Споразумение за обработване на данни

Страни и роли

Страни по това споразумение са клиентът, посочен в Поръчката (вие), в качеството на администратор, и „НБС МЕРИТАЙМ“ ООД (ние), в качеството на обработващ, по отношение на личните данни, които обработваме от ваше име при предоставянето на SeaDirect Protect. Споразумението е неразделна част от всяка Поръчка, при която се обработват лични данни, съгласно Общите условия.

Връзка с другите договорни документи

По въпросите на защитата на личните данни това споразумение има предимство пред Общите условия и Поръчката. Когато лични данни се предават въз основа на стандартните договорни клаузи на Европейската комисия, тези клаузи имат предимство пред споразумението. Поръчката може да предвижда допълнителни мерки за защита, но не и да намалява предвидените в това споразумение.

Действие

Споразумението се прилага, докато обработваме лични данни от ваше име, включително след прекратяването на договора до връщането и изтриването на данните съгласно раздел „Приключване на обработването“.

Определения

• „ОРЗД“: Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните). Понятията „администратор“, „обработващ лични данни“, „лични данни“, „обработване“, „субект на данни“, „нарушение на сигурността на личните данни“ и „надзорен орган“ имат значението, определено в ОРЗД.
• „Лични данни на клиента“: личните данни, които обработваме от ваше име при предоставянето на Услугите, описани в Приложение А.
• „Подизпълнител“: друг обработващ лични данни, на когото възлагаме дейности по обработване на лични данни на клиента от ваше име.
• „Стандартни договорни клаузи“: клаузите, приети с Решение за изпълнение (ЕС) 2021/914 на Комисията.
• Останалите понятия с главна буква (Поръчка, Услуги, Платформа, Устройство, Агент, Обект) имат значението, определено в Общите условия.

Предмет, естество и цел на обработването

Обработваме лични данни на клиента, за да предоставяме Услугите по Поръчката: защита на вашите мрежи, крайни устройства и служители, откриване на заплахи и реакция при тях, управление на уязвимостите, актуализациите, резервните копия и отдалечения достъп, поддържане на вашите регистри и доказателства за съответствие, обучение на персонала и екипажа и поддръжка. Категориите субекти на данни и лични данни, както и операциите по обработване, са описани в Приложение А.

Срок на обработването

Обработването продължава за срока на договора и за периода след него, посочен в раздел „Приключване на обработването“.

Документирани указания

Обработваме лични данни на клиента единствено по ваши документирани указания. Такива указания са Поръчката, Общите условия, това споразумение и настройките, които вие или вашите упълномощени потребители изберете в портала. Допълнителни указания се дават писмено и в рамките на Услугите; указания, които променят обхвата, могат да бъдат заплатени като изменение на Поръчката.

Незаконосъобразни указания

Уведомяваме ви незабавно, ако според нас дадено указание нарушава ОРЗД или друго законодателство за защита на данните, и можем да спрем изпълнението му, докато не го потвърдите или промените.

Обработване по силата на закон

Ако правото на Европейския съюз или на държава членка ни задължава да обработваме лични данни на клиента извън вашите указания, ви уведомяваме преди това, освен ако същото право не забранява уведомяването.

Данни за заплахи и статистика

Когато при обработването се получат технически данни за заплаха (зловреден мрежов адрес или домейн, хеш стойност на зловреден файл, правило за откриване, модел на атака), можем да използваме тези данни и анонимна статистика за защита на всички наши клиенти и в нашата информация за киберзаплахи, както и да споделяме данните за заплахи с партньори и трети организации с изследователска цел и за колективна защита, както е описано в Общите условия. Преди такива данни да напуснат вашата среда, премахваме всичко, което ви идентифицира или може да бъде свързано с вас, дори косвено, и никога не споделяме лични данни на клиента, самите подозрителни файлове или данни, които по естеството си сочат към вас. Когато данните за заплаха сами по себе си са лични данни, например мрежовият адрес на нападател, ги обработваме като администратор въз основа на легитимния ни интерес от осигуряване на мрежова и информационна сигурност, признат в съображение 49 от ОРЗД, а не от ваше име.

Правно основание и прозрачност

Вие отговаряте за наличието на правно основание за обработването, което възлагате, за информирането на субектите на данни, за изискваните от закона оценка на въздействието върху защитата на данните и консултация със служителите или техните представители, както и за точността на предоставените от вас лични данни. Това се отнася и за функциите за наблюдение, изброени в Общите условия.

Специални категории лични данни

Услугите не са предназначени за обработване на специални категории лични данни или на данни за присъди и нарушения, но мрежовият трафик, файловете, резервните копия и записите в регистрите могат да съдържат такива данни. Когато това е от значение за вас, използвайте изключенията и настройките в портала и не въвеждайте такива данни в регистрите, освен ако е необходимо.

Поверителност

Всяко лице, на което разрешаваме да обработва лични данни на клиента, е подписало декларация за поверителност или е обвързано със задължение за поверителност по закон, което продължава да действа и след прекратяване на работата му за нас.

Достъп само при необходимост

Достъп до лични данни на клиента имат само лицата, които се нуждаят от него, за да предоставят, защитават и поддържат Услугите. Достъпът се предоставя с минимално необходимите права, чрез лични профили с многофакторно удостоверяване, и се регистрира. Служителите с достъп до средите на клиентите преминават проверка, доколкото законът я допуска, и обучение по защита на данните и сигурност при постъпване и всяка година след това.

Мерки за сигурност

Прилагаме техническите и организационните мерки, описани в Приложение Б, като отчитаме достиженията на техническия прогрес, разходите за прилагане, както и естеството, обхвата, контекста и целите на обработването, съгласно чл. 32 от ОРЗД.

Актуализиране на мерките

Преглеждаме мерките най-малко веднъж годишно и при промяна на Услугите. Можем да ги изменяме, при условие че общото ниво на защита не намалява.

Общо разрешение

С това споразумение ни давате общо писмено разрешение да възлагаме обработване на подизпълнители. Подизпълнителите, които използваме към датата на сключване на споразумението, са изброени в Приложение В.

Уведомяване за промени

Уведомяваме ви най-малко 30 дни преди да добавим или заменим подизпълнител чрез съобщение в портала и по имейл до вашето лице за контакт, като посочваме подизпълнителя, дейността, която извършва, и мястото на обработването.

Възражение

В този 30-дневен срок можете да възразите по основателни съображения, свързани със защитата на данните. В такъв случай обсъждаме възражението с вас добросъвестно. Ако не можем да го удовлетворим, например като не използваме този подизпълнител за вашите данни, можете да прекратите засегнатия продукт без неустойка преди влизането на промяната в сила, а ние ви връщаме предплатените за него суми.

Същите задължения за подизпълнителите

Възлагаме обработването на всеки подизпълнител с писмен договор, който го задължава да спазва изисквания за защита на данните, не по-малко строги от тези в това споразумение. Отговаряме пред вас за изпълнението на задълженията на всеки подизпълнител.

Основно правило

Съхраняваме и обработваме личните данни на клиента в Европейския съюз, в Германия, и не ги предаваме извън Европейското икономическо пространство освен в случаите по следващите разпоредби или с предварителното ви писмено съгласие.

Чернови с изкуствен интелект

Когато вие или вашите потребители поискате от Платформата да изготви чернова с изкуствен интелект, текстът, необходим за черновата, може да бъде обработван извън Европейското икономическо пространство от доставчика на изкуствен интелект, посочен в Приложение В. Предаването се извършва въз основа на стандартните договорни клаузи (модул трети, от обработващ към обработващ), заедно с допълнителните мерки, определени при нашата оценка на предаването. Доставчикът работи при нулево съхранение на данни: обработва текста единствено за изготвянето на черновата, не съхранява нито заявката, нито резултата и не обучава модели с тях.

Известия по имейл

Имейлите, които Платформата изпраща на вашите потребители (известия, сигнали, покани), се доставят чрез имейл услугата, посочена в Приложение В, която обработва името и адреса на получателя и съдържанието на съобщението в Съединените щати въз основа на Рамката за защита на данните между ЕС и САЩ и стандартните договорни клаузи.

Плащания

Когато плащате с карта, доставчикът на платежни услуги, посочен в Приложение В, обработва данните за фактуриране и плащане на вашата организация и може да ги предаде в Съединените щати въз основа на Рамката за защита на данните между ЕС и САЩ и стандартните договорни клаузи.

Копия при поискване

При поискване ви предоставяме копие от основанието за предаване и резюме на нашата оценка на предаването, без търговските условия.

Искания, отправени до нас

Ако субект на данни се обърне към нас във връзка с лични данни на клиента, препращаме искането към вас без неоправдано забавяне и не отговаряме самостоятелно, освен ако не ни възложите това.

Нашето съдействие

Като отчитаме естеството на обработването, ви съдействаме при отговора на искания за упражняване на правата по глава III от ОРЗД, на първо място чрез инструментите за изнасяне, коригиране и изтриване в портала, а при необходимост и по искане. Съдействие, което изисква повече от разумни усилия, може да бъде заплатено по стандартните ни тарифи, след като ви уведомим.

Уведомяване

Уведомяваме ви за нарушение на сигурността на личните данни, което засяга лични данни на клиента, без неоправдано забавяне и не по-късно от 24 часа след като сме узнали за него.

Съдържание на уведомлението

Уведомлението съдържа наличната към момента информация, която допълваме при постъпване на нова:

• естеството на нарушението, включително категориите и приблизителния брой на засегнатите субекти на данни и записи;
• името и данните за контакт на лицето, към което можете да се обръщате;
• вероятните последици от нарушението;
• предприетите или предлаганите от нас мерки, включително мерките за намаляване на евентуалните неблагоприятни последици.

Уведомяване на надзорния орган

Вие решавате дали да уведомите надзорния орган и субектите на данни. Не ги уведомяваме от ваше име, освен ако не ни възложите това или законът не го изисква. Уведомлението от наша страна не е признание за вина или отговорност.

Съдействие

Предоставяме ви информацията, която ви е разумно необходима, за да извършите оценка на въздействието върху защитата на данните във връзка с Услугите и, когато е нужно, предварителна консултация с надзорния орган съгласно чл. 35 и 36 от ОРЗД. Отправна точка е описанието в Платформата на данните, които събира всяка функция.

Информация

Предоставяме ви информацията, необходима, за да докажете изпълнението на задълженията по чл. 28 от ОРЗД. Веднъж годишно отговаряме безплатно на разумен въпросник за сигурността или защитата на данните.

Одити

Когато тази информация не е достатъчна, вие или посочен от вас независим одитор можете да извършите одит на спазването на това споразумение веднъж годишно, с 30-дневно писмено предизвестие, в работно време, за ваша сметка, при поемане на задължение за поверителност и без достъп до данни на други клиенти или до информация, чието разкриване би отслабило сигурността на Услугите. Одит, изискан от надзорен орган или извършван след нарушение на сигурността на личните данни, което ви засяга, не се включва в годишния лимит.

Срокове

Личните данни на клиента се съхраняват за сроковете по Приложение Г и Платформата ги изтрива автоматично след изтичането им. Когато законът предвижда минимален срок, не изтриваме данните преди изтичането му. Можете да поискате по-дълъг срок за вашите данни в рамките, допустими съгласно принципа на ограничение на съхранението по ОРЗД.

Запазване на данни

Ако е необходимо определени записи да бъдат запазени, например за разследване или съдебен спор, по ваше искане налагаме запазване на данните ви, при което автоматичното им изтриване се спира, докато не отмените запазването.

Връщане на данните

При прекратяване на договора разполагате с 30 дни, за да изнесете личните данни на клиента от портала, а при поискване ги изнасяме вместо вас в структуриран, широко използван и машинночетим формат.

Изтриване

След това изтриваме личните данни на клиента от Платформата в срок от 30 дни, а от резервните копия при тяхната ротация в срок от още 90 дни, освен ако правото на Европейския съюз или на държава членка не ни задължава да ги съхраняваме; в този случай съхраняваме само необходимите данни, само за тази цел и при защитата, изисквана от това споразумение. При поискване потвърждаваме изтриването писмено.

Данни във вашите обекти

Данните на Устройствата, Агентите и носителите за резервни копия във вашите Обекти се изтриват при връщането на Устройството при нас. Данните на вашите собствени машини и носители остават под ваш контрол.

Отговорност

Отговорността на всяка от страните по това споразумение се урежда от раздел „Отговорност“ на Общите условия, включително ограничението в двоен размер при нарушения на това споразумение. Нищо в това споразумение не ограничава отговорността на страните към субектите на данни по чл. 82 от ОРЗД.

Изменения

Можем да изменим това споразумение, когато това се налага поради промяна в законодателството, решение на надзорен орган или промяна в Услугите, като ви уведомим 30 дни предварително. Другите изменения се извършват по реда на раздел „Изменения на тези условия“ на Общите условия.

Приложимо право

Към това споразумение се прилагат правото и редът за решаване на спорове, които Общите условия определят за вашата Поръчка.

Лица за контакт

Лице за контакт по всички въпроси, свързани с това споразумение, е нашето длъжностно лице по защита на данните, на адреса, посочен в Известието за поверителност. Вашето лице за контакт по въпросите на защитата на данните посочвате в Поръчката или в портала.

Категории субекти на данни

• вашите служители, членове на екипажа и изпълнители, които използват мрежите, машините и профилите в обхвата;
• гости и посетители, които използват мрежи, предоставяни от вас чрез Платформата;
• потребителите на вашите профили в клиентския портал;
• лица, посочени във вашите регистри и записи, например лица за контакт при доставчици, лица, подали сигнал за инцидент, собственици на активи и отговорници за мерки за сигурност;
• лица, които участват в обучения, оценки на уменията и симулации на фишинг атаки;
• лица, чиито данни се съдържат в материали, обработвани от Услугите за целите на сигурността, например подозрителни файлове, записи на отдалечени сесии и резервни копия.

Категории лични данни

• данни за самоличност и контакт на потребителите на портала и посочените лица за контакт: имена, служебни имейл адреси, телефони, длъжности;
• данни за профили и достъп: вписвания, данни за многофакторно удостоверяване, права и журнали на действията в портала;
• идентификатори на устройства и мрежи: имена на хостове, потребителски имена на машините, IP и MAC адреси;
• мрежови метаданни: данни за връзки, имена на домейни, обем на трафика и обобщени данни за потоците;
• събития, свързани със сигурността: сигнали, открити заплахи, действия по реакция и свързаните с тях доказателства;
• когато е включена проверката на криптирания уеб трафик: частите от този трафик, които са от значение за сигурността, проверявани на Устройството;
• опис на софтуера и хардуера на машините в обхвата;
• данни за отдалечен достъп и записи на сесиите;
• журнали от контрола на преносими носители, драйвери и приложения;
• данни за използването на ваучери от гости и екипаж;
• данни за местоположението на корабите;
• резултати от обучения, тестове, въпросници и симулации;
• съдържанието на регистрите, документите и доказателствата, които въвеждате или качвате;
• подозрителни файлове и съдържанието на резервните копия на крайните устройства.

Операции по обработване

Събиране от Устройствата и Агентите, съхранение, анализ и съпоставяне, откриване на заплахи и автоматична реакция, визуализиране в портала, изготвяне на отчети и изнасяне, архивиране и възстановяване, отдалечен достъп, изготвяне на чернови с изкуствен интелект при поискване, изпращане на известия по имейл и изтриване.

Честота и срок

Непрекъснато, за срока на договора и за периода, посочен в раздел „Приключване на обработването“.

Поверителност и достъп

• разделяне на данните на отделните клиенти в Платформата;
• достъп на нашите служители според ролята им, с минимално необходимите права, чрез лични профили с многофакторно удостоверяване и с регистриране на всеки достъп до средите на клиентите;
• отдалечени сесии към машините на клиента само при спазване на зададените от него правила за одобрение, като всяка сесия се регистрира;
• съхранение на тайните ключове и ключовете за подписване отделно от системите, които ги използват.

Цялостност

• криптиране на връзките между всички компоненти, както и между Платформата, Устройствата и Агентите, като всяко устройство се удостоверява със собствени идентификационни данни;
• подписване и проверка на актуализациите на софтуера и на конфигурациите преди прилагането им на устройствата;
• проверка на промените в конфигурацията, преди да достигнат до устройството, и автоматичната им отмяна, ако биха прекъснали връзката на обекта;
• съхранение на записите за промени в правилата за сигурност и конфигурацията най-малко 12 месеца.

Наличност и устойчивост

• хостинг в професионални центрове за данни в Германия с физически контрол на достъпа;
• редовно архивиране на данните на Платформата;
• защита от Устройствата и Агентите, която продължава да работи и при прекъсната връзка с облака;
• наблюдение на собствената ни инфраструктура със същата платформа, която предоставяме на клиентите.

Тестване и подобряване

• управление на уязвимостите и актуализиране на нашите собствени системи;
• автоматизирани тестове преди всяко издаване и поетапно внедряване на актуализациите, за да се открие навреме евентуален дефект;
• документирана процедура за обработване на инциденти и уязвимости, включително задълженията за докладване по Акта за киберустойчивост на ЕС;
• ежегоден преглед на тези мерки.

Свеждане на данните до минимум

• автоматично изтриване след изтичането на всеки срок по Приложение Г;
• от средата на клиента излизат само технически данни за заплахи, без нищо, което би могло да бъде свързано с този клиент;
• до доставчика на изкуствен интелект се изпраща само текстът, необходим за черновата.

Хостинг

• OVHcloud (OVH SAS и свързаните с него дружества): хостинг на Платформата, нейните бази данни, файлово хранилище и резервни копия в центрове за данни в Германия.

Изпращане на имейли

• Microsoft Ireland Operations Limited, с обработване от Microsoft Corporation в Съединените щати (Azure Communication Services): изпращане на известия по имейл до вашите потребители въз основа на Рамката за защита на данните между ЕС и САЩ и стандартните договорни клаузи.

Чернови с изкуствен интелект

• „Денев Оперейшънс“ ЕООД, ЕИК 207759183, гр. Шумен, България, чрез своята услуга vynflow.cloud, хоствана в Европейския съюз: пренасочва заявките за чернови към посочения по-долу доставчик, без да съхранява текста;
• Fireworks AI, Inc. (Съединени щати): изготвяне на чернови при нулево съхранение на данни, въз основа на стандартните договорни клаузи.

Плащания

• Stripe Payments Europe, Limited (Ирландия), с предаване на данни към Stripe, Inc. в Съединените щати: плащания с карта и фактуриране на абонамента, въз основа на Рамката за защита на данните между ЕС и САЩ и стандартните договорни клаузи.

Разработка и поддръжка

• „Денев Оперейшънс“ ЕООД, ЕИК 207759183, гр. Шумен, България, наш технологичен партньор: разработка, поддръжка и техническа поддръжка от трето ниво на Платформата, с достъп до средите на клиентите само когато конкретен случай на поддръжка го налага.

Данни, свързани със сигурността и експлоатацията

• данни за открити заплахи и свързаните с тях доказателства: 12 месеца (законов минимум);
• събития от защитата на крайните устройства: 12 месеца (законов минимум);
• журнали на приложенията: 12 месеца (законов минимум);
• сигнали от устройствата: 12 месеца (законов минимум);
• команди, изпратени до Устройствата и Агентите: 12 месеца (законов минимум);
• данни за връзките при отдалечен достъп: 12 месеца (законов минимум);
• записи на отдалечени сесии: срокът, който определите в портала, от 7 дни до 12 месеца, а ако не изберете друг, 90 дни; най-старите записи могат да бъдат изтрити по-рано само ако хранилището за записи достигне пълния си капацитет;
• обобщени данни за мрежовите потоци: 12 месеца;
• данни за трафика и техните обобщения: 12 месеца;
• телеметрия от устройствата: 90 дни;
• история на DNS заявките: 90 дни;
• заявки за инсталиране: 90 дни.

Профили

• журнал на действията в портала: 3 години;
• прегледи на правата на достъп и покани: 3 години;
• токени за вписване: 30 дни.

Регистри, доказателства и документи

Съхраняват се за срока на договора и се изтриват след определен период от приключването на всеки запис съгласно графика за съхранение на записите в портала, освен ако не е наложено запазване на данните.

На Устройствата и Агентите

• файлове под карантина: до 90 дни;
• локални системни журнали: 90 дни.

Законови минимални срокове

Журналите за сигурност и записите за промени в конфигурацията и за достъп до информационните системи се съхраняват най-малко 12 месеца съгласно чл. 29 от Наредбата за минималните изисквания за мрежова и информационна сигурност. Счетоводните документи се съхраняват 10 години съгласно Закона за счетоводството.