Политика за поверителност
и защита на личните данни на платформата Bids & Cars
Съдържание
Настоящата Политика за поверителност описва как „БИДС ЕНД КАРС“ ЕООД обработва и защитава личните данни на потребителите на платформата Bids & Cars в съответствие с Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните – GDPR) и Закона за защита на личните данни (ЗЗЛД).
1. Кои сме ние (Администратор на лични данни)
Администратор на личните данни е:
- Наименование: „БИДС ЕНД КАРС“ ЕООД
- ЕИК: 208669995
- Седалище и адрес на управление: гр. Кюстендил, ул. „Иларион Ловчански“ № 16
- Представляващ: Кристиан Бориславов Брусарски
- Платформа: уебсайт https://bidsandcars.bg и мобилно приложение Bids & Cars
- Имейл за контакт по въпроси за лични данни: [email protected]
Длъжностно лице по защита на данните (ДЛЗД): „БИДС ЕНД КАРС“ ЕООД е определило длъжностно лице по защита на данните в съответствие с чл. 37 GDPR. Имейл за контакт: [email protected].
Данните за контакт на ДЛЗД са съобщени на Комисията за защита на личните данни съгласно чл. 37, § 7 GDPR. Можете да се обръщате към длъжностното лице по всички въпроси, свързани с обработването на Вашите лични данни и с упражняването на правата Ви по настоящата Политика.
2. Обхват на политиката
Тази Политика се прилага за всички физически лица, чиито данни обработваме във връзка с използването на платформата Bids & Cars – посетители, регистрирани потребители, купувачи, продавачи и лица за контакт на бизнес профили. Платформата действа като посредник и организатор на онлайн автомобилни аукциони и не е страна по сделките между купувачи и продавачи.
3. Основни понятия
- „Лични данни“ – всяка информация, свързана с идентифицирано или подлежащо на идентифициране физическо лице.
- „Обработване“ – всяко действие с лични данни (събиране, съхранение, използване, разкриване, изтриване и др.).
- „Администратор“ – лицето, което определя целите и средствата за обработване – в случая „БИДС ЕНД КАРС“ ЕООД.
- „Обработващ лични данни“ – лице, което обработва данни от името на администратора (напр. платежен доставчик, хостинг доставчик).
4. Какви лични данни обработваме
4.1. Регистрационни и профилни данни: потребителско име / две имена, имейл адрес, телефонен номер, парола (съхранявана в криптиран/хеширан вид).
4.2. Данни за идентификация и верификация (KYC):
- За физически лица: две имена, телефонен номер, имейл и копие/снимка на валиден документ за самоличност (лична карта или паспорт) с видими имена, снимка и валидност.
- За юридически лица: фирмено наименование, ЕИК/регистрационен номер, адрес на управление, лице за контакт, телефон, имейл и документ за самоличност на законния представител.
- Допълнителни документи при необходимост: за удостоверяване на собственост, представителна власт, произход на автомобила, платежоспособност или произход на средствата.
Забележка: Копията на документи за самоличност съдържат единен граждански номер (ЕГН) – национален идентификатор по смисъла на чл. 25 ЗЗЛД, който обработваме само доколкото е необходимо за идентификация и изпълнение на законови задължения. При верификацията не се извършва автоматизирано сравняване на лицеви изображения и не се извършва обработване на биометрични данни по чл. 9 GDPR.
4.3. Данни за аукциони и сделки: данни за публикувани обяви и автомобили (вкл. VIN и история, доколкото съдържат лични данни), депозити, наддавания, оферти и контраоферти, статуси, история на сделки и комуникация в процеса.
4.4. Платежни и финансови данни: данни, свързани с депозити, плащания и комисиони. Картовите и платежните данни се обработват директно от платежния доставчик (Stripe); платформата по правило получава само потвърждения и ограничена транзакционна информация, без да съхранява пълни картови данни.
4.5. Технически данни: IP адрес, дата и час на действията, тип устройство и браузър, електронни логове и кореспонденция, бисквитки и сходни технологии (виж раздел „Бисквитки“).
4.6. Комуникационни данни: съдържание на съобщенията, които ни изпращате чрез формата за контакт, имейл или поддръжката.
5. Цели и правни основания на обработването
Обработваме личните Ви данни за посочените по-долу цели и на следните правни основания по чл. 6 GDPR:
| Цел на обработването | Категории данни | Правно основание |
|---|---|---|
| Регистрация, създаване и управление на потребителски акаунт (личен или бизнес). | Идентификационни и контактни данни; данни за вход. | Чл. 6, § 1, б. „б“ GDPR – изпълнение на договор (Общите условия). |
| Провеждане на онлайн автомобилни аукциони – публикуване на обяви, наддаване, оферти и контраоферти, реализиране на сделки (Deal Flow), escrow. | Данни за акаунта; данни за обяви и автомобили; данни за наддавания, депозити и сделки. | Чл. 6, § 1, б. „б“ GDPR – изпълнение на договор. |
| Идентификация и верификация на потребителите (KYC), предотвратяване на измами и злоупотреби, проверка на собственост и произход. | Документ за самоличност; KYC данни; документи за собственост/произход; данни за поведение. | Чл. 6, § 1, б. „в“ GDPR – законово задължение; и чл. 6, § 1, б. „е“ GDPR – легитимен интерес (сигурност и превенция на измами). |
| Обработка на плащания, депозити и комисиони чрез платежен доставчик (Stripe). | Транзакционни и платежни данни; данни за акаунта. | Чл. 6, § 1, б. „б“ GDPR – изпълнение на договор; чл. 6, § 1, б. „в“ GDPR – законово задължение. |
| Издаване на фактури и спазване на счетоводни и данъчни задължения. | Идентификационни, транзакционни и платежни данни. | Чл. 6, § 1, б. „в“ GDPR – законово задължение (ЗСч, ЗДДС, ДОПК). |
| Споделяне на имена и контактни данни с насрещната страна при потвърдена сделка. | Имена, телефонен номер, имейл адрес. | Чл. 6, § 1, б. „б“ GDPR – изпълнение на договор; чл. 6, § 1, б. „е“ GDPR – легитимен интерес. |
| Поддържане на логове и технически записи като доказателство за регистрация, приемане на Общите условия и възникване на договорното отношение. | IP адрес, дата/час, устройство, браузър, електронни логове и кореспонденция. | Чл. 6, § 1, б. „е“ GDPR – легитимен интерес (доказателствена сигурност); чл. 6, § 1, б. „б“ GDPR. |
| Сигурност на платформата, разрешаване на спорове и защита на правни претенции. | Данни за акаунта, транзакции, комуникация и поведение. | Чл. 6, § 1, б. „е“ GDPR – легитимен интерес; чл. 6, § 1, б. „в“ GDPR, когато е приложимо. |
| Комуникация с потребителите (поддръжка, уведомления, отговор на запитвания). | Контактни данни и съдържание на кореспонденцията. | Чл. 6, § 1, б. „б“ и б. „е“ GDPR. |
| Маркетинг, бюлетин и промоционални съобщения. | Имейл адрес и/или телефонен номер. | Чл. 6, § 1, б. „а“ GDPR – съгласие (оттегляемо по всяко време). |
6. Източници на данните
Обработваме данни, които: (а) Вие ни предоставяте при регистрация, верификация, публикуване на обяви, наддаване и комуникация; (б) се генерират автоматично при използване на платформата (технически данни и логове); и (в) при определени случаи получаваме от трети лица (напр. потвърждения от платежния доставчик или от публични регистри при проверка на данни за автомобил/собственост).
7. Категории получатели и трети лица
Не продаваме Вашите лични данни. Можем да ги разкриваме на следните категории получатели само доколкото е необходимо:
- Доставчик на платежни услуги – Stripe – за обработка на депозити, плащания, комисиони и escrow механизма.
- Насрещна страна по сделка – имена и контактни данни (телефон, имейл) се споделят с купувача/продавача при потвърдена сделка (виж раздел 8).
- Доставчици на хостинг и IT/техническа поддръжка – SuperHosting и Studioweb.bg.
- Счетоводни, правни и други професионални консултанти, обвързани със задължение за поверителност.
- Компетентни държавни органи, съдилища и длъжностни лица – когато имаме законово задължение да предоставим информация.
Когато ангажираме обработващи лични данни, това става въз основа на писмено споразумение по чл. 28 GDPR, което гарантира съответно ниво на защита.
8. Споделяне на данни с насрещната страна по сделка
При успешно приключване на аукцион и потвърдена сделка купувачът и продавачът встъпват в директни договорни отношения помежду си. За да е възможно това, платформата споделя имената и данните за контакт (телефонен номер и имейл) на едната страна с другата. С приемането на Общите условия и участието в платформата потребителят е информиран за това споделяне, което е необходимо за изпълнение на договора и осъществяване на сделката.
9. Платежни услуги (Stripe)
Всички плащания, свързани с депозити, продажни цени и комисиони, се обработват чрез външния доставчик на платежни услуги Stripe. Платформата не съхранява и не управлява директно картовите данни на потребителите. Stripe обработва платежните данни като самостоятелен администратор и/или обработващ съгласно собствената си политика за поверителност. Препоръчваме да се запознаете с нея на https://stripe.com/privacy.
10. Предаване на данни извън ЕС/ЕИП
По правило обработваме данните Ви в рамките на Европейския съюз/Европейското икономическо пространство. В случай че някой от нашите доставчици (напр. Stripe) обработва данни извън ЕИП, такова предаване се извършва само при наличие на подходящи гаранции по глава V GDPR – решение на Европейската комисия относно адекватно ниво на защита или Стандартни договорни клаузи (SCC).
11. Срокове на съхранение
Съхраняваме личните Ви данни само за периода, необходим за постигане на целите, за които са събрани, или за срока, изискван от закона:
| Категория данни | Срок на съхранение |
|---|---|
| Данни за акаунта и профила | За срока на съществуване на профила и до 1 година след закриването му, освен ако по-дълъг срок не е необходим за защита на правни претенции. |
| KYC документи и документи за самоличност | 5 години след прекратяване на отношенията – чл. 67 ЗМИП, ако дружеството е задължено лице; в противен случай до приключване на свързаните сделки и давностните срокове. |
| Договорни и транзакционни данни (аукциони, депозити, сделки) | До изтичане на приложимите давностни срокове, а именно 5 години от приключване на сделката. |
| Счетоводни и данъчни документи (фактури) | Съгласно ЗСч и ДОПК – до 10 години за определени документи; данъчно-осигурителна информация – 5 години след погасяване по давност. |
| Технически логове и записи за сигурност | 12 месеца, освен когато са необходими като доказателство при спор. |
| Данни, обработвани въз основа на съгласие (напр. маркетинг) | До оттегляне на съгласието или до отпадане на целта, което настъпи по-рано. |
| Данни във връзка със спорове и правни претенции | До окончателното разрешаване на спора и изтичане на съответните давностни срокове или срокове за обжалване. |
12. Автоматизирано вземане на решения и профилиране
Платформата използва автоматизирани процеси, включително: автоматично отхвърляне на наддавания, които не отговарят на правилата на аукциона; автоматизиран или частично автоматизиран преглед на KYC данни; и анализ на поведение с цел предотвратяване на измами.
Решения, които пораждат правни последици или съществено засягат потребителя (напр. отказ на верификация, блокиране на акаунт, задържане на средства), се вземат с участието на човек (човешка намеса и преглед). Имате право да изразите становище, да оспорите такова решение и да поискате преразглеждане.
13. Сигурност на личните данни
Прилагаме подходящи технически и организационни мерки за защита на личните данни срещу неоторизиран достъп, загуба, изменение или разкриване, включително: контрол на достъпа, съхранение в база данни без външен достъп, криптиране/хеширане на пароли, журналиране на действията и редовен преглед на мерките за сигурност. Достъпът на потребителя до акаунта е защитен с потребителско име и парола, които потребителят е длъжен да пази в тайна и да не предоставя на трети лица.
14. Вашите права като субект на данни
В съответствие с GDPR и ЗЗЛД имате следните права:
- Право на информация и достъп (чл. 13–15) – да получите информация дали обработваме Ваши данни, кои са те и да получите копие от тях.
- Право на коригиране (чл. 16) – да поискате коригиране на неточни или допълване на непълни данни.
- Право на изтриване / „да бъдете забравен“ (чл. 17) – да поискате заличаване на данните Ви, когато няма законово основание за по-нататъшното им съхранение.
- Право на ограничаване на обработването (чл. 18) – да поискате временно ограничаване в определени случаи, напр. при оспорване на точността.
- Право на преносимост (чл. 20) – да получите данните, които сте предоставили, в структуриран, машинночетим формат и да ги прехвърлите към друг администратор.
- Право на възражение (чл. 21) – да възразите срещу обработване, основано на легитимен интерес, както и срещу директен маркетинг по всяко време.
- Право на оттегляне на съгласие (чл. 7, § 3) – когато обработваме данни въз основа на съгласие, можете да го оттеглите по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.
- Права при автоматизирано решение (чл. 22) – да не бъдете обект на решение, основано единствено на автоматизирано обработване, което поражда правни последици за Вас, освен в предвидените от закона случаи.
15. Как да упражните правата си
Можете да упражните правата си, като се свържете с нас на [email protected] или чрез формата за контакт в платформата. Ще отговорим на искането Ви без необосновано забавяне и във всички случаи в срок до един месец от получаването му, който при необходимост може да бъде удължен с още два месеца съобразно сложността и броя на исканията. За да защитим данните Ви, можем да поискаме допълнителна информация за потвърждаване на самоличността Ви. Упражняването на правата е безплатно, освен в случаите на явно неоснователни или прекомерни искания.
16. Право на жалба до надзорния орган
Ако смятате, че обработването на личните Ви данни нарушава приложимото законодателство, имате право да подадете жалба до надзорния орган в Република България:
- Наименование: Комисия за защита на личните данни (КЗЛД)
- Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2
- Телефон: 02/915 35 18
- Имейл: [email protected]
- Уебсайт: www.cpdp.bg
17. Бисквитки (Cookies)
Платформата използва бисквитки и сходни технологии за функционирането, сигурността и подобряването на услугата. Подробна информация за видовете бисквитки, целите им и начините за управление на съгласието е достъпна в отделната Политика за бисквитки.
18. Лица под 18 години
Платформата и услугите ѝ са предназначени единствено за пълнолетни и дееспособни лица, навършили 18 години. Не събираме съзнателно лични данни на лица под 18 години. Ако установим, че сме обработили данни на такова лице без надлежно основание, ще ги заличим.
19. Промени в настоящата Политика
Можем периодично да актуализираме настоящата Политика, за да отразим промени в дейността си или в приложимото законодателство. Актуалната версия се публикува в платформата с обозначена дата на последна актуализация. При съществени промени ще Ви уведомим по подходящ начин.
20. Контакти
За всякакви въпроси относно настоящата Политика или обработването на личните Ви данни, моля свържете се с нас:
- „БИДС ЕНД КАРС“ ЕООД, ЕИК 208669995
- гр. Кюстендил, ул. „Иларион Ловчански“ № 16
- Имейл: [email protected]
- Уебсайт: https://bidsandcars.bg