Политика за поверителност

1. Обхват

Настоящата политика се прилага за www.unovox.com, за формулярите за контакт и абонамент, за търговските взаимодействия във връзка с UNOVOX, за администрирането на клиентските профили и за техническото предоставяне на платформата UNOVOX като софтуер като услуга. Клиентът трябва да публикува собствено уведомление за поверителност в своя канал за подаване на сигнали; това уведомление урежда обработването от клиента и следва да се чете заедно с настоящата политика.

Настоящата политика се предоставя съгласно членове 13 и 14 от Регламент (ЕС) 2016/679 („ОРЗД“). В контекста на подаването на сигнали значение имат и Директива (ЕС) 2019/1937 и българската транспонираща уредба: Законът за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения (ЗЗЛПСПОИН), обн. ДВ, бр. 11 от 2 февруари 2023 г., в сила от 4 май 2023 г., с последващите изменения и допълнения, както и Законът за защита на личните данни. Тази версия на страницата е предназначена за клиенти и посетители в България.

2. Кои сме ние и нашите роли

UNOVOX е продукт, управляван от MAINSYSTEMS, LDA., с адрес за контакт Av. da República, 50, 2.º andar, 1050-196 Лисабон, Португалия („MAINSYSTEMS“, „ние“). Въпроси относно защитата на данните можете да изпращате на нашия контакт по поверителност: dpo@mainsystems.pt.

• Администратор: за посещенията на уебсайта, исканията за демонстрация или оферта, абонаментите, контактите за фактуриране, поддръжката и администрирането на клиентските и потребителските профили MAINSYSTEMS определя целите и средствата на обработването.
• Обработващ (чл. 28 от ОРЗД): за сигналите, съобщенията, приложенията, документацията по проверките и другото съдържание по случаите, подадено или създадено в средата на клиента в UNOVOX, обикновено клиентът определя целите и средствата; MAINSYSTEMS обработва тези данни по документирани указания и съгласно Споразумението за обработване на данни.
• Отговорност на клиента: организацията, която управлява канала, трябва да предостави собствено уведомление, да определи правните основания, да зададе правата за достъп и сроковете за съхранение, да води законово изисквания регистър на сигналите и да отговаря на исканията за упражняване на права във връзка със своите случаи.

3. Данни, които можем да обработваме

Данни от уебсайта, търговски и договорни данни

• професионални идентификационни и контактни данни, като име, служебен имейл, телефон, организация, длъжност и държава;
• информация, включена в исканията за демонстрация, оферта, абонамент, партньорство или поддръжка;
• договорни, абонаментни, фактурни и разплащателни записи, с изключение на пълните данни на картата, когато плащането се обработва от специализиран доставчик;
• комуникации и записи, необходими за управлението на търговските отношения и на поддръжката.

Данни за профила и за използването на услугата

• потребителско име, служебен имейл, роля, организация, права за достъп и информация за удостоверяване;
• технически журнали и журнали за сигурност на оправомощените потребители на управленската зона, като дати и часове на достъп, информация за браузъра и устройството, IP адрес, когато е необходим за обслужването и за журналите за сигурност, извършени действия и записи за инциденти;
• информация за конфигурацията, използването, поддръжката и диагностиката, необходима за функционирането и подобряването на услугата.

Данни от сигналите и по случаите

В зависимост от конфигурацията на клиента и от това, което въвежда сигнализиращото лице или оправомощен потребител, един случай може да съдържа данни за самоличност и контакт, информация за трудова или професионална дейност, изявления, съобщения, приложения, данни за твърдяно поведение, специални категории данни (чл. 9 от ОРЗД) и данни, свързани с предполагаеми престъпления и нарушения (чл. 10 от ОРЗД). MAINSYSTEMS не определя какви сигнали получава даден клиент и не използва съдържанието по случаите за реклама.

4. Анонимност в портала за подаване на сигнали

UNOVOX може да бъде конфигуриран да приема сигнали, без да изисква самоличността на сигнализиращото лице. За да се защити анонимността:

• порталът за подаване на сигнали не регистрира IP адреса и не изгражда профили на поведението на сигнализиращите лица;
• порталът не използва аналитични или маркетингови бисквитки;
• последващата комуникация с анонимно сигнализиращо лице се осъществява чрез код за проследяване, без да се изисква идентификация.

Анонимността все пак може да бъде засегната от фактори извън нашия контрол: ако лицето се идентифицира в описанието или в приложенията (включително в метаданните на файловете), ако използва служебно устройство или мрежа, наблюдавани от трети лица, или ако комуникира по друг канал. Отделно от това, по анонимни сигнали не се образува производство по реда на ЗЗЛПСПОИН (чл. 9, т. 1), което е преценка и отговорност на клиента като задължен субект.

5. Откъде идват данните

Получаваме данни пряко от Вас, от клиента, който създава или управлява Вашия профил, от оправомощените потребители на услугата, от сигнализиращи лица и други лица, посочени в съдържанието по случаите, от техническите журнали и журналите за сигурност и от доставчиците, използвани за функционирането на уебсайта и на платформата. Когато абонаментът е сключен чрез оправомощен партньор, можем да получим от този партньор контактните и договорните данни, необходими за предоставянето на услугата. В съдържанието по случаите данните на трети лица (например засегнатите от сигнал лица) се въвеждат от сигнализиращите лица или от клиента, а не от MAINSYSTEMS.

6. Цели и правни основания

Когато обработването се основава на съгласие, можете да го оттеглите по всяко време, без това да засяга вече извършеното обработване. Когато се позоваваме на легитимни интереси, можете да поискате информация за извършеното балансиране и да възразите съгласно чл. 21 от ОРЗД.

7. Сигнали и поверителни данни по случаите

Достъпът до данните по случаите е ограничен до потребителите, оправомощени от клиента, и до лицата, на които достъпът е необходим за предоставянето или защитата на услугата. Екипите на MAINSYSTEMS могат да достъпват информация по случаите само когато това е необходимо за оправомощена поддръжка, сигурност, реакция при инциденти, спазване на закона или поддържане на системата, при спазване на поверителност и контрол на достъпа. Търговските партньори нямат достъп до данните по случаите на клиентите, освен ако самият клиент не им го предостави чрез правата за достъп в платформата. Ние не решаваме дали един сигнал е основателен, какви действия по проверката да бъдат предприети и дали спрямо някого да бъде наложена мярка; тези решения принадлежат на клиента.

Самоличността на сигнализиращото лице и другата информация, от която тя може да бъде установена, е поверителна съгласно чл. 16 от Директива (ЕС) 2019/1937 и чл. 31 от ЗЗЛПСПОИН и може да бъде разкривана само в предвидените там случаи, а именно при изрично писмено съгласие на сигнализиращото лице или когато това е необходимо и пропорционално задължение по българското право или по правото на Съюза в контекста на разследвания на национални органи или на съдебни производства, включително с оглед гарантиране на правото на защита на засегнатото лице. Исканията за упражняване на права във връзка със сигнал по правило следва да се отправят към организацията, която управлява канала; ние съдействаме на клиента съгласно Споразумението за обработване на данни. Правата на субектите на данни, включително на засегнатите лица, могат да бъдат ограничени, когато това е необходимо за защита на самоличността на сигнализиращото лице, на правата на трети лица, на текуща проверка, на професионална тайна или на друг защитен от закона интерес.

8. AI агенти и подпомогнато обработване

Ако клиентът активира AI агенти, той избира категориите и обхвата, в които те могат да организират информация и да изпълняват конфигурирани задачи по проверката. Резултатите могат да съдържат грешки или да изискват контекст. Окончателната проверка и съществените решения остават отговорност на оправомощен служител, който разглежда случая; никакво решение с правни или подобни значителни последици за дадено лице не се взема единствено чрез автоматизирано обработване в платформата. MAINSYSTEMS не използва съдържанието по случаите на клиентите за обучение на модели с общо предназначение, освен с изричното съгласие на клиента и при валидно правно основание. Всеки оправомощен AI подобработващ е обвързан с договорни задължения за поверителност, сигурност и защита на данните.

9. Бисквитки, анализи и технологии срещу злоупотреби

На търговския уебсайт използваме строго необходими технологии за функционирането на сайта, за запомняне на предпочитанията за съгласие, за защита на формулярите и за предотвратяване на автоматизирани злоупотреби. Формулярите използват Cloudflare Turnstile. Използваме и Cookiebot за управление на съгласието и Google Tag Manager за управление на маркерите за измерване. Google Analytics 4 се активира само според избора, направен в банера. Не използваме данни от анализа на уебсайта, за да идентифицираме съдържанието на сигнал, а порталът за подаване на сигнали не използва аналитични или рекламни технологии.

Можете да промените или да оттеглите съгласието си за неесенциални бисквитки по всяко време чрез настройките за бисквитки на сайта. Блокирането на строго необходимите технологии може да попречи на работата на формулярите или на проверките за сигурност.

10. Получатели и подобработващи

Данните могат да бъдат предоставяни на принципа на необходимост на екипите на MAINSYSTEMS, на клиента и неговите оправомощени потребители, на оправомощени партньори, участващи в абонамента или в търговската поддръжка на услугата за клиента, на доставчици на хостинг и инфраструктура, имейл и комуникации, сигурност и предотвратяване на злоупотреби, анализи и управление на съгласието, плащания и фактуриране, както и на професионални консултанти, одитори и публични органи, когато разкриването се изисква по закон. Доставчиците и партньорите са обвързани с договорни задължения, подходящи за тяхната роля. Ние не продаваме и не отдаваме под наем лични данни.

Клиентите могат да поискат списъка на подобработващите, относими към тяхната услуга, и ще бъдат уведомявани за съществени промени съгласно Споразумението за обработване на данни.

11. Международни предавания

Данните се хостват и обработват в Европейското икономическо пространство. Когато доставчик или операция по поддръжката включва държава извън ЕИП, се позоваваме на законен механизъм за предаване, като решение относно адекватното ниво на защита, стандартните договорни клаузи на Европейската комисия и допълнителни мерки, когато е уместно. Клиентите могат да поискат допълнителна информация за гаранциите, относими към тяхната услуга.

12. Съхранение

Съхраняваме данните само толкова дълго, колкото е необходимо за посочената цел, като отчитаме договорните задължения, давностните срокове, изискванията за сигурност и нуждата от установяване, упражняване или защита на правни претенции.

• търговските запитвания и свързаната кореспонденция по правило се пазят до 24 месеца след последното относимо взаимодействие, освен ако е сключен договор или по-дълъг срок е обоснован;
• клиентските, договорните, фактурните и счетоводните записи се пазят за срока на отношенията и за задължителните законови срокове, включително приложимите данъчни срокове;
• записите за профила и за поддръжката се пазят, докато профилът е активен, и за срока, необходим за приключване, одит и защита на отношенията;
• техническите журнали и журналите за сигурност се пазят за пропорционален срок и могат да се пазят по-дълго, когато са свързани с инцидент;
• данните по случаите на клиентите се съхраняват съгласно указанията на клиента, приложимото за него право и Споразумението за обработване на данни. В България ЗЗЛПСПОИН изисква от задължения субект да води регистър на сигналите по чл. 18 и да съхранява сигналите, приложените към тях материали и документацията по разглеждането им за срок от пет години след приключване на разглеждането на сигнала, освен при образувано наказателно, гражданско, трудовоправно и/или административно производство във връзка със сигнала (чл. 18, ал. 2, т. 9 от ЗЗЛПСПОИН и чл. 8 от Наредба № 1 от 27 юли 2023 г.).

При приключване на услугата данните на клиента се връщат или заличават съгласно договора, приложимото право и документираните указания на клиента, без да се засягат защитените цикли на резервните копия и законовите задължения за съхранение.

13. Сигурност

Прилагаме подходящи на риска технически и организационни мерки, включително контрол на достъпа и роли с определени права, защитено удостоверяване с криптирано съхранение на паролите, достъп до уебсайта и платформата през HTTPS връзки, разделяне на средата на всеки клиент, журнали на дейността, резервни копия, управление на уязвимостите и процедури за реакция при инциденти. Нито една интернет услуга не може да гарантира абсолютна сигурност. Клиентите следва да конфигурират внимателно правата за достъп, да пазят поверителността на идентификационните си данни и своевременно да съобщават за съмнение за компрометиране.

При нарушение на сигурността на лични данни, които обработваме като администратор, MAINSYSTEMS оценява риска и уведомява надзорния орган в законовия срок от 72 часа, когато това се изисква от чл. 33 от ОРЗД, както и субектите на данни при висок риск (чл. 34). Когато действа като обработващ, MAINSYSTEMS уведомява клиента без ненужно забавяне, след като узнае за нарушението, съгласно Споразумението за обработване на данни.

14. Вашите права

При условията на приложимото право можете да поискате достъп, коригиране, изтриване, ограничаване, преносимост или да възразите срещу обработването (членове 15 до 21 от ОРЗД). Можете да оттеглите съгласието си и може да имате право да не бъдете обект на решение, основано единствено на автоматизирано обработване, което поражда правни или подобни значителни последици (чл. 22).

За данни, контролирани от MAINSYSTEMS, пишете на dpo@mainsystems.pt. Отговаряме в срок от един месец, който може да бъде удължен, доколкото законът позволява, и можем да поискаме информация, необходима за потвърждаване на самоличността и за намиране на данните. За данни в канала на клиент се обърнете към този клиент; ако се обърнете към нас, ще препратим или ще подпомогнем искането, без да разкриваме неправомерно поверителна информация по случая. В контекста на подаването на сигнали упражняването на правата може да бъде ограничено дотолкова, доколкото това е необходимо за защита на поверителността на самоличността на сигнализиращото лице и на целостта на последващите действия.

Можете да подадете жалба до португалския надзорен орган Comissão Nacional de Proteção de Dados (CNPD), който упражнява надзор върху MAINSYSTEMS, до българската Комисия за защита на личните данни (КЗЛД) или до надзорния орган по мястото на обичайното Ви пребиваване или на работното Ви място в ЕИП. За информация на клиентите: КЗЛД е и централният орган за външно подаване на сигнали по ЗЗЛПСПОИН, което е относимо към задълженията на клиента като задължен субект, но не променя ролята на MAINSYSTEMS като обработващ.

15. Деца

Търговският уебсайт на UNOVOX и зоната за администриране на клиентите са предназначени за професионална употреба и не са насочени към деца. Каналът за подаване на сигнали на даден клиент може да бъде предоставен и на по-млади лица, когато контекстът на този клиент го изисква; в такъв случай клиентът трябва да осигури подходяща информация, правно основание и гаранции.

16. Промени в тази политика

Можем да актуализираме тази политика, за да отразим промени в услугата, доставчиците, закона или регулаторните изисквания. Настоящата версия и датата на влизане в сила се публикуват на тази страница. За съществени промени, засягащи съществуващи клиенти, ще бъде съобщено по подходящ начин, когато това се изисква.

17. Контакти

MAINSYSTEMS, LDA. (UNOVOX)
Av. da República, 50, 2.º andar, 1050-196 Лисабон, Португалия
Поверителност: dpo@mainsystems.pt
Общи въпроси: info@mainsystems.pt
Телефон: +351 211 245 202