Споразумение за обработване на лични данни (DPA) на БигАрена

Изтеглете DPA в PDF

Версия 1.0 от 27.10.2026. Член 28 от Регламент (ЕС) 2016/679 („ОРЗД“).

Страни и приемане

Настоящото споразумение за обработване на лични данни („DPA“) се сключва между:

(1) клиента, който ползва услугите на БигАрена по Общите условия на БигАрена (https://bigarena.net/obshhi-usloviya) или по договор за фулфилмънт с БигАрена („Администратора“); и

(2) дружеството на БигАрена, което предоставя услугите на Администратора („Обработващия“):

• за клиентите на Бигарена ООД (BIGARENA LTD), ЕИК 204072747, със седалище и адрес на управление Голямоконарско шосе 29Б, 4204 Пловдив, България: Бигарена ООД;
• за клиентите на Bigarena Fulfillment Europe s.r.o., IČO 54 736 374, със седалище Seredská 4084/30, 917 05 Trnava, Словакия: Bigarena Fulfillment Europe s.r.o.;
• за клиентите с договор с дружество на БигАрена в Румъния, Гърция или Сърбия: съответното дружество.

Общите условия, договорът за фулфилмънт и свързаните с тях оферти и политики заедно са „Договорът за услуги“. DPA е част от Договора за услуги (т. 3.4 от Общите условия).

Администраторът приема DPA в електронна форма по чл. 28, пар. 9 от ОРЗД, като приеме Общите условия или подпише договор или допълнително споразумение, което препраща към него. За Администраторите с договор за фулфилмънт DPA урежда подробно обработването по този договор и допълва неговите разпоредби за защита на личните данни, с които Администраторът е декларирал, че е администратор на личните данни и е уведомил клиентите си, че данните им се предоставят на Обработващия и неговите подизпълнители за доставка. При поискване Обработващият предоставя датиран PDF на DPA, подписан от негово име. Ако страните са подписали отделно споразумение за обработване на лични данни, то има предимство.

1. Предмет, срок, естество и цел

1.1 Обработващият обработва лични данни от името на Администратора само за да предоставя услугите по Договора за услуги: приемане, съхранение, пакетиране и изпращане на стоките на Администратора, обработка на връщания и наложени платежи, предоставяне на панела my.bigarena.net с неговите приложения и интеграции, както и функциите, които Администраторът включи в панела, включително черния списък с клиенти (т. 3).

1.2 DPA се прилага, докато Обработващият обработва лични данни за Администратора.

1.3 Подробностите за обработването са в Приложение 1.

2. Указания и задължения на страните

2.1 Обработващият обработва личните данни само по документирани указания на Администратора, включително по отношение на предаването им на трети държави. Договорът за услуги, DPA, поръчките и импортите на Администратора и настройките, които той прави в панела, са указания на Администратора. Ако правото на Съюза или на държава членка, което се прилага спрямо Обработващия, изисква друго обработване, Обработващият уведомява Администратора за това изискване предварително, освен ако това право го забранява.

2.2 Обработващият уведомява Администратора, ако според него дадено указание нарушава ОРЗД или друго законодателство за защита на данните.

2.3 Обработващият не използва личните данни на Администратора за свои цели. Обобщени статистики, по които не може да се установи самоличността на лице, не са лични данни.

2.4 Администраторът отговаря за законосъобразността на обработването, което възлага: има правно основание за данните, които предоставя на Обработващия, поддържа ги точни и информира клиентите си в своята политика за поверителност, включително че данните им се предоставят на доставчици на фулфилмънт и на куриери.

3. Черен списък с клиенти

3.1 Панелът позволява на Администратора да води списък с крайни клиенти (телефон или имейл, причина и бележка по избор), чиито поръчки се отбелязват за собствен преглед от Администратора („черен списък“). Списъкът се създава, пази и ползва само за акаунта и магазините на Администратора. Обработващият не го споделя с други клиенти, не го сравнява със списъците на други клиенти и не го използва за свои цели.

3.2 Администраторът решава кого да впише в списъка и защо. Администраторът отговаря за:
а) правното основание за всеки запис, обикновено законния си интерес по чл. 6, пар. 1, буква „е“ от ОРЗД, и за зачитане на възраженията по чл. 21;
б) информирането на клиентите си за това обработване в своята политика за поверителност (чл. 13), а когато импортира данни, получени от друг източник, по чл. 14;
в) вписването само на фактически причини, свързани с поръчки, без обидни думи, без специални категории данни (чл. 9) и без причина, основана на защитен признак;
г) прегледа на отбелязаните поръчки; панелът не отказва поръчки автоматично и Администраторът не използва списъка за решения без преглед от човек (чл. 22);
д) точността на записите.

3.3 Всеки запис се пази 24 месеца от датата на вписването или последното удължаване. Преди изтичането на запис панелът уведомява Администратора, който може да удължи един или повече записи с още 24 месеца всеки път, само ако причината за записа продължава да е налице. Ако Администраторът не удължи записа, той се изтрива на датата на изтичане. Администраторът може да изтрие всеки запис по всяко време.

3.4 Файловете, качени за импорт на записи в списъка, се използват само за този импорт.

4. Поверителност

4.1 Обработващият гарантира, че лицата, оправомощени да обработват личните данни, са поели задължение за поверителност. Служителите му имат достъп до данните на Администратора само доколкото е нужно за услугите или поддръжката.

5. Сигурност

5.1 Обработващият прилага техническите и организационните мерки по Приложение 2 (чл. 32 от ОРЗД) и може да ги актуализира, без да намалява общото ниво на сигурност.

6. Подобработващи

6.1 Администраторът дава общо разрешение за другите обработващи лични данни (подобработващи) по Приложение 3. Обработващият уведомява Администратора за всяко планирано добавяне или замяна поне 30 дни предварително, по имейла на акаунта. Когато замяната е спешно необходима от съображения за сигурност, той уведомява Администратора възможно най-скоро. Администраторът може да направи обосновано възражение в този срок. Обработващият първо се опитва да предложи разумна алтернатива. Ако не се постигне съгласие, Администраторът може да прекрати засегнатите услуги при условията за прекратяване по Договора за услуги.

6.2 Обработващият налага на всеки подобработващ с договор задължения за защита на данните, които осигуряват същото ниво на защита като DPA, и остава отговорен пред Администратора за изпълнението им.

6.3 Куриерите и пощенските оператори получават данните, нужни за доставката, и доколкото определят целите и средствата на обработването съгласно законодателството в областта на пощенските услуги, са самостоятелни администратори. Обработващият им предава тези данни по указание на Администратора, включително на куриерите, избрани от Администратора или неговите клиенти. Актуалният списък с куриери е достъпен в панела.

7. Съдействие

7.1 Като отчита естеството на обработването, Обработващият съдейства на Администратора:
а) при отговор на искания на субектите на данни по чл. 15-22 от ОРЗД, основно чрез функциите на панела и при запитване до support@bigarena.net. Исканията, получени от Обработващия, се препращат на Администратора без ненужно забавяне и Обработващият не отговаря на тях самостоятелно;
б) по сигурността, уведомяването за нарушения на сигурността на личните данни, оценките на въздействието върху защитата на данните и предварителната консултация (чл. 32-36 от ОРЗД). Съдействие извън функциите на панела и информацията в DPA може да се заплаща по разумна цена.

8. Нарушения на сигурността на личните данни

8.1 Обработващият уведомява Администратора без ненужно забавяне, и когато е възможно до 48 часа, след като узнае за нарушение на сигурността на личните данни, засягащо данните на Администратора, с наличната информация по чл. 33, пар. 3 от ОРЗД, а след това предоставя допълнителна информация, когато я получи. Обработващият не уведомява надзорния орган или субектите на данни от името на Администратора без негово указание, освен ако законът го изисква.

9. Информация и одити

9.1 Обработващият предоставя информацията, необходима да се докаже изпълнението на чл. 28 от ОРЗД, като първо отговаря на писмените въпроси на Администратора в срок до 30 дни.

9.2 Когато тази информация не е достатъчна, Обработващият допуска одити, включително проверки на място, от Администратора или от упълномощен от него одитор, обвързан с поверителност, с предизвестие поне 30 дни, в работно време и не повече от веднъж годишно, освен при нарушение на сигурността на личните данни или по искане на надзорен орган. Одитите не дават достъп до данни или стоки на други клиенти. Администраторът поема своите разходи и разумните разходи за времето на Обработващия.

10. Край на услугите

10.1 При прекратяване на услугите Обработващият, по избор на Администратора, направен в срок до 30 дни, връща личните данни чрез експорт от панела или ги изтрива. Обработващият изтрива личните данни от работните си системи в срок до 90 дни, а резервните копия се презаписват в обичайния цикъл на архивиране. Данните във фактури, разплащания по наложени платежи и други счетоводни документи се пазят толкова, колкото изисква законът. При поискване Обработващият потвърждава изтриването писмено.

11. Предаване извън ЕИП

11.1 Обработващият предава лични данни извън Европейското икономическо пространство само на получателите по Приложение 3 и на куриерите по т. 6.3, и само въз основа на решение на Европейската комисия относно адекватното ниво на защита, включително Рамката за защита на данните между ЕС и САЩ, или на стандартните договорни клаузи по Решение за изпълнение (ЕС) 2021/914 с необходимите допълнителни мерки. При поискване се предоставя копие от приложимите клаузи.

12. Отговорност, предимство, промени и приложимо право

12.1 Отговорността по DPA следва Договора за услуги, освен при умисъл и груба небрежност, и без да се засяга чл. 82 от ОРЗД, според който всяка страна отговаря за своята част от вредата. Администраторът обезщетява Обработващия за претенции и глоби, произтичащи от незаконосъобразни указания на Администратора или от записи, които той прави в черния списък.

12.2 При противоречие между DPA и Договора за услуги относно защитата на данните предимство има DPA.

12.3 Обработващият може да актуализира DPA при промени в законодателството, услугите или подобработващите, като публикува нова версия на https://bigarena.net/dpa и уведоми Администратора по имейл поне 30 дни преди тя да влезе в сила. Промените не могат да намаляват защитата на личните данни. Администратор, който възрази писмено в този срок, може да прекрати засегнатите услуги, като дотогава за него се прилага предишната версия.

12.4 DPA се урежда от правото на държавата, в която е регистриран Обработващият. Компетентни са съдилищата по седалището на Обработващия, както по Общите условия.

12.5 DPA се публикува на български и английски език. При разлика между текстовете предимство има българският текст за Бигарена ООД и английският текст за останалите дружества на БигАрена.

12.6 Контакт по въпроси за защитата на данните: support@bigarena.net.

---

Приложение 1: Подробности за обработването

Приложение 2: Технически и организационни мерки

• Панелът и базите данни се хостват в център за данни в Европейския съюз (Германия).
• Достъп до панела по акаунт и потребител, с лично потребителско име и парола; всеки клиент вижда само своите данни.
• Криптирани връзки (HTTPS/TLS) към панела и API; мрежова защита на сайтовете и панела срещу атаки.
• Служителите на БигАрена имат достъп до данни на клиенти само доколкото е нужно за услугите или поддръжката и са поели задължение за поверителност; достъпът се спира при напускане.
• Видеозаписите на пакетиране и връщания са достъпни само за оправомощени служители и за съответния клиент и се пазят до 90 дни.
• Нарушенията на сигурността на личните данни се обработват и съобщават по т. 8.

Приложение 3: Подобработващи