Поверителност и общи условия

Който продава билети, обработва данни на хора: име, имейл адрес, понякога адрес. Към това вървят правила. Тази статия обяснява на обикновен език какво съдържат тези правила, какво сме уредили ние вместо Вас и — частта, която най-често се забравя — какво трябва да напишете Вие самите, преди да е продаден първият Ви билет.

Това не е юридически съвет. Това е ръководство, написано от хора, които правят софтуер. Ако става дума за много пари, за непълнолетни или за чувствителни данни, обърнете се към юрист или към чадърната си организация.

Какво е ОРЗД?

ОРЗД — Общият регламент относно защитата на данните, на английски GDPR — е европейският закон за личните данни. Той важи от 2018 г. в целия Европейски съюз и важи също и за краеведско дружество с осемдесет члена.

Какво казва той по същество, в пет изречения:

• Събирате само данни, които наистина са Ви нужни.
• Казвате предварително за какво ги използвате.
• Не ги съхранявате по-дълго от необходимото.
• Защитавате ги разумно от кражба и загуба.
• Който стои в списъка Ви, може да попита какво имате за него и може да поиска то да бъде изтрито.

Лично данно е всичко, с което можете да посочите човек: име, имейл адрес, телефонен номер, понякога дори номер на поръчка, който можете да свържете с човек. Брояч „312 посетители“ не е такова.

Администратор и обработващ

Това е частта, която най-често се разбира погрешно, и тя определя при кого трябва да се обърне посетителят с въпрос.

Законът познава две роли:

• Администраторът на лични данни решава защо и как се използват данните.
• Обработващият лични данни изпълнява това по възлагане и не прави нищо друго с тях.

Сравнението, което се помни: Вие сте собственикът на архива, а ние сме архивният шкаф с ключалка. Вие решавате какво влиза в него, кой може да го разглежда и кога може да излезе. Шкафът пази и охранява, но не чете заедно с Вас и не се обажда на посетителите Ви.

Друг начин да се погледне: сдружението Ви наема зала. Стопанинът на залата се грижи за вратата и ключалката; Вие решавате кой може да влезе.

Данни	Администратор	Обработващ
Вашият собствен профил, фактурите Ви, запитванията Ви към поддръжката	Ние	—
Име, имейл, поръчки, билети, сканирания на Вашите посетители	Вашата организация	Ние

На практика това означава: ако посетител поиска достъп до данните си или тяхното изтриване, решавате Вие, а не ние. Ако такова запитване попадне при нас, го препращаме към Вас в рамките на пет работни дни и уведомяваме посетителя към кого трябва да се обърне. Какво имате за даден човек, можете да проверите сами в екрана Поръчки. Да предоставите копие от данните на някого или да ги изтриете, не можете сами в администраторския панел: поискайте го от нас и ние ще го направим вместо Вас.

---

Четирите текста, които доставяме ние

На публичния сайт стоят четири юридически документа. Те препращат един към друг и всички носят една и съща дата на версията, така че в досие да можете да кажете коя версия сте използвали.

Документ	За какво се отнася
Импресум	Кой управлява услугата: име, адрес, ЕИК, ДДС номер, контакт
Декларация за поверителност	Какви лични данни се обработват, за какво, колко дълго и с кого се споделят
Общи условия	Договореностите между Вашата организация и нас: абонамент, плащане, наличност, отговорност
Договор за обработване на лични данни	Какво правим с данните на Вашите посетители, по Ваше възлагане

Договорът за обработване на лични данни не е нужно да се подписва отделно: той е част от общите условия. Приемете ли ги при регистрацията си, приемате и него. Версията, която сте приели, се пази при организацията Ви — така винаги можете да проверите с какво сте се съгласили.

Ако все пак за досие за субсидия или за обществена поръчка е нужен подписан екземпляр на собствена бланка, пишете ни. Подписваме го.

Внимание: тези четири текста се отнасят за нас и за Вас. Те не казват нищо на посетителя Ви за Вашето събитие. Това е следващата глава и тя е Ваша работа.

---

Какво Ви трябва предварително

• Половин ден, за да напишете два текста: собствените си общи условия и собствената си декларация за поверителност.
• Място, където да публикувате тези текстове — обикновено собственият Ви уебсайт. В администраторския панел попълвате само връзката към условията си, а не самия текст.
• Името, адресът и регистрационният номер на предприятието или сдружението Ви, плюс имейл адрес, на който някой да може да се обърне.
• Решение на управата Ви по два въпроса: какво правите при отмяна и докога някой може да анулира.
• Ролята Собственик, за да попълните тази връзка в Настройки → Организация.
• Ако се колебаете относно ДДС: телефонният номер на счетоводителя Ви.

---

Какво уреждате Вие самите

Ако продавате билети на посетители, тогава спрямо този посетител продавачът сте Вие. Това носи със себе си четири неща, които ние не можем да направим вместо Вас.

1. Собствените Ви общи условия

Това са договореностите между Вас и посетителя Ви. Поставете ги на страница от собствения си уебсайт и поставете връзката в Настройки → Организация, раздел Визуална идентичност, в полето Връзка към Вашите условия. Посетителят Ви вижда тази връзка при плащането, до полето за отметка, с което се съгласява с условията Ви, както и най-долу в магазина Ви за билети. Ако не попълните нищо, той пак се съгласява с „условията на“ организацията Ви, но никъде не може да ги прочете.

Какво трябва да има в тях, всеки път с пример какво поставя там едно малко сдружение:

Какво	Пример
При отмяна	„Ако представлението не се проведе, възстановяваме цената на билета изцяло в рамките на 30 дни. Таксите за резервация не се възстановяват.“
При преместване	„Ако датата бъде преместена, билетът Ви остава валиден за новата дата. Ако не можете, съобщете преди новата дата и ще си получите парите обратно.“
Препродажба	„Можете да преотстъпите билета си на друг човек. Препродажба на цена, по-висока от цената на билета, не допускаме.“
Анулиране докога	„Анулиране е възможно до 7 дни преди празничната вечеря на eetfestijn@vashetosdruzhenie.be. След това билетът Ви вече не подлежи на възстановяване, защото покупките вече са направени.“
Закъсняване	„Обиколката с екскурзовод започва точно в 14:00 ч. Който дойде по-късно, се присъединява към групата, но няма право на възстановяване за пропуснатата част.“
Вътрешни правила	„Кучетата са добре дошли на каишка, освен в залата в мазето. Пушенето е възможно само навън. Организацията може да откаже достъп при нетрезво състояние или смущаващо поведение.“
Отговорност	„Организацията не носи отговорност за загуба или кражба на лични вещи.“
Кой сте Вие	„Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens, регистрационен номер 0123.456.789.“

Внимание: пишете ги на езика, на който продавате, и ги дръжте кратки. Три екрана текст никой не чете; десет ясни реда — да. И ги пазете честни — условие, което е явно неразумно спрямо потребител, пред съд така или иначе не издържа.

2. Собствената Ви декларация за поверителност

Вие определяте защо събирате данните на посетителите си и колко дълго ги пазите. Нашата декларация за поверителност казва какво прави платформата с тези данни; тя не замества Вашата. При плащането ние поставяме връзка към нашата; за Вашата няма отделно поле. Публикувайте я на собствения си уебсайт и препратете към нея от условията си — или поставете двете на една и съща страница.

Пет въпроса, на които отговаряте, с пример:

Въпрос	Пример за малко сдружение
Какво събирате?	„При поръчка: името Ви, имейл адреса Ви и какво сте поръчали. При празнична вечеря също избора Ви на меню и дали посочвате алергии.“
Защо?	„За да можем да Ви доставим билета, за да Ви уведомим, ако нещо се промени, и за да знаем колко порции трябва да сготвим.“
Колко дълго?	„Данните Ви за поръчката пазим 7 години, защото счетоводството ни го изисква. Имейл адреса Ви за бюлетина пазим, докато не се отпишете.“
С кого ги споделяте?	„С нашата платформа за билети, която ги обработва по наше възлагане, и с нашия доставчик на плащания за плащането. Освен това с никого. Ние не продаваме адреси.“
Къде може да се обърне някой?	„Пишете на privacy@vashetosdruzhenie.be или на Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens. Можете да поискате данните си, да ги коригирате или да ги изтриете.“

Последният адрес не е по избор. Декларация за поверителност без място, на което някой може да зададе въпрос, не е декларация за поверителност.

Внимание: изпращате ли бюлетини? Тогава това е отделна цел и за нея искате отделно съгласие. Имейл адрес, който сте получили, за да доставите билет, не е съгласие да му изпращате нещо три пъти годишно.

3. Правото на отказ

Който купува нещо онлайн, обикновено има четиринадесет дни срок за размисъл. За събития на фиксирана дата в Европейския съюз по правило не важи право на отказ от четиринадесет дни — иначе някой би могъл да си купи билет, да отиде да гледа и след това да си поиска парите.

Кажете това изрично в условията си, защото иначе посетителят приема, че има това право.

Изречение, което е достатъчно: „За билети за събитие на определена дата не важи законово право на отказ от 14 дни. Покупката Ви е окончателна, освен онова, което стои по-горе при анулирането.“

Ако продавате нещо, което няма фиксирана дата — подаръчен ваучер, годишна карта, която започва във всеки момент — не приемайте просто така, че важи същото изключение. Попитайте за това.

4. ДДС и счетоводство

Вие определяте дали и какъв ДДС начислявате върху билетите си. Платформата изчислява онова, което Вие настроите; тя не дава данъчни съвети.

Какво поставя там на практика едно малко сдружение: много сдружения попадат под освобождаване и начисляват 0%, с отбелязване като „Освободено от ДДС“ върху билета. Други сдружения са регистрирани по ДДС за празничната си вечеря, но не и за представлението си. Тази разлика е точно онзи вид въпрос, за който се обаждате веднъж на счетоводителя си, вместо да гадаете.

Имайте предвид и че като продавач трябва сами да можете да обосновете оборота си. Ако продавате на входа, касовият дневник помага за това; вижте Касата на гишето.

---

Платежни данни ние не обработваме

Номерата на картите, номерата на сметките и всичко останало, което върви към едно плащане, отиват директно към доставчика на плащания, когото Вие сами свързвате. Ние виждаме само дали едно плащане е успяло и за каква сума е ставало дума. Парите също идват директно по Вашата сметка; ние не стоим между тях. Вижте Свързване на доставчика Ви на плащания.

---

Срокове на съхранение

Пълният списък стои в декларацията за поверителност. Сроковете, които са Ви нужни най-често:

Какво	Колко дълго	Защо
Поръчки, билети и сканирания	Докато сте клиент, плюс онова, което сами посочите	Вие определяте това като администратор
Данните Ви след края на абонамента Ви	30 дни за експортиране, след това изчезват	Достатъчно време, за да си направите експорта
Фактури	10 години	Българският закон за счетоводството, приложим за нас
Собствените Ви счетоводни документи в Белгия	7 години	Белгийският WER, приложим за Вас
Сървърни дневници	90 дни	Достатъчно дълго, за да бъде разследван инцидент

Ако Ви трябва по-строг срок за собствения Ви сектор, уведомете ни.

---

Кой още вижда данните Ви?

Само доставчици, които са ни нужни, за да работи платформата. Пълният списък с име, държава и за какво служат стои в декларацията за поверителност и в договора за обработване на лични данни. Тези два списъка идват от един и същ източник, за да не могат да се разминат.

Ако се добави доставчик или отпадне такъв, съобщаваме това по имейл поне тридесет дни предварително. Ако не сте съгласни с това, можете да прекратите без разходи.

Данните Ви остават в Европейския съюз, с три изключения, които са във Ваши ръце: билет в Apple Wallet или Google Wallet и Stripe като доставчик на плащания. И за трите важат стандартните договорни клаузи на Европейската комисия или EU-US Data Privacy Framework.

---

Бисквитки

Само функционални: сесията, CSRF токенът и бисквитката, която Ви държи влезли — а на таблет, който сте свързали като каса, и бисквитка, която разпознава това устройство. Без анализ, без реклами, без проследяващи скриптове и без шрифтове или скриптове от чужд сървър. Езиковият Ви избор стои в адреса на страницата, а не в бисквитка.

Затова на сайта няма и банер за бисквитки. Това не е пропуск: за бисквитки, които са строго необходими за предоставянето на услугата, не се изисква съгласие.

---

Ако все пак нещо се обърка

Ако установим изтичане на данни, което засяга Вашите посетители, Ви уведомяваме в рамките на 48 часа след установяването — не в рамките на 72, защото тези 72 часа са срокът, в който Вие трябва да уведомите своя надзорен орган, а него спазвате само ако научите от нас по-рано. Получавате от нас онова, което знаем в този момент, а какво още не знаем, честно го казваме.

---

Подаване на жалба

Ако не сте доволни от това как боравим с данните, кажете го първо на нас — повечето неща се оправят по-бързо, отколкото трае една процедура. Можете да се обърнете и директно към надзорен орган: към българската КЗЛД (cpdp.bg), нашия водещ надзорен орган, или, ако живеете в Белгия, към Органа за защита на данните (gegevensbeschermingsautoriteit.be).

---

Често допускани грешки

• Да използвате нашата декларация за поверителност като Ваша. Тя се отнася за платформата. Посетителят Ви купува от Вас и трябва да може да прочете Вашия текст.
• Да не попълните връзка към условията си. Тогава при плащането посетителят Ви никъде не може да прочете с какво се съгласява, а при първата отмяна нямате нито една договорка, към която да препратите.
• Да използвате имейл адреси от продажбата на билети за бюлетин. Това е друга цел. Поискайте отделно съгласие за нея.
• Да твърдите, че наистина има четиринадесет дни срок за размисъл. Или да не кажете нищо по въпроса, което е същото, щом някой попита.
• Да искате повече, отколкото Ви е нужно. Дата на раждане, ЕГН или адрес за билет, който идва по имейл: оставете ги. Онова, което нямате, не можете да го изгубите.

---

Какво, ако …

Какво, ако посетител поиска всичките му данни да бъдат изтрити?

Тогава решавате Вие. Първо погледнете дали още са Ви нужни: поръчка, която стои в счетоводството Ви, по правило можете да пазите, докато изтече законовият Ви срок. Останалото може да изчезне. Намерете човека в Поръчки и ни кажете какво може да се премахне: изтриването или анонимизирането ще направим ние вместо Вас.

Какво, ако нямам собствени условия, а вече съм продавал?

Напишете ги все пак, публикувайте ги онлайн и попълнете връзката в Настройки → Организация, раздел Визуална идентичност. От този момент нататък те важат за новите поръчки. За онова, което вече е продадено, се връщате към закона и към онова, което сте обещали в комуникацията си — причина да не го отлагате.

Какво, ако събитието ми бъде отменено?

Направете онова, което стои в собствените Ви условия, и го направете бързо. Пишете на всеки, който има билет, кажете какво става с парите му и кога. Мълчанието Ви струва повече благоразположение от възстановяване, което трае две седмици.

Какво, ако посетител има оплакване за това как ние боравим с данните му?

Насочете го към Вас, а не към нас: Вие сте администраторът. Ако не се справите, ще Ви помогнем с фактите. Освен това посетителят винаги може да се обърне към собствения си надзорен орган.

Какво, ако финансиращ орган поиска подписан договор за обработване на лични данни?

Пишете ни. Ние подписваме екземпляр на бланка. Съдържанието е същото като онова, което вече сте приели при регистрацията си.

---

Често задавани въпроси

Трябва ли да подпиша отделно договора за обработване на лични данни? Не. Той е в общите условия, които сте приели при регистрацията си. За досие подписваме при поискване отделен екземпляр.

Трябва ли моето малко сдружение наистина да има декларация за поверителност? Да. ОРЗД не прави изключение според големината. Добрата новина: за сдружение, което събира само имена и имейл адреси, една страница е достатъчна.

Може ли да заимствам примерните изречения от тази статия? Да, спокойно — приспособете ги към собствената си ситуация. Това са примери, за да Ви помогнат да тръгнете, а не образец, проверен от юрист.

Нужен ли ми е банер за бисквитки на собствената ми страница с билети? За страниците, които доставяме ние — не: върху тях стоят само функционални бисквитки. Ако вградите магазина за билети в собствения си уебсайт заедно с инструменти за анализ, тогава става дума за Вашите бисквитки и Вашия банер.

Къде виждам коя версия на условията съм приел? Тя се пази при Вашата организация. Поискайте я от нас, ако Ви трябва екземплярът, който Вие сте приели тогава.