Политика за поверителност

1. Администратор на личните данни

Администратор е търговецът, който управлява онлайн магазин CRAVE:

• Търговец/администратор: [LEGAL COMPANY NAME REQUIRED], [LEGAL FORM REQUIRED]
• ЕИК/регистрационен номер: [EIK/UIC REQUIRED]
• Седалище и адрес на управление: [REGISTERED ADDRESS REQUIRED]
• Адрес за кореспонденция: [CORRESPONDENCE ADDRESS REQUIRED]
• ДДС номер: [VAT NUMBER IF APPLICABLE]
• Имейл: crave.your.treat@gmail.com
• Телефон: [CONTACT PHONE REQUIRED]

Задължително преди публикуване: попълни всички фирмени данни по-горе и потвърди кой имейл приема искания за защита на личните данни.

2. За кого и кога се прилага

Политиката се прилага, когато разглеждаш сайта, създаваш или използваш профил, поръчваш като гост или регистриран клиент, плащаш с карта или при получаване, записваш адрес, абонираш се за бюлетина, оставяш ревю или се свързваш с нас.

Получаваме данните основно от теб. При вход с Google получаваме от Google потвърден имейл, име и идентификатор на профила. При плащане и доставка получаваме статуси от Stripe и избрания куриер.

3. Какви данни обработваме

• Профил и идентификация: име, имейл, телефон по желание, защитен хеш на паролата, статус на потвърждение, дата на последен вход и идентификатор на Google профил, ако използваш Google.
• Поръчка и доставка: продукти, количества, цени и отстъпки, номер и статус на поръчката, име, имейл, телефон, бележка, избран куриер, населено място, офис или адрес и история на поръчката.
• Плащане: метод, сума, валута, статус и идентификатор на плащането. Данните на картата се въвеждат в защитените полета на Stripe и не се съхраняват в базата данни на CRAVE.
• Комуникация и маркетинг: съдържание на кореспонденция; имейл, дата, версия и статус на съгласието за бюлетина; потвърждение и отписване.
• Ревюта: име за публикуване, оценка, текст, продукт, дата, статус на модерация и идентификатор на потребителя, ако функцията е активна.
• Технически и защитни данни: IP адрес или необратимо хеширани идентификатори, данни за браузър/устройство, сесии, опити за вход, заявки, грешки и ограничаване на злоупотреби.
• Предпочитания в браузъра: количка, любими продукти, тема, избор за аналитика и временен идентификатор за гост-поръчка. Подробностите са в Политиката за бисквитки.

4. Цели и правни основания

• Профил, вход, потвърждение на имейл и възстановяване на парола: действия по твое искане и изпълнение на договора; легитимен интерес за защита на профила и услугата.
• Поръчка, плащане, доставка, запазен адрес и обслужване: сключване и изпълнение на договора. Запазването на адрес е по твой изричен избор и можеш да го изтриеш от профила.
• Счетоводни, данъчни, потребителски и други законови задължения: изпълнение на приложимо законово задължение.
• Предотвратяване на измами, ограничаване на автоматизирани заявки, защита и установяване на правни претенции: наш легитимен интерес да пазим магазина, клиентите и правата си, без да надделяват твоите права и свободи.
• Бюлетин и предложения: твоето предварително съгласие. Използваме двойно потвърждение по имейл и можеш да се отпишеш по всяко време.
• Vercel Web Analytics: твоето съгласие от панела за бисквитки. Аналитиката не се зарежда преди съгласие и се спира при оттеглянето му.
• Публикуване и модериране на доброволно изпратено ревю: действия по твое искане и легитимен интерес да показваме автентична обратна връзка. Не публикувай чувствителни или чужди лични данни.

Когато данните са необходими за профил, поръчка, плащане или доставка, без тях съответната услуга не може да бъде предоставена. Бюлетинът и аналитиката са доброволни.

5. Получатели и доставчици

Предоставяме само данните, нужни за съответната услуга, на:

• Vercel — хостинг, доставка на сайта и технически логове; Vercel Web Analytics само след съгласие.
• Neon/PostgreSQL — основната база данни за профили, поръчки, адреси, каталог и защитни записи.
• Resend — служебни имейли за регистрация, парола, поръчка и бюлетин.
• Stripe — картови плащания, удостоверяване и предотвратяване на измами. Stripe получава данните на картата директно.
• Google — само ако избереш вход с Google.
• Еконт или Спиди — проверка на избран офис/адрес и изпълнение на доставката.
• Supabase — списъкът за бюлетина, свързаните ограничители на заявки и незавършената функционалност за ревюта.
• професионални консултанти, платежни/счетоводни партньори и публични органи, когато това е необходимо за законово задължение или правна претенция.

Prisma и NextAuth са софтуерни библиотеки в приложението, а не отделни получатели на данни. Cloudinary се използва от администраторите само за продуктови изображения; текущият код не изпраща към него клиентски, профилни или поръчкови данни.

6. Предаване извън ЕИП

Някои доставчици са международни и могат да обработват данни извън Европейското икономическо пространство. Когато няма решение за адекватно ниво на защита, предаването следва да се основава на приложим механизъм по глава V от GDPR, например стандартни договорни клаузи и подходящи допълнителни мерки. Конкретните региони, договори за обработване и механизми за Vercel, Neon, Resend, Stripe, Google и Supabase трябва да бъдат потвърдени от собственика преди пускане.

Задължително преди публикуване: [PROCESSOR REGIONS AND TRANSFER MECHANISMS REQUIRED] — провери производствените акаунти и сключи необходимите договори за обработване.

7. Срокове за съхранение

• непотвърдена регистрация — до 24 часа; техническата бисквитка за довършване на регистрацията — до 30 минути;
• линк за възстановяване на парола — до 45 минути; техническата сесия за смяна — до 10 минути;
• клиентски профил и запазени адреси — докато профилът е активен или до уважено искане за изтриване, освен ако е нужен по-дълъг срок;
• поръчки, плащания, доставки, рекламации и счетоводни данни — за сроковете, изисквани от приложимото счетоводно, данъчно и потребителско законодателство и за защита при претенции;
• бюлетин — докато оттеглиш съгласието; след отписване може да остане минимален запис, необходим да докажем и спазим отписването;
• ограничители на заявки и защитни записи — за краткия период на съответния прозорец за защита, освен ако инцидент налага по-дълго пазене;
• аналитични данни — според настройките и срока на Vercel Web Analytics; използваният от услугата идентификатор на посещение се изхвърля след 24 часа.

Задължително преди публикуване: [RETENTION SCHEDULE REQUIRED] — потвърди конкретните производствени срокове за поръчки, счетоводни документи, кореспонденция, отписани абонати, ревюта и резервни копия със счетоводител и юрист.

8. Твоите права

Според приложимите условия имаш право на достъп, коригиране, изтриване, ограничаване, преносимост и възражение срещу обработване на основание легитимен интерес или за директен маркетинг. Можеш да оттеглиш съгласие по всяко време, без това да засяга законосъобразността на предходното обработване.

За искане ще трябва да ни дадеш достатъчно информация, за да те идентифицираме безопасно. Обичайно отговаряме до един месец, освен ако GDPR допуска удължаване. Първо се свържи с нас:

За въпроси и заявления пиши на crave.your.treat@gmail.com.

Можеш да подадеш жалба до Комисията за защита на личните данни, гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, или до друг компетентен надзорен орган в ЕС.

9. Автоматизирани правила и профилиране

Системата автоматично преизчислява цени и наличности, проверява допустимостта за CRAVE10 и ограничава подозрително много заявки чрез профил, телефон или хеширан технически идентификатор. Stripe може да извършва собствена оценка за измама при картово плащане. CRAVE не използва тези правила за решение, което поражда правни последици или те засяга по сходен съществен начин без възможност за човешка проверка.

10. Деца и сигурност

Магазинът не е насочен към деца и не събираме съзнателно данни от лице, което не може самостоятелно да сключи съответната сделка. Родител или настойник може да се свърже с нас при съмнение за предоставени детски данни.

Прилагаме разумни технически и организационни мерки, включително хеширани пароли, ограничени сесии и контроли на достъпа. Никоя интернет услуга не може да обещае абсолютна сигурност.

11. Промени

При съществена промяна ще актуализираме датата и, когато е необходимо, ще дадем допълнително уведомление или ще поискаме ново съгласие. Нов текст не променя със задна дата правното основание на вече извършено обработване.