Политика за поверителност

Настоящата политика за поверителност описва как VirtualnaPokana („ние“, „платформата“, „администратор“) събира, използва, съхранява и защитава лични данни при ползване на virtualnapokana.com и свързаните услуги. Политиката е изготвена в съответствие с Общия регламент за защита на данните (GDPR) и приложимото българско законодателство.

1. Администратор на лични данни

Администратор на личните данни, събирани чрез платформата за собствени цели (регистрация, акаунт, поддръжка, сигурност), е операторът на VirtualnaPokana — virtualnapokana.com.

Контакт за въпроси относно поверителност и упражняване на права:
info@virtualnapokana.com

2. Роли при обработка на данни (администратор и обработващ)

Регистрирани потребители: ние сме администратор на данните ви (име, имейл, данни за акаунт и събития).

Гости на събития: когато създавате покана и събирате RSVP от гости, вие (организаторът) обикновено сте администратор на данните на гостите, а ние действуваме като обработващ лични данни по ваше възложение — само за да предоставим услугата (показване на покана, запис на отговор). Вие сте длъжни да информирате гостите за целта и правното основание за събиране на данните им.

3. Категории субекти и лични данни

• Регистрирани потребители: име, имейл адрес, хеширана парола, дата на потвърждение на имейл, настройки (вкл. външен вид), данни за двуфакторна автентикация (ако е активирана), IP адрес и технически логове при вход.
• Данни за събития: име на събитие, дата, място, описание, краен срок за RSVP.
• Данни за покани и гости: етикет/име на поканения, уникален линк (токен), статус на RSVP (да/не/може би), брой гости и деца, бележка от гост (до 5000 знака), дата на отговор.
• Технически данни: бисквитки за сесия и сигурност (вижте раздел 12), предпочитание за външен вид и състояние на страничната лента (ако е приложимо), тип браузър и език.

Не събираме умишлено специални категории данни по чл. 9 GDPR (напр. здраве, политически възгледи), освен ако вие или гостите ги въведете доброволно в свободен текст (напр. в бележка към RSVP). Препоръчваме да не въвеждате такива данни, освен ако е необходимо и законно.

4. Цели, правни основания и срокове

Обработваме лични данни само при наличие на правно основание по чл. 6 GDPR:

• Регистрация и предоставяне на услугата (чл. 6, ал. 1, б. „б“ — изпълнение на договор): създаване на акаунт, управление на събития и покани, RSVP. Срок: докато акаунтът е активен + до 30 дни след изтриване за резервни копия, освен ако законът изисква по-дълго съхранение.
• Сигурност и предотвратяване на злоупотреби (чл. 6, ал. 1, б. „е“ — законен интерес): логове, ограничаване на опити за вход, защита на инфраструктурата. Срок: до 12 месеца, освен при инцидент — по-дълго, колкото е необходимо.
• Имейл за потвърждение и възстановяване на парола (чл. 6, ал. 1, б. „б“): изпращане на системни съобщения, свързани с акаунта. Срок: до приключване на съответната процедура.
• Бисквитки, строго необходими за работа на сайта (чл. 6, ал. 1, б. „е“ и/или „б“): сесия, CSRF защита, запазване на предпочитания. Срок: вижте раздел 12.
• Маркетингови съобщения (чл. 6, ал. 1, б. „а“ — съгласие): само ако изрично се съгласите в бъдеща функционалност; в момента не изпращаме непоискан маркетинг по имейл.
• Законови задължения (чл. 6, ал. 1, б. „в“): счетоводство, отговор на искания от органи, ако е приложимо.

5. Получатели и подизпълнители

Не продаваме лични данни. Споделяме данни само с доставчици („подизпълнители“), които ни помагат да работим платформата, при договорни гаранции по чл. 28 GDPR, например:

• хостинг и инфраструктура за приложението и базата данни;
• имейл услуги за транзакционни съобщения (потвърждение, нулиране на парола).

Подизпълнителите обработват данни само по наши инструкции и не могат да ги използват за собствени цели.

6. Трансфер на данни извън ЕИП

Стремим се данните да се обработват в Европейското икономическо пространство (ЕИП). Ако подизпълнител работи извън ЕИП, осигуряваме подходящи гаранции по GDPR — например стандартни договорни клаузи на Европейската комисия или решение за адекватност — и ще актуализираме тази политика при промяна.

7. Задължителност на предоставянето

Данните, маркирани като задължителни при регистрация (име, имейл, парола), са необходими за сключване и изпълнение на договора за ползване на услугата. Без тях не можем да създадем акаунт. Данните при RSVP от гост са доброволни, но без отговор организаторът не получава потвърждение за присъствие.

8. Автоматизирано вземане на решения и профилиране

Не използваме автоматизирано вземане на решения или профилиране с правни или съществени последици за субектите на данни по смисъла на чл. 22 GDPR.

9. Вашите права по GDPR

При спазване на условията в GDPR и ЗЗЛД имате право да поискате безплатно (с изключения по закон):

• достъп до личните ви данни (чл. 15);
• коригиране на неточни или непълни данни (чл. 16);
• изтриване („право да бъдеш забравен“), когато е приложимо (чл. 17);
• ограничаване на обработката (чл. 18);
• преносимост на данните в структуриран, машинночетим формат (чл. 20);
• възражение срещу обработка на основание законен интерес (чл. 21), като ще преценим дали имаме преобладаващи законни основания да продължим;
• оттегляне на съгласие по всяко време, когато обработката е на съгласие — без да засяга законността на обработката преди оттегляне (чл. 7, ал. 3).

За упражняване на правата изпратете искане на info@virtualnapokana.com. Ще отговорим в срок до един месец (чл. 12, ал. 3 GDPR), с възможност за удължаване с още два месеца при сложни искания, за което ще ви уведомим. Може да поискаме идентификация, за да защитим данните ви от неоторизиран достъп.

Можете да изтриете акаунта си от настройките на профила (където е налично) или с искане по имейл. След изтриване премахваме или анонимизираме личните данни, освен ако законът изисква запазване.

10. Право на жалба до надзорен орган

Ако смятате, че обработката нарушава GDPR, имате право на жалба до надзорния орган в държавата ви на обичайно пребиваване, работа или място на предполагаемо нарушение.

В България надзорният орган е:
Комисия за защита на личните данни (КЗЛД)
адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2
уебсайт: www.cpdp.bg

11. Сигурност на данните

Прилагаме подходящи технически и организационни мерки по чл. 32 GDPR, включително: криптиране при предаване (HTTPS/TLS), хеширане на пароли, ограничен достъп до производствени системи, редовни актуализации и резервно копие. При инцидент с данни ще уведомим КЗЛД и засегнатите лица, когато това се изисква от закона.

12. Бисквитки и подобни технологии

Използваме само бисквитки, необходими за работа и сигурност на услугата:

• Сесия / автентикация — поддръжка на влизане в акаунт; правно основание: изпълнение на договор и законен интерес; срок: до изтичане на сесията или излизане.
• CSRF (XSRF-TOKEN) — защита срещу злоупотреба с формуляри; срок: сесия.
• sidebar_state — запазване на състоянието на менюто; срок: до 1 година (ако не го изтриете).

В момента не използваме бисквитки за реклама или аналитика от трети страни. Ако въведем такива, ще поискаме съгласие преди активиране и ще актуализираме тази политика.

13. Деца

Услугата не е предназначена за лица под 16 години. Не събираме умишлено данни от деца. Ако научим, че сме събрали данни на дете без надлежно съгласие на родител/настойник, ще ги изтрием без неоправдано забавяне.

14. Промени в политиката

Можем да актуализираме тази политика. При съществени промени ще публикуваме новата версия на тази страница с актуализирана дата и, когато е уместно, ще уведомим регистрираните потребители по имейл или чрез съобщение в платформата.

15. Контакт

За всички въпроси относно поверителност, лични данни и GDPR: info@virtualnapokana.com