Политика за поверителност
на „Финансов Барометър“ / КАРФИНЕКС ЕООД
Версия: 1.0|В сила от: 28.08.2026 г.
1. Администратор и контакт
Администратор на личните данни е „КАРФИНЕКС“ ЕООД, KarFinex, ЕИК 208906939, със седалище и адрес на управление: гр.Варна, ул. Димитър Хаджиянев № 20, ет. 8, ап. 128, електронна поща: office@fin-barometer.com
Контакт за въпроси относно защитата на личните данни: office@fin-barometer.com
КАРФИНЕКС определя целите и съществените средства на обработването, свързано с регистрацията, продажбата, предоставянето на приложението, консултантските услуги, сигурността и комуникацията с клиентите. Ролята на всеки външен доставчик се определя според действителното му участие в конкретното обработване. (чл. 4, точки 7 и 8 и чл. 28 GDPR)
2. Какви данни обработваме
| Категория | Примери |
|---|---|
| Данни за профил | Имейл адрес, име или потребителско име, идентификатор на профила, данни за удостоверяване и настройки на профила. |
| Данни за поръчка | Избран пакет, цена, приложена отстъпка или промоционален код, когато е приложимо, крайна платена сума, дата на поръчката, идентификатор и статус на поръчката и плащането, дата на активиране, срок и история на закупените услуги. |
| Платежни и счетоводни данни | Идентификатор на транзакция, платежен статус и данни, предоставени от Stripe за потвърждаване, възстановяване и счетоводно обслужване. Пълните данни на платежната карта не се съхраняват директно от КАРФИНЕКС. |
| Фактуриращи данни | Име, адрес, идентификатор по ДДС, ЕИК или други данни, необходими за фактуриране, когато са приложими. |
| Финансови данни, въведени от Клиента | Приходи, разходи, спестявания, финансови цели, инвестиции, активи, пасиви, нетно богатство, тенденции и други данни, които Клиентът доброволно въвежда или споделя. |
| Данни от консултации | Данни и бележки, които Клиентът доброволно споделя за целите на срещи, анализи, отчети и проследяване. |
| Комуникационни данни | Съобщения, запитвания, заявки за поддръжка, рекламации, откази и кореспонденция. |
| Технически данни | IP адрес, дата и час на достъп, данни за браузър, операционна система, устройство, логове за сигурност, идентификатори на сесия и данни за използване. |
| Маркетингови предпочитания | Дадено, отказано или оттеглено съгласие за маркетинг и предпочитан канал, когато се събират такива данни. |
| Данни за потвърждения и договорни действия | Данни за приемане на Общите условия, потвърждение за запознаване с Политиката за поверителност и изрично искане за незабавно започване на услугата, включително вид на потвърждението, версия на приложимия текст или документ, дата и час, идентификатор на поръчката и технически данни, необходими за доказване на извършеното действие. |
Лични данни са данните, които пряко или косвено могат да бъдат свързани с идентифицирано или идентифицируемо физическо лице, включително чрез онлайн идентификатор. (чл. 4, точка 1 GDPR)
3. Финансови данни и специални категории
Данните за приходи, разходи, активи, пасиви и нетно богатство не са автоматично специални категории лични данни. Въпреки това конкретен запис или свободен текст може да разкрие здравословно състояние, религиозни убеждения, политически възгледи, синдикално членство или друга информация по чл. 9 GDPR.
Клиентът не следва да въвежда специални категории лични данни, пароли за банкиране, номера на платежни карти, кодове за достъп или други данни, които не са необходими за услугата.
Ако КАРФИНЕКС установи, че е получена информация, която не е необходима или е предоставена без правно основание, тя може да бъде изтрита или унищожена при спазване на приложимото право. (чл. 5, чл. 9 и чл. 25а ЗЗЛД)
4. Цели и правни основания
| Цел | Данни | Основание |
|---|---|---|
| Създаване и управление на профил | Имейл, идентификатор, данни за вход и сигурност | Необходимост за изпълнение на договора – чл. 6, параграф 1, буква б) GDPR. |
| Предоставяне на достъп до избрания пакет | Профил, пакет, срок, статус на плащането | Изпълнение на договора – чл. 6, параграф 1, буква б) GDPR. |
| Съхранение и обработване на въведените финансови данни | Приходи, разходи, цели, активи, пасиви и други въведени данни | Изпълнение на договора и предоставяне на функционалностите на приложението – чл. 6, параграф 1, буква б) GDPR. |
| Консултации, анализи и отчети | Доброволно предоставени финансови и комуникационни данни | Изпълнение на договора за PRO 6 или MONITOR – чл. 6, параграф 1, буква б) GDPR. |
| Плащане и възстановяване | Данни за поръчка, платежен статус и транзакция | Изпълнение на договора и, когато е приложимо, законово задължение – чл. 6, параграф 1, букви б) и в) GDPR. |
| Фактуриране, счетоводство и данъчна отчетност | Фактуриращи и платежни данни | Законово задължение – чл. 6, параграф 1, буква в) GDPR. |
| Сигурност и предотвратяване на злоупотреби | IP адреси, логове, идентификатори, данни за достъп | Легитимен интерес за защита на профилите и системите – чл. 6, параграф 1, буква е) GDPR, след извършване на необходимия баланс. |
| Установяване и защита на правни претенции | Договори, поръчки, кореспонденция, логове и платежни записи | Легитимен интерес и/или законово задължение – чл. 6, параграф 1, букви в) и е) GDPR. |
| Маркетинг | Имейл, телефон, маркетингови предпочитания | Съгласие – чл. 6, параграф 1, буква а) GDPR и приложимото законодателство за електронни съобщения. |
| Незадължителна аналитика и реклама | Онлайн идентификатори, данни за използване | Съгласие, когато такова се изисква – чл. 6, параграф 1, буква а) GDPR и чл. 5, параграф 3 от Директива 2002/58/ЕО. |
| Доказване на договорни потвърждения и действия при поръчка | Данни за приемане на Общите условия, потвърждение за запознаване с Политиката за поверителност, изрично искане за незабавно започване на услугата, версия на приложимия текст или документ, дата и час, идентификатор на поръчката и свързани технически данни. | Изпълнение на договора и предприемане на стъпки по сключването му, изпълнение на законови задължения и, когато е приложимо, легитимен интерес за доказване на договорните действия и защита при правни претенции – чл. 6, параграф 1, букви б), в) и е) GDPR. |
Когато обработването е необходимо за договора, съгласието не се използва като условие за задължителните функции на услугата. Незадължителните цели се отделят от приемането на общите условия. (чл. 6 и чл. 7 GDPR)
5. Външни доставчици и получатели
| Доставчик | Предназначение | Предварителна роля | Окончателно уточнение |
|---|---|---|---|
| Supabase | Автентикация, база данни, техническа инфраструктура и ограничаване на достъпа. | Потенциален обработващ за обработванията по инструкции на КАРФИНЕКС. | Използва се за автентикация и съхранение и обработване на данни, необходими за функционирането на приложението. |
| Stripe | Онлайн плащания, потвърждение и възстановяване на плащания. | Ролята може да е различна за отделните операции; за регулирани платежни и антифрод цели Stripe може да действа като самостоятелен администратор. | Използва се за обработване на онлайн плащания. КАРФИНЕКС не съхранява директно пълните данни на платежните карти. |
| Lovable | Технологична инфраструктура, хостинг и техническо предоставяне на приложението. | Обработващ само ако има достъп до лични данни, production база, логове или идентифицируеми тестови копия. | Използва се за техническото предоставяне и функциониране на приложението. |
| Хостинг и домейн | Хостинг и услуги, свързани с домейна и достъпността на услугата. | Обработващ, когато обработва лични данни от името на КАРФИНЕКС за предоставяне на съответната инфраструктурна услуга; за собствени административни и законови цели доставчикът може да има самостоятелна роля. | Използват се доставчици на домейн, хостинг и свързани инфраструктурни услуги, необходими за достъпността и сигурността на услугата. |
| Имейл услуга | Изпращане на системни, транзакционни и обслужващи съобщения. | Обработващ, когато обработва лични данни от името на КАРФИНЕКС за изпращане и предоставяне на електронни съобщения; за собствени административни и законови цели доставчикът може да има самостоятелна роля. | Използва се доставчик на електронни съобщения за комуникации, свързани с регистрацията, профила, поръчките и предоставянето на услугата. |
| Systeme.io | Лендинг страница и контактна форма. | Обработващ за личните данни, обработвани от името на КАРФИНЕКС при предоставяне на услугата; за собствени цели доставчикът може да действа в самостоятелно качество. | Използва се за предоставяне на лендинг страницата и получаване на запитвания чрез контактната форма. |
На обработващите се предоставя само необходимият достъп. Когато се установи отношение администратор–обработващ, то се урежда с договор или друг правен акт по чл. 28 GDPR, включително относно подизпълнители, сигурност, съдействие, одити и връщане или изтриване на данните.
6. Платежни данни
Плащанията се обработват чрез Stripe. КАРФИНЕКС не съхранява директно пълните данни на платежната карта. Stripe може да обработва платежни данни за собствени регулаторни, сигурностни, антифрод и платежни цели съгласно собствената си документация.
КАРФИНЕКС получава само данните, необходими за потвърждаване на поръчката, предоставяне на достъп, възстановяване, обслужване и счетоводно отчитане, доколкото конкретната интеграция ги предоставя.
7. Трансфери извън ЕИП
При предоставянето на услугата определени лични данни могат да бъдат обработвани или да бъдат достъпни от държави извън Европейското икономическо пространство (ЕИП), в зависимост от използвания доставчик, неговата инфраструктура и подизпълнители.
Основната база данни на приложението се предоставя чрез Supabase и е разположена в регион AWS eu-west-2 (Лондон, Обединено кралство). Други доставчици, включително Stripe и Lovable, могат да обработват или предоставят достъп до лични данни от Съединените американски щати или други държави извън ЕИП чрез свои подизпълнители и техническа инфраструктура.
Когато лични данни се предават извън ЕИП, КАРФИНЕКС използва приложимите механизми за трансфер, предоставени от съответния доставчик, включително решение на Европейската комисия за адекватно ниво на защита, когато е приложимо, Стандартни договорни клаузи, одобрени от Европейската комисия, EU–US Data Privacy Framework за сертифицирани получатели в САЩ или други приложими гаранции съгласно глава V от GDPR.
Информация относно приложимите гаранции при трансфер на лични данни извън ЕИП може да бъде получена при поискване от КАРФИНЕКС на office@fin-barometer.com .
8. Срокове за съхранение
| Данни | Срок |
|---|---|
| Профил и автентикация | За срока на активния профил и до 30 дни след закриване на профила, освен когато по-дълго съхранение е необходимо за изпълнение на законово задължение или защита на правни претенции |
| Финансови записи | За срока на договора и до 30 дни след закриване на профила или валидно искане за изтриване, освен ако съхранението е необходимо на друго законово основание |
| Консултантски бележки и отчети | До 5 години след приключване на съответната консултантска услуга, освен ако по-дълго съхранение е необходимо за установяване, упражняване или защита на правни претенции |
| Платежни и счетоводни данни | За сроковете, предвидени в приложимото данъчно и счетоводно законодателство |
| Комуникация и рекламации | До 5 години след приключване на съответната комуникация или рекламация, освен ако е необходимо по-дълго съхранение във връзка с правен спор или законово задължение |
| Технически и security логове | За срок необходим за целите на сигурността и предотвратяването на злоупотреби, съобразно приложимите срокове на съответния доставчик, освен когато по-дълго съхранение е необходимо за разследване на инцидент или защита на правни претенции |
| Маркетингово съгласие и оттегляне | До оттеглянето му, а доказателство за даденото/оттегленото съгласие – до 5 години след оттеглянето, когато това е необходимо за доказване на спазването на приложимите изисквания |
| Резервни копия | До изтичане на приложимия цикъл за резервиране на съответния инфраструктурен доставчик, след което данните се презаписват или изтриват съгласно неговата политика за съхранение |
| Данни за поръчки и договорни потвърждения | За срока, необходим за изпълнение на договора и доказване на договорните отношения, както и за приложимите давностни и законови срокове |
Сроковете се определят съобразно конкретната цел и не се съхраняват данни по-дълго от необходимото. (чл. 5, параграф 1, буква д) и чл. 13, параграф 2, буква а) GDPR)
9. Права на субектите на данни
При приложимост субектът има право на достъп, коригиране, изтриване, ограничаване на обработването, преносимост, възражение срещу обработване, основано на легитимен интерес, и възражение срещу директен маркетинг.
Искане се подава на office@fin-barometer.com . КАРФИНЕКС може да поиска допълнителна информация за потвърждаване на самоличността, когато това е необходимо за сигурността.
Исканията се разглеждат в сроковете по GDPR. Когато обработването се основава на съгласие, то може да бъде оттеглено по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето. (чл. 7 и чл. 12–22 GDPR)
Субектът има право да подаде жалба до Комисията за защита на личните данни: https://cpdp.bg/
10. Директен маркетинг
Маркетинговите съобщения се изпращат само при приложимо предварително съгласие или при законово допустима хипотеза за маркетинг към съществуващ клиент на собствени сходни услуги, като във всяко съобщение се предоставя лесен и безплатен начин за отказ.
Съгласието за маркетинг е отделно от приемането на Общите условия и не е условие за регистрация, плащане или използване на приложението. (чл. 7 и чл. 21 GDPR; чл. 13 от Директива 2002/58/ЕО; Решение на КЗЛД по жалба с рег. № ППН-01-358/28.05.2018 г.)
11. Профилиране и автоматизирани решения
Приложението извършва автоматични изчисления и визуализации въз основа на въведените данни. Към момента тези резултати са предназначени за информационно и организационно ползване от Клиента и не определят достъп до кредит, цена, застраховка, инвестиционен продукт или друго правно или сходно значимо решение.
Ако бъде въведено профилиране или автоматизирано решение с правни или сходно значими последици, Политиката ще бъде актуализирана с информация за логиката, значението и предвидимите последици, а ще бъдат приложени необходимите гаранции по чл. 22 GDPR.
12. Сигурност и нарушения
КАРФИНЕКС прилага подходящи технически и организационни мерки според риска, включително контрол на достъпа, ограничаване на достъпа до профили, правила за сигурност, резервиране, възстановяване и логване, доколкото са приложими към инфраструктурата. (чл. 25 и чл. 32 GDPR; чл. 59, 62 и 66 ЗЗЛД)
При нарушение на сигурността КАРФИНЕКС документира инцидента, оценява риска и уведомява надзорния орган и засегнатите лица, когато са изпълнени законовите предпоставки. (чл. 33 и 34 GDPR)
13. Актуализация
Настоящата политика може да бъде актуализирана при промяна на услугата, доставчиците, законодателството или техническата конфигурация. При съществена промяна Клиентите се уведомяват чрез електронна поща и/или чрез съобщение в приложението.