Политика за поверителност

1. Кой обработва данните ви

Администратор на лични данни е Георги Писков, физическо лице, поддържащо независимия проект Proceno (proceno.net). Към момента сайтът работи без юридическо лице. Ако имате въпрос относно личните си данни, пишете на адресите от страница „Контакти".

Този проект е некомерсиален и доброволчески — не извършваме директен маркетинг, не препродаваме данни и не предоставяме данни на трети страни извън техническите услуги, описани по-долу.

2. Какви данни събираме

2.1. При обикновено разглеждане на сайта

• Анонимна статистика на посещенията чрез Plausible Analytics ↗: URL на страницата, referrer, тип устройство, държава (на ниво държава, не град), браузър. Plausible не поставя бисквитки, не съхранява пълния IP адрес и не изгражда профил на потребителя — работи без съгласие и без да ви проследява.
• Google Analytics 4 (Google LLC ↗) — подробна статистика за трафика (прегледани страници, източник, устройство, приблизителна географска локация, анонимен идентификатор client_id). За разлика от Plausible, GA4 поставя бисквитки (_ga, _ga_<ID>) и се зарежда само ако изрично се съгласите чрез банера при първото посещение. GA4 не съхранява пълния IP адрес. Можете да оттеглите съгласието си по всяко време от връзката „Настройки за бисквитки" във footer-а.
• Технически грешки във frontend-а чрез Sentry ↗: stack trace на грешката, URL, браузър и версия. Не ползваме Session Replay, не ползваме Performance Tracing, не записваме клавишни събития или съдържание на формуляри.
• Сървърни логове на хостинга: хостинг провайдърът на сайта поддържа стандартни access logs (IP, timestamp, URL, user-agent) с цел сигурност и предотвратяване на злоупотреби. Срокът за съхранение се регламентира от политиката на провайдъра — за въпроси пиши на hello@proceno.net.

2.2. При регистрация и профил

При създаване и ползване на профил съхраняваме минимума необходими данни:

• имейл адрес;
• уникален потребителски идентификатор (UUID);
• дата на регистрация и последно влизане;
• конфигурация на имейл известия (ключови думи, области);
• Парола НЕ се съхранява в явен вид — управлява се от Supabase Auth ↗ (bcrypt hash) или през external провайдър (Google OAuth).

2.3. При платен абонамент

Платените планове се обработват от външен лицензиран процесор (Stripe). Proceno не съхранява номера на банкови карти, CVV кодове или пълни банкови данни — само идентификатор на абонамента и история на издадените фактури.

3. Цели на обработването и правно основание

• Аналитика на трафика (Plausible) — легитимен интерес (чл. 6, ал. 1, б. „е" GDPR): разбиране на това кои страници са полезни и как да подобрим продукта. Тъй като данните са анонимни и без cookies, не е необходимо изрично съгласие.
• Подробна аналитика (Google Analytics 4) — съгласие (чл. 6, ал. 1, б. „а" GDPR и чл. 4а ЗЕС): зарежда се само след изричен ваш accept в банера за бисквитки. Без съгласие GA4 не се зарежда и не праща данни.
• Грешки и стабилност (Sentry) — легитимен интерес: отстраняване на дефекти.
• Сигурност на хостинга (access logs на хостинг провайдъра) — легитимен интерес: предотвратяване на DDoS, abuse и неоторизиран достъп.
• Регистрация и имейл известия (планирано) — изпълнение на договор (чл. 6, ал. 1, б. „б" GDPR): създаване на профил и предоставяне на услугата, за която потребителят се е регистрирал.
• Платени услуги (планирано) — изпълнение на договор и законови задължения за счетоводна отчетност (чл. 6, ал. 1, б. „б" и „в" GDPR).

4. Срок на съхранение

• Анонимна статистика (Plausible): агрегирана, без срок (не може да се свърже с лице).
• Подробна аналитика (Google Analytics 4): до 14 месеца на ниво потребител/събитие; агрегираните справки остават и след това.
• Грешки (Sentry): 90 дни, след което се изтриват автоматично.
• Сървърни логове (хостинг провайдър): според политиката на съответния провайдър.
• Профил и настройки (когато бъдат активни): до изтриване от потребителя.
• Фактури и платежни записи (когато бъдат активни): 11 години (чл. 38 ДОПК).

5. Получатели и трансфери извън ЕС

Лични данни могат да се обработват от следните доставчици — всички са под GDPR-съвместими договори за обработка (DPA):

• Plausible Analytics — хостинг в ЕС (Германия).
• Google Analytics 4 (Google LLC) — само при съгласие. Прехвърляне към САЩ под EU-US Data Privacy Framework (DPF) и стандартни договорни клаузи (SCC).
• Sentry — frontend bundle сочи към ingest.de.sentry.io (Германия).
• Supabase — база данни и Auth (планирано). Регион ще бъде ЕС.
• Хостинг провайдър на статичните файлове — за конкретния доставчик и DPA статуса му пиши на hello@proceno.net.
• Google OAuth (планирано, опционално) — само ако потребителят избере да влезе с Google акаунт. Прехвърляне към САЩ под SCC и DPF.

6. Вашите права

Съгласно GDPR имате право да:

• знаете какви данни обработваме за вас (право на достъп — чл. 15);
• искате корекция на неточни данни (чл. 16);
• искате изтриване на личните си данни (чл. 17, „право да бъдете забравени");
• искате ограничаване на обработването (чл. 18);
• получите данните си в машинно четим формат (преносимост — чл. 20);
• възразите срещу обработване, основано на легитимен интерес (чл. 21);
• оттеглите съгласие по всяко време (когато обработването е базирано на съгласие);
• подадете жалба до Комисията за защита на личните данни (КЗЛД) ↗.

За упражняване на тези права пишете на адресите от „Контакти". Отговаряме в срок до 30 дни.

7. Бисквитки

По подразбиране сайтът не поставя бисквитки за реклама или маркетинг. Анонимната статистика (Plausible) работи без бисквитки. Google Analytics поставя аналитични бисквитки само след изрично съгласие от банера при първото посещение. Можете да промените или оттеглите съгласието си по всяко време от връзката „Настройки за бисквитки" във footer-а. Подробности — Политика за бисквитките.

8. Сигурност

• HTTPS-only трафик (TLS 1.2+).
• Content-Security-Policy с whitelist на разрешените източници.
• X-Content-Type-Options: nosniff.
• X-Frame-Options срещу clickjacking.
• Парoли (когато бъдат активни): bcrypt hash, без plaintext.
• Production secrets са в environment variables, не в кода.

9. Несовершеннолетни

Сайтът не е насочен към лица под 16 години и не събира съзнателно лични данни от тях. Ако установите подобен случай, моля, свържете се с нас и ще изтрием данните.

10. Промени в политиката

Тази политика може да се актуализира при промяна на функционалност или законодателство. Датата на последна актуализация е посочена в долната част на страницата. Съществени промени ще бъдат комуникирани предварително (напр. чрез банер на сайта или имейл към регистрираните потребители).

11. Свързани документи

• Условия за ползване — какво можете и какво не можете да правите със сайта.
• Политика за бисквитките — кои бисквитки и защо.
• Лиценз — условия за код и данни.
• За проекта — мисия и контекст.