ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

  1. ВЪВЕДЕНИЕ

1. Общ регламент за защита на личните данни

Регламент (ЕС) 2016/679 (Общ регламент за защита на данните) замества Директивата 95/46 / ЕО за защита на данните. Има пряко действие и предполага изменение в законодателството на страните – членки в областта на защитата на личните данни. Неговата цел е да защитава „правата и свободите“ на физическите лица и да се гарантира, че личните данни не се обработват без тяхно знание, и когато е възможно, че се обработва с тяхно съгласие.

2. Обхват, очертан от Общия регламент за защита на данните

Материален обхват (член 2) – Общият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни (например ръчно и на хартия), които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

Териториален обхват (член 3) – правилата на Общия Регламент ще важат за всички администратори на лични данни, които са установени в ЕС, които обработват лични данни на физически лица, в контекста на своята дейност. Ще се прилага и за администратори извън ЕС, които обработват лични данни с цел да предлагат стоки и услуги или ако наблюдават поведението на субектите на данни, които пребивават в ЕС.

3. Понятия

„Лични данни“ – всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице, както и всяка друга информация, която се определя от приложимото право като лични данни;

„Специални (чувствителни) категории лични данни“ – лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, или членство в синдикални организации и обработката на генетични данни, биометричните данни за уникално идентифициране на физическо лице, данни отнасящи се до здравето или данни относно сексуалния живот на физическо лице или сексуална ориентация, както и всички други лични данни, които се определят от приложимото право като специални.

„Обработване“ – означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

„Администратор“ – всяко физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на ЕС или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;

„Субект на данните“ – всяко живо физическо лице, което е предмет на личните данни, съхранявани от Администратора.

„Съгласие на субекта на данните“ – всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени;

 „Профилиране“ – всяка форма на автоматизирано обработване на лични данни, изразяващо се в използването на лични данни за оценяване на определени лични аспекти, свързани с физическо лице, и по-конкретно за анализиране или прогнозиране на аспекти, отнасящи се до изпълнението на професионалните задължения на това физическо лице, неговото икономическо състояние, здраве, лични предпочитания, интереси, надеждност, поведение, местоположение или движение;

„Нарушение на сигурността на лични данни“ – нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин;

„Основно място на установяване“ – седалището на администратора в ЕС ще бъде мястото, в което той взема основните решения за целта и средствата на своите дейности по обработване на данни. По отношение на обработващия лични данни основното му място на установяване в ЕС ще бъде мястото, където се намира централното му управление в Съюза, или ако обработващият лични данни няма централно управление в Съюза, мястото на установяване на обработващия лични данни в Съюза, където се осъществяват основните дейности по обработването.

 „Получател“ – физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не. Същевременно публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие с правото на Съюза или правото на държава членка, не се считат за „получатели“; обработването на тези данни от посочените публични органи отговаря на приложимите правила за защита на данните съобразно целите на обработването;

„Трета страна“ – всяко физическо или юридическо лице, публичен орган, агенция или друг орган, различен от субекта на данните, администратора, обработващия лични данни и лицата, които под прякото ръководство на администратора или на обработващия лични данни имат право да обработват личните данни.

  1. АДМИНИСТРАТОР НА ЛИЧНИТЕ ДАННИ

1. Администратор на лични данни и доставчик на услугите чрез уебсайта: www.otpoleto.bg, е дружество „ГАЛАНС – 2008“ ЕООД, ЕИК: 200089588, със седалище и адрес на управление: гр. Добрич, ул. „Никола Тахтунов“ № 10, представлявано от управителя Александър Александров, наричано по-долу „Дружеството“.

Е-mail: admin@otpoleto.bg ; Телефонен номер: 0892 024 770.

2. Администраторът се задължава да осигури съответствието на всички дейности, които извършва, по събиране и обработване на лични данни, съгласно изискванията на Регламент (ЕС) 2016/679. В съответствие с Общия регламент, към тази политика са описани и други релевантни документи, както и свързани процеси и процедури.

3. Настоящата политика се отнася до всички дейности по обработването на лични данни, включително тези, които се извършват относно лични данни на клиенти, служители, доставчици и партньори и всякакви други лични данни, които организацията обработва от различни източници.

4. Трети страни, които работят с или за Дружеството, в т.ч. партньори, външни доставчици, клиенти и др., както и които имат или могат да имат достъп до личните данни на администратора, са длъжни да се запознаят и съобразят с тази политика.

5. Законът за защита на личните данни урежда отношенията, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото те не са уредени в Регламент (ЕС) 2016/679.

  1. ЗАДЪЛЖЕНИЯ И ОТГОВОРНОСТИ ПО РЕГЛАМЕНТ (ЕС) 2016/679

1. Дружеството е администратор на данни съгласно Регламент (ЕС) 2016/679 и носи  отговорността и рисковете от евентуално несъответствие с изискванията на ОРЗД, включително за разработване и насърчаване на добри практики в областта на обработване на личните данни в Дружеството.

2. Обработващ лични данни е всяко лице извън организацията на администратора, което обработва пряко личните данни от името на администратора – съхранява, дигитализира, каталогизира и т.н. цялата информация.

  1. ЦЕЛИ И ОСНОВАНИЯ ЗА СЪБИРАНЕ, ОБРАБОТВАНЕ И СЪХРАНЯВАНЕ НА ЛИЧНИТЕ ДАННИ

1. Дружеството събира и обработва Вашите лични данни за следните цели по обработване на заявка и доставка на стоки и услуги онлайн:

  • Регистрация и създаване на профил;
  • Покупка на стоки и услуги онлайн;
  • Приемане и изпълнение на поръчки;
  • Обслужване на клиенти и отговор на запитвания;
  • Доставка на стоки и услуги;
  • Плащания;
  • Фактуриране и счетоводство;
  • Бюлетин и маркетинг;
  • Анализ на посещаемостта на уебсайта: www.otpoleto.bg ;
  • Сигурност и предотвратяване на злоупотреби.

2. Дружеството е администратор на лични данни по отношение на Вашите данни като ползватели на продуктите и услугите на уебсайта: www.otpoleto.bg .  

V. ЛИЧНИ ДАННИ, КОИТО СЪБИРАМЕ

1. Данни на създаване на акаунт в уебсайта www.otpoleto.bg  

Може да изберете да създадете онлайн акаунт в уебсайта www.otpoleto.bg, за да се възползвате от услугите ни и изживяването при онлайн пазаруване.

Когато създавате акаунт в уебсайта www.otpoleto.bg, ние събираме следните лични данни:

  • имена;
  • имейл адрес;
  • парола;
  • телефонен номер;
  • адрес;
  • IP адрес;
  • данни за плащане  и фактуриране;

Ние използваме тези лични данни, за да създадем и поддържаме Вашия акаунт в уебсайта www.otpoleto.bg. Можете да използвате акаунта си за различни услуги.

2. Данни за покупка и регистриране

Можете да купувате продукти и услуги от уебсайта www.otpoleto.bg чрез нашия онлайн магазин или да регистрирате продукта си.

Когато купувате продукти/услуги и когато регистрирате продукта си, ние събираме следните лични данни:

  • имена;
  • телефонен номер;
  • адрес;
  • IP адрес;
  • данни за плащане и фактуриране.

Ние използваме тези лични данни, за да осъществим покупката Ви и/или да регистрираме Вашия продукт. Ако влезете с Вашия акаунт във в уебсайта www.otpoleto.bg , данните за покупката и регистрацията Ви ще бъдат добавени в акаунта Ви.

Покупката и регистрацията на продукти става само по Ваше искане, с оглед което обработката на данните за покупката и регистрацията е необходима за изпълнението на договора, в който Вие сте страна.

3. Данни за маркетингови известия

Можете да изберете да се запишете за получаване на маркетингови известия.

Когато се запишете за получаване на маркетингови и промоционални известия, ние ще използваме следните лични данни:

  • имейл адрес (ако нямате акаунт);
  • данни на акаунта Ви в уебсайта www.otpoleto.bg

Ние използваме тези лични данни, за да Ви изпращаме маркетингови и промоционални известия, базирани на Вашите предпочитания и поведение, за продукти, услуги, събития и промоции от уебсайта www.otpoleto.bg.

Уебсайтът www.otpoleto.bg , Ви дава възможност да оттеглите в който и да е момент съгласието си за получаване на промоционални известия, като използвате връзката за отписване в края на всеки промоционален имейл, който получавате от нас.

  • ПРИНЦИПИ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

Обработването на лични данни трябва да се извършва в съответствие с принципите за защита на данните, посочени в член 5 от Регламент (ЕС) 2016/679. Политиките и процедурите на Дружеството имат за цел да гарантират спазването на тези принципи.

1. Личните данни се обработват законосъобразно, добросъвестно и прозрачно.

Законосъобразно – да идентифицира законна основа, преди да обработва лични данни. Това са т. нар „основания за обработване“, например „съгласие“. Съгласието е едно от основанията за обработване на личните данни. Такова може да бъде също  изпълнение на договор или законен интерес на администратора, в които случаи съгласие не е нужно да бъда давано.

Добросъвестно – за да може обработването да бъде добросъвестно, администраторът на данни трябва да предостави определена информация на субектите на данни, необходима във всеки конкретен случай и за всяка конкретна цел, по разбираем, кратък и достъпен за субекта на данни начин. Това важи независимо дали личните данни са получени директно от субектите на данни или от други източници.

Прозрачно – Регламент (ЕС) 2016/679 поставя изисквания относно това, каква информация трябва да бъде предоставена на разположение на субектите на данни, която е обхваната от принципа за „прозрачност“, регламентиран в членове 12, 13 и 14 от ОРЗД.

2. Личните данни се събират само за конкретни, изрично указани и законни цели.

Личните данни трябва да се събират за конкретни, изрични и законосъобразни цели и да не се обработват по начин, който е несъвместим с тези цели.

3. Личните данни, които администраторът събира, са ограничени до това, което е необходимо за съответната цел на обработване.

Тук намира приложение принципът на минимизиране на данните, които могат да бъдат обработвани за конкретния субект.

4. Личните данни трябва да бъдат точни и актуални във всеки един момент, и да са положени необходими усилия, за да е възможно незабавно, в рамките на възможните технически решения, изтриване или коригиране.

Данните, които се съхраняват от администратора на данни, трябва да бъдат актуализирани при необходимост. Не трябва да се съхраняват данни, в случаите, когато има вероятност да не са точни. Задължение на субекта на данните е да декларира, че данните, които предава за съхраняване от Дружеството са точни и актуални. Попълването на формуляр от субекта на данни, предназначени за администратора, ще включва изявление, че съдържащите се в него данни са точни към датата на подаване.

5. Личните данни се съхраняват в такава форма, която позволява субектът на данните да бъде идентифициран за периода, необходим за обработването.

Когато личните данни се запазват след срока на обработването, те ще бъдат  съхранявани по подходящ начин (минимизирани, криптирани, псевдонимизирани), за да се защити самоличността на субекта на данните в случай на нарушение на данните.

6. Личните данни се обработват по начин, който гарантира подходяща сигурност.

Гарантирането на сигурността на личните данни е свързана и с предприемането на подходящи технически мерки, които могат да включват най-малко:

  • Защита с парола;
  • Автоматично заключване на бездействащи работни станции в мрежата;
  • Премахване на права на достъп за USB и други преносими носители с памет (може да има изключение при осигурени задължителна проверка за вируси и регистриране на трансфера на данни);
  • Антивирусен софтуер и защитни стени;
  • Правата за достъп основани на роли, включително тези, на назначен временно персонал;
  • Защитата на устройства, които напускат помещенията на организацията, като лаптопи или други;
  • Сигурност на локални и широкообхватни мрежи;
  • Технологии за подобряване на поверителността, като например псевдонимизиране и анонимизиране;
  • Идентифициране на подходящи международни стандарти за сигурност, подходящи за Дружеството.

При преценката за подходящи мерки се вземат предвид идентифицираните рискове за лични данни, както и възможността за нанасяне на вреди на лицата, чиито данни се обработват.

Сигурността и защитата на лични данни, е основен приоритет за нас като Дружество. За да се защити Вашата информация по време на предаването й, се използва Secure Sockets Layer (SSL) протокол, който криптира информацията, която въвеждате. Други мерки на защита, които се извършват са:

  • DDoS защита;
  • Денонощен мониторинг за опити за неоторизиран достъп до пощенски кутии;
  • Защита на пощенски кутии;
  • Защита от SPAM;
  • Защита от пробиви в сигурността (хакване) на сайта;
  • Изчистване на зловреден код от хакнати сайтове.

Задължение на ползвателя е да опазва конфиденциалността на своите потребителско име и парола.

7. Спазване на принципа на отчетност.

Регламент (ЕС) 2016/679 включва разпоредби, които насърчават отчетността и управляемостта и допълват изискванията за прозрачност. Дружеството ще доказва спазването на принципите за защита на данните чрез прилагане на политика по защита на данните.

  • ПРАВА НА СУБЕКТИТЕ НА ДАННИ

1. Съгласно ОРЗД, в качеството си на субект на данни, имате следните права по отношение на обработването на личните Ви данни:

  • Да получите информация за личните Ви данни, които се обработват от администратора, и за целта, за която се обработват, включително да получите достъп до данните, както и информация кои са получателите на тези данни;
  • Да поискате копие от своите лични данни от администратора;
  • Да поискате от администратора коригиране на лични данни, когато те са неточни, както и когато не са вече актуални;
  • Да изискате от администратора изтриване на лични данни (право „да бъдеш забравен“);
  • Да поискате от администратора ограничаване на обработването на лични данни, като в този случай данните ще бъдат само съхранявани;
  • Да възразите срещу обработване на Ваши лични данни;
  • Да се обърнете с жалба до надзорен орган, ако смятате, че някоя от разпоредбите на ОРЗД е нарушена;
  • Да оттеглите съгласието си за обработката на личните Ви данни по всяко време с отделно искане, отправено до администратора;
  • Да се противопоставите на автоматизирано профилиране, което се случва без Ваше съгласие;

2.  Дружеството осигурява условия, които да гарантират упражняването на тези права от субекта на данни:

  • Субектите на данни могат да направят искания за достъп до данни.
  • Когато исканията на субект на данни са явно неоснователни или прекомерни, по-специално поради своята повторяемост, Дружеството може или да наложи разумна такса, като взема предвид административните разходи за предоставяне на информацията, комуникацията или предприемането на исканите действия, или да откаже да предприеме действия по искането.
  • Субектите на данни имат право да подават възражения до Дружеството, свързани с обработването на личните им данни. Жалбите могат да се подават направо до надзорния орган, като компетентният за това орган в България е Комисия за защита на личните данни, адрес: гр. София 1592, бул. „Проф. Цветан Лазаров” № 2 (www.cpdp.bg).

VIII. СРОК НА СЪХРАНЕНИЕ НА ЛИЧНИ ДАННИ 

1. Дружеството съхранява Вашите лични данни за срок не по-дълъг от съществуването на профила ви в уебсайта. След изтичането на този срок и изтриването на профила Ви от уебсайта, Дружеството взима всички необходими мерки да изтрие и унищожи всички Ваши данни, без ненужно забавяне, освен ако е необходимо да ги пази по силата на приложимото законодателство за съответния предвиден срок, който може да надхвърля срока на съществуване на Вашата регистрация.

2. Дружеството Ви уведомява, в случай че срокът за съхранение на данните е необходимо да бъде удължен, с оглед изпълнение на целите, изпълнение на договора, с оглед легитимни интереси на Дружеството или друго. 

  1. СЪГЛАСИЕ

1. Под „съгласие“ Дружеството ще разбира всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му, свързаните с него лични данни да бъдат обработени. Субектът на данните може да оттегли своето съгласие по всяко време. Съгласие на субекта на лични данни се изисква винаги, когато не съществува алтернативно правно основание за обработването.

2. Дружеството разбира под „съгласие“ само случаите, в които субектът на данните е бил напълно информиран за планираното обработване и е изразил своето съгласие и без върху него да бъде упражняван натиск.

3. Когато Дружеството обработва лични данни на деца, трябва да бъде получено разрешение от упражняващите родителските права (родители, настойници и т. н.). Това изискване се прилага за деца на възраст под 16 години.

  • СИГУРНОСТ НА ДАННИТЕ

1. Личните данни или част от тях трябва да бъдат достъпни само за тези, които имат задължение да ги обработват, като достъпът може да бъде предоставен само в съответствие с изградените правила за контрол на достъпа. 

2.  Лица, на които се предоставят личните ви данни: 

  • Куриерски и пощенски фирми, осъществяващи доставката на потвърдени поръчки чрез уебсайта;
  • Доставчици на платежни услуги за осъществяване на плащане или възстановяване на суми при упражняване на право на връщане на продукт, както и за счетоводни цели, съгласно законови изисквания;
  • Доставчици на SMS и Viber съобщения за уведомяване за статус на поръчка или  доставка;
  • Трети лица за целите на защита на легитимни интереси на Дружеството по поддържане и подобряване качеството на услугата, отговаряне на законовите изисквания, защита за законни права и интереси в съдебни и административни производства;
  • Държавни органи и институции, във връзка с извършвани от тях проверки в съответствие със законовите изисквания и ограничения;
  • Маркетинг платформи – Facebook, Instagram, TikTok, Google.

Дружеството не извършва трансфер на Вашите данни към трети държави. 

3. Използване на „бисквитки” (cookie)

“Бисквитката” (cookie) представлява малък по обем файл, съдържащ в себе си текстова информация. „Бисквитките” изпълняват различни функции и се използват предимно:

  • за да ви разграничават от останалите потребители на конкретния уебсайт;
  • за да улеснят Вашето сърфиране.

„Бисквитките” се използват, за да съберат анонимна информация за потребителите на съответния уебсайт като това ще спомогне да се оптимизира и адаптира съдържанието на уебсайта според предпочитанията на потребителя.

Уебсайтът www.otpoleto.bg използва:

  • Google Analytics – онлайн платформа за уеб анализи от Google Inc. Google Analytics генерира „бисквитки”, с цел да се анализират Вашите действия в уебсайта.
  • Плъгини на социалните мрежи – този уебсайт използва плъгини на социалните мрежи Facebook, Instagram и TikTok. На определени страници в сайта са разположени бутони на социалните мрежи.

Всички данни на потребителите, събрани чрез използването на „бисквитки” са анонимни и се използват само и единствено за анализи на потребителското поведение и за оптимизиране и подобряване на съдържанието на уебсайта.

  • КОГА МОЖЕМ ДА РАЗКРИЕМ ЛИЧНИ ДАННИ

Прилагаме комплекс от мерки, за да защитим Вашите лични данни от загуба, кражба и злоупотреба, както и от неоторизиран достъп, разкриване, промяна или унищожаване. Възможно е при предвидени от закона обстоятелства, Вашите лични данни да бъдат разкрити. Такива са например при изрично съгласие от Ваша страна, личните Ви данни могат да бъдат предоставени на трети лица. Също така възможно е разкриване на лични данни, когато това е предвидено в закон, както и по искане на съда или на разследващи органи (органите на полицията, следствието, прокуратурата), а също и когато бъдат поискани от други държавни органи, когато е разрешено от закона.

  • СЪХРАНЯВАНЕ И УНИЩОЖАВАНЕ НА ДАННИТЕ

Не съхраняваме лични данни във вид, който позволява идентифицирането на субектите за по-дълъг период, отколкото е необходимо, по отношение на целите, за които са били събрани данните.

Личните данни се унищожават, съгласно принципа за гарантиране подходящо ниво на сигурност – включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки.

  • ОБЩА ИНФОРМАЦИЯ ЗА ПОЛИТИКАТА

Настоящата Политика за защита на личните данни може да бъде променяна или допълвана поради изменения на приложимото българско или европейско законодателство, както и вследствие на задължителни предписания, дадени от компетентния надзорен орган (Комисия за защита на личните данни).

ОДОБРИЛ ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ: ……………………………

                                                                                                                        /УПРАВИТЕЛ/