Декларация за поверителност

1. Кои сме ние

Passavo е услуга на Fades Management EOOD, със седалище Legis Center, Blvd. 6-ti Septemvri 152, Office 3-8B, 4000 Plovdiv, Bulgarije. Нашият адрес за кореспонденция е Bansko, Bulgarije.

ЕИК: 208607050. ДДС номер: BG208607050.

За всичко, свързано с лични данни, пишете на info@fades.tech. Отговаря ви човек, а не формуляр.

Не сме определили длъжностно лице по защита на данните: за предприятие с нашия размер и с този вид обработвания това не е задължително (чл. 37 ОРЗД). Адресът по-горе е прякото звено за контакт.

2. Две роли: администратор и обработващ

Съгласно ОРЗД ние носим едновременно две шапки и за вас има значение коя от двете.

• Ние сме АДМИНИСТРАТОР НА ЛИЧНИ ДАННИ за данните на собствените ни клиенти: организацията, която сключва абонамент, �

ората, които влизат от нейно име, фактурирането, кореспонденцията с поддръжката и посещението на този сайт. Там ние сами определяме целта и средствата. За тази част настоящата декларация е цялата история.

• Ние сме ОБРАБОТВАЩ ЛИЧНИ ДАННИ за данните на посетители и купувачи: име, имейл адрес, поръчки, билети, сканирания на в�

ода и номера на карти за социална тарифа. Тези данни са на организацията, която организира събитието; тя определя защо се събират и колко дълго остават. Ние ги обработваме единствено по нейно нареждане, съгласно договора за обработване на лични данни.

На практика: купите ли билет, организаторът на това събитие е вашето звено за контакт при достъп или изтриване, а не ние. Ако все пак попаднете първо при нас, ще предадем въпроса ви на него — няма да ви разкарваме.

3. Какви данни обработваме

От клиент (организацията и нейните служители):

• име, имейл адрес, телефонен номер и езикът, на който работите;
• името, адресът, държавата и ДДС номерът на организацията;
• данни за в�

од: паролата ви се съ�

ранява �

еширана и е нечетима за нас;

• данни за фактуриране и статусът на плащане на абонамента ви;
• какво правите в системата, доколкото се записва в дневник: влизания, промени по цени и билети и продажби на касата.

От посетител или купувач (по нареждане на организацията):

• име и имейл адрес, както и каквото организацията сама добави към формуляра за поръчка;
• поръчката: кои билети, кой часови интервал, сумата и статусът на плащане;
• самият билет и моментът, в който е сканиран на в�

ода;

• номерът на карта за социална тарифа, когато се използва такава.

Те�

нически:

• IP адресът и моментът на една заявка, в дневниците на сървъра;
• съобщения за грешки, с данните, нужни за отстраняването на грешката.

Платежни данни ние НЕ обработваме. Номера на карти, банкови сметки и всичко останало, което принадлежи към едно плащане, отиват директно при доставчика на плащания, когото организацията сама е свързала. Ние виждаме само дали едно плащане е успяло и за каква сума е ставало дума.

4. За какво ги обработваме и на какво основание

Всяко обработване има цел и правно основание по член 6 ОРЗД. По-долу стоят едно до друго.

• Да доставим абонамента ви, да управляваме акаунта ви и да отговорим на въпросите ви: необ�

одимо за изпълнението на договора (чл. 6, пар. 1, б. „б“).

• Да обработим поръчки, билети и сканирания за една организация: необ�

одимо за изпълнението на договора между тази организация и нейния посетител; ние правим това като обработващ, по нейно нареждане.

• Фактуриране и водене на нашето счетоводство: законово задължение (чл. 6, пар. 1, б. „в“).
• Съ�

раняване на подписания касов дневник за клиентите в Германия: законово задължение от германската Kassensicherungsverordnung.

• Защита на платформата, спиране на злоупотреби и измами, водене на дневници и разследване на повреди: законен интерес (чл. 6, пар. 1, б. „е“). Нашият интерес е система, която продължава да работи и не бива разбивана; претегляме го спрямо вашата поверителност, като не записваме повече от нужното и пазим дневниците кратко.
• Поставяне на билета ви като карта в Apple Wallet или Google Wallet: само когато сами натиснете този бутон (чл. 6, пар. 1, б. „а“, съгласие).
• Да ви държим в течение за промени по самата услуга: законен интерес. Търговски съобщения изпращаме само със съгласие и всяко съобщение има връзка за отписване.

Не продаваме данните ви на никого и не ги използваме, за да изграждаме профили или да вземаме автоматизирани решения за вас.

5. Колко дълго ги пазим

Един срок на съ�

ранение трябва да има причина. По-долу всеки път стои по една.

• Фактури и счетоводни документи: 10 години. Това е срокът от българския Закон за счетоводството, който се прилага за нас. За организация, която е задължена да води счетоводство в Белгия, за нейните собствени документи важат 7 години.
• Поръчки, билети и сканирания на една организация: докато тази организация е клиент, плюс срока, който тя сама посочва в собствената си декларация за поверителност. Тя решава това, не ние. Прекрати ли, важи правилото по-долу.
• Данни на организация след края на абонамента: 30 дни за експортиране, след което ги изтриваме. Това, което трябва да пазим по закон (фактурите), остава до изтичането на счетоводния срок.
• Акаунт, който се закрива: 30 дни, за да може една грешка още да бъде поправена.
• Дневници на сървъра и съобщения за грешки: 90 дни.
• Съобщения до поддръжката: 2 години, за да можем да проверим стара преписка, когато същият въпрос се върне.

След изтичането на срока данните се изтриват или се правят неразпознаваеми. Неразпознаваеми при нас означава, че останалото — например броят продадени билети за една вечер — вече не може да бъде свързано с човек.

6. С кого споделяме данни

Ползваме доставчици, които обработват данни по наше нареждане. С всеки от тя�

е сключен договор за обработване на лични данни. Това е пълният списък:

• Contabo GmbH (DE) — сървъри и резервни копия, в център за данни в Германия
• Wattify B.V. (BE) — изпращането и получаването на нашата електронна поща
• Mollie B.V. (NL) — плащания от посетители, директно по сметката на организацията (само когато това е приложимо)
• Stripe Payments Europe Ltd. (IE) — плащания от посетители, директно по сметката на организацията (само когато това е приложимо)
• Payconiq International S.A. (LU) — плащания от посетители, директно по сметката на организацията (само когато това е приложимо)
• Apple Inc. (US) — билетът като карта в Apple Wallet (само когато това е приложимо)
• Google Ireland Ltd. (IE) — билетът като карта в Google Wallet (само когато това е приложимо)
• publiq vzw (BE) — социалната тарифа: проверка на номера на картата и регистриране на продажбата (само когато това е приложимо)
• fiskaly GmbH (DE) — законово изискваният подпис под касовия дневник за клиентите в Германия (само когато това е приложимо)
• Apple Inc. / Google Ireland Ltd. (US/IE) — разпространението и актуализациите на приложението за сканиране (само когато това е приложимо)

Освен това предаваме данни, когато законът ни задължава: на данъчна администрация, на надзорен орган или на съд. Това не става ти�

омълком — уведомяваме ви, освен ако изрично ни е забранено.

Иначе никой друг не участва. Не продаваме данни и не ги предаваме на рекламодатели или на търговци на данни.

7. Предаване извън Европейското икономическо пространство

Нашите сървъри са в Европейския съюз и данните остават там. На три места все пак може да се стигне до предаване извън ЕИП и всеки път само когато вие или организацията изберете това.

• Сложите ли билет като карта в Apple Wallet, това минава през Apple Inc. (Съединени щати). Apple е сертифицирана по Рамката за защита на данните ЕС–САЩ, решението за адекватност на Европейската комисия.
• Сложите ли билет в Google Wallet, това минава през Google Ireland Ltd. (Ирландия), което за част от обработванията си се опира на стандартните договорни клаузи на Европейската комисия.
• Използва ли една организация Stripe като доставчик на плащания, това минава през Stripe Payments Europe Ltd. (Ирландия), с предаване към Съединените щати по Рамката за защита на данните ЕС–САЩ.

Приложението за сканиране разпространяваме през App Store и Google Play. Това, което тези магазини пазят за едно изтегляне, се случва на тя�

на отговорност, а не по наше нареждане.

Искате ли да видите стандартните договорни клаузи, които сме сключили с даден обработващ, пишете на info@fades.tech.

8. Вашите права

ОРЗД ви дава поредица от права. Всички важат и не е нужно да посочвате причина.

• ДОСТЪП: да научите какви данни имаме за вас и да получите копие от тя�

.

• КОРИГИРАНЕ: да поправите нещо, което не е вярно.
• ИЗТРИВАНЕ: да заличите данните си, освен това, което трябва да пазим по закон.
• ОГРАНИЧАВАНЕ: временно да спрете обработването, например докато тече оспорване.
• ПРЕНОСИМОСТ: да получите данните си в общоупотребим файлов формат, за да ги използвате другаде.
• ВЪЗРАЖЕНИЕ: да възразите срещу обработване, което се опира на нашия законен интерес.
• ОТТЕГЛЯНЕ НА СЪГЛАСИЕ: където се опираме на съгласие, можете да го оттеглите по всяко време. Случилото се преди това остава законосъобразно.

Пишете на info@fades.tech. Отговаряме в рамките на един месец; ако въпросът ви е сложен, можем да удължим този срок с два месеца и ви го казваме предварително. За да не дадем данни на грешния човек, можем да ви помолим да се идентифицирате — никога повече, отколкото е нужно за това.

Отнася ли се въпросът до данни, които пазим като ОБРАБОТВАЩ за една организация — вашият билет, вашата поръчка, вашето сканиране — препращаме въпроса ви на тази организация, защото тя решава по него. Ще ви кажем към кого.

9. Подаване на жалба

Не сте доволни от начина, по който боравим с данните ви? Кажете го първо на нас: повечето неща се поправят по-бързо, отколкото трае една процедура.

Можете и да подадете жалба директно пред надзорен орган и това право не зависи от нашето мнение (чл. 77 ОРЗД).

• Нашият водещ надзорен орган, тъй като основното ни място на установяване е в България: Комисия за защита на личните данни (KZLD) — Commission for Personal Data Protection, https://www.cpdp.bg
• Живеете ли в Белгия, можете да се обърнете и там: Gegevensbeschermingsautoriteit (GBA), https://www.gegevensbeschermingsautoriteit.be

Живеете ли в друга държава членка, можете да се обърнете към надзорния орган на своята държава.

10. Бисквитки

Използваме само функционални бисквитки. На този сайт няма нито една аналитична, рекламна или проследяваща бисквитка и не зареждаме скриптове на трети страни, които би�

а могли да ви проследят — дори шрифтовете стоят на нашия собствен сървър.

• Бисквитка за сесията, за да останете влезли и количката ви да не изчезва между две страници.
• Бисквитка с CSRF токен, която пречи друг сайт да изпрати формуляр от ваше име.
• Останете ли влезли, за това има отделна бисквитка, която изчезва при из�

од.

Избора ви на език не пазим в бисквитка: той стои в адреса на самата страница. Затова един линк винаги може да се сподели на езика, на който сте го копирали.

За функционални бисквитки не е нужно съгласие и затова няма и банер за бисквитки. Това не е пропуск.

11. Сигурност

Какво правим на практика:

• целият трафик към и от платформата минава през HTTPS;
• паролите се съ�

раняват �

еширани, а чувствителни данни като ключовете на доставчик на плащания стоят криптирани в базата данни;

• кой какво може да вижда се определя по роля, а всяка заявка е обвързана с организацията, към която принадлежите;
• касовият дневник е само за допълване: осчетоводена продажба не може после да бъде променена или према�

ната, а само поправена с нов ред;

• има ежедневни резервни копия и проверяваме дали могат да бъдат възстановени;
• следим актуализациите на системата и на частите, вър�

у които тя работи.

Никоя система не е неразбиваема. Ако все пак нещо се обърка с лични данни, уведомяваме засегнатата организация в рамките на 48 часа след като сме го установили, а надзорния орган — в законовия срок.

12. Промени в тази декларация

Променя ли се услугата, променя се и този текст. Датата на версията най-горе казва коя версия четете.

Ако промяната е важна за вас — нов обработващ, по-дълъг срок на съ�

ранение, нова цел — уведомяваме предварително по имейл организациите, които са клиенти. Малки подобрения във формулировката правим без обявяване.

Пазим по-старите версии, за да можете да проверите какво е пишело в момента, в който сте се съгласили. Поискайте ги на info@fades.tech.