Политика за поверителност

1. Кой е администраторът на данните

Администратор на личните данни е:

• [ЗА ПОПЪЛВАНЕ], ЕИК [ЗА ПОПЪЛВАНЕ]
• Адрес: [АДРЕС ЗА ПОПЪЛВАНЕ]
• Имейл за въпроси относно личните данни: [ЗА ПОПЪЛВАНЕ]
• Телефон: [ЗА ПОПЪЛВАНЕ]
• Длъжностно лице по защита на данните: не е назначено, тъй като дейността не попада в хипотезите на чл. 37 GDPR. Въпросите се насочват към посочения по-горе имейл.

2. Какви данни обработваме

2.1. Данни, които ни предоставяш пряко

• Регистрационни данни: име, имейл адрес, парола (съхранявана единствено като необратим bcrypt хеш — ние не я виждаме и не можем да я възстановим).
• Настройки на профила: основна валута, часова зона, предпочитания за известия, режим на бюджета.
• Финансови данни, които въвеждаш или качваш: транзакции (дата, сума, описание, категория, бележки), наименования и IBAN на собствените ти сметки, банкови извлечения в CSV формат, цели за спестяване и вноски по тях, повтарящи се разходи и получатели.
• Кореспонденция: съдържанието на запитванията и рекламациите, които ни изпращаш.

2.2. Данни, които се създават при използването

• Технически данни: IP адрес, тип на браузъра и устройството, дата и час на заявките — в стандартните журнали на сървъра и на хостинг доставчика, за сигурност и диагностика.
• Данни за достъп: дата на последно влизане, издадени токени за сесия (съхранявани като хешове).
• Одитен дневник: записи кой и кога е извършил ключови действия в профила (например масово изтриване), за проследимост при инциденти.

2.3. Данни от трети лица

• От Stripe: статус на плащането и абонамента, идентификатори на клиента и абонамента, последните 4 цифри и вид на картата. Пълни картови данни не получаваме и не съхраняваме.
• Реферален код, ако си дошъл/дошла през партньорска препратка.

3. Цели и правни основания за обработване

4. Месечни AI обобщения

Финора може да генерира кратко текстово обобщение на месеца ти. Функцията е изключена по подразбиране и работи само ако бъде активирана.

• На езиковия модел се подават само агрегирани стойности — общи суми по категории, брой транзакции, съотношения. Отделни транзакции, описания, контрагенти, IBAN и имена не напускат сървъра.
• Обработващ е Anthropic PBC (САЩ). Данните не се използват за обучение на модели.
• Ако не желаеш обобщения, просто не активирай функцията или я изключи от настройките.

5. С кого споделяме данни

Не продаваме и не отдаваме под наем лични данни. Споделяме ги само с обработващи лица, които действат по наше указание въз основа на договор по чл. 28 GDPR:

Данни могат да бъдат разкрити и на компетентни органи (НАП, съд, разследващи органи), когато това е задължително по закон.

6. Трансфер извън ЕС/ЕИП

Част от доставчиците ни са установени в САЩ. За тези трансфери прилагаме подходящи гаранции по глава V от GDPR:

• Стандартни договорни клаузи на Европейската комисия (Решение за изпълнение (ЕС) 2021/914);
• сертификация по Рамката за защита на данните ЕС–САЩ (EU–U.S. Data Privacy Framework), където доставчикът участва в нея;
• допълнителни технически мерки — криптиране при пренос и минимизиране на предаваните данни.

Копие от приложимите гаранции може да поискаш на [ЗА ПОПЪЛВАНЕ].

7. Срокове на съхранение

След изтичане на срока данните се изтриват или необратимо анонимизират. Резервните копия се презаписват по график, като изтритите записи изчезват и от тях в рамките на до 30 дни.

8. Твоите права

По GDPR имаш следните права, които упражняваш безплатно:

• Достъп (чл. 15) — да получиш копие от данните, които обработваме за теб.
• Коригиране (чл. 16) — да поправиш неточни или непълни данни, включително директно в приложението.
• Изтриване / „правото да бъдеш забравен“ (чл. 17) — можеш да изтриеш профила си сам от настройките.
• Ограничаване на обработването (чл. 18) — при спор относно точността или законосъобразността.
• Преносимост (чл. 20) — експорт на данните в машинночетим формат (CSV), достъпен по всяко време от профила ти, независимо от плана.
• Възражение (чл. 21) — срещу обработване на основание легитимен интерес.
• Оттегляне на съгласие (чл. 7, § 3) — по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.
• Жалба до надзорен орган (чл. 77).

Искания се подават на [ЗА ПОПЪЛВАНЕ]. Отговаряме в срок до един месец, който може да бъде удължен с още два месеца при сложни искания, за което ще бъдеш уведомен/а. Може да поискаме допълнителна информация за потвърждаване на самоличността ти. Подробно описание как да упражниш всяко право има на страницата Твоите права по GDPR.

Надзорен орган: Комисия за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, тел. +359 2 915 3518, имейл kzld@cpdp.bg, https://www.cpdp.bg.

9. Сигурност на данните

Прилагаме технически и организационни мерки по чл. 32 GDPR, съобразени с риска:

• криптиране на връзката (TLS/HTTPS) за целия трафик;
• паролите се съхраняват единствено като bcrypt хешове — необратимо и без възможност да бъдат прочетени;
• достъпът се управлява с подписани токени в httpOnly бисквитки, недостъпни за JavaScript, с ротация на refresh токените;
• строго разделение на данните по потребител на ниво заявка към базата;
• ограничен достъп на служители на принципа „необходимост да се знае“;
• редовни архиви и журнали за проследимост на ключовите действия.

При нарушение на сигурността, което поражда висок риск за правата ти, ще те уведомим без неоправдано забавяне, а надзорния орган — в срок до 72 часа съгласно чл. 33 и чл. 34 GDPR.

10. Автоматизирано вземане на решения

Не извършваме автоматизирано вземане на решения, което поражда правни последици за теб или те засяга съществено по подобен начин, по смисъла на чл. 22 GDPR.

Автоматичните категоризации, засичането на вътрешни преводи и AI обобщенията са помощни предложения, които можеш да промениш или отхвърлиш по всяко време. Те не водят до отказ на услуга, ценообразуване или друго решение с правен ефект.

11. Данни на непълнолетни

Услугата е предназначена за лица, навършили 18 години. Не събираме съзнателно данни на лица под тази възраст. Ако установим, че е създаден профил от непълнолетно лице, ще го заличим. Ако си родител или настойник и смяташ, че дете е предоставило данни, пиши ни на посочения имейл.

12. Бисквитки

Използваме минимален набор от бисквитки и локално съхранение. Пълният списък, целите и сроковете са описани в Политиката за бисквитки. Съгласието си за незадължителните категории можеш да промениш по всяко време от връзката „Настройки за бисквитки“ в долната част на сайта.

13. Данни при ползване на добавките (Финора Ауто)

Финора Ауто е платена добавка за проследяване на автомобил — зареждания, разход на гориво, сервизна история и свързани разходи. Този раздел описва конкретните данни, които тя обработва, в допълнение към описаното по-горе.

13.1. Какви данни обработва Финора Ауто

• Регистрационен номер и VIN, ако ги въведеш — това са данни, свързани с теб като собственик на автомобила, и ги третираме като лични данни, не като обикновени технически характеристики.
• Данни за автомобила: марка, модел, година, обем и мощност на двигателя, обем на резервоара.
• Километраж по дата — от изминат пробег във времето може да се направи извод за навици на придвижване.
• Зареждания: дата, час, платена сума, литри и бензиностанция, ако я въведеш.
• Сервизна история: сервиз, дата, километраж, извършени дейности и платени суми.
• Други разходи по автомобила: застраховател, номер на полица, срокове на валидност, глоби и други плащания, които въведеш.
• Придобиване и продажба: дата и цена на покупка, дата и цена на продажба, ако си ги записал/а.

13.2. Правно основание

Обработваме тези данни на основание изпълнение на договора (чл. 6, § 1, б. „б“ GDPR) — активирал/а си добавката и данните са необходими, за да работи тя. Не разчитаме на легитимен интерес за тази категория данни.

13.3. Срок на съхранение

Данните на Финора Ауто се пазят, докато съществува профилът ти — включително ако абонаментът за добавката изтече или бъде отменен. Изтичането на абонамента не води до изтриване: достъпът пада до само четене (виж Общите условия, раздел 7), а вече въведените коли, зареждания, сервизи и разходи остават видими и запазени, за да можеш да подновиш по всяко време без загуба на история.

13.4. Твоите права

Правата, описани в т. 8 по-горе, важат в пълна сила и за данните на Финора Ауто. По-специално: експортът остава наличен и при изтекъл абонамент — правото на преносимост по чл. 20 GDPR не зависи от това дали плащаш. Изтриването на профила заличава и данните на всички добавки.

13.5. С кого споделяме тези данни

Финора Ауто не добавя нов получател на данни към изброените в т. 5. Не сканираме и не обработваме автоматично касови бележки или снимки на квитанции — такава функция не е реализирана. Ако някога бъде пусната, ще изисква нов ред в таблицата с подизпълнители по-горе и отделно съгласие, преди да заработи.

14. Данни при ползване на добавките (Финора Дом)

Финора Дом е платена добавка за проследяване на имоти под наем — разходи, наеми, кредити и анализ на доходност. Този раздел описва конкретните данни, които тя обработва, в допълнение към описаното по-горе.

14.1. Какви данни обработва Финора Дом

• Данни за имота: адрес, град, квартал, площ, брой стаи, етаж, година на строеж, ако ги въведеш.
• Данни за кредит: кредитор, размер, лихвен процент, срок и погасителен план, включително предсрочни погасявания.
• Разходи по имота: категория, сума, дата и доставчик, ако въведеш фактура или доставчик.
• Условия на договора за наем: размер на наема, дати, депозит, индексация.

14.2. Правно основание

За твоите собствени данни (имот, кредит, разходи) обработваме на основание изпълнение на договора (чл. 6, § 1, б. „б“ GDPR) — активирал/а си добавката и данните са необходими, за да работи тя.

За данните на наемателя ролите са различни: ти си администратор (data controller) на тези данни — решаваш какво да въведеш и защо — а Финора действа само като обработващ лични данни (data processor) по чл. 28 GDPR, по твое нареждане и единствено за да работи функцията. Затова именно ти носиш отговорност да информираш наемателя си, че данните му се въвеждат във Финора (например в самия договор за наем или отделно съобщение), както изисква чл. 13/14 GDPR — Финора не осъществява пряк контакт с наемателя и не може да изпълни това вместо теб.

14.3. Срок на съхранение

Данните на Финора Дом, включително тези на наемателите, се пазят, докато съществува профилът ти — включително ако абонаментът за добавката изтече или бъде отменен. Изтичането на абонамента не води до изтриване: достъпът пада до само четене (виж Общите условия, раздел 7), а вече въведените имоти, кредити, наеми и разходи остават видими и запазени, за да можеш да подновиш по всяко време без загуба на история.

14.4. Твоите права — и правата на наемателя

Правата, описани в т. 8 по-горе, важат в пълна сила за твоите собствени данни в Финора Дом. По-специално: експортът остава наличен и при изтекъл абонамент — правото на преносимост по чл. 20 GDPR не зависи от това дали плащаш. Изтриването на профила заличава и данните на всички добавки, включително въведените данни за наематели.

Ако твой наемател поиска достъп, коригиране или изтриване на своите данни, той трябва да се обърне към теб — ти си администраторът на тези данни, не Финора. Ако имаш нужда от техническо съдействие, за да изпълниш такова искане (например частично изтриване на данни за конкретен наемател), пиши ни през контактите в раздел 8.

14.5. С кого споделяме тези данни

Финора Дом не добавя нов получател на данни към изброените в т. 5 — данните на наемателите се хостват на същата инфраструктура и не се подават към трета страна извън нея.

15. Промени в тази политика

Можем да актуализираме политиката при промяна в закона, в услугата или в използваните доставчици. При съществени промени ще те уведомим по имейл или чрез съобщение в приложението поне 14 дни предварително. Датата на последната редакция е посочена в началото на документа.