Политика за поверителност на PartsMarkt
Настоящата Политика за поверителност обяснява какви лични данни събира платформата PartsMarkt (partsmarkt.com), защо ги събира, с кого ги споделя и какви права имате. PartsMarkt е онлайн платформа (маркетплейс) за употребявани авточасти, на която продавачи (търговци — автоморги и разкомплектовчици) предлагат части на купувачи. Стремили сме се да пишем на разбираем език. Ако нещо не е ясно, пишете ни на support@partsmarkt.com.
1. Кой отговаря за вашите данни (администратор)
1.1. Администратор на личните данни, обработвани чрез платформата, е „Клайд Мениджмънт“ ЕООД, ЕИК 208422678, ДДС № BG208422678, със седалище и адрес на управление гр. София 1421, район „Лозенец“, ул. „Борис Арсов“ № 12 („PartsMarkt“, „ние“).
1.2. Контакт по всички въпроси за лични данни: support@partsmarkt.com.
1.3. Не сме назначили длъжностно лице по защита на данните (ДЛЗД), тъй като не сме задължени по чл. 37 от GDPR. За всички въпроси, свързани с поверителността, използвайте посочения имейл.
1.4. Важно уточнение за ролите: при покупка договорът за продажба се сключва между вас и съответния продавач (търговеца-автоморга) — вижте Условията за купувачи. За данните, които продавачът получава за изпълнение на вашата поръчка (имена, телефон, адрес за доставка), продавачът е самостоятелен администратор за собствените си законови задължения (напр. счетоводни).
2. За кого се отнася тази политика
2.1. Тази политика се отнася за:
- купувачи — потребители с акаунт, както и гости, които поръчват без регистрация;
- продавачи — търговци (юридически лица) и физическите лица, които ги представляват или работят с акаунта им;
- посетители на сайта без акаунт;
- трети лица, чиито данни (например регистрационен номер на превозно средство) се появяват в снимки, публикувани на платформата — вижте раздел 4.2.
3. Какви данни събираме
3.1. Данни за акаунт: имейл адрес, хеш на паролата (никога самата парола), имена, предпочитан език на интерфейса.
3.2. Бизнес данни на продавачи: наименование на фирмата, ЕИК, град и адрес, телефон, адрес за предаване на пратки, данни за банкова/платежна сметка (чрез Stripe), документи за проверка на самоличността (KYC) — вижте раздел 7.
3.3. Данни за обяви: описания на части, снимки, цени, състояние (класове A/B/C/R), съвместимост по марка/модел.
3.4. Данни за поръчки и доставка: поръчани артикули, суми, начин на плащане, имена и телефон на получателя, адрес за доставка или избран офис на Спиди, история на поръчките. При поръчка като гост: имена, имейл, телефон и адрес за доставка, както и линк (токен) за проследяване на поръчката.
3.5. Платежни данни: обработват се от Stripe. Ние никога не виждаме и не съхраняваме пълния номер на вашата карта — вижте раздел 7.
3.6. Съобщения в платформата: съдържанието на разговорите между купувачи и продавачи — вижте раздел 9.
3.7. Запитвания към продавачи: имена, имейл, телефон, текст на запитването.
3.8. Записани автомобили на купувача: марка/модел/година, ако сами запазите автомобил в профила си за по-лесно филтриране на съвместими части.
3.9. Записи за съгласия (бисквитки и регистрация): вид съгласие, решение (да/не), дата и час, версия на политиката и хеширан (SHA-256) IP адрес при регистрация — вижте раздел 6.
3.10. Записи за приемане на условия (клик-съгласия): включително IP адрес в суров (нехеширан) вид — подробно в раздел 5.
3.11. Технически данни: IP адрес и данни за заявките за целите на сигурността и ограничаването на злоупотреби (rate limiting), технически журнали и доклади за грешки, и — само с ваше съгласие — аналитични данни за използването на сайта.
4. Цели и правни основания
4.1. Обработваме лични данни само когато имаме правно основание по чл. 6 от GDPR:
| Цел | Примерни данни | Правно основание |
|---|---|---|
| Създаване и поддържане на акаунт; публикуване на обяви; сключване и изпълнение на поръчки; ескроу задържане и освобождаване на плащания; доставка; съобщения между купувач и продавач | Данни за акаунт, обяви, поръчки, доставка, съобщения | Изпълнение на договор — чл. 6(1)(б) |
| Издаване на фактури, счетоводна и данъчна отчетност; проверка на самоличността на продавачи (KYC) и мерки срещу изпиране на пари чрез Stripe | Данни за поръчки и плащания, фирмени и KYC данни | Законово задължение — чл. 6(1)(в) |
| Доказване на сключването и съдържанието на договори; установяване, упражняване и защита на правни претенции | Записи за приемане на условия (раздел 5), записи за съгласия | Изпълнение на договор — чл. 6(1)(б); легитимен интерес — чл. 6(1)(е) |
| Сигурност на платформата: ограничаване на злоупотреби, предотвратяване на измами, мониторинг на грешки и стабилност | IP адрес, технически журнали, доклади за грешки | Легитимен интерес — чл. 6(1)(е) |
| Разпространение на каталога с обяви (данни за части, не лични данни на купувачи) към Meta Commerce Catalog | Данни за обяви | Легитимен интерес — чл. 6(1)(е) |
| Аналитика на използването на сайта; рекламно измерване (Meta Pixel и Conversions API) | Събития от разглеждане, хеширан имейл при покупка (само CAPI) | Съгласие — чл. 6(1)(а), дадено чрез банера за бисквитки |
| Маркетингови съобщения по имейл | Имейл, имена | Съгласие — чл. 6(1)(а), отделно и оттегляемо по всяко време |
| Автоматизирана проверка на изображения в обявите и в профилите на продавачите за данни за контакт, препратки към други уебсайтове и четими регистрационни номера; обработване на сигнали и на искания за преразглеждане | Съдържание на изображението; запис на установеното (телефонни номера, имейл адреси и регистрационни номера — маскирани; интернет домейни и профили в социални мрежи — в пълен вид); хешове с ключ (HMAC) на установени телефонни номера, имейл адреси, профили и домейни; идентификатор и бележка на подалия сигнал потребител | Легитимен интерес — чл. 6, параграф 1, буква „е“ от GDPR (цялост на ескроу модела, предотвратяване на измами и на заобикаляне на платформата; защита на трети лица, чиито данни се появяват в изображения, включително регистрационен номер — вижте раздел 4.2); изпълнение на договор — чл. 6, параграф 1, буква „б“ от GDPR, когато продавачът е физическо лице, за прилагане на Условията за продавачи |
4.2. Регистрационни номера и данни на трети лица в изображенията. Публикуваните на платформата снимки понякога показват регистрационния номер на превозно средство. Четим регистрационен номер представлява лични данни на трето лице, което не е страна по обявата, и публикуването му не се основава на негово съгласие или на договора ни с продавача. Затова, след пълното задействане на автоматизираните ни проверки, проверяваме снимките в обявите и в профилите на продавачите за четими регистрационни номера (към момента — само в български формат) и замъгляваме всеки номер, който проверката установи в снимка, съхранявана на нашата платформа, обикновено в рамките на минути след качването — независимо от продавача и независимо дали той е приел приложимите към него условия — като наша собствена мярка за защита на данните на тези трети лица. Номерата, които проверката не може да потвърди, се преглеждат от наш служител, който може да ги замъгли. Автоматизираното установяване не е съвършено, а снимки, хоствани извън нашата платформа, не можем да замъглим: ако снимка на платформата показва регистрационния номер на вашето превозно средство — независимо дали е съхранена при нас или е външна връзка — пишете ни на support@partsmarkt.com и ще замъглим номера или ще премахнем снимката. Преди автоматизираното прилагане да бъде включено (режим „само записва“), установеният номер само се записва (в маскиран вид), а снимката не се променя. По правило непромененият оригинал на замъглена снимка, съхранявана на нашата платформа, се премахва от публичния си адрес в рамките на около два дни от действието и се съхранява в ограничено хранилище, за да може погрешно действие да бъде отменено; изтрива се 7 дни след действието, а ако тогава е висящо искане на продавача за преразглеждане — след произнасянето по него. Ако преместването в ограниченото хранилище временно не успее, опитваме отново всеки ден и дотогава оригиналът остава на публичния си адрес; същото важи, докато същият файл се използва и другаде в платформата. Не идентифицираме собственици на превозни средства, не се свързваме с тях и не използваме или съпоставяме тези данни, за да идентифицираме когото и да било. Предоставянето на индивидуална информация на всяко лице, чийто регистрационен номер се появява в снимка, би изисквало непропорционални усилия по смисъла на чл. 14, параграф 5, буква „б“ от GDPR, поради което, съгласно същата разпоредба, оповестяваме тази информация публично тук, включително начина да се свържете с нас (по-горе в този параграф). Правното основание е легитимният ни интерес по чл. 6, параграф 1, буква „е“ от GDPR да защитим личните данни на тези трети лица и да не публикуваме повече лични данни, отколкото обявата изисква (принцип на свеждане на данните до минимум — чл. 5, параграф 1, буква „в“ от GDPR).
5. Записи за приемане на условия (клик-съгласия)
5.1. Когато приемате правен документ в платформата чрез отбелязване на квадратче и потвърждение (т.нар. „clickwrap“) — например Условията за купувачи, Условията за продавачи, Тарифата за комисиони или Тарифата за доставка — ние записваме доказателство за това приемане.
5.2. Всеки запис съдържа: вашия потребителски идентификатор; точния документ и неговата версия; дата и час; вашия IP адрес в суров (нехеширан) вид; данни за браузъра/устройството (user agent); езика на интерфейса; начина на приемане (напр. отбелязано квадратче); и криптографски отпечатък (SHA-256 хеш) на точния текст на документа, който сте видели.
5.3. Казваме го директно и ясно: за тези записи съхраняваме IP адреса ви в суров вид, а не хеширан, както правим при записите за съгласия за бисквитки (раздел 6). Причината е доказателствена — суровият IP адрес е част от съвкупността от данни, която позволява да се докаже пред съд кой, кога и какво е приел.
5.4. Цел и основание: доказване на сключването и съдържанието на договора (чл. 6(1)(б) GDPR) и легитимният ни интерес да установяваме, упражняваме и защитаваме правни претенции (чл. 6(1)(е) GDPR).
5.5. Срок на съхранение: най-малко 5 години след закриване на акаунта — съобразно давностните срокове за договорни претенции по българското право и изискванията на Закона за ДДС за съхранение на електронни документи с гарантирана цялост.
5.6. Записите са неизменими — веднъж създадени, не могат да бъдат редактирани или подменяни. При изтриване на акаунта ви те не се изтриват, а се запазват в псевдонимизиран вид (без пряко идентифициращи ви данни в останалите ни системи), на основание чл. 17(3)(д) GDPR — установяване, упражняване или защита на правни претенции.
6. Записи за съгласия за бисквитки и при регистрация
6.1. Отделно от записите по раздел 5, поддържаме одитна следа на съгласията ви: при регистрация записваме дата, версия на политиката и хеширан (SHA-256) IP адрес; при всяка промяна на избора ви в банера за бисквитки записваме вида съгласие (аналитика/реклама), решението и датата. Тези записи ни позволяват да докажем, че сме зачели избора ви, включително на сървърно ниво (напр. рекламни събития се изпращат само при записано съгласие).
7. Плащания и проверка на самоличността (KYC)
7.1. Картовите плащания се обработват от Stripe. Данните за картата се въвеждат в защитени полета на Stripe — ние нямаме достъп до пълния номер на картата и не го съхраняваме.
7.2. Продавачите преминават проверка на самоличността (KYC) чрез Stripe Connect, за да могат да теглят средства. При стартиране на тази проверка предаваме на Stripe вашия IP адрес в суров вид и данни за браузъра ви заедно с момента на приемане — Stripe ги изисква като доказателство за приемането на собствените му условия за обслужване.
7.3. Документи за самоличност и придружаващи документи, качени за целите на KYC, се съхраняват в отделно, ограничено пространство за съхранение в Cloudflare R2 с контролиран достъп и се предават на Stripe за проверка.
8. Данни за доставка — споделяне с продавача и Спиди
8.1. За да бъде изпълнена поръчката ви, предаваме на продавача и на куриера Спиди (единственият интегриран куриер на платформата) необходимите данни за доставка: имена на получателя, телефон, адрес за доставка или избран офис на Спиди, а при наложен платеж — и сумата за събиране. Подробности за процеса на доставка — в Тарифата за доставка.
8.2. За целите на куриерската услуга Спиди действа като самостоятелен администратор съгласно собствената си политика за поверителност.
8.3. Проследяването на пратката (сканирания и статуси от Спиди) се съхранява към поръчката, за да виждате движението ѝ в реално време.
9. Съобщения в платформата
9.1. Разговорите между купувачи и продавачи се водят в платформата и съдържанието им се съхранява. То е видимо за двете страни по разговора, а при спор може да бъде прегледано от екипа ни като доказателство.
9.2. При изтриване на акаунт на купувач разговорите се анонимизират (връзката с профила ви се премахва), а съдържанието се запазва за отчетност на продавача — вижте раздел 14.5.
10. Получатели и обработващи данни
10.1. Използваме следните доставчици на услуги. С всеки обработващ имаме договор за обработка на данни (ДОД/DPA); при предаване извън Европейското икономическо пространство се прилагат Стандартните договорни клаузи (СДК) на Европейската комисия или друг валиден механизъм по глава V от GDPR.
| Доставчик | За какво | Местоположение / гаранции |
|---|---|---|
| Supabase | База данни и автентикация | ЕС (Франкфурт) |
| Vercel | Уеб хостинг и обработка на изображения (автоматизирана проверка за данни за контакт и регистрационни номера) | ЕС регион на обработка; ДОД/СДК |
| Cloudflare | CDN, съхранение на изображения и на KYC документи (R2) | ЕС CDN; ДОД/СДК |
| Stripe | Картови плащания, изплащания към продавачи (Connect), KYC | ЕС/САЩ; СДК |
| Спиди | Куриерска доставка и наложен платеж | България (самостоятелен администратор) |
| Resend | Транзакционни имейли (support@partsmarkt.com) | ЕС; ДОД/СДК |
| Upstash | Ограничаване на злоупотреби (rate limiting) — краткосрочна обработка на IP адреси | ДОД/СДК |
| Sentry | Мониторинг на грешки за сигурност и стабилност | ЕС |
| PostHog | Продуктова аналитика — само при съгласие за аналитика | ЕС |
| Meta Platforms Ireland | Commerce Catalog (данни за обяви); Meta Pixel и Conversions API — само при съгласие за реклама | ЕС; вижте раздел 11 |
10.2. Не продаваме личните ви данни на никого.
10.3. Можем да разкрием данни на компетентни органи, когато законът ни задължава.
11. Споделяне с Meta / Facebook
11.1. Споделяме данни за обяви (не лични данни на купувачи) с Meta Platforms Ireland Limited, за да могат частите да се откриват във Facebook и да се използват в ремаркетинг чрез нашия собствен Commerce Catalog. Правно основание: чл. 6(1)(е) GDPR (легитимен интерес от пазарна дистрибуция).
11.2. Каталожна синхронизация: заглавие, описание, снимки, цена, състояние, марка/модел и вътрешен идентификатор на обявата се изпращат към Commerce Catalog на Meta при създаване, редакция или премахване на обява. Продавачи, които изтрият акаунта си, имат обявите си премахнати от каталога на Meta в рамките на 30 дни.
11.3. Meta Pixel (браузър): събития за разглеждане (преглед на страница, търсене, преглед на съдържание) се изпращат само след като приемете рекламните бисквитки. Не споделяме директно имейл или телефон чрез Pixel.
11.4. Conversions API (сървър): при завършена покупка изпращаме към Meta събитие „Purchase“ (стойност, валута, номер на поръчка и хеширан с SHA-256 имейл) — само ако имате записано съгласие за реклама. Гости и потребители без такова съгласие се пропускат изцяло.
11.5. Данните от запитвания и съобщения на купувачи никога не се споделят с Meta.
11.6. Можете да оттеглите съгласието си по всяко време чрез „Настройки за бисквитки“ във футъра — оттеглянето спира Pixel и сървърните рекламни събития.
12. Бисквитки и подобни технологии
12.1. Използваме бисквитки и подобни технологии в три категории. Строго необходимите са винаги активни; аналитичните и рекламните се зареждат само с вашето съгласие, дадено чрез банера при първо посещение.
- Строго необходими — вход и сесия (Supabase), езиков избор, защита на плащанията (Stripe) и мониторинг на грешки за сигурност и стабилност (Sentry). Нужни за работата на сайта; не изискват съгласие.
- Аналитични — използване на продукта и производителност (PostHog, Vercel Analytics). Зареждат се само ако разрешите аналитика.
- Рекламни — маркетингово измерване и персонализация (Meta Pixel и Conversions API). Зареждат се/изпращат само ако разрешите реклама.
12.2. Можете да промените или оттеглите съгласието си по всяко време чрез връзката „Настройки за бисквитки“ във футъра. Оттеглянето спира съответното проследяване и е толкова лесно, колкото и даването на съгласие.
13. Срокове за съхранение
13.1. Съхраняваме данните само докато е необходимо за целта, за която са събрани, или докато законът го изисква:
| Данни | Срок |
|---|---|
| Данни за акаунт | До изтриване на акаунта; изтриване/анонимизиране без ненужно забавяне, най-късно до 30 дни след заявката |
| Данни за обяви | Докато акаунтът е активен |
| Поръчки, фактури и счетоводни документи | За сроковете, изисквани от българското данъчно и счетоводно законодателство (включително Закона за ДДС) |
| Записи за приемане на условия (раздел 5) | Най-малко 5 години след закриване на акаунта; след изтриване на акаунта — в псевдонимизиран вид |
| Записи за съгласия (раздел 6) | Докато акаунтът е активен и след това, доколкото е необходимо за доказване на съответствие |
| Съобщения в платформата | Докато акаунтът е активен; при изтриване — анонимизирани (раздел 9.2) |
| Запитвания към продавачи | 12 месеца |
| Аналитични данни | 12 месеца |
| Технически опашки и известия (имейл опашка, системни известия) | Кратки срокове; периодично автоматично изтриване |
| Оригинал на снимка, съхранявана на нашата платформа, скрита или замъглена от автоматизираната проверка (раздел 4.2) — включително оригинал от обява, публикувана от Платформата по възлагане на продавача (раздел 5.8 от Условията за продавачи) | По правило се премахва от публичния си адрес в рамките на около два дни от действието; изтрива се от ограниченото хранилище 7 дни след действието, а ако тогава е висящо искане за преразглеждане — след произнасянето по него. Ако преместването в ограниченото хранилище временно не успее, опитваме отново всеки ден, а дотогава публичното копие остава на адреса си; докато файлът се използва другаде на Платформата, публичното копие остава непроменено. Снимка, хоствана извън Платформата, не подлежи на преместване или замъгляване (раздел 4.2) |
| Запис от автоматизираната проверка на снимки, свързаните с него данни за решението, и — когато снимка е била скрита, замъглена, за която е подаден сигнал, насочена за преглед от служител или предмет на искане за преразглеждане — доказателството за това решение | Докато съществува редът в базата ни данни за съответната обява или профил на продавач (към момента изтриването на обява или на профил на продавач е само маркиране, а не премахване на реда); ако снимката не е свързана със запазено по-горе доказателство, записът от проверката се изтрива най-късно 12 месеца след маркирането на обявата или профила като изтрити |
| Хешове с ключ (HMAC), използвани за преброяване на повторения в снимките на продавач | До 12 месеца от създаването им, а при изтриване на обявата или на продавача — по-рано; копие на хеш, съхранявано в проверовъчния запис или данните за решение по-горе, следва срока на този запис |
| Идентификатор и бележка на подал сигнал за снимка потребител | Анонимизират се най-късно 6 месеца след приключване на случая; при потребители, изтрили акаунта си — веднага |
14. Вашите права
14.1. Съгласно GDPR имате право на: достъп до данните си; коригиране; изтриване („право да бъдеш забравен“); ограничаване на обработката; преносимост на данните; възражение срещу обработка, основана на легитимен интерес; и оттегляне на съгласие по всяко време (без това да засяга законосъобразността на обработката преди оттеглянето).
14.2. Експорт на данните ви: докато сте влезли в акаунта си, можете да изтеглите машинно четимо копие на данните си (профил, обяви, поръчки, разговори, съобщения, запитвания, записи за съгласия) от адрес /api/gdpr/export.
14.3. Изтриване на акаунт: използвайте страницата /data-deletion или функцията за изтриване в настройките на профила си. Изтриването премахва акаунта ви, запазените обяви/автомобили и връзката ви с разговорите.
14.4. Граници на изтриването: някои данни се запазват и след изтриване на акаунта, когато законът го позволява или изисква — данни за поръчки, фактури и счетоводни документи (законово задължение — чл. 17(3)(б) GDPR), записите за приемане на условия в псевдонимизиран вид (правни претенции — чл. 17(3)(д) GDPR, раздел 5.6), както и доказателствата за решения на автоматизираната снимкова проверка (скриване, замъгляване, сигнал, насочване за преглед от служител или искане за преразглеждане), свързани с обява или профил на продавач, докато съществува съответният ред в базата ни данни — вижте раздел 13 (правни претенции — чл. 17(3)(д) GDPR).
14.5. Съдържанието на разговорите се запазва в анонимизиран вид за отчетност на продавача (раздел 9.2).
14.6. За да упражните правата си, пишете на support@partsmarkt.com. Отговаряме без ненужно забавяне и най-късно в едномесечен срок.
14.7. Жалба до надзорния орган: имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД) — гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, cpdp.bg, kzld@cpdp.bg. Не е необходимо първо да се обръщате към нас, но ще се радваме да опитаме да разрешим въпроса.
15. Автоматизирани решения и профилиране
15.1. Не вземаме решения, основани единствено на автоматизирана обработка, които пораждат правни последици за вас или ви засягат по подобен съществен начин (чл. 22 GDPR). Информация за начина на подреждане на обявите и за платеното открояване ще намерите в Условията за купувачи и Условията за продавачи.
15.2. Уточнение във връзка с автоматизираната проверка на изображения по раздел 4.2 и по Условията за продавачи: когато скрием или замъглим единично изображение от Обява, която остава публикувана, или от профил на продавач, който остава активен, приемаме, че това само по себе си не поражда правни последици за продавача и не го засяга по подобен съществен начин по смисъла на чл. 22 GDPR — продавачът може по всяко време да поиска преглед от служител чрез връзката за преглед в нашето уведомление или на support@partsmarkt.com (при замъгляване на регистрационен номер това право не зависи от приемането на които и да е наши условия — замъгляването се основава на собственото ни правно основание по раздел 4.2). Тази оценка е наша собствена и не засяга правото ви да я оспорите пред надзорния орган или пред съд.
16. Сигурност на данните
16.1. Прилагаме технически и организационни мерки, съобразени с риска: криптиране на връзката (HTTPS), контрол на достъпа на ниво база данни (политики за достъп по редове), разделно и ограничено съхранение на чувствителни документи (KYC), ограничаване на злоупотреби и наблюдение за грешки и инциденти. Никоя система не е абсолютно сигурна; при нарушение на сигурността, което поражда риск за правата ви, ще уведомим КЗЛД и — при висок риск — и вас, съгласно чл. 33–34 GDPR.
17. Непълнолетни лица
17.1. Платформата е предназначена за лица, навършили 18 години. Не събираме съзнателно данни на деца; ако научим за такъв случай, ще изтрием данните.
18. Изменения на тази политика и заключителни разпоредби
18.1. Номерът на текущата версия на тази политика и датата на влизането ѝ в сила са посочени в началото на страницата на постоянния ѝ адрес. Всяка версия има постоянен адрес и остава достъпна и след издаване на нова версия.
18.2. При съществени изменения ще ви уведомим чрез платформата и/или по имейл и, където е приложимо, ще поискаме ново приемане. Предишните версии остават достъпни на постоянните им адреси.
18.3. Тази политика е изготвена на български и английски език. Българската версия е водеща и има предимство при противоречие между езиковите версии.
18.4. Свързани документи: Условия за купувачи, Условия за продавачи, Тарифа за комисиони, Тарифа за доставка.