Политика за поверителност

Настоящата Политика за поверителност и защита на личните данни описва как „САНА ТРЕЙД“ ООД обработва лични данни на посетители и клиенти на Sanapharmacy.bg. Политиката е изготвена в съответствие с Регламент (ЕС) 2016/679 (GDPR), Закона за защита на личните данни, Закона за електронната търговия и другото приложимо право. Целта е да получите ясна информация какви данни събираме, откъде ги получаваме, защо ги използваме, на какво основание, за колко време, на кого ги предоставяме и как можете да упражните правата си.

Администратор на личните данни е „САНА ТРЕЙД“ ООД, ЕИК 203447229, ДДС № BG203447229, със седалище и адрес на управление: гр. Варна, ул. „Явор“, бл. 4. За въпроси относно личните данни, упражняване на права, връщания, рекламации и други писмени запитвания можете да пишете на info@sanapharmacy.bg.

Не обозначаваме контактното лице като длъжностно лице по защита на данните, освен ако такова не е официално назначено. Всички искания се насочват към определеното от дружеството отговорно лице.

В зависимост от използваната услуга можем да обработваме имена, телефон, електронна поща, адрес или избран офис/автомат на Спиди, данни за фактура, номер и съдържание на поръчка, цена, отстъпки, статус на плащане и доставка, история на профил, съдържание на кореспонденция, рекламации и връщания. Обработваме и технически данни като IP адрес, идентификатори на устройство и сесия, логове, настройки на браузър, действия по сигурността и данни от бисквитки.

Не получаваме и не съхраняваме номер на банкова карта, CVV/CVC, 3-D парола или други удостоверителни данни за картата. Те се обработват в защитената платежна среда на Банка ДСК или на съответния доставчик на платежната услуга.

Не изискваме да ни изпращате здравни диагнози или друга специална категория данни. Ако доброволно включите такава информация в запитване, обработваме я само доколкото е необходимо за отговора, при подходящо правно основание и повишени мерки за конфиденциалност. Моля, не изпращайте ненужна медицинска информация.

Получаваме данни директно от Вас при поръчка, регистрация, контакт, абонамент, рекламация или връщане; автоматично от устройството и Сайта чрез логове, бисквитки и сходни технологии; и в ограничен обхват от партньори, например статус и референция на плащане от Банка ДСК, както и статус, събитие и доказателство за доставка от Спиди.

Име, телефон, електронна поща и данни за доставка са необходими, за да приемем и изпълним поръчката. Когато се изисква фактура, необходимите данни за нея са задължителни по закон. Без тези данни не можем да сключим или изпълним договора. Създаването на профил, абонаментът за нюзлетър, маркетинговото профилиране и незадължителните бисквитки са доброволни.

5.1. Поръчки, доставка и обслужване

Обработваме данните за приемане на поръчка, сключване и изпълнение на договор, плащане, доставка чрез Спиди, комуникация, връщане и рекламация. Правното основание е чл. 6, параграф 1, буква „б“ GDPR – изпълнение на договор или предприемане на стъпки по Ваше искане преди сключването му.

5.2. Фактуриране, счетоводство и законови задължения

Обработваме данни за издаване и съхранение на счетоводни документи, данъчно отчитане, съдействие на компетентни органи, отговори по законоустановени искания и изпълнение на задължения за безопасност на продуктите. Правното основание е чл. 6, параграф 1, буква „в“ GDPR.

5.3. Сигурност, предотвратяване на измами и правни претенции

Използваме технически логове, информация за поръчки, плащания и доставки за защита от фалшиви поръчки, злоупотреба с промоции, неправомерни оспорвания, атаки и неоторизиран достъп, както и за установяване, упражняване или защита на правни претенции. Правното основание е чл. 6, параграф 1, буква „е“ GDPR – легитимният интерес на дружеството и потребителите към сигурна и законосъобразна услуга. Можете да възразите поради причини, свързани с конкретното Ви положение.

5.4. Нюзлетър, маркетинг, аналитика и ремаркетинг

Изпращаме нюзлетър и активираме аналитични или маркетингови технологии, които не са строго необходими, само след валидно съгласие, освен когато законът допуска конкретна комуникация на друго основание. Правното основание е чл. 6, параграф 1, буква „а“ GDPR. Съгласието може да се оттегли по всяко време чрез линка в съобщението, панела за бисквитки или искане до нас. Оттеглянето не засяга използването на Сайта и подаването на поръчки.

5.5. Потребителски профил

Данните в профила се обработват за предоставяне на поисканата функционалност, история на поръчките и управление на адреси. Основанието е изпълнение на договор по чл. 6, параграф 1, буква „б“ GDPR. Профилът може да бъде закрит по искане, освен ако определени данни трябва да бъдат запазени по закон или за правни претенции.

Онлайн картовото плащане се обработва чрез виртуален ПОС терминал на „Банка ДСК“ АД и, когато е приложимо, чрез поддържани от платежната интеграция Apple Pay или Google Pay. Клиентът въвежда картовите данни в защитената среда на доставчика. Sanapharmacy.bg получава само сума, валута, статус, референция и друга минимално необходима информация, за да свърже плащането с поръчката.

Обработването за разрешаване и изпълнение на плащането е необходимо за договора по чл. 6, параграф 1, буква „б“ GDPR, а съхраняването на платежните и счетоводните записи – за изпълнение на законово задължение по буква „в“. Банка ДСК може да обработва данни и като самостоятелен администратор за свои законови задължения, сигурност, предотвратяване на измами и платежни услуги.

Предоставяме само минимално необходимите данни на получатели, които участват в услугата или имат законово право да ги получат. За доставка предоставяме на „Спиди“ АД име, телефон, адрес или избран офис/автомат, размер на наложен платеж, когато има такъв, и необходимите данни за пратката. Спиди може да обработва част от данните като самостоятелен администратор съобразно своите законови задължения като пощенски оператор.

За плащания предоставяме необходимите трансакционни данни на „Банка ДСК“ АД и свързаните платежни участници. За счетоводство и данъчно отчитане данни могат да бъдат достъпни за счетоводен доставчик, одитор или професионален консултант. За функциониране на Сайта използваме доставчици на хостинг, облачна инфраструктура, електронна търговия, ERP/CRM, имейл и SMS комуникация, клиентска поддръжка, архивиране, киберсигурност, аналитика и управление на съгласията.

Когато външен доставчик действа като обработващ, той обработва данни по наши документирани инструкции и при договорни задължения за конфиденциалност, сигурност, подпроцесори, съдействие при права и изтриване. Данни могат да бъдат разкривани на съд, полиция, КЗП, КЗЛД, НАП, ИАЛ и други компетентни органи само при приложимо правно основание.

Стремим се данните да се обработват в Европейското икономическо пространство. Някои доставчици на аналитика, облачни, имейл или маркетингови услуги могат да осигуряват достъп или съхранение извън ЕИП. В такъв случай използваме решение на Европейската комисия за адекватно ниво, стандартни договорни клаузи (SCC) и, когато е необходимо, допълнителни технически и организационни мерки и оценка на риска.

След съгласие може да се извършва сегментиране на аудитории, анализ на интереси и ремаркетинг, за да се измерват кампании и показват по-релевантни предложения. Това профилиране не поражда правни последици и не засяга значително лицето по сходен начин. Sanapharmacy.bg не взема решения, основани единствено на автоматизирана обработка, които пораждат правни последици по смисъла на чл. 22 GDPR.

Данните за поръчки и договорно обслужване се съхраняват за срока, необходим за изпълнение, връщане, рекламация и защита на претенции. Счетоводните документи и свързаните записи се пазят до 10 години, когато приложимият закон изисква това. Профилът се пази до закриването му, след което данните се изтриват или ограничават, освен ако има друго законово основание.

Запитванията и обикновената кореспонденция обичайно се пазят до една година след приключване, а при спор – до изтичане на съответната давност и окончателното му приключване. Логовете за сигурност обичайно се пазят между 6 и 12 месеца, освен при инцидент или претенция. Данните за нюзлетър и маркетинг се пазят до оттегляне на съгласието, след което може да запазим минимален запис за отказа, за да не изпращаме нови съобщения.

Сроковете на бисквитките и сходните технологии са описани в Политиката за бисквитки и в панела за управление на съгласията.

Прилагаме подходящи технически и организационни мерки съгласно чл. 32 GDPR, включително SSL/TLS криптиране на връзките, ролеви и ограничен достъп, силна автентикация, актуализации и защита на системите, логване и наблюдение на събития, архивиране и възстановяване, процедури за инциденти, обучение и задължения за поверителност, както и договорен контрол върху доставчиците.

При нарушение на сигурността оценяваме риска и, когато законът изисква това, уведомяваме КЗЛД в приложимия срок и засегнатите лица без неоправдано забавяне.

Имате право да получите потвърждение дали обработваме Ваши данни и достъп до тях; да поискате коригиране на неточни данни; изтриване, когато няма основание за запазване; ограничаване на обработването; възражение срещу обработване на основание легитимен интерес и срещу директен маркетинг; както и преносимост за данни, които сте предоставили и които се обработват автоматизирано на основание договор или съгласие.

При преносимост данните се предоставят в структуриран, широко използван и машинночетим формат, когато това е приложимо. Оттеглянето на съгласие не засяга законосъобразността на обработването преди оттеглянето и не възпрепятства поръчки, освен ако конкретната незадължителна услуга изисква съгласие.

Искане се изпраща на info@sanapharmacy.bg и следва да описва желаното действие и достатъчно контекст, например използван имейл или номер на поръчка. За да не разкрием данни на неправилно лице, можем да поискаме разумна допълнителна идентификация. Отговаряме без неоправдано забавяне и по правило до един месец; при сложност срокът може да бъде удължен съгласно GDPR, за което уведомяваме.

Сайтът не е насочен към лица под 16 години и не събираме съзнателно техни данни за маркетинг или профил без валидно основание. Ако узнаем, че са предоставени данни на дете без необходимото разрешение, предприемаме разумни действия за изтриването им. Родител или настойник може да се свърже с нас на посочения адрес.

Ако считате, че обработването нарушава правата Ви, можете да се свържете първо с нас за доброволно разрешаване. Имате право и да подадете жалба до Комисията за защита на личните данни, гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, чрез официалните канали на комисията.

Подробна информация за бисквитките, категориите, доставчиците, сроковете и управлението на съгласието се съдържа в отделната Политика за бисквитки и в панела „Настройки на бисквитките“ на Сайта.

Можем да актуализираме тази политика при промяна на закона, услугите, доставчиците или технологиите. Актуалната версия се публикува с дата. При съществена промяна можем да покажем видимо уведомление на Сайта и/или да изпратим електронно съобщение, когато разполагаме с подходящ контакт и правно основание.