Споразумение за обработване на лични данни

В сила от: 11 ноември 2026 г. · English

1. Страни и обхват

1.1. Това Споразумение за обработване на лични данни („Споразумението“) е между бизнес клиента, приел Общите условия на ShipItFam („вие“, администраторът), и АВЕНАРА ЕООД, ЕИК 208277161, местност „Кукленски път“ № 35 В, 4107 с. Брестник, България („ние“, обработващият). То е част от Общите условия и се прилага, докато обработваме лични данни за вас.

1.2. То отговаря на член 28 от Общия регламент относно защитата на данните (ОРЗД). При противоречие между това Споразумение и Общите условия по въпроси за лични данни предимство има Споразумението.

1.3. То обхваща личните данни в проектите ви, които обработваме за вас. Не обхваща данните, за които ние сме администратор (вашия профил, плащанията, поддръжката и сигурността на Услугата); за тях се прилага Политиката за поверителност.

2. Обработването

3. Вашите указания

3.1. Обработваме личните данни само по ваши документирани указания. Указания са Общите условия, това Споразумение и начинът, по който използвате и настройвате Услугата (например одобряване на план, одобряване на Ship it или свързване на приложение). Не ги обработваме за собствени цели и не ги използваме за обучение на модели с ИИ.

3.2. Ако правото на ЕС или на държава членка ни задължава да ги обработваме по друг начин, ви уведомяваме предварително, освен ако това право не го забранява. Уведомяваме ви незабавно, ако смятаме, че указание нарушава законодателството за защита на данните.

3.3. Вие отговаряте за наличието на правно основание за личните данни, които въвеждате в Услугата, и за информирането на засегнатите лица.

4. Поверителност и сигурност

4.1. Всички в АВЕНАРА ЕООД, които имат достъп до личните данни, са задължени да спазват поверителност.

4.2. Прилагаме техническите и организационните мерки от Приложение 1 и можем да ги подобряваме, но никога не намаляваме общото им ниво на защита.

5. Подизпълнители

5.1. Давате ни общо разрешение да използваме подизпълнителите от Приложение 2. Налагаме на всеки от тях задължения за защита на данните, поне толкова строги, колкото това Споразумение, и отговаряме за тях.

5.2. Уведомяваме ви поне 30 дни, преди да добавим или заменим подизпълнител, по имейл или в приложението. В този срок можете да възразите по основателни съображения за защита на данните. Ако не успеем да решим въпроса, можете да прекратите засегнатия план преди промяната и ви възстановяваме неизползваната част от платеното.

5.3. Не са наши подизпълнители. Услугите, които избирате и в които влизате със собствен профил, действат по собственото ви споразумение с тях: Anthropic (Claude, чрез собствения ви вход в Claude), OpenAI (ChatGPT, ако го свържете), вашият git хостинг и приложенията, които свързвате чрез интеграции. Изпращаме им данни само по ваше указание.

6. Съдействие

6.1. Доколкото разумно можем, ви съдействаме да отговаряте на искания на лица, упражняващи правата си по ОРЗД, както и по отношение на сигурността, уведомяването за нарушения, оценките на въздействието и предварителните консултации (членове 32 до 36 от ОРЗД). Ако някой се обърне директно към нас, препращаме искането към вас и не отговаряме сами, освен ако не ни кажете.

7. Нарушения на сигурността на личните данни

7.1. Уведомяваме ви без неоправдано забавяне и във всички случаи в срок от 48 часа, след като узнаем за нарушение на сигурността, засягащо вашите данни. Съобщаваме ви каквото знаем: какво се е случило, данните и лицата, които вероятно са засегнати, вероятните последици и какво предприемаме, и допълваме информацията, когато научим повече.

8. Предаване извън ЕИП

8.1. Хостваме проектите ви в Европейския съюз. Предаваме лични данни извън ЕИП само както е посочено в Приложение 2 и само с гаранция по глава V от ОРЗД: решение за адекватност (включително Рамката за защита на личните данни между ЕС и САЩ за сертифицираните доставчици в САЩ) или стандартните договорни клаузи на Европейската комисия.

9. Връщане и изтриване

9.1. Кодът ви е във вашето собствено git хранилище. По всяко време, както и при прекратяване на Общите условия, можете да изнесете останалите си данни, както е описано в раздел 10.3 от Общите условия.

9.2. Когато Общите условия бъдат прекратени и срокът за износ изтече, или когато изтриете проект, изтриваме личните данни, които пазим за вас, в срок от 30 дни, освен ако правото на ЕС или на държава членка не ни задължава да ги запазим. Копията в резервните копия се презаписват в срок от 30 дни след това.

10. Одити

10.1. Предоставяме ви информацията, която разумно ви е необходима, за да докажете спазването на член 28. Можете да ни одитирате сами или чрез независим одитор, обвързан с поверителност, веднъж годишно или след нарушение, с 30-дневно предизвестие, в работно време и без да нарушавате Услугата. Всяка страна поема собствените си разходи. Когато писмен отговор или обобщен доклад разумно отговаря на въпроса ви, първо предоставяме него.

11. Отговорност и срок

11.1. Ограниченията на отговорността в Общите условия се прилагат и за това Споразумение, освен когато ОРЗД не ги допуска.

11.2. Това Споразумение се прекратява, когато вече не обработваме лични данни за вас. Раздели 9 и 10 се прилагат до приключване на изтриването.

11.3. Това Споразумение се урежда от българското право, а споровете се решават от съдилищата по раздел 14.3 от Общите условия.

Приложение 1: Технически и организационни мерки

• Изолация. При Builder и Fleet екипът работи в изолиран контейнер за всеки проект. Всяка задача работи върху собствено копие на проекта. Командите се изпълняват в защитена среда, която съдържа само това копие.
• Минимален достъп за ИИ. ИИ чете само проекта, върху който работи. Файловете с пароли и ключове са недостъпни. Рисковите действия (окончателно изтриване, администраторски права, изпращане на код, публикуване, свързване с други машини) спират и питат човек.
• Тайни. Ключовете за достъп до git и входът в Claude се пазят извън базата данни, във файлове, които може да чете само услугата, която се нуждае от тях; никога не се подават на командите на ИИ, не се показват обратно в приложението и не се записват в логове. Ключовете за интеграциите се криптират от собствената ни услуга за свързване (Nango).
• Контрол на достъпа. Вход чрез Supabase; роли за всеки проект; само ръководител на проект може да свърже вход в Claude или да публикува в продукция. Ключовете на свързаните приложения се пазят само като хешове и изтичат след 24 часа.
• Криптиране при пренос. Всички връзки с Услугата използват TLS.
• Одобрение от човек. Никакъв код не отива във вашето хранилище и нищо не се публикува без одобрение от човек.
• Проверка за сигурност. Всяка стъпка от създаването се проверява за изтекли тайни, известни уязвимости в добавени библиотеки и чести слабости. За целта сървърите ни напускат само имената и версиите на пакетите.
• Хостинг. Центрове за данни на Hetzner в Германия и Финландия, сертифицирани по ISO/IEC 27001; основна база данни при Supabase в ЕС (Ирландия). Сървърите комуникират помежду си през частна криптирана мрежа.
• Резервни копия и устойчивост. Ежедневни управлявани резервни копия на базата данни; кодът ви е и във вашето собствено хранилище.
• Хора. Достъпът до продукционната среда е ограничен до хората, които поддържат Услугата и са обвързани с поверителност.
• Инциденти. Записваме събитията на сървърите, за да откриваме злоупотреби и грешки, и при нарушения прилагаме раздел 7.

Приложение 2: Подизпълнители