Обработка на данни (ДПА)

Защо тази страница съществува

Когато автоматизираме процес — поръчки, фактури, отчети — през системите минават лични данни на вашите клиенти: имена, адреси, телефони. По GDPR вие сте администратор на тези данни, а Rabotivo.bg (седалище: София, България; контакт: hello@rabotivo.bg) е обработващ. Това не е формалност, а разпределение на отговорност, и предпочитаме да го кажем публично, преди да сте ни се обадили.

Правилото ни е просто: не пипаме данни без подписано споразумение за обработка (ДПА). Ето какво съдържа то — без изненади в последния момент.

1. Кога изобщо обработваме лични данни

По-рядко, отколкото се предполага. Товарителница се прави с обикновена интеграция — данните минават машинно между вашия магазин и куриера, без да се съхраняват при нас. Обработваме лични данни само доколкото конкретният процес го изисква, само по ваши документирани инструкции и никога за собствени цели.

2. Какво гарантира стандартното ни ДПА

• Предмет, срок, естество и цел на обработката — описани конкретно за вашия проект, не с общи фрази.
• Само по ваши инструкции. Не използваме данните на клиентите ви за нищо друго — включително за обучение на модели.
• Поверителност. Всички лица с достъп са обвързани със задължение за поверителност.
• Сигурност (чл. 32 GDPR): криптиране при пренос; контрол и минимизиране на достъпа; журнал на операциите; идемпотентност (една операция не може да се изпълни два пъти — затова няма двойни фактури); петдневен наблюдаван режим преди пускане; документиран план Б за ръчна работа.
• Подизпълнители: списъкът на под-обработващите (хостинг, езикови модели, разчитане на документи) е част от ДПА-то; нов под-обработващ се добавя само с предварително уведомление и възможност за възражение.
• AI и езикови модели: работим само с бизнес условия, при които данните ви не се използват за обучение; през модела минава минимумът полета, необходим за задачата; при възможност — обработка в ЕС. Ако системата не е сигурна, пита човек — не гадае.
• Съдействие: помагаме ви да отговаряте на искания по правата на субектите (достъп, изтриване и т.н.) и при уведомяване на КЗЛД.
• Нарушение на сигурността: уведомяваме ви без ненужно забавяне, така че да можете да спазите своя 72-часов срок по чл. 33 GDPR.
• Край на договора: връщаме или изтриваме данните по ваш избор; логиката на процесите е ваша и е депозирана (escrow).
• Одит: имате право на проверка на спазването — с разумно предизвестие.
• Трансфери извън ЕИП: само със законен механизъм (SCCs / EU-U.S. Data Privacy Framework) и посочени в ДПА-то.

3. Кой носи отговорност

Отговорността ни като обработващ е уредена в основния договор, включително договорна горна граница. Не прехвърляме своята отговорност върху вас — и не поемаме вашата като администратор: кои данни да се обработват и защо решавате вие, как да минат сигурно през системите — ние.

4. Искате пълния текст?

Пишете на hello@rabotivo.bg и ще ви изпратим пълния подписваем ДПА предварително — преди какъвто и да е ангажимент. Четенето преди подписване е точно навикът, който искаме да имат клиентите ни.