Споразумение за обработване на данни (DPA)

Тези образци следват ОРЗД в общи линии. Те не претендират да удовлетворяват националното право на всяка държава. За читателите на български пример за надзорен орган е Комисията за защита на личните данни (КЗЛД); компетентността все пак следва основното място на установяване на администратора (член 56 от ОРЗД). Компетентността все пак следва основното място на установяване на администратора (член 56 от ОРЗД).

Между клиента на услугата, като администратор (Администраторът),

и Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (Обработващият).

Това споразумение се прилага, когато Обработващият обработва лични данни от името на Администратора за услугата на https://exemple-saas.example. То не покрива обработване, за което доставчикът самият е администратор.

1. Предмет, естество, срок

Обработващият хоства, съхранява и показва данните, нужни за предоставяне на услугата, и създава файловете, които продуктът създава. Срок: договорът, после заличаване или връщане, както в член 8, освен ако закон, който се прилага към Обработващия, изисква по-дълъг архив.

2. Документирани инструкции

Обработващият действа само по документираните инструкции на Администратора, включително това споразумение, освен ако правото на Съюза или на държава членка изисква друго. В такъв случай Обработващият информира Администратора преди обработването, освен ако законът забранява информацията.

3. Поверителност

Лицата, упълномощени да обработват данните, са обвързани със задължение за поверителност.

4. Сигурност

Доставчикът прилага технически и организационни мерки, които са подходящи по член 32 от ОРЗД (контрол на достъпа, HTTPS, минимизиране, професионални доставчици), без да обещава, че остатъчният риск е изчезнал. Не е отметнато квадратче за ISO 27001 или SOC 2: нито една сертификация не се твърди.

5. Подизпълнители

Администраторът разрешава подизпълнителите в Приложение 3. Обработващият информира Администратора, преди да добави или замени такъв. Администраторът може да възрази в срок от 30 дни. Ако възражението не бъде разрешено, Администраторът може да спре засегнатото обработване.

6. Съдействие

Обработващият съдейства на Администратора, доколкото е възможно, със заявки на субекти на данни, сигурност, уведомления за нарушение и оценки на въздействието, като се взема предвид естеството на обработването.

7. Нарушение

Обработващият уведомява Администратора за нарушение на лични данни без неоправдано забавяне, след като узнае за него. Образецът не измисля фиксиран брой часове.

8. Заличаване и връщане

В края на услугата Обработващият заличава или връща данните, по избор на Администратора, и заличава останалите копия, освен ако законът изисква съхранение.

9. Одити

Администраторът може да одитира, включително чрез упълномощен проверяващ, обвързан с поверителност, с разумно предизвестие, не по-често от веднъж годишно, освен ако има нарушение или искане от орган. Обработващият може да откаже проверяващ, който е конкурент.

10. Предавания

Предаванията извън ЕС/ЕИП използват механизъм от глава V на ОРЗД. Приложение 3 повтаря това, което доставчикът публикува. То не добавя механизъм, който картата отбелязва като не е съобщено.

11. Отговорност

Член 82 от ОРЗД се прилага спрямо субектите на данни. Договорът не прехвърля собствената глоба на едната страна върху другата. Не се добавя национално обезщетение в твърд размер.

Приложение 1 — Описание

• Предмет: услугата на https://exemple-saas.example.
• Операции: хостинг, удостоверяване, където се използва, съхранение, създаване на файлове, поддръжка, дневници.
• Лица: потребителите на Администратора и персоналът на Администратора. За категории отвъд това този образец посочва не е съобщено.

Приложение 2 — Сигурност

Доставчикът прилага технически и организационни мерки, които са подходящи по член 32 от ОРЗД (контрол на достъпа, HTTPS, минимизиране, професионални доставчици), без да обещава, че остатъчният риск е изчезнал. Не е отметнато квадратче за ISO 27001 или SOC 2: нито една сертификация не се твърди.

Приложение 3 — Разрешени подизпълнители

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Ирландия (групата Stripe, Inc., Съединени щати) — Плащане и фактуриране. Данни за плащане, идентификатори на трансакции, имейл за фактуриране. Доставчикът не съхранява пълните номера на карти. Stripe Payments Europe действа като администратор или обработващ според потока; вътрешногруповите предавания са покрити от стандартни договорни клаузи.

1. Resend, Inc. (Resend) — Съединени щати — Трансакционен имейл. Имейл адреси на получатели, тема и текст на съобщенията, дневници за изпращане. Предаване извън ЕС, покрито от стандартни договорни клаузи.

1. Plausible Insights OÜ (Plausible) — Естония — Измерване на аудиторията без бисквитки. Обобщени прегледи на страници, приблизителна държава, агент на потребителя, препращащ източник. Няма рекламна бисквитка. Обработване в ЕС (Естония). Проверете хостинга, избран във Вашия профил.

Бележка. Този файл е образец, създаден от StackLégal от информацията, която въведохте. Той не е правен съвет и не е удостоверение за съответствие. Прегледайте го, приспособете го към действителната Ви дейност и, ако залогът е висок (здраве, финанси, деца, чувствителни данни, корпоративни клиенти), нека адвокат го прочете.

Образец, датиран 6 октомври 2026 г. Само структура: Регламент (ЕС) 2016/679, по-специално членове 12 до 14, 28, 32 и 82; Директива 2011/83/ЕС за отказването, когато участва потребител; Регламент (ЕС) 2022/2065 (DSA), ако потребителите публикуват съдържание. Нито един национален закон не е цитиран така, сякаш се прилага навсякъде.

Образец, попълнен за: Atelier Exemple — https://exemple-saas.example