Политика за поверителност

Накратко

• Събираме това, от което имаме нужда, за да провеждаме безопасни събития с проверени участници – и възможно най-малко друго.
• Проверката на самоличността се извършва от нашия доставчик Didit. Пазим само резултата (например „проверен“ и „над 18 години“) и ключов хеш, който използваме за прилагане на забраните – никога документа ти за самоличност или селфито ти.
• Никога не записваме аудио или видео.
• Съобщенията се изтриват след 30 дни (1 година, ако са част от сигнал). Сървърните логове се пазят 14 дни.
• Личните съобщения и обажданията между контакти са достъпни само когато и двамата души са се съгласили с автоматичната проверка за безопасност на личните съобщения.
• Не продаваме данните ти. В приложението няма рекламни проследяващи технологии.
• Можеш да експортираш или изтриеш данните си в приложението и да се свържеш с нас на privacy@spareachair.com.

Кой отговаря за данните ти

Администратор на личните ти данни е SUPPORT BULGARIA OOD, ж.к. Хиподрума, бл. 133, вх. Б, ет. 4, ап. 82, София, България, номер на дружеството 200232189 (ЕИК, Търговски регистър към Агенцията по вписванията), телефон +359 888 886 008 („spareachair“, „ние“, „нас“).

Контакт за всички въпроси и искания, свързани с поверителността: privacy@spareachair.com.

Не сме назначили длъжностно лице по защита на данните; свържи се с нас на privacy@spareachair.com.

Тази политика обхваща мобилното приложение spareachair и неговия бекенд („Услугата“), уебсайта spareachair.com и списъка на чакащите преди старта.

Какво събираме

Профил

Имейл адрес, парола (съхранявана само като защитен хеш), статус на потвърждението на имейла, сесии за вход (с user agent на устройството ти и, от съображения за сигурност, само мрежовия префикс на IP адреса ти – IPv4 /24, IPv6 /48 – никога пълния адрес), езика на приложението ти (за да ти изпращаме имейли и известия на този език), предпочитания за известия и запис коя версия на правните ни документи си приел и кога (с хеширан – а не некодиран – IP адрес и user agent на устройството ти).

Резултат от проверката на самоличността

Когато потвърждаваш самоличността си, доставчикът на услуги за проверка (Didit) проверява документа ти за самоличност или за пребиваване – включително посочения в него адрес, ако документът съдържа такъв – и го съпоставя със селфи, като използва кратко видео за проверка на жизненост, което показва, че пред камерата е реален човек. Didit обработва изображенията на документа и данните в него (включително този адрес), селфито, видеото за проверка на жизненост и биометричните данни, необходими за съпоставянето, като наше обработващо лице – от наше име, по наши указания и само за тази проверка – и ги изтрива 30 дни след решението по проверката. Ние получаваме и съхраняваме само:

• статуса на проверката (например одобрена, отхвърлена, изтекла) и препратка към сесията за проверка;
• дали си над 18 години и държавата, чийто орган е издал документа ти (за да потвърдим, че е издаден от орган на държава от ЕС/ЕИП);
• ключов хеш (HMAC), изчислен от номера на документа ти, издаващата държава и датата ти на раждане чрез таен ключ, който е само у нас. От хеша не могат да се възстановят тези данни. Използваме го, за да не позволим един човек да има няколко профила и хора със забрана да се регистрират отново.

Изтриваме датата ти на раждане, номера на документа и всички други данни от документа веднага след изчисляването на резултата и хеша.

Публичен профил

Показвано име, генериран аватар (не можеш да качваш снимки), кратко представяне, категория професия, възрастова група (например 25–34) и отговорите ти на „въпросите за гледна точка“ (например град или село), използвани за разпределянето по маси. Краткото ти представяне се проверява от автоматичната модерация (вж. Съобщения); показваното ти име се проверява само от нашите собствени правила.

Езици, които говориш (по избор и лични): можеш да добавиш в профила си езиците, които говориш. Използваме ги само за да слагаме на една маса хора с общ език на събития на няколко езика и за да ти показваме първо събитията на твоите езици в списъка със събития. Другите потребители никога не ги виждат. Ако не добавиш езици, използваме вместо тях езика на приложението ти.

Участие и контакти

Събитията, за които се записваш и в които участваш, масите, на които си бил настанен, изборите „поддържай връзка“, контактите ти и хората, които си блокирал.

Съобщения

Текстът на съобщенията, които изпращаш на масите и в личните съобщения, както и маркировките, добавени от автоматичната модерация. Аудиото и видеото се предават на живо през нашия собствен медиен сървър и никога не се записват и не се съхраняват.

Чатът на масите се проверява от автоматичната модерация като част от Услугата. Личните съобщения и разговорите един на един между контакти са достъпни само когато и двамата души са се съгласили с автоматичната проверка за безопасност на личните съобщения; тогава съобщенията им се проверяват по същия начин преди доставянето. Искаме това съгласие отделно, в приложението.

Как работи автоматичната модерация. Първо проверяваме текста по нашите собствени правила. Изпращаме също текста на съобщенията на масите и на краткото представяне – а текста на личните съобщения само когато и двамата души са се съгласили с автоматичната проверка за безопасност на личните съобщения – на модел с изкуствен интелект (Claude) на Anthropic PBC в САЩ, който го класифицира за вредно съдържание. Доставчикът получава само текста – никога името ти, потребителския ти идентификатор или други данни за профила ти – и го обработва като наше обработващо лице. Доставчикът не използва текста за обучение на своите модели с изкуствен интелект и го пази само за ограничен период съгласно своите условия, например за да открива злоупотреби със своята услуга. Гаранциите при предаването са описани в Международно предаване на данни.

Сигнали и мерки

Сигнали, които подаваш или които са подадени срещу теб, включително копие на последните 50 съобщения от разговора, за който е подаден сигналът; решения за модерация, изложения на мотиви и обжалвания.

Данни за устройството и технически данни

Токен за push известия (предава се на Apple или Google, вж. С кого споделяме данни), вид на устройството, операционна система и версия на приложението; IP адреси и логове на заявките на нашите сървъри; доклади за грешки и сривове.

Уебсайт и списък на чакащите

Ако се запишеш в списъка на чакащите: имейл адресът ти и записът за потвърждението (двойно потвърждение). На уебсайта: бисквитки и подобни технологии, но само тези, за които си дал съгласие – вж. Политиката за бисквитките.

Не събираме точното ти местоположение, контактите ти или снимки.

Защо използваме данните ти и на какво правно основание

Цел	Правно основание (ОРЗД)
Създаване на профила ти, провеждане на събития, разпределяне по маси (на събития на няколко езика – с хора, с които имаш общ език), съобщения, обаждания, контакти, служебни имейли и известия на езика на приложението ти	Изпълнение на договора ни с теб – чл. 6, пар. 1, буква „б“
Проверка, че си на 18+ и притежаваш документ, издаден от орган на държава от ЕС/ЕИП, преди да участваш	Изпълнение на договора ни (условия за участие) – чл. 6, пар. 1, буква „б“; легитимен интерес Услугата да е само за пълнолетни и безопасна – чл. 6, пар. 1, буква „е“
Биометричното съпоставяне със селфи, извършвано от Didit	Твоето изрично съгласие – чл. 9, пар. 2, буква „а“ във връзка с чл. 6, пар. 1, буква „а“. Искаме го отделно, в приложението, преди началото на проверката
Автоматична модерация на чата на масите и на краткото представяне, обработване на сигнали, прилагане на Условията ни и предотвратяване на заобикалянето на забрани с ключовия хеш	Легитимен интерес за защита на потребителите и на Услугата – чл. 6, пар. 1, буква „е“; спазване на Акта за цифровите услуги, когато е приложим – чл. 6, пар. 1, буква „в“
Автоматична проверка за безопасност на личните съобщения между контакти	Твоето съгласие – чл. 6, пар. 1, буква „а“ и правилата за електронни съобщения (ePrivacy) относно поверителността на съобщенията. Съгласие трябва да дадат и двамата участници в разговора
Чувствителна информация, която решиш да включиш в краткото си представяне или в съобщенията си	Твоето изрично съгласие, ако го дадеш – чл. 9, пар. 2, буква „а“. По желание
Изложения на мотиви, обработване на уведомления за незаконно съдържание и на обжалвания, отговаряне на законни искания от органи	Правно задължение – чл. 6, пар. 1, буква „в“
Записване кои правни документи си приел и на какъв език	Легитимен интерес да можем да докажем с какво си се съгласил – чл. 6, пар. 1, буква „е“
Сигурност, включително мрежовият префикс на IP адреса на сесиите ти за вход, сървърни логове и наблюдение на грешки	Легитимен интерес Услугата да е защитена и да работи – чл. 6, пар. 1, буква „е“
Имейли до списъка на чакащите	Съгласие – чл. 6, пар. 1, буква „а“
Анализ на уебсайта и измерване на рекламите	Съгласие – чл. 6, пар. 1, буква „а“ и правилата за електронни съобщения (ePrivacy) относно бисквитките
Установяване, упражняване или защита на правни претенции	Легитимен интерес – чл. 6, пар. 1, буква „е“

Съгласието си за биометричната проверка можеш да оттеглиш по всяко време, като пишеш на privacy@spareachair.com. Оттеглянето има действие само занапред: вече извършената проверка остава валидна и запазваме нейния резултат (статус на проверката, над 18 години, издаваща държава, възрастова група) и ключовия хеш, които не са биометрични данни, на основание договора ни с теб и легитимния ни интерес. Ще поискаме от Didit да изтрие всичко, което все още съхранява. Ако някога се наложи да преминеш проверка отново, ще те помолим отново за съгласие – без него не можем да те проверим с биометрични средства.

Разпределянето по маси използва отговорите ти на въпросите, категорията професия и възрастовата ти група, за да сложи заедно хора с различни гледни точки. Това е форма на профилиране, но то няма правни или подобно значими последици за теб. На събития на няколко езика разпределянето освен това гарантира, че всички на една маса имат общ език, като използва езиците, които говориш (или, ако не си добавил такива, езика на приложението ти) – само като това условие, никога за преценка на гледните ти точки.

Автоматизирани решения. Автоматичната модерация може да блокира отделно съобщение. Не вземаме решения с правни или подобно значими последици за теб – например временно спиране или забрана на профила ти – единствено по автоматизиран начин и винаги можеш да поискаш решение да бъде преразгледано от човек.

Чувствителна информация. Освен за биометричната проверка не искаме специални категории данни (например за здравословно състояние, религия или политически възгледи) и никога не ги използваме за разпределянето по маси. Езиците, които говориш, са по избор; тъй като езиците могат да подсказват откъде е някой, използваме ги само както е описано в Публичен профил, и никога не ги показваме на други хора. Такава информация все пак може да се появи в това, което решиш да напишеш. При регистрацията те питаме дали даваш съгласие да обработваме чувствителна информация, която решиш да включиш в краткото си представяне или в съобщенията си. Това е по желание: ако не дадеш съгласие, приложението ще ти напомня да не споделяш такава информация там, където пишеш. Можеш да оттеглиш това съгласие по всяко време, като пишеш на privacy@spareachair.com; след това спри да споделяш такава информация и редактирай краткото си представяне – останалите съобщения се изтриват след 30 дни. Във всички случаи, моля, помисли внимателно, преди да споделяш такава информация.

Проверка на личните съобщения. Можеш да оттеглиш съгласието си с автоматичната проверка за безопасност на личните съобщения по всяко време, като пишеш на privacy@spareachair.com. Без него можеш да продължиш да участваш в събития и в чата на масите, но не можеш да изпращаш и получаваш лични съобщения и обаждания.

Когато се основаваме на легитимен интерес, сме го претеглили спрямо правата ти и можеш да възразиш (вж. Твоите права).

Колко дълго пазим данните ти

Данни	Колко дълго
Съобщения на масите и лични съобщения	30 дни, след което се изтриват автоматично
Съобщения, копирани в сигнал	1 година
Сигнали и маркировки от модерацията	1 година след приключването на сигнала
Решения за модерация (записи за наложени мерки)	Докато профилът ти съществува; след изтриването му – 1 година, или 3 години, ако профилът е получил постоянна забрана
Дневник на действията на модераторите (одитен дневник)	3 години
Ключов хеш на самоличността	Докато профилът ти съществува. Ако профилът ти е получил постоянна забрана, се пази след изтриването 5 години – или без фиксиран краен срок, докато забраната е в сила, при забрани за сексуално насилие над деца, реални заплахи или заобикаляне на забрана
Резултат от проверката на самоличността	Докато профилът ти съществува
Изображения и данни от документа за самоличност, селфи и видео за проверка на жизненост (пазят се от Didit, не от нас)	30 дни след решението по проверката
Профил, публичен профил, участие и контакти	Докато не изтриеш профила си; премахнат контакт и съобщенията в него – 30 дни след премахването
Сесии за вход (данни за устройството и приложението, мрежов префикс на IP адреса ти)	Докато не излезеш от профила си или 30 дни след последното ти използване на приложението
Дневник на обажданията (кой на кого се е обадил и кога, без съдържание)	1 година
Профили, при които регистрацията не е завършена	Изтриват се 7 дни след регистрацията, ако имейлът не е потвърден, и 30 дни след регистрацията, ако самоличността не е потвърдена
Записи за приемането на правни документи	Докато профилът ти съществува; ако след изтриването се пази запис за наложена мярка или ключовият хеш – за същия срок (без имейла ти)
Сървърни логове и доклади за грешки	14 дни
Файлове с експортирани данни	7 дни
Криптирани резервни копия на базата данни	До 11 дни; данните, които изтриеш, изчезват от резервните копия в рамките на този срок
Списък на чакащите	Докато не се отпишеш или докато не стартираме; непотвърдените записвания се изтриват след 14 дни

Когато изтриеш профила си, изтриваме окончателно данните ти, с изключение на посочените по-горе, които сме длъжни или имаме право да пазим след изтриването (ключовия хеш на профил със забрана, както и сигналите и записите за наложени мерки, необходими за решаване на въпроси, свързани с безопасността, или на правни претенции). Разговорите ти в личните съобщения се изтриват изцяло: ако ти или някой от контактите ти изтрие профила си, се премахва целият разговор, включително съобщенията на другия човек.

Ако сме длъжни да пазим данни за съдебно или друго правно производство (правно задържане), не можем да ги изтрием, докато задържането не приключи. Ако поискаш да ги изтрием, ще ти съобщим, че сме длъжни да ги съхраняваме за правно производство, освен ако държавен орган не ни е разпоредил да не го правим.

С кого споделяме данни

• Другите потребители виждат показваното ти име, аватара, краткото представяне, категорията професия и възрастовата група, както и съобщенията, които изпращаш в разговорите, в които участват. Те никога не виждат имейла ти, езиците, които говориш, или данните от проверката.
• Доставчици на услуги (обработващи лица), които хостват и поддържат Услугата за нас по силата на договори за обработване на данни – например хостинг (DigitalOcean), имейл (Resend), проверка на самоличността (Didit), наблюдение на грешки (Sentry), актуализации на приложението (Expo), push известия на Android (Google Firebase Cloud Messaging) и автоматична модерация (Anthropic PBC). Пълният актуален списък е на страницата ни Подизпълнители.
• Apple и Google доставят push известията до устройството ти: нашите сървъри ги изпращат директно до Apple Push Notification service (iPhone) или Google Firebase Cloud Messaging (Android). Те получават push токена на устройството ти и известието (например показваното име на контакт, който ти е писал – никога текста на съобщението). Apple ги получава като самостоятелен получател съгласно собствените си условия.
• Органите, когато сме длъжни по закон, например в отговор на валидна заповед или за да съобщим за заплаха за живота или безопасността на някого.

Не продаваме личните ти данни и не ги споделяме с рекламодатели.

Международно предаване на данни

Хостваме Услугата в ЕС. Някои от доставчиците ни са в САЩ. Основаваме се на Рамката за защита на данните между ЕС и САЩ, когато доставчикът е сертифициран по нея, а в останалите случаи – на стандартните договорни клаузи на Европейската комисия, заедно с допълнителни гаранции, когато е необходимо. Това включва и доставчика ни за модерация, Anthropic PBC, който получава само текста на съобщенията и на краткото представяне (вж. Съобщения). Можеш да поискаш копие от съответните гаранции на privacy@spareachair.com.

Твоите права

Съгласно ОРЗД имаш право:

• на достъп до данните си и да получиш копие от тях;
• на коригиране – неточните данни да бъдат коригирани;
• на изтриване – данните ти да бъдат изтрити;
• на ограничаване – да поискаш да ограничим начина, по който използваме данните ти;
• на преносимост на данните – да получиш данните, които си ни предоставил, в машинночетим формат (JSON);
• на възражение срещу обработване, основано на легитимен интерес;
• да оттеглиш съгласието си по всяко време, когато се основаваме на съгласие, без това да засяга предходното обработване;
• да подадеш жалба до надзорен орган – нашият водещ надзорен орган е Комисията за защита на личните данни (https://www.cpdp.bg), а можеш да подадеш жалба и до органа в държавата от ЕС/ЕИП, в която живееш или работиш.

Можеш да експортираш данните си и да изтриеш профила си направо от настройките на приложението. Експортът е машинночетим файл (JSON) с данните, които съхраняваме за теб, заедно с информация за целите, получателите, сроковете на съхранение, правата ти и източника на данните. Той не включва съобщения или лични данни на други участници.

За всичко друго пиши на privacy@spareachair.com. Ще ти отговорим в срок от един месец (с възможно удължаване с още два месеца при сложни искания, за което ще те уведомим). Може да те помолим да потвърдиш самоличността си, преди да изпълним искането – чрез връзка, изпратена на регистрирания ти имейл адрес, или чрез потвърждение в приложението. Никога не искаме копие от документа ти за самоличност.

Когато поискаш копие от данните си, не включваме информация, чието разкриване би засегнало неблагоприятно правата и свободите на други лица (чл. 15, пар. 4 от ОРЗД). Например не разкриваме кой е подал сигнал срещу теб и може да не предоставим подробности за сигнал, докато прегледът му не приключи.

Сигурност

Защитаваме данните ти с криптиране при пренос, контрол на достъпа, принципа на най-малките привилегии, псевдонимизирани идентификатори, където е възможно, и редовни резервни копия. Никоя система не е напълно сигурна; ако нарушение на сигурността на личните данни е вероятно да създаде висок риск за теб, ще те уведомим.

Деца

spareachair е само за пълнолетни. Не събираме съзнателно данни от лица под 18 години. Ако разберем, че потребител е под 18 години, ще закрием профила му и ще изтрием данните му, с изключение на записите за безопасност, които трябва да пазим – сигнали, записи за наложени мерки и, ако профилът е получил забрана, ключовия хеш, който не позволява нова регистрация – за сроковете, посочени в Колко дълго пазим данните ти. Когато дете може да е в риск, уведомяваме компетентните органи. Ако смяташ, че непълнолетен използва Услугата, моля, подай сигнал в приложението или пиши на privacy@spareachair.com.

Промени в тази политика

Ще актуализираме тази политика, когато обработването на данни се промени. Всяка версия има номер на версията и дата на влизане в сила в горната част на тази страница. Ще те уведомим за съществени промени в приложението или по имейл, преди те да влязат в сила.

Контакт

SUPPORT BULGARIA OOD, ж.к. Хиподрума, бл. 133, вх. Б, ет. 4, ап. 82, София, България, телефон +359 888 886 008 – privacy@spareachair.com.