Политика за поверителност

0. Обхват — за кой продукт важи този текст?

Тази политика обхваща два отделни продукта и част от клаузите важат само за единия. По-долу е записано коя клауза къде важи; четете останалия текст с това разграничение.

• Приложението за iOS (Komshia в App Store): в приложението няма акаунт, вход, регистрация, поръчки, ескроу, плащане, обяви, съобщения и бисквитки. Приложението не ЗАПИСВА нищо на нашите сървъри; изпраща само заявки за четене на магазини, валутни курсове и продуктов каталог, и тези заявки не носят акаунт, сесия или идентификатор на устройство. Списъкът ви за пазаруване се пази единствено в паметта на самото устройство. Затова за приложението не възниква и запис на акаунт, който да бъде изтрит. Клаузите по-долу за акаунт, поръчка, плащане, бисквитки и продавачи НЕ важат за приложението. Не записваме заявките за четене от приложението в собствена база данни или в собствени журнали; нашият хостинг доставчик (Vercel) обработва IP адреса на връзката само за да достави отговора и го пази само в краткотрайните си оперативни журнали. Затова точка „Технически данни“ в раздел 3 и срокът за съхранение на журналите за сигурност и достъп в раздел 8 НЕ важат за приложението.
• Приложението за iOS НЕ ИЗПОЛЗВА КАМЕРА и в него няма сканиране на баркод. То не иска разрешение за камера; в настройките на iOS няма да видите ред за разрешение за камера за Komshia. Клаузата за камера в раздел 13 НЕ важи за приложението.
• Уебсайтът komshia.com: всички клаузи по-долу важат за уебсайта — там има членство, поръчки, ескроу плащания, панел за продавачи, бисквитки и екран за сканиране на баркод („Сканиране“).

1. Администратор на данни

Администратор на данните е СМАРТИЯ ООД (SMARTIA OOD) · Tria City Center, Burgas · България — дружество с ограничена отговорност, регистрирано в България, което управлява платформата komshia.com. Администраторът на лични данни е установен в България (ЕС) и се подчинява на Общия регламент относно защитата на данните (GDPR, (ЕС) 2016/679) и на Закона за защита на личните данни (ЗЗЛД). Доколкото се предлагат услуги на потребители в Турция, се прилага и турският Закон № 6698 (KVKK). Всички запитвания относно поверителността можете да изпращате на .

2. Обхват

Тази политика обхваща купувачите, регистрирани в Платформата, представителите на фирми, кандидатстващи или одобрени като продавачи, и всички посетители. За потребители с местопребиваване в Турция се прилага KVKK; за потребители в ЕС — GDPR; при противоречие се прилага по-благоприятната за потребителя разпоредба.

3. Какви данни събираме

• Данни за акаунта: име и фамилия, имейл адрес, телефонен номер, парола (съхранявана като необратим хеш).
• Фирмени данни на продавача: търговско наименование, данъчен/фирмен номер, данни за упълномощено лице, банкова сметка (за изплащания).
• Данни за поръчки: адрес за доставка, данни за фактуриране, история на поръчките.
• Данни за плащания: плащанията се обработват от Stripe (EUR) и iyzico (TRY); номерът на картата ви никога не се съхранява на нашите сървъри.
• Технически данни: сесийни бисквитки, IP адрес (съкратен/маскиран в журналите за сигурност), информация за браузъра.

4. Псевдонимизация и криптиране

Платформата защитава личните данни чрез архитектура за псевдонимизация. Пряко идентифициращите данни (PII) — име, имейл, телефон и адрес — се съхраняват в базата данни криптирани с алгоритъма AES-256-GCM.

Във вътрешните процеси (записи за поръчки, заявки за поддръжка, панели на продавачите) потребителите се представят с присвоен им уникален членски номер (във вида #10482937), а не с реалната си самоличност. Ако сте се регистрирали на уебсайта със SocialID, номерът, който SocialID ви е дал, се използва като ваш членски номер. Така никоя страна с достъп до оперативните записи не може да види вашата самоличност без право на декриптиране.

Криптографските ключове се управляват отделно от данните на приложението, а достъпът е ограничен по принципа на минималните права.

5. Цели и правни основания за обработване

• Сключване и изпълнение на договора за членство — изпълнение на договор (чл. 6, пар. 1, б. „б“ GDPR; чл. 5/2-c KVKK).
• Обработване на поръчки, плащания, ескроу и доставки — изпълнение на договор.
• Изпълнение на правни задължения (данъци, счетоводство, мерки срещу изпиране на пари) — правно задължение (чл. 6, пар. 1, б. „в“ GDPR).
• Предотвратяване на измами и сигурност на платформата — легитимен интерес (чл. 6, пар. 1, б. „е“ GDPR).
• Маркетингови съобщения — само с вашето изрично съгласие (чл. 6, пар. 1, б. „а“ GDPR).

6. Получатели на данните

• Платежни институции: Stripe Payments Europe Ltd. и iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. — за обработка на плащанията.
• Куриерски и логистични фирми — само данните за доставка, необходими за изпълнението ѝ.
• Доставчици на хостинг и инфраструктура (регион на ЕС, Франкфурт) — криптирано съхранение на данни; хостинг доставчикът ни Vercel освен това осъществява измерването на посещаемостта без бисквитки (Vercel Analytics и Speed Insights) — за подробности вижте раздел 5 от Политиката за бисквитките.
• Компетентни публични органи — само при законово задължение.
• Продавачи — минималните данни за доставка, необходими за изпълнение на поръчката; останалите лични данни на купувача не се споделят с продавача.
• SocialID (само на уебсайта, ако влезете с бутона „Вход със SocialID“; iOS приложението няма профил и вход) — администратор на SocialID е SOSYAL TURİZM BİLİŞİM REKLAM TEKSTİL SANAYİ VE TİCARET LİMİTED ŞİRKETİ, отделен, независим от Komshia администратор, установен в Турция. Съгласно политиката на SocialID на сайтовете членове се предават само вашият SocialID номер и показвано име. За доставчиците на инфраструктура и региона на базата данни вижте политиката за поверителност на SocialID: https://www.socialid.me/gizlilik. (Тази услуга е различна от вътрешния членски номер, описан в раздел 4.)
• Google (само на уебсайта, ако влезете с Google; iOS приложението няма профил и вход) — при вход с профил в Google администратор за потребителите в Европейското икономическо пространство е Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ирландия), отделен, независим от Komshia администратор. Google предава на Komshia вашия имейл адрес, име и адреса на профилната ви снимка; Komshia ги използва, за да създаде или свърже профила ви, и пази идентификатора на профила ви в Google, свързан с профила ви. За обработването от Google вижте Декларацията за поверителност на Google: https://policies.google.com/privacy

7. Международни трансфери на данни

Администраторът е установен в ЕС (България), а базата данни се съхранява в ЕС (Франкфурт); въпреки това услугите по-долу могат да доведат до излизане на данни извън Европейското икономическо пространство (ЕИП), затова не твърдим, че няма предаване към трета държава. Предаванията са:

• Нашият доставчик на хостинг Vercel Inc. (Съединени американски щати) може да обработва технически данни, например вашия IP адрес, при предоставянето на услугата. Когато данни се предават извън Европейското икономическо пространство, се основаваме на стандартните договорни клаузи на Европейската комисия (чл. 46, пар. 2, б. „в“ ОРЗД), включени в допълнението за обработване на данни на доставчика: https://vercel.com/legal/dpa
• Neon — хостинг на базата данни (данните се съхраняват в регион на ЕС; доставчикът е със седалище в Съединените американски щати). Когато е възможен достъп извън ЕИП, се прилагат споразумението на доставчика за обработване на данни (DPA) и стандартните договорни клаузи.
• Resend — имейли за профила, списъка с чакащи и поръчките: вашият имейл адрес с връзки за потвърждение на профила/смяна на парола; ако се включите в списъка с чакащи — приветствен имейл до вас и известие до нас с вашето име, имейл адрес, (ако сте посочили) фирма и роля; когато направите или получите поръчка — известие с номера на поръчката и данните за доставка, при изпращането им по имейл. Данните се предават в Съединените американски щати; основанието за предаването са стандартните договорни клаузи на Европейската комисия в допълнението на доставчика за обработване на данни (чл. 46, пар. 2, б. „в“ ОРЗД). https://resend.com/legal/dpa
• iyzico (само в уебсайта, ако плащате с iyzico): İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. е установено в Турция; данните, необходими за обработване на плащането, се предават в Турция. Тъй като за Турция няма решение на Европейската комисия за адекватно ниво на защита, предаването се извършва само доколкото е необходимо за изпълнение на поръчката ви (чл. 49, пар. 1, б. „б“ ОРЗД).
• SocialID (само в уебсайта, ако изберете „Вход със SocialID“): номерът ви в SocialID и показваното име се споделят с независим администратор, установен в Турция; предаването започва с избора ви на този начин за вход. За основанието и подробностите вижте връзката към SocialID в раздел 6.
• iOS приложението няма профили, вход и плащания; единственото, което прави, е да чете ценови данни чрез горния доставчик на хостинг.

8. Срокове на съхранение

• Данни за акаунта: за срока на членството и след прекратяването му — за законовия давностен срок (максимум 10 години).
• Записи за поръчки и фактури: 10 години съгласно данъчното законодателство.
• Журнали за сигурност и достъп: 2 години.
• Данни за маркетингово съгласие: до оттегляне на съгласието.

9. Вашите права

Съгласно чл. 15-22 от GDPR и чл. 11 от KVKK имате следните права:

След вход можете сами да изтеглите копие от данните си чрез връзката за изтегляне на https://www.komshia.com/bg/account/profile; данните, свързани с профила ви, се получават като машинночетим файл във формат JSON (достъп — чл. 15; преносимост — чл. 20 ОРЗД).

• Да узнаете дали данните ви се обработват и да получите достъп до тях,
• Да поискате коригиране на непълни или неточни данни,
• Да поискате изтриване или унищожаване на данните („право да бъдеш забравен“),
• Да поискате ограничаване на обработването и да възразите срещу него,
• Преносимост на данните (получаване на данните в структуриран формат),
• Да възразите срещу резултати във ваш ущърб от изцяло автоматизиран анализ,
• Да претендирате обезщетение при претърпени вреди.

10. Заявления и жалби

За да упражните правата си, можете да подадете писмено заявление на . Заявленията се разглеждат безплатно в срок до 30 дни. Запазвате правото си да подадете жалба до Комисията за защита на личните данни (КЗЛД) в България, до турския орган за защита на данните (KVKK) или до надзорния орган на държавата членка на ЕС, в която пребивавате.

11. Мерки за сигурност

Всички връзки са криптирани с TLS; PII полетата се съхраняват криптирани с AES-256-GCM; достъпът е ограничен чрез ролева оторизация; личните данни се редактират в системните журнали; прилагат се ограничаване на заявките (rate limiting) и заглавки за сигурност (CSP, HSTS).

12. Данни на деца и промени

Платформата не е насочена към лица под 18 години; акаунти, за които се установи, че принадлежат на непълнолетни, се закриват, а данните се изтриват.

Тази политика може да бъде актуализирана; съществените промени се обявяват в Платформата. Актуалната версия винаги се публикува на тази страница.

13. Възможности на устройството в приложението (iOS / Android)

Този раздел описва възможностите на устройството. Разграничението от раздел 0 важи и тук: КАМЕРАТА и сканирането на баркод принадлежат САМО на екран „Сканиране“ в уебсайта и ЛИПСВАТ в приложението за iOS в App Store, докато паметта на устройството я има и в двете, а локалното известие (ежедневното напомняне) има само в приложението. Всички са по избор — ако не дадете разрешение, останалата част от приложението или сайта продължава да работи нормално.

• Камера (сканиране на баркод) — САМО В УЕБСАЙТА, ЛИПСВА в приложението от App Store: Отваря се само на екран „Сканиране“ в уебсайта и само когато сами натиснете бутона за сканиране. Баркодът се разчита на самото устройство; нито един кадър не се записва, не се съхранява и не се изпраща към нашите сървъри или към трети страни. Единственото, което стига до сървъра, са цифрите на прочетения баркод — за да бъде потърсен продуктът в каталога. Тази заявка не носи акаунт, сесия или идентификатор на устройство. Когато сайтът е отворен в обвивка на приложение, разрешението за камера може да бъде оттеглено по всяко време от настройките на устройството; без разрешение можете да въведете баркода ръчно.
• Локални известия: в приложението за iOS има само едно известие — ежедневно напомняне в избран от вас час, което ви приканва да отворите приложението; то не съобщава за поевтиняване. Уебсайтът komshia.com не изпраща известия: на екран „Сканиране“ поевтиняването на продукт от списъка ви за следене се показва само на страницата. Напомнянето се насрочва от самото устройство; не се използват отдалечени (push) известия, не се събира токен за известия и съдържанието му не преминава през нашите сървъри. Разрешението може да бъде оттеглено от iOS Настройки › Komshia › Известия; тогава останалата част от приложението продължава да работи, само напомняне не се показва.
• Памет на устройството (списък за пазаруване и списък за следене): Списъкът „Моят джоб“ и списъкът за следене от екран „Сканиране“ се пазят в паметта на самото устройство (UserDefaults в iOS, localStorage в браузър). Тези списъци не се качват на нашите сървъри и ние не можем да ги видим. На уебсайта, за да бъде проверена текущата цена, към сървъра се изпращат само идентификаторите на продуктите от списъка, без каквато и да е информация за вас. iOS приложението не изпраща към сървъра никаква заявка за продуктите от вашия списък: то само изтегля публичните данни за каталога, магазините и валутните курсове, без информация кои продукти са в списъка ви. Списъците се изтриват чрез премахване на записите или чрез деинсталиране на приложението.