Политика за поверителност
ПОЛИТИКА ЗА ПОВЕРИТЕЛНОСТ И ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
1. ПРЕДМЕТ И ОБХВАТ
1.1.
Настоящата Политика за поверителност урежда начина, по който ЛИЙН БЪЛГАРИЯ ООД събира, получава, използва, съхранява, организира, променя, предоставя, ограничава, изтрива и по друг начин обработва лични данни във връзка с Lean Champions Platform, Lean Champions Store и свързаните с тях продукти, услуги и функционалности.
1.2.
Политиката се прилага при:
1) посещаване и използване на интернет страницата leanchampionscommunity.com;
2) създаване и използване на потребителски профил;
3) използване на индивидуален, екипен или корпоративен профил;
4) извършване и изпълнение на поръчки;
5) закупуване и доставка на физически стоки;
6) закупуване и предоставяне на цифрово съдържание;
7) активиране и използване на цифрови услуги;
8) закупуване и използване на абонаментен достъп;
9) участие в дистанционни, онлайн или присъствени обучения;
10) участие в уебинари, семинари, събития и консултации;
11) използване на 5S, одитни, отчетни, обучителни и други модули на Платформата;
12) подаване на запитване, заявление за отказ, искане за връщане, рекламация, жалба или друго искане;
13) осъществяване на плащане чрез myPOS, банков превод, наложен платеж или друг активен метод;
14) комуникация с Търговеца;
15) получаване на договорни, информационни или маркетингови съобщения;
16) използване на бисквитки и сходни технологии;
17) осигуряване на сигурността и нормалното функциониране на Платформата.
1.3.
Политиката се прилага към личните данни на:
1) посетители на интернет страницата;
2) регистрирани потребители;
3) клиенти и получатели на поръчки;
4) участници в обучения;
5) представители, служители и контактни лица на корпоративни клиенти;
6) администратори на фирмени профили;
7) лица, включени в качени от клиентите материали, снимки, одити, отчети или други записи;
8) лица, които се свързват с Търговеца;
9) лица, които упражняват права по законодателството за защита на личните данни;
10) други физически лица, чиито данни законосъобразно се обработват чрез Платформата.
1.4.
Данните относно юридически лица не представляват лични данни, освен когато информацията идентифицира или може да бъде свързана с конкретно физическо лице, например управител, служител, представител или контактно лице.
1.5.
Настоящата политика предоставя информация съгласно Регламент (ЕС) 2016/679, наричан по-долу „GDPR“, Закона за защита на личните данни и другото приложимо законодателство.
1.6.
Запознаването с настоящата Политика за поверителност не представлява съгласие за всички описани дейности по обработване.
1.7.
Когато обработването изисква съгласие, то се иска отделно, за конкретна цел, чрез ясно утвърдително действие и без предварително отметнато поле.
1.8.
Политиката се прилага заедно с:
1) Общите условия;
2) Политиката за бисквитките;
3) Политиката за доставка и плащане;
4) Политиката относно правото на отказ;
5) Политиката за връщане;
6) Политиката за рекламации;
7) условията на конкретния продукт или услуга;
8) допълнителните уведомления, показвани при отделни функционалности;
9) договорите за обработване на лични данни с корпоративни клиенти, когато са приложими.
2. АДМИНИСТРАТОР НА ЛИЧНИТЕ ДАННИ
2.1.
Администратор на личните данни, обработвани за собствените цели на Lean Champions Platform и Lean Champions Store, е:
ЛИЙН БЪЛГАРИЯ ООД
ЕИК: 203317933
Идентификационен номер по ДДС: BG203317933
Седалище и адрес на управление: гр. София, ул. „Кирил Попов“ № 55, вх. А, ет. 1, ап. 4, Република България
Управител: Тодор Нейчев
Електронна поща: office@lean.bg
Телефон: +359 896 060 911
Интернет страница: leanchampionscommunity.com
наричано по-долу „Търговецът“, „Администраторът“, „ние“, „нас“ или „наш“.
2.2.
По въпроси относно защитата на личните данни в темата на електронното съобщение може да бъде посочено:
„Лични данни“
2.3.
Търговецът определя целите и средствата за обработване на личните данни, когато действа като администратор.
2.4.
Когато обработва данни от името на корпоративен клиент и единствено по негово документирано нареждане, Търговецът може да действа като обработващ лични данни.
3. ОСНОВНИ ПОНЯТИЯ
3.1.
„Лични данни“ е всяка информация, свързана с идентифицирано или подлежащо на идентифициране физическо лице.
3.2.
„Субект на данните“ е физическото лице, за което се отнасят личните данни.
3.3.
„Обработване“ е всяка операция или съвкупност от операции с лични данни, включително събиране, записване, организиране, структуриране, съхраняване, промяна, извличане, справка, използване, предоставяне, ограничаване, изтриване или унищожаване.
3.4.
„Администратор“ е лицето, което определя целите и средствата за обработването.
3.5.
„Обработващ“ е лицето, което обработва лични данни от името на администратора.
3.6.
„Получател“ е лице, организация или орган, пред който личните данни се разкриват.
3.7.
„Съгласие“ е свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните.
3.8.
„Псевдонимизация“ е обработване, при което данните не могат да бъдат свързани с конкретно лице без използване на допълнителна информация, която се съхранява отделно.
3.9.
„Анонимизирани данни“ са данни, които не могат разумно да бъдат свързани с конкретно физическо лице.
3.10.
„Нарушение на сигурността на личните данни“ е нарушение, което води до случайно или неправомерно унищожаване, загуба, изменение, неразрешено разкриване или достъп до лични данни.
3.11.
„Корпоративен клиент“ е организация, която закупува или управлява достъп до Платформата за свои служители, представители, контрагенти или други разрешени потребители.
3.12.
„Клиентско съдържание“ е информацията, документите, снимките, записите, одитите, отчетите, задачите, коментарите и другите данни, въведени или качени от клиент или от неговите потребители.
4. РОЛИ ПРИ ОБРАБОТВАНЕТО
4.1.
Търговецът действа като самостоятелен администратор по отношение на данните, обработвани за:
1) управление на интернет страницата;
2) регистрация и управление на потребителски профили;
3) сключване и изпълнение на договори;
4) обработване на поръчки;
5) плащания и счетоводна отчетност;
6) доставка на физически стоки;
7) предоставяне на цифрово съдържание и цифрови услуги;
8) провеждане на обучения;
9) обслужване на клиенти;
10) разглеждане на откази, връщания и рекламации;
11) защита на сигурността;
12) предотвратяване на измами;
13) изпълнение на законови задължения;
14) защита на правни претенции;
15) собствена маркетингова комуникация.
4.2.
Корпоративният клиент обичайно действа като администратор по отношение на личните данни, които той или неговите потребители въвеждат в Платформата за собствени организационни цели, включително данни относно:
1) служители;
2) оператори;
3) ръководители;
4) одитори;
5) участници в 5S проверки;
6) лица, отговорни за корективни действия;
7) участници в обучения;
8) вътрешни потребители;
9) други лица, определени от корпоративния клиент.
4.3.
При обработването на клиентско съдържание по документирано нареждане на корпоративния клиент Търговецът може да действа като обработващ лични данни.
4.4.
Отношенията между корпоративния клиент и Търговеца могат да бъдат допълнително уредени с договор или приложение за обработване на лични данни.
4.5.
Корпоративният клиент носи отговорност да:
1) разполага с валидно правно основание за въвежданите данни;
2) предоставя необходимата информация на засегнатите лица;
3) въвежда само данни, необходими за законосъобразните му цели;
4) определя подходящи права за достъп;
5) актуализира и коригира неточни данни;
6) не използва Платформата за незаконно наблюдение;
7) не качва ненужни специални категории данни;
8) дава законосъобразни инструкции на Търговеца.
4.6.
Когато субект на данните отправи искане относно данни, за които корпоративният клиент е администратор, Търговецът може:
1) да препрати искането към корпоративния клиент;
2) да уведоми лицето кой е съответният администратор;
3) да съдейства на корпоративния клиент в рамките на договорните и законовите си задължения.
4.7.
Търговецът не определя самостоятелно целите, за които корпоративният клиент използва качените от него вътрешни данни, освен по отношение на собствените цели за сигурност, поддръжка, фактуриране и изпълнение на закона.
5. ПРИНЦИПИ НА ОБРАБОТВАНЕ
5.1.
Личните данни се обработват съобразно следните принципи:
1) законосъобразност;
2) добросъвестност;
3) прозрачност;
4) ограничение на целите;
5) свеждане на данните до минимум;
6) точност;
7) ограничение на съхранението;
8) цялостност;
9) поверителност;
10) отчетност.
5.2.
Търговецът се стреми да обработва само лични данни, които са подходящи, свързани и ограничени до необходимото за конкретната цел.
5.3.
Търговецът предприема разумни действия за коригиране или изтриване на неточни данни, когато бъде уведомен за неточността.
5.4.
Личните данни не се използват за нова несъвместима цел без допълнително правно основание и необходимата информация към субекта на данните.
6. КАТЕГОРИИ СУБЕКТИ НА ДАННИ
6.1.
Можем да обработваме лични данни на:
1) посетители на Платформата;
2) клиенти;
3) получатели на пратки;
4) платци;
5) титуляри на банкови сметки;
6) регистрирани потребители;
7) администратори на профили;
8) представители на юридически лица;
9) служители и сътрудници на корпоративни клиенти;
10) участници в обучения и събития;
11) обучители и лектори;
12) лица, подаващи запитвания;
13) лица, подаващи заявления за отказ;
14) лица, предявяващи рекламации;
15) лица, включени в потребителско съдържание;
16) посетители, дали или отказали съгласие за бисквитки;
17) лица, абонирани за маркетингова комуникация;
18) лица, за които сме длъжни да обработваме данни по силата на закон.
7. ИДЕНТИФИКАЦИОННИ ДАННИ
7.1.
В зависимост от използваната услуга можем да обработваме:
1) име;
2) фамилия;
3) потребителско име;
4) вътрешен идентификатор на профила;
5) номер на клиент;
6) номер на участник;
7) номер на сертификат;
8) подпис, когато е необходим за хартиен документ;
9) длъжност;
10) организация;
11) отдел;
12) професионална роля;
13) служебен идентификатор, когато е въведен от корпоративен клиент;
14) друга идентификационна информация, необходима за конкретната услуга.
7.2.
По правило не изискваме единен граждански номер, номер на лична карта или копие на документ за самоличност за обикновена регистрация или поръчка.
7.3.
Документ за самоличност може да бъде поискан само когато това е законосъобразно, необходимо и пропорционално, например за проверка на самоличността при определено искане или за предотвратяване на измама.
7.4.
Когато е достатъчно, ненужните данни в документа трябва да бъдат заличени.
8. ДАННИ ЗА КОНТАКТ
8.1.
Можем да обработваме:
1) електронен адрес;
2) телефонен номер;
3) адрес за доставка;
4) адрес за фактуриране;
5) адрес за кореспонденция;
6) избран офис на куриер;
7) населено място;
8) пощенски код;
9) държава;
10) служебни координати за контакт;
11) предпочитан канал за комуникация.
9. ДАННИ ЗА ПОТРЕБИТЕЛСКИ ПРОФИЛ
9.1.
При създаване и използване на профил можем да обработваме:
1) потребителско име;
2) електронен адрес;
3) криптографски защитено представяне на паролата;
4) роля и ниво на достъп;
5) организация;
6) езикови настройки;
7) настройки на профила;
8) дата на регистрация;
9) дата на потвърждаване на електронния адрес;
10) дата на последен вход;
11) статус на профила;
12) активирани продукти и модули;
13) начало и край на достъпа;
14) брой разрешени потребители;
15) история на промени по профила;
16) информация за покани към други потребители;
17) използвани функции;
18) административни действия;
19) информация за блокиране, възстановяване или прекратяване на достъпа.
9.2.
Паролите не се съхраняват във видим и четим текст, когато системата е технически конфигурирана съгласно прилаганите мерки за сигурност.
9.3.
Търговецът никога не изисква от потребителя да изпраща своята парола по електронна поща.
10. ДАННИ ЗА ПОРЪЧКИ
10.1.
При извършване на поръчка можем да обработваме:
1) номер на поръчката;
2) дата и час;
3) избрани продукти и услуги;
4) количества;
5) единични и общи цени;
6) приложени отстъпки;
7) валута;
8) данъци;
9) разходи за доставка;
10) избран начин на плащане;
11) избран начин на доставка;
12) статус на поръчката;
13) история на промените;
14) предоставени договорни съгласия;
15) версия на приетите Общи условия;
16) версия на политиките;
17) дата и час на дадените изрични съгласия;
18) информация за активиране;
19) информация за анулиране;
20) информация за възстановяване;
21) договорна кореспонденция;
22) други данни, необходими за изпълнение и доказване на договора.
11. ДАННИ ЗА ДОСТАВКА
11.1.
За доставка на физическа стока можем да обработваме:
1) име на получателя;
2) телефон;
3) електронен адрес;
4) адрес;
5) избран офис на Еконт;
6) допълнителни указания за доставка;
7) номер на товарителницата;
8) стойност на пратката;
9) сума на наложения платеж;
10) съдържание на пратката в необходимия обем;
11) статус на доставката;
12) дата на изпращане;
13) дата на получаване;
14) информация за неполучена или върната пратка;
15) протоколи за повреда;
16) комуникация с куриера;
17) друга информация, необходима за куриерската услуга.
11.2.
Данните се предоставят на куриера само в обема, необходим за изпълнение на доставката, събиране на наложен платеж, проследяване и разрешаване на проблеми.
12. ДАННИ ЗА КАРТОВИ ПЛАЩАНИЯ ЧРЕЗ MYPOS
12.1.
При плащане с банкова карта чрез myPOS Търговецът може да получава и съхранява ограничена информация, като:
1) идентификатор на трансакцията;
2) номер на поръчката;
3) размер и валута;
4) дата и час;
5) статус на плащането;
6) статус на възстановяването;
7) частично маскирани данни за платежния инструмент, когато са предоставени;
8) вид на картовата схема;
9) код или описание на резултата;
10) информация, необходима за предотвратяване на измами;
11) кореспонденция относно плащането;
12) данни за оспорване, възстановяване или сторниране.
12.2.
Търговецът не получава и не съхранява:
1) пълния номер на банковата карта;
2) кода за сигурност;
3) персоналния идентификационен номер;
4) парола за банково приложение;
5) пълни удостоверителни картови данни.
12.3.
Пълните платежни данни се въвеждат в защитената среда на myPOS или на друг обявен лицензиран доставчик на платежни услуги.
12.4.
myPOS може да обработва лични данни като самостоятелен администратор за предоставяне на платежната услуга, предотвратяване на измами, изпълнение на регулаторни задължения и други собствени законосъобразни цели.
12.5.
Обработването от myPOS се урежда и от неговата собствена информация за поверителност.
13. ДАННИ ПРИ БАНКОВ ПРЕВОД
13.1.
Когато плащането по банков път бъде активирано, можем да обработваме:
1) име на наредителя;
2) име на титуляр на сметката;
3) IBAN;
4) BIC;
5) банка;
6) размер и валута на превода;
7) дата на нареждане и получаване;
8) основание за плащане;
9) номер на поръчката;
10) статус на плащането;
11) данни за частично, надвнесено или закъсняло плащане;
12) информация за възстановяване;
13) кореспонденция относно превода.
13.2.
Банковите данни се използват за:
1) идентифициране на плащането;
2) свързване с поръчката;
3) счетоводно отчитане;
4) възстановяване на сума;
5) предотвратяване на грешки и измами;
6) изпълнение на законови задължения.
13.3.
Банките и доставчиците на платежни услуги обработват данните и като самостоятелни администратори съобразно собствените си законови задължения.
14. ДАННИ ЗА ФАКТУРИРАНЕ И СЧЕТОВОДНА ОТЧЕТНОСТ
14.1.
При издаване на счетоводни документи можем да обработваме:
1) име и фамилия;
2) наименование на организация;
3) ЕИК или друг регистрационен номер;
4) идентификационен номер по ДДС;
5) адрес;
6) име на представляващото лице;
7) лице за контакт;
8) електронен адрес;
9) данни за поръчката;
10) данни за плащането;
11) съдържание и стойност на фактурата;
12) други законово изискуеми реквизити.
14.2.
Информацията, отнасяща се само до юридическо лице, не е лична данна, но данните на представляващи, контактни лица и физически лица се защитават съгласно настоящата политика.
15. ДАННИ ЗА ЦИФРОВО СЪДЪРЖАНИЕ И ПЛАТФОРМЕН ДОСТЪП
15.1.
При предоставяне на цифрово съдържание или цифрова услуга можем да обработваме:
1) закупен продукт;
2) активиран план;
3) активирани модули;
4) дата и час на активиране;
5) начален и краен срок;
6) брой разрешени потребители;
7) изтегляния;
8) достъп до материали;
9) напредък;
10) успешно завършени модули;
11) технически събития;
12) действия в профила;
13) история на лицензите;
14) използвано устройство и браузър;
15) информация за поддръжка;
16) данни за прекратяване или подновяване.
15.2.
Тези данни се обработват за предоставяне на договорения достъп, контрол на лицензите, сигурност, техническа поддръжка и доказване на изпълнението.
16. ДАННИ ОТ 5S, ОДИТНИ И ОРГАНИЗАЦИОННИ МОДУЛИ
16.1.
При използване на фирмени функционалности могат да бъдат обработвани:
1) име на организация;
2) наименование на обект;
3) производствена зона;
4) отдел;
5) работно място;
6) име или идентификатор на одитор;
7) име или идентификатор на отговорно лице;
8) резултат от одит;
9) констатации;
10) корективни действия;
11) срокове;
12) коментари;
13) снимки;
14) прикачени документи;
15) история на промени;
16) статуси;
17) дата и час;
18) подпис или електронно потвърждение;
19) друга информация, въведена от корпоративния клиент.
16.2.
Корпоративният клиент определя какви данни да бъдат въвеждани и носи отговорност те да са необходими и законосъобразни.
16.3.
Платформата не следва да се използва за скрито наблюдение, непропорционално проследяване или автоматично оценяване на служители без подходящо правно основание и прозрачност.
16.4.
Когато одит или отчет може да бъде изготвен без посочване на пълното име на служител, корпоративният клиент следва да използва по-малко идентифицираща информация.
17. СНИМКИ, ИЗОБРАЖЕНИЯ И МЕДИЙНИ ФАЙЛОВЕ
17.1.
Потребителите могат да качват снимки и други файлове за:
1) 5S одити;
2) доказване на състояние преди и след действие;
3) документиране на несъответствия;
4) инструкции;
5) обучение;
6) рекламации;
7) техническа поддръжка;
8) други разрешени цели.
17.2.
Снимките могат да съдържат лични данни, когато показват:
1) лице;
2) служебна карта;
3) табела с име;
4) подпис;
5) регистрационен номер;
6) документ;
7) компютърен екран;
8) работен график;
9) друга идентифицираща информация.
17.3.
Потребителят и корпоративният клиент следва:
1) да не заснемат лица, когато това не е необходимо;
2) да избягват качване на лични документи;
3) да скриват несвързани лични данни;
4) да използват замъгляване или изрязване, когато е подходящо;
5) да информират засегнатите лица;
6) да разполагат с валидно правно основание;
7) да ограничават достъпа до снимките.
17.4.
Снимки от одити не се използват за публичен маркетинг без отделно приложимо правно основание.
18. ДАННИ ЗА ОБУЧЕНИЯ И СЪБИТИЯ
18.1.
При записване и участие в обучение можем да обработваме:
1) име;
2) електронен адрес;
3) телефон;
4) организация;
5) длъжност;
6) избрано обучение;
7) дата и формат;
8) платежен статус;
9) присъствие;
10) участие;
11) напредък;
12) изпълнени задания;
13) резултати от тестове;
14) получена обратна връзка;
15) комуникация с обучителя;
16) технически данни за включване;
17) предпочитан език;
18) необходима информация за сертификат;
19) данни за анулиране или прехвърляне на участие;
20) други данни, необходими за предоставяне на обучението.
18.2.
Когато обучение се провежда чрез външна платформа за видеоконференции или електронно обучение, необходимите данни могат да бъдат предоставени на съответния доставчик.
18.3.
Когато обучение се записва, участниците се информират предварително за:
1) факта на записването;
2) целта;
3) обхвата;
4) срока за съхранение;
5) лицата, които ще имат достъп;
6) начина за упражняване на права.
18.4.
Записът не се използва за рекламни цели само защото лицето е участвало в обучението.
18.5.
Използването на образ, глас, име или изказване за публично рекламно съдържание се извършва при наличие на отделно подходящо правно основание.
19. ДАННИ ЗА СЕРТИФИКАТИ
19.1.
За издаване и проверка на сертификат можем да обработваме:
1) име и фамилия;
2) наименование на обучението;
3) дата на провеждане;
4) резултат;
5) дата на издаване;
6) уникален номер;
7) организация;
8) ниво или вид на сертификата;
9) информация за валидност;
10) информация за отнемане или корекция;
11) други данни, необходими за удостоверяване.
19.2.
Публична проверка на сертификат, когато се предлага, следва да показва само необходимата информация.
19.3.
Пълни резултати, лични контакти и друга ненужна информация не се публикуват в публична проверка.
20. ДАННИ ЗА КОМУНИКАЦИЯ И ОБСЛУЖВАНЕ
20.1.
При контакт с нас можем да обработваме:
1) име;
2) електронен адрес;
3) телефон;
4) организация;
5) съдържание на съобщението;
6) прикачени файлове;
7) история на кореспонденцията;
8) дата и час;
9) използван канал;
10) номер на поръчка;
11) техническа информация;
12) действията по заявката;
13) вътрешни бележки, необходими за обслужването.
20.2.
Телефонен разговор не се записва, освен ако лицето е било предварително информирано и е налице валидно правно основание.
21. ДАННИ ПРИ ОТКАЗИ, ВРЪЩАНИЯ, РЕКЛАМАЦИИ И ЖАЛБИ
21.1.
Можем да обработваме:
1) име и контакти;
2) номер на поръчката;
3) засегнат продукт или услуга;
4) основание на заявката;
5) дата на получаване или активиране;
6) дата на заявлението;
7) уникален номер;
8) товарителница;
9) снимки;
10) доказателства;
11) кореспонденция;
12) резултат от проверката;
13) предпочитано решение;
14) банкови данни, когато са необходими за възстановяване;
15) размер и начин на възстановяване;
16) статус и история на обработването;
17) други данни, необходими за разрешаване на случая.
21.2.
Данните се използват за изпълнение на законови и договорни задължения, защита на правата на страните, предотвратяване на измами и счетоводна отчетност.
22. ТЕХНИЧЕСКИ ДАННИ И ЛОГОВЕ
22.1.
При използване на Платформата могат автоматично да се обработват:
1) IP адрес;
2) дата и час;
3) посетена страница;
4) заявен интернет адрес;
5) тип и версия на браузъра;
6) операционна система;
7) тип устройство;
8) езикови настройки;
9) идентификатор на сесията;
10) референтна страница;
11) кодове за технически резултат;
12) информация за грешки;
13) действия по вход и изход;
14) неуспешни опити за вход;
15) промени на права;
16) административни действия;
17) изтегляния;
18) действия по поръчки;
19) дадени съгласия;
20) информация за сигурността;
21) други технически събития, необходими за работа и защита на системата.
22.2.
Техническите логове се използват за:
1) предоставяне на услугата;
2) установяване на грешки;
3) защита от неоторизиран достъп;
4) предотвратяване на измами;
5) проверка на инциденти;
6) доказване на действия;
7) подобряване на надеждността;
8) изпълнение на законови задължения.
22.3.
Техническите логове не се използват за скрито оценяване на трудовото представяне на служители от Търговеца.
23. ДАННИ ЗА СЪГЛАСИЯ И ПРЕДПОЧИТАНИЯ
23.1.
Можем да съхраняваме доказателства за:
1) приемане на Общите условия;
2) версията на приетия документ;
3) съгласие за незабавно цифрово съдържание;
4) искане за ранно започване на цифрова услуга;
5) съгласие за маркетинг;
6) избор на бисквитки;
7) оттегляне на съгласие;
8) възражение срещу маркетинг;
9) дата и час;
10) технически идентификатор;
11) източник и формуляр;
12) текста, показан при съгласието.
23.2.
Съхраняването на доказателство за оттеглено съгласие може да продължи, когато това е необходимо, за да се докаже спазването на закона и да не се възобнови нежелана комуникация.
24. СПЕЦИАЛНИ КАТЕГОРИИ ЛИЧНИ ДАННИ
24.1.
Платформата не е предназначена за системно обработване на специални категории лични данни, включително данни за:
1) здравословно състояние;
2) расов или етнически произход;
3) религиозни или философски убеждения;
4) политически възгледи;
5) членство в синдикална организация;
6) генетични данни;
7) биометрични данни за уникална идентификация;
8) сексуален живот или сексуална ориентация.
24.2.
Потребителите не трябва да качват такива данни, освен когато:
1) това е обективно необходимо;
2) налице е приложимо правно основание;
3) са изпълнени допълнителните изисквания на закона;
4) корпоративният клиент е разрешил обработването;
5) са приложени подходящи мерки за защита.
24.3.
Снимка на лице не представлява автоматично биометрична данна. Тя може да стане биометрична данна, когато се обработва със специални технически средства за уникална идентификация.
24.4.
Търговецът не използва лицево разпознаване за идентифициране на потребителите, освен ако бъде въведена отделна законосъобразна функционалност и лицата бъдат предварително информирани.
25. ДАННИ ЗА ПРИСЪДИ И НАРУШЕНИЯ
25.1.
Платформата не е предназначена за системно обработване на данни относно присъди и нарушения.
25.2.
Такива данни не трябва да се въвеждат, освен когато обработването е изрично разрешено от закон и са приложени необходимите гаранции.
26. ИЗТОЧНИЦИ НА ЛИЧНИ ДАННИ
26.1.
Получаваме лични данни:
1) директно от субекта на данните;
2) от лицето, което извършва поръчката;
3) от получателя на пратката;
4) от корпоративен клиент;
5) от администратор на фирмен профил;
6) от упълномощено лице;
7) от myPOS;
8) от банки и платежни доставчици;
9) от Еконт или друг куриер;
10) от платформа за обучение или видеоконференции;
11) от електронна поща;
12) от техническите системи и устройства;
13) от бисквитки и сходни технологии;
14) от публичен източник, когато това е законосъобразно и необходимо;
15) от компетентен орган;
16) от друго лице, което има право да предостави данните.
26.2.
Когато корпоративен администратор създава профил за потребител, данните могат да бъдат получени от организацията, а не директно от лицето.
26.3.
В такъв случай необходимата информация за обработването се предоставя при първия контакт, при първото влизане, в разумен срок или чрез корпоративния администратор, освен когато е приложимо законово изключение.
27. ЦЕЛИ НА ОБРАБОТВАНЕТО
27.1.
Личните данни могат да бъдат обработвани за:
1) предоставяне и поддържане на интернет страницата;
2) регистрация и управление на профили;
3) удостоверяване на самоличност и управление на достъп;
4) сключване и изпълнение на договори;
5) обработване на поръчки;
6) приемане и потвърждаване на плащания;
7) доставка на физически стоки;
8) активиране на цифрово съдържание;
9) предоставяне на цифрови услуги;
10) управление на абонаменти;
11) провеждане на обучения;
12) издаване и проверка на сертификати;
13) предоставяне на техническа поддръжка;
14) комуникация с клиенти;
15) обработване на откази и връщания;
16) разглеждане на рекламации и жалби;
17) възстановяване на суми;
18) фактуриране и счетоводна отчетност;
19) изпълнение на данъчни задължения;
20) предотвратяване на измами;
21) защита на профили и системи;
22) управление на съгласия;
23) изпращане на договорни съобщения;
24) изпращане на маркетингови съобщения при наличие на основание;
25) анализ и подобряване на Платформата;
26) разработване на нови функционалности;
27) създаване на анонимизирана статистика;
28) упражняване и защита на правни претенции;
29) изпълнение на искания на компетентни органи;
30) изпълнение на други законови задължения.
28. ПРАВНИ ОСНОВАНИЯ
28.1. Договор и преддоговорни действия
Обработваме данни, когато това е необходимо за:
1) регистрация по искане на потребителя;
2) изготвяне на оферта;
3) извършване на поръчка;
4) плащане;
5) доставка;
6) активиране на достъп;
7) предоставяне на цифрово съдържание;
8) участие в обучение;
9) техническа поддръжка;
10) обработване на договорно искане;
11) изпълнение на други договорни задължения.
28.2. Законово задължение
Обработваме данни, когато това е необходимо за:
1) счетоводна отчетност;
2) данъчно облагане;
3) издаване и съхраняване на фактури;
4) обработване на потребителски рекламации;
5) упражняване на право на отказ;
6) защита на личните данни;
7) отговор на компетентни органи;
8) изпълнение на други законови задължения.
28.3. Законен интерес
Можем да обработваме данни за законни интереси, като:
1) защита на информационните системи;
2) предотвратяване на измами;
3) доказване на договорни действия;
4) защита на правни претенции;
5) подобряване на услугите;
6) управление на бизнеса;
7) вътрешна отчетност;
8) защита на имущество и права;
9) ограничена комуникация с бизнес контакти;
10) предотвратяване на злоупотреба;
11) анонимизиране на информацията;
12) поддържане на минимален списък на лица, възразили срещу маркетинг.
28.4.
Преди обработване въз основа на законен интерес се оценяват необходимостта, очакванията на лицата и възможното въздействие върху техните права.
28.5. Съгласие
Можем да разчитаме на съгласие за:
1) маркетингов бюлетин;
2) незадължителни бисквитки;
3) публикуване на отзив;
4) използване на образ или глас за маркетинг;
5) участие в доброволна анкета;
6) друга конкретна цел, за която съгласието е подходящо правно основание.
28.6.
Съгласието може да бъде оттеглено по всяко време.
28.7.
Оттеглянето не засяга законосъобразността на обработването, извършено преди него.
28.8.
Изричното съгласие за незабавно предоставяне на цифрово съдържание е договорно потребителско изявление и не следва автоматично да се смесва със съгласие за маркетинг или с друго обработване на лични данни.
29. ЗАДЪЛЖИТЕЛНО И ДОБРОВОЛНО ПРЕДОСТАВЯНЕ НА ДАННИ
29.1.
Някои данни са необходими за сключване или изпълнение на договор.
29.2.
Без необходимите данни може да не бъде възможно:
1) създаване на профил;
2) обработване на поръчка;
3) извършване или идентифициране на плащане;
4) доставка;
5) издаване на фактура;
6) активиране на достъп;
7) участие в обучение;
8) издаване на сертификат;
9) разглеждане на рекламация;
10) възстановяване на сума.
29.3.
Данните, обозначени като незадължителни, се предоставят доброволно.
29.4.
Отказът от маркетингово съгласие не пречи на извършването на покупка.
29.5.
Отказът от незадължителни аналитични или маркетингови бисквитки не трябва да пречи на използването на основните функционалности.
30. ДОГОВОРНИ И ОБСЛУЖВАЩИ СЪОБЩЕНИЯ
30.1.
Можем да изпращаме без отделно маркетингово съгласие съобщения, необходими за:
1) потвърждение на регистрация;
2) потвърждение на поръчка;
3) плащане;
4) доставка;
5) активиране на достъп;
6) сигурност;
7) промяна на парола;
8) изтичане на договорен достъп;
9) обучение;
10) фактура;
11) отказ;
12) връщане;
13) рекламация;
14) техническа поддръжка;
15) промяна на договорна услуга;
16) изпълнение на законово задължение.
30.2.
Тези съобщения не представляват маркетинг, когато съдържанието им е ограничено до необходимата договорна или обслужваща информация.
31. МАРКЕТИНГОВИ СЪОБЩЕНИЯ
31.1.
Маркетингови съобщения могат да бъдат изпращани:
1) при валидно съгласие;
2) когато друго приложимо законово основание позволява това;
3) при предоставена лесна и безплатна възможност за отказ.
31.2.
Маркетинговото съобщение може да съдържа:
1) новини;
2) информация за книги;
3) информация за обучения;
4) информация за платформата;
5) промоционални предложения;
6) покани за събития;
7) полезно професионално съдържание.
31.3.
Получателят може да се отпише чрез:
1) линк в съобщението;
2) настройките на профила;
3) електронно съобщение до office@lean.bg;
4) друг предоставен механизъм.
31.4.
Възражението срещу директен маркетинг се уважава без неоправдано забавяне.
31.5.
След отписване можем да съхраним минимална информация в списък за изключване, за да гарантираме, че лицето няма да бъде добавено отново без ново основание.
32. БИСКВИТКИ И СХОДНИ ТЕХНОЛОГИИ
32.1.
Платформата може да използва:
1) бисквитки;
2) локално съхранение;
3) сесийни идентификатори;
4) пиксели;
5) сходни технологии.
32.2.
Строго необходимите технологии могат да бъдат използвани без съгласие, когато са необходими за:
1) сигурност;
2) вход в профил;
3) кошница;
4) запазване на избраната сесия;
5) защита от злоупотреба;
6) запазване на избора за поверителност;
7) предоставяне на изрично поискана услуга.
32.3.
Аналитични, функционални или маркетингови технологии, за които законът изисква съгласие, се активират само след валиден избор.
32.4.
Подробна информация за конкретните технологии, доставчиците, целите и сроковете се предоставя в Политиката за бисквитките и в механизма за управление на съгласията.
33. АНОНИМИЗИРАНИ И ОБОБЩЕНИ ДАННИ
33.1.
Можем да създаваме обобщена или анонимизирана статистика за:
1) брой посещения;
2) използвани функционалности;
3) покупки;
4) обучения;
5) техническа производителност;
6) подобряване на услугата;
7) вътрешни анализи.
33.2.
Когато данните са действително и необратимо анонимизирани, те не представляват лични данни.
33.3.
Анонимизираните данни могат да бъдат съхранявани за по-дълъг период, когато не позволяват идентифициране на физическо лице.
34. ПОЛУЧАТЕЛИ НА ЛИЧНИ ДАННИ
34.1.
Лични данни могат да бъдат предоставяни на:
1) myPOS;
2) банки и платежни доставчици;
3) Еконт и други куриери;
4) доставчици на хостинг;
5) доставчици на облачна инфраструктура;
6) доставчици на електронна поща;
7) доставчици на информационни системи;
8) разработчици и техническа поддръжка;
9) доставчици на архивиране и киберсигурност;
10) платформи за дистанционно обучение;
11) платформи за видеоконференции;
12) доставчици на сертификати;
13) счетоводители;
14) одитори;
15) адвокати и правни консултанти;
16) застрахователи;
17) партньори, участващи в изпълнение на обучение или услуга;
18) държавни и общински органи;
19) съдилища;
20) контролни и надзорни органи;
21) органи на реда при законосъобразно искане;
22) правоприемник при преобразуване или прехвърляне на дейност;
23) други лица, когато субектът е информиран или законът го изисква.
34.2.
Достъп се предоставя само в необходимия обем и според ролята на получателя.
34.3.
Когато доставчик обработва данни от името на Търговеца, отношенията се уреждат с договор и подходящи инструкции.
34.4.
Обработващият няма право да използва данните за несъвместими собствени цели.
34.5.
Когато получателят действа като самостоятелен администратор, той носи собствена отговорност за своето обработване.
35. КОРПОРАТИВНИ АДМИНИСТРАТОРИ
35.1.
Корпоративен администратор може да има достъп до:
1) имената на потребителите в своята организация;
2) служебните им електронни адреси;
3) ролите;
4) статусите на достъп;
5) резултатите от обучения;
6) фирмените одити и отчети;
7) клиентското съдържание;
8) друга информация, разрешена от корпоративния план.
35.2.
Корпоративният администратор не получава достъп до:
1) пълни картови данни;
2) лични пароли;
3) данни на несвързани организации;
4) друга информация извън предоставените му права.
35.3.
Организацията носи отговорност да предостави администраторски права само на подходящо упълномощени лица.
36. ПРЕДАВАНЕ ИЗВЪН ЕВРОПЕЙСКОТО ИКОНОМИЧЕСКО ПРОСТРАНСТВО
36.1.
Стремим се личните данни да се обработват в Европейското икономическо пространство, когато това е разумно възможно.
36.2.
Някои доставчици могат да обработват данни в държава извън Европейското икономическо пространство.
36.3.
Такова предаване се извършва само при наличие на приложим механизъм, включително:
1) решение на Европейската комисия за адекватно ниво на защита;
2) стандартни договорни клаузи;
3) обвързващи корпоративни правила;
4) одобрен кодекс или сертификационен механизъм с ангажименти;
5) изрично законово изключение;
6) друг допустим механизъм.
36.4.
Когато се използват стандартни договорни клаузи, може да бъде извършена оценка на условията в държавата получател и при необходимост да бъдат приложени допълнителни мерки.
36.5.
Субектът на данните може да поиска информация за приложимия механизъм и начина за получаване на копие от съответните гаранции, доколкото това не нарушава права на трети лица или изисквания за сигурност.
37. СРОКОВЕ ЗА СЪХРАНЕНИЕ
37.1.
Личните данни се съхраняват само за периода, необходим за целта, освен когато по-дълъг срок:
1) се изисква от закон;
2) е необходим за защита на правни претенции;
3) е договорен законосъобразно;
4) е необходим за приключване на спор, проверка или разследване.
37.2. Потребителски профили
Данните за активен профил се съхраняват през периода на регистрацията и договорния достъп.
37.3.
След закриване на профила данните в активните системи се изтриват или ограничават в разумен технически срок, освен частта, необходима за:
1) договорни отношения;
2) счетоводство;
3) сигурност;
4) доказване на действия;
5) правни претенции.
37.4.
Основни договорни и идентификационни данни могат да бъдат съхранявани до изтичане на приложимите давностни срокове, обичайно до пет години след прекратяване на отношенията, освен ако е приложим друг срок.
37.5. Клиентско съдържание на корпоративен клиент
Клиентското съдържание се съхранява за срока на договора и съгласно договорените правила.
37.6.
При липса на специална уговорка след прекратяване може да бъде предоставен разумен период за експортиране, след което съдържанието се изтрива или анонимизира от активните системи, освен когато законът изисква запазване.
37.7. Поръчки и договори
Данните за поръчки и договори се съхраняват за срока на изпълнение и за приложимия давностен период.
37.8.
Когато данните са част от счетоводна информация, те могат да се съхраняват за законово установения счетоводен срок.
37.9. Счетоводни документи
Счетоводните регистри, финансовите отчети и документите за данъчен контрол, одит и последващи финансови инспекции се съхраняват за приложимия законов срок, който обичайно е 10 години, считано по реда на Закона за счетоводството.
37.10. Неплатени и анулирани поръчки
Данните за неплатена или анулирана поръчка могат да бъдат съхранявани до шест месеца, освен когато са необходими за предотвратяване на измама, правен спор или законово задължение.
37.11. Изоставена кошница
Информация за незавършена кошница може да бъде съхранявана до 30 дни, освен ако потребителят е запазил кошницата чрез профила си или е дал отделно основание за по-дълго използване.
37.12. Запитвания
Запитвания, които не водят до договор, могат да бъдат съхранявани до две години след последната съществена комуникация.
37.13. Откази, връщания и рекламации
Данните по откази, връщания, рекламации и жалби могат да се съхраняват до пет години след приключване на случая.
37.14.
Документите, които представляват счетоводна информация, се съхраняват за съответния по-дълъг законов срок.
37.15. Обучения
Данните за участие, присъствие, напредък и резултати могат да се съхраняват до пет години след приключване на обучението, освен ако конкретната програма или закон изисква друг срок.
37.16. Сертификати
Основната информация, необходима за проверка на издаден сертификат, може да се съхранява до 10 години или за периода на валидност на сертификата, когато това е необходимо за удостоверяване на автентичността.
37.17. Маркетинг
Данните за маркетинг се съхраняват до оттегляне на съгласието, възражение, отпадане на основанието или установяване на продължителна неактивност.
37.18.
Минимален запис за отказ от маркетинг може да бъде съхраняван за периода, необходим за спазване на възражението.
37.19. Доказателства за съгласие
Записите за съгласия могат да се съхраняват до пет години след оттеглянето или прекратяването на съответната дейност, когато това е необходимо за доказване на законосъобразността.
37.20. Технически логове
Обичайните технически и защитни логове могат да се съхраняват до 12 месеца.
37.21.
Логове, свързани с инцидент, измама, спор или нарушение, могат да бъдат съхранявани до окончателното приключване и изтичане на приложимия срок за претенции.
37.22. Бисквитки
Срокът на всяка бисквитка се посочва в Политиката за бисквитките или в механизма за управление на съгласията.
37.23. Архивни копия
Изтрити от активните системи данни могат да останат временно в защитени резервни копия до изтичане на техническия цикъл на архивите.
37.24.
Архивните копия не се използват за обичайно активно обработване и се възстановяват само при необходимост от възстановяване на системата, сигурност или законово задължение.
37.25. Правни претенции
Когато е налице спор, проверка или производство, относимите данни могат да бъдат съхранявани до окончателното приключване и изтичане на срока за последваща защита.
38. ИЗТРИВАНЕ, ОГРАНИЧАВАНЕ И АНОНИМИЗИРАНЕ
38.1.
След изтичане на приложимия срок личните данни се:
1) изтриват;
2) унищожават;
3) необратимо анонимизират;
4) ограничават, когато временното запазване се изисква от закон или спор.
38.2.
Когато данните трябва да бъдат запазени по закон, те не се използват за несъвместима нова цел.
38.3.
Изтриването от всички резервни копия може да настъпи постепенно при нормалната им ротация.
38.4.
При възстановяване на архив могат да бъдат приложени процедури за повторно изтриване на данни, които преди това са били законно заличени.
39. ТЕХНИЧЕСКИ И ОРГАНИЗАЦИОННИ МЕРКИ
39.1.
Търговецът прилага подходящи мерки, съобразени с риска, естеството, обхвата, контекста и целите на обработването.
39.2.
Мерките могат да включват:
1) контрол на достъпа;
2) индивидуални потребителски профили;
3) роли и разрешения;
4) криптографска защита на пароли;
5) защитено предаване на информация;
6) регистрация на административни действия;
7) архивиране;
8) защита срещу неоторизиран достъп;
9) актуализиране на системите;
10) управление на уязвимости;
11) ограничаване на неуспешни опити за вход;
12) защита на платежния процес;
13) разделяне на среди;
14) процедури за инциденти;
15) договорни задължения за поверителност;
16) обучение на лицата с достъп;
17) периодичен преглед на правата;
18) минимизиране на данните;
19) псевдонимизация, когато е подходящо;
20) физическа защита на инфраструктурата;
21) други мерки според развитието на технологиите.
39.3.
Достъп имат само лица, за които това е необходимо за служебните или договорните им задължения.
39.4.
Предоставянето на конкретни подробности за защитата може да бъде ограничено, когато разкриването би създало риск за сигурността.
39.5.
Никоя система не може да гарантира абсолютна защита срещу всички възможни рискове.
39.6.
Това обстоятелство не освобождава Търговеца от задължението да прилага подходящи мерки и да реагира при инцидент.
40. ЗАДЪЛЖЕНИЯ НА ПОТРЕБИТЕЛИТЕ ЗА СИГУРНОСТ
40.1.
Потребителят следва:
1) да използва силна и уникална парола;
2) да не споделя паролата си;
3) да не предоставя профила си на неоторизирани лица;
4) да излиза от профила на споделено устройство;
5) да поддържа устройството и браузъра си актуални;
6) да не отваря подозрителни връзки;
7) да уведомява при съмнение за компрометиране;
8) да проверява адреса на интернет страницата;
9) да не изпраща платежни кодове и пароли;
10) да спазва правата за достъп в корпоративния профил.
40.2.
При съмнение за неоторизиран достъп потребителят следва незабавно да смени паролата си и да се свърже с Търговеца.
41. НАРУШЕНИЯ НА СИГУРНОСТТА
41.1.
При установено нарушение Търговецът извършва оценка на:
1) естеството на данните;
2) броя на засегнатите лица;
3) възможните последици;
4) вероятността за вреда;
5) предприетите защитни мерки.
41.2.
Когато законът изисква това, надзорният орган се уведомява без ненужно забавяне и, когато е възможно, до 72 часа от узнаването.
41.3.
Когато нарушението може да доведе до висок риск за правата и свободите на лицата, засегнатите лица се уведомяват без ненужно забавяне, освен ако е приложимо законово изключение.
41.4.
Уведомлението може да съдържа:
1) естеството на нарушението;
2) възможните последици;
3) предприетите мерки;
4) препоръки към лицето;
5) контакт за допълнителна информация.
42. АВТОМАТИЗИРАНО ВЗЕМАНЕ НА РЕШЕНИЯ И ПРОФИЛИРАНЕ
42.1.
Освен ако лицето не бъде изрично информирано в отделно уведомление, Търговецът не взема решения, основани единствено на автоматизирано обработване, които пораждат правни последици или засягат лицето по сходен съществен начин.
42.2.
Могат да се използват автоматизирани правила за:
1) защита срещу спам;
2) откриване на необичайни опити за вход;
3) проверка на техническа валидност;
4) изчисляване на цена и доставка;
5) активиране след успешно плащане;
6) показване на съдържание според закупения план;
7) други рутинни операции без съществено правно въздействие.
42.3.
Ако бъде въведено автоматизирано решение със съществено въздействие, ще бъде предоставена информация за:
1) логиката;
2) значението;
3) възможните последици;
4) правото на човешка намеса;
5) правото да се изрази становище;
6) правото решението да бъде оспорено.
43. ПРАВО НА ИНФОРМАЦИЯ
43.1.
Субектът има право да получи ясна и разбираема информация за обработването.
43.2.
Информацията се предоставя чрез:
1) настоящата политика;
2) Политиката за бисквитките;
3) уведомления при регистрация;
4) информация при поръчка;
5) договори;
6) специални уведомления;
7) отговор на индивидуално искане.
44. ПРАВО НА ДОСТЪП
44.1.
Субектът може да поиска потвърждение дали се обработват негови лични данни.
44.2.
Когато се обработват данни, той може да поиска:
1) копие от данните;
2) целите;
3) категориите данни;
4) получателите;
5) срока или критериите;
6) източника;
7) информация за правата;
8) информация за международни предавания;
9) информация за автоматизирани решения, когато са приложими.
44.3.
Правото на копие не трябва да засяга неблагоприятно правата и свободите на други лица.
45. ПРАВО НА КОРИГИРАНЕ
45.1.
Субектът може да поиска коригиране на неточни лични данни.
45.2.
Като се отчита целта, той може да поиска допълване на непълни данни.
45.3.
Някои данни могат да бъдат коригирани директно чрез профила.
46. ПРАВО НА ИЗТРИВАНЕ
46.1.
Субектът може да поиска изтриване, когато:
1) данните вече не са необходими;
2) съгласието е оттеглено и няма друго основание;
3) е направено основателно възражение;
4) данните са обработвани незаконосъобразно;
5) изтриването се изисква от закон;
6) е приложимо друго основание по GDPR.
46.2.
Правото на изтриване не е абсолютно.
46.3.
Данните могат да бъдат запазени, когато това е необходимо за:
1) изпълнение на законово задължение;
2) упражняване на право на свобода на изразяване и информация;
3) обществен интерес;
4) архивни, научни или статистически цели при приложими условия;
5) установяване, упражняване или защита на правни претенции;
6) друго законово основание.
46.4.
Изтриването на профил не води автоматично до изтриване на фактури, договорни записи или други данни, които трябва да бъдат запазени.
47. ПРАВО НА ОГРАНИЧАВАНЕ
47.1.
Субектът може да поиска ограничаване, когато:
1) оспорва точността;
2) обработването е незаконосъобразно, но не желае изтриване;
3) данните вече не са необходими на Търговеца, но са нужни за правна претенция;
4) е подадено възражение и се извършва проверка.
47.2.
При ограничение данните по правило се съхраняват, но не се използват за други дейности без приложимо основание.
48. ПРАВО НА ПРЕНОСИМОСТ
48.1.
Когато обработването е автоматизирано и се основава на съгласие или договор, субектът може да има право да получи предоставените от него данни в структуриран, широко използван и машинночетим формат.
48.2.
Когато е технически възможно, лицето може да поиска данните да бъдат предадени директно на друг администратор.
48.3.
Правото на преносимост не се прилага към всички данни и не трябва да засяга правата на трети лица.
49. ПРАВО НА ВЪЗРАЖЕНИЕ
49.1.
Субектът може да възрази срещу обработване, основано на законен интерес, по причини, свързани с конкретната му ситуация.
49.2.
При възражение обработването се прекратява, освен ако Търговецът докаже убедителни законови основания, които имат предимство, или данните са необходими за правни претенции.
49.3.
Възражението срещу директен маркетинг се уважава без необходимост лицето да посочва специална причина.
50. ПРАВО НА ОТТЕГЛЯНЕ НА СЪГЛАСИЕ
50.1.
Когато обработването се основава на съгласие, то може да бъде оттеглено по всяко време.
50.2.
Оттеглянето трябва да бъде толкова лесно, колкото даването на съгласие.
50.3.
Оттеглянето не засяга законосъобразността на извършеното преди него обработване.
50.4.
Оттеглянето на маркетингово съгласие не прекратява договорните съобщения.
51. ПРАВА ПРИ АВТОМАТИЗИРАНИ РЕШЕНИЯ
51.1.
Когато е приложимо, субектът има право да не бъде обект на решение, основано единствено на автоматизирано обработване, което поражда правни последици или го засяга по сходен съществен начин.
51.2.
При приложимо изключение лицето може да има право на:
1) човешка намеса;
2) изразяване на гледна точка;
3) оспорване на решението.
52. УПРАЖНЯВАНЕ НА ПРАВАТА
52.1.
Искане може да бъде подадено до:
ЛИЙН БЪЛГАРИЯ ООД
Електронна поща: office@lean.bg
Адрес: гр. София, ул. „Кирил Попов“ № 55, вх. А, ет. 1, ап. 4, Република България
52.2.
В темата на електронното съобщение е препоръчително да се посочи:
„Искане относно лични данни“
52.3.
Искането следва да съдържа:
1) име;
2) начин за контакт;
3) описание на исканото действие;
4) информация, която позволява идентифициране на профила или отношенията;
5) предпочитан начин за получаване на отговора.
52.4.
Не е задължително лицето да посочва конкретен член от GDPR.
52.5.
Когато Търговецът действа като обработващ, искането може да бъде препратено към съответния корпоративен администратор.
53. ПРОВЕРКА НА САМОЛИЧНОСТТА
53.1.
Когато има основателно съмнение относно самоличността, може да бъде поискана допълнителна информация.
53.2.
Проверката трябва да бъде:
1) необходима;
2) пропорционална;
3) съобразена с риска;
4) ограничена до минималната информация.
53.3.
Не се изисква копие на личен документ по подразбиране.
53.4.
При възможност се използват по-малко инвазивни средства, като:
1) потвърждение от регистрирания електронен адрес;
2) вход в профила;
3) номер на поръчка;
4) ограничена проверка на известни данни;
5) друг сигурен метод.
54. СРОК ЗА ОТГОВОР
54.1.
Търговецът отговаря без неоправдано забавяне и по правило до един месец от получаване на искането.
54.2.
При сложност или голям брой искания срокът може да бъде удължен с още два месеца.
54.3.
Лицето се уведомява за удължаването и причините до един месец от получаване на искането.
54.4.
Когато не бъдат предприети действия, лицето се информира за причините и за възможността да подаде жалба или да потърси съдебна защита.
55. ТАКСИ
55.1.
Упражняването на правата по правило е безплатно.
55.2.
При явно неоснователно или прекомерно искане, особено поради повторяемост, Търговецът може:
1) да начисли разумна такса, съобразена с административните разходи;
2) да откаже да предприеме действие.
55.3.
Търговецът носи отговорност да докаже явната неоснователност или прекомерност.
56. ПРАВО НА ЖАЛБА ДО НАДЗОРЕН ОРГАН
56.1.
Субектът има право да подаде жалба до Комисията за защита на личните данни, когато счита, че обработването нарушава приложимото законодателство.
56.2.
Данни за контакт с Комисията за защита на личните данни:
Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, Република България
Електронна поща: kzld@cpdp.bg
Интернет страница: cpdp.bg
56.3.
Правото на жалба не е обвързано със задължително предварително искане до Търговеца.
56.4.
Субектът има и право на ефективна съдебна защита.
57. ДАННИ НА ДЕЦА
57.1.
Платформата е предназначена основно за пълнолетни лица, професионалисти, организации и лица, които могат валидно да сключват договор.
57.2.
Не събираме съзнателно лични данни на деца за маркетингови цели без подходящо правно основание.
57.3.
Когато обработването на данни на лице под 14 години се основава на съгласие при пряко предлагане на услуга на информационното общество, съгласието трябва да бъде дадено или разрешено от родител или настойник съгласно приложимото българско законодателство.
57.4.
Когато обучение или друга услуга е предназначено за непълнолетни лица, се предоставя отделна подходяща информация и се предприемат необходимите мерки.
57.5.
Ако бъде установено, че данни на дете са събрани без необходимото основание, те се изтриват или обработването им се урежда законосъобразно без неоправдано забавяне.
58. ВЪНШНИ ВРЪЗКИ И УСЛУГИ
58.1.
Платформата може да съдържа връзки към външни интернет страници и услуги.
58.2.
Търговецът не определя начина, по който независим външен администратор обработва данните след посещаване на неговата страница.
58.3.
Потребителят следва да се запознае с политиката за поверителност на съответната външна услуга.
58.4.
Когато външната услуга е вградена в Платформата, необходимата информация и съгласие се предоставят според приложимото законодателство.
59. СОЦИАЛНИ МРЕЖИ
59.1.
Когато лице взаимодейства с профил на Lean Champions в социална мрежа, операторът на социалната мрежа също може да обработва данни като самостоятелен администратор.
59.2.
Можем да получим информация, която лицето:
1) е направило публична;
2) е изпратило чрез лично съобщение;
3) е предоставило чрез коментар;
4) е споделило чрез функция на социалната мрежа.
59.3.
Данните не се прехвърлят автоматично в маркетингов списък без приложимо правно основание.
60. ПРОМЕНИ В ПОЛИТИКАТА
60.1.
Политиката може да бъде актуализирана при:
1) промяна на законодателството;
2) промяна на услугите;
3) въвеждане на нов начин на плащане;
4) добавяне на нов модул;
5) промяна на доставчици;
6) промяна на срокове за съхранение;
7) промяна на международни предавания;
8) развитие на мерките за сигурност;
9) друга обективна причина.
60.2.
Актуалната версия се публикува с номер, дата на влизане в сила и дата на последна актуализация.
60.3.
Когато промяната е съществена, засегнатите лица могат да бъдат уведомени чрез:
1) електронна поща;
2) съобщение в профила;
3) известие на интернет страницата;
4) друг подходящ канал.
60.4.
Когато за нова цел е необходимо съгласие, промяната на политиката сама по себе си не замества съгласието.
60.5.
Предходните версии могат да бъдат архивирани за доказване на предоставената информация.
61. КОНТАКТИ
61.1.
При въпроси, искания или оплаквания относно личните данни можете да се свържете с:
ЛИЙН БЪЛГАРИЯ ООД
ЕИК: 203317933
Идентификационен номер по ДДС: BG203317933
Адрес: гр. София, ул. „Кирил Попов“ № 55, вх. А, ет. 1, ап. 4, Република България
Електронна поща: office@lean.bg
Телефон: +359 896 060 911
Интернет страница: leanchampionscommunity.com
61.2.
За по-бърза обработка посочете:
1) името си;
2) използвания електронен адрес;
3) организацията, когато е приложимо;
4) номера на поръчката или профила, когато е известен;
5) ясно описание на искането;
6) предпочитан начин за контакт.
61.3.
Не изпращайте по електронна поща:
1) пълен номер на банкова карта;
2) код за сигурност;
3) парола;
4) код за двуфакторна идентификация;
5) други ненужни удостоверителни данни.
62. ВЛИЗАНЕ В СИЛА
62.1.
Настоящата Политика за поверителност влиза в сила от датата, посочена в полето „В сила от“.
62.2.
Версията се прилага към обработването от датата на нейното влизане в сила.
62.3.
Когато конкретно обработване се урежда от отделен договор, специално уведомление или договор за обработване на лични данни, съответните документи се прилагат заедно с настоящата политика.
62.4.
Когато разпоредба от настоящата политика противоречи на задължителна законова норма, се прилага законовата норма, без това да засяга останалата част от политиката.
1. ПРЕДМЕТ И ОБХВАТ
1.1.
Настоящата Политика за поверителност урежда начина, по който ЛИЙН БЪЛГАРИЯ ООД събира, получава, използва, съхранява, организира, променя, предоставя, ограничава, изтрива и по друг начин обработва лични данни във връзка с Lean Champions Platform, Lean Champions Store и свързаните с тях продукти, услуги и функционалности.
1.2.
Политиката се прилага при:
1) посещаване и използване на интернет страницата leanchampionscommunity.com;
2) създаване и използване на потребителски профил;
3) използване на индивидуален, екипен или корпоративен профил;
4) извършване и изпълнение на поръчки;
5) закупуване и доставка на физически стоки;
6) закупуване и предоставяне на цифрово съдържание;
7) активиране и използване на цифрови услуги;
8) закупуване и използване на абонаментен достъп;
9) участие в дистанционни, онлайн или присъствени обучения;
10) участие в уебинари, семинари, събития и консултации;
11) използване на 5S, одитни, отчетни, обучителни и други модули на Платформата;
12) подаване на запитване, заявление за отказ, искане за връщане, рекламация, жалба или друго искане;
13) осъществяване на плащане чрез myPOS, банков превод, наложен платеж или друг активен метод;
14) комуникация с Търговеца;
15) получаване на договорни, информационни или маркетингови съобщения;
16) използване на бисквитки и сходни технологии;
17) осигуряване на сигурността и нормалното функциониране на Платформата.
1.3.
Политиката се прилага към личните данни на:
1) посетители на интернет страницата;
2) регистрирани потребители;
3) клиенти и получатели на поръчки;
4) участници в обучения;
5) представители, служители и контактни лица на корпоративни клиенти;
6) администратори на фирмени профили;
7) лица, включени в качени от клиентите материали, снимки, одити, отчети или други записи;
8) лица, които се свързват с Търговеца;
9) лица, които упражняват права по законодателството за защита на личните данни;
10) други физически лица, чиито данни законосъобразно се обработват чрез Платформата.
1.4.
Данните относно юридически лица не представляват лични данни, освен когато информацията идентифицира или може да бъде свързана с конкретно физическо лице, например управител, служител, представител или контактно лице.
1.5.
Настоящата политика предоставя информация съгласно Регламент (ЕС) 2016/679, наричан по-долу „GDPR“, Закона за защита на личните данни и другото приложимо законодателство.
1.6.
Запознаването с настоящата Политика за поверителност не представлява съгласие за всички описани дейности по обработване.
1.7.
Когато обработването изисква съгласие, то се иска отделно, за конкретна цел, чрез ясно утвърдително действие и без предварително отметнато поле.
1.8.
Политиката се прилага заедно с:
1) Общите условия;
2) Политиката за бисквитките;
3) Политиката за доставка и плащане;
4) Политиката относно правото на отказ;
5) Политиката за връщане;
6) Политиката за рекламации;
7) условията на конкретния продукт или услуга;
8) допълнителните уведомления, показвани при отделни функционалности;
9) договорите за обработване на лични данни с корпоративни клиенти, когато са приложими.
2. АДМИНИСТРАТОР НА ЛИЧНИТЕ ДАННИ
2.1.
Администратор на личните данни, обработвани за собствените цели на Lean Champions Platform и Lean Champions Store, е:
ЛИЙН БЪЛГАРИЯ ООД
ЕИК: 203317933
Идентификационен номер по ДДС: BG203317933
Седалище и адрес на управление: гр. София, ул. „Кирил Попов“ № 55, вх. А, ет. 1, ап. 4, Република България
Управител: Тодор Нейчев
Електронна поща: office@lean.bg
Телефон: +359 896 060 911
Интернет страница: leanchampionscommunity.com
наричано по-долу „Търговецът“, „Администраторът“, „ние“, „нас“ или „наш“.
2.2.
По въпроси относно защитата на личните данни в темата на електронното съобщение може да бъде посочено:
„Лични данни“
2.3.
Търговецът определя целите и средствата за обработване на личните данни, когато действа като администратор.
2.4.
Когато обработва данни от името на корпоративен клиент и единствено по негово документирано нареждане, Търговецът може да действа като обработващ лични данни.
3. ОСНОВНИ ПОНЯТИЯ
3.1.
„Лични данни“ е всяка информация, свързана с идентифицирано или подлежащо на идентифициране физическо лице.
3.2.
„Субект на данните“ е физическото лице, за което се отнасят личните данни.
3.3.
„Обработване“ е всяка операция или съвкупност от операции с лични данни, включително събиране, записване, организиране, структуриране, съхраняване, промяна, извличане, справка, използване, предоставяне, ограничаване, изтриване или унищожаване.
3.4.
„Администратор“ е лицето, което определя целите и средствата за обработването.
3.5.
„Обработващ“ е лицето, което обработва лични данни от името на администратора.
3.6.
„Получател“ е лице, организация или орган, пред който личните данни се разкриват.
3.7.
„Съгласие“ е свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните.
3.8.
„Псевдонимизация“ е обработване, при което данните не могат да бъдат свързани с конкретно лице без използване на допълнителна информация, която се съхранява отделно.
3.9.
„Анонимизирани данни“ са данни, които не могат разумно да бъдат свързани с конкретно физическо лице.
3.10.
„Нарушение на сигурността на личните данни“ е нарушение, което води до случайно или неправомерно унищожаване, загуба, изменение, неразрешено разкриване или достъп до лични данни.
3.11.
„Корпоративен клиент“ е организация, която закупува или управлява достъп до Платформата за свои служители, представители, контрагенти или други разрешени потребители.
3.12.
„Клиентско съдържание“ е информацията, документите, снимките, записите, одитите, отчетите, задачите, коментарите и другите данни, въведени или качени от клиент или от неговите потребители.
4. РОЛИ ПРИ ОБРАБОТВАНЕТО
4.1.
Търговецът действа като самостоятелен администратор по отношение на данните, обработвани за:
1) управление на интернет страницата;
2) регистрация и управление на потребителски профили;
3) сключване и изпълнение на договори;
4) обработване на поръчки;
5) плащания и счетоводна отчетност;
6) доставка на физически стоки;
7) предоставяне на цифрово съдържание и цифрови услуги;
8) провеждане на обучения;
9) обслужване на клиенти;
10) разглеждане на откази, връщания и рекламации;
11) защита на сигурността;
12) предотвратяване на измами;
13) изпълнение на законови задължения;
14) защита на правни претенции;
15) собствена маркетингова комуникация.
4.2.
Корпоративният клиент обичайно действа като администратор по отношение на личните данни, които той или неговите потребители въвеждат в Платформата за собствени организационни цели, включително данни относно:
1) служители;
2) оператори;
3) ръководители;
4) одитори;
5) участници в 5S проверки;
6) лица, отговорни за корективни действия;
7) участници в обучения;
8) вътрешни потребители;
9) други лица, определени от корпоративния клиент.
4.3.
При обработването на клиентско съдържание по документирано нареждане на корпоративния клиент Търговецът може да действа като обработващ лични данни.
4.4.
Отношенията между корпоративния клиент и Търговеца могат да бъдат допълнително уредени с договор или приложение за обработване на лични данни.
4.5.
Корпоративният клиент носи отговорност да:
1) разполага с валидно правно основание за въвежданите данни;
2) предоставя необходимата информация на засегнатите лица;
3) въвежда само данни, необходими за законосъобразните му цели;
4) определя подходящи права за достъп;
5) актуализира и коригира неточни данни;
6) не използва Платформата за незаконно наблюдение;
7) не качва ненужни специални категории данни;
8) дава законосъобразни инструкции на Търговеца.
4.6.
Когато субект на данните отправи искане относно данни, за които корпоративният клиент е администратор, Търговецът може:
1) да препрати искането към корпоративния клиент;
2) да уведоми лицето кой е съответният администратор;
3) да съдейства на корпоративния клиент в рамките на договорните и законовите си задължения.
4.7.
Търговецът не определя самостоятелно целите, за които корпоративният клиент използва качените от него вътрешни данни, освен по отношение на собствените цели за сигурност, поддръжка, фактуриране и изпълнение на закона.
5. ПРИНЦИПИ НА ОБРАБОТВАНЕ
5.1.
Личните данни се обработват съобразно следните принципи:
1) законосъобразност;
2) добросъвестност;
3) прозрачност;
4) ограничение на целите;
5) свеждане на данните до минимум;
6) точност;
7) ограничение на съхранението;
8) цялостност;
9) поверителност;
10) отчетност.
5.2.
Търговецът се стреми да обработва само лични данни, които са подходящи, свързани и ограничени до необходимото за конкретната цел.
5.3.
Търговецът предприема разумни действия за коригиране или изтриване на неточни данни, когато бъде уведомен за неточността.
5.4.
Личните данни не се използват за нова несъвместима цел без допълнително правно основание и необходимата информация към субекта на данните.
6. КАТЕГОРИИ СУБЕКТИ НА ДАННИ
6.1.
Можем да обработваме лични данни на:
1) посетители на Платформата;
2) клиенти;
3) получатели на пратки;
4) платци;
5) титуляри на банкови сметки;
6) регистрирани потребители;
7) администратори на профили;
8) представители на юридически лица;
9) служители и сътрудници на корпоративни клиенти;
10) участници в обучения и събития;
11) обучители и лектори;
12) лица, подаващи запитвания;
13) лица, подаващи заявления за отказ;
14) лица, предявяващи рекламации;
15) лица, включени в потребителско съдържание;
16) посетители, дали или отказали съгласие за бисквитки;
17) лица, абонирани за маркетингова комуникация;
18) лица, за които сме длъжни да обработваме данни по силата на закон.
7. ИДЕНТИФИКАЦИОННИ ДАННИ
7.1.
В зависимост от използваната услуга можем да обработваме:
1) име;
2) фамилия;
3) потребителско име;
4) вътрешен идентификатор на профила;
5) номер на клиент;
6) номер на участник;
7) номер на сертификат;
8) подпис, когато е необходим за хартиен документ;
9) длъжност;
10) организация;
11) отдел;
12) професионална роля;
13) служебен идентификатор, когато е въведен от корпоративен клиент;
14) друга идентификационна информация, необходима за конкретната услуга.
7.2.
По правило не изискваме единен граждански номер, номер на лична карта или копие на документ за самоличност за обикновена регистрация или поръчка.
7.3.
Документ за самоличност може да бъде поискан само когато това е законосъобразно, необходимо и пропорционално, например за проверка на самоличността при определено искане или за предотвратяване на измама.
7.4.
Когато е достатъчно, ненужните данни в документа трябва да бъдат заличени.
8. ДАННИ ЗА КОНТАКТ
8.1.
Можем да обработваме:
1) електронен адрес;
2) телефонен номер;
3) адрес за доставка;
4) адрес за фактуриране;
5) адрес за кореспонденция;
6) избран офис на куриер;
7) населено място;
8) пощенски код;
9) държава;
10) служебни координати за контакт;
11) предпочитан канал за комуникация.
9. ДАННИ ЗА ПОТРЕБИТЕЛСКИ ПРОФИЛ
9.1.
При създаване и използване на профил можем да обработваме:
1) потребителско име;
2) електронен адрес;
3) криптографски защитено представяне на паролата;
4) роля и ниво на достъп;
5) организация;
6) езикови настройки;
7) настройки на профила;
8) дата на регистрация;
9) дата на потвърждаване на електронния адрес;
10) дата на последен вход;
11) статус на профила;
12) активирани продукти и модули;
13) начало и край на достъпа;
14) брой разрешени потребители;
15) история на промени по профила;
16) информация за покани към други потребители;
17) използвани функции;
18) административни действия;
19) информация за блокиране, възстановяване или прекратяване на достъпа.
9.2.
Паролите не се съхраняват във видим и четим текст, когато системата е технически конфигурирана съгласно прилаганите мерки за сигурност.
9.3.
Търговецът никога не изисква от потребителя да изпраща своята парола по електронна поща.
10. ДАННИ ЗА ПОРЪЧКИ
10.1.
При извършване на поръчка можем да обработваме:
1) номер на поръчката;
2) дата и час;
3) избрани продукти и услуги;
4) количества;
5) единични и общи цени;
6) приложени отстъпки;
7) валута;
8) данъци;
9) разходи за доставка;
10) избран начин на плащане;
11) избран начин на доставка;
12) статус на поръчката;
13) история на промените;
14) предоставени договорни съгласия;
15) версия на приетите Общи условия;
16) версия на политиките;
17) дата и час на дадените изрични съгласия;
18) информация за активиране;
19) информация за анулиране;
20) информация за възстановяване;
21) договорна кореспонденция;
22) други данни, необходими за изпълнение и доказване на договора.
11. ДАННИ ЗА ДОСТАВКА
11.1.
За доставка на физическа стока можем да обработваме:
1) име на получателя;
2) телефон;
3) електронен адрес;
4) адрес;
5) избран офис на Еконт;
6) допълнителни указания за доставка;
7) номер на товарителницата;
8) стойност на пратката;
9) сума на наложения платеж;
10) съдържание на пратката в необходимия обем;
11) статус на доставката;
12) дата на изпращане;
13) дата на получаване;
14) информация за неполучена или върната пратка;
15) протоколи за повреда;
16) комуникация с куриера;
17) друга информация, необходима за куриерската услуга.
11.2.
Данните се предоставят на куриера само в обема, необходим за изпълнение на доставката, събиране на наложен платеж, проследяване и разрешаване на проблеми.
12. ДАННИ ЗА КАРТОВИ ПЛАЩАНИЯ ЧРЕЗ MYPOS
12.1.
При плащане с банкова карта чрез myPOS Търговецът може да получава и съхранява ограничена информация, като:
1) идентификатор на трансакцията;
2) номер на поръчката;
3) размер и валута;
4) дата и час;
5) статус на плащането;
6) статус на възстановяването;
7) частично маскирани данни за платежния инструмент, когато са предоставени;
8) вид на картовата схема;
9) код или описание на резултата;
10) информация, необходима за предотвратяване на измами;
11) кореспонденция относно плащането;
12) данни за оспорване, възстановяване или сторниране.
12.2.
Търговецът не получава и не съхранява:
1) пълния номер на банковата карта;
2) кода за сигурност;
3) персоналния идентификационен номер;
4) парола за банково приложение;
5) пълни удостоверителни картови данни.
12.3.
Пълните платежни данни се въвеждат в защитената среда на myPOS или на друг обявен лицензиран доставчик на платежни услуги.
12.4.
myPOS може да обработва лични данни като самостоятелен администратор за предоставяне на платежната услуга, предотвратяване на измами, изпълнение на регулаторни задължения и други собствени законосъобразни цели.
12.5.
Обработването от myPOS се урежда и от неговата собствена информация за поверителност.
13. ДАННИ ПРИ БАНКОВ ПРЕВОД
13.1.
Когато плащането по банков път бъде активирано, можем да обработваме:
1) име на наредителя;
2) име на титуляр на сметката;
3) IBAN;
4) BIC;
5) банка;
6) размер и валута на превода;
7) дата на нареждане и получаване;
8) основание за плащане;
9) номер на поръчката;
10) статус на плащането;
11) данни за частично, надвнесено или закъсняло плащане;
12) информация за възстановяване;
13) кореспонденция относно превода.
13.2.
Банковите данни се използват за:
1) идентифициране на плащането;
2) свързване с поръчката;
3) счетоводно отчитане;
4) възстановяване на сума;
5) предотвратяване на грешки и измами;
6) изпълнение на законови задължения.
13.3.
Банките и доставчиците на платежни услуги обработват данните и като самостоятелни администратори съобразно собствените си законови задължения.
14. ДАННИ ЗА ФАКТУРИРАНЕ И СЧЕТОВОДНА ОТЧЕТНОСТ
14.1.
При издаване на счетоводни документи можем да обработваме:
1) име и фамилия;
2) наименование на организация;
3) ЕИК или друг регистрационен номер;
4) идентификационен номер по ДДС;
5) адрес;
6) име на представляващото лице;
7) лице за контакт;
8) електронен адрес;
9) данни за поръчката;
10) данни за плащането;
11) съдържание и стойност на фактурата;
12) други законово изискуеми реквизити.
14.2.
Информацията, отнасяща се само до юридическо лице, не е лична данна, но данните на представляващи, контактни лица и физически лица се защитават съгласно настоящата политика.
15. ДАННИ ЗА ЦИФРОВО СЪДЪРЖАНИЕ И ПЛАТФОРМЕН ДОСТЪП
15.1.
При предоставяне на цифрово съдържание или цифрова услуга можем да обработваме:
1) закупен продукт;
2) активиран план;
3) активирани модули;
4) дата и час на активиране;
5) начален и краен срок;
6) брой разрешени потребители;
7) изтегляния;
8) достъп до материали;
9) напредък;
10) успешно завършени модули;
11) технически събития;
12) действия в профила;
13) история на лицензите;
14) използвано устройство и браузър;
15) информация за поддръжка;
16) данни за прекратяване или подновяване.
15.2.
Тези данни се обработват за предоставяне на договорения достъп, контрол на лицензите, сигурност, техническа поддръжка и доказване на изпълнението.
16. ДАННИ ОТ 5S, ОДИТНИ И ОРГАНИЗАЦИОННИ МОДУЛИ
16.1.
При използване на фирмени функционалности могат да бъдат обработвани:
1) име на организация;
2) наименование на обект;
3) производствена зона;
4) отдел;
5) работно място;
6) име или идентификатор на одитор;
7) име или идентификатор на отговорно лице;
8) резултат от одит;
9) констатации;
10) корективни действия;
11) срокове;
12) коментари;
13) снимки;
14) прикачени документи;
15) история на промени;
16) статуси;
17) дата и час;
18) подпис или електронно потвърждение;
19) друга информация, въведена от корпоративния клиент.
16.2.
Корпоративният клиент определя какви данни да бъдат въвеждани и носи отговорност те да са необходими и законосъобразни.
16.3.
Платформата не следва да се използва за скрито наблюдение, непропорционално проследяване или автоматично оценяване на служители без подходящо правно основание и прозрачност.
16.4.
Когато одит или отчет може да бъде изготвен без посочване на пълното име на служител, корпоративният клиент следва да използва по-малко идентифицираща информация.
17. СНИМКИ, ИЗОБРАЖЕНИЯ И МЕДИЙНИ ФАЙЛОВЕ
17.1.
Потребителите могат да качват снимки и други файлове за:
1) 5S одити;
2) доказване на състояние преди и след действие;
3) документиране на несъответствия;
4) инструкции;
5) обучение;
6) рекламации;
7) техническа поддръжка;
8) други разрешени цели.
17.2.
Снимките могат да съдържат лични данни, когато показват:
1) лице;
2) служебна карта;
3) табела с име;
4) подпис;
5) регистрационен номер;
6) документ;
7) компютърен екран;
8) работен график;
9) друга идентифицираща информация.
17.3.
Потребителят и корпоративният клиент следва:
1) да не заснемат лица, когато това не е необходимо;
2) да избягват качване на лични документи;
3) да скриват несвързани лични данни;
4) да използват замъгляване или изрязване, когато е подходящо;
5) да информират засегнатите лица;
6) да разполагат с валидно правно основание;
7) да ограничават достъпа до снимките.
17.4.
Снимки от одити не се използват за публичен маркетинг без отделно приложимо правно основание.
18. ДАННИ ЗА ОБУЧЕНИЯ И СЪБИТИЯ
18.1.
При записване и участие в обучение можем да обработваме:
1) име;
2) електронен адрес;
3) телефон;
4) организация;
5) длъжност;
6) избрано обучение;
7) дата и формат;
8) платежен статус;
9) присъствие;
10) участие;
11) напредък;
12) изпълнени задания;
13) резултати от тестове;
14) получена обратна връзка;
15) комуникация с обучителя;
16) технически данни за включване;
17) предпочитан език;
18) необходима информация за сертификат;
19) данни за анулиране или прехвърляне на участие;
20) други данни, необходими за предоставяне на обучението.
18.2.
Когато обучение се провежда чрез външна платформа за видеоконференции или електронно обучение, необходимите данни могат да бъдат предоставени на съответния доставчик.
18.3.
Когато обучение се записва, участниците се информират предварително за:
1) факта на записването;
2) целта;
3) обхвата;
4) срока за съхранение;
5) лицата, които ще имат достъп;
6) начина за упражняване на права.
18.4.
Записът не се използва за рекламни цели само защото лицето е участвало в обучението.
18.5.
Използването на образ, глас, име или изказване за публично рекламно съдържание се извършва при наличие на отделно подходящо правно основание.
19. ДАННИ ЗА СЕРТИФИКАТИ
19.1.
За издаване и проверка на сертификат можем да обработваме:
1) име и фамилия;
2) наименование на обучението;
3) дата на провеждане;
4) резултат;
5) дата на издаване;
6) уникален номер;
7) организация;
8) ниво или вид на сертификата;
9) информация за валидност;
10) информация за отнемане или корекция;
11) други данни, необходими за удостоверяване.
19.2.
Публична проверка на сертификат, когато се предлага, следва да показва само необходимата информация.
19.3.
Пълни резултати, лични контакти и друга ненужна информация не се публикуват в публична проверка.
20. ДАННИ ЗА КОМУНИКАЦИЯ И ОБСЛУЖВАНЕ
20.1.
При контакт с нас можем да обработваме:
1) име;
2) електронен адрес;
3) телефон;
4) организация;
5) съдържание на съобщението;
6) прикачени файлове;
7) история на кореспонденцията;
8) дата и час;
9) използван канал;
10) номер на поръчка;
11) техническа информация;
12) действията по заявката;
13) вътрешни бележки, необходими за обслужването.
20.2.
Телефонен разговор не се записва, освен ако лицето е било предварително информирано и е налице валидно правно основание.
21. ДАННИ ПРИ ОТКАЗИ, ВРЪЩАНИЯ, РЕКЛАМАЦИИ И ЖАЛБИ
21.1.
Можем да обработваме:
1) име и контакти;
2) номер на поръчката;
3) засегнат продукт или услуга;
4) основание на заявката;
5) дата на получаване или активиране;
6) дата на заявлението;
7) уникален номер;
8) товарителница;
9) снимки;
10) доказателства;
11) кореспонденция;
12) резултат от проверката;
13) предпочитано решение;
14) банкови данни, когато са необходими за възстановяване;
15) размер и начин на възстановяване;
16) статус и история на обработването;
17) други данни, необходими за разрешаване на случая.
21.2.
Данните се използват за изпълнение на законови и договорни задължения, защита на правата на страните, предотвратяване на измами и счетоводна отчетност.
22. ТЕХНИЧЕСКИ ДАННИ И ЛОГОВЕ
22.1.
При използване на Платформата могат автоматично да се обработват:
1) IP адрес;
2) дата и час;
3) посетена страница;
4) заявен интернет адрес;
5) тип и версия на браузъра;
6) операционна система;
7) тип устройство;
8) езикови настройки;
9) идентификатор на сесията;
10) референтна страница;
11) кодове за технически резултат;
12) информация за грешки;
13) действия по вход и изход;
14) неуспешни опити за вход;
15) промени на права;
16) административни действия;
17) изтегляния;
18) действия по поръчки;
19) дадени съгласия;
20) информация за сигурността;
21) други технически събития, необходими за работа и защита на системата.
22.2.
Техническите логове се използват за:
1) предоставяне на услугата;
2) установяване на грешки;
3) защита от неоторизиран достъп;
4) предотвратяване на измами;
5) проверка на инциденти;
6) доказване на действия;
7) подобряване на надеждността;
8) изпълнение на законови задължения.
22.3.
Техническите логове не се използват за скрито оценяване на трудовото представяне на служители от Търговеца.
23. ДАННИ ЗА СЪГЛАСИЯ И ПРЕДПОЧИТАНИЯ
23.1.
Можем да съхраняваме доказателства за:
1) приемане на Общите условия;
2) версията на приетия документ;
3) съгласие за незабавно цифрово съдържание;
4) искане за ранно започване на цифрова услуга;
5) съгласие за маркетинг;
6) избор на бисквитки;
7) оттегляне на съгласие;
8) възражение срещу маркетинг;
9) дата и час;
10) технически идентификатор;
11) източник и формуляр;
12) текста, показан при съгласието.
23.2.
Съхраняването на доказателство за оттеглено съгласие може да продължи, когато това е необходимо, за да се докаже спазването на закона и да не се възобнови нежелана комуникация.
24. СПЕЦИАЛНИ КАТЕГОРИИ ЛИЧНИ ДАННИ
24.1.
Платформата не е предназначена за системно обработване на специални категории лични данни, включително данни за:
1) здравословно състояние;
2) расов или етнически произход;
3) религиозни или философски убеждения;
4) политически възгледи;
5) членство в синдикална организация;
6) генетични данни;
7) биометрични данни за уникална идентификация;
8) сексуален живот или сексуална ориентация.
24.2.
Потребителите не трябва да качват такива данни, освен когато:
1) това е обективно необходимо;
2) налице е приложимо правно основание;
3) са изпълнени допълнителните изисквания на закона;
4) корпоративният клиент е разрешил обработването;
5) са приложени подходящи мерки за защита.
24.3.
Снимка на лице не представлява автоматично биометрична данна. Тя може да стане биометрична данна, когато се обработва със специални технически средства за уникална идентификация.
24.4.
Търговецът не използва лицево разпознаване за идентифициране на потребителите, освен ако бъде въведена отделна законосъобразна функционалност и лицата бъдат предварително информирани.
25. ДАННИ ЗА ПРИСЪДИ И НАРУШЕНИЯ
25.1.
Платформата не е предназначена за системно обработване на данни относно присъди и нарушения.
25.2.
Такива данни не трябва да се въвеждат, освен когато обработването е изрично разрешено от закон и са приложени необходимите гаранции.
26. ИЗТОЧНИЦИ НА ЛИЧНИ ДАННИ
26.1.
Получаваме лични данни:
1) директно от субекта на данните;
2) от лицето, което извършва поръчката;
3) от получателя на пратката;
4) от корпоративен клиент;
5) от администратор на фирмен профил;
6) от упълномощено лице;
7) от myPOS;
8) от банки и платежни доставчици;
9) от Еконт или друг куриер;
10) от платформа за обучение или видеоконференции;
11) от електронна поща;
12) от техническите системи и устройства;
13) от бисквитки и сходни технологии;
14) от публичен източник, когато това е законосъобразно и необходимо;
15) от компетентен орган;
16) от друго лице, което има право да предостави данните.
26.2.
Когато корпоративен администратор създава профил за потребител, данните могат да бъдат получени от организацията, а не директно от лицето.
26.3.
В такъв случай необходимата информация за обработването се предоставя при първия контакт, при първото влизане, в разумен срок или чрез корпоративния администратор, освен когато е приложимо законово изключение.
27. ЦЕЛИ НА ОБРАБОТВАНЕТО
27.1.
Личните данни могат да бъдат обработвани за:
1) предоставяне и поддържане на интернет страницата;
2) регистрация и управление на профили;
3) удостоверяване на самоличност и управление на достъп;
4) сключване и изпълнение на договори;
5) обработване на поръчки;
6) приемане и потвърждаване на плащания;
7) доставка на физически стоки;
8) активиране на цифрово съдържание;
9) предоставяне на цифрови услуги;
10) управление на абонаменти;
11) провеждане на обучения;
12) издаване и проверка на сертификати;
13) предоставяне на техническа поддръжка;
14) комуникация с клиенти;
15) обработване на откази и връщания;
16) разглеждане на рекламации и жалби;
17) възстановяване на суми;
18) фактуриране и счетоводна отчетност;
19) изпълнение на данъчни задължения;
20) предотвратяване на измами;
21) защита на профили и системи;
22) управление на съгласия;
23) изпращане на договорни съобщения;
24) изпращане на маркетингови съобщения при наличие на основание;
25) анализ и подобряване на Платформата;
26) разработване на нови функционалности;
27) създаване на анонимизирана статистика;
28) упражняване и защита на правни претенции;
29) изпълнение на искания на компетентни органи;
30) изпълнение на други законови задължения.
28. ПРАВНИ ОСНОВАНИЯ
28.1. Договор и преддоговорни действия
Обработваме данни, когато това е необходимо за:
1) регистрация по искане на потребителя;
2) изготвяне на оферта;
3) извършване на поръчка;
4) плащане;
5) доставка;
6) активиране на достъп;
7) предоставяне на цифрово съдържание;
8) участие в обучение;
9) техническа поддръжка;
10) обработване на договорно искане;
11) изпълнение на други договорни задължения.
28.2. Законово задължение
Обработваме данни, когато това е необходимо за:
1) счетоводна отчетност;
2) данъчно облагане;
3) издаване и съхраняване на фактури;
4) обработване на потребителски рекламации;
5) упражняване на право на отказ;
6) защита на личните данни;
7) отговор на компетентни органи;
8) изпълнение на други законови задължения.
28.3. Законен интерес
Можем да обработваме данни за законни интереси, като:
1) защита на информационните системи;
2) предотвратяване на измами;
3) доказване на договорни действия;
4) защита на правни претенции;
5) подобряване на услугите;
6) управление на бизнеса;
7) вътрешна отчетност;
8) защита на имущество и права;
9) ограничена комуникация с бизнес контакти;
10) предотвратяване на злоупотреба;
11) анонимизиране на информацията;
12) поддържане на минимален списък на лица, възразили срещу маркетинг.
28.4.
Преди обработване въз основа на законен интерес се оценяват необходимостта, очакванията на лицата и възможното въздействие върху техните права.
28.5. Съгласие
Можем да разчитаме на съгласие за:
1) маркетингов бюлетин;
2) незадължителни бисквитки;
3) публикуване на отзив;
4) използване на образ или глас за маркетинг;
5) участие в доброволна анкета;
6) друга конкретна цел, за която съгласието е подходящо правно основание.
28.6.
Съгласието може да бъде оттеглено по всяко време.
28.7.
Оттеглянето не засяга законосъобразността на обработването, извършено преди него.
28.8.
Изричното съгласие за незабавно предоставяне на цифрово съдържание е договорно потребителско изявление и не следва автоматично да се смесва със съгласие за маркетинг или с друго обработване на лични данни.
29. ЗАДЪЛЖИТЕЛНО И ДОБРОВОЛНО ПРЕДОСТАВЯНЕ НА ДАННИ
29.1.
Някои данни са необходими за сключване или изпълнение на договор.
29.2.
Без необходимите данни може да не бъде възможно:
1) създаване на профил;
2) обработване на поръчка;
3) извършване или идентифициране на плащане;
4) доставка;
5) издаване на фактура;
6) активиране на достъп;
7) участие в обучение;
8) издаване на сертификат;
9) разглеждане на рекламация;
10) възстановяване на сума.
29.3.
Данните, обозначени като незадължителни, се предоставят доброволно.
29.4.
Отказът от маркетингово съгласие не пречи на извършването на покупка.
29.5.
Отказът от незадължителни аналитични или маркетингови бисквитки не трябва да пречи на използването на основните функционалности.
30. ДОГОВОРНИ И ОБСЛУЖВАЩИ СЪОБЩЕНИЯ
30.1.
Можем да изпращаме без отделно маркетингово съгласие съобщения, необходими за:
1) потвърждение на регистрация;
2) потвърждение на поръчка;
3) плащане;
4) доставка;
5) активиране на достъп;
6) сигурност;
7) промяна на парола;
8) изтичане на договорен достъп;
9) обучение;
10) фактура;
11) отказ;
12) връщане;
13) рекламация;
14) техническа поддръжка;
15) промяна на договорна услуга;
16) изпълнение на законово задължение.
30.2.
Тези съобщения не представляват маркетинг, когато съдържанието им е ограничено до необходимата договорна или обслужваща информация.
31. МАРКЕТИНГОВИ СЪОБЩЕНИЯ
31.1.
Маркетингови съобщения могат да бъдат изпращани:
1) при валидно съгласие;
2) когато друго приложимо законово основание позволява това;
3) при предоставена лесна и безплатна възможност за отказ.
31.2.
Маркетинговото съобщение може да съдържа:
1) новини;
2) информация за книги;
3) информация за обучения;
4) информация за платформата;
5) промоционални предложения;
6) покани за събития;
7) полезно професионално съдържание.
31.3.
Получателят може да се отпише чрез:
1) линк в съобщението;
2) настройките на профила;
3) електронно съобщение до office@lean.bg;
4) друг предоставен механизъм.
31.4.
Възражението срещу директен маркетинг се уважава без неоправдано забавяне.
31.5.
След отписване можем да съхраним минимална информация в списък за изключване, за да гарантираме, че лицето няма да бъде добавено отново без ново основание.
32. БИСКВИТКИ И СХОДНИ ТЕХНОЛОГИИ
32.1.
Платформата може да използва:
1) бисквитки;
2) локално съхранение;
3) сесийни идентификатори;
4) пиксели;
5) сходни технологии.
32.2.
Строго необходимите технологии могат да бъдат използвани без съгласие, когато са необходими за:
1) сигурност;
2) вход в профил;
3) кошница;
4) запазване на избраната сесия;
5) защита от злоупотреба;
6) запазване на избора за поверителност;
7) предоставяне на изрично поискана услуга.
32.3.
Аналитични, функционални или маркетингови технологии, за които законът изисква съгласие, се активират само след валиден избор.
32.4.
Подробна информация за конкретните технологии, доставчиците, целите и сроковете се предоставя в Политиката за бисквитките и в механизма за управление на съгласията.
33. АНОНИМИЗИРАНИ И ОБОБЩЕНИ ДАННИ
33.1.
Можем да създаваме обобщена или анонимизирана статистика за:
1) брой посещения;
2) използвани функционалности;
3) покупки;
4) обучения;
5) техническа производителност;
6) подобряване на услугата;
7) вътрешни анализи.
33.2.
Когато данните са действително и необратимо анонимизирани, те не представляват лични данни.
33.3.
Анонимизираните данни могат да бъдат съхранявани за по-дълъг период, когато не позволяват идентифициране на физическо лице.
34. ПОЛУЧАТЕЛИ НА ЛИЧНИ ДАННИ
34.1.
Лични данни могат да бъдат предоставяни на:
1) myPOS;
2) банки и платежни доставчици;
3) Еконт и други куриери;
4) доставчици на хостинг;
5) доставчици на облачна инфраструктура;
6) доставчици на електронна поща;
7) доставчици на информационни системи;
8) разработчици и техническа поддръжка;
9) доставчици на архивиране и киберсигурност;
10) платформи за дистанционно обучение;
11) платформи за видеоконференции;
12) доставчици на сертификати;
13) счетоводители;
14) одитори;
15) адвокати и правни консултанти;
16) застрахователи;
17) партньори, участващи в изпълнение на обучение или услуга;
18) държавни и общински органи;
19) съдилища;
20) контролни и надзорни органи;
21) органи на реда при законосъобразно искане;
22) правоприемник при преобразуване или прехвърляне на дейност;
23) други лица, когато субектът е информиран или законът го изисква.
34.2.
Достъп се предоставя само в необходимия обем и според ролята на получателя.
34.3.
Когато доставчик обработва данни от името на Търговеца, отношенията се уреждат с договор и подходящи инструкции.
34.4.
Обработващият няма право да използва данните за несъвместими собствени цели.
34.5.
Когато получателят действа като самостоятелен администратор, той носи собствена отговорност за своето обработване.
35. КОРПОРАТИВНИ АДМИНИСТРАТОРИ
35.1.
Корпоративен администратор може да има достъп до:
1) имената на потребителите в своята организация;
2) служебните им електронни адреси;
3) ролите;
4) статусите на достъп;
5) резултатите от обучения;
6) фирмените одити и отчети;
7) клиентското съдържание;
8) друга информация, разрешена от корпоративния план.
35.2.
Корпоративният администратор не получава достъп до:
1) пълни картови данни;
2) лични пароли;
3) данни на несвързани организации;
4) друга информация извън предоставените му права.
35.3.
Организацията носи отговорност да предостави администраторски права само на подходящо упълномощени лица.
36. ПРЕДАВАНЕ ИЗВЪН ЕВРОПЕЙСКОТО ИКОНОМИЧЕСКО ПРОСТРАНСТВО
36.1.
Стремим се личните данни да се обработват в Европейското икономическо пространство, когато това е разумно възможно.
36.2.
Някои доставчици могат да обработват данни в държава извън Европейското икономическо пространство.
36.3.
Такова предаване се извършва само при наличие на приложим механизъм, включително:
1) решение на Европейската комисия за адекватно ниво на защита;
2) стандартни договорни клаузи;
3) обвързващи корпоративни правила;
4) одобрен кодекс или сертификационен механизъм с ангажименти;
5) изрично законово изключение;
6) друг допустим механизъм.
36.4.
Когато се използват стандартни договорни клаузи, може да бъде извършена оценка на условията в държавата получател и при необходимост да бъдат приложени допълнителни мерки.
36.5.
Субектът на данните може да поиска информация за приложимия механизъм и начина за получаване на копие от съответните гаранции, доколкото това не нарушава права на трети лица или изисквания за сигурност.
37. СРОКОВЕ ЗА СЪХРАНЕНИЕ
37.1.
Личните данни се съхраняват само за периода, необходим за целта, освен когато по-дълъг срок:
1) се изисква от закон;
2) е необходим за защита на правни претенции;
3) е договорен законосъобразно;
4) е необходим за приключване на спор, проверка или разследване.
37.2. Потребителски профили
Данните за активен профил се съхраняват през периода на регистрацията и договорния достъп.
37.3.
След закриване на профила данните в активните системи се изтриват или ограничават в разумен технически срок, освен частта, необходима за:
1) договорни отношения;
2) счетоводство;
3) сигурност;
4) доказване на действия;
5) правни претенции.
37.4.
Основни договорни и идентификационни данни могат да бъдат съхранявани до изтичане на приложимите давностни срокове, обичайно до пет години след прекратяване на отношенията, освен ако е приложим друг срок.
37.5. Клиентско съдържание на корпоративен клиент
Клиентското съдържание се съхранява за срока на договора и съгласно договорените правила.
37.6.
При липса на специална уговорка след прекратяване може да бъде предоставен разумен период за експортиране, след което съдържанието се изтрива или анонимизира от активните системи, освен когато законът изисква запазване.
37.7. Поръчки и договори
Данните за поръчки и договори се съхраняват за срока на изпълнение и за приложимия давностен период.
37.8.
Когато данните са част от счетоводна информация, те могат да се съхраняват за законово установения счетоводен срок.
37.9. Счетоводни документи
Счетоводните регистри, финансовите отчети и документите за данъчен контрол, одит и последващи финансови инспекции се съхраняват за приложимия законов срок, който обичайно е 10 години, считано по реда на Закона за счетоводството.
37.10. Неплатени и анулирани поръчки
Данните за неплатена или анулирана поръчка могат да бъдат съхранявани до шест месеца, освен когато са необходими за предотвратяване на измама, правен спор или законово задължение.
37.11. Изоставена кошница
Информация за незавършена кошница може да бъде съхранявана до 30 дни, освен ако потребителят е запазил кошницата чрез профила си или е дал отделно основание за по-дълго използване.
37.12. Запитвания
Запитвания, които не водят до договор, могат да бъдат съхранявани до две години след последната съществена комуникация.
37.13. Откази, връщания и рекламации
Данните по откази, връщания, рекламации и жалби могат да се съхраняват до пет години след приключване на случая.
37.14.
Документите, които представляват счетоводна информация, се съхраняват за съответния по-дълъг законов срок.
37.15. Обучения
Данните за участие, присъствие, напредък и резултати могат да се съхраняват до пет години след приключване на обучението, освен ако конкретната програма или закон изисква друг срок.
37.16. Сертификати
Основната информация, необходима за проверка на издаден сертификат, може да се съхранява до 10 години или за периода на валидност на сертификата, когато това е необходимо за удостоверяване на автентичността.
37.17. Маркетинг
Данните за маркетинг се съхраняват до оттегляне на съгласието, възражение, отпадане на основанието или установяване на продължителна неактивност.
37.18.
Минимален запис за отказ от маркетинг може да бъде съхраняван за периода, необходим за спазване на възражението.
37.19. Доказателства за съгласие
Записите за съгласия могат да се съхраняват до пет години след оттеглянето или прекратяването на съответната дейност, когато това е необходимо за доказване на законосъобразността.
37.20. Технически логове
Обичайните технически и защитни логове могат да се съхраняват до 12 месеца.
37.21.
Логове, свързани с инцидент, измама, спор или нарушение, могат да бъдат съхранявани до окончателното приключване и изтичане на приложимия срок за претенции.
37.22. Бисквитки
Срокът на всяка бисквитка се посочва в Политиката за бисквитките или в механизма за управление на съгласията.
37.23. Архивни копия
Изтрити от активните системи данни могат да останат временно в защитени резервни копия до изтичане на техническия цикъл на архивите.
37.24.
Архивните копия не се използват за обичайно активно обработване и се възстановяват само при необходимост от възстановяване на системата, сигурност или законово задължение.
37.25. Правни претенции
Когато е налице спор, проверка или производство, относимите данни могат да бъдат съхранявани до окончателното приключване и изтичане на срока за последваща защита.
38. ИЗТРИВАНЕ, ОГРАНИЧАВАНЕ И АНОНИМИЗИРАНЕ
38.1.
След изтичане на приложимия срок личните данни се:
1) изтриват;
2) унищожават;
3) необратимо анонимизират;
4) ограничават, когато временното запазване се изисква от закон или спор.
38.2.
Когато данните трябва да бъдат запазени по закон, те не се използват за несъвместима нова цел.
38.3.
Изтриването от всички резервни копия може да настъпи постепенно при нормалната им ротация.
38.4.
При възстановяване на архив могат да бъдат приложени процедури за повторно изтриване на данни, които преди това са били законно заличени.
39. ТЕХНИЧЕСКИ И ОРГАНИЗАЦИОННИ МЕРКИ
39.1.
Търговецът прилага подходящи мерки, съобразени с риска, естеството, обхвата, контекста и целите на обработването.
39.2.
Мерките могат да включват:
1) контрол на достъпа;
2) индивидуални потребителски профили;
3) роли и разрешения;
4) криптографска защита на пароли;
5) защитено предаване на информация;
6) регистрация на административни действия;
7) архивиране;
8) защита срещу неоторизиран достъп;
9) актуализиране на системите;
10) управление на уязвимости;
11) ограничаване на неуспешни опити за вход;
12) защита на платежния процес;
13) разделяне на среди;
14) процедури за инциденти;
15) договорни задължения за поверителност;
16) обучение на лицата с достъп;
17) периодичен преглед на правата;
18) минимизиране на данните;
19) псевдонимизация, когато е подходящо;
20) физическа защита на инфраструктурата;
21) други мерки според развитието на технологиите.
39.3.
Достъп имат само лица, за които това е необходимо за служебните или договорните им задължения.
39.4.
Предоставянето на конкретни подробности за защитата може да бъде ограничено, когато разкриването би създало риск за сигурността.
39.5.
Никоя система не може да гарантира абсолютна защита срещу всички възможни рискове.
39.6.
Това обстоятелство не освобождава Търговеца от задължението да прилага подходящи мерки и да реагира при инцидент.
40. ЗАДЪЛЖЕНИЯ НА ПОТРЕБИТЕЛИТЕ ЗА СИГУРНОСТ
40.1.
Потребителят следва:
1) да използва силна и уникална парола;
2) да не споделя паролата си;
3) да не предоставя профила си на неоторизирани лица;
4) да излиза от профила на споделено устройство;
5) да поддържа устройството и браузъра си актуални;
6) да не отваря подозрителни връзки;
7) да уведомява при съмнение за компрометиране;
8) да проверява адреса на интернет страницата;
9) да не изпраща платежни кодове и пароли;
10) да спазва правата за достъп в корпоративния профил.
40.2.
При съмнение за неоторизиран достъп потребителят следва незабавно да смени паролата си и да се свърже с Търговеца.
41. НАРУШЕНИЯ НА СИГУРНОСТТА
41.1.
При установено нарушение Търговецът извършва оценка на:
1) естеството на данните;
2) броя на засегнатите лица;
3) възможните последици;
4) вероятността за вреда;
5) предприетите защитни мерки.
41.2.
Когато законът изисква това, надзорният орган се уведомява без ненужно забавяне и, когато е възможно, до 72 часа от узнаването.
41.3.
Когато нарушението може да доведе до висок риск за правата и свободите на лицата, засегнатите лица се уведомяват без ненужно забавяне, освен ако е приложимо законово изключение.
41.4.
Уведомлението може да съдържа:
1) естеството на нарушението;
2) възможните последици;
3) предприетите мерки;
4) препоръки към лицето;
5) контакт за допълнителна информация.
42. АВТОМАТИЗИРАНО ВЗЕМАНЕ НА РЕШЕНИЯ И ПРОФИЛИРАНЕ
42.1.
Освен ако лицето не бъде изрично информирано в отделно уведомление, Търговецът не взема решения, основани единствено на автоматизирано обработване, които пораждат правни последици или засягат лицето по сходен съществен начин.
42.2.
Могат да се използват автоматизирани правила за:
1) защита срещу спам;
2) откриване на необичайни опити за вход;
3) проверка на техническа валидност;
4) изчисляване на цена и доставка;
5) активиране след успешно плащане;
6) показване на съдържание според закупения план;
7) други рутинни операции без съществено правно въздействие.
42.3.
Ако бъде въведено автоматизирано решение със съществено въздействие, ще бъде предоставена информация за:
1) логиката;
2) значението;
3) възможните последици;
4) правото на човешка намеса;
5) правото да се изрази становище;
6) правото решението да бъде оспорено.
43. ПРАВО НА ИНФОРМАЦИЯ
43.1.
Субектът има право да получи ясна и разбираема информация за обработването.
43.2.
Информацията се предоставя чрез:
1) настоящата политика;
2) Политиката за бисквитките;
3) уведомления при регистрация;
4) информация при поръчка;
5) договори;
6) специални уведомления;
7) отговор на индивидуално искане.
44. ПРАВО НА ДОСТЪП
44.1.
Субектът може да поиска потвърждение дали се обработват негови лични данни.
44.2.
Когато се обработват данни, той може да поиска:
1) копие от данните;
2) целите;
3) категориите данни;
4) получателите;
5) срока или критериите;
6) източника;
7) информация за правата;
8) информация за международни предавания;
9) информация за автоматизирани решения, когато са приложими.
44.3.
Правото на копие не трябва да засяга неблагоприятно правата и свободите на други лица.
45. ПРАВО НА КОРИГИРАНЕ
45.1.
Субектът може да поиска коригиране на неточни лични данни.
45.2.
Като се отчита целта, той може да поиска допълване на непълни данни.
45.3.
Някои данни могат да бъдат коригирани директно чрез профила.
46. ПРАВО НА ИЗТРИВАНЕ
46.1.
Субектът може да поиска изтриване, когато:
1) данните вече не са необходими;
2) съгласието е оттеглено и няма друго основание;
3) е направено основателно възражение;
4) данните са обработвани незаконосъобразно;
5) изтриването се изисква от закон;
6) е приложимо друго основание по GDPR.
46.2.
Правото на изтриване не е абсолютно.
46.3.
Данните могат да бъдат запазени, когато това е необходимо за:
1) изпълнение на законово задължение;
2) упражняване на право на свобода на изразяване и информация;
3) обществен интерес;
4) архивни, научни или статистически цели при приложими условия;
5) установяване, упражняване или защита на правни претенции;
6) друго законово основание.
46.4.
Изтриването на профил не води автоматично до изтриване на фактури, договорни записи или други данни, които трябва да бъдат запазени.
47. ПРАВО НА ОГРАНИЧАВАНЕ
47.1.
Субектът може да поиска ограничаване, когато:
1) оспорва точността;
2) обработването е незаконосъобразно, но не желае изтриване;
3) данните вече не са необходими на Търговеца, но са нужни за правна претенция;
4) е подадено възражение и се извършва проверка.
47.2.
При ограничение данните по правило се съхраняват, но не се използват за други дейности без приложимо основание.
48. ПРАВО НА ПРЕНОСИМОСТ
48.1.
Когато обработването е автоматизирано и се основава на съгласие или договор, субектът може да има право да получи предоставените от него данни в структуриран, широко използван и машинночетим формат.
48.2.
Когато е технически възможно, лицето може да поиска данните да бъдат предадени директно на друг администратор.
48.3.
Правото на преносимост не се прилага към всички данни и не трябва да засяга правата на трети лица.
49. ПРАВО НА ВЪЗРАЖЕНИЕ
49.1.
Субектът може да възрази срещу обработване, основано на законен интерес, по причини, свързани с конкретната му ситуация.
49.2.
При възражение обработването се прекратява, освен ако Търговецът докаже убедителни законови основания, които имат предимство, или данните са необходими за правни претенции.
49.3.
Възражението срещу директен маркетинг се уважава без необходимост лицето да посочва специална причина.
50. ПРАВО НА ОТТЕГЛЯНЕ НА СЪГЛАСИЕ
50.1.
Когато обработването се основава на съгласие, то може да бъде оттеглено по всяко време.
50.2.
Оттеглянето трябва да бъде толкова лесно, колкото даването на съгласие.
50.3.
Оттеглянето не засяга законосъобразността на извършеното преди него обработване.
50.4.
Оттеглянето на маркетингово съгласие не прекратява договорните съобщения.
51. ПРАВА ПРИ АВТОМАТИЗИРАНИ РЕШЕНИЯ
51.1.
Когато е приложимо, субектът има право да не бъде обект на решение, основано единствено на автоматизирано обработване, което поражда правни последици или го засяга по сходен съществен начин.
51.2.
При приложимо изключение лицето може да има право на:
1) човешка намеса;
2) изразяване на гледна точка;
3) оспорване на решението.
52. УПРАЖНЯВАНЕ НА ПРАВАТА
52.1.
Искане може да бъде подадено до:
ЛИЙН БЪЛГАРИЯ ООД
Електронна поща: office@lean.bg
Адрес: гр. София, ул. „Кирил Попов“ № 55, вх. А, ет. 1, ап. 4, Република България
52.2.
В темата на електронното съобщение е препоръчително да се посочи:
„Искане относно лични данни“
52.3.
Искането следва да съдържа:
1) име;
2) начин за контакт;
3) описание на исканото действие;
4) информация, която позволява идентифициране на профила или отношенията;
5) предпочитан начин за получаване на отговора.
52.4.
Не е задължително лицето да посочва конкретен член от GDPR.
52.5.
Когато Търговецът действа като обработващ, искането може да бъде препратено към съответния корпоративен администратор.
53. ПРОВЕРКА НА САМОЛИЧНОСТТА
53.1.
Когато има основателно съмнение относно самоличността, може да бъде поискана допълнителна информация.
53.2.
Проверката трябва да бъде:
1) необходима;
2) пропорционална;
3) съобразена с риска;
4) ограничена до минималната информация.
53.3.
Не се изисква копие на личен документ по подразбиране.
53.4.
При възможност се използват по-малко инвазивни средства, като:
1) потвърждение от регистрирания електронен адрес;
2) вход в профила;
3) номер на поръчка;
4) ограничена проверка на известни данни;
5) друг сигурен метод.
54. СРОК ЗА ОТГОВОР
54.1.
Търговецът отговаря без неоправдано забавяне и по правило до един месец от получаване на искането.
54.2.
При сложност или голям брой искания срокът може да бъде удължен с още два месеца.
54.3.
Лицето се уведомява за удължаването и причините до един месец от получаване на искането.
54.4.
Когато не бъдат предприети действия, лицето се информира за причините и за възможността да подаде жалба или да потърси съдебна защита.
55. ТАКСИ
55.1.
Упражняването на правата по правило е безплатно.
55.2.
При явно неоснователно или прекомерно искане, особено поради повторяемост, Търговецът може:
1) да начисли разумна такса, съобразена с административните разходи;
2) да откаже да предприеме действие.
55.3.
Търговецът носи отговорност да докаже явната неоснователност или прекомерност.
56. ПРАВО НА ЖАЛБА ДО НАДЗОРЕН ОРГАН
56.1.
Субектът има право да подаде жалба до Комисията за защита на личните данни, когато счита, че обработването нарушава приложимото законодателство.
56.2.
Данни за контакт с Комисията за защита на личните данни:
Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, Република България
Електронна поща: kzld@cpdp.bg
Интернет страница: cpdp.bg
56.3.
Правото на жалба не е обвързано със задължително предварително искане до Търговеца.
56.4.
Субектът има и право на ефективна съдебна защита.
57. ДАННИ НА ДЕЦА
57.1.
Платформата е предназначена основно за пълнолетни лица, професионалисти, организации и лица, които могат валидно да сключват договор.
57.2.
Не събираме съзнателно лични данни на деца за маркетингови цели без подходящо правно основание.
57.3.
Когато обработването на данни на лице под 14 години се основава на съгласие при пряко предлагане на услуга на информационното общество, съгласието трябва да бъде дадено или разрешено от родител или настойник съгласно приложимото българско законодателство.
57.4.
Когато обучение или друга услуга е предназначено за непълнолетни лица, се предоставя отделна подходяща информация и се предприемат необходимите мерки.
57.5.
Ако бъде установено, че данни на дете са събрани без необходимото основание, те се изтриват или обработването им се урежда законосъобразно без неоправдано забавяне.
58. ВЪНШНИ ВРЪЗКИ И УСЛУГИ
58.1.
Платформата може да съдържа връзки към външни интернет страници и услуги.
58.2.
Търговецът не определя начина, по който независим външен администратор обработва данните след посещаване на неговата страница.
58.3.
Потребителят следва да се запознае с политиката за поверителност на съответната външна услуга.
58.4.
Когато външната услуга е вградена в Платформата, необходимата информация и съгласие се предоставят според приложимото законодателство.
59. СОЦИАЛНИ МРЕЖИ
59.1.
Когато лице взаимодейства с профил на Lean Champions в социална мрежа, операторът на социалната мрежа също може да обработва данни като самостоятелен администратор.
59.2.
Можем да получим информация, която лицето:
1) е направило публична;
2) е изпратило чрез лично съобщение;
3) е предоставило чрез коментар;
4) е споделило чрез функция на социалната мрежа.
59.3.
Данните не се прехвърлят автоматично в маркетингов списък без приложимо правно основание.
60. ПРОМЕНИ В ПОЛИТИКАТА
60.1.
Политиката може да бъде актуализирана при:
1) промяна на законодателството;
2) промяна на услугите;
3) въвеждане на нов начин на плащане;
4) добавяне на нов модул;
5) промяна на доставчици;
6) промяна на срокове за съхранение;
7) промяна на международни предавания;
8) развитие на мерките за сигурност;
9) друга обективна причина.
60.2.
Актуалната версия се публикува с номер, дата на влизане в сила и дата на последна актуализация.
60.3.
Когато промяната е съществена, засегнатите лица могат да бъдат уведомени чрез:
1) електронна поща;
2) съобщение в профила;
3) известие на интернет страницата;
4) друг подходящ канал.
60.4.
Когато за нова цел е необходимо съгласие, промяната на политиката сама по себе си не замества съгласието.
60.5.
Предходните версии могат да бъдат архивирани за доказване на предоставената информация.
61. КОНТАКТИ
61.1.
При въпроси, искания или оплаквания относно личните данни можете да се свържете с:
ЛИЙН БЪЛГАРИЯ ООД
ЕИК: 203317933
Идентификационен номер по ДДС: BG203317933
Адрес: гр. София, ул. „Кирил Попов“ № 55, вх. А, ет. 1, ап. 4, Република България
Електронна поща: office@lean.bg
Телефон: +359 896 060 911
Интернет страница: leanchampionscommunity.com
61.2.
За по-бърза обработка посочете:
1) името си;
2) използвания електронен адрес;
3) организацията, когато е приложимо;
4) номера на поръчката или профила, когато е известен;
5) ясно описание на искането;
6) предпочитан начин за контакт.
61.3.
Не изпращайте по електронна поща:
1) пълен номер на банкова карта;
2) код за сигурност;
3) парола;
4) код за двуфакторна идентификация;
5) други ненужни удостоверителни данни.
62. ВЛИЗАНЕ В СИЛА
62.1.
Настоящата Политика за поверителност влиза в сила от датата, посочена в полето „В сила от“.
62.2.
Версията се прилага към обработването от датата на нейното влизане в сила.
62.3.
Когато конкретно обработване се урежда от отделен договор, специално уведомление или договор за обработване на лични данни, съответните документи се прилагат заедно с настоящата политика.
62.4.
Когато разпоредба от настоящата политика противоречи на задължителна законова норма, се прилага законовата норма, без това да засяга останалата част от политиката.