Споразумение за обработване на лични данни

Последна актуализация на 27 август 2026 г.

Настоящото Споразумение за обработване на лични данни („DPA“) е неразделна част от и се включва чрез препращане в Общите условия между Шушко ЕООД („Shushko“, „ние“, „нас“ или „наш“) и Клиента, който е приел тези Общи условия („Клиентът“, „вие“, „вас“ или „ваш“) (заедно „Споразумението“).

Настоящото DPA се прилага автоматично от момента, в който Споразумението влезе в сила, и не се изисква отделно подписване. При разумно писмено искане Shushko ще предостави подписано или двустранно подписано копие.

Термините, изписани с главна буква, които не са определени в настоящото DPA, имат значението, дадено им в Политиката за поверителност на Shushko или в Споразумението.

Определения

„GDPR“ означава Регламент (ЕС) 2016/679.
„Лични данни“, „Обработване“, „Администратор“, „Обработващ лични данни“, „Субект на данни“, „Нарушение на сигурността на личните данни“ и „Специални категории лични данни“ имат значението, дадено им в GDPR.
„Данни на Клиента“ означава личните данни, описани в Приложение I, които Shushko обработва от името на Клиента във връзка с Услугата.
„Подизпълнител при обработването“ означава друг обработващ лични данни, ангажиран от Shushko да обработва Данни на Клиента от името на Клиента.

2. Обхват и роли

2.1 Настоящото DPA се прилага, когато Shushko обработва Лични данни от името на Клиента като Обработващ лични данни, по-специално:

(a) данни на Гости и посетители, събрани чрез Клиентски сайт или по друг начин чрез Услугата във връзка с резервации, плащания, статистика за посетителите на Клиентски сайт и всяка друга функционалност на Услугата, която Клиентът използва или активира;

(b) данни за самоличност, документи за пътуване или регистрация, събрани от името на Клиента с цел спазване на местните изисквания за регистрация съгласно законодателството за туризъм, настаняване или обществена сигурност, когато Клиентът е активирал тази функционалност, и — когато такава възможност е налична и активирана — предавани на съответния орган по указание на Клиента; и

(c) данни на Гости, които Клиентът предоставя на Shushko чрез канал за поддръжка, включително чат на живо и имейл, във връзка с искане за съдействие.

2.2 В отношенията между Страните Клиентът е Администраторът, а Shushko е Обработващият лични данни по отношение на Личните данни, описани в т. 2.1. Shushko действа като самостоятелен Администратор по отношение на собствените си данни за акаунти, фактуриране и маркетинг, както е описано в Политиката му за поверителност, и настоящото DPA не се прилага за това обработване.

2.3 Предметът, продължителността, естеството и целта на обработването, както и категориите лични данни и субекти на данни, обхванати от настоящото DPA, са посочени в Приложение I.

2.4 Клиентът следва да предоставя чрез канал за поддръжка само Личните данни, необходими за разрешаването на конкретния въпрос, и не трябва да предоставя чрез такъв канал данни от документи за самоличност или пътуване, нито Специални категории лични данни.

3. Задължения на Обработващия лични данни

Shushko се задължава да:

(a) обработва Личните данни само по документирано нареждане на Клиента, включително по отношение на предаването на Лични данни на трета държава или международна организация, освен когато Shushko е длъжно да извърши такова обработване по силата на правото на ЕС или на държава членка, приложимо спрямо Shushko. В такъв случай Shushko ще информира Клиента за това правно изискване преди обработването, освен ако приложимото право забранява такова информиране по важни причини от обществен интерес;

(b) гарантира, че лицата, упълномощени да обработват Лични данни, са обвързани със задължение за поверителност;

(c) прилага подходящи технически и организационни мерки, за да осигури ниво на сигурност, съответстващо на риска, както е описано в Приложение II;

(d) ангажира Подизпълнители при обработването само в съответствие с общото разрешение на Клиента и условията, посочени в раздел 4;

(e) подпомага Клиента чрез подходящи технически и организационни мерки, доколкото това е възможно, при изпълнението на задължението му да отговаря на искания на Субекти на данни за упражняване на правата им по глава III от GDPR;

(f) подпомага Клиента, като взема предвид естеството на обработването и информацията, с която Shushko разполага, при изпълнението на задълженията му по членове 32–36 от GDPR, включително по отношение на сигурността, уведомяването за нарушения на сигурността на личните данни и оценките на въздействието върху защитата на данните;

(g) по избор на Клиента изтрива или връща всички Лични данни след прекратяване на предоставянето на съответните Услуги и изтрива съществуващите копия, освен когато приложимото законодателство изисква по-нататъшното им съхранение — виж раздел 8;

(h) предоставя на Клиента информацията, която е разумно необходима, за да се докаже спазването на настоящото DPA и член 28 от GDPR, и допуска и съдейства за извършването на одити, включително проверки, провеждани от Клиента или от одитор, упълномощен от Клиента, при разумно предварително уведомление и при спазване на задължение за поверителност.

Shushko може да изпълни такова искане чрез предоставяне на налична документация, сертификати или доклади от одити, извършени от трети страни, когато те в разумна степен отговарят на искането. Всеки допълнителен одит или проверка е за сметка на Клиента, не трябва неоправдано да възпрепятства дейността на Shushko и може да се извършва не повече от веднъж в рамките на всеки 12-месечен период, освен когато това се изисква от надзорен орган или след Нарушение на сигурността на личните данни, засягащо Данните на Клиента.

Споразумението, настоящото DPA и настройките и начинът, по който Клиентът използва Услугата, заедно представляват пълните документирани указания на Клиента към Shushko относно обработването на Данни на Клиента. Всяко допълнително или различно указание трябва да бъде договорено писмено.

4. Подизпълнители при обработването

4.1 Клиентът предоставя на Shushko общо писмено разрешение да ангажира Подизпълнители при обработването за подпомагане на предоставянето на Услугата. Това означава, че Клиентът не е необходимо да одобрява отделно всеки нов Подизпълнител при обработването — вместо това Клиентът се уведомява за промените и може да възрази съгласно раздел 4.2, при условие че Shushko:

(a) налага на всеки Подизпълнител при обработването задължения за защита на личните данни, които по същество съответстват на тези по настоящото DPA; и

(b) остава изцяло отговорно пред Клиента за изпълнението на тези задължения от всеки Подизпълнител при обработването.

4.2 Shushko ще уведомява Клиента в разумен срок предварително за всяко планирано добавяне или замяна на Подизпълнител при обработването, като му предоставя възможност да възрази на разумни основания, свързани със защитата на личните данни.

Ако Страните не успеят да разрешат възражението, Клиентът може да прекрати засегнатата част от Услугата съгласно Споразумението.

5. Международно предаване на лични данни

Данните на Клиента се съхраняват в рамките на Европейското икономическо пространство (ЕИП). Някои Подизпълнители при обработването са установени извън ЕИП, както е посочено в Приложение III.

Когато Лични данни се предават на Подизпълнител при обработването, намиращ се извън ЕИП, Shushko ще гарантира предварително наличието на подходящ механизъм за такова предаване, например Стандартните договорни клаузи на Европейската комисия, в съответствие с подхода, описан в нашата Политика за поверителност.

Предаването на Лични данни на публичен орган съгласно раздел 2.1(b) се извършва по указание на Клиента към получател, който действа в собствено качество, и не представлява предаване към Подизпълнител при обработването.

6. Нарушение на сигурността на личните данни

Shushko ще уведоми Клиента без ненужно забавяне, след като узнае за Нарушение на сигурността на личните данни, засягащо Данни на Клиента, и ще предостави разумно поисканата информация, необходима, за да подпомогне Клиента при изпълнение на собствените му задължения за уведомяване по членове 33 и 34 от GDPR.

7. Оценки на въздействието върху защитата на данните

Shushko ще оказва разумно съдействие на Клиента, като разходите за това съдействие са за сметка на Клиента, при извършването на оценки на въздействието върху защитата на данните и при всякакви свързани консултации с надзорни органи, които Клиентът основателно счита за необходими, като се вземат предвид естеството на обработването и информацията, с която Shushko разполага.

8. Съхранение, връщане и изтриване на данни

8.1 Съхранение по време на действието на Споразумението. Данните от документи за самоличност и пътуване на Гости, обработвани съгласно раздел 2.1(b), се изтриват 12 месеца след датата на напускане по резервацията, за която се отнасят, освен ако Клиентът не даде на Shushko други писмени указания и Shushko не се съгласи с тях. Данните за резервации и плащания се съхраняват за срока на Споразумението и след това съгласно раздел 8.2.

8.2 При прекратяване или изтичане на Споразумението. Настоящият раздел урежда Данните на Клиента, които остават налични към момента на прекратяване на Споразумението.

Shushko ще съхранява данните за резервации и плащания — след като данните от документи за самоличност и пътуване на Гости са били изтрити съгласно раздел 8.1 — за срока, през който Клиентът е длъжен да съхранява такива данни съгласно приложимото спрямо него законодателство в областта на туризма, настаняването, данъчното облагане и счетоводството. Клиентът носи отговорност да определи този срок.

Когато Клиентът не е уведомил Shushko писмено за различен срок, Shushko ще съхранява тези данни за срок от десет години след прекратяването на Споразумението, след което ще ги изтрие.

Другите Данни на Клиента ще се съхраняват до 12 месеца преди изтриването им, за да се отчете сезонният характер на дейността по краткосрочно отдаване под наем.

По време на приложимия срок за съхранение Клиентът може да поиска връщане на част или на всички тези Данни на Клиента. Shushko може да постави като условие за това повторното активиране на акаунта на Клиента или заплащането на разумна такса.

След изтичането на приложимия срок или по всяко време след искане от Клиента Shushko ще изтрие Данните на Клиента и съществуващите им копия, освен ако:

(a) приложимото законодателство изисква Shushko да съхранява част или всички от тях — например за счетоводни, данъчни или регулаторни цели, както е описано в нашата Политика за поверителност; или

(b) Клиентът е дал на Shushko писмени указания да съхранява определени Данни на Клиента за по-дълъг срок — например за изпълнение на собствените му задължения за съхранение на данни съгласно местното законодателство в областта на туризма, настаняването или обществената сигурност.

Клиентът носи отговорност да определи какви задължения за съхранение на данни се прилагат спрямо него съгласно законодателството на юрисдикциите, в които извършва дейност.

9. Специални категории лични данни

Клиентът не трябва да предоставя чрез Услугата и не трябва да възлага на Shushko да обработва специални категории лични данни по смисъла на член 9 от GDPR, освен когато такова обработване е изрично изисквано от приложимото законодателство за целта, описана в раздел 2.1(b), Клиентът е уведомил предварително Shushko писмено и Shushko е потвърдило писмено, че Услугата може да се използва за такова обработване.

Нищо в настоящия раздел не задължава Shushko да приема или изпълнява указание за обработване, което е незаконосъобразно, извън обхвата на Услугата или което Shushko не се е съгласило да поддържа.

За яснота, данните от документи за самоличност и пътуване, събирани съгласно раздел 2.1(b), не представляват специални категории лични данни и изискванията за предварително уведомяване и съгласуване по настоящия раздел не се прилагат за тях.

10. Отговорност

Отговорността на всяка от Страните, произтичаща от или във връзка с настоящото DPA, е предмет на ограниченията и изключенията на отговорността, посочени в Споразумението.

11. Срок на действие

Настоящото DPA влиза в сила от момента, в който Клиентът за първи път приеме Споразумението, и остава в сила, докато Shushko обработва Данни на Клиента съгласно Споразумението, при спазване на раздел 8.

12. Приложимо право и предимство

Настоящото DPA се урежда от същото приложимо право като Общите условия.

При противоречие между настоящото DPA и Общите условия по въпроси, свързани с обработването на Лични данни, настоящото DPA има предимство.

Настоящото DPA се публикува на английски език. Когато предоставяме преведена версия, тя е само за улеснение, а при несъответствие или противоречие английската версия има предимство.

Приложение I — Подробности за обработването

Предмет: Предоставянето на Услугата от Shushko на Клиента, включително работата на Клиентския сайт, улесняването на резервации и плащания, функционалността за регистрация на Гости, когато е активирана, както и другите функционалности на Услугата, които Клиентът използва.

Продължителност: Както е посочено в раздел 8 от настоящото DPA.

Естество и цел на обработването: Хостване, съхранение, предаване и обработване на Лични данни, доколкото е необходимо за работата на Клиентския сайт, обработването на резервации и плащания, изготвянето на статистика за посетителите на Клиентския сайт, предоставянето на другите функционалности на Услугата, които Клиентът използва или активира, както и — когато Клиентът е активирал съответната функционалност — събирането, съхраняването и предоставянето на Клиента на данни за самоличност или регистрация на Гости, необходими за изпълнение на собствените му задължения за подаване на информация съгласно местното законодателство в областта на туризма, настаняването или обществената сигурност. Когато такава функционалност е налична за съответната юрисдикция и е активирана от Клиента, Shushko може по негово указание да предава тази информация на съответния орган.

Категории субекти на данни: Посетители на Клиентски сайт, Гости, които резервират настаняване чрез Клиентски сайт или чиито данни се събират по друг начин чрез Услугата, включително непълнолетни лица, когато е приложимо, както и други лица, чиито данни се предоставят от Клиента или от Гост във връзка с резервация или изискване за регистрация.

Видове лични данни: Данни за контакт (име, имейл адрес, телефонен номер); данни за резервацията (дати, имот, цена); данни, свързани с плащания, включително данни за потвърждение при онлайн плащания с карта (обработвани чрез Stripe; Shushko не съхранява пълните данни на картата) и записи за плащания, извършени извън Платформата, например в брой или чрез банков превод; както и — когато Клиентът е активирал съответната функционалност — данни за самоличност, документи за пътуване или регистрация, необходими за местни регистрационни изисквания, включително, когато е приложимо, данни за непълнолетни лица (например име, номер на паспорт или лична карта, гражданство, дата на раждане или друга информация, изисквана от приложимото законодателство).

За статистиката за посетителите на Клиентски сайт се обработват само технически данни за заявката — посетените страници, сайтът, от който е дошъл посетителят, приблизителната държава и видът на устройството — от които се извежда краткотраен, необратим идентификатор, който след 24 часа не може да бъде свързан с конкретен посетител.

Това може да включва и други Лични данни, които Клиентът избере да събира чрез функционалности на Услугата, които е активирал.

Приложение II — Технически и организационни мерки за сигурност

Shushko прилага мерки, които включват, но не се ограничават до:

Криптиране на Личните данни при предаване (HTTPS/TLS).
Криптиране на Личните данни при съхранение на ниво инфраструктура чрез управлявана облачна услуга за бази данни с вградено криптиране на съхраняваните данни.
Допълнително криптиране на ниво отделни полета за определени чувствителни данни, като номера на документи за самоличност или пътуване, когато такива данни се събират.
Удостоверяването е без парола. Потребителите влизат или с еднократен код с ограничена валидност, изпратен на регистрирания им имейл адрес, или чрез външен доставчик на удостоверяване. Shushko не създава, не получава и не съхранява потребителски пароли.
Непрекъснато архивиране на данните в продукционната среда с възможност за възстановяване към конкретен момент, като архивите се съхраняват 35 дни.
Достъпът до системите в продукционната среда е ограничен до упълномощени лица, които използват индивидуално предоставени идентификационни данни с права, ограничени до необходимото. Споделени или администраторски идентификационни данни не се използват за рутинен достъп.

Приложение III — Подизпълнители при обработването

Shushko ангажира следните Подизпълнители при обработването за обработване на Данни на Клиента. Shushko ще уведомява Клиента в разумен срок предварително за всяко добавяне или замяна съгласно раздел 4.2.

Подизпълнител при обработването	Цел	Местоположение
Amazon Web Services	Хостинг, съхранение на данни и изпращане на имейли	Европейски съюз
Stripe, Inc.	Обработване на плащания	Съединени щати
tawk.to	Поддръжка чрез чат на живо	Съединени щати
Cloudflare, Inc.	Доставка на съдържание и мрежова сигурност	Съединени щати
Google LLC	Карти и търсене на адреси в Клиентските сайтове и в Платформата	Съединени щати
Amplitude, Inc.	Продуктови анализи и запис на сесии в Платформата	Европейски съюз