Споразумение за обработване на лични данни

Последна актуализация на 12 октомври 2026 г.

Настоящото Споразумение за обработване на лични данни („DPA“) е неразделна част от и се включва чрез препращане в Общите условия между Шушко ЕООД („Shushko“, „ние“, „нас“ или „наш“) и Клиента, който е приел тези Общи условия и контролира съответната Организация („Клиентът“, „вие“, „вас“ или „ваш“) (заедно „Споразумението“).

Настоящото DPA се прилага автоматично от момента, в който Споразумението влезе в сила, и не се изисква отделно подписване. При разумно писмено искане Shushko ще предостави подписано или двустранно подписано копие.

Термините, изписани с главна буква, които не са определени в настоящото DPA, имат значението, дадено им в Политиката за поверителност на Shushko или в Споразумението.

1. Определения

„GDPR“ означава Регламент (ЕС) 2016/679.
„Лични данни“, „Обработване“, „Администратор“, „Обработващ лични данни“, „Субект на данни“, „Нарушение на сигурността на личните данни“ и „Специални категории лични данни“ имат значението, дадено им в GDPR.
„Данни на Клиента“ означава личните данни, описани в Приложение I, които Shushko обработва от името на Клиента във връзка с Услугата.
„Подизпълнител“ означава друг обработващ лични данни, ангажиран от Shushko да обработва Данни на Клиента от името на Клиента.

2. Обхват и роли

2.1 Настоящото DPA се прилага, когато Shushko обработва Лични данни от името на Клиента като Обработващ лични данни, по-специално:

(a) данни на Гости и посетители, събрани чрез Клиентски сайт или по друг начин чрез Услугата във връзка с резервации, плащания, статистика за посетителите на Клиентски сайт и всяка друга функционалност на Услугата, която Клиентът използва или активира;

(b) данни за самоличност, документи за пътуване или регистрация, събрани от името на Клиента с цел спазване на местното законодателство относно регистрацията в областта на туризма, настаняването или обществената сигурност, когато Клиентът е активирал тази функционалност, и — когато тази функционалност е налична за съответната юрисдикция и е активирана от Клиента — предавани на съответния орган по указание на Клиента; и

(c) данни на Гости, които Клиентът предоставя на Shushko чрез канал за поддръжка, включително чат на живо и имейл, във връзка с искане за съдействие.

2.2 В отношенията между Страните Клиентът е Администраторът, а Shushko е Обработващият лични данни по отношение на Личните данни, описани в т. 2.1. Shushko действа като самостоятелен Администратор по отношение на собствените си данни за профили, фактуриране и маркетинг, както е описано в неговата Политика за поверителност, и настоящото DPA не се прилага за това обработване.

2.3 Предметът, продължителността, естеството и целта на обработването, както и категориите лични данни и субекти на данни, обхванати от настоящото DPA, са посочени в Приложение I.

2.4 Клиентът следва да предоставя чрез канал за поддръжка само Личните данни, необходими за разрешаването на конкретния въпрос, и не трябва да предоставя чрез такъв канал данни от документи за самоличност или пътуване, нито Специални категории лични данни.

3. Задължения на Обработващия лични данни

Shushko се задължава да:

(a) обработва Личните данни само по документирано нареждане на Клиента, включително по отношение на предаването на Лични данни на трета държава или международна организация, освен когато Shushko е длъжно да извърши такова обработване по силата на правото на ЕС или на държава членка, приложимо спрямо Shushko. В такъв случай Shushko ще информира Клиента за това правно изискване преди обработването, освен ако приложимото право забранява такова информиране по важни причини от обществен интерес;

(b) гарантира, че лицата, упълномощени да обработват Лични данни, са обвързани със задължение за поверителност;

(c) прилага подходящи технически и организационни мерки, за да осигури ниво на сигурност, съответстващо на риска, както е описано в Приложение II;

(d) ангажира Подизпълнители само в съответствие с общото разрешение на Клиента и условията, посочени в раздел 4;

(e) подпомага Клиента чрез подходящи технически и организационни мерки, доколкото това е възможно, при изпълнението на задължението му да отговаря на искания на Субекти на данни, които желаят да упражнят правата си по глава III от GDPR. Shushko не отговаря самостоятелно на такива искания. Когато получи такова искане пряко, Shushko ще насочи Субекта на данни към Клиента;

(f) подпомага Клиента, като взема предвид естеството на обработването и информацията, с която Shushko разполага, при изпълнението на задълженията му по членове 32–36 от GDPR, включително по отношение на сигурността, уведомяването за нарушения на сигурността на личните данни и оценките на въздействието върху защитата на данните;

(g) по избор на Клиента изтрива или връща всички Лични данни след прекратяване на предоставянето на съответните Услуги и изтрива съществуващите копия, освен когато приложимото законодателство изисква по-нататъшното им съхранение, и при спазване на сроковете и условията за съхранение, посочени в раздел 8;

(h) предоставя на Клиента информацията, която е разумно необходима, за да се докаже спазването на настоящото DPA и член 28 от GDPR, и допуска и съдейства за извършването на одити, включително проверки, провеждани от Клиента или от одитор, упълномощен от Клиента, при разумно предварително уведомление и при спазване на задължение за поверителност.

Shushko може да изпълни такова искане чрез предоставяне на налична документация, сертификати или доклади от одити, извършени от трети страни, когато те в разумна степен отговарят на искането. Всеки допълнителен одит или проверка е за сметка на Клиента, не трябва неоправдано да възпрепятства дейността на Shushko и може да се извършва не повече от веднъж в рамките на всеки 12-месечен период, освен когато това се изисква от надзорен орган или след Нарушение на сигурността на личните данни, засягащо Данните на Клиента.

Споразумението, настоящото DPA и настройките и начинът, по който Клиентът използва Услугата, заедно представляват пълните документирани указания на Клиента към Shushko относно обработването на Данни на Клиента. Всяко допълнително или различно указание трябва да бъде договорено писмено.

4. Подизпълнители

4.1 Клиентът предоставя на Shushko общо писмено разрешение да ангажира Подизпълнители за подпомагане на предоставянето на Услугата. Това означава, че Клиентът не е необходимо да одобрява отделно всеки нов Подизпълнител — вместо това Клиентът се уведомява за промените и може да възрази съгласно раздел 4.2, при условие че Shushko:

(a) налага на всеки Подизпълнител задължения за защита на личните данни, които по същество съответстват на тези по настоящото DPA; и

(b) остава изцяло отговорно пред Клиента за изпълнението на тези задължения от всеки Подизпълнител.

4.2 Shushko ще уведомява Клиента в разумен срок преди всяко планирано добавяне или замяна на Подизпълнител, като му предоставя възможност да възрази на разумни основания, свързани със защитата на личните данни.

Ако Клиентът възрази на разумни основания, свързани със защитата на личните данни, той може да прекрати абонамента си в Платформата. Това е единственото средство за защита на Клиента, а всяко възстановяване на сума се урежда от нашата Политика за възстановяване на суми и анулиране.

5. Международно предаване на лични данни

Shushko съхранява Данните на Клиента в инфраструктура, разположена в рамките на Европейското икономическо пространство (ЕИП). Някои Подизпълнители обработват Данни на Клиента извън ЕИП, както е посочено в Приложение III.

Когато Лични данни се предават на Подизпълнител, намиращ се извън ЕИП, Shushko ще гарантира, че преди предаването е налице подходящ механизъм за него, например Стандартните договорни клаузи на Европейската комисия, в съответствие с подхода, описан в нашата Политика за поверителност.

Искания от органи извън ЕИП. Ако Shushko или Подизпълнител получи искане от публичен орган извън ЕИП за достъп до Данни на Клиента, Shushko ще разкрие Данни на Клиента само когато искането е законосъобразно и обвързващо, ще разкрие само изискуемия минимум и ще уведоми Клиента, освен ако законът забранява това. Данните на Клиента се криптират при предаване и при съхранение, а достъпът до тях е ограничен до упълномощени лица, за които той е необходим за предоставянето на Услугата.

Предаването на Лични данни на публичен орган съгласно раздел 2.1(b), на платформа за резервации или на друга услуга, която Клиентът свързва, се извършва по указание на Клиента към получател, който действа в собствено качество, и не представлява предаване към Подизпълнител.

6. Нарушение на сигурността на личните данни

Shushko ще уведоми Клиента без ненужно забавяне, след като узнае за Нарушение на сигурността на личните данни, засягащо Данни на Клиента, и ще предостави разумно поисканата информация, необходима, за да подпомогне Клиента при изпълнение на собствените му задължения за уведомяване по членове 33 и 34 от GDPR.

7. Оценки на въздействието върху защитата на данните

Shushko ще оказва разумно съдействие на Клиента, като разходите за това съдействие са за сметка на Клиента, при извършването на оценки на въздействието върху защитата на данните и при всякакви свързани консултации с надзорни органи, които Клиентът основателно счита за необходими, като се вземат предвид естеството на обработването и информацията, с която Shushko разполага.

8. Съхранение, връщане и изтриване на данни

8.1 Съхранение по време на действието на Споразумението. Данните за самоличност и данните от документи за пътуване на Гости, обработвани съгласно раздел 2.1(b), се изтриват 12 месеца след датата на напускане по резервацията, за която се отнасят, освен ако Клиентът не даде на Shushko други писмени указания и Shushko не се съгласи с тях или приложимото законодателство не изисква Shushko да ги съхранява по-дълго. Данните за резервации и плащания се съхраняват за срока на Споразумението и след това съгласно раздел 8.2. Данните на Гости, предоставени чрез канал за поддръжка съгласно раздел 2.1(c), се изтриват, след като вече не са необходими във връзка с искането за съдействие.

8.2 При прекратяване или изтичане на Споразумението. Настоящият раздел урежда Данните на Клиента, които остават налични към момента на прекратяване на Споразумението.

Shushko ще съхранява данните за резервации и плащания — след като данните за самоличност и данните от документи за пътуване на Гости са били изтрити съгласно раздел 8.1 — за срока, през който Клиентът е длъжен да съхранява такива данни съгласно приложимото спрямо него законодателство в областта на туризма, настаняването, данъчното облагане и счетоводството. Клиентът носи отговорност да определи този срок.

Когато Клиентът не е уведомил Shushko писмено за различен срок, Shushko ще съхранява тези данни за срок от десет години след прекратяването на Споразумението, след което ще ги изтрие.

Другите Данни на Клиента ще се съхраняват най-малко 6 месеца и ще бъдат изтрити в срок до 12 месеца, за да се отчете сезонният характер на дейността по краткосрочно отдаване под наем.

По време на приложимия срок за съхранение Клиентът може да поиска безплатно връщане на част или на всички тези Данни на Клиента в широко използван, машинночетим формат. Когато Клиентът сменя доставчика съгласно раздел 15 от Общите условия, посочените там условия за експортиране, извличане и изтриване се прилагат вместо сроковете за съхранение по настоящия раздел.

След изтичането на приложимия срок или по всяко време след искане от Клиента Shushko ще изтрие Данните на Клиента и съществуващите им копия, освен ако:

(a) приложимото законодателство изисква Shushko да съхранява част или всички от тях — например за счетоводни, данъчни или регулаторни цели, както е описано в нашата Политика за поверителност; или

(b) Клиентът е дал на Shushko писмени указания да съхранява определени Данни на Клиента за по-дълъг срок и Shushko се е съгласило с това — например за изпълнение на собствените задължения на Клиента за съхранение на данни съгласно местното законодателство в областта на туризма, настаняването или обществената сигурност.

Клиентът носи отговорност да определи какви задължения за съхранение на данни се прилагат спрямо него съгласно законодателството на юрисдикциите, в които извършва дейност.

9. Специални категории лични данни

Клиентът не трябва да предоставя чрез Услугата, нито да възлага на Shushko да обработва Специални категории лични данни по смисъла на член 9 от GDPR, освен когато такова обработване се изисква изрично от приложимото законодателство за целта, описана в раздел 2.1(b), Клиентът е уведомил предварително Shushko писмено и Shushko се е съгласило писмено Услугата да се използва за такова обработване.

Нищо в настоящия раздел не задължава Shushko да приема или изпълнява указание за обработване, което е незаконосъобразно, извън обхвата на Услугата или което Shushko не се е съгласило да поддържа.

За яснота, данните за самоличност и данните от документи за пътуване, събирани съгласно раздел 2.1(b), не представляват Специални категории лични данни и изискванията за уведомяване и предварително съгласие по настоящия раздел не се прилагат за тях.

10. Отговорност

Отговорността на всяка от Страните, произтичаща от или във връзка с настоящото DPA, е предмет на ограниченията и изключенията на отговорността, посочени в Споразумението.

11. Срок на действие

Настоящото DPA влиза в сила от момента, в който Клиентът за първи път приеме Споразумението, и остава в сила, докато Shushko обработва Данни на Клиента съгласно Споразумението, при спазване на раздел 8.

12. Приложимо право и предимство

Настоящото DPA се урежда от същото приложимо право като Общите условия, а разпоредбите на Общите условия относно компетентната юрисдикция се прилагат към всеки спор, възникнал във връзка с настоящото DPA.

При противоречие между настоящото DPA и Общите условия по въпроси, свързани с обработването на Лични данни, настоящото DPA има предимство.

Настоящото DPA се публикува на английски език. Когато предоставяме преведена версия, тя е само за улеснение, а при несъответствие или противоречие английската версия има предимство.

13. Промени в настоящото DPA

Shushko може да предлага промени в настоящото DPA. Shushko ще уведомява Клиента за всяка промяна най-малко 30 дни предварително чрез Платформата и чрез данните за контакт в профила на Клиента. Посочената по-горе дата „Последна актуализация“ отразява последната редакция.

Промяната се прилага спрямо Клиента от датата, на която следва да влезе в сила. Ако Клиентът не е съгласен с нея, той може да прекрати абонамента си в Платформата преди тази дата, като в този случай предишната версия на настоящото DPA продължава да се прилага до прекратяването на абонамента. Промените, свързани с Подизпълнители, се уреждат вместо това от раздел 4.2.

14. Контакти

За въпроси относно настоящото DPA се свържете с Shushko чрез данните за контакт в нашата Политика за поверителност.

Приложение I — Подробности за обработването

Предмет: Предоставянето на Услугата от Shushko на Клиента, включително работата на Клиентските сайтове, улесняването на резервации и плащания, функционалността за регистрация на Гости, когато е активирана, както и другите функционалности на Услугата, които Клиентът използва.

Продължителност: Както е посочено в раздел 8 от настоящото DPA.

Естество и цел на обработването: Хостване, съхранение, предаване и обработване на Лични данни, доколкото е необходимо за работата на Клиентските сайтове, обработването на резервации и плащания, изготвянето на статистика за посетителите на Клиентските сайтове, предоставянето на другите функционалности на Услугата, които Клиентът използва или активира, както и — когато Клиентът е активирал съответната функционалност — събирането, съхраняването и предоставянето на информация на Клиента за самоличността или регистрацията на Гости, необходима за изпълнение на собствените му задължения за подаване на информация съгласно местното законодателство в областта на туризма, настаняването или обществената сигурност. Когато такава функционалност е налична за съответната юрисдикция и е активирана от Клиента, Shushko може по негово указание да предава тази информация на съответния орган.

Категории субекти на данни: посетители на Клиентски сайт, Гости, които резервират имот чрез Клиентски сайт или чиито данни се събират по друг начин чрез Услугата, включително малолетни и непълнолетни лица, когато е приложимо, както и други лица, чиито данни се предоставят от Клиента или от Гост във връзка с резервация или изискване за регистрация.

Видове лични данни: Данни за контакт (име, имейл адрес, телефонен номер); данни за резервацията (дати, имот, цена); данни, свързани с плащания, включително данни за потвърждение при онлайн плащания с карта (обработвани чрез Stripe; Shushko не съхранява пълните данни на картата) и записи за плащания, извършени извън Платформата, например в брой или чрез банков превод; както и — когато Клиентът е активирал съответната функционалност — данни за самоличност, документи за пътуване или регистрация, необходими за местни регистрационни изисквания, включително, когато е приложимо, данни за непълнолетни лица (например име, номер на паспорт или лична карта, гражданство, дата на раждане или друга информация, изисквана от приложимото законодателство).

За статистиката за посетителите на Клиентски сайт се обработват само технически данни за заявката — посетените страници, сайтът, от който е дошъл посетителят, приблизителната държава и видът на устройството — от които се извежда краткотраен, необратим идентификатор, който след 24 часа не може да бъде свързан с конкретен посетител.

Това може да включва и други Лични данни, които Клиентът избере да събира чрез активирани от него функционалности на Услугата, както и Лични данни, които Клиентът изпраща чрез канал за поддръжка съгласно раздел 2.1(c).

Приложение II — Технически и организационни мерки за сигурност

Shushko прилага мерки, които включват, но не се ограничават до:

Криптиране на Личните данни при предаване (HTTPS/TLS).
Криптиране на Личните данни при съхранение на ниво инфраструктура чрез управлявана облачна услуга за бази данни с вградено криптиране на съхраняваните данни.
Допълнително криптиране на ниво отделни полета, прилагано към данните за самоличност и документи за пътуване и към други изисквани от закона данни за регистрация на Гости, когато такива данни се събират.
Удостоверяването е без парола. Потребителите влизат или с еднократен код с ограничена валидност, изпратен на регистрирания им имейл адрес, или чрез външен доставчик на удостоверяване. Shushko не създава, не получава и не съхранява потребителски пароли.
Непрекъснато архивиране на данните в продукционната среда с възможност за възстановяване към конкретен момент, като архивите се съхраняват 35 дни.
Достъпът до системите в продукционната среда е ограничен до упълномощени лица, които използват индивидуално предоставени идентификационни данни с права, ограничени до необходимото. Споделени или администраторски идентификационни данни не се използват за рутинен достъп.

Приложение III — Подизпълнители

Shushko ангажира следните Подизпълнители за обработване на Данни на Клиента. Shushko ще уведомява Клиента в разумен срок преди всяко добавяне или замяна съгласно раздел 4.2.

Подизпълнител	Цел	Местоположение
Amazon Web Services	Хостинг, съхранение на данни и изпращане на имейли	Европейски съюз
Stripe, Inc.	Обработване на плащания	Съединени щати
tawk.to	Поддръжка чрез чат на живо	Съединени щати
Cloudflare, Inc.	Доставка на съдържание и мрежова сигурност	Съединени щати
Google LLC	Карти и търсене на адреси в Клиентските сайтове и в Платформата	Съединени щати
Amplitude, Inc.	Продуктови анализи и запис на сесии в Платформата	Европейски съюз