ПОЛИТИКА ЗА ПОВЕРИТЕЛНОСТ НА NEXTSHOP.BG
В сила от: датата на публикуване Последна актуализация: датата на публикуване
1. За тази Политика
Настоящата Политика за поверителност обяснява как CyberHour LTD събира, използва, съхранява и защитава лични данни във връзка с:
a) посещаването на NextShop.bg;
b) създаването и управлението на Акаунт;
c) използването на безплатен тестов период;
d) закупуването и управлението на абонаментен План;
e) използването на Приложения, AI функции и социални автоматизации;
f) плащанията, фактурирането и поддръжката;
g) сигурността и защитата на NextShop;
h) комуникацията с CyberHour LTD.
Политиката се прилага към физически лица, включително:
- собственици и представители на Бизнес ползватели;
- служители и администратори с достъп до Акаунт;
- посетители на NextShop.bg;
- лица, които се свързват с NextShop;
- потенциални клиенти и бизнес контакти.
Тя не замества политиката за поверителност на конкретен онлайн магазин, създаден чрез NextShop.
2. Администратор на личните данни
За обработването, описано в настоящата Политика, администратор е:
CyberHour LTD ЕИК/регистрационен номер: Седалище и адрес на управление: Имейл за въпроси и искания относно лични данни: info@nextshop.bg
В настоящата Политика CyberHour LTD се нарича „CyberHour“, „NextShop“, „ние“, „нас“ или „наш“.
3. Кога NextShop е администратор и кога е обработващ
3.1. NextShop като администратор
NextShop действа като самостоятелен администратор, когато определя целите и основните средства за обработването, включително за:
a) регистрация и управление на Акаунта;
b) идентифициране на Бизнес ползвателя и неговите представители;
c) управление на тестовия период и абонамента;
d) плащания, фактуриране и събиране на дължими суми;
e) комуникация и клиентска поддръжка;
f) сигурност на Платформата;
g) предотвратяване на измами и злоупотреби;
h) изпълнение на законови задължения;
i) защита на правни претенции;
j) собствен маркетинг на NextShop;
k) анализиране и подобряване на Платформата.
3.2. NextShop като обработващ
Когато Оператор на магазин събира и обработва чрез своя tenant Магазин лични данни на:
- клиенти;
- потенциални клиенти;
- получатели на доставки;
- абонати;
- служители;
- доставчици;
- други лица,
Операторът на магазина обичайно е администратор, а NextShop обработва данните от негово име.
Това обработване се урежда от Споразумението за обработване на лични данни — DPA.
3.3. Искания, свързани с конкретен Магазин
Ако искането се отнася до:
- клиентски профил;
- поръчка;
- доставка;
- маркетингово съобщение;
- рекламация;
- данни, предоставени на конкретен Магазин,
то трябва първо да бъде отправено към Оператора на съответния Магазин.
Когато получим искане, което се отнася единствено до данни, обработвани от името на Оператор на магазин, можем да го препратим към него.
4. Как получаваме личните данни
Можем да получаваме лични данни:
4.1. Директно от лицето
Например когато лицето:
a) създава Акаунт;
b) започва тестов период;
c) избира План или Приложение;
d) извършва плащане;
e) попълва профил или настройки;
f) изпраща запитване;
g) комуникира с поддръжката;
h) участва в проучване или предоставя обратна връзка;
i) се абонира за маркетингови съобщения.
4.2. От организацията или титуляря на Акаунта
Можем да получим данни за служител, представител или администратор, когато собственикът на Акаунта:
a) го покани в екипа;
b) му създаде потребителски достъп;
c) го посочи като лице за контакт;
d) му предостави административна роля.
4.3. Автоматично при използването на NextShop
При използването на сайта и Платформата могат автоматично да се събират:
a) IP адрес;
b) дата и час на достъпа;
c) браузър и операционна система;
d) тип устройство;
e) сесийни идентификатори;
f) посетени страници и използвани функции;
g) действия в административния панел;
h) системни и защитни журнални записи;
i) данни за грешки и производителност;
j) приблизителен регион, извлечен от IP адреса;
k) настройки за бисквитки.
4.4. От платежни и други външни доставчици
Можем да получаваме ограничена информация от:
a) платежни оператори;
b) доставчици на идентификация и защита от измами;
c) активирани интеграции;
d) социални мрежи;
e) доставчици на имейл, SMS или други комуникационни услуги;
f) публични регистри, когато проверката е необходима по закон или за предотвратяване на злоупотреби.
Получаваните данни зависят от използваната услуга и предоставените разрешения.
5. Категории лични данни
В зависимост от отношенията с NextShop можем да обработваме следните категории:
5.1. Идентификационни данни
- имена;
- длъжност;
- организация;
- данни за представляващо лице;
- потребителски идентификатор;
- фирмени и регистрационни данни, когато са свързани с физическо лице.
5.2. Данни за контакт
- имейл адрес;
- телефон;
- адрес за кореспонденция;
- адрес за фактуриране.
5.3. Данни за Акаунта
- потребителско име;
- криптографски защитена парола;
- роли и разрешения;
- избран език;
- настройки;
- история на потвържденията;
- дата на регистрация;
- статус на Акаунта;
- административни действия.
5.4. Данни за абонамента и плащанията
- избран План;
- активирани Приложения;
- период на таксуване;
- платежен статус;
- валута;
- фактурни данни;
- идентификатор на транзакция;
- ограничена информация за платежния метод;
- история на начисляванията и възстановяванията.
NextShop по правило не получава и не съхранява пълния номер или кода за сигурност на платежната карта.
5.5. Комуникации и поддръжка
- имейли и съобщения;
- заявки към поддръжката;
- приложени файлове;
- описание на технически проблем;
- обратна връзка;
- история на комуникацията.
5.6. Технически и защитни данни
- IP адрес;
- устройство и браузър;
- идентификатори на сесии;
- журнални записи;
- данни за вход и неуспешни опити;
- сигнали за подозрителна активност;
- данни за системни грешки;
- информация, необходима за предотвратяване на атаки и злоупотреби.
5.7. Данни от Приложения и интеграции
При активиране на Приложение можем да обработваме:
- идентификатори на свързани акаунти;
- токени за достъп;
- разрешения;
- статус на връзката;
- настройки;
- съдържание, предоставено за обработване;
- резултати и статуси на извършени операции.
Точният обхват зависи от конкретното Приложение.
6. За какви цели и на какво основание обработваме данните
6.1. Регистрация и предоставяне на NextShop
Обработваме необходимите данни, за да:
a) създадем и активираме Акаунта;
b) предоставим тестовия период;
c) създадем tenant Магазина;
d) предоставим избраните функции;
e) управляваме Плана и Приложенията;
f) удостоверяваме потребителите.
Правното основание е изпълнение на договор или предприемане на стъпки преди сключването му.
Когато конкретен потребител действа като служител или представител на организация, основанието може да бъде легитимният интерес на NextShop и организацията да управляват договорните си отношения и достъпа до услугата.
6.2. Плащания и фактуриране
Обработваме данни за:
a) обработване и проследяване на плащанията;
b) издаване и съхраняване на платежни и счетоводни документи;
c) управление на подновяванията;
d) събиране на дължими суми;
e) предотвратяване на двойни или измамни плащания.
Основанията са изпълнение на договора, законово задължение и легитимен интерес за защита на финансовите интереси на NextShop.
6.3. Клиентска и техническа поддръжка
Обработваме данни, за да:
a) отговаряме на запитвания;
b) диагностицираме и отстраняваме проблеми;
c) проверяваме собствеността и правата върху Акаунта;
d) предоставяме инструкции;
e) документираме разрешаването на проблема.
Основанието е изпълнение на договора и легитимният интерес за предоставяне на надеждна поддръжка.
6.4. Сигурност и предотвратяване на злоупотреби
Обработваме технически и защитни данни за:
a) удостоверяване на потребителите;
b) откриване на необичаен достъп;
c) предотвратяване на измами, спам и автоматизирани атаки;
d) защита на tenant изолацията;
e) разследване на инциденти;
f) защита на NextShop, Ползвателите и трети лица;
g) изпълнение на изискванията за сигурност.
Основанието е легитимният интерес на NextShop и неговите Ползватели да поддържат сигурна и надеждна услуга, както и изпълнение на приложими законови задължения.
6.5. Подобряване и развитие на услугата
Можем да анализираме използването на NextShop, за да:
a) откриваме технически проблеми;
b) измерваме производителността;
c) подобряваме интерфейса и функциите;
d) определяме кои функции се използват;
e) планираме капацитет и развитие.
Когато е възможно, използваме обобщени или анонимизирани данни.
Основанието е легитимният интерес за развитие и подобряване на услугата. Когато използването на конкретна технология изисква съгласие, обработването се извършва само след такова съгласие.
6.6. Изпълнение на законови задължения
Обработваме и съхраняваме данни, когато това е необходимо за:
a) счетоводни и данъчни задължения;
b) отговор на законосъобразно искане от компетентен орган;
c) защита на личните данни и информационната сигурност;
d) изпълнение на съдебен или административен акт;
e) други задължения по приложимото право.
6.7. Защита на правни претенции
Можем да обработваме данни за:
a) установяване на факти;
b) доказване на приемането на условията;
c) събиране на вземания;
d) защита при спор;
e) установяване, упражняване или защита на правни претенции.
Основанието е легитимният интерес за защита на законните права на NextShop.
7. Задължително и доброволно предоставяне на данни
Данните, обозначени като задължителни при регистрация, плащане или използване на конкретна функция, са необходими за:
a) създаване на Акаунт;
b) сключване или изпълнение на договора;
c) предоставяне на услугата;
d) изпълнение на законово задължение;
e) защита на сигурността.
Ако необходимите данни не бъдат предоставени, може да не е възможно да:
- създадем или активираме Акаунта;
- обработим плащане;
- предоставим определена функция;
- изпълним искане;
- продължим договорните отношения.
Полета, обозначени като незадължителни, могат да бъдат оставени непопълнени, но част от функционалностите може да не бъдат достъпна.
8. AI функции
При използване на AI функции можем да обработваме:
a) въведени инструкции;
b) продуктова информация;
c) текстове и описания;
d) качени изображения, аудио или видео;
e) настройки на генерирането;
f) генерирани резултати;
g) технически данни за извършената операция.
Данните се обработват само когато Ползвателят активира или използва съответната AI функция.
AI функциите могат да използват специализирани външни доставчици, които обработват необходимата информация според договорни и защитни изисквания.
NextShop не използва личните данни на клиентите на tenant Магазините за обучение на общодостъпен или общоприложим AI модел, освен ако:
a) това е предмет на отделна, ясно описана функция;
b) има подходящо правно основание; и
c) е предоставена необходимата информация и възможност за избор.
Ползвателят не трябва да въвежда в AI функции:
- специални категории лични данни;
- данни за присъди и нарушения;
- ненужни клиентски данни;
- поверителна информация без право за нейното обработване.
9. Социални автоматизации и свързани акаунти
Когато Ползвателят активира Приложение за социални мрежи, можем да обработваме:
a) идентификатор и име на свързания профил;
b) токени и разрешения за достъп;
c) текстове, изображения, видео и други материали за публикуване;
d) график и настройки на публикациите;
e) статус на изпълнението;
f) ограничени аналитични данни;
g) техническа информация за връзката.
Това обработване е необходимо за изпълнение на заявената функция.
Социалните мрежи могат да обработват получените данни и като самостоятелни администратори съгласно своите условия и политики.
Ползвателят може да прекрати връзката чрез наличните настройки или чрез съответната социална мрежа.
10. Маркетингови съобщения
Можем да изпращаме информация за:
a) функции и нови услуги;
b) оферти и промоции;
c) практически материали;
d) събития и проучвания;
e) свързани продукти на NextShop.
Маркетинговите съобщения се изпращат:
- въз основа на съгласие, когато то се изисква; или
- въз основа на легитимен интерес, когато приложимото право позволява това и са защитени правата на получателя.
Получателят може по всяко време:
a) да използва връзката за отписване;
b) да промени настройките си;
c) да изпрати искане до info@nextshop.bg.
Отписването от маркетингови съобщения не прекратява служебните съобщения, необходими за:
- сигурността;
- плащанията;
- договора;
- поддръжката;
- промените в услугата;
- законовите уведомления.
След отписване можем да запазим минимален запис в списък за изключване, за да спазим избора на лицето.
11. Бисквитки и подобни технологии
NextShop може да използва:
11.1. Строго необходими технологии
Те са необходими за:
a) работата на сайта;
b) поддържане на сесията;
c) удостоверяване;
d) сигурност;
e) запазване на избора за поверителност;
f) предоставяне на изрично поискана функция.
За тези технологии не се изисква съгласие, когато са строго необходими за предоставяне на поисканата услуга.
11.2. Аналитични и функционални технологии
Те могат да се използват за измерване на използването, откриване на проблеми и подобряване на функционалността.
Когато законът изисква съгласие, те се активират само след направен избор.
11.3. Маркетингови технологии
Маркетингови бисквитки и подобни технологии се активират само след валидно съгласие, когато такова се изисква.
Изборът може да бъде променен чрез настройките за бисквитки.
Подробности за конкретните технологии, доставчици, цели и срокове се публикуват в отделната Политика за бисквитки.
12. На кого предоставяме лични данни
Предоставяме лични данни само когато това е необходимо и при подходящи защитни условия.
Получателите могат да включват:
a) упълномощени служители и изпълнители на CyberHour;
b) доставчици на хостинг, сървъри, бази данни и резервни копия;
c) доставчици на файлово съхранение и мрежи за доставка на съдържание;
d) доставчици на транзакционни имейли и комуникации;
e) платежни оператори;
f) доставчици на мониторинг, сигурност и предотвратяване на злоупотреби;
g) доставчици на клиентска поддръжка;
h) AI доставчици при активирана AI функция;
i) доставчици на социални автоматизации при активирано Приложение;
j) професионални консултанти, счетоводители, одитори и адвокати;
k) компетентни държавни, съдебни и регулаторни органи;
l) купувач или правоприемник при преобразуване или прехвърляне на съответната дейност.
Не продаваме лични данни.
Когато NextShop действа като обработващ, актуалният регистър на Подизпълнителите се предоставя поверително на съответния Администратор съгласно DPA. Този регистър не е задължително публична част от настоящата Политика.
13. Международни трансфери
Някои доставчици могат да обработват лични данни извън Европейското икономическо пространство.
В такива случаи използваме приложим механизъм за трансфер, като:
a) решение на Европейската комисия за адекватно ниво на защита;
b) стандартни договорни клаузи;
c) задължителни фирмени правила;
d) друг допустим механизъм.
Когато е необходимо, извършваме или изискваме оценка на трансфера и прилагаме допълнителни технически, договорни или организационни мерки.
Информация за приложимия механизъм или копие от относимите гаранции може да бъде поискана на info@nextshop.bg. Части от документите могат да бъдат редактирани за защита на търговски тайни, сигурност и права на трети лица.
14. Колко дълго съхраняваме данните
Не съхраняваме лични данни по-дълго от необходимото за съответната цел.
При определяне на срока вземаме предвид:
a) продължителността на договора;
b) вида и чувствителността на данните;
c) причината за обработването;
d) приложимите счетоводни, данъчни и регулаторни срокове;
e) приложимите давностни срокове;
f) необходимостта от доказване на действия и съгласия;
g) риска за сигурността;
h) установения цикъл на резервните копия.
По категории се прилагат следните критерии:
14.1. Данни за Акаунта и договора
Съхраняват се за срока на активния Акаунт и след това до изтичането на приложимите законови и давностни срокове.
14.2. Данни за плащания и фактуриране
Съхраняват се за приложимите счетоводни и данъчни срокове.
14.3. Заявки към поддръжката
Съхраняват се до разрешаване на случая и след това за разумен период, необходим за повторно отваряне, качество на поддръжката и защита при спор.
14.4. Технически и защитни журнални записи
Съхраняват се за ограничен период, определен според целта, риска и необходимостта за разследване на инциденти.
При установен инцидент относимите записи могат да бъдат съхранявани по-дълго до приключване на разследването или спора.
14.5. Маркетингови данни
Съхраняват се до оттегляне на съгласието, възражение или отпадане на целта.
Минимална информация може да остане в списък за изключване, за да не бъдат изпращани нови маркетингови съобщения.
14.6. Данни от бисквитки
Съхраняват се според срока на конкретната технология, посочен в Политиката за бисквитки.
14.7. Tenant данни
Когато NextShop действа като обработващ, tenant данните се съхраняват съгласно:
a) инструкциите на Оператора на магазина;
b) DPA;
c) Общите условия;
d) приложимия период за експорт;
e) цикъла за изтриване и ротация на резервните копия.
14.8. Правен спор или задължително съхранение
Когато има спор, разследване, правен hold или задължително законово основание, относимите данни могат да бъдат ограничени и съхранявани до отпадане на основанието.
След изтичане на приложимия срок данните се изтриват, необратимо анонимизират или остават само в защитени резервни копия до тяхното планирано презаписване.
15. Сигурност
Прилагаме технически и организационни мерки, съобразени с риска, включително:
a) отделна tenant база данни и контекст за всеки Магазин;
b) проверки срещу неразрешен достъп между tenants;
c) TLS за поддържаните публични връзки;
d) защита на приложимите тайни и резервни копия чрез криптиране;
e) контрол на достъпа, роли и разрешения;
f) силно удостоверяване и MFA за чувствителни административни роли;
g) защитни HTTP заглавки и CSRF защита;
h) ограничаване на заявки;
i) проверка на файлови качвания;
j) управление на уязвимости и актуализации;
k) журнални записи и наблюдение на чувствителни действия;
l) резервни копия, проверка на целостта и тестове за възстановяване;
m) процедури за управление на инциденти;
n) сигурна разработка и преглед на чувствителни промени.
Никоя система не може да бъде гарантирана като абсолютно защитена.
Ако узнаем за нарушение на сигурността, извършваме оценка и предприемаме действия за ограничаване, разследване и уведомяване в приложимия законов обхват.
16. Автоматизирано обработване и профилиране
NextShop може да използва автоматизирани сигнали и правила за:
a) откриване на необичайни влизания;
b) ограничаване на автоматизирани атаки;
c) предотвратяване на измами и спам;
d) идентифициране на технически проблеми;
e) приоритизиране на защитни сигнали.
По правило не вземаме решения, основани единствено на автоматизирана обработка, които пораждат правни последици или засягат лицето по сходен значим начин.
Автоматизирана защитна система може временно да ограничи сесия, заявка или действие при установен риск.
Когато автоматизирана мярка има съществено въздействие върху Акаунта, засегнатият Бизнес ползвател може да поиска човешки преглед чрез info@nextshop.bg.
AI функциите, използвани за създаване на съдържание, не вземат решения относно законови права на лицето.
17. Вашите права
Според конкретните обстоятелства имате право:
17.1. На информация и достъп
Да получите информация дали обработваме Ваши лични данни и копие от тях.
17.2. На коригиране
Да поискате коригиране на неточни или допълване на непълни данни.
17.3. На изтриване
Да поискате изтриване, когато данните вече не са необходими, обработването е незаконосъобразно или е приложимо друго законово основание.
Правото не е абсолютно и може да не се приложи, когато съхраняването е необходимо за законово задължение или защита на правни претенции.
17.4. На ограничаване
Да поискате временно ограничаване на обработването в предвидените от закона случаи.
17.5. На преносимост
Да получите предоставените от Вас данни в структуриран, широко използван и машинночетим формат, когато обработването е основано на съгласие или договор и се извършва автоматизирано.
17.6. На възражение
Да възразите срещу обработване, основано на легитимен интерес, по причини, свързани с Вашата конкретна ситуация.
При възражение срещу директен маркетинг прекратяваме използването на данните за тази цел.
17.7. На оттегляне на съгласие
Когато обработването се основава на съгласие, можете да го оттеглите по всяко време.
Оттеглянето не засяга законосъобразността на обработването преди него.
17.8. Относно автоматизирани решения
Когато е приложимо, имате право да поискате човешка намеса, да изразите становище и да оспорите решение, основано единствено на автоматизирана обработка и имащо правни или сходно значими последици.
18. Как да упражните правата си
Искане може да бъде изпратено до:
За да защитим данните, можем да поискаме разумна допълнителна информация за:
a) потвърждаване на самоличността;
b) установяване на съответния Акаунт;
c) уточняване на обхвата на искането.
Не изискваме повече информация, отколкото е необходимо за проверката.
Отговаряме без ненужно забавяне и в приложимия законов срок.
Когато искането е сложно или са подадени множество искания, срокът може да бъде удължен в предвидения от закона обхват, за което лицето ще бъде уведомено.
По правило упражняването на правата е безплатно. При явно неоснователни или прекомерни искания можем да начислим разумна такса или да откажем изпълнение, когато законът позволява това.
19. Право на жалба
Имате право да подадете жалба до:
Комисия за защита на личните данни — КЗЛД Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2 Имейл: kzld@cpdp.bg
Жалба може да бъде подадена и до друг компетентен надзорен орган в Европейския съюз, по-специално в държавата на обичайното местопребиваване, мястото на работа или предполагаемото нарушение.
Препоръчваме първо да се свържете с нас, за да опитаме да разрешим въпроса, без това да ограничава правото Ви на жалба.
20. Деца
NextShop е бизнес платформа и не е предназначена за самостоятелна регистрация или използване от лица под 18 години.
Не събираме съзнателно лични данни от деца с цел създаване на собствен NextShop Акаунт.
Ако узнаем, че Акаунт е създаден от лице под необходимата възраст или са предоставени данни в нарушение на приложимото право, можем да ограничим Акаунта и да предприемем подходящи действия.
Операторите на Магазини носят отговорност за законосъобразното обработване на данни на деца чрез своите Магазини.
21. Външни връзки
NextShop може да съдържа връзки към сайтове и услуги на трети лица.
NextShop не определя целите и средствата за самостоятелното обработване от тези трети лица и не носи отговорност за техните политики.
Препоръчваме да преглеждате политиката за поверителност на всяка външна услуга.
22. Промени в Политиката
Можем да актуализираме настоящата Политика поради:
a) промени в законодателството;
b) нови или променени функции;
c) промени в начина на обработване;
d) промени в мерките за сигурност;
e) необходимост от поясняване или корекция.
Актуалната версия се публикува с нова дата.
При съществена промяна можем да уведомим чрез:
- имейл;
- административния панел;
- съобщение в NextShop;
- друг подходящ канал.
Когато промяната изисква ново съгласие или друго изрично действие, ще го поискаме преди започване на съответното обработване.
23. Контакт
За въпроси, искания или възражения относно личните данни:
CyberHour LTD ЕИК/регистрационен номер: Адрес: Имейл: info@nextshop.bg