Политика за поверителност
Тази политика обяснява какви лични данни обработва Фактурист, защо, колко време ги пазим, кой ги вижда и какви права имате по Общия регламент относно защитата на данните (ОРЗД).
Кой обработва данните
Карбон Стелт ЕДПК (Carbon Stealth VCC), ЕИК 208725180, ул. „Самуил“ № 3, 2670 Бобов дол, обл. Кюстендил, България, тел. +359 877 414 874. За личните данни пишете на privacy@carbonstealth.eu.
За данните на профилите (хората, които ползват Фактурист) сме администратор — тази политика се отнася за тях. За личните данни в документите на фирмите (контрагенти, лица за контакт), в банковите извлечения и входящите е-фактури, които фирмите качват, и в писмата, които те пращат чрез Фактурист, сме обработващ: администратор е фирмата, която издава документа, а ние ги обработваме по договора за обработване.
Какви данни, защо и до кога
| Данни | Защо | Основание | Срок |
|---|---|---|---|
| Име, имейл, език, хеш на паролата (Argon2id), дата на потвърждение на имейла, последен вход | Профилът и входът в него | Договор, чл. 6, пар. 1, б. „б“ ОРЗД | Докато профилът съществува |
| Двуфакторен вход: таен ключ (шифрован с AES-256-GCM) и последната приета стъпка | Втори фактор при вход, ако сте го включили | Договор | До изключване или до закриване на профила |
| Данните на фирмата, чийто член сте (наименование, ЕИК, ДДС номер, адрес, IBAN), и ролята ви в нея | Реквизитите на документите и правата в профила | Договор | Докато фирмата е регистрирана |
| Сесия: бисквитката и запис в базата (кога е създадена и използвана) — без IP адрес | Да останете вписани | Договор | До изход или до изтичане: 3 дни без активност, най-много 14 дни (за екипа ни — 8 часа и 1 ден); записът се изтрива до 30 дни след изтичането |
| Връзки по имейл (нова парола, потвърждение на имейла): SHA-256 хеш на връзката, адресът, до който е пратена, срокът | Сигурността на профила | Договор; легитимен интерес, чл. 6, пар. 1, б. „е“ ОРЗД | Връзката важи 1 час (парола) или 7 дни (имейл); записът се изтрива до 30 дни след изтичането ѝ |
| Писма от опашката: адрес на получателя, вид писмо, кога е пратено | Да изпратим писмото и да видим дали е тръгнало | Договор | 90 дни след изпращането |
| Покани и пълномощни: имейлът на поканения, хеш на връзката, кой е поканил и кога | Прехвърлянето на фирма към собственика и работата на кантората по пълномощно | Договор; легитимен интерес | Поканата важи 7 дни; записът — докато фирмата е регистрирана |
| Приетите правни документи: кой, кой документ, коя версия, кога | Доказване на договора | Легитимен интерес: да докажем сключването и съдържанието на договора при спор | Пет години след закриване на профила (общата давност) |
| Одитен дневник: кой, какво и кога е направил в профила и във фирмата — без IP адреси и без имейли | Отчетност и защита при спор | Легитимен интерес: да покажем кой какво е направил при спор или злоупотреба | Докато фирмата е регистрирана и до 5 години след закриването ѝ |
| Плащания за план: сумата, ДДС, планът и периодът, основанието („FKT-…“), идентификаторът на поръчката при Revolut, кой член е поръчал и кой от екипа ни е потвърдил превода, датата на плащането; проформата и фактурата, които пристигат в шкафчето на фирмата и по имейл до собственика, администраторите и счетоводителите ѝ | Договорът за платения план и счетоводството ни | Договор; законово задължение, чл. 6, пар. 1, б. „в“ ОРЗД | Сроковете по Закона за счетоводството и ЗДДС |
| API ключове на фирмата: име на ключа, кой го е създал, началото му, хеш SHA-256, обхват, последно ползване, оттегляне | Достъпът на интеграциите на фирмата; документите, издадени с ключа, се записват от името на създателя | Договор; легитимен интерес: да покажем кой ключ какво е издал | Докато фирмата е регистрирана |
| Писмата, които ни пишете | Да ви отговорим | Легитимен интерес: да отговорим и да пазим кореспонденцията при спор | До три години след последното писмо |
Имейлът, името и паролата са нужни, за да има профил. Без тях не можем да го създадем.
IP адреси
Не пазим IP адреси: нито приложението, нито уеб сървърът водят дневник на заявките. Таванът на опитите за вход и за писма брои адреса (при IPv6 — мрежата /64) само в паметта на сървъра, до 15 минути. Уеб сървърът записва адрес единствено в дневника си за критични грешки. Същото важи за тавана на заявките към API.
Кой още вижда данните
- Другите членове на фирмата ви и счетоводната ѝ кантора с действащо пълномощно; фирмата-получател на документ, доставен в шкафчето ѝ, и нейните членове.
- Екипът ни по поддръжката — при задължение за поверителност и само доколкото е нужно.
- netcup GmbH, Германия — сървърът, на който работи Фактурист, в център за данни в Европейския съюз. На него са и резервните копия на базата — всеки ден и преди всяко обновяване, най-много 90 дни.
- Sendinblue SAS (Brevo), Франция — изпращането на писмата, описани по-долу.
- Revolut Bank UAB, Литва, и банката на платеца — плащането с карта става на страницата на Revolut: данните на картата въвеждате там, а ние получаваме само състоянието, сумата, идентификатора и момента на плащането. Revolut и банката обработват данните от плащането като самостоятелни администратори.
Не продаваме данни и не ги предоставяме за реклама. Не прехвърляме лични данни извън Европейския съюз; ако подизпълнител на Brevo обработва данни извън ЕС, трансферът е защитен със стандартни договорни клаузи (чл. 46 ОРЗД).
Бисквитки
Използваме две бисквитки, без които услугата не работи или не е защитена — сесията след вход и довереното устройство. Нямаме аналитични, рекламни или чужди бисквитки, затова не показваме банер за съгласие. Шрифтовете се зареждат от нашия сървър.
| Име | За какво | Основание | Срок |
|---|---|---|---|
__Host-fakturist | Сесията след вход (подписан идентификатор, HttpOnly, Secure, SameSite=Lax) | Строго необходима за поисканата услуга (чл. 4а, ал. 4 ЗЕТ; чл. 5, пар. 3 от Директива 2002/58/ЕО) — без съгласие; за данните — договор | 3 дни без активност, най-много 14 дни (за екипа ни — 8 часа и 1 ден) |
__Host-fakturist_dev | Доверено устройство: браузър, от който сте влизали успешно (с паролата и — ако е включен — с втория фактор), влиза и когато чужд човек е заключил профила с грешни пароли (подписан идентификатор на профила и срок, без други данни) | Строго необходима за сигурността на профила (същите разпоредби) — без съгласие; за данните — легитимен интерес: сигурност на профила | 180 дни от последния вход |
Инсталираното приложение (на телефона или компютъра) има service worker, който не пази нищо на устройството: само показва страница „Няма връзка“, когато мрежата липсва.
Писма
Пращаме само писма, свързани с профила и документите: потвърждение на имейла, връзка за нова парола, известие за документ, доставен в шкафчето на фирмата ви (с PDF и XML), проформа и фактура за платения план, покана да поемете профила на фирма и известия до екипа ни за проверка на собственост. Не пращаме рекламни писма. Писмата, които фирмите пращат чрез Фактурист до свои получатели (повтарящи се фактури, проформи, напомняния за плащане), пращаме от тяхно име — вижте „Ако не ползвате Фактурист“.
Ако не ползвате Фактурист
Ако сте получили фактура, проформа или напомняне за плащане от фирма чрез Фактурист, ако сте доставчик, чиято е-фактура фирма е качила, или ако сте наредили плащане към фирма, която сверява извлеченията си при нас, администратор на данните ви е тази фирма — отговорът на писмото отива при нея. Ние ги обработваме само по нейни указания, по договора за обработване, и ги пазим, докато фирмата ползва услугата; данните на наредителите от извлеченията — по-кратко (договора, т. 11). Искане, изпратено до нас, препращаме на фирмата.
Автоматизирани решения
Не вземаме решения с правни последици за вас само автоматично. Проверката на правилата при издаване спира документ с грешка — тя засяга документа, не вас като човек. Временното ограничение след много опити за вход отминава само.
Сигурност
Връзката е само по HTTPS с HSTS. Паролите се пазят като хеш Argon2id, тайните ключове за двуфакторния вход и ключовете на нашите интеграции — шифровани, API ключовете на фирмите, връзките по имейл и поканите — само като хеш. Сесиите са на сървъра и се прекратяват веднага при нова парола. Мастър панелът се отваря само с двуфакторен вход. Дневниците на приложението не съдържат имейли, пароли и IP адреси. Всеки ден и преди всяко обновяване правим резервно копие на базата; копията се пазят най-много 90 дни.
Вашите права
Имате право на достъп, коригиране, изтриване, ограничаване на обработването, преносимост и възражение срещу обработването на основание легитимен интерес. От „Сигурност“ в профила сами изтегляте личните си данни (JSON) и закривате профила; собственикът изтегля целия архив на фирмата (ZIP с PDF и XML на всеки документ). За всичко останало пишете на privacy@carbonstealth.eu — отговаряме до един месец.
Закриването на профила заличава името и имейла ви веднага; при искане по имейл го правим до един месец (чл. 12, пар. 3 ОРЗД). Документите, издадени от фирмата, са на фирмата, а законът задължава нея да ги пази — затова остават в профила ѝ, докато тя е регистрирана.
Имате право на жалба до Комисията за защита на личните данни (София 1592, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg) или до надзорния орган в държавата от ЕС, в която живеете или работите.
Непълнолетни
Фактурист е професионален инструмент и не е предназначен за лица под 16 години.
Промени
Ако променим политиката съществено, ще ви уведомим по имейл, преди промяната да влезе в сила. Датата на версията е най-горе на страницата.