Споразумение за обработване на лични данни

1. Страни, роли и връзка с Общите условия

Това споразумение («Споразумението») е приложение към Общите условия и е част от тях; определенията от Общите условия важат и тук. Сключва се между теб - фирмата, от чието име ползваш Услугата («ти», администраторът) - и «ФриМи» ООД (FreeMe.bg), ЕИК 123432567, гр. София, Sofia Business Park 9 («ние», обработващият). По чл. 28 от Регламент (ЕС) 2016/679 (ОРЗД) то урежда как обработваме от твое име личните данни, които въвеждаш или качваш в Услугата.

Роли. За личните данни на твои служители, собственици, управители, клиенти и доставчици и на други физически лица, чиито данни са в документите ти, ти определяш целите и средствата на обработването: ти си администратор, а ние сме обработващ. За данните за твоя акаунт и за уебсайта ние сме администратор - виж Политиката за поверителност.

Приемаш Споразумението заедно с Общите условия, когато създаваш фирма в Приложението. Записваме приемането - кой, от името на коя фирма, коя версия и кога. Който приема от името на фирма, декларира, че има право да я обвърже.

Подаване пред НАП. Когато водим счетоводството ти и подаваме декларациите ти пред НАП като твой представител по пълномощно, обработваме данните от твое име и по твое указание - и за тази част ти си администратор, а ние сме обработващ. Отговорността за истинността и пълнотата на данните и документите е по Общите условия (т. 6–8).

Когато сме самостоятелен администратор. За обработването, което извършваме на собствено правно основание, сами определяме целите и средствата и сме самостоятелен администратор; това Споразумение не се прилага за него, а Политиката за поверителност - да. Това са: (а) собствените ни счетоводни и данъчни записи (например фактурите ни към теб и плащанията по тях); (б) задълженията ни като лице по чл. 4, т. 13 от Закона за мерките срещу изпирането на пари - например комплексна проверка на клиента и съхраняване на събраната информация; (в) отговорите на искания на компетентни органи, отправени към нас; (г) записите, които пазим, за да докажем изпълнението на договора и да защитим правата си при спор или проверка - например приемането на Общите условия, декларациите за пълнота и кореспонденцията за липсващи данни. Основанието е законово задължение или легитимен интерес (чл. 6, пар. 1, букви «в» и «е» от ОРЗД). Тези данни използваме само за съответната цел.

2. Предмет и срок

Предмет на Споразумението е обработването на лични данни, което е необходимо, за да ти предоставяме Услугата по Общите условия. То влиза в сила с приемането му и важи, докато обработваме данни от твое име - докато трае договорът по Общите условия и след това до връщането или изтриването на данните по т. 14.

3. Естество и цел на обработването

Естество: съхраняване, организиране и четене на данните; автоматично разпознаване на документи с изкуствен интелект и проверка от счетоводител; осчетоводяване; изготвяне и подаване по пълномощно на декларации и справки (ДДС, осигурителни, годишно приключване); изчисляване на заплати, осигуровки и данъци, изготвяне на фишове и ведомости и подаване на уведомления по чл. 62 от Кодекса на труда (при модула «Заплати»); връзка с теб в чата за поддръжка и по имейл; експорт и изтриване.

Цел: единствено предоставянето на Услугата по Общите условия, включително защитата ѝ (сигурност, предотвратяване на злоупотреби) и изпълнението на законови задължения. Не използваме данните за собствени цели, не ги продаваме, не ги ползваме за реклама и не ги ползваме за обучение на модели.

4. Категории данни и субекти на данни

Субекти на данни

• служители на фирмата ти;
• собственици, управители и представители;
• клиенти и доставчици, доколкото са физически лица или лица зад фирма (например едноличен търговец);
• други насрещни страни и лица, чиито данни са в документите, които ни даваш;
• хората, които каниш като наблюдатели в Приложението.

Категории данни

• Идентификация и контакт: имена, ЕГН/ЛНЧ, данни от документ за самоличност, адрес, телефон, имейл.
• Трудови и осигурителни данни: данни от трудови, управленски и граждански договори, заплати, осигуровки и регистрации, отсъствия и отпуски, трудов и осигурителен стаж, удръжки и запори.
• Банкови данни: номера на банкови сметки (IBAN), банкови извлечения, плащания.
• Търговски документи: фактури, разписки, договори и кореспонденция, заедно с личните данни, които съдържат.

Не ни е нужно да получаваме специални категории данни по чл. 9 от ОРЗД; чувствителни данни въвеждай само в предвидените за това полета (виж Общите условия, т. 6). Някои документи за заплати (например болнични листове) обаче съдържат здравни данни. Ако ни ги предоставиш, ги обработваме само доколкото е необходимо за изчисляване на заплати и обезщетения и за подаване на данни към НОИ и НАП, и само от счетоводителите, които работят по заплатите. Качвай само това, което е нужно за тази цел. Ти, като администратор, отговаряш да имаш условие за обработването им по чл. 9, пар. 2 от ОРЗД (обичайно - изпълнение на трудови и осигурителни задължения). Не използваме тези данни за друга цел и не ги използваме за обучение на модели.

5. Указания

Обработваме данните само по твои документирани указания. Общите условия, Споразумението и начинът, по който използваш функциите на Услугата, са пълните ти указания. Допълнителни указания ни пращаш писмено на [email protected]; изпълняваме ги, доколкото са разумни и съвместими с Услугата.

Ако според нас указание нарушава ОРЗД или друго право за защита на данните, ще те уведомим веднага. Ако законът ни задължава да обработим данни по друг начин (например да ги съхраняваме по счетоводното законодателство), ще ти кажем това преди обработването, освен ако законът го забранява.

6. Конфиденциалност на персонала

Хората, които имат достъп до личните данни - нашите счетоводители и други служители - са обвързани със задължение за конфиденциалност и имат достъп само доколкото е нужно за работата им. Как служителите ни отварят фирмата ти, е описано в т. 7.

7. Технически и организационни мерки

Прилагаме подходящи технически и организационни мерки по чл. 32 от ОРЗД. Накратко (подробностите и актуалното състояние са на страницата Сигурност):

• Приложението, базата данни и документите ти работят в Amazon Web Services, регион Ирландия (ЕС).
• Комуникацията с Приложението е по криптирана връзка (HTTPS/TLS); базата данни и хранилището за документи са криптирани и в покой.
• Вход с Google акаунт или с код по имейл, без собствени пароли; сесията изтича автоматично след период на неактивност.
• Всяка заявка към сървъра се проверява дали принадлежи на твоята фирма, така че клиент не вижда данни на друг; всяка промяна в счетоводството се записва - кой, кога и какво.
• Достъп на наши счетоводители: нямат собствен акаунт в Приложението; отварят фирмата ти само от вътрешната ни конзола, с еднократен ключ, валиден 60 секунди; всяка сесия се записва и изтича автоматично след 2 часа; всяка промяна се записва с името им в одитната следа.
• Базата данни се архивира автоматично всеки ден, с възможност за възстановяване към конкретен момент; документите се пазят във версии.

Изграждаме процесите си по стандарта ISO/IEC 27001 и сме в процес на сертификация; все още нямаме издаден сертификат. Можем да обновяваме мерките, но не и да понижаваме общото ниво на защита.

8. Подизпълнители

Даваш ни общо разрешение да ползваме като подизпълнители (подобработващи) доставчиците от списъка по-долу. Той е същият като списъка за Приложението в Политиката за поверителност - и двете страници го вземат от един и същ източник. Списъкът на подизпълнителите, свързани само със Сайта, е в Политиката за поверителност.

С всеки подизпълнител имаме договор със същите по същество задължения за защита на данните като тези в Споразумението (чл. 28, пар. 4 от ОРЗД) и отговаряме пред теб за изпълнението им.

9. Промени в подизпълнителите

Когато добавяме или заменяме подизпълнител, ти пишем по имейл поне 30 дни преди промяната и обновяваме списъка по т. 8. Можеш да възразиш писмено на [email protected] в този срок, ако имаш основателни причини, свързани със защитата на данните. Ще потърсим решение заедно; ако не се споразумеем, можеш да прекратиш договора по реда на т. 10 от Общите условия, преди промяната да влезе в сила.

10. Пренос извън ЕИП

Данните в Приложението се съхраняват в ЕС (AWS, Ирландия). Някои подизпълнители - по-специално доставчиците на изкуствен интелект и на имейл - може да обработват данни извън ЕИП, най-вече в САЩ. Преносът става само при основание по глава V от ОРЗД: стандартни договорни клаузи (SCC) и/или EU–US Data Privacy Framework, когато доставчикът е сертифициран. Основанието за всеки доставчик е в таблицата по т. 8.

11. Нарушения на сигурността

Ако установим нарушение на сигурността на личните данни, което засяга твоите данни, ти го съобщаваме без ненужно забавяне и се стремим да го направим до 48 часа след като го установим. Срокът от 48 часа е цел, а не гаранция: важното е да не забавяме без основание, а времето за проверка дали наистина е станало нарушение и кои данни засяга не се брои. Пишем на имейла на акаунта на управителя, и, когато е нужно, чрез известие в Приложението; ти поддържаш актуални тези данни за контакт.

Съобщението съдържа, доколкото информацията ни е известна: какво се е случило; какви категории данни и приблизително колко записа и лица са засегнати; вероятните последици; какво сме направили и предлагаме да се направи; контакт за въпроси. Може да я допълваме на части, докато разберем повече. Съобщението не е признание за вина или отговорност.

Ти, като администратор, преценяваш дали да уведомиш КЗЛД (в 72 часа по чл. 33 от ОРЗД) и засегнатите лица, и ги уведомяваш сам; ние не уведомяваме органи или засегнати лица за твоите данни, освен ако законът ни задължава. Даваме ти информацията, нужна за това, и ти съдействаме разумно, а разходите за съдействие над обичайното се таксуват като допълнителна работа.

12. Съдействие

• Искания на субекти на данни (чл. 15–22 от ОРЗД). Ако лице се обърне към нас за данни, които обработваме от твое име, ще го пренасочим към теб и няма да отговаряме по същество без твое указание. Ти имаш достъп до данните си в Приложението, а когато е нужно, по твое указание ние ги намираме, поправяме, експортираме или изтриваме.
• Чл. 32–36 от ОРЗД. Съдействаме ти със сигурността на обработването (т. 7), с уведомяването за нарушения (т. 11), с оценка на въздействието върху защитата на данните и с предварителна консултация с надзорния орган, като ти даваме информацията за обработването, с която разполагаме.
• Доказване на съответствие - по реда на т. 13.

13. Одит

Даваме ти информацията, нужна за доказване, че изпълняваме задълженията по чл. 28 от ОРЗД, и допускаме одити, включително проверки, от теб или от одитор, когото ти възложиш. Редът е следният:

• Първо документи. Първо отговаряме писмено на въпросите ти и ти даваме наличните документи - описание на мерките за сигурност, одитни доклади и сертификати на подизпълнителите, обобщени резултати от наши проверки. Ако това е достатъчно, на място не е нужен одит.
• Честота. До един одит на 12 месеца. По-често - само след потвърдено нарушение на сигурността на личните данни, което засяга твоите данни, или ако надзорен орган изисква одит.
• Ред. Писмено искане до [email protected] най-малко 30 дни предварително, с обхват, график и име на одитора. Одитът е в рамките на работното ни време, продължава най-много 2 работни дни и обхваща само изпълнението на това споразумение по отношение на твоите данни.
• Одитор. Независим професионалист, който не е наш конкурент и подписва декларация за поверителност. Одитът не нарушава сигурността и работата ни, нито поверителността на данните на други клиенти; не даваме достъп до чужди данни, изходен код и сведения, чието разкриване би намалило сигурността ни.
• Разходи. Своите разходи и тези на одитора поемаш ти. Нашето време и разходи за одита (над 4 часа за подготовка и съдействие) ти ги таксуваме по цената за допълнителна работа в ценовия раздел или по цена, съобщена предварително. Ако одитът установи съществено наше нарушение на това споразумение, разумните ни разходи за него не се таксуват.
• Резултат. Докладът е поверителен и се използва само за проверка на съответствието. Констатациите уреждаме заедно в разумен срок.

14. Край на обработването: връщане и изтриване

Както е в т. 11 от Общите условия, в срок до 30 дни след прекратяването получаваш машиночетим експорт на данните на фирмата, PDF архив на счетоводството и документите (включително ведомостите, фишовете и декларациите за заплати, ако си ползвал модула «Заплати») и приемо-предавателен протокол за следващия ти счетоводител.

След това изтриваме личните данни, които обработваме от твое име, освен записите, които сме длъжни да пазим по счетоводното и данъчното законодателство - за срокове от 3 и 10 до 50 години в зависимост от вида документ (виж сроковете в Политиката за поверителност). Докато ги пазим, използваме ги само за това задължение и ги защитаваме с мерките по т. 7. По твое искане потвърждаваме изтриването писмено.

Резервни копия. Автоматичните резервни копия на базата данни се пазят най-много 35 дни и служат само за възстановяване след срив; не ги използваме за друга цел и не ги търсим за отделни данни. Изтритите данни изчезват от тях с изтичане на този срок. Ако се наложи да върнем система от резервно копие, повторно изтриваме данните, изтрити междувременно. Резервните копия на документите, които сме длъжни да пазим по закон, следват сроковете по-горе.

15. Отговорност, предимство и право

Отговорността между нас по това споразумение е уредена в т. 15 от Общите условия и ограничението там важи и за него: общата ни отговорност по Общите условия и по това споразумение заедно не надхвърля една обща горна граница, а не две отделни. Всяка страна отговаря за своята част от вредата по чл. 82 от ОРЗД; ти отговаряш за законосъобразността на указанията си и на данните, които ни даваш, и ни обезщетяваш за претенции по чл. 82 от ОРЗД, причинени от тях, по реда на т. 15 от Общите условия. Всичко това е доколкото законът позволява да се уговори между нас. То не засяга правата на субектите на данни по ОРЗД и правомощията на надзорните органи.

При противоречие по обработването на лични данни Споразумението има предимство пред Общите условия (т. 14 от тях). Прилага се българското право; споровете се решават по реда на т. 17 от Общите условия. Промените се правят по реда на т. 16 от Общите условия, а за подизпълнителите - по т. 9.

История на версиите

• Версия 2 (в сила от 27.11.2026 г.) - обработването при модула «Заплати» (т. 3) и категориите трудови данни (т. 4).
• Версия 1 (в сила от 15.10.2026 г.) - първа версия на споразумението за обработване на лични данни.

Българската версия на този документ е юридически обвързваща.