Тази политика описва как Sloty AI Booking („Sloty“, „ние“) събира, използва и защитава личните данни във връзка с платформата за автоматизирани резервации през Instagram.
1. Кой отговаря за данните
Администратор на лични данни е [ПОПЪЛНИ: юридическо име на дружеството], ЕИК [ПОПЪЛНИ], със седалище и адрес на управление [ПОПЪЛНИ].
Въпроси относно личните данни: [ПОПЪЛНИ: имейл за контакт]
2. Две различни роли
| Категория данни | Чии са | Наша роля |
|---|---|---|
| Профил в платформата — име, имейл, телефон, име на бизнес, настройки, услуги и данни за фактуриране | Бизнес клиентът | Администратор |
| Instagram съобщения, телефонни номера, резервации | Крайните клиенти на бизнеса | Обработващ (администратор е бизнесът) |
3. Какви данни обработваме
3.1 Данни на бизнес клиентите
- Имейл адрес и парола за вход (управлявани от Supabase Auth; ние не съхраняваме пароли в четим вид)
- Име и телефон на лице за контакт
- При поискана фирмена фактура: юридическо име, ЕИК/Булстат, ДДС номер и адрес на управление
- Име на бизнеса, работно време, описание и допълнителна информация
- Каталог с услуги: наименование, продължителност, цена
- Идентификатори на свързания Instagram/Meta профил
- Токен за достъп до Instagram съобщенията, издаден от Meta
3.2 Данни на крайните клиенти
- Instagram идентификатор на подателя и потребителско име
- Съдържание на съобщенията в разговора с бизнеса, включително отговорите на AI асистента
- Телефонен номер — само когато клиентът изрично е дал съгласие за SMS напомняне
- Данни за резервацията: услуга, дата, час, продължителност, цена, статус
4. Защо обработваме тези данни и на какво основание
| Цел | Основание |
|---|---|
| Предоставяне на услугата към бизнес клиента | Изпълнение на договор |
| Автоматично разчитане на заявки и създаване на резервации | Указание от администратора (бизнеса) |
| SMS напомняния до крайни клиенти | Изрично съгласие на клиента |
| Сигурност, предотвратяване на злоупотреби, дневници | Легитимен интерес |
| Счетоводни и данъчни задължения | Законово задължение |
5. Съгласие за SMS напомняния
Телефонен номер се събира само след изрично потвърждение в самия разговор. AI асистентът пита дали клиентът желае SMS напомняне и записва номера единствено при потвърдителен отговор, заедно с точния момент на съгласието. При отказ SMS не се изпращат. Съгласието може да бъде оттеглено по всяко време чрез съобщение до съответния бизнес.
6. С кого споделяме данни
Ползваме следните доставчици, които обработват данни от наше име:
| Доставчик | За какво | Местоположение |
|---|---|---|
| Supabase | База данни и автентикация | ЕС (Ирландия) |
| Render | Хостинг на приложението | САЩ (Вирджиния) |
| Meta Platforms | Instagram съобщения | САЩ / глобално |
| Google (Gemini API) | AI разчитане на заявките | Определя се от Google |
| Twilio | Изпращане на SMS напомняния | САЩ / глобално |
| Stripe | Абонаментни плащания, фактури и данъчни идентификатори | САЩ / глобално |
За да разчете заявката за час, съдържанието на съобщението се изпраща към AI услугата на Google.
6.1 Трансфер на данни извън ЕС
Базата данни се намира в Европейския съюз (Ирландия). Сървърът, на който работи приложението, се намира в Съединените американски щати (Вирджиния), поради което личните данни се обработват на територията на САЩ. Данни се предават извън ЕИП и към Meta, Google и Twilio.
Тези трансфери се извършват на основание стандартните договорни клаузи, приети от Европейската комисия с Решение (ЕС) 2021/914, и/или рамката за защита на данните между ЕС и САЩ (EU-U.S. Data Privacy Framework), доколкото съответният доставчик е сертифициран по нея. Прилагаме допълнителни технически мерки — криптиране при пренос, контрол на достъпа и ограничаване на предаваните данни до необходимия минимум.
Не продаваме лични данни и не ги предоставяме на трети лица за реклама.
7. Колко дълго пазим данните
| Данни | Срок |
|---|---|
| Съдържание на разговори и съобщения | 12 месеца от последното съобщение в разговора |
| Телефонен номер за SMS напомняне | 3 месеца след часа, за който е дадено съгласието |
| Идентификация на клиента в резервация | 24 месеца, след което резервацията се анонимизира |
| Резервации — дата, час, услуга, цена, статус | 5 години — отчетни и данъчни изисквания |
| Сесии за свързване на външен профил | Изтриват се веднага след изтичането им |
| Заявки за изтриване на данни | 3 години — доказателство за изпълнение |
| Данни на профила | До закриване на профила |
| Фактури и данни, изисквани за счетоводни и данъчни цели | За срока, изискван от приложимото счетоводно и данъчно законодателство |
| Технически дневници за сигурност | До 90 дни |
След изтичане на срока данните се изтриват или анонимизират автоматично. Резервацията се запазва без идентификация на клиента, за да останат верни отчетите за приходи и ориентирът за ДДС праг.
8. Вашите права
Съгласно GDPR имате право на:
- достъп до личните си данни и копие от тях;
- коригиране на неточни данни;
- изтриване („право да бъдеш забравен“);
- ограничаване на обработването;
- преносимост на данните;
- възражение срещу обработване, основано на легитимен интерес;
- оттегляне на съгласие по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.
Ако сте клиент на бизнес, който използва Sloty, отправете искането си към съответния бизнес — той е администратор на тези данни. Ние ще му съдействаме.
Имате право на жалба до Комисията за защита на личните данни (КЗЛД), гр. София, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg.
9. Изтриване на данни
Можете да поискате изтриване по всяко време на посочения имейл за контакт. Ако сте свързали Instagram профила си, изтриване може да бъде поискано и през настройките на Meta. В този случай изтриваме разговорите, съобщенията, резервациите, услугите, настройките и достъпните токени, а състоянието на заявката може да бъде проверено чрез получения код за потвърждение.
10. Сигурност
- Криптирана връзка (TLS) при всяко предаване на данни
- Изолация на данните на ниво база данни — всеки бизнес има достъп само до собствените си данни
- Проверка на криптографски подпис на всички входящи заявки от Meta
- Токените за достъп се обработват само сървърно и никога не достигат браузъра
- Ограничаване на честотата на заявките и защита срещу типични уеб атаки
11. Бисквитки
Използваме само технически необходими бисквитки за поддържане на входа в профила. Не използваме рекламни или проследяващи бисквитки.
12. Деца
Услугата не е предназначена за лица под 18 години и не събираме съзнателно данни на деца.
13. Промени
При промяна в тази политика ще актуализираме датата по-горе, а при съществени промени ще уведомим бизнес клиентите по имейл.
Имате въпрос за този документ?
Обратно към началото