_Последно обновено: 13 септември 2026 г._

Настоящото Споразумение за обработване („DPA") е договор по чл. 28 GDPR между детайлинг студиото, което използва DetailingManager („Компания", „Администратор"), и Радослав Мошев, София, ул. Пирин, България, admin@detailingmanager.com („Обработващ").

Прилага се, когато Компанията съхранява в платформата лични данни на свои клиенти, служители или други физически лица. Не замества Политиката за поверителност или Общите условия. Текстът е работна чернова, не е заверен от адвокат.

1. Предмет и цел

Обработващият предоставя SaaS платформата DetailingManager (клиенти и автомобили, задачи, документи, напомняния, имейл кампании, статистика, VIN търсене), за да управлява Компанията студиото си. Обработката е само за тази цел, по документирани указания на Компанията (използване на продукта и писмени заявки до admin@detailingmanager.com).

2. Срок

DPA важи, докато Компанията има активен акаунт. След потвърдено закриване работните данни и файловете в хранилището се изтриват веднага. Резервни копия на същия Hetzner сървър в Нюрнберг се пазят до 7 дни, после се презаписват. Ако в този срок се възстанови копие, изтриването се прилага отново.

3. Категории данни и субекти

Субекти: клиенти на Компанията и техните контакти; служители на студиото с акаунти; получатели на имейли, които Компанията изпраща.

Типични данни: имена, телефон, имейл, адрес, дата на раждане, маркетингово съгласие, автомобили (включително VIN и регистрационен номер), бележки и снимки към задачи, PDF документи, снимки на получатели на кампании.

Компанията решава какво въвежда. Обработващият не събира данни за клиенти на студиото от други източници.

Ако Компанията включи AI асистента, въпросите, които служителите ѝ пишат, и записите, които асистентът чете, за да отговори, също се обработват както е описано в секции 5 и 6.

4. Задължения на обработващия

Обработващият се задължава:

• да обработва лични данни само по указания на Компанията, освен ако правото на ЕС или България не изисква друго
• да осигури поверителност на лицата, оправомощени да обработват данните
• да прилага мерките за сигурност от секция 7
• да ангажира следващи обработващи само както е описано в секция 5
• да помага на Компанията при заявки на субекти (достъп, коригиране, изтриване, преносимост), включително CSV експорт на клиенти в продукта
• да помага при сигурност, инциденти и оценка на въздействието, съобразно естеството на обработката
• да изтрие или върне личните данни при край на услугата, както в секция 2
• да предостави информация, разумно необходима за доказване на съответствие, и да допусне одити както в секция 9

5. Под-обработващи

Компанията разрешава следните под-обработващи. Съществени промени ще се отразят в това DPA и в Политиката за поверителност.

AI асистентът е изключен по подразбиране. Администратор на Компанията трябва да го включи и да потвърди известие, което назовава доставчика; до този момент нищо не стига до OpenAI. Историята на разговорите се съхранява в платформата и се изтрива автоматично след най-много 14 дни.

Google Analytics 4 и Meta Pixel се зареждат само ако посетителят даде маркетингово съгласие. Не се използват за клиентската база на Компанията.

6. Международни трансфери

Ядрото — хостинг, база, файлове, приложение, Redis и изпращане на имейл — е в ЕС (Ирландия, Германия, Белгия).

VIN може да се изпрати към NHTSA vPIC в САЩ, когато европейският декодер не върне резултат. С тази заявка не се изпращат име, телефон или имейл.

Ако AI асистентът е включен, въпросите и записите, нужни за отговора, отиват към OpenAI Ireland Limited, което обработва данните от ЕИП съгласно Споразумението за обработване на OpenAI и ги изнася извън ЕИП само по стандартни договорни клаузи. Входът и изходът на API-то не се използват за обучение на моделите на OpenAI. Логовете за наблюдение на злоупотреби могат да ги съдържат и се пазят до 30 дни, освен ако закон не изисква по-дълъг срок.

Маркетинговите пиксели (при съгласие) могат да изнасят данни извън ЕС по условията на тези доставчици.

7. Сигурност

• Криптиране в транзит (TLS 1.3) и в покой (AES-256)
• Row-Level Security — всеки наемател вижда само своите редове
• По избор двуфакторна автентикация
• Изтичане на сесия, конфигурируемо от Компанията
• Роли с минимален достъп (администратор / мениджър / служител)

8. Нарушение на сигурността на личните данни

Ако Обработващият научи за нарушение, засягащо данни на Компанията, уведомява Компанията без ненужно забавяне, с цел 72 часа, на администраторския имейл в досието, с известните факти, вероятните последици и взетите мерки. Компанията остава отговорна да уведоми надзорния орган и засегнатите лица, когато GDPR го изисква.

9. Одити

Компанията може да поиска, не повече от веднъж годишно освен след инцидент, писмена информация или резюме на релевантните мерки. Проверки на място или инвазивни одити изискват разумно предизвестие и не трябва да компрометират други наематели. Обработващият може да удовлетвори искането с актуални сертификати или доклади на под-обработващи (например Supabase SOC 2).

10. Изтриване и експорт

Компанията може да изтрива отделни клиенти в продукта. Това премахва име, телефон, имейл и сходни контакти; автомобилът и завършените задачи остават без тези контакти (VIN и регистрационен номер остават като история на услугата). Недовършените задачи се премахват.

Администраторите на Компанията имат машинен CSV експорт на списъка с клиенти (и на фирми).

За изтриване на цялата компания пишете на admin@detailingmanager.com. Работните данни се премахват след потвърждение; резервни копия на същия Hetzner сървър в Нюрнберг се пазят до 7 дни, после се презаписват.

11. Приложимо право

Това DPA се урежда от законодателството на Република България. Споровете се решават от компетентния български съд.

12. Контакт

• Имейл: admin@detailingmanager.com
• Тема: DPA / Обработване на данни