Допълнение за обработване на данни

Realytics Corp Limited

Последна актуализация: 5 август 2026 г. | В сила от: 5 август 2026 г.

Настоящото Допълнение за обработване на данни и приложенията към него („DPA“) отразяват споразумението между Realytics и Клиента (както са определени по-долу), заедно наричани „Страните“ („Parties“), относно Обработването на Лични данни на Клиента съгласно общите условия за ползване, абонаментния договор, формуляра за поръчка или друго писмено или електронно споразумение между Страните, което препраща към настоящия DPA („Договорът“ („Agreement“)).

Настоящият DPA е инкорпориран в Договора и представлява неразделна част от него без да е необходим какъвто и да е допълнителен подпис от която и да е от Страните. Екземпляр за подписване е достъпен при поискване на адрес за Клиенти, чиито вътрешни процедури изискват такъв.

При противоречие между настоящия DPA и Договора предимство има настоящият DPA. При противоречие между настоящия DPA и Стандартните договорни клаузи, посочени в Раздел 9, предимство имат Стандартните договорни клаузи.

1. Определения

Термините, изписани с главна буква, които не са определени тук, имат значението, дадено им в Договора.

„Свързано лице“ („Affiliate“) означава образувание, което притежава или контролира, което е притежавано или контролирано от, или което е под обща собственост или контрол със съответното образувание, като „контрол“ означава правомощието да се направляват управлението или делата на дадено образувание, а „собственост“ означава действителна собственост върху петдесет процента (50 %) или повече от ценните книжа с право на глас или еквивалентни права на глас.

„Приложимо законодателство за защита на данните“ („Applicable Data Protection Law“) означава цялото законодателство в областта на защитата на данните и неприкосновеността на личния живот, приложимо към Обработването по настоящия DPA, включително Европейското законодателство за защита на данните, CCPA, Закона на Вирджиния за защита на потребителските данни (Virginia Consumer Data Protection Act), Закона на Колорадо за неприкосновеност на личния живот (Colorado Privacy Act), Закона на Кънектикът за неприкосновеност на данните (Connecticut Data Privacy Act), Закона на Юта за потребителска неприкосновеност (Utah Consumer Privacy Act), както и други приложими закони за неприкосновеност на личния живот на щатите в Съединените щати.

„CCPA“ означава Закона на Калифорния за неприкосновеност на потребителите (California Consumer Privacy Act), изменен със Закона на Калифорния за правата на неприкосновеност (California Privacy Rights Act), заедно с подзаконовите актове по прилагането му.

„Администратор“ („Controller“) означава образуванието, което определя целите и средствата за Обработването на Лични данни, включително „предприятие“ („business“), както този термин е определен съгласно Приложимото законодателство за защита на данните.

„Клиент“ („Customer“) означава образуванието, което сключва Договора с Realytics за достъп до или ползване на Услугите.

„Лични данни на Клиента“ („Customer Personal Data“) означава Личните данни, описани в Приложение I, които Клиентът или неговите Оторизирани потребители подават към Услугите, качват в тях или правят достъпни чрез тях, или които Realytics Обработва от името на Клиента съгласно Договора, и по отношение на които Клиентът е или Администратор, или Обработващ лични данни, действащ от името на трето лице — Администратор.

„Субект на данните“ („Data Subject“), „Обработва“ („Process“), „Обработени“ („Processed“) и „Обработване“ („Processing“) имат значенията, дадени им съгласно Приложимото законодателство за защита на данните.

„Данни на ниво обект“ („Establishment-Level Data“) означава данни, които се отнасят до бизнес, марка, магазин, клон, търговски обект, заведение или друга търговска локация или юридическо лице и които не се използват от Realytics за идентифициране, обособяване или изграждане на профил на което и да е физическо лице.

„Европейско законодателство за защита на данните“ („European Data Protection Laws“) означава GDPR, Закона за защита на данните на Обединеното кралство от 2018 г. (Data Protection Act 2018) заедно с UK GDPR, както и Швейцарския федерален закон за защита на данните, всеки от тях с измененията или заместващите ги актове.

„GDPR“ означава Регламент (ЕС) 2016/679, както и същия регламент, инкорпориран в правото на Обединеното кралство.

„Лични данни“ („Personal Data“) означава лични данни или лична информация, както са определени съгласно Приложимото законодателство за защита на данните.

„Нарушение на сигурността на личните данни“ („Personal Data Breach“) означава нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна или неразрешено разкриване на или достъп до Лични данни, които се предават, съхраняват или Обработват по друг начин.

„Обработващ лични данни“ („Processor“) означава образуванието, което Обработва Лични данни от името на Администратор, включително „доставчик на услуги“ („service provider“), както този термин е определен съгласно Приложимото законодателство за защита на данните.

„Realytics“ означава Realytics Corp Limited, дружество, регистрирано в Кипър под номер HE424817, със седалище на адрес 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, или, когато Договорът е сключен с Reality Analytics, Inc., това образувание.

„Регулатор“ („Regulator“) означава надзорния или правоприлагащия орган, който има компетентност по отношение на Обработването.

„Услуги“ („Services“) означава услугите, предоставяни от Realytics на Клиента съгласно Договора.

„Стандартни договорни клаузи“ („Standard Contractual Clauses“) или „СДК“ („SCCs“) означава стандартните договорни клаузи, одобрени с Решение за изпълнение (ЕС) 2021/914 на Комисията от 4 юни 2021 г.

„Подобработващ лични данни“ („Sub-Processor“) означава всеки Обработващ лични данни, ангажиран от Realytics, включително Свързано лице на Realytics, за Обработване на Лични данни на Клиента.

2. Роли и обхват

2.1 Роля на Обработващ лични данни. По отношение на Личните данни на Клиента Клиентът е Администраторът, а Realytics е Обработващият лични данни. Когато Клиентът действа като Обработващ лични данни от името на трето лице — Администратор, Realytics действа като Подобработващ лични данни на Клиента, а Клиентът отговаря да осигури указанията му към Realytics да бъдат разрешени от съответния Администратор. Realytics ще Обработва Лични данни на Клиента само както е предвидено в настоящия DPA и в съответствие с указанията на Клиента.

2.2 Роля на Администратор. Realytics действа като Администратор, а не като Обработващ лични данни, по отношение на данните за регистрация на акаунт, данните за оправомощените потребители, информацията за фактуриране и плащане, кореспонденцията по поддръжката и данните за ползване и телеметрия на Услугите, които Realytics Обработва с цел предоставяне, обезопасяване, поддръжка, поддържане и подобряване на Услугите, управление на взаимоотношенията с клиентите, предотвратяване на измами, непрекъснатост на дейността, както и извършване на основни бизнес функции като счетоводство, фактуриране и спазване на нормативните изисквания. Обработването на тези данни от Realytics в качеството си на Администратор е описано в Политиката за поверителност на Realytics и не се урежда от настоящия DPA.

2.3 Собствени данни на Realytics. Наборите от данни, които Realytics съставя, лицензира или извежда независимо от Клиента — включително данни, получени чрез обхождане на публично достъпни уеб страници, лицензирани набори от данни на трети лица и Данни на ниво обект — не са Лични данни на Клиента и не се уреждат от настоящия DPA, независимо дали се представят на Клиента чрез Услугите.

2.4 Свързани лица на Клиента. Когато Свързани лица на Клиента са закупили абонаменти за Услугите пряко съгласно Договора, настоящият DPA се прилага към тези абонаменти и всяко такова Свързано лице се счита за Администратор по отношение на собствените си Лични данни на Клиента. Клиентът отговаря за координирането на цялата комуникация с Realytics по настоящия DPA от свое име и от името на своите Свързани лица и има право да осъществява и да получава такава комуникация от тяхно име.

2.5 Продължителност. Realytics ще Обработва Лични данни на Клиента за срока на Договора, а след това — само доколкото това е допустимо съгласно Раздел 8.

3. Задължения на Клиента

3.1 Клиентът ще Обработва Лични данни на Клиента и ще дава указания на Realytics в съответствие с Приложимото законодателство за защита на данните. Клиентът носи цялата отговорност за точността, качеството и законосъобразността на Личните данни на Клиента, както и за начина, по който ги е получил.

3.2 Клиентът гарантира, че притежава всички необходими права и валидно правно основание да предоставя Лични данни на Клиента на Realytics за Обработването, предвидено в Договора. Когато Приложимото законодателство за защита на данните го изисква, Клиентът отговаря за получаването и поддържането на регистър на всички необходими съгласия на Субектите на данните. Ако дадено съгласие бъде оттеглено, Клиентът отговаря да уведоми Realytics, а Realytics носи отговорност за изпълнението на всяко произтичащо указание в съответствие с настоящия DPA.

3.3 Забранени данни. Клиентът няма да подава към Услугите и няма да позволява на своите Оторизирани потребители да подават:

(a) специални категории Лични данни по смисъла на член 9 от GDPR, а именно данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, генетични данни, биометрични данни, обработвани с цел идентифициране, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическо лице;

(b) Лични данни, свързани с присъди и нарушения;

(c) Лични данни на деца под шестнадесет (16) години; или

(d) номера на платежни карти, номера на финансови сметки, номера на официални документи за самоличност или данни за точна геолокация на идентифицирано физическо лице.

Услугите не са предназначени да Обработват данните, описани в настоящия Раздел 3.3, и Realytics няма задължение или отговорност по отношение на такива данни, ако те бъдат подадени в нарушение на настоящия Раздел.

3.4 Обезщетяване. Клиентът ще защитава, обезщетява и предпазва от вреди Realytics и Свързаните лица на Realytics срещу всяка претенция, искане, производство, глоба, загуба или разход (включително разумни адвокатски възнаграждения), произтичащи от или свързани с (a) Лични данни на Клиента, за предоставянето на които на Realytics Клиентът не е имал правно основание или необходимите права, (b) нарушение от страна на Клиента на Раздел 3.3 или (c) всяко указание от Клиента, което води до нарушение от страна на Realytics на Приложимото законодателство за защита на данните, при условие че до Клиента е било отправено уведомление съгласно Раздел 4.1(c), когато това е било възможно.

4. Задължения на Realytics като Обработващ лични данни

4.1 Доколкото Realytics Обработва Лични данни на Клиента от името на Клиента, Realytics ще:

(a) Обработва Лични данни на Клиента само по документирани указания от Клиента, които включват Договора, настоящия DPA, конфигурирането и ползването на Услугите от Клиента, както и всяко друго разумно писмено указание, съответстващо на настоящия DPA, включително по отношение на предаване към трети държави, освен когато това се изисква за спазване на право, което е приложимо към Realytics;

(b) когато закон изисква Обработване, различно от указанията на Клиента, уведоми Клиента за това правно изискване преди Обработването, освен ако законът забранява такова разкриване;

(c) уведоми своевременно Клиента, ако по преценка на Realytics дадено указание на Клиента нарушава Приложимото законодателство за защита на данните;

(d) осигури лицата, оправомощени да Обработват Лични данни на Клиента, да бъдат обвързани със задължение за поверителност, и ограничи достъпа до тези лица, които се нуждаят от него, за да предоставят, поддържат или обезопасяват Услугите; и

(e) поддържа писмена политика за информационна сигурност, обхващаща Обработването на Лични данни на Клиента.

4.2 Ограничения за доставчик на услуги и обработващ лични данни. Realytics няма да:

(a) запазва, използва или разкрива Лични данни на Клиента извън необходимото за предоставяне на Услугите и изпълнение на Договора или както е разрешено по друг начин от Приложимото законодателство за защита на данните;

(b) запазва, използва или разкрива Лични данни на Клиента извън прякото делово взаимоотношение между Realytics и Клиента;

(c) „продава“ или „споделя“ Лични данни на Клиента, както тези термини са определени съгласно Приложимото законодателство за защита на данните; или

(d) комбинира Лични данни на Клиента с Лични данни, получени от или от името на друго лице или събрани от собствените взаимодействия на Realytics с физически лица, освен както е разрешено съгласно Раздел 5 или доколкото е необходимо за предоставяне на Услугите.

Страните приемат, че разкриването на Лични данни на Клиента от Клиента към Realytics не представлява част от парично или друго ценно насрещно предоставяне, разменено между Страните. Realytics ще осигурява на Личните данни на Клиента същото ниво на защита на неприкосновеността, каквото се изисква от Клиента съгласно Приложимото законодателство за защита на данните, и ще уведоми Клиента, ако установи, че вече не може да изпълнява задълженията си съгласно Приложимото законодателство за защита на данните.

5. Анализ на ниво обект и подобряване на Услугите

5.1 Цел. Услугите функционират, като свеждат търговската активност до нивото на бизнес, марка или физическа локация. Realytics не се стреми да идентифицира, обособява, профилира или взема решения относно отделни физически лица и не прави опити за повторно идентифициране на физически лица в който и да е набор от данни, с който разполага.

5.2 Разрешено използване. Realytics може да използва Данни на ниво обект и агрегирани или статистически данни, получени от функционирането на Услугите, включително данни, изведени от Лични данни на Клиента, за да предоставя, обезопасява, поддържа, анализира и подобрява Услугите, включително за да разработва, обучава, тества и оценява аналитичните модели и моделите за машинно обучение, които са част от Услугите.

5.3 Ограничения. Realytics ще използва данни съгласно Раздел 5.2 само когато те са агрегирани или сведени до Данни на ниво обект по такъв начин, че вече не идентифицират и не могат разумно да бъдат използвани за идентифициране на което и да е физическо лице и вече не идентифицират Клиента. Realytics няма да разкрива на друг клиент самите Лични данни на Клиента, нито какъвто и да е резултат, който идентифицира Клиента.

5.4 Данни на индивидуално ниво. Realytics не съхранява и не търси записи на индивидуално ниво за физически лица в наборите от данни, на които се основават Услугите.

5.5 Възражение. Когато Субект на данните упражни право на възражение съгласно член 21 от GDPR по отношение на Обработване, извършвано съгласно настоящия Раздел, Realytics ще изпълни това възражение в съответствие с Приложимото законодателство за защита на данните.

6. Сигурност

6.1 Като се вземат предвид достиженията на техническия прогрес, разходите за прилагане, както и естеството, обхватът, контекстът и целите на Обработването, а също и рисковете за Субектите на данните, Realytics ще въведе и поддържа подходящи технически и организационни мерки за защита на Личните данни на Клиента срещу Нарушение на сигурността на личните данни. Тези мерки са описани в Приложение II.

6.2 Realytics може периодично да актуализира мерките в Приложение II, при условие че тези актуализации не водят до съществено влошаване на общата сигурност на Услугите.

6.3 По писмено искане на Клиента и при спазване на разпоредбите за поверителност на Договора, Realytics ще предостави информация, разумно необходима за доказване на съответствието с настоящия Раздел 6, която може да включва попълнени въпросници за сигурност и, когато са налични, обобщения на одитни доклади или сертификати на трети лица, като те могат да бъдат частично заличени по съображения за сигурност или поверителност.

6.4 Одит. Когато Приложимото законодателство за защита на данните го изисква и когато информацията, предоставена съгласно Раздел 6.3, не е достатъчна, Клиентът може да поиска одит на Обработването на Лични данни на Клиента от Realytics. Такъв одит може да се извършва не повече от веднъж на всеки дванадесет (12) месеца, изисква писмено предизвестие от най-малко тридесет (30) дни и е обусловен от предварително съгласуване между Страните на обхвата, времето и продължителността му. Клиентът поема собствените си разходи и ще възстанови разумните разходи на Realytics за времето, отделено в подкрепа на одита. Резултатите от одита представляват Поверителна информация на Realytics. Клиентът ще уведоми своевременно Realytics за всяко установено несъответствие, а Realytics ще положи търговски разумни усилия за отстраняване на всяко потвърдено несъответствие. Нищо в настоящия Раздел не ограничава одит или проверка, изисквани от Регулатор.

7. Подобработващи лични данни

7.1 Разрешение. Клиентът предоставя на Realytics общо писмено разрешение да ангажира Свързани лица на Realytics и Подобработващи лични данни — трети лица, за Обработване на Лични данни на Клиента във връзка с Услугите. Това представлява предварителното писмено разрешение на Клиента за целите на Клауза 9 от Стандартните договорни клаузи. Актуалният списък на Подобработващите лични данни е достъпен на realytics.com/legal/subprocessors и е възпроизведен в Приложение III.

7.2 Уведомяване и възражение. Realytics ще уведомява за всеки нов Подобработващ лични данни чрез актуализиране на списъка най-малко петнадесет (15) дни преди на този Подобработващ лични данни да бъде предоставен достъп до Лични данни на Клиента и ще осигури механизъм, чрез който Клиентът може да се абонира за известия за актуализации. Клиентът може да възрази на разумни основания, свързани със защитата на данните, в срок от четиринадесет (14) дни от уведомлението. Ако Клиентът не отговори в този срок, Подобработващият лични данни се счита за приет.

7.3 Разрешаване. Ако Клиентът възрази, Страните ще обсъдят възражението добросъвестно. Ако в срок от тридесет (30) дни не бъде постигнато решение, Клиентът може да прекрати засегнатата част от Услугите с писмено предизвестие, а Realytics ще възстанови пропорционално всички предплатени такси, покриващи периода след прекратяването.

7.4 Пренасяне на задълженията и отговорност. Realytics ще наложи на всеки Подобработващ лични данни задължения за защита на данните, осигуряващи най-малко същото ниво на защита на Личните данни на Клиента като настоящия DPA. Когато Подобработващ лични данни не изпълни тези задължения, Realytics носи отговорност пред Клиента за изпълнението на задълженията на този Подобработващ лични данни.

8. Изтриване и връщане

8.1 При изтичане или прекратяване на Договора, по писмено искане на Клиента или когато целта на Обработването е изпълнена, Realytics ще изтрие Личните данни на Клиента в срок от тридесет (30) дни, освен доколкото запазването им се изисква от закона.

8.2 Личните данни на Клиента, съдържащи се в рутинни резервни копия, ще бъдат изтрити в съответствие с обичайния цикъл на резервно копиране на Realytics и при всички случаи в срок от деветдесет (90) дни от прекратяването.

8.3 Клиентът може да експортира Лични данни на Клиента чрез функционалността за експорт на Услугите по всяко време през срока на Договора без допълнително заплащане. Когато Клиентът поиска специално извличане, изискващо инженерни усилия, Realytics може да начисли разумните си разходи.

8.4 Realytics ще запазва поверителността на всички Лични данни на Клиента, съхранявани съгласно Раздел 8.1, и ще ги Обработва само доколкото е необходимо за спазване на приложимото към Realytics право.

8.5 Агрегираните данни и Данните на ниво обект, законосъобразно създадени съгласно Раздел 5 преди прекратяването, които не идентифицират Клиента или което и да е физическо лице, не подлежат на изтриване съгласно настоящия Раздел.

9. Международно предаване на данни

9.1 Стандартни договорни клаузи. Когато Лични данни на Клиента с произход от Европейското икономическо пространство, Обединеното кралство или Швейцария се предават към държава, по отношение на която не е прието решение относно адекватното ниво на защита, Страните се съгласяват да бъдат обвързани от Модул втори (администратор към обработващ лични данни) от Стандартните договорни клаузи, които са инкорпорирани в настоящия DPA чрез препращане. Когато Клиентът действа като Обработващ лични данни от името на трето лице — Администратор, вместо това се прилага Модул трети (обработващ лични данни към обработващ лични данни). Клиентът изпълнява задълженията на износителя на данни, а Realytics изпълнява задълженията на вносителя на данни.

9.2 Избор на опции. За целите на Стандартните договорни клаузи:

(a) факултативната клауза за присъединяване по Клауза 7 се прилага, когато една от Страните уведоми писмено другата, че това се изисква;

(b) в Клауза 9 се прилага Опция 2 (общо писмено разрешение), със срока за уведомяване, посочен в Раздел 7.2;

(c) в Клауза 11 факултативният текст относно независимо разрешаване на спорове не се прилага;

(d) в Клауза 17 се прилага Опция 1 и Клаузите се уреждат от правото на Република Кипър;

(e) в Клауза 18(b) споровете ще се решават пред съдилищата на Република Кипър;

(f) Приложение I към Стандартните договорни клаузи се попълва с информацията в Приложение I към настоящия DPA, а Приложение II — с информацията в Приложение II към настоящия DPA; и

(g) сключването на настоящия DPA представлява подписване на Стандартните договорни клаузи и приложенията към тях от всяка от Страните.

9.3 Обединено кралство. За предаване на данни, подчинено на UK GDPR, Страните приемат Допълнението за международно предаване на данни на Обединеното кралство (версия B1.0), издадено от Информационния комисар, което е инкорпорирано чрез препращане. Таблица 1 се попълва с данните на Страните в Приложение I; Таблица 2 определя износителя като Администратор, а вносителя — като Обработващ лични данни; Таблици 3 и 4 се попълват съответно с информацията в Приложения I и II.

9.4 Швейцария. За предаване на данни, подчинено на Швейцарския федерален закон за защита на данните, Федералният комисар по защита на данните и информацията е компетентният надзорен орган, препратките към GDPR се разбират като препратки към швейцарския закон, а Субектите на данните в Швейцария могат да упражнят правата си в Швейцария.

9.5 Последващо предаване. Realytics може да предава Лични данни на Клиента на Reality Analytics, Inc. и на Подобработващите лични данни, изброени в Приложение III, като във всеки случай това се извършва при спазване на подходящи гаранции съгласно Приложимото законодателство за защита на данните.

9.6 Промяна на механизма. Ако Стандартните договорни клаузи или Допълнението на Обединеното кралство бъдат изменени, заменени или обявени за невалидни или недостатъчни от съд или Регулатор с компетентна юрисдикция, Страните се съгласяват, че приложимите заместващи или актуализирани клаузи или всеки алтернативен механизъм за предаване, който е валиден съгласно Приложимото законодателство за защита на данните, ще се прилагат автоматично от датата, на която станат приложими, и че Realytics може да въведе допълнителни гаранции, доколкото е необходимо, без изменение на настоящия DPA.

10. Права на субектите на данните и съдействие

10.1 Когато Realytics получи искане от Субект на данните за упражняване на права на достъп, коригиране, изтриване, ограничаване, преносимост или възражение по отношение на Лични данни на Клиента, Realytics ще информира своевременно Субекта на данните, доколкото това е правно допустимо, че искането следва да бъде отправено към Клиента, и ще уведоми Клиента за искането.

10.2 Като се вземе предвид естеството на Обработването, Realytics ще съдейства на Клиента чрез подходящи технически и организационни мерки, доколкото това е разумно възможно, при изпълнението на задължението на Клиента да отговаря на такива искания. Когато Клиентът не може да удовлетвори дадено искане чрез функционалността на Услугите, Realytics ще положи търговски разумни усилия да съдейства.

10.3 По искане на Клиента и като се вземат предвид естеството на Обработването и информацията, с която разполага Realytics, Realytics ще предостави разумно съдействие на Клиента при извършването на оценка на въздействието върху защитата на данните във връзка с ползването на Услугите от Клиента, както и при всяка предварителна консултация с Регулатор съгласно член 36 от GDPR, като във всеки от случаите това се прилага доколкото Клиентът няма достъп до съответната информация по друг начин.

11. Нарушение на сигурността на личните данни

11.1 Realytics ще уведоми Клиента за Нарушение на сигурността на личните данни, засягащо Лични данни на Клиента, без ненужно забавяне и при всички случаи в рамките на седемдесет и два (72) часа от узнаването за него, като използва данните за контакт, които Клиентът е предоставил за тази цел. Клиентът отговаря за поддържането на тези данни в актуален вид.

11.2 Уведомлението ще включва, доколкото е известно към този момент, естеството на нарушението, категориите и приблизителния обем на засегнатите Лични данни на Клиента, вероятните последици и предприетите или предложените мерки. Когато информацията не е налична към момента на уведомяването, Realytics ще я предостави на етапи, когато тя стане налична.

11.3 Realytics ще предприеме търговски разумни стъпки за ограничаване и отстраняване на последиците от нарушението, доколкото отстраняването е в рамките на контрола на Realytics, и ще предостави на Клиента разумно съдействие, което да позволи на Клиента да уведоми Регулаторите и засегнатите Субекти на данните, когато Клиентът е длъжен да го направи.

11.4 Клиентът носи цялата отговорност за спазването на задълженията за уведомяване при нарушение, приложими към Клиента, както и за всички задължения за уведомяване на трети лица.

11.5 Настоящият Раздел не се прилага за Нарушение на сигурността на личните данни, причинено от Клиента, от неговите Оторизирани потребители или от продукти или услуги, които не се предоставят от Realytics.

11.6 Уведомяването от Realytics за Нарушение на сигурността на личните данни не представлява признание за вина или отговорност.

12. Общи разпоредби

12.1 Отговорност. Отговорността на всяка от Страните и на нейните Свързани лица, произтичаща от или свързана с настоящия DPA, независимо дали е договорна, деликтна или на друго основание за отговорност, е подчинена на ограниченията и изключенията на отговорността, предвидени в Договора. Всяко посочване в Договора на отговорността на дадена Страна означава съвкупната отговорност на тази Страна и на всички нейни Свързани лица съгласно Договора и всички допълнения за обработване на данни, взети заедно. Нищо в настоящия DPA не ограничава отговорност, която не може да бъде ограничена съгласно Приложимото законодателство за защита на данните, включително правата на Субектите на данните по членове 79 и 82 от GDPR.

12.2 Приложимо право. Настоящият DPA се урежда от правото, приложимо към Договора. Когато Договорът не определя приложимо право, настоящият DPA се урежда от правото на Република Кипър и съдилищата на Кипър имат изключителна компетентност, при спазване на Раздели 9.2(e) и 9.3.

12.3 Ред на предимство. Настоящият DPA има предимство пред всяка противоречаща му клауза на Договора по отношение на Обработването на Лични данни на Клиента. Освен доколкото е изменен с настоящия DPA, Договорът остава в пълна сила.

12.4 Промени в настоящия DPA. Realytics може да актуализира настоящия DPA, за да отрази промени в Приложимото законодателство за защита на данните, в Услугите или в Подобработващите лични данни, при условие че никоя актуализация не намалява съществено защитата, предоставяна на Личните данни на Клиента. Realytics ще уведомява за съществени промени най-малко тридесет (30) дни предварително чрез публикуване на актуализирания DPA и, когато Клиентът се е абонирал за известия, по електронна поща.

12.5 Отделимост на разпоредбите. Ако някоя разпоредба на настоящия DPA бъде обявена за невалидна или неприложима, останалата част запазва действието си.

12.6 Липса на партньорство. Нищо в настоящия DPA не създава партньорство, съвместно предприятие или отношения на представителство между Страните.

12.7 Срок на действие. Настоящият DPA влиза в сила на датата на влизане в сила на Договора и се прекратява автоматично при изтичане или прекратяване на Договора, с изключение на разпоредбите, които остават в сила по своето естество, включително Раздели 8, 9 и 12.1.

12.8 Контакт. Въпроси относно настоящия DPA могат да се изпращат на . Въпроси, свързани със сигурността, могат да се изпращат на .

Приложение I — Описание на Обработването

A. Списък на страните

Износител на данни (Администратор): Клиентът, както е идентифициран в Договора. Дейности, относими към предаването: получаване на Услугите съгласно Договора. Подпис и дата: сключването на настоящия DPA представлява подписване на настоящото Приложение от Клиента.

Вносител на данни (Обработващ лични данни): Образуванието от Realytics, посочено в Договора, а именно Realytics Corp Limited, регистрационен номер HE424817, 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, или Reality Analytics, Inc., 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. Контакт: . Дейности, относими към предаването: предоставяне на Услугите на Клиента съгласно Договора. Подпис и дата: сключването на настоящия DPA представлява подписване на настоящото Приложение от Realytics.

B. Описание на предаването

C. Компетентен надзорен орган

Службата на Комисаря по защита на личните данни на Република Кипър.

Приложение II — Технически и организационни мерки

Realytics поддържа технически и организационни мерки, предназначени да защитават Личните данни на Клиента срещу Нарушение на сигурността на личните данни, като се вземат предвид естеството, обхватът, контекстът и целите на Обработването, както и рискът за Субектите на данните. Realytics не публикува подробности за системната архитектура или за начина на прилагане на мерките за сигурност, когато това би създало риск за сигурността.

A. Контрол на достъпа

Realytics ограничава достъпа до Лични данни на Клиента до лицата, които се нуждаят от достъп, за да предоставят, поддържат, обслужват или обезопасяват Услугите. Достъпът се предоставя на ролев принцип, изисква удостоверяване и се премахва, когато вече не е необходим. Лицата с достъп до Лични данни на Клиента са обвързани със задължения за поверителност.

B. Сигурност при пренос

Realytics защитава Личните данни на Клиента, предавани по публични мрежи, чрез криптиране при пренос, когато това е технически подходящо.

C. Разделяне и свеждане до минимум

Realytics използва логически контроли, предназначени да разделят клиентските среди и данни в рамките на Услугите. Realytics ограничава Обработването на Лични данни на Клиента до необходимото за целите, описани в Договора и настоящия DPA, и използва агрегиране, деидентифициране или Данни на ниво обект, когато целта позволява това.

D. Резервни копия и устойчивост

Realytics поддържа мерки за резервно копиране и възстановяване, предназначени да подпомагат наличността и възстановяването на Услугите и на Личните данни на Клиента след инцидент, в зависимост от нивото на Услугите и от Договора.

E. Управление на инциденти

Realytics поддържа процедури за идентифициране, разследване, ограничаване и отстраняване на последиците от инциденти със сигурността, засягащи Услугите.

F. Управление на Подобработващите лични данни

Realytics сключва договори с Подобработващите лични данни при условия, налагащи задължения за защита на данните, които осигуряват най-малко същото ниво на защита като настоящия DPA, и поддържа публикувания списък на Подобработващите лични данни, описан в Раздел 7.

Приложение III — Подобработващи лични данни

Бележки. Hetzner Online GmbH предоставя специализирани физически сървъри и съоръжения за центрове за данни. Realytics не предоставя на Hetzner достъп до Лични данни на Клиента и Hetzner не Обработва Лични данни на Клиента от името на Realytics; дружеството е включено в списъка с цел прозрачност като доставчик на хостинг инфраструктура.

Meta Platforms, TikTok, LinkedIn и Google Ads се използват от Realytics за собствените маркетингови и рекламни дейности на Realytics, при които Realytics действа като Администратор. Те не Обработват Лични данни на Клиента и поради това не са Подобработващи лични данни по настоящия DPA. Тяхната роля е описана в Политиката за поверителност на Realytics.

Realytics не позволява на изброените по-горе Подобработващи лични данни, които извършват изпълнение на модели с изкуствен интелект, да използват Лични данни на Клиента за обучение на собствените си модели и сключва договори с тях при условия, които изключват такова използване.