Политика за поверителност

1. Въведение и правно основание

ФАРМНЕТ АД (наричан по-долу „Администратор“, „ние“ или „нас“) е администратор на лични данни в смисъл на Регламент (ЕС) 2016/679 от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (GDPR) и Закона за защита на личните данни (ЗЗЛД) на Република България.

Настоящата Политика за поверителност описва какви лични данни събираме и обработваме в рамките на B2B портала за управление на поръчки, фактури, доставки и свързани услуги; за какви цели ги използваме; какви са правните основания за обработката; какви са сроковете за съхранение; какви са Вашите права като субект на данни и как можете да ги упражните.

Обработката на лични данни се извършва в съответствие с приложимото законодателство и с необходимите технически и организационни мерки за сигурност.

2. Администратор на данните

ФАРМНЕТ АД

Адрес за кореспонденция, ЕИК, данни за регистрация и контакти за връзка (телефон, имейл) са публикувани на официалния ни уебсайт и в договорите, сключени с Вас. За всякакви въпроси относно обработването на лични данни и за упражняване на правата си като субект на данни можете да се свържете с нас на посочения там имейл или пощенски адрес, като посочите „Лични данни“ или „GDPR“.

3. Какви данни обработваме

В рамките на B2B портала и свързаните с него услуги можем да обработваме следните категории лични данни:

3.1. Идентификационни и контактни данни

Име на юридическото лице (фирма), единен идентификационен код (ЕИК/БУЛСТАТ), пощенски адрес, град, телефонен номер, имейл адрес. Тези данни са предоставени от Вас или от вътрешните ни системи при създаване на акаунт и се използват за идентификация на клиента, комуникация и изпълнение на договорни отношения.

3.2. Данни за достъп до системата

Потребителски код (идентификатор за вход), криптирана парола, опционално „запомни ме“ токен за удължаване на сесията, API токени за програмния достъп. Данните за паролата не се съхраняват в четим вид; използват се само криптирани (хеширани) форми.

3.3. Данни за поръчки, доставки и фактури

Данни, свързани с поръчките (съдържание, дати, статус), маршрути на доставка, фактури и плащания. Те са необходими за изпълнение на договора и за спазване на счетоводни и данъчни изисквания.

3.4. Технически и лог данни

IP адрес, тип браузър (User-Agent), пътища на заявките (URL), време на достъп. Тези данни се събират при използване на портала и при извиквания към API за целите на поддържане на сесията, защита срещу злоупотреби (напр. CSRF, брутфорс), сигурност и отстраняване на неизправности. Част от тях се записват в логове за сигурност (security logs) и в сесионни записи.

3.5. Данни от трети страни (доставчици на услуги)

При използване на външни ресурси (напр. шрифтове от fonts.bunny.net) Вашият браузър може автоматично да изпраща технически данни (IP, Referer, User-Agent) към съответния доставчик. Ние не предаваме лични данни от портала към тези доставчици за маркетинг или профилиране; използването им е ограничено до техническа необходимост (показване на уеб съдържание).

4. Правни основания за обработката

Обработката на Вашите данни се основава на един или няколко от следните правни основания по чл. 6 от GDPR:

• Изпълнение на договор (чл. 6, ал. 1, т. б) – за управление на акаунта, поръчки, доставки, фактуриране и комуникация по договора.
• Законова задължителност (чл. 6, ал. 1, т. в) – за съответствие със счетоводни, данъчни и други законови изисквания.
• Законен интерес (чл. 6, ал. 1, т. е) – за сигурност на системата, защита срещу измами и злоупотреби, съхраняване на логове за сигурност и установяване, упражняване или защита на правни претенции.
• Съгласие (чл. 6, ал. 1, т. а) – когато изрично сме поискали и Вие сте дали съгласие (напр. за изпращане на информационни съобщения, ако приложимо).

Когато обработката се основава на законен интерес, имате право на възражение при условията по чл. 21 от GDPR.

5. Получатели на данните

Личните данни могат да бъдат предоставяни единственно на:

• Вътрешни отдели и служители на ФАРМНЕТ АД, които имат нужда от тях за изпълнение на трудовите си задължения и при спазване на поверителност.
• Доставчици на услуги, които обработват данни от наше име („ обработчици“ в смисъл на GDPR), например хостинг, поддръжка на сървъри, резервни копия. С такива доставчици сключваме договори, които гарантират съответствие с GDPR и поверителност.
• Държавни органи при наличие на законово изискване или съдебно решение.

Ние не продаваме и не предоставяме Вашите лични данни на трети страни за маркетинг или рекламни цели.

6. Международни трансфери

По принцип данните се обработват в рамките на Европейския съюз и на територията на Република България. Ако в бъдеще използваме доставчици извън ЕИП (Европейско икономическо пространство), ще предприемем подходящи гаранции (напр. стандартни договорни клаузи, одобрени от КЕС) и ще Ви информираме в рамките на настоящата политика или чрез допълнително уведомление.

7. Срок на съхранение

Данните се съхраняват за срок, необходим за постигане на целите, за които са събрани:

• Данни за изпълнение на договора – за срока на договорните отношения и след това съгласно законовите изисквания за съхранение на счетоводни и данъчни документи (обикновено 5 или 11 години според приложимите разпоредби).
• Данни за достъп и сесии – за срока на активната сесия и според настройките на системата за сесии (напр. автоматично изтриване на изтекли сесии).
• Логове за сигурност – за срок, определен във вътрешните правила за сигурност (напр. няколко месеца до 1 година), освен ако законът изисква по-дълго съхранение.
• Данни след прекратяване на договора – в съответствие с законовите задължения за архивиране и установяване на претенции; след изтичане на тези срокове данните се анонимизират или изтриват по установена процедура.

След изтичане на срока за съхранение личните данни се изтриват или анонимизират така, че да не могат да идентифицират лице.

8. Вашите права като субект на данни

В съответствие с GDPR и ЗЗЛД имате следните права:

• Право на достъп (чл. 15 GDPR) – да получите потвърждение дали обработваме Ваши данни и достъп до тях, както и информация за целите, категориите, получателите, срока на съхранение и др.
• Право на коригиране (чл. 16 GDPR) – да поискате поправяне на неточни или непълни лични данни.
• Право на изтриване („право да бъдете забравени“, чл. 17 GDPR) – при определени условия да поискате изтриване на Вашите данни. Това право не е абсолютно, когато има законова задължителност за съхранение.
• Право на ограничаване на обработката (чл. 18 GDPR) – при определени условия да поискате временно ограничаване на обработването.
• Право на възражение (чл. 21 GDPR) – когато обработката се основава на законен интерес, да възразите срещу нея поради причини, свързани с Вашата конкретна ситуация.
• Право на преносимост на данните (чл. 20 GDPR) – в определени случаи да получите данните в структуриран, широко използван машинночетим формат или да ги прехвърлите към друг администратор.

За упражняване на някое от тези права моля свържете се с нас на контактите, посочени в точка 2. Ще отговорим в сроковете, предвидени в закона (обикновено до 1 месец).

Право на жалба до надзорен орган: Имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД), бул. „Проф. Цветан Лазаров“ № 2, 1592 София, уебсайт: www.cpdp.bg, ако смятате, че обработването на Вашите данни нарушава приложимото законодателство.

Ако обработката се основава на съгласие, имате право да оттеглите съгласието си по всяко време без да засяга законността на обработването преди оттеглянето.

9. Сигурност на данните

Прилагаме подходящи технически и организационни мерки за защита на личните данни срещу неоторизиран достъп, загуба, унищожаване или повреда, в съответствие с изискванията на чл. 32 от GDPR. Това включва криптиране на паролите, защита при изпращане на формуляри, контрол на достъпа, логване за сигурност и вътрешни правила за поверителност и достъп.

10. Деца и непълнолетни

Порталът е предназначен за бизнес клиенти (юридически лица и техните упълномощени представители). Ние не събираме умишлено данни от непълнолетни. Ако установим, че сме получили данни от непълнолетно лице без съгласие на родител или настойник, ще предприемем стъпки за изтриване на тези данни.

11. Промени в политиката

Ние можем да актуализираме настоящата Политика за поверителност при промяна на практиките или на законодателството. При съществени промени ще Ви уведомим чрез подходящ канал (напр. съобщение в портала или по имейл) и ще посочим датата на последна актуализация в началото на документа. Препоръчваме периодично да преглеждате тази страница.

12. Контакт

За въпроси относно обработването на лични данни, за заявки за упражняване на права или за жалби можете да се свържете с нас на контактите, посочени на официалния ни уебсайт или в договорите с Вас, като посочите „Лични данни“ или „GDPR“.