Политика за защита на личните данни

1. Администратор на лични данни

Администратор на личните данни, събирани и обработвани чрез Сайта, е:

В настоящата Политика „Дружеството", „Ние" или „Innovires Legal" се отнасят до горепосочения администратор.

2. Длъжностно лице по защита на данните (DPO)

В съответствие с чл. 37–39 от GDPR, Дружеството е определило Длъжностно лице по защита на данните (ДЛЗД/DPO), към което можете да се обръщате по всички въпроси, свързани с обработването на Вашите лични данни и упражняването на правата Ви по Регламента:

3. Принципи на обработване

При обработването на лични данни Дружеството стриктно спазва принципите, залегнали в чл. 5 от GDPR:

• Законосъобразност, добросъвестност и прозрачност: Обработваме данните Ви само при наличие на валидно правно основание и Ви информираме ясно за начина, по който го правим.
• Ограничение на целите: Събираме данни само за конкретни, изрично указани и легитимни цели и не ги обработваме по начин, несъвместим с тези цели.
• Свеждане на данните до минимум: Обработваме единствено данните, които са необходими и достатъчни за постигане на конкретната цел.
• Точност: Предприемаме разумни мерки за поддържане на актуалността и точността на данните.
• Ограничение на съхранението: Съхраняваме данните само за периода, необходим за изпълнение на целите на обработването, или за по-дълъг период, когато това е предвидено в закон.
• Цялостност и поверителност: Осигуряваме подходяща защита на данните, включително срещу неразрешено или незаконосъобразно обработване, случайна загуба, унищожаване или повреждане.
• Отчетност: Можем да докажем спазването на горните принципи чрез документация, политики и процедури.

4. Категории субекти на данни

Чрез Сайта и свързаните с него функционалности обработваме лични данни на следните категории физически лица:

• Посетители на Сайта — лица, които посещават innovires.com (чрез технически данни и бисквитки)
• Лица, отправящи запитвания — физически лица или представители на юридически лица, които попълват контактната форма на Сайта
• Абонати на бюлетина — лица, предоставили имейл адреса си за получаване на информационен бюлетин (newsletter)
• Клиенти — физически лица или представители на юридически лица, с които Дружеството встъпва в договорни отношения за предоставяне на правни услуги

5. Събирани лични данни, цели и правни основания

По-долу е представена подробна информация за категориите лични данни, които обработваме, целите и приложимите правни основания за всяка дейност по обработване:

6. Правни основания — подробно разяснение

Съгласно чл. 6 от GDPR, всяко обработване на лични данни трябва да се основава на поне едно от шестте правни основания. При дейността на Сайта приложимите основания са:

6.1. Съгласие (чл. 6, §1, б. „а")

Прилагаме при: абониране за бюлетин; активиране на аналитични бисквитки. Съгласието е свободно дадено, конкретно, информирано и недвусмислено. Може да бъде оттеглено по всяко време — чрез линка за отписване във всяко съобщение от бюлетина или чрез промяна на настройките за бисквитки (линк „Бисквитки" в долния колонтитул на Сайта). Оттеглянето на съгласието не засяга законосъобразността на обработването, извършено преди оттеглянето.

6.2. Изпълнение на договор (чл. 6, §1, б. „б")

Прилагаме при: предоставяне на правни услуги, когато субектът на данни е страна по договор с Дружеството или е предприел стъпки за сключване на такъв.

6.3. Законово задължение (чл. 6, §1, б. „в")

Прилагаме при: съхранение на счетоводни документи (Закон за счетоводството); предоставяне на информация на държавни органи (НАП, КЗЛД, съд); спазване на изискванията на Закона за адвокатурата и Данъчно-осигурителния процесуален кодекс (ДОПК).

6.4. Легитимен интерес (чл. 6, §1, б. „е")

Прилагаме при: обработване на запитвания чрез контактната форма; осигуряване на техническата функционалност на Сайта; защита на Сайта от злоупотреби. Извършваме балансиращ тест (Legitimate Interest Assessment — LIA) за всеки случай на обработване, основано на легитимен интерес, за да гарантираме, че интересите на Дружеството не надделяват над правата и свободите на субектите на данни.

7. Срокове за съхранение

Съхраняваме личните Ви данни само за периода, необходим за изпълнение на целите, за които са събрани, или за по-дълъг срок, когато това е предвидено от закон:

След изтичане на приложимите срокове данните се изтриват необратимо или анонимизират. При анонимизация данните губят качеството на лични данни и сроковете не се прилагат.

8. Получатели и обработващи лични данни

Дружеството не продава, не отдава под наем и не предоставя Вашите лични данни на трети лица за техни собствени маркетингови или търговски цели.

Данните могат да бъдат споделени със следните категории получатели, при наличие на подходящи правни, технически и организационни гаранции:

8.1. Обработващи лични данни (по чл. 28 от GDPR)

С всеки обработващ лични данни Дружеството е сключило или ще сключи Споразумение за обработване на лични данни (Data Processing Agreement — DPA), съгласно изискванията на чл. 28 от GDPR.

8.2. Други получатели

• Публични и регулаторни органи — при наличие на законово задължение (КЗЛД, НАП, съдилища, прокуратура, полиция)
• Адвокати, одитори, счетоводители — при необходимост от правна защита или изпълнение на законови задължения

9. Прехвърляне на данни извън ЕС/ЕИП

Някои от обработващите лични данни (Formspree Inc., Google LLC) са установени в Съединените американски щати. Прехвърлянето на данни към тези обработващи се извършва въз основа на:

• Рамката за защита на данните ЕС-САЩ (EU-US Data Privacy Framework) — решение за адекватност на Европейската комисия от 10 юли 2023 г.
• Стандартни договорни клаузи (SCCs) — одобрени от Европейската комисия с Решение за изпълнение (ЕС) 2021/914, като допълнителна гаранция

Дружеството следи за валидността на горните механизми и ще предприеме незабавни мерки при промяна в правната рамка.

10. Автоматизирано вземане на решения и профилиране

Дружеството не извършва автоматизирано вземане на решения, включително профилиране, по смисъла на чл. 22 от GDPR, което да поражда правни последици за Вас или да Ви засяга по подобен значим начин.

11. Технически и организационни мерки за сигурност

В съответствие с чл. 32 от GDPR, Дружеството прилага подходящи технически и организационни мерки за осигуряване на ниво на сигурност, съответстващо на рисковете. Тези мерки включват, без да се ограничават до:

Технически мерки

• SSL/TLS криптиране на всички комуникации чрез Сайта (HTTPS протокол)
• Криптиране на данни при пренос и при съхранение (encryption at rest и in transit)
• Защитна стена (firewall) и системи за откриване на проникване
• Редовно обновяване на софтуера и прилагане на корекции за сигурност (security patches)
• Архивиране на данните (backup) с тестване на възстановяването
• Използване на силни и уникални пароли с двуфакторна автентикация (2FA)

Организационни мерки

• Политика за контрол на достъпа — принцип на минимално необходимия достъп (least privilege)
• Вътрешни правила за обработване на лични данни, задължителни за всички служители
• Споразумения за поверителност (NDA) с всички лица, имащи достъп до лични данни
• Регулярни обучения на персонала по въпросите на защитата на данните
• Процедура за управление на инциденти с лични данни (Data Breach Response Plan)
• Периодичен преглед и тестване на ефективността на мерките за сигурност
• Договори за обработка на лични данни (DPA) с всички обработващи

12. Уведомяване при нарушение на сигурността на данните

В случай на нарушение на сигурността на личните данни (data breach), Дружеството:

• Ще уведоми КЗЛД без ненужно забавяне и, когато е осъществимо, не по-късно от 72 часа след узнаването на нарушението, освен ако е малко вероятно то да породи риск за правата и свободите на физическите лица (чл. 33 от GDPR)
• Ще уведоми засегнатите субекти на данни без ненужно забавяне, когато нарушението е вероятно да доведе до висок риск за техните права и свободи (чл. 34 от GDPR)
• Ще документира всяко нарушение, включително фактите, последиците и предприетите коригиращи мерки, в съответствие с чл. 33, §5 от GDPR

13. Вашите права като субект на данни

Като субект на данни, Вие разполагате със следните права съгласно Глава III от GDPR:

14. Процедура за упражняване на правата

Искане за упражняване на което и да е от горните права може да бъде подадено:

• По електронен път: на имейл адрес office@innovires.com
• На хартиен носител: на адрес гр. София 1000, бул. „Витоша" № 25, ет. 2, офис 4, на вниманието на Длъжностното лице по защита на данните

Съдържание на искането: имена на субекта на данни; данни за контакт (адрес, телефон или електронна поща); описание на искането и конкретното право, което желаете да упражните.

Идентификация: С оглед защита на Вашите данни от неоторизиран достъп, може да бъде поискано потвърждение на самоличността Ви. При подаване на искане чрез пълномощник — прилага се нотариално заверено пълномощно.

Срок за отговор: Предоставяме информация относно предприетите действия в срок до един месец от получаване на искането. При необходимост, с оглед сложността или броя на исканията, срокът може да бъде удължен с допълнителни два месеца, за което ще бъдете уведомени в рамките на първия месец, с посочване на причините за забавянето.

Такси: Упражняването на правата е безплатно. При явно неоснователни или повторни искания Дружеството може да наложи разумна такса, основана на административните разходи, или да откаже да изпълни искането.

15. Право на жалба до надзорен орган

Ако считате, че обработването на Вашите лични данни нарушава Регламента, имате право да подадете жалба до компетентния надзорен орган:

Без да се засяга правото Ви на жалба до КЗЛД, имате право и на ефективна съдебна защита срещу администратор или обработващ лични данни (чл. 79 от GDPR), както и право на обезщетение за претърпени вреди (чл. 82 от GDPR).

16. Защита на данните на деца

Сайтът и услугите на Дружеството не са насочени към лица под 16-годишна възраст. Не събираме съзнателно лични данни на деца. Ако установим, че сме обработили данни на лице под 16 години без съгласието на носителя на родителската отговорност, ще предприемем незабавни мерки за тяхното изтриване.

17. Бисквитки (Cookies)

Уебсайтът innovires.com използва бисквитки. Подробна информация за видовете бисквитки, техните цели, срокове на съхранение, начините за управление и правните основания за използването им е предоставена в нашата Политика за бисквитки, която е неразделна част от настоящата Политика.

18. Връзки към уебсайтове на трети лица

Сайтът може да съдържа хипервръзки към уебсайтове, управлявани от трети лица. Дружеството не носи отговорност за политиките и практиките за защита на личните данни на тези сайтове. Препоръчваме Ви да се запознаете с политиките за поверителност на всеки посещаван от Вас уебсайт.

19. Изменения на Политиката

Дружеството може да актуализира настоящата Политика периодично с оглед промени в законодателството, техническите стандарти или бизнес практиките. При съществени промени ще публикуваме ясно уведомление на Сайта.

Датата на последна актуализация и номерът на версията са посочени в началото на документа. Препоръчваме Ви да проверявате периодично тази страница за актуална информация.

20. Данни за контакт

За всички въпроси, свързани с обработването на лични данни и настоящата Политика, можете да се свържете с нас: