Политика за поверителност

1. Кой обработва данните ви

Администратор на лични данни е Георги Писков, физическо лице, поддържащо независимия проект Proceno (proceno.net). Към момента сайтът работи без юридическо лице. Ако имате въпрос относно личните си данни, пишете на адресите от страница „Контакти".

Този проект е некомерсиален и доброволчески — не извършваме директен маркетинг, не препродаваме данни и не предоставяме данни на трети страни извън техническите услуги, описани по-долу.

2. Какви данни събираме

2.1. При обикновено разглеждане на сайта

• Анонимна статистика на посещенията чрез Plausible Analytics ↗: URL на страницата, referrer, тип устройство, държава (на ниво държава, не град), браузър. Plausible не поставя бисквитки, не съхранява пълния IP адрес и не изгражда профил на потребителя — затова сайтът няма cookie banner за аналитика.
• Технически грешки във frontend-а чрез Sentry ↗: stack trace на грешката, URL, браузър и версия. Не ползваме Session Replay, не ползваме Performance Tracing, не записваме клавишни събития или съдържание на формуляри.
• Сървърни логове на хостинга: GitHub Pages (Microsoft Corporation) поддържа стандартни access logs (IP, timestamp, URL, user-agent) с цел сигурност и предотвратяване на злоупотреби. Срокът за съхранение и обработката се регламентират от Privacy Statement на GitHub ↗.

2.2. При регистрация (планирана функционалност)

Регистрацията на профил все още не е активна. Когато бъде пусната (планирано в issue #74), ще съхраняваме минимума необходими данни:

• имейл адрес;
• уникален потребителски идентификатор (UUID);
• дата на регистрация и последно влизане;
• конфигурация на имейл известия (ключови думи, области);
• Парола НЕ се съхранява в явен вид — управлява се от Supabase Auth ↗ (bcrypt hash) или през external провайдър (Google OAuth).

2.3. При платен абонамент (планирана функционалност)

Платените планове все още не са активни (виж Планове и цени). Когато бъдат пуснати, плащанията ще се обработват от външен лицензиран процесор (напр. Stripe). Proceno няма да съхранява номера на банкови карти, CVV кодове или пълни банкови данни — само идентификатор на абонамента и история на издадените фактури.

3. Цели на обработването и правно основание

• Аналитика на трафика (Plausible) — легитимен интерес (чл. 6, ал. 1, б. „е" GDPR): разбиране на това кои страници са полезни и как да подобрим продукта. Тъй като данните са анонимни и без cookies, не е необходимо изрично съгласие.
• Грешки и стабилност (Sentry) — легитимен интерес: отстраняване на дефекти.
• Сигурност на хостинга (GitHub Pages access logs) — легитимен интерес: предотвратяване на DDoS, abuse и неоторизиран достъп.
• Регистрация и имейл известия (планирано) — изпълнение на договор (чл. 6, ал. 1, б. „б" GDPR): създаване на профил и предоставяне на услугата, за която потребителят се е регистрирал.
• Платени услуги (планирано) — изпълнение на договор и законови задължения за счетоводна отчетност (чл. 6, ал. 1, б. „б" и „в" GDPR).

4. Срок на съхранение

• Анонимна статистика (Plausible): агрегирана, без срок (не може да се свърже с лице).
• Грешки (Sentry): 90 дни, след което се изтриват автоматично.
• Сървърни логове (GitHub Pages): според политиката на GitHub.
• Профил и настройки (когато бъдат активни): до изтриване от потребителя.
• Фактури и платежни записи (когато бъдат активни): 11 години (чл. 38 ДОПК).

5. Получатели и трансфери извън ЕС

Лични данни могат да се обработват от следните доставчици — всички са под GDPR-съвместими договори за обработка (DPA):

• Plausible Analytics — хостинг в ЕС (Германия).
• Sentry — frontend bundle сочи към ingest.de.sentry.io (Германия).
• Supabase — база данни и Auth (планирано). Регион ще бъде ЕС.
• GitHub Pages (Microsoft) — хостинг на статичните файлове. Прехвърляне към САЩ под Standard Contractual Clauses (SCC) и Data Privacy Framework.
• Google OAuth (планирано, опционално) — само ако потребителят избере да влезе с Google акаунт. Прехвърляне към САЩ под SCC и DPF.

6. Вашите права

Съгласно GDPR имате право да:

• знаете какви данни обработваме за вас (право на достъп — чл. 15);
• искате корекция на неточни данни (чл. 16);
• искате изтриване на личните си данни (чл. 17, „право да бъдете забравени");
• искате ограничаване на обработването (чл. 18);
• получите данните си в машинно четим формат (преносимост — чл. 20);
• възразите срещу обработване, основано на легитимен интерес (чл. 21);
• оттеглите съгласие по всяко време (когато обработването е базирано на съгласие);
• подадете жалба до Комисията за защита на личните данни (КЗЛД) ↗.

За упражняване на тези права пишете на адресите от „Контакти". Отговаряме в срок до 30 дни.

7. Бисквитки

Към момента сайтът не поставя бисквитки за аналитика или маркетинг. Когато бъдат активирани функции, изискващи бисквитки (напр. session cookie за вход, запазване на тъмна тема), ще ви помолим за съгласие при първото посещение. Подробности — Политика за бисквитките.

8. Сигурност

• HTTPS-only трафик (TLS 1.2+).
• Content-Security-Policy с whitelist на разрешените източници.
• X-Content-Type-Options: nosniff.
• X-Frame-Options срещу clickjacking.
• Парoли (когато бъдат активни): bcrypt hash, без plaintext.
• Production secrets са в environment variables, не в кода.

9. Несовершеннолетни

Сайтът не е насочен към лица под 16 години и не събира съзнателно лични данни от тях. Ако установите подобен случай, моля, свържете се с нас и ще изтрием данните.

10. Промени в политиката

Тази политика може да се актуализира при промяна на функционалност или законодателство. Датата на последна актуализация е посочена в долната част на страницата. Съществени промени ще бъдат комуникирани предварително (напр. чрез банер на сайта или имейл към регистрираните потребители).

11. Свързани документи

• Условия за ползване — какво можете и какво не можете да правите със сайта.
• Политика за бисквитките — кои бисквитки и защо.
• Лиценз — условия за код и данни.
• За проекта — мисия и контекст.