Политика за поверителност
Как „ДО БГ“ ЕООД обработва личните данни в ood.bg съгласно GDPR.
В сила от 31.10.2026 г. Тази политика описва как обработваме личните данни при ползване на уебсайта ood.bg, уеб приложението ood.bg, демото, API и MCP сървъра и при комуникация с нас — съгласно Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни.
1. Кой е администраторът
1.1. Администратор на личните данни е „ДО БГ“ ЕООД (DOBG Ltd.), ЕИК 148050836, със седалище в гр. Варна (наричано по-долу „ние“ или „Операторът“). За всички въпроси за личните данни: [email protected].
1.2. Не сме определили длъжностно лице по защита на данните, тъй като дейността ни не попада в случаите на чл. 37 GDPR. Исканията по тази политика се разглеждат от отговорно лице на Оператора.
2. Две роли: администратор и обработващ
2.1. Ние сме администратор на данните на Профила, на плащанията на плановете, на сигурността на Платформата, на уебсайта, на демото и на комуникацията с нас. За тях се прилага тази политика.
2.2. Ние сме обработващ за данните, които фирмите въвеждат в Платформата за своите партньори, клиенти, доставчици, служители и други лица (например в документи, партньорски карти и сканирани файлове). Администратор на тези данни е съответната фирма. Обработваме ги само по нейни указания съгласно споразумението по чл. 28 GDPR в Приложение 1 към Общите условия. Ако сте партньор на фирма, която ползва ood.bg, и искате да упражните правата си, обърнете се към тази фирма; ние ще ѝ съдействаме.
3. Какви данни обработваме и защо
| Данни | Цел | Правно основание (GDPR) |
|---|---|---|
| Профил — име, имейл, парола (само хеш), телефон и снимка (по желание), език и настройки | регистрация, вход, ползване на Услугите | изпълнение на договор — чл. 6, пар. 1, б. „б“ |
| Вход чрез Google или Facebook — име, имейл и идентификатор от съответния профил | вход без парола, по Ваш избор | изпълнение на договор — чл. 6, пар. 1, б. „б“ |
| Двуфакторна защита и ключове за достъп — тайни ключове (криптирани), публични ключове на passkey, резервни кодове (хеширани) | защита на Профила | изпълнение на договор и законен интерес от сигурност — б. „б“ и „е“ |
| Фирми — наименование, ЕИК, ДДС №, адрес, МОЛ, банкови сметки, лого, роли и права на екипа | работа с фирмите в Платформата | изпълнение на договор — б. „б“ |
| Плащания на планове — план, период, суми, ДДС, статус, фактури; данните на картата се обработват само от Stripe | плащане, фактуриране, счетоводство | договор — б. „б“; законово задължение (ЗДДС, Закон за счетоводството) — б. „в“ |
| Сигурност и журнали — IP адрес, браузър, дата и час на вход, активни сесии, журнал на действията във фирмата, опити за неуспешен вход | сигурност, предотвратяване на злоупотреби, доказване при спор | законен интерес — б. „е“ |
| AI асистент D.O.B.I. — въпросите Ви, отговорите и използваните данни от фирмата | отговори и чернови по Ваша заявка | изпълнение на договор — б. „б“ |
| Публични линкове към документи — достъп с код, дата, час, IP адрес, подпис с код | защитен достъп на получателя, доказване на получаване и подпис | законен интерес на фирмата и на Оператора — б. „е“ |
| Комуникация — запитвания, обратна връзка, кореспонденция | отговор и подобряване на Услугите | законен интерес — б. „е“; договор — б. „б“ |
| Демо — имейлът, на който поискате линк, и дали сте дали съгласие за писмо след демото | изпращане на линка; едно писмо след демото | законен интерес — б. „е“; съгласие — б. „а“ |
| Маркетинг — имейл, предпочитания | новини за продукти и услуги на ood.bg | съгласие — б. „а“ (можете да го оттеглите по всяко време) |
| Уебсайт — технически журнали на сървъра (IP адрес, дата и час, заявен адрес, браузър) | работа и сигурност на сайта | законен интерес — б. „е“ |
3.1. Данните получаваме от Вас, от членовете на екипа, които Ви канят, от Google или Facebook (ако изберете такъв вход), от Stripe (статус на плащането) и от публичния регистър VIES на Европейската комисия (данни на фирми по ДДС номер).
3.2. Предоставянето на данните за Профила и за плащане е необходимо за сключване и изпълнение на договора. Без тях не можем да предоставим Услугите. Останалите данни са по Ваш избор.
4. AI асистентът D.O.B.I.
4.1. Когато зададете въпрос на D.O.B.I., Платформата извлича от данните на избраната фирма само необходимото за отговора, в рамките на Вашите права, и го изпраща на доставчик на AI модел за генериране на отговора.
4.2. Данни, които съдържат лична информация, се изпращат само на доставчици, с които имаме договор за обработване на данни и които по договор не използват подадените през API данни за обучение на моделите си (към момента — OpenAI, Google и Anthropic). Ние също не използваме Вашите данни за обучение на AI модели.
4.3. Историята на разговорите с D.O.B.I. се пази 90 дни, след което се изтрива автоматично. Собственикът на фирмата може да изключи AI функциите.
4.4. D.O.B.I. не взема решения вместо Вас: всяко изпращане, издаване, плащане или промяна изисква Вашето „Одобри“. Не вземаме решения, основани единствено на автоматизирано обработване, които пораждат правни последствия за Вас или Ви засягат в значителна степен (чл. 22 GDPR).
5. Получатели и подизпълнители
5.1. Хостинг. Данните на Платформата се съхраняват и обработват на собствени сървъри на Оператора в Европейския съюз. Резервните копия се криптират преди да напуснат сървъра; когато се съхраняват при външен доставчик, той няма достъп до съдържанието им.
5.2. Предоставяме данни само в необходимия обем на:
- Stripe — обработване на плащанията на плановете (данни за картата, сума, имейл);
- OpenAI, Google и Anthropic (Claude) — генериране на отговорите на D.O.B.I. (по т. 4), само когато ползвате AI функциите;
- Google и Meta (Facebook) — само ако изберете вход чрез съответния профил;
- Cloudflare — защита на формата за регистрация от ботове (Turnstile): техническа информация за браузъра и IP адреса;
- доставчици на услуги за доставка на електронна поща — изпращане на документи, известия и системни съобщения;
- Европейската комисия (VIES) — проверка на ДДС номера, които въвеждате;
- доставчици на платежни услуги, избрани от фирмата (например ePay.bg, Paysera, PayPal, Stripe) — когато получател плаща документ онлайн;
- получатели, които Вие посочите — например клиентите, на които изпращате документи;
- държавни органи — когато сме длъжни по закон (например НАП, съд, прокуратура), само при законово основание;
- счетоводители, юристи и одитори на Оператора — при задължение за поверителност.
5.3. Не продаваме лични данни и не ги предоставяме на трети лица за реклама.
6. Предаване извън Европейското икономическо пространство
Някои от доставчиците по т. 5.2 (например Stripe, OpenAI, Google, Anthropic, Meta, Cloudflare) могат да обработват данни в САЩ или други трети държави. В тези случаи предаването се извършва въз основа на решението на Европейската комисия за адекватно ниво на защита по Рамката за защита на данните между ЕС и САЩ (за сертифицираните дружества) или на стандартни договорни клаузи, одобрени от Европейската комисия (Решение за изпълнение (ЕС) 2021/914), с допълнителни мерки при нужда. Можете да поискате информация за приложимите гаранции на [email protected].
7. Срокове на съхранение
| Данни | Срок |
|---|---|
| Профил и фирми | докато Профилът е активен; при искане за изтриване — изтриване в срок от 30 дни |
| Документи и данни на фирмата | докато фирмата съществува в Платформата и още най-малко 30 дни след прекратяване за изтегляне; фирмата отговаря за собствените си законови срокове за съхранение |
| Фактури и счетоводни данни за плащания на планове | за сроковете по Закона за счетоводството и данъчното законодателство (до 10 години) |
| Журнали за сигурност и действия | докато е необходимо за сигурността и доказването на действия, но не повече от 5 години след последното ползване на Профила |
| История на разговорите с D.O.B.I. | 90 дни |
| Демо — имейл без съгласие | 30 дни; със съгласие — 12 месеца или до отписване |
| Маркетингово съгласие | до оттеглянето му |
| Технически журнали на уебсайта | кратко, обикновено до 30 дни |
| Резервни копия | изтриването се отразява при следващата им ротация |
Когато срокът изтече, данните се изтриват или анонимизират, освен ако закон изисква по-дълго съхранение или са необходими за защита при правен спор — тогава само докато трае необходимостта.
8. Вашите права
Имате право на:
- достъп — да получите потвърждение и копие от данните си (чл. 15);
- коригиране на неточни или непълни данни (чл. 16);
- изтриване — „право да бъдеш забравен“ (чл. 17);
- ограничаване на обработването (чл. 18);
- преносимост — да получите данните си в структуриран, машинночетим формат или да бъдат прехвърлени към друг администратор (чл. 20);
- възражение срещу обработване на основание законен интерес, а срещу директен маркетинг — по всяко време и без обосновка (чл. 21);
- оттегляне на съгласие по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето (чл. 7, пар. 3);
- жалба до Комисията за защита на личните данни или до съда (чл. 77 и 79).
Голяма част от правата упражнявате сами от страницата „Профил“ — корекция, изтегляне на данните (JSON), искане за изтриване, известия. За останалото пишете на [email protected]. Отговаряме без неоправдано забавяне и най-късно в срок от един месец; при сложни или многобройни искания срокът може да бъде удължен с още два месеца, за което Ви уведомяваме. Упражняването на правата е безплатно. Може да поискаме допълнителна информация, за да потвърдим самоличността Ви.
9. Сигурност
Прилагаме подходящи технически и организационни мерки: криптирана връзка (TLS), криптиране на чувствителните данни, хеширане на паролите, двуфакторна защита и ключове за достъп (passkeys), изолация на данните на всяка фирма на ниво база данни, контрол на достъпа по роли, журнал на действията, криптирани резервни копия и редовна проверка на мерките. Подробности — на страница Сигурност.
При нарушение на сигурността на личните данни уведомяваме Комисията за защита на личните данни в срок до 72 часа, а засегнатите лица — без неоправдано забавяне, когато нарушението създава висок риск за техните права (чл. 33 и 34 GDPR).
10. Деца
Услугите са предназначени за фирми и професионалисти и не са насочени към лица под 18 години. Не събираме съзнателно данни на деца. Ако смятате, че дете ни е предоставило данни, пишете ни и ще ги изтрием.
11. Бисквитки
Уебсайтът ood.bg не използва рекламни или проследяващи бисквитки. Приложението използва само необходими бисквитки за вход, сигурност и език. Подробности — в Политиката за бисквитки.
12. Промени
Може да актуализираме тази политика при промяна в Услугите, в доставчиците или в законодателството. За съществени промени уведомяваме регистрираните потребители по имейл или в Платформата преди влизането им в сила. Датата на актуалната версия е посочена в началото.
13. Надзорен орган
Комисия за защита на личните данни (КЗЛД) — София 1592, бул. „Проф. Цветан Лазаров“ № 2, тел. 02 91 53 518, [email protected], cpdp.bg.
Ако пребивавате в друга държава от ЕС, можете да подадете жалба и до надзорния орган в нея.