Политика за поверителност и защита на личните данни

Платформа: Garantivo — https://garantivo.bg

Версия: 1.4

В сила от: [ЗА ПОПЪЛВАНЕ: дата на публикуване]

Тази политика обяснява какви лични данни обработваме, защо, на какво правно основание, на кого ги предаваме, колко дълго ги пазим и какви права имате. Тя описва платформата такава, каквато работи към датата на тази версия. Където нещо се прави ръчно или още не е възможно, това е казано изрично.

Накратко:

• Обработваме данните, без които не можем да ви регистрираме, да публикуваме обявата ви, да проведем защитената сделка, да изпратим пратката чрез Еконт и да разгледаме спор.
• Плащате на страницата на доставчика на платежни услуги Paysera, към която ви пренасочваме. Данните на картата ви и другите данни за плащането въвеждате там и те не минават през нашите сървъри. На доставчика не предаваме името, електронната поща, телефона или адреса ви (т. 6.2).
• Нямаме реклама, уеб анализ и маркетингови писма. Не продаваме данни.
• Нашите бисквитки служат само за входа в профила. На garantivo.bg не се зарежда скрипт на доставчика на платежни услуги или на друга външна услуга (т. 13.3).
• Можете сами да изтеглите копие от данните си и да подадете заявление за изтриване от настройките на профила.
• Можете да възразите срещу обработването, което извършваме на основание легитимен интерес — вижте т. 9.1.6.
• Някои данни сме длъжни да пазим и след края на сделката — например счетоводните документи. Кои и докога, е описано в раздели 8 и 10.

1. Кой обработва данните ви

1.1. Администратор на личните ви данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 („ОРЗД“) е:

• „МаксСтатс“ ООД
• ЕИК 208936238
• Седалище и адрес на управление: гр. Пловдив 4023, р-н Тракия, ж.к. Тракия, бл. 132, вх. Д, ет. 6, ап. 16
• Електронна поща: support@garantivo.bg
• Уебсайт: https://garantivo.bg
• Телефон: 0886 884 664 и 0893 523 356

По-нататък „Garantivo“ и „ние“ означават „МаксСтатс“ ООД като администратор на лични данни, а „платформата“ означава сайта garantivo.bg. „Доставчик на платежни услуги“ е Paysera LT, UAB („Paysera“), което Общите условия наричат „платежен доставчик“ (т. 9.1 от Общите условия). Освен ОРЗД прилагаме и Закона за защита на личните данни („ЗЗЛД“).

1.2. Длъжностно лице по защита на данните не е назначено. По наша преценка дейността на дружеството към днешна дата не попада в случаите по чл. 37, § 1 ОРЗД. [ПОТВЪРЖДЕНИЕ ОТ ЮРИСТ: дали обработването на данни за сделки, спорове и доказателства налага назначаване на длъжностно лице по защита на данните] Всички въпроси и заявления по тази политика изпращайте на support@garantivo.bg.

1.3. Обхват. Политиката се отнася до данните, които обработваме, когато използвате garantivo.bg: при регистрация и профил, при обяви, при защитени сделки, при доставка чрез куриер, при спорове, при сигнали за съдържание и при кореспонденция с нас.

1.4. Какво тази политика не покрива. Доставчикът на платежни услуги Paysera и куриерът Еконт обработват част от данните ви и за свои собствени законови цели. За тези цели те по правило са самостоятелни администратори и прилагат свои политики за поверителност (вижте т. 6.2.3 и т. 6.3.3). Тук описваме какво им предаваме и защо, но не отговаряме за обработването, което те извършват за свои цели. Вижте раздели 6 и 7. Декларацията за поверителност на Paysera е на https://www.paysera.com/v2/bg/dogovori/deklaracia-za-poveritelnost. Политиката за поверителност на Еконт е на https://www.econt.com/econt-express/privacy-policy.

1.5. Тази политика ви информира как обработваме данните ви (чл. 13 и чл. 14 ОРЗД). Тя не е договорно условие и не изисква съгласието ви. Меродавен е българският ѝ текст.

2. Какво Garantivo не прави

2.1. Не получаваме и не съхраняваме номер на карта, срок на валидност, код CVV/CVC или име на картодържател. Въвеждате ги директно на страницата на доставчика на платежни услуги. В базата ни няма поле за номер на карта, за последните четири цифри, за вид на картата или за отпечатък на картата. Пазим само служебни номера на плащането, суми, валута и състояния.

2.2. Нямаме уеб анализ и реклама. В платформата няма скрипт за уеб анализ, за повторно рекламиране, рекламен пиксел или измерване на аудитория. Не създаваме рекламни профили и не предаваме данни на рекламни мрежи или на търговци на данни. В платформата не се зарежда скрипт на доставчика на платежни услуги или на друга външна услуга. Плащането става на страницата на доставчика, към която ви пренасочваме (т. 6.2).

2.3. Нашите бисквитки служат само за входа в профила. За записите, които доставчикът на платежни услуги прави на своята страница за плащане, вижте раздел 13.

2.4. Не пазим IP адреси в явен вид. Където IP адресът е нужен за сигурност и срещу злоупотреби, записваме само криптографски отпечатък, изчислен с таен ключ. Възстановяване на адреса от отпечатъка не е предвидено. Отпечатъкът обаче остава лични данни (псевдонимизирани данни по чл. 4, т. 5 ОРЗД), защото с ключа може да бъде съпоставен с конкретен адрес. Данните за браузъра свеждаме до обобщение от вида „Chrome на Windows“.

2.5. Не искаме ЕГН, дата на раждане, документ за самоличност, банкова сметка или домашен адрес при регистрация. Профилът няма поле за домашен адрес.

2.6. Не продаваме и не отдаваме под наем лични данни.

2.7. Решенията по спорове и по сигнали за съдържание се вземат от човек, а не от алгоритъм. Автоматично се прилагат само предварително обявените правила по раздел 11, включително проверката на категорията и цената на обявата (т. 11.2.8).

2.8. Garantivo не е банка, платежна институция или дружество за електронни пари. Как се движат парите, е описано в т. 3.9.3.

3. Какви категории лични данни обработваме

3.1. Данни за профила

3.1.1. При регистрация събираме име и фамилия, електронна поща, мобилен телефон (български номер, записан в единен формат) и парола.

3.1.2. Паролата не се съхранява. Пазим само необратимо преобразуван неин отпечатък. Никой, включително служителите ни, не може да види паролата ви.

3.1.3. Пазим и служебни данни за профила: електронната поща в единен запис (за проверка, че не е заета), роля (ползвател или администратор), вид на профила (частно лице), състояние на профила (активен, спрян или закрит), кога е потвърдена електронната поща, кога сте влезли за последно, кога е сменена паролата, служебен номер на сесията (за „изход от всички устройства“), както и нов адрес на електронна поща, докато смяната не бъде потвърдена.

3.1.4. За продавачите пазим адрес за връщане: офис на Еконт, град, име и телефон на лицето, което ще получи върната пратка. При плащането по сделка тези данни се копират към сделката и остават непроменени за нея, дори ако по-късно промените профила си. Екипът може да ги промени само ако куриерът вече не обслужва избрания офис.

3.1.5. Пазим запис за приетите правни документи. При регистрация записваме кой профил е приел Общите условия и е потвърдил, че е прочел тази политика, коя версия на всеки документ, криптографски отпечатък на текста (по алгоритъма SHA-256 — кратък код, който се променя при всяка промяна на текста), момента и обобщение за браузъра от вида „Chrome на Windows“. Записът доказва кой точно текст е бил пред вас, дори ако документът бъде променен по-късно. IP адрес в него не се съхранява — нито в явен вид, нито като отпечатък. Дейността е описана в раздел 4 (ред „Записване на приетите правни документи“), срокът — в т. 8.2.1, а записът влиза в копието на данните ви по т. 9.3.1.

3.1.6. Ако някой опита да регистрира профил с вашата електронна поща, ще ви изпратим писмо за това. На опитващия не показваме, че адресът вече е зает.

3.2. Проверка на електронната поща и самоличност

3.2.1. Проверяваме, че контролирате електронната си поща. Изпращаме ви еднократна връзка. В базата пазим само отпечатък на връзката, адреса, за който е издадена, и кога е издадена, докога важи и кога е използвана. Връзката за потвърждаване важи 60 минути, а тази за нова парола — 30 минути.

3.2.2. Телефонният номер не се проверява с код. Нямаме потвърждение чрез SMS. Номерът се използва за пратката и за връзка по сделката.

3.2.3. Garantivo не проверява самоличността и възрастта ви. Нямаме поле за дата на раждане, ЕГН или документ за самоличност.

3.2.4. Garantivo не регистрира продавачите при доставчика на платежни услуги и не му предава данни за тях. Към датата на тази версия продавачът не попълва данни за самоличност или за банкова сметка нито в платформата, нито на страница на доставчика. Ако за превода на дължимата на продавача сума се наложи да се събират такива данни, ще изменим тази политика, преди да започнем да ги събираме. В пилотния период платформата приема за продавачи само физически лица, които живеят в България.

3.3. Данни в обявите

3.3.1. Обявата съдържа заглавие, описание, категория, състояние на вещта, цена, град и снимки. Към нея публично се показват и собственото име и първата буква от фамилията на продавача, от кога има профил, колко успешни продажби има, дали електронната му поща е потвърдена и дали продава като частно лице. Обявата е публична, докато е активна. Резервирана или продадена обява остава достъпна на прекия си адрес, с цена и продавач, но без възможност за покупка, докато продавачът не я премахне.

3.3.2. Снимки. Качената снимка се преобразува в три размера във формат WebP (съвременен формат за изображения в мрежата). При това се премахват всички вградени в нея данни, включително координатите на мястото на снимане (GPS), датата и модела на устройството. Оригиналният файл не се пази. Снимките се съхраняват в обектно хранилище (т. 6.5).

3.3.3. Ако включите лични данни в описанието или в снимка (лице, адрес, регистрационен номер, етикет с име), те стават публични по ваш избор. Съветваме ви да не го правите.

3.3.4. Вид на продавача. При всяка нова обява продавачът заявява дали продава като частно лице или като търговец. Заявлението се записва към обявата и към профила, защото чл. 47а от Закона за защита на потребителите ни задължава да покажем на купувача в какво качество действа продавачът. В пилотния период платформата приема само частни продавачи. Ако заявите, че продавате като търговец, обявата не се приема.

3.3.5. Когато купувач започне защитена сделка, правим неизменяемо копие на обявата — заглавие, описание, цена, състояние, категория, град и снимки. Така е документирано за какво точно е сделката. Копието се пази заедно със сделката.

3.4. Данни за сделките

3.4.1. За всяка защитена сделка обработваме: номер на сделката, кой е купувач и кой е продавач, цена, такса за защита, цена на доставката, валута (евро), състояние и моментите от хода на сделката — създаване, плащане, изпращане, доставка, начало и край на периода за проверка, предупреждение преди автоматичния превод, приключване, отказ, връщане.

3.4.2. Обработваме и записи за действията по сделката — например кой е потвърдил получаването и кога, кой служител е взел решение по задържан случай и по коя причина. Причините, които виждат страните, се избират от затворен списък. Бележките на служителите са вътрешни и не се показват на страните.

3.4.3. Някои суми не се връщат чрез доставчика на платежни услуги по начина, по който е платено: таксата за защита, а при пратка, върната по вина на продавача, и цената на доставката (т. 20.6 от Общите условия). Когато ви дължим такава сума, служител урежда плащането отделно. Начинът на плащане още не е окончателно определен (т. 20.6 от Общите условия). Когато плащането е по банков превод, ще се свържем с вас по електронната поща и ще ви помолим за името на титуляря и банковата сметка (IBAN). Те се използват само за това плащане и не се записват в системата. Остават в кореспонденцията с вас и в платежните документи на банката за срока по т. 8.4. За таксата за защита и за цената на доставката в системата записваме сумата, основанието, кой служител е платил, номера на нареждането и кратка бележка без банкови данни. Разходът за обратна доставка, който по спор е за сметка на платформата, се урежда по кореспонденцията с вас (т. 19.7 от Общите условия).

3.5. Данни за доставката

3.5.1. При започване на сделка купувачът въвежда име и телефон на получателя и избира офис на Еконт или адрес за доставка (град, пощенски код, улица и номер). Името, градът и пощенският код на офиса взимаме от списъка на Еконт, а не от браузъра. Получателят може да е друго лице. Ако въвеждате чужди данни, уведомете това лице.

3.5.2. За да получи цена за превоза, продавачът описва пратката (описание, тегло, размери и брой пакети) и посочва откъде я изпраща — офис на Еконт или адрес. Тези данни се изпращат на Еконт, за да ни върне цена. Garantivo приема само онлайн плащане.

3.5.3. По технически причини данните за доставката съществуват на повече от едно място: в записа за пратката, в техническия запис на заявката към куриера (той съдържа имената, телефоните, градовете и адресите на подателя и на получателя така, както са изпратени), а за адреса за връщане — в профила на продавача и в копието към сделката. При заявление за достъп или за изтриване разглеждаме всички тези копия.

3.5.4. Товарителницата (етикетът) се създава и съхранява от Еконт. Платформата пази само препратка към нея. Самият документ съдържа имената, телефоните и адресите на двете страни и се намира при куриера, извън нашия технически контрол. Препратката към товарителницата за изпращане може да отвори само продавачът. Препратката към товарителницата за връщане по спор може да отвори купувачът като подател и служител от екипа. Всяко отваряне се записва в одитния дневник.

3.5.5. Записваме събитията по проследяване, които Еконт ни връща: време, вид и описание на мястото, код на офиса, държава и признак дали събитието е приемане на пратката. Пълният отговор на куриера не се пази.

3.5.6. Ако по спор вещта трябва да се върне, купувачът става подател, а продавачът — получател. Тогава на Еконт се предават името, телефонът и адресът или офисът на купувача и адресът за връщане на продавача.

3.6. Доказателства по спорове

3.6.1. При спор страните могат да качват доказателства: снимки, видео и документи в PDF. За всеки файл пазим първоначалното име на файла (съкратено), безопасно име за показване, действителния вид на файла (определен по съдържанието), размер, контролен отпечатък (SHA-256, т. 3.1.5), описание от подателя и състояние. Пазим и писмените обяснения на страните.

3.6.2. Файловете с доказателства се пазят такива, каквито ги качите. За разлика от снимките в обявите, от тях не премахваме вградените данни. Снимка от телефон може да съдържа координатите на мястото на снимане, датата и модела на устройството. Ако не искате това да се вижда, премахнете тези данни преди качване.

3.6.3. Съдържанието на доказателствата определяте вие. То може да включва серийни номера, IMEI, лица, адреси и други лични данни. Качвайте само необходимото за спора. Не качвайте документи за самоличност, медицински документи или данни на трети лица, които нямат отношение към сделката.

3.6.4. Доказателствата на страните виждат и двете страни и екипът. Материалите, които добавя екипът, виждат само служителите. Искането за допълнително доказателство вижда само лицето, към което е отправено.

3.6.5. При оспорване на картовото плащане от картодържателя пред банката му („банково оспорване“) можем да предадем на доставчика на платежни услуги файлове с доказателства и данни по сделката. Оттам те стигат до картовата организация и до банката, издала картата. Вижте т. 6.2 и раздел 7.

3.7. Съобщения, известия и поддръжка

3.7.1. Платформата няма чат между купувач и продавач. Няма лични съобщения и няма система за заявки към поддръжката.

3.7.2. Известията в сайта и писмата по сделка се съставят от предварително зададени текстове. Те съдържат номера на сделката и могат да съдържат заглавието на обявата, сума и краен срок. Писмата съдържат и името ви.

3.7.3. Писмата за потвърждаване на електронната поща и за нова парола съдържат еднократна връзка с кратък срок.

3.7.4. Когато ни пишете на support@garantivo.bg, обработваме адреса ви, съдържанието на писмото и приложенията, за да ви отговорим.

3.7.5. Не изпращаме маркетингови писма. Всички писма са свързани с профила ви, сделките ви или сигнал, който сте подали.

3.8. Технически данни и данни за сигурността

3.8.1. Одитен дневник. За съществените действия записваме кой ползвател е действал, какво е направил, върху кой обект, кога, някои придружаващи данни и отпечатък на IP адреса. Записите в одитния дневник са технически защитени срещу промяна и изтриване.

3.8.2. Събития по сигурността. Записваме вход, неуспешен вход, смяна на парола, заявка за нова парола и подобни. Пазим отпечатък на субекта (например на електронната поща или на IP адреса), обобщение за браузъра и ограничен, предварително разрешен набор от придружаващи данни.

3.8.3. Ограничаване на заявките. Срещу отгатване на пароли и злоупотреби броим заявките в кратки времеви интервали. Кой е изпратил заявката (IP адрес, електронна поща или профил), записваме само като отпечатък. Изтеклите броячи се изтриват автоматично.

3.8.4. Журнали на сървъра. От журналите автоматично се премахват пароли, ключове и други тайни. В тях няма съдържание на заявки, бисквитки или IP адреси в явен вид. Те обаче могат да съдържат служебния номер на профила ви и данни за изпратени писма.

3.8.5. Отчети за грешки. Ако страница даде грешка в браузъра ви, той изпраща към нашия сървър вида на страницата (например „страница на сделка“), името на грешката и изчистено описание. Отчетът не съдържа профила ви, IP адреса ви или параметрите на страницата и се записва само в журнала на сървъра.

3.8.6. Затворен пилот. Докато платформата работи като затворен пилот, регистрация е възможна само за предварително поканени адреси на електронна поща. Списъкът е част от настройките на системата.

3.9. Платежни данни, които пазим

3.9.1. Пазим служебни номера на плащането: номера на поръчката, който създаваме за всеки опит за плащане, и служебния номер на заявката, който ни съобщава доставчикът на платежни услуги, а когато има такива — на превода, на връщането и на банковото оспорване. Пазим и суми, валута, начина на плащане, както ни го съобщава доставчикът, състояния, кодове на причини и съобщения за състояние, получени от доставчика.

3.9.2. Не пазим платежни инструменти, запазени карти или клиентски профили при доставчика.

3.9.3. Как се движат парите. Garantivo не е банка, платежна институция или дружество за електронни пари и не води платежни сметки на ползватели. Плащането се извършва от външен доставчик на платежни услуги. Купувачът плаща онлайн, на страницата на доставчика, цената на вещта, доставката и таксата за защита. Сумата се приема от доставчика и се отчита към сделката. Това не е доверителна (ескроу) сметка, не е платежна сметка на купувача или на продавача и не е електронни пари. След като сделката приключи, цената на вещта, намалена с върнатото на купувача, се превежда на продавача чрез доставчика по реда на т. 9.9 от Общите условия. Цената на доставката не се превежда на продавача. Цената на вещта и, когато се дължи, цената на доставката се връщат на купувача чрез доставчика по начина, по който е платено, освен в случаите по т. 3.4.3. Таксата за защита и другите суми по т. 3.4.3 се връщат отделно.

3.10. Данни, които не събираме

3.10.1. ЕГН и други национални идентификационни номера; дата на раждане; документи за самоличност; номер на банкова сметка (IBAN), освен ако сами ни го изпратите, за да ви върнем сума по т. 3.4.3; данни за карта; местоположение на устройството; биометрични данни; данни за здравето; данни за политически, религиозни или други особени категории; рекламни идентификатори; данни от социални мрежи.

3.10.2. Домашен адрес — в профила и при регистрация. Профилът няма поле за улица. За продавача пазим само офис на Еконт за връщане; адрес по местоживеене не се иска при регистрация и не се пази в профила (т. 2.5).

3.10.3. Това не значи, че адреси изобщо не се обработват. Когато купувачът избере доставка до адрес или продавачът изпраща от адрес, адресът се обработва, за да бъде създадена пратката, и се предава на Еконт. Къде се пазят тези данни и колко дълго, е описано в т. 3.5 и в т. 8.5. Тази точка изброява какво не влиза в профила ви, а не отрича обработването по т. 3.5.

3.11. Особени категории данни (чл. 9 ОРЗД)

Не търсим такива данни. Ако въпреки това попаднат в доказателства, обработваме ги само доколкото е необходимо за установяване, упражняване или защита на правни претенции (чл. 9, § 2, буква „е“ ОРЗД) и ограничаваме достъпа до страните по спора и екипа, а при банково оспорване — и до получателите по т. 6.2.1 и т. 7.3.

3.12. Сигнали за незаконно съдържание

3.12.1. Всеки, със или без профил, може да ни сигнализира за обява или друго съдържание чрез формата „Сигнал за съдържание“. Обработваме описанието на сигнала, адреса на съдържанието, категорията на сигнала и потвърждението за добросъвестност.

3.12.2. Подателят посочва име и електронна поща, освен при сигнал за сексуално насилие над дете, сексуална експлоатация на дете или детска порнография (т. 28.6 от Общите условия), при който може да не ги посочва. Ако подателят е влязъл в профила си, името и пощата се взимат от профила. При всеки сигнал може да запишем отпечатък на IP адреса на подателя за защита срещу злоупотреби (т. 2.4), затова и сигнал без име и поща не е напълно анонимен.

3.12.3. Ако сигналът е за ваше съдържание, обработваме и данните ви като засегнат ползвател: кои ваши обяви и сделки са засегнати и какво решение е взето. Решението взема служител. Ако бъде наложена мярка, ви изпращаме по електронната поща мотивите: мярката, основанието, фактите и как да я оспорите. Фактите в мотивите се пишат от служител, който не включва в тях името и електронната поща на подателя.

3.12.4. Подателят получава потвърждение с номер на случая и после — решението и предприетата мярка, без основанието и без фактите за другия ползвател.

3.13. Откъде получаваме данни

3.13.1. Повечето данни получаваме директно от вас. Някои данни за вас получаваме от други източници:

• от другата страна по сделката — купувачът въвежда данните на получателя, а при спор всяка страна може да качи доказателства или обяснения, които засягат и вас;
• от доставчика на платежни услуги — състоянието на плащанията, а когато има такива — на връщанията и на банковите оспорвания;
• от Еконт — номер на товарителница, състояния и моменти по пратката, включително момента на доставка;
• от подател на сигнал — ако сигналът засяга ваше съдържание (т. 3.12).

4. Дейности по обработване: данни, цел, основание, получатели, срок

4.1. Таблицата изброява всички дейности по обработване, които платформата извършва днес. „Буква“ в колоната „Правно основание“ означава буква от чл. 6, § 1 ОРЗД. Подробностите за сроковете са в раздел 8, а за получателите — в раздел 6.

4.2. Маркетинг и анализ. Към датата на тази политика не извършваме маркетингово обработване, не изпращаме рекламни бюлетини, не използваме инструменти за уеб анализ и не създаваме рекламни профили. Ако това се промени, ще изменим политиката преди започване на такова обработване и — където законът го изисква — ще поискаме изрично съгласие.

5. Повече за правните основания

5.1. Изпълнение на договор (чл. 6, § 1, буква „б“). На това основание се извършва повечето обработване: профилът, обявата, сделката, плащането, доставката и спорът изпълняват договора между вас и Garantivo (Общите условия) и сделката, която сключвате с другата страна. Без задължителните данни не можем да ви регистрираме, да създадем пратка или да приемем плащане.

5.2. Законово задължение (чл. 6, § 1, буква „в“). Прилага се за счетоводните и данъчните записи, за заявлението за вида на продавача по чл. 47а от Закона за защита на потребителите, за задълженията по Акта за цифровите услуги (разглеждане на сигнали и мотивиране на мерки), за отговор на законни искания на органи, за изпълнение на правата ви по ОРЗД и — ако се установи, че платформата е задължено лице — за мерките срещу изпирането на пари.

5.3. Легитимен интерес (чл. 6, § 1, буква „е“). Позоваваме се на легитимен интерес за:

5.3.1. сигурността на платформата и на профилите — ограничаване на заявките, събития по сигурността, одитни записи, проверка на качените файлове за зловреден софтуер, отчети за грешки;

5.3.2. предотвратяване на измами и злоупотреби със защитените сделки;

5.3.3. установяване, упражняване и защита на правни претенции, включително при банково оспорване;

5.3.4. контролирано пускане на услугата чрез затворен пилот.

5.3.5. Преценили сме, че тези цели не могат да се постигнат с по-малко данни. Затова IP адресите се пазят само като отпечатъци, данните за браузъра се свеждат до обобщение, а придружаващите данни минават през разрешен списък. Имате право на възражение срещу обработване на това основание — вижте т. 9.1.6.

5.4. Съгласие (чл. 6, § 1, буква „а“). Днес не разчитаме на съгласие за нито една от дейностите в раздел 4. При регистрация приемате Общите условия и потвърждавате, че сте прочели тази политика. Това потвърждение не е съгласие за обработване. Смятаме, че бисквитките и записите в браузъра, описани в раздел 13, са строго необходими и не изискват съгласие. Ако въведем обработване въз основа на съгласие, ще го поискаме отделно, предварително и с ясно действие, а отказът няма да ви лиши от услугата.

5.5. Задължителни и доброволни данни. Името, електронната поща, телефонът и паролата са задължителни за регистрация, защото без тях договорът не може да бъде сключен и изпълнен. Данните за доставка са задължителни за създаване на пратка. Заявлението за вида на продавача е задължително за публикуване на обява. Доказателствата по спор са доброволни, но без тях може да не успеете да докажете твърдението си.

6. На кого предаваме данни

6.1. Предаваме лични данни само когато е необходимо за описаните цели. Ролите по-долу са нашата преценка. Където ролята и договорът с доставчика не са потвърдени писмено, това е отбелязано.

6.2. Доставчик на платежни услуги — Paysera

6.2.1. Какво му предаваме: при плащане — сума, валута (евро), номер на поръчката, описание на плащането „Garantivo“ с номера на сделката и адресите, на които доставчикът връща купувача и изпраща известието за плащането (те съдържат номера на сделката). Заявката съдържа и технически параметри: номера на проекта ни при доставчика, държавата (България), срока за плащане, изключените начини на плащане и дали плащането е тестово. Не предаваме името, електронната поща, телефона, адреса, IP адреса или други лични данни на купувача. За продавача не предаваме нищо. При банково оспорване на плащане можем да предадем на доставчика данните по сделката и доказателствата, които са нужни, за да отговорим на оспорването. В текста по оспорването не включваме името, електронната поща, телефона и адреса на купувача.

6.2.2. Какво той събира директно от вас: данните, които въвеждате на неговата страница за плащане, например данните на картата ви, както и сведенията за устройството и браузъра ви, които той сам събира на тази страница. Garantivo не ги получава. Когато потвърди плащането, доставчикът ни изпраща известие с номера на поръчката, състоянието на плащането, платената сума и валута, начина на плащане и служебен номер на заявката. Ако известието съдържа и данни за платеца, например име или електронна поща, сървърът на Garantivo не ги записва.

6.2.3. Роля: доставчикът на платежни услуги е външно дружество със собствени регулаторни задължения (правила на картовите организации, мерки срещу изпирането на пари, платежно законодателство). За данните, които събира и обработва при плащането, той действа като самостоятелен администратор по своите правила. Те са описани в декларацията за поверителност на Paysera: https://www.paysera.com/v2/bg/dogovori/deklaracia-za-poveritelnost. [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: дали за някое действие, извършвано по наше нареждане, доставчикът действа като обработващ и дали с него е нужно споразумение по чл. 28 ОРЗД]

6.3. Куриер — Еконт

6.3.1. Какво предаваме на „Еконт Експрес“ ООД: име и телефон на подателя и на получателя, град, адрес или код на офис на двете страни, описание на пратката, тегло, размери и брой пакети. Подател по товарителницата е продавачът, а превозът се заплаща по договора на Garantivo с куриера. При връщане по спор подател е купувачът (т. 3.5.6).

6.3.2. Какво получаваме обратно: цена на превоза, номер на товарителница, препратка към товарителницата, състояния и събития по проследяване.

6.3.3. Роля: куриерът е пощенски оператор със собствени задължения по пощенското законодателство и за тях по правило действа като самостоятелен администратор. [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: ролята по ОРЗД и съдържанието на договора с Еконт, включително условията за предаване на данни]

6.4. Доставчик на изходяща електронна поща

6.4.1. Какво му предаваме: адреса на получателя, темата и съдържанието на писмото. Съдържанието включва името ви, а според писмото — номер на сделка, заглавие на обява, сума, краен срок или еднократна връзка.

6.4.2. Роля: доставчикът на услугата за изпращане на писма действа като обработващ лични данни по наше нареждане. [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: конкретният доставчик, местоположението на сървърите му и споразумението по чл. 28 ОРЗД]

6.5. Хостинг, база данни, обектно хранилище и проверка за зловреден софтуер

6.5.1. Базата данни, приложението, обектното хранилище за снимките и доказателствата и антивирусната програма са части от нашата инфраструктура. Хранилището за доказателства е частно — файловете не са публично достъпни и се отварят само чрез връзка с кратък срок, издадена след проверка на правата. Антивирусната проверка се извършва в нашата инфраструктура; файлът не се изпраща на външна услуга. Снимките в обявите не минават през антивирусна програма — те се преобразуват наново (т. 3.3.2).

6.5.2. Роля: доставчиците на инфраструктура действат като обработващи лични данни. [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: конкретните доставчици на хостинг, база данни и обектно хранилище, техните центрове за данни, срокът за пазене на журналите на сървъра, срокът, след който се презаписват резервните копия на базата данни, и споразуменията по чл. 28 ОРЗД]

6.6. Другата страна по сделката и посетителите

6.6.1. Обявата и данните за продавача по т. 3.3.1 са видими за всички посетители, докато обявата е активна, а при резервирана или продадена обява — на прекия ѝ адрес. Купувачът и продавачът виждат имената си един на друг.

6.6.2. Преди плащането продавачът вижда само населеното място или областта, към която е доставката до адрес. След плащането и докато пратката не бъде доставена, вижда името и телефона на получателя и точния адрес или офис, за да я изпрати. След като пратката бъде доставена, отново вижда само населеното място, освен докато вещта се връща към него.

6.6.3. При връщане на вещ купувачът вижда офиса за връщане на продавача. При спор всяка страна вижда доказателствата, определени като видими за нея (т. 3.6.4).

6.7. Вътрешен достъп

6.7.1. Служителите с роля администратор виждат данните по сделка и спор, включително телефона и електронната поща на страните, данните за доставката и доказателствата, когато това е нужно за решаване на случая или за отстраняване на проблем. Действията им по случая се записват в одитния дневник. Самото отваряне на служебен екран с данни за контакт и отварянето на файлове с доказателства не се записват поотделно. Записва се предаването на доказателства към доставчика на платежни услуги при банково оспорване. Служител, който е страна по сделка, не може да взема решения по спор или задържан случай по нея.

6.8. Органи и трети лица

6.8.1. Предоставяме данни на съдилища, разследващи органи, Комисията за защита на личните данни, органите по приходите и други компетентни органи само когато това се изисква от закон или от законно разпореждане.

6.8.2. Нямаме рекламни партньори, не използваме търговци на данни и не предаваме данни на трети лица за търговски цели.

6.9. Счетоводител, банка и адвокат

6.9.1. Счетоводител — получава данните, които се съдържат в счетоводните документи по сделките (т. 8.4).

6.9.2. Банка, чрез която връщаме суми по т. 3.4.3 — когато плащането е по банков превод, получава името на титуляря, банковата сметка (IBAN) и сумата, за да изпълни превода.

6.9.3. Адвокат — получава относимите данни по случая, когато е нужна правна защита при спор, жалба или производство (т. 8.11).

7. Предаване на данни извън Европейското икономическо пространство

7.1. Основната част от обработването се извършва в нашата инфраструктура. [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: държавата и центровете за данни на доставчиците на хостинг, база данни и обектно хранилище и договорите по чл. 28 ОРЗД с тях]

7.2. Доставчик на платежни услуги. Данните по т. 6.2.1 предаваме на Paysera LT, UAB, дружество, установено в Литва, тоест в Европейското икономическо пространство (ЕИП). Дали и как доставчикът предава данни извън ЕИП за собствените си цели, е описано в неговата декларация за поверителност (т. 6.2.3). [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: дали договорът с доставчика допуска предаване извън ЕИП на данните, които му предаваме, и кой механизъм по глава V ОРЗД е приложим]

7.3. Банково оспорване. След като доказателствата стигнат до доставчика на платежни услуги, той ги предава на картовата организация и на банката, издала картата. Те могат да се намират извън ЕИП. Нямаме технически контрол върху тази част от пътя и не можем да гарантираме изтриване при тях.

7.4. Куриер. Доставката се извършва в България. [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: дали куриерът използва подизпълнители или инфраструктура извън ЕИП]

7.5. Изходяща електронна поща. [ИЗИСКВА ДОГОВОРНО ПОТВЪРЖДЕНИЕ: доставчикът на услугата за изпращане на писма, местоположението му и приложимият механизъм за предаване, ако е извън ЕИП]

7.6. Ако поискате, ще ви предоставим информация за гаранциите по чл. 46 ОРЗД за конкретно предаване — пишете ни на support@garantivo.bg.

8. Колко дълго пазим данните

8.1. Принцип. Пазим личните данни, докато са нужни за целта, за която са събрани, и след това само ако закон изисква това или ако са нужни за защита при правен спор. Автоматично изтриване по график днес има за броячите на заявките (т. 8.8), за файловете с доказателства (т. 8.7) и за снимки, които не са част от обява или сделка (т. 8.3). За останалите категории сроковете по-долу са най-дългите, за които пазим данните. След тях данните се изтриват или обезличават от служител, доколкото това е технически възможно (раздел 10). За някои срокове още предстои решение и това е отбелязано. Изтрити данни могат да останат за ограничено време в резервните копия на базата данни, докато копията бъдат заменени по графика им (т. 6.5.2).

8.2. Данни за профила. Пазят се, докато профилът съществува. След закриване на профила данните, които са част от сделка или от счетоводен документ, остават по т. 8.3 и т. 8.4, а останалите се изтриват или обезличават, доколкото това е технически възможно (т. 10.2). [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: срок за пазене на данните за профила след закриване — предложение: до изтичане на общата петгодишна давност по чл. 110 ЗЗД] [ПОТВЪРЖДЕНИЕ ОТ ЮРИСТ: приложимата давност за претенции срещу платформата]

8.2.1. Запис за приетите правни документи (т. 3.1.5 и редът в раздел 4). Пази се, докато профилът съществува. Базата данни е настроена така, че записът да не може да остане без профила и да бъде изтрит заедно с него. Към датата на тази версия обаче профилът не може да бъде изтрит изцяло (т. 10.2), затова на практика записът се пази, докато се пази и профилът. Той доказва връзка между конкретен профил и конкретен текст; без профила тази цел отпада. Какво е гласяла всяка версия, се доказва с публикувания текст.

8.3. Данни за сделките и обявите. Данните по сделката, копието на обявата към нея (с нейните снимки), известията и записите за събитията по сделката се пазят за срока по т. 8.4, защото са документация на извършена стопанска операция. Снимка, която е качена, но не е прикрепена към обява, се изтрива автоматично след 24 часа. Премахната снимка, включително снимките на премахната обява, се изтрива автоматично след 30 дни, освен ако е част от сделка или по обявата има неприключен сигнал. Когато премахнете обява, тя спира да се показва, но текстът ѝ остава в базата. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: срок и служебен инструмент за изтриване на текста на премахнати обяви, по които няма сделка и неприключен сигнал] При заявление за изтриване (т. 9.3.2) текстът на такава обява се изтрива ръчно от служител. Към датата на тази версия платформата няма служебен екран за това и служителят го прави пряко в базата данни.

8.4. Платежни и счетоводни документи. Пазят се съгласно:

8.4.1. чл. 12, ал. 1, т. 2 от Закона за счетоводството — счетоводни регистри и финансови отчети, включително документите за данъчен контрол, одит и финансови инспекции: 10 години, считано от 1 януари на годината след отчетния период, за който се отнасят;

8.4.2. чл. 12, ал. 1, т. 3 от Закона за счетоводството — всички останали носители на счетоводна информация: 3 години;

8.4.3. чл. 38, ал. 1, т. 3 от Данъчно-осигурителния процесуален кодекс (ДОПК) — документите за данъчно-осигурителен контрол: 5 години след изтичане на давността за съответното публично задължение; давността по чл. 171 ДОПК е 5 години, а абсолютната давност — 10 години.

8.4.4. Прилага се по-дългият от приложимите срокове. Обичайно документите по една сделка се пазят около единадесет години след годината, в която е възникнало задължението (пет години давност и още пет години). Ако давността бъде спряна или прекъсната, срокът може да стигне до петнадесет години, считано от 1 януари на годината след тази, в която е възникнало задължението (десет години абсолютна давност и още пет години). [ПОТВЪРЖДЕНИЕ ОТ ЮРИСТ: точната категоризация на всеки вид документ и произтичащият краен срок]

8.5. Данни за доставката. Данните за пратката, събитията по проследяване, цените на превоза и техническият запис на заявката към куриера се пазят за срока по т. 8.4, защото доказват изпълнението на сделката и разчетите по нея. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: по-кратък срок за техническия запис на заявката към куриера, който съдържа имена, телефони и адреси и не е нужен за счетоводни цели след края на сделката] Товарителницата се пази от куриера по неговите правила.

8.6. Еднократни връзки и кореспонденция. Връзките за потвърждаване на електронната поща и за нова парола важат кратко и стават невалидни след използване. В базата остава записът за издаването и използването им. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: срок за изтриване на използваните и изтеклите записи за еднократни връзки] Кореспонденцията с поддръжката се пази, докато е нужна за случая, и после за срока, нужен за защита при евентуална претенция. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: срок за пазене на кореспонденцията с поддръжката]

8.7. Доказателства по спорове. Тази точка разделя качения файл от описанието към него, защото ги пазим по различен начин и за различен срок.

8.7.1. Качените файлове — снимки, видео и документи — се пазят до приключване на спора и след това за срок, съобразен с възможността решението да бъде оспорено, с шестмесечния срок по чл. 197 ЗЗД за претенции за недостатъци на вещта и с общите давностни срокове по чл. 110 и чл. 111 ЗЗД. Днес този срок е 365 дни от приключването на спора, след което файлът се изтрива автоматично (т. 8.7.5). [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: окончателен срок за изтриване на файловете с доказателства след приключване на спора] [ПОТВЪРЖДЕНИЕ ОТ ЮРИСТ: дали предложеният срок отговаря на чл. 5, § 1, буква „д“ ОРЗД] След изтичането му файлът се изтрива от хранилището, а първоначалното му име (това, което е носел на вашето устройство) се изтрива от базата.

8.7.2. Описанието, което сте написали към доказателството, НЕ отпада заедно с файла. То е част от материалите, върху които е взето решението по спора, и остава — заедно с показваното име на файла — за срока по т. 8.4. Същото пише и в разписката, която получавате при заявление по чл. 17 ОРЗД. Основанието е чл. 17, § 3, буква „д“ ОРЗД — установяване, упражняване и защита на правни претенции.

8.7.3. Доказателство, което се състои само от текст, без файл, се пази на същото основание и за същия срок по т. 8.4. За него няма отделен срок за изтриване, защото няма файл.

8.7.4. Затова пишете описанията със същата предпазливост като снимките (т. 3.6.3). Ако напишете в описание серийни номера, адреси или данни на трето лице, те остават и след изтриването на файла и влизат в копието на данните, което можете да изтеглите по т. 9.3.1.

8.7.5. Как се изтриват файловете. Изтриването се извършва от автоматична задача, която се изпълнява на всеки шест часа. Срокът за всеки файл се определя веднъж — при първото изпълнение след приключване на спора — и по-късна промяна на настройката не може да го скъси. Задачата не изтрива файл, докато спорът или сделката не са приключили и докато по сделката има неприключено банково оспорване. Всяко изтриване се записва в одитния дневник. Днес настройката е 365 дни от приключването на спора (т. 8.7.1). Ако окончателният срок бъде променен, промяната важи само за срокове, които още не са определени.

8.8. Броячи на заявките и журнали. Изтеклите броячи на заявките се изтриват автоматично всеки час. Журналите на сървъра, включително отчетите за грешки, се пазят за срока, определен за хостинга (т. 6.5.2).

8.9. Одитни записи и събития по сигурността. Тези записи са технически защитени срещу промяна и изтриване. Те съдържат идентификатори, действия, моменти и отпечатъци, а не пълните данни за профила. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: срок за пазене на одитните записи, на събитията по сигурността и на сигналите за съдържание и начин на архивирането им след изтичането му]

8.10. Данни по мерките срещу изпирането на пари. Ако платформата е задължено лице, срокът е 5 години от края на отношенията или от извършване на сделката. [ПОТВЪРЖДЕНИЕ ОТ ЮРИСТ: дали Garantivo е задължено лице по чл. 4 от Закона за мерките срещу изпирането на пари]

8.11. Данни по правни претенции и по сигнали. При висящ спор, жалба, проверка или производство относимите данни се пазят до окончателното му приключване и до изтичане на сроковете за обжалване, дори ако общият срок по горните точки е изтекъл. Сигналите за съдържание и решенията по тях се пазят за срока по т. 8.9.

9. Вашите права и как да ги упражните

9.1. По ОРЗД имате следните права:

9.1.1. Достъп (чл. 15) — да научите дали обработваме ваши данни, да получите копие от тях и информация за обработването.

9.1.2. Коригиране (чл. 16) — да поискате поправка на неточни и допълване на непълни данни. Името, електронната поща и телефона можете да промените сами в настройките на профила.

9.1.3. Изтриване (чл. 17) — да поискате изтриване, когато има основание за това. Ограниченията са описани в раздел 10.

9.1.4. Ограничаване на обработването (чл. 18) — например докато проверяваме дали данните са точни. Изпълнява се по писмено заявление.

9.1.5. Преносимост (чл. 20) — да получите данните, които сте ни предоставили и които обработваме по договор, в структуриран, широко използван и машинночетим формат. Можете да го направите сами по т. 9.3.1.

9.1.6. Възражение (чл. 21) — срещу обработване на основание легитимен интерес. Ще спрем обработването, освен ако докажем убедителни законни основания, които имат предимство, или ако то е нужно за установяване, упражняване или защита на правни претенции.

9.1.7. Преглед от човек (чл. 22) — ако автоматично действие по раздел 11 ви засегне, можете да поискате случаят да бъде прегледан от служител, да изразите становище и да оспорите резултата. Прегледът не може да отмени вече извършен превод към продавача (т. 10.6 от Общите условия).

9.1.8. Оттегляне на съгласие (чл. 7, § 3) — днес не обработваме данни въз основа на съгласие, затова това право няма практическо приложение.

9.1.9. Жалба до надзорен орган и защита пред съд — вижте т. 9.5.

9.2. Как да подадете заявление. Пишете ни на support@garantivo.bg от електронната поща на профила си. Ако пишете от друг адрес или заявлението засяга данни по конкретна сделка, може да поискаме допълнителна информация, за да се уверим, че заявителят сте вие. Не искаме копие от документ за самоличност.

9.3. Какво можете да направите сами и какво не. Казваме го точно, защото от това зависи дали ще чакате срока по т. 9.4 за нещо, което можете да получите веднага.

9.3.1. Изтегляне на данните — самообслужване, веднага. В настройките на профила („Настройки → Профил → Вашите данни“) има бутон, който веднага издава копие от данните ви в машинночетим файл (JSON) — без участие на служител и без да се чака срокът по т. 9.4. JSON е стандартен текстов формат, който се чете и от програми. Можете да използвате бутона до три пъти в денонощието. Петте най-дълги списъка във файла (обяви, сделки, спорове, известия и събития по сигурността) съдържат до 1000 записа, а самият файл казва, ако някой от тях е отрязан. Файлът не съдържа всичко. Извън него остават техническият запис на заявката към куриера, товарителницата при куриера, одитният дневник, данните, събрани директно от доставчика на платежни услуги, и самите качени файлове; това е изброено и в самия файл. Към датата на тази версия във файла още липсват и някои данни: моментите на предупреждението преди автоматичния превод, вашето обяснение и бележките на екипа по отказани и върнати пратки, решенията на екипа по задържани случаи, адресът на избрания офис на Еконт, цената и състоянието в списъка с обяви, подадените от вас или засягащите ви сигнали за съдържание и дължимите ви суми по т. 3.4.3. Всичко това можете да получите с писмено заявление до support@garantivo.bg.

9.3.2. Изтриване — заявлението се подава в приложението, изпълнението е ръчно. На същия екран има форма, с която подавате заявление по чл. 17 ОРЗД. Тя не изтрива нищо в момента на подаване и не закрива профила ви — заявление за изтриване не бива да ви извади от сделка, която още тече. Получавате разписка със срока за отговор и с предварителен преглед по категории данни. Прегледът не е окончателен. Кои данни са изтрити и кои остават, на какво основание и докога, ви казва служител в отговора в срока по т. 9.4 (вижте т. 10.2). Самото изтриване извършва служител. Писменото заявление до support@garantivo.bg е равностоен път.

9.3.3. Закриване на профил — няма самообслужване. Платформата няма функция, с която сами да закриете профила си. Единственият път е писмено заявление до support@garantivo.bg. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: въвеждане на функция за закриване на профил и срок за това]

9.4. Срок за отговор. Отговаряме до един месец от получаване на заявлението. При сложни или многобройни заявления срокът може да бъде удължен с още два месеца; ще ви уведомим за това в първия месец (чл. 12, § 3 ОРЗД). Заявленията са безплатни. При явно неоснователни или прекомерни заявления може да поискаме разумна такса или да откажем (чл. 12, § 5 ОРЗД). Ако не изпълним заявлението ви, ще ви кажем защо и как можете да подадете жалба.

9.5. Жалба до надзорния орган. Надзорен орган е Комисията за защита на личните данни (КЗЛД), 1592 София, бул. „Проф. Цветан Лазаров“ № 2, електронна поща kzld@cpdp.bg, уебсайт https://cpdp.bg. Можете да подадете жалба и пред надзорния орган в държавата членка, в която обичайно пребивавате или работите, или в която е извършено нарушението (чл. 77 ОРЗД).

9.5.1. Срокове по чл. 38 от Закона за защита на личните данни: жалбата се подава до шест месеца от узнаване на нарушението, но не по-късно от две години от извършването му. След тези срокове жалбата не се разглежда.

9.5.2. Освен жалба до КЗЛД имате право и на защита пред съда. Жалба до КЗЛД не се разглежда, ако по същия въпрос има висящо съдебно дело.

9.6. Уведомяване на получателите. Ако поправим или изтрием ваши данни или ограничим обработването им, ще уведомим получателите, на които сме ги предали, освен ако това е невъзможно или изисква несъразмерни усилия (чл. 19 ОРЗД). При поискване ще ви кажем кои са тези получатели.

10. Какво не можем да изтрием и защо

10.1. Правото на изтриване не е неограничено. Не можем да изтрием данни, когато:

10.1.1. закон изисква да ги пазим — счетоводни и данъчни документи по т. 8.4 и, ако е приложимо, записите по мерките срещу изпирането на пари;

10.1.2. има незавършена сделка или висящ спор — до приключването им данните са нужни за изпълнението на договора и за защитата на другата страна;

10.1.3. данните са нужни за сигурността и срещу измами — например отпечатъци, свързани със злоупотреба;

10.1.4. данните са част от защитените срещу промяна записи — одитният дневник, събитията по сделките, по споровете и по сигурността са технически защитени срещу промяна и изтриване. Това е съзнателна мярка за сигурност: историята на сделката не може да бъде пренаписана през приложението, включително от служител. Тези записи съдържат идентификатори, действия и отпечатъци, а не пълните данни за профила;

10.1.5. данните са при самостоятелен администратор — доставчикът на платежни услуги и куриерът прилагат собствени срокове по своите задължения. Ще препратим искането ви, но изтриването при тях не зависи от нас.

10.2. Какво става с профила при заявление за изтриване. Изтриването се извършва от служител. Към датата на тази версия профил, по който има записи от т. 10.1.4, не може да бъде изтрит изцяло, а платформата още няма готов начин за обезличаване на профила. Затова в отговора по т. 9.4 ще ви кажем точно кои данни сме изтрили, кои остават, на какво основание и докога.

11. Автоматизирани действия и профилиране

11.1. Не изготвяме профили и не оценяваме личността ви. Не изчисляваме рискова оценка за вас и не подреждаме обявите според това кой ги гледа. Решенията по спорове и по сигнали за съдържание се вземат от служител след преглед на доказателствата и се мотивират.

11.2. Някои стъпки по сделката се изпълняват автоматично, когато настъпи предварително обявено условие от Общите условия. Те не преценяват вас като личност, а следват сроковете и фактите по сделката:

11.2.1. автоматичен превод към продавача — когато периодът за проверка изтече, без купувачът да е потвърдил получаването или да е съобщил за проблем. Периодът започва от момента на доставка, съобщен от Еконт, и е 24 часа (т. 13.1 от Общите условия); продължителността му за всяка сделка се определя при създаването ѝ и се вижда на страницата на сделката. Преводът не става по-рано от 2 часа след записаното в сайта предупреждение. До обявения момент можете да съобщите за проблем. Тогава автоматичен превод няма, а сумата се разпределя по решението по спора. Автоматичното одобрение прекратява възможността за спор в платформата по тази сделка, но не погасява законовите ви права срещу продавача (т. 14.6 от Общите условия);

11.2.2. автоматичен отказ на платена сделка — ако продавачът не е създал товарителница до 48 часа след плащането и няма оспорване на плащането пред банката, сделката се отказва. Цената на вещта и доставката се връщат по начина, по който е платено, а таксата за защита — отделно (т. 3.4.3). Ако има товарителница или банково оспорване, сделката не се отказва автоматично, а случаят се преглежда от служител;

11.2.3. автоматично закриване на неплатена сделка — ако продавачът не опише пратката до 48 часа, ако купувачът не плати до 24 часа след последната цена на превоза, ако вещта е платена по друга сделка или ако обявата е спряна или премахната. По такава сделка нищо не е платено;

11.2.4. автоматично затваряне на сроковете по спор — сроковете за доказателства (по 48 часа за всяка страна), за допълнително доказателство (24 часа) и за изпращане при връщане. Изтичането на срок никога не превежда пари на никого; спорът преминава към следващата стъпка или се връща при служител;

11.2.5. проверки на условията на пилота — горни граници на цената, на броя незавършени сделки на един човек като купувач и като продавач, на броя незавършени сделки в платформата и на общата им стойност (т. 8.7 от Общите условия). Ако граница е достигната, нова сделка не може да започне;

11.2.6. проверка дали продавачът може да получава плащания — въз основа на настройките на плащанията в платформата и на състоянието, което доставчикът на платежни услуги ни съобщава, а не на наша оценка;

11.2.7. технически проверки — ограничаване на заявките при прекалено много опити; проверка на вида, размера и броя на файловете; проверка на доказателствата за зловреден софтуер (файл без чиста оценка или без възможност за проверка се отхвърля); списък за достъп в затворения пилот;

11.2.8. проверка на категорията и цената на обявата — обява в категория, която пилотът не приема, или с цена над границата по т. 11.2.5 не е публична (т. 28.4 от Общите условия).

11.3. Доставчикът на платежни услуги извършва свои проверки за измама. Той или банката ви може да изискат допълнително потвърждение на плащането — например при плащане с карта проверка, при която банката ви потвърждава, че плащането е ваше (3-D Secure). Дали плащане ще бъде отказано, решават доставчикът и банката ви, а не Garantivo.

11.4. Ако автоматично действие ви е засегнало, пишете ни на support@garantivo.bg. Случаят ще бъде прегледан от служител (т. 9.1.7). Прегледът не може да отмени вече извършен превод към продавача.

12. Възраст и данни на деца

12.1. Платформата е само за лица, навършили 18 години. Защитената сделка включва плащане, превоз и процедура по спорове и не е подходяща за непълнолетни.

12.2. Не проверяваме възрастта. Не събираме дата на раждане и не искаме документ за самоличност. Няма и отделно поле за потвърждение на възрастта. Изискването за 18 години е в т. 5.1 от Общите условия, които приемате при регистрация, и с регистрацията потвърждавате, че отговаряте на него.

12.3. Обработване на лични данни на дете под 14 години въз основа на съгласие е допустимо само със съгласието на родителя или настойника (чл. 25в от Закона за защита на личните данни). Ние не обработваме данни въз основа на съгласие и съзнателно не създаваме профили на лица под 18 години.

12.4. Ако установим или ни бъде съобщено, че профил принадлежи на лице под 18 години, може да спрем профила и да изтрием данните, които не сме длъжни да пазим. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: писмена процедура при открит профил на непълнолетен, включително какво става с текуща сделка]

12.5. Родител или настойник може да ни пише на support@garantivo.bg.

13. Бисквитки

13.1. Всичко за бисквитките и другите записи в браузъра ви — имена, цели, срокове и кой има достъп до тях — е описано в Политиката за бисквитки. Тук е само кратко обобщение. Ако двата текста се разминават, важи Политиката за бисквитки.

13.2. Докато само разглеждате сайта, без да влизате в профил, Garantivo не поставя бисквитки. Когато влезете в профила си, се поставят две бисквитки на Garantivo. Бисквитката за вход ви пази в профила до 7 дни от входа. В нея са шифровани идентификаторът на профила ви, името и електронната ви поща към момента на входа, ролята на профила, служебният номер на сесията и срокът ѝ, затова тя е лични данни. Втората бисквитка се поставя автоматично от библиотеката за вход и Garantivo не я използва. Нашият код не използва локалното или сесийното хранилище на браузъра.

13.3. На garantivo.bg не се зарежда скрипт на доставчика на платежни услуги. Плащането става на неговата страница, към която ви пренасочваме. Бисквитките и другите записи там се поставят от доставчика под неговия адрес и по неговите правила (т. 6.2.2 и раздел 5 от Политиката за бисквитки).

13.4. Нямаме бисквитки за анализ, реклама или измерване на посещенията. Не показваме банер за бисквитки и не искаме съгласието ви, защото смятаме, че бисквитките на Garantivo са строго необходими. Основанията са в раздел 6 от Политиката за бисквитки. Ако въведем бисквитки, които не са строго необходими, първо ще поискаме съгласието ви, а отказът ще бъде толкова лесен, колкото и съгласието.

14. Мерки за сигурност

14.1. Прилагаме следните мерки:

14.1.1. Пароли — пазят се само като отпечатък, изчислен с Argon2id — алгоритъм, създаден специално за пароли, който прави отгатването им бавно и скъпо.

14.1.2. Проверка на сесията при всяка заявка — правата, състоянието на профила и номерът на сесията се четат от базата данни при всяка заявка. Затова спирането на профил и „изход от всички устройства“ действат веднага.

14.1.3. Защита срещу заявки от чужди сайтове за всички действия, които променят данни.

14.1.4. Ограничаване на честотата на заявките при вход, регистрация, нова парола, сигнали и други чувствителни действия.

14.1.5. Частно хранилище за доказателства — файловете не са публично достъпни. Отварят се чрез връзка, която се издава след проверка на правата и важи само няколко минути. Файловете се отварят от адреса на хранилището, а не като страница на сайта.

14.1.6. Проверка за зловреден софтуер на всяко качено доказателство, преди да стане достъпно. Ако проверката не може да се извърши, файлът се отхвърля. В работната среда платформата не може да бъде пусната без настроена антивирусна програма. Снимките в обявите не се проверяват с антивирусна програма, а се преобразуват наново, без оригиналния файл и без вградените данни (т. 3.3.2).

14.1.7. Проверка на вида на файла по съдържанието му, а не по разширението, с разрешен списък от формати и граници за размер и брой.

14.1.8. Записи, защитени срещу промяна — одитният дневник и събитията по сделките, по споровете и по сигурността са защитени срещу промяна и изтриване от правила в самата база данни.

14.1.9. Отпечатъци вместо IP адреси — IP адресите и другите идентификатори за ограничаване на заявките се записват само като отпечатъци, изчислени с таен ключ.

14.1.10. Ограничения за съдържанието на страниците — уникален код за всяка заявка, забрана страниците да се вграждат в чужди сайтове и забрана за външни скриптове. Плащането става на страницата на доставчика на платежни услуги, а не в рамка в нашите страници.

14.1.11. Проверка на подписа на всяко съобщение от доставчика на платежни услуги и защита срещу повторна обработка на едно и също съобщение.

14.1.12. Защита на тайните — ключове и пароли не се записват в журналите, не се връщат в съобщения за грешка и не стигат до кода, който се изпраща на браузъра.

14.1.13. Сумите се изчисляват само от сървъра — браузърът не може да подаде сума, получател или валута. Плащане се приема само след като сървърът го прочете от доставчика и сумата съвпадне с очакваната.

14.2. Ограничения. Никоя мярка не е абсолютна. Връзката към файл в облачното хранилище се подписва от самото хранилище и за краткия си срок отваря файла на всеки, който я има. Служителите с роля администратор имат достъп до данните по сделка и спор (т. 6.7.1). Журналите съдържат служебни номера на профили. Казваме го, вместо да обещаваме, че злоупотреба е невъзможна.

15. Нарушения на сигурността на личните данни

15.1. При нарушение на сигурността, което създава риск за правата и свободите на хората, уведомяваме Комисията за защита на личните данни без излишно забавяне и не по-късно от 72 часа след като сме научили за него (чл. 33 ОРЗД).

15.2. Когато нарушението може да създаде висок риск за вас, ще ви уведомим и пряко — какво се е случило, какви могат да са последиците и какво сме направили (чл. 34 ОРЗД).

15.3. Документираме всяко нарушение, включително тези, за които не е нужно уведомяване (чл. 33, § 5 ОРЗД).

16. Промени в тази политика

16.1. Можем да променяме политиката, когато се променят услугата, доставчиците или законите.

16.2. При съществени промени ще ви уведомим по електронната поща, преди промените да влязат в сила. Актуалната версия и датата ѝ са посочени в началото. Тази политика не се приема, затова за новата версия не е нужно ваше действие (т. 1.5).

16.3. Пазим текста на всяка публикувана версия, за да може отпечатъкът по т. 3.1.5 да бъде сверен с нея. При поискване ще ви изпратим версията, която е действала към определена дата. [ИЗИСКВА БИЗНЕС РЕШЕНИЕ: начин за изпращане на уведомлението по т. 16.2 и архив на публикуваните версии]

17. Как да се свържете с нас

17.1. По всички въпроси за личните ви данни, за правата ви или за оплакване пишете на support@garantivo.bg.

17.2. Администратор: „МаксСтатс“ ООД, ЕИК 208936238, гр. Пловдив 4023, р-н Тракия, ж.к. Тракия, бл. 132, вх. Д, ет. 6, ап. 16.

17.3. Надзорен орган: Комисия за защита на личните данни, 1592 София, бул. „Проф. Цветан Лазаров“ № 2, https://cpdp.bg, kzld@cpdp.bg.