Договор за обработване на лични данни

Договорът по чл. 28 от GDPR между FashionPoint и обектите: роли, категории данни, подобработващи, мерки за сигурност и данни при прекратяване.

Споразумение за обработване на лични данни по чл. 28 от Регламент (ЕС) 2016/679 (GDPR) — приложение към договора за абонамент · Версия 1.0 · В сила от 24.10.2026 г.

Този договор е неразделна част от договора за абонамент между „Фешън Пойнт Интернешънал“ ООД, ЕИК 206190472, със седалище и адрес на управление: гр. Варна 9000, р-н Одесос, ул. „Радецки“ № 13, ет. 2, ап. 1 („FashionPoint“), и неговия бизнес клиент („Абонатът“). Той допълва Общите условия за бизнес клиенти.

Чл. 1. Страни и роли. (1) Абонатът е администратор на личните данни на своите клиенти, пациенти, служители и други лица, които въвежда или събира чрез платформата — включително клиентската база, която прехвърля в платформата. FashionPoint е обработващ — обработва тези данни от името на Абоната и по негови указания.

(2) Указанията на Абоната са: този договор, договорът за абонамент и приложенията му, Общите условия за бизнес клиенти, настройките, които Абонатът прави в платформата, и писмените му указания.

Чл. 2. Предмет, естество и цел. Хостинг, съхранение, организиране, търсене, показване, изпращане на съобщения, предаване на плащания към платежния доставчик на Абоната, подаване на данни към НЗИС, генериране на документи, анализи и функции с изкуствен интелект — доколкото Абонатът ползва съответния модул — с цел предоставяне на платформата FashionPoint на Абоната.

Чл. 3. Срок. Този договор действа за срока на договора за абонамент и до връщането или изтриването на данните по чл. 11.

Чл. 4. Категории субекти и данни. (1) Субекти на данни: клиенти и пациенти на Абоната (включително непълнолетни, когато Абонатът ги обслужва); служители и специалисти; контактни лица; посетители на сайтовете и страниците за записване на Абоната.

(2) Категории данни: идентификационни и контактни данни (имена, телефон, имейл, адрес, ЕГН — когато Абонатът го въвежда, например за НЗИС); записвания и посещения; финансови данни (плащания, баланси, пакети, отстъпки — без пълни данни на банкови карти); съобщения и предпочитания за известия; снимки и документи; подписани документи и информирани съгласия; технически данни (IP адрес, устройство, идентификатор за пуш известия).

(3) Специални категории — данни за здравето (здравни досиета, зони на тялото, амбулаторни листове, снимки „преди“ и „след“, данни към НЗИС), когато Абонатът ги въвежда. Абонатът отговаря за основанието по чл. 9 от GDPR; FashionPoint прилага мерките по Приложение Б.

Чл. 5. Задължения на FashionPoint. FashionPoint:

обработва данните само по документираните указания на Абоната, включително по отношение на предаването към трети държави, освен ако законът не изисква друго — тогава уведомява Абоната предварително, ако законът позволява;
незабавно уведомява Абоната, ако според него дадено указание нарушава GDPR;
гарантира, че лицата с достъп до данните са поели задължение за поверителност;
прилага мерките по чл. 32 от GDPR, описани в Приложение Б;
не предоставя данните на трети лица без писмено искане на Абоната, освен на подобработващите по чл. 7 и когато законът го задължава;
помага на Абоната да отговаря на исканията на субектите на данни (достъп, коригиране, изтриване, преносимост и други) и му препраща получените директно искания, без да им отговаря по същество;
помага на Абоната при сигурността, уведомяването за нарушения, оценките на въздействието и предварителните консултации (чл. 32–36 от GDPR);
предоставя информацията, нужна за доказване на спазването на чл. 28 от GDPR, и допуска проверки по чл. 10.

Чл. 6. Данни, които FashionPoint ползва за свои цели. (1) Като самостоятелен администратор FashionPoint ползва само:

технически логове и данни за сигурност (предотвратяване на злоупотреби, защита от ботове, следене на грешки);
обобщени и анонимизирани статистики за работата на платформата;
данни на представителите на Абоната, нужни за договора и фактурирането.

FashionPoint не ползва данните на клиентите на Абоната за собствен маркетинг и не ги показва на други абонати.

(2) Когато един човек е клиент на няколко абоната, системата може да ползва един технически запис за вход (с имейл или телефон), към който са свързани отделните клиентски профили при всеки абонат, за да няма дубликати. Данните при всеки абонат остават отделни и не се показват на друг абонат (освен между локациите на същия Абонат по чл. 12).

Чл. 7. Подобработващи. (1) Абонатът дава общо разрешение FashionPoint да ползва подобработващите, посочени в Приложение А.

(2) За добавяне или смяна на подобработващ FashionPoint уведомява Абоната предварително, в разумен срок преди промяната. Абонатът може да възрази с мотиви; ако не се постигне решение, Абонатът може да прекрати договора за абонамент без неустойка.

(3) FashionPoint налага на подобработващите същите задължения за защита на данните и отговаря пред Абоната за тяхното изпълнение.

Чл. 8. Предаване извън Европейското икономическо пространство. Когато подобработващ обработва данни извън ЕИП (например в САЩ), предаването се основава на решение на Европейската комисия за адекватност (включително Рамката за защита на данните между ЕС и САЩ за сертифицираните дружества) или на стандартни договорни клаузи.

Чл. 9. Нарушения на сигурността. FashionPoint уведомява Абоната без неоправдано забавяне след като узнае за нарушение на сигурността на неговите данни, с информацията по чл. 33, пар. 3 от GDPR, доколкото я има. Уведомяването на Комисията за защита на личните данни и на засегнатите лица е задължение на Абоната; FashionPoint му съдейства.

Чл. 10. Проверки. FashionPoint предоставя при поискване описание на прилаганите мерки. Абонатът може да извърши проверка веднъж годишно (или след нарушение) с разумно предизвестие, за своя сметка и без да застрашава данните на други абонати.

Чл. 11. Край на обработването. (1) При прекратяване на договора за абонамент, по писмено искане на Абоната, направено до 30 дни след прекратяването, FashionPoint му предоставя всички данни в общоприет машинночетим формат или ги прехвърля към посочен от него нов доставчик.

(2) След този срок (или по-рано, по писмено указание на Абоната) FashionPoint изтрива данните и копията им от работните системи в срок от 30 дни, а от резервните копия — при естествения цикъл на подмяната им, и потвърждава изтриването писмено при поискване.

(3) Данни се запазват само доколкото закон задължава FashionPoint да ги пази. Задълженията за съхранение на медицинска документация, фискални и счетоводни документи са на Абоната като администратор — FashionPoint ги връща или изтрива по негово указание.

(4) Същите правила се съдържат в Общите условия за бизнес клиенти, чл. 13.

Чл. 12. Обединяване на данни между локациите на Абоната. (1) Функциите, които обединяват данни между собствените локации или обекти на Абоната — обща клиентска база за персонала, общ клиентски портал или приложение за клиентите на бранда, — се включват и ползват по указание на Абоната.

(2) Абонатът като администратор отговаря за правното основание за това обединяване и за информирането на клиентите си.

(3) FashionPoint обработва данните само в рамките на данните на съответния Абонат или бранд и никога не обединява и не показва данни между несвързани абонати.

(4) Абонатът отговаря за точността на данните, които въвежда или внася, и за начина, по който регистрира клиентите си, включително за отделни данни за контакт за всеки човек (чл. 5, пар. 1, буква „г“ от GDPR). Платформата разпознава клиентите по тези данни.

Чл. 13. Отговорност. Отговорността на страните се урежда по чл. 82 от GDPR, договора за абонамент и Общите условия за бизнес клиенти.

Чл. 14. Предимство. По въпросите на личните данни този договор има предимство пред Общите условия за бизнес клиенти и пред уговорките за данни в договора за абонамент и приложенията му.

Чл. 15. Контакт. Въпроси и искания по този договор се изпращат на office@fashionpoint.bg.

Приложение А — Подобработващи

Подобработващи на FashionPoint

Подобработващ	За какво	Местоположение на обработването
Hetzner Online GmbH	Сървъри на платформата (приложение и база данни)	Германия
Amazon Web Services (Amazon S3)	Съхранение на файлове, снимки и документи	Според настройката на услугата; при предаване извън ЕИП — гаранциите по чл. 8
Amazon Web Services (Amazon SES)	Изпращане на имейли	Европейски съюз
Мобика	Изпращане на SMS съобщения	България
BulkGate	Изпращане на Viber съобщения	Европейски съюз (Чехия)
Expo (650 Industries, Inc.)	Пуш известия към мобилните приложения	САЩ
Pusher	Известия в реално време в календара и пуш известия	Според настройката на услугата; при предаване извън ЕИП — гаранциите по чл. 8
Functional Software, Inc. (Sentry)	Следене на технически грешки	САЩ
Cloudflare, Inc. (Turnstile)	Защита от ботове	САЩ и глобална мрежа
Google (reCAPTCHA)	Защита от ботове при записване	САЩ и глобална мрежа
Vercel Inc.	Хостинг на уебсайтове (корпоративният сайт и сайтове на обекти)	Европейски съюз (Франкфурт); дружеството е в САЩ
OpenAI, Anthropic, Google (Gemini)	Езикови модели за функциите с изкуствен интелект	САЩ
Google	Вход с Google и интеграции с услуги на Google	САЩ и Европейски съюз
Meta Platforms (Facebook)	Вход с Facebook и интеграции с Facebook	САЩ и Европейски съюз
Apple	Вход с Apple	САЩ и Европейски съюз

Получатели, които не са подобработващи на FashionPoint

Платежни доставчици (например Stripe, myPOS, SelfiPay) — Абонатът има собствен договор с тях и плащанията постъпват директно при него.
SuperDoc — канал за записване, който Абонатът включва; записванията от SuperDoc се синхронизират в системата на Абоната.
Инструменти за измерване и реклама на Абоната (Meta Conversions API, Google и TikTok тагове) — работят само ако Абонатът ги включи със свой ключ; за тях отговаря Абонатът.
Телефонни централи и други външни системи на Абоната — свързват се по указание на Абоната.
НЗИС (Министерството на здравеопазването) — получател по закон.

Приложение Б — Технически и организационни мерки

Криптирана връзка (HTTPS/TLS) за целия трафик.
Разделяне на данните по абонати: всеки абонат достъпва само своите записи; между локациите на един Абонат — само по чл. 12.
Роли и права на потребителите; вход с парола или еднократни кодове; ограничаване на опитите за вход и регистрация; защита от ботове.
Криптиране на чувствителните ключове за интеграции в базата данни.
Журнал на промените (кой, кога и какво е променил) по основните записи.
Резервни копия на данните.
Достъп на служителите на FashionPoint до данните само доколкото е нужен за работата им.
Задължение за поверителност на служителите и подизпълнителите.
Реагиране при инциденти и уведомяване на Абоната по чл. 9.