Версия 2026-11, в сила от 2 декември 2026 г. · Citron (управлява се от Inkblot Studio)
1. Страни и роли
1.1 Настоящото споразумение за обработка на данни („СОД“) е част от договора, по силата на който клиентът („Администратор“) използва конзолата Citron, API за доставка и свързаните услуги („Услугите“), предоставяни от „Инкблот Студио“ ООД, ЕИК 208715250, ДДС № BG208715250, със седалище и адрес на управление гр. Бургас 8000, „Марагидик“ № 19, ет. 2, офис 1 („Inkblot Studio“, „Обработващ“).
1.2 По отношение на личните данни, които Администраторът съхранява в Услугите или събира чрез тях, Администраторът е администратор, а Обработващият е обработващ по смисъла на Регламент (ЕС) 2016/679 („GDPR“).
2. Предмет, срок, естество и цел
2.1 Обработващият обработва лични данни единствено за да предоставя, защитава и поддържа Услугите, за срока на договора и за срока на изтриване по раздел 9.
2.2 Категории субекти на данни: посетителите на уебсайта на Администратора, лицата, изпратили запитване, клиенти, контакти и служители, които използват Услугите.
2.3 Категории лични данни: данни за контакт (име, имейл, телефон), съдържание на запитвания и заявки за срещи, записи в CRM, данни за акаунти и журнали, файлове и прикачени файлове, разговори с Citron AI, продиктувана реч, както и всички други данни, които Администраторът реши да съхранява в Услугите.
3. Указания
3.1 Обработващият обработва лични данни само по документирани указания на Администратора, включително дадени чрез настройките на Услугите, освен ако правото на Съюза или на държава членка не изисква друго. Обработващият уведомява Администратора, ако дадено указание според него нарушава правото в областта на защитата на данните.
4. Поверителност
4.1 Всички лица при Обработващия, които имат достъп до лични данни, са задължени да спазват поверителност.
5. Сигурност
5.1 Обработващият прилага техническите и организационните мерки, описани в Приложение 2, включително изолация на всяко работно пространство, шифроване при пренос, шифровано съхранение на достъпите до конектори, контрол на достъпа според ролите, двуфакторно удостоверяване и журнали на действията.
6. Подизпълнители
6.1 Администраторът разрешава използването на подизпълнителите, изброени в Приложение 1. Обработващият уведомява Администратора поне 30 дни преди да добави или замени подизпълнител; Администраторът може да възрази на разумни основания, свързани със защитата на данните.
6.2 Обработващият налага на всеки подизпълнител задължения за защита на данните, които не са по-малко защитни от настоящото СОД.
7. Съдействие
7.1 Като взема предвид естеството на обработването, Обработващият съдейства на Администратора при искания на субекти на данни (Услугите включват пълен експорт на данните), по въпроси на сигурността, при уведомяване за нарушения, оценки на въздействието и предварителни консултации.
8. Нарушения на сигурността на личните данни
8.1 Обработващият уведомява Администратора без неоправдано забавяне, и във всички случаи в рамките на 48 часа, след като узнае за нарушение на сигурността на личните данни, засягащо данните на Администратора.
9. Изтриване и връщане
9.1 Администраторът може по всяко време да изнесе данните си („Настройки → Организация → Експорт на данни“). Обработващият изтрива данните на Администратора 90 дни след прекратяване на договора, освен ако законът не изисква съхранението им.
10. Одити
10.1 Обработващият предоставя информацията, необходима за доказване на съответствието, и допуска одити от Администратора или от упълномощен от него одитор, с разумно предизвестие и най-много веднъж годишно, освен ако не е настъпило нарушение.
11. Предаване на данни извън ЕИП
11.1 Когато подизпълнител обработва лични данни извън ЕИП, предаването се основава на решение относно адекватното ниво на защита или на Стандартните договорни клаузи.
Приложение 1: Подизпълнители
| Подизпълнител | Цел | Местоположение |
|---|---|---|
| Hetzner Online GmbH | Хостинг на приложението, базите данни и качените файлове | Финландия и Германия (ЕС) |
| Stripe Payments Europe Ltd. | Абонаменти и плащания | Ирландия (ЕС), САЩ |
| Resend Inc. / Zoho Corporation | Транзакционни имейли | САЩ / ЕС |
| Anthropic PBC | AI функции, включително разговори с Citron AI, прикачени файлове и агенти | САЩ |
| Eleven Labs Inc. | Разпознаване на реч за диктовка. Обработващият не пази аудио и изисква изтриване на всеки текстов запис | САЩ |
| Cloudflare Inc. | Защита от ботове в публичните формуляри, DNS | Глобално |
| Functional Software Inc. (Sentry) | Докладване на грешки, само когато е включено | САЩ / ЕС |
Приложение 2: Технически и организационни мерки
- Логическо разделяне на всяко работно пространство (ограничение по пространство при всяка заявка към базата данни), с автоматизиран набор от тестове за изолацията.
- TLS за целия трафик; достъпите до конектори се шифроват с ключове за всяко работно пространство (AES-256-GCM).
- Контрол на достъпа според ролите, допълнително двуфакторно удостоверяване при чувствителни действия.
- Журнал на административните действия; резервни копия с ограничен достъп.
- Пълен експорт на данните по инициатива на собственика, в отворени формати (JSON, CSV).