Споразумение за обработване на данни

„Клиент“ е юридическото или професионалното лице в поръчката или организацията в MediSend. „Обработващ“ е Каризо ЕООД, ЕИК 207562809, гр. Стара Загора 6000, ул. „Свети княз Борис“ № 150, вх. Б, ет. 4. „Клиентски лични данни“ са личните данни, които Обработващият обработва от името на Клиента чрез услугата.

Клиентът е администратор. Когато Клиентът е обработващ за друг администратор, той назначава Каризо ЕООД като последващ обработващ само доколкото има право да направи това и да предаде съответните инструкции. Споразумението влиза в сила с валидното му приемане или подписване и действа, докато пазим Клиентски лични данни.

При противоречие относно защитата на Клиентски лични данни редът на предимство е: приложими задължителни стандартни договорни клаузи за международен трансфер; това споразумение; конкретна поръчка; Условията за ползване. Поръчка изменя това споразумение само ако посочва изрично изменената клауза и изменението е допустимо по GDPR. За търговски параметри поръчката има предимство пред Условията.

За акаунт, договор, фактуриране, предотвратяване на измами, собствена сигурност, законови задължения и MediSend Address Каризо ЕООД може да е отделен администратор съгласно Политиката за поверителност.

Обработваме Клиентски лични данни само по документирани инструкции на Клиента, включително това споразумение, поръчката, избраните настройки, действията на упълномощени потребители и проверени писмени искания. Ако право на ЕС или държава членка изисква друго обработване, информираме Клиента предварително, освен ако законът забранява.

Не продаваме Клиентски лични данни и не ги използваме за реклама, клинична диагностика или профилиране, нито за обучение на модели. Ако считаме, че инструкция нарушава GDPR или приложимо право, уведомяваме Клиента и можем да ограничим засегнатата операция до законосъобразно уточняване.

• поддържаме точен обхват на услугата и обработваме само данните, нужни за него;
• осигуряваме отделяне между организациите и проверка на правата при всяка защитена операция;
• не разкриваме данни извън правата, срока и конкретното предаване, определени от Клиента;
• уведомяваме Клиента, когато вече не можем да изпълняваме съществено задължение по това споразумение.

Достъп получават само лица, за които е необходим за конкретна роля, които са обвързани с поверителност и са инструктирани за защитата на личните данни. Прилагаме минимални права и разделение между поддръжка, плащания, операции и сигурност.

Обичайната поддръжка няма право да вижда медицински файлове, оригинални имена на файлове, пациентски идентификатори, кодове, токени или частни пътища за съхранение. Не твърдим, че съществува извънреден достъп до съдържание: такъв технически процес не е внедрен и не може да се използва неформално.

Приложните мерки включват права по роля и организация, многофакторна защита за съответните роли, ограничени сесии, хеширани данни за достъп, срок и отмяна, проверка за зловреден код, контролни суми за целостта, регистриране на събития и процедури за инциденти и възстановяване. Преди обработване в продукционна среда осигуряваме и проверяваме TLS при пренос, частен режим и приложимо криптиране на хранилището, резервни копия и контролиран привилегирован достъп. Репозиториумът сам по себе си не доказва състоянието на облачните акаунти.

Подробностите са в Приложение 3 — Технически и организационни мерки. Можем да променяме технология, ако общото ниво на защита не се намалява съществено. Контроли, зависещи от производствен доставчик или настройка, не се считат доказани само от този текст.

Клиентът дава общо писмено разрешение за последващите обработващи в поддържания публичен списък и Приложение 4. Сключваме писмени условия със задължения за защита, които по същество съответстват на приложимите ни задължения, и оставаме отговорни пред Клиента за изпълнението им съгласно чл. 28(4) GDPR.

Изпращаме уведомление до проверения собственик или договорен контакт най-малко 30 дни преди нов или заменен последващ обработващ да започне обработване. При необходима спешна замяна поради сигурност или закон уведомяваме възможно най-скоро. Клиентът може да възрази в срока на конкретни и основателни съображения за защита на данните. Търсим разумна настройка или алтернатива; ако няма такава, Клиентът може да прекрати засегнатата услуга и да получи предплатената сума за неизползвания засегнат период.

Трансфер извън ЕИП се извършва само при приложимо решение за адекватност, валидна сертификация по Рамката за поверителност на данните ЕС—САЩ или стандартни договорни клаузи по Решение (ЕС) 2021/914, заедно с оценка и допълнителни мерки, когато са нужни. Не заявяваме, че всички операции остават в ЕС. Стандартните клаузи по Решение (ЕС) 2021/915 за отношения администратор—обработващ не заменят механизма по глава V.

С оглед естеството на обработването и наличната информация помагаме на Клиента с подходящи технически и организационни средства да отговори по чл. 12–22 и да изпълни чл. 32–36 GDPR. Предаваме без ненужно забавяне искане, което разпознаем като отнасящо се до Клиентски лични данни, и не отговаряме по същество без инструкция, освен при законово задължение.

В рамките на услугата предоставяме наличните средства за преглед, износ, корекция, ограничаване и изтриване и разумната информация за оценка на въздействието. Извънредна персонализирана работа може да се таксува само по предварително съгласувана разумна цена, освен когато е необходима поради наше нарушение.

След като узнаем за нарушение, засягащо Клиентски лични данни, уведомяваме Клиента без ненужно забавяне. Вътрешната оперативна цел е първо уведомление до 24 часа след потвърждаване на такова нарушение; това е цел, а не договорно удължаване, условие или гаранция.

Предоставяме поетапно известните категории и приблизителен мащаб, вероятни последици, предприети или предложени мерки и точка за контакт; пазим доказателства и съдействаме. Клиентът решава и изпълнява задълженията си по чл. 33–34. Не уведомяваме негови пациенти без инструкция, освен при пряко законово задължение.

По време на договора Клиентът използва наличните функции за изтегляне и износ. След края, по избор на Клиента и доколкото е технически и законово приложимо, връщаме или изтриваме Клиентските лични данни след договорения срок за износ и съхранение, освен ако право на ЕС или държава членка изисква запазване.

Изтичането на линк не е изтриване. След изтриване на файловото съдържание може да остане минимално доказателство за събитие, целостта и жизнения цикъл. Резервните копия отпадат по производствения график и остават изолирани от обичайна употреба; ако възстановяване върне вече изтрити данни, изтриването се прилага отново. Точният график на производствените резервни копия трябва да бъде потвърден преди обработване на реални здравни данни. Вижте Политиката за съхранение.

Предоставяме информацията, нужна за доказване на задълженията по чл. 28, и съдействаме за проверки от Клиента или упълномощен одитор. Първо се използват това споразумение, мерките, въпросник и налични независими доклади или сертификати. Към тази версия не заявяваме собствена сертификация или завършен независим тест за проникване.

Планирана проверка се заявява обичайно с 30 дни предизвестие, веднъж годишно и без достъп до данни на други клиенти, уязвимости или тайни на доставчици. Допълнителна проверка е допустима след инцидент, основателно съмнение за нарушение или искане на орган. Разходът е на Клиента, освен ако проверката установи съществено наше нарушение.

След разумна проверка Клиентът уверява, че неговите инструкции, данни и получатели са законосъобразни. Това уверение не освобождава Обработващия от собствените му задължения и не прехвърля към Клиента риск, причинен от нарушение на Обработващия.

• определя правно основание по чл. 6, условие по чл. 9 и приложимото българско здравно и професионално право;
• дава прозрачна информация на пациентите и получателите и решава по исканията им;
• качва само необходимото, проверява получателя и определя подходящ срок за съхранение;
• осигурява право да назначи последващ обработващ, когато самият той е обработващ;
• управлява потребители, роли, устройства, изнесени копия, кодове и контакти при инцидент;
• извършва оценка на въздействието и предварителна консултация, когато неговата обработка го изисква.

Контакт: [email protected]. Съществената промяна получава нова версия и класификация. Когато засяга договорни права или задължения, искаме ново приемане от собственик или администратор; отказът ограничава новите действия, но не отнема преглед, износ, искания за права, поддръжка и прекратяване.

Отговорността се урежда от Условията или поръчката само доколкото ограничението е допустимо и не обезсмисля задълженията по защита на данни. Прилага се българското право, без да се ограничават правомощията на надзорните органи и задължителните права по GDPR. Българският текст е договорно меродавен.

Версия 2026-09-02.2, в сила от 2 септември 2026 г.

Предмет и цели: защитено получаване, съхранение и предаване на медицински и други файлове до избран получател; публично или пациентско качване; връщане на резултат; искане на допълнителна информация; уведомяване; доказване на събития; сигурност; възстановяване; износ и изтриване.

Естество и операции: получаване, структуриране, хостване в конфигурирано частно хранилище, предаване по защитен транспорт, ограничено показване и изтегляне, проверка за зловреден код, регистриране на минимални събития, архивиране, възстановяване, ограничаване, връщане и изтриване.

Продължителност и честота: при всяко използване на избраните функции, за срока на договора и приложимите периоди за активен достъп, архив, износ и резервно възстановяване.

Лица: пациенти; получатели; лица, които качват; здравни специалисти; потребители, служители и представители на Клиента; други лица, чиито данни Клиентът законосъобразно включва.

Обичайни данни: име и контакт; организация и роля; референция на пациент или случай; кореспонденция; върнат резултат; данни за достъп, сесия, доставка, сигурност и одит.

Специални категории: медицински файлове, данни за здраве и клиничен контекст по чл. 9. Клиентът не трябва да включва други специални категории или данни за присъди, освен ако са строго необходими и изрично обхванати от неговото правно основание и инструкция.

Мерките на страницата „Технически и организационни мерки“, версия 2026-09-02.2, са част от това споразумение: управление и минимизация; самоличност и достъп; отделяне на организации; криптографска защита и тайни; файлово сканиране; достъп на получатели; регистриране; реагиране при инцидент; възстановяване и изтриване; управление на доставчици.

Следните доставчици са обхванати от разрешението само доколкото са действително активирани за MediSend, проверени на ниво продукционен акаунт и описани с цел и категории данни в публичния списък: Amazon Web Services за частно обектно хранилище; Netlify и Cloudflare за уеб доставяне и защита; Brevo за служебен имейл; LINK Mobility Poland/SMSAPI за SMS; Stripe за плащания в ролята му на обработващ; Functional Software/Sentry за ограничено наблюдение на грешки. Самото изброяване не удостоверява активиране или сключен договор. Неидентифициран доставчик на приложението, базата, Redis или резервните копия не е разрешен с празна препратка и трябва да бъде добавен и предварително съобщен преди обработване.