Споразумение за обработване на лични данни и съвместно администриране

1. Страни

• Обработващ / съвместен администратор („VetCare“, „ние“): [данните на дружеството предстоят], ЕИК [данните на дружеството предстоят], [данните на дружеството предстоят], [данните на дружеството предстоят], имейл за лични данни [данните на дружеството предстоят].
• Администратор / съвместен администратор („бизнесът“, „вие“): бизнесът (клиника или друг бизнес), регистриран в платформата, представляван от собственика на бизнеса, който приема споразумението в приложението. Данните на бизнеса са тези, въведени при регистрацията и в раздел „Абонамент“.

2. Предмет, срок, естество и цел

• Предмет: предоставяне на софтуера VetCare като услуга — клинична работа, продажби, склад, график, управление, статистика, регистри, напомняния към клиентите, публична страница на бизнеса, онлайн заявки за час и (по желание) AI асистент.
• Срок: докато бизнесът ползва платформата, плюс периода след края по раздел 10.
• Естество: съхранение, организиране, търсене, показване на упълномощените потребители, изпращане на имейли, резервни копия, експорт, изтриване.
• Цел: само за да предоставяме услугата на бизнеса. Не ползваме данните на бизнеса за свои цели, не ги продаваме и не ги ползваме за реклама.

3. Субекти и категории данни

4. Указания

Обработваме данните само по ваши документирани указания. Указанията са: това споразумение, Общите условия, настройките, които правите в приложението, и действията на вашите потребители в него. Други указания ни давате писмено по имейл. Ако смятаме, че указание нарушава закона, ще ви уведомим. Ако закон ни задължава да обработим данни по друг начин (например по искане на орган), ще ви уведомим, освен ако законът не го забранява.

5. Поверителност

Достъп до данните на бизнеса имат само наши служители и сътрудници, които имат нужда от него за поддръжка и работа на платформата, и само доколкото е нужно. Те са задължени да пазят поверителност. Платформеният администратор не отваря клинични записи, освен ако е нужно за поддръжка по ваше искане или за сигурността на системата.

6. Сигурност

Прилагаме технически и организационни мерки по чл. 32 ОРЗД. Основните са:

• криптирана връзка (TLS/HTTPS) между браузъра и сървъра;
• разделяне на данните по бизнеси: сървърът проверява при всяка заявка, че потребителят е член на бизнеса и има право на съответния модул;
• права по модули, които собственикът на бизнеса задава;
• пароли, пазени само като хеш; ограничаване на опитите за вход; сесии, които се затварят при смяна на паролата;
• медицинските файлове са частни и се отдават само на упълномощени потребители;
• тайните (ключове за имейл, плащания, AI) се пазят криптирани;
• редовни резервни копия на базата данни и файловете;
• хостинг в център за данни в ЕС (Германия).

Подробното описание на мерките (TOMs) предстои да бъде публикувано като отделен документ.

7. Подизпълнители (подобработващи)

• Давате ни общо писмено разрешение да ползваме подизпълнители. Актуалният списък е на страницата Подизпълнители.
• За нов или сменен подизпълнител уведомяваме собственика на бизнеса по имейл поне 30 дни предварително.
• Можете да възразите в този срок с обосновка. Ще потърсим решение; ако няма такова, можете да прекратите абонамента без неустойка преди промяната и да експортирате данните си.
• С всеки подизпълнител имаме договор със задължения за защита на данните, не по-слаби от тези в споразумението. При предаване извън ЕИП ползваме решение за адекватност или стандартни договорни клаузи.
• Отговаряме пред вас за подизпълнителите си.

8. Съдействие

• Искания на субектите. Приложението ви дава средства да намерите, коригирате, експортирате и ограничите данните на клиент. Ако до нас стигне искане за данни, които администрирате вие, ще го препратим до вас без забавяне и няма да отговаряме сами, освен ако е за общия профил (виж раздел 12).
• Оценка на въздействието (ОВЗД) и консултация с КЗЛД. Предоставяме ви информацията, с която разполагаме, за да ги направите.
• Сигурност и пробиви. Съдействаме ви да изпълните задълженията си по чл. 32–34 ОРЗД.

9. Нарушения на сигурността (пробиви)

Ако установим нарушение на сигурността, засягащо данните на вашия бизнес, ви уведомяваме без неоправдано забавяне и не по-късно от 48 часа, след като сме разбрали за него — по имейл до собственика на бизнеса. Посочваме какво се е случило, какви данни и приблизително колко субекти са засегнати, вероятните последици и какви мерки сме взели. Ако не знаем всичко веднага, ви го изпращаме на части. Уведомяването на КЗЛД (до 72 часа) и на засегнатите лица за данните, които администрирате, е ваше задължение; ние ви съдействаме.

10. Край на договора

1. След края на договора данните на бизнеса остават достъпни само за четене 90 дни, за да ги експортирате.
2. След 90-те дни изтриваме или анонимизираме данните на бизнеса, включително от резервните копия, когато те изтекат по графика си.
3. Запазваме само това, което законът ни задължава да пазим — например нашите фактури към бизнеса — и само за законовия срок.
4. Общият профил собственик–животно не се изтрива, ако собственикът има профил или връзка с друга клиника; изтриват се връзката с вашия бизнес и вашите записи.

Нормативните срокове за съхранение на вашите регистри и ветеринарна документация са ваша отговорност — експортирайте ги преди изтичането на 90-те дни.

11. Проверки

При поискване ви предоставяме информацията, нужна да докажем спазването на това споразумение (описание на мерките, списък на подизпълнителите, отговори на въпросници). Ако това не е достатъчно, можете да извършите проверка сами или чрез независим одитор, обвързан с поверителност, с поне 30 дни предизвестие, в работно време, не по-често от веднъж годишно (освен след пробив или по искане на орган) и без достъп до данни на други бизнеси. Разходите за проверката са за ваша сметка.

12. Съвместно администриране на общия профил собственик–животно

Когато собственик на животно посещава няколко клиники, всички те ползват един и същ профил. Затова ние и всяка клиника, която ползва профила, сме съвместни администратори по чл. 26 ОРЗД за следните данни:

• име, телефон, имейл;
• микрочип и QR код на животното;
• връзката собственик–животно;
• търсенето по телефон между клиниките, за да се свърже профилът с вашия картон.

Клиничните записи не са част от общия профил — за тях вие сте администратор, а ние обработващ (раздели 2–11).

Кой какво прави

• Собственикът може да упражни правата си пред всеки от съвместните администратори. Който получи искането, го изпълнява за своята част и препраща останалото.
• Собственикът може да поеме профила си с регистрация на vet-ty.com и да го управлява сам.
• Същественото от тази уредба е достъпно за собствениците в Политиката за поверителност.

13. Приложение „AI асистент“

• Само ако включите AI. AI асистентът се ползва в бизнеса само след като собственикът на бизнеса го включи и приеме това приложение. Може да го изключи по всяко време.
• Какви данни отиват към модела. Само това, което е нужно за конкретния въпрос: данните на отворената визита (анамнеза, показатели, преглед, диагноза, манипулации), описанието на животното, предишни визити и ваксини в клиниката, по желание изображенията от изследванията, и въпросът на лекаря. За таблото: обобщение на деня (график, пациенти, склад, продажби).
• Какво не отива. Телефонът, имейлът и адресът на собственика не се изпращат. Сървърът почиства имейли и телефонни номера от контекста на визитата, преди да го изпрати. Не въвеждайте данни за контакт на собственика в свободните въпроси.
• Къде работи моделът: [предстои уточняване], [предстои уточняване].
• Съхранение. Разговорите се пазят в платформата: тези към визита — като част от записа на клиниката; тези от таблото — лични за потребителя. Сроковете за изтриване се определят в политиката за съхранение.
• Без обучение с лични данни. Не обучаваме модели с данни, по които може да се разпознае клиника, собственик или животно.
• Общо знание. Можем да извличаме знание от всички клиники само като обезличени обобщения — поне 10 случая от поне 3 клиники. Бизнесът може да се откаже от участие.
• Решението е на лекаря. AI е помощник, не поставя диагнози и не назначава лечение. Предложенията за лечение са изключени до оценка от ветеринарни лекари.
• Ако моделът се хоства от трета страна, тя ще бъде включена в списъка на подизпълнителите и ще ви уведомим по раздел 7.

14. Данни за фактуриране

За данните, нужни за абонамента и фактурите (фирма, ЕИК, ДДС №, МОЛ, адрес, имейл за фактури, история на плащанията), VetCare е администратор, а не обработващ. Плащанията с карта се обработват от Stripe, който е отделен администратор за картовите данни и за предотвратяване на измами. Фактурите пазим толкова, колкото изисква счетоводното и данъчното законодателство (обичайно 10 години); останалите данни за фактуриране — до 12 месеца след края на абонамента. Повече — в Политиката за поверителност.

15. Приемане

• Споразумението се приема електронно от собственика на бизнеса в приложението — при регистрацията на бизнеса, а за съществуващите бизнеси — при влизане.
• Пазим версията, датата и часа, потребителя, който е приел, и IP адреса.
• При нова версия ще ви уведомим по имейл и ще ви помолим да я приемете. Съществени промени влизат в сила след поне 30 дни.
• Докато текущата версия не е приета, служителите на бизнеса виждат съобщение, че се изчаква приемане от собственика, и работата в бизнеса е ограничена.

16. Версия

Версия на споразумението: 2026-10-01. Прилага се българското право. При противоречие между това споразумение и Общите условия относно личните данни предимство има споразумението.