Политика за поверителност
Последна актуализация: 29 май 2026 г. Администратор на лични данни: Прайс Екс ЕООД (ЕИК 206487271, гр. Пловдив 4000, ул. „Петьофи" № 1) Имейл за защита на данни: [email protected]
Този документ описва как обработваме лични данни, когато използваш партньорската платформа partners.fleetq.net („Услугата"). Прилага се за субекти на данни в ЕС и е изготвен в съответствие с Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни.
1. Кой е администратор?
Прайс Екс ЕООД, ЕИК 206487271, със седалище и адрес на управление в гр. Пловдив 4000, ул. „Петьофи" № 1, е администратор на личните данни, описани по-долу.
Не сме определили длъжностно лице по защита на данните (DPO) — праговете по чл. 37(1) от GDPR (систематично мащабно наблюдение; мащабна обработка на специални категории) не са изпълнени. За въпроси и заявки по чл. 15–22 GDPR пиши на [email protected].
2. Какви данни обработваме
| Категория | Примери | Правно основание | Източник |
|---|---|---|---|
| Контактно лице на партньора (физическо лице, действащо от името на юридическо) | име, имейл, телефон, език, хеш на парола, последен вход | чл. 6(1)(б) — изпълнение на партньорския договор | саморегистрация |
| Данни за юридическото лице | име на компанията, ЕИК/УИК, ДДС номер, адрес на управление, лице за контакт | чл. 6(1)(б) + чл. 6(1)(в) — законово задължение за съхранение на счетоводни документи | саморегистрация |
| Артефакти за вход | OAuth токени от доставчик, passkey удостоверения, сесийни бисквитки | чл. 6(1)(б) | callback от доставчика / WebAuthn |
| Телеметрия за кликвания | IP адрес (по подразбиране съкратен в продукционна среда — последният октет на IPv4 / последните 80 бита на IPv6 се занулени преди запис; решение на СЕС по дело C-582/14 Breyer), user-agent, идентификатор за проследяване, целеви път | чл. 6(1)(е) — легитимен интерес за коректно проследяване на препоръката към партньора; минимизация по чл. 5(1)(в) | първоличен endpoint /api/track/click |
| Полезен товар на ingest за плащане | външна референция на плащане, сума, валута, идентификатор на клиента, идентификатор на абонамента, суров payload от потребяващия проект | чл. 6(1)(б) от наша страна; чл. 28 от името на потребяващия проект за PII в raw_payload |
сървър-към-сървър HMAC API |
| Одитен журнал на webhook-ове | tenant id, slug, валидност на подписа, hash на заявката, статус на отговора | чл. 6(1)(е) — легитимен интерес за сигурност | middleware VerifyTenantHmac |
| Акаунт на администратор | име, имейл, хеш на парола, роли | чл. 6(1)(б) трудово / договорно правоотношение | покана |
| Грешки и доклади | тип на изключението, stack trace, URL, локал (БЕЗ тяло на заявката, БЕЗ бисквитки, БЕЗ потребителски идентификатор — SENTRY_SEND_DEFAULT_PII=false) |
чл. 6(1)(е) — легитимен интерес за надеждност | self-hosted Sentry на sentry.karlovo.net |
Не обработваме специални категории данни (чл. 9) или данни за присъди (чл. 10).
3. Цели
- Работа на партньорската програма — регистрация, табло, проследяване на комисиона, генериране на извлечения, обработка на изплащания.
- Проследяване на продажби — съпоставяне на кликвания и промо кодове с правилния партньор за коректно начисляване на комисиона.
- Спазване на счетоводни и данъчни задължения — съхранение на документи, свързани с фактуриране, съгласно българското законодателство (обичайно 10 г. за документи, свързани с ДДС).
- Защита на услугата — откриване и блокиране на невалидни HMAC подписи, злоупотреби и измами.
- Комуникация с партньори — транзакционни имейли (получена кандидатура, платено извлечение, промени в акаунта). Не изпращаме маркетингови имейли.
4. Получатели и обработващи
| Обработващ | Услуга | Локация | Гаранция |
|---|---|---|---|
| Contabo GmbH | VPS хостинг | Германия (ЕС) | Стандартно споразумение за обработка; обработка само в ЕС/ЕИП. |
| Cloudflare, Inc. | CDN, DDoS, TLS | Глобално (ЕС edge възли) | Стандартни договорни клаузи (Модули 2 + 3) при приложимост; ЕС трафикът се маршрутизира към ЕС PoPs. |
| Прайс Екс ЕООД (вътрешно) | Self-hosted Sentry на sentry.karlovo.net |
България (ЕС) | Вътрешно — същият администратор. |
Не предаваме данни извън ЕС/ЕИП за нормални операции. Cloudflare може да маршрутизира малка част от edge трафика през не-ЕС PoPs при failover; в тези случаи се прилагат СДК.
Не продаваме, отдаваме под наем или споделяме твоите данни за каквато и да е друга цел.
5. Срокове на съхранение
| Данни | Срок |
|---|---|
| Активни партньорски акаунти | за периода на партньорството |
| Закрити/изтрити партньорски акаунти | tombstone (хеш на имейла + последните 4 цифри на ЕИК), запазен 30 дни за предотвратяване на цикъл на повторна регистрация, след което се трие. Финансовите записи се запазват отделно — виж ред 5. |
Телеметрия за кликвания (clicks) |
90 дни, после трайно изтриване (gdpr:purge-expired ежедневно) |
Одит на webhook (webhook_log) |
180 дни, после трайно изтриване |
| Замразени извлечения | 10 г. (Закон за счетоводството, чл. 12) |
| Sentry грешки | 30 дни |
6. Твоите права
По чл. 15–22 от GDPR можеш по всяко време да поискаш:
- Достъп (чл. 15) — копие на всички лични данни, които имаме за теб.
- Корекция (чл. 16) — поправяне на неточни или непълни данни. Можеш да редактираш данните на акаунта си в
/portal/settings; за промени по данните на юридическото лице пиши ни. - Изтриване (чл. 17) — анонимизираме личните ти идентификатори (име, имейл, телефон, ЕИК, адрес) и свързания запис на юридическото лице, така че повече да не те идентифицират. Финансовите записи (продажби, извлечения, фактури), които сме длъжни да съхраняваме съгласно Закона за счетоводството, остават в системата в псевдонимизиран вид за 10 г. Това е предвиденото в чл. 17(3)(б) изключение — спазване на правно задължение.
- Ограничаване (чл. 18) — временно спиране на обработката.
- Преносимост (чл. 20) — твоите данни в структуриран машинно четим JSON формат.
- Възражение (чл. 21) — срещу обработка въз основа на легитимен интерес (телеметрия, одитен журнал).
- Оттегляне на съгласие — където обработката се основава на съгласие (понастоящем: няма такива случаи в Услугата).
За упражняване на което и да е право, пиши на [email protected] с доказателство за самоличност (може да поискаме уникален идентификатор от акаунта ти). Отговаряме в срок до 30 календарни дни (чл. 12(3)).
Имаш право и да подадеш жалба до Комисията за защита на личните данни (КЗЛД) — https://www.cpdp.bg — или до надзорния орган в твоята държава-членка.
7. Бисквитки
Виж Политиката за бисквитки за пълен списък.
Накратко: бисквитките, които поставяме по подразбиране, са строго необходими или функционални. Без рекламни бисквитки. Google Analytics 4 на публичните страници поставя бисквитките _ga и _ga_<ID> само след като натиснеш „Приемам“ в банера за съгласие, за анонимна статистика за посещения (доставчик: Google Ireland Ltd; бисквитки до 13 месеца, данни в GA 14 месеца). Можеш да оттеглиш съгласието по всяко време през „Настройки за бисквитки“ във footer-а.
8. Сигурност
- TLS 1.2+ от Cloudflare до origin (Cloudflare Origin Certificate, Full Strict).
- Пароли с Argon2/bcrypt по подразбиране на Laravel, cost 12.
- HMAC-SHA256 подпис с прозорец за replay (300 секунди) на server-to-server payment ingest API.
- Базата данни е достъпна само в docker bridge мрежата; никога не е изложена в публичния интернет.
- Грешки в приложението се изпращат към self-hosted Sentry в България с
SEND_DEFAULT_PII=false. - Извлеченията (PDF) и качените фактури се съхраняват върху сървъра; нощни off-host резервни копия, криптирани в покой.
9. Процедура при инцидент
Ако установим нарушение на сигурността на личните данни, ще уведомим КЗЛД в срок до 72 часа, когато нарушението е възможно да доведе до риск за твоите права и свободи (чл. 33). При висок риск ще уведомим и засегнатите потребители без неоправдано забавяне (чл. 34).
Вътрешна процедура: виж docs/legal/data-breach-procedure.md.
10. Промени в политиката
Може да актуализираме тази политика с развитието на услугата. Същественни промени се комуникират по имейл към активните партньори. Датата „Последна актуализация" в горната част отразява последната промяна.
Актуалната версия е винаги достъпна на https://partners.fleetq.net/privacy?lang=bg.