Начин на сключване на настоящото Споразумение

Настоящото Споразумение за обработване на данни (в Германия и Австрия наричано Auftragsverarbeitungsvertrag или AVV) е неразделна част от Общите условия на FastComments. То поражда действие автоматично, без подписване и без каквито и да е други действия от която и да е от страните, за всеки Клиент, който използва Услугата за обработване на лични данни в качеството на администратор, попадащ в обхвата на ОРЗД, на ОРЗД на Обединеното кралство или на швейцарския ФЗЗД. Член 28, параграф 9 от ОРЗД изисква настоящият договор да бъде в писмена форма, включително в електронна форма; приемането на Общите условия удовлетворява това изискване.

WinrickLabs LLC е подписало настоящото Споразумение предварително. Подписът се намира в раздел 24. Клиент, който се нуждае от приподписан екземпляр за собствената си документация, може да попълни данните си на тази страница, за да го получи, или да го поиска на адрес privacy@fastcomments.com.

Преамбюл

А. Администраторът и Обработващият са встъпили в търговски отношения, по силата на които Обработващият предоставя хоствана онлайн платформа за коментари, чат на живо и дискусии („Услугата").

Б. Тези отношения се уреждат от Общите условия, публикувани на https://fastcomments.com/terms-of-service („Основният договор").

В. Ползването на Услугата от Администратора включва обработване на лични данни, попадащо в обхвата на Регламент (ЕС) 2016/679 („ОРЗД"), на Общия регламент относно защитата на данните на Обединеното кралство във връзка с Data Protection Act 2018 (заедно наричани „ОРЗД на Обединеното кралство") и/или на швейцарския Федерален закон за защита на данните („ФЗЗД"). Поради това страните договарят условията, изисквани от член 28 от ОРЗД и, доколкото е приложимо, от глава V от ОРЗД.

1. Определения

„Лични данни на Клиента" означава лични данни, съдържащи се в или произтичащи от коментари, чат съобщения, отговори, гласувания, реакции, сигнали, качени файлове, профили на крайни потребители, атрибути за еднократна идентификация и записи от модерация, които се подават към Услугата или се генерират чрез нея от името на Администратора.

„Данни за акаунта" означава собствените данни на Администратора за контакт, фактуриране, удостоверяване, поддръжка и ползване на продукта.

„Законодателство за защита на данните" означава ОРЗД, ОРЗД на Обединеното кралство, ФЗЗД, както и всяко друго право в областта на защитата на данните, приложимо към обработването от дадена страна по настоящото Споразумение.

„Подобработващ" означава всяко трето лице, ангажирано от Обработващия да обработва Лични данни на Клиента.

„СДК" означава стандартните договорни клаузи, приложени към Решение за изпълнение (ЕС) 2021/914 на Комисията от 4 юни 2021 г.

„Анексът за Обединеното кралство" означава International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, издаден от Information Commissioner съгласно section 119A от Data Protection Act 2018, версия B1.0, в сила от 21 март 2022 г.

„Страница на подобработващите" означава https://fastcomments.com/dpa/sub-processors.

„Дата на влизане в сила" означава датата, на която Администраторът за първи път е приел Основния договор, или датата на приподписване на настоящото Споразумение, която от двете настъпи по-рано.

Понятията „администратор", „обработващ лични данни", „лични данни", „обработване", „нарушение на сигурността на личните данни", „субект на данните" и „надзорен орган" имат значението, дадено им в член 4 от ОРЗД.

2. Обхват, включване и ред на предимство

2.1 Настоящото Споразумение е неразделна част от Основния договор и се прилага към всяко обработване на Лични данни на Клиента от Обработващия.

2.2 Настоящото Споразумение отменя всички предходни условия за обработване на данни между страните.

2.3 При противоречие между настоящото Споразумение и Основния договор, включително Общите условия и Политиката за поверителност, предимство има настоящото Споразумение по отношение на обработването на Лични данни на Клиента. При противоречие между настоящото Споразумение и СДК предимство имат СДК.

2.4 Приложенията и Допълненията са неразделна част от настоящото Споразумение.

3. Роли на страните

3.1 По отношение на Личните данни на Клиента Клиентът е администратор, а WinrickLabs LLC е обработващ лични данни.

3.2 По отношение на Данните за акаунта WinrickLabs LLC действа като самостоятелен администратор. Това обработване се урежда от Политиката за поверителност, а не от настоящото Споразумение.

3.3 Когато самият Администратор е обработващ лични данни, действащ за администратор трето лице, той гарантира, че има правомощието да възложи на Обработващия качеството на подобработващ, като настоящото Споразумение се прилага mutatis mutandis, при което Модул трети от СДК замества Модул втори.

3.4 Ако Обработващият определя целите и средствата на обработване на Лични данни на Клиента, той е администратор по отношение на това обработване за целите на член 28, параграф 10 от ОРЗД.

4. Обработване по документирани указания

4.1 Обработващият обработва Лични данни на Клиента само по документирани указания на Администратора, включително относно предаването им на трета държава. Настоящото Споразумение, Основният договор, документацията на Услугата и ползването от Администратора на предоставените от Услугата възможности за конфигуриране съставляват заедно пълните документирани указания на Администратора.

4.2 Обработващият не продава Лични данни на Клиента, не ги разкрива освен по указание или по изискване на закона и не ги използва за никаква цел, различна от предоставянето на Услугата. Обработващият не използва Лични данни на Клиента за разработване, обучение, фино настройване или оценяване на модели за машинно самообучение или изкуствен интелект и изисква същото от всеки Подобработващ, който ги получава за автоматизирано класифициране или модерация.

4.3 Когато правото на Съюза, на държава членка, на Обединеното кралство или друго приложимо право задължава Обработващия да обработва Лични данни на Клиента по начин, различен от указанията на Администратора, Обработващият уведомява Администратора за това правно изискване преди обработването, освен ако това право забранява такова уведомяване на важни основания от обществен интерес.

4.4 Обработващият незабавно уведомява Администратора, ако по негово мнение дадено указание нарушава Законодателството за защита на данните, и може да спре изпълнението на засегнатото указание, докато страните не изяснят въпроса.

5. Задължения и гаранции на Администратора

5.1 Администраторът определя целите и средствата на обработване на Личните данни на Клиента и отговаря за законосъобразността на това обработване.

5.2 Администраторът гарантира, че е установил валидно правно основание за обработването, че е предоставил на съответните субекти на данни цялата информация, изисквана от членове 12 до 14 от ОРЗД, и че е получил всички съгласия, необходими за обработването и за поставянето на бисквитки или сходни технологии от Услугата.

5.3 Администраторът отговаря за съдържанието, което неговите крайни потребители подават чрез Услугата, както и за собствените си решения за модерация.

5.4 Услугата не е предназначена за обработване на специални категории лични данни по смисъла на член 9 от ОРЗД или на лични данни, свързани с присъди и нарушения, по смисъла на член 10 от ОРЗД. Администраторът инструктира съответно своите крайни потребители и не подава съзнателно такива данни към Услугата.

6. Поверителност на персонала

6.1 Достъпът до Лични данни на Клиента е ограничен до лицата, на които той е необходим за изпълнението на Основния договор. Към 5 август 2026 г. никой изпълнител няма достъп до Лични данни на Клиента.

6.2 Всяко лице, оправомощено да обработва Лични данни на Клиента, е обвързано със задължение за поверителност, което продължава да действа и след прекратяване на ангажимента му. Преди на който и да е изпълнител да бъде предоставен достъп до Лични данни на Клиента, Обработващият изисква писмено задължение за поверителност при условия, не по-малко защитни от предвидените в настоящия раздел.

7. Сигурност на обработването

7.1 Обработващият въвежда и поддържа техническите и организационните мерки, посочени в Приложение II, като отчита достиженията на техническия прогрес, разходите за прилагане, естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица.

7.2 Обработващият може да актуализира тези мерки, при условие че общото ниво на сигурност не се понижава. Съществените промени се публикуват на тази страница.

7.3 Администраторът отговаря за преценката дали тези мерки съответстват на неговия собствен рисков профил, както и за сигурното конфигуриране на Услугата, включително на настройките за съхранение, настройките за модерация, настройката за деанонимизиране на IP адреси и боравенето с ключовете за подписване при еднократна идентификация.

8. Подобработващи

8.1 Администраторът предоставя на Обработващия общо писмено разрешение по смисъла на член 28, параграф 2 от ОРЗД да ангажира Подобработващите, изброени в Приложение III, както и да ангажира други Подобработващи при спазване на настоящия раздел. Страницата на подобработващите е меродавният актуален списък, като при различие между нея и Приложение III предимство има Страницата на подобработващите.

8.2 Обработващият уведомява Администратора най-малко 30 дни преди нов Подобработващ да започне да обработва Лични данни на Клиента или преди ролята на съществуващ Подобработващ да се промени съществено. Уведомяването се извършва по електронна поща до администратора на акаунта и до всяко лице за контакт по въпросите на защитата на данните, посочено в административната конзола на FastComments, както и чрез публикуване на Страницата на подобработващите с посочване на датата на влизане в сила. За получаването на това уведомление не се изисква записване в пощенски списък или изрично съгласие.

8.3 Когато промяна трябва да бъде извършена спешно, за да се запази сигурността, целостта или непрекъснатостта на Услугата, включително когато съществуващ Подобработващ престане да предоставя съответната услуга, изпадне в несъстоятелност или ангажиментът с него бъде прекратен, Обработващият може да ангажира заместник и вместо това да уведоми във възможно най-кратък разумен срок. Правото на възражение по раздел 8.4 се прилага непроменено, считано от датата на това уведомление.

8.4 Администраторът може да възрази срещу нов Подобработващ на разумни основания, свързани със защитата на данните, с писмено уведомление до privacy@fastcomments.com в срок от 30 дни от уведомлението по раздел 8.2 или 8.3.

8.5 При възражение страните обсъждат въпроса добросъвестно в продължение на 30 дни, а Обработващият полага разумни усилия да осигури промяна, която избягва обжалваното обработване. В зависимост от съответния Подобработващ това може да включва изключване на незадължителната функция, която го ангажира, конфигуриране на Услугата така, че обжалваното обработване да не се извършва, или мигриране на акаунта на Администратора в региона Европейски съюз, като Обработващият извършва това мигриране при поискване и безплатно. Когато такава промяна не е възможна, Администраторът може да прекрати засегнатата част от Услугата или Основния договор с писмено уведомление, без такса за предсрочно прекратяване или други неблагоприятни последици и с пропорционално възстановяване на предплатените такси за неизползваната част от срока. Прекратяването на това основание е единственото средство за защита на Администратора във връзка с възражението.

8.6 Обработващият налага на всеки Подобработващ с писмен договор задължения за защита на данните, които по същество са равностойни на предвидените в настоящото Споразумение, включително задълженията за сигурност по член 32 от ОРЗД и, когато Подобработващият е установен извън Европейското икономическо пространство, подходящ механизъм за предаване. Когато даден Подобработващ все още не е сключил такъв договор, той се посочва като такъв в Приложение III заедно с извършваното от него обработване, а Обработващият работи за сключването на договор, отговарящ на настоящия раздел.

8.7 Обработващият остава изцяло отговорен пред Администратора за изпълнението на задълженията на всеки Подобработващ.

9. Съдействие при упражняване на правата на субектите на данни

9.1 Обработващият незабавно уведомява Администратора за всяко искане, което получава пряко от субект на данните във връзка с Лични данни на Клиента, и не отговаря по същество на такова искане, освен за да насочи субекта на данните към Администратора, освен ако Администраторът не разпореди друго.

9.2 Обработващият незабавно уведомява Администратора за всяко друго искане, жалба, уведомление или съобщение, което получава от надзорен орган или друг компетентен регулаторен орган и което се отнася до обработването на Лични данни на Клиента, както и за всяка претенция за обезщетение, предявена във връзка с това обработване.

9.3 Като взема предвид естеството на обработването, Обработващият подпомага Администратора чрез подходящи технически и организационни мерки, доколкото това е възможно, при изпълнението на задължението на Администратора да отговаря на искания за упражняване на правата по глава III от ОРЗД. Услугата предоставя на Администратора инструменти за намиране на краен потребител, за редактиране, изтриване или анонимизиране на отделни коментари и чат съобщения, за изтриване на краен потребител и свързаното с него съдържание, за експортиране на коментарите и потребителските данни, съхранявани за акаунта на Администратора, както и за настройване дали IP адресите се съхраняват в деанонимизирана форма. Доколкото тези инструменти позволяват на Администратора да отговори без участието на Обработващия, тяхното предоставяне съставлява дължимото по настоящия раздел съдействие. Обработващият предоставя допълнително съдействие срещу разумно възнаграждение.

10. Нарушение на сигурността на личните данни

10.1 Обработващият уведомява Администратора без ненужно забавяне и при всички случаи в срок от 48 часа, след като узнае за нарушение на сигурността на личните данни, засягащо Лични данни на Клиента.

10.2 Уведомлението описва, доколкото е известно към съответния момент: естеството на нарушението, включително, когато е възможно, категориите и приблизителния брой на засегнатите субекти на данни, както и категориите и приблизителния брой на засегнатите записи; вероятните последици от нарушението; предприетите или предложените мерки за преодоляването му, включително мерките за смекчаване на възможните неблагоприятни последици; както и звено за контакт, от което може да се получи допълнителна информация. Когато информацията не е налична наведнъж, тя се предоставя поетапно, с постъпването ѝ.

10.3 Обработващият оказва разумно сътрудничество и съдействие на Администратора във връзка със собствените му задължения по членове 33 и 34 от ОРЗД.

10.4 Уведомление по настоящия раздел не представлява признаване на вина или на отговорност.

11. Оценки на въздействието върху защитата на данните

Като взема предвид естеството на обработването и наличната му информация, Обработващият оказва разумно съдействие на Администратора при оценките на въздействието върху защитата на данните по член 35 от ОРЗД и при предварителните консултации с надзорен орган по член 36 от ОРЗД, главно чрез предоставяне на Приложение II, на Страницата на подобработващите, на информацията за предаванията по раздел 14 и на писмени отговори на разумни въпроси. Съдействие извън посоченото се предоставя срещу разумно възнаграждение.

12. Изтриване и връщане на Личните данни на Клиента

12.1 По избор на Администратора Обработващият изтрива или връща всички Лични данни на Клиента след приключване на предоставянето на Услугата и изтрива съществуващите копия при спазване на раздел 12.3, освен ако правото на Съюза, на държава членка или друго приложимо право изисква по-нататъшно съхранение.

12.2 Администраторът съобщава избора си писмено преди или в срок от 30 дни след приключване на предоставянето на Услугата. През този период Администраторът може да експортира данните си чрез инструментите за експорт на Услугата. Ако в този срок не бъде направен избор, Обработващият изтрива данните.

12.3 Изтриването от продуктивните системи и техните реплики се извършва в срок от 30 дни от направения избор или от изтичането на срока по раздел 12.2. Остатъчните копия, съдържащи се в ротационните резервни копия, се заличават при презаписването на резервното копие, в което се намират, в обичайния ход на неговия ротационен цикъл, и при всички случаи в срок от дванадесет месеца. Дотогава тези копия остават криптирани в състояние на покой, не се обработват активно и не се използват за никаква цел, различна от възстановяване при бедствие.

12.4 Отделни записи се изтриват преди приключването на Услугата по указание на Администратора или на субект на данните чрез инструментите, описани в раздел 9.3.

13. Одити и доказване на съответствие

13.1 Обработващият предоставя на Администратора цялата информация, необходима за доказване на съответствието с член 28 от ОРЗД, и позволява и допринася за одити, включително проверки, извършвани от Администратора или от друг одитор, оправомощен от Администратора. Раздели 13.2 до 13.5 описват как това право се упражнява на практика.

13.2 Информация при поискване. По писмено искане на Администратора и безплатно Обработващият предоставя в срок от 30 дни: Приложение II в действащата към момента редакция; актуалния списък на Подобработващите; попълнено копие на стандартния въпросник за сигурност на Обработващия; обобщение на резултатите от последното му тестване на сигурността; както и писмени отговори на разумни писмени въпроси относно обработването на лични данни, извършвано от името на този Администратор. Това е достъпно веднъж на всеки 12 месеца, както и допълнително след нарушение на сигурността на личните данни, засягащо лични данни, обработвани от името на този Администратор, или когато надзорен орган го изисква.

13.3 Одитно интервю. Когато Администраторът обосновано докаже, че информацията, предоставена по раздел 13.2, е недостатъчна за доказване на съответствие, или след нарушение на сигурността на личните данни, засягащо лични данни, обработвани от името на този Администратор, или когато надзорен орган го изисква, Обработващият осигурява лицето, отговарящо за обработването, за дистанционно одитно интервю чрез видеоконферентна връзка с продължителност до четири часа, с писмено предизвестие от най-малко 30 дни и във взаимно съгласувано време. Администраторът или оправомощеният от него одитор може да задава въпроси и да иска демонстрация на конкретни мерки чрез споделяне на екран. Това е достъпно безплатно веднъж на всеки 12 месеца.

13.4 Проверка на място. Когато надзорен орган или императивна правна норма го изисква или когато раздели 13.2 и 13.3 не са разрешили конкретно документирано опасение относно съответствието, Администраторът или оправомощен от него независим одитор може да извърши проверка на помещенията и системите на Обработващия с писмено предизвестие от 60 дни, в рамките на обичайното работно време, веднъж на всеки 12 месеца, за сметка на Администратора, включително за разумно оцененото време на Обработващия по часова ставка, съобщена на Администратора преди проверката. Одиторът не трябва да бъде конкурент на Обработващия и трябва да е обвързан с писмено задължение за поверителност. Обхватът се ограничава до системите и записите, свързани с обработването на лични данни, извършвано от името на този Администратор. Не се предоставя достъп до лични данни на друг клиент, до споделена инфраструктура по начин, който би застрашил сигурността на данните на друг клиент, нито до изходен код, освен чрез наблюдавана проверка.

13.5 WinrickLabs LLC не притежава доклад SOC 2, нито сертификация ISO/IEC 27001, и не поема задължение да се сдобие с което и да е от двете. Ако през срока на действие получи независим одитен доклад или сертификация от трето лице, предоставянето на този доклад удовлетворява раздели 13.2 и 13.3 по отношение на обхванатите от него въпроси.

13.6 Нищо в настоящия раздел не ограничава и не дерогира правата на Администратора по член 28, параграф 3, буква з) от ОРЗД или по клауза 8.9 от СДК. Когато надзорен орган изисква одит или проверка при условия, различни от посочените по-горе, Обработващият изпълнява това изискване.

14. Международни предавания на данни

14.1 Къде се съхраняват Личните данни на Клиента

Регион Европейски съюз. Акаунтите, създадени на eu.fastcomments.com, се осигуряват в региона Европейски съюз. Личните данни на Клиента за тези акаунти се съхраняват и обработват върху инфраструктура, разположена в рамките на Европейското икономическо пространство, включително всички работещи реплики и всички резервни копия. Тези данни не се репликират в регион извън Европейското икономическо пространство.

Глобален регион. При акаунтите, създадени на fastcomments.com, Личните данни на Клиента се репликират в множество региони, хостинг доставчици и държави, включително региони в Съединените американски щати, с цел осигуряване на наличност и предоставяне на данните в близост до крайните потребители. Всеки регион поддържа работеща реплика в друг регион и при друг хостинг доставчик.

Регионите, хостинг доставчиците и съответните за всеки от тях държави са изброени в Приложение III.

14.2 Дистанционно администриране

WinrickLabs LLC е установено в Съединените американски щати. Неговият персонал администрира, поддържа, наблюдава и подпомага всички региони, включително региона Европейски съюз, и осигурява за тях реакция при инциденти чрез дистанционен достъп от Съединените американски щати. Страните признават, че такъв дистанционен достъп представлява предаване на лични данни на трета държава по смисъла на глава V от ОРЗД, включително по отношение на данни, които се съхраняват изключително в рамките на Европейското икономическо пространство. Поради това СДК, включени по раздел 14.3, се прилагат към всички Лични данни на Клиента, обработвани по настоящото Споразумение.

14.3 Стандартни договорни клаузи

СДК, Модул втори (предаване от администратор на обработващ лични данни), се включват в настоящото Споразумение чрез препращане и са неразделна част от него. Техният текст е публикуван на https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Администраторът е износител на данни, а WinrickLabs LLC е вносител на данни. Когато е приложим раздел 3.3, се прилага Модул трети.

Страните правят следния избор по СДК:

Клаузи 8.9, 12, 14, 15 и 16 от СДК се прилагат без изменение. Раздели 13 и 15 от настоящото Споразумение описват как тези клаузи се упражняват на практика и не ги ограничават.

14.4 Обединено кралство

За предаванията, попадащи в обхвата на ОРЗД на Обединеното кралство, Анексът за Обединеното кралство се включва чрез препращане и се прилага към СДК, включени по раздел 14.3. Неговите таблици са попълнени в Допълнение 1.

14.5 Швейцария

За предаванията, попадащи в обхвата на ФЗЗД, СДК се прилагат в редакцията, изменена с Допълнение 2.

14.6 Въздействие на предаването

Страните нямат основание да смятат, като са взели предвид обстоятелствата на предаването, законодателството и практиките на Съединените американски щати и приложените гаранции, че приложимите към WinrickLabs LLC законодателство и практики му пречат да изпълнява задълженията си по СДК.

Обстоятелства на предаването. Личните данни на Клиента се състоят преимуществено от съдържание, което Администраторът публикува публично на собствените си ресурси, заедно с показвани имена, незадължителни имейл адреси и по подразбиране осолени криптографски хешове на IP адреси вместо самите IP адреси. Не се искат и не се изискват специални категории лични данни. Обемът на личните данни за всеки субект на данните е минимален по замисъл.

Законодателство на Съединените американски щати в областта на наблюдението. WinrickLabs LLC е частно дружество с ограничена отговорност. То никога не е получавало разпореждане, заповед, искане или друг акт, издаден съгласно Section 702 of the Foreign Intelligence Surveillance Act, съгласно Executive Order 12333, под формата на National Security Letter или съгласно Clarifying Lawful Overseas Use of Data Act. То няма никакви отношения с която и да е разузнавателна служба на Съединените американски щати и никога не е предоставяло на което и да е правителство пряк или косвен достъп до Лични данни на Клиента. То не е сред големите комуникационни и облачни доставчици, към които исторически са били отправяни разпореждания по Section 702, и не оперира съоръжение, спрямо което е прилагано такова събиране на данни.

Гаранции. Пълно дисково криптиране в състояние на покой на всички сървъри, включително на местата за съхранение на резервни копия; TLS 1.2 или по-висока версия за всички данни при пренос; съхранение на данните в региона Европейски съюз без репликиране на тези данни извън Европейското икономическо пространство; съхраняване на IP адресите като осолени хешове, освен ако Администраторът не избере друго; многофакторно удостоверяване за всички продуктивни акаунти, за акаунтите при доставчиците, за акаунта при регистратора на домейни и за акаунта в системата за контрол на версиите; ограничаване на достъпа до продуктивните системи до поименно определени лица съгласно принципа на минималните необходими права; както и ангажиментите по раздел 15 за оспорване на незаконосъобразни искания, за разкриване само на минимално необходимото и за уведомяване на Администратора винаги когато това е правно допустимо.

Преразглеждане. Обработващият извършва повторно тази оценка най-малко веднъж годишно, както и при узнаване за промяна в приложимото право или практика, която би могла да ѝ повлияе. Когато вече не може да спазва СДК, той уведомява Администратора в съответствие с клауза 14, буква е) и клауза 16.

14.7 Data Privacy Framework

WinrickLabs LLC не е сертифицирано по EU-US Data Privacy Framework, по разширението му за Обединеното кралство или по Swiss-US Data Privacy Framework и не се позовава на решение относно адекватното ниво на защита като механизъм за предаване. То се позовава на СДК.

15. Искания от държавни и правоохранителни органи

При получаване на правно обвързващо искане от публичен орган за разкриване на Лични данни на Клиента Обработващият: уведомява незабавно Администратора, освен ако това не му е правно забранено, а при забрана полага разумни усилия да получи освобождаване от нея; оспорва искането, когато то е незаконосъобразно, прекомерно широко или противоречи на правото на Европейския съюз или на държава членка; разкрива не повече от минимално необходимото след внимателна преценка на искането; и документира искането, като предоставя тази документация на Администратора и на компетентния надзорен орган при поискване.

Към 5 август 2026 г. WinrickLabs LLC не е получавало такова искане.

16. Регистър на дейностите по обработване

Обработващият поддържа регистър на всички категории дейности по обработване, извършвани от името на администратори, съдържащ информацията, изисквана от член 30, параграф 2 от ОРЗД, и предоставя този регистър на надзорен орган при поискване.

17. Отговорност

17.1 Отговорността на всяка страна по настоящото Споразумение е подчинена на изключенията и ограниченията на отговорността, предвидени в Основния договор, доколкото тези изключения и ограничения се прилагат към съответната страна. Същите тези изключения и ограничения се прилагат еднакво към претенциите по настоящото Споразумение и към претенциите по Основния договор. Настоящото Споразумение не създава каквото и да е отделно или допълнително ограничение на отговорността.

17.2 Раздел 17.1 не ограничава и не изключва: отговорност, която не може да бъде ограничена или изключена съгласно приложимото право; отговорността на която и да е от страните пред субект на данните по клауза 12 от СДК или по член 82 от ОРЗД; както и задълженията на която и да е от страните към надзорен орган.

17.3 Разпоредбите на Общите условия относно арбитража и отказа от колективни искове не се прилагат към претенции, произтичащи от настоящото Споразумение или от СДК.

18. Срок, прекратяване и запазване на действието

Настоящото Споразумение влиза в сила на Датата на влизане в сила и остава в сила, докато Обработващият обработва Лични данни на Клиента, независимо от прекратяването на Основния договор. Раздели 6, 7, 10, 12, 13, 14, 15 и 17 запазват действието си след прекратяването.

19. Приложимо право и подсъдност

19.1 Настоящото Споразумение, както и всеки спор или претенция, произтичащи от него или свързани с него, включително извъндоговорен спор или претенция, се уреждат от правото на Република Ирландия, като компетентни са съдилищата на Ирландия. Настоящият раздел има предимство пред разпоредбите на Общите условия относно приложимото право, подсъдността, арбитража и отказа от колективни искове по отношение на споровете, произтичащи от настоящото Споразумение.

19.2 Раздел 19.1 не засяга клауза 18, буква в) от СДК, съгласно която субект на данните може да предяви иск в държавата членка на обичайното си местопребиваване.

19.3 За предаванията, попадащи в обхвата на ОРЗД на Обединеното кралство, разпоредбите на Анекса за Обединеното кралство относно приложимото право и подсъдността се прилагат вместо раздел 19.1.

20. Изменения на настоящото Споразумение

20.1 Обработващият може да актуализира настоящото Споразумение, когато това се налага от промяна в Законодателството за защита на данните, от решение на надзорен орган или на съд, от промяна в СДК или в Анекса за Обединеното кралство, или от промяна в Услугата.

20.2 Обработващият уведомява администратора на акаунта на Администратора по електронна поща най-малко 30 дни преди влизането в сила на съществена промяна и публикува актуализираното Споразумение на тази страница. Несъществените промени влизат в сила с публикуването им.

20.3 Когато Администраторът възрази срещу съществена промяна на разумни основания, свързани със защитата на данните, в срок от 30 дни от уведомлението, страните обсъждат въпроса добросъвестно. При непостигане на съгласие Администраторът може да прекрати засегнатата Услуга без такса за предсрочно прекратяване или други неблагоприятни последици и с пропорционално възстановяване на предплатените такси за неизползваната част от срока.

21. Общи разпоредби

21.1 Уведомления. Уведомленията до Обработващия по настоящото Споразумение се изпращат на privacy@fastcomments.com. Уведомленията до Администратора се изпращат на имейл адреса на администратора на акаунта и до всяко лице за контакт по въпросите на защитата на данните, посочено в административната конзола. Уведомление, изпратено по електронна поща, се смята за получено на следващия работен ден след изпращането му.

21.2 Електронна форма. Страните се съгласяват, че настоящото Споразумение в електронна форма удовлетворява член 28, параграф 9 от ОРЗД и всяко изискване договорът да бъде в писмена форма.

21.3 Недействителност на отделни клаузи. Ако разпоредба от настоящото Споразумение бъде обявена за недействителна или неприложима, останалата част от него запазва действието си.

21.4 Липса на отказ. Неупражняването на право по настоящото Споразумение не представлява отказ от това право.

21.5 Прехвърляне. Обработващият може да прехвърли настоящото Споразумение на правоприемник във връзка със сливане, придобиване или продажба на всички или на почти всички свои активи, с уведомление до Администратора.

21.6 Цялост на споразумението. Настоящото Споразумение съставлява цялото споразумение между страните относно обработването на Лични данни на Клиента.

22. Език

Настоящото Споразумение е съставено и сключено на английски език. Преводите се предоставят единствено за улеснение. При несъответствие, неяснота, противоречие или различие в тълкуването между английската версия и превод предимство има английската версия, която е единствената меродавна и обвързваща версия за всички цели, включително за тълкуването, изпълнението и разрешаването на спорове. Наименованията на юридическите лица, адресите, цитатите на нормативни актове и текстът на СДК не се превеждат. Всяка страна потвърждава, че действа в рамките на своята търговска дейност и е имала възможност да получи независим превод и независим правен съвет. Настоящият раздел не засяга собствените задължения на Администратора по членове 12 до 14 от ОРЗД да предоставя информация на субектите на данни на ясен и разбираем език.

23. Звено за контакт и регулаторен статус

23.1 Звеното за контакт по всички въпроси, свързани със защитата на данните, включително по исканията по раздели 8.4, 13.2 и 13.3, е Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.

23.2 WinrickLabs LLC не е назначило длъжностно лице по защита на данните, след като е преценило, че критериите по член 37, параграф 1 от ОРЗД не са изпълнени.

23.3 WinrickLabs LLC не притежава и не твърди, че притежава сертификация SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS или CSA STAR. Всяка сертификация, посочена в настоящото Споразумение по отношение на Подобработващ, се притежава от този Подобработващ по отношение на неговите собствени съоръжения и услуги и не е сертификация на WinrickLabs LLC.

24. Подписване

Приложение I

А. Списък на страните

Б. Описание на предаването

Категории субекти на данни

• Крайни потребители и посетители на уебсайтовете и приложенията на Администратора, които публикуват, редактират, реагират на, гласуват за, абонират се за или са посочени поименно в коментари или чат съобщения.
• Крайни потребители, които четат съдържание, предоставяно от Услугата, и чиито метаданни за връзката се обработват за целите на сигурността и предотвратяването на злоупотреби.
• Собственият персонал на Администратора, който използва функциите на Услугата за модерация, администриране или API.
• Крайни потребители, осигурени от Администратора чрез еднократна идентификация.

Категории лични данни

• Показвано име или потребителско име.
• Имейл адрес, когато субектът на данните или Администраторът предостави такъв. Поддържа се анонимно коментиране.
• Аватар или профилна снимка, или връзка към нея.
• Съдържанието на коментарите, чат съобщенията и отговорите, както и всички медийни файлове или файлове, качени от субекта на данните.
• Осолен криптографски хеш на IP адреса. Когато Администраторът активира настройката за деанонимизиране, описана в раздел 7.3, вместо това се съхранява IP адресът в първоначалния му вид.
• Гласувания, реакции, сигнали, блокирания и статус на модерация.
• Времеви маркери, идентификатори на страници и теми, както и низът на потребителския агент.
• Предпочитания за известия и абонаменти.
• Идентификатори за еднократна идентификация и всички други атрибути, които Администраторът избере да предаде.
• За административните потребители на Администратора: име, имейл адрес, данни за удостоверяване в хеширана форма, данни за сесията и IP адреси, свързани с административни действия, когато Администраторът е активирал одитния дневник.

Чувствителни данни

Услугата не е предназначена за специални категории лични данни, като съгласно раздел 5.4 Администраторът не подава съзнателно такива данни и инструктира съответно своите крайни потребители. Когато краен потребител включи такива данни в свободен текст по собствена воля, се прилагат следните ограничения: криптиране в състояние на покой; ограничаване на достъпа до минималния брой оправомощени лица; липса на вторично използване; липса на профилиране; липса на разкриване, освен по указание на Администратора или по изискване на закона; и липса на използване за разработване или обучение на какъвто и да е модел.

Честота на предаването

Непрекъснато, на постоянна основа, за срока на действие на Основния договор.

Естество на обработването

Събиране, записване, организиране, структуриране, съхранение, извличане, справка, предаване и публично показване на ресурсите на Администратора, модерация и филтриране на съдържание, автоматизирано оценяване за спам и модерация на изображения, когато Администраторът я активира, доставяне на известия, резервно копиране и репликиране, ограничаване, изтриване и унищожаване.

Цел на предаването и на по-нататъшното обработване

Предоставяне на Услугата на Администратора, доставяне на известия, модерация и предотвратяване на злоупотреби, сигурност, наличност и възстановяване при бедствие, както и техническа поддръжка, като във всички случаи това се извършва единствено по документирани указания на Администратора.

Срок на съхранение

За срока на действие на Основния договор и след това съгласно раздел 12. Отделни записи се заличават по-рано по указание на Администратора или на субект на данните.

Предавания на подобработващи

Съгласно посоченото в Приложение III, в което за всеки Подобработващ са указани предметът и естеството на извършваното от него обработване, както и неговата продължителност, а именно срокът на действие на Основния договор или, за Подобработващ, ангажиран само чрез незадължителна функция, периодът, за който Администраторът активира тази функция.

В. Компетентен надзорен орган

1. Когато износителят на данни е установен в държава членка на Европейския съюз: надзорният орган на тази държава членка.
2. Когато износителят на данни не е установен в държава членка на Европейския съюз, но попада в териториалния обхват на ОРЗД съгласно член 3, параграф 2 и е определил представител съгласно член 27: надзорният орган на държавата членка, в която е установен този представител.
3. Когато износителят на данни не е установен в държава членка на Европейския съюз и не е определил представител съгласно член 27: Data Protection Commission of Ireland.
4. За предаванията, попадащи в обхвата на ОРЗД на Обединеното кралство: Information Commissioner's Office.
5. За предаванията, попадащи в обхвата на ФЗЗД: Federal Data Protection and Information Commissioner.

Приложение II - Технически и организационни мерки

Посочените по-долу мерки се прилагат от WinrickLabs LLC. Мерките, описани като приложими към център за данни или към платформа на Подобработващ, се прилагат от съответния Подобработващ по отношение на неговите собствени съоръжения.

1. Псевдонимизация и криптиране на личните данни

• На всички сървъри, включително на тези, които съхраняват резервни копия, се прилага пълно дисково криптиране в състояние на покой.
• Всички данни при пренос са защитени с TLS версия 1.2 или по-висока.
• IP адресите се съхраняват като осолени криптографски хешове. Първоначалният IP адрес се съхранява само когато Администраторът активира настройката за деанонимизиране за собствения си акаунт. Осоленият хеш на IP адрес остава лични данни и се третира като такива съгласно настоящото Споразумение.
• Данните за удостоверяване на административните акаунти се съхраняват като осолени хешове и никога във възстановим вид.

2. Поверителност, цялостност, наличност и устойчивост на системите за обработване

• Услугата е разгърната в множество региони и при множество хостинг доставчици.
• Всеки регион поддържа работеща реплика в друг регион и при друг хостинг доставчик.
• Данните на клиентите са логически изолирани по идентификатор на клиента на всяко ниво на приложението и на модела на данните.
• Продуктивните хостове са защитени със защитни стени, а продуктивните мрежи са отделени от всички останали среди.

3. Възстановяване на наличността и достъпа след инцидент

• Резервните копия се създават в дневни, месечни и годишни цикли. Те се записват върху криптирани томове, предават се по TLS и се съхраняват както при хостинг доставчик, различен от този, който съхранява работните данни, така и при независим доставчик на обектно съхранение.
• Резервните копия на данните от региона Европейски съюз се съхраняват изключително в рамките на Европейското икономическо пространство.
• Процедурата по възстановяване е документирана, като възстановяване се извършва и проверява най-малко веднъж годишно.

4. Редовно изпитване, преценяване и оценяване на ефективността

• Независимо тестване за проникване от трето лице се извършва най-малко веднъж годишно.
• Автоматизирано сканиране на зависимостите и уязвимостите се извършва непрекъснато върху продуктивната кодова база.
• Всички промени в продуктивния код подлежат на преглед с акцент върху сигурността преди внедряването им.

5. Идентификация и оправомощаване на потребителите

• Достъпът до продуктивните системи, съдържащи Лични данни на Клиента, е ограничен до поименно определени лица с документирана оперативна необходимост.
• Навсякъде се използват индивидуални поименни акаунти. Не се използват споделени данни за достъп.
• Многофакторно удостоверяване е задължително за всички продуктивни системи, за всички акаунти при хостинг и други доставчици на услуги, за акаунта при регистратора на домейни и за акаунта в системата за контрол на версиите.
• Правата за достъп се предоставят на принципа на минималните необходими права, преразглеждат се при всяка промяна в персонала и се отнемат незабавно при прекратяване на ангажимента на дадено лице.

6. Защита на данните при пренос

• TLS версия 1.2 или по-висока е задължителна за приставката за коментари и чат, за публичния API, за административната конзола, за доставянето на webhook съобщения и за репликирането между регионите.
• HTTP Strict Transport Security е активиран. Не се предлага крайна точка без криптиране.

7. Защита на данните при съхранение

• Криптиране в състояние на покой съгласно раздел 1 от настоящото Приложение, прилагано еднакво към продуктивните системи, репликите и носителите на резервни копия.
• Ключовете за дисково криптиране се съхраняват от WinrickLabs LLC и не са достъпни за нито един хостинг доставчик.

8. Физическа сигурност

• WinrickLabs LLC не оперира собствен център за данни. Всички продуктивни системи се хостват в съоръжения, управлявани от хостинг Подобработващите, изброени в Приложение III, които осигуряват за тези съоръжения контрол на физическия достъп, резервирано електрозахранване, охлаждане и мрежова свързаност.
• Работните станции на администраторите са защитени с пълно дисково криптиране, автоматично заключване на екрана и многофакторно удостоверяване.

9. Регистриране на събития

• Административните действия и събитията по удостоверяване се регистрират.
• Регистрирането, докладването на грешки и обработката на заявки за поддръжка се извършват от WinrickLabs LLC върху негова собствена инфраструктура. Никаква услуга на трето лице за регистриране, проследяване на грешки, анализ или поддръжка не получава Лични данни на Клиента.
• Одитен дневник на административните действия е достъпен за Администратора в административната конзола.

10. Конфигуриране и управление на системите

• Актуализациите за сигурност се прилагат приоритетно според риска, като критичните актуализации се прилагат незабавно.
• Инсталираните услуги се свеждат до необходимия минимум. Не се използват данни за достъп по подразбиране.
• Тайните се съхраняват извън системата за контрол на версиите.
• WinrickLabs LLC поддържа писмен план за реакция при инциденти, обхващащ откриване, ограничаване, оценка, уведомяване и последващ преглед.
• Звено за контакт за сигнали за сигурност и уязвимости е публикувано на адрес privacy@fastcomments.com.

11. Сертификация и гаранции

WinrickLabs LLC не притежава и не твърди, че притежава сертификация SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS или CSA STAR, и не заявява, че ще се сдобие с такава сертификация. Всяка сертификация, посочена в настоящото Споразумение по отношение на Подобработващ, се притежава от този Подобработващ по отношение на неговите собствени съоръжения и услуги. Данните за платежни карти не се съхраняват и не се обработват от WinrickLabs LLC; данните за картите се събират и обработват директно от неговия Подобработващ за плащания.

12. Свеждане до минимум, качество и съхранение на данните

• Услугата изисква само показвано име. Имейл адресът е незадължителен и се поддържа анонимно коментиране.
• IP адресите се псевдонимизират по подразбиране, както е описано в раздел 1 от настоящото Приложение.
• Субектите на данни и Администраторът могат да коригират профилни данни и да редактират или изтриват съдържание чрез Услугата.
• Срокът на съхранение се конфигурира от Администратора. Изтриването при прекратяване се урежда от раздел 12 от настоящото Споразумение.

13. Преносимост и заличаване

• Административната конзола позволява експортиране на коментарите и потребителските данни, съхранявани за акаунта на Администратора.
• Административната конзола и API позволяват изтриване на отделни коментари, на отделни крайни потребители и на целия акаунт на Администратора.

14. Мерки при предавания на Подобработващи

• Всеки Подобработващ се ангажира по писмен договор, който налага задължения за защита на данните, по същество равностойни на предвидените в настоящото Споразумение, освен когато в Приложение III е посочено друго.
• Всеки Подобработващ се оценява преди ангажирането му, а неговата роля се вписва в Приложение III и на Страницата на подобработващите.
• Подобработващите, използвани за акаунти в региона Европейски съюз, обработват тези данни в рамките на Европейското икономическо пространство.

Приложение III - Списък на подобработващите

Администраторът дава общо писмено разрешение за ангажирането на изброените по-долу Подобработващи. Страницата на подобработващите е меродавният актуален списък и се включва в настоящото Споразумение чрез препращане. Колоната „Регион" посочва дали Подобработващият обработва данни за акаунти в региона Европейски съюз, за акаунти в глобалния регион, или и за двата.

Договорен статус на Подобработващите. Всеки посочен по-горе Подобработващ е ангажиран по писмен договор, включващ условията за обработване на данни на съответния доставчик, със следните две изключения, които са посочени тук, за да може Администраторът да ги прецени.

Deep Infra, Inc. не публикува споразумение за обработване на данни или стандартни договорни клаузи и към 5 август 2026 г. няма сключен такъв договор. WinrickLabs LLC работи за сключването му. Този Подобработващ се ангажира само когато Администраторът активира функциите за автоматизирано класифициране на спам, модерация на съдържанието на изображения, агент за модерация или асистент. Тези функции са изключени по подразбиране. Когато Администраторът не ги активира, на този Подобработващ не се разкриват Лични данни на Клиента в нито един момент. Администратор, който не желае данните му да бъдат обработвани от този Подобработващ, може да остави тези функции изключени или да ги изключи по всяко време и безплатно. Публикуваните условия на доставчика предвиждат, че данните, подадени към неговите интерфейси, не се съхраняват, не се продават и не се използват за обучение на модели. Моделите, използвани от Услугата, се хостват от този доставчик върху собствената му инфраструктура; данни не се препращат към друг доставчик на модели.

BrainStorm Network, Inc. не публикува споразумение за обработване на данни и към 5 август 2026 г. няма сключен такъв договор. WinrickLabs LLC работи за сключването му. Този Подобработващ хоства сървъри само в глобалния регион. Лични данни на Клиента, принадлежащи към акаунт в региона Европейски съюз, не се обработват от този Подобработващ в нито един момент.

Доставчици, които не обработват Лични данни на Клиента. Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, обработва собствените данни на Администратора за фактуриране и плащания. Това представлява Данни за акаунта по смисъла на раздел 3.2, по отношение на които WinrickLabs LLC действа като самостоятелен администратор, и поради това не е Подобработващ по смисъла на настоящото Споразумение. Данните за платежни карти се събират и обработват директно от Stripe и не се съхраняват от WinrickLabs LLC.

Услуги, оперирани без участието на трето лице. Доставянето на съдържание, регистрирането на приложни събития, докладването на грешки и обработката на заявки за поддръжка се извършват от WinrickLabs LLC върху изброената по-горе инфраструктура. Никаква мрежа за доставяне на съдържание, услуга за регистриране, услуга за проследяване на грешки, услуга за анализ или система за поддръжка на трето лице не получава Лични данни на Клиента.

Допълнение 1 - UK International Data Transfer Addendum

За предаванията, попадащи в обхвата на ОРЗД на Обединеното кралство, Анексът за Обединеното кралство се включва чрез препращане, а неговите таблици се попълват, както следва. Когато императивните клаузи на Анекса за Обединеното кралство противоречат на СДК, включени по раздел 14.3, по отношение на тези предавания предимство има Анексът за Обединеното кралство.

В СДК, доколкото те се прилагат към предавания, попадащи в обхвата на ОРЗД на Обединеното кралство: препратките към ОРЗД се четат като препратки към ОРЗД на Обединеното кралство; препратките към Регламент (ЕС) 2016/679 се четат като препратки към този регламент във вида, запазен в правото на Обединеното кралство, и към Data Protection Act 2018; препратките към надзорен орган се четат като препратки към Information Commissioner; препратките към държава членка се четат като препратки към Обединеното кралство; а препратките към Европейското икономическо пространство се четат като препратки към Обединеното кралство.

Допълнение 2 - Изменения за Швейцария

Когато дадено предаване попада в обхвата на ФЗЗД, СДК се прилагат със следните изменения.

1. Компетентният надзорен орган по клауза 13 и Приложение I.В е Federal Data Protection and Information Commissioner по отношение на предаванията, уреждани изключително от ФЗЗД. Когато дадено предаване се урежда както от ФЗЗД, така и от ОРЗД, Federal Data Protection and Information Commissioner е компетентен за швейцарските аспекти, а органът, определен съгласно Приложение I.В, за аспектите, свързани с Европейския съюз.
2. Препратките към ОРЗД се четат като препратки към ФЗЗД, когато предаването се урежда от него, а препратките към правото на Европейския съюз или на държава членка се четат като препратки към швейцарското право, когато това е приложимо.
3. Понятието „държава членка" не се тълкува така, че да лишава субектите на данни в Швейцария от възможността да предявят иск по мястото на обичайното си местопребиваване в съответствие с клауза 18, буква в).
4. СДК защитават и личните данни на юридическите лица, доколкото приложимото швейцарско право изисква това.
5. Клауза 17 и клауза 18, буква б) се прилагат съгласно избора, направен в раздел 14.3, без да се засяга точка 3 от настоящото Допълнение.