1. ОБХВАТ И РОЛИ
Настоящата Политика описва обработването на лични данни във връзка с: (а) създаването и ползването на единния профил за вход edno.id, предоставян от „Девелоджи" ООД; и (б) услугите, които „Девелоджи" ООД предоставя на търговците (обектите), ползващи платформата.
Приложенията на вертикалите на „Девелоджи" ООД, включително Stylogy, са част от платформата на „Девелоджи" ООД: Stylogy е наименованието, под което „Девелоджи" ООД предлага приложението, а не отделно лице. За обработването на лични данни в тези приложения важи настоящата Политика — вертикалите нямат свои политики за поверителност. Въпросите, исканията и възраженията по т. 9, свързани с тях, се отправят до „Девелоджи" ООД по т. 2. Когато искането се отнася до данни, за които администратор е търговецът (т. 12), „Девелоджи" ООД го препраща на търговеца без забавяне и му съдейства за изпълнението му; субектът може да отправи искането и пряко до търговеца.
Ролите в двата случая са различни и не се смесват:
- за данните на профила edno.id (данните за вход и удостоверяване) „Девелоджи" ООД е АДМИНИСТРАТОР на лични данни;
- за данните, които търговецът обработва за своите клиенти в приложението (записвания, история на предоставените услуги и подобни), АДМИНИСТРАТОР е търговецът, а „Девелоджи" ООД действа като ОБРАБОТВАЩ по документирано нареждане (виж т. 12).
2. АДМИНИСТРАТОР И КОНТАКТ
Наименование: „Девелоджи" ООД. Единен идентификационен код (ЕИК): 208826553. Седалище и адрес на управление (и адрес за кореспонденция): гр. Варна, п.к. 9022, ул. „Константин Илиев" № 3, вх. 1.
Електронна поща за въпроси и искания по защита на личните данни: privacy@develogy.net. Исканията по чл. 15–22 ОРЗД се отправят на този адрес и получават отговор в срока по чл. 12, § 3 ОРЗД. Част от правата се упражняват непосредствено през самия профил.
Не е определено длъжностно лице по защита на данните. Преценката по чл. 37, § 1 от Регламент (ЕС) 2016/679 (ОРЗД) е документирана и се преразглежда при съществена промяна в обема или естеството на обработването.
Надзорен орган: Комисия за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, електронна поща kzld@cpdp.bg, интернет страница www.cpdp.bg.
3. КАТЕГОРИИ ЛИЧНИ ДАННИ ПРИ ПРОФИЛ edno.id
При създаването и ползването на профил edno.id се обработват:
- име и фамилия;
- потребителско име;
- адрес на електронна поща;
- телефонен номер — само когато субектът избере да го предостави;
- удостоверяващи данни: необратим отпечатък (хеш) на паролата и/или публичният ключ, идентификаторът и броячът на регистриран passkey (WebAuthn). Passkey механизмът НЕ предава биометрични данни към „Девелоджи" ООД — биометричната проверка, ако се използва, се извършва изцяло в устройството на субекта и не го напуска; поради това по този път не се обработват данни по чл. 9 ОРЗД;
- признак за потвърденост на адреса на електронната поща;
- технически данни при вход и при действия, свързани със сигурността: IP адрес, дата и час, данни за браузъра/устройството, идентификатор на сесията, записи в журнала за сигурност (успешен и неуспешен вход, смяна на парола, регистрация на удостоверяващо средство);
- еднократни кодове за потвърждаване на адреса на електронната поща. Кодът НЕ се съхранява в явен вид: пази се само необратим отпечатък (SHA-256) в сесията за удостоверяване, с ограничен срок на валидност и ограничен брой опити, и се заличава при потвърждение, при изтичане на срока или при неуспешна доставка.
4. ЦЕЛИ И ПРАВНИ ОСНОВАНИЯ
а) Създаване и поддържане на профила и осигуряване на единен и сигурен вход (SSO) към свързаните приложения — чл. 6, § 1, б. „б“ ОРЗД (изпълнение на договор и предприемане на стъпки по искане на субекта преди сключването му).
б) Потвърждаване на адреса на електронната поща — чл. 6, § 1, б. „б“ ОРЗД, тъй като потвърденият канал за контакт е част от самата услуга (възстановяване на достъп и съобщения, свързани с профила). Обработване на доброволно предоставен телефонен номер като резервен канал за връзка във връзка с профила — чл. 6, § 1, б. „а“ ОРЗД (съгласие). Номерът не се проверява и не се използва за удостоверяване. Съгласието може да бъде оттеглено по всяко време чрез премахване на номера от профила, без това да засяга ползването на услугата.
в) Сигурност на профилите и на платформата, разкриване и предотвратяване на злоупотреби, водене на журнал за сигурност — чл. 6, § 1, б. „е“ ОРЗД (легитимен интерес). Обработват се само минимално необходимите технически данни; те не се използват за профилиране, за оценка на личността или за маркетинг.
г) Предоставяне на идентификационните и контактните данни на търговеца, при когото субектът заявява услуга — чл. 6, § 1, б. „б“ ОРЗД, доколкото предоставянето е необходимо за заявената от субекта услуга. За обработване, което надхвърля тази необходимост (например маркетингови съобщения от търговеца) или за данни за здравословното състояние, основанието е отделно и изрично съгласие — съответно чл. 6, § 1, б. „а“ и чл. 9, § 2, б. „а“ ОРЗД. Заявяването се документира с подписан документ, в който се посочват версиите на правните страници, действали към момента на подписването.
д) Изпълнение на законови задължения — чл. 6, § 1, б. „в“ ОРЗД (например счетоводни и данъчни задължения при издаване на фактура по искане на физическо лице; за него важат отделно уведомление и отделни, по-дълги законови срокове).
Телефонният номер и адресът на електронната поща не се използват за изпращане на търговски съобщения.
Не се извършва автоматизирано вземане на решения, включително профилиране, което поражда правни последици за субекта или го засяга в значителна степен по подобен начин (чл. 22 ОРЗД). За защита от неоторизиран достъп се прилага автоматично временно ограничаване на опитите за вход след определен брой неуспешни опита. Ограничението е временно, не води до постоянно блокиране на профила и не представлява решение по смисъла на чл. 22 ОРЗД; по искане на субекта, отправено на електронната поща по т. 2, то се преразглежда от служител.
5. ЗАДЪЛЖИТЕЛНОСТ НА ПРЕДОСТАВЯНЕТО (чл. 13, § 2, б. „д“ ОРЗД)
Името, потребителското име и адресът на електронната поща са задължителни за създаването на профил edno.id — без тях профилът не може да бъде създаден и достъпът до свързаните приложения не може да бъде осигурен. Телефонният номер е ДОБРОВОЛЕН: предоставя се по избор на субекта, за възстановяване на достъп и за съобщения, свързани със сигурността на профила. Непредоставянето му не пречи на създаването и ползването на профила и не ограничава достъпа. Регистрирането на passkey също е доброволно и представлява алтернатива на паролата.
6. ПОЛУЧАТЕЛИ И КАТЕГОРИИ ПОЛУЧАТЕЛИ (чл. 13, § 1, б. „д“ ОРЗД)
Лични данни не се продават и не се предоставят на трети лица за техни маркетингови цели. Данни се разкриват само на:
- свързаното приложение, в което субектът влиза — в обем, ограничен до данните, необходими за идентификация и комуникация;
- търговеца, при когото субектът заявява услуга — в обема по т. 4, б. „г“;
- обработващи лични данни по чл. 28 ОРЗД, действащи единствено по документирано нареждане и обвързани с договор с предмет по чл. 28, § 3 ОРЗД, а именно доставчик на услуги за електронна поща, чрез който се доставят съобщенията, свързани с профила, установен в САЩ (виж т. 7);
- компетентни органи, когато разкриването е задължително по закон.
Сървърите, на които се обработват личните данни, и резервните копия се намират в два собствени центъра за данни на „Девелоджи" ООД на територията на Европейския съюз (България) и не се поддържат от външни обработващи.
Поименният и актуален списък на обработващите по всяка от посочените категории се предоставя при поискване на електронната поща по т. 2. Замяната на конкретен обработващ в рамките на вече посочена категория не изменя настоящата Политика.
7. ПРЕДАВАНЕ КЪМ ТРЕТИ ДЪРЖАВИ (чл. 13, § 1, б. „е“ и чл. 44–49 ОРЗД)
За доставката на съобщенията, свързани с профила, се ползва доставчик на услуги за електронна поща, установен в САЩ — Amazon Web Services, Inc. (услугата Amazon Simple Email Service, регион eu-central-1 — Франкфурт, Германия). Предаването се извършва въз основа на Решение за изпълнение (ЕС) 2023/1795 на Комисията относно адекватното ниво на защита на личните данни в рамките на Рамката за защита на личните данни ЕС–САЩ (чл. 45 ОРЗД), доколкото доставчикът е включен в списъка на сертифицираните организации, а допълнително — и въз основа на стандартни договорни клаузи по чл. 46, § 2, б. „в“ ОРЗД. Информация за приложимото основание и копие от подходящите гаранции се предоставят при поискване на електронната поща по т. 2. Останалото обработване се извършва на инфраструктура в Европейския съюз.
8. СРОКОВЕ НА СЪХРАНЕНИЕ (чл. 13, § 2, б. „а“ ОРЗД)
- Данни на профила edno.id — за срока на съществуване на профила. След изтриване на профила данните се премахват от работещите системи в срок до 30 дни, а от резервните копия — в срок до 30 дни след премахването им от работещите системи. Резервните копия се съхраняват по график и не се използват за друга цел освен възстановяване след срив.
- Доброволно предоставен телефонен номер — до премахването му от профила или до изтриване на профила, което настъпи по-рано. При заличаване на номера се заличава и признакът за потвърденост, ако такъв е бил вписан.
- Записи за събития при вход в профила (успешен и неуспешен вход, регистрация, смяна на парола, потвърждаване на контактни данни, регистрация на удостоверяващо средство), включително IP адрес и време — 90 дни.
- Записи за административни действия по профила (промени, извършени от администратор) — 12 месеца.
- Когато конкретни записи са относими към разследване на инцидент по сигурността или към установяване, упражняване или защита на правни претенции, те се обособяват и се съхраняват до приключване на съответното производство, но не повече от 5 години (чл. 17, § 3, б. „д“ ОРЗД).
- Еднократни кодове за потвърждение — до 10 минути, след което отпечатъкът се заличава.
- Подписаните съгласия и правните артефакти към тях — за сроковете, определени в правилата за задържане по вид съгласие. Когато е налице законово задължение за съхранение (счетоводни и данъчни документи), важи законоустановеният срок; оттеглянето на съгласие не съкращава законов срок и не води до незабавно изтриване на документ, който подлежи на съхранение по закон.
9. ПРАВА НА СУБЕКТА НА ДАННИ
Субектът има право на: достъп до данните и до информация за обработването (чл. 15 ОРЗД); коригиране (чл. 16); изтриване (чл. 17); ограничаване на обработването (чл. 18); преносимост на данните, предоставени от него, в структуриран, широко използван и машинночетим формат (чл. 20). Съгласието може да бъде оттеглено по всяко време (чл. 7, § 3 ОРЗД), без това да засяга законосъобразността на обработването, извършено до оттеглянето.
Част от правата се упражняват непосредствено през самия профил (преглед и коригиране на данните, премахване на телефонния номер, изтриване на профила). Останалите искания се отправят на електронната поща по т. 2. Субектът има право да подаде жалба до КЗЛД (чл. 77 ОРЗД).
Искане за изтриване се изпълнява съгласувано между профила и записаните съгласия: изтриването на профила е обвързано с изтриване на свързаните с него съгласия, доколкото те не подлежат на съхранение по закон.
ПРАВО НА ВЪЗРАЖЕНИЕ. Субектът има право по всяко време, на основания, свързани с неговата конкретна ситуация, да възрази срещу обработване на негови лични данни, което се извършва на основание легитимен интерес — обработването по т. 4, б. „в“. Възражението се отправя на електронната поща по т. 2. При постъпило възражение обработването се прекратява, освен ако администраторът докаже убедителни законови основания, които имат предимство пред интересите, правата и свободите на субекта, или основанията да се установяват, упражняват или защитават правни претенции (чл. 21, § 1 ОРЗД).
10. СИГУРНОСТ НА ОБРАБОТВАНЕТО (чл. 32 ОРЗД)
Данните се пренасят по криптирани канали. Паролите се съхраняват единствено като необратим отпечатък. Достъпът до системите е ограничен по роля и се журналира. Запечатаните доказателства за съгласие се съхраняват криптирани по модел на разделено попечителство („2-от-3“), при който „Девелоджи" ООД не може да ги разчете самостоятелно.
Записите в одитния журнал на системата за съгласия се водят без лични данни — с непрозрачни идентификатори, а не с имена, адреси или телефонни номера. Журналът за сигурност на профила по т. 3 съдържа технически данни, включително IP адрес, и се съхранява в сроковете по т. 8.
11. БИСКВИТКИ ПРИ ВХОД И РЕГИСТРАЦИЯ
При вход и регистрация се използват само строго необходими бисквитки — за поддържане на сесията за удостоверяване и за защита от подправяне на заявки. Те са необходими за предоставянето на изрично поисканата от субекта услуга и за тях не се изисква съгласие. На екраните за вход и регистрация не се използват бисквитки или подобни технологии за анализ на поведението, за измерване на аудитория или за маркетинг.
12. РОЛЯТА НА ОБРАБОТВАЩ ЗА ДАННИТЕ, ОБРАБОТВАНИ ОТ ТЪРГОВЕЦА
За данните, които търговецът (обектът) обработва за своите клиенти чрез платформата, администратор е търговецът. „Девелоджи" ООД действа като обработващ по документирано нареждане, не използва тези данни за собствени цели и не може да разчита самостоятелно съхраняваните запечатани доказателства (модел на разделено попечителство 2-от-3). Информация за целите, основанията и сроковете при това обработване се предоставя от съответния търговец.
13. ВЕРСИЯ, ВЛИЗАНЕ В СИЛА И ДОКАЗУЕМОСТ
Настоящата редакция е ВЕРСИЯ 4. Тя влиза в сила от датата на публикуването ѝ в регистъра на правните страници и от този момент замества версия 3, която се архивира и остава проверима. Версията, съдържанието и датата на публикуване се вписват в регистъра и се удостоверяват с криптографски отпечатък (hash), така че е доказуемо коя редакция е била в сила към дадена дата. Промяна в настоящата Политика се извършва само чрез публикуване на нова версия — текстът на публикувана версия не се изменя.
Ако лични данни бъдат обработени за цел, различна от посочените в т. 4, преди това на субекта се предоставя информация за новата цел и всяка друга необходима информация по чл. 13, § 2 ОРЗД.