Споразумение за обработка на данни

Договор за обработка на лични данни (ДОЛД) съгласно чл. 28 от ОРЗД

Състояние: 20.03.2026

Между

регистрирания клиент на Biscotti CMP – наричан по-нататък „администратор“ или „клиент“ –

и

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Федерална република Германия

Регистриращ съд: Районен съд Потсдам Регистрационен номер: HRB 40180 P ДДС номер: DE368000447 Данъчен номер: 29/249/36095 Представлявано от: Даниел Бош (изпълнителен директор), Филип Андре Маршал (прокурист) E-mail: [email protected] Телефон: +49 3322 50703301 Работно време: Пн-Пт, 09:00 - 17:00 ч. – наричани по-нататък „Обработващ лични данни“ или „Доставчик“ –

– Администраторът и обработващият лични данни наричани по-нататък съвместно „Страните“ –

Преамбюл

Добре дошли в Campcruisers GmbH! Много се радваме да Ви посрещнем като клиент. Прозрачността, най-високите стандарти за сигурност и партньорските отношения на равни начала са на първо място за нас. Защитата на Вашите данни и на данните на посетителите на Вашия уебсайт е за нас не само законово задължение, но и централно обещание за качество на нашата компания.

Отговорният използва разработеното, експлоатирано и разпространявано от обработващия лични данни облачно базирано решение „Biscotti CMP“ (Consent Management Platform) от типа „софтуер като услуга“ (SaaS). В рамките на предоставянето на тези SaaS услуги, които се предлагат под домейна biscotti-cmp.com, както и чрез приложението app.biscotti-cmp.com, обработващият лични данни обработва лични данни по поръчка и съгласно указанията на администратора. Настоящият договор конкретизира задълженията на страните по отношение на защитата на личните данни, произтичащи от използването на Biscotti CMP. Той се прилага за всички дейности, свързани с основния договор (договор за ползване на SaaS услугите), при които служители на обработващия лични данни или трети лица, наети от него, могат да влязат в контакт с лични данни на администратора.

Настоящият договор е задължителен, за да се спазят изискванията на Регламент (ЕС) 2016/679 (Общ регламент за защита на данните – GDPR), по-специално чл. 28 от GDPR, както и на допълнителните разпоредби на Федералния закон за защита на данните (BDSG) и Закона за защита на данните в телекомуникациите и цифровите услуги (TDDDG).

[!NOTE] Сключване на договор в електронната търговия Настоящият договор се сключва в електронен формат съгласно чл. 28, ал. 9 от ОРЗД. При регистрация от страна на отговорното лице той е неразделна част от Общите търговски условия (ОТУ) на Biscotti CMP. Сключването на договора става чрез изричното електронно съгласие в хода на регистрацията (например чрез натискане на бутон за потвърждение) и за валидността и правната му сила не се изисква отделен, ръчен подпис.

§ 1 Предмет и продължителност на обработката

1.1 Предмет на обработката Обработващият лични данни предоставя на администратора услуги в областта на управлението на съгласието (Consent Management) и автоматизацията на съответствието с законодателството за защита на личните данни. Предметът на обработката на лични данни произтича от основния договор, сключен между страните, относно използването на Biscotti CMP. Обработката обхваща всички операции, свързани с данни, които са необходими за предоставянето на договорените софтуерни функционалности. Към тях спадат по-специално, но не изчерпателно:

• Предоставянето и доставката на банери за съгласие (банери за бисквитки) на уебсайтовете на администратора.
• Събиране, съхранение, управление и документиране на решенията за съгласие (съгласие/отказ) на крайните потребители (посетители на уебсайта) на администратора съгласно чл. 7, ал. 1 от ОРЗД и § 25, ал. 1 от TDDDG.
• Извършване на AI-базирани сканирания за бисквитки на уебсайтовете на администратора за идентифициране и категоризиране на технологии за проследяване и тяхното съпоставяне с базата данни на доставчиците на IAB.
• Обработка на сигнали в рамките на Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4), както и Global Privacy Control (GPC).
• Определяне на юрисдикцията на посетителя на уебсайта въз основа на IP адреса за динамично показване на варианти на банери, съответстващи на законодателството (напр. GDPR, CCPA/CPRA).
• Генериране на правни текстове (импресум, декларация за защита на личните данни, политика за бисквитки) с помощта на изкуствен интелект чрез интегрирания асистент Legal Suite, използващ Alibaba Cloud Qwen.
• Предоставяне на протоколи за проверка (аудит логове), уебхукове за известия в реално време, функционалности за A/B тестване, както и функции за експортиране на данни за спазване на правата на засегнатите лица съгласно чл. 15 от GDPR.
• Управление на подсметки на агенции в рамките на тарифата „Agency“, включително управление на клиенти и брандиране с бяла етикета.

1.2 Продължителност на обработката Срокът на действие на настоящия договор за обработка на данни се определя от срока на действие на основния договор за използване на Biscotti CMP. Договорът влиза в сила с регистрацията на администратора и активирането на акаунта (при безплатни тарифи) или с потвърждението на плащането (при платени тарифи като Starter, Growth, Business, Agency). Той приключва автоматично с прекратяването на основния договор, независимо от правните основания (например чрез обикновено прекратяване, извънредно прекратяване или изтриване на акаунта). Срокът за предизвестие за прекратяване на основния договор е 1 ден преди края на съответния отчетен период. Разпоредбите на настоящия договор, които по своята същност трябва да важат и след прекратяването (по-специално разпоредбите за изтриване и връщане на данни, както и въпросите, свързани с отговорността), остават незасегнати от прекратяването.

§ 2 Вид и цел на обработката

2.1 Вид на обработката Видът на обработката включва събиране, записване, организиране, подреждане, съхранение, адаптиране или промяна, извличане, търсене, използване, разкриване чрез предаване, разпространение или друга форма на предоставяне, съпоставяне или свързване, ограничаване, изтриване или унищожаване на данни. Обработката се извършва предимно автоматизирано в облачната инфраструктура на обработващия лични данни (например хоствана на Hetzner Online GmbH, местоположение на сървъра обикновено в Европейския съюз).

2.2 Цел на обработката Целта на обработката е изключително изпълнението на договорните задължения по основния договор. Това включва:

• Доказуемост на съгласието: съхранение на данните за съгласието с цел изпълнение на задължението за отчетност на администратора съгласно чл. 5, ал. 2 във връзка с чл. 7, ал. 1 от ОРЗД.
• Техническо предоставяне: Показване на банера за съгласие и осигуряване на функционалността на уебсайта на администратора, като се отчитат предпочитанията на потребителите.
• Анализ на съответствието: Автоматизирана проверка на уебсайтовете на администратора за рискове, свързани със защитата на личните данни (сканер за бисквитки).
• Създаване на правни текстове: обработка на фирмени и контактни данни на администратора за създаване на персонализирани правни текстове с помощта на изкуствен интелект.
• Фактуриране и управление на акаунти: Управление на потребителските акаунти, определяне на лимити за сесии (например 5 000 сесии в безплатния тариф, 500 000 в бизнес тарифата) и обработка на прехвърлянията на сесии.
• Управление на агенции: Възможност за управление на до 25 подсметки в тарифата „Агенция“, включително предоставяне на страници за препродавачи и функции за изпращане на имейли.

Обработката на данните за собствени цели на обработващия лични данни, по-специално за собствени рекламни цели или за създаване на потребителски профили, които надхвърлят договорното предоставяне на услуги, е строго забранена, освен ако не е налице изрично законово разрешение или отделно съгласие.

§ 3 Вид на личните данни

В рамките на обработката по поръчка се обработват следните категории лични данни. Администраторът определя точния обхват на данните чрез използването на Biscotti CMP и конфигурацията на софтуера:

• Данни за съгласие: решения (съгласие/отказ за различни категории като „Необходими“, „Функционални“, „Анализ“, „Маркетинг“, „Услуги с изкуствен интелект“), времеви отметки (дата и точно време на даване на съгласието), уникален идентификационен номер (за псевдонимно присвояване на решението към съответното крайно устройство/браузър).
• Технически данни: IP адреси (обработват се предимно за разпознаване на юрисдикцията въз основа на местоположението и по правило се анонимизират/съкращават незабавно, освен ако отговорното лице не е избрало друга конфигурация), информация за браузъра, информация за устройството, низове на потребителския агент, данни за сесията.
• Данни от бисквитки и тракери: Резултати от сканиране на уебсайтовете на отговорното лице, включително открити бисквитки, съдържание на локалната памет, тракери на трети страни и тяхната класификация.
• Съдържание, генерирано от ИИ: данни, които отговорното лице въвежда в асистента на Legal Suite, за да генерира правни текстове (декларация за защита на личните данни, импресум, общи условия). Това може да включва данни за предприятието, имена на упълномощени лица, адреси и конкретни дейности по обработка, които се обработват чрез Alibaba Cloud Model Studio (Qwen) API.
• Контактни данни (титуляри на акаунти): Име и фамилия, имейл адрес, име на фирмата, адрес, телефонен номер, идентификационен номер по ДДС (ИДНДДС) на клиентите или титулярите на акаунти.
• Данни за използване: дейности в таблото за управление, статистики за банерите (посещения, взаимодействия, процент на приемане), отчети за съответствие, протоколи за проверка на промени в акаунта.
• Данни за плащания: Информация за фактуриране, която се обработва чрез доставчика на платежни услуги Stripe (като данните за кредитни карти се токенизират директно в Stripe и не се съхраняват в чист текст при обработващия лични данни).

§ 4 Категории засегнати лица

Обработката засяга следните категории засегнати лица:

• Посетители на уебсайта (крайни потребители): Физически лица, които посещават уебсайтовете на администратора и чиито решения за даване на съгласие се запитват, обработват и съхраняват чрез банера на Biscotti CMP.
• Клиенти (титуляри на акаунти): Физически лица, еднолични търговци или представители на юридически лица, които като договорни партньори на обработващия лични данни са регистрирали акаунт в Biscotti CMP.
• Членове на екипа и служители: лица, които са били поканени от титуляря на акаунта (администратора) като допълнителни потребители в таблото за управление на Biscotti CMP, за да управляват системата.
• Клиенти на агенции (притежатели на под-акаунти): Крайни клиенти на агенции, които използват тарифата „Agency“ и за които са създадени под-акаунти.

§ 5 Задължения и права на отговорното лице

5.1 Законосъобразност на обработката Отговорният носи изключителна отговорност за преценката на допустимостта на възложената обработка, както и за защитата на правата на засегнатите лица (чл. 4, т. 7 от ОРЗД). Отговорното лице гарантира, че съществува валидно правно основание (например съгласие съгласно чл. 6, ал. 1, буква а) от ОРЗД или легитимен интерес съгласно чл. 6, ал. 1, буква е) от ОРЗД) за обработката на личните данни от обработващия лични данни. Това важи по-специално за използването на Biscotti CMP за получаване на съгласие съгласно § 25, ал. 1 от TDDDG.

5.2 Задължения за информиране Администраторът носи пълна отговорност за информирането на засегнатите лица (по-специално посетителите на уебсайта) по прозрачен, точен и навременен начин относно обработката на данни съгласно чл. 13 и чл. 14 от ОРЗД. За целта обработващият лични данни предоставя на администратора необходимата техническа информация за функционирането на Biscotti CMP, както и примерни текстове чрез асистента на Legal Suite. Правната проверка и включването на декларацията за защита на личните данни е задължение на администратора.

5.3 Използване от агенции и дистрибутори Ако администраторът използва тарифата „Agency“ и създава подсметки за свои клиенти, администраторът остава единственият договорно обвързан партньор по отношение на обработващия лични данни и носи отговорност по отношение на защитата на личните данни. Отговорното лице гарантира, че разполага с необходимите договорни споразумения (включително собствени договори за обработка на данни) със своите крайни клиенти. Ако отговорното лице създаде страница за дистрибутори или използва собствени имейл сървъри под собствен домейн, то носи изключителната отговорност по отношение на защитата на личните данни и конкурентното право за тази инфраструктура. Обработващият данни не поема никаква отговорност за това.

5.4 Съобщаване на грешки Администраторът трябва незабавно и изчерпателно да информира обработващия лични данни, ако при проверката на резултатите от поръчката установи грешки или нередности по отношение на разпоредбите за защита на личните данни.

§ 6 Право на отговорното лице да дава указания

6.1 Вид и обхват на указанията Обработващият лични данни обработва лични данни изключително въз основа на документирани указания от отговорния, освен ако не е задължен да го направи съгласно правото на Съюза или на държавите-членки, на което подлежи (чл. 28, ал. 3, буква а) от ОРЗД). В такъв случай обработващият лични данни уведомява администратора за това законово изискване преди обработката, освен ако съответното право не забранява такова уведомяване поради важен обществен интерес.

Основният договор, както и настоящите ОУ, представляват първоначалните документирани указания. Използването на функциите на Biscotti CMP (например конфигуриране на банера, стартиране на сканиране, генериране на текстове) от администратора в таблото за управление се счита за документирано индивидуално указание.

6.2 Форма на указанията Указанията обикновено могат да се дават чрез потребителския интерфейс на софтуера (приложението). Указанията, които надхвърлят това, трябва да се дават в писмена форма (например по електронна поща на [email protected]). Устните указания трябва незабавно да бъдат потвърдени от администратора в писмена форма.

6.3 Възражения срещу указания Обработващият данни незабавно информира отговорното лице, ако счита, че дадено указание нарушава ОРЗД, Федералния закон за защита на данните (BDSG) или други разпоредби за защита на данните на Съюза или на държавите-членки. Обработващият данни има право да спре изпълнението на съответното указание, докато то не бъде потвърдено или променено от отговорното лице. Очевидно незаконосъобразни указания могат да бъдат отхвърлени от обработващия лични данни.

§ 7 Задължение за поверителност

7.1 Задължение на служителите Обработващият потвърждава, че е задължил всички лица, които са упълномощени да обработват личните данни на администратора (служители, свободни сътрудници, органи), да спазват поверителност преди започването на дейността (чл. 28, ал. 3, буква б) от ОРЗД) или че те са подчинени на съответното законово задължение за поверителност. Това задължение обхваща и тайната на данните и остава в сила и след прекратяване на дейността или трудовото правоотношение.

7.2 Обучение и осведомяване Обработващият данни гарантира, че лицата, упълномощени да извършват обработка, редовно се обучават и осведомяват относно разпоредбите за защита на данните (ОРЗД, BDSG) и сигурността на данните. Обработващият данни, представляван от ръководството (Даниел Бош, Филип Андре Маршал), се грижи за корпоративна култура, съобразена с изискванията за защита на данните.

7.3 Длъжностно лице по защита на данните Обработващият данни е назначил компетентно и надеждно длъжностно лице по защита на данните, доколкото това се изисква по закон съгласно § 38, ал. 1 от BDSG или чл. 37 от ОРЗД (например при обикновено най-малко 20 лица, които постоянно се занимават с автоматизирана обработка).

Ако няма законово задължение за назначаване, обработващият данни все пак гарантира, че задълженията по отношение на защитата на данните се контролират и спазват изцяло от ръководството.

§ 8 Технически и организационни мерки (TOMs) съгласно чл. 32 от ОРЗД

8.1 Принцип на сигурност на обработката Обработващият данни декларира задължително, че, като взема предвид състоянието на техниката, разходите за внедряване и вида, обхвата, обстоятелствата и целите на обработката, както и различна вероятност за настъпване и тежест на риска за правата и свободите на физическите лица, е предприел подходящи технически и организационни мерки (ТОМ), за да гарантира ниво на защита, съответстващо на риска (чл. 32 ОРЗД). Тези мерки се основават на признати стандарти за ИТ сигурност (като ISO 27001 и SOC 2).

8.2 Конкретни мерки Обработващият лични данни прилага по-специално следните мерки и ги поддържа през целия срок на договора:

а) Псевдонимизация и криптиране (чл. 32, ал. 1, буква а) от ОРЗД)

• Криптиране при предаване: Всички предавания на данни между крайния потребител, администратора и инфраструктурата на Biscotti CMP задължително се извършват чрез най-модерни протоколи за криптиране (TLS 1.2 или TLS 1.3).
• Криптиране в състояние на покой: Всички бази данни и носители на данни на Hetzner Online GmbH (местоположение на сървъра NL) са криптирани на ниво твърд диск (AES-256).
• Псевдонимизация: Решенията за даване на съгласие не се свързват с истински имена, а с произволно генериран криптографски идентификационен номер. IP адресите се съкращават/анонимизират по подразбиране, веднага след като приключи определянето на местоположението.

б) Поверителност (контрол на достъпа)

• Контрол на достъпа: Физическата сигурност на използваните сървъри се гарантира от външния доставчик на инфраструктурни услуги (напр. Google Cloud). Центровете за данни подлежат на строги, обичайни за бранша, контроли на достъпа и сигурността. Собствените офис помещения на Campcruisers GmbH са обезопасени чрез подходящи физически ограничения на достъпа (напр. защитни ключалки).
• Контрол на достъпа: Достъпът до ИТ-системите на обработващия лични данни е защитен чрез строги правила за пароли, многофакторна автентификация (MFA) за съответните административни достъпи, както и изтичане на времето за сесията. Използват се системи като Cloudflare Turnstile, за да се защитят опитите за вход от атаки на ботове.
• Контрол на достъпа: Прилага се принципът на минималното предоставяне на права (Role-Based Access Control - RBAC). Служителите на обработващия лични данни имат достъп само до данните, които са абсолютно необходими за съответната им задача. Клиентските данни от различните тарифи са логически отделени една от друга (многоклиентска способност).

в) Целостност (контрол на предаването, въвеждането и разделянето)

• Контрол на предаването: Данните не се пренасят на физически носители. Предаването се извършва изключително чрез защитени мрежи.
• Контрол на въвеждането: Biscotti CMP разполага с изчерпателен протокол за проверка (аудит-лог). По всяко време може да се проследи кой потребител (клиент, член на екипа, агенция) е направил какви промени в таблото (например промяна на текстовете на банерите, адаптиране на категориите на бисквитките) и кога.
• Контрол на разделянето: Данните, събрани за различни цели, се обработват отделно. Производствените, тестовите и разработващите среди са строго изолирани една от друга.

г) Наличност и устойчивост (чл. 32, ал. 1, букви б) и в) от ОРЗД)

• Наличност: Обработващият лични данни предприема обичайни за бранша, подходящи мерки за осигуряване на наличността на системите (хостинг на Hetzner Online GmbH). Не се гарантират обаче изрични SLA-наличности и не съществува пълна излишност на инфраструктурата.
• Натоварване: Системната архитектура е проектирана така, че очакваните обеми на сесиите обикновено се обработват надеждно. Не се използват обаче специални механизми за балансиране на натоварването или автоматично мащабиране (Auto-Scaling).
• Възстановяемост: Обработващият лични данни взема подходящи предпазни мерки (например редовни архивирания на базите данни), за да позволи възстановяване на данните в случай на технически инцидент. Не се дава обаче гаранция за възстановяване без загуба на данни, поради което отговорното лице се приканва да използва на собствена отговорност наличните му функции за експортиране.

д) Процедури за редовна проверка (чл. 32, ал. 1, буква г) от ОРЗД)

• Обработващият данни редовно проверява вътрешно ефективността на предприетите технически и организационни мерки.
• Съществуват вътрешни процеси за реагиране при инциденти (Incident-Response), за да могат потенциалните инциденти да бъдат разрешени в рамките на закона.
• ТОМ са предмет на непрекъснат процес на подобряване.

8.3 Адаптиране на техническите и организационните мерки Техническите и организационните мерки подлежат на технически напредък и по-нататъшно развитие. Обработващият данни има право да прилага алтернативни адекватни мерки, стига нивото на сигурност да не е по-ниско от това на определените мерки. Съществените промени трябва да бъдат съобщавани на администратора в писмена форма.

§ 9 Подизпълнители

9.1 Наемане на подизпълнители Администраторът предоставя на обработващия лични данни с настоящото общо писмено разрешение (чл. 28, ал. 2 от ОРЗД) да ангажира други обработващи лични данни (подизпълнители). Обработващият данни гарантира, че подбира внимателно подизпълнителите и ги подчинява договорно на същите задължения за защита на данните, които са определени в настоящия договор (чл. 28, ал. 4 от ОРЗД).

9.2 Настоящи одобрени подизпълнители Към момента на сключване на договора следните подизпълнители работят за предоставянето на услугите на Biscotti CMP и се считат за одобрени от администратора. Обработващият данни е гарантирал, че при доставчици от САЩ съответният клон в ЕС действа като договорна страна, за да се запази нивото на защита на данните в ЕС:

9.3 Предаване на данни към трети държави Ако се извършва обработка от подизпълнители извън Европейския съюз (ЕС) или Европейското икономическо пространство (ЕИП) (например при Resend), обработващият данни гарантира, че са изпълнени специалните изисквания на чл. 44 и сл. от Общия регламент за защита на данните (GDPR). Това обикновено се извършва чрез сключване на актуалните стандартни договорни клаузи (SCC) на Европейската комисия във връзка с оценка на въздействието на трансфера (Transfer Impact Assessment) и прилагането на допълнителни технически мерки (например криптиране).

9.4 Смяна или привличане на нови подизпълнители Обработващият данни ще информира администратора за всяка планирана промяна по отношение на привличането или замяната на подизпълнители. Информацията се предоставя в писмена форма (например по електронна поща на адреса, посочен в профила) най-малко 30 дни преди планираната промяна. Отговорното лице може да възрази срещу промяната по важна причина, свързана със защитата на личните данни, в срок от 14 дни след получаване на уведомлението. Ако не бъде подаден възражение, промяната се счита за одобрена. В случай на обосновано възражение, което обработващият лични данни не може да отстрани чрез разумни мерки, администраторът има право да прекрати основния договор извънредно към момента на влизане в сила на промяната.

§ 10 Подкрепа при упражняване на правата на засегнатите лица

10.1 Задължение за подпомагане Обработващият данни подпомага администратора, доколкото е възможно, с подходящи технически и организационни мерки при изпълнението на неговото задължение да отговаря на заявления за упражняване на правата на засегнатите лица, посочени в глава III на ОРЗД (чл. 15–22 ОРЗД) (чл. 28, ал. 3, буква е) ОРЗД).

10.2 Техническо изпълнение в Biscotti CMP Biscotti CMP има за цел да подпомага технически администратора при изпълнението на неговите задължения:

• Право на достъп (чл. 15 ОРЗД) и право на преносимост на данните (чл. 20 ОРЗД): Софтуерът предлага възможности за експортиране на данни (например като CSV), съответно експортирането на конкретни идентификатори на съгласие може да бъде поискано от отдела за поддръжка в съответствие с изискванията за защита на данните.
• Право на оттегляне (чл. 7, ал. 3 от ОРЗД): Банерът за съгласие на Biscotti CMP предлага на крайните потребители функция за достъп до направените настройки и възможност за оттегляне по всяко време.
• Право на изтриване (чл. 17 от ОРЗД): Събраните данни могат да бъдат изтрити от администратора чрез предоставените функции в таблото за управление или да бъде поискано изтриването им от отдела за поддръжка, като се предостави доказателство за това.

10.3 Препращане на запитвания Ако засегнато лице упражни правата си директно пред обработващия лични данни, той няма да отговори самостоятелно на запитването, а незабавно ще насочи засегнатото лице към администратора, доколкото е възможно да се установи връзка с администратора въз основа на наличните данни. Обработващият лични данни незабавно препраща запитването към администратора.

§ 11 Подкрепа при ОВЗД и задължения за докладване

11.1 Оценка на въздействието върху защитата на данните (чл. 35 от ОРЗД) Обработващият лични данни подпомага администратора, като взема предвид вида на обработката и информацията, с която разполага, при извършването на оценка на въздействието върху защитата на личните данни (ОВЗЛД) съгласно чл. 35 от ОРЗД, както и при евентуално необходимо предварително консултиране с надзорния орган (чл. 36 от ОРЗД).

11.2 Съобщаване на нарушения на защитата на лични данни Обработващият данни е длъжен да съобщи на администратора всяко нарушение на защитата на лични данни (инцидент с данни), което засяга данните, обработвани по поръчка, незабавно, но не по-късно от 48 часа след узнаването за него, в писмена форма.

§ 12 Изтриване и връщане на данни

12.1 Изтриване след изтичане на договора След приключване на предоставянето на услугите по обработка (прекратяване на основния договор) обработващият лични данни е длъжен, по избор на администратора, да изтрие или върне всички лични данни, освен ако съгласно правото на Съюза или правото на държавите-членки (напр. задължения за съхранение съгласно търговското и данъчното право съгласно Търговския кодекс и Данъчния кодекс) не съществува задължение за съхранение на личните данни.

12.2 Стандартен процес на Biscotti CMP Освен ако отговорното лице не даде други указания, се прилага следният стандартен процес: Отговорното лице има възможност самостоятелно да архивира данните си преди изтичане на договора чрез функцията за експортиране (CSV). След влизане в сила на прекратяването и изтичане на отчетния период акаунтът на отговорното лице се деактивира. Личните данни, съхранени в акаунта, се запазват за преходен период от 30 дни (срок на съхранение), за да се позволи възстановяване в случай на непреднамерено понижаване на плана. След изтичането на тези 30 дни данните се изтриват безвъзвратно и в съответствие с изискванията за защита на личните данни от производствените системи.

12.3 Потвърждение на изтриването Обработващият данните потвърждава на отговорното лице, по негово изрично искане, изтриването на данните в съответствие със законодателството за защита на личните данни в писмена форма.

§ 13 Права на контрол и одити

13.1 Право на проверка Обработващият предоставя на администратора цялата необходима информация, за да докаже спазването на задълженията, заложени в чл. 28 от ОРЗД и в настоящия договор. Той позволява проверки – включително инспекции –, които се извършват от администратора или от назначен от него одитор, задължен да спазва конфиденциалност, и съдейства за тяхното провеждане.

13.2 Провеждане на одити За да не се застраши сигурността на центровете за данни и поверителността на данните на други клиенти (разделяне на клиенти), страните договарят следния подход за одити:

• Отговорното лице ще упражнява правото си на контрол предимно чрез изискване и оценка на значими сертификати (напр. ISO 27001) или чрез подробни въпросници за ИТ-сигурността.
• Ако тази информация не е достатъчна, отговорното лице има право да проведе инспекция на място в офисите на Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Инспекциите на място трябва да бъдат обявени с подходящо предизвестие (обикновено най-малко 14 дни).

§ 14 Отговорност и обезщетение за вреди

14.1 Външни отношения (спрямо засегнатите лица) Отговорникът и обработващият данни носят отговорност за обезщетяване на вреди спрямо засегнатото лице съгласно чл. 82 от ОРЗД. Обработващият данни носи отговорност за вредите, възникнали в резултат на обработката, само ако не е изпълнил задълженията си по ОРЗД или е действал в нарушение на законно дадените указания на отговорника.

14.2 Вътрешни отношения (между страните) Във вътрешните отношения страните се освобождават от отговорност, ако една от страните докаже, че по никакъв начин не е отговорна за обстоятелството, довело до настъпването на вредата.

14.3 Ограничаване на отговорността съгласно основния договор В допълнение се прилагат разпоредбите за отговорността от основния договор (Общи условия). Отговорността за лека небрежност се изключва, освен ако не става въпрос за нарушение на съществени договорни задължения (кардинални задължения). В този случай отговорността се ограничава до типичните за договора, предвидими вреди.

§ 15 Заключителни разпоредби

15.1 Писмена форма и изменения Измененията и допълненията към настоящия договор трябва да бъдат в писмена форма (например по електронна поща). Обработващият данни си запазва правото да измени настоящия договор, за да го приспособи към промени в правната ситуация или техническите разработки. Администраторът се уведомява за измененията по електронна поща.

15.2 Йерархия Ако отделни разпоредби на настоящия договор за обработка на данни противоречат на разпоредбите на основния договор (Общи условия), разпоредбите на настоящия договор за обработка на данни имат предимство по отношение на защитата и сигурността на данните.

15.3 Разделителна клауза Ако отделни разпоредби от настоящия договор са или станат недействителни или неприложими, това не засяга валидността на останалите разпоредби. Страните се задължават да заменят недействителната или неприложимата разпоредба с действителна и приложима разпоредба.

15.4 Приложимо право и компетентен съд Настоящият договор се подчинява изключително на правото на Федерална република Германия, с изключение на Конвенцията на ООН за договорите за международна продажба на стоки. Изключителната компетентност за всички спорове, произтичащи от или свързани с настоящия договор, е, доколкото това е допустимо по закон, седалището на обработващия лични данни (Фалкензее). Езикът на договора е немски.