Политика за поверителност

Настоящата Политика за поверителност описва как „Онлайн Тренд“ ЕООД (наричано по-долу „Trustio“, „ние“, „нас“, „Администратор“) обработва личните данни на потребителите на платформата trustio.bg и услугите, предоставяни чрез нея, в съответствие с Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни на Република България. Моля, прочетете я внимателно. Ако не сте съгласни с условията в нея, не следва да използвате платформата.

1. Кои сме ние

Надзорен орган за защита на личните данни:

2. Двете роли на Trustio при обработката на данни

Trustio има две различни роли при обработката на лични данни — в зависимост от това чии данни обработва. Това разграничение е важно, защото определя кой е отговорен за защитата на конкретните данни.

2.1. Trustio като Администратор

За личните данни на нашите бизнес-клиенти (лица, които купуват и използват платформата Trustio), за данните на лицата за контакт, данните за фактуриране, техническите логове и комуникацията с нас, ние действаме като администратор на лични данни. Ние сами определяме целите и средствата за обработката на тези данни.

2.2. Trustio като Обработващ лични данни

За данните на крайните клиенти на бизнесите (лицата, които получават SMS/Viber съобщения и оставят отзиви) ние действаме като обработващ лични данни по чл. 28 от GDPR. В тази си роля Trustio обработва данните единствено от името и по указания на съответния бизнес-клиент, който е администратор за тях. Отношенията се уреждат със Споразумение за обработка на лични данни (DPA), което е неразделна част от Общите условия и се счита за сключено с всеки бизнес-клиент при приемането на тези условия.

2.3. Категории субекти на данни

В зависимост от използването на платформата Trustio може да обработва лични данни на следните категории субекти:

• регистрирани потребители на платформата;
• лица за контакт, представители и служители на бизнес-клиентите;
• крайни клиенти на бизнес-клиентите, до които се изпращат покани за обратна връзка (SMS/Viber);
• посетители на интернет страницата;
• лица, които осъществяват комуникация с нас по имейл или чрез контактната форма.

3. Дефиниции

По смисъла на Регламент (ЕС) 2016/679 и на настоящата политика основните термини имат следното значение:

• Лични данни — всяка информация, свързана с идентифицирано или подлежащо на идентификация физическо лице („субект на данни“), пряко или непряко (например чрез име, идентификационен номер, данни за местонахождение или онлайн идентификатор).
• Обработване — всяка операция с лични данни (събиране, записване, съхранение, употреба, разкриване, изтриване и др.), извършвана с автоматични или други средства.
• Ограничаване на обработването — маркиране на съхранявани лични данни с цел ограничаване на бъдещото им обработване.
• Профилиране — автоматизирано обработване на лични данни за оценяване на лични аспекти на физическо лице (поведение, предпочитания, местоположение и др.).
• Администратор — лицето, което само или съвместно с други определя целите и средствата за обработването.
• Обработващ лични данни — лицето, което обработва лични данни от името на администратора.
• Получател — лицето, пред което се разкриват личните данни.
• Трета страна — лице, различно от субекта на данните, администратора, обработващия и лицата под тяхно пряко ръководство.
• Съгласие — всяко свободно, конкретно, информирано и недвусмислено изявление на волята на субекта данните му да бъдат обработвани.
• Нарушение на сигурността на лични данни — нарушение, водещо до случайно или неправомерно унищожаване, загуба, промяна или неразрешен достъп до лични данни.

4. Принципи при обработката на личните данни

При обработката на лични данни прилагаме принципите по чл. 5 от GDPR:

• Законосъобразност, добросъвестност и прозрачност — данните се обработват законно и по прозрачен начин спрямо субекта.
• Ограничение на целите — събират се за конкретни, изрично указани и легитимни цели.
• Свеждане на данните до минимум — само това, което е необходимо за целите.
• Точност — поддържат се точни и при необходимост актуални.
• Ограничение на съхранението — пазят се не по-дълго от необходимото.
• Цялостност и поверителност — обработват се с подходящо ниво на сигурност.

5. Какви данни обработваме

5.1. Данни на бизнес-клиенти (Trustio = Администратор)

• Идентификационни данни — име, фамилия, длъжност;
• Контактни данни — имейл адрес, телефонен номер;
• Данни за фирмата — наименование, ЕИК, адрес, Google Business профил;
• Договорни и платежни данни — данни за абонамент и фактуриране; данните за плащане се обработват изцяло от Stripe (виж т. 8); ние не съхраняваме номера на банкови карти;
• Технически данни — IP адрес, вид на браузъра и операционната система, лог-файлове за достъп (събирани автоматично от нашите доставчици на инфраструктура при вход и използване на платформата); при използване на мобилно приложение, когато такова е налично — и идентификатори на устройството.

5.2. Данни на крайни клиенти (Trustio = Обработващ)

• Име — за персонализация на съобщението;
• Телефонен номер — за изпращане на заявката за обратна връзка;
• Съдържание на оставената обратна връзка — оценка и текстов коментар, ако такъв е предоставен;
• Информация за изпратени съобщения и тяхното състояние.

5.3. Специални категории данни (чувствителни данни)

Trustio не събира и не обработва специални категории лични данни (например данни за здравословно състояние, етнически произход, политически възгледи, биометрични данни). Молим да не ни предоставяте такива данни. Ако такива бъдат предоставени умишлено, ние се задължаваме незабавно да ги изтрием.

5.4. Данни, събирани автоматично

При посещение на сайта и използване на платформата (включително чрез мобилно приложение, когато такова е налично) автоматично се събират: IP адрес, вид на устройството и негови идентификатори, операционна система, вид на браузъра, дата и час на достъпа. Тези данни се записват в логовете на нашите доставчици на инфраструктура. При наличие на аналитични инструменти могат да се събират и посетени страници и обобщена анонимна статистика — единствено с цел подобряване на функционалността на услугата.

6. Цели и правни основания за обработването

Личните данни се обработват с цел: предоставяне на услугата Trustio, изпращане на SMS/Viber съобщения, събиране на клиентски отзиви, анализ на резултати и подобряване на услугата, комуникация с клиенти. Правните основания са:

• Изпълнение на договор (чл. 6, §1, б. „б“ GDPR) — за предоставяне на услугата, поддръжка на акаунта, обработване на плащания;
• Легитимен интерес (чл. 6, §1, б. „е“) — за подобряване на услугата, защита от злоупотреби, аналитика, отговор на запитвания;
• Съгласие (чл. 6, §1, б. „а“) — за изпращане на маркетингови съобщения и за нестриктно необходими бисквитки;
• Законово задължение (чл. 6, §1, б. „в“) — за счетоводни и данъчни цели.

7. Отговорност на бизнес-клиента (важно)

Бизнес-клиентите на Trustio носят пълна отговорност спрямо своите крайни клиенти, включително да:

• имат валидно правно основание (съгласие или друго) за изпращане на SMS/Viber съобщения към своите клиенти;
• информират своите клиенти за обработването на личните им данни в съответствие с чл. 13–14 GDPR;
• спазват GDPR, Закона за електронните съобщения и приложимото законодателство;
• не използват услугата за изпращане на спам или нежелана комуникация;
• при масово импортиране на контакти (bulk import) декларират, че всички импортирани данни са събрани законно и че имат валидно правно основание за обработката им и за изпращане на съобщения до съответните лица.

Trustio не носи отговорност за неспазване на тези задължения от страна на бизнес-клиента.

7.1. Масово импортиране на контакти

Услугата Trustio позволява на бизнес-клиентите да импортират масово списъци с контакти на свои клиенти чрез качване на електронна таблица (Excel или CSV формат).

Качените файлове се обработват изцяло в браузъра на потребителя и не се съхраняват на сървърите на Trustio. На сървърите на Trustio се запазват единствено самите данни на контактите (име, телефонен номер, имейл адрес и допълнителни бележки) в базата данни на платформата, с цел изпращане на заявки за обратна връзка от страна на бизнес-клиента.

При всеки масов импорт бизнес-клиентът изрично потвърждава (чрез отметка в потребителския интерфейс), че разполага с валидно правно основание по смисъла на чл. 6 GDPR за обработката на тези данни и за изпращане на съобщения до съответните лица.

Trustio не проверява и не носи отговорност за легитимността на източника на масово импортираните данни. Цялата отговорност за законосъобразността на импортираните данни е на бизнес-клиента.

8. Получатели и обработващи лични данни

За предоставяне на услугата работим със следните доставчици, всеки от които обработва данни в съответствие с GDPR:

• Stripe — обработване на плащания;
• Mobica — изпращане на SMS и Viber съобщения;
• Supabase — база данни и съхранение;
• Vercel — хостинг и доставяне на сайта;
• Resend — изпращане на имейли (потвърждения, известия, нулиране на парола);
• Google — пренасочване на клиенти към Google Business профила за оставяне на отзив;
• inv.bg (Инвойсинг солюшънс България АД, ЕИК 203314773) — електронно фактуриране и издаване на фактури;
• Държавни органи — само при законово задължение.

Не продаваме лични данни на трети страни.

9. Къде се съхраняват данните

Основната ни инфраструктура (база данни и хостинг) е разположена в Европейския съюз / Европейското икономическо пространство (ЕИП). Някои технически услуги (като CDN или DNS) могат при определени обстоятелства да обработват данни и извън ЕИП. В такива случаи прилагаме подходящи защитни мерки по чл. 46 GDPR, включително Стандартни договорни клаузи на Европейската комисия със съответните доставчици.

10. Срокове на съхранение

• Данни на активни клиенти — за срока на договорните отношения;
• Счетоводни документи — 10 години съгласно Закона за счетоводството;
• Данни на крайни клиенти (получатели на SMS) — до 12 месеца след последно изпращане на съобщение, или до 12 месеца след импортирането им, ако такова съобщение не е било изпратено, или до изтриване по искане на бизнес-клиента;
• Лог-файлове — до 12 месеца;
• Кореспонденция по имейл — до 24 месеца след последна комуникация.

11. Сигурност на данните

Прилагаме подходящи технически и организационни мерки за защита на данните, включително криптиране при предаване (TLS), защитен достъп до базата, контрол на достъпа на ниво приложение, редовни архиви и одити на сигурността. При упражняване на правото на достъп проверяваме идентичността на лицето, преди да предоставим информация. Въпреки това нито една система не е 100% защитена и не можем да гарантираме абсолютна сигурност.

12. Вашите права по GDPR

Като субект на данни, Вие имате право да:

• получите достъп до личните си данни (чл. 15);
• поискате коригиране на неточни данни (чл. 16);
• поискате изтриване на данните („право да бъдеш забравен“, чл. 17);
• поискате ограничаване на обработването (чл. 18);
• получите данните си в структуриран, машинно четим формат (преносимост, чл. 20);
• възразите срещу обработването (чл. 21);
• не бъдете обект на решение, основано единствено на автоматизирано обработване, включващо профилиране (чл. 22);
• оттеглите съгласието си по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето; крайните клиенти могат да оттеглят съгласието си за получаване на съобщения по всяко време, включително чрез отговор със „СТОП“ на полученото съобщение;
• подадете жалба до Комисията за защита на личните данни (КЗЛД), www.cpdp.bg, гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2.

Ако сте краен клиент на бизнес, използващ Trustio, и искате да упражните правата си върху Вашите данни, моля свържете се първо с бизнеса, който Ви е изпратил съобщението — той е администраторът за Вашите данни. При невъзможност можете да се обърнете и към нас и ние ще съдействаме на бизнеса да изпълни искането Ви.

12.1. Ред за упражняване на правата

Правата се упражняват чрез писмено искане до нас (по имейл на support@trustio.bg или по поща на адреса по т. 1), което съдържа име и данни за идентификация, описание на искането, дата и адрес на електронна поща. За да предотвратим неправомерен достъп, преди да отговорим проверяваме идентичността на подателя. Отговаряме в срок до един месец от получаване на искането; при сложност или голям брой искания срокът може да бъде удължен с още два месеца, за което Ви уведомяваме.

12.2. Право на възражение

Имате право по всяко време, на основания свързани с конкретната Ви ситуация, да възразите срещу обработване на лични данни, основано на легитимен интерес. При обработване за целите на директния маркетинг имате право по всяко време да възразите, след което обработването за тези цели се прекратява.

13. Бисквитки

За използването на бисквитки на нашия сайт, моля, вижте нашата отделна Политика за бисквитки.

14. Връзки, инструменти и съдържание от трети страни

Сайтът може да съдържа връзки или съдържание към услуги на трети страни. Такива сайтове са независими и имат собствени политики за поверителност; Trustio не носи отговорност за тяхните практики. Препоръчваме да се запознаете със съответните политики, преди да ги използвате.

15. Промени в политиката

Запазваме си правото да актуализираме настоящата политика. Съществените промени ще бъдат съобщавани чрез имейл или известие в платформата поне 30 дни преди влизането им в сила. Актуалната версия е винаги достъпна на тази страница.

16. Контакт

За всякакви въпроси относно тази Политика за поверителност или обработването на личните Ви данни, моля свържете се с нас: