Политика за поверителност

1. Въведение

Настоящата Политика за поверителност обяснява как Графикс Технолъджи Интернешънъл ЕООД (ЕИК 202905717), гр. София, България ("ние", "нас" или "Дружеството") събира, използва и защитава лични данни при използването на уеб приложението Garage Manager ("Услугата").

Обработваме лични данни в съответствие с Регламент (ЕС) 2016/679 (GDPR), Закона за защита на личните данни (ЗЗЛД) и Закона за електронните съобщения (ЗЕС), с който се въвежда Директивата за електронна поверителност (ePrivacy).

Настоящото уведомление се предоставя съгласно чл. 13 от GDPR (данни, събрани директно от вас) и чл. 14 (данни, получени от други източници).

2. Администратор на лични данни

Графикс Технолъджи Интернешънъл ЕООД
гр. София, Младост 1-22, България
ЕИК: 202905717
Имейл: office@garagemanager.eu

Не сме назначили специален Длъжностно лице по защита на данните (DPO), тъй като не попадаме в задължителните категории по чл. 37 от GDPR. Въпросите, свързани с поверителността, се обработват директно на посочения по-горе контакт.

3. Какви лични данни събираме

3.1 Данни за акаунт и профил

• Имена, имейл адрес и парола (съхранявана като bcrypt хеш — никога в явен вид)
• Наименование на фирмата, адрес на сервиза и телефонен номер
• Адрес за фактуриране, ДДС номер и данни за регистрация на фирмата (при предоставяне за фактуриране)

3.2 Данни, въведени от вас в Услугата

Вие действате като администратор на лични данни за данните на трети лица (ваши клиенти, служители и др.), въведени в Услугата. Ние действаме като обработващ лични данни от ваше име. Вие отговаряте за наличието на правно основание за такова обработване.

• Клиентски досиета: имена, данни за контакт, информация за превозни средства
• Работни поръчки, описания на ремонти и сервизна история
• Фактури и финансови записи
• Акаунти на членове на екипа, създадени в рамките на вашето работно пространство

3.3 Данни за използване и технически данни

• IP адрес, вид на браузъра и информация за устройството
• Посетени страници, използвани функции и продължителност на сесията
• Логове на грешки и диагностична информация

3.4 Данни за плащане

Данните за платежни карти се обработват директно от нашите доставчици на платежни услуги (Stripe, PayPal, Skrill, ePay.bg). Съхраняваме само референция за плащането, последните четири цифри на картата и вида на картата. Пълният номер на картата никога не се предава или съхранява в нашите системи.

4. Цели и правно основание за обработване

Обработваме лични данни само когато разполагаме с правно основание по чл. 6 от GDPR:

• Изпълнение на договор (чл. 6(1)(б)) — създаване и управление на вашия акаунт; предоставяне на Услугата; обработване на плащания; изпращане на транзакционни имейли (разписки, нулиране на парола, уведомления за абонамент).
• Законово задължение (чл. 6(1)(в)) — съхраняване на финансови записи и фактури съгласно Закона за счетоводството и ЗДДС; отговаряне на законни искания на публични органи.
• Легитимен интерес (чл. 6(1)(е)) — мониторинг на сигурността и предотвратяване на измами; регистриране на грешки и надеждност на услугата; анализ на използването и подобряване на функциите. Нашите легитимни интереси не надвишават вашите основни права; можете да се противопоставите на това обработване (вижте т. 10).
• Съгласие (чл. 6(1)(а)) — аналитични бисквитки и незадължителни маркетингови комуникации. Можете да оттеглите съгласието си по всяко време, без да засягате законосъобразността на обработването преди оттеглянето.

Законово или договорно изискване

Предоставянето на вашите имена и имейл адрес е договорно изискване за регистрация на акаунт. Без тях не можем да предоставим Услугата. Предоставянето на данни за фактуриране е задължително само при абониране за платен план и представлява едновременно договорно и законово изискване. Всички останали данни се предоставят доброволно.

5. Срокове на съхранение на данните

• Данни за акаунта: Съхраняват се за срока на действие на акаунта ви. При изтриване на акаунта личните данни се изтриват или анонимизират в рамките на 90 дни, с изключенията по-долу.
• Финансови записи и фактури: Съхраняват се 10 години от края на финансовата година, в която е извършена транзакцията, съгласно чл. 12(1) от Закона за счетоводството и ЗДДС. Това задължение се прилага и след изтриване на акаунта.
• Логове за използване и технически логове: Съхраняват се до 12 месеца за целите на сигурността и диагностиката.
• Анонимизирани аналитични данни: Могат да се съхраняват за неопределен срок.

6. Трети страни обработващи данни

Споделяме данни с надеждни подизпълнители само доколкото е необходимо за предоставянето на Услугата. Всички обработващи са обвързани от споразумения за обработване на данни, съответстващи на чл. 28 от GDPR:

• Stripe, Inc. — обработване на плащания и токенизация на карти (САЩ; разчита на стандартни договорни клаузи на ЕС)
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — алтернативна обработка на плащания (Люксембург, ЕИП)
• Skrill Limited — алтернативна обработка на плащания (Великобритания; разчита на решение за адекватност или СДК)
• ePay.bg (Fibank) — обработване на плащания (България, ЕИП)
• Google LLC — reCAPTCHA за защита от ботове и Google Analytics (САЩ; разчита на стандартни договорни клаузи на ЕС и, където е приложимо, рамката ЕС-САЩ за поверителност на данните)
• Доставчик на облачна инфраструктура — хостинг и услуги за бази данни; сървъри, намиращи се в рамките на ЕС/ЕИП

Не продаваме личните ви данни. Не споделяме данни с трети страни за техните собствени маркетингови цели.

7. Международни трансфери на данни

Когато лични данни се прехвърлят извън Европейското икономическо пространство (напр. към обработващи в САЩ), разчитаме на една или повече от следните защитни мерки: Стандартни договорни клаузи (СДК), приети от Европейската комисия; Рамката ЕС-САЩ за поверителност на данните (когато получателят е сертифициран); или друг законов механизъм за трансфер по Глава V от GDPR. Можете да поискате копие от съответните защитни мерки, като се свържете с нас.

8. Бисквитки и подобни технологии

Използваме бисквитки съгласно чл. 248а от Закона за електронните съобщения (ЗЕС), с който се въвежда Директивата за електронна поверителност, изискваща предварително, информирано и свободно дадено съгласие за необходимите бисквитки:

• Строго необходими бисквитки — управление на сесии, CSRF защита и удостоверяване. Те са необходими за функционирането на Услугата и не изискват съгласие.
• Аналитични бисквитки — разбиране на начина на взаимодействие на потребителите с Услугата (напр. Google Analytics). Поставят се само след като дадете изрично съгласие чрез банера за съгласие с бисквитки.
• Бисквитки на трети страни — reCAPTCHA (Google) и скриптове на доставчиците на плащания. Зареждат се само при взаимодействие със съответната функция.

Можете да оттеглите съгласието за бисквитки по всяко време, като промените настройките в банера за бисквитки или конфигурирате браузъра си да блокира бисквитките. Оттеглянето на съгласието не засяга необходимите бисквитки, изискващи се за функционирането на Услугата.

9. Сигурност на данните

Прилагаме подходящи технически и организационни мерки съгласно чл. 32 от GDPR, включително: TLS криптиране на всички данни при пренос; bcrypt хеширане на пароли; контрол на достъпа въз основа на роли; опция за многофакторно удостоверяване (MFA); и одитни записи за чувствителни операции.

В случай на нарушение на сигурността на личните данни, което е вероятно да доведе до риск за вашите права и свободи, ще уведомим Комисията за защита на личните данни (КЗЛД) в срок от 72 часа от момента, в който сме узнали за нарушението, съгласно чл. 33 от GDPR. Когато нарушението е вероятно да доведе до висок риск за вашите права и свободи, ще ви уведомим и лично без ненужно забавяне (чл. 34 от GDPR).

10. Вашите права съгласно GDPR

Съгласно чл. 15–22 от GDPR имате следните права по отношение на личните ви данни:

• Достъп (чл. 15) — получаване на копие от личните данни, които съхраняваме за вас, и информация за начина на тяхното обработване.
• Коригиране (чл. 16) — искане за коригиране на неточни или непълни данни.
• Изтриване (чл. 17) — искане за изтриване на данните ви, когато те вече не са необходими, оттеглено е съгласието или обработването е незаконосъобразно. Това право е предмет на нашите законови задължения за съхранение (т. 5).
• Преносимост (чл. 20) — получаване на данните, предоставени от вас, в структуриран, широко използван, машинно четим формат (приложимо за данни, обработвани по автоматизиран начин въз основа на съгласие или договор).
• Ограничаване (чл. 18) — искане за ограничаване на обработването на данните ви при определени обстоятелства.
• Възражение (чл. 21) — възразяване срещу обработването въз основа на легитимни интереси или за целите на директния маркетинг. При подаване на възражение ще преустановим обработването, освен ако не можем да демонстрираме убедителни законови основания.
• Оттегляне на съгласие (чл. 7(3)) — оттегляне на съгласието по всяко време, когато обработването се основава на него. Оттеглянето не засяга законосъобразността на обработването, извършено преди него.
• Без автоматизирано вземане на решения (чл. 22) — правото да не бъдете обект на решение, основано единствено на автоматизирано обработване (включително профилиране), което поражда значими правни или подобни последици. Ние не извършваме такова обработване.

За упражняване на което и да е от тези права изпратете искане на privacy@garagemanager.eu. Ще отговорим в срок от един месец от получаването на искането ви (чл. 12(3) от GDPR). Този срок може да бъде удължен с още два месеца при комплексни или многобройни искания, като ще ви уведомим за удължаването.

Може да поискаме да потвърдите самоличността си, преди да обработим искането ви.

11. Право на подаване на жалба

Имате право да подадете жалба до надзорния орган в България:

• Комисия за защита на личните данни (КЗЛД)
• бул. „Проф. Цветан Лазаров" № 2, 1592 гр. София, България
• +359 883 386 201
• kzld@cpdp.bg
• www.cpdp.bg

Ако пребивавате в друга държава — членка на ЕС, можете да подадете жалба и до надзорния орган в страната ви на пребиваване.

12. Поверителност на непълнолетните

Услугата е предназначена изключително за бизнес потребители. Съзнателно не събираме лични данни от лица под 16-годишна възраст. Ако установим, че такива данни са събрани, ще ги изтрием незабавно.

13. Промени в Политиката

Можем да актуализираме настоящата Политика за поверителност периодично. Ще ви уведомим за съществени промени по имейл или чрез известие в приложението преди влизането им в сила. Датата „Последна актуализация" в горната част на тази страница винаги отразява последната редакция. Когато се изисква от закона, ще поискаме ново съгласие за всички нови цели на обработване.

14. Контакт

За въпроси, искания или жалби, свързани с поверителността:

• Дружество: Графикс Технолъджи Интернешънъл ЕООД
• Адрес: гр. София, Младост 1-22, България
• Имейл: privacy@garagemanager.eu