ДОГОВОР ЗА ОБРАБОТКА НА ЛИЧНИ ДАННИ (DPA)

Съгласно чл. 28 от Регламент (ЕС) 2016/679 (GDPR) и ЗЗЛД • Стандартен B2B Анекс

        Страни по договора:

        1. ФинФлоу ООД (FinFlow Ltd.), ЕИК: 207914820, гр. София („Обработващ лични данни“ / „Доставчик“), и

        2. Клиентът / Счетоводната кантора, ползвател на платформата FinFlow („Администратор на лични данни“).

1. ПРЕДМЕТ И ОБХВАТ НА ОБРАБОТВАНЕТО

1.1. Настоящият договор урежда правата и задълженията при обработване на лични данни от страна на Обработващия от името и за сметка на Администратора при предоставяне на облачните SaaS услуги на платформата FinFlow.

1.2. Обработването обхваща: данни за персонала на клиента в ТРЗ модула (имена, отработени смени, ставки за заплати); данни за гости/клиенти на заведения (номера на маси, телефон за SMS статус, QR карти за лоялност); данни за материалноотговорни лица (МОЛ) на доставчици при автоматично разпознаване на фактури.

2. СРОКОВЕ И СЪХРАНЕНИЕ НА ДАННИТЕ

2.1. Първичните финансово-счетоводни документи се съхраняват в криптиран вид за срок от 10 (десет) години съгласно чл. 38, ал. 1 от Данъчно-осигурителния процесуален кодекс (ДОПК) и Закона за счетоводството.

2.2. Оперативните данни за клиентски поръчки и резервации, несвързани с данъчна отчетност, се анонимизират или заличават след изтичане на 12 (дванадесет) месеца.

3. ТЕХНИЧЕСКИ И ОРГАНИЗАЦИОННИ МЕРКИ ЗА СИГУРНОСТ

3.1. Обработващият прилага строги стандарти по Директива NIS2 и Закона за киберсигурност (ЗКС 2026):

Криптиране на данните в покой (AES-256) и при пренос (TLS 1.3 / HSTS).
Изолация на базите данни на ниво наемател чрез PostgreSQL Row-Level Security (RLS).
Неизменяем криптографски одиторски дневник (SHA-256 HMAC Audit Log).
Автоматично маскиране на чувствителни платежни данни (PAN маскиране).

3.2. Обработващият уведомява Администратора без неоправдано забавяне и не по-късно от 24 часа от установяване на всяко нарушение на сигурността.

4. ПОД-ОБРАБОТВАЩИ (SUB-PROCESSORS) В ЕС

4.1. Администраторът се съгласява Обработващият да използва сертифицирани под-обработващи с центрове за данни на територията на Европейския съюз:

Hetzner Online GmbH: Хостинг и колокация в Германия/ЕС (ISO 27001 сертифициран).
Stripe Technology Europe, Ltd.: Обработка на плащания (PCI-DSS Level 1 сертифициран).
Google Cloud Platform (EU регион): Съхранение на криптирани резервни копия.

5. ПРАВА НА СУБЕКТИТЕ И ДЕЙСТВИЕ

5.1. Обработващият предоставя технически инструменти в платформата за изпълнение на искания по GDPR (достъп, корекция, изтриване и преносимост).

5.2. Настоящият договор представлява неразделна част от Общите условия за ползване на услугата FinFlow.

DATA PROCESSING AGREEMENT (DPA)

Under Art. 28 of Regulation (EU) 2016/679 (GDPR) and the ЗЗЛД • Standard B2B annex

This English translation is provided for convenience. The Bulgarian version is the legally binding text.

        Parties:

        1. FinFlow Ltd. („ФинФлоу ООД“), ЕИК: 207914820, Sofia (the "Processor" / "Provider"), and

        2. the Customer / accounting firm using the FinFlow platform (the "Controller").

1. SUBJECT AND SCOPE OF PROCESSING

1.1. This agreement sets out the rights and obligations when the Processor processes personal data on behalf of the Controller while providing the FinFlow platform's cloud SaaS services.

1.2. Processing covers: data about the customer's staff in the payroll module (names, shifts worked, pay rates); data about venue guests (table numbers, phone number for SMS status, QR loyalty cards); and data about suppliers' persons responsible for goods (МОЛ) when invoices are recognised automatically.

2. RETENTION AND STORAGE

2.1. Primary financial and accounting documents are stored encrypted for 10 (ten) years under Art. 38(1) of the Tax and Social Security Procedure Code (ДОПК) and the Accountancy Act.

2.2. Operational data on guest orders and bookings that is not tied to tax reporting is anonymised or deleted after 12 (twelve) months.

3. TECHNICAL AND ORGANISATIONAL SECURITY MEASURES

3.1. The Processor applies strict standards under the NIS2 Directive and the Cybersecurity Act (ЗКС 2026):

Encryption of data at rest (AES-256) and in transit (TLS 1.3 / HSTS).
Tenant-level database isolation with PostgreSQL Row-Level Security (RLS).
Immutable cryptographic audit log (SHA-256 HMAC audit log).
Automatic masking of sensitive payment data (PAN masking).

3.2. The Processor notifies the Controller without undue delay, and no later than 24 hours after discovering any security breach.

4. SUB-PROCESSORS IN THE EU

4.1. The Controller agrees that the Processor may use certified sub-processors with data centres in the European Union:

Hetzner Online GmbH: hosting and colocation in Germany/EU (ISO 27001 certified).
Stripe Technology Europe, Ltd.: payment processing (PCI-DSS Level 1 certified).
Google Cloud Platform (EU region): storage of encrypted backups.

5. DATA SUBJECT RIGHTS AND EFFECT

5.1. The Processor provides technical tools in the platform to fulfil GDPR requests (access, rectification, erasure and portability).

5.2. This agreement forms an integral part of the FinFlow Terms of Service.