Data Processing Agreement (DPA)

Настоящото Споразумение за обработка на лични данни („DPA") се сключва между: Живко Гурманов, ЕИК: 181375169, седалище: [адрес: ____], („PowerBrokers", „Обработващ") и Клиента, който е сключил договор за ползване на платформата PowerBrokers CRM („Клиент", „Администратор").

Това DPA урежда обработката на лични данни от PowerBrokers от името на Клиента, съгласно чл. 28 от GDPR, във връзка с ползването на платформата.

• Предмет: обработка на лични данни на клиентите на агенцията, качени или създадени чрез платформата.
• Срок: за срока на договора за абонамент + 30 дни grace period.
• Естество: съхранение, обработка, показване, анализ, изпращане на съобщения, AI обработка.
• Цел: предоставяне на CRM услугата на Клиента.

Категории субекти на данни:

• Клиенти и потенциални клиенти на агенцията (купувачи, продавачи, наемодатели, наематели);
• Брокери и служители на агенцията;
• Контакти на трети страни, въведени от агенцията.

Категории лични данни:

• Идентификационни данни: име, имейл, телефон;
• Данни за имоти, свързани със субекта;
• Данни за сделки: цени, дати, комисиони;
• Комуникация и бележки, въведени от брокера;
• Файлове и снимки, качени от Клиента.

PowerBrokers НЕ обработва специални категории данни (чл. 9 GDPR) съзнателно. Клиентът се задължава да не качва такива.

• Обработва данните само по документирани указания на Клиента;
• Осигурява поверителност чрез задължения за конфиденциалност на своите служители;
• Прилага подходящи технически и организационни мерки за сигурност (чл. 32 GDPR);
• Съдейства на Клиента при упражняване на права от субектите на данни;
• Съдейства при DPIA (Data Protection Impact Assessment) и консултации с надзорния орган;
• Уведомява Клиента без ненужно забавяне при пробив в сигурността (в рамките на 72 часа);
• При прекратяване връща или изтрива данните по избор на Клиента.

Клиентът дава общо разрешение на PowerBrokers да ползва sub-processors, съгласно списъка в Политиката за поверителност. При добавяне или замяна на sub-processor ще уведомим Клиента поне 30 дни предварително; Клиентът има право на обосновано възражение.

PowerBrokers сключва писмени споразумения с всеки sub-processor, налагайки задължения за защита на данните, равностойни на тези в настоящото DPA.

Първичното съхранение на данни е в ЕС. За sub-processors извън ЕС (напр. AI доставчици) се прилагат Стандартни договорни клаузи (SCCs) на Европейската комисия или друг валиден механизъм за трансфер.

• Криптиране в пренос (TLS 1.2+) и в покой;
• Row-Level Security за изолация между наематели (multi-tenant);
• Автентикация с bcrypt/scrypt хеширане на пароли; опция за 2FA;
• Регулярни backup-и с 30-дневна ротация;
• Мониторинг, audit logs, ограничен достъп на служителите (least privilege);
• Регулярни ъпдейти на зависимости и сканиране за уязвимости.

При установяване на пробив в сигурността, засягащ лични данни на Клиента, PowerBrokers уведомява Клиента без ненужно забавяне и не по-късно от 72 часа, като предоставя: описание на пробива, категории и приблизителен брой засегнати субекти, вероятни последствия, предприети мерки. Клиентът е отговорен за уведомяване на надзорния орган и субектите съгласно чл. 33-34 GDPR.

PowerBrokers предоставя на Клиента цялата информация, необходима за доказване спазването на задълженията си, и позволява одити (включително инспекции) от Клиента или от одобрен от него одитор, при разумно предизвестие (най-малко 30 дни) и в работно време. Клиентът поема разноските за одита, освен ако не се установи съществено нарушение от PowerBrokers.

При прекратяване на договора PowerBrokers, по избор на Клиента, връща или изтрива всички лични данни на Клиента, освен ако не е налице законово задължение за съхранение. Периодът за експорт е 30 дни от датата на прекратяване. Backup-ите се ротират и изтриват в стандартния 30-дневен цикъл.

Отговорността на страните за нарушения на GDPR се урежда съгласно чл. 82 GDPR. Общата съвкупна отговорност на PowerBrokers по настоящото DPA се урежда съгласно раздел „Ограничение на отговорността" в Общите условия.

Настоящото DPA се урежда от българското право и от GDPR. Споровете се отнасят до компетентните български съдилища.