Чл. 1. (1) Администратор на личните данни е:
(2) Всички запитвания, свързани с обработването на лични данни и с упражняването на права по Раздел VIII, се отправят на адреса и електронната поща по ал. 1. Отговаряме в едномесечен срок при условията на Чл. 40, ал. 2
Чл. 2 (1) Дружеството не е назначило длъжностно лице по защита на данните („ДЛЗД“), тъй като с оглед характера на извършваната дейност и обхвата на обработваните лични данни не са налице законовите предпоставки за задължително определяне на такова лице съгласно чл. 37 от Регламент (ЕС) 2016/679 („GDPR“).
(2) Основната дейност на Дружеството е свързана с продажба на стоки чрез електронен магазин, при което се обработват лични данни, необходими за управление на клиентски взаимоотношения, обработване на поръчки, доставка и изпълнение на договорни задължения.
(3) Дружеството не извършва обработване на лични данни, което поради своето естество, обхват или цели изисква редовно и систематично мащабно наблюдение на физически лица, както и не обработва мащабно специални категории лични данни по смисъла на чл. 9 от GDPR или данни относно присъди и нарушения по чл. 10 от GDPR.
(4) Независимо от липсата на задължение за назначаване на ДЛЗД, Дружеството прилага подходящи технически и организационни мерки за защита на личните данни и определя отговорни лица за осигуряване на съответствие с изискванията на приложимото законодателство за защита на личните данни.
Чл. 3. Компетентен надзорен орган е:
Чл. 4. (1) За целите на настоящата политика посочените понятия имат следното значение:
Лични данни е всяка информация, която се отнася до идентифицирано физическо лице или до лице, което може да бъде идентифицирано пряко или косвено. Такива са името, електронната поща, адресът за доставка, телефонният номер, но също и онлайн идентификатори като IP адрес и идентификатор в бисквитка.
Обработване е всяко действие с лични данни, извършено с автоматични или неавтоматични средства. Включва събирането, записването, съхранението, използването, разкриването, ограничаването и изтриването.
Субект на данни е физическото лице, за което се отнасят данните. В контекста на този документ това сте Вие.
Администратор е лицето, което определя целите и средствата на обработването. За данните, описани тук, това е „Васпрод“ ЕООД.
Обработващ лични данни е лице, което обработва данни от името и по указание на Администратора, без да преследва собствени цели. Такива са хостинг доставчикът и платформата за бюлетин.
Съвместни администратори са две или повече лица, които съвместно определят целите и средствата на определено обработване. Разпределението на отговорностите между тях и Администратора е изложено в Чл. 26.
Получател е лице, на което се разкриват лични данни. Публичните органи, които получават данни в рамките на конкретно разследване или проверка съгласно правото на ЕС или българското право, не се считат за трети страни по смисъла на чл. 4, т. 10 от GDPR, но остават получатели.
Трета страна е лице, различно от субекта на данните, Администратора, обработващия и лицата под пряко ръководство на Администратора.
Съгласие е свободно изразено, конкретно, информирано и недвусмислено волеизявление, дадено чрез ясно потвърждаващо действие. Мълчанието, предварително отметнатите полета и продължаването на сърфирането в уебсайта не съставляват съгласие.
Бисквитка е малък текстов файл, който се съхранява в браузъра Ви при посещение на уебсайта. Бисквитките се делят на две групи според това дали изискват съгласие: а) строго необходими бисквитки, без които уебсайтът не може да функционира (сесия, съдържание на количката, защита от злоупотреби). Те се поставят на основание чл. 4в, ал. 1, т. 2 от Закона за електронните съобщения и не изискват съгласие; б) опционални бисквитки за статистика, анализ и маркетинг. Те се поставят единствено след предварително изрично съгласие и могат да бъдат отказани без последици за достъпа до магазина. Идентификаторите, съдържащи се в опционалните бисквитки, представляват лични данни. Раздел X описва всяка бисквитка поотделно.
Профилиране е автоматизирано обработване за оценка на определени лични аспекти, включително за анализ на предпочитания и поведение. Администраторът не използва профилиране за вземане на решения с правни или сходно значими последици за Вас.
Нарушение на сигурността е инцидент, който води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни.
(2) Заглавията на разделите и членовете служат за навигация и нямат самостоятелно тълкувателно значение.
Чл. 5. (1) При обработване на лични данни Администраторът спазва основните принципи, установени в чл. 5 от GDPR, като гарантира, че личните данни:
1. се обработват законосъобразно, добросъвестно и прозрачно – Администраторът обработва лични данни само при наличие на приложимо правно основание и предоставя ясна информация относно целите и начина на обработване;
2. се събират за конкретни, изрично определени и легитимни цели – личните данни не се използват за цели, несъвместими с тези, за които първоначално са били събрани, освен когато това е допустимо съгласно приложимото законодателство;
3. са ограничени до необходимото за съответната цел – Администраторът събира само данни, които са необходими за предоставяне на услугите, обработване на поръчки, изпълнение на договорни отношения или изпълнение на други законови задължения;
4. са точни и актуални – Администраторът предприема разумни мерки за поддържане на точността на обработваните лични данни и осигурява възможност за тяхното актуализиране при необходимост;
5. се съхраняват за ограничен период от време – личните данни се съхраняват само за периода, необходим за изпълнение на съответната цел, за спазване на законови задължения или за защита на легитимни интереси на Администратора;
6. се обработват по начин, който гарантира тяхната сигурност – Администраторът прилага подходящи технически и организационни мерки за защита срещу неразрешен достъп, загуба, промяна или неправомерно разкриване;
7. се обработват при спазване на принципа на отчетност – Администраторът поддържа необходимата документация и предприема действия, позволяващи доказване на съответствието с изискванията на GDPR.
Чл. 6 (1) Администраторът обработва лични данни само когато е налице приложимо правно основание съгласно чл. 6, параграф 1 от GDPR.
(2) В зависимост от конкретната цел на обработването Администраторът може да обработва лични данни на следните основания:
Изпълнение на договор или предприемане на действия преди сключване на договор – чл. 6, параграф 1, буква „б“ от GDPR.
Това основание се прилага, когато обработването е необходимо за приемане, обработване и изпълнение на поръчки, предоставяне на заявени услуги, комуникация с клиента или предприемане на действия по негово искане преди сключване на договор.
Изпълнение на законово задължение – чл. 6, параграф 1, буква „в“ от GDPR.
Това основание се прилага, когато обработването е необходимо за изпълнение на задължения, произтичащи от приложимо законодателство, включително счетоводни, данъчни и други регулаторни изисквания.
Съгласие на субекта на данни – чл. 6, параграф 1, буква „а“ от GDPR.
Това основание се прилага, когато обработването не е необходимо за изпълнение на договор или законово задължение, например при изпращане на маркетингови съобщения или използване на определени технологии за анализ и персонализация. Съгласието може да бъде оттеглено по всяко време.
Легитимен интерес – чл. 6, параграф 1, буква „е“ от GDPR.
Това основание се прилага, когато обработването е необходимо за постигане на легитимни цели на Администратора, като подобряване на услугите, защита на правата и законните интереси на Дружеството или предотвратяване на злоупотреби, при условие че тези интереси не са с предимство пред правата и свободите на субектите на данни.
(3) Съответствието между цел и основание е следното:
(4) Google Tag Manager е контейнер за управление на маркери. Той не поставя самостоятелно бисквитки за проследяване, но зарежда инструментите по редовете за аналитични и маркетингови бисквитки. Зареждането се извършва след получено съгласие, съобразно избора Ви в центъра за настройки по Чл. 48, ал. 2.
Чл. 7. (1) Когато Администраторът обработва лични данни на основание изпълнение на договор или предприемане на действия преди сключване на договор, предоставянето на определени данни може да бъде необходимо условие за сключването и изпълнението на съответното договорно отношение.
(2) Непредоставянето на данни, които са необходими за изпълнение на поръчка или предоставяне на заявена услуга, може да доведе до невъзможност Администраторът да обработи заявката, да сключи договор или да изпълни своите договорни задължения. Непредоставянето на допълнителни или незадължителни данни не води до неблагоприятни последици за субекта на данни.
Чл. 8. (1) Администраторът обработва лични данни, когато това е необходимо за изпълнение на законови задължения, произтичащи от приложимото законодателство.
(2) Такива задължения могат да произтичат, включително, от разпоредбите на Закона за счетоводството, Данъчно-осигурителния процесуален кодекс, Закона за защита на потребителите, Закона за данък върху добавената стойност и други приложими нормативни актове.
(3) Обемът, начинът и сроковете за съхранение на личните данни, обработвани на основание законово задължение, се определят от съответните нормативни изисквания и не зависят от съгласието на субекта на данни.
Чл. 9. (1) Когато обработването на лични данни се основава на съгласие, Администраторът осигурява съгласието да бъде предоставено чрез ясно, конкретно и доброволно изразено действие от страна на субекта на данни.
(2) Администраторът не използва предварително маркирани полета, мълчаливо съгласие или други механизми, които не позволяват свободен и информиран избор от страна на субекта на данни.
(3) Използването на електронния магазин, разглеждането на предлаганите стоки, създаването на потребителски профил или извършването на поръчка не зависят от предоставянето на съгласие за обработване на лични данни, което не е необходимо за изпълнение на съответната услуга, включително за изпращане на маркетингови съобщения, използване на незадължителни функционалности или активиране на незадължителни бисквитки.
(4) Непредоставянето или оттеглянето на съгласие не води до ограничаване на достъпа до електронния магазин, промяна на ценови условия, влошаване на условията за използване на услугите или ограничаване на основните функционалности на платформата, освен когато конкретната функционалност по своята същност изисква предоставяне на такова съгласие.
(5) Субектът на данни има право да оттегли предоставеното съгласие по всяко време чрез начините, посочени от Администратора. Оттеглянето на съгласието не засяга законосъобразността на обработването, извършено преди неговото оттегляне.
Чл. 10. (1) Преди да обработва лични данни на основание легитимен интерес по чл. 6, параграф 1, буква „е“ от GDPR, Администраторът извършва преценка дали съответната цел може да бъде постигната чрез по-малко ограничаващи средства и дали неговият интерес не засяга непропорционално правата и свободите на субектите на данни.
(2) Администраторът може да се позовава на легитимен интерес в следните случаи:
1. За защита на електронния магазин и предотвратяване на злоупотреби.
Администраторът обработва технически данни, като IP адрес, данни за достъп и информация за неуспешни опити за вход, с цел предотвратяване на неоторизиран достъп, измами, автоматизирани атаки и неправомерно използване на потребителски профили. Обработваните данни са ограничени до необходимото за постигане на тази цел и не се използват за маркетингово профилиране.
2. За поддържане на сигурността и стабилността на електронния магазин.
Администраторът може да съхранява технически записи (логове), необходими за диагностика на технически проблеми, предотвратяване на грешки и осигуряване на нормалното функциониране на платформата. Данните се съхраняват за ограничен период съгласно Раздел V.
3. За установяване, упражняване или защита на правни претенции.
Администраторът може да обработва лични данни, когато това е необходимо за защита на свои права и законни интереси при възникване на спорове, рекламации, оспорени плащания или административни производства. Обработването се ограничава до данните, относими към конкретния случай.
4. За управление на отношения с търговски партньори.
При взаимоотношения с юридически лица Администраторът може да обработва идентификационни и служебни контактни данни на представители или упълномощени лица, доколкото това е необходимо за сключване и изпълнение на търговски отношения.
(3) Администраторът не използва легитимен интерес като основание за изпращане на директни маркетингови съобщения към физически лица, използване на рекламни технологии, аналитични инструменти или проследяване между устройства, когато приложимото законодателство изисква предварително съгласие.
(4) Субектът на данни има право да възрази срещу обработване, основано на легитимен интерес, при условията и по реда, посочени в Чл. 36, ал. 2.
Чл. 11. (1) Когато Администраторът възнамерява да използва вече събрани лични данни за цел, различна от първоначално посочената, се извършва преценка дали новата цел е съвместима с първоначалната съгласно критериите на чл. 6, параграф 4 от GDPR.
(2) При тази преценка Администраторът отчита връзката между първоначалната и новата цел, контекста на събиране на данните, характера на обработваните данни, възможните последици за субектите на данни и наличието на подходящи гаранции.
Чл. 12. (1) Обработваме само данните, които са необходими за конкретната цел, посочена срещу тях в таблицата по ал. 3.
(2) Полетата, отбелязани като задължителни, обуславят възможността да изпълним поръчката или да поддържаме профила Ви. Незадължителните полета можете да оставите празни, без това да ограничи достъпа Ви до магазина.
(3) Категориите обработвани данни са следните:
(4) Google Tag Manager не поставя бисквитки за проследяване. Той зарежда инструментите от редовете за аналитични и маркетингови бисквитки след избора Ви в центъра за настройки.
Чл. 13. (1) Администраторът обработва получените от трети лица лични данни само доколкото това е необходимо за конкретната цел и при наличие на приложимо правно основание съгласно GDPR.
Чл. 14. (1) Личните данни се използват единствено за целите, изброени в Чл. 12, ал. 3, и в обема, отбелязан там срещу съответната цел. Ако възникне необходимост от обработване за цел, която не фигурира в таблицата, Администраторът преминава през преценката за съвместимост по Чл. 11 и не започва обработването, преди тя да е приключила. Когато резултатът е отрицателен, обработване се извършва само след ново съгласие или при друго самостоятелно основание.
(2) Администраторът не продава лични данни и не ги предоставя на трети лица за техни собствени търговски цели. Разкриване се допуска само на лицата по Раздел VI, в описания там обем и за посочените там цели, както и на държавен орган, когато нормативен акт задължава Дружеството да го стори.
Чл. 15. (1) Администраторът не събира и не обработва специални категории лични данни по смисъла на чл. 9, параграф 1 от GDPR, както и данни относно присъди и нарушения по чл. 10 от GDPR.
(2) Формулярите и функционалностите на електронния магазин не изискват предоставяне на такива данни и Администраторът не цели събирането на информация, която не е необходима за изпълнение на услугите, обработване на поръчки или изпълнение на законови задължения.
(3) В случай че субектът на данни доброволно предостави информация, която попада в посочените категории, Администраторът няма да я обработва, освен ако това не е необходимо и допустимо съгласно приложимото законодателство.
Чл. 16. (1) Администраторът не извършва автоматизирано вземане на решения, включително профилиране по смисъла на чл. 22 от GDPR, което поражда правни последици за субектите на данни или ги засяга по подобен значим начин.
(2) Използването на рекламни и аналитични инструменти може да включва анализ на аудитории и взаимодействие с електронния магазин с цел оптимизиране на съдържание и реклами, но не се използва за автоматично определяне на цени, условия за покупка или ограничаване на достъпа до стоки.
Чл. 17. (1) Електронният магазин е предназначен за лица, навършили 18 години. Администраторът не събира съзнателно лични данни на лица под 14 години и при установяване на такова обработване предприема необходимите действия за тяхното изтриване.
(2) При регистрация или използване на определени функционалности може да бъде изискано потвърждение за навършена възраст. Администраторът не извършва системна проверка чрез документи за самоличност, освен когато това е необходимо съгласно приложимото законодателство.
Чл. 18. (1) Администраторът събира само лични данни, които са необходими за конкретната цел на обработването, включително за обработване на поръчки, доставка, комуникация с клиенти и изпълнение на законови задължения. Електронният магазин не изисква предоставяне на единен граждански номер, копие от документ за самоличност или данни за платежни карти, освен когато това е необходимо по закон или за конкретна услуга. Поръчки могат да бъдат извършвани и без създаване на потребителски профил.
Чл. 19. (1) За всяка категория лични данни е определен срок за съхранение или ясен критерий за неговото изчисляване. Сроковете са посочени в таблицата по Чл. 20 и текат от момента, отбелязан в нея.
(2) След изтичане на срока данните се изтриват или се анонимизират необратимо. Анонимизираната информация не позволява идентифициране на лице и престава да бъде лични данни, поради което тя не подлежи на достъп по реда на Раздел VIII.
(3) Когато една и съща информация се обработва за няколко цели с различни срокове, съхранението продължава до изтичане на най-дългия от тях. Достъпът за целите на по-краткия срок се прекратява с неговото изтичане.
Чл. 20. Сроковете за съхранение са следните:
Чл. 21. (1) Изтриването на профила прекратява достъпа Ви до магазина и заличава идентификационните и профилните данни.
(2) Част от информацията остава и след изтриване на профила, доколкото Дружеството е длъжно или има право да я запази:
данните по издадени фактури, до изтичане на срока по Закона за счетоводството, тъй като първичен счетоводен документ не може да бъде унищожен преди този момент;
данните по поръчки, до изтичане на общата петгодишна давност, в която може да бъде предявена претенция за несъответствие на стоката или за връщане на платена сума;
записите за съгласие, за да може да бъде доказано, че съгласието е било валидно дадено и че оттеглянето му е изпълнено;
данните по висящ спор, до окончателното приключване на производството и до изтичане на срока за принудително изпълнение.
(3) Данните по ал. 2 не се използват за маркетинг, за анализ на поведение или за възстановяване на профила. Резервните копия, които все още ги съдържат, се презаписват в обичайния цикъл на архивиране. Възстановяване от такова копие се извършва само при отстраняване на последиците от технически инцидент.
(4) Удължаване на срок за съхранение се допуска, когато нормативен акт задължава Дружеството или когато данните са необходими за висящ спор. За удължаването Ви уведомяваме, освен ако уведомяването е забранено със закон.
Чл. 22. (1) Лични данни се разкриват само на получателите по Чл. 23, в обема и за целите, посочени срещу всеки от тях.
(2) Данни се предоставят и на държавен орган, който е отправил искане в рамките на своята компетентност и на нормативно основание. Такива органи са Националната агенция за приходите, Министерството на вътрешните работи, съдът, органите на досъдебното производство, Комисията за защита на потребителите и Комисията за защита на личните данни. Тези органи не се считат за трети страни по смисъла на чл. 4, т. 10 от GDPR, но остават получатели по чл. 4, т. 9.
(3) Всяко искане по ал. 2 се проверява за правно основание и за съответствие между поисканите данни и посочената цел. Данни извън обхвата на искането не се предоставят.
Чл. 23. Получателите на лични данни са следните:
Чл. 24. (1) Преди възлагане Дружеството оценява дали обработващият предоставя достатъчни гаранции за прилагане на подходящи технически и организационни мерки по смисъла на чл. 28, параграф 1 от GDPR. Преценката отчита мястото на съхранение на данните, приложените мерки за сигурност, привличаните подобработващи, наличието на предаване към трета държава и приложимия за него инструмент. Резултатът се документира и се преразглежда при промяна в услугата или при смяна на подобработващ.
(2) С всеки обработващ е сключен договор по чл. 28, параграф 3 от GDPR. Договорът определя предмета, срока, естеството и целта на обработването, вида лични данни, категориите субекти и задълженията на страните. Договорът може да бъде сключен и чрез приемане на публикувани от доставчика стандартни условия за обработване на данни, когато те съдържат пълния обем на изискванията по чл. 28, параграф 3 от GDPR.
(3) Обработващият действа само по документирано указание на Администратора и не използва данните за собствени цели. Той осигурява поверителност от страна на своя персонал, прилага мерките по чл. 32 от GDPR и съдейства при упражняване на правата Ви. След приключване на услугата данните се изтриват или се връщат, освен когато правото на ЕС или българското право изисква запазването им.
(4) Подобработващ се привлича при спазване на реда, предвиден в договора с обработващия. Когато е дадено общо писмено разрешение по чл. 28, параграф 2 от GDPR, обработващият уведомява Дружеството за всяка планирана промяна в кръга на подобработващите и Дружеството може да възрази срещу нея в предвидения срок.
(5) Google Ireland Limited обработва данните, събирани чрез Google Analytics 4, в качеството на обработващ по реда на този член и съгласно Чл. 26, ал. 7. Договорът е сключен чрез приемане на публикуваните от доставчика условия за обработване на данни. Актуалният списък на подобработващите се поддържа от доставчика и е публично достъпен.
Чл. 25. (1) Качеството, в което действа куриерът, се променя в хода на доставката, а с него и лицето, отговорно за обработването.
(2) Докато изпълнява указанието да достави пратката до посочения адрес, „Еконт Експрес“ АД действа като обработващ. В тази фаза данните за получателя се използват единствено с оглед изпълнението на поръчката.
(3) От предаването на пратката, а при неуспешна доставка от нейното връщане, куриерът обработва данните за собствени цели, произтичащи от неговата дейност. Тези цели включват воденето на регистри по Закона за пощенските услуги, разрешаването на спорове по превоза и собствената му счетоводна отчетност. В тази фаза той е самостоятелен администратор по смисъла на чл. 4, т. 7 от GDPR и отговаря за обработването по своята политика за поверителност. Администраторът няма достъп до данните, генерирани от куриера в това качество.
Чл. 26. (1) Обработването чрез аналитичните и рекламните инструменти преминава през две фази с различен режим на отговорност. Първата обхваща събирането на данни във Вашето устройство и предаването им към доставчика. Втората обхваща последващото обработване, което доставчикът извършва в собствената си инфраструктура. Качеството, в което действат Дружеството и доставчикът, се определя поотделно за всяка фаза и за всеки отделен инструмент.
(2) По отношение на Meta Pixel Дружеството и Meta Platforms Ireland Limited са съвместни администратори по смисъла на чл. 26 от GDPR. Съвместното администриране обхваща единствено събирането на данни чрез пиксела във Вашето устройство и предаването им към Meta Platforms Ireland Limited. Целите на това събиране и предаване са измерване на резултата от рекламите, изграждане на аудитории и повторно достигане до посетители на магазина.
(3) Разпределението на отговорностите произтича от Controller Addendum към Условията за ползване на Meta Business Tools. Съществената част от договореността, предоставена Ви на основание чл. 26, параграф 2 от GDPR, е следната:
Всички останали задължения по GDPR във връзка със съвместното обработване остават за всяка от страните поотделно.
(4) Независимо от разпределението по ал. 3 можете да упражните правата си срещу всеки от съвместните администратори, както предвижда чл. 26, параграф 3 от GDPR. Точка за контакт от страна на Дружеството са данните по Чл. 1, ал. 1. Искане, отправено до Дружеството, се разглежда по реда на Чл. 40 и се препраща към Meta Platforms Ireland Limited в частта, за която отговаря то, като за препращането Ви уведомяваме. Пълният текст на договореността е публикуван от доставчика и е достъпен на адрес facebook.com/legal/controller_addendum.
(5) Последващото обработване, което Meta Platforms Ireland Limited извършва след получаване на данните, включително за профилиране на потребителите на своите платформи и за подобряване на собствените си услуги, не е част от съвместното обработване. За него дружеството действа като самостоятелен администратор и отговаря по своята политика за поверителност. Дружеството няма достъп до тези данни и не участва в определянето на целите и средствата им.
(6) По отношение на Google Ads Дружеството и Google Ireland Limited определят съвместно целите и средствата на събирането на данни чрез поставения на уебсайта маркер и на предаването им към доставчика, поради което за тази фаза са налице предпоставките на чл. 26, параграф 1 от GDPR. Google Ireland Limited предоставя условия за защита на данните между администратори и не сключва отделна договореност по чл. 26, параграф 2 от GDPR. По тази причина Дружеството поема изцяло отговорността за правното основание на събирането и предаването, за предварителното Ви информиране, за блокирането на маркера до получаване на съгласие и за приемането и препращането на Вашите искания. За обработването, което извършва след получаване на данните, включително за измерване на реклами и оптимизиране на кампании за собствени цели, Google Ireland Limited действа като самостоятелен администратор.
(7) По отношение на Google Analytics 4 Google Ireland Limited действа като обработващ лични данни по указание на Дружеството съгласно приложимите условия за обработване на данни. За този инструмент се прилага режимът по Чл. 24, а доставчикът е посочен в качеството на обработващ в таблицата по Чл. 23.
(8) Всички инструменти по този член се зареждат само след дадено съгласие за съответната категория бисквитки по реда на Чл. 48. До извършването на избор данни не се събират и не се предават. При отказ или при оттегляне на съгласието инструментът не се зарежда, а вече установената връзка се прекратява незабавно.
(9) За всяко събиране и предаване по този член Дружеството може да докаже наличието на предварително съгласие чрез записите по Чл. 48, ал. 3.
Чл. 27. (1) Основната част от обработването се извършва на територията на Европейския съюз. Данните в базата на магазина се съхраняват на сървъри в {ДЪРЖАВА НА СЪРВЪРИТЕ}, а доставката се изпълнява от куриер със седалище в Република България.
(2) Предаване към трета държава е налице при инструментите по Чл. 26. Веригата е различна за всеки от тях:
Google Analytics 4. Дружеството предоставя данните на Google Ireland Limited в качеството на обработващ със седалище в Европейския съюз. Предаването към Съединените американски щати се извършва от обработващия към свързано с него дружество в качеството на подобработващ. Износител в тази верига е Google Ireland Limited, а Дружеството отговаря за проверката по Чл. 24, ал. 1 дали приложеният инструмент осигурява подходящо ниво на защита;
Google Ads. Данните се събират в устройството Ви и се предават на Google Ireland Limited, което действа като администратор. Когато техническото предаване се осъществява директно към инфраструктура извън Европейското икономическо пространство, износител е Дружеството. Когато предаването към свързани дружества в Съединените американски щати се извършва след получаването на данните от ирландското дружество, износител е то;
Meta Pixel. Данните се събират в устройството Ви в рамките на съвместното обработване по Чл. 26, ал. 2 и се предават на Meta Platforms Ireland Limited. Последващото предаване към Meta Platforms, Inc. в Съединените американски щати се извършва от ирландското дружество в качеството на износител и е част от собственото му обработване по Чл. 26, ал. 5.
(3) Във всички случаи по ал. 2 предаване се извършва само след дадено съгласие за съответната категория бисквитки. При отказ инструментът не се зарежда и данни не напускат Вашето устройство.
Чл. 28. (1) Предаването към Съединените американски щати се извършва на основание чл. 45 от GDPR. Приложимо е Решение за изпълнение (ЕС) 2023/1795 на Европейската комисия от 10 юли 2023 г. относно адекватното ниво на защита, осигурявано от Рамката за защита на личните данни между ЕС и САЩ. Google LLC и Meta Platforms, Inc. участват в Рамката, а актуалният статус на всяко дружество е публично достъпен в регистъра на адрес dataprivacyframework.gov.
(2) Като резервен механизъм се прилагат стандартните договорни клаузи по Решение за изпълнение (ЕС) 2021/914 на Комисията от 4 юни 2021 г. Клаузите са инкорпорирани в условията за ползване на всеки доставчик и се прилагат автоматично при приемането им. Дружеството приема клаузите в качеството на износител на данни само доколкото предаването се извършва пряко от него. В останалите случаи износител е ирландското дружество, а Дружеството проверява приложения от него инструмент.
(3) Предаването е съпроводено с допълнителни мерки, чийто обхват следва от извършената оценка на въздействието на предаването. Обменът се осъществява по криптиран канал, IP адресът се съкращава преди по-нататъшно обработване, а идентификаторите в бисквитките са псевдонимизирани. Доставчикът е поел задължение да уведоми Администратора при искане за достъп от орган на трета държава, доколкото правото му позволява това. За държави, за които не е налице решение за адекватност и рискът от правителствен достъп не може да бъде смекчен, Дружеството не използва доставчик.
(4) Копие от приложимите стандартни договорни клаузи и допълнителна информация за предаването можете да получите на контактите по Чл. 1, ал. 1. Копието се предоставя в обем, който не разкрива търговска тайна на доставчика. Предаване на основание чл. 49 от GDPR, включително въз основа на изрично съгласие за конкретно предаване, не се извършва.
Чл. 29. (1) По отношение на личните данни, които се обработват за Вас, разполагате с правата по този раздел. Упражняването им е безплатно.
(2) Никое от правата не е абсолютно. Ограниченията са посочени при съответното право, а общите изключения произтичат от чл. 23 от GDPR и от глава осма на Закона за защита на личните данни.
(3) При явно неоснователно или прекомерно искане, включително поради неговата повторяемост, Дружеството може да откаже да предприеме действия или да събере разумна такса за административните разходи. Тежестта да докаже този характер на искането е негова.
Право на достъп
Чл. 30. (1) Имате право да получите потвърждение дали се обработват Ваши лични данни. Когато това е така, получавате достъп до самите данни. Наред с копието се предоставя информация за целите, категориите данни, получателите, срока за съхранение, произхода на данните и наличието на автоматизирано вземане на решения.
(2) Копие от обработваните данни се предоставя в електронна форма на посочен от Вас адрес на електронна поща, освен ако поискате друг формат. По такова искане може да получите например историята на своите поръчки и кореспонденцията по тях. Когато преписката съдържа данни и за трето лице, копието се предоставя със заличени части, отнасящи се до него.
Право на коригиране
Чл. 31. Имате право да поискате коригиране на неточни данни и попълване на непълни данни, включително чрез декларация. Идентификационните и профилните данни, сред които сгрешен телефон или адрес за доставка, можете да коригирате самостоятелно през опцията за редакция на профила. За данните по приключила поръчка или по издаден счетоводен документ коригирането се извършва от Администратора при спазване на изискванията на Закона за счетоводството. Извършеното коригиране се съобщава по реда на Чл. 35.
Право на изтриване
Чл. 32. (1) Имате право да поискате изтриване на свързаните с Вас данни, когато е налице някое от следните обстоятелства:
данните вече не са необходими за целите, за които са били събрани;
оттеглили сте съгласието си и не съществува друго правно основание за обработването;
възразили сте по реда на Чл. 36 и не са налице законни основания, които да имат преимущество;
данните са били обработвани неправомерно;
изтриването е необходимо за спазване на правно задължение на Дружеството;
данните са събрани във връзка с предлагането на услуги на информационното общество на дете.
(2) Задължението за изтриване отпада, доколкото обработването е необходимо за спазване на правно задължение, за установяване, упражняване или защита на правни претенции или за целите на архивиране и статистика при условията на чл. 17, параграф 3 от GDPR. Данните по Чл. 21, ал. 2 се запазват за посочените там срокове.
(3) Когато поръчка е в процес на изпълнение, изтриването може да бъде извършено най-рано след нейното приключване и след изтичане на срока за упражняване на правото на отказ. Останалите данни се изтриват без ненужно забавяне и не по-късно от срока по Чл. 40. Извършеното изтриване се съобщава по реда на Чл. 35.
Право на ограничаване на обработването
Чл. 33. (1) Имате право да поискате обработването да бъде ограничено, когато оспорвате точността на данните, когато обработването е неправомерно, но не желаете изтриване, когато Дружеството вече не се нуждае от данните, но те са Ви необходими за правна претенция, или когато сте възразили и се проверява дали основанията на Администратора имат преимущество. Такова ограничение действа например докато трае проверката по оспорена доставка.
(2) Ограничените данни се съхраняват, но не се обработват по друг начин без Вашето съгласие, освен за установяване, упражняване или защита на правни претенции, за защита на правата на друго лице или по важни съображения от обществен интерес. Ограничението остава в сила до отпадане на основанието, поради което е наложено. Преди неговата отмяна Ви уведомяваме и посочваме причината за нея.
Право на преносимост
Чл. 34. (1) Когато обработването се основава на Вашето съгласие или на договор и се извършва по автоматизиран начин, имате право да получите предоставените от Вас данни в структуриран, широко използван и пригоден за машинно четене формат. Форматът на предоставяне е JSON. По Ваше искане данните се предоставят в CSV или XML.
(2) Данните могат да бъдат прехвърлени пряко към друг администратор, когато това е технически осъществимо. Осъществимостта зависи от наличието на съвместим интерфейс у приемащия администратор, като Дружеството не е длъжно да изгражда такъв интерфейс.
(3) Правото обхваща само данните, които сте предоставили Вие. То не се отнася до данни, изведени или заключени от Дружеството, нито до данни, обработвани на основание законово задължение или легитимен интерес.
Уведомяване на получателите
Чл. 35. Всяко извършено коригиране, изтриване или ограничаване на обработването се съобщава на получателите по Чл. 23, освен когато това е невъзможно или изисква несъразмерни усилия. По Ваше искане Дружеството Ви информира и за самите получатели, на които данните са били разкрити.
Право на възражение
Чл. 36. (1) Срещу обработване за целите на директния маркетинг, включително срещу свързаното с него профилиране, можете да възразите по всяко време и без да посочвате мотиви. Обработването се преустановява незабавно след получаване на възражението, без насрещни интереси да бъдат претегляни. Изпращането на бюлетина спира от същия момент.
(2) Срещу обработване на основание чл. 6, параграф 1, буква „е“ от GDPR можете да възразите на основания, свързани с Вашата конкретна ситуация. Обработването се преустановява, освен ако е налице убедително законно основание с преимущество пред Вашите интереси, права и свободи, или когато данните са необходими за установяване, упражняване или защита на правни претенции. До приключване на проверката обработването се ограничава по реда на Чл. 33.
(3) Възражението се подава на електронната поща по Чл. 1, ал. 1 или чрез формуляра по Приложение № 5. Резултатът се съобщава в срока по Чл. 40. При уважено възражение обработването за съответната цел се прекратява, а данните се изтриват, когато не е налице друго основание за запазването им.
(4) При отхвърляне посочваме конкретните основания, поради които обработването продължава, както и правото Ви на жалба и на съдебна защита. Можете да възразите повторно, ако обстоятелствата, свързани с Вашата ситуация, се променят.
Право на оттегляне на съгласие
Чл. 37. (1) Когато обработването се основава на съгласие, имате право да го оттеглите по всяко време, по същия начин и със същия брой стъпки, по които съгласието е било дадено:
бюлетин, чрез връзката за отписване в края на всяко съобщение, без вход в профила и без потвърждение по електронна поща;
бисквитки, чрез центъра за настройки, достъпен от долната част на всяка страница;
незадължителни профилни данни, чрез изтриване на съответното поле в профила.
(2) Оттегляне може да бъде извършено и с писмено искане до Администратора или чрез формуляра по Приложение № 1. Мотиви не се изискват, условия не се поставят и достъпът Ви до магазина не се ограничава.
(3) Оттеглянето не засяга законосъобразността на обработването, извършено преди него. Неговият обхват и момент се записват по реда на Чл. 48, ал. 3, за да може изпълнението да бъде доказано.
Автоматизирано вземане на решения
Чл. 38. Дружеството не извършва автоматизирано вземане на решения, включително профилиране по смисъла на чл. 22 от GDPR, което поражда правни последици за Вас или Ви засяга по подобен значим начин. Обхватът на това правило и използваните аналитични и рекламни инструменти са описани в Чл. 16. Ако такова обработване бъде въведено, ще получите предварителна информация за него, както и възможност да поискате човешка намеса, да изразите становище и да оспорите решението.
Право на жалба и на съдебна защита
Чл. 39. (1) Когато считате, че обработването нарушава GDPR, имате право да подадете жалба до Комисията за защита на личните данни на контактите по Чл. 3. Жалба може да бъде подадена в държавата членка на обичайното Ви местопребиваване, по месторабота или по мястото на предполагаемото нарушение.
(2) Подаването на жалба не Ви лишава от правото да потърсите защита по съдебен ред, нито от правото на обезщетение за претърпени вреди по чл. 82 от GDPR. Можете да се обърнете и към Администратора, без това да е условие за сезиране на Комисията.
Ред за упражняване на правата
Чл. 40. (1) Искане се отправя на електронната поща по Чл. 1, ал. 1, на адреса за кореспонденция или чрез формулярите в Приложения № 1 до № 5. Формулярите улесняват обработката, но не са задължителни. Разглежда се всяко искане, което съдържа изявление за упражняване на право и позволява да бъдете идентифицирани.
(2) Отговор се предоставя без ненужно забавяне и не по-късно от един месец от получаване на искането. Срокът може да бъде удължен с още два месеца, когато искането е сложно или когато са постъпили няколко искания, като за удължаването и за причините за него Ви уведомяваме в рамките на първия месец. Когато не предприемем действия по искането, причините се съобщават в едномесечен срок. В същия отговор посочваме възможността за жалба до КЗЛД и за съдебна защита.
(3) При основателни съмнения относно самоличността на подателя може да бъде поискана допълнителна информация за нейното потвърждаване, като срокът по ал. 2 спира до получаване на отговор. Проверката е съразмерна на риска. За искане, подадено от електронната поща, регистрирана в профила, потвърждението по този адрес е достатъчно и копие от документ за самоличност не се изисква. Оттеглянето на съгласие по Чл. 37 не подлежи на такава проверка.
(4) Когато искането се отнася до обработване по Чл. 26, можете да го отправите както до Дружеството, така и до съответния доставчик, съгласно чл. 26, параграф 3 от GDPR. Дружеството приема всяко такова искане, отговаря в частта, за която носи отговорност съгласно разпределението по Чл. 26, ал. 3, и препраща останалата част към съответния доставчик, като Ви уведомява за препращането и за данните за контакт с него. Срокът по ал. 2 тече за частта, по която отговаря Дружеството. Препращането не Ви лишава от възможността да се обърнете пряко към доставчика.
Чл. 41. (1) Администраторът прилага технически и организационни мерки, съобразени с новостите в областта, с разходите за прилагане, с естеството и обхвата на обработването и с рисковете за правата и свободите на физическите лица. Нивото на защита е съразмерно на риска, а не еднакво за всички категории данни. Достъпът до счетоводни данни се урежда с по-строг режим от достъпа до статистика за посещаемостта.
(2) Дружеството не може да гарантира защита от атаки, насочени към оборудването, мрежата или браузъра на потребителя, нито от разкриване на данни вследствие на компрометирана парола, която Вие сте предоставили на трето лице. Отговорността за опазване на данните за достъп до профила е Ваша, а Дружеството препоръчва използването на уникална и достатъчно сложна парола.
(3) Мерките се преразглеждат при промяна във функционалността на магазина, при смяна на обработващ и най-малко веднъж годишно.
Чл. 42. Техническите мерки за защита са следните:
криптиране при пренос. Обменът между браузъра и уебсайта се извършва по протокол TLS в актуална поддържана версия. Остарелите протоколи SSL 3.0, TLS 1.0 и TLS 1.1 са изключени на ниво сървър;
защита на данните за достъп. Паролите не се съхраняват в четим вид. Записва се криптографски хеш, получен чрез еднопосочна функция с индивидуална сол, поради което възстановяване на първоначалната парола от базата данни не е възможно и служителите на Дружеството не разполагат с нея;
контрол на достъпа. Достъпът до административния панел изисква многофакторна автентикация. Правата се предоставят по роля съгласно Чл. 43 т. 1 и се ограничават до минимума, необходим за изпълнението на конкретните задължения;
защита на инфраструктурата. Уебсайтът е разположен зад защитна стена за уеб приложения. Прилагат се ограничения на броя заявки от един източник и механизми за откриване на автоматизирани опити за вход;
актуализация на компонентите. Софтуерните компоненти на магазина и на сървърната среда се обновяват след публикуване на корекции за сигурност, като корекциите с критична тежест се внедряват приоритетно;
резервни копия. Дружеството прилага политика за периодично архивиране на базата данни. Копията се съхраняват криптирани и се верифицират периодично за целостта и възстановимостта им;
регистриране на достъпа. Действията в административния панел се записват в технически регистър, който позволява да се установи кой служител е осъществил достъп до определени данни и в кой момент.
Чл. 43. Организационните мерки за защита са следните:
вътрешна политика за информационна сигурност, която урежда предоставянето и отнемането на достъп, работата с носители на информация и поведението при съмнение за инцидент;
задължение за поверителност. Всеки служител с достъп до лични данни е обвързан с изрична клауза за поверителност, чието действие не се прекратява с трудовото правоотношение;
обучение. Служителите преминават въвеждащо обучение по защита на личните данни преди предоставяне на достъп, а служителите с достъп до счетоводни и клиентски данни преминават и периодично опреснително обучение;
проверка на обработващите. Преди възлагане Дружеството оценява гаранциите на обработващия по реда на Чл. 24 ал.1, а договорът съдържа задълженията по Чл. 24 ал. 2;
процедура при инцидент, която определя лицето, отговорно за оценката на риска, реда за уведомяване и документирането на случая;
периодичен преглед. Веднъж годишно Дружеството преглежда предоставените права за достъп, изтрива данните с изтекъл срок по Чл. 20 и оценява дали прилаганите мерки съответстват на актуалния риск.
Чл. 44. (1) Дружеството е преценило, че извършваните операции не изискват оценка на въздействието по чл. 35 от GDPR. Преценката обхваща три отделни проверки:
хипотезите на чл. 35, параграф 3. Не се извършва системна и мащабна оценка на лични аспекти въз основа на автоматизирано обработване, върху която да се основават решения с правни или сходно значими последици. Не се обработват мащабно специални категории данни по чл. 9 или данни по чл. 10 от GDPR. Не се извършва систематично мащабно наблюдение на публично достъпна зона;
критериите по Насоки WP248 на Работната група по чл. 29, одобрени от Европейския комитет по защита на данните. Приложими към дейността на магазина са най-много два критерия, а именно проследяването на поведението в уебсайта и обработването на данни на голям брой субекти. Не са налице оценяване или точкуване, автоматизирано вземане на решения с правни последици, обработване на данни на уязвими субекти, съпоставяне или комбиниране на набори от данни от различни източници, иновативно използване на технологични решения, нито обработване, което възпрепятства упражняването на право или ползването на услуга. Дружеството отчита, че наличието на два критерия обосновава задълбочен преглед, но не и презумпция за висок риск;
списъка на видовете операции, за които се изисква оценка на въздействието, приет от Комисията за защита на личните данни по реда на чл. 35, параграф 4 от GDPR. Нито една от извършваните операции не попада в него.
(2) Съвместното администриране по Чл. 26 не променя извода по ал. 1, но обосновава допълнителна проверка. Обхватът на съвместното обработване е ограничен до събирането и предаването, инструментите се зареждат единствено след съгласие по реда на Чл. 48, събираните идентификатори са псевдонимизирани и Дружеството не получава обратно профилите, изградени от доставчика. Дружеството отчита, че квалификацията на операторите на уебсайтове като съвместни администратори при проследяващи инструменти е предмет на развиваща се практика на съдилищата в държави членки, поради което преценката по този член подлежи на преразглеждане при всяко ново произнасяне, което променя тази практика.
(3) Инструментите за статистика и за измерване на реклами по Чл. 26 обработват данни за поведението в уебсайта. Тъй като те се зареждат само след съгласие, обхватът им е ограничен до дадените съгласия, а събираните данни са псевдонимизирани, Дружеството приема, че остатъчният риск не достига прага на висок риск по чл. 35, параграф 1.
(4) Преценката по ал. 1-3 се документира и се преразглежда при въвеждане на нов инструмент, при разширяване на обхвата на съществуващ инструмент или при промяна в насоките на надзорния орган. Ако прегледът установи висок риск, Дружеството извършва оценка на въздействието преди началото на съответното обработване.
Чл. 45. (1) Нарушение на сигурността е налице при всяко събитие, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, независимо дали е причинено от външно лице, от служител или от техническа неизправност.
(2) След установяване на нарушение Дружеството незабавно ограничава последиците му, документира събитието и оценява риска за правата и свободите на засегнатите лица. Оценката отчита вида на нарушението, естеството и обема на данните, лекотата на идентифициране на лицата, тежестта на възможните последици и броя на засегнатите.
(3) Всяко нарушение се вписва във вътрешен регистър заедно с фактите около него, последиците и предприетите действия. Регистърът се води независимо от това дали е възникнало задължение за уведомяване и се предоставя на КЗЛД при поискване, за да се докаже спазването на чл. 33, параграф 5 от GDPR.
Чл. 46. (1) Администраторът уведомява Комисията за защита на личните данни за нарушението без ненужно забавяне и не по-късно от 72 часа след като е узнал за него. Задължението отпада само когато е малко вероятно нарушението да породи риск за правата и свободите на физическите лица.
(2) При уведомяване след изтичане на срока по ал. 1 Дружеството посочва причините за забавянето. Когато цялата информация не може да бъде предоставена наведнъж, тя се подава на етапи без по-нататъшно ненужно забавяне.
Чл. 47. (1) При посещение на уебсайта в браузъра Ви се съхранява информация чрез бисквитки и сходни технологии. Част от нея съдържа онлайн идентификатори, които се отнасят до Вас и представляват лични данни по смисъла на Чл. 4, ал. 1, т. 1.
(2) Разглеждането на уебсайта, скролването или затварянето на банера не се приемат за съгласие. Съгласие се дава чрез ясно потвърждаващо действие в центъра за настройки, а до момента на този избор опционалните бисквитки не се зареждат. Отказът от тях не ограничава достъпа Ви до магазина, разглеждането на стоки и извършването на поръчка, като цената и условията остават същите.
Чл. 48. (1) Изборът се извършва за всяка категория отделно, като съгласието за едната категория не обхваща другата и общото приемане не е предварително маркирано.
(2) Настройките на бисквитките са достъпни по всяко време от долната част на всяка страница. Чрез тях можете да промените избора си или да го оттеглите изцяло, като промяната поражда действие незабавно и води до преустановяване на зареждането на съответните инструменти.
(3) За всяко дадено и оттеглено съгласие се съхранява запис, който съдържа идентификатор на съгласието, дата и час на действието, обхвата на избора по категории и версията на показания текст. Записът не съдържа Вашето име и не се свързва с профила Ви, освен когато съгласието е дадено при вход в него, служи единствено за доказване на спазването на чл. 7, параграф 1 от GDPR и не се използва за анализ на поведение, за сегментиране или за маркетинг.
Чл. 49. (1) Подробното описание на всяка използвана бисквитка, включително нейното наименование, доставчик, цел и срок на живот, се съдържа в Политиката за бисквитки, публикувана на уебсайта. При различие между двата документа относно правното основание за обработване се прилага настоящата политика, а обхватът и техническите характеристики на конкретната бисквитка се определят от Политиката за бисквитки.
(2) Бисквитките могат да бъдат изтрити и през настройките на браузъра Ви. Изтриването премахва вече поставените файлове, но не заменя оттеглянето на съгласието през центъра за настройки, тъй като при следващо посещение изборът Ви остава непроменен.
Чл. 50. (1) Информация за обработването се предоставя и в момента на събиране на данните, а не само чрез настоящия документ. Такива уведомления се показват при регистрация на профил, при завършване на поръчка, при абониране за бюлетин и при изпращане на запитване през формуляра за контакт, като посочват накратко целта, основанието и срока за съхранение и препращат към съответния раздел от политиката, без да съдържат условия, различни от изложените в нея.
(2) Настоящата политика е достъпна на видно място на уебсайта, без да е необходимо създаване на профил или приемане на бисквитки.
Чл. 51. (1) Администраторът изменя настоящата политика при промяна в дейността, при въвеждане на нов инструмент или обработващ, при промяна в нормативната уредба и при указания на надзорния орган.
(2) Всяка версия носи номер и дата на влизане в сила. Предходните версии се архивират и се предоставят при поискване на контактите по Чл. 1, ал. 1.
(3) За съществено изменение се уведомява предварително. Съществено е изменението, което засяга целите на обработването, правните основания, кръга на получателите, предаването към трети държави или сроковете за съхранение. Уведомяването се извършва чрез съобщение на уебсайта, а за регистрираните потребители и чрез съобщение на посочената от тях електронна поща, най-малко 14 дни преди новата редакция да породи действие.
(4) Изменението не разширява обхвата на вече дадено съгласие. Когато промяната налага обработване за нова цел на основание съгласие, Дружеството изисква ново съгласие по реда на Чл. 9.
Чл. 52. (1) Недействителността на отделна разпоредба не влече недействителност на политиката като цяло.
(2) На мястото на недействителната разпоредба се прилага повелителната норма на закона или установената практика на надзорния орган, а Дружеството отстранява несъответствието при първото следващо изменение.
Чл. 53. (1) Настоящата политика е приета от управителя на „Васпрод“ ЕООД и влиза в сила на 01.08.2026 г. От същия момент се отменя предходната политика за поверителност.
(2) Формулярите, приложени към документа, са неразделна част от него:
Приложение № 1. Искане за оттегляне на съгласие;
Приложение № 2. Искане за изтриване на лични данни;
Приложение № 3. Искане за преносимост на данни;
Приложение № 4. Искане за достъп, коригиране или ограничаване на обработването;
Приложение № 5. Възражение срещу обработване на лични данни.
(3) Използването на формулярите не е задължително. Всяко искане, отправено в свободна форма, което съдържа изявление за упражняване на право и позволява да бъдете идентифицирани, се разглежда по реда на Чл. 40 ал.1.
(4) Настоящата политика е съставена на български език. При превод на друг език меродавен остава българският текст.