Политика за поверителност

1. Администратор на лични данни

TravelInvoices ("ние", "нас", "Платформата") е администратор на личните данни, които събираме при предоставяне на Услугата. Можете да се свържете с нас на:

• Имейл: support@travelinvoices.com
• Уебсайт: www.travelinvoices.com

2. Правно основание за обработка

Обработваме вашите лични данни на следните основания, съгласно чл. 6 от Регламент (ЕС) 2016/679 (GDPR):

• Изпълнение на договор (чл. 6, ал. 1, б. "б") — за предоставяне на услугата, управление на акаунта и обработка на плащания
• Законово задължение (чл. 6, ал. 1, б. "в") — за спазване на данъчно и счетоводно законодателство (ЗДДС, ЗСч, ЗКПО)
• Легитимен интерес (чл. 6, ал. 1, б. "е") — за подобряване на услугата, техническа сигурност и предотвратяване на злоупотреби
• Съгласие (чл. 6, ал. 1, б. "а") — за маркетингови съобщения и незадължителни бисквитки

3. Какви данни събираме

3.1. Данни при регистрация

• Имейл адрес
• Име (при OAuth вход чрез Google)
• Парола (криптирана, при регистрация с имейл)

3.2. Данни при ползване на услугата

• Съдържание на качените PDF фактури (номер на документ, дата, стойност, ЕИК/ДДС номера на контрагенти)
• Данни за протоколи (име на доставчик, ЕИК, дати)
• Създадени фактури и протоколи

3.3. Технически данни

• IP адрес
• Тип браузър и операционна система
• Дати и часове на достъп
• Страници, посетени в Платформата

3.4. Платежни данни

Платежните данни (номер на карта, CVC) се обработват изцяло от Stripe, Inc. и никога не преминават през нашите сървъри. Ние съхраняваме единствено идентификатора на Stripe клиента и статуса на абонамента.

3.5. Данни, които НЕ събираме

Не събираме специални категории лични данни (чувствителни данни) като: здравни данни, биометрични данни, расова или етническа принадлежност, политически възгледи, религиозни убеждения.

4. Цели на обработката

• Създаване и управление на вашия акаунт
• Предоставяне на услугата — извличане на данни от фактури, управление на протоколи, ДДС изчисления
• Обработка на плащания и управление на абонаменти
• Техническа поддръжка и комуникация
• Подобряване и оптимизация на Платформата
• Осигуряване на сигурност и предотвратяване на злоупотреби
• Изпълнение на законови задължения (данъчна отчетност, счетоводство)

5. Получатели на данни и трети страни

Можем да споделяме данните ви с:

• Supabase, Inc. — хостинг на база данни и автентикация (сървъри в ЕС)
• Vercel, Inc. — хостинг на уеб приложението (сървъри в ЕС)
• Stripe, Inc. — обработка на плащания (сертифициран PCI DSS Level 1)
• Mistral AI — AI обработка на PDF фактури за извличане на данни (сървъри в ЕС)

Не продаваме, не отдаваме под наем и не споделяме вашите лични данни с трети страни за маркетингови цели.

При законово изискване можем да предоставим данни на компетентни органи (НАП, съдебни органи) съгласно приложимото законодателство.

6. Трансфер на данни извън ЕС/ЕИП

Стремим се да обработваме данните ви изцяло в рамките на Европейския съюз. Когато е необходим трансфер извън ЕС/ЕИП (напр. към Stripe в САЩ), този трансфер се осъществява при наличие на:

• Решение за адекватност на Европейската комисия (EU-US Data Privacy Framework)
• Стандартни договорни клаузи (SCC), одобрени от ЕК

7. Срок на съхранение

• Данни за акаунт: докато имате активен акаунт и до 30 дни след изтриването му
• Фактури и протоколи: 10 години съгласно Закона за счетоводството (ЗСч, чл. 12)
• Платежни записи: 5 години съгласно данъчното законодателство
• Технически логове: до 12 месеца
• Маркетингово съгласие: до оттеглянето му

8. Вашите права

Съгласно GDPR (чл. 15–22), имате следните права по отношение на вашите лични данни:

• Право на достъп (чл. 15) — да получите потвърждение дали обработваме ваши данни и копие от тях
• Право на коригиране (чл. 16) — да поискате коригиране на неточни данни
• Право на изтриване (чл. 17) — да поискате изтриване на данните ви ("право да бъдеш забравен"), освен когато съхранението е законово задължително
• Право на ограничаване (чл. 18) — да поискате ограничаване на обработката
• Право на преносимост (чл. 20) — да получите данните си в структуриран, машинно четим формат
• Право на възражение (чл. 21) — да възразите срещу обработката на данните ви
• Право да не бъдете обект на автоматизирано решение (чл. 22) — да не бъдете обект на решение, основано единствено на автоматизирана обработка
• Право на оттегляне на съгласие (чл. 7) — по всяко време, без да засяга законосъобразността на обработката, извършена преди оттеглянето

За упражняване на правата си, свържете се с нас на support@travelinvoices.com. Ще отговорим в рамките на 30 дни.

9. Сигурност на данните

Прилагаме подходящи технически и организационни мерки за защита на вашите данни, включително:

• Криптиране на данни при пренос (TLS/HTTPS)
• Криптиране на данни при съхранение (AES-256)
• Row Level Security (RLS) в базата данни — всеки потребител има достъп само до собствените си данни
• Контрол на достъпа чрез автентикация и оторизация
• Редовни резервни копия на данните

10. Нарушение на сигурността на данните

При нарушение на сигурността на личните данни ще уведомим Комисията за защита на личните данни (КЗЛД) в рамките на 72 часа съгласно чл. 33 от GDPR. При висок риск за вашите права и свободи ще ви уведомим без неоправдано забавяне (чл. 34 от GDPR).

11. Бисквитки

Използваме бисквитки и подобни технологии за функционирането на Платформата. Подробности ще намерите в нашата Политика за бисквитки.

12. Обработка на данни на трети лица

Когато качвате фактури, съдържащи лични данни на ваши клиенти или контрагенти, вие действате като администратор на тези данни, а TravelInvoices — като обработващ лични данни (data processor) по смисъла на чл. 28 от GDPR.

Вие носите отговорност да имате правно основание за обработката на тези данни и да информирате засегнатите лица.

13. Деца

Услугата не е предназначена за лица под 14 години (възраст за съгласие съгласно чл. 25в от ЗЗЛД). Ако установим, че сме събрали данни на лице под тази възраст, ще ги изтрием незабавно.

14. Надзорен орган

Имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД):

• Адрес: бул. "Проф. Цветан Лазаров" № 2, 1592 София
• Уебсайт: www.cpdp.bg
• Имейл: kzld@cpdp.bg
• Телефон: +359 2 915 35 18

15. Промени в политиката

Можем да актуализираме настоящата Политика за поверителност периодично. При съществени промени ще ви уведомим по имейл или чрез съобщение в Платформата. Датата на последна актуализация е посочена в началото на документа.