Последна актуализация: 12 юли 2026
Версия на документа: v0.1-draft
Това черновно DPA и графици по чл. 28 описват как Автоматика Делис ЕООД обработва лични данни от името на бизнес клиенти, ползващи облачни или хоствани услуги на Делис, и изброяват активни подизпълнители. Не е в сила, докато не бъде официално прието.
DPA се прилага, когато Делис обработва лични данни по твои инструкции като обработващо лице във връзка със Smart Office Tools, хоствани интеграции, портали за поддръжка, услуги RaConnect/MicroAPI, при които ти си администратор, или други услуги на Делис, посочени в поръчката.
Ти си администратор за клиентски, служителски и потребителски данни, които качваш или причиняваш да бъдат обработвани. Автоматика Делис ЕООД действа като обработващо лице, освен когато Делис е самостоятелен администратор (напр. собствено фактуриране, логове за сигурност, операции на уебсайта или съответствие).
Делис обработва лични данни само по документирани инструкции, включително тези в основното споразумение за услуга, това DPA, конфигурацията в услугата и документирани заявки за поддръжка, освен ако се изисква от правото на ЕС или държава членка.
Предмет: предоставяне на софтуер и хоствани услуги на Делис по основното споразумение. Срок: срок на споразумението за услуга плюс период за изтриване в График 4. Характер и цел: хостинг, синхронизация, поддръжка, автоматизация и свързани технически операции по твои инструкции. Категории субекти на данни: твоите клиенти, служители и крайни потребители, които избираш да обработваш. Категории лични данни: контактни данни, идентификатори на акаунти, качено от теб съдържание, технически логове и материали за поддръжка. Специални категории: не са предвидени, освен ако инструктираш друго и са договорени подходящи гаранции.
Делис прилага подходящи технически и организационни мерки, включително контрол на достъпа, криптиране при предаване, когато е приложимо, логване, резервни копия и задължения за поверителност на персонала, съобразени с риска.
Мерките включват: достъп по роли; автентикация за административен достъп; криптиране при предаване (TLS) за отдалечен достъп; сегрегация на клиентски среди, когато е приложимо; процедури за резервно копие и възстановяване; корекции на уязвимости; логване на инциденти; задължения за поверителност на персонала; и подизпълнители, обвързани с писмени условия за защита на данните. Подробни описания на TOMs и заявки за доказателства се обработват чрез документация за сигурност и разумни одити по раздела Одит.
Този график разграничава обработващи лица по чл. 28 GDPR от самостоятелни администратори и източници на данни. Фактите подлежат на окончателна проверка преди влизане в сила. **Обработващи лица по чл. 28 (подизпълнители)** — обработват лични данни по инструкции на Делис, когато Делис действа като обработващо лице за вас: • Google LLC (Google Workspace) — имейл, Drive, Calendar, Chat, Sheets и свързани услуги за сътрудничество, ползвани за хоствани и интегрирани ERP операции на Делис. • ElevenLabs, Inc. — Scribe v2 speech-to-text само за транскрипция на служебни телефонни разговори на служители в текущия документиран обхват (не за аудио от посетители или маркетинг). **Оповестявания за трети страни (не са подизпълнители по чл. 28 по това DPA)** — изброени за прозрачност; важат отделни правни отношения или локална обработка: • Microsoft Corporation (Microsoft Clarity) — самостоятелен администратор за уеб анализи и session replay на публичния маркетингов сайт (raworkshop.bg), зарежда се само след съгласие за аналитика; не е подизпълнител за ERP данни на наемателя. • MaxMind, Inc. (GeoLite2) — лицензодател на данни за локално съхранена City база, ползвана в диагностика на RaConnect/MicroAPI; справките по IP се извършват на инфраструктурата на Делис и не се изпращат към MaxMind при всяка заявка. • RIPE NCC — самостоятелен администратор на публичната RIPE Database; по избор REST справка, когато GeoLite2 няма данни на ниво град за български IP в услугите RaConnect/MicroAPI. Google Vertex AI не е изброен тук; извън обхвата на този чернов график до отделна оценка. Пощенски адреси на доставчици, подизпълнители на подизпълнителите и точни механизми за трансфер (напр. SCC) очакват окончателна проверка и ще бъдат изброени преди DPA да влезе в сила. Делис ще уведомява за съществени промени в подизпълнителите, както изисква чл. 28 от GDPR.
Делис оперира български хоствана инфраструктура за основния ERP и свързани услуги и поддържа вътрешна legacy CRM среда, оперирана от Делис за исторически бизнес записи. Личните данни в тези среди се обработват по инструкции и политики за сигурност на Делис; те не се маркират като външни подизпълнители, но остават под оперативен контрол на Делис.
Делис ще ти съдейства при отговор на заявки от субекти на данни с подходящи технически мерки, в степента, позволена от закона и с оглед на естеството на обработването.
Делис ще те уведоми без неоправдано забавяне след узнаване за нарушение, засягащо твоите данни, и ще предостави информация, разумно необходима за регулаторните ти задължения.
При прекратяване Делис изтрива активните производствени копия на личните ти данни в срок до 30 дни след потвърдени инструкции, освен ако законът изисква съхранение. Криптирани резервни копия могат да останат недостъпни до 90 дни за възстановяване при бедствие, след което се презаписват при правно задържане или задължения за възстановяване. Можеш да експортираш данните си в периода на предизвестие, когато услугата поддържа експорт.
Можеш да поискаш разумна информация, необходима за демонстриране на съответствие. Одити на място могат да се провеждат не повече от веднъж годишно с предварително уведомление, при спазване на поверителност, сигурност и минимално прекъсване.
DPA остава в сила за срока на споразумението за услуга и до изпълнение на задълженията за изтриване/върщане.
