Политика за поверителност

1. Администратор и контакт

Тази Политика за поверителност обяснява как се обработват личните данни, когато ползвате платформата EX & GO на адрес exgo.io, нейните поддомейни и мобилните приложения („Платформата“). Тя се предоставя съгласно членове 13 и 14 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, „ОРЗД“).

Администратор е OmniNest s. r. o., IČO 57138443, Pekná cesta 2459/19, 831 52 Bratislava - mestská časť Rača, Slovenská republika; Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka 190627/B; e-mail admin@exgo.io („Операторът“, „ние“). За всички въпроси относно личните данни и за упражняване на правата си пишете на admin@exgo.io. Не сме определили длъжностно лице по защита на данните, тъй като не сме задължени да направим това; адресът по-горе достига до лицата, отговорни за защитата на данните.

Ползвателите, които публикуват обяви, сами решават какво да пишат за вещите си и в съобщенията си. Въпреки това Операторът е администратор на личните данни, публикувани в обявите, и ги обработва в съответствие с тази Политика: Ползвателите нямат право да публикуват лични данни на други лица (Правила за публикуване, раздел 5), а ние премахваме обявите, които неправомерно разкриват такива данни, веднага щом узнаем за тях. Когато получите данни на друг Ползвател чрез Платформата (например адреса на Купувач), вие ставате отделен администратор на тези данни и трябва да ги използвате само за изпълнение на сделката.

2. Какви данни обработваме

Данни за профила: име, имейл, профилна снимка и идентификатор, получени от доставчика, чрез който влизате (Google, Apple, Facebook), или предоставени от вас; телефонен номер и потвърждението, че го контролирате; хеш на паролата, настройки на двуфакторното удостоверяване; предпочитания за език, град и показване.

Съдържание: обяви (текстове, снимки, видеоклипове, цена, местоположение), съобщения в чата, отзиви, сигнали и жалби, излъчвания на живо и публикации в чата към тях, данни на онлайн магазина, разговори с поддръжката и прикачените към тях файлове.

Данни на продавачи търговци: търговско наименование, адрес, регистрационен номер, данни за контакт и самостоятелното удостоверяване, изисквано от член 30 от DSA; за изплащания — банкови данни (IBAN).

Данни за сделките: поръчки и плащания за Платени услуги, данни за Сигурна сделка (сума, данни за доставка на Купувача, като име, телефон и офис на Nova Poshta, проследяване на пратката), фактури, възстановявания и оспорени плащания (chargebacks). Не получаваме пълните номера на картите — те се въвеждат на страницата на доставчика на платежни услуги.

Технически данни и данни за ползването: IP адрес, вид на устройството и браузъра, операционна система, версия на приложението, токени за насочени (push) известия, часове на влизане, заявки за търсене, разгледани страници и обяви, кликвания върху бутоните за контакт и върху реклами, кодове за покана и партньорски кодове, сигнали за сигурност и злоупотреба (например броячи за ограничаване на честотата на заявките и оценки на риска). Държавата определяме по IP адреса с помощта на локална база данни (без трети страни) и я пазим в акаунта, за да показваме цените и да изпращаме известията във вашата местна валута.

Данни от трети лица: публични фирмени данни за контакт от страниците на дружества в други платформи за обяви (вж. раздел 14), данни за обяви, импортирани по ваше искане от OLX, Allegro, Prom и подобни услуги, както и потвърждения от Telegram, WhatsApp или Viber, когато ги използвате за потвърждаване на телефонния си номер.

3. Цели и правни основания

За предоставяне на Платформата по договора с вас (член 6, параграф 1, буква б) от ОРЗД): създаване и поддържане на профила ви, публикуване и показване на обяви, чатът, известия за вашите обяви и разговори, Платените услуги, Сигурната сделка, излъчванията на живо, онлайн магазините, импортирането и интеграциите, които включите, обслужването на клиенти.

За спазване на законови задължения (член 6, параграф 1, буква в) от ОРЗД): обработване на уведомления за незаконно Съдържание, изложения на мотивите, жалби и задълженията за прозрачност по Регламент (ЕС) 2022/2065 (DSA); счетоводни и данъчни записи за плащанията; отговаряне на законосъобразни заповеди на органите.

Въз основа на нашите легитимни интереси (член 6, параграф 1, буква е) от ОРЗД), които сме претеглили спрямо вашите интереси: проверка на продавачите търговци, за да знаят Купувачите с кого имат работа; поддържане на безопасността на Платформата и на нейните Ползватели — откриване на измами, спам, забранени стоки, фалшиви профили и злоупотреби; защита на профилите; предотвратяване на правни претенции и защита срещу тях; измерване в обобщен вид на обхвата на рекламните позиции, закупени от рекламодатели; подобряване на Платформата чрез обобщени статистически данни; контактът с предприятия, описан в раздел 14. Можете по всяко време да възразите срещу обработването въз основа на легитимни интереси (раздел 11).

С вашето съгласие (член 6, параграф 1, буква а) от ОРЗД): аналитични бисквитки и етикетът на Google (раздел 10), насочени (push) известия в браузъра и в приложението, известия чрез Telegram, WhatsApp или Viber, бюлетини. Съгласието може да бъде оттеглено по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.

Предоставянето на данните за профила и на данните, необходими за сделка, е необходимо за ползването на съответните функции; без тях не можем да ги предоставим. Всичко останало е доброволно.

4. Автоматизирано модериране и решения

За защита на Ползвателите всяка обява, съобщение, снимка и видеоклип се проверяват от автоматизирани системи. Система, основана на правила, търси признаци на измама, спам, забранени стоки и съдържание за възрастни. Снимките и кадрите от видеоклиповете се анализират от модели за разпознаване на изображения. Връзките в текстовете се проверяват спрямо база данни с опасни уебсайтове.

В резултат обява може да бъде задържана за преглед от модератор или отхвърлена, съобщение може да бъде задържано, без да достигне до получателя, а снимка може да върне обява за повторен преглед. Многократните потвърдени нарушения могат да доведат до временно ограничение съгласно нашата политика срещу злоупотреба (Общи условия за ползване, раздел 14). Обяви без признаци на риск могат да бъдат публикувани автоматично.

Такива решения са необходими за изпълнението на договора и за спазването на задълженията ни по DSA. Всяко решение ви се обяснява и можете да го оспорите в профила си; жалбата се разглежда от човек (член 22, параграф 3 от ОРЗД, член 20 от DSA). Не използваме автоматизирано обработване за създаване на маркетингови профили и никога не подбираме реклами или обяви въз основа на профил на зрителя.

5. Какво виждат другите Ползватели

Вашите обяви, снимки, видеоклипове, цена, град, името или псевдонимът в профила ви, датата на регистрацията ви, отзивите за вас и вашият онлайн магазин са публични и могат да бъдат индексирани от търсачките. Телефонният ви номер се показва само ако решите да го покажете в обявата; ако сте дали съгласието си за това в настройките си, от другите Ползватели се изисква да заплатят такса на Оператора, за да видят номера, който сте избрали да покажете, което ви защитава от масово събиране на номера от ботове. Можете по всяко време да скриете номера си в обявата. Ако сте продавач търговец, изискуемите по закон данни за търговеца се показват заедно с обявите ви.

Излъчванията на живо са публични: всеки, който гледа, може да види и чуе какво показвате и казвате. Платформата не записва излъчванията. Съобщенията ви в чата са видими само за вас и другия участник, както и за модераторите, когато за съобщение е подаден сигнал или то е задържано от съображения за безопасност.

6. Получатели и обработващи лични данни

Споделяме лични данни само в необходимата степен — с обработващи лични данни, които действат по наши указания въз основа на договори за обработване на данни, и с независими администратори, когато това е необходимо за услугата, която ползвате.

Хостинг и инфраструктура: Hetzner Online GmbH (Германия) — сървъри, база данни, собствените ни сървъри за поща и за видео на живо; Cloudflare, Inc. — съхранение и доставка на снимки и видеоклипове (R2) и, когато е включена, защита от ботове (Turnstile).

Комуникация: SMS шлюзове (SMS-fly, Messaggio, TurboSMS, Twilio — само телефонният номер и кодът); Telegram, WhatsApp (Meta Platforms Ireland Ltd.) и Viber — когато ги изберете за потвърждаване на телефонния си номер или за получаване на известия; Google Firebase Cloud Messaging и Apple Push Notification service, както и услугите за насочени известия на производителите на браузъри — за насочени (push) известия. Имейлите се изпращат от собствения ни пощенски сървър директно до вашия доставчик на поща.

Плащания: LiqPay (JSC CB PrivatBank), Stripe Payments Europe Ltd. и Apple (за покупки в приложението за iOS) получават данните, необходими за обработването на плащания, възстановявания и проверки за измами, и действат като независими администратори по отношение на собствените си задължения.

Модериране и поддръжка: доставчици на модели с изкуствен интелект — понастоящем Alibaba Cloud (Model Studio, международен регион) за анализ на изображения и за асистента на поддръжката и Amazon Web Services EMEA SARL (Rekognition, регион Франкфурт) като втора проверка на изображенията; Google (Web Risk) получава само връзките, открити в текстовете. Те получават снимката, кадъра или текста, които трябва да бъдат анализирани, без данните за профила ви, при търговски условия, които не им позволяват да ги използват за собствени цели.

Анализ: Google Ireland Ltd. (Google Tag Manager, Google Analytics 4) — само с вашето съгласие, когато то се изисква (раздел 10).

Вход и интеграции: Google, Apple и Meta (Facebook), когато влизате чрез тях; OLX, Allegro, Prom и Google Merchant Center, когато ги свържете; Nova Poshta за търсене на офиси при Сигурна сделка (ние не ѝ изпращаме лични данни); Checkbox (Украйна), когато продавач търговец издава фискална касова бележка от собствения си свързан касов апарат — тогава данните от касовата бележка, включително имейлът на купувача, ако продавачът го въведе, се обработват от нас като обработващ лични данни от името на продавача и от Checkbox за този продавач.

Органи и други: съдилища, правоохранителни органи и регулатори, когато сме задължени по закон или със заповед или когато това е необходимо за защита на правата и безопасността на Ползвателите и на трети лица; базата данни за прозрачност по DSA на Европейската комисия получава изложенията на мотивите без лични данни; професионални консултанти, обвързани със задължение за поверителност; правоприемник при преобразуване или продажба на предприятието. Не продаваме лични данни.

7. Предаване извън ЕС/ЕИП

Основните ни сървъри се намират в Европейския съюз. Някои получатели (например Google, Meta, Apple, Stripe, Twilio, Cloudflare, Alibaba Cloud, Telegram) могат да обработват данни в държави извън ЕИП, включително Съединените щати, Сингапур, Обединеното кралство и Украйна.

Такова предаване се извършва само когато Европейската комисия е признала адекватно ниво на защита (например Рамката за защита на данните между ЕС и САЩ за сертифицираните дружества, Обединеното кралство) или въз основа на стандартните договорни клаузи на Комисията с допълнителни гаранции, когато е необходимо (членове 45 и 46 от ОРЗД). За Ползвателите, обслужвани от украинския Оператор, предаването към държави, за които не е признато адекватно ниво на защита, се основава на необходимостта от изпълнение на договора с вас или на вашето съгласие (член 29 от Закона на Украйна „За защита на персоналните данни“). Можете да получите копие на съответните гаранции на admin@exgo.io.

8. Колко дълго съхраняваме данните

Профил и Съдържание: докато профилът ви съществува. Когато изтриете профила си, вашият профил, обяви, снимки, съобщения и онлайн магазин се изтриват без забавяне, а личните данни в останалите записи (например данните за доставка в завършена Сигурна сделка) се изтриват или анонимизират; резервните копия, които ги съдържат, се презаписват в срок от 14 дни.

Обявите изтичат след 30 дни, освен ако не бъдат подновени. Кодовете за потвърждаване на телефона са валидни 10 минути. Записите от търсенията (с псевдонимизиран IP адрес) се съхраняват 90 дни, известията — 90 дни, данните за обхвата на рекламите — 120 дни, обобщените статистически данни за рекламите и партньорите — 400 дни.

Разговори с поддръжката: данните за контакт се анонимизират 90 дни след последната активност, а разговорът се изтрива след 365 дни. Контакти, събрани за връзка с предприятия: 180 дни, ако никога не сме писали, 730 дни след последното писмо или незабавно при поискване.

Данните, които сме длъжни да съхраняваме по закон, се съхраняват за срока, изискван от закона, и след това се изтриват: счетоводни записи и записи за плащания (обикновено 10 години), решения при модериране и изложения на мотивите (за срока на възможните жалби и производства), данни, запазени по заповед на орган. Данните, необходими за установяване или защита на правни претенции, се съхраняват до погасяването на претенцията по давност.

9. Сигурност

Използваме криптирани връзки (HTTPS), хеширане на паролите, двуфакторно удостоверяване по избор, криптиране на токените за интеграции, контрол на достъпа и регистриране на действията на персонала, ограничаване на честотата на заявките и редовни резервни копия, съхранявани в ЕС.

Никоя система не е напълно сигурна. Ако нарушение на сигурността на личните данни има вероятност да породи висок риск за правата ви, ще уведомим вас и надзорния орган, както изискват членове 33 и 34 от ОРЗД.

10. Бисквитки и подобни технологии

Строго необходими бисквитки, за които не се изисква съгласие: сесията за вход (authjs.session-token и свързаните с нея бисквитки за CSRF и callback), стъпките на двуфакторния вход и на входа с телефон (exgo_2fa, exgo_phlogin), сесията на поддръжката за гости (exgo_support, 30 дни) и отговорът ви на банера за бисквитки (consent, 1 година).

Функционални бисквитки и хранилище, които запазват направения от вас избор: език (NEXT_LOCALE), цветова тема (theme), изглед на каталога и валута за показване (catalog_view, display_currency, 1 година), избран град (geo_city), черновата на обявата, която пишете (exgo.post.draft в локалното хранилище на браузъра ви), отхвърлените предложения за инсталиране и настройките за известия.

Бисквитки за атрибуция, които записват коя покана, партньор или реклама ви е довела, за да се отчетат правилно наградата или рекламната статистика: exgo_ref (30 дни), exgo_p (90 дни), exgo_adref (7 дни). Те се записват само след като приемете бисквитките в банера, съдържат само код, а не вашата самоличност, и не се споделят с трети лица.

Аналитични бисквитки и бисквитки за измерване на рекламата (Google Tag Manager, Google Analytics 4 и рекламните сигнали на Google) — само след като натиснете „Приемам“ в банера, независимо къде се намирате. Те измерват как се ползва Платформата и как се представят собствените ни рекламни кампании; Google може да използва данните съгласно собствените си условия като отделен администратор. Ако откажете, етикетът на Google не се зарежда. Той никога не се зарежда на страниците за вход, регистрация, възстановяване на парола и подаване на сигнал, нито в приложението за iOS.

Ако сте приели бисквитките и сте дошли чрез връзка към магазин, подготвен за пренасяне в Платформата, подписана бисквитка (до 30 дни) записва тази връзка, за да могат произтичащите от нея импорт и плащания да бъдат отнесени към нея. Оттеглянето на съгласието заличава тази връзка, с изключение на финансовите записи, които сме длъжни да съхраняваме; ако по-късно дадете съгласие отново, предишната активност не се възстановява.

Можете по всяко време да промените или да оттеглите избора си чрез „Настройки на бисквитките“ в долната част на всяка страница или чрез настройките под тази Политика; оттеглянето на съгласието е толкова лесно, колкото и даването му (член 7, параграф 3 от ОРЗД). Настройките на браузъра позволяват и блокиране на бисквитките, но Платформата няма да работи без строго необходимите.

11. Вашите права

Съгласно ОРЗД имате право: на достъп до данните си и на получаване на копие от тях (член 15); на коригиране на неточни данни (член 16); на изтриване на данни (член 17); на ограничаване на обработването (член 18); да получите предоставените от вас данни в структуриран, машинночетим формат и да ги прехвърлите на друг администратор (член 20); да оттеглите съгласието си по всяко време.

Право на възражение (член 21): можете по всяко време, на основания, свързани с конкретната ви ситуация, да възразите срещу обработване въз основа на нашите легитимни интереси; тогава ще го прекратим, освен ако не докажем убедителни законови основания или данните не са ни необходими за правни претенции. Можете по всяко време, без да посочвате причини, да възразите срещу използването на данните ви за целите на директния маркетинг.

Имате право да не бъдете обект на решение, основаващо се единствено на автоматизирано обработване, което ви засяга в значителна степен, и да получите човешка намеса при такова решение, да изразите гледната си точка и да го оспорите (член 22) — чрез жалбата в профила си.

Имате право да подадете жалба до надзорен орган, по-специално в държавата членка на ЕС по обичайното ви местопребиваване, място на работа или място на предполагаемото нарушение. Когато Операторът е словашкото дружество, водещ надзорен орган е Службата за защита на личните данни на Словашката република (Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk). Когато Операторът е украинското физическо лице – предприемач, се прилага украинското законодателство за защита на данните, а компетентен орган е Пълномощникът на Върховната рада на Украйна по правата на човека (ombudsman.gov.ua). Ползвателите в Полша могат да се обърнат и към Председателя на Службата за защита на личните данни (UODO), в Чехия — към Службата за защита на личните данни (ÚOOÚ), в Румъния — към Националния надзорен орган за обработване на лични данни (ANSPDCP), в България — към Комисията за защита на личните данни, в Словения — към Информационния комисар, а в Израел — към Органа за защита на неприкосновеността на личния живот.

12. Как да упражните правата си

Повечето права можете да упражните директно в профила си: да редактирате профила, да изтеглите копие на данните си („Изтеглете данните си“), да изключите известията, да изтриете профила си. За всичко останало пишете на admin@exgo.io от имейла, свързан с профила ви.

Отговаряме в срок от един месец; при сложни или многобройни искания този срок може да бъде удължен с още два месеца, като ще ви съобщим причината. Исканията са безплатни, освен ако не са явно неоснователни или прекомерни. Можем да поискаме информация за потвърждаване на самоличността ви. Копието на данните ви не включва съобщения, написани от други хора, нито самоличността на авторите на отзиви за вас, за да се защитят техните права.

13. Деца

Платформата е предназначена за пълнолетни лица (на 18 и повече години) и не е насочена към деца. Не събираме съзнателно данни на непълнолетни и не използваме профилиране, за да им показваме реклами. Ако смятате, че дете е създало профил, уведомете ни на admin@exgo.io и ще го изтрием.

14. Контакти на фирми от публични източници

Събираме публикувани фирмени контакти (имейл, понякога телефон) от страниците на магазините на дружества в други платформи за обяви, за да предложим еднократно пренасяне на магазина при нас. Контакти на частни лица изобщо не съхраняваме.

Източникът е посочен в самото писмо, заедно с юридическото ни име и пощенски адрес. Основанието е легитимен интерес (член 6, параграф 1, буква е) от ОРЗД); уведомяването за източника се извършва съгласно член 14 от ОРЗД.

Съхраняваме и моментно копие на публичната страница на магазина (заглавия, цени, връзки към изображения), за да покажем как би изглеждала при нас. Тази страница не се индексира и е достъпна само чрез връзката в писмото.

Всяко писмо съдържа връзка за отказ от бъдещи писма: адресът влиза в списъка с откази завинаги. Контакти, на които не сме писали, изтриваме след 180 дни, а тези, с които сме се свързали — след 730. По искане на admin@exgo.io изтриваме записа и моментното копие веднага.

15. Известия и маркетингови съобщения

Служебните съобщения — относно профила ви, сигурността, обявите, съобщенията, плащанията, решенията относно вашето Съдържание и промените в нашите условия — са част от услугата и се изпращат независимо от предпочитанията ви за маркетинг.

Известията за запазени търсения, насочените (push) известия, съобщенията в Telegram, WhatsApp или Viber и бюлетините се изпращат само ако ги включите. Рекламните съобщения са обозначени като такива, посочват подателя и съдържат възможност за отказ; всеки имейл съдържа връзка за отписване, а всички канали могат да бъдат изключени в настройките на профила или в настройките на устройството.

16. Промени в тази Политика

Актуализираме тази Политика, когато обработването ни се промени, например когато добавим функция или сменим доставчик. Датата на актуалната редакция е посочена в горната част. Ще ви уведомим за съществените промени по имейл или в профила ви, преди те да влязат в сила; когато промяна изисква вашето съгласие, ще ви го поискаме.