Политика за поверителност

Настоящата Политика за поверителност обяснява как се обработват лични данни при посещение на уебсайта на „Одитор AI“, изпращане на запитване, заявяване на демо, регистрация и използване на платформата, комуникация с екипа, използване на поддръжка и други свързани услуги.

Политиката се прилага за физически лица, чиито лични данни се обработват във връзка с уебсайта и услугите, включително представители, служители и контактни лица на бизнес клиенти.

Администратор на личните данни, обработвани чрез уебсайта и платформата „Одитор AI“, е „Централна Консултантска Компания“ ЕООД, ЕИК 204305396, гр. София, Бяло поле 12. Администраторът управлява и предоставя „Одитор AI“ и определя целите и средствата за обработване на личните данни.

Контакт за въпроси относно личните данни: office@oditor.ai. Ако бъде определено длъжностно лице по защита на данните (DPO), неговите координати за връзка ще бъдат публикувани отделно.

• Идентификационни и контактни данни: име и фамилия, служебен имейл, телефон и други данни, които лицето доброволно предоставя.
• Данни от формите на сайта: тема на запитването, текст на съобщението, заявка за демо, интерес към план, пакет, услуга или интеграция.
• Данни за потребителски профил: данни за вход, роля, права за достъп, настройки и история на действията в профила, когато такива функционалности се използват.
• Данни за бизнес взаимоотношения: информация за организация, длъжност/роля и служебна комуникация, когато е необходима за изпълнение на договор или предприемане на стъпки преди договор.
• Технически данни: IP адрес, дата и час на достъп, тип браузър/устройство, системни и защитни логове, идентификатори и информация, необходима за сигурност и нормална работа на услугата.
• Данни за поддръжка: съдържание на тикети, кореспонденция, технически диагностични данни и история на разрешаване на казуси.
• Данни за плащане и фактуриране, когато са приложими: информация, необходима за администриране на плащане и счетоводно отчитане. Данните за платежна карта не следва да се описват като съхранявани от Одитор AI, ако реално се обработват директно от платежен доставчик.
• Данни и документи, въведени в платформата от клиента: възможно е те да съдържат лични данни. Ролята на страните (администратор/обработващ) се определя според конкретното обработване и при необходимост се урежда с договор за обработване на лични данни.

Когато изпращате форма чрез сайта, обработваме данните, които сте въвели, за да отговорим на Вашето искане, да организираме демонстрация, да предоставим информация за цена или да предприемем поискани от Вас стъпки преди евентуално сключване на договор.

Полетата във формите трябва да бъдат ограничени до необходимото за конкретната цел. Не следва да се изискват чувствителни или несвързани с целта лични данни.

Одитор AI може да обработва финансови, счетоводни, документни и други бизнес данни, предоставени от клиента. Когато тези данни съдържат лични данни на служители, клиенти, доставчици, контрагенти или други лица, конкретната роля и отговорност на страните се определят според фактическото обработване.

Когато доставчикът обработва такива лични данни единствено по документирани инструкции на бизнес клиента, обичайно е необходимо отделно споразумение за обработване на лични данни по чл. 28 GDPR. То следва да урежда предмета, продължителността, естеството и целите на обработването, категориите данни и субекти, мерките за сигурност, подизпълнителите и правилата при прекратяване.

Платформата може да използва автоматизирани методи и модели с изкуствен интелект за анализ, проверки, откриване на аномалии, обобщения, сигнали, прогнози или подпомагане на финансовия контрол.

Освен ако конкретна функционалност не е изрично проектирана и правно оценена за това, Одитор AI не следва да бъде представян като система, която взема единствено автоматизирани решения с правни или сходно значими последици за физическо лице.

Ако в бъдеще се въведе обработване, попадащо в приложното поле на чл. 22 GDPR, политиката и интерфейсът трябва да бъдат актуализирани с необходимата информация за логиката, значението и предвидените последици, както и приложимите права на лицето.

Лични данни могат да бъдат предоставяни само когато това е необходимо и при подходящи гаранции, включително на:

• доставчици на хостинг, облачна инфраструктура и центрове за данни;
• доставчици на електронна поща, комуникационни и support/ticketing услуги;
• доставчици на аналитични и защитни технологии, когато използването им е законосъобразно;
• платежни и счетоводни доставчици, когато са необходими за конкретната услуга;
• доставчици на AI/технически услуги, само ако реално участват в обработването и са договорно уредени;
• професионални консултанти, одитори и правни представители при необходимост;
• компетентни държавни и съдебни органи, когато предоставянето е изискуемо по закон.

Ако лични данни се предават извън Европейското икономическо пространство, трансферът се извършва само при наличие на приложим механизъм и гаранции съгласно GDPR - например решение за адекватност, стандартни договорни клаузи или друг допустим механизъм.

При поискване субектът на данни може да получи информация относно приложимите гаранции, когато това право е приложимо.

Личните данни не се съхраняват по-дълго от необходимото за целите, за които са събрани, освен когато закон изисква по-дълъг срок.

• Запитвания и кореспонденция: за периода, необходим за обработване на запитването и разумен последващ период според характера на отношенията.
• Договорни и абонаментни данни: за срока на договора и след него за приложимите законови давностни, счетоводни и доказателствени срокове.
• Счетоводни и платежни документи: за сроковете, предвидени в приложимото счетоводно и данъчно законодателство.
• Профилни и технически данни: според необходимостта за предоставяне на услугата, сигурността и договорните отношения.
• Маркетингови данни, основани на съгласие: до оттегляне на съгласието или до по-ранно отпадане на целта, освен ако е налице друго законово основание.

Уебсайтът може да използва строго необходими бисквитки и, при наличие на законово основание/съгласие, аналитични, функционални или маркетингови технологии.

Подробна информация за категориите бисквитки, доставчиците, целите, сроковете и начина за управление на предпочитанията следва да бъде публикувана в отделна „Политика за бисквитки“ и в съответния механизъм за управление на съгласията.

Прилагат се подходящи технически и организационни мерки, съобразени с риска, естеството на данните и услугата. Те могат да включват контрол на достъпа, разграничаване на роли и права, криптиране при приложимост, архивиране, логване, наблюдение за инциденти, управление на уязвимости и процедури за реакция.

Нито една информационна система не може да бъде гарантирана като абсолютно защитена. При нарушение на сигурността се прилагат процедурите и задълженията по GDPR и приложимото национално законодателство.

Съгласно GDPR, когато са налице законовите предпоставки, имате право:

• на информация и прозрачност относно обработването;
• на достъп до личните Ви данни;
• на коригиране на неточни или непълни данни;
• на изтриване („право да бъдеш забравен“), когато са налице предпоставките;
• на ограничаване на обработването;
• на преносимост на данните, когато правото е приложимо;
• на възражение срещу обработване, основано на легитимен интерес, и по всяко време срещу директен маркетинг;
• да оттеглите съгласие по всяко време, когато обработването се основава на съгласие, без това да засяга законосъобразността на предходното обработване;
• да не бъдете обект на решение, основаващо се единствено на автоматизирано обработване, когато са изпълнени условията на чл. 22 GDPR;
• да подадете жалба до компетентния надзорен орган.

Искане за упражняване на права може да бъде изпратено чрез контакта за поверителност office@oditor.ai или по друг определен от администратора начин. За защита на данните може да бъде поискана допълнителна информация, необходима за потвърждаване на самоличността.

Исканията се разглеждат в сроковете, предвидени от GDPR. По правило информация за предприетите действия се предоставя без ненужно забавяне и в рамките на един месец от получаване на искането, като при законовите предпоставки срокът може да бъде удължен.

Ако считате, че обработването на Вашите лични данни нарушава Регламент (ЕС) 2016/679 или приложимото българско законодателство, имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД) или да потърсите защита по друг предвиден от закона ред.

Одитор AI е бизнес/професионално ориентирана услуга и не е предназначена специално за деца. Не се цели съзнателно събиране на лични данни от деца чрез стандартните бизнес форми и функционалности.

Ако конкретна бъдеща услуга бъде насочена към деца или обработва техни данни, ще бъдат приложени допълнителните изисквания на GDPR и националното законодателство.

Когато се изпращат маркетингови електронни съобщения, това се извършва при наличие на приложимо правно основание. Получателят разполага с лесен начин да се отпише или да възрази срещу директния маркетинг.

Оттеглянето на съгласие или възражението срещу директен маркетинг не засяга необходимата служебна комуникация по действащ договор, сигурност, плащане или поддръжка.

Сайтът може да съдържа връзки към външни услуги. Техните практики за поверителност се уреждат от собствените им политики. Преди добавяне на аналитични, рекламни, видео, чат, социални или други външни компоненти трябва да се извърши оценка на данните, които те получават, и необходимостта от съгласие.

Политиката може да бъде актуализирана при промяна на услугата, технологиите, доставчиците или приложимите изисквания. Актуалната версия се публикува на сайта с дата на последна актуализация.

Когато промяната е съществена и законът или характерът на обработването го изисква, засегнатите лица се информират по подходящ начин.

За въпроси относно тази политика, обработването на лични данни или упражняването на права следва да се използва официалният контакт за поверителност: office@oditor.ai.

Не изпращайте чрез общата контактна форма излишни специални категории лични данни, документи за самоличност или друга чувствителна информация, освен ако това не е изрично необходимо и поискано чрез защитен канал.

Документът е структуриран спрямо изискванията за прозрачност и права на субектите на данни по Регламент (ЕС) 2016/679 (GDPR), включително чл. 13-22, както и приложимата българска рамка по Закона за защита на личните данни.

Официални източници:

• EUR-Lex – Регламент (ЕС) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679
• Комисия за защита на личните данни – https://cpdp.bg/
• Закон за защита на личните данни – публикуван на официалния сайт на КЗЛД.