ПОЛИТИКА ЗА ПОВЕРИТЕЛНОСТ

Настоящата Политика за поверителност урежда отношенията между „Дъ Биг Гуд Морнинг ЕООД“ („ние“, „нас“ или „нашият“) и потребителите на нашия онлайн магазин за вино („вие“ или „вашият“).

Ние сме ангажирани да защитаваме поверителността на вашите лични данни и да спазваме приложимото законодателство за защита на данните, включително Общия регламент за защита на данните (GDPR) и приложимото българско законодателство. Препоръчваме ви да преглеждате редовно тази Политика за поверителност, за да сте информирани за начина, по който обработваме и защитаваме вашите лични данни.

Тази Политика за поверителност дава разяснения за следното:

• Как събираме вашите лични данни;

• Какви лични данни обработваме;

• Защо обработваме вашите лични данни;

• С кого споделяме вашите лични данни;

• Как защитаваме вашите лични данни;

• Колко дълго съхраняваме вашите лични данни;

• Какви са вашите права по отношение на вашите лични данни.

Раздел I – Информация за администратора

Чл. 1. Администратор на вашите лични данни е Дъ Биг Гуд Морнинг ЕООД, ЕИК: 207472735, със седалище и адрес на управление: гр. Русе, ул. Тича, 12

(2) Можете да се свържете с нас по следните начини:

1. По електронна поща: info@twobottlesofwine.com
2. По телефон: +359(0)886324071
3. Чрез формата за контакт на нашия уебсайт: https://twobottlesofwine.com

(3) Ако имате въпроси относно обработването на вашите лични данни или желаете да упражните някое от вашите права съгласно приложимото законодателство за защита на данните, моля, свържете се с нас на info@twobottlesofwine.com

Раздел II – Често използвани термини

Чл. 2. За целите на настоящата Политика за поверителност, следните термини имат следното значение:

1. „Лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или чрез един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, икономическата, културната или социалната идентичност на това физическо лице.
2. „Обработване на лични данни“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.
3. „Администратор на лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни.
4. „Обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.
5. „Субект на данни“ означава идентифицирано или подлежащо на идентифициране физическо лице, за което се отнасят личните данни
6. „Съгласие“ на субекта на данни означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени.
7. „Нарушение на сигурността на лични данни“ означава нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин.
8. „Легитимен интерес“ означава интерес на администратора или на трета страна, който е достатъчно основателен, за да оправдае обработването на лични данни, при условие че този интерес не накърнява интересите или основните права и свободи на субекта на данните.
9. „Профилиране“ означава всяка форма на автоматизирано обработване на лични данни, изразяващо се в използването на лични данни за оценяване на определени лични аспекти, свързани с физическо лице, по-специално за анализиране или прогнозиране на аспекти, отнасящи се до изпълнението на професионалните задължения на това физическо лице, неговото икономическо състояние, здраве, лични предпочитания, интереси, надеждност, поведение, местоположение или движения.
10. „Бисквитки“ означава малки текстови файлове, които се съхраняват на вашето устройство (компютър, таблет, смартфон и др.) при посещение на нашия уебсайт. Бисквитките ни помагат да осигурим правилното функциониране на уебсайта, да подобрим вашето потребителско изживяване и да ви предоставим персонализирано съдържание и реклами.

Раздел III – Лични данни, които събираме

Чл. 3. Категории лични данни, които обработваме:

(1) Данни за идентификация и контакт:

1. Име и фамилия;
2. Имейл адрес;
3. Телефонен номер;
4. Адрес за доставка;
5. Адрес за фактуриране;
6. Дата на раждане (за потвърждаване, че сте на възраст, позволяваща закупуване на алкохол).

(2) Данни за покупки и транзакции:

1. История на поръчките;
2. Закупени продукти;
3. Информация за плащане (НЕ съхраняваме пълните данни за вашата кредитна/дебитна карта);
4. Данни за фактуриране.

(3) Данни, свързани с използването на уебсайта и сърфирането:

1. IP адрес;
2. Информация за устройството;
3. Тип и версия на браузъра;
4. Предпочитания и интереси въз основа на взаимодействието Ви с нашия уебсайт;
5. Продукти, които разглеждате;
6. Сесии за сърфиране и поведение при сърфиране;
7. Използване на функции на уебсайта.

(4) Маркетингови предпочитания:

1. Предпочитания за комуникация;
2. Абонаменти за бюлетини;
3. Отговори на проучвания и обратна връзка.

(5) Данни от взаимодействие с асистент базиран на изкуствен интелект (ИИ):

1. История на разговори с чат бота
2. Зададени въпроси и получени отговори
3. Предпочитания за вино (сорт, произход, ценови диапазон, вкусови характеристики)
4. Оценки и обратна връзка за препоръки
5. Данни за поведение при използване на ИИ услугите

Чл. 4. Администраторът изрично уведомява, че не събира и не обработва специални категории лични данни по смисъла на чл. 9 от GDPR като данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, генетични данни, биометрични данни, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация.

Чл. 5.  Администраторът изрично уведомява, че продуктите не са насочени към лица под 18-годишна възраст и поради тази причина не събира лични данни от лица под 18 години.

(2) Ако се установи, че са събрани лични данни от лице под 18-годишна възраст без съгласието на родител или настойник, ще бъдат предприети стъпки за изтриване на тази информация възможно най-скоро.

(3) Ако смятате, че администраторът събира или обработва информация от или за лице под 18-годишна възраст, моля, свържете се с нас на info@twobottlesofwine..bg

Раздел IV – Как се събират Вашите лични данни

Чл. 6. (1) Администраторът събира лични данни, които вие доброволно предоставяте при взаимодействие с услугите. Когато създавате акаунт в онлайн магазина, Администраторът събира информация за вашата самоличност, като име, имейл адрес и предпочитания, необходими за управление на вашия профил и персонализиране на вашето изживяване.

(2) При извършване на покупка или подаване на поръчка, вие предоставяте данни за контакт и доставка, необходими за обработка на транзакцията, включително информация за плащане, адрес за доставка и данни за фактуриране. Тези данни са от съществено значение за изпълнение на договорните задължения на Администратора към вас.

(3) Администраторът също така събира информация, когато доброволно участвате в маркетингови дейности, като се абонирате за бюлетин, участвате в промоции, игри или проучвания, или когато комуникирате с екипа за обслужване на клиенти по телефон, имейл или чрез формата за контакт на онлайн магазина.

(4) Когато публикувате отзиви или коментари за продуктите, Администраторът събира тази информация, за да подобри услугите и да помогне на други потребители при избора на продукти. Вашите отзиви могат да бъдат видими и за други потребители на уебсайта, затова се препоръчва да не включвате чувствителна лична информация в тях.

Чл. 7. (1) Освен информацията, която съзнателно предоставяте, Администраторът автоматично събира определени технически данни при вашето взаимодействие с уебсайта. Тези данни включват информация за вашето устройство, IP адрес, тип и версия на браузъра, както и начина, по който използвате уебсайта. Автоматичното събиране на данни се извършва при всяко посещение на уебсайта, независимо дали имате регистриран акаунт или не.

(2) Администраторът също така получава информация за вашето взаимодействие с маркетинговите съобщения, включително дали сте отворили имейла, кликнали върху връзки в него или извършили последващи действия. Тази информация помага за оценяване на ефективността на комуникациите и предоставяне на по-полезно и релевантно съдържание.

(3) За автоматичното събиране на данни Администраторът използва различни технологии, включително бисквитки, пикселни тагове, технологии за анализ като Google Analytics и лог файлове на сървъра. Тези технологии позволяват подобряване на функционалността на онлайн магазина, анализиране на тенденциите в употребата и персонализиране на вашето изживяване. Подробна информация за това как се използват бисквитки и подобни технологии можете да намерите в раздел XII от настоящата Политика за поверителност.

Чл. 8. (1) В определени случаи, Администраторът може да получава информация за вас от трети страни, които си сътрудничат при предоставянето на услугите. Например, когато извършвате плащане, доставчиците на платежни услуги могат да предоставят информация за статуса на транзакцията. Доставчиците на услуги за доставка могат да споделят информация относно доставката на вашата поръчка, включително данни за време на доставка и статус.

(2) Администраторът също може да получава данни от маркетингови партньори и публично достъпни източници на данни, които помагат за подобряване на услугите и предоставянето на по-релевантно съдържание. Ако сте свързали вашия акаунт в социалните медии с онлайн магазина, Администраторът може да получава определена информация от съответната платформа за социални медии съгласно техните политики и вашите настройки за поверителност.

(3) При всички случаи, когато събира информация от трети страни, Администраторът прилага подходящи мерки, за да гарантира, че тези трети страни имат законово право да споделят тази информация и че обработката се извършва в съответствие с приложимото законодателство за защита на данните.

Раздел V – Правно основание за обработка

Чл. 9. Администраторът обработва вашите лични данни само когато има валидно правно основание за това. Правните основания, на които се разчита, включват:

1. Изпълнение на договор (чл. 6, ал. 1, б. б от GDPR): Администраторът обработва вашите лични данни, когато това е необходимо за изпълнение на договор, по който вие сте страна, или за предприемане на стъпки по ваше искане преди сключване на такъв договор. Това включва обработка на вашите данни за създаване и поддържане на вашия акаунт, обработка на поръчки, доставка на закупени продукти, отговаряне на ваши запитвания и предоставяне на клиентска поддръжка. Например, когато правите поръчка в онлайн магазина, Администраторът обработва вашите данни за контакт и доставка, за да изпълни вашата поръчка съгласно условията на продажба.
2. Законови задължения (чл. 6, ал. 1, б. в от GDPR): В някои случаи Администраторът е законово задължен да обработва определени категории лични данни. Например, според данъчното и счетоводното законодателство, Администраторът трябва да запази информация за финансовите транзакции за определен период от време. Също така, законът задължава Администратора да проверява възрастта на клиентите при продажба на алкохолни продукти, за да се гарантира спазването на ограниченията за продажба на алкохол на непълнолетни лица. В случай на законно искане от правоприлагащи или други официални органи, Администраторът може да бъде задължен да предостави определена информация.
3. Легитимни интереси (чл. 6, ал. 1, б. е от GDPR): В определени случаи Администраторът обработва вашите лични данни на основание на своите легитимни интереси или тези на трета страна, освен когато пред тези интереси преимущество имат вашите интереси или основни права и свободи. Легитимните интереси на Администратора включват подобряване на продуктите и услугите, защита на сигурността на системите и предотвратяване на измами, провеждане на маркетингови дейности, управление на бизнеса и защита на законните права. Във всеки случай Администраторът извършва внимателна преценка, за да гарантира, че интересите не нарушават вашите права.
4. Съгласие (чл. 6, ал. 1, б. а от GDPR): В определени ситуации Администраторът обработва вашите лични данни въз основа на вашето изрично съгласие. Например, маркетингови съобщения ще бъдат изпращани само ако сте дали съгласието си за това, освен в случаите, когато Администраторът е законово оправомощен да го прави без изрично съгласие. Съгласието се дава свободно и може да бъде оттеглено по всяко време без отрицателни последици.
5. Предоставяне на услуги базирани на изкуствен интелект (чл. 6, ал. 1, б. б и б. е от GDPR): За функциониране на чат асистента и персонализирани препоръки за вина въз основа на договор и легитимен интерес за подобряване на услугите.

Чл. 10. (1) Когато се разчита на легитимни интереси като правно основание за обработка на вашите лични данни, Администраторът внимателно преценява дали тези интереси са законни, ясно формулирани и не накърняват вашите интереси, основни права и свободи. За всяка обработка, основана на легитимен интерес, се извършва балансов тест, който взема предвид естеството на данните, вашите разумни очаквания, възможното въздействие върху вас и допълнителните гаранции, които се прилагат.

(2) Един от легитимните интереси на Администратора е да разбира как потребителите използват уебсайта и услугите, за да подобри потребителското изживяване, да разреши технически проблеми и да разработи нови функции. За тази цел Администраторът анализира данните за използването на уебсайта, но винаги се стреми да използва агрегирани или псевдонимизирани данни, когато това е възможно, и прилага строги мерки за сигурност.

(3) Администраторът има легитимен интерес да защитава своите системи, услуги и потребители от измами, неоторизиран достъп и други заплахи за сигурността. Това включва наблюдение на достъпа до системите, предприемане на мерки срещу подозрителни дейности и защита на личните данни на потребителите от нарушения на сигурността. Тези мерки за сигурност са проектирани да бъдат пропорционални на рисковете и да зачитат правата на потребителите.

(4) В някои случаи, Администраторът може да има легитимен интерес да изпраща маркетингови съобщения на съществуващи клиенти за подобни продукти или услуги, при условие че им предоставя възможност да откажат получаването на такива съобщения във всеки момент. Администраторът внимателно преценява естеството на маркетинговите комуникации, за да гарантира, че те са релевантни и не са натрапчиви, и винаги уважава вашите маркетингови предпочитания.

(5) Администраторът има легитимен интерес да използва данни за управление на своя бизнес, включително за финансово планиране, отчетност и одитиране. Тези дейности са от съществено значение за функционирането на бизнеса и обикновено имат минимално въздействие върху правата и свободите на физическите лица.

(6) Администраторът може да има легитимен интерес да запази определени данни, когато това е необходимо за установяването, упражняването или защитата на правни претенции. Това може да включва запазване на доказателства за транзакции, комуникация с клиенти или други данни, които могат да бъдат релевантни в случай на правен спор.

(7) Вие имате право да възразите срещу обработване, основано на легитимен интерес, по всяко време, както е обяснено в раздел XI от тази Политика. В случай на възражение, Администраторът ще преразгледа обработката и ще я прекрати, освен ако не може да докаже убедителни легитимни основания, които имат преимущество пред вашите интереси, права и свободи, или ако обработването е необходимо за установяването, упражняването или защитата на правни претенции.

Раздел VI – Kак използваме вашите данни

Чл. 11.  (1) Вашите лични данни са от първостепенно значение за създаването и управлението на вашия акаунт в онлайн магазина. Администраторът използва тази информация за обработка и изпълнение на вашите поръчки, за обработка на плащания и за организиране на доставката на закупените от вас продукти. Освен това, тези данни позволяват предоставянето на персонализирана клиентска поддръжка и отговаряне на вашите въпроси или искания за съдействие.

(2) Администраторът също така използва вашите данни за контакт, за да изпраща важни известия, свързани с вашия акаунт или вашите поръчки, като например потвърждения на поръчки, информация за доставка или промени в услугите.

(3) Чрез анализ на информацията за това как потребителите използват уебсайта, Администраторът може да идентифицира проблеми, да открие области, които се нуждаят от подобрение и да разработва нови функции, да оптимизира съдържанието или да променя дизайна. Тези данни помагат за по-добро разбиране на вашите нужди и предпочитания и дават възможност за провеждане на пазарни проучвания и анализи. Тази информация е от съществено значение за тестването на нови функционалности и подобрения, които целят да направят вашето потребителско изживяване по-плавно и удовлетворително.

(3) На базата на вашите действия и предпочитания в уебсайта, Администраторът се стреми да предостави персонализирано съдържание и препоръки, които могат да бъдат от значение за вас. Администраторът запомня вашите предпочитания и проследява продуктите, които сте разглеждали или добавили в кошницата си, за да може да предложи релевантни продукти и да персонализира вашето изживяване според вашите интереси. Целта е да се направи вашето потребителско изживяване възможно най-ефективно и да ви помогне да намерите продуктите, които търсите.

(4) Когато сте дали съгласието си, Администраторът използва вашите данни за изпращане на маркетингови съобщения, които могат да включват информация за нови продукти, специални оферти или предстоящи събития. Администраторът също така може да използва тези данни за провеждане на промоции и конкурси, в които можете да участвате. За да подобри маркетинговите стратегии, Администраторът измерва ефективността на кампаниите и използва информацията за таргетиране и оптимизиране на рекламите, така че те да бъдат релевантни за вашите интереси.

(5) Вашите данни са от съществено значение за защитата от измами и неоторизиран достъп до системите и услугите. Администраторът анализира моделите на използване и транзакциите, за да открива и предотвратява злоупотреби с услугите. Тази обработка е необходима за защита на правата, собствеността и безопасността на Администратора, както и за защита на другите потребители. В определени случаи, Администраторът може да запази данни, които са необходими за установяването, упражняването или защитата на правни претенции.

(6) Администраторът обработва вашите лични данни, за да изпълни законовите и регулаторните задължения, включително отговаряне на правни процеси и искания от публични и правителствени органи. Това включва спазването на данъчни и счетоводни изисквания, като например съхраняването на фактури и други финансови документи за определен период от време. Администраторът също е задължен да проверява възрастта на клиентите, за да гарантира, че продава алкохолни продукти само на лица, които имат законово право да ги закупуват.

(7) Администраторът е ангажиран да спазва принципа за минимизация на данните, като събира и обработва само лични данни, които са подходящи, релевантни и ограничени до необходимото във връзка с целите, за които се обработват. Например, при регистрация той събира само основна информация за идентификация и контакт, без да изискваме излишни детайли. Редовно преразглеждаме събраните данни и изтриваме или анонимизираме тези, които вече не са необходими за целите на обработването.

Чл. 12. (1) В някои случаи Администраторът може да използва вашите лични данни за създаване на потребителски профили с цел анализиране или прогнозиране на вашите предпочитания, интереси или поведение. Това помага за персонализиране на вашето изживяване и предоставяне на по-релевантни продукти и организация на промоционални кампании.

Чл. 13 (1) Администраторът използва автоматизирано вземане на решения само при наличие на изрично съгласие на потребителите за ползване на определени услуги.

(2) Администраторът не използва автоматично профилиране, което да поражда правни последици за вас или по подобен начин да ви засяга в значителна степен. Всички значими решения, които биха могли да повлияят на вашите права или законни интереси, се вземат с човешка намеса и преценка. Ако в бъдеще се реши да бъдат въведени такива автоматизирани процеси, ще бъдете информирани предварително и ще ви бъде предоставена възможност да изразите вашето мнение и да оспорите решението, когато това е подходящо.

(3) Администраторът използва ИИ алгоритми за препоръки на продукти, които не пораждат правни последствия, а служат като съвети, като Вие винаги запазвате правото на избор и контрол върху покупките си.

Раздел VII  – Споделяне на данни с трети страни

Чл. 14. Ние не продаваме вашите лични данни на трети страни. Въпреки това, ние можем да споделяме вашите лични данни със следните категории получатели:

(1) Доставчици на услуги:

1. Доставчици на хостинг услуги и облачни услуги – SiteGround, WordPress, Google Cloud
2. Платежни процесори – Страйп (Stripe Inc)
3. Доставчици на логистични и транспортни услуги – Еконт Експрес АД, Спиди АД, ИНАУТ ТРЕЙД ЕООД
4. Аналитични доставчици (например, Google Analytics, Facebook Pixel и др.).
5. Счетоводни кантори с цел обработка на данните от поръчките и изготвяне на отчети към приходна агенция.

(2) Правни органи:

1. Правоприлагащи органи, регулаторни органи, съдилища или други публични органи, когато това се изисква от закона;
2. Трети страни, с които може да изберем да продадем, прехвърлим или обединим части от нашия бизнес или нашите активи. Алтернативно, ние може да се стремим да придобием други бизнеси или да се обединим с тях. Ако настъпи промяна в нашия бизнес, новите собственици могат да използват вашите лични данни по същия начин, както е посочено в тази Политика за поверителност.

(3) Към момента на влизане в сила на тази Политика за поверителност, Администраторът не действа като съвместен администратор по отношение на личните данни, които обработва.

(4) В случай че в бъдеще Администраторът започне да определя целите и средствата на обработването съвместно с друг администратор, той ще сключи споразумение, което урежда по прозрачен начин съответните роли и отношения на съвместните администратори спрямо субектите на данни.

Чл. 15. Защита при споделяне на данни

(1) Ние се стремим да осигурим, че получателите на вашите лични данни спазват приложимите закони за защита на данните и осигуряват адекватно ниво на защита.

(2) Когато ангажираме трети страни да обработват лични данни от наше име, те го правят въз основа на писмени инструкции, със задължение за поверителност и са задължени да прилагат подходящи технически и организационни мерки за осигуряване на сигурността на данните.

Раздел VIII – Международен трансфер на данни

Чл. 16. (1) В определени случаи, Администраторът може да прехвърля, съхранява и обработва вашите лични данни извън Европейското икономическо пространство (ЕИП), например когато съответните доставчици на услуги са базирани извън ЕИП.

(2) Когато прехвърля Ваши лични данни извън ЕИП, той гарантира, че се осигурява сходно ниво на защита, като внедрява поне една от следните мерки:

1. Прехвърля ваши лични данни само към държави, за които Европейската комисия е решила, че осигуряват адекватно ниво на защита на личните данни;
2. Когато използва доставчици на услуги извън ЕИП, той  използва специфични договори, одобрени от Европейската комисия, които предоставят на личните данни същата защита, която имат в Европа (така наречените стандартни договорни клаузи);
3. Когато използва доставчици, базирани в САЩ, той  може да прехвърля данни към тях, ако те са част от сертификационна схема, която изисква от тях да осигурят подобна защита на личните данни, каквато се изисква в Европа.

(3) Вашите лични данни може да бъдат прехвърлени към следните държави извън ЕИП:

1. Съединените американски щати (САЩ) – за аналитични услуги (Google Analytics), маркетингови платформи (Facebook) и други доставчици на облачни услуги;

(4) В съответствие с решението на Съда на Европейския съюз по дело „Schrems II“, ние извършваме оценка на въздействието на трансфера (TIA) за всеки трансфер на данни извън ЕИП, за да оценим правната рамка в държавата на местоназначение и да внедрим допълнителни мерки, когато е необходимо.

(5) Допълнителните мерки, които се прилагат при международни трансфери, включват:

1. Криптиране на данните в покой и по време на трансфер;
2. Псевдонимизация или анонимизация, когато е възможно;
3. Строги договорни задължения за доставчиците на услуги.

Раздел IX – Сигурност на данните

Чл. 17. (1) Администраторът е внедрил подходящи технически и организационни мерки, за да защитим вашите лични данни от случайна загуба, неоторизиран достъп, употреба, промяна или разкриване.

(2) Технически мерки:

1. Криптиране на чувствителни данни в покой и при трансфер (използване на SSL/TLS протоколи);
2. Защитни стени (firewalls) и системи за откриване на проникване;
3. Антивирусна защита и защита от зловреден софтуер;
4. Редовно актуализиране на софтуера и системите;
5. Двуфакторна автентикация за достъп до системи, съдържащи лични данни;
6. Мерки за сигурност на мрежата;
7. Наблюдение на системите за подозрителна активност.

(3) Организационни мерки:

• Политики и процедури за защита на данните;

• Достъп до лични данни само на оторизиран персонал на принципа „необходимост да се знае“;

• Проверки на контрола на достъпа и управление на потребителските права;

• Редовно тестване и оценяване на ефективността на мерките за сигурност.

(4) В случай на нарушение на сигурността на личните данни, което може да създаде висок риск за правата и свободите на физическите лица, Администраторът ще Ви уведоми без ненужно забавяне и не по-късно от 72 часа след откриването на нарушението.

(5) Уведомлението ще включва най-малко следната информация:

1. Описание на естеството на нарушението;
2. Име и координати за връзка с длъжностното лице по защита на данните
3. Описание на евентуалните последици от нарушението;
4. Описание на предприетите или предложените от Администратора мерки за справяне с нарушението и ограничаване на възможните неблагоприятни последици.

Раздел X – Съхранение на данни 

Чл. 18. (1) Администраторът съхранява вашите лични данни само за периода, необходим за постигане на целите, за които те са били събрани, или за да спазва законовите изисквания.

(2) За данните, свързани с вашия потребителски акаунт, периодът на съхранение е времето, през което имате активен акаунт при Администратора, плюс допълнителен период от 1 година след закриването на акаунта, за да може Администраторът да отговори на запитвания или претенции.

(3) За данни, свързани с покупки и транзакции, Администраторът съхранява тази информация за период от 5 години след извършване на транзакцията. Този срок е определен от данъчното и счетоводното законодателство в България, което изисква съхранение на финансови документи за този период.

(4) За данни, събрани чрез маркетингови дейности (например, абонаменти за бюлетини), Администраторът съхранява тази информация, докато сте абонирани за маркетинговите комуникации.

(5) За данни, събрани от „бисквитки“ и подобни технологии, периодите на съхранение варират в зависимост от вида на „бисквитката“. Сесийните „бисквитки“ се изтриват автоматично, когато затворите браузъра си, докато постоянните „бисквитки“ могат да останат на вашето устройство до 2 години, в зависимост от техните настройки и предназначение.

(6) За информация, свързана с комуникация с екипа за обслужване на клиенти, Администраторът съхранява тези данни за период от 2 години след последната ви комуникация.

Чл. 19. (1) При определяне на подходящите периоди на съхранение за вашите лични данни, Администраторът взема предвид няколко критерия, включително:

1. Правни изисквания – много закони и разпоредби изискват минимален период на съхранение за определени видове данни, особено финансова и счетоводна информация.
2. Ограничения за правни искове – Администраторът взема предвид сроковете за погасяване по давност на потенциалните правни искове, които могат да възникнат във връзка с услугите.
3. Оперативни нужди – Администраторът преценява колко дълго данните са необходими за предоставяне на услугите, подобряване на потребителското изживяване и осигуряване на адекватна клиентска поддръжка.
4. Очаквания на потребителите – Администраторът взема предвид разумните очаквания на потребителите по отношение на съхранението на техните данни.
5. Техническа реализация – Администраторът преценява и технически аспекти като възможности за анонимизация или псевдонимизация, които могат да позволят обработването на данни за по-дълги периоди по начин, който не позволява идентифицирането на субектите на данни.

Чл. 20 (1) Конкретните срокове на съхранение за различните категории данни са определени въз основа на баланс между тези критерии, като се отдава приоритет на законовите изисквания и фундаменталните права на субектите на данни.

(2) Администраторът редовно преразглежда необходимостта от продължаващо съхранение на личните данни и актуализира сроковете в съответствие с развитието на горните критерии

Чл. 21. (1) След изтичане на приложимия период на съхранение, Администраторът предприема мерки за изтриване или анонимизиране на вашите лични данни.

(2) Изтриването се извършва по сигурен начин, използвайки одобрени методи, които гарантират, че данните не могат да бъдат възстановени или достъпни след процеса на изтриване.

(3) В случаите, когато пълното изтриване не е технически възможно или не е желателно поради легитимни бизнес интереси, Администраторът може да анонимизира данните, за да премахне възможността те да бъдат свързани с вас.

(4) Процесът на анонимизация е необратим и гарантира, че данните не могат повече да се използват за идентифициране на физическо лице, директно или индиректно.

(5) За някои категории данни, чието съхранение е задължително по закон (например, счетоводни документи), Администраторът спазва минималните срокове за съхранение, определени от съответното законодателство.

Раздел XI – Вашите права за поверителност

Чл. 22. (1) Като субект на данни, Вие имате определени права по отношение на вашите лични данни съгласно Общия регламент за защита на данните (GDPR) и приложимото българско законодателство.

(2) Администраторът е ангажиран да улесни упражняването на вашите права и да отговори на вашите искания без ненужно забавяне, най-късно в рамките на един месец от получаването им.

(3) В случай на сложни или многобройни искания, този срок може да бъде удължен с още два месеца. Ако се наложи такова удължаване, Администраторът ще ви информира за това в рамките на първоначалния едномесечен срок, заедно с причините за забавянето.

(4) Администраторът си запазва правото да изисква потвърждение на вашата самоличност преди да отговори на искане, свързано с вашите права. Това е мярка за сигурност, която гарантира, че вашите лични данни не се разкриват на неоторизирани лица.

(5) В повечето случаи, упражняването на вашите права е безплатно. Администраторът обаче може да наложи разумна такса, ако вашето искане е явно неоснователно, прекомерно или повтарящо се. Алтернативно, Администраторът може да откаже да предприеме действия по такива искания.

Чл. 23. (1) Вие имате право да получите потвърждение дали Администраторът обработва ваши лични данни и, ако това е така, да получите достъп до тези данни.

(2) При упражняване на правото на достъп, Администраторът ще ви предостави копие от вашите лични данни, които обработва, заедно със следната информация:

1. Целите на обработването на вашите лични данни и правното основание за това обработване, вкл. категориите лични данни, които се обработват,
2. Получателите или категориите получатели, пред които са или ще бъдат разкрити вашите лични данни, особено получатели в трети държави или международни организации.
3. Когато е възможно, предвидения срок, за който ще се съхраняват вашите лични данни, или ако това не е възможно, критериите, използвани за определяне на този срок.
4. Информация за вашите допълнителни права, като право на коригиране, изтриване, ограничаване на обработването и възражение срещу обработването.
5. Правото ви да подадете жалба до надзорен орган.
6. Когато личните данни не се събират от вас, всякаква налична информация за техния източник.

Чл. 24. (1) Вие имате право да изискате от Администратора коригиране на неточни лични данни, свързани с вас, без ненужно забавяне.

(2) Вие също така имате право да поискате допълване на непълни лични данни, включително чрез предоставяне на допълнителна декларация.

(3) Администраторът ще уведоми всички получатели, на които са разкрити вашите лични данни, за всяко коригиране, освен ако това е невъзможно или изисква несъразмерно големи усилия.

Чл. 25. (1) Вие имате право да поискате от Администратора изтриване на свързаните с вас лични данни без ненужно забавяне, а Администраторът има задължението да изтрие тези данни без ненужно забавяне, когато е приложимо някое от следните основания:

1. Личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин;
2. Вие оттеглите своето съгласие, върху което се основава обработването, и няма друго правно основание за обработването;
3. Вие възразите срещу обработването на основание легитимен интерес и няма законни основания за обработването, които да имат преимущество, или вие възразите срещу обработването за целите на директния маркетинг;
4. Личните данни са били обработвани незаконосъобразно.ю
5. Личните данни трябва да бъдат изтрити с цел спазването на правно задължение по правото на Съюза или на държава членка, което се прилага спрямо Администратора.

(2) Администраторът се задължава да уведоми всички получатели, на които са разкрити вашите лични данни, за всяко изтриване, освен ако това е невъзможно или изисква несъразмерно големи усилия.

(3) Правото на изтриване не се прилага, доколкото обработването е необходимо за упражняване на правото на свобода на изразяването и информацията, за спазване на правно задължение, за изпълнение на задача от обществен интерес, по причини от обществен интерес в областта на общественото здраве, за целите на архивирането в обществен интерес, за установяването, упражняването или защитата на правни претенции.

Чл. 26.(1) Вие имате право да изискате от Администратора ограничаване на обработването на вашите лични данни, когато е приложимо някое от следните условия:

1. Точността на личните данни се оспорва от вас, за срок, който позволява на Администратора да провери точността на личните данни.
2. Обработването е неправомерно, но вие не желаете личните данни да бъдат изтрити, а изисквате вместо това ограничаване на използването им.
3. Администраторът не се нуждае повече от личните данни за целите на обработването, но вие ги изисквате за установяването, упражняването или защитата на правни претенции.
4. Вие сте възразили срещу обработването на основание легитимен интерес в очакване на проверка дали законните основания на Администратора имат преимущество пред вашите интереси.

(2) Когато обработването е ограничено, такива данни се обработват, с изключение на тяхното съхранение, само с вашето съгласие или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице или поради важни основания от обществен интерес.

(3) Администраторът ще ви информира преди отмяната на ограничаването на обработването. Администраторът ще уведоми всички получатели, на които са разкрити вашите лични данни, за всяко ограничаване на обработването, освен ако това е невъзможно или изисква несъразмерно големи усилия.

Чл. 27. (1) Вие имате право да получите личните данни, които ви засягат и които сте предоставили на Администратора, в структуриран, широко използван и пригоден за машинно четене формат.

(2) Вие имате право да предадете тези данни на друг администратор без възпрепятстване от страна на Администратора, когато обработването е основано на съгласие или на договорно задължение и се извършва по автоматизиран начин.

(3) Когато упражнявате правото си на преносимост на данните, вие имате право да получите пряко прехвърляне на личните данни от Администратора към друг администратор, когато това е технически осъществимо.

(4) Форматите, в които Администраторът предоставя вашите данни при упражняване на правото на преносимост, включват CSV, JSON или XML, в зависимост от естеството на данните и техническите възможности.

(5) Упражняването на правото на преносимост на данните не засяга правото на изтриване и не трябва да влияе неблагоприятно върху правата и свободите на други лица.

Чл. 28.  (1) Вие имате право, по всяко време и на основания, свързани с вашата конкретна ситуация, да възразите срещу обработване на лични данни, отнасящи се до вас, което се основава на легитимен интерес.

(2) При възражение срещу обработване на основание легитимен интерес, Администраторът ще преустанови обработването на личните данни, освен ако докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред вашите интереси, права и свободи, или за установяването, упражняването или защитата на правни претенции.

(3) Когато се обработват лични данни за целите на директния маркетинг, вие имате право по всяко време да направите възражение срещу обработване на лични данни за тази цел, включително по отношение на профилиране, свързано с директния маркетинг.

(4) Когато възразите срещу обработване за целите на директния маркетинг, обработването на личните данни за тези цели се прекратява незабавно и безусловно. Администраторът ще Ви предостави лесен начин да възразите срещу такова обработване във всяко маркетингово съобщение, например чрез включен линк за отказ или инструкции как да се отпишете.

(5) Администраторът ще ви информира изрично за правото на възражение, по най-късно в момента на първата комуникация, по ясен начин и отделно от всяка друга информация.

(6) Администраторът ще Ви информира за правото на възражение не по-късно от първия момент на комуникация с Вас, ясно и отделно от всяка друга информация

Чл. 29. (1) Вие имате право да не бъдете обект на решение, основаващо се единствено на автоматизирано обработване, включително профилиране, което поражда правни последствия за вас или по подобен начин ви засяга значително.

(2) Предходната алинея не се прилага, ако решението:

1. Е необходимо за сключването или изпълнението на договор между вас и Администратора;
2. Е разрешено от правото на Съюза или на държава членка, което се прилага спрямо Администратора и което предвижда също подходящи мерки за защита на вашите права, свободи и легитимни интереси; или
3. Се основава на вашето изрично съгласие.

(3) В случаите по т. 1 и 3 на предходната алинея, Администраторът ще приложи подходящи мерки за защита на вашите права, свободи и легитимни интереси, най-малко правото на човешка намеса, правото да изразите гледната си точка и да оспорите решението.

(4) Към момента на изготвяне на тази Политика, Администраторът не извършва автоматизирано вземане на решения, включително профилиране, което има правни последици за вас или по подобен начин ви засяга значително.

Чл. 30. (1) За да упражните някое от горепосочените права, моля, свържете се с Администратора, използвайки следните методи:

1. По електронна поща: info@twobottlesofwine.com – това е най-бързият и предпочитан начин за обработка на искания, свързани с вашите права.
2. Чрез писмо до адреса на Администратора, посочен в чл.1  – когато изпращате писмено искане, моля, ясно посочете кое право желаете да упражните и предоставете необходимата информация за вашата идентификация.
3. Чрез формата за контакт на уебсайта: https://twobottlesofwine.com  – посетете раздела „Контакти“ и посочете, че причината за запитването е „Защита на личните данни“

(2) Когато Администраторът получи вашето искане, може да поиска допълнителна информация, за да потвърди вашата самоличност. Това е мярка за сигурност, за да се гарантира, че личните данни не се разкриват на лице, което няма право да ги получи.

(3) Администраторът ще отговори на вашето искане без ненужно забавяне и най-късно в рамките на един месец от получаването му. Този срок може да бъде удължен с още два месеца, когато е необходимо, като се вземат предвид сложността и броя на исканията.

Чл. 31. (1) Без да се засягат други административни или съдебни средства за защита, вие имате право да подадете жалба до надзорен орган, по-специално в държавата членка на обичайно местопребиваване, място на работа или място на предполагаемото нарушение, ако считате, че обработването на лични данни, отнасящи се до вас, нарушава Общия регламент за защита на данните.

(2) В България надзорният орган е Комисията за защита на личните данни (КЗЛД), с адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, електронна поща: kzld@cpdp.bg, интернет страница: www.cpdp.bg.

(3) Администраторът ви насърчава да се свържете първо с него, за да може да се опита да разреши въпроса ви директно, преди да се обърнете към КЗЛД.

(4) Вие имате право на ефективна съдебна защита срещу правно обвързващо решение на надзорен орган, което се отнася до вас.

(5) Без да се засяга което и да било налично административно или несъдебно средство за защита, включително правото на подаване на жалба до надзорен орган, вие имате право на ефективна съдебна защита, когато считате, че правата ви по Общия регламент за защита на данните са били нарушени в резултат на обработване на вашите лични данни, което не е в съответствие с Регламента.

Раздел XII – Бисквитки

Чл. 32. Настоящия онлайн магазин използва „бисквитки“ (cookies) и подобни технологии за проследяване за подобряване на потребителското изживяване, анализ на използването на уебсайта и персонализиране на съдържанието. Те се съхраняват на вашето устройство при посещение на уебсайта и позволяват на уебсайта да запомни вашите действия и предпочитания.

Чл. 33. (1) При първото посещение на уебсайта, ще бъдете информирани за използването на „бисквитки“ и ще имате възможност да изберете кои категории

(2) Вие можете да промените предпочитанията си относно „бисквитките“ по всяко време чрез „Център за предпочитания за бисквитки“, достъпен от всяка страница на уебсайта.

(3) Освен това, можете да управлявате „бисквитките“ и чрез настройките на вашия браузър, който може да бъде конфигуриран да блокира или изтрива „бисквитки“.

Чл. 34. (1) За подробна информация относно конкретните „бисквитки“, които Администраторът използва, техните цели, срокове на съхранение и третите страни, които имат достъп до тях, моля, вижте отделната Политика за бисквитки, достъпна на [линк към Политика за бисквитки].

(2) Политиката за бисквитки съдържа изчерпателна информация относно всички използвани „бисквитки“, включително тези от трети страни, и редовно се актуализира, за да отразява всички промени в практиките на Администратора.

Раздел XIII – Преходни и заключителни разпоредби

Чл. 35. (1) Настоящата Политика за поверителност се тълкува и прилага в съответствие с българското законодателство и приложимото законодателство на Европейския съюз, включително Общия регламент за защита на данните (GDPR).

(2) В случай на противоречие между разпоредбите на настоящата Политика и приложимото законодателство, с предимство се прилагат разпоредбите на законодателството.

(3) Ако някоя от разпоредбите на настоящата Политика бъде обявена за невалидна или неприложима от компетентен орган, това не засяга валидността на останалите разпоредби, които остават в сила.

(4) Заглавията на разделите и членовете в настоящата Политика са включени единствено с цел улесняване на четенето и нямат нормативно значение при тълкуването на документа.

Чл. 36. (1) Администраторът си запазва правото да изменя и допълва настоящата Политика за поверителност по всяко време, за да отрази промените в практиките за обработване на лични данни или да осигури съответствие с промени в приложимото законодателство.

(2) Всички изменения и допълнения влизат в сила от датата на публикуването им на уебсайта, освен ако в тях изрично не е посочена друга дата на влизане в сила.

(3) Администраторът ще положи разумни усилия да уведоми субектите на данни за съществени промени в Политиката чрез подходящи средства, които могат да включват известие на уебсайта, изпращане на имейл до регистрираните потребители или друга форма на комуникация.

(4) Продължаването на използването на уебсайта и услугите на Администратора след публикуването на изменения в Политиката означава приемане на тези изменения. Ако не сте съгласни с изменената Политика, трябва да прекратите използването на уебсайта и услугите.

(5) Актуалната версия на Политиката за поверителност е винаги достъпна на уебсайта, заедно с датата на последната актуализация.

Чл. 37. (1) Администраторът не носи отговорност за пропуски или неточности в предоставените от субектите на данни лични данни.

(2) Субектите на данни носят отговорност за актуалността и точността на личните данни, които предоставят на Администратора, и са длъжни своевременно да уведомяват Администратора за всички промени в тези данни.

(3) Администраторът не носи отговорност за действия или бездействия на трети страни, на които личните данни се предоставят със съгласието на субекта на данни или на друго законово основание.

Чл. 38. (1) Настоящата Политика за поверителност е приета от управителя на  Дъ Биг Гуд Морнинг ЕООД и влиза в сила от 20.05.2025 г.

(2) Неразделна част от настоящата Политика за поверителност е Политика за бисквитки;

(3) Настоящата Политика за поверителност е изготвена на български език. В случай на несъответствие между българската версия и превод на друг език, българската версия има предимство.

(4) За неуредените в настоящата Политика въпроси се прилагат разпоредбите на приложимото законодателство.