Декларация за обработване на лични данни

1. Администратор на лични данни

„Ноар Дюнс“ ЕООД е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 (GDPR). Администраторът определя целите и средствата за обработване на личните данни на клиентите и посетителите на електронния магазин www.noirdunes.com.

Наименование: „Ноар Дюнс“ ЕООД

ЕИК: 208718816

ДДС номер: BG208718816

Седалище: гр. София 1137, р-н Панчарево, ул. „Златна ябълка“ № 1, Оазис Резидънс София

Управител: Борислав Крумов

Имейл: info@noirdunes.com

Телефон: +359 877 438 632

2. Категории субекти на данни

Администраторът обработва лични данни на следните категории субекти:

• Клиенти: физически лица, които извършват покупки чрез Сайта или по телефона, включително като гости (без регистрация);
• Регистрирани потребители: физически лица, които са създали потребителски акаунт на Сайта;
• Абонати на нюзлетър: физически лица, които доброволно са се абонирали за получаване на маркетингови съобщения;
• Посетители на Сайта: физически лица, които посещават Сайта, без задължително да извършват покупка;
• Контрагенти: представители на юридически лица (фирми), които заявяват фактура.

3. Категории лични данни

3.1. Идентификационни данни

• Три имена;
• Електронен адрес (имейл);
• Телефонен номер;
• Адрес за доставка (град, пощенски код, улица, номер, вход, етаж, апартамент).

3.2. Данни за фактуриране (при юридически лица)

• Наименование на фирма;
• ЕИК / Булстат;
• ДДС номер;
• Адрес по регистрация;
• МОЛ (материално отговорно лице).

3.3. Данни за плащане

Администраторът НЕ събира и НЕ съхранява пълни данни за банкови карти. Картовите плащания се обработват изцяло от Stripe. Администраторът получава единствено: статус на транзакцията, последните 4 цифри на картата, вид на картата (Visa/Mastercard) и дата на плащане.

3.4. Данни за акаунт

• Електронен адрес;
• Парола (съхранявана в хеширан вид);
• История на поръчките.

3.5. Технически данни (събирани автоматично)

• IP адрес;
• Вид и версия на браузъра;
• Операционна система и устройство;
• Дата и час на посещение;
• Посетени страници и действия на Сайта;
• Данни от бисквитки (cookies).

4. Регистър на дейностите по обработване

Съгласно чл. 30 от GDPR, Администраторът поддържа регистър на дейностите по обработване. По-долу е представено обобщение на основните дейности:

5. Обработващи лични данни (процесори)

Администраторът може да възлага обработката на лични данни на следните категории обработващи лица (процесори по смисъла на чл. 28 от GDPR):

• Stripe, Inc. (САЩ/ЕС): обработка на картови плащания. Stripe действа като независим администратор за част от данните и като обработващ за друга част. Предаването на данни извън ЕИП се извършва въз основа на стандартни договорни клаузи (СДК).
• Спиди АД (България): куриерска доставка. Получава имена, адрес и телефон на получателя.
• BoxNow (Гърция/България): доставка до автомат. Получава имейл и телефон за изпращане на код за получаване.
• Хостинг доставчик: сървърна инфраструктура, на която се съхраняват данните на Сайта. Обработва технически данни и данни за поръчки.
• Счетоводна компания: обработва фактурни и финансови данни за целите на данъчната и счетоводна отчетност.

С всички обработващи лица Администраторът е сключил или ще сключи договор/споразумение за обработка на данни (DPA), съгласно чл. 28 от GDPR, гарантиращо прилагането на подходящи технически и организационни мерки за защита.

6. Предаване на данни в трети държави

При необходимост данни могат да бъдат предавани извън Европейското икономическо пространство (ЕИП), единствено при наличие на подходящи гаранции:

• Стандартни договорни клаузи (СДК) по чл. 46, ал. 2, б. „в“ от GDPR;
• Решение за адекватност на Европейската комисия по чл. 45 от GDPR.

Към момента единственият доставчик, при когото е възможно предаване извън ЕИП, е Stripe, Inc. (САЩ), за което са в сила стандартни договорни клаузи.

7. Технически и организационни мерки за защита

В съответствие с чл. 32 от GDPR, Администраторът прилага следните мерки за осигуряване на подходящо ниво на сигурност:

Технически мерки:

• SSL/TLS криптиране на цялата комуникация между Клиента и Сайта;
• Обработка на картови плащания изцяло чрез Stripe (PCI DSS Level 1);
• Хеширане на паролите на потребителите;
• Редовно актуализиране на софтуера и системите за сигурност;
• Автоматичен мониторинг за подозрителна активност.

Организационни мерки:

• Ограничен достъп до лични данни — само за оторизирани лица, при принципа „необходимост да се знае“ (need-to-know);
• Договори за обработка на данни (DPA) с всички процесори;
• Политика за реагиране при нарушение на сигурността на данните (data breach);
• Периодичен преглед и актуализация на мерките за сигурност.

8. Действия при нарушение на сигурността на данните

В случай на нарушение на сигурността на личните данни (data breach), Администраторът:

• Уведомява Комисията за защита на личните данни (КЗЛД) в срок до 72 часа от узнаването, съгласно чл. 33 от GDPR, освен ако нарушението не е вероятно да породи риск за правата и свободите на субектите;
• Уведомява засегнатите субекти на данни без неоправдано забавяне, ако нарушението може да породи висок риск за техните права и свободи, съгласно чл. 34 от GDPR;
• Документира всяко нарушение, включително фактите, последиците и предприетите коригиращи мерки.

9. Оценка на въздействието върху защитата на данните (ОВЗД)

Към момента Администраторът не извършва обработване, което да изисква задължителна Оценка на въздействието върху защитата на данните (DPIA) по чл. 35 от GDPR. При въвеждане на нови технологии или дейности по обработване, които биха могли да породят висок риск за правата на субектите, Администраторът ще извърши ОВЗД преди началото на обработването.

10. Права на субектите на данни

Всеки субект на данни има следните права, гарантирани от GDPR:

• Право на достъп (чл. 15): да получи информация дали се обработват негови данни и да получи копие;
• Право на коригиране (чл. 16): да поиска поправка на неточни или непълни данни;
• Право на изтриване (чл. 17): да поиска заличаване на данните, когато вече не са необходими или когато оттегли съгласието си;
• Право на ограничаване (чл. 18): да поиска временно спиране на обработката при определени условия;
• Право на преносимост (чл. 20): да получи данните си в машинно четим формат и да ги прехвърли на друг администратор;
• Право на възражение (чл. 21): да възрази срещу обработка, основана на легитимен интерес или за директен маркетинг;
• Право да не бъде обект на автоматизирано решение (чл. 22): да не бъде обект на решение, основано единствено на автоматизирана обработка, включително профилиране, което поражда правни последици.

Заявления за упражняване на права се подават на info@noirdunes.com. Администраторът отговаря в срок до 30 (тридесет) календарни дни. При сложни или множество искания срокът може да бъде удължен с до 60 дни, за което субектът ще бъде уведомен.

Право на жалба:

Всеки субект на данни има право да подаде жалба до Комисията за защита на личните данни (КЗЛД):

Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2

Телефон: 02/915 35 18

Уеб сайт: www.cpdp.bg

Имейл: kzld@cpdp.bg

11. Промени в настоящата декларация

Администраторът си запазва правото да актуализира настоящата Декларация при промяна в законодателството, в дейностите по обработване или при въвеждане на нови услуги. Актуализираната версия ще бъде публикувана на Сайта с нова дата на последна актуализация.

12. Контакт

За въпроси относно обработката на лични данни, упражняване на права или подаване на оплаквания:

Администратор: „Ноар Дюнс“ ЕООД

Електронна поща: info@noirdunes.com

Телефон: +359 877 438 632

Адрес: гр. София 1137, р-н Панчарево, ул. „Златна ябълка“ № 1, Оазис Резидънс София