NaemAI ("ние") зачита поверителността на личните данни на ползвателите на платформата NaemAI и се стреми към максимална прозрачност при тяхното обработване. Настоящата Политика за поверителност описва какви данни събираме, защо, на какво правно основание, с кого ги споделяме и как можете да упражните своите права съгласно Регламент (ЕС) 2016/679 ("GDPR") и Закона за защита на личните данни.
1. Администратор на лични данни
Администратор на личните данни, обработвани чрез платформата NaemAI, е операторът на платформата, със следните данни за контакт:
- NaemAI — оператор на платформата
- Седалище: София, България
- Уебсайт: https://www.naemai.net
- Имейл за контакт: dpo@naemai.net
Длъжностно лице по защита на данните (DPO) можете да достигнете на dpo@naemai.net.
2. Какви данни събираме
В зависимост от взаимодействието Ви с Платформата обработваме следните категории лични данни:
- Идентификационни данни на брокера и агенцията: име на агенцията, име и фамилия на представляващия, длъжност;
- Данни за контакт: служебен имейл, телефон (ако е предоставен);
- Данни за плащане: обработват се изцяло от Stripe — ние получаваме само токенизиран идентификатор и последните 4 цифри на платежния инструмент за справка;
- Технически данни: IP адрес, тип браузър, времеви маркер на достъп, страници, които сте посетили, действия в Платформата;
- Данни от форма за регистрация в листа на чакащите: име на агенция и служебен имейл (преди публичното стартиране, обработвани чрез Formspree);
- Съдържание на работните проекти: параметри на договори, въведени от Брокера в чек-листа на Платформата (вижте точка 4 — Zero-PII политика).
3. Цели и правни основания за обработването
Обработваме личните Ви данни единствено когато имаме легитимно правно основание за това:
- Изпълнение на договор (чл. 6, § 1, б. "б" GDPR) — за активиране на акаунт, предоставяне на Услугата, обработване на плащания и комуникация по договора;
- Спазване на законови задължения (чл. 6, § 1, б. "в" GDPR) — за издаване на фактури и спазване на счетоводно и данъчно законодателство;
- Легитимен интерес (чл. 6, § 1, б. "е" GDPR) — за защита от злоупотреби, поддръжка на сигурността на Платформата и подобряване на Услугата;
- Съгласие (чл. 6, § 1, б. "а" GDPR) — за известия за стартирането на Платформата и нестриктно необходими бисквитки. Съгласието може да бъде оттеглено по всяко време, без това да засяга вече извършеното обработване.
4. Zero-PII политика спрямо моделите с изкуствен интелект
Изпълнителят прилага архитектура "Zero-PII": лични данни на Страните по правоотношението (имена, ЕГН, адресни данни, телефони и други идентифициращи данни) НИКОГА не се изпращат към моделите с изкуствен интелект на трети страни (Google Gemini или други LLM доставчици).
В работния процес на Платформата всички идентифициращи полета се заместват от анонимни маркери от типа [ИМЕ_НА_НАЕМОДАТЕЛЯ], [ЕГН_НАЕМАТЕЛ], [АДРЕС_НА_ИМОТА] и подобни. Реалните данни се попълват локално от Брокера във финалния експорт (.docx) след получаване на "зеления светофар" от двете страни.
По този начин:
- доставчиците на AI модели нямат достъп до идентифициращи данни;
- няма международен трансфер на лични данни на физически лица към юрисдикции извън ЕИП в рамките на AI обработката;
- техническите запитвания към моделите съдържат само структурата и логиката на договора, не и неговите страни.
5. Получатели и обработващи лични данни
За предоставянето на Услугата ние ползваме следните доверени подизпълнители (sub-processors):
- Supabase Inc. (САЩ) — хостинг на базата данни и автентикация. Данните се съхраняват в регион ЕС (Frankfurt). Трансфер: стандартни договорни клаузи (SCC) на Европейската комисия.
- Stripe Payments Europe Ltd. (Ирландия) — обработка на плащания. PCI-DSS Level 1 сертифициран процесор.
- Google Ireland Ltd. / Google LLC (САЩ) — модели на изкуствен интелект Gemini. Прилага се Zero-PII политиката (точка 4).
- Netlify Inc. (САЩ) — хостинг на статичното съдържание и edge функции на Платформата. Трансфер: SCC.
- Formspree Inc. (САЩ) — обработка на формата за листа на чакащите само в етапа преди стартиране на Платформата.
С всички подизпълнители са сключени договори за обработване на лични данни (DPA) съгласно чл. 28 GDPR.
6. Срокове на съхранение
Личните Ви данни се съхраняват за следните периоди:
- Данни за акаунт и работни проекти — за срока на активния договор и до 90 дни след прекратяването му, след което се анонимизират или изтриват;
- Счетоводни и данъчни данни — 10 години съгласно Закона за счетоводството;
- Логове за сигурност — до 12 месеца от събитието;
- Данни от листа на чакащите — до публичното стартиране на Платформата или до оттегляне на съгласието, в зависимост от това кое настъпи първо.
7. Вашите права съгласно GDPR
Като субект на лични данни Вие имате право да:
- получите достъп до личните си данни (чл. 15 GDPR);
- поискате коригиране на неточни или непълни данни (чл. 16 GDPR);
- поискате изтриване на данните ("правото да бъдеш забравен", чл. 17 GDPR);
- поискате ограничаване на обработването (чл. 18 GDPR);
- получите данните си в структуриран, общоупотребяван и машинно четим формат (преносимост, чл. 20 GDPR);
- възразите срещу обработване, основано на легитимен интерес (чл. 21 GDPR);
- оттеглите съгласието си, когато обработването се основава на такова, без това да засяга законосъобразността на предходното обработване.
За да упражните което и да е от тези права, изпратете заявка на dpo@naemai.net. Отговаряме в срок до един месец от получаване на искането.
Ако смятате, че обработването на личните Ви данни нарушава GDPR, имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД) — гр. София 1592, бул. "Проф. Цветан Лазаров" № 2, kzld@cpdp.bg, www.cpdp.bg.
8. Сигурност на данните
Прилагаме адекватни технически и организационни мерки за защита на личните Ви данни срещу неоторизиран достъп, изменение, разкриване или унищожаване, включително:
- криптиране на връзката (TLS 1.3) и данните в покой (AES-256);
- Row Level Security (RLS) на ниво база данни — пълно изолиране между агенциите;
- двуфакторна автентикация за административен достъп;
- регулярни одити на достъпа и логване на всички операции с лични данни.
10. Изменения в Политиката
Настоящата Политика за поверителност може да бъде актуализирана периодично. При съществени изменения ще Ви уведомим чрез имейл и/или известие в Платформата минимум 14 дни преди влизането им в сила.