По смисъла на чл. 28 от Регламент (ЕС) 2016/679 (GDPR). Последна актуализация: 29.05.2026
1. Страни
Това Споразумение за обработка на данни („Споразумението") се сключва между:
- Администратор — счетоводната кантора (Клиентът), която използва FleetQ Accounting и определя целите и средствата на обработването на личните данни на своите клиенти.
- Обработващ — Прайс Екс ЕООД, България, гр. Пловдив (4000), р-н Централен, ул. „Петьофи" 1, оператор на FleetQ Accounting („Услугата"), който обработва лични данни от името на Администратора.
Споразумението се сключва автоматично при регистрация и приемане на Общите условия и е неразделна част от тях.
2. Предмет, срок, естество и цел
- Предмет: обработване на лични данни чрез Услугата за счетоводни, ТРЗ и данъчни цели.
- Срок: за времето на действие на договора за Услугата, плюс приложимите законови срокове за съхранение.
- Естество и цел: съхранение, организиране, изчисляване, генериране на отчети/декларации, OCR разпознаване и AI класификация на документи — единствено по документирани указания на Администратора.
3. Категории субекти и данни
- Субекти на данни: служители, управители/собственици и контрагенти на клиентите на Администратора.
- Категории данни: имена и данни за контакт, ЕГН, IBAN (съхранявани криптирани), данни за заплати и осигуровки, фактури, банкови извлечения и счетоводни документи.
4. Задължения на Обработващия (чл. 28(3))
- Обработва личните данни само по документирани указания на Администратора, включително при трансфер към трета държава, освен ако право на ЕС/държава членка не изисква друго.
- Осигурява, че лицата с достъп до данните са поели задължение за поверителност.
- Прилага подходящи технически и организационни мерки по чл. 32 (виж раздел 7).
- Спазва условията за ангажиране на подизпълнители (раздел 5).
- Подпомага Администратора при отговор на искания на субекти на данни (чл. 15–22) чрез функциите за достъп, износ и изтриване в Услугата.
- Подпомага Администратора при спазване на чл. 32–36 (сигурност, уведомяване за нарушения, оценки на въздействието).
- По избор на Администратора изтрива или връща всички лични данни след края на предоставянето на услугите, освен когато законът изисква съхранение.
- Предоставя цялата информация, необходима за доказване на спазването, и допуска одити.
5. Подизпълнители (под-обработващи)
Администраторът дава общо разрешение за ползване на следните под-обработващи. Обработващият уведомява за планирани промени и дава възможност за възражение.
| Под-обработващ | Цел | Местоположение / гаранции |
|---|
| FleetQ (Прайс Екс ЕООД) | AI обработване, workflows, агенти | ЕС |
| Amazon Web Services | Хостинг и съхранение | eu-central-1 (Франкфурт) — DPA |
| Google LLC | Calendar / Drive интеграция | САЩ — DPA + SCCs |
| Stripe | Обработване на плащания | САЩ — PCI DSS L1, DPA + SCCs |
НАП е получател по силата на законово задължение, а не под-обработващ.
6. Международни трансфери
Личните данни се съхраняват и обработват в ЕС (Франкфурт). При трансфер към под-обработващи извън ЕИП (Google, Stripe) се прилага Рамката за защита на личните данни ЕС–САЩ (EU-US Data Privacy Framework), когато получателят е сертифициран, като Стандартните договорни клаузи (SCCs) на Европейската комисия се поддържат като резервна гаранция.
7. Технически и организационни мерки (чл. 32)
- Криптиране на специални категории данни (ЕГН, IBAN) в базата данни
- TLS 1.2+ за всички връзки; HSTS
- Сесийни бисквитки с HttpOnly, Secure и SameSite; криптирани сесии в продукция
- Security headers (X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy)
- CSRF защита; ограничаване на опитите за вход
- Ролеви модел за достъп и изолация на данните по кантора (tenant)
- Одит лог на всички чувствителни операции
- Автоматично заличаване след изтичане на сроковете за съхранение
8. Нарушения на сигурността
Обработващият уведомява Администратора без неоснователно забавяне след узнаване за нарушение на сигурността на личните данни и предоставя информацията, необходима на Администратора за изпълнение на задълженията му по чл. 33–34 GDPR.
9. Срокове за съхранение
Сроковете за съхранение следват Политиката за поверителност: счетоводни документи 10 г., ТРЗ данни 50 г., одит логове 5 г., сесии 90 дни, данни за фактуриране 7 г. След изтичането им или при прекратяване данните се заличават или връщат по избор на Администратора.