Политика по GDPR

1. GDPR накратко и нашият ангажимент

Общият регламент относно защитата на данните (GDPR) е цялостен закон за защита на данните, който урежда как се събират, обработват и съхраняват личните данни на физическите лица в Европейското икономическо пространство (ЕИП).

Printedin е изцяло ангажиран със спазването на GDPR. Обработваме личните данни законосъобразно, добросъвестно и прозрачно. Събираме данни само за конкретни, изрично указани и легитимни цели и гарантираме, че те са адекватни, релевантни и ограничени до необходимото.

2. Информация за администратора на данни

Съгласно GDPR Printedin е администратор на личните данни на своите потребители. Това означава, че ние определяме целите и средствата за обработването на личните данни.

3. Правни основания за обработване

Съгласно член 6 от GDPR обработваме лични данни на следните правни основания:

Когато разчитаме на съгласие като правно основание, имаш право да оттеглиш съгласието си по всяко време. Оттеглянето не засяга законосъобразността на обработването, извършено преди него.

4. Категории лични данни

Обработваме следните категории лични данни:

5. Права на субекта на данните

Съгласно GDPR имаш следните права по отношение на личните си данни. Отговаряме на всички основателни искания в срок от 30 дни (който може да бъде удължен с 60 дни при сложни искания):

5.1 Право на достъп (чл. 15)

Имаш право да получиш потвърждение дали обработваме личните ти данни и да поискаш копие от тях в широко използван електронен формат.

5.2 Право на коригиране (чл. 16)

Имаш право да поискаш коригиране на неточни лични данни или попълване на непълни данни. Повечето информация можеш да актуализираш директно в настройките на профила си.

5.3 Право на изтриване (чл. 17)

Имаш право да поискаш изтриване на личните си данни („право да бъдеш забравен“), при спазване на приложимите законови задължения (напр. данъчна документация, която трябва да се съхранява).

5.4 Право на ограничаване на обработването (чл. 18)

Можеш да поискаш ограничаване на обработването на данните ти, докато проверяваме тяхната точност или преценяваме легитимните си интереси, или когато обработването е незаконосъобразно, но се противопоставяш на изтриването.

5.5 Право на преносимост на данните (чл. 20)

Имаш право да получиш личните си данни в структуриран, широко използван и машинночетим формат (JSON или CSV) и да ги прехвърлиш на друг администратор.

5.6 Право на възражение (чл. 21)

Имаш право да възразиш срещу обработване, основано на легитимни интереси или извършвано за целите на директния маркетинг. Ще прекратим обработването, освен ако не докажем убедителни законови основания, които имат предимство пред твоите интереси.

5.7 Права във връзка с автоматизираното вземане на решения (чл. 22)

Не използваме автоматизирано вземане на решения или профилиране, което поражда правни последствия за теб или те засяга по подобен начин в значителна степен.

6. Дейности по обработване на данни

Поддържаме регистър на дейностите по обработване, както изисква член 30 от GDPR. Основните ни дейности по обработване са:

• Регистрация на потребители: Обработване на име, имейл и парола за създаване на профил.
• Създаване на дизайни: Обработване на качени изображения и текст за създаване на прегледи на дизайна.
• Изпълнение на поръчки: Обработване на адреси и данни за плащане за печат и доставка.
• Поддръжка на клиенти: Обработване на съобщения и данни за профила за решаване на запитвания.
• Маркетинг: Обработване на имейл адреси, за да ти напомним за недовършен дизайн (въз основа на съгласие, от настройките ти за известия).
• Отговори на запитвания: Изпращане на кореспонденцията ти с нас и на записа за поръчката, към която тя се отнася, на доставчик на услуги с изкуствен интелект, който изготвя чернова на отговор, която ние преглеждаме (изпълнение на договор и легитимен интерес).
• Анализ: Обработване на данни за използването за подобряване на услугите ни (въз основа на съгласие).
• Реклама: Обработване на посещения на страници и покупки за измерване на рекламата и изграждане на аудитории (въз основа на съгласие).

6.1 Подобработващи лични данни

Ползваме следните категории подобработващи лични данни, с всички от които имаме подходящи договори за обработване на данни (DPA):

7. Международно предаване на данни

Съхраняваме и обработваме личните данни основно в рамките на Европейското икономическо пространство (ЕИП). Когато е необходимо данни да бъдат предадени извън ЕИП, осигуряваме подходяща защита чрез:

• Решения относно адекватното ниво на защита: Предаване на държави, за които има решение на ЕС относно адекватното ниво на защита.
• Стандартни договорни клаузи (СДК): Одобрени от ЕС договорни условия, които гарантират равностойна защита на данните.
• Допълнителни мерки: Допълнителни технически и организационни мерки, когато е необходимо (криптиране, псевдонимизация).

8. Мерки за защита на данните

В съответствие с член 32 от GDPR прилагаме подходящи технически и организационни мерки, за да осигурим ниво на сигурност, съответстващо на риска:

8.1 Технически мерки

• Криптиране с TLS 1.2 или 1.3 на всички данни между браузъра ти и нашите сървъри
• Резервни копия извън сървъра, криптирани с AES-256, преди да го напуснат
• Пароли, съхранявани само като хешове PBKDF2-HMAC-SHA256 със сол (600 000 итерации)
• Автоматизирани тестове, включително проверки за сигурност, преди всяко пускане на нова версия
• Сегментиране на мрежата и защита със защитна стена
• Влизанията и промените в профилите и поръчките се записват в одитен журнал

8.2 Организационни мерки

• Обучения и програми за повишаване на осведомеността на служителите относно защитата на данните
• Контрол на достъпа въз основа на принципа на най-малките привилегии
• Споразумения за поверителност с всички служители и изпълнители
• Оценки на въздействието върху защитата на данните (ОВЗД) при обработване с висок риск
• Редовни прегледи и одити на дейностите по обработване на данни
• Процедури за реагиране при инциденти и протоколи за ескалация

9. Уведомяване за нарушения на сигурността на данните

В съответствие с членове 33 и 34 от GDPR сме въвели процедури за реагиране при нарушения на сигурността на данните:

• Надзорни органи: Ще уведомим компетентния надзорен орган в срок от 72 часа след като узнаем за нарушение на сигурността на личните данни, което има вероятност да породи риск за правата и свободите на физическите лица. За субектите на данни в Обединеното кралство това е Information Commissioner’s Office (ICO). За субектите на данни в Европейското икономическо пространство това е компетентният орган в съответната държава членка — нямаме място на установяване в ЕС, затова уведомяването не се извършва чрез един водещ надзорен орган.
• Засегнати лица: Ще уведомим засегнатите субекти на данни без ненужно забавяне, когато има вероятност нарушението да породи висок риск за техните права и свободи.
• Документиране: Всички нарушения на сигурността на данните се документират в нашия регистър на нарушенията, независимо от тяхната тежест, включително фактите, последиците и предприетите действия за отстраняването им.

10. Контакт по защита на данните

Не сме определили длъжностно лице по защита на данните и GDPR не го изисква от нас: член 37, параграф 1 изисква длъжностно лице по защита на данните само от публичните органи и от администраторите, които извършват мащабно наблюдение на хора или обработват в голям мащаб специални категории данни. Защитата на данните е отговорност на ръководството на дружеството, което отговаря на тези искания. Можеш да се свържеш с нас тук:

11. Надзорен орган и жалби

Ако смяташ, че обработването на личните ти данни от наша страна нарушава законодателството за защита на данните, имаш право да подадеш жалба до надзорен орган (член 77). Кой е този орган, зависи от това къде се намираш ти, а не къде се намираме ние:

11.1 Ако се намираш в Европейското икономическо пространство

Можеш да подадеш жалба до надзорния орган в държавата членка, в която живееш, работиш или е извършено предполагаемото нарушение. Тъй като сме установени в Обединеното кралство, а не в Съюза, нито един орган не действа като водещ надзорен орган по отношение на нас — компетентен е националният орган на твоята държава. В България това е Комисията за защита на личните данни (КЗЛД), бул. „Проф. Цветан Лазаров“ № 2, 1592 София, www.cpdp.bg. Актуалните данни за контакт с всички национални органи се публикуват от Европейския комитет по защита на данните:

11.2 Ако се намираш в Обединеното кралство

Information Commissioner’s Office е надзорният орган за Обединеното кралство. Данните по-долу са на самия ICO — те не са нашите данни за контакт; за да се свържеш с нас, виж раздела „Контакт по защита на данните“ по-горе.

Упражняването на това право е безплатно и не зависи от предварителна връзка с нас — но бихме предпочели да отстраним проблема, вместо да се стига дотам. Ако ни пишеш на privacy@printedin.com, ще отговорим в срок от 30 дни.