ZweiHost
БългарскиEnglish

Споразумение за обработка на данни (DPA)

Версия v0.2 · В сила от: 20 август 2026 г.

Това Споразумение е сключено между „Цвай Софт" ЕООД, ЕИК 208515196, оператор на платформата „ZweiHost" (наричано по-долу „ZweiHost“), и Клиента, и допълва Общите условия. То урежда обработката на лични данни в съответствие с чл. 28 от Регламент (ЕС) 2016/679 (GDPR).

1. Страни и роли

  • Клиент (Администратор): субектът, регистриран в ZweiHost, чието юридическо наименование и ЕИК са вписани в неговия акаунт.
  • ZweiHost (Обработващ): обработва лични данни по указание на Администратора и само за целите на услугата.

Когато сайтът на Клиента събира данни от негови посетители (контактни форми, резервации, нюзлетър и т.н.), Клиентът е самостоятелен Администратор, а ZweiHost - Обработващ.

2. Предмет, естество, цел и продължителност на обработването

ZweiHost обработва лични данни от името на Клиента за предоставяне, поддръжка, сигурност, хостинг, доставка на имейли, съхранение на файлове/изображения, изпълнение на поръчки, клиентски профили, вход чрез Facebook/Google, резервни копия и техническо администриране на онлайн магазина/сайта на Клиента. Обработването се извършва през срока на действие на абонамента, плюс 30 дни след прекратяване (за възстановяване при грешка), след което данните на Клиента се изтриват или анонимизират, освен ако приложимото право изисква по-дълго съхранение или Клиентът е избрал връщане на данните в разумно поддържан формат преди изтриването.

3. Категории данни и субекти

  • Посетители и купувачи в сайта/магазина на Клиента: име, имейл, телефон, адрес за доставка, история на поръчки, любими продукти, съгласие за маркетинг, съдържание на съобщения през контактни форми, час на резервация, технически логове, IP адрес и данни от браузър, необходими за сигурността и функционирането на услугата; при вход с Facebook/Google — име, имейл и постоянен идентификатор от доставчика; при персонализация на продукт — качени от купувача изображения и текст за печат, заедно с малко изображение на готовия дизайн и описанието му.
  • Клиенти на Клиента: данни според услугите, предлагани от Клиента.

Клиентът отговаря да не качва специални категории данни (здравословни, политически, биометрични) освен при изрично писмено съгласуване.

4. Задължения на ZweiHost

ZweiHost ще:

  • обработва данни само по документирани указания на Клиента, включително относно трансфери към трети държави, освен ако приложимото право изисква друго;
  • информира Клиента, ако според ZweiHost дадено указание нарушава GDPR или друго приложимо право за защита на данните;
  • осигурява поверителност на лицата с достъп;
  • прилага подходящи технически и организационни мерки за сигурност (шифроване при пренос, изолация по tenant_id, криптиране на чувствителни тайни, хеширане на пароли, ролеви достъп, резервни копия, контрол на достъпа и логове);
  • съдейства на Клиента при упражняване на права от субекти, при изпълнение на задължения за сигурност, уведомяване за нарушения, оценка на въздействието и предварителна консултация, доколкото това е приложимо;
  • уведомява Клиента за нарушение на сигурността на личните данни без неоправдано забавяне след узнаването;
  • по избор на Клиента връща или изтрива личните данни след прекратяване на услугата, освен ако право на ЕС или държава членка изисква съхранение;
  • предоставя информация, необходима за доказване на спазването на това DPA, и допуска разумен одит при разумно предизвестие (веднъж годишно или при инцидент), при условия, които не застрашават сигурността и поверителността на други клиенти.

5. Под-обработващи и промени

ZweiHost използва само под-обработващи, за които Клиентът дава общо разрешение с приемането на това DPA. ZweiHost уведомява Клиента за планирано включване или замяна на под-обработващ минимум 30 дни предварително, освен при спешна промяна поради сигурност или непрекъсваемост на услугата, когато уведомяването се извършва без неоправдано забавяне. Клиентът има право да възрази по обосновани причини, свързани със защитата на личните данни. ZweiHost налага на всеки под-обработващ по договор същите съществени задължения за защита на данните, каквито са предвидени в това DPA.

Текущи под-обработващи:

  • Cloudflare, Inc. — R2 обектно съхранение на файлове/изображения (ЕС), Workers хостинг на публичните магазини, CDN и защита на трафика (глобален edge, включително IP адреси на посетители); входящо имейл препращане за домейни на клиенти, активирали бизнес имейл препращане (съдържание на писмата и адреси на кореспондентите - само в транзит, без съхранение при нас).
  • Stripe — плащания — ЕС / САЩ (SCC).
  • Amazon Web Services (Amazon SES) — имейли — ЕС (eu-central-1) / САЩ (SCC).
  • Railway — хостинг на API, административния панел и основната PostgreSQL база данни, включително данни на търговци и купувачи — EU West (Амстердам, Нидерландия).
  • Functional Software, Inc. (Sentry) — проследяване на грешки и диагностика на приложенията; получава само технически данни за грешки (съобщение, stack trace, тип браузър/среда), като телата на заявките, бисквитките, идентификационните данни и идентификаторите на потребители се премахват преди изпращане — ЕС (Германия) / САЩ (SCC).
  • Борика АД — картови плащания за български търговци (планирано, неактивно към версията на документа).

Meta Platforms и Google LLC не са под-обработващи на ZweiHost: при вход чрез Facebook/Google и при съгласие за реклама/аналитика те действат като самостоятелни администратори съгласно собствените си политики за поверителност.

6. Международни трансфери

При прехвърляне на лични данни извън ЕИЗ ZweiHost прилага механизъм по глава V GDPR, включително решение за адекватност, когато е приложимо, или Стандартните договорни клаузи (SCC) на Европейската комисия и допълнителни технически/организационни мерки според риска. Клиентът може да поиска информация за приложимия механизъм и копие или достъп до съответните гаранции, доколкото това не нарушава търговска тайна или сигурността на услугата.

7. Отговорност и обезщетения

Всяка страна носи отговорност за нарушения, произтичащи от собственото ѝ поведение. Клиентът се задължава да обезщети ZweiHost за претенции, дължащи се на незаконно качване на данни, липса на правно основание, незаконосъобразни указания или съдържание от страна на Клиента. Ограниченията на отговорността в Общите условия не се прилагат доколкото това би противоречало на императивна отговорност по GDPR, включително за вреди от обработване, извършено в нарушение на GDPR.

8. Приоритет

При несъответствие между това DPA и Общите условия, по въпроси за обработка на данни предимство има това DPA.

Data Processing Agreement (DPA)

Version v0.2 · Effective: 20 August 2026

This Agreement is concluded between Zwei Soft Ltd., UIC 208515196, operator of the ZweiHost platform (hereinafter “ZweiHost”), and the Customer, and supplements the Terms of Service. It governs the processing of personal data in accordance with Art. 28 of Regulation (EU) 2016/679 (GDPR).

1. Parties and roles

  • Customer (Controller): the entity registered in ZweiHost whose legal name and UIC (EIK) are recorded on its account.
  • ZweiHost (Processor): processes personal data on the Controller's instruction and only for the purpose of the service.

When the Customer's site collects data from its visitors (contact forms, bookings, newsletter, etc.), the Customer is the independent Controller and ZweiHost is the Processor.

2. Subject-matter, nature, purpose and duration of processing

ZweiHost processes personal data on the Customer's behalf to provide, support, secure, host, deliver email for, store files/images for, fulfil orders for, run customer accounts and Facebook/Google sign-in for, back up, and technically administer the Customer's online shop/site. Processing runs for the subscription term plus 30 days after termination (error-recovery window), after which the Customer's data is deleted or anonymised, unless applicable law requires longer retention or the Customer has opted to have the data returned in a reasonably maintained format before deletion.

3. Categories of data and subjects

  • Visitors and shoppers on the Customer's site/shop: name, email, phone, delivery address, order history, favourite products, marketing consent, contact-form message content, booking time, technical logs, IP address and browser data necessary for the security and operation of the service; for Facebook/Google sign-in — name, email and a stable provider identifier; for product personalisation — shopper-uploaded images and text for printing, plus a small preview of the finished design and its description.
  • End customers of the Customer: data per the services the Customer offers.

The Customer is responsible for not uploading special-category data (health, political, biometric) without explicit written agreement.

4. ZweiHost obligations

ZweiHost will:

  • process data only on the Customer's documented instructions, including as to third-country transfers, unless required otherwise by law;
  • inform the Customer if, in ZweiHost's view, an instruction infringes the GDPR or other applicable data-protection law;
  • ensure the confidentiality of persons with access;
  • apply appropriate technical and organisational security measures (encryption in transit, tenant_id isolation, encryption of sensitive secrets, password hashing, role-based access, backups, access control and logging);
  • assist the Customer with data-subject requests and with security, breach notification, impact assessment and prior-consultation obligations, to the extent applicable;
  • notify the Customer of a personal-data breach without undue delay after becoming aware;
  • at the Customer's choice, return or delete the personal data after the service ends, unless EU or Member State law requires retention;
  • provide the information necessary to demonstrate compliance with this DPA and allow reasonable audit on reasonable notice (annually, or upon incident) under conditions that do not endanger the security and confidentiality of other customers.

5. Sub-processors and changes

ZweiHost uses only sub-processors for which the Customer grants general authorisation by accepting this DPA. ZweiHost notifies the Customer of any intended addition or replacement of a sub-processor at least 30 days in advance, except for an urgent change for security or service-continuity reasons, where notice is given without undue delay. The Customer may object on reasonable data-protection grounds. ZweiHost imposes on each sub-processor, by contract, the same material data-protection obligations set out in this DPA.

Current sub-processors:

  • Cloudflare, Inc. — R2 object storage for files/images (EU), Workers hosting of the public shops, CDN and traffic protection (global edge, including visitors' IP addresses); inbound email forwarding for customer domains that enable business email forwarding (email content and correspondent addresses - in transit only, no storage on our side).
  • Stripe — payments — EU / USA (SCC).
  • Amazon Web Services (Amazon SES) — email — EU (eu-central-1) / USA (SCC).
  • Railway — hosting of the API, the admin panel and the main PostgreSQL database, including merchant and shopper data — EU West (Amsterdam, Netherlands).
  • Functional Software, Inc. (Sentry) — application error tracking and diagnostics; receives technical error data only (message, stack trace, browser/environment type), with request bodies, cookies, credentials and user identifiers stripped before sending — EU (Germany) / USA (SCC).
  • Borica AD — card payments for Bulgarian merchants (planned, inactive as of this version).

Meta Platforms and Google LLC are not ZweiHost sub-processors: for Facebook/Google sign-in and, with consent, advertising/analytics, they act as independent controllers under their own privacy policies.

6. International transfers

Where personal data is transferred outside the EEA, ZweiHost applies a Chapter V GDPR mechanism, including an adequacy decision where applicable, or the European Commission's Standard Contractual Clauses (SCC) plus supplementary technical/organisational measures according to risk. The Customer may request information on the applicable mechanism and a copy of or access to the relevant safeguards, to the extent this does not breach trade secrecy or the security of the service.

7. Liability

Each party is liable for breaches arising from its own conduct. The Customer indemnifies ZweiHost against claims arising from unlawful data uploads, lack of a legal basis, unlawful instructions or content by the Customer. The liability limitations in the Terms do not apply to the extent they would conflict with mandatory liability under the GDPR, including for damage from processing carried out in breach of the GDPR.

8. Precedence

In case of conflict between this DPA and the Terms, this DPA prevails on data-processing matters.

Споразумение за обработка на данни / Data Processing Agreement · ZweiHost