Договор за обработване на лични данни

Между детската градина и 4V3D OÜ, за груповата услуга Minute Mission. Версия 1.0, 23 септември 2026 г.

Това е текстът на договора на български език. Договорът се публикува и на английски, и на естонски, и именно тези два текста са обвързващи. Клиентите в Естония подписват естонския текст. Ако този превод се различава от английския текст, важи английският текст.

Как се сключва този договор

По два начина, с едно и също действие.

• При поръчката. Отбележете полето, с което приемате този договор, версия 1.0. Версията и датата се записват към Вашия профил, копие от точния текст, който сте приели, Ви се изпраща по имейл и остава достъпно в профила Ви.
• На хартия, ако организацията Ви се нуждае от подпис. Поискайте го от нас на info@4v3d.ee и ще Ви изпратим същия текст като документ с таблица за Вашите данни. Подпишете го електронно (квалифициран подпис по eIDAS, DocuSign, Adobe Sign или собствената Ви национална схема) и ни го върнете. 4V3D OÜ подписва същия файл и Ви го връща. Договорът поражда действие от по-късния от двата подписа.

Обработващ лични данни: 4V3D OÜ, регистрационен номер 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Естония. Представител: Oskar Viil, член на управителния съвет. Контакт: info@4v3d.ee.

1. Какво обхваща този договор

Детската градина (администраторът) използва Minute Mission, уеб приложение, което се поддържа от 4V3D OÜ (обработващият лични данни) и в което учителят води табло с мисиите и наградите на групата. За тази цел 4V3D OÜ обработва личните данни, описани в Приложение II, от името на детската градина и по нейни инструкции.

Този договор съдържа всичко, което съгласно Article 28(3) от Общия регламент относно защитата на данните (ОРЗД) и от UK GDPR трябва да бъде уговорено писмено между администратор и обработващ лични данни. Той се прилага независимо дали детската градина е установена в ЕИП или в Обединеното кралство.

2. Кое право се прилага за Вас

• Детска градина в ЕИП. Прилага се ОРЗД. Прилага се и раздел 3.
• Детска градина в Обединеното кралство. Прилагат се UK GDPR и Data Protection Act 2018. Позоваванията по-долу на ОРЗД се четат като позовавания на UK GDPR, позоваванията на надзорен орган се четат като позовавания на Information Commissioner, а раздел 3 не се прилага.
• Детска градина където и да е другаде. За Вас се прилага собственото Ви право за защита на данните, а тези условия обвързват 4V3D OÜ по договорен път. 4V3D OÜ е установено в Европейския съюз, така че при всички положения е обвързано с ОРЗД за това обработване. Нищо тук не ограничава право, което Вашето собствено право Ви дава.

3. Стандартните договорни клаузи на Европейската комисия

Когато детската градина е установена в ЕИП, страните прилагат стандартните договорни клаузи между администратори и обработващи лични данни от приложението към решението за изпълнение на Комисията Decision (EU) 2021/915, в официалната им редакция на английски език. Тези клаузи са част от този договор, а приложенията по-долу са техните приложения. Clause 5 (присъединяване) не се прилага. По Clause 7.7 се прилага Вариант 2: общо писмено разрешение за подобработващи лични данни, с предизвестие от 30 дни за всяка промяна. Ако клаузите и този договор се разминават, клаузите имат предимство.

4. Какво поема всяка от страните

4V3D OÜ ще:

• Обработва личните данни само за предоставяне на услугата и само по документирани инструкции на детската градина, включително относно предаване към трета държава. Този договор и ползването на услугата от детската градина са тези инструкции. Ако правото на ЕС или на държава членка задължи 4V3D OÜ да обработва данните по друг начин, то ще уведоми детската градина предварително, освен ако това право не го забранява.
• Никога не използва данните за собствени цели, никога не ги продава, никога не ги използва за обучение на каквото и да било и никога не ги показва на никого извън подобработващите лични данни, посочени в Приложение IV.
• Осигури, че всеки, който има достъп, е обвързан със задължение за поверителност.
• Поддържа мерките за сигурност от Приложение III и няма да ги отслабва.
• Използва само подобработващите лични данни от Приложение IV. 4V3D OÜ може да добави или замени такъв, като преди това изпраща на лицето за контакт на детската градина писмено предизвестие от 30 дни. Детската градина може да възрази в рамките на тези 30 дни; ако възражението не може да бъде решено, детската градина може да прекрати услугата и получава възстановяване за неизползваната част от месеца.
• Помага на детската градина да отговори на искане от родител или служител. Учителите и директорът вече могат сами да преглеждат, коригират, експортират и изтриват тези данни в услугата. Ако искането стигне вместо това до 4V3D OÜ, то се препраща на лицето за контакт на детската градина в рамките на пет работни дни и не получава пряк отговор.
• Помага на детската градина със задълженията ѝ по Articles 32 to 36 (сигурност, уведомяване за нарушения, оценки на въздействието, предварителни консултации), като се отчита какво 4V3D OÜ действително знае.
• Уведоми лицето за контакт на детската градина за нарушение на сигурността на личните данни в рамките на 24 часа, след като узнае за него, с наличното към момента и с останалото, щом бъде установено.
• При прекратяване на услугата изтрие данните в рамките на 30 дни или да ги върне преди това, ако детската градина поиска. От шифрованите резервни копия те изчезват в рамките на 90 дни. 4V3D OÜ потвърждава писмено, когато данните вече ги няма.
• Предостави информацията, необходима за доказване на изпълнението на тези задължения, и допуска одит. На практика това означава писмени отговори и документация при поискване. Одит на място или от трето лице може да се организира с предизвестие от 30 дни, за сметка на детската градина, не повече от веднъж годишно, освен ако е имало нарушение.
• Уведоми незабавно детската градина, ако дадена инструкция изглежда в нарушение на правото за защита на данните.

Детската градина ще:

• Осигури, че има правно основание за това обработване и че родителите са информирани. 4V3D OÜ не вижда родителите и не може да направи това вместо Вас.
• Поддържа данните в услугата в рамките на описаното в Приложение II. По-специално, не въвеждайте в свободно текстово поле фамилното име на дете, здравна информация, оценка за дете или каквото и да е за обстоятелствата в семейството.
• Поддържа данните на профила си верни и уведомява 4V3D OÜ, когато лицето за контакт се промени.
• Управлява сама профилите на персонала си: премахва достъпа на учител, който напуска.

5. Две неща, които не са обработване от Ваше име

Казано направо тук, за да не гадае никой по-късно.

• Профили на персонала. Името, имейл адресът и паролата на учител или директор са необходими, за да работи услугата изобщо, и 4V3D OÜ решава как да я управлява. За тази тясна цел 4V3D OÜ е администратор, а не обработващ лични данни, и се прилага собствената му политика за поверителност. Всичко, което се отнася до децата, е обработване от името на детската градина и е обхванато от този договор.
• Плащането. Ако детската градина плаща с карта, плащането се обработва от Stripe Payments Europe Ltd. Stripe получава името за фактуриране, адреса, данъчния номер, имейла и данните на картата на детската градина и никакви данни за дете. Администратор на тези данни за фактуриране е 4V3D OÜ. Затова Stripe не е подобработващ лични данни по този договор и не е в Приложение IV.

6. Срок, приложимо право и отговорност

Този договор действа, докато 4V3D OÜ обработва данните на детската градина, и остава в сила след прекратяване на услугата до изтриването на данните.

Прилага се естонското право и компетентни са съдилищата в окръг Харю, освен ако детската градина е публичен орган, чиито собствени правила изискват националното ѝ право и съдилища; в този случай страните се договарят за това преди подписването.

Отговорността е уредена в Условията за ползване на Minute Mission, които този договор допълва и не заменя.

Приложение I. Страните

Администратор: детската градина, идентифицирана с данните, които дава при поръчката или попълва в подписания екземпляр. Роля: администратор на данните на децата, поддържани на груповото табло.

Обработващ лични данни: 4V3D OÜ, регистрационен номер 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Естония. Контакт: Oskar Viil, член на управителния съвет, info@4v3d.ee. Не е назначено длъжностно лице по защита на данните, тъй като ОРЗД не изисква такова в този случай.

Всяка от страните може да смени лицето си за контакт, като писмено уведоми другата.

Приложение II. Описание на обработването

Приложение III. Мерки за сигурност

• Данните са в Европейския съюз. Приложението и резервните му копия работят в центъра за данни на Hetzner Online GmbH в Хелзинки, Финландия (сертифициран по ISO/IEC 27001). Служебните имейли се изпращат от Scaleway SAS във Франция. Няма предаване към трета държава.
• Всичко при пренос е шифровано (HTTPS, с действаща Content Security Policy). Паролите никога не се съхраняват, а само техен хеш, и токените за сесия също се пазят хеширани, така че копие на базата данни не е комплект работещи ключове.
• Всяка група е отделен профил. Учителят вижда само децата от собствената си група. Директорът има едно влизане за собствените си групи и няма достъп до чужди.
• В групов профил не могат да се качват снимки, push известията са изключени, а картинките на децата са ограничени до набор от рисунки.
• Ежедневни шифровани резервни копия, пазени 14 дни на сървъра и 90 дни извън него. Шифровани са с публичен ключ, който самият сървър не притежава, така че сървърът не може да чете собствените си резервни копия. Възстановяването от резервно копие е тествано.
• Достъпът до сървъра е само за члена на управителния съвет на 4V3D OÜ. Няма служител, изпълнител или агент за поддръжка с достъп.
• Без анализи, без рекламни инструменти и без каквото и да е проследяване. Единственото редовно отчитане е дневен брой на регистрациите, активните профили и грешките, който не съдържа имена.
• Ограничаване на скоростта при влизане и регистрация и ограничение от 30 дни назад, докога може да се отметне мисия, така че грешка или злоупотреба да не може да пренапише месеци история.
• Писмен преглед на сигурността на целия изходен код е правен два пъти от външен модел, последно на 20 септември 2026 г., и констатациите са закрити.

Приложение IV. Подобработващи лични данни

И двете са в Европейския съюз. Няма подобработващ лични данни извън ЕС и няма международно предаване, което да бъде оценявано.