на ключове.
• Уведомява Администратора без неоснователно забавяне (в рамките на 72 часа) при инцидент със сигурността на лични данни.
• Подпомага Администратора при отговор на искания на субекти за упражняване на права по чл. 15–22 GDPR.
• Подпомага Администратора при оценки на въздействие (DPIA) и предварителни консултации с КЗЛД.
• След прекратяване на договора — изтрива или връща всички данни в 90-дневен срок, с изключение на онези, които задължително трябва да се запазят по закон (5-годишен архив).

5. Подпроцесори

Администраторът дава общо разрешение за използване на следните подпроцесори от Обработващия:

• Vercel Inc. — хостинг.
• Supabase Inc. — база данни и съхранение.
• Resend Inc. — транзакционен имейл.
• Stripe Payments Europe Ltd. — плащания (само за платени планове).

При смяна или добавяне на нов подпроцесор Обработващият уведомява Администратора по имейл най-малко 30 дни предварително. Администраторът може да възрази; при възражение Обработващият има право да прекрати договора с 30-дневно предизвестие.

6. Международни трансфери

Когато подпроцесор обработва данни извън ЕС/ЕИП, се прилагат Стандартните договорни клаузи на Европейската комисия (Решение 2021/914) или друго предвидено в чл. 46 GDPR основание.

7. Одит

Администраторът има право веднъж годишно да изиска информация за прилаганите от Обработващия мерки за сигурност. Обработващият предоставя обобщен годишен доклад в писмен вид. По-задълбочен одит се извършва само по обосновано искане и за сметка на Администратора.

8. Контакт

Длъжностно лице по защита на личните данни (DPO) при NAPdesk: dpo@napdesk.bg.