Политика за защита на личните данни

Кой отговаря за данните

1. „ДЕВИДС“ ООД, ЕИК 208640634, гр. Велико Търново, п.к. 5000, ул. „Филип Тотю“ № 17, вх. А, ет. 6, ап. 12, contact@devids.eu, предоставя Classes. Тази политика обхваща сайта www.classes.bg, средите app.classes.bg и auth.classes.bg и приложението Classes.bg. Запитвания относно личните данни се изпращат на contact@devids.eu, с тема „Лични данни“.

2. ДЕВИДС ООД е администратор за собствените отношения с посетители, лица за контакт в организации и притежатели на общия потребителски профил, за сигурността на собствената услуга, собственото фактуриране, поддръжката и разрешената собствена реклама.

3. За управлението на записванията, групите, посещаемостта, съобщенията и задълженията към конкретна школа или клуб администратор е съответната Организация, а ДЕВИДС ООД обработва данните по нейни инструкции. Това важи и когато лицето въвежда информацията директно през екрана на Classes. Организацията предоставя собствено уведомление и определя основанието и сроковете за тези операции.

4. Общият профил за вход се разграничава от записите в отделните организации. Една Организация няма право да вижда отношенията Ви с други организации само защото използват една и съща платформа. Ако имате искане, засягащо и двете роли, ДЕВИДС ООД разглежда собствената част и съдейства за частта на Организацията.

Данни цели и основания

5. При запитване, демонстрация или заявка за оферта обработваме имена, служебна роля, организация, електронна поща, телефон, избран час и съдържание на кореспонденцията. Целта е да отговорим и организираме срещата. Основанието е предприемане на стъпки по искане на физическото лице преди договор, когато то е бъдещата страна, или законен интерес за делова комуникация с представители на организации. Не изпращайте детски списъци или чувствителни данни във форма за демонстрация.

6. За потребителски профил обработваме имена, електронна поща, телефон, профилен идентификатор, състояние и настройки на профила и данни, необходими за удостоверяване на входа. Основанието е изпълнение на договора за достъп с притежателя на профила. При служебни потребители допълнително се прилага законният интерес на Доставчика и Организацията за управление на упълномощения достъп. Данни от външен вход се получават в разрешения от Вас и необходим за удостоверяване обхват.

7. Данни за дете се предоставят от родител или законен представител или се въвеждат по законосъобразно възлагане на Организацията. Задължителни са имената на детето, неговата дата на раждане и имената на родителя, защото се предоставят на Организацията, в която детето е записано, за разпределяне в група и провеждане на занятията. Обработват се и избраната група и данните за посещаемост. Училището на детето, държавата и допълнителни демографски данни не са задължителни и се попълват по избор.

8. Ако родителят поддържа общ детски профил, използваем по негов избор за повече от една Организация, минималната връзка родител–дете и необходимите идентификационни данни се обработват от ДЕВИДС ООД на основание законен интерес да осигури заявеното от родителя управление, при засилена защита на детето и право на възражение. Доставчикът не основава обработването на данните на детето автоматично на договора с родителя. Данните за конкретното занятие остават под контрола на Организацията.

9. Организацията определя основанието за записване и провеждане на занятията. То може да е изпълнение на договор с детето чрез негов представител, приложимо законово задължение или обоснован законен интерес според конкретното отношение. Съгласие се използва само за действително доброволна цел, когато е подходящо. По чл. 25в от Закона за защита на личните данни съгласие за обработване на данни на лице под 14 години се дава от упражняващия родителски права родител или настойника; това правило не означава, че всички операции с детски данни изискват съгласие.

10. За плащанията обработваме данни за платец и получател, сума, дата, основание, идентификатор и статус на плащането, както и данни за фактура, когато са необходими. ДЕВИДС ООД е администратор за собствените приходи и счетоводни документи на основание договор и законово задължение. За такси към школа техническата обработка се извършва по нейно възлагане. Пълните картови данни и кодът за сигурност се въвеждат при платежния доставчик, а не в свободни полета на Classes.

11. За сигурност, предотвратяване на злоупотреби и техническа поддръжка обработваме IP адрес, време на достъп, вид устройство и браузър, технически дневници и съобщени грешки. Основанията са законен интерес за защитена и работеща услуга и изпълнение на приложимите задължения за сигурност. Не включваме съдържание на детски досиета или платежни тайни в диагностичните записи, когато това не е необходимо.

12. За рекламни съобщения на ДЕВИДС ООД използваме избрани от Вас контактни данни и предпочитания само след отделно съгласие. То се оттегля чрез връзката за отписване или на contact@devids.eu. Отказът не засяга достъпа до услугата. Служебни известия за сигурност, плащане и график не са реклама и се изпращат на съответното договорно или друго приложимо основание.

13. Незадължителните анализи чрез Google Analytics и рекламните технологии се активират след избор в настройките за поверителност. Конкретните инструменти и срокове са посочени в Политиката за бисквитки. Данни от частните профили, детски идентификатори, електронни адреси и съдържание на формуляри не се изпращат към рекламни или общи аналитични системи.

14. Снимки, видеа и съобщения се обработват само при използване на съответна функция и в показания обхват на достъп. Материали, предоставени на школа за организация на занятията, не стават публични и не се използват за реклама на Classes. Публична препоръка или изображение с разпознаваемо лице се публикува при отделно уредено основание и информация за конкретното използване.

15. Не използваме данните за решения, основани единствено на автоматизирано обработване, които пораждат правни или подобни значими последици за Вас. Изчисляването на такса, техническо напомняне или показването на свободно място не заменя решението на Организацията. Можем да използваме анонимизирани и обобщени статистически данни, от които не може да бъде установено конкретно лице, за подобряване на услугата. Функциите с изкуствен интелект обработват данните на Организацията само по нейно възлагане. Лични данни не се използват за обучение на модели с изкуствен интелект без отделно основание и предварително информиране.

Откъде получаваме данните и задължителни ли са

16. Данните се получават от самото лице, неговия представител, избраната Организация, удостоверителната или платежната услуга и от използването на системата. Когато информацията не е получена пряко от лицето и ДЕВИДС ООД е администратор, предоставяме информацията по чл. 14 от Общия регламент в разумен срок и най-късно до един месец от получаването, а при първа комуникация или разкриване преди това – най-късно при съответното действие, освен при приложимо законово изключение.

17. Задължителните полета се обозначават при събиране. Без минималните данни за удостоверяване не може да се създаде защитен профил, а без необходимите данни за записване или фактуриране съответната функция не може да бъде изпълнена. Незадължителните полета, рекламното съгласие и незадължителните бисквитки не са условие за основната услуга.

Получатели и външни услуги

18. Достъп имат оправомощени членове на екипа според задачата им. Данни се предоставят на избраната Организация и нейните оправомощени лица, на доставчици на инфраструктура, удостоверяване, техническа поддръжка и съобщения, както и на счетоводни и правни съветници в необходимия обхват. Компетентни органи получават данни при законово основание.

19. Системата и базата данни на Classes се хостват в Microsoft Azure, в регион Северна Европа (Ирландия). Служебните имейли се изпращат чрез Resend. Auth0 се използва за удостоверяване на достъпа. При избор на вход с Google или Apple съответното дружество обработва информация за собствения Ви профил съобразно своите условия, а Classes получава необходимите атрибути за вход. Stripe участва в картовите плащания; според операцията може да действа като обработващ или като самостоятелен администратор, например за регулаторни проверки и предотвратяване на измами. Неговите самостоятелни обработки са описани в политиката му на stripe.com/privacy.

20. Консултациите и срещите се записват през собствената система за записване на www.classes.bg. Въведените данни (име, имейл, телефон и отговорите във формата) се използват за организиране на срещата: създаваме събитие в Google Calendar с линк за Google Meet и изпращаме потвърждение по имейл с възможност за смяна на часа. Формата е защитена от автоматизирани заявки чрез Cloudflare Turnstile. Можете да заявите консултация и чрез contact@devids.eu.

21. При разрешени анализи Google Analytics обработва технически данни за използването на публичния сайт. Google Tag Manager управлява включването на технически маркери и сам по себе си не е основание за събиране на данни. При разрешени рекламни технологии Meta Pixel на Meta Platforms Ireland Limited измерва резултатите от рекламите на Classes във Facebook и Instagram. Когато попълните рекламна форма за запитване във Facebook или Instagram, Meta предава на ДЕВИДС ООД въведените от Вас данни, които обработваме за целите по т. 5. Доставчиците на операционните системи и магазините за приложения обработват данни за разпространението и използването на собствените си услуги. Системно разрешение за известия или достъп до избрана снимка не е съгласие за всяка цел на ДЕВИДС ООД.

22. Информация за конкретните юридически лица, местата на обработване и приложимите гаранции се предоставя при поискване на contact@devids.eu. Когато нов получател или цел изисква допълнително предварително информиране или съгласие, това се прави преди започване на обработването.

Предаване извън Европейското икономическо пространство

23. Използването на международни доставчици може да включва обработване или отдалечен достъп от трети държави, включително САЩ. Предаване се допуска при приложимо решение за адекватно ниво на защита за конкретния получател или при подходящи гаранции, като стандартните договорни клаузи на Европейската комисия и необходимите допълнителни мерки. При позоваване на рамката ЕС–САЩ се проверяват действащият статус и обхватът на сертифициране на конкретното дружество.

24. Договор за обработване сам по себе си не заменя основанието за международно предаване. Поискване на копие или описание на гаранциите е възможно на contact@devids.eu, при защита на търговската тайна и данните на други лица. Не се използва общо съгласие в тази политика за всички бъдещи международни предавания.

Срокове за съхранение

25. Запитванията без последващ договор се съхраняват до 12 месеца от приключване на комуникацията. Данните за общия профил се пазят за времето на използване и се заличават от активните системи до 90 дни след изпълнимо искане за закриване, освен за отделени записи с друго действащо основание. За профили без активност 24 месеца се извършва преглед и се изпраща предупреждение с 30 дни за реакция, освен ако продължаващо отношение налага запазване.

26. Счетоводните регистри и финансовите отчети се пазят 10 години, а останалите документи според приложимата им законова категория. Данъчни документи и документи за контрол могат да имат различен срок според закона. Не се съхраняват всички данни за детето 10 години само защото е извършено плащане. Необходимите договорни доказателства се отделят и пазят обичайно до 5 години след прекратяване, а при спор – до окончателното му приключване и изтичане на приложимите срокове.

27. Обичайните технически дневници се пазят до 6 месеца; записи за конкретен инцидент могат да се пазят по-дълго с обосновано ограничение. Рекламните контакти се използват до оттегляне или до 24 месеца без потвърдено взаимодействие. Минимално доказателство за съгласието и оттеглянето се съхранява до 5 години след последното използване за отчетност и защита при спор; списъкът за недопускане на повторни съобщения съдържа само необходимото.

28. Базата данни се архивира автоматично: копията за възстановяване към конкретен момент се пазят 7 дни, месечните архивни копия до 12 месеца, а едно годишно копие до 1 година. Записите, премахнати от активната среда, отпадат от резервните копия с изтичането на тези срокове. През този период не се използват за текуща работа. При възстановяване се прилагат отново вече изпълнените искания за заличаване.

29. За данните на отделната Организация сроковете се определят от нея и се изпълняват от ДЕВИДС ООД по възлагане. След прекратяване на услугата се прилагат договорените периоди за извличане, връщане и заличаване. Изтриването на общия профил не води до заличаване на записи, които Организацията е длъжна законосъобразно да съхранява; тя обяснява основанието и срока.

Сигурност и Вашите права

30. Прилагаме подходящи за риска ограничения на достъпа, разделяне на данните между организациите, защитен пренос, резервиране и процедури при инцидент. Никоя система не може да гарантира абсолютна сигурност. При съмнение за чужд достъп се свържете незабавно с нас и не изпращайте пароли или платежни тайни.

31. Имате право на информация и достъп с копие, поправка на неточни данни, заличаване и ограничаване при законовите предпоставки. При автоматизирано обработване на основание съгласие или договор имате право на преносимост на предоставените от Вас данни в структуриран, широко използван и машинночетим формат, включително предаване на друг администратор, когато е технически възможно.

32. Можете да възразите срещу обработване на основание законен интерес по причини, свързани с Вашето положение. При пряк маркетинг възражението се изпълнява без преценка за надделяващ интерес. Съгласието може да бъде оттеглено по всяко време, без това да засяга законосъобразността на предходното обработване.

33. Искане се подава на contact@devids.eu или на адреса на дружеството. Не е задължителен специален образец или мотивиране на искане за достъп. Отговаряме без неоправдано забавяне, обичайно до един месец от получаването. При необходимост поради сложност или брой искания срокът може да се удължи с още два месеца, като в първия месец Ви уведомяваме за причините. При основателно съмнение за самоличността искаме само необходимата допълнителна информация.

34. Правата не са абсолютни: например законово задължение за съхранение или необходимост за правни претенции може да препятства заличаване на конкретни записи. При отказ посочваме мотиви и възможности за защита. Първото копие е безплатно; такса или отказ са допустими само в предвидените от закона случаи, чиято обоснованост доказва администраторът.

35. Имате право на жалба до Комисията за защита на личните данни, гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, cpdp.bg, или до компетентния надзорен орган по обичайното Ви местопребиваване, месторабота или мястото на предполагаемото нарушение, както и на съдебна защита. Не е задължително първо да се обърнете към нас.

36. При съществена промяна на тази политика предоставяме подходящо уведомление. Нова цел или съгласие не възниква само чрез публикуване на изменена политика.