Последна редакция: 29 декември 2025 г.

Споразумение за обработка на данни PhotoRobot (DPA)

Този документ представлява Споразумението за обработка на данни PhotoRobot: Версия 1.0 — PhotoRobot Edition, uni-Robot Ltd., Чехия.

‍

1. Партии

Това споразумение за обработка на данни ("DPA") се сключва между:

Контролер (Клиент)
Физическото или юридическото лице, което е влязло в Условията за ползване на PhotoRobot и използва услугата.

Процесор:
uni-Robot Ltd.
Водичкова 710/31
110 00 Прага 1
Чешка република
Идентификация на компанията: 01478061
ДДС: CZ01478061
Имейл: legal@photorobot.com

По-нататък колективно наричани "Страни".

Този DPA допълва Общите условия за ползване на PhotoRobot и се прилага, когато PhotoRobot обработва лични данни от името на клиента.

‍

2. Предмет и характер на обработката

PhotoRobot ("Процесор") предоставя облачни услуги, локални софтуерни разширения, управление на фърмуера и хостинг инфраструктура, необходими за обработка на изображения, метаданни и свързано дигитално съдържание, качено от Клиента ("Контролер").

Обработката включва:

Колекция
Съхранение
Предаване
Извличане на метаданни
синхронизация между CL ↔ Cloud
Хостване на съдържание, качено от клиенти
създаване на логове и диагностика
Резервни операции

Обработката се извършва строго от името на Контролера, според неговите документирани инструкции.

‍

3. Продължителност

Този DPA остава в сила за продължителността на договорните отношения между страните и след това, докато Обработващият съхранява или обработва лични данни от името на Контролера.

‍

4. Лични данни и категории на субекти на данни

4.1. Видове лични данни

В зависимост от начина на използване на услугата, обработените данни могат да включват:

Идентификационни данни (име, фамилия, компания)
Данни за контакт (имейл, телефон)
Визуално съдържание (изображения, видеа)
Метаданни, свързани с качено съдържание
лог данни, IP адреси, технически идентификатори
Данни на ниво проект
Идентификационни данни (хеширани), токени за достъп

Процесорът не изисква и не обработва умишлено специални категории данни (чл. 9 от GDPR).

‍

4.2. Категории на субекти на данни

Служители на клиента
Клиенти или партньори на клиента
Упълномощени потребители
Всички лица, представени във визуално съдържание, качено от Клиент

Клиентът носи единствената отговорност за осигуряване на законно събиране на данни от субектите на данните.

‍

5. Инструкции от контролера

Процесорът обработва само лични данни:

според документираните инструкции на Контролера,
както е необходимо за предоставяне на услугата,
да се гарантира сигурност, целостта и наличността на системите,
както изисква законодателството на ЕС или Чехия.

Ако Процесорът счита дадена инструкция за незаконна, Процесорът трябва да уведоми Контролера.

‍

6. Конфиденциалност

Процесорът гарантира, че всички лица, упълномощени да обработват лични данни:

са обект на задължения за поверителност,
са получили подходящо обучение,
обработва данните единствено по инструкции от Контролера.

‍

7. Подпроцесори

Процесорът използва определени трети страни ("Подпроцесори") за поддръжка на Услугата.

‍

7.1. Одобрени подпроцесори

Контролерът дава общо разрешение на Процесора да ангажира следните категории подпроцесори:

доставчици на облачна инфраструктура (например Google Cloud Platform)
Доставчици на доставка на имейли
Доставчици на аналитични услуги
Системи за билети
Услуги за мониторинг на сигурността
Системи за резервно копие и възстановяване след бедствия

Пълен списък се поддържа в списъка с подпроцесори на PhotoRobot и може да бъде актуализиран.

‍

7.2. Уведомление за промени

Процесорът трябва да уведоми Контролера за всякакви планирани промени към подпроцесорите поне 15 дни предварително, което позволява на Контролера да възрази на разумни основания.

‍

8. Международни трансфери на данни

Когато подпроцесорите или инфраструктурата са разположени извън EEA, процесорът гарантира:

прилагане на стандартни договорни клаузи (SCC 2021),
допълнителни технически и организационни гаранции,
минимизира достъпа и криптирането,
Одити на съответствие от основния доставчик.

Google Cloud Platform предоставя:

ISO 27001, ISO 27017, ISO 27018
Доклади на SOC 1/2/3
Документация за съответствие с GDPR

Подробности са достъпни на https://cloud.google.com/security.

‍

9. Мерки за сигурност

Обработващият трябва да прилага индустриални стандартни технически и организационни мерки (TOM), включително:

‍

9.1. Технически мерки

TLS криптиране на данни в транзит
Сигурно съхранение с криптирани токени за достъп
Изолирани среди за обработка
Хеширане на пароли
Ограничения на скоростта и системи за откриване на прониквания
Многослойна защитна стена
Сигурност на физически център за данни (чрез Google Cloud)

‍

9.2. Организационни мерки

Контрол на достъпа, базиран на роли
Логване и мониторинг на достъп
Вътрешни политики за обработка на данни
Задължения за поверителност на служителите
Периодично обучение по сигурност
Управление на риска от доставчици

Пълен списък с TOMs е наличен при поискване.

‍

10. Права на субектите на данни

Процесорът помага на Контролера да реагира в:

Заявки за достъп
Ректификация
Изтриване
Ограничение
Преносимост на данни
Възражения

Процесорът трябва да препраща всяка пряка заявка от обект на данни към Контролера без ненужно забавяне.

‍

11. Уведомление за пробив на данни

В случай на изтичане на лични данни, Процесорът трябва да уведоми Контролера:

без излишно забавяне,
включително цялата информация, изисквана от член 33 GDPR,
и предоставя текущи актуализации до завършване на отстраняването.

Контролерът остава отговорен за уведомяването на властите и засегнатите лица.

‍

12. Изтриване или връщане на данни

След прекратяване на договора:

Процесорът изтрива клиентските данни след 30 дни,
освен ако не е наредено друго от Контролера,
освен когато задържането е изисквано от закона.

Резервните копия се презаписват през нормалния си жизнен цикъл.

‍

13. Одити

Контролерът има право да:

получаване на документация, доказваща съответствие с GDPR
Поискай доклад за TOMs
Провеждане на разумни одити, ограничени до веднъж годишно
разчитайте на сертификати от трети страни (ISO/SOC доклади на Google Cloud)

Одитите не трябва да застрашават сигурността или да нарушават дейността.

‍

14. Отговорност

Отговорността на страните следва Условията за ползване.
Процесорът носи отговорност само за нарушения, причинени от собственото му нарушение на задълженията по GDPR.

‍

15. Действащо право и юрисдикция

Този DPA се управлява от законите на Чешката република.

Споровете се решават от съдилищата в Прага, Чехия.

‍

16. Стандартни договорни клаузи (SCC)

При необходимост SCC 2021 (Модул 2: Контролер → Процесор) се прилага като приложение към този DPA.

PhotoRobot:

включва SCC чрез препратка,
включва всички задължителни клаузи,
прилага допълнителни технически мерки
осигурява съответствие при прехвърлянията към подпроцесори извън ЕЕЗ.

SCC може да бъде предоставен изцяло при поискване.

‍

17. Контакт

uni-Robot Ltd.
Водичкова 710/31
110 00 Прага 1
Чешка република

Имейл: legal@photorobot.com

‍