Политика за поверителност

Настоящата Политика за поверителност описва как „АМ Резърв Груп" ЕООД, ЕИК 208798890, със седалище и адрес на управление гр. Ловеч 5500, ул. „Търговска" № 8, ет. 2, ап. 4, България (наричано по-долу „ReserveMe", „ние" или „нас"), събира, ползва, съхранява и защитава Вашите лични данни при ползване на платформата https://reserveme.bg и свързаните с нея услуги (наричани „Услугата").

Обработваме лични данни в съответствие с Регламент (ЕС) 2016/679 (Общ регламент за защита на данните, ОРЗД/GDPR), Закона за защита на личните данни (ЗЗЛД) и приложимото българско законодателство.

Настоящата политика е неразделна част от Общите условия за ползване и Политиката за бисквитки.

Съдържание

1. Кои сме ние и за кого се отнася
2. Роли — Администратор и Обработващ
3. Какви лични данни събираме
4. Източници на данните
5. Цели и правни основания
6. Маркетингови комуникации и съгласие
7. Получатели и подизпълнители
8. Международни трансфери на данни
9. Срокове за съхранение
10. Бисквитки и проследяващи технологии
11. Web push известия
12. Сигурност на данните
13. Вашите права
14. Право на жалба до КЗЛД
15. Автоматизирано вземане на решения
16. Данни на деца
17. Споразумение за обработка на данни (DPA)
18. Уведомление при нарушение на сигурността
19. Промени в политиката
20. Контакти

1. Кои сме ние и за кого се отнася

ReserveMe е SaaS платформа за онлайн резервации, предназначена за бизнеси в България — салони за красота, бръснарници, спа центрове, масажни студия, фитнес треньори, козметици, грумери и други специалисти, работещи по предварителна уговорка.

1.1. Категории субекти на данни

Настоящата политика се отнася до следните категории лица:

• Бизнес потребители — физически или юридически лица, които регистрират акаунт за приемане на резервации.
• Крайни клиенти — физически лица, които правят резервации при Бизнес потребител чрез платформата.
• Посетители — лица, които посещават уебсайта без да регистрират акаунт или да правят резервации.
• Кандидати за работа, партньори и кореспонденти — лица, които комуникират с нас извън акаунт (имейл, формуляри).

1.2. Длъжностно лице по защита на данните (DPO)

Към момента не сме длъжни да назначаваме длъжностно лице по защита на данните по чл. 37 ОРЗД, тъй като дейността ни не отговаря на условията за задължително назначаване. За всякакви въпроси, свързани с поверителността, можете да се свържете с нас на [email protected].

2. Роли — Администратор и Обработващ

Поради двустранния характер на платформата ReserveMe играе различни роли в различни случаи:

2.1. Когато сме Администратор на лични данни

За личните данни на самите Бизнес потребители (имена, имейл, телефон, фактурни данни, ЕИК, IP адрес, лог записи) ReserveMe действа като Администратор по смисъла на чл. 4, т. 7 ОРЗД.

2.2. Когато сме Обработващ данните

За личните данни на Крайните клиенти на Бизнес потребителя (име, телефон, имейл, история на резервации, бележки на доставчика и т.н.) Бизнес потребителят е Администраторът, а ReserveMe е Обработващ данните по смисъла на чл. 4, т. 8 ОРЗД и чл. 28 ОРЗД. Това означава, че обработваме тези данни единствено по указание на Бизнес потребителя и в съответствие с раздел 17 (DPA).

2.3. Когато сме съ-Администратор

За определени фундаментални операции (анти-измама, спазване на закона, сигурност на платформата) можем да действаме като самостоятелен Администратор успоредно с Бизнес потребителя.

3. Какви лични данни събираме

3.1. От Бизнес потребители

• Идентификационни данни: име, фамилия, имейл, телефон.
• Фирмени данни: наименование на бизнес, ЕИК, ДДС номер, адрес, тип бизнес, описание на услугите.
• Данни за акаунта: парола (хеширана), социална регистрация през Google (Google ID, имейл, име).
• Платежни данни: Stripe customer ID, история на плащания, фактури. Пълните карточни данни се обработват от Stripe — ние не съхраняваме PAN или CVV.
• Съдържание: описания на услуги, цени, разписания, лога, снимки, отзиви.
• Лог данни: IP адрес, user-agent, дата/час на достъп, посещавани страници, грешки.
• Web push subscription: ендпойнти и публични ключове, ако активирате push известия.

3.2. От Крайни клиенти

Тези данни обикновено се въвеждат при правене на резервация при Бизнес потребител. ReserveMe ги обработва от името на Бизнес потребителя:

• Идентификационни данни: име, телефон, имейл.
• Данни за резервацията: избрана услуга, дата/час, бележки към доставчика, история на посещения.
• Платежни данни: при заплащане на депозит — Stripe payment intent ID, последни 4 цифри на картата (от Stripe), история на плащанията/възстановяванията.
• Брой неявявания (no-show count) — за нуждите на Бизнес потребителя.
• Лог данни: IP адрес, user-agent при правене на резервация (за защита от ботове и фрод).

3.3. От посетители на уебсайта

• IP адрес, тип браузър, операционна система, страници, които посещавате, време прекарано на сайта.
• Данни от Cloudflare Turnstile за защита от ботове (без проследяване на самоличността).
• Бисквитки и подобни технологии — виж Политиката за бисквитки.

3.4. Чувствителни (специални) категории данни

Не събираме целенасочено специални категории лични данни по чл. 9 ОРЗД (здравословно състояние, расов произход, политически възгледи и др.). Бизнес потребителите следва да не съхраняват такива данни в полето „бележки" или в други полета на платформата.

4. Източници на данните

Получаваме лични данни от следните източници:

• Директно от Вас — при регистрация, при правене на резервация, при попълване на формуляри, при кореспонденция.
• От Бизнес потребител — когато Бизнес потребителят добавя клиент ръчно или импортира клиентска база.
• От социални платформи — Google OAuth (име, имейл, профилна снимка), ако изберете социална регистрация.
• Автоматично — лог данни и cookie-та при ползване на сайта.
• От нашите подизпълнители — Stripe (потвърждения за плащания, статуси), доставчиците на имейл и SMS (статус на доставка).

5. Цели и правни основания

Обработваме лични данни на следните основания по чл. 6, ал. 1 ОРЗД:

5.1. Изпълнение на договор (чл. 6, ал. 1, б. „б")

• Създаване и управление на акаунт.
• Предоставяне на функционалностите на платформата.
• Обработване на резервации, депозити, фактури, абонаменти.
• Изпращане на transactional имейли и SMS (потвърждения, напомняния, отмени, промяна на пароли).
• Поддръжка на потребителите.

5.2. Спазване на правни задължения (чл. 6, ал. 1, б. „в")

• Съхранение на счетоводни и данъчни записи съгласно Закона за счетоводството (до 10 години).
• Изпълнение на искания от компетентни органи.
• Спазване на изисквания по ОРЗД, ЗЗЛД, ЗЗП, ЗЕС.

5.3. Законни интереси (чл. 6, ал. 1, б. „е")

• Сигурност на платформата и защита от измами и злоупотреби (включително Cloudflare Turnstile).
• Подобряване и развитие на Услугата (анализ на грешки и логове).
• Защита на правата ни в случай на спор.
• Поддръжка на отношенията с Бизнес потребителите след прекратяване на абонамент.
• Директен маркетинг към съществуващи Бизнес потребители за наши собствени подобни продукти и услуги (Recital 47 ОРЗД, чл. 6 ал. 4 ЗЕС) — с осигурена възможност за отказ. Виж раздел 6.

5.4. Съгласие (чл. 6, ал. 1, б. „а")

• Web push известия (изисква активно потвърждение от браузъра).
• Незадължителни (functional/analytics) бисквитки — съгласно cookie banner-а.

5.5. Основания за обработка от името на Администратор

За личните данни на Крайни клиенти, обработвани от името на Бизнес потребител, правното основание се определя от съответния Бизнес потребител (Администратор). Ние действаме само като Обработващ съгласно неговите инструкции.

6. Маркетингови комуникации

6.1. Към Бизнес потребители (нашите директни клиенти)

Като Бизнес потребител, регистрирал акаунт в ReserveMe, можете да получавате от нас имейли и SMS, свързани с предоставяната Услуга, включително:

• Новини за нови функции и подобрения на платформата.
• Уведомления за изтичане на абонамент или промоционални оферти за надстройка.
• Промо кодове и сезонни кампании.
• Образователно съдържание (ръководства, best practices).

Правно основание: законен интерес по чл. 6, ал. 1, б. „е" ОРЗД (Recital 47 — директен маркетинг към съществуващи клиенти), във връзка с чл. 6, ал. 4 от Закона за електронните съобщения, който позволява директен маркетинг към съществуващи клиенти за подобни продукти и услуги без явно предварително съгласие, доколкото е осигурена ясна възможност за безплатно отказване.

Можете да се откажете по всяко време:

• Чрез линк „Отписване (unsubscribe)" в долната част на всеки маркетингов имейл.
• От настройките за известия в акаунта Ви.
• С имейл до [email protected].

Отказването не засяга transactional съобщенията (потвърждения за плащания, фактури, нулиране на пароли, известия за сигурност), които остават задължителни за функционирането на акаунта.

6.2. Към Крайни клиенти на Бизнес потребители

ReserveMe не изпраща маркетингови имейли или SMS на Крайни клиенти от свое име. Получавате от нас само transactional съобщения, свързани с конкретна резервация:

• Потвърждение на резервацията.
• Напомняния преди час.
• Уведомления за отмяна, презапазване или промяна.
• Възстановяване на депозит (ако е приложимо).
• Линкове за управление и оценка на резервацията.

Тези съобщения се изпращат от името на съответния Бизнес потребител, в нашата роля на Обработващ данни. Правното основание е изпълнение на договор между Вас и Бизнес потребителя (чл. 6, ал. 1, б. „б" ОРЗД).

6.3. Маркетинг от Бизнес потребителя към собствените му клиенти

Бизнес потребителят може да използва инструментите на платформата (където са налични в неговия план) за директно изпращане на собствени маркетингови имейли или SMS към своите клиенти. В такъв случай Бизнес потребителят е Администратор на тази комуникация и носи самостоятелна отговорност за наличието на правно основание (съгласие, договор или законен интерес) и за спазването на ОРЗД и ЗЕС. ReserveMe действа само като технически канал.

7. Получатели и подизпълнители

Споделяме лични данни с ограничен брой подизпълнители, всеки от които е поел задължения за поверителност и сигурност, съответстващи на ОРЗД. Актуалният списък:

7.1. Подизпълнители (Sub-processors)

7.2. Други получатели

• Бизнес потребители — получават данните за своите Крайни клиенти.
• Държавни органи — НАП, КЗЛД, прокуратура, съд — само при законово основание.
• Адвокати, счетоводители, одитори — при необходимост, при стриктна поверителност.
• Приобретатели — в случай на продажба или реорганизация на бизнеса (с предварително уведомление).

7.3. Промени в подизпълнителите

Уведомяваме Бизнес потребителите поне 30 дни преди добавяне на нов подизпълнител с достъп до лични данни. Ако имате възражение, можете да прекратите акаунта си преди влизането в сила на промяната.

8. Международни трансфери на данни

Някои наши подизпълнители са установени или оперират извън Европейското икономическо пространство (ЕИП), включително Resend (САЩ), Cloudflare (САЩ) и Microsoft (САЩ). За тези трансфери прилагаме подходящи гаранции съгласно глава V ОРЗД, в това число:

• Стандартни договорни клаузи (SCC) на Европейската комисия — Решение (ЕС) 2021/914.
• EU-US Data Privacy Framework — за подизпълнители, сертифицирани по рамката (Cloudflare, Google, Microsoft).
• Допълнителни технически и организационни мерки (криптиране в покой и при пренос, ограничен достъп).

При поискване можем да предоставим информация за конкретните гаранции, приложими към даден трансфер.

9. Срокове за съхранение

Съхраняваме личните данни само толкова дълго, колкото е необходимо за целите, за които са събрани, или за изпълнение на правни задължения.

След изтичане на сроковете данните се изтриват окончателно или анонимизират по необратим начин.

10. Бисквитки и проследяващи технологии

Ползваме бисквитки и подобни технологии (localStorage, sessionStorage) за:

• Поддържане на активна сесия (необходими).
• Запомняне на предпочитания (тъмен режим, език, часова зона).
• Сигурност (CSRF защита, anti-bot — Cloudflare Turnstile).
• Запазване на cookie consent.

Подробности — име, цел, срок, доставчик — намирате в Политиката за бисквитки.

11. Web push известия

Ако се абонирате за push известия, браузърът Ви създава уникален subscription endpoint, който съхраняваме, за да изпращаме известия (нови резервации, потвърждения, напомняния). Известията се доставят чрез стандартен Web Push протокол на W3C, без посредничеството на трети комерсиални платформи (като Firebase / OneSignal).

Можете да отмените абонамента си за push известия по всяко време от настройките на браузъра или от настройките на акаунта в платформата.

12. Сигурност на данните

Прилагаме технически и организационни мерки за защита на личните данни съгласно чл. 32 ОРЗД, включително:

• Криптиране при пренос — TLS 1.2+ за всички връзки между браузъра и сървъра.
• Криптиране в покой — на ниво база данни и облачно съхранение, където доставчикът поддържа такова.
• Хеширане на пароли — bcrypt с подходящ cost factor.
• Контрол на достъпа — least privilege принцип, разделяне на роли (Owner, Manager, Staff).
• Защита от ботове и фрод — Cloudflare Turnstile, ограничения по скорост (rate limiting), CSRF защита.
• Резервни копия — редовно архивиране с 90-дневна ротация.
• Регистри на достъпа — логване на критични действия (вход, плащания, изтривания).
• Тестване — автоматизирани тестове, code review, периодични проверки на сигурността.

Въпреки тези мерки, никой метод на пренос или съхранение не е 100% сигурен. Подканваме Ви да поддържате уникална и силна парола и да ни уведомите незабавно при подозрение за компрометиран акаунт.

13. Вашите права

Съгласно ОРЗД и ЗЗЛД имате следните права по отношение на личните Ви данни:

13.1. Право на достъп (чл. 15 ОРЗД)

Имате право да получите потвърждение дали обработваме Ваши лични данни и копие от тях.

13.2. Право на коригиране (чл. 16 ОРЗД)

Имате право да поискате коригиране на неточни или непълни данни. Повечето данни в акаунта Ви могат да се променят директно от настройките.

13.3. Право на изтриване / „право да бъдеш забравен" (чл. 17 ОРЗД)

Имате право да поискате изтриване на личните Ви данни в случаите, описани в ОРЗД. Изтриването на акаунт се извършва по реда на раздел 24 от Общите условия. Ограничения има само където законът ни задължава да съхраняваме данните (напр. счетоводни записи).

13.4. Право на ограничаване на обработването (чл. 18 ОРЗД)

Имате право да поискате временно спиране на обработването в определени случаи (напр. оспорване на точността на данните).

13.5. Право на преносимост (чл. 20 ОРЗД)

Имате право да получите Вашите данни в структуриран, общоупотребим и машинно четим формат (CSV/JSON) и да ги предадете на друг администратор. Изпратете заявка на [email protected] — ще предоставим експорта в срок до 30 дни.

13.6. Право на възражение (чл. 21 ОРЗД)

Имате право да възразите срещу обработване на основание законен интерес или директен маркетинг по всяко време.

13.7. Право да оттеглите съгласие

Когато обработването се основава на съгласие, имате право да го оттеглите по всяко време. Оттеглянето не влияе на обработката преди него.

13.8. Как да упражните правата си

Изпратете писмено искане на [email protected] с описание на правото, което желаете да упражните, и достатъчна информация, за да Ви идентифицираме (без да изисквате повече, отколкото е необходимо). Отговаряме в срок до 1 месец от получаване на искането (с възможност за удължаване с до 2 месеца за сложни случаи, за което ще Ви уведомим).

Упражняването на правата Ви е безплатно. При явно неоснователни или прекомерни искания (особено повтарящи се), можем да поискаме разумна такса или да откажем да изпълним искането.

14. Право на жалба до КЗЛД

Ако смятате, че обработването на личните Ви данни нарушава ОРЗД, имате право да подадете жалба до надзорния орган в България:

Комисия за защита на личните данни (КЗЛД)
Адрес: бул. „Проф. Цветан Лазаров" № 2, 1592 София
Имейл: [email protected]
Уебсайт: www.cpdp.bg
Телефон: 02/91-53-518

Преди да подадете жалба, можете да се свържете първо с нас на [email protected] — ще се опитаме да разрешим въпроса.

15. Автоматизирано вземане на решения

ReserveMe не извършва изцяло автоматизирано вземане на решения, включително профилиране, което да поражда правни последици за Вас или да Ви засяга съществено по подобен начин по смисъла на чл. 22 ОРЗД.

Технически автоматизми като маркиране на „no-show" след 2 неявявания и автоматично изискване на депозит за бъдещи резервации са по преценка на Бизнес потребителя и не представляват автоматизирано вземане на решения по чл. 22.

16. Данни на деца

Услугата е предназначена за лица навършили 18 години и не е насочена към деца. Не събираме съзнателно лични данни на лица под 14 години.

Ако сте родител/настойник и научите, че Ваше дете ни е предоставило лични данни, моля свържете се с нас на [email protected] — ще изтрием данните незабавно.

17. Споразумение за обработка на данни (DPA)

Когато Бизнес потребителят е Администратор на данни на свои Крайни клиенти (виж раздел 2), настоящият раздел представлява Споразумение за обработка на данни по смисъла на чл. 28, ал. 3 ОРЗД, обвързващо ReserveMe (Обработващ) и Бизнес потребителя (Администратор).

17.1. Предмет

Обработка на лични данни на Крайните клиенти на Бизнес потребителя в рамките на ползването на платформата.

17.2. Срок

Срокът на обработка съответства на срока на договора за ползване на Услугата (Общи условия).

17.3. Естество и цел

Хостинг, съхранение, организиране, извличане, изпращане на известия и всякакви свързани технически операции, необходими за предоставяне на Услугата.

17.4. Категории данни и субекти

Категориите данни и субекти са описани в раздели 1.1 и 3.2.

17.5. Задължения на ReserveMe като Обработващ

• Обработва данните само по документирани инструкции на Администратора (включително тази политика и настройките в платформата).
• Гарантира поверителност на лицата, оторизирани да обработват данни.
• Прилага подходящи технически и организационни мерки (раздел 12).
• Не ангажира друг подизпълнител (sub-processor) без общо предварително разрешение, като всяка промяна се обявява поне 30 дни предварително.
• Подпомага Администратора при упражняването на правата на субектите на данни.
• Уведомява Администратора без неоправдано забавяне при нарушение на сигурността на данните (раздел 18).
• След прекратяване на договора изтрива или връща данните по избор на Администратора, освен ако правото на ЕС или българското законодателство не изисква запазване.
• Предоставя на Администратора цялата необходима информация за демонстриране на спазване на чл. 28 ОРЗД и подкрепя одити (с разумно предизвестие, без да се компрометират данни на други клиенти).

17.6. Задължения на Бизнес потребителя като Администратор

• Има валидно правно основание за обработката на данни на своите Крайни клиенти (съгласие, договор, законен интерес).
• Предоставя своя политика за поверителност на Крайните си клиенти, в съответствие с чл. 13 ОРЗД.
• Отговаря за упражняването на правата на собствените си Крайни клиенти.
• Не въвежда специални категории данни (чл. 9 ОРЗД) в платформата без подходящо основание и предварителна оценка.

17.7. Подизпълнители на ReserveMe

С приемането на тази политика и Общите условия Администраторът дава общо предварително разрешение ReserveMe да ангажира подизпълнителите, изброени в раздел 7.1. Промени в списъка се обявяват с 30-дневно предизвестие.

18. Уведомление при нарушение на сигурността

В случай на нарушение на сигурността на личните данни, което може да породи висок риск за правата и свободите на физически лица:

• Уведомяваме КЗЛД в срок до 72 часа от установяване на нарушението (чл. 33 ОРЗД), доколкото това е приложимо.
• Уведомяваме засегнатите лица без неоправдано забавяне, когато това се изисква (чл. 34 ОРЗД).
• Уведомяваме засегнатите Бизнес потребители, чиито Крайни клиенти са засегнати, в качеството ни на Обработващ (чл. 33, ал. 2 ОРЗД).
• Документираме всички инциденти.

19. Промени в политиката

Можем да актуализираме настоящата политика периодично. При съществени промени — особено добавяне на нови подизпълнители, нови цели или нови категории данни — ще Ви уведомим:

• По имейл, поне 14 дни преди влизане в сила.
• С видимо съобщение в платформата.

Несъществени корекции (правописни, разяснителни) могат да влязат в сила с обновяване на датата „В сила от" в горната част на документа. Текущата актуална версия е винаги достъпна на https://reserveme.bg/privacy.

20. Контакти

За въпроси и искания, свързани с поверителността:

• Имейл: [email protected]
• Уебсайт: https://reserveme.bg
• Адрес: гр. Ловеч 5500, ул. „Търговска" № 8, ет. 2, ап. 4, България

Благодарим Ви, че се запознахте с нашата Политика за поверителност. Защитата на Вашите данни е наш приоритет.