Политика за поверителност

1. Администратор и длъжностно лице по защита на данните

1.1 Администратор (чл. 4, т. 7 ОРЗД)

Отговорност за обработката на лични данни във връзка с експлоатацията на уебсайта biscotti-cmp.com, приложението app.biscotti-cmp.com, както и всички свързани с тях услуги, носи:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Deutschland

Представлявано от: Daniel Bosch (Управител / Изпълнителен директор)
Също така упълномощен представител: Philipp André Marschall (Прокурист)

1.2 Длъжностно лице по защита на данните

Ако съществува законово задължение за назначаване на длъжностно лице по защита на данните съгласно § 38, ал. 1 от BDSG или чл. 37 от ОРЗД, то ще бъде назначено и данните за контакт ще бъдат публикувани тук. Независимо от това, ръководството (Daniel Bosch, Philipp André Marschall) осигурява пълния надзор и спазване на задълженията по защита на данните.

За всички запитвания относно защитата на данните, моля, свържете се с:
Имейл: [email protected]
Телефон: +49 3322 50703301
Работно време: понеделник до петък, 10:00–17:00 ч. (CET/CEST)

2. Преглед на дейностите по обработка

Biscotti CMP е цялостна платформа за управление на съгласието и правно съответствие. В рамките на експлоатацията на платформата ние обработваме лични данни в следните области:

• Регистрация и управление на акаунт (Раздел 3)
• Използване на SaaS платформата / Таблото за управление (Раздел 4)
• Данни за съгласие на посетителите на уебсайтовете на нашите клиенти (Раздел 5)
• Скенер за бисквитки (Раздел 6)
• Legal Suite — Генериране на текст с ИИ (Раздел 7)
• Legal Sync — Мониторинг на законодателни промени (Раздел 8)
• Одит на политики — Извличане на данни от уебсайтове и ИИ анализ (Раздел 9)
• Пазар за адвокати (Раздел 10)
• Функции за агенции и White-Label (Раздел 11)
• Бюлетин (Раздел 12)
• Програма за награди за отзиви (Раздел 13)
• Обработка на плащания (Раздел 14)
• GeoIP разпознаване (Раздел 15)
• Разпознаване на ботове (Раздел 16)
• Проследяване на сесии (Раздел 17)
• Резервни копия (Раздел 18)
• Хостинг и инфраструктура (Раздел 19)
• Бисквитки и локално хранилище на biscotti-cmp.com (Раздел 20)

За всяка дейност по обработка по-долу са посочени целта, правното основание, категориите обработвани данни, получателите, както и срокът на съхранение.

3. Регистрация и управление на акаунт

3.1 Регистрация и създаване на акаунт

Цел: Създаване и управление на Вашия потребителски акаунт за използване на платформата Biscotti CMP.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор — регистрацията е предпоставка за използване на SaaS платформата).

Категории обработвани данни:

• Имейл адрес (задължително поле)
• Парола (съхранява се като криптографски хеш, никога в чист текст)
• Име, Фамилия (по избор)
• Име на фирма (по избор)
• Език на акаунта (автоматично разпознат от езика на браузъра или избран ръчно от 42 налични езика)
• Време на регистрация
• IP адрес по време на регистрацията (за протоколиране на съгласието за AVV съгласно чл. 28, ал. 9 ОРЗД)

Получатели: Resend (изпращане на имейл за верификация), Hetzner Online GmbH (хостинг на базата данни).

Срок на съхранение: Данните се съхраняват за срока на договорните отношения. След изтриване на акаунта данните се изтриват незабавно, при спазване на законовите задължения за съхранение (вж. Раздел 23).

3.2 Двойно потвърждение (верификация на имейл)

Цел: Верификация на имейл адреса, за да се гарантира, че притежателят на имейл адреса действително е извършил регистрацията.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор) във връзка с чл. 6, ал. 1, б. е ОРЗД (легитимен интерес за предотвратяване на злоупотреби).

Категории обработвани данни:

• Имейл адрес
• Токен за верификация (генериран на случаен принцип, валиден 24 часа)
• Време на изпращане и потвърждение
• Статус на верификация (emailVerified: true/false)

Получатели: Resend (изпращане на имейл за верификация).

Срок на съхранение: Токенът за верификация се изтрива след потвърждение или след изтичане на 24-часовия срок. Статусът на верификация се съхранява за срока на договорните отношения.

3.3 Нулиране на парола

Цел: Възможност за възстановяване на достъпа до акаунта при забравена парола.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Имейл адрес
• Токен за нулиране (генериран на случаен принцип, с ограничена валидност)
• Време на заявката

Получатели: Resend (изпращане на имейл за нулиране).

Срок на съхранение: Токенът за нулиране се изтрива след използване или след изтичане на срока на валидност.

4. Използване на SaaS платформата (Табло за управление)

4.1 Използване на таблото за управление и конфигуриране на банер

Цел: Предоставяне на уеб-базиран потребителски интерфейс (табло за управление) на app.biscotti-cmp.com за конфигуриране и управление на банера за съгласие, уебсайтовете, категориите, правните текстове и всички други функции на платформата.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Данни за акаунт (имейл, име, фирма)
• Конфигурации на уебсайт (домейн, настройки на банер, цветове, текстове, категории за съгласие)
• Статистики за банер (преглеждания, взаимодействия, нива на приемане)
• Резултати от сканиране и истории на сканиране
• Генерирани правни текстове
• Доклади за съответствие и оценки за състояние
• Записи от одитен дневник (времеви печат, потребителски ID, извършено действие, IP адрес)

Получатели: Hetzner Online GmbH (хостинг).

Срок на съхранение: За срока на договорните отношения. Одитните дневници се съхраняват за 12 месеца. След изтриване на акаунта данните се изтриват безвъзвратно след изтичане на 30-дневния гратисен период.

4.2 Управление на екип

Цел: Възможност за многопотребителски достъп до акаунта чрез покана на членове на екипа.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Имейл адреси на поканените членове на екипа
• Присвоени роли и разрешения
• Време на покана и приемане

Получатели: Resend (изпращане на имейл за покана), Hetzner Online GmbH (хостинг).

Срок на съхранение: За срока на членство в екипа. При премахване от екипа данните за асоцииране се изтриват.

4.3 Анализ на съгласието и A/B тестване

Цел: Статистическа оценка на нивата на съгласие, взаимодействията с банери и проследяването на конверсии. A/B тестването позволява сравняване на различни варианти на банери за оптимизиране на нивата на приемане.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор — аналитичните функции са част от избрания тарифен план).

Категории обработвани данни:

• Агрегирани статистики за съгласие (без данни за отделни лица)
• Присвояване на варианти на банери (при A/B тестване)
• Разпределение на трафика и нива на конверсия

Получатели: Hetzner Online GmbH (хостинг).

Срок на съхранение: Агрегираните статистики се съхраняват за срока на договорните отношения.

5. Данни за съгласие на посетителите на уебсайта

5.1 Събиране на решения за съгласие

Цел: Събиране, съхранение и документиране на решенията за съгласие на посетителите на уебсайта за изпълнение на задължението за доказване на оператора на уебсайта съгласно чл. 7, ал. 1 ОРЗД и § 25, ал. 1 TDDDG.

Правно основание: Чл. 6, ал. 1, б. в ОРЗД (правно задължение — задължение за доказване съгласно чл. 7, ал. 1 ОРЗД) във връзка с чл. 6, ал. 1, б. е ОРЗД (легитимен интерес на оператора на уебсайта за документиране на съгласието).

Категории обработвани данни:

• ID на съгласие (псевдонимизиран UUID, който се асоциира с крайното устройство/браузър)
• Решения за съгласие по категория (Съществени, Функционални, Анализ, Маркетинг, както и евентуално персонализирани категории)
• Времеви печат на съгласието (дата и час)
• IP хеш (IP адресът се обработва изключително за разпознаване на юрисдикция и впоследствие се анонимизира до криптографски хеш; сурови IP адреси не се съхраняват постоянно)
• Код на държава (определен чрез GeoIP разпознаване)
• Език на браузъра
• User-Agent низ
• Категория на реферер (organic, social, paid, direct, referral)
• TCF низ (при активиран IAB Transparency & Consent Framework 2.3)
• Вариант на съгласие (при активирано A/B тестване)
• Google Consent Mode v2 сигнали
• Global Privacy Control (GPC) сигнал

Получатели: Hetzner Online GmbH (хостинг, база данни), MinIO (Backup, самохостван на Hetzner).

Срок на съхранение: Данните за съгласие се съхраняват стандартно за 18 месеца. Операторът на уебсайта (клиентът) може индивидуално да конфигурира срока на съхранение. След изтичане на срока на съхранение данните се изтриват автоматично и безвъзвратно.

5.2 Търсене на съгласие (информация за посетители на уебсайта)

Цел: Възможност за преглед на съхранени данни за съгласие от посетители на уебсайта за изпълнение на правото на достъп съгласно чл. 15 ОРЗД.

Правно основание: Чл. 6, ал. 1, б. в ОРЗД (правно задължение — право на достъп съгласно чл. 15 ОРЗД).

Категории обработвани данни:

• ID на съгласие (въведен от посетителя на уебсайта)
• IP адрес (за ограничаване на честотата, не се съхранява постоянно)

Получатели: Hetzner Online GmbH (хостинг).

Срок на съхранение: Не се съхраняват допълнителни данни. Заявката е ограничена до 10 заявки в минута на IP адрес.

6. Скенер за бисквитки

6.1 Автоматизирано сканиране на уебсайт

Цел: Автоматизирано търсене на уебсайтовете на нашите клиенти за бисквитки, записи в локалното хранилище и тракери на трети страни за идентифициране, категоризиране и документиране на използваните технологии. Резултатите служат за конфигуриране на банера за съгласие в съответствие със защитата на данните.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор — скенерът за бисквитки е основна функция на платформата).

Категории обработвани данни:

• Домейн и URL на сканирания уебсайт
• Намерени бисквитки (име, стойност, домейн, срок на годност, път, Secure-флаг, SameSite-атрибут)
• Записи в локалното хранилище
• Тракери на трети страни и вградени външни ресурси
• Категоризация на намерените елементи (Съществени, Функционални, Анализ, Маркетинг)
• Съпоставяне с IAB Global Vendor List (GVL)
• Време на сканиране и продължителност на сканиране

Техническа реализация: Скенерът използва Playwright (отворен код headless браузър от Microsoft), който се управлява на наши собствени сървъри в Hetzner (Falkenstein, Германия). Не се извършва предаване на данни към Microsoft. Скенерът посещава уебсайта на клиента като обикновен браузър, за да събира съдържание, рендирано с JavaScript, и динамично зададени бисквитки.

Получатели: Hetzner Online GmbH (хостинг), Alibaba Cloud Qwen (ИИ-базирана категоризация на намерените бисквитки).

Срок на съхранение: Резултатите от сканирането се съхраняват за срока на договорните отношения. Историите на сканиране позволяват сравнение с предишни сканирания.

6.2 Публичен инструмент за проверка на бисквитки

Цел: Предоставяне на безплатен, публичен инструмент за проверка на бисквитки на маркетинговия уебсайт, който може да се използва без регистрация.

Правно основание: Чл. 6, ал. 1, б. е ОРЗД (легитимен интерес за предоставяне на информационна услуга и привличане на клиенти).

Категории обработвани данни:

• Въведен домейн/URL
• IP адрес (за ограничаване на честотата, не се съхранява постоянно)
• Резултати от сканиране

Получатели: Hetzner Online GmbH (хостинг).

Срок на съхранение: Резултатите от сканирането на публичния инструмент за проверка се съхраняват временно. Използването е ограничено до 3 сканирания на ден на IP адрес.

7. Legal Suite — Генериране на текст с ИИ

7.1 Генериране на правни текстове с подкрепата на ИИ

Цел: Генериране на персонализирани правни текстове (импресум, декларация за поверителност, политика за бисквитки, общи условия, информация за право на отказ, AVV/DPA, условия за доставка и връщане, условия за ползване, отказ от отговорност, NDA, DSA информация и над 30 други типа документи) въз основа на информацията, въведена от клиента, с използване на изкуствен интелект.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор — Legal Suite е част от избрания тарифен план).

Категории обработвани данни, които се предават на Alibaba Cloud Qwen:

• Данни за фирмата на клиента (име на фирма, правна форма, адрес, данни за контакт)
• Имена на упълномощени представители (управители, прокуристи)
• Регистрационни данни (регистриращ съд, регистрационен номер, Идентификационен номер по ДДС)
• Специфична за индустрията информация и бизнес категория
• Описание на дейностите по обработка
• Индивидуални данни, въведени от клиента относно типа документ
• Информация за юрисдикция

Доставчик на ИИ: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Обработката се извършва чрез Alibaba Cloud Model Studio (Qwen) API в рамките на ЕС/ЕИП. Съгласно правилата за защита на данните на Alibaba Cloud, въведените данни не се използват за обучение на ИИ модели.

Получатели: Alibaba Cloud Qwen (ИИ-обработка), Hetzner Online GmbH (хостинг, съхранение на генерираните текстове).

Срок на съхранение: Генерираните правни текстове се съхраняват за срока на договорните отношения. При Alibaba Cloud Qwen въведените данни не се съхраняват след обработката съгласно условията за ползване на Alibaba Cloud.

7.2 Използване на собствен ключ (BYOK)

Цел: Клиентите могат по избор да въведат собствени API ключове за доставчици на ИИ (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama), за да извършват генерирането на текст чрез собствения си акаунт при съответния доставчик на ИИ.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор).

Категории обработвани данни:

• API ключ на клиента (съхранява се криптиран с AES-256-GCM)

Забележка: При използване на собствен API ключ, обработката на въведените данни при съответния доставчик на ИИ се извършва под отговорността на клиента. Прилагат се правилата за защита на данните на съответния доставчик.

Получатели: Избраният от клиента доставчик на ИИ.

Срок на съхранение: Криптираният API ключ се съхранява за срока на договорните отношения и се изтрива при изтриване на акаунта.

8. Legal Sync — Мониторинг на законодателни промени

Цел: Автоматизиран мониторинг на законодателни промени в над 186 юрисдикции. При релевантни промени, засегнатите правни текстове на клиента автоматично се маркират като нуждаещи се от актуализация. В тарифни планове с функция „Автоматична актуализация" засегнатите текстове могат да бъдат автоматично регенерирани.

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор — Legal Sync е част от избрания тарифен план).

Категории обработвани данни:

• Присвояване на юрисдикция на уебсайтовете на клиентите
• Присвояване на генерираните правни текстове към юрисдикции
• Време и вид на установената законодателна промяна
• Статус на актуализация (актуален, нуждаещ се от актуализация, автоматично актуализиран)

Техническа реализация: Ежедневен автоматизиран процес (Cron-Job, 03:00 UTC) проверява за законодателни промени и ги съпоставя с документите на клиентите.

Получатели: Hetzner Online GmbH (хостинг), Alibaba Cloud Qwen (при автоматична регенерация на правни текстове), Resend (имейли за уведомяване).

Срок на съхранение: Протоколите за промени се съхраняват за срока на договорните отношения.

9. Одит на политики — Извличане на данни от уебсайтове и ИИ анализ

9.1 Автоматизирани одити за съответствие

Цел: Автоматизирана седмична проверка на уебсайтовете на клиентите за рискове, свързани със защитата на данните. Това включва откриване на нови бисквитки от последното сканиране, проверка за проблеми със съгласието, както и ИИ-базиран анализ на съществуващите правни текстове (декларация за поверителност, импресум) на клиента. Резултатът се представя като оценка за състояние (A–F).

Правно основание: Чл. 6, ал. 1, б. б ОРЗД (изпълнение на договор — функцията за одит на съответствието е част от платформата).

Категории обработвани данни:

• Домейн и URL на проверения уебсайт
• Извлечено съдържание от декларацията за поверителност и импресума на клиента
• Резултати от ИИ анализа (открити пропуски, остарели препратки, липсващи услуги)
• Оценка за състояние и доклад за съответствие
• Време на одита

Техническа реализация: Playwright (Headless-браузър, самохостван на Hetzner) извлича публично достъпните правни текстове от уебсайта на клиента. Извлечените текстове впоследствие се анализират чрез Alibaba Cloud Model Studio (Qwen) API.

Получатели: Hetzner Online GmbH (хостинг), Alibaba Cloud Qwen (ИИ-анализ), Resend (имейли за уведомяване при открити проблеми).

Срок на съхранение: Резултатите от одита и докладите за съответствие се съхраняват за срока на договорните отношения.

10. Адвокатски пазар

10.1 Посредничество при адвокатски услуги

Цел: Посредничество при адвокатски услуги между клиенти и независими адвокати, регистрирани на платформата. Campcruisers GmbH действа изключително като посредник и не е страна по договорните отношения между клиента и адвоката (вж. § 14 Общи условия).

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор — използване на адвокатския пазар).

10.2 Регистрация на адвокат

Категории обработвани данни:

• Данни за контакт на адвоката (име, имейл, телефон, адрес на кантората)
• Професионални квалификации и специализации
• Документи за верификация (макс. 10 MB, PDF/JPEG/PNG)
• Статус на верификация (PENDING_APPROVAL, APPROVED, REJECTED)
• Наличност (седмични времеви интервали, блокирани дати, часова зона)
• Профилна снимка и описание на профила
• Данни за Stripe Connect акаунт (за изплащания)

10.3 Данни за мандата

Категории обработвани данни:

• Заявки за оферти и оферти (описание, цена, срок на валидност)
• Статус на мандата (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Съобщения между клиент и адвокат
• Информация за плащане (сума, комисионна на платформата, сума за изплащане)

10.4 Видео консултация (Twilio)

Цел: Предоставяне на видео консултации между клиенти и адвокати.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Метаданни за видео консултация (време, продължителност, участници)
• Twilio Room ID и токен за достъп

Получатели: Twilio Ireland Limited, Дъблин, Ирландия (предоставяне на видео инфраструктурата).

10.5 Оценки

Цел: Даване на възможност на клиентите да оценяват адвокати за осигуряване на качеството.

Правно основание: Чл. 6, параграф 1, буква е от ОРЗД (легитимен интерес за осигуряване на качеството и прозрачност).

Категории обработвани данни:

• Оценка (звезди, свободен текст)
• Време на оценката
• Присвояване към мандата

Получатели за целия адвокатски пазар: Stripe Connect (обработка на плащания), Twilio (видео консултации), Hetzner Online GmbH (хостинг), Resend (известия).

Срок на съхранение: Данните за мандата се съхраняват за срока на договорните отношения, но най-малко за срока на законовите задължения за съхранение (10 години за данни от фактури). Оценките остават видими за срока на регистрация на адвоката. Неприетите оферти изтичат автоматично след 7 дни.

11. Функции за агенции и White-Label

11.1 Управление на под-акаунти

Цел: Даване на възможност на агенциите да управляват акаунти на крайни клиенти (под-акаунти) в рамките на тарифния план за агенции.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Имейл адреси и данни за контакт на притежателите на под-акаунти (крайни клиенти на агенцията)
• Данни за покани (имейл, време)
• Протоколи за достъп с прокси токен (време, потребител на агенцията, под-акаунт)
• Конфигурации на уебсайтове и данни за съгласие на под-акаунтите

Получатели: Hetzner Online GmbH (хостинг), Resend (имейли за покани).

Срок на съхранение: За срока на договорните отношения между агенцията и Campcruisers GmbH.

11.2 Персонализиран домейн (CNAME)

Цел: Предоставяне на собствен домейн за таблото за управление на агенцията.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Име на домейна на агенцията
• Данни за DNS верификация
• Данни за SSL/TLS сертификат (автоматично предоставяни чрез Let's Encrypt)

Получатели: Let's Encrypt (издаване на SSL сертификати — предават се изключително имена на домейни, а не лични данни на физически лица), Hetzner Online GmbH (хостинг, Traefik-маршрутизация).

11.3 Собствени транзакционни имейли

Цел: Даване на възможност за изпращане на транзакционни имейли под бранда на агенцията чрез собствен имейл доставчик.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор).

Категории обработвани данни:

• API ключове на имейл доставчика на агенцията (съхранявани криптирани с AES-256-GCM)
• Данни за подател на имейл (име, имейл адрес)
• Поддържани доставчици: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Забележка: При използване на собствен имейл доставчик, изпращането на имейли се извършва под отговорността на агенцията по отношение на защитата на данните.

Срок на съхранение: Криптираните API ключове се съхраняват за срока на договорните отношения.

12. Бюлетин

12.1 Абонамент за бюлетин

Цел: Изпращане на информация относно актуализации на продукти, законодателство за защита на данните, теми за съответствие и новини, свързани с Biscotti CMP.

Правно основание: Чл. 6, параграф 1, буква а от ОРЗД (съгласие — бюлетинът се изпраща само след изрично съгласие чрез процедура за двойно потвърждение (Double-Opt-In)).

Категории обработвани данни:

• Имейл адрес
• Време на регистрация и потвърждение за двойно потвърждение (Double-Opt-In)
• Статус на отписване

Процедура за двойно потвърждение (Double-Opt-In): След въвеждане на имейл адреса ще получите имейл за потвърждение с линк за верификация. Само след като кликнете върху този линк, вашият имейл адрес ще бъде включен в списъка за разпространение на бюлетина.

Получатели: Resend (изпращане на имейлите за бюлетина и имейла за потвърждение).

Отписване: Можете да се отпишете от бюлетина по всяко време. Всеки имейл от бюлетина съдържа линк за отписване (Unsubscribe-Link). Алтернативно, можете да се отпишете, като изпратите имейл на [email protected].

Срок на съхранение: Вашият имейл адрес се съхранява до отписването от бюлетина. След отписване имейл адресът незабавно се изтрива от списъка за разпространение. За документиране на даденото съгласие, времето на регистрация и потвърждение се съхранява за срок от 3 години след отписване (легитимен интерес за доказуемост на съгласието, чл. 6, параграф 1, буква е от ОРЗД).

13. Програма за награди за отзиви

Цел: Награждаване на клиенти, които оставят отзиви за Biscotti CMP на външни платформи за оценка, с бонус сесии и временно надграждане на плана.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор — участието в програмата е доброволно и представлява допълнителна договорна услуга).

Категории обработвани данни:

• Данни за акаунта на участващия клиент
• Платформа за оценка (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Линк към оставената оценка
• Статус на одобрение (чрез административна проверка)
• Данни за наградата (15.000 бонус сесии, 1 месец надграждане на плана)

Получатели: Hetzner Online GmbH (хостинг).

Срок на съхранение: Данните за наградите се съхраняват за срока на договорните отношения. Бонус сесиите изтичат след 6 месеца (редовни планове) или са валидни неограничено (LTD планове).

14. Обработка на плащания (Stripe)

14.1 Абонаментни плащания

Цел: Обработка на плащания за платени абонаментни планове, пакети с кредити и други платени услуги.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Адрес за фактуриране (име/фирма, улица, пощенски код, град, държава)
• ДДС номер (за B2B клиенти)
• Метод на плащане (кредитна карта, SEPA директен дебит, PayPal, Apple Pay, Google Pay и др.)
• История на плащанията и фактури
• Stripe Customer-ID и Subscription-ID

Получатели: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Дъблин, Ирландия. Stripe е сертифициран по Рамката за поверителност на данните между ЕС и САЩ.

Срок на съхранение: Фактури и счетоводни данни се съхраняват за 10 години (§ 147 AO, §§ 238, 257 HGB). Методите за плащане се съхраняват в Stripe за срока на абонамента.

14.2 Stripe Connect (Адвокатски пазар)

Цел: Обработка на плащания между клиенти и адвокати чрез адвокатския пазар, както и изплащане на адвокати.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор).

Категории обработвани данни:

• Данни за Stripe Connect Express акаунт на адвокатите
• Суми на плащания, комисионна на платформата, суми за изплащане
• Данни за Checkout сесия

Получатели: Stripe Payments Europe, Ltd., Дъблин, Ирландия.

Срок на съхранение: Съгласно задълженията за съхранение на данни от фактури (10 години).

14.3 ZUGFeRD фактури

Цел: Създаване и предоставяне на фактури във формат ZUGFeRD (PDF с вграден XML съгласно EN 16931).

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор) във връзка с чл. 6, параграф 1, буква в от ОРЗД (правно задължение — задължения за фактуриране съгласно UStG, HGB).

Категории обработвани данни:

• Адрес за фактуриране, клиентски номер (CUS-JJMM-XXXXX), номер на фактура (INV-JJMM-XXXXX)
• Описание на услугата, суми, данъчни ставки

Получатели: Resend (изпращане на фактурата по имейл), Hetzner Online GmbH (хостинг).

Срок на съхранение: 10 години (§ 147 AO, §§ 238, 257 HGB).

15. GeoIP разпознаване

Цел: IP-базирано определяне на държавата или юрисдикцията на посетителя на уебсайта за динамично показване на законосъобразни варианти на банери (напр. Opt-In за държави по ОРЗД, Opt-Out за държави по CCPA, само известие за държави без специфично законодателство за бисквитки).

Правно основание: Чл. 6, параграф 1, буква е от ОРЗД (легитимен интерес за законосъобразно показване на банера за съгласие съгласно приложимата юрисдикция на посетителя на уебсайта).

Категории обработвани данни:

• IP адрес на посетителя на уебсайта (предава се на ip-api.com за разпознаване на държава)
• Определен код на държава

Техническа реализация: IP адресът се предава на услугата ip-api.com (седалище: Литва, ЕС). Резултатът (код на държава) се кешира за 1 час в кеша (Redis), за да се избегнат повтарящи се заявки. След разпознаване на държавата, IP адресът се анонимизира до криптографски хеш (IP-Hash). Суровите IP адреси не се съхраняват постоянно.

Получатели: ip-api.com (ip-api, Литва — GeoIP услуга), Hetzner Online GmbH (хостинг, Redis кеш).

Срок на съхранение: Резултатът от GeoIP се съхранява в кеша за 1 час. Суровите IP адреси се анонимизират веднага след разпознаване на държавата. IP-хешът се съхранява като част от данните за съгласие за конфигурирания срок на съхранение (стандартно: 18 месеца).

16. Разпознаване на ботове

Цел: Разграничаване между човешки посетители на уебсайта и автоматизирани достъпи (ботове, краулери, скрейпъри) за правилно броене на сесиите. Автоматизираните достъпи не се броят като сесии и не се таксуват.

Правно основание: Чл. 6, параграф 1, буква е от ОРЗД (легитимен интерес за правилно таксуване и защита на платформата от злоупотреби).

Категории обработвани данни:

• User-Agent низ
• HTTP заглавки (напр. Accept-Language, Accept-Encoding)
• Характеристики на безглави браузъри
• IP адрес (за IP-базирано ограничаване на честотата, не се съхранява постоянно)

Техническа реализация: Разпознаването на ботове анализира всеки достъп въз основа на анализ на User-Agent, анализ на заглавки (напр. липсващи Accept-Language заглавки), разпознаване на безглави браузъри и IP-базирано ограничаване на честотата. Анализът се извършва в реално време на нашите сървъри.

Получатели: Hetzner Online GmbH (хостинг).

Срок на съхранение: Резултатите от анализа не се съхраняват постоянно. Резултатът (Бот: да/не) се включва в броя на сесиите.

16.1 Cloudflare Turnstile (Защита от ботове при вход/регистрация)

Цел: Защита на формите за вход и регистрация от автоматизирани атаки от ботове.

Правно основание: Чл. 6, параграф 1, буква е от ОРЗД (легитимен интерес за защита на платформата от злоупотреби и автоматизирани атаки).

Категории обработвани данни:

• IP адрес
• Информация за браузъра
• Данни за взаимодействие с Turnstile уиджета

Получатели: Cloudflare Germany GmbH, Rosental 7, 80331 Мюнхен, Германия. Cloudflare е сертифициран по Рамката за поверителност на данните между ЕС и САЩ. Защитата се осигурява допълнително чрез стандартни договорни клаузи (SCCs).

Срок на съхранение: Cloudflare съхранява данните съгласно собствените си разпоредби за защита на данните. На нашите сървъри не се съхраняват допълнителни данни от Turnstile.

17. Проследяване на сесии

Цел: Броене на сесиите за таксуване въз основа на тарифен план. Сесия се брои, когато Biscotti-CMP-Widget (biscotti.min.js) се зареди на уебсайт на клиента и изпрати HTTP Ping до крайната точка /api/v1/ping.

Правно основание: Чл. 6, параграф 1, буква б от ОРЗД (изпълнение на договор — таксуването въз основа на сесии е основата на тарифния модел).

Категории обработвани данни:

• Брояч на сесии (агрегиран за уебсайт и отчетен месец)
• Време на Ping
• Резултат от разпознаване на ботове (вж. раздел 16)

Техническа реализация: Redis се използва като база данни в паметта за проследяване на сесии и кеширане. Redis се хоства самостоятелно на Hetzner (Falkenstein, Германия). Не се извършва предаване на данни на трети страни.

Получатели: Hetzner Online GmbH (хостинг, Redis).

Срок на съхранение: Броячите на сесии се съхраняват за съответния отчетен месец. Историческите данни за сесиите се съхраняват за срока на договорните отношения за проследяемост на таксуването.

18. Архиви

Цел: Редовно архивиране на регистрационни файлове за съгласие, конфигурации на банери, конфигурации на уебсайтове и данни от база данни, за да се гарантира възможността за възстановяване в случай на загуба на данни.

Правно основание: Чл. 6, параграф 1, буква е от ОРЗД (легитимен интерес за сигурност на данните и възможност за възстановяване съгласно чл. 32, параграф 1, буква в от ОРЗД).

Категории обработвани данни:

• Всички данни, съхранявани в базата данни (регистрационни файлове за съгласие, конфигурации, данни за акаунти, правни текстове, резултати от сканиране)
• Конфигурации на банери

Техническа реализация:

• Ежедневни автоматични архиви на PostgreSQL базата данни
• Ежедневни автоматични архиви на конфигурации на банери и конфигурации на уебсайтове
• Съхранение на самостоятелно хоствано MinIO хранилище в рамките на Hetzner
• Сървърно криптиране с AES-256
• Проверка на целостта чрез SHA-256 контролни суми
• Редовни тестове за възстановяване

Получатели: MinIO (самостоятелно хостван на Hetzner Online GmbH).

Срок на съхранение: Архивите се съхраняват за ротационен период. При изтриване на акаунт, данните от архива се изтриват след изтичане на 30-дневния гратисен период и следващия цикъл на ротация на архива.

19. Хостинг и инфраструктура

19.1 Hetzner Online GmbH

Цел: Хостинг на цялата инфраструктура на Biscotti CMP, включително уеб сървър, база данни, приложна логика и всички свързани услуги.

Правно основание: Чл. 6, ал. 1, буква б от ОРЗД (изпълнение на договор) във връзка с чл. 6, ал. 1, буква е от ОРЗД (легитимен интерес за надеждна и сигурна инфраструктура).

Местоположение на центъра за данни: Falkenstein/Vogtland (Германия, EU).

Доставчик: Hetzner Online GmbH, 70 Sir John Rogerson's Quay, Дъблин 2, Ирландия.

Техническа архитектура:

• Контейнеризирано приложение (Docker)
• Traefik като обратен прокси и балансьор на натоварването
• PostgreSQL като релационна база данни (самостоятелно хоствана на Hetzner)
• Redis като база данни в паметта за проследяване на сесии и кеширане (самостоятелно хоствана на Hetzner)
• Playwright като браузър без графичен интерфейс за сканиране на уебсайтове (самостоятелно хостван на Hetzner)
• MinIO като S3-съвместимо обектно хранилище за архиви (самостоятелно хоствано на Hetzner)

19.2 Сървърни регистрационни файлове (Logfiles)

Цел: Техническо предоставяне на уебсайта и осигуряване на системна стабилност.

Правно основание: Чл. 6, ал. 1, буква е от ОРЗД (легитимен интерес за техническо предоставяне и сигурност).

Категории обработвани данни:

• IP адрес (анонимизиран)
• Дата и час на достъп
• Посетена страница/крайна точка
• HTTP статус код
• Прехвърлено количество данни
• Referrer-URL
• Тип и версия на браузъра
• Операционна система

Срок на съхранение: Сървърните регистрационни файлове се съхраняват максимум 30 дни и след това се изтриват автоматично.

20. Бисквитки и локално хранилище на biscotti-cmp.com

20.1 Собствено използване на Biscotti CMP

За управление на необходимите съгласия на нашия собствен уебсайт (biscotti-cmp.com) използваме нашия собствен продукт „Biscotti CMP".

20.2 Технически необходими бисквитки

Цел: Осигуряване на функционалността на уебсайта и таблото за управление.

Правно основание: Чл. 6, ал. 1, буква е от ОРЗД (легитимен интерес за техническа функционалност) във връзка с § 25, ал. 2, № 2 TDDDG (технически необходимите бисквитки са изключени от задължението за съгласие).

Използвани технически необходими бисквитки:

• Сесийна бисквитка (JWT-токен за удостоверяване, валидност: 7 дни)
• Бисквитка за съгласие (съхранение на решението за съгласие на посетителя на biscotti-cmp.com)
• Бисквитка за езикови предпочитания

20.3 Аналитични бисквитки (само със съгласие)

Цел: Статистическа оценка на използването на нашия уебсайт за подобряване на нашето предложение.

Правно основание: Чл. 6, ал. 1, буква а от ОРЗД (съгласие) във връзка с § 25, ал. 1 TDDDG.

Google Analytics 4: Използваме Google Analytics 4 за статистическа оценка изключително с Вашето съгласие. Доставчик: Google Ireland Limited, Gordon House, Barrow Street, Дъблин 4, Ирландия. Обработката на данни се извършва в ЕС. Анонимизирането на IP е активирано.

20.4 Подробна информация за бисквитките

Подробна информация за всички бисквитки, използвани на biscotti-cmp.com, включително име, цел, доставчик, срок на съхранение и тип, можете да намерите в нашата отделна Политика за бисквитки.

21. Външни доставчици на услуги / Получатели

За предоставяне на нашите услуги използваме следните външни доставчици на услуги. Този списък съответства на § 24 от нашите Общи условия и § 7 от нашия Договор за обработка на данни:

Самостоятелно хоствани технологии (без независими подизпълнители):

• PostgreSQL (Open Source) — Релационна база данни, самостоятелно хоствана на Hetzner (Falkenstein)
• Redis (Open Source) — База данни в паметта за проследяване на сесии и кеширане, самостоятелно хоствана на Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Браузър без графичен интерфейс за сканиране на уебсайтове, самостоятелно хостван на Hetzner (Falkenstein)
• MinIO (Open Source) — S3-съвместимо обектно хранилище за архиви, самостоятелно хоствано на Hetzner (Falkenstein)

При тези технологии не се извършва предаване на данни на трети страни. Те са част от инфраструктурата на Hetzner, посочена под № 5.

22. Предаване на данни в трети страни

22.1 Принцип

Обработката на лични данни по принцип се извършва в рамките на Европейския съюз (ЕС) или Европейското икономическо пространство (ЕИП). Основната инфраструктура (Hetzner Online GmbH, Falkenstein) се намира в Германия.

22.2 Предаване в трети страни

Доколкото обработката от външни доставчици на услуги се извършва извън ЕС/ЕИП, ние гарантираме, че са изпълнени специалните изисквания на чл. 44 и сл. от ОРЗД:

(а) Resend (САЩ):

• Осигуряване чрез актуалните стандартни договорни клаузи (SCCs) на Европейската комисия съгласно Изпълнително решение (ЕС) 2021/914
• Допълнително осигуряване чрез Рамката за защита на личните данни между ЕС и САЩ (DPF) съгласно Решението за адекватност на Европейската комисия от 10 юли 2023 г.
• Допълнителни технически мерки: TLS криптиране на всички имейл прехвърляния
• Обработката на данни се извършва на AWS сървъри в ЕС (регион eu-west-1)

(б) Let's Encrypt (САЩ):

• Комуникацията с Let's Encrypt се ограничава до автоматичното издаване на SSL/TLS сертификати чрез ACME протокола
• Предават се изключително имена на домейни — без лични данни на физически лица

(в) Cloudflare Turnstile (Глобално):

• Осигуряване чрез стандартните договорни клаузи (SCCs) на Европейската комисия
• Допълнително осигуряване чрез Рамката за защита на личните данни между ЕС и САЩ
• Обработката се ограничава до разпознаване на ботове при процеси на вход и регистрация

22.3 Оценка на въздействието от предаване на данни

За всяко предаване на данни в трета страна извършваме оценка на въздействието от предаване на данни (Transfer Impact Assessment — TIA), за да гарантираме, че нивото на защита на данните в третата страна по същество съответства на това в ЕС. Резултатите от TIA предоставяме при поискване.

22.4 Промени в правната уредба

В случай че решение за адекватност на Европейската комисия бъде отменено или предаване на данни в трета страна бъде забранено от надзорен орган или съд, ние незабавно ще Ви информираме и ще предприемем подходящи алтернативни защитни мерки или ще прекратим съответната обработка.

23. Срок на съхранение и срокове за изтриване

Ние съхраняваме лични данни само толкова дълго, колто е необходимо за съответната цел на обработка или докато съществуват законови задължения за съхранение. По-долу е представен преглед на основните срокове за съхранение:

След изтриване на акаунта, всички лични данни се изтриват безвъзвратно и съгласно правилата за защита на данните от продуктивните системи и архиви след изтичане на 30-дневния гратисен период, при спазване на горепосочените законови задължения за съхранение.

24. Права на субектите на данни (чл. 15–22 ОРЗД)

Като субект на данни имате следните права по отношение на Вашите лични данни:

24.1 Право на достъп (чл. 15 ОРЗД)

Имате право да изискате от нас потвърждение дали обработваме лични данни, които се отнасят до Вас. Ако това е така, имате право на достъп до тези лични данни и до информацията, посочена в чл. 15, ал. 1 от ОРЗД (цели на обработката, категории лични данни, получатели, планиран срок на съхранение, произход на данните, наличие на автоматизирано вземане на решения).

Техническа реализация: Можете да преглеждате данните за Вашия акаунт по всяко време в таблото за управление. Данните за съгласие могат да бъдат изтеглени чрез функцията за експорт (CSV). Посетителите на уебсайта могат да преглеждат своите съхранени данни за съгласие чрез публичната страница за търсене на съгласие, като въведат своя Consent-ID.

24.2 Право на коригиране (чл. 16 ОРЗД)

Имате право незабавно да поискате коригиране на неточни лични данни. Като се вземат предвид целите на обработката, имате право да поискате допълване на непълни лични данни.

Техническа реализация: Данните за акаунта (име, имейл, фирма, адрес) могат да бъдат коригирани по всяко време в таблото за управление.

24.3 Право на изтриване (чл. 17 ОРЗД)

Имате право да поискате незабавно изтриване на Вашите лични данни, ако е налице някое от основанията, посочени в чл. 17, ал. 1 от ОРЗД (напр. данните вече не са необходими за целта, оттегляне на съгласието, неправомерна обработка).

Техническа реализация: Можете да инициирате изтриване на Вашия акаунт по всяко време чрез таблото за управление или по имейл на [email protected]. При изтриване на акаунта всички лични данни се изтриват безвъзвратно, при спазване на законовите задължения за съхранение (вж. раздел 23). Данните за съгласие могат да бъдат изтрити от клиента (оператора на уебсайта) чрез функциите на таблото за управление.

Ограничения: Правото на изтриване не съществува, доколкото обработката е необходима за изпълнение на правно задължение (напр. задължения за съхранение по данъчното и търговското право).

24.4 Право на ограничаване на обработката (чл. 18 ОРЗД)

Имате право да поискате ограничаване на обработката, ако е налице някое от условията, посочени в чл. 18, ал. 1 от ОРЗД (напр. оспорване на точността, неправомерна обработка, възражение съгласно чл. 21 ОРЗД).

Техническа реализация: Ограничаването на отделни набори от данни може да бъде инициирано чрез функциите на таблото за управление или чрез контакт с нашата поддръжка.

24.5 Право на преносимост на данни (чл. 20 ОРЗД)

Имате право да получите личните данни, които се отнасят до Вас и които сте ни предоставили, в структуриран, широко използван и машинно четим формат. Имате право да прехвърлите тези данни на друг администратор без пречки.

Техническа реализация: Biscotti CMP предлага широки възможности за експорт на данни във формат CSV чрез таблото за управление и REST-API. Могат да бъдат експортирани: данни за съгласие, конфигурации на уебсайтове, резултати от сканиране, правни текстове, одиторски регистрационни файлове и фактури.

24.6 Право на възражение (чл. 21 ОРЗД)

Имате право по всяко време, на основания, свързани с Вашата конкретна ситуация, да възразите срещу обработването на лични данни, отнасящи се до Вас, което се основава на чл. 6, ал. 1, буква е от ОРЗД (легитимен интерес). Тогава ние няма да обработваме повече личните данни, освен ако не докажем съществуването на убедителни законови основания за обработването, които имат предимство пред Вашите интереси, права и свободи, или за установяването, упражняването или защитата на правни претенции.

24.7 Право на оттегляне на съгласието (чл. 7, ал. 3 ОРЗД)

Доколкото обработката се основава на Вашето съгласие (чл. 6, ал. 1, буква а от ОРЗД), имате право да оттеглите съгласието си по всяко време. Законосъобразността на обработката, извършена въз основа на съгласието до неговото оттегляне, не се засяга от оттеглянето.

Техническа реализация за посетители на уебсайта: Банерът за съгласие на Biscotti CMP предлага на крайните потребители функцията да преглеждат и оттеглят направените настройки по всяко време. Оттеглянето е също толкова лесно, колкото и даването на съгласие.

Техническа реализация за бюлетин: Всеки имейл от бюлетина съдържа линк за отписване.

24.8 Право на подаване на жалба до надзорен орган (чл. 77 ОРЗД)

Имате право да подадете жалба до надзорен орган за защита на данните относно обработката на Вашите лични данни от нас. Компетентният за нас надзорен орган е:

Държавният комисар за защита на данните и правото на достъп до досиета Бранденбург
Stahnsdorfer Damm 77
14532 Kleinmachnow
Телефон: +49 33203 356-0
Имейл: [email protected]

Можете обаче да се обърнете и към надзорния орган по Вашето обичайно местожителство или място на работа.

24.9 Контакт за упражняване на Вашите права

За упражняване на Вашите права, моля, свържете се с:

Имейл: [email protected]
Телефон: +49 3322 50703301
Поща: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Германия

Ние ще обработим Вашето запитване незабавно, но не по-късно от един месец след получаването му (чл. 12, ал. 3 ОРЗД). В сложни случаи или при голям брой запитвания този срок може да бъде удължен с още два месеца, за което ще Ви информираме, като посочим причините.

25. Автоматизирано вземане на решения (чл. 22 ОРЗД)

25.1 Генериране на AI текст

В рамките на Legal Suite правни текстове се генерират от изкуствен интелект (Alibaba Cloud Qwen). Това генериране на текст представлява автоматизирана обработка, която обаче не е автоматизирано вземане на решения по смисъла на чл. 22, ал. 1 от ОРЗД, тъй като:

• Генерираните текстове нямат правно действие по отношение на субекта на данни и не го засягат съществено по подобен начин.
• Текстовете представляват само чернови, които трябва да бъдат прегледани, редактирани и одобрени от клиента преди употреба.
• Никое решение не се основава изключително на автоматизирана обработка — клиентът винаги запазва пълния контрол върху използването на генерираните текстове.

25.2 AI-подпомогнато категоризиране на бисквитки

Автоматичното категоризиране на бисквитки от AI (съществени, функционални, аналитични, маркетингови) представлява поддържаща функция. Клиентът може по всяко време ръчно да прегледа и коригира категоризацията. Това не е автоматизирано вземане на решения по смисъла на чл. 22 от ОРЗД.

25.3 Разпознаване на ботове

Автоматичното разпознаване на ботове (вж. раздел 16) автоматично решава дали даден достъп се класифицира като човешки или автоматизиран. Това решение влияе върху броя на сесиите и следователно върху таксуването. Тъй като решението засяга изключително клиентите (а не посетителите на уебсайта) и клиентът може да проследи броя на сесиите в таблото за управление, не е налице автоматизирано вземане на решения по смисъла на чл. 22 от ОРЗД, което съществено засяга субект на данни.

25.4 Оценка за съответствие (Compliance-Health-Score)

Автоматичното изчисляване на оценката за съответствие (A–F) в рамките на одита на политиките (вж. раздел 9) представлява информационна и поддържаща функция. Оценката няма правно действие и служи изключително за информация на клиента.

25.5 Бележка за прозрачност съгласно Закона за ИИ на ЕС

Ние използваме системи за ИИ (Alibaba Cloud Qwen) за генериране на текст, категоризиране на бисквитки и анализ на политики. Съгласно задълженията за прозрачност на Регламент (ЕС) 2024/1689 (Закон за ИИ на ЕС) посочваме, че:

• Генерираното от ИИ съдържание се обозначава като такова.
• ИИ симулира различни роли на юридически експерти — това не е проверка от истински адвокати.
• Настоятелно препоръчваме генерираните от ИИ правни текстове да бъдат прегледани от квалифициран адвокат преди продуктивна употреба.

26. Промени в Декларацията за защита на данните

Ние си запазваме правото да адаптираме тази Декларация за защита на данните, за да я приведем в съответствие с променени правни разпоредби, технически разработки или нови функционалности на Biscotti CMP. Актуалната версия е достъпна по всяко време на нашия уебсайт на адрес biscotti-cmp.com/de/datenschutz.

При съществени промени, които засягат Вашите права или начина на обработка на данни, ние ще Ви информираме по имейл на имейл адреса, съхранен във Вашия акаунт. Препоръчваме Ви редовно да преглеждате тази Декларация за защита на данните.

27. Компетентен надзорен орган

Компетентният надзорен орган за защита на данните за Campcruisers GmbH е:

Държавният комисар за защита на данните и правото на достъп до досиета Бранденбург
Stahnsdorfer Damm 77
14532 Kleinmachnow
Германия
Телефон: +49 33203 356-0
Имейл: [email protected]
Уебсайт: https://www.lda.brandenburg.de

Сигурност на данните

Ние прилагаме всеобхватни технически и организационни мерки за сигурност съгласно чл. 32 от ОРЗД, за да защитим Вашите лични данни. Те включват по-специално:

• Криптиране при предаване: TLS 1.2/1.3 за всички прехвърляния на данни, HTTPS-принудително прилагане (HSTS)
• Криптиране в покой: AES-256 криптиране на всички бази данни и носители за съхранение на Hetzner Online GmbH, AES-256-GCM за чувствителни конфигурационни данни (API-ключове, BYOK-ключове)
• Псевдонимизация: Данните за съгласие се свързват с псевдонимни Consent-ID, IP адресите се анонимизират до IP-хешове
• Контрол на достъпа: Контрол на достъпа, базиран на роли (RBAC), принцип на минимални права за достъп, логическо разделяне на клиенти
• Удостоверяване: Удостоверяване, базирано на JWT, Cloudflare Turnstile за защита от атаки на ботове
• Архивиране и възстановяване: Ежедневни автоматични архиви с AES-256 криптиране и SHA-256 проверка на целостта
• Одиторско регистриране: Цялостна система за регистриране на всички действия, свързани със сигурността

Пълните технически и организационни мерки (ТОМ) са документирани в § 8 от нашия Договор за обработка на данни (AVV).