Политика за поверителност на PartsMarkt

ЧЕРНОВА — предстои преглед от адвокат. Не е финален правен текст.

Настоящата Политика за поверителност обяснява какви лични данни събира платформата PartsMarkt (partsmarkt.com), защо ги събира, с кого ги споделя и какви права имате. PartsMarkt е онлайн платформа (маркетплейс) за употребявани авточасти, на която продавачи (търговци — автоморги и разкомплектовчици) предлагат части на купувачи. Стремили сме се да пишем на разбираем език. Ако нещо не е ясно, пишете ни на support@partsmarkt.com.

1. Кой отговаря за вашите данни (администратор)

1.1. Администратор на личните данни, обработвани чрез платформата, е [ОПЕРАТОР: фирма/наименование на юридическото лице, ЕИК, ДДС номер, седалище и адрес на управление — за попълване] („PartsMarkt“, „ние“).

1.2. Контакт по всички въпроси за лични данни: support@partsmarkt.com.

1.3. Не сме назначили длъжностно лице по защита на данните (ДЛЗД), тъй като не сме задължени по чл. 37 от GDPR. За всички въпроси, свързани с поверителността, използвайте посочения имейл.

1.4. Важно уточнение за ролите: при покупка договорът за продажба се сключва между вас и съответния продавач (търговеца-автоморга) — вижте Условията за купувачи. За данните, които продавачът получава за изпълнение на вашата поръчка (имена, телефон, адрес за доставка), продавачът е самостоятелен администратор за собствените си законови задължения (напр. счетоводни).

2. За кого се отнася тази политика

2.1. Тази политика се отнася за:

• купувачи — потребители с акаунт, както и гости, които поръчват без регистрация;
• продавачи — търговци (юридически лица) и физическите лица, които ги представляват или работят с акаунта им;
• посетители на сайта без акаунт.

3. Какви данни събираме

3.1. Данни за акаунт: имейл адрес, хеш на паролата (никога самата парола), имена, предпочитан език на интерфейса.

3.2. Бизнес данни на продавачи: наименование на фирмата, ЕИК, град и адрес, телефон, адрес за предаване на пратки, данни за банкова/платежна сметка (чрез Stripe), документи за проверка на самоличността (KYC) — вижте раздел 7.

3.3. Данни за обяви: описания на части, снимки, цени, състояние (класове A/B/C/R), съвместимост по марка/модел.

3.4. Данни за поръчки и доставка: поръчани артикули, суми, начин на плащане, имена и телефон на получателя, адрес за доставка или избран офис на Спиди, история на поръчките. При поръчка като гост: имена, имейл, телефон и адрес за доставка, както и линк (токен) за проследяване на поръчката.

3.5. Платежни данни: обработват се от Stripe. Ние никога не виждаме и не съхраняваме пълния номер на вашата карта — вижте раздел 7.

3.6. Съобщения в платформата: съдържанието на разговорите между купувачи и продавачи — вижте раздел 9.

3.7. Запитвания към продавачи: имена, имейл, телефон, текст на запитването.

3.8. Записани автомобили на купувача: марка/модел/година, ако сами запазите автомобил в профила си за по-лесно филтриране на съвместими части.

3.9. Записи за съгласия (бисквитки и регистрация): вид съгласие, решение (да/не), дата и час, версия на политиката и хеширан (SHA-256) IP адрес при регистрация — вижте раздел 6.

3.10. Записи за приемане на условия (клик-съгласия): включително IP адрес в суров (нехеширан) вид — подробно в раздел 5.

3.11. Технически данни: IP адрес и данни за заявките за целите на сигурността и ограничаването на злоупотреби (rate limiting), технически журнали и доклади за грешки, и — само с ваше съгласие — аналитични данни за използването на сайта.

4. Цели и правни основания

4.1. Обработваме лични данни само когато имаме правно основание по чл. 6 от GDPR:

5. Записи за приемане на условия (клик-съгласия)

5.1. Когато приемате правен документ в платформата чрез отбелязване на квадратче и потвърждение (т.нар. „clickwrap“) — например Условията за купувачи, Условията за продавачи, Тарифата за комисиони или Тарифата за доставка — ние записваме доказателство за това приемане.

5.2. Всеки запис съдържа: вашия потребителски идентификатор; точния документ и неговата версия; дата и час; вашия IP адрес в суров (нехеширан) вид; данни за браузъра/устройството (user agent); езика на интерфейса; начина на приемане (напр. отбелязано квадратче); и криптографски отпечатък (SHA-256 хеш) на точния текст на документа, който сте видели.

5.3. Казваме го директно и ясно: за тези записи съхраняваме IP адреса ви в суров вид, а не хеширан, както правим при записите за съгласия за бисквитки (раздел 6). Причината е доказателствена — суровият IP адрес е част от съвкупността от данни, която позволява да се докаже пред съд кой, кога и какво е приел.

5.4. Цел и основание: доказване на сключването и съдържанието на договора (чл. 6(1)(б) GDPR) и легитимният ни интерес да установяваме, упражняваме и защитаваме правни претенции (чл. 6(1)(е) GDPR).

5.5. Срок на съхранение: най-малко 5 години след закриване на акаунта — съобразно давностните срокове за договорни претенции по българското право и изискванията на Закона за ДДС за съхранение на електронни документи с гарантирана цялост.

5.6. Записите са неизменими — веднъж създадени, не могат да бъдат редактирани или подменяни. При изтриване на акаунта ви те не се изтриват, а се запазват в псевдонимизиран вид (без пряко идентифициращи ви данни в останалите ни системи), на основание чл. 17(3)(д) GDPR — установяване, упражняване или защита на правни претенции.

6. Записи за съгласия за бисквитки и при регистрация

6.1. Отделно от записите по раздел 5, поддържаме одитна следа на съгласията ви: при регистрация записваме дата, версия на политиката и хеширан (SHA-256) IP адрес; при всяка промяна на избора ви в банера за бисквитки записваме вида съгласие (аналитика/реклама), решението и датата. Тези записи ни позволяват да докажем, че сме зачели избора ви, включително на сървърно ниво (напр. рекламни събития се изпращат само при записано съгласие).

7. Плащания и проверка на самоличността (KYC)

7.1. Картовите плащания се обработват от Stripe. Данните за картата се въвеждат в защитени полета на Stripe — ние нямаме достъп до пълния номер на картата и не го съхраняваме.

7.2. Продавачите преминават проверка на самоличността (KYC) чрез Stripe Connect, за да могат да теглят средства. При стартиране на тази проверка предаваме на Stripe вашия IP адрес в суров вид и данни за браузъра ви заедно с момента на приемане — Stripe ги изисква като доказателство за приемането на собствените му условия за обслужване.

7.3. Документи за самоличност и придружаващи документи, качени за целите на KYC, се съхраняват в отделно, ограничено пространство за съхранение в Cloudflare R2 с контролиран достъп и се предават на Stripe за проверка.

8. Данни за доставка — споделяне с продавача и Спиди

8.1. За да бъде изпълнена поръчката ви, предаваме на продавача и на куриера Спиди (единственият интегриран куриер на платформата) необходимите данни за доставка: имена на получателя, телефон, адрес за доставка или избран офис на Спиди, а при наложен платеж — и сумата за събиране. Подробности за процеса на доставка — в Тарифата за доставка.

8.2. За целите на куриерската услуга Спиди действа като самостоятелен администратор съгласно собствената си политика за поверителност.

8.3. Проследяването на пратката (сканирания и статуси от Спиди) се съхранява към поръчката, за да виждате движението ѝ в реално време.

9. Съобщения в платформата

9.1. Разговорите между купувачи и продавачи се водят в платформата и съдържанието им се съхранява. То е видимо за двете страни по разговора, а при спор може да бъде прегледано от екипа ни като доказателство.

9.2. При изтриване на акаунт на купувач разговорите се анонимизират (връзката с профила ви се премахва), а съдържанието се запазва за отчетност на продавача — вижте раздел 14.5.

10. Получатели и обработващи данни

10.1. Използваме следните доставчици на услуги. С всеки обработващ имаме договор за обработка на данни (ДОД/DPA); при предаване извън Европейското икономическо пространство се прилагат Стандартните договорни клаузи (СДК) на Европейската комисия или друг валиден механизъм по глава V от GDPR.

10.2. Не продаваме личните ви данни на никого.

10.3. Можем да разкрием данни на компетентни органи, когато законът ни задължава.

11. Споделяне с Meta / Facebook

11.1. Споделяме данни за обяви (не лични данни на купувачи) с Meta Platforms Ireland Limited, за да могат частите да се откриват във Facebook и да се използват в ремаркетинг чрез нашия собствен Commerce Catalog. Правно основание: чл. 6(1)(е) GDPR (легитимен интерес от пазарна дистрибуция).

11.2. Каталожна синхронизация: заглавие, описание, снимки, цена, състояние, марка/модел и вътрешен идентификатор на обявата се изпращат към Commerce Catalog на Meta при създаване, редакция или премахване на обява. Продавачи, които изтрият акаунта си, имат обявите си премахнати от каталога на Meta в рамките на 30 дни.

11.3. Meta Pixel (браузър): събития за разглеждане (преглед на страница, търсене, преглед на съдържание) се изпращат само след като приемете рекламните бисквитки. Не споделяме директно имейл или телефон чрез Pixel.

11.4. Conversions API (сървър): при завършена покупка изпращаме към Meta събитие „Purchase“ (стойност, валута, номер на поръчка и хеширан с SHA-256 имейл) — само ако имате записано съгласие за реклама. Гости и потребители без такова съгласие се пропускат изцяло.

11.5. Данните от запитвания и съобщения на купувачи никога не се споделят с Meta.

11.6. Можете да оттеглите съгласието си по всяко време чрез „Настройки за бисквитки“ във футъра — оттеглянето спира Pixel и сървърните рекламни събития.

12. Бисквитки и подобни технологии

12.1. Използваме бисквитки и подобни технологии в три категории. Строго необходимите са винаги активни; аналитичните и рекламните се зареждат само с вашето съгласие, дадено чрез банера при първо посещение.

• Строго необходими — вход и сесия (Supabase), езиков избор, защита на плащанията (Stripe) и мониторинг на грешки за сигурност и стабилност (Sentry). Нужни за работата на сайта; не изискват съгласие.
• Аналитични — използване на продукта и производителност (PostHog, Vercel Analytics). Зареждат се само ако разрешите аналитика.
• Рекламни — маркетингово измерване и персонализация (Meta Pixel и Conversions API). Зареждат се/изпращат само ако разрешите реклама.

12.2. Можете да промените или оттеглите съгласието си по всяко време чрез връзката „Настройки за бисквитки“ във футъра. Оттеглянето спира съответното проследяване и е толкова лесно, колкото и даването на съгласие.

13. Срокове за съхранение

13.1. Съхраняваме данните само докато е необходимо за целта, за която са събрани, или докато законът го изисква:

14. Вашите права

14.1. Съгласно GDPR имате право на: достъп до данните си; коригиране; изтриване („право да бъдеш забравен“); ограничаване на обработката; преносимост на данните; възражение срещу обработка, основана на легитимен интерес; и оттегляне на съгласие по всяко време (без това да засяга законосъобразността на обработката преди оттеглянето).

14.2. Експорт на данните ви: докато сте влезли в акаунта си, можете да изтеглите машинно четимо копие на данните си (профил, обяви, поръчки, разговори, съобщения, запитвания, записи за съгласия) от адрес /api/gdpr/export.

14.3. Изтриване на акаунт: използвайте страницата /data-deletion или функцията за изтриване в настройките на профила си. Изтриването премахва акаунта ви, запазените обяви/автомобили и връзката ви с разговорите.

14.4. Граници на изтриването: някои данни се запазват и след изтриване на акаунта, когато законът го позволява или изисква — данни за поръчки, фактури и счетоводни документи (законово задължение — чл. 17(3)(б) GDPR) и записите за приемане на условия в псевдонимизиран вид (правни претенции — чл. 17(3)(д) GDPR, раздел 5.6).

14.5. Съдържанието на разговорите се запазва в анонимизиран вид за отчетност на продавача (раздел 9.2).

14.6. За да упражните правата си, пишете на support@partsmarkt.com. Отговаряме без ненужно забавяне и най-късно в едномесечен срок.

14.7. Жалба до надзорния орган: имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД) — [ОПЕРАТОР: адрес и контакти на КЗЛД за потвърждение — уебсайт www.cpdp.bg]. Не е необходимо първо да се обръщате към нас, но ще се радваме да опитаме да разрешим въпроса.

15. Автоматизирани решения и профилиране

15.1. Не вземаме решения, основани единствено на автоматизирана обработка, които пораждат правни последици за вас или ви засягат по подобен съществен начин (чл. 22 GDPR). Информация за начина на подреждане на обявите и за платеното открояване ще намерите в Условията за купувачи и Условията за продавачи.

16. Сигурност на данните

16.1. Прилагаме технически и организационни мерки, съобразени с риска: криптиране на връзката (HTTPS), контрол на достъпа на ниво база данни (политики за достъп по редове), разделно и ограничено съхранение на чувствителни документи (KYC), ограничаване на злоупотреби и наблюдение за грешки и инциденти. Никоя система не е абсолютно сигурна; при нарушение на сигурността, което поражда риск за правата ви, ще уведомим КЗЛД и — при висок риск — и вас, съгласно чл. 33–34 GDPR.

17. Непълнолетни лица

17.1. Платформата е предназначена за лица, навършили 18 години. Не събираме съзнателно данни на деца; ако научим за такъв случай, ще изтрием данните.

18. Изменения на тази политика и заключителни разпоредби

18.1. Тази политика е версия 1 (първата версия, публикувана чрез системата за версионирани правни документи на платформата) и е в сила от [ОПЕРАТОР: дата на влизане в сила — за попълване]. Всяка версия има постоянен адрес; настоящата е достъпна на /legal/privacy_policy/v/1.

18.2. При съществени изменения ще ви уведомим чрез платформата и/или по имейл и, където е приложимо, ще поискаме ново приемане. Предишните версии остават достъпни на постоянните им адреси.

18.3. Тази политика е изготвена на български и английски език. Българската версия е водеща и има предимство при противоречие между езиковите версии.

18.4. Свързани документи: Условия за купувачи, Условия за продавачи, Тарифа за комисиони, Тарифа за доставка.