Политика за поверителност и защита на личните данни

Тази политика описва какво се случва с личните данни на посетителите на duhovnost.bg и на купувачите на книги на издателството. Написана е така, че да казва точно какво става днес, а не какво би могло да става.

Накратко: самото четене на сайта не изисква никакви лични данни — няма регистрация, посещенията се броят само с Cloudflare Web Analytics (без бисквитки), а рекламни бисквитки на Google и TikTok се поставят само ако натиснеш „Приемам“ в съобщението за бисквитките. Лични данни се обработват само когато потребителят направи поръчка, заяви отказ от договора през сайта, абонира се за писма, пише ни или приеме рекламните бисквитки (формите за файл срещу имейл още не са включени). Какво сайтът записва в браузъра — избраното в поръчката, изборът за бисквитките и, при посетители от реклама, рекламните означения — е описано в раздела „Какво сайтът записва в браузъра“.

Накратко

На duhovnost.bg лични данни се обработват в пет случая, и само тогава: когато направиш поръчка, когато заявиш отказ от договора през сайта, когато се абонираш за писма, когато ни пишеш на електронната поща и когато приемеш рекламните бисквитки на Google и TikTok. При обикновено четене на сайта, ако не си приел тези бисквитки, не подаваш нищо.

Без твое съгласие сайтът не поставя рекламни бисквитки и не зарежда рекламни тагове; посещенията се броят само с Cloudflare Web Analytics — без бисквитки (виж „Какво се случва при обикновено посещение“), профили не изготвяме. Ако натиснеш „Приемам“ в съобщението долу на екрана, се зареждат тагът на Google Ads и пикселът на TikTok — за да разберем дали посещение от наша реклама е довело до поръчка и да показваме рекламите си на хора, на които са интересни (виж „Бисквитки на Google и TikTok (само със съгласие)“). Това, което се записва в браузъра ти, е описано подробно по-долу и е малко.

Когато бъдат включени формите за файл срещу имейл, имейлът за доставка на файл и имейлът за бюлетин ще бъдат две отделни неща: файлът ще идва и ако не се абонираш — отметката за писма е по избор и никога не е предварително маркирана.

Администратор: „Лекс Криейтив Стратеджи“ ЕООД. Контакт за всякакви въпроси по данните: office@duhovnost.bg.

Кой е администраторът на личните данни

Администратор по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) е:

Всички въпроси за лични данни и всички искания по ОРЗД се отправят на office@duhovnost.bg. Търговецът не е длъжен да определя длъжностно лице по защита на данните по чл. 37 ОРЗД и не е определял такова.

Какво сайтът не прави

За да е ясно докъде стига обработването, ето какво на този сайт не съществува:

• няма регистрация, профили и пароли — поръчваш, без да създаваш акаунт;
• без твое съгласие няма рекламни бисквитки и рекламни тагове, а списъци за ремаркетинг (реклами, които те „следват“ из други сайтове) не правим и със съгласие; няма вграждания, които зареждат съдържание от социални мрежи;
• статистиката на посещенията е само от Cloudflare Web Analytics — без бисквитки, без запис в браузъра и без проследяване между сайтовете; единствените рекламни тагове — на Google Ads и TikTok — се зареждат само ако натиснеш „Приемам“;
• ние не изготвяме потребителски профили; какво може да прави TikTok със събитията от сайта, ако ги приемеш, е описано в раздела „Бисквитки на Google и TikTok (само със съгласие)“;
• данните ти не се продават; какво получават Google и TikTok, ако приемеш рекламните бисквитки, и за какво го ползват за себе си, е описано в раздела „Бисквитки на Google и TikTok (само със съгласие)“.

Какво сайтът записва в браузъра

Поръчката. Когато добавиш книга или продукт в поръчката, браузърът пази избраното в своята памет (localStorage), в записи с имена dh_cart и dh_gift: заглавията, броя и избраните подаръци. Записът не съдържа име, имейл, адрес или друг идентификатор. Той служи само за това поръчката да не се губи, докато разглеждаш сайта, и горе вдясно да се вижда колко неща има в нея. Изтрива се сам, щом поръчката бъде изпратена, а можеш да го изтриеш и през настройките на браузъра. Към сървъра на издателството не се праща отделно — заглавията и броят стигат до нас само в самата поръчка, когато я изпратиш. Това съхраняване е необходимо за услуга, която сам си поискал (поръчката), и попада в изключението на чл. 4а, ал. 4 от Закона за електронната търговия.

Изборът за бисквитките. Когато натиснеш „Приемам“ или „Отказвам“ в съобщението за бисквитките, браузърът пази избора ти в паметта си (localStorage), в запис с име gc: дали си приел или отказал, кога и дали съгласието важи и за TikTok. Записът не съдържа име, имейл или друг идентификатор и сам по себе си не се праща никъде; ако направиш поръчка, изборът ти (приел, отказал или още без избор) се записва заедно с нея. В браузъра записът се пази 180 дни, след което те питаме отново; можеш да смениш избора по всяко време с бутона „Бисквитки“ най-долу на всяка страница. Записът е необходим, за да бъде спазен изборът ти, и попада в изключението на чл. 4а, ал. 4 от Закона за електронната търговия.

Бисквитките на Google Ads и TikTok. Поставят се само ако натиснеш „Приемам“ — описани са в раздела „Бисквитки на Google и TikTok (само със съгласие)“.

Рекламните означения.

На страниците на сайта работи кратък скрипт с една задача: ако потребителят е дошъл на сайта от реклама, рекламните означения от самия адрес на страницата — например gclid, wbraid, gbraid, ttclid, fbclid, msclkid и означенията utm_source, utm_medium, utm_campaign, utm_term и utm_content — да стигнат до страницата за поръчка, за да се знае кое обявление е довело поръчката.

Как точно става това:

• При отваряне на страница скриптът проверява паметта на сесията на браузъра (sessionStorage) за запис с име dh_ads. Проверката е достъп до информация в крайното устройство по смисъла на чл. 4а от Закона за електронната търговия.
• Запис се прави само ако в адреса на страницата има такива означения или ако вече има запазени от същата сесия. Посетител, който е дошъл направо или от търсачка, няма такива означения и такъв запис не се прави.
• Записът съдържа единствено самите означения, така както са дошли в адреса. Той не съдържа име, имейл, IP адрес и не създава номер или друг идентификатор на посетителя. Скриптът не чете нищо друго от устройството.
• Записът живее в паметта на сесията: изтрива се от браузъра при затваряне на раздела и не се пренася в друг браузър или на друго устройство. Без съгласие за рекламните бисквитки той не се изпраща никъде: означенията стигат до издателството само ако направиш поръчка — тогава се записват заедно с нея, за да се знае кое обявление я е довело (виж „Когато потребителят направи поръчка“). Ако приемеш рекламните бисквитки, тагът на Google получава означенията на Google от записа — gclid, gbraid и wbraid, а пикселът на TikTok — ttclid (виж „Бисквитки на Google и TikTok (само със съгласие)“). Тогава означенията на последния клик се пазят и в отделен запис dh_ads_keep в паметта на браузъра (localStorage) до 90 дни, за да се отчете поръчката към рекламата и когато поръчаш по-късно или в друг раздел.
• Потребителят може да го предотврати, като забрани съхраняването на данни на сайта в настройките на браузъра си или отвори страницата в прозорец без запазване на историята. Сайтът се показва и работи напълно нормално и без този запис.

По чл. 4а, ал. 4 от Закона за електронната търговия изискванията за информиране и за възможност за отказ не се прилагат, когато съхраняването или достъпът са необходими за предаването на съобщение или за услуга, изрично поискана от получателя. Издателството не твърди, че носенето на рекламни означения до страницата за поръчка попада в това изключение. Затова описва записа тук по чл. 4а, ал. 1, т. 1 и посочва как да бъде отказан по чл. 4а, ал. 1, т. 2, а при поискване на office@duhovnost.bg дава информация какво се съхранява в устройството (чл. 4а, ал. 2).

Бисквитки на Google и TikTok (само със съгласие)

Когато отвориш сайта за първи път, долу на екрана се показва кратко съобщение с два еднакви бутона — „Отказвам“ и „Приемам“ — и връзка към този раздел. Докато не натиснеш „Приемам“, сайтът не зарежда нищо от Google и TikTok: нито скрипт, нито бисквитка, нито заявка към техен сървър. Ако откажеш или не избереш нищо, сайтът работи по същия начин — разглеждаш и поръчваш както винаги.

Какво става при Google, ако натиснеш „Приемам“. Зарежда се тагът на Google Ads на Google Ireland Limited (Ирландия). Целта е една — да разберем дали посещение от наша реклама в Google е довело до поръчка, до добавяне на книга в поръчката или до започната поръчка. Така знаем кои реклами наистина ни носят читатели.

• Бисквитки. Тагът поставя в браузъра ти бисквитки като _gcl_au и _gcl_aw, които живеят до 90 дни, и подобен запис _gcl_ls в паметта на браузъра. В тях Google пази идентификатор на браузъра и, ако си дошъл от наша реклама, означението на рекламния клик (например gclid), за да свърже посещението с рекламата.
• Ако си дошъл от реклама и натиснеш „Приемам“ на следваща страница, сайтът подава на тага означенията на клика (gclid, gbraid или wbraid), запазени в записа dh_ads (виж „Какво сайтът записва в браузъра“): за момент ги добавя към адреса на страницата, за да ги прочете тагът, и после ги маха.
• От коя реклама си дошъл. Браузърът ти пази до 90 дни и от коя реклама си дошъл — кода на клика (например gclid) и utm означенията, в запис с име dh_ads_keep в паметта на браузъра (localStorage), за да отчетем поръчката към рекламата, дори да поръчаш по-късно или в друг раздел. Пази се само последният клик, а до нас стига единствено с поръчката. Ако откажеш или оттеглиш съгласието, го изтриваме.
• При поръчка тагът съобщава на Google номера на поръчката и сума, изчислена от стойността ѝ без доставката. Телефонът и имейлът от поръчката стигат до Google само като необратим хеш (SHA-256), изчислен в браузъра ти, преди нещо да бъде изпратено. По този хеш Google разпознава дали поръчката идва от човек, кликнал наша реклама („подобрени конверсии“). В четим вид телефонът и имейлът не стигат до Google по този път.
• При добавяне на книга в поръчката и при отваряне на страницата за поръчка тагът съобщава само, че това е станало.
• При всяко отваряне на страница тагът изпраща на Google и технически данни — IP адрес, вид на браузъра, адреса на страницата и идентификатора от бисквитката _gcl_au.

При Google: без ремаркетинг и без профили от наша страна. Тагът на Google е настроен с отказ от персонализирана реклама и без анализ на посещенията: не правим списъци за ремаркетинг (реклами, които те „следват“ из интернет) и не изготвяме профили.

Кой какво е при Google. За хеша на телефона и имейла Google действа като наш обработващ по Условията на Google Ads за обработване на данни (Google Ads Data Processing Terms). За собствените си цели Google е самостоятелен администратор и обработва данните по своята политика: policies.google.com/technologies/ads.

Какво става при TikTok, ако натиснеш „Приемам“. Зарежда се пикселът на TikTok — скрипт от analytics.tiktok.com. Ползваме го, за да разберем дали посещение от наша реклама в TikTok е довело до поръчка, за отчети за рекламите ни и за да показва TikTok рекламите ни на хора, на които са интересни. Ако си натиснал „Приемам“, преди съобщението да споменава TikTok, то се показва още веднъж: докато не приемеш и за TikTok, от TikTok не се зарежда нищо, а Google продължава както досега.

• Бисквитки и записи. Пикселът поставя в браузъра ти бисквитките _ttp, _tt_enable_cookie, ttcsid и ttcsid с кода на пиксела, които живеят до 90 дни, а ако си дошъл от реклама — и ttclid с кода на рекламния клик, за 1 ден. В паметта на сесията (sessionStorage) пази записи с имена, започващи с tt_; те изчезват със затварянето на раздела. Така TikTok разпознава браузъра ти и свързва посещението с рекламата.
• Ако си дошъл от реклама и натиснеш „Приемам“ на следваща страница, сайтът подава на пиксела означението ttclid от записа dh_ads (виж „Какво сайтът записва в браузъра“): за момент го добавя към адреса на страницата, за да го прочете пикселът, и после го маха.
• Какво се изпраща при всяка страница. IP адрес, вид на браузъра и устройството, адресът на страницата заедно с означенията в него (например utm и ttclid), адресът, от който идваш, часът, идентификаторите от бисквитките и кодът на клика. Пикселът отчита и колко пъти си кликнал и превъртал страницата, къде е бил последният клик и колко време си бил на нея.
• Какви действия съобщава. Че си отворил страница, разгледал си книга или продукт, добавил си нещо в поръчката, отворил си страницата за поръчка и си поръчал. С тях тръгват кодът на продукта (краткото му име от адреса на страницата), цената, броят и сумата. Попълненото във формата за поръчка не се чете от пиксела.
• При поръчка пикселът съобщава на TikTok номера на поръчката и сума, изчислена от стойността ѝ без доставката. Телефонът и имейлът от поръчката стигат до TikTok само като необратим хеш (SHA-256), изчислен в браузъра ти, преди нещо да бъде изпратено; по него TikTok проверява дали имаш профил при него и свързва поръчката с рекламата. Хешовете тръгват със събитието за поръчка и със съобщението при излизане от страницата за поръчка. Името и адресът ти не се изпращат.

За какво ползва TikTok тези данни. По условията на TikTok: за измерване и отчети за нашите реклами и за обобщени сравнителни отчети, в които не се посочват нито издателството, нито читателите му; за да свързва събитията с хора, които ползват TikTok, да подобрява показването на реклами и да персонализира рекламите и другото съдържание, което им показва; за сигурност, защита от измами и развитие на услугите си. За подобряване на показването TikTok ползва данните само заедно с други данни и не позволява на други рекламодатели да насочват реклами само по данните от нашия сайт. Ние не правим списъци за ремаркетинг от посетителите на сайта.

Кой какво е при TikTok. За събирането и предаването на данните през пиксела и за измерването и отчетите „Лекс Криейтив Стратеджи“ ЕООД и TikTok (TikTok Technology Limited, Ирландия, и TikTok Information Technologies UK Limited, Великобритания) сме съвместни администратори по чл. 26 ОРЗД. Уговорката ни с TikTok за това съвместно обработване е в условията му: ние ти даваме тази информация, а TikTok отговаря да можеш да упражниш правата си по чл. 15–20 ОРЗД за данните, които се съхраняват при него след съвместното обработване. За съпоставянето на хеша на телефона и имейла TikTok е наш обработващ. За насочването, подобряването и персонализирането на реклами, за сигурността и за развитието на услугите си TikTok е самостоятелен администратор. Как обработва данните, на какво основание и как да упражниш правата си пред него, е описано в политиката за поверителност на TikTok; искане можеш да подадеш през формата на TikTok. Ако се обърнеш към нас, ще препратим искането ти на TikTok.

Основание: съгласието ти — чл. 6, параграф 1, буква „а“ ОРЗД, и чл. 4а, ал. 1 от Закона за електронната търговия. Съгласието е доброволно и не е условие за нищо: ако откажеш, сайтът и поръчката работят по същия начин.

Как се отказваш по-късно. По всяко време — с бутона „Бисквитки“ най-долу на всяка страница и „Отказвам“. Тогава сайтът изтрива бисквитките на Google и TikTok и записа dh_ads_keep от браузъра ти и презарежда страницата без техните скриптове. Оттеглянето не засяга законосъобразността на обработването преди него (чл. 7, параграф 3 ОРЗД).

Колко дълго. Изборът ти („Приемам“ или „Отказвам“) и дали той важи и за TikTok се пазят 180 дни в паметта на браузъра, в запис с име gc, след което те питаме отново. Ако поръчаш, изборът ти се записва и заедно с поръчката и се пази толкова, колкото и тя. Бисквитките на Google и записът dh_ads_keep живеят до 90 дни, ако не ги изтриеш по-рано. Колко дълго Google пази получените данни, е описано в политиката на Google. Бисквитките на TikTok живеят до 90 дни, а ttclid — 1 ден, ако не ги изтриеш по-рано. TikTok пази получените събития до 18 месеца по своите условия.

Извън ЕС. Google Ireland Limited е дружество в ЕС, част от група със седалище в САЩ. Данните могат да бъдат предадени на Google LLC (САЩ); основанието е рамката за защита на данните между ЕС и САЩ (EU–US Data Privacy Framework). TikTok съхранява данни на сървъри в САЩ, Малайзия и Сингапур и може да ги предава на дружества от групата си и на партньори извън ЕС; основанието са стандартните договорни клаузи на Европейската комисия или друго основание по ОРЗД, описано в политиката на TikTok.

Какво се случва при обикновено посещение

Сайтът се доставя през мрежата на Cloudflare. Както при всяко посещение на интернет страница, при доставянето ѝ сървърът обработва технически данни: IP адрес, дата и час, заявен адрес, вид на браузъра и операционната система, код на отговора и приблизително местоположение на нивото на държава. Тези данни са нужни, за да бъде показана страницата и за да бъде защитена мрежата от претоварване и злоупотреби.

Правното основание е легитимният интерес на търговеца сайтът да работи и да е защитен — чл. 6, параграф 1, буква „е“ ОРЗД. Cloudflare действа като обработващ лични данни по чл. 28 ОРЗД. Търговецът не получава от тези технически записи справки за отделни посетители и не ги свързва с имена или поръчки. Към датата на тази редакция сървърът на сайта не връща бисквитки при зареждане на страница; рекламните бисквитки на Google Ads и TikTok се поставят от техните скриптове в браузъра ти и само след „Приемам“ (виж „Бисквитки на Google и TikTok (само със съгласие)“). Ако мрежата на Cloudflare постави техническа бисквитка за сигурност, тя служи само за защита от злоупотреби и не се използва за реклама, за профилиране или за измерване на посещаемостта.

Статистика на посещенията (Cloudflare Web Analytics). За да знаем кои страници се четат, откъде идват читателите и колко бързо се зареждат страниците, ползваме Cloudflare Web Analytics. На всяка страница се зарежда малък скрипт от static.cloudflareinsights.com. Той изпраща до Cloudflare (cloudflareinsights.com) адреса на отворената страница (без параметрите след „?“), адреса на страницата, от която идваш, вида на устройството, браузъра и операционната система, държавата и времето за зареждане. Скриптът не поставя бисквитки и не записва нищо в браузъра ти, не те разпознава по IP адреса или по данните на браузъра и не те проследява между сайтовете, затова работи независимо от избора ти в съобщението за бисквитките. Ние виждаме само обобщени числа — колко пъти е отворена една страница и от кои държави и сайтове идват посетителите, — а не отделни хора. Правното основание е легитимният интерес на търговеца да знае кое съдържание е полезно и сайтът да се зарежда бързо — чл. 6, параграф 1, буква „е“ ОРЗД.

Инструменти за търсачките

Издателството свързва сайта с Google Search Console и Bing Webmaster Tools. Това са инструменти за собственика на сайта, които показват обобщени данни от самите търсачки — кои страници са индексирани, по кои заявки се показват и колко пъти са отворени. Те не поставят бисквитки на страниците на сайта и не дават възможност да бъде проследен отделен посетител. Към датата на тази редакция на страниците на сайта няма код на такъв инструмент.

Правното основание е легитимният интерес по чл. 6, параграф 1, буква „е“ ОРЗД — сайтът да бъде намираем и технически изправен. Ако в бъдеще бъде добавен инструмент, който обработва лични данни или поставя бисквитки, тази политика ще бъде променена, преди инструментът да започне да работи.

Когато потребителят пише на електронната поща

Ако потребителят изпрати имейл, търговецът обработва данните, които той сам е написал — имейл адрес, име, ако го е посочил, и съдържанието на съобщението. Тези данни се използват само за да бъде отговорено и, ако е нужно, за да се проследи случаят.

Правното основание е изпълнението на договора или подготовката му, когато писмото се отнася до поръчка — чл. 6, параграф 1, буква „б“ ОРЗД, а при общи въпроси — легитимният интерес по буква „е“. Кореспонденцията се пази толкова, колкото е необходимо за случая, и при рекламация или гаранционно искане — за срока, в който то може да бъде оспорено.

Когато потребителят направи поръчка

На страницата за поръчка се събират само данните, без които пратката не може да пътува: име и фамилия, телефон, електронна поща, населено място и адрес за доставка или офис на куриера, както и самата поръчка — заглавие, брой, цена, начин на доставка (до адрес или до офис) и на плащане, и бележката, ако си оставил такава. Ако в поръчката има дигитален продукт, той се изпраща на посочената електронна поща. Заедно с поръчката се пазят и текстът на съгласието, който си видял, дали си поискал писма за нови книги, изборът ти за рекламните бисквитки („Приемам“, „Отказвам“ или без избор, и дали съгласието важи и за TikTok — за да се знае дали за поръчката е дадено съгласие), държавата, от която е подадена поръчката (определена по IP адреса, без самия адрес), видът на браузъра и — ако си дошъл от обява — означенията на обявата (вж. „Какво сайтът записва в браузъра“).

Правни основания: изпълнение на договора за продажба — чл. 6, параграф 1, буква „б“ ОРЗД, и спазване на законови задължения, например счетоводни и данъчни — чл. 6, параграф 1, буква „в“ ОРЗД. Попълването на тези данни е необходимо, за да бъде изпълнена поръчката; без тях доставка не може да се извърши. Телефонният номер се предава на куриера, защото той се свързва с получателя преди доставката; издателството го ползва, за да се свърже с теб, ако адресът или офисът за доставка не е посочен или е неясен.

Поръчката се записва в база данни на Cloudflare (D1, в Европейския съюз), която е основният запис. Копие от поръчката се добавя и в работна таблица в Google Таблици, откъдето издателството подготвя пратките. Потвърждението по имейл се изпраща през Brevo (Sendinblue SAS, Франция). При плащане с карта данните за картата се обработват от Stripe и не преминават през този сайт — ние виждаме само дали плащането е успешно.

Ако си приел бисквитките на Google Ads, при изпращането на поръчката тагът на Google Ads съобщава на Google номера ѝ и сума, изчислена от стойността ѝ без доставката, а телефона и имейла — само като необратим хеш (SHA-256). Без това съгласие от поръчката нищо не стига до Google Ads. Подробно: „Бисквитки на Google и TikTok (само със съгласие)“.

Ако си приел рекламните бисквитки и за TikTok, при изпращането на поръчката пикселът на TikTok съобщава на TikTok номера ѝ, сума, изчислена от стойността ѝ без доставката, кода, цената и броя на поръчаните продукти, а телефона и имейла — само като необратим хеш (SHA-256). Без това съгласие от поръчката нищо не стига до TikTok. Подробно: „Бисквитки на Google и TikTok (само със съгласие)“.

Към датата на тази редакция плащането е с наложен платеж — в брой на куриера, затова търговецът не обработва данни на карти. Банкова сметка (IBAN) и име на титуляря се обработват само когато сума трябва да бъде възстановена — при упражнено право на отказ, при рекламация или по 90-дневната гаранция. Основанието е изпълнението на договора — чл. 6, параграф 1, буква „б“ ОРЗД, а за счетоводния документ за превода — законово задължение по буква „в“. Когато на страницата за поръчка бъде добавено плащане с карта, тази политика ще бъде обновена, преди то да започне да работи, и ще опише кой обработва данните на картата.

Когато заявиш отказ от договора през сайта

Функцията „Откажи се от договора тук“ (duhovnost.bg/otkaz/) иска име, електронна поща и номер на поръчката (или какво си поръчал). По желание можеш да посочиш от кои книги или продукти се отказваш и да добавиш съобщение. Записваме и датата и часа на заявлението. Данните служат, за да обработим отказа, да ти върнем дължимото и да има доказателство кога е заявен. Правни основания: спазване на законово задължение — чл. 6, параграф 1, буква „в“ ОРЗД (правото на отказ и потвърждението му по Закона за защита на потребителите), и изпълнение на договора — буква „б“.

Към заявлението записваме и държавата, от която е изпратено (определена по IP адреса, без самия адрес), и вида на браузъра — на основание легитимен интерес (чл. 6, параграф 1, буква „е“ ОРЗД): защита от злоупотреби с формата и доказателство при спор. Можеш да възразиш срещу това (виж „Правата на потребителя върху данните му“).

Заявлението се записва в базата данни на Cloudflare (D1). Потвърждението до теб и известието до издателството се изпращат по електронна поща през Brevo (Sendinblue SAS, Франция); известието пристига в пощенската кутия на издателството (Google Workspace — виж „Кой друг вижда данните“). Формата е защитена с Cloudflare Turnstile (виж „Защита от автоматични заявки“). Сроковете — в раздела „Колко дълго се пазят данните“.

Когато поискаш файл срещу имейл или се абонираш за писма

Когато на страница има форма, с която можеш да получиш глава от книга или друг файл, там се искат имейл (задължително — на него идва файлът), име (по избор) и телефон (по избор). Към датата на тази редакция такива форми още не са включени на сайта; писма за нови книги можеш да поискаш с отметката на страницата за поръчка.

Две отделни цели, две отделни основания.

• Доставка на файла — основание чл. 6, параграф 1, буква „б“ ОРЗД (изпълнение на договор по твое искане). Имейлът е необходим, за да стигне файлът до теб. Телефонът НЕ е необходим за това и може да остане празен.
• Писма от издателството (бюлетин) — основание съгласие, чл. 6, параграф 1, буква „а“ ОРЗД, и чл. 261, ал. 1 от Закона за електронните съобщения. Съгласието се дава с отделна отметка, която не е предварително маркирана, и не е условие да получиш файла (чл. 7, параграф 4 ОРЗД).
• Съобщения по Viber или SMS — само ако си оставил телефон и си отметнал отделното квадратче за това.

Когато се абонираш — с отметката при поръчка или във форма, — записваме и доказателството за съгласието: точния текст, който си видял, и датата и часа на подаване. Това не е любопитство — законът изисква съгласието да може да бъде доказано.

Отписване: когато бюлетинът тръгне — с един клик от всяко писмо; винаги — като ни пишеш на office@duhovnost.bg. Отписването е безплатно, не изисква обяснение и се изпълнява веднага. Подробно: как се отписваш.

Защита от автоматични заявки

Формите на сайта могат да бъдат защитени с Cloudflare Turnstile — проверка, която различава човек от програма. Тя не поставя рекламни бисквитки и не проследява поведението ти през други сайтове; ползва техническа информация за самата заявка, за да прецени дали е автоматична. Основание: законен интерес да не бъдем засипани с фалшиви поръчки и записвания, чл. 6, параграф 1, буква „е“ ОРЗД.

Кой друг вижда данните

Данните ти стигат до следните получатели, всеки за точно определена работа и по договор:

• Cloudflare — хостинг на сайта, статистиката на посещенията (Web Analytics, без бисквитки) и база данни D1, в която се съхраняват поръчките и заявленията за отказ от договора. Cloudflare и препраща писмата до office@duhovnost.bg към пощенската кутия на издателството (Email Routing) и при нужда праща до нея кратка резервна тревога, ако писмо за отказ от договора не е тръгнало. Базата работи в Европа — в региона „Източна Европа“ на Cloudflare.
• Google (Google Ireland Limited) — работната таблица в Google Таблици, от която издателството подготвя пратките.
• Google Ads (Google Ireland Limited) — само ако си натиснал „Приемам“ в съобщението за бисквитките: за измерването дали посещение от наша реклама в Google е довело до поръчка, добавяне в поръчката или започната поръчка. За хеша на телефона и имейла Google е наш обработващ по Условията на Google Ads за обработване на данни; за собствените си цели е самостоятелен администратор по своята политика (виж „Бисквитки на Google и TikTok (само със съгласие)“).
• TikTok (TikTok Technology Limited, Ирландия, и TikTok Information Technologies UK Limited, Великобритания) — само ако си натиснал „Приемам“ в съобщението, което споменава TikTok: за измерването и показването на рекламите ни в TikTok и за собствените цели на TikTok. За събирането и предаването на данните и за отчетите сме съвместни администратори; за хеша на телефона и имейла TikTok е наш обработващ; за собствените си цели е самостоятелен администратор (виж „Бисквитки на Google и TikTok (само със съгласие)“).
• Brevo (Sendinblue SAS, Франция) — изпращането на потвържденията за поръчки и за откази от договора, както и на писмата, за които си дал съгласие.
• Google (Google Ireland Limited, Google Workspace) — пощенската кутия на издателството. В нея пристигат писмата до office@duhovnost.bg: известията за поръчки и откази от договора, кореспонденцията ти и банковата сметка, ако сума трябва да бъде възстановена.
• Stripe — само при плащане с карта. Данните за картата отиват директно при Stripe; този сайт не ги вижда и не ги съхранява.
• Еконт или Спиди — куриерът, който носи пратката. Получава име, телефон и адрес, защото без тях доставка няма.

Извън тях данни не се предоставят на никого, освен ако закон не го изисква.

Предаване на данни извън Европейския съюз

Изпращането на писма (Brevo — Sendinblue SAS, Франция) става в Европейския съюз. Базата с поръчките и заявленията за отказ (Cloudflare D1) работи в Европа — в региона „Източна Европа“ на Cloudflare.

Cloudflare, Inc. е дружество от САЩ; Google (Google Ireland Limited) и Stripe (Stripe Payments Europe, Limited) са дружества в ЕС, но са част от групи със седалище в САЩ. Когато при тях данни могат да стигнат до САЩ, основанието е рамката за защита на данните между ЕС и САЩ (EU–US Data Privacy Framework) или стандартните договорни клаузи на Европейската комисия, по договор за обработване. При Google става дума за копието на поръчката в работната таблица, за пощенската кутия на издателството (Google Workspace) и — само ако си приел бисквитките на Google Ads — за данните от тага на Google Ads; при Stripe — само за плащането с карта, когато бъде включено.

TikTok съхранява данни на сървъри в САЩ, Малайзия и Сингапур и може да ги предава на дружества от групата си и на партньори извън ЕС; TikTok Information Technologies UK Limited е във Великобритания. Това засяга само данните от пиксела на TikTok, ако си приел рекламните бисквитки и за TikTok. Основанието са стандартните договорни клаузи на Европейската комисия или друго основание по ОРЗД, описано в политиката на TikTok.

Ако искаш поръчката ти да не минава през Google Таблици, напиши ни на office@duhovnost.bg — ще я обработим само по имейл.

Колко дълго се пазят данните

Всеки вид данни има свой срок:

• Поръчки — 5 години от края на годината, в която са извършени, защото счетоводното и данъчното законодателство го изисква.
• Заявления за отказ от договора — колкото и поръчката, за която се отнасят, защото са доказателство кога е заявен отказът; ако заявлението не може да бъде свързано с поръчка — 12 месеца. Държавата и видът на браузъра към всяко заявление — 12 месеца.
• Имейл, даден за получаване на файл — до 12 месеца, след което се изтрива, ако не си се абонирал за писма.
• Абонамент за писма — докато сам не се отпишеш. След отписване пазим 12 месеца само доказателството за съгласието и за отписването, защото трябва да можем да ги докажем.
• Телефон за Viber или SMS — докато не оттеглиш съгласието.
• Кореспонденция по имейл — до 12 месеца след приключване на случая.
• Бисквитки на Google Ads — само ако си ги приел: до 90 дни в браузъра ти или докато ги изтриеш или оттеглиш съгласието. Колко дълго Google пази получените данни — по политиката на Google.
• Бисквитки на TikTok — само ако си ги приел: _ttp, _tt_enable_cookie и ttcsid до 90 дни, ttclid 1 ден, в браузъра ти или докато ги изтриеш или оттеглиш съгласието. TikTok пази получените събития до 18 месеца по своите условия.
• От коя реклама си дошъл (записът dh_ads_keep в браузъра) — само ако си приел рекламните бисквитки: до 90 дни или докато оттеглиш съгласието.
• Изборът за бисквитките (записът gc в браузъра) — 180 дни; после те питаме отново.

Правата на потребителя върху данните му

По Регламент (ЕС) 2016/679 и по Закона за защита на личните данни всяко лице има право:

• на достъп до данните, които се обработват за него, и на копие от тях — чл. 15;
• да поиска поправяне на неточни данни — чл. 16;
• да поиска изтриване, когато няма основание данните да се пазят — чл. 17;
• да поиска ограничаване на обработването — чл. 18;
• да получи данните си в машинно четим формат или да поиска прехвърлянето им — чл. 20;
• да възрази срещу обработване, което се основава на легитимен интерес — чл. 21.

Исканията се изпращат на office@duhovnost.bg. Търговецът отговаря без неоправдано забавяне и в срок до един месец, който при сложни случаи може да бъде удължен с още два месеца след уведомяване (чл. 12, параграф 3 ОРЗД). Упражняването на тези права е безплатно.

За данните, които пикселът предава на TikTok, правата си можеш да упражниш и пряко пред TikTok (виж „Бисквитки на Google и TikTok (само със съгласие)“). Ако ни пишеш, ще препратим искането ти на TikTok без забавяне.

Правото на изтриване не отменя законовото задължение търговецът да пази счетоводните документи за поръчката.

Автоматизирани решения и профилиране

Търговецът не взема решения, основани единствено на автоматизирано обработване, които да имат правни последици за потребителя или да го засягат съществено по смисъла на чл. 22 ОРЗД. Търговецът не извършва профилиране за рекламни или ценови цели — на всички потребители се показват едни и същи цени. Ако си приел рекламните бисквитки и за TikTok, TikTok може да ползва събитията от сайта, за да решава какви реклами и съдържание да ти показва в своите услуги; това е негова обработка като самостоятелен администратор (виж „Бисквитки на Google и TikTok (само със съгласие)“).

Жалба до надзорния орган и до съда

Ако лицето смята, че правата му са нарушени, то може да подаде жалба до надзорния орган (чл. 77 ОРЗД):

Комисия за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, телефон 02 91-53-519, електронна поща kzld@cpdp.bg, cpdp.bg

Жалбата се подава в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му (чл. 38, ал. 1 от Закона за защита на личните данни). Комисията информира жалбоподателя за напредъка в разглеждането на жалбата или за резултата от нея в тримесечен срок от сезирането ѝ (чл. 38, ал. 2 от същия закон).

Независимо от жалбата лицето има право да потърси защита и по съдебен ред пред компетентния български съд (чл. 79 ОРЗД).

Промени в тази политика

Тази политика описва това, което се случва на сайта днес. Ако бъдат включени формите за файл срещу имейл, инструмент за анализ, бисквитки или друг начин за обработване на данни, политиката ще бъде обновена предварително и датата на редакцията ще бъде променена. Действащата версия е винаги на тази страница.