Политика за поверителност
Тази политика обхваща личните данни, обработвани чрез сайта, инсталираното PWA и официално приложение FixTheWeek, предложено при тази политика, за лица в ЕС/ЕИП и Обединеното кралство.
1. Администратор и контакт
Администратор: Aleksandar Mladenov, търгуващ под името FixTheWeek, едноличен търговец (sole trader), установен в Обединеното кралство, адрес 5 Brayford Square, London E1 0SG, United Kingdom. Контакт, включително по въпроси за личните данни: contact@fixtheweek.com. Регистриран в Information Commissioner’s Office (ICO) на Обединеното кралство под регистрационен номер ZC276257.
Прилагаме GDPR на ЕС при наличие на териториалния му обхват и UK GDPR и Data Protection Act 2018 с измененията им, когато попадат в приложимия им обхват. Посочените по-долу основания по GDPR обхващат съответните разпоредби на ЕС и Обединеното кралство, когато са приложими. Администраторът е установен в Обединеното кралство.
Представител в ЕС/ЕИП (член 27 от GDPR): определили сме Data Protection Representative Limited (trading as DataRep) за наш представител в Европейския съюз и Европейското икономическо пространство. Ако се намирате в ЕС/ЕИП, можете да се свържете с нас чрез DataRep относно личните си данни или правата си за защита на данните: по имейл на datarequest@datarep.com, с „FixTheWeek“ в темата на писмото; чрез уеб формуляра на www.datarep.com/data-request; или по пощата до DataRep на адреса за вашата държава, посочен по-долу. Адресирайте писмата до „DataRep“, а не до FixTheWeek, иначе може да не стигнат до нас. За всичко останало или ако сте в Обединеното кралство, пишете ни директно на contact@fixtheweek.com.
- Австрия: DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Белгия: DataRep, Rue des Colonies 11, Brussels, 1000, Belgium
- България: DataRep, 25 Vitosha blvd. Fl. 2, office 4, 1000, Sofia, Bulgaria
- Германия: DataRep, 3rd and 4th floor, Altmarkt 10 B/D, Dresden, 01067, Germany
- Гърция: DataRep, Ippodamias Sq. 8, 4th floor, Piraeus, Attica, Greece
- Дания: DataRep, Lautruphøj 1-3, Ballerup, 2750, Denmark
- Естония: DataRep, 2nd Floor, Tornimae 5, Tallinn, 10145, Estonia
- Ирландия: DataRep, 77 Camden Street Lower, Dublin, D02 XE80, Ireland
- Исландия: DataRep, Laugavegur 13, 101 Reykjavik, Iceland
- Испания: DataRep, Calle de Manzanares 4, Madrid, 28005, Spain
- Италия: DataRep, Viale Giorgio Ribotta 11, Piano 1, Rome, Lazio, 00144, Italy
- Кипър: DataRep, Victory House, 205 Archbishop Makarios Avenue, Limassol, 3030, Cyprus
- Латвия: DataRep, 4th & 5th floors, 14 Terbatas Street, Riga, LV-1011, Latvia
- Литва: DataRep, 44A Gedimino Avenue, 01110 Vilnius, Lithuania
- Лихтенщайн: DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Люксембург: DataRep, BPM 335368, Banzelt 4 A, 6921, Roodt-sur-Syre, Luxembourg
- Малта: DataRep, Tower Business Centre, 2nd floor, Tower Street, Swatar, BKR4013, Malta
- Нидерландия: DataRep, De Nieuwe Erven 3 Unit – 15162, 5431 NV Cuijk, Netherlands
- Норвегия: DataRep, C.J. Hambros Plass 2c, Oslo, 0164, Norway
- Полша: DataRep, Budynek Fronton ul Kamienna 21, Krakow, 31-403, Poland
- Португалия: DataRep, Torre de Monsanto, Rua Afonso Praça 30, 7th floor, Algès, Lisbon, 1495-061, Portugal
- Румъния: DataRep, 15 Piaţa Charles de Gaulle, nr. 1-T, Bucureşti, Sectorul 1, 011857, Romania
- Словакия: DataRep, Apollo Business Centre II, Block E / 9th floor, 4D Prievozska, Bratislava, 821 09, Slovakia
- Словения: DataRep, Trg. Republike 3, Floor 3, Ljubljana, 1000, Slovenia
- Унгария: DataRep, 1054 Honved street, 8 1/2, Budapest, Hungary
- Финландия: DataRep, Luna House, 5.krs, Mannerheimintie 12 B, Helsinki, 00100, Finland
- Франция: DataRep, 72 rue de Lessard, Rouen, 76100, France
- Хърватия: DataRep, Ground & 9th Floor, Hoto Tower, Savska cesta 32, Zagreb, 10000, Croatia
- Чешка република: DataRep, Platan Office, 28. Října 205/45, Floor 3&4, Ostrava, 70200, Czech Republic
- Швеция: DataRep, S:t Johannesgatan 2, 4th floor, Malmo, SE - 211 46, Sweden
2. Какви данни събираме
При регистрация: име, имейл адрес, идентификатор на профила, хеш на паролата, статус на потвърждаване на имейла и времеви отметки. За сигурността се обработват сесия, IP адрес, данни за браузъра и временни ключове за ограничаване на опитите за вход.
За планиране: избрана цел, хранителен режим, калории, макроцели, рецепти, менюта, любими и блокирани рецепти, изключени продукти, кухненските уреди, с които разполагате, настройки и списък за пазаруване. Ако изрично попълните физически данни, се обработват възраст, пол, ръст, тегло, активност и ориентировъчна категория телесни мазнини. Няма отделни полета за диагноза, бременност, алергия или целево тегло. Изключените продукти обаче могат да разкрият алергия или непоносимост, затова се третират като здравни данни и се съхраняват само с изрично съгласие.
За създаване на профил са задължителни име, имейл, парола, приемане на условията и потвърждение за навършени 18 години. Без тях профил не може да се създаде. Предпочитанията за планиране имат начални стойности и могат да се променят. Физическите данни, изключванията на продукти и съгласието за маркетинг са незадължителни: без съгласие за здравни данни остава достъпно ръчното планиране, но не могат да се запазват физически данни и свързани със здравето изключвания. Пазим също избора за имейл известия, графика, часовата зона и времето на последното изпращане. Седмичните напомняния за меню и списък започват включени при създаване на профил; можете да ги изключите в Настройки на известията или да се отпишете от писмото. Съобщенията за нови рецепти изискват включване на отделната настройка, а новините и офертите изискват съгласие за маркетинг.
Ако започнете Premium или безплатния му пробен период, пазим идентификаторите ви на клиент и на абонамент в Stripe, плана, валутата и състоянието (пробен период, активен, неуспешно плащане или прекратен), датата, на която е започнал абонаментът (от нея тече срокът за отказ), датите, на които изтичат пробният и платеният период, и дали абонаментът е настроен да приключи. Никога не получаваме и не пазим номера на картата ви или пълните ви платежни данни; тях събират Link и Stripe при плащането. Ако поискате да ви уведомим, когато Premium стартира, пазим този избор, датата му и езика ви. За да покажем цените в британски лири или в евро и да проверим, че сте в Обединеното кралство или в ЕС/ЕИП, където се предлага FixTheWeek, използваме държавата на връзката ви, която Cloudflare определя от IP адреса ви при всяка заявка; не я съхраняваме.
3. Цели и правни основания
Достъпът до профила, настройките, менютата, заявените списъци по имейл и избраните служебни напомняния се обработват за предоставяне на услугата — чл. 6, пар. 1, б. „б“ GDPR. Удостоверяването, предотвратяването на злоупотреби и защитните броячи се основават на чл. 6, пар. 1, б. „е“: интересът ни да защитим профилите и услугата, съпоставен с правата ви. Записът за приемане на условията обслужва договора за профила. Минималните записи за съгласие подпомагат отчетността по чл. 5, пар. 2 и чл. 7, пар. 1, като чл. 6, пар. 1, б. „в“ се прилага към това конкретно задължение, а не общо към всички записи. Незадължителните писма за нови рецепти се основават на предварителния ви избор по чл. 6, пар. 1, б. „а“ и приложимите правила за електронен маркетинг. Новини и оферти изискват отделно съгласие по чл. 6, пар. 1, б. „а“, което може да се оттегли в профила или чрез връзката за отписване в писмото.
Третираме физическите данни и изключванията на продукти или рецепти като потенциално свързани със здравето и ги запазваме само след изрично съгласие по чл. 6, пар. 1, б. „а“ и чл. 9, пар. 2, б. „а“ GDPR. Съгласието се записва отделно от приемането на условията. Оттеглянето в „Поверителност и данни“ премахва запазените физически данни и свързаните със здравето изключвания от текущия профил и локалното възстановително копие в използвания браузър; то не засяга предишната законосъобразна обработка. Другите браузъри и изтеглените от вас файлове трябва да се изчистят отделно. Не въвеждайте диагнози в свободен текст.
Автоматичното планиране използва избраните цели, калории, макроцели, режим, изключвания и предпочитания за рецепти, за да изчислява цели и да подрежда или избира ястия. Това персонализиране може да представлява профилиране. То не взема решения с правни или сходни значими последици по чл. 22 от GDPR на ЕС и не поставя диагноза. Можете да променяте входните данни, да задавате ръчни цели и да редактирате предложените ястия.
За Premium записът за абонамента, имейлът, който ви напомня, че пробният период изтича, и съобщенията за абонамента са необходими, за да предоставим абонамента, който сте поискали — чл. 6, пар. 1, б. „б“ GDPR. Използването на държавата на връзката ви, за да покажем цените във валутата, в която ще платите, и за да предлагаме FixTheWeek само в Обединеното кралство и в ЕС/ЕИП, се основава на чл. 6, пар. 1, б. „е“: интересът ни да ви покажем правилната цена и да предлагаме услугата само там, където е достъпна. Единственият имейл за старта на Premium се основава на съгласието ви по чл. 6, пар. 1, б. „а“, дадено с отделно, неотметнато поле; можете да го оттеглите по всяко време с „Не ми пиши“ в раздел „Абонамент“. Записите за клиенти и фактури в профила ни в Stripe се пазят, за да изпълним данъчни и счетоводни задължения — чл. 6, пар. 1, б. „в“.
Когато се регистрирате, използваме държавата на връзката ви, за да добавим единица към месечния брой на новите профили в Обединеното кралство, в ЕС/ЕИП или другаде. Пазят се само месечните общи бройки и те не са свързани с профила ви. Използваме ги, за да знаем колко души използват FixTheWeek във всеки регион, включително за нашия представител в ЕС — чл. 6, пар. 1, б. „е“ GDPR, нашият законен интерес.
4. Бисквитки, аналитика и маркетинг
Сесийните бисквитки са необходими за вход и сигурност, а бисквитката „locale“ запомня избрания език на сайта. Изборът на тема и предпочитанията за бисквитки се пазят в браузъра. В текущата версия няма активни аналитични или рекламни тракери. Ако бъдат добавени, незадължителните няма да се зареждат преди подходящо съгласие. Маркетинговите съобщения са отделен незадължителен избор. Подробности има в Политиката за бисквитките.
За потребителите в ЕС/ЕИП се прилагат и относимите национални правила за електронна поверителност; за тези в Обединеното кралство — Privacy and Electronic Communications Regulations (PECR). Използваме отделно предварително съгласие за новини и оферти и в тази версия не разчитаме на изключението „soft opt-in“ за маркетинг. Писмата за сигурност и профила и описаните избрани служебни напомняния са отделни от рекламата. Не трябва да добавяме рекламно съдържание към служебно напомняне, за да заобиколим маркетинговия избор.
5. Получатели и международни предавания
Cloudflare предоставя хостинг, мрежова доставка, Worker и D1 база. Това включва заявки към сайта и защитни метаданни, както и данни за профила и планирането в D1. Resend обработва изходящите писма за потвърждаване на профил и възстановяване на парола, заявените списъци за пазаруване и включените известия. Получава адреса на получателя и съдържанието на писмото; списъкът може да разкрие хранителни предпочитания. Кодът поддържа и изходяща имейл услуга на Cloudflare, ако е конфигурирана.
Premium се продава чрез Link — услугата на Stripe, при която Link е търговецът по сделката („Sold through Link“): Link ви продава абонамента, събира плащанията, изчислява и внася ДДС и изпраща разписките, фактурите и имейлите за плащания, а плащанията се обработват от дружество от групата на Stripe. За продажбата и плащането Link и Stripe обработват името, имейл адреса, държавата и адреса за фактуриране, начина на плащане и данни за предотвратяване на измами като самостоятелни администратори съгласно собствените си политики за поверителност: https://link.com/privacy и https://stripe.com/privacy. Предаваме на Stripe имейл адреса ви и идентификатора на профила ви във FixTheWeek, за да се свържат плащанията с профила ви, и получаваме обратно данните за абонамента, описани в раздел 2. За записите за клиенти и абонаменти в профила ни в Stripe Stripe действа от наше име. Stripe може да обработва данни извън Обединеното кралство и ЕИП при собствените си гаранции за предаване.
Къде отиват данните ви: Cloudflare, Inc. хоства услугата съгласно своето Допълнение за обработване на данни (Data Processing Addendum); базата ни данни се съхранява в Западна Европа, а мрежовият трафик и логовете може да се обработват в световната мрежа на Cloudflare, включително в САЩ. Resend (Plus Five Five, Inc.) изпраща имейлите ни от ЕС (Ирландия) съгласно своето Допълнение за обработване на данни; дружеството и някои от неговите подизпълнители са в САЩ. Stripe обработва от наше име записите за клиенти и абонаменти в профила ни в Stripe съгласно своето Споразумение за обработване на данни (Data Processing Agreement) и може да обработва данни по целия свят, включително в САЩ. Имейлите, които изпращате на contact@fixtheweek.com, се получават в пощенската ни кутия в Microsoft Outlook.com, която Microsoft предоставя при собствените си условия и може да съхранява извън Обединеното кралство и ЕИП. Нашият представител в ЕС/ЕИП, DataRep, е в Ирландия.
Предаванията към САЩ се основават на Рамката за защита на личните данни между ЕС и САЩ (EU–US Data Privacy Framework) и нейното разширение за Обединеното кралство (UK Extension) за данни от Обединеното кралство, когато доставчикът е сертифициран, а като резервна гаранция — на стандартните договорни клаузи на ЕС (и UK Addendum за данни от Обединеното кралство) в договора на доставчика. Личните данни на потребителите от ЕС/ЕИП достигат до нас в Обединеното кралство въз основа на решението на ЕС относно адекватното ниво на защита в Обединеното кралство. Можете да поискате от нас повече информация за тези гаранции или копие от тях на contact@fixtheweek.com.
6. Срокове и сигурност
Следните срокове се отнасят за текущата база на приложението. Данните за профила, настройките, запазените менюта, уредите, известията, записите за абонамента и минималната история за условия/пълнолетие/съгласие се пазят, докато профилът съществува, освен ако ги промените или премахнете по-рано. Потвърденото изтриване на профила премахва него и свързаните записи от тази база. Историята за съгласие не се пази в отделен архив след изтриване. Оттеглянето на здравното съгласие премахва конкретните полета, описани по-горе, без да изисква изтриване на профила.
Сесиите за вход изтичат след 30 дни и могат да се подновят при продължаващо използване; изходът отменя текущата сесия. Връзките за потвърждаване на имейл и възстановяване на парола изтичат след един час. Почасовата задача изтрива изтеклите сесии и записи за удостоверяване, както и броячите за опити след 30 дни от последната записана заявка. Броячите за списъци по имейл се премахват след 30 дни от началото на записания прозорец. При неуспешно изпълнение изчистването продължава при следващото успешно; изтеклите удостоверителни данни остават невалидни.
Сроковете и контролите за браузърното съхранение са описани в Политиката за бисквитките. Изтриването на профил не може дистанционно да премахне копия от други браузъри или изнесени файлове. Cloudflare пази логовете на заявките до 7 дни, а резервните копия на базата данни — 30 дни; Resend пази данните за имейлите 30 дни. Ако някога възстановим базата данни от резервно копие, първо записваме кои профили съществуват, а след възстановяването отново изтриваме всеки профил, изтрит междувременно.
За Premium записът за абонамента се пази, докато профилът съществува, и се изтрива заедно с него, след като текущ абонамент бъде прекратен. Идентификаторите на обработени събития от Stripe се изтриват след 30 дни, а изборът за имейла при старта на Premium — 30 дни след изпращането му. Записите за клиенти и фактури в профила ни в Stripe се пазят толкова, колкото изисква данъчното и счетоводното законодателство, обикновено поне пет години след срока за подаване на съответната данъчна декларация; Link и Stripe пазят собствените си записи за сделките съгласно собствените си политики.
Достъпът е ограничен до собствения профил и оправомощени оператори; използват се криптирана връзка, хеширани пароли и контрол на достъпа. Нито една система не може да гарантира абсолютна сигурност.
7. Вашите права
Имате права на достъп, коригиране, изтриване, ограничаване, преносимост, когато е приложимо, възражение срещу обработване на основание легитимен интерес и оттегляне на съгласие. Използвайте „Поверителност и данни“ в профила или пишете на contact@fixtheweek.com. Трябва да отговорим без неоправдано забавяне и обичайно до един месец от получаване на искането. При обоснована сложност или брой искания срокът може да се удължи с още до два месеца; трябва да обясним удължаването в първия месец. При основателни съмнения може да поискаме пропорционално потвърждение на самоличността. При отказ или законово изключение трябва да посочим причините и възможностите за жалба и съдебна защита.
Потребителите в ЕС/ЕИП могат да подадат жалба до компетентния орган за защита на данните, по-специално в държавата на обичайното им местопребиваване, месторабота или предполагаемото нарушение. Българският орган е Комисията за защита на личните данни: https://cpdp.bg/. За обработка по британското право за защита на данните можете да подадете жалба до Information Commissioner’s Office (ICO): https://ico.org.uk/make-a-complaint/. Тези права не са ограничени до България и не премахват съдебната защита.
8. Жалби за защита на данните
Подайте жалба за защита на данните чрез contact@fixtheweek.com. Опишете случилото се и желания резултат; не е необходима правна терминология. За жалби по британското право трябва да потвърдим получаването до 30 дни, да проверим случая и предприемем подходящи действия без неоправдано забавяне, да ви информираме и да обясним резултата без неоправдано забавяне. Това е различно от обичайния едномесечен срок за искане за упражняване на индивидуални права.
Британски изисквания за жалбите: ICO: жалби за защита на данните
9. Промени
При съществена промяна на целите или обработването ще публикуваме нова версия и, когато е нужно, ще уведомим потребителите или ще поискаме ново съгласие. Версията и датата са посочени по-долу.