Политика за поверителност

1. Въведение

Настоящата Политика за поверителност описва как „ДиСа Оперейшънс" ООД събира, използва, съхранява и защитава лични данни при използването на уебсайта disa.bg и на платформата DISA. Дружеството спазва Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни.

Платформата DISA се използва от счетоводни кантори за управление на техните клиенти, задачи и кореспонденция. Затова дружеството обработва данни в две различни роли, описани в раздел 2. Какво точно се събира и защо е описано в разделите 3 и 4.

2. Администратор и обработващ лични данни

„ДиСа Оперейшънс" ООД / DiSa Operations Ltd.
ЕИК: 207746684
Адрес: България, гр. София, п.к. 1700, р-н Студентски, ж.к. Малинова долина, бл. 29, вх. В, ет. 8, ап. 49
Имейл: contact@disa.bg
Телефон: 0877 736 388

Дружеството действа в две роли, в зависимост от данните:

• Като администратор — за данните на посетителите на уебсайта и за данните на регистрираните потребители на платформата: акаунт, екип, фактуриране и кореспонденция с нас. За тези данни ние определяме целите и средствата на обработването.
• Като обработващ — за данните, които всяка кантора въвежда или качва в платформата за своите клиенти. За тях администратор е кантората: тя решава кои данни се въвеждат, за какво се използват и кога се изтриват, а ние ги обработваме единствено по нейни указания. Отношенията се уреждат от Договора за обработване на лични данни по чл. 28 GDPR, който е неразделна част от общите условия на услугата.

Ако сте клиент на счетоводна кантора, която използва DISA, и имате въпроси за Вашите данни, обърнете се първо към кантората — тя е администраторът на тези данни. Ние ѝ съдействаме при всяко искане.

3. Събирани лични данни

Данни, за които сме администратор:

• Акаунт и екип — име и фамилия, имейл адрес, парола (съхранявана само като хеш), език на интерфейса, роля в организацията, профилна снимка по избор на потребителя
• Организация — наименование, ЕИК, ДДС номер, адрес, лице за контакт, телефон
• Фактуриране — данни за издадените фактури и история на абонамента. Плащанията с карта се обработват от Stripe; ние не получаваме и не съхраняваме данни за карти
• Изходяща поща — настройките на пощенските адреси, от които кантората изпраща писма през платформата, включително паролата за нейния пощенски сървър, ако тя е въведена. Паролата се съхранява криптирана с ключ, който се пази отделно от базата данни
• Технически данни — IP адрес, тип браузър и операционна система в сървърните логове, както и бисквитките, описани в раздел 9
• Маркетингова атрибуция — при регистрация след посещение от реклама: източникът и кампанията, от които е дошло посещението, ако сте дали съгласие за това (раздел 9). Не се записва нищо друго за самото посещение
• Кореспонденция — съдържанието на запитванията, изпратени през контактната форма или по имейл

Данни, за които сме обработващ (въвеждат се от кантората за нейните клиенти):

• Клиенти на кантората — наименование или име, ЕИК или друг идентификационен номер, ДДС номер, имейл, телефон, лице за контакт, адрес, предмет на дейност и бележки в свободен текст. Част от клиентите могат да са физически лица
• Задачи и кореспонденция по клиенти — задачите, които кантората върши за всеки клиент, срокове, коментари и изпратените от платформата писма
• Файлове и документи — всичко, което кантората или нейните клиенти качват във връзка с дадена задача. Съдържанието на файловете се определя от кантората; ние не го анализираме

4. Цели на обработване

Като администратор обработваме данните за:

• предоставяне на услугата и управление на акаунта и екипа
• фактуриране и управление на абонаменти
• техническа поддръжка и отговор на запитвания
• сигурност на системата, включително откриване на злоупотреби
• разбиране как се използва уебсайтът и коя реклама е довела до регистрация — само със съгласие

Като обработващ обработваме данните на клиентите на кантората единствено за да ѝ предоставим услугата — съхранение, показване, търсене, генериране на задачи и изпращане на писма по нейно нареждане. Не използваме тези данни за собствени цели.

5. Правно основание

• Изпълнение на договор — за всичко, което е необходимо, за да работи услугата за регистрирания потребител
• Законово задължение — за счетоводните и данъчните документи по фактурирането
• Легитимен интерес — за сигурността на системата и за отговор на запитвания, изпратени до нас
• Съгласие — за аналитичните и маркетинговите бисквитки и за маркетинговата атрибуция. Съгласието може да бъде оттеглено по всяко време от връзката „Бисквитки" в долния край на сайта
• Указания на администратора — за данните на клиентите на кантората обработваме по силата на договора по чл. 28; правното основание за самото събиране е на кантората

6. Срок на съхранение

• Данни на акаунта и на организацията — докато организацията използва услугата. Изтриват се при закриване на организацията по нейно искане или от наша страна след прекратяване на договора
• Данни на клиентите на кантората, задачи и кореспонденция — до изтриването им от кантората или до закриване на организацията
• Качени файлове и документи — до изтриването им от потребителя или до закриване на организацията
• Фактури — в законовия срок за счетоводни документи, независимо от закриването на организацията
• Резервни копия на базата данни — 5 дни
• Системни логове — до 90 дни

7. Споделяне на данни с трети страни

Данните се обработват от следните доставчици, договорно обвързани да ги обработват в съответствие с GDPR:

• Amazon Web Services (AWS), регион Франкфурт (ЕС) — сървъри, база данни, съхранение на файлове и резервни копия
• Stripe — обработка на картови плащания. Stripe получава само данните, необходими за плащането, и не получава данни на клиентите на кантората
• MXroute — доставчик на изходяща поща за писмата, които платформата изпраща, и за нашата кореспонденция с Вас. Ако кантората е въвела собствен пощенски сървър, писмата ѝ се изпращат през него, а не през MXroute

На уебсайта, но не и в платформата, се използват още:

• Google (Google Analytics) и Meta (Meta Pixel) — само след съгласие през банера за бисквитки. Двата инструмента работят на маркетинговите страници и на страниците за вход и регистрация. Те не получават данни от вътрешността на платформата и не виждат данни на клиентите на кантората
• YouTube — обучителните клипове в помощния център и в „Първи стъпки" се зареждат от YouTube едва след като натиснете бутона за пускане; преди това не се изпраща заявка към YouTube

Данни се предоставят на компетентни органи единствено при законово задължение. Не продаваме и не отдаваме лични данни на никого.

8. Права на субектите на данни

Имате право на:

• Достъп — да получите информация какви данни обработваме за Вас
• Коригиране — да поискате поправка на неточни данни. Данните на акаунта и на организацията можете да редактирате сами в платформата
• Изтриване — при определените от закона условия. Организация се закрива по искане на нейния администратор, при което се изтриват всички нейни данни
• Ограничаване на обработването — в предвидените от закона случаи
• Възражение — срещу обработване на основание легитимен интерес
• Преносимост — да получите данните си в структуриран, машинночетим формат. При поискване предоставяме данните на организацията в такъв формат
• Оттегляне на съгласие — за бисквитките и атрибуцията, по всяко време, без това да засяга останалата услуга
• Жалба до КЗЛД — Комисия за защита на личните данни, www.cpdp.bg

За упражняване на правата си пишете на contact@disa.bg. Отговаряме в едномесечен срок. Ако данните Ви се обработват от нас като обработващ за Ваша счетоводна кантора, ще насочим искането към нея и ще ѝ съдействаме за изпълнението му.

9. Бисквитки и подобни технологии

Уебсайтът и платформата използват следното:

• Задължителни — бисквитка за сесията на влезлия потребител и за защита срещу CSRF атаки. Без нея платформата не може да работи и тя не подлежи на съгласие
• Запис на Вашия избор — изборът Ви от банера за бисквитки се пази в локалното хранилище на браузъра за 365 дни, за да не Ви питаме на всяка страница
• Аналитични и маркетингови (само със съгласие) — Google Analytics и Meta Pixel, използвани за да разбираме как се използва уебсайтът и дали рекламите ни работят. Без съгласие скриптовете им са в режим без записване на бисквитки и без изпращане на събития
• Маркетингова атрибуция (само със съгласие) — ако сте дошли от реклама, бисквитката disa_utm пази за 30 дни името на източника и на кампанията, за да свържем евентуалната Ви регистрация с рекламата. Тя е наша собствена, не се споделя с никого и не съдържа нищо за Вас лично

Можете да промените избора си по всяко време от връзката „Бисквитки" в долния край на сайта или да изтриете бисквитките от настройките на браузъра.

10. Сигурност на данните

Прилагаме следните технически и организационни мерки:

• Криптиране на данните при пренос (HTTPS/TLS) и в покой (AES-256 за файловете и резервните копия)
• Пароли за вход, съхранявани само като bcrypt хеш; пароли за пощенски сървъри, съхранявани криптирани с ключ извън базата данни
• Контрол на достъпа по роли и пълна изолация на данните на всяка организация от останалите
• Автоматични ежедневни резервни копия на базата данни
• Сървъри и съхранение единствено в Европейския съюз

11. Нарушения на сигурността

При нарушение на сигурността, което засяга лични данни, уведомяваме засегнатите организации без ненужно забавяне, след като узнаем за него, и Комисията за защита на личните данни в срок до 72 часа, когато нарушението създава риск за правата на засегнатите лица. Уведомлението съдържа естеството на нарушението, засегнатите категории данни, вероятните последици и предприетите мерки.

12. Промени в политиката

„ДиСа Оперейшънс" ООД може да актуализира настоящата политика. Всяка версия носи дата в горния край на страницата. Съществени промени съобщаваме на регистрираните потребители по имейл или в платформата преди влизането им в сила.