Политика за поверителност

1. Кои сме ние

Sandanski.town е местна онлайн платформа за град Сандански, България. Клиентите я използват, за да намират местни бизнеси, да поръчват храна, да резервират маси, услуги и стаи и да запазват торбички в края на деня. Бизнесите я използват за своята публична страница, меню, поръчки и резервации.

Администратор на описаните тук лични данни е:

• Sandanski.town
• Контакт: Форма за контакт

Всеки бизнес в сайта отговаря за това как използва данните за поръчки и резервации, които получава от вас, например за доставка, фактури или собствени записи.

2. Какви данни събираме

Клиенти

• Профил: име и фамилия, имейл адрес, телефонен номер, парола (пазим я само като защитен хеш, никога в чист вид), предпочитан език, вид профил и дата на регистрация. Ако влизате с Google, получаваме от Google името и имейла ви; паролата ви за Google не достига до нас.
• Поръчки: какво сте поръчали, от кой бизнес, доставка или взимане на място, адрес за доставка, име, телефон и имейл за поръчката, вашите бележки, цена на доставката, обща сума и статус.
• Резервации: резервираната маса, услуга или стая, дата и час, брой гости, дати на настаняване и напускане, адрес по желание за услуги при вас, вашите бележки, както и име, телефон и имейл за резервацията.
• Резервации на торбички в края на деня: торбичката, количество, цена, код за взимане, име, телефон и имейл.
• Отзиви и гласове: оценката в звезди, коментарът и датата. Отзивите са публични и показват малкото ви име и първата буква на фамилията (например „Мария П.“). Пазим и за кои отзиви сте гласували.
• Карти за лоялност: печатите, които сте събрали в даден бизнес, и кода на личната ви карта за печати.
• Количка: продуктите в количката ви, свързани с профила ви или със случаен идентификатор в бисквитка, ако не сте влезли.

Бизнеси (търговци)

• Профил на собственика: същите данни като при клиентите.
• Данни за бизнеса: име на бизнеса, име на фирмата и ЕИК, адрес и място на картата, телефон и имейл за контакт, категория, описание, лого, снимки, работно време, менюта, услуги, стаи, цени и друго съдържание, което публикувате. Повечето от тях се виждат публично на страницата ви.
• Кандидатстване и статус: кога сте кандидатствали, кога сте одобрени или защо сте отхвърлени и докъде сте стигнали с настройката.
• Пакети и плащания: пакетите, които ползвате, техният статус и дати, както и идентификаторите ви на клиент и абонамент в Stripe. Данните на картата се въвеждат на страницата на Stripe и никога не се пазят при нас.
• Профили на персонала: профилите, които добавяте като персонал за поръчки от масите, и масите, към които са зачислени.
• Рекламни имейли: кампаниите, които изпращате, и броя на получателите.

Всички, включително посетители

• Форма за контакт: име, имейл, телефон по желание, съобщението ви, датата и IP адресът, от който е изпратено.
• Поръчки от масата с QR код: когато поръчвате на маса с QR код, пазим поръчаните продукти и повикванията на персонала за тази маса. Не искаме името ви.
• Потвърждаване на телефон: телефонният номер и хеширано копие на кода, който ви изпращаме с SMS. Кодът изтича след няколко минути.
• Технически данни: когато нещо се счупи, записваме грешката, адреса на страницата, часа и, ако сте влезли, идентификатора на профила ви. IP адресът ви се използва за кратко в паметта, за да ограничаваме повтарящи се опити (например отгатване на пароли), и не се записва за тази цел.
• Броячи: броим колко пъти даден продукт или услуга е разгледан или поръчан. Това са само общи бройки и не са свързани с вас.

3. Защо използваме данните ви и на какво основание

Според Общия регламент за защита на данните (GDPR) за всяко използване на лични данни е нужно правно основание. Нашите са:

Не използваме данните ви за автоматизирани решения с правни последици и не изграждаме рекламни профили.

4. С кого споделяме данни

• Бизнесът, от който поръчвате или при който резервирате. Той получава името, телефона, имейла, адреса ви (за доставка или услуга при вас), бележките ви и подробностите за поръчката или резервацията. След това той отговаря за това, което прави с тях.
• Доставчици на услуги, които работят за нас и могат да използват данните само за да предоставят услугата си:
  • доставчикът ни на хостинг и имейл, който поддържа сайта и базата данни и изпраща имейлите ни;
  • доставчици на SMS (Twilio или Mobica) за изпращане на кодове за потвърждаване на телефон;
  • Stripe – за плащанията на бизнесите за платени пакети;
  • Google – само ако изберете да влезете с Google;
  • Cloudflare Turnstile – проверка за сигурност при регистрация, вход, поръчки и резервации, която различава хората от ботовете;
  • OpenStreetMap – сървърите му зареждат изображенията на картите в страниците с карта и затова виждат IP адреса ви.
• Държавни органи, когато законът го изисква.

Никога не продаваме и не отдаваме лични данни. Някои от тези доставчици (Stripe, Google, Twilio, Cloudflare) са в САЩ. Предаването на данни към тях е защитено от Рамката за защита на данните ЕС-САЩ или от Стандартните договорни клаузи на Европейската комисия.

5. Имейли и SMS

Изпращаме имейли и SMS, които са нужни за профила, поръчките и резервациите ви, например потвърждение, промяна в статуса или напомняне ден преди резервацията. Докато профилът е активен, те не могат да се изключат, защото услугата не работи без тях.

Бизнесът може да изпраща рекламни имейли само на клиенти, които са поръчвали от него или са резервирали при него. Във всеки рекламен имейл има връзка за отписване; след като я натиснете, този бизнес вече не може да ви изпраща реклами през нашия сайт.

6. Бисквитки

Използваме само бисквитки, без които сайтът не може да работи, затова не искаме съгласие за тях. Не използваме бисквитки за статистика, реклама или социални мрежи.

7. Колко време пазим данните

• Профили на клиенти: докато не изтриете профила си. Можете да го направите сами от профила си, като напишете CONFIRM; изтриването става веднага и не изисква одобрение от нас. Името, имейлът, телефонът, паролата и входът с Google се изтриват и с профила вече не може да се влиза. Изпращаме последен имейл за потвърждение на стария ви адрес. Докато поръчка се приготвя или доставя, профилът може да се изтрие едва след като тя приключи.
• Поръчки, резервации и резервации на торбички след изтриване: неприетите поръчки, предстоящите резервации и запазените торбички се отказват. При миналите, както и при съобщенията ви от формата за контакт, пазим само сумите, датите и какво е поръчано или резервирано, за да са верни записите на бизнеса; името, телефонът, имейлът и адресът ви в тях се заменят с „Изтрит потребител“.
• Отзиви след изтриване: остават в сайта и се показват като написани от „Клиент“, без вашето име.
• Профили на бизнеси: докато бизнесът не изтрие профила си. Изтриването е възможно, когато няма отворени поръчки, предстоящи резервации или запазени торбички. Личните данни на собственика и профилите на персонала се изтриват, платените пакети спират и абонаментите им в Stripe се прекратяват. Записът на бизнеса (име на бизнеса, име на фирмата и ЕИК, адрес, данни за контакт и минали поръчки и резервации) се пази, отбелязан като изтрит и скрит от сайта, за счетоводството и за предотвратяване на злоупотреби. Имейлът на собственика се пази само като еднопосочен хеш, за да не може да се използва за нова регистрация в продължение на 3 месеца и еднократният подарък за оставане да не се вземе два пъти. Отговорите на анкетата при напускане (по желание) се пазят, за да подобряваме сайта.
• Документи за плащания: толкова дълго, колкото изисква Законът за счетоводството (в момента 10 години за счетоводните документи).
• Съобщения от формата за контакт: до 2 години.
• Записи на грешки и на изпратени имейли: до 12 месеца.
• Кодове за потвърждаване на телефон: изтичат след няколко минути и се пазят хеширани за кратко, за да се предотвратяват злоупотреби.

8. Вашите права

Според GDPR имате право да:

• видите личните данни, които пазим за вас, и да получите копие от тях;
• поправите грешни данни (повечето можете да промените сами в профила си);
• изтриете данните си (изтрийте профила си от профила или ни пишете);
• ограничите или възразите срещу начина, по който използваме данните ви, включително когато основанието е законен интерес;
• получите данните, които сте ни дали, в машинночетим формат (преносимост на данните);
• се отпишете от рекламни имейли по всяко време.

За да упражните някое от тези права, пишете ни чрез формата Свържете се с нас. Отговаряме в срок от един месец. Може да ви помолим да потвърдите, че профилът е ваш, преди да предприемем действие.

Ако смятате, че обработваме данните ви незаконно, можете да подадете жалба до Комисията за защита на личните данни (КЗЛД): София 1592, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg.

9. Как защитаваме данните ви

Сайтът работи само през криптирана връзка (HTTPS). Паролите и кодовете за потвърждаване се пазят само като хешове. Входът, регистрацията, поръчките и резервациите са защитени с проверка за сигурност и с ограничения на повтарящите се опити. Подробностите за поръчките и резервациите виждат само съответният бизнес и администраторите на сайта и само когато това е нужно за работата им.

10. Деца

Сайтът не е предназначен за деца под 14 години. Не създаваме съзнателно профили за тях. Ако смятате, че дете ни е дало лични данни, пишете ни и ще ги изтрием.

11. Промени в тази политика

Когато променим тази политика, обновяваме датата в началото на страницата. Ако промяната е съществена, ще ви уведомим и по имейл или със съобщение в сайта.