Политика за поверителност

1. Кой обработва данните ви

Администратор на лични данни е „БАРИН АЛП" ЕООД (ЕИК 202151992, седалище: гр. Смолян, ул. „Миньорска" № 1) — дружеството, което разработва и поддържа платформата Proceno (proceno.net). Ако имате въпрос относно личните си данни, пишете на info@proceno.net или през страница „Контакти".

Не продаваме и не препродаваме лични данни и не ги предоставяме на трети страни извън техническите доставчици, описани по-долу.

2. Какви данни събираме

2.1. При обикновено разглеждане на сайта

• Анонимна статистика на посещенията чрез Plausible Analytics ↗: URL на страницата, referrer, тип устройство, държава (на ниво държава, не град), браузър. Plausible не поставя бисквитки, не съхранява пълния IP адрес и не изгражда профил на потребителя — работи без съгласие и без да ви проследява.
• Google Analytics 4 (Google LLC ↗) — подробна статистика за трафика (прегледани страници, източник, устройство, приблизителна географска локация, анонимен идентификатор client_id). За разлика от Plausible, GA4 поставя бисквитки (_ga, _ga_<ID>) и се зарежда само ако изрично се съгласите чрез банера при първото посещение. GA4 не съхранява пълния IP адрес. Можете да оттеглите съгласието си по всяко време от връзката „Настройки за бисквитки" във footer-а.
• Технически грешки във frontend-а чрез Sentry ↗: stack trace на грешката, URL, браузър и версия. Не ползваме Session Replay, не ползваме Performance Tracing, не записваме клавишни събития или съдържание на формуляри.
• Сървърни логове на хостинга: хостинг провайдърът на сайта поддържа стандартни access logs (IP, timestamp, URL, user-agent) с цел сигурност и предотвратяване на злоупотреби. Срокът за съхранение се регламентира от политиката на провайдъра — за въпроси пиши на info@proceno.net.

2.2. При регистрация и профил

При създаване и ползване на профил съхраняваме минимума необходими данни:

• имейл адрес;
• уникален потребителски идентификатор (UUID);
• дата на регистрация и последно влизане;
• конфигурация на имейл известия (ключови думи, области);
• Парола НЕ се съхранява в явен вид — управлява се от Supabase Auth ↗ (bcrypt hash) или през external провайдър (Google OAuth).

2.3. При платен абонамент

Платените планове се обработват от външен лицензиран процесор (Stripe). Proceno не съхранява номера на банкови карти, CVV кодове или пълни банкови данни — само идентификатор на абонамента и история на издадените фактури.

2.4. При ползване на AI генераторите

При ползване на генераторите (техническо предложение, остойностяване на КСС, календарен график, анализ на единични цени) съхраняваме качените от вас документи и генерираните резултати, свързани с вашия профил, в базата данни на платформата (Supabase, регион ЕС). За тях важи:

• Съдържанието се обработва от доставчици на AI модели единствено за изпълнение на конкретната заявка — не се използва за обучение на модели и не се споделя с други клиенти.
• Качените документи може да съдържат лични данни на трети лица (напр. автобиографии на експерти) — за тях вие сте администратор, а ние — обработващ по чл. 28 GDPR. Не качвайте лични данни, които не са необходими за услугата.
• При поискване на info@proceno.net изтриваме качените документи и генерираните резултати.

2.5. При ползване на „ЕЕДОП асистент“ (фирмено досие)

Модулът „ЕЕДОП асистент“ изисква да опишете фирмата си във фирмено досие, за да може системата да попълни ЕЕДОП вместо вас. Това е мястото в платформата, където съхраняваме най-подробни лични данни — включително на трети лица по ваше указание. Конкретно съхраняваме:

• За представителите на дружеството (лицата, които се вписват в част II на ЕЕДОП): имена, дата и място на раждане, адрес, качество/длъжност и данни за контакт. Дата и място на раждане са задължителни полета в самия образец на ЕЕДОП по Регламент за изпълнение (ЕС) 2016/7 — събираме ги, защото документът ги изисква, и ги ползваме единствено за попълването му.
• За специалистите и експертите: имена, позиция, образование и специалност, професионален опит, както и качените удостоверения, дипломи и талони (PDF файлове).
• За фирмата: обекти и референции, сертификати (ЦПРС, ISO), застраховки, техника и отчетни данни, заедно със съответните документи.
• Документацията на процедурата, която качвате (обявление, указания на възложителя), и генерираните от вас ЕЕДОП файлове.

За данните на трети лица вие сте администратор, а Proceno — обработващ по чл. 28 GDPR: вие трябва да имате основание да ги обработвате и да сте информирали съответните лица. Въвеждайте само данните, необходими за конкретната процедура.

• Достъп: досието е видимо единствено за акаунта, който го е създал. Файловете се пазят в частно хранилище и се отварят само през временни връзки с кратък срок на валидност.
• Към AI: към доставчика на AI модела се изпраща само документацията на процедурата (публичен документ на възложителя) — за да бъдат извлечени изискванията. Данните от досието (представители, специалисти, обекти) не се изпращат към AI модел.
• Срок на съхранение: пазим данните, докато вие ги изтриете. Изтриването на фирма от досието премахва всички свързани записи и качени файлове, включително от хранилището. Същото важи при закриване на акаунта или при поискване на info@proceno.net.
• Няма автоматично подаване: Proceno не подава и не подписва нищо от ваше име — генерираните файлове сваляте, подписвате с КЕП извън платформата и качвате в ЦАИС ЕОП сами.

3. Цели на обработването и правно основание

• Аналитика на трафика (Plausible) — легитимен интерес (чл. 6, ал. 1, б. „е" GDPR): разбиране на това кои страници са полезни и как да подобрим продукта. Тъй като данните са анонимни и без cookies, не е необходимо изрично съгласие.
• Подробна аналитика (Google Analytics 4) — съгласие (чл. 6, ал. 1, б. „а" GDPR и чл. 4а ЗЕС): зарежда се само след изричен ваш accept в банера за бисквитки. Без съгласие GA4 не се зарежда и не праща данни.
• Грешки и стабилност (Sentry) — легитимен интерес: отстраняване на дефекти.
• Сигурност на хостинга (access logs на хостинг провайдъра) — легитимен интерес: предотвратяване на DDoS, abuse и неоторизиран достъп.
• Регистрация и имейл известия — изпълнение на договор (чл. 6, ал. 1, б. „б" GDPR): създаване на профил и предоставяне на услугата, за която потребителят се е регистрирал.
• Платени услуги и AI генерации — изпълнение на договор и законови задължения за счетоводна отчетност (чл. 6, ал. 1, б. „б" и „в" GDPR).

4. Срок на съхранение

• Анонимна статистика (Plausible): агрегирана, без срок (не може да се свърже с лице).
• Подробна аналитика (Google Analytics 4): до 14 месеца на ниво потребител/събитие; агрегираните справки остават и след това.
• Грешки (Sentry): 90 дни, след което се изтриват автоматично.
• Сървърни логове (хостинг провайдър): според политиката на съответния провайдър.
• Профил и настройки: до изтриване от потребителя.
• Качени документи и генерирани резултати: до изтриване от потребителя или при поискване (т. 2.4).
• Фактури и платежни записи: 11 години (чл. 38 ДОПК).

5. Получатели и трансфери извън ЕС

Лични данни могат да се обработват от следните доставчици — всички са под GDPR-съвместими договори за обработка (DPA):

• Plausible Analytics — хостинг в ЕС (Германия).
• Google Analytics 4 (Google LLC) — само при съгласие. Прехвърляне към САЩ под EU-US Data Privacy Framework (DPF) и стандартни договорни клаузи (SCC).
• Sentry — frontend bundle сочи към ingest.de.sentry.io (Германия).
• Supabase — база данни, Auth и файлово съхранение. Регион ЕС.
• Stripe — обработка на плащания и издаване на фактури. За платежните данни Stripe действа и като самостоятелен администратор.
• Доставчици на AI модели (OpenRouter и съответните доставчици на големи езикови модели) — само съдържанието, необходимо за изпълнение на заявена от вас генерация (т. 2.4). Възможен трансфер към САЩ под стандартни договорни клаузи (SCC); данните не се използват за обучение на модели.
• Хостинг провайдър на статичните файлове — за конкретния доставчик и DPA статуса му пиши на info@proceno.net.
• Google OAuth (опционално) — само ако потребителят избере да влезе с Google акаунт. Прехвърляне към САЩ под SCC и DPF.

6. Вашите права

Съгласно GDPR имате право да:

• знаете какви данни обработваме за вас (право на достъп — чл. 15);
• искате корекция на неточни данни (чл. 16);
• искате изтриване на личните си данни (чл. 17, „право да бъдете забравени");
• искате ограничаване на обработването (чл. 18);
• получите данните си в машинно четим формат (преносимост — чл. 20);
• възразите срещу обработване, основано на легитимен интерес (чл. 21);
• оттеглите съгласие по всяко време (когато обработването е базирано на съгласие);
• подадете жалба до Комисията за защита на личните данни (КЗЛД) ↗.

За упражняване на тези права пишете на адресите от „Контакти". Отговаряме в срок до 30 дни.

7. Бисквитки

По подразбиране сайтът не поставя бисквитки за реклама или маркетинг. Анонимната статистика (Plausible) работи без бисквитки. Google Analytics поставя аналитични бисквитки само след изрично съгласие от банера при първото посещение. Можете да промените или оттеглите съгласието си по всяко време от връзката „Настройки за бисквитки" във footer-а. Подробности — Политика за бисквитките.

8. Сигурност

• HTTPS-only трафик (TLS 1.2+).
• Content-Security-Policy с whitelist на разрешените източници.
• X-Content-Type-Options: nosniff.
• X-Frame-Options срещу clickjacking.
• Парoли (когато бъдат активни): bcrypt hash, без plaintext.
• Production secrets са в environment variables, не в кода.

9. Непълнолетни

Сайтът не е насочен към лица под 16 години и не събира съзнателно лични данни от тях. Ако установите подобен случай, моля, свържете се с нас и ще изтрием данните.

10. Промени в политиката

Тази политика може да се актуализира при промяна на функционалност или законодателство. Датата на последна актуализация е посочена в долната част на страницата. Съществени промени ще бъдат комуникирани предварително (напр. чрез банер на сайта или имейл към регистрираните потребители).

11. Свързани документи

• Условия за ползване — какво можете и какво не можете да правите със сайта.
• Политика за бисквитките — кои бисквитки и защо.
• Лиценз и съдържание — права върху кода, данните и документите.
• За проекта — мисия и контекст.