Политика за поверителност на Desk & Park

1. Администратор на лични данни

Администратор на личните данни (с уговорката по раздел 4) е Pixel of Software sp. z o.o., със седалище на адрес: ul. Rydygiera 13, 01-793 Warszawa, KRS: 0000525252, NIP: 5252525252 („Оператор“, „ние“). Обработваме данните в съответствие с Регламент (ЕС) 2016/679 („ОРЗД“). Контакт по всички въпроси, свързани със защитата на данните: hello@pixelofsoftware.com.

2. Какви данни обработваме

• данни за акаунта и самоличността — имейл адрес, име и фамилия (ако са предоставени), роля в рамките на Организацията и технически идентификатори на акаунта;
• данни за Организацията — наименование, конфигурация на пространството (карти на бюрата, паркоместата и заседателните зали) и настройки;
• данни за резервации, въведени от Организацията — данни на Потребителите на Организацията (напр. име, фамилия, имейл адрес), резервации на бюра, паркоместа и заседателни зали, както и всяка друга информация, която Организацията реши да събира (напр. регистрационни номера на превозни средства);
• данни за таксуване — данни за фактуриране, история на плащанията и идентификатори на транзакции в Stripe; пълните данни на платежните карти никога не ни се предават;
• технически логове и логове за сигурност — IP адрес, информация за браузъра и устройството, времеви маркери, събития при влизане и записи в одитния дневник;
• записи на кодовете за потвърждение по имейл (OTP) — хеширани еднократни кодове, свързания имейл адрес, срок на валидност и брой опити за използване.

3. Цели и правни основания за обработване

• сключване и изпълнение на договора за предоставяне на Услугата — включително създаване на акаунт, удостоверяване чрез кодове по имейл, обработка на резервации, абонаменти и поддръжка — чл. 6, § 1, буква б) от ОРЗД;
• спазване на законовите задължения, на които е подчинен Операторът, по-специално данъчни и счетоводни задължения (издаване и съхраняване на документи за таксуване) — чл. 6, § 1, буква в) от ОРЗД;
• гарантиране на сигурността на Услугата, предотвратяване на злоупотреби и измами, диагностика и наблюдение на работата на Услугата, както и установяване, упражняване и защита на правни претенции — легитимен интерес на Оператора — чл. 6, § 1, буква е) от ОРЗД.

4. Нашите роли: администратор и обработващ

По отношение на данните за акаунтите на Клиентите и Администраторите, данните за таксуване и техническите логове Операторът действа като администратор на лични данни — самостоятелно определя целите и средствата за тяхното обработване.

По отношение на данните за резервации и данните на Потребителите, въведени в Услугата от дадена Организация, администратор на личните данни е Организацията (Клиентът), а Операторът действа единствено като обработващ лични данни по смисъла на чл. 28 от ОРЗД — обработва тези данни само по документирано нареждане на Организацията и с цел предоставяне на Услугата, в рамките на изолираната база данни на съответната Организация.

Лицата, чиито данни са въведени от дадена Организация (напр. служителите на Клиента), следва да отправят исканията относно своите данни на първо място към своята Организация; Операторът подпомага Организацията при изпълнението на тези искания.

5. Получатели и подизпълнители по обработването

При предоставянето на Услугата използваме следните доставчици (подизпълнители по обработването):

• Stripe Payments Europe, Ltd. — обработка на плащания и абонаменти;
• Neon — хостинг на бази данни PostgreSQL (регион в ЕС — Франкфурт);
• Railway — хостинг на API слоя (бекенд);
• Vercel — хостинг на фронтенд приложението;
• Functional Software, Inc. (Sentry) — наблюдение на грешките в приложението (регион на данните: ЕС);
• Google Ireland Limited (Firebase Cloud Messaging) — доставяне на push известия до мобилното приложение (токен на устройството);
• доставчик на услуги за електронна поща — изпращане на кодове за потвърждение и известия.

Данните могат също така да бъдат разкривани на субекти, оправомощени съгласно приложимото право (напр. публични органи), както и — в необходимата степен — на правните и счетоводните консултанти на Оператора.

6. Предаване на данни извън ЕИП

Някои от нашите доставчици може да обработват данни извън Европейското икономическо пространство (ЕИП), по-специално в Съединените американски щати. В такива случаи предаването на данни се извършва при прилагане на предвидените в ОРЗД гаранции, по-специално стандартните договорни клаузи (SCC), одобрени от Европейската комисия, а по отношение на сертифицираните доставчици — въз основа на решението относно адекватното ниво на защита във връзка с рамката EU–US Data Privacy Framework. Информация за прилаганите гаранции може да бъде получена, като се свържете с нас.

7. Срокове за съхранение на данните

• данните за акаунта и данните за Организацията — за времето на активния абонамент и в продължение на 30 дни след прекратяване на договора, след което се изтриват трайно и необратимо;
• документите за таксуване и данните, необходими за данъчни разчети — в продължение на 5 години, считано от края на годината, в която е възникнало данъчното задължение;
• логовете за сигурност и одитните дневници — до 12 месеца;
• записите на кодовете за потвърждение (OTP) — до изтичане на валидността на кода; свързаните събития по сигурността се съхраняват като логове за сигурност.

8. Права на субектите на данни

Доколкото Операторът е администратор на лични данни, всеки субект на данни има право на: достъп до своите данни, тяхното коригиране или изтриване, ограничаване на обработването, преносимост на данните, както и право на възражение срещу обработване, основано на легитимен интерес (чл. 6, § 1, буква е) от ОРЗД).

Исканията за упражняване на тези права могат да се изпращат на hello@pixelofsoftware.com. Всеки субект на данни има също право да подаде жалба до надзорния орган — Председателя на Службата за защита на личните данни (PUODO), ul. Stawki 2, 00-193 Варшава, Полша. Когато администратор на личните данни е Организацията (раздел 4), исканията следва да се отправят на първо място към тази Организация.

9. Бисквитки и локално съхранение

Използваме само строго необходими бисквитки: сесийни и удостоверяващи бисквитки, които поддържат защитената сесия на влезлия Потребител. Езиковото предпочитание (PL/EN) се съхранява локално в браузъра (localStorage) и не се предоставя на трети лица.

Не използваме рекламни бисквитки, маркетингови проследяващи технологии, нито профилиране за рекламни цели.

10. Сигурност на данните

По-специално прилагаме следните технически и организационни мерки:

• криптиране на данните при пренос (TLS);
• хеширане на еднократните кодове и тайните ключове (bcrypt / SHA-256);
• изолация на наемателите (tenant) — всяка Организация използва отделна, изолирана база данни;
• ролево базиран контрол на достъпа и принцип на минимални права;
• одитни дневници на административните операции;
• резервни копия и процедури за реагиране при инциденти със сигурността.

11. Изменения на настоящата политика

Настоящата политика за поверителност може да бъде актуализирана, по-специално при промени в Услугата, смяна на доставчици или промени в законодателството. За съществените промени ще информираме Администраторите по имейл или чрез съобщение в рамките на Услугата в разумен срок предварително. Актуалната версия на политиката винаги е достъпна на адрес deskandpark.com.

12. Контакт

Въпроси относно настоящата политика и искания, свързани с личните данни, следва да се изпращат по имейл на: hello@pixelofsoftware.com или писмено на адрес: Pixel of Software sp. z o.o., ul. Rydygiera 13, 01-793 Warszawa.