Подизпълнители

Този превод е информативен. Обвързващата версия на този документ е английската. При несъответствие между двете езикови версии предимство има английският текст.

Тази страница изброява третите лица, които Vezoft EOOD — еднолично дружество с ограничена отговорност, регистрирано в България, извършващо дейност под наименованията „Vezoft“ / „TimerOS“ („ние“, „нас“) — ангажира да обработват лични данни от името на нашите Клиенти („подизпълнители“). Вижте Данни за дружеството за пълните ни фирмени данни. Тя е включена чрез препращане в Споразумението за обработване на данни.

Ще предоставяме на Клиентите предизвестие по имейл от най-малко 30 дни до посочения в акаунта адрес на собственика, преди да добавим или заменим подизпълнител, като в рамките на този 30-дневен срок Клиентите могат да възразят писмено на разумни основания. За да получавате уведомления, поддържайте актуален имейл адреса на собственика на акаунта или пишете на [email protected], за да бъдете добавени към списъка за уведомяване при промяна на подизпълнителите.

Настоящи подизпълнители

Бележки относно местоположението на данните и международните трансфери

• Обработването остава в ЕС на всички нива. Всички Лични данни на Клиента се обработват в ЕС: базите данни (MongoDB Atlas, Франкфурт/Ирландия), качените файлове (Cloudflare R2, юрисдикция ЕС), изчислителните ресурси на приложението (Render, Франкфурт), входящата поща за поддръжка (Zoho EU) и изходящата системна поща (Lettermint, ЕС — Нидерландия/Франция).
• Доставчици, регистрирани в САЩ, обработване в ЕС. Няколко подизпълнителя (MongoDB, Render, Cloudflare) са дружества, регистрирани в САЩ, които въпреки това обработват съответните данни в ЕС. Тъй като американско дружество майка по принцип би могло да бъде задължено да предостави достъп до данни (например по силата на US CLOUD Act), Рамката за поверителност на данните ЕС–САЩ и СДК в DPA на всеки доставчик се прилагат като гаранция.
• Един канал включва обработване в САЩ: Google (разпространение през Play Store и push известия през Firebase Cloud Messaging за придружаващото приложение за Android), покрит от Рамката за поверителност на данните ЕС–САЩ и СДК. През него не преминават данни за проследяване на време, за заплати или от класификацията на активността извън това, което самото push известие съдържа.

Бележки относно MongoDB Atlas

• AI функциите на Atlas са изключени за клъстерите на наемателите. Atlas Vector Search и всички услуги за генеративен изкуствен интелект / вграждания, които биха преминали през последващи доставчици със седалище в САЩ, са изключени на клъстерите на наемателите. TimerOS не използва тези функции за Лични данни на Клиента.
• Класификацията на активността се извършва на устройството. Настолното приложение определя категорията активност изцяло на собствената машина на потребителя чрез двуслоен механизъм: детерминистичен механизъм с точкуване по правила, с малък статистически класификатор на устройството като резервен вариант. Няма изтегляне на модел, няма сървър за извод, няма зависимост от GPU и няма мрежово обаждане от класификатора. Необработените заглавия на прозорци и имена на приложения никога не напускат устройството за целите на класификацията — към API на TimerOS се предават само полученият етикет и стойността на увереност, като телеметрия за записа на време, и се съхраняват в MongoDB Atlas. Пълната документация на класификатора (архитектура, обучителни данни, оценка) се поддържа в картата на модела на TimerOS и се предоставя на компетентните органи при поискване.
• Архив на DPA. Vezoft архивира датирано копие на DPA на MongoDB в своя регистър по чл. 30 всеки път, когато MongoDB публикува съществена промяна.

Бележки относно Render

• Защо е необходим хостинг доставчик. Render поддържа API, уебсайта и клиентския портал. Услугата за ЕС е разположена във Франкфурт (AWS eu-central-1), така че изчислителните ресурси на приложението и всички данни, преминаващи през тях, да останат в ЕС.
• Няма трайно съхранение на хостинг слоя. Личните данни на Клиента се съхраняват трайно в MongoDB Atlas (а качените файлове — в Cloudflare R2), а не върху инстанциите на Render; данните върху инстанция на Render представляват временно състояние на заявка/отговор и дневници.

Бележки относно Cloudflare

• Обектното съхранение R2 е фиксирано към ЕС. Контейнерът, използван за качените проектни файлове, е създаден с юрисдикционното ограничение за ЕС на Cloudflare, така че качените файлове се съхраняват в центрове за данни в ЕС.
• CDN / обратен прокси / WAF. Cloudflare стои и пред Услугата за DNS, доставяне на съдържание и сигурност (DDoS / защитна стена за уеб приложения). В тази роля неговата периферия обработва IP адресите на крайните потребители и метаданните на заявките и прекратява TLS в най-близката глобална точка на присъствие. Периферията на CDN е глобална по замисъл; съхраняваните в R2 данни са фиксирани към ЕС.

Бележки относно Lettermint

• Защо е необходим доставчик на транзакционни имейли. TimerOS изпраща системно генерирани имейли (възстановяване на парола, потвърждаване на имейл, уведомления за промяна на подизпълнител, уведомления за съществени правни промени, копия от фактури, покани за екипа). Изпращането им от самостоятелно поддържан SMTP сървър е непрактично поради филтрирането на доставимостта от Gmail / Outlook / Yahoo. Lettermint се грижи за доставимостта, обработката на върнатите съобщения и разписките за доставка — последните са важни, за да се докаже, че например уведомление за промяна на подизпълнител с 30-дневен срок действително е било доставено.
• Обработване само в ЕС/ЕИП. Lettermint B.V. е нидерландско дружество и поддържа собствена инфраструктура в ЕС (автономна система AS213427): основен хостинг върху UpCloud (Нидерландия) с резервен върху OVHcloud (Франция). Изпращащият домейн (mail.timeros.ai) се обслужва от тази инфраструктура в ЕС, а имейл данните се криптират в покой в центрове за данни в ЕС; в пътя на имейлите няма AWS/Google/Microsoft. Цялото обработване се извършва в рамките на ЕС/ЕИП (от ЕС към ЕС), поради което за съдържанието на имейлите не се изискват нито Рамката за поверителност на данните ЕС–САЩ, нито СДК (собственото DPA на Lettermint препраща към СДК само като предпазна мярка). Обработват се единствено данните на получателя и съдържанието на самия системен имейл — с Lettermint не се споделят записи от базата данни. Имейлите се предават по криптирани с TLS връзки, а съдържанието на съобщенията и метаданните за доставка/взаимодействие се съхраняват само толкова дълго, колкото е необходимо за доставяне на съобщението и за отчитане на доставимостта. След прекратяване Lettermint изтрива данните в рамките на 30 дни; DPA на Lettermint е достъпно на https://lettermint.co/dpa, а списъкът му с подизпълнители — на https://lettermint.co/subprocessors.
• Само транзакционни имейли. Vezoft използва Lettermint строго за транзакционни имейли — не за бюлетини, поредици от автоматични съобщения или маркетингова автоматизация. Всякакви бъдещи маркетингови имейли биха били оповестени чрез актуализация на списъка с подизпълнители и актуализация на Политиката за поверителност.
• Ангажимент за срока на предизвестието. Vezoft се ангажира с 30-дневно предизвестие до Клиентите, преди да добави или промени който и да е подизпълнител в този списък.

Бележки относно Zoho

• Служебни пощенски кутии, разположени в ЕС. Служебните пощенски кутии на Vezoft (support@, hello@, privacy@, security@) работят върху европейската услуга на Zoho (zoho.eu, Zoho Corporation B.V.), като данните се намират в центровете за данни на Zoho в ЕС (Амстердам и Дъблин). Входящата поща до privacy@ и security@ редовно съдържа лични данни (искания на субекти на данни, доклади за сигурността), поради което Zoho е посочен като подизпълнител.
• Позиция по отношение на ЕС. За европейската услуга Zoho не обработва тези имейл данни извън ЕИП.

Бележки относно Google LLC

• Обхват — само придружаващото приложение за Android. Google LLC е ангажиран единствено за придружаващото приложение за Android на TimerOS, което представлява табло за преглед и управление: подобно на уеб таблото, то не проследява време и не изпълнява класификатора на активността — те остават в настолното приложение за Windows. Настолното приложение, уеб приложението, маркетинговият/административният уебсайт и клиентският портал не преминават през Google.
• Планирано за iOS. Когато TimerOS пусне своето приложение за iOS, Apple, Inc. ще бъде добавен тук като отделен подизпълнител за разпространение през App Store и push известия през APNs, с 30-дневно предизвестие до Клиентите съгласно процедурата по-горе.
• Какво вижда FCM. Ако Вашият наемател е активирал push известията в приложението, FCM получава съдържанието на известието (тема и текст), за да го достави до Вашето устройство. Това съдържание включва само данни, които Клиентът е избрал да изпрати до своята работна сила; през FCM не пренасочваме телеметрия от класификацията на активността.

Свързани лица

Понастоящем Vezoft работи без свързани дружества. Ако в бъдеще учредим свързани лица и те обработват Лични данни на Клиента от наше име, те ще бъдат добавени към този списък като подизпълнители с уведомление съгласно посоченото по-горе.

Как да възразите срещу нов подизпълнител

Пишете на [email protected] в срок от 30 дни от уведомлението, като посочите своите опасения. Ще работим заедно с Вас, за да намерим приемлива алтернатива. Ако не намерим такава и Вие добросъвестно не можете да ползвате Услугата с новия подизпълнител, можете да прекратите съответния Формуляр за поръчка (Order Form) с писмено предизвестие, а ние ще възстановим всички предплатени такси, покриващи периода след прекратяването.

Запитвания

[email protected] / Vezoft, със седалище в Кърджали, България (вижте Данни за дружеството за пълния регистриран адрес).