Споразумение за обработване на данни

Това споразумение е между бизнеса, който ползва Услугата („Администраторът“, „вие“) и Прайс Екс ЕООД, ЕИК 206487271, гр. Пловдив 4000, р-н Централен, ул. Петьофи 1 („Обработващият“, „Операторът“). То е част от Общите условия и влиза в сила с регистрацията и добавянето на бизнес в Услугата.

Операторът обработва лични данни от името на Администратора, доколкото е нужно за Услугата: приемане на заявки на AI агенти, предаването им на Администратора и съхраняването им в журнал.

• Лица: клиентите на Администратора, за които AI агент изпраща заявка, и членовете на екипа на Администратора.
• Данни: име, телефон или друг контакт, имейл, адрес за доставка, бележки, детайли на заявката (дата, час, брой гости, продукти), и данни в журнала на заявката.
• Не е предвидено обработване на специални категории данни. Агентите и Администраторите не трябва да ги изпращат (виж Политиката за приемлива употреба). Бележките в заявка могат да съдържат такива данни, например за алергии. Администраторът преценява и отговаря за това.

• Обработва данните само по документирани указания на Администратора. Услугата, настройките и Общите условия са такива указания.
• Гарантира, че хората с достъп до данните са обвързани със задължение за поверителност.
• Прилага мерките за сигурност по-долу.
• Ползва подизпълнители само при условията по-долу.
• Съдейства на Администратора при искания на субекти на данни (достъп, поправяне, изтриване и други) и при оценки на въздействието, доколкото е разумно.
• Уведомява Администратора без неоправдано забавяне, след като установи нарушение на сигурността на личните данни.
• Предоставя информация, нужна, за да се докаже спазването на чл. 28 от GDPR, и допуска проверки при разумно предизвестие.
• Уведомява Администратора, ако смята, че указание нарушава законодателството за защита на данните.

Администраторът дава общо разрешение за подизпълнителите от списъка. Операторът ще уведомява за съществена промяна в списъка и Администраторът може да възрази.

• Шифрована връзка (TLS) за достъпа до Услугата.
• Пароли, пазени само като хеш. Потвърждаване на имейл. Ограничаване на опитите за вход.
• Контрол на достъпа: данните на бизнес са достъпни само за неговите членове по роли (собственик, служител). Отделна административна роля за Оператора, която има достъп до данните на бизнеса, включително съдържанието на заявките, за поддръжка и сигурност. Всяко действие на администратор се записва, а контактните данни (телефон, имейл) са маскирани в административните екрани.
• Верига от записи за всяка заявка, при която всеки запис носи хеш на предишния, така че подмяната на стар запис се вижда.
• Личен линк със случаен ключ за телефонната страница, който може да се смени.
• Ограничаване на честотата на заявките към MCP и към входа, проверка на произхода на браузърни заявки, защита срещу достъп до вътрешни мрежи при изходящи заявки.
• Телефонът и контактите на клиента не се връщат на агентите. Името, адресът и бележките от собствената им заявка се връщат.

Данни извън ЕИП се предават само към Anthropic (текст от публични страници) и към TypeSafe AI, Inc. (публичен профил на бизнеса и текст на търсения от AI агенти), въз основа на стандартни договорни клаузи или друго основание по глава V от GDPR. Лични данни от заявки на клиенти (имена, телефони, адреси) не се предават извън ЕИП от Оператора.

Докато Администраторът ползва Услугата, Операторът прилага следните срокове: личните данни на клиентите в заявките (име, телефон, адрес, бележки) се анонимизират 12 месеца след датата на заявката, а анонимизираният запис в журнала остава. Журналът на извикванията на агенти (включително аргументите) се пази 90 дни.

Когато Администраторът изтрие бизнес, Операторът го премахва окончателно 30 дни по-късно. До тогава администратор на Оператора може да го възстанови. При прекратяване на Услугата или по искане на Администратора Операторът изтрива данните му или му ги връща. Копия се пазят само ако закон изисква това.

Отговорността между страните следва Общите условия и чл. 82 от GDPR. Контакт: [email protected].