Списък с подобработващи
Версия 2.0.4·В сила от 24 юли 2026 г.
Този Списък изброява всички трети страни, на които „СИНТОПИЯ“ ЕООД („TochNow“) възлага обработването на лични данни в качеството си на администратор (за визитори и клиенти) или като обработващ (по поръчение на клиенти за пациентски данни). Списъкът се актуализира при добавяне на нов подобработващ или съществена промяна в съществуващ.
Уведомяване за промени. При добавяне на нов подобработващ или съществена промяна, уведомяваме регистрираните клиенти с минимум 30 дни предизвестие по имейл и публикуване в Дневника на промените. Клиентите имат право мотивирано да възразят срещу нов подобработващ — виж DPA Раздел 5.
1. Подобработващи в Европейския съюз / ЕИП
| # | Подобработващ | Седалище | Регион | Цел | Категории данни | Договорна защита |
|---|---|---|---|---|---|---|
| 1 | Hetzner Online GmbH | Гунцехаузен, Германия | ЕС (Германия) | Хостинг на приложение и база данни | Всички категории; здравните данни са криптирани в покой | Hetzner Data Processing Agreement |
| 2 | Hetzner Online GmbH (Object Storage) | Гунцехаузен, Германия | ЕС (Hetzner region) | Съхранение на качени файлове | Файлове и техни метаданни (приватни, с контролиран достъп) | Hetzner Data Processing Agreement |
| 3 | Hetzner Online GmbH (Backup Bucket) | Гунцехаузен, Германия | ЕС (Hetzner region) | Криптирани резервни копия на базата данни | Криптирани blob-ове (без четим достъп) | Hetzner DPA |
| 4 | Amazon Web Services EMEA SARL | Люксембург | ЕС (Франкфурт) | Доставка на транзакционни имейли (SES) | Имейл адрес, име, метаданни на съобщението | AWS DPA |
| 5 | Amazon Web Services EMEA SARL (KMS) | Люксембург | ЕС (Франкфурт) | Управление на ключове за криптиране | Само криптиран ключов материал | AWS DPA |
| 6 | Functional Software, Inc. (Sentry) | САЩ; данните се обработват в EU инстанция | ЕС (Франкфурт) | Мониторинг на грешки в браузъра (клиентска страна) и в backend | Stack traces, метаданни на заявката. PII не се предава (активно scrubbing). | Sentry DPA |
2. Подобработващи извън ЕС / ЕИП
Тези подобработващи имат седалище или обработват данни извън ЕС/ЕИП. Прехвърлянията са защитени с подходящи механизми по чл. 46 GDPR, обикновено Стандартни договорни клаузи (СДК) на ЕК.
| # | Подобработващ | Седалище | Регион | Цел | Категории данни | Договорна защита |
|---|---|---|---|---|---|---|
| 7 | Stripe Payments Europe, Ltd. | Дъблин, Ирландия | Ирландия (договор) → САЩ (обработка от Stripe, Inc.) | Абонаменти, плащания, фактури | Името на Клиента, имейл, фактурен адрес, последни 4 цифри на картата (само за маскиран показ), история на абонамента | Stripe DPA + СДК (модул 2 — Контролер към Обработващ; 2021/914) |
| 8 | Google LLC (Calendar API) | Mountain View, САЩ | САЩ | Двупосочна синхронизация с Google Календар, по индивидуален OAuth на лекар/служител | Заглавие на резервацията, час и продължителност, тип услуга | Google Cloud DPA + СДК |
| 9 | Expo, Inc. | Пало Алто, САЩ | САЩ | Предстоящо — мобилно приложение Android за екипа на заведението (само план PRO), в разработка и все още непубликувано. Push известия и дистанционни актуализации (OTA). Към момента не обработва данни в продукция; вписан предварително за прозрачност | Push token, payload на push известието, метаданни на устройството | Expo DPA + СДК |
| 10 | Internet Security Research Group (Let's Encrypt) | Сан Франциско, САЩ | Глобален CDN | TLS сертификати за персонализирани домейни на клиентите. Не е подобработващ по смисъла на чл. 28 GDPR — не обработва лични данни на субекти, а само името на домейна. Включен в списъка за прозрачност. | Само име на домейна и IP адресът на нашия сървър | ISRG Subscriber Agreement |
| 11 | Google LLC (Firebase Cloud Messaging) | Mountain View, САЩ | Глобална мрежа | Доставка на push известия за Android и Web Push в Chrome | Push token, payload | Google Cloud DPA |
| 12 | Mozilla Foundation (autopush) | Mountain View, САЩ | Глобална мрежа | Доставка на Web Push в Firefox | Push token, payload | Стандартни условия на Mozilla |
| 13 | Twilio group entities, включително Twilio Ireland Limited / Twilio Inc., според приложимите договорни условия | Дъблин, Ирландия / Сан Франциско, САЩ | ЕС/САЩ и др. locations по документацията на Twilio | Доставка на SMS напомняния за резервации за заведения с активирана SMS функция | Телефонен номер, текст на SMS напомнянето, технически delivery metadata | Twilio DPA + Standard Contractual Clauses, когато са приложими |
3. Подобработващи на маркетинг сайта (tochnow.com)
Тези подобработващи се ползват само на маркетинг сайта и само при изрично съгласие на посетителя чрез банера за бисквитки.
| # | Подобработващ | Седалище | Регион | Цел | Категории данни | Договорна защита |
|---|---|---|---|---|---|---|
| 14 | Google Ireland Limited / Google LLC (Google Analytics 4) | Дъблин, Ирландия / Mountain View, САЩ | Глобален (с EU IP-truncation) | Анализ на трафика на сайта | Анонимизиран IP, идентификатори от бисквитки, страници, събития | Google Cloud DPA + СДК; Google Consent Mode v2 |
4. Куриери, документообмен и счетоводство
- Български счетоводен специалист (по договор за поверителност) — Счетоводно обслужване, ДДС / годишни декларации. Категории: фактурни данни на клиентите, без пациентски данни.
- Български адвокат (по договор за поверителност) — Правни консултации (по нужда). Категории: само в обхвата на конкретно правно искане.
5. Защита при международни трансфери
За всички подобработващи извън ЕС/ЕИП („кръст-граничен трансфер“) прилагаме комбинация от:
- Стандартни договорни клаузи (СДК) по Решение за изпълнение (ЕС) 2021/914 на Европейската комисия;
- Допълнителни мерки като:
- криптиране в покой и при транспорт;
- минимизация на трансферираните данни;
- договорна забрана за вторично използване;
- Оценка на въздействието на трансфера („Transfer Impact Assessment“, TIA) — извършена за подобработващи, където американското правителство може теоретично да поиска достъп (Stripe, Google, Expo, Twilio). Документация налична при писмено искане под NDA.
6. Уведомления и контакт
- За уведомяване за нови подобработващи: вписани в Дневник на промените + имейл до регистрираните клиенти.
- За мотивирано възражение срещу нов подобработващ: privacy@tochnow.com в 14-дневен срок от уведомлението.
- За въпроси относно конкретен подобработващ: privacy@tochnow.com.
Версия 2.0.4 · В сила от 24 юли 2026 г. · Подменя версия 2.0.3 от 20 юли 2026 г.