Политика за поверителност

0. Обхват — за кой продукт важи този текст?

Тази политика обхваща два отделни продукта и част от клаузите важат само за единия. По-долу е записано коя клауза къде важи; четете останалия текст с това разграничение.

• Приложението за iOS (Komshia в App Store): в приложението няма акаунт, вход, регистрация, поръчки, ескроу, плащане, обяви, съобщения и бисквитки. Приложението не ЗАПИСВА нищо на нашите сървъри; изпраща само заявки за четене на магазини, валутни курсове и продуктов каталог, и тези заявки не носят акаунт, сесия или идентификатор на устройство. Списъкът ви за пазаруване се пази единствено в паметта на самото устройство. Затова за приложението не възниква и запис на акаунт, който да бъде изтрит. Клаузите по-долу за акаунт, поръчка, плащане, бисквитки и продавачи НЕ важат за приложението.
• Приложението за iOS НЕ ИЗПОЛЗВА КАМЕРА и в него няма сканиране на баркод. То не иска разрешение за камера; в настройките на iOS няма да видите ред за разрешение за камера за Komshia. Клаузата за камера в раздел 13 НЕ важи за приложението.
• Уебсайтът komshia.com: всички клаузи по-долу важат за уебсайта — там има членство, поръчки, ескроу плащания, панел за продавачи, бисквитки и екран за сканиране на баркод („Сканиране“).

1. Администратор на данни

Администратор на данните е СМАРТИЯ ООД (SMARTIA OOD) · Tria City Center, Burgas · България — дружество с ограничена отговорност, регистрирано в България, което управлява платформата komshia.com. Администраторът на лични данни е установен в България (ЕС) и се подчинява на Общия регламент относно защитата на данните (GDPR, (ЕС) 2016/679) и на Закона за защита на личните данни (ЗЗЛД). Доколкото се предлагат услуги на потребители в Турция, се прилага и турският Закон № 6698 (KVKK). Всички запитвания относно поверителността можете да изпращате на .

2. Обхват

Тази политика обхваща купувачите, регистрирани в Платформата, представителите на фирми, кандидатстващи или одобрени като продавачи, и всички посетители. За потребители с местопребиваване в Турция се прилага KVKK; за потребители в ЕС — GDPR; при противоречие се прилага по-благоприятната за потребителя разпоредба.

3. Какви данни събираме

• Данни за акаунта: име и фамилия, имейл адрес, телефонен номер, парола (съхранявана като необратим хеш).
• Фирмени данни на продавача: търговско наименование, данъчен/фирмен номер, данни за упълномощено лице, банкова сметка (за изплащания).
• Данни за поръчки: адрес за доставка, данни за фактуриране, история на поръчките.
• Данни за плащания: плащанията се обработват от Stripe (EUR) и iyzico (TRY); номерът на картата ви никога не се съхранява на нашите сървъри.
• Технически данни: сесийни бисквитки, IP адрес (съкратен/маскиран в журналите за сигурност), информация за браузъра.

4. Social-ID: псевдонимизация и криптиране

Платформата защитава личните данни чрез архитектура за псевдонимизация, която наричаме „Social-ID“. Пряко идентифициращите данни (PII) — име, имейл, телефон и адрес — се съхраняват в базата данни криптирани с алгоритъма AES-256-GCM.

Във вътрешните процеси (записи за поръчки, заявки за поддръжка, панели на продавачите) потребителите се представят с уникален номер (Social-ID), а не с реалната си самоличност. Така никоя страна с достъп до оперативните записи не може да види вашата самоличност без право на декриптиране.

Криптографските ключове се управляват отделно от данните на приложението, а достъпът е ограничен по принципа на минималните права.

5. Цели и правни основания за обработване

• Сключване и изпълнение на договора за членство — изпълнение на договор (чл. 6, пар. 1, б. „б“ GDPR; чл. 5/2-c KVKK).
• Обработване на поръчки, плащания, ескроу и доставки — изпълнение на договор.
• Изпълнение на правни задължения (данъци, счетоводство, мерки срещу изпиране на пари) — правно задължение (чл. 6, пар. 1, б. „в“ GDPR).
• Предотвратяване на измами и сигурност на платформата — легитимен интерес (чл. 6, пар. 1, б. „е“ GDPR).
• Маркетингови съобщения — само с вашето изрично съгласие (чл. 6, пар. 1, б. „а“ GDPR).

6. Получатели на данните

• Платежни институции: Stripe Payments Europe Ltd. и iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. — за обработка на плащанията.
• Куриерски и логистични фирми — само данните за доставка, необходими за изпълнението ѝ.
• Доставчици на хостинг и инфраструктура (регион на ЕС, Франкфурт) — криптирано съхранение на данни; хостинг доставчикът ни Vercel освен това осъществява измерването на посещаемостта без бисквитки (Vercel Analytics и Speed Insights) — за подробности вижте раздел 5 от Политиката за бисквитките.
• Компетентни публични органи — само при законово задължение.
• Продавачи — минималните данни за доставка, необходими за изпълнение на поръчката; останалите лични данни на купувача не се споделят с продавача.

7. Международни трансфери на данни

Вашите данни се съхраняват предимно на сървъри в Европейския съюз (Франкфурт). Трансферите между Турция и ЕС се извършват с подходящи гаранции (включително стандартни договорни клаузи и изрично съгласие) съгласно чл. 9 KVKK и глава V от GDPR.

8. Срокове на съхранение

• Данни за акаунта: за срока на членството и след прекратяването му — за законовия давностен срок (максимум 10 години).
• Записи за поръчки и фактури: 10 години съгласно данъчното законодателство.
• Журнали за сигурност и достъп: 2 години.
• Данни за маркетингово съгласие: до оттегляне на съгласието.

9. Вашите права

Съгласно чл. 15-22 от GDPR и чл. 11 от KVKK имате следните права:

• Да узнаете дали данните ви се обработват и да получите достъп до тях,
• Да поискате коригиране на непълни или неточни данни,
• Да поискате изтриване или унищожаване на данните („право да бъдеш забравен“),
• Да поискате ограничаване на обработването и да възразите срещу него,
• Преносимост на данните (получаване на данните в структуриран формат),
• Да възразите срещу резултати във ваш ущърб от изцяло автоматизиран анализ,
• Да претендирате обезщетение при претърпени вреди.

10. Заявления и жалби

За да упражните правата си, можете да подадете писмено заявление на . Заявленията се разглеждат безплатно в срок до 30 дни. Запазвате правото си да подадете жалба до Комисията за защита на личните данни (КЗЛД) в България, до турския орган за защита на данните (KVKK) или до надзорния орган на държавата членка на ЕС, в която пребивавате.

11. Мерки за сигурност

Всички връзки са криптирани с TLS; PII полетата се съхраняват криптирани с AES-256-GCM; достъпът е ограничен чрез ролева оторизация; личните данни се редактират в системните журнали; прилагат се ограничаване на заявките (rate limiting) и заглавки за сигурност (CSP, HSTS).

12. Данни на деца и промени

Платформата не е насочена към лица под 18 години; акаунти, за които се установи, че принадлежат на непълнолетни, се закриват, а данните се изтриват.

Тази политика може да бъде актуализирана; съществените промени се обявяват в Платформата. Актуалната версия винаги се публикува на тази страница.

13. Възможности на устройството в приложението (iOS / Android)

Този раздел описва възможностите на устройството. Разграничението от раздел 0 важи и тук: КАМЕРАТА и сканирането на баркод принадлежат САМО на екран „Сканиране“ в уебсайта и ЛИПСВАТ в приложението за iOS в App Store, докато локалните известия и паметта на устройството ги има и в двете. Всички са по избор — ако не дадете разрешение, останалата част от приложението или сайта продължава да работи нормално.

• Камера (сканиране на баркод) — САМО В УЕБСАЙТА, ЛИПСВА в приложението от App Store: Отваря се само на екран „Сканиране“ в уебсайта и само когато сами натиснете бутона за сканиране. Баркодът се разчита на самото устройство; нито един кадър не се записва, не се съхранява и не се изпраща към нашите сървъри или към трети страни. Единственото, което стига до сървъра, са цифрите на прочетения баркод — за да бъде потърсен продуктът в каталога. Тази заявка не носи акаунт, сесия или идентификатор на устройство. Когато сайтът е отворен в обвивка на приложение, разрешението за камера може да бъде оттеглено по всяко време от настройките на устройството; без разрешение можете да въведете баркода ръчно.
• Локални известия (следене на цени): Когато продукт от списъка ви за следене поевтинее, на телефона се показва известие. Известията се насрочват от самото устройство; не се използват отдалечени (push) известия, не се събира токен за известия и съдържанието им не преминава през нашите сървъри. Разрешението може да бъде оттеглено от iOS Настройки › Komshia › Известия; тогава списъкът за следене продължава да работи, само известия не се показват.
• Памет на устройството (списък за пазаруване и списък за следене): Списъкът „Моят джоб“ и списъкът за следене от екран „Сканиране“ се пазят в паметта на самото устройство (UserDefaults в iOS, localStorage в браузър). Тези списъци не се качват на нашите сървъри и ние не можем да ги видим. За да бъде проверена текущата цена, към сървъра се изпращат само идентификаторите на продуктите, без каквато и да е информация за вас. Списъците се изтриват чрез премахване на записите или чрез деинсталиране на приложението.