GDPR Съответствие

"ГоуБорд" ЕООД се ангажира да защитава личните данни на своите потребители в пълно съответствие с Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Общ регламент относно защитата на данните — GDPR) и Закона за защита на личните данни на Република България (ЗЗЛД).

Настоящият документ описва как GoBoard прилага принципите и изискванията на GDPR при обработването на лични данни чрез платформата goboard.iggdesigns.com. Този документ допълва нашата Политика за поверителност и предоставя допълнителна информация за правата на субектите на данни.

1. Администратор на лични данни

Администратор на личните данни, обработвани чрез Платформата, е:

Администраторът определя целите и средствата за обработване на личните данни и носи отговорност за спазването на принципите и задълженията, предвидени в GDPR.

2. Правно основание за обработка

Обработваме лични данни само при наличие на валидно правно основание, съгласно чл. 6, пар. 1 от GDPR. Основанията, на които се базираме, са:

2.1. Изпълнение на договор (чл. 6, пар. 1, б. "б")

Обработването е необходимо за изпълнение на договор, по който субектът на данните е страна (регистрация, резервации, плащания, комуникация между потребители). Това включва:

• Създаване и поддържане на потребителски акаунт.
• Обработка на заявки за резервация и плащания.
• Осигуряване на комуникация между собственици и рекламодатели.
• Изпълнение на ескроу механизма и защита на транзакциите.
• Разрешаване на спорове между потребители.

2.2. Легитимен интерес (чл. 6, пар. 1, б. "е")

Обработването е необходимо за целите на легитимните интереси на администратора, когато тези интереси не са заменени от интересите или основните права и свободи на субекта на данните. Това включва:

• Предотвратяване на измами и защита на сигурността на Платформата.
• Подобряване на услугата чрез анализ на анонимизирани данни за използване.
• Мониторинг на производителността и отстраняване на технически проблеми.
• Защита на законните интереси на Платформата при правни претенции.

2.3. Съгласие (чл. 6, пар. 1, б. "а")

Когато обработването не може да се основе на друго правно основание, получаваме изричното съгласие на субекта на данните. Съгласието се изисква за:

• Изпращане на маркетингови съобщения и промоционални имейли.
• Поставяне на аналитични бисквитки и бисквитки за проследяване.
• Обработване на чувствителни данни (ако приложимо).

Съгласието е свободно дадено, конкретно, информирано и недвусмислено. Потребителят може да оттегли съгласието си по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.

2.4. Законово задължение (чл. 6, пар. 1, б. "в")

Обработването е необходимо за спазване на законово задължение, което се прилага спрямо администратора, като: съхраняване на счетоводни документи (7 години съгласно Закона за счетоводството), данъчна отчетност, отговаряне на искания от компетентни органи.

3. Права на субектите на данни

Съгласно GDPR, Вие имате следните права по отношение на Вашите лични данни. GoBoard е ангажирана да осигури лесен и ефективен начин за упражняването на всяко от тези права:

Как да упражните правата си

Можете да упражните правата си по следните начини:

• Имейл: Изпратете заявка на dpo@goboard.iggdesigns.com с описание на желаното действие.
• Настройки на акаунта: За коригиране на данни — директно от профила в Платформата.
• Писмено: По пощата до адреса на управление на GoBoard.

Ще отговорим на Вашата заявка в рамките на 30 дни. При сложни или множествени заявки, срокът може да бъде удължен с още 60 дни, за което ще бъдете уведомени. За целите на идентификацията може да поискаме допълнителна информация.

4. Длъжностно лице по защита на данните (DPO)

GoBoard е назначила Длъжностно лице по защита на данните (Data Protection Officer — DPO), което отговаря за наблюдение на спазването на GDPR и за обработването на запитвания от субекти на данни. Можете да се свържете с DPO по следните начини:

DPO е независимо в изпълнението на задачите си и не получава указания от ръководството относно начина на тяхното изпълнение (чл. 38, пар. 3 GDPR).

5. Трансфер на данни извън ЕИП

GoBoard съхранява основната част от личните данни на сървъри, разположени в рамките на Европейското икономическо пространство (ЕИП). Въпреки това, някои от нашите доставчици на услуги може да обработват данни извън ЕИП.

При трансфер на лични данни извън ЕИП, ние прилагаме подходящи гаранции съгласно Глава V на GDPR, включително:

• Решения за адекватност: Трансфер към държави, за които Европейската комисия е издала решение за адекватно ниво на защита (чл. 45 GDPR).
• Стандартни договорни клаузи (SCC): Използваме одобрените от Комисията стандартни договорни клаузи за трансфер на данни (чл. 46, пар. 2 GDPR).
• Допълнителни мерки: Криптиране на данните при пренос и в покой, минимизиране на данните, псевдонимизация, когато е възможно.

Доставчици извън ЕИП

6. Нарушения на сигурността на данните

В съответствие с чл. 33 и чл. 34 от GDPR, GoBoard прилага следната процедура при нарушение на сигурността на личните данни:

6.1. Уведомяване на надзорния орган

При установяване на нарушение на сигурността, което може да породи риск за правата и свободите на физически лица, GoBoard уведомява Комисията за защита на личните данни (КЗЛД) в рамките на 72 часа от узнаването за нарушението. Уведомлението съдържа:

• Описание на естеството на нарушението, включително категориите и приблизителния брой засегнати субекти на данни.
• Данни за контакт с DPO.
• Описание на вероятните последствия от нарушението.
• Описание на предприетите или предложени мерки за справяне с нарушението.

6.2. Уведомяване на субектите на данни

Когато нарушението на сигурността може да породи висок риск за правата и свободите на физическите лица, GoBoard уведомява засегнатите субекти на данни без ненужно забавяне. Уведомлението се изпраща по имейл и/или чрез Платформата и съдържа:

• Ясно описание на нарушението на разбираем език.
• Данни за контакт с DPO.
• Описание на вероятните последствия.
• Препоръки за мерки, които субектите могат да предприемат (напр. смяна на парола).

6.3. Документиране

Всички нарушения на сигурността се документират в регистър, включващ фактите, свързани с нарушението, последствията и предприетите мерки. Регистърът е на разположение на КЗЛД при поискване.

7. Жалби до надзорен орган

Ако считате, че обработването на Вашите лични данни нарушава GDPR или българското законодателство за защита на данните, имате право да подадете жалба до надзорния орган:

Преди да подадете жалба до КЗЛД, Ви насърчаваме да се свържете с нас първо, за да опитаме да разрешим проблема директно. Можете да се свържете с нашето DPO на dpo@goboard.iggdesigns.com.

Също така имате право да подадете жалба до надзорния орган на друга държава членка на ЕС, в която пребивавате или работите, или в която се твърди, че е извършено нарушението.

8. Принципи за обработване на данни

GoBoard спазва основните принципи за обработване на лични данни, определени в чл. 5 от GDPR:

• Законосъобразност, добросъвестност и прозрачност: Обработваме данни на законово основание, по добросъвестен начин и с пълна прозрачност към субектите на данни.
• Ограничение на целите: Събираме данни само за конкретни, изрично указани и легитимни цели и не ги обработваме по начин, несъвместим с тези цели.
• Свеждане на данните до минимум: Обработваме само данните, които са необходими за съответните цели (минимизиране).
• Точност: Предприемаме разумни мерки за осигуряване на точността на данните и за своевременното коригиране или изтриване на неточни данни.
• Ограничение на съхранението: Съхраняваме данните в идентифицируема форма за период, не по-дълъг от необходимия за целите на обработването.
• Цялостност и поверителност: Обработваме данните по начин, който гарантира подходяща сигурност, включително защита срещу неразрешено или незаконосъобразно обработване, загуба, унищожаване или повреждане.
• Отчетност: Носим отговорност и сме в състояние да докажем спазването на горепосочените принципи.

9. Оценка на въздействието върху защитата на данните (DPIA)

GoBoard извършва Оценка на въздействието върху защитата на данните (Data Protection Impact Assessment — DPIA) съгласно чл. 35 от GDPR, когато дадено обработване е вероятно да породи висок риск за правата и свободите на субектите на данни. Това включва, но не се ограничава до:

• Въвеждане на нови функционалности, включващи обработване на лични данни.
• Промени в начина на обработване на данни за плащания.
• Внедряване на нови аналитични инструменти.
• Промени в системите за верификация на потребители.

Резултатите от DPIA се документират и използват за прилагане на подходящи мерки за намаляване на идентифицираните рискове.

10. Контакт

За въпроси относно GDPR съответствието на GoBoard или за упражняване на Вашите права, моля свържете се с нас:

• Длъжностно лице по защита на данните: dpo@goboard.iggdesigns.com
• Имейл за поверителност: privacy@goboard.iggdesigns.com
• Общ имейл: info@goboard.iggdesigns.com
• Адрес: гр. София, гр. София, България [точен адрес — предстои вписване]