1. Страни и роли
Настоящото Споразумение за обработка на данни („DPA") урежда отношенията във връзка с обработка на лични данни между UGCBG.eu („Платформата") и регистриран рекламодател („Бранда"). Във връзка с данните, обменяни в рамките на индивидуални кампании (профили на креатори, кореспонденция, доставяеми, статистики), страните действат като съ-администратори (joint controllers) по смисъла на чл. 26 GDPR за данните, които и двете страни обработват за собствени цели. За данни, които Платформата обработва изключително по нареждане на Бранда (например custom audience targeting), Платформата действа като обработващ.
2. Категории субекти и данни
- Креатори/инфлуенсъри — име, профил, ниши, портфолио, рейт, статистики.
- Представители на Бранда — име, имейл, длъжност.
- Кореспонденция и метаданни за кампания.
3. Цели на обработката
- Реализиране на конкретна кампания.
- Издаване на счетоводни документи.
- Спорове и медиация.
- Подобряване на услугите (на ниво анонимизирани метрики).
4. Задължения на страните
Платформата:
- Обработва данните само за описаните цели.
- Прилага технически и организационни мерки (TLS, криптиране в покой за чувствителни данни, контрол на достъп, логване).
- Уведомява Бранда в 72-часов срок при нарушение на сигурността, засягащо данните на кампанията.
- Подпомага Бранда при заявки от субекти, DPIA и комуникация с надзорни органи.
- Изтрива или връща данните при прекратяване на отношенията, освен при правно задължение за съхранение.
Бранда:
- Има правно основание за обработка на данните, които получава от Платформата.
- Не препредава данни на трети лица извън одобрен списък без отделно основание.
- Поддържа своя информираност (privacy notice) към субектите си.
- Отговаря на заявки от субекти, отнасящи се до собствените му обработки.
5. Подобработващи (Sub-processors)
Платформата използва следните подобработващи:
- Stripe Inc. — плащания (SCC).
- Hetzner Online GmbH — хостинг (ЕС).
- SMTP провайдер — изпращане на имейли.
- Google LLC — анонимизирана аналитика (SCC, само след consent).
Промени в списъка се обявяват с 30-дневно предизвестие. Бранда може да възрази; при невъзможност да се намери алтернатива, договорът може да бъде прекратен.
6. Международни трансфери
За трансфери извън ЕИП се прилагат Стандартни договорни клаузи (SCC) на Европейската комисия и допълнителни мерки (псевдонимизация, криптиране).
7. Срокове на съхранение
Виж Политика за поверителност, т. 6.
8. Одит
Бранда има право на одит на спазването на това DPA веднъж годишно с 30-дневно предизвестие. Одитът се извършва с разумни мерки, които не нарушават поверителността на други клиенти.
9. Отговорност
Всяка страна отговаря за собствените си нарушения. Регресни искове се регулират от чл. 82 GDPR.
10. Контакти
DPO на Платформата: dpo@ugcbg.eu