Политика за поверителност

ПОЛИТИКА на "ЗИ-МЕТРИКС" АД за поверителност и защита на личните данни, получени във връзка с регистрацията на потребителски профил в Платформата Find2be и/или във връзка със сключването на споразумения за прехвърляне на вземания

(информация по чл.чл. 13 и 14 и комуникация по чл.чл. 15-22 и чл. 34 от Регламент (ЕС) 2016/679)

ЧАСТ ПЪРВА. ОБЩИ ПОЛОЖЕНИЯ

ГЛАВА ПЪРВА. Информация за администратора

„ЗИ-МЕТРИКС" АД, (наричано накратко „Дружеството") е търговско дружество, регистрирано с ЕИК 200888528, със седалище и адрес на управление: гр. София, р-н „Красно село", ул. „Кюстендил" № 23Б, ет. 2, вписано в регистъра на финансовите институции към Българска народна банка под № BGR00172, със следните координати за връзка с него:

• адрес на електронна поща (E-mail): dpo@find2be.com;
• лице за контакт по въпросите, свързани със защита на личните данни: адв. Бисер Атанасов.

Дружеството е администратор на лични данни по смисъла на Закона за защита на личните данни (наричан накратко „ЗЗЛД") и Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (наричан накратко „Регламент (ЕС) 2016/679").

Дружеството събира и обработва лични данни при стриктно спазване на изискванията на българското и европейското законодателство, като зачита неприкосновеността на своите клиенти – физически лица (наричани също „потребители" или „субекти на данни") и поема сериозен ангажимент по отношение поверителността на личните им данни. В съответствие с приложимото законодателство и добрите практики в съответната сфера Дружеството прилага широк спектър от технически и организационни мерки за защита на личните данни на своите клиенти.

Настоящата Политика за поверителност и защита на личните данни, получени във връзка с регистрацията на потребителски профил в Платформата Find2be и/или във връзка със сключването на споразумения за прехвърляне на вземания (наричана накратко „Политиката"), има за цел да разясни как и защо Дружеството обработва лични данни. Дружеството насърчава всеки един потребител да се запознае със съдържанието на Политиката, като в случай на въпроси, искания, оплаквания и/или необходимост от допълнително разяснение по съдържанието й да се обърне най-напред към Дружеството на посочените по-горе координати. С достъпа си до и използването на уебсайта, респ. мобилното приложение, и услугите на Дружеството клиентите потвърждават, че са имали подходяща възможност да се запознаят с Политиката, че я разбират и са съгласни да бъдат обвързани от нея.

ГЛАВА ВТОРА. Дефиниции

Използваните термини в Политиката имат следните значения:

Лични данни

„Лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

Специални категории лични данни

„Специални категории лични данни" са лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, или членство в синдикални организации и обработката на генетични данни, биометричните данни за уникално идентифициране на физическо лице, данни, отнасящи се до здравето или данни относно сексуалния живот или сексуалната ориентация на физическо лице.

Обработване

„Обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Администратор

„Администратор" е всяко физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни.

Субект на данни

„Субект на данни" е всяко живо физическо лице, чиито лични данни се обработват от администратора.

Съгласие на субекта на данните

„Съгласие на субекта на данните" е всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени.

Профилиране

„Профилиране" е всяка форма на автоматизирано обработване на лични данни, изразяващо се в използването на лични данни за оценяване на определени лични аспекти, свързани с физическо лице, и по-конкретно за анализиране или прогнозиране на аспекти, отнасящи се до изпълнението на професионалните задължения на това физическо лице, неговото икономическо състояние, здраве, лични предпочитания, интереси, надеждност, поведение, местоположение или движение.

Получател

„Получател" е физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не.

От името на трето лице

„Трета страна" – всяко физическо или юридическо лице, публичен орган, агенция или друг орган, различен от субекта на данните, администратора, обработващия лични данни и лицата, които под прякото ръководство на администратора или на обработващия лични данни имат право да обработват личните данни.

Cookies (бисквитки)

Cookies са малки текстови файлове, които се запазват на компютъра или мобилното устройство при посещение на сайта на Дружеството. Те събират информация за начина на използване на сайта с цел подобряване ефективността му и позволяват да се запаметяват предпочитанията на посетителите в сайта, за да не се налага да се въвеждат всеки път при ново посещение или преминаване от една страница към друга.

ГЛАВА ТРЕТА. Принципи

Обработването на лични данни от Дружеството се извършва в съответствие със следните принципи:

Личните данни се обработват от Дружеството законосъобразно, добросъвестно и прозрачно, и именно:

• Дружеството идентифицира правно основание, на което се базира обработването (законосъобразност).
• Дружеството предоставя изискуемата информация на субектите на данни, доколкото това е практически възможно. Това важи независимо дали личните данни са получени директно от субектите на данни или от други източници (добросъвестност).
• Дружеството изготвя и съблюдава правила относно предоставяне на поверителна информация на субектите на данни по реда на чл. 12, чл.13 и чл. 14 от Регламент (ЕС) 2016/679, която трябва да бъде съобщена на субекта на данните в разбираема форма, като се използва ясен и разбираем език. (прозрачност).

Лични данни се събират от Дружеството само за конкретни, изрично указани и законни цели, като данните не трябва да се използват за цел, която се различава от тези цели (ограничение на целите).

Личните данни са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват (свеждане на данните до минимум).

Личните данни са точни и при необходимост актуализирани във всеки един момент, като са положени необходимите усилия, за да се гарантира своевременното, в рамките на възможните технически решения, изтриване или коригиране на неточни данни, като се имат предвид целите, за които се обработват (точност).

Личните данни се съхраняват в такава форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни. Личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно чл. 89, пар. 1 Регламент (ЕС) 2016/679, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в Регламент (ЕС) 2016/679 (минимизирани, криптирани, псевдонимизирани), с цел да бъдат гарантирани правата и свободите на субекта на данните (ограничение на съхранението).

Личните данни са обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки (цялостност и поверителност).

Дружеството носи отговорност и е в състояние да докаже спазването на горепосочените принципи, вкл. чрез внедряване на подходящи технически и организационни мерки, както и чрез приемане на техники по защита на данните на етапа на проектирането и защита на данните по подразбиране, оценка на въздействието върху защитата на личните данни и други (отчетност).

ГЛАВА ЧЕТВЪРТА. Структура и номерация на Правилата

В своята структура Политиката се разделят на части, глави и раздели, вкл. на рубрики, номерирани само с римски цифри, като всяка част започна на нова страница, ако Политиката е в машинно четим файл (напр. в pdf-формат).

В своята номерация разпоредбите на Политиката се номерират с: числа, изписани с арабски цифри, които се назовават „точки" (1, 2, 3 и т.н.); букви на „латиница" или „кирилица", както и символи.

ЧАСТ ВТОРА. ЛИЧНИ ДАННИ, ЦЕЛИ И ОСНОВАНИЯ

Дружеството обработва конкретни лични данни за конкретни цели и конкретни основания, изчерпателно изброени в Приложение № 1 (едно), което се намира в края на Политиката.

Информация относно използваните Cookies (бисквитки) може да намери в Информация за използването на Cookies (бисквитки) от Дружеството, която е Приложение № 2, което се намира в края на Политиката.

ГЛАВА ПЪРВА. Лични данни, които се обработват

Раздел І. Категории лични данни

В зависимост от субекта на данни, Дружеството може да обработва лични данни за:

• Ползватели – Клиенти/Инвеститори по смисъла на Общите условия на "ЗИ-МЕТРИКС" АД за ползване на Платформата Find2be (наричани накратко „Общи условия").
• Клиенти, които сключват договор за продукт и/или услуга на Дружеството, различен от цесия, или които подават искане за сключване на такъв договор, вкл. искане за получаване на персонализирани и неперсонализирани оферти.
• Лица, които подават жалба/искане/предложение, без да са клиенти на Дружеството.
• Други субекти на данни по смисъла на Регламент (ЕС) 2016/679.

В зависимост от целите на обработката, Дружеството може да обработва различни видове лични данни, включително:

• Обща информация (напр. три имена, ЕГН, данни от документ за самоличност, вкл. и копие от него, постоянен и настоящ адрес, всяко гражданство на лицето, място и дата на раждане, данни за професионална дейност, лицеви изображения, глас, почеркови признаци, уникален клиентски номер, генериран от Дружеството).
• Информация за връзка и контакт (напр. телефонни номера за връзка, вкл. и на трети лица/свързани лица, пощенски адрес и адрес на електронна поща; адрес по месторабота).
• Демографски характеристики (напр. пол, възраст, местоживеене).
• Информация за гражданското състояние (напр. семейно положение, данни за свързани лица, брой и данни за деца).
• Информация за образование и заетост (напр. ниво на образование, заетост, работодател, длъжност, възнаграждение; за студенти – напр. учебно заведение, факултет, факултетен номер, професионално направление, специалност, курс, редовна/задочна форма на обучение).
• Банкови, финансови и/или транзакционни данни (напр. данни за банкови сметки; информация за кредитна или дебитна карта, в случай че Клиентът е избрал да заплаща своите задължения чрез директен дебит), погасителен план, извършени и дължими плащания, друга банкова и платежна информация във връзка с направените транзакции в изпълнение на договорните задължения).
• Данъчна и осигурителна информация (напр. наличие на публични задължения, данъчен номер, данъчен статус).
• Данни за кредитоспособност (напр. наличие или липса на сключен трудов/граждански договор, както и данни за работодател/възложител; данни от регистрите на НОИ, МВР, ЦКР към БНБ, ГРАО, Търговски регистър, Имотен регистър и др.; осигурителен доход; общ месечен доход; имуществено състояние; образование; кредитна история; наличие или липса на парични задължения към други кредитори и др.).
• Данни от ползвани и отказани продукти/услуги на Дружеството.
• Данни, свързани с навици и предпочитания (напр. данни, свързани с използването на продукти и услуги на Дружеството; данни от взаимодействия с Дружеството: офиси, интернет страници, приложения, социални медийни страници, срещи, обаждания, чат, имейл, интервю, телефонни разговори).
• Информация относно адрес на интернет протокол (IP-адрес), бисквитки (Cookies) и данни за устройството при достъп до уебсайта на Дружеството.
• Местоположение.
• Данни от видеонаблюдение при посещение в офис на Дружеството, извършвано с оборудване за видеонаблюдение за охранителни цели.
• Гласов запис от телефонни разговори.
• Данни за принадлежност към категорията видна политическа личност по смисъла на чл. 36 от Закона за мерките срещу изпиране на пари (наричан накратко „ЗМИП").
• Данни за произход на средствата/източник на имущественото състояние на субекта на данни.
• Специални категории данни – само след получаване на изрично предварително съгласие на субекта на данни: биометрични данни (напр. пръстов отпечатък, модел на глас или модел на лице, които могат да бъдат използвани за идентификация, проверка на идентификация и за целите на сигурността) и др.

Раздел ІІ. Източници на данни

Данните, които Дружеството обработва, могат да бъдат (1) предоставени директно от субекта на данните или (2) да бъдат получени от следните източници, с цел потвърждаване или допълване на базите данни на Дружеството:

• Регистри с бази данни на държавни органи и др. (напр. НОИ, НАП, МВР, ЦКР към БНБ, ЦРД към Камарата на частните съдебни изпълнители, ГРАО или в друга база данни, използвана в Република България.
• Бази данни, които са публично достъпни от трети страни.
• Бази данни на доставчици на квалифицирани удостоверителни услуги (напр. при проверка на идентификацията на Клиент).
• Използване на уебсайт и приложения.
• При наличие на надлежно съгласие, дадено на трети страни, за споделяне на личните данни с Дружеството.

Раздел ІІІ. Специфични случаи

В определени случаи Дружеството обработва лични данни, без да има пряка/директна връзка със субекта на данни (например, когато работодател предостави информация или данни за контакт са предоставени от някой друг клиент, ако субектът на данни е например: член на семейството; пълномощник; лице за контакт; бенефициент/наредител на платежни транзакции; съдружник или акционер в дружество; представител на юридическо лице; персонал на доставчик на услуги и търговски партньори и др.).

ГЛАВА ВТОРА. Цели на обработването

Целите, за които Дружеството обработва лични данни, могат да бъдат:

• За предоставяне на продукти и/или услуги на Дружеството, за управление на взаимоотношенията с клиентите и за упражняване на законови права и задължения на Дружеството във връзка с предоставяни продукти и/или услуги, включително за събиране на парични вземания.
• За сключване и изпълнение на договор, по който субектът на данни е страна или представляващ друго лице, вкл. споразумения във връзка с производство по медиация.
• За изпълнение на договор, по който Дружеството или субектът на данни встъпва/замества в правата и/или задълженията друго лице, както и за действия, предхождащи и обуславящи сключването на договор.
• За оценка на кредитоспособност и анализ на кредитния риск, включително и чрез профилиращи дейности.
• За оценка, включително чрез автоматизирано вземане на решение, дали Дружеството може да предложи продукт или услуга и при какви условия.
• За проверка на актуалността, верността и пълнотата на получената информация, включително чрез независими източници и регистри.
• За извършване на дейности по предотвратяване и разкриване на измами.
• За прилагане на мерки за превенция на изпирането на пари (ИП) и финансирането на тероризма (ФТ).
• За разглеждане на получени сигнали, възражения, жалби, извършване на проверки, предоставяне на обратна връзка.
• За охрана на зони и помещения и контрол на достъпа – чрез системи за видеонаблюдение.
• За осигуряване на мрежова, информационна, физическа сигурност, включително предотвратяване на неоторизиран достъп до електронни съобщителни мрежи, управление на ИТ, управление на инфраструктурата и непрекъснатост на работата.
• За подобряване управлението на риска от ИП и ФТ, респ. на риска при оценка на кредитоспособността на Клиента.
• За извършване на поведенческо таргетиране – проследяване на потребителското поведение на сайта на Дружеството.
• За проучване на клиентска удовлетвореност, извършване на маркетингови и пазарни проучвания.
• Само след отделно съгласие на субекта на данни – за директен маркетинг на продукти и/или услуги на Дружеството, включително чрез предварително профилиране.
• За планиране, отчетност и/или статистика.

Ако Дружеството възнамерява да използва лични данни за цели, които не са изложени в Политиката, се ангажира преди това да уведоми съответните субекти на данни за конкретната цел.

ГЛАВА ТРЕТА. Основания на обработването

Дружеството обработва лични данни на следните основания:

Раздел І. Съгласие

Дружеството обработва лични данни, съгласно чл. 6, пар. 1, б. "а" и чл. 9, пар. 2, б. „а" от Регламент (ЕС) 2016/679, в случаите когато е необходимо изричното, свободно изразено, конкретно и информирано съгласие за обработване на лични данни на субекта на данните.

В случай че такова съгласие е необходимо за обработка на лични данни и субектът на данни вземе информирано решение да не го предостави, Дружеството може да не бъде в състояние да предостави съответния продукт/услуга, за който съгласието е било необходимо, и може да откаже последващи разглеждания на молби и заявки за предоставяне на продукти/услуги.

Когато обработването на лични данни за конкретна цел се основава на дадено съгласие, субектът на данни може да го оттегли по всяко време, без да се засяга законосъобразността на обработването преди неговото оттегляне.

Раздел ІІ. Договор

Дружеството обработва лични данни, съгласно чл. 6, пар. 1, б. "б" и чл. 9, пар. 1, б. а" от Регламент (ЕС) 2016/679, когато обработването е необходимо за предприемане на стъпки по искане на лицето за сключване на договор и изпълнението на договор, по който субектът на данните е страна.

В случаите, когато субектът на данни предприеме стъпки за сключване на договор с Дружеството и/или сключи договор с Дружеството, е необходимо да предостави информация, представляваща лични данни, за да може Дружеството да предостави съответния продукт или услуга.

Непредоставянето на лични данни ще доведе до невъзможност за администратора да осигури услугите, за които субектът на данни е изявил желание, предприемайки стъпки преди сключване на договор.

Раздел ІІІ. Законово задължение

На основание чл. 6, б. "в" и „д" от Регламент (ЕС) 2016/679, Дружеството обработва лични данни, за да спазва законовите си задължения, посочени в Закона за кредитните институции, Закона за защита на потребителите, Закона за мерките срещу изпирането на пари, Закона за мерките срещу финансирането на тероризма, Закона за задълженията и договорите, Гражданския процесуален кодекс, както и в останалото приложимо законодателство.

Раздел ІV. Легитимен интерес

На основание чл. 6, б. "е" от Регламент (ЕС) 2016/679, Дружеството обработва лични данни за целите на легитимния си интерес, в случаите, когато се извършват дейности по: охрана и контрол на достъпа; аудио и видеонаблюдение, аудио и видео записване за целите на охрана, контрол на достъпа, борба с измамите, документиране на проведена комуникация; когато се предоставят данни на трети страни: при изпълнение на законови или договорни задължения на администратора, или на друго валидно правно основание; за проучване и подобряване на клиентското обслужване; за подобряване управлението на риска; за целите на вътрешното обучение; за създаване на обобщени статистически данни, тестове и модели; за отчетни цели; за поддържане записите си и за други административни цели; за целите на маркетингови и пазарни проучвания и анализи.

Дружеството се основава на легитимни интереси, при условие, че интересите или основните права и свободи на субекта на лични данни нямат преимущество, като се вземат предвид основателните очаквания на субектите на данни въз основа на техните взаимоотношения с Дружеството.

Когато обработването на лични данни за конкретна цел се основава на легитимните интереси на Дружеството, субектът на данни може да възрази по всяко време срещу обработването за конкретната цел.

ЧАСТ ТРЕТА. ПОЛУЧАТЕЛИ НА ЛИЧНИ ДАННИ

ГЛАВА ПЪРВА. Общи разпоредби

Дружеството предоставя лични данни на определени категории трети лица, за да може да предложи качествено, бързо и комплексно обслужване и продуктите и услугите на Дружеството да покриват очакванията на клиентите.

Дружеството не предоставя лични данни на трети лица, преди да се увери, че са взети всички технически и организационни мерки за защита на тези данни, като осъществява строг контрол за изпълнение на тази цел. В този случай Дружеството остава отговорен администратор за сигурността на личните данни.

Дружеството използва лични данни единствено за целите, за които са събрани. При никакви обстоятелства не продава или споделя лични данни с някоя трета страна за нейни цели. Субектите на данни, предоставили личните си данни на Дружеството, няма да получават маркетинг съобщения от никоя друга организация, като резултат от споделяне на данните си с Дружеството, освен след изрично съгласие за това.

ГЛАВА ВТОРА. Категории получатели на данни

Категориите лица, на които е възможно Дружеството да предоставя лични данни, включително находящи се извън Европейския съюз, включват:

• Доставчици на услуги (вкл. за оценка на кредитния рейтинг на клиенти; за подобряване на рекламното таргетиране; за създаване на деперсонализирани потребителски сегменти; рекламни и PR-агенции).
• Лица, на които е възложено по силата на договор да оказват съдействие във връзка с управлението и събирането на вземания.
• Лица, на които Дружеството прехвърля или възнамерява да прехвърли свои вземания.
• Лица, на които Дружеството възлага да връчват уведомления за предсрочна изискуемост по договори за цесия или друга форма на финансиране (напр. нотариуси, ЧСИ и др.).
• Външни контактни центрове.
• Независими агенти, посредници или брокери.
• Медиатори и други органи за алтернативно решаване на спорове (помирителни комисии и др.).
• Лица, с които Дружеството е в договорни взаимоотношения за съвместно създаване или предоставяне на продукти и/или услуги.
• Пощенски оператори и куриерски фирми.
• Предприятия, предоставящи електронни съобщителни услуги.
• Банки и платежни институции, обслужващи плащанията от клиенти на Дружеството.
• Индустриално признати доставчици на решения, публично декларирали съответствие с GDPR и E-privacy политиките, като Google и Facebook.
• Лица, на които Дружеството възлага обработването на лични данни по организационни причини (поддръжка на оборудване и софтуер/хардуер, разработване и поддръжка на системи, съхранение на данни, контрол на достъпа до помещения и др.).
• Компетентни органи, които по силата на нормативен акт имат правомощия да изискват от Дружеството предоставянето на информация (финансови/съдебни/правоприлагащи/надзорни/регулаторни органи или агенции).
• Юрисдикцията/ите, на която/ито субектът на данни е местно лице за данъчни цели (ако е приложим автоматичен обмен на финансова информация).
• Лица с определени от закона права и задължения, включително: адвокати, медиатори, нотариуси, държавни/частни съдебни изпълнители, одитори, застрахователи и застрахователни посредници и др.
• Доставчици на удостоверителни услуги, вкл. на квалифицирани удостоверителни услуги.
• Трети лица, с които може да бъде проведено събеседване като част от оценката на кредитоспособност.
• Субекти на лични данни (по изрично тяхно възлагане) – когато лични данни се предоставят на трето лице за да се изпълни поискано от Клиент действие/услуга или въз основа на договор с маркетингова цел.

ГЛАВА ТРЕТА. Трансграничен трансфер

По принцип личните данни, които Дружеството събира и обработва, могат да се трансферират и съхраняват в рамките на Европейското икономическо пространство (ЕИП).

В някои случаи Дружеството може да реши да използва услугите на доставчик (получател) извън ЕИП, което означава, че лични данни се предават и обработват извън ЕИП.

Освен това, за осъществяване на дейността си Дружеството използва различни софтуерни продукти и онлайн инструменти, базирани на облачни услуги. Като част от използването на тези услуги, лични данни могат да бъдат предавани на/в други държави, включително тези извън ЕИП.

Правната защита на личните данни в страни извън ЕИП може да не е равностойна на нивото на защита, предоставено в ЕИП. Въпреки това, Дружеството предприема стъпки за въвеждане на подходящи предпазни мерки и гаранции за защита на личните данни съгласно императивните изисквания на Регламент (ЕС) 2016/679.

Предоставяйки личните си данни на Дружеството, клиентите се съгласяват с това предаване и обработка на място извън ЕИП, а Дружеството гарантира, че предприема мерки, за да се увери, че данните са защитени, и че тези трансфери са в съответствие с приложимото законодателство за защита на личните данни.

ЧАСТ ЧЕТВЪРТА. ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

ГЛАВА ПЪРВА. Общи разпоредби

Сигурността на информацията, документите и данните на Клиентите е основен приоритет на Дружеството.

Дружеството поддържа подходящи административни, технически и организационни мерки, предназначени да спомогнат за опазване на сигурността и неприкосновеността на личните данни и за защита от случайно или незаконно унищожаване, загуба, неразрешено коригиране, разкриване или достъп, злоупотреба и всяка друга незаконна форма на обработка.

С цел максимална сигурност при обработка, пренос и съхранение на лични данни, Дружеството може да използва допълнителни механизми за защита като криптиране, псевдонимизация и др.

ГЛАВА ВТОРА. Технически и организационни мерки

Раздел І. Общи правила

Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, Дружеството прилага подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност.

Субектите на данни носят отговорност и гарантират, че информацията и данните им са защитени, като в тази връзка минималните изисквания за сигурност към тях предвиждат:

• поддържане на надеждна интернет сигурност (например, повишено внимание при използване на обществени WiFi или споделени интернет връзки); и
• незабавно уведомяване на Дружеството при съмнение, че има опит за нерегламентиран достъп до средствата им за комуникация.

Раздел ІІ. Конкретни мерки

Дружеството използва технологии и следва добри практики, препоръчвани от международни организации като IEEE, PCI DSS (стандарт за сигурност за търговци и процесори на платежни карти) и ISO. Личните данни, които се събират посредством електронни форми се предават по криптиран канал, а мрежата е осигурена срещу нарушение на защитата на личните данни и е наблюдавана рутинно от Дружеството.

Дружеството, посредством изрични вътрешни правила, въвежда технически и организационни мерки, изразяващи се в условия и ред за събиране, обработване и съхраняване на личните данни на своите клиенти, както и стриктни правила за осъществяване на контрол относно спазването им.

Дружеството използва облачни услуги за съхранение на лични данни.

Дружеството обработва данни ръчно и/или чрез автоматични средства и прилага автоматизирано вземане на решения, вкл. решения, основаващи се единствено на автоматизирано обработване.

Дружеството ограничава достъпа до информация на база „необходимост да се знае" (need-to-know principle) и предприема подходящи мерки, за да гарантира, че членовете на екипа са наясно, че такава информация се използва само в съответствие с Политиката.

Сайтът на Дружеството включва връзки към сайтове и приложения на трети страни. Кликването върху тези връзки може да позволи на трети страни да събират или споделят данни за субекта на данни. Дружеството не контролира тези сайтове на трети страни и не носи отговорност за техните политики за поверителност.

ЧАСТ ПЕТА. СЪХРАНЕНИЕ НА ДАННИТЕ

ГЛАВА ПЪРВА. Общи разпоредби

Дружеството прилага специфични критерии, за да регламентира колко време да съхранява лични данни, определени на базата на законови и оперативни съображения, като се вземат предвид указанията на Комисията за защита на личните данни. Принципът е, че се съхраняват за срок, не по-дълъг от необходимия за целите, за които са събрани.

Дружеството преустановява използването на лични данни след прекратяване на договора и уреждане на правата и задълженията по него или след кандидатстване за сключване на договор, ако такъв не е сключен, но не изтрива същите до изтичане на сроковете за изпълнение на нормативно определени задължения, до отпадане на законния интерес или до оттегляне на съгласието, ако е приложимо.

Личните данни, предоставени и обработвани за целите на сключване/изпълнение на договор с Дружеството се съхраняват за срока на договора и за определен период след погасяване на задълженията.

Дружеството има нормативни задължения и законен интерес да съхранява и обработва лични данни, които идентифицират клиентите, ползваните услуги и направени плащания за целия срок, в който съответното лице има задължения към Дружеството.

В случай на възникнал спор, производство и/или искане от компетентен държавен орган, е възможно Дружеството да запази личните данни за по-дълъг от посочените срокове до окончателно приключване на възникналия спор или производство пред всички инстанции.

Във всички тези случаи необходимостта да се съхраняват лични данни ще бъде преразглеждана редовно и информацията, която вече не се изисква за каквито и да е цели, ще бъде изтрита/унищожена по сигурен начин.

ГЛАВА ВТОРА. Специални разпоредби

Съгласно Закона за счетоводството, определени лични данни се съхраняват от Дружеството за срок от 10 г., считано от 1 януари на отчетния период, следващ отчетния период, за който се отнася счетоводната и/или данъчната информация, съдържаща лични данни.

Като финансова институция Дружеството има нормативно определени задължения по Закона за мерките срещу изпирането на пари (ЗМИП) и Правилника по прилагането му, които задължения включват съхранение и обработка на лични данни, които идентифицират клиента, както и направените плащания.

Лични данни, предоставени при регистрация на профил в Платформата, когато не е сключен договор, се съхраняват в срок от 5 години, считано от 1 януари на годината следваща годината на отказа на Дружеството за сключване на споразумение за прехвърляне на вземания.

Записите от осъществявано от Дружеството видеонаблюдение се съхраняват в срок до 1 месец от извършването им.

Записите от телефонни разговори се съхраняват за срок от 5 години, считано от 1 януари на годината следваща годината на провеждане на разговора, освен в случаите, когато звукозаписите съдържат данни за извършено нарушение на обществения ред или престъпление.

Личните данни, предоставени на основание съгласие за маркетингови цели, се обработват и съхраняват до получаване на искане от субекта на данни да бъдат изтрити.

Личните данни, обработвани на основание „законен интерес", се съхраняват до отпадане на законния интерес, но не по-късно от 5 години от датата на тяхното получаване, освен ако е предвиден друг срок съгласно приложимото законодателство.

ЧАСТ ШЕСТА. ПРАВА НА СУБЕКТА НА ДАННИ

ГЛАВА ПЪРВА. Общи разпоредби

Раздел І. Субекти на данни

Субекти на данни са клиенти на Дружеството, индивидуализирани по статут, права и задължения в Общите условия.

Раздел ІІ. Видове права

Субектът на данни има следните права по отношение на обработването на негови лични данни:

• Да оттегли съгласието си за обработката на личните му данни при наличие на условията за това.
• Да получи достъп до личните си данни.
• Да поиска коригиране на личните му данни, когато те са неточни, както и когато вече не са актуални.
• Да поиска изтриване на личните му данни (право „да бъдеш забравен") при наличие на условията за това.
• Да поиска ограничаване на обработването на личните му данни, като в този случай данните ще бъдат само съхранявани, но не и обработвани.
• Да получи личните данни, които го засягат и които той е предоставил на Дружеството, в структуриран, широко използван и пригоден за машинно четене формат (право на преносимост).
• Да направи възражение срещу обработване на негови лични данни, вкл. срещу обработване на личните му данни, обработвани за целите на директния маркетинг.
• Да не е обект на автоматизирано взети решения, които да го засягат в значителна степен, без възможност за човешка намеса, вкл. да се противопостави на автоматизирано профилиране, което се случва без негово съгласие.
• Да подаде жалба до КЗЛД ако счита, че някоя от разпоредбите на Регламент (ЕС) 2016/679 е нарушена от страна на Дружеството.

Раздел ІІІ. Условия за упражняване на правата на субекта на данни

Дружеството предприема необходимите мерки за предоставяне на всякаква информация по чл. 13 и 14 и на всякаква комуникация по чл. 15—22 и чл. 34 от Регламент (ЕС) 2016/679, която се отнася до обработването на данните на субекта, в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език.

Субектът на данни упражнява своите права по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до Дружеството или по друг определен от администратора начин. Заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги (ЗЕДЕУУ).

Заявлението съдържа:

• трите имена, адрес, единен граждански номер или други идентификационни данни на субекта на данни;
• описание на искането;
• предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679;
• подпис, дата на подаване на заявлението и адрес за кореспонденция.

Дружеството предоставя на субекта на данни информация относно действията, предприети във връзка с искане в тази връзка с упражняване на тези права, без ненужно забавяне и във всички случаи в срок от 1 (един) месец от получаване на искането. При необходимост този срок може да бъде удължен с още 2 (два) месеца, като се взема предвид сложността и броя на исканията.

Информацията се предоставят безплатно. Когато исканията на субект на данни са явно неоснователни или прекомерни, по-специално поради своята повторяемост, Дружеството може или да наложи разумна такса, или да откаже да предприеме действия по искането.

ГЛАВА ВТОРА. Специални разпоредби

Раздел І. Право на достъп

Субектът на данните има право да получи от Дружеството потвърждение дали се обработват лични данни, свързани с него, и ако това е така – да получи достъп до данните и следната информация:

• целите на обработването;
• съответните категории лични данни;
• получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни;
• предвидения срок, за който ще се съхраняват личните данни;
• съществуването на право да се изиска от Дружеството коригиране или изтриване на лични данни или ограничаване на обработването;
• правото на жалба до КЗЛД;
• когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник;
• съществуването на автоматизирано вземане на решения, включително профилирането.

Дружеството предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, Дружеството може да наложи разумна такса въз основа на административните разходи.

Раздел ІІ. Право на оттегляне на съгласието

Освен ако данните се обработват на друго основание, субектът на данни има право да оттегли съгласието си по всяко време.

Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне.

Оттеглянето на съгласие е също толкова лесно, колкото и даването му.

Раздел ІІІ. Право на преносимост

Субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на Дружеството, в структуриран, широко използван и пригоден за машинно четене формат и има правото да предаде тези данни на друг администратор без възпрепятстване от Дружеството, когато:

• обработването е основано на съгласие или на договорно задължение; и
• обработването се извършва по автоматизиран начин.

Упражняването на правото на преносимост не засяга правото на изтриване. Правото на преносимост не се отнася до обработването, необходимо за изпълнението на задача от обществен интерес.

Раздел ІV. Право на коригиране

Субектът на данни има право да поиска от Дружеството да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването, субектът на данните има право непълните лични данни да бъдат попълнени, включително чрез добавяне на декларация.

Дружеството съобщава за всяко извършено коригиране на всеки получател, на когото личните данни са били разкрити, освен ако това е невъзможно или изисква несъразмерно големи усилия.

Раздел V. Право на изтриване (право „да бъдеш забравен")

Субектът на данни има правото да поиска от Дружеството изтриване на свързаните с него лични данни без ненужно забавяне, а Дружеството има задължението да изтрие без ненужно забавяне личните данни, само когато е приложимо някое от посочените по-долу основания:

• Личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин.
• Субектът на данните оттегля своето съгласие, върху което се основава обработването на данните, и няма друго правно основание за обработването.
• Субектът на данните възразява срещу обработването на лични данни за целите на директния маркетинг.
• Личните данни са били обработвани незаконосъобразно.
• Личните данни трябва да бъдат изтрити с цел спазването на правно задължение по правото на ЕС или Република България.

Правилата по предходната точка не се прилагат, доколкото обработването е необходимо:

• за упражняване на правото на свобода на изразяването и правото на информация;
• за спазване на правно задължение или за изпълнението на задача от обществен интерес;
• по причини от обществен интерес в областта на общественото здраве;
• за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели;
• за установяването, упражняването или защитата на правни претенции.

Раздел VІ. Право на ограничаване

Субектът на данните има право да изиска от Дружеството ограничаване на обработването, когато е приложим един от следните случаи:

• Точността на личните данни се оспорва от субекта на данните, за срок, който позволява на Дружеството да провери точността на личните данни.
• Обработването е неправомерно, но субектът на данните не желае личните данни да бъдат изтрити, а изисква вместо това ограничаване на използването им.
• Дружеството не се нуждае повече от личните данни за целите на обработването, но субектът на данните ги изисква за установяването, упражняването или защитата на правни претенции.
• Субектът на данните надлежно е възразил срещу обработването в очакване на проверка дали законните основания на Дружеството имат преимущество пред интересите на субекта на данните.

Когато обработването е ограничено, такива данни се обработват, с изключение на тяхното съхранение, само със съгласието на субекта на данните или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице или поради важни основания от обществен интерес.

Раздел VІІ. Право на възражение

Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него. Дружеството прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни.

Когато се обработват лични данни за целите на директния маркетинг, субектът на данни има право по всяко време да направи възражение срещу обработване на лични данни, отнасящо се до него за този вид маркетинг. Когато субектът на данни възрази срещу обработване за целите на директния маркетинг, обработването на личните данни за тези цели се прекратява.

Раздел VІІІ. Автоматизирано вземане на индивидуални решения

Субектът на данните има право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данните или по подобен начин го засяга в значителна степен.

Правилото по предходната точка не се прилага, ако решението:

• е необходимо за сключването или изпълнението на договор между субект на данни и Дружеството;
• е разрешено от правото на ЕС или правото на Република България, и в което се предвиждат също подходящи мерки за защита на правата и свободите, и легитимните интереси на субекта на данните; или
• се основава на изричното съгласие на субекта на данни.

Раздел ІХ. Право на жалба

Без да се засягат които и да било други административни или съдебни средства за правна защита, всеки субект на данни има право да подаде жалба до КЗЛД, ако субектът на данни счита, че обработването на лични данни, отнасящи се до него, нарушава разпоредбите на Регламент (ЕС) 2016/679.

Субектът на данни има право да подаде жалба до съответния надзорен орган – Комисията за защита на личните данни, с адрес: гр. София, ул. „Врабча" № 1, ет. 3; електронна поща: kzld@cpdp.bg.

ЧАСТ СЕДМА. ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ

Дружеството си запазва правото да изменя, допълва или премахва части от Политиката по всяко време в отговор на изменение на приложимото законодателство или за да отговори на променящите се бизнес изисквания, като публикува промените на своя сайт или предоставя достъп до нея в търговски си обект.

По всяко време клиентите са обвързани от съответната актуална версия на Политиката. Препоръчително е периодично клиентите да преглеждат Политиката, за да са сигурни, че са запознати с нейната най-актуална версия.

Политиката е приета с решение на управителя на Дружеството от 13.06.2025 г. и може да бъде изменяна само с негово решение.

ПРИЛОЖЕНИЯ

Приложение № 1: Интегрирана таблица

Интегрирана таблица относно личните данни, които обработва „ЗИ-МЕТРИКС" АД, с ЕИК: 200888528, както и конкретните цели и основания за обработването на лични данни, получени във връзка с регистрацията на потребителски профил в Платформата Find2be и/или във връзка със сключването на споразумения за прехвърляне на вземания

Приложение № 2: Информация за използването на Cookies

Информация относно използването на Cookies (бисквитки) от „ЗИ-МЕТРИКС" АД, с ЕИК: 200888528, в Платформата Find2be

І. Какво са „бисквитките"?

„Бисквитката" е малък текстови файл с данни, който се изпраща и съхранява на Вашето устройство (компютър/лаптоп, мобилен телефон, таблет), когато посещавате определени уебсайтове, без този файл да събира каквато и да е информация за документи или файлове на Вашето устройство. „Бисквитките", които използваме са анонимни и не съдържат никакви лични данни, освен данни за IP адрес, данни за използваното устройство, използван браузър, посетени уебсайтове.

„Бисквитките" са начин, използван от уеб сайтовете, за съхранение на информация локално в уеб браузъра на посетителя. "Бисквитките" позволяват на уебсайта да запаметява действия и предпочитания на потребителя за определен период от време или дават възможност за други функционалности.

ІІ. Какво идентифицират "бисквитките"?

Ако на даден компютър се използва повече от един браузър, всеки си има отделно пространство за съхранение на "бисквитки". "Бисквитките" не идентифицират дадено лице, а комбинация от компютър и уеб браузър.

ІІІ. Колко време стои бисквитката записана на компютъра Ви?

По принцип дадена бисквитка остава записана в компютъра на потребителя за използване при следваща сесия, но това не е задължително или правило – тя може също така да се използва само в рамките на една сесия и да бъде изтрита в края на сесията. "Бисквитките" може да бъдат изтрити и от потребителя по всяко време.

ІV. Какви „бисквитки" използваме и с каква цел?

Когато посещавате нашия уебсайт, ние използваме "бисквитки", за да гарантираме, че получавате най-доброто изживяване на нашия уебсайт. Тези "бисквитки" може да са за Вас, Вашите предпочитания или Вашето устройство, чрез което достъпвате нашия сайт.

V. Необходими "бисквитки" – винаги активни

Тези "бисквитки" са необходими, за да функционира по предназначение нашия уебсайт и с цел да бъде създадена потребителска сесия за посетителя. Те се съхраняват на терминалното Ви устройство само по време на актуалната сесия на сърфиране. За използването на задължителните (необходимите) "бисквитки" не се изисква Вашето съгласие.

VІ. Бисквитки за ефективност – активни

Тези „бисквитки" се използват, за да ни предоставят статистическа информация за ефективността на нашия сайт (напр. отчитане на посещенията, източници на трафик). Това ни позволява да ви предложим преживяване с високо качество, като персонализираме предлаганото съдържание и бързо идентифицираме и отстраняваме различни проблеми.

VІІ. Функционални "бисквитки" – активни

Тези "бисквитки" позволяват на уебсайта да предоставя подобрена функционалност и персонализация. Те могат да бъдат зададени от нас или от трети страни, чиито услуги сме добавили към нашите страници. Ако не разрешите тези "бисквитки", някои услуги може да не функционират правилно.

VІІІ. "Бисквитки" за маркетинг и таргетирана реклама – активни

Тези „бисквитки" са настроени да показват таргетирани реклами въз основа на интересите Ви в сайта или да управляват рекламите ни. Те се използват на основание на вашето съгласие. Ако не разрешите тези "бисквитки", ще получавате по-малко насочена реклама.

ІХ. Аналитични "бисквитки" – активни

Ние използваме тези "бисквитки", за да анализираме и идентифицираме поведението на нашите посетители в сайта. Използваме ги на базата на законния ни интерес, за да сме в състояние да подобряваме функционалността на сайта.

Х. "Бисквитки" за споделяне чрез социалните мрежи – активни

Тези "бисквитки" дават възможност на влезлите потребители на избрани социални мрежи (Facebook, Twitter, LinkedIn, YouTube и др.) директно да споделят и харесват определено съдържание от нашия уебсайт. Следва да имате предвид, че Дружеството няма никакво влияние върху начина на използване на личните Ви данни от социалните мрежи.

ХІ. Некласифицирани – активни

Некласифицираните "бисквитки" са такива, които се намират в процес на класификация заедно с техните доставчици.

ХІІ. Какво да направите, ако не желаете да бъдат инсталирани "бисквитки"?

Използвайки нашия уеб сайт, Вие се съгласявате да използвате тези "бисквитки", които браузърът Ви приема въз основа на настройките на Вашия браузър. Тъй като уважаваме правото Ви на поверителност, можете да изберете да настроите браузъра си да Ви известява преди приемането на "бисквитки", да приемате или отхвърляте само определени "бисквитки" или да отхвърляте всички "бисквитки".

Следва да имате предвид, че блокирането на някои типове "бисквитки" обаче може да повлияе върху достъпа Ви до сайта на Дружеството и услугите, които можем да предложим. Имайте предвид, че всякакви промени, които правите в тези настройки, важат само за конкретната програма на браузъра, в която сте ги направили.