Обратно към Operalytix Fleet

Договор за обработване на лични данни

Версия 2026-10 · В сила от 26 октомври 2026 г. Съгласно чл. 28 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, „ОРЗД“).

1. Страни и сключване на договора

Настоящият договор се сключва между търговеца, който използва Operalytix Fleet („Клиентът“, в качеството на администратор), и „Еволвс“ ЕООД, с търговско наименование Operalytix, ЕИК 206114078, със седалище и адрес на управление гр. София 1000, район „Средец“, бул. „Цар Освободител“ № 14, ет. 6 („Еволвс“, в качеството на обработващ лични данни).

Договорът е неразделна част от Общите условия и се приема заедно с тях при създаването на профила на фирмата. Той се прилага за всички лични данни, които „Еволвс“ ЕООД обработва от името на Клиента при предоставянето на Услугата („Лични данни на Клиента“). При противоречие с Общите условия по отношение на обработването на лични данни предимство има настоящият договор. Понятията, определени в ОРЗД, имат същото значение в настоящия договор.

2. Разпределение на ролите

  • Клиентът е администратор на Личните данни на Клиента: данните за неговите шофьори, диспечери и собственици, записани в профила на фирмата – смени, почивки, местоположение и скорост по време на смяна, събития по зони, сигнали, проверки на автомобила, снимки, профили на шофьорите, записи за автомобилите и автопарка и одитният журнал. Клиентът определя какво се записва и с каква цел, задава срока на съхранение на точките на местоположение и отговаря за наличието на правно основание, за информирането на служителите си, за приемането на вътрешни правила, когато законът ги изисква, и за отговорите на исканията на субектите на данни.
  • „Еволвс“ ЕООД е самостоятелен администратор на собствените си данни: данните за профилите, необходими за вписването и за договора с Клиента, журналите на заявките към сървъра и данните, използвани за защита на Услугата от злоупотреби. Тези данни са описани в Политиката за поверителност и не се уреждат от настоящия договор.

3. Задължения на „Еволвс“ ЕООД като обработващ лични данни

В съответствие с чл. 28, пар. 3 от ОРЗД „Еволвс“ ЕООД:

  • а) Указания. Обработва Личните данни на Клиента само по документирани указания на Клиента, включително по отношение на предаването им на трета държава. Общите условия, настоящият договор и начинът, по който Клиентът конфигурира и използва Услугата (например зоните, праговете и срока на съхранение), представляват пълните указания на Клиента. Ако правото на Съюза или на държава членка изисква друго обработване, „Еволвс“ ЕООД уведомява предварително Клиента, освен ако това право го забранява. „Еволвс“ ЕООД уведомява Клиента, ако според него дадено указание нарушава законодателството за защита на данните.
  • б) Поверителност. Гарантира, че всички лица, оправомощени да обработват Личните данни на Клиента, са поели задължение за поверителност и имат достъп само доколкото е необходимо за работата им.
  • в) Сигурност. Предприема мерките по чл. 32 от ОРЗД, описани в Приложение II, и ги преразглежда периодично.
  • г) Подизпълнители. Ползва подизпълнители (други обработващи лични данни) само съгласно раздел 4.
  • д) Права на субектите на данни. Подпомага Клиента чрез подходящи технически и организационни мерки при отговора на искания на субектите на данни. Членовете на екипа могат сами да изтрият профилите си в Услугата; собствениците могат да експортират във файл всички данни за даден шофьор (при искания за достъп и преносимост) и да изтрият профила на фирмата. „Еволвс“ ЕООД препраща без ненужно забавяне на Клиента всяко искане, което получи пряко, и не отговаря на него от името на Клиента без негово указание.
  • е) Съдействие. Подпомага Клиента при изпълнението на задълженията му по чл. 32–36 от ОРЗД (сигурност, уведомяване за нарушения, оценка на въздействието върху защитата на данните и предварителна консултация), като отчита естеството на обработването и информацията, с която разполага. При поискване предоставя описание на обработването, подходящо за оценката на въздействието на Клиента.
  • ж) Заличаване или връщане. При прекратяване на Услугата заличава Личните данни на Клиента съгласно раздел 7, след като Клиентът е имал възможност да ги експортира, освен ако правото на Съюза или на държава членка изисква тяхното съхранение.
  • з) Информация и одити. Предоставя на Клиента цялата информация, необходима за доказване на спазването на чл. 28 от ОРЗД, и позволява и съдейства за извършването на одити, включително проверки, съгласно раздел 8.

4. Подизпълнители

  1. Клиентът дава на „Еволвс“ ЕООД общо писмено разрешение да ползва подизпълнители. Настоящите подизпълнители са посочени в Приложение III и се считат за одобрени.
  2. „Еволвс“ ЕООД уведомява собствениците по имейл най-малко 30 дни преди добавянето или замяната на подизпълнител и актуализира Приложение III. В рамките на тези 30 дни Клиентът може да възрази на основателни съображения, свързани със защитата на данните. Ако страните не уредят възражението, Клиентът може да прекрати Общите условия, като изтрие профила на фирмата.
  3. „Еволвс“ ЕООД възлага по договор на всеки подизпълнител задължения за защита на данните, които не са по-малко строги от предвидените в настоящия договор, и носи пълна отговорност пред Клиента за изпълнението от страна на подизпълнителите.

5. Нарушения на сигурността на личните данни

„Еволвс“ ЕООД уведомява собствениците на Клиента за нарушение на сигурността, засягащо Личните данни на Клиента, без ненужно забавяне и във всички случаи в срок до 48 часа след като е узнало за него. Уведомлението описва, доколкото е известно към момента, естеството на нарушението, категориите и приблизителния брой на засегнатите субекти на данни и записи, вероятните последици и предприетите или предложените мерки. „Еволвс“ ЕООД предоставя допълнителна информация, когато тя стане налична, предприема разумни мерки за ограничаване на нарушението и подпомага Клиента при уведомяването на надзорния орган и на субектите на данни, когато това се изисква.

6. Предаване на данни към трети държави

Услугата се хоства в център за данни в Далас, Тексас, САЩ (Приложение III), поради което Личните данни на Клиента се предават извън Европейското икономическо пространство. Предаването се извършва въз основа на Стандартните договорни клаузи на Европейската комисия (Решение за изпълнение (ЕС) 2021/914):

  • Модул 3 (от обработващ към обработващ) между „Еволвс“ ЕООД и доставчика на хостинг – за Личните данни на Клиента;
  • Модул 2 (от администратор към обработващ) между „Еволвс“ ЕООД и доставчика на хостинг – за данните, които „Еволвс“ ЕООД администрира;
  • когато Клиентът е установен извън ЕИП, Модул 4 (от обработващ към администратор) се включва в настоящия договор чрез препращане, доколкото е необходимо.

Когато се прилагат Стандартните договорни клаузи, Приложения I–III към настоящия договор допълват техните приложения, прилага се клауза 9, вариант 2 (общо разрешение, 30 дни), а съгласно клаузи 17 и 18 приложимо е българското право и компетентни са българските съдилища. При противоречие с настоящия договор предимство имат Стандартните договорни клаузи. „Еволвс“ ЕООД е оценило предаването и прилага допълнителните мерки по Приложение II, по-специално шифроване при пренос, административен достъп до сървъра, ограничен до служители на „Еволвс“ ЕООД, и шифроване на архивите на резервните копия, което защитава всяко копие, съхранявано извън сървъра. Ключът за резервните копия се пази на сървъра само в отделна папка с ограничен достъп, поради което шифроването на резервните копия не се разглежда като защита срещу компрометиране на самия сървър.

7. Срок, връщане и заличаване

Настоящият договор действа, докато „Еволвс“ ЕООД обработва Лични данни на Клиента. Клиентът може по всяко време да експортира отчетите си. При изтриване на профила на фирмата (раздел 11 от Общите условия) „Еволвс“ ЕООД незабавно заличава Личните данни на Клиента, включително съхранените снимки и документи; шифрованите резервни копия, които ги съдържат, се презаписват в рамките на още 14 дни. Сроковете на съхранение по време на използването на Услугата са посочени в Приложение I.

8. Одити

„Еволвс“ ЕООД отговаря на разумни писмени въпроси на Клиента относно спазването на задълженията си и предоставя документацията, необходима за доказването му. Ако това не е достатъчно, Клиентът може сам или чрез независим одитор, обвързан със задължение за поверителност, да извърши одит или проверка с предизвестие най-малко 30 дни, в работно време, не повече от веднъж на 12 месеца, освен ако надзорен орган го изисква или е настъпило нарушение на сигурността, и без достъп до данни на други клиенти. Всяка страна поема своите разходи.

9. Отговорност, приложимо право и изменения

Отговорността по настоящия договор е ограничена съгласно Общите условия, освен когато ОРЗД или Стандартните договорни клаузи не допускат такова ограничение. Настоящият договор се урежда от българското право и компетентни са съдилищата в гр. София. Водещият надзорен орган за „Еволвс“ ЕООД е Комисията за защита на личните данни. „Еволвс“ ЕООД може да изменя настоящия договор със същото предизвестие като Общите условия; изменения, които се изискват от закона или не намаляват защитата на Личните данни на Клиента, могат да влязат в сила по-рано.

Приложение I – Описание на обработването

  • Администратор (износител на данни): Клиентът; за контакт: собствениците му, на имейл адресите, регистрирани в Услугата.
  • Обработващ (вносител на данни): „Еволвс“ ЕООД, както е посочено по-горе; за контакт: privacy@operalytix.com.
  • Субекти на данни: шофьорите, диспечерите и собствениците на Клиента; лицата, които той кани.
  • Категории лични данни:
    • идентификационни данни и данни за контакт: име, имейл, телефон, снимка, роля, език, идентификатор на Apple акаунт при използване на Вход с Apple;
    • профил на шофьора: номер и срок на валидност на шофьорската книжка;
    • смени: часове на започване и приключване, почивки, използван автомобил, показания на километража и нивото на горивото, снимки на щети и бележки, корекции и техният автор, създаденият от приложението идентификатор на телефона, на който се води смяната, автоматично приключване след максималната продължителност на смяна;
    • местоположение само по време на смяна: позиция, точност, скорост, посока, надморска височина, час, ниво на батерията на телефона;
    • производни данни: разстояние, време в движение и на място, максимална скорост, статус, влизане в зони и излизане от тях, сигнали за превишена скорост, продължителен престой и липса на връзка, потвърждения и бележки;
    • записи за автомобилите и автопарка, свързани с конкретно лице: назначен шофьор, зареждания с гориво, въведени от шофьор, автори на записите;
    • устройства и сигурност: идентификатори за известия и абонаменти за уеб известия, вид и име на устройството, версия на приложението, сесии за вход, IP адрес, записи в одитния журнал (включително прегледите на историята на местоположенията на шофьор).
  • Специални категории данни: не се предвиждат. Клиентът не следва да използва полетата за свободен текст или приложените файлове за специални категории данни.
  • Обработване с повишен риск: систематично наблюдение на местоположението на служители в работно време. Ограничено е до времето на смяна; точките на местоположение се заличават след изтичане на срока на съхранение; всеки преглед на историята на шофьор се записва.
  • Естество и цел: хостинг, съхранение, изчисляване и показване на данни за местоположение, смени и автопарк, за да може Клиентът да организира доставките си, да вижда автомобилите и шофьорите си в работно време, да получава и обработва сигнали, да води отчет на работното време и автопарка и да изготвя отчети; изпращане на известия и имейли; резервни копия.
  • Честота: непрекъснато, докато Клиентът използва Услугата.
  • Срокове на съхранение: точки на местоположение – срокът, зададен от Клиента (по подразбиране 90 дни, от 7 до 730 дни); записи за смени, сигнали, събития по зони, автопарк и одитен журнал – за срока на Услугата, освен ако Клиентът ги изтрие по-рано; неприложени качени файлове – 24 часа; сесии за вход – до 60 дни след последното използване; шифровани резервни копия – 14 дни, включително копията извън сървъра. Всички данни се заличават при изтриването на профила на фирмата (раздел 7).
  • Компетентен надзорен орган: Комисията за защита на личните данни или органът, компетентен за Клиента, когато Стандартните договорни клаузи изискват това.

Приложение II – Технически и организационни мерки

  • Шифроване при пренос: целият трафик между приложенията, браузърите и сървърите използва TLS (HTTPS, защитени WebSocket връзки).
  • Резервни копия: всяка нощ резервно копие на базата данни и всяка седмица резервно копие на качените файлове – архиви 7-Zip, шифровани с AES-256 (включително имената на файловете) и проверявани след записването им; между седмичните архиви качените файлове се копират всяка нощ и в папка на същия сървър, достъпна само за администраторите. Паролата за архивите се съхранява на сървъра в отделна папка, достъпна само за администраторите, никога в самите архиви, а копие от нея се пази от „Еволвс“ ЕООД извън сървъра. Когато е настроено място за съхранение извън сървъра, там се копират само шифрованите архиви, проверяват се с контролна сума и се изтриват след същите 14 дни.
  • Пароли и сесии: паролите се съхраняват само като хеш (argon2id); връзките за смяна на забравена парола са еднократни и валидни 30 минути; ключовете за достъп са валидни 15 минути; еднократни ключове за опресняване с ротация и откриване на повторна употреба; на iPhone ключовете се пазят в Ключодържателя на iOS; всеки потребител вижда устройствата, на които е влязъл, и може да прекрати сесиите им; незадължително заключване на приложението за iPhone с Face ID или код, проверявано от iOS на самото устройство.
  • Разделяне на клиентите: всяка заявка е ограничена до фирмата на потребителя; записите на друга фирма се третират като несъществуващи.
  • Минимални права: права според ролята (собственик, диспечер, шофьор) във всяка фирма; шофьорите виждат само собствените си данни; сървърните услуги са достъпни само от самата машина; административният достъп до сървъра е ограничен до служителите на „Еволвс“ ЕООД, на които е необходим.
  • Мрежа: защитна стена, която допуска само необходимите за Услугата портове; базата данни не е достъпна от интернет; ограничаване на броя заявки при вход и при проверка на покани.
  • Файлове: снимките и документите се съхраняват извън публичната директория и се предоставят само чрез подписани връзки, валидни 15 минути.
  • Свеждане на данните до минимум: местоположението се записва само между започването и приключването на смяна, а извън смени сървърът го отказва; автоматично заличаване на точките на местоположение след изтичане на срока; без софтуер за реклама, анализ или проследяване; метаданните, например GPS позицията, се премахват от качените изображения; ключовете за достъп, подписаните връзки, връзките за смяна на забравена парола и кодовете за покана се премахват от журналите на уеб сървъра; IP адресите в тези журнали се съкращават.
  • Отчетност: одитен журнал на вписванията, промените, експортите (включително всеки експорт на данните на шофьор) и всеки преглед на историята на местоположенията на шофьор.
  • Устойчивост: услугите се рестартират автоматично след срив или рестартиране на сървъра; документирана и изпитана процедура за възстановяване.
  • Организация: задължение за поверителност за всички лица с достъп; процедура за реагиране при нарушения с уведомяване на клиентите в срок до 48 часа.

Приложение III – Подизпълнители

  • CloudClusters, в мрежата на Psychz Networks (Далас, Тексас, САЩ): хостинг на сървърите, базата данни, файловете и собствения пощенски сървър на Operalytix. Всички Лични данни на Клиента. Предаване въз основа на Стандартните договорни клаузи.
  • Apple (Apple Inc., САЩ, и Apple Distribution International Ltd., Ирландия): известия до iPhone устройствата на собствениците и диспечерите чрез APNs (идентификатор за известия и текст на известието); Вход с Apple, когато членовете на екипа го използват (идентификатор на Apple акаунт); карти (Apple Maps в приложението за iPhone и MapKit JS в уеб таблото, когато е включен; заявките за карти съдържат показваната област, а не лични данни на шофьори).

Не са подизпълнители, а получатели, избрани от браузъра на самия потребител: услугата за известия на браузъра (например на Apple, Google или Mozilla), която доставя уеб известия, шифровани от край до край; и, когато уеб таблото не използва картите на Apple, OpenFreeMap, която предоставя изображенията на картата и получава IP адреса на потребителя и показваната област.

Договор за обработване на лични данни, версия 2026-10 · Operalytix Fleet · Общи условия · Политика за поверителност · privacy@operalytix.com