Политика за личните данни

1. Кой е администраторът на лични данни

Администратор на личните данни е [COMPANY_NAME], ЕИК [EIK], със седалище и адрес на управление [REGISTERED_ADDRESS]. Администраторът определя целите и средствата за обработка на лични данни, събирани чрез peptides-ep.com, и носи отговорност за спазване на изискванията на GDPR.

За въпроси относно обработката на лични данни можете да се свържете с нас на електронна поща [CONTACT_EMAIL]. Когато е определено длъжностно лице по защита на данните (DPO), неговите контакти са: [DPO_CONTACT].

2. Категории лични данни

Обработваните категории лични данни се структурират според вида на взаимодействие на субекта със сайта:

2.1. Данни при регистрация и управление на профил

• Имена (име и фамилия)
• Електронна поща
• Парола (съхранява се в хеширан вид)
• Дата на регистрация
• Език и валута на интерфейса

2.2. Данни при оформяне на поръчка

• Имена за фактуриране и доставка
• Адрес за фактуриране
• Адрес за доставка
• Телефон за контакт
• ЕИК и ДДС номер (за юридически лица)
• Съдържание на поръчката (продукти, количества, единични цени)
• История на поръчките

2.3. Платежни данни

Пълните данни на платежни карти (PAN, CVV) се обработват директно от лицензиран доставчик на платежни услуги в съответствие с PCI DSS стандартите и не се съхраняват от Администратора. Администраторът съхранява само минималния обем информация, необходим за връзка между поръчката и платежния запис: уникален идентификатор на транзакцията, метод на плащане, дата и статус.

2.4. Технически данни

• IP адрес
• Информация за браузъра (тип, версия, езикови настройки)
• Операционна система и устройство
• Дата и час на достъп
• Посетени страници и продължителност на сесията
• Източник на трафика (referrer)
• Идентификатори на бисквитки

2.5. Маркетингови данни

• Електронна поща за newsletter (при изрично съгласие)
• Поведенчески сегментации (изпратени и отворени съобщения, кликнати връзки)
• Предпочитания за получаване на маркетингова комуникация

2.6. Комуникационни данни

• Съдържание на запитвания през формите за контакт
• Кореспонденция по електронна поща
• Съдържание на рекламации

3. Източници на данните

Всички лични данни се получават директно от субекта на данните чрез доброволно предоставяне при регистрация, оформяне на поръчка, изпращане на запитване или абонамент за newsletter. Технически данни се събират автоматично чрез бисквитки и сървърни логове при посещение на сайта. Администраторът не получава лични данни от трети източници (брокери на данни, публични списъци) без изрично съгласие на субекта.

4. Цели и правни основания по категории

5. Сроковете на съхранение

Личните данни се съхраняват само за периода, необходим за постигане на целите на обработка или за изпълнение на законови задължения:

• Данни за поръчки и фактури: 10 години след приключване на финансовата година (чл. 12 от Закона за счетоводството)
• Данни за активен профил: до закриване от потребителя или 3 години след последна активност
• Маркетингова кореспонденция: до оттегляне на съгласието или 3 години неактивност
• Кореспонденция и рекламации: 3 години след приключване на казуса
• Технически логове: до 12 месеца
• Бисквитки: според категорията и срока на годност, подробности в Политиката за бисквитките

След изтичане на съответните срокове личните данни се изтриват или необратимо анонимизират.

6. Получатели на личните данни

Личните данни могат да бъдат прехвърляни към следните категории получатели, всеки от които действа като обработващ данни (data processor) по договор с Администратора:

• Куриерски партньори: за организиране на доставка (имена, адрес, телефон)
• Платежни доставчици: за обработка на плащания (платежни данни)
• Счетоводни и одиторски услуги: за поддръжка на счетоводна отчетност (данни за фактуриране)
• Хостинг и IT доставчици: за поддръжка на инфраструктурата (всички данни, под защита на договора)
• Доставчици на e-mail маркетинг: при съгласие за newsletter (имена, e-mail)
• Аналитични платформи: при съгласие за аналитични cookies (технически и поведенчески данни)
• Държавни органи: при законово задължение (НАП, КЗЛД, съдебни и правоохранителни органи)

Списък на конкретните обработващи данни може да бъде предоставен при изрично писмено искане до [CONTACT_EMAIL].

7. Прехвърляне към трети държави

Като принцип Администраторът обработва личните данни в рамките на Европейския съюз и Европейското икономическо пространство. В случаите, когато се налага прехвърляне към трети държави извън ЕИП (например при използване на хостинг услуги или маркетингови платформи, чиито сървъри са в трети държави), Администраторът прилага съответните мерки за защита съгласно глава V на GDPR:

• Решения за адекватно ниво на защита от Европейската комисия
• Стандартни договорни клаузи (SCCs), одобрени от Европейската комисия
• Свързващи корпоративни правила (BCRs)
• Други подходящи мерки за гарантиране на еквивалентно ниво на защита

8. Профилиране и автоматизирано взимане на решения

Администраторът не извършва автоматизирано взимане на решения, които пораждат правни последици за субекта или го засягат значително по подобен начин по смисъла на чл. 22 от GDPR. Поведенческо профилиране за маркетингови цели се извършва само при изрично съгласие и не води до автоматизирани решения, които да поставят субекта в по-неблагоприятно положение.

9. Технически и организационни мерки за сигурност

Администраторът прилага следните мерки за защита на личните данни срещу неоторизиран достъп, изменение, разкриване или унищожаване:

• SSL/TLS криптиране на връзката между браузъра на потребителя и сървъра
• Защитена парола в хеширан вид (bcrypt или подобен алгоритъм)
• Ограничен достъп до данните на принципа „need to know“
• Двуфакторна автентикация за административен достъп
• Редовни архиви и тестване на резервните процедури
• Защита на сървърите чрез защитни стени и системи за откриване на нарушения
• Редовни актуализации на софтуера и проверки за уязвимости
• Поверителност от страна на персонала с достъп до данните (договорни клаузи)
• План за реагиране при пробив в сигурността и уведомяване на КЗЛД в 72-часов срок

10. Права на субекта на данни

В съответствие с глава III на GDPR разполагате със следните права:

10.1. Право на прозрачност и информация (чл. 12-14)

Право да получите ясна и достъпна информация за обработката на личните ви данни, която е предоставена в настоящия документ и в Политиката за поверителност.

10.2. Право на достъп (чл. 15)

Право да получите потвърждение дали се обработват ваши лични данни и при положителен отговор копие на тези данни заедно с допълнителна информация за целите, категориите, получателите и сроковете.

10.3. Право на коригиране (чл. 16)

Право да поискате коригиране на неточни лични данни или допълване на непълни данни.

10.4. Право на изтриване (чл. 17)

Право да поискате изтриване на личните ви данни при определени обстоятелства, включително когато: данните вече не са необходими за първоначалните цели, оттеглили сте съгласието, възразили сте срещу обработката, обработката е незаконна.

10.5. Право на ограничаване на обработката (чл. 18)

Право да поискате временно ограничаване на обработката при оспорване на точността или при основание за изтриване, което все още не е разгледано.

10.6. Право на преносимост (чл. 20)

Право да получите личните си данни в структуриран, широко използван и машинно четим формат, и да поискате прехвърлянето им към друг администратор.

10.7. Право на възражение (чл. 21)

Право да възразите срещу обработка, основана на легитимен интерес или директен маркетинг. При възражение срещу директен маркетинг обработката се прекратява веднага.

10.8. Право на оттегляне на съгласие (чл. 7, ал. 3)

Когато обработката се основава на съгласие, имате право да го оттеглите по всяко време. Оттеглянето не засяга законосъобразността на обработката, извършена преди това.

10.9. Право на жалба до надзорен орган (чл. 77)

Право да подадете жалба до Комисията за защита на личните данни (КЗЛД) или друг компетентен надзорен орган.

11. Процедура за упражняване на права

За упражняване на правата си можете да се свържете с Администратора по следните начини:

• Електронна поща: [CONTACT_EMAIL]
• Адрес за кореспонденция: [CORRESPONDENCE_ADDRESS]
• Форма за контакт: /kontakti/

В искането следва да посочите: вашите имена, e-mail или адрес, конкретното право, което желаете да упражните, и описание на искането. Администраторът може да поиска допълнителна информация за установяване на самоличността ви, преди да изпълни искането.

Администраторът ще отговори на вашето искане в срок до 30 дни от получаването. При сложни искания срокът може да бъде продължен с до 60 дни, за което ще бъдете уведомени.

Упражняването на правата ви е безплатно. При очевидно неоснователни или прекомерни искания Администраторът може да поиска разумна такса или да откаже изпълнение.

12. Контакт с надзорния орган

Ако смятате, че обработката на личните ви данни нарушава GDPR или ЗЗЛД, имате право да подадете жалба до:

• Комисия за защита на личните данни (КЗЛД)
• Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2
• Телефон: 02/91-53-518
• Електронна поща: kzld@cpdp.bg
• Уебсайт: https://www.cpdp.bg/

13. Промени в политиката

Администраторът си запазва правото да изменя настоящата Политика за личните данни. Актуалната версия се публикува на сайта с обозначена дата на последна актуализация. При съществени изменения, които засягат вашите права или начина на обработка, Администраторът ви уведомява предварително чрез e-mail или с известие на сайта.