ПОЛИТИКА ЗА ПОВЕРИТЕЛНОСТ

Чл. 1. (1) Настоящата Политика за поверителност („Политиката“) описва как „ДокНау Медикъл Сървисес“ ЕООД, ЕИК 208622091, със седалище и адрес на управление: гр. София 1404, район „Триадица“, бул. „България“ № 109, ет. 2, офис 2.5, електронна поща: [email protected], тел.: +359 889 999 955 (наричано по-долу „Дружеството“, „ние“, „нас“ или „наш“), събира, използва, съхранява, споделя и защитава личните данни на физическите лица във връзка с платформата OneCare („Платформата“), достъпна чрез интернет адрес www.onecare.bg и чрез мобилното приложение OneCare, независимо от неговата версия и от операционната система на устройството, включително чрез всички нейни раздели, страници, интерфейси, електронни форми и свързани функционалности.

(2) Дружеството е администратор на Лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. („GDPR“) за операциите по Обработване, при които самостоятелно определя целите и средствата на Обработването.

(3) За определени операции, при които Дружеството обработва Лични данни от името и по указания на съответния Изпълнител (включително, но не само лечебно заведение, ветеринарна практика и други), Дружеството действа като Обработващ Лични данни по смисъла на чл. 28 GDPR. За определени операции, при които Дружеството и Изпълнителят съвместно определят целите и съществените средства на Обработването, те действат като съвместни администратори по смисъла на чл. 26 GDPR. Разпределението на ролите по видове операции е описано в Раздел XIII и се урежда в отделно споразумение между Дружеството и Изпълнителя.

(4) За всички въпроси, свързани с Обработването на Лични данни, можете да се свържете с нас на електронна поща: [email protected] или [email protected].

(5) При Обработването на Лични данни Дружеството спазва следните принципи в съответствие с чл. 5 от GDPR:

1. законосъобразност, добросъвестност и прозрачност - данните се обработват законосъобразно, добросъвестно и по прозрачен начин спрямо субекта на данни;

2. ограничение на целите - данните се събират за конкретни, изрично указани и легитимни цели и не се обработват по начин, несъвместим с тези цели;

3. свеждане на данните до минимум - обработват се само данни, които са подходящи, свързани с и ограничени до необходимото за целите на Обработването;

4. точност - данните се поддържат точни и при необходимост се актуализират;

5. ограничение на съхранението - данните се съхраняват във форма, позволяваща идентифицирането на субекта, за период, не по-дълъг от необходимото за целите на Обработването;

6. цялостност и поверителност - данните се обработват по начин, който гарантира подходящо ниво на сигурност;

7. отчетност - Дружеството носи отговорност и е в състояние да докаже спазването на тези принципи.

Чл. 2. (1) Настоящата Политика се прилага по отношение на следните категории лица:

1. Ползватели - физически лица, които се регистрират, разглеждат или използват Платформата;

2. Получатели на услугата - физически лица, за които Ползвателят заявява услуга, включително деца и други трети лица. При ветеринарни услуги Получател на услугата е животното, като данните за него се обработват като Лични данни на Ползвателя, съответно на собственика на животното, доколкото позволяват неговото идентифициране;

3. Изпълнители и свързани с тях физически лица - Изпълнителите, когато са физически лица, както и представляващите, служителите, сътрудниците и другите физически лица, чрез които Изпълнителят предоставя услугите или използва Платформата, включително лицата, чиито данни се визуализират в Профила на Изпълнителя;

4. Посетители - лица, които посещават Платформата, без да се регистрират;

5. Лица за контакт - лица, които се свързват с Дружеството чрез формуляри за контакт, електронна поща, телефон или друг комуникационен канал;

6. Държатели на ваучери - лицата, на които е предоставен ваучер, включително когато те не са лицето, което го е заплатило;

7. Податели на жалби и сигнали - лица, които подават жалба, сигнал, възражение или искане по реда на Общите условия, включително сигнал за незаконно съдържание, независимо дали са регистрирани в Платформата.

(2) Настоящата Политика се прилага съвместно с Общите условия за използване на Платформата OneCare. При противоречие по въпроси, свързани със защита на личните данни, настоящата Политика има предимство.

(3) Настоящата Политика е достъпна по всяко време в Платформата - както чрез интернет сайта, така и чрез мобилното приложение, и се предоставя на Ползвателите и на Изпълнителите при регистрация. Политиката е публикувана на постоянен, общодостъпен интернет адрес, който не изисква регистрация или вход в профил, не е ограничен по географски признак и не е под формата на файл, изискващ изтегляне. Същият адрес се предоставя на съответния магазин за приложения.

Чл. 3. (1) По смисъла на настоящата Политика:

1. „Лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социалната идентичност на това физическо лице.

2. „Обработване“ означава всяка операция или съвкупност от операции, извършвана с Лични данни или набор от Лични данни чрез автоматични или други средства, като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на осигуряване на достъп, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

3. „Специални категории Лични данни“ означава Лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, генетични данни, биометрични данни за целите на уникалното идентифициране на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическо лице.

4. „Данни за здравословното състояние“ означава Лични данни, свързани с физическото или психическото здраве на физическо лице, включително предоставянето на здравни услуги, които разкриват информация за здравословното му състояние.

5. „Администратор“ означава физическо или юридическо лице, което самостоятелно или съвместно с други определя целите и средствата на Обработването на Лични данни, включително Дружеството и Изпълнителят, всеки по отношение на операциите, за които определя целите и средствата.

6. „Обработващ Лични данни“ означава Дружеството или друго лице, което обработва Лични данни от името на администратор.

7. „Мобилното приложение“ означава мобилното приложение OneCare, чрез което се осъществява достъп до Платформата, независимо от неговата версия, от магазина за приложения, чрез който е получено, и от операционната система на устройството. Мобилното приложение е част от Платформата и всяко позоваване на Платформата включва и него, освен когато изрично е посочено друго.

8. „Push известие“ означава съобщение, доставяно до устройството на съответното лице чрез инфраструктурата за известия на операционната система или на доставчик на услуги за известия и визуализирано извън интерфейса на Платформата.

9. „Съобщение в Платформата“ означава съобщение, генерирано от Дружеството и визуализирано в интерфейса на Платформата, включително банер, изскачащ прозорец, карта или съобщение в Профила, докато съответното лице използва Платформата.

(2) Всички останали определения, извън тези по ал. 1, използвани, но неизрично дефинирани в настоящата Политика, имат значението, придадено им в Общите условия за използване на Платформата OneCare или в приложимото законодателство.

Чл. 4. (1) При регистрация в Платформата Ползвателят предоставя:

1. име и фамилия;

2. електронна поща;

3. телефонен номер, включително код на държавата;

4. парола, която се съхранява само в необратимо криптиран вид и не е достъпна за Дружеството.

(2) При регистрацията Ползвателят потвърждава, че приема Общите условия и че е запознат с настоящата Политика, както и декларира, че е навършил 18 години. Дружеството записва момента на потвърждението, приетата редакция на Общите условия и на Политиката и IP адреса, от който е извършено потвърждението. Дружеството не изисква документ за самоличност за проверка на възрастта при регистрацията.

(3) При регистрацията Ползвателят може по свой избор да отбележи отделно поле, с което дава съгласие за получаване на маркетингови съобщения. Полето не е предварително отбелязано и отбелязването му не е условие за регистрация. Дружеството записва момента на даване, изменение или оттегляне на съгласието, неговия обхват и IP адреса.

(4) Регистрацията и последващият вход могат да бъдат извършени и чрез профил на Ползвателя при външен доставчик на услуга за удостоверяване, включително Google, Apple и Facebook. В този случай Дружеството получава от съответния доставчик само данните, необходими за създаване на Профила - идентификатор на профила при доставчика, имена и електронна поща, а когато доставчикът предлага скриване на електронната поща - генериран от него пренасочващ адрес. Дружеството няма достъп до паролата на Ползвателя при доставчика и не получава други данни от неговия профил. Обхватът на предоставяните данни се определя от доставчика и от избора на Ползвателя в неговия интерфейс, а обработването от страна на доставчика се урежда от неговите условия и политика за поверителност.

(5) След подаване на регистрационната форма Дружеството изпраща на посочената електронна поща съобщение с еднократен линк за потвърждение. За тази цел се обработват електронната поща, името на Ползвателя, генерираният код за потвърждение, датата и часът на изпращане, отваряне и потвърждение, както и статусът на доставянето.

(6) След потвърждаване на електронната поща Ползвателят може да добави адрес, на който желае да получава услугите. За всеки адрес се обработват населено място, адрес, включително квартал, улица, номер, блок, вход, етаж и апартамент, пощенски код, както и допълнителна информация за намиране и достъп до обекта, която Ползвателят предоставя по свой избор. Ползвателят може да съхранява повече от един адрес и да ги променя или заличава по всяко време чрез Профила си.

(7) Услугите, предлагани чрез Платформата, се изпълняват на адрес, посочен от Ползвателя, а Онлайн консултациите - дистанционно, чрез техническия способ, посочен в Платформата. При заявяване и изпълнение на услуга Дружеството обработва, доколкото е относимо към съответната услуга:

1. избрания адрес за изпълнение и данните за достъп до него;

2. избраната категория услуга, конкретната услуга, дата, час или часови диапазон;

3. данни за плащането и платежния статус, включително референтен номер на транзакцията, последните четири цифри и вида на картата, когато е приложимо, както и код на използван ваучер или промоционален код;

4. бележки, коментари и допълнителна информация, предоставени от Ползвателя;

5. единен граждански номер (ЕГН) или личен номер на чужденец (ЛНЧ), а за чужденци без ЕГН и ЛНЧ - дата на раждане и данни от документ за самоличност, само за услугите, при които нормативен акт или приложимо професионално правило изискват идентификация на Получателя на услугата, включително при медицински, лабораторни и други здравни услуги;

6. данни за здравословното състояние на Получателя на услугата, когато са необходими за заявяването или изпълнението на услугата или са предоставени от Ползвателя, от Получателя на услугата или от Изпълнителя, включително оплаквания, симптоми, диагнози, назначения, резултати и документи;

7. данни за животно при ветеринарни услуги - вид, порода, пол, възраст, тегло, оплаквания и друга относима информация;

8. оценки, отзиви и обратна връзка, както и данните, позволяващи на Дружеството да установи, че оценката или отзивът произхождат от лице, което действително е заявило и получило съответната услуга;

9. съдържанието на комуникацията във връзка със заявката, когато тя се осъществява чрез Платформата;

10. данни за хода на изпълнението - статус на заявката, времеви отбелязвания, пренасрочване, отказ, Неявяване и обстоятелства, възпрепятствали изпълнението.

(8) Когато Ползвателят поиска издаване на фактура, Дружеството обработва и данните, необходими за издаването ѝ. За физическо лице, което не действа като данъчно задължено лице, това са имената и адресът на лицето, а по негово искане и единен граждански номер, когато лицето желае той да бъде вписан във фактурата. Когато лицето действа като данъчно задължено лице или желае фактурата да бъде издадена на юридическо лице или на друг търговец, се обработват наименование, седалище и адрес, идентификационен номер и идентификационен номер по ДДС, когато е приложимо. Данните по тази алинея се обработват за издаване на фактурата и на свързаните с нея счетоводни документи и за изпълнение на задълженията на Дружеството по Закона за счетоводството, Закона за данък върху добавената стойност и приложимото данъчно законодателство.

(9) Когато Ползвателят заявява услуга за Получател на услугата, различен от него, той предоставя данните на това лице в обема по ал. 1 и ал. 7, доколкото са необходими за съответната услуга, като декларира и гарантира, че има право да ги предостави и че е изпълнил приложимите изисквания за това съгласно чл. 9 от Общите условия.

(10) Пълните картови данни - номер на карта, срок на валидност и код за сигурност, се въвеждат от Ползвателя директно в защитената среда на съответния доставчик на платежни услуги и не се съхраняват, записват или обработват от Дружеството. Дружеството получава от доставчика на платежни услуги единствено информация за резултата от транзакцията, референтен номер и, когато е приложимо, последните четири цифри и вида на картата, доколкото това е необходимо за идентификация на плащането, за издаване на документи и за обработване на спорове, възстановявания и сторнирания. Обработването на пълните картови данни се извършва от доставчика на платежни услуги и на неговите условия и политика за поверителност. Когато плащането се извършва чрез платежния механизъм на магазин за приложения, обработването на платежните данни се извършва от доставчика на магазина при неговите условия и политика за поверителност, а Дружеството получава само данни за резултата и за идентификацията на транзакцията. Когато Ползвателят плаща чрез електронен портфейл на доставчика на мобилната операционна система (Apple Pay, Google Pay или подобен), картовите данни не се въвеждат в Платформата и не се предават на Дружеството, а плащането се извършва чрез уникален идентификатор на устройството, генериран от съответния доставчик на портфейла. Доставчикът на портфейла обработва данните за плащането при своите условия и политика за поверителност и предоставя на доставчика на платежни услуги и на Дружеството само данните, необходими за изпълнение и идентификация на транзакцията.

(11) Категориите и обемът на събираните по настоящия член данни могат да бъдат изменяни, разширявани или стеснявани с оглед на вида на услугата, законовите изисквания, функционалностите на Платформата и нуждите на съответната категория услуги. При въвеждане на събиране на нова категория данни Ползвателят се информира преди или в момента на събирането им.

(12) Данните по настоящия член се обработват в средата на Дружеството, поддържана чрез неговите инфраструктурни доставчици по чл. 11, ал. 1, т. 2, и в средата на останалите технически доставчици по същата разпоредба, в зависимост от конкретната цел на Обработването и от техническите изисквания на Платформата.

Чл. 5. (1) При създаване на профил на Изпълнител в Платформата Дружеството събира:

1. наименование (фирма), ЕИК/БУЛСТАТ, правна форма;

2. седалище и адрес на управление;

3. данни на представляващия, както и на другите физически лица, посочени от Изпълнителя за контакт или за подписване - имена, ЕГН, длъжност;

4. електронна поща, телефон, адрес за кореспонденция;

5. данни за регистрации, разрешения, лицензи, правоспособности, квалификации и застраховки;

6. банкови и/или платежни данни за превод на възнаграждения;

7. график, наличност и обхват на предлаганите услуги, включително районите, в които Изпълнителят приема заявки.

(2) За специалистите, служителите и сътрудниците на Изпълнителя, чиито профили или данни се визуализират в Платформата, Дружеството може да обработва:

1. три имена, професионално звание, специалност, длъжност;

2. уникален идентификационен номер (УИН) или друг професионален идентификатор;

3. професионална снимка, кратка биография, данни за образование и квалификации;

4. електронна поща, телефон, адрес за кореспонденция;

5. график, локации и наличност.

(3) Обработването на данни по ал. 2 се извършва въз основа на договорните отношения между Дружеството и Изпълнителя.

(4) При използването на Платформата от Изпълнителя и при изпълнението на заявки Дружеството обработва и:

1. данни за приетите заявки, за отказите, пренасрочванията, изпълнението и отчитането им;

2. данни за местоположение, когато такава функционалност се използва, включително за отчитане на пристигането и на опита за изпълнение на услугата;

3. оценки, отзиви и обратна връзка за Изпълнителя и за лицата, чрез които той предоставя услугите;

4. съдържанието на комуникацията, осъществявана чрез Платформата;

5. данни за наложени по Общите условия мерки и за основанията за тях.

(5) Данните по ал. 2 и ал. 4 се обработват и по отношение на физическите лица, чрез които Изпълнителят предоставя услугите, включително когато техните профили не се визуализират в Платформата.

Чл. 6. (1) При посещение и използване на Платформата автоматично се събират следните данни:

1. IP адрес;

2. тип и версия на браузъра, операционна система;

3. дата, час и продължителност на посещенията;

4. посетени страници и извършени действия в Платформата;

5. източник на трафик (referrer URL);

6. уникални идентификатори на устройства (device IDs), когато е приложимо;

7. данни от бисквитки (cookies) и подобни технологии съгласно Раздел VIII от настоящата Политика.

(2) При използване на Мобилното приложение, извън данните по ал. 1, се събират:

1. модел и тип на устройството, версия на операционната система, версия на Мобилното приложение, език и часова зона на устройството;

2. уникален идентификатор на инсталацията и идентификатор (токен) за доставяне на Push известия;

3. диагностични данни и данни за грешки, сривове и производителност на Мобилното приложение;

4. данни за взаимодействието с Push известия и със Съобщения в Платформата, включително доставяне, визуализиране, отваряне и отхвърляне;

5. рекламен идентификатор на устройството, когато такъв се използва и след предоставяне на необходимото разрешение чрез операционната система. Рекламният идентификатор не се използва за реклама, основана на данни за здравословното състояние или на други Специални категории Лични данни. Дружеството не проследява Ползвателите в приложения и на интернет сайтове, притежавани от други дружества, и не свързва събраните чрез Мобилното приложение данни с данни от такива източници за рекламни цели или за измерване на реклама, освен ако Ползвателят е дал изрично разрешение чрез механизма на операционната система за проследяване между приложения, което може да бъде оттеглено по всяко време чрез настройките на устройството;

6. данни, свързани с получаването и актуализирането на Мобилното приложение чрез съответния магазин за приложения, доколкото се предоставят на Дружеството от доставчика на магазина.

(3) Отделни функционалности на Мобилното приложение изискват разрешение, предоставяно чрез операционната система на устройството. Дружеството може да поиска разрешение за изпращане на известия и за достъп до местоположение, а при въвеждането на съответните функционалности - и за достъп до календар, камера, микрофон, снимки и файлове. Разрешението се иска в момента, в който функционалността се използва за първи път, и може да бъде оттеглено по всяко време чрез настройките на устройството, като в този случай съответната функционалност може да не работи или да работи ограничено. Оттеглянето няма обратно действие по отношение на вече събраните данни.

(4) Когато е предоставено разрешение за достъп до местоположение, данните за местоположение се обработват за попълване и проверка на адреса за изпълнение, за определяне на Изпълнител по географска близост, за отчитане на пристигането и на опита за изпълнение на услугата, както и за други функционалности, при които местоположението е обективно необходимо и за които съответното лице бива информирано. Дружеството не извършва непрекъснато проследяване на устройството извън тези случаи.

(5) Push известията и другите известия, доставяни до устройството, не съдържат данни за здравословното състояние, други специални категории Лични данни или друга чувствителна или поверителна информация. Съдържанието на известията се свежда до минимум, като при необходимост се използва неутрална формулировка, която не разкрива такава информация.

Чл. 7. (1) Когато се свържете с Дружеството чрез електронна поща, формуляр за контакт, телефон, приложение за незабавни съобщения или друг комуникационен канал, Дружеството обработва предоставените от Вас данни - имена, данни за контакт, съдържание на съобщението и всяка друга информация, която решите да предоставите, за целите на обработване на Вашето запитване и поддържане на кореспонденцията.

(2) Комуникацията може да се осъществява чрез електронна поща, кратко текстово съобщение, телефонно обаждане, Push известие, Съобщение в Платформата, приложения за незабавни съобщения, включително Viber, WhatsApp, Telegram и Signal, както и чрез вграден чат в Платформата, когато такава функционалност бъде въведена. Съобщенията, изпращани чрез приложение за незабавни съобщения, се доставят чрез инфраструктурата на съответното приложение, а когато Дружеството използва посредник за изпращането им - и чрез инфраструктурата на този посредник.

(3) Дружеството може да осъществява телефонни разговори с Ползватели, с Получатели на услуги и с Изпълнители, включително чрез център за обслужване, чрез обаждания, извършвани през Платформата, и чрез пренасочване или маскиране на телефонни номера, така че страните да могат да се свържат, без да си разкриват взаимно номерата. При тези обаждания се обработват данни за номерата, датата, часа, продължителността и резултата от разговора.

(4) Дружеството може да записва телефонни разговори за целите на доказване на съдържанието на комуникацията, разглеждане на жалби, контрол на качеството, обучение на персонала и защита на правни претенции. Записване се извършва след предварително уведомяване в началото на разговора. Когато лицето не желае разговорът да бъде записван, то може да прекрати обаждането и да се свърже с Дружеството по друг от посочените в Платформата канали.

Чл. 8. (1) Когато сте дали отделно, доброволно и изрично съгласие чрез подписване на декларация-съгласие, Дружеството и/или Изпълнителят могат да заснемат и използват Ваши снимки, видео и аудио-визуални материали за маркетингови, представителни и информационни цели, описани подробно в съответната декларация.

(2) Заснемането и публичното използване на снимки и видео не е условие за предоставяне на услугата и не засяга правото Ви да получите услугата без такова заснемане.

(3) Когато чрез Платформата се предоставя възможност за онлайн консултация или друга комуникация в реално време чрез аудио и/или видео връзка, Дружеството обработва данните, необходими за осъществяването на връзката, включително идентификатор на сесията, дата, час и продължителност, технически данни за връзката и нейното качество, както и съдържанието на аудио и видео потока в момента на предаването му. Записът не се съхранява в потребителски облачни услуги на трети лица и не се използва за рекламни или маркетингови цели.

(4) Онлайн консултацията не се записва, освен когато нормативен акт или приложимо професионално правило изискват съставянето или съхраняването на такъв запис. Когато се извършва запис, Дружеството е Администратор по отношение на записа и осигурява неговото съхраняване и предоставянето на достъп до него, а Изпълнителят използва Платформата като техническа среда за провеждане на консултацията. Участниците се уведомяват преди началото на записа.

(5) Записът по ал. 4 се обработва при условията на професионална тайна, съхранява се в срока, предвиден в приложимото законодателство, и се предоставя само на лицата и органите, които имат право на достъп до него.

(6) Информацията, която Дружеството предоставя на доставчиците на магазините за приложения относно събираните данни, целите на Обработването и споделянето с трети лица, включително в раздела за безопасност на данните и в декларацията за поверителност на приложението, съответства на настоящата Политика. При установено несъответствие се прилага настоящата Политика, а Дружеството актуализира съответната декларация без ненужно забавяне.

Чл. 9. (1) Дружеството обработва Лични данни за следните цели и на следните правни основания по GDPR:

1. Регистрация и поддържане на потребителски профил - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор);

2. Заявяване, организиране, администриране и изпълнение на конкретна услуга - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор);

3. Обработване на Лични данни във връзка с медицински и здравни услуги, включително данни за здравословното състояние - правно основание: чл. 9, ал. 2, б. „з“ GDPR (предоставяне на здравни грижи) във връзка с чл. 6, ал. 1, б. „б“ GDPR;

4. Обработване на плащания, издаване на фискални, платежни и счетоводни документи - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор) и чл. 6, ал. 1, б. „в“ GDPR (законово задължение);

5. Предоставяне на задължителна преддоговорна информация по Закона за защита на потребителите - правно основание: чл. 6, ал. 1, б. „в“ GDPR (законово задължение);

6. Изпълнение на счетоводни, данъчни, осигурителни и други регулаторни задължения - правно основание: чл. 6, ал. 1, б. „в“ GDPR (законово задължение);

7. Изпращане на маркетингови съобщения по електронен способ, включително чрез електронна поща, кратко текстово съобщение, Viber или друг канал за незабавни съобщения и Push известия - правно основание: чл. 6, ал. 1, б. „а“ GDPR (съгласие), а за директен маркетинг към собствени клиенти относно собствени сходни услуги - чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес) в предвидените от закона случаи, с право на възражение по всяко време. Маркетинговите съобщения могат да включват и оферти на партньори, които Дружеството изпраща от свое име, без да предоставя Лични данни на партньорите за техните самостоятелни маркетингови цели;

8. Показване на Съобщения в Платформата с промоционално съдържание, включително изскачащи и вградени съобщения, докато лицето използва Платформата, включително когато са съобразени с историята на заявките и с поведението на лицето - правно основание: чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес от директен маркетинг във връзка с Платформата и с предлаганите чрез нея услуги и оферти), с право на възражение по всяко време по чл. 21 GDPR. Тези съобщения не се основават на данни за здравословното състояние или на други Специални категории Лични данни при условията на чл. 10, ал. 5.

9. Аналитика, статистика и подобряване на Платформата и потребителското изживяване - правно основание: чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес на Дружеството да подобрява своите услуги);

10. Сигурност на Платформата, предотвратяване на злоупотреби, неразрешен достъп и измами - правно основание: чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес);

11. Установяване, упражняване или защита на правни претенции - правно основание: чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес) и/или чл. 9, ал. 2, б. „е“ GDPR за специални категории;

12. Провеждане на онлайн консултация чрез аудио и/или видео връзка и, когато нормативен акт или професионално правило го изискват, съставяне и съхраняване на запис на консултацията - правно основание: чл. 6, ал. 1, б. „б“ GDPR за осъществяване на връзката, а за данните за здравословното състояние и за записа - чл. 9, ал. 2, б. „з“ във връзка с чл. 9, ал. 3 GDPR, съответно чл. 9, ал. 2, б. „в“ GDPR (защита на жизненоважни интереси), когато е приложимо

13. Заснемане и публично използване на снимки и видео за маркетингови, представителни и информационни цели - правно основание: чл. 6, ал. 1, б. „а“ GDPR (съгласие), а когато кадрите разкриват здравна информация - чл. 9, ал. 2, б. „а“ GDPR (изрично съгласие);

14. Създаване, поддържане и визуализиране на профил на Изпълнител и на неговите специалисти в Платформата - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор между Дружеството и Изпълнителя), а за публично визуализиране на снимки и разширена информация - чл. 6, ал. 1, б. „а“ GDPR (съгласие на специалиста);

15. Обработване на жалби, сигнали, запитвания и комуникация - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор) и чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес);

16. Изпращане на транзакционни, сервизни и информационни съобщения, включително напомняния за предстоящи услуги, потвърждения, уведомления за промени, пренасрочване, отказ и статус на заявка, както към Ползватели, така и към Изпълнители, чрез електронна поща, кратко текстово съобщение, телефонно обаждане, Viber, WhatsApp, Telegram, Signal или друг канал за незабавни съобщения, Push известия и Съобщения в Платформата - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор), а по отношение на Изпълнителите, когато не са физически лица - страна по договора, чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес от изпълнението на заявките).

17. Определяне на Изпълнител за конкретна заявка, включително чрез автоматизирано съпоставяне по наличност, категория услуга, местоположение и други обективни критерии - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор);

18. Публикуване и поддържане на оценки и отзиви, включително проверка, че произхождат от лице, действително заявило и получило услугата - правно основание: чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес от достоверност на оценките и защита на Ползвателите и Изпълнителите);

19. Издаване, поддържане, използване и заменяне на ваучери и промоционални кодове - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор);

20. Изпълнение на задълженията на Дружеството по Регламент (ЕС) 2022/2065 (Акт за цифровите услуги), включително приемане и разглеждане на сигнали за незаконно съдържание, вземане на мерки и вътрешно обработване на жалби, както и използване на технически средства за откриване и обозначаване на потенциално незаконно или недопустимо съдържание - правно основание: чл. 6, ал. 1, б. „в“ GDPR (законово задължение), а извън обхвата на законовото задължение - чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес от сигурност и надлежно функциониране на Платформата);

21. Записване на приемането на Общите условия и на настоящата Политика и на съответната им редакция, както и на даването, изменението и оттеглянето на съгласия, за целите на отчетността по чл. 5, ал. 2 и чл. 7, ал. 1 GDPR - правно основание: чл. 6, ал. 1, б. „в“ GDPR (законово задължение) и чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес от доказване на съответствие);

22. Проверка на изпълнението и на обстоятелствата при Неявяване, включително чрез времеви записи и, когато е приложимо, данни за местоположение - правно основание: чл. 6, ал. 1, б. „б“ GDPR (изпълнение на договор) и чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес от разрешаване на спорове);

23. Издаване на фактури и на свързаните с тях документи по искане на Ползвателя - правно основание: чл. 6, ал. 1, б. „в“ GDPR (законово задължение).

(2) Когато Обработването се основава на Вашето съгласие, Вие имате право по всяко време да оттеглите съгласието си, без това да засяга законосъобразността на Обработването, извършено преди оттеглянето. Оттеглянето на съгласието е също толкова лесно, колкото и даването му.

(3) Когато Обработването се основава на легитимен интерес на Дружеството, Вие имате право да възразите срещу Обработването съгласно чл. 21 GDPR, по реда на Раздел X от настоящата Политика.

Чл. 10. (1) При определени видове услуги, предлагани чрез Платформата (медицински, ветеринарни, свързани с грижа за деца и други), е възможно Обработване на Специални категории Лични данни, по-специално данни за здравословното състояние.

(2) Обработването на Специални категории Лични данни се извършва на едно или повече от следните правни основания:

1. чл. 9, ал. 2, б. „з“ във връзка с чл. 9, ал. 3 GDPR - когато Обработването е необходимо за целите на превантивната или трудовата медицина, медицинска диагноза, осигуряване на здравни грижи или лечение или управление на здравни услуги въз основа на правото на Съюза или на Република България, и данните се обработват от или под отговорността на професионалист, обвързан със задължение за професионална тайна, или от друго лице, също обвързано с такова задължение;

2. чл. 9, ал. 2, б. „а“ GDPR - изрично съгласие на субекта на данни, когато другите правни основания не са приложими;

3. чл. 9, ал. 2, б. „е“ GDPR - за установяването, упражняването или защитата на правни претенции;

4. чл. 9, ал. 2, б. „в“ GDPR - когато Обработването е необходимо за защита на жизненоважните интереси на субекта на данни или на друго физическо лице, когато субектът не е в състояние да даде съгласие.

(3) При нелечебни услуги (почистване, градинарство, битови услуги и други подобни) по правило не се обработват Специални категории Лични данни. Ако за определена услуга се наложи Обработване на такива данни, Ползвателят ще бъде изрично информиран и ще бъде поискано съгласие, когато е необходимо.

(4) Дружеството обработва данни за здравословното състояние при условията на професионална тайна и при спазване на технически и организационни мерки за защита, предвидени в настоящата Политика и в приложимото законодателство.

(5) Дружеството не използва данни за здравословното състояние и други Специални категории Лични данни за целите на директния маркетинг, на рекламата, на профилирането за маркетингови или рекламни цели, на извличането на данни, основано на употребата, или на Съобщенията в Платформата с промоционално съдържание, и не ги предоставя на трети лица за такива цели. Забраната по предходното изречение е безусловна и не се преодолява със съгласие.

Чл. 11. (1) Дружеството може да споделя Вашите Лични данни със следните категории получатели, доколкото това е необходимо за постигане на описаните в настоящата Политика цели:

1. Изпълнители на услуги - лечебни заведения, медицински специалисти, ветеринарни практики, почистващи компании, специалисти по грижа за деца, градинари и други лица, предоставящи услуги чрез Платформата, доколкото споделянето е необходимо за заявяването, организирането и изпълнението на конкретната услуга;

2. Технически доставчици (обработващи Лични данни) - лица, които предоставят на Дружеството технически, инфраструктурни, хостинг, комуникационни, приложни, платежни, поддържащи и други услуги, необходими за функционирането на Платформата. Тези доставчици обработват Лични данни само по документирано указание на Дружеството, в обема, необходим за съответната услуга, и при условията на чл. 28 GDPR. Категориите такива доставчици включват:

а) доставчик на инфраструктура, хостинг и съхранение на данни, в чиято среда се хостват Платформата, базите данни, качените файлове и архивите (в т.ч. Railway Corporation, Delaware, САЩ, с обработване в регион на Европейския съюз - Амстердам; базовата инфраструктура се осигурява чрез доставчици на облачни услуги, ползвани от Railway;

б) доставчик на съхранение на файлове и архиви (към момента Cloudflare, Inc., САЩ, чрез услугата за обектно съхранение Cloudflare R2, с ограничаване на съхранението до региона на Европейския съюз);

в) доставчик на услуги за изпращане на електронна поща (към момента SendGrid);

г) доставчик на услуги за изпращане на кратки текстови съобщения и на съобщения чрез Viber, WhatsApp, Telegram, Signal или друг канал за незабавни съобщения, в т.ч. и LINK Mobility за кратки текстови съобщения и за Viber;

д) доставчици на услуги за доставяне на Push известия - доставчикът на услугата за съобщения на съответната мобилна операционна система, а именно Google Ireland Limited, Ирландия, съответно Google LLC, САЩ, за устройства с операционна система Android, и Apple Distribution International Ltd., Ирландия, съответно Apple Inc., САЩ, за устройства с операционна система iOS, като до тези доставчици се предават идентификаторът за доставяне на известието и съдържанието на известието;

е) доставчик на услуги за откриване на грешки и наблюдение на производителността на Мобилното приложение (към момента Sentry);

ж) доставчик на услуги за автоматично попълване и проверка на адреси и за геокодиране (към момента Google Ireland Limited, Ирландия, чрез услугите на Google Maps Platform, при което е възможно предаване на данни към Google LLC, САЩ);

з) доставчици на вградени в Мобилното приложение програмни компоненти за откриване на грешки, отчитане на сривове, измерване на производителността, аналитика на използването, дистанционно конфигуриране и измерване на ефективността на кампании (към момента Sentry за откриване на грешки и наблюдение на производителността и Google Ireland Limited, Ирландия, съответно Google LLC, САЩ, чрез компонентите на Firebase), като данните, предавани чрез тези компоненти, се обработват при условията на чл. 10, ал. 5 и чл. 11, ал. 1, т. 3;

и) други технически доставчици от изброените категории, които подпомагат функционирането на Платформата. Посочването на конкретен доставчик е примерно. Добавянето, замяната или премахването на доставчик в рамките на описана в тази точка категория и цел не представлява изменение на настоящата Политика. Актуалният списък на обработващите Лични данни се предоставя при поискване по реда на чл. 1, ал. 4.

3. Аналитични и рекламни доставчици - доставчици на услуги за анализ на използването, за измерване на ефективността на рекламни кампании и за подобряване на Платформата и на Мобилното приложение, включително чрез вградени в Мобилното приложение програмни компоненти, при условията на Раздел VIII от настоящата Политика и след получаване на необходимото съгласие, когато такова се изисква. На тези доставчици не се предоставят данни за здравословното състояние, други Специални категории Лични данни, както и данни, отнасящи се до конкретна заявена медицинска, ветеринарномедицинска или друга здравна услуга, които позволяват извеждане на заключение за здравословното състояние на определено лице;

4. Професионални консултанти - адвокати, счетоводители, одитори, данъчни консултанти и други лица, предоставящи на Дружеството правни, счетоводни, данъчни или одиторски услуги;

5. Маркетинг партньори - маркетинг агенции, дизайнери, специалисти по съдържание и други лица, подпомагащи Дружеството при осъществяване на рекламни и маркетингови дейности, доколкото това е необходимо и при наличие на съответното правно основание;

6. Платежни посредници и банки - банки, доставчици на платежни услуги, платежни процесори (включително, но не само PayNovus, Viva Wallet, ICashPOS или друг доставчик, посочен в Платформата, доставчиците на електронни портфейли Apple Distribution International Ltd. и Google Ireland Limited, когато плащането се извършва чрез Apple Pay или Google Pay, както и доставчика на платежния механизъм на съответния магазин за приложения, когато плащането се извършва чрез него) и други лица, участващи в обработването на плащания, на които се предават данни за транзакцията и, когато е приложимо, данни за банкова карта директно от Ползвателя чрез защитената среда на платежния процесор;

7. Държавни органи и институции - Комисия за защита на личните данни (КЗЛД), Комисия за защита на потребителите (КЗП), Национална агенция за приходите (НАП), омисията за регулиране на съобщенията (КРС) като координатор на цифровите услуги, съдилища, прокуратура, полиция и други компетентни органи, когато разкриването се изисква по закон или по акт на компетентен орган.

(2) Дружеството не продава, не отдава под наем и не предоставя срещу заплащане Вашите Лични данни на трети лица за самостоятелни маркетингови цели на тези лица.

(3) Когато функционалност на Платформата е свързана с влизане или споделяне чрез профил на Ползвателя при външен доставчик на услуга за удостоверяване (включително Google, Apple и Facebook), обменът на данни с този доставчик се извършва по избор на Ползвателя и се урежда от условията и политиката за поверителност на съответния доставчик, който действа като самостоятелен администратор за обработването в собствената си среда.

(4) Дружеството може да разкрие Лични данни на приобретател или на праводоприемник при преобразуване, прехвърляне на предприятие или на обособена част от него, продажба на активи или друга подобна сделка, при спазване на приложимото законодателство и на подходящи гаранции за защита на данните.

(5) Дружеството предоставя достъп до Лични данни на трето лице само когато това лице осигурява ниво на защита на данните, равностойно на предвиденото в настоящата Политика и в приложимото законодателство. Изискването се прилага към всички получатели по ал. 1, включително към техническите доставчици, към аналитичните и рекламните доставчици, към вградените в Мобилното приложение програмни компоненти и към свързаните с Дружеството лица, които биха имали достъп до Лични данни. Спазването се осигурява чрез договор за обработване по чл. 28 GDPR, чрез споразумение между съвместни администратори по чл. 26 GDPR или чрез друга обвързваща договорна уредба, а при неспазване Дружеството преустановява предоставянето на данни на съответното лице.

(6) Дружеството не предава чрез вградените в Мобилното приложение аналитични програмни компоненти данни, които самостоятелно или в съвкупност позволяват извеждане на заключение за здравословното състояние на определено лице, включително чрез наименования на екрани, наименования и параметри на събития, идентификатори на услуги и на категории услуги. За аналитични цели се използват неутрални обозначения, които не разкриват вида на заявената услуга, когато той е свързан със здравето.

Чл. 12. (1) По правило личните данни, обработвани чрез Платформата, се съхраняват на сървъри, разположени в Европейския съюз („ЕС“) / Европейското икономическо пространство („ЕИП“).

(2) Въпреки ал. 1, при определени обстоятелства е възможно ограничено предаване на Лични данни извън ЕИП, включително, но не само:

1. при техническа поддръжка и администриране от страна на доставчик на инфраструктура, хостинг и съхранение или на друг технически доставчик, чието договорно лице или персонал е извън ЕИП, когато достъпът е необходим за разрешаване на технически проблеми, за поддръжка, администриране или осигуряване на непрекъсваемост на услугата, включително когато данните се съхраняват в ЕИП, но доставчикът може да бъде достъпван от юрисдикция извън ЕИП;

2. при операции по архивиране, резервно копиране и възстановяване при аварийни ситуации;

3. при използване на аналитични и рекламни доставчици и на вградени в Мобилното приложение програмни компоненти, както и на доставчик на услуги за автоматично попълване и проверка на адреси и за геокодиране, чиито сървъри или дружества майки могат да бъдат извън ЕИП;

4. при публикуване на съдържание в социални мрежи (Facebook, Instagram, TikTok, YouTube, LinkedIn и др.), когато е приложимо;

5. при изпращане на съобщения чрез Viber, WhatsApp, Telegram, Signal или друг канал за незабавни съобщения и при доставяне на Push известия, чиято инфраструктура, включително инфраструктурата на операционната система на устройството, може да включва сървъри извън ЕИП.

(3) Когато предаването на данни извън ЕИП е необходимо, Дружеството го извършва само при наличие на решение на Европейската комисия относно адекватното ниво на защита по чл. 45 GDPR или на подходящи гаранции по чл. 46 GDPR, включително стандартни договорни клаузи, приети от Европейската комисия, а при липса на такива - само на някое от приложимите основания по чл. 49 GDPR.

(4) Дружеството полага усилия да минимизира предаването на данни извън ЕИП и при възможност да ограничи достъпа на персонал извън ЕИП до Лични данни.

(5) Можете да получите повече информация за конкретните гаранции, приложени при предаването на данни извън ЕИП, като се свържете с нас на [email protected].

Чл. 13. (1) Платформата използва бисквитки (cookies) и подобни технологии за проследяване. Подробна информация за видовете бисквитки, целите на използването им, начините за управление на Вашите предпочитания и правата Ви във връзка с тях се съдържа в отделна Политика за бисквитки (Cookie Policy), достъпна на адрес www.onecare.bg.

(2) В Мобилното приложение вместо бисквитки могат да се използват еквивалентни технологии за съхраняване на информация върху устройството и за достъп до нея, включително идентификатори на устройството и на инсталацията и вградени програмни компоненти. За тяхното използване се прилагат съответно правилата на Политиката за бисквитки и изискването за съгласие, когато такова се изисква.

Чл. 14. (1) Дружеството съхранява личните данни за срок, който е не по-дълъг от необходимия за постигане на целите, за които данните се обработват, като се съобразява с приложимите законови срокове за съхранение.

(2) Основните срокове за съхранение са следните:

1. Данни, свързани с потребителски профил - за срока на съществуване на профила и за срок до 6 месеца след изтриването му. По отношение на Изпълнителите и на свързаните с тях лица данните за търговеца, необходими за проследяване на сделките, се съхраняват най-малко 6 месеца след прекратяване на отношението съгласно чл. 30, параграф 2 от Регламент (ЕС) 2022/2065. По-дълъг срок се прилага, когато е необходим за изпълнение на законово задължение или за защита на правни претенции;

2. Данни, свързани с конкретна заявка и изпълнение на услуга - за срок от 5 години от датата на изпълнение или прекратяване на договора за услугата, съобразно общия давностен срок по Закона за задълженията и договорите;

3. Счетоводни и данъчни документи, включително фактури и платежни документи - за срок от 10 години, считано от 1 януари на годината, следваща годината, за която се отнасят, съгласно Закона за счетоводството и Данъчно-осигурителния процесуален кодекс;

4. Медицинска документация, качена чрез Платформата от Изпълнител - Дружеството съхранява такава документация в качеството си на Обработващ Лични данни по указания на Изпълнителя. Сроковете за съхранение се определят от Изпълнителя съобразно приложимото здравно законодателство;

5. Данни за маркетингови комуникации и за дадено маркетингово съгласие - до оттегляне на съгласието или до отписване от съответната комуникация, а доказателствата за даденото, измененото и оттегленото съгласие - за срок от 5 години след оттеглянето или отписването, за целите на отчетността и защитата на правни претенции;

6. Данни от бисквитки - съгласно сроковете, определени в настройките на съответната бисквитка, но не повече от 2 години;

7. Данни от комуникации (формуляри, жалби, кореспонденция) - за срок от 5 години от последната комуникация, освен ако по-дълъг срок не е необходим за защита на правни претенции;

8. Данни на Изпълнители и техни специалисти - за срока на договорните отношения между Дружеството и Изпълнителя и за срок от 5 години след тяхното прекратяване;

9. Снимки и видеоматериали - до оттегляне на съгласието, с изключение на материали, които вече са били законосъобразно публикувани, индексирани, архивирани или съхранени извън фактическия контрол на Дружеството;

10. Записи на телефонни разговори - за срок до 6 месеца от разговора, освен ако конкретен запис е необходим за разглеждане на жалба, за разрешаване на спор или за защита на правни претенции, в който случай се съхранява до окончателното им приключване;

11. Данни за приемане на Общите условия и на настоящата Политика, за приетата редакция и за IP адреса - за срока на профила и за срок от 5 години след прекратяването му, съобразно общия давностен срок по Закона за задълженията и договорите;

12. Данни във връзка със сигнали за незаконно съдържание, наложени мерки и вътрешни жалби по Регламент (ЕС) 2022/2065 - за срок от 5 години от съответното действие, освен ако по-дълъг срок е необходим за защита на правни претенции или по разпореждане на компетентен орган;

13. Записи на онлайн консултации, когато такива се съставят по силата на нормативен акт - за срока, предвиден в приложимото здравно законодателство, като Дружеството ги съхранява в качеството си на Администратор при условията на професионална тайна.

(3) След изтичане на приложимия срок за съхранение Дружеството изтрива или анонимизира личните данни освен ако съхраняването им е необходимо за изпълнение на законово задължение, за защита на правни претенции или поради друго приложимо правно основание.

(4) Конкретните срокове за съхранение могат да се различават в зависимост от вида на услугата, приложимото законодателство и конкретните обстоятелства. При поискване Дружеството предоставя информация за приложимия срок за съхранение по отношение на конкретни категории данни.

(5) Дружеството периодично преразглежда необходимостта от съхранение на Личните данни и адекватността на определените срокове, като отчита нормативните промени, целите на Обработването и принципа за свеждане на данните до минимум.

(6) Изтриването на потребителски профил се извършва поетапно, като част от данните се заличават незабавно, а данните, за които е налице законово задължение за съхранение или основание за защита на правни претенции, се съхраняват до изтичане на съответния срок в ограничен режим на достъп. През този период данните не се използват за други цели освен за целта, за която се съхраняват.

Чл. 15. (1) Съгласно GDPR и приложимото законодателство, Вие имате следните права по отношение на Вашите Лични данни:

1. Право на достъп (чл. 15 GDPR) - да получите потвърждение дали Дружеството обработва Ваши Лични данни и, ако е така, да получите достъп до тях и до информация за Обработването;

2. Право на коригиране (чл. 16 GDPR) - да поискате коригиране на неточни Лични данни или допълване на непълни данни;

3. Право на изтриване („право да бъдеш забравен“) (чл. 17 GDPR) - да поискате изтриване на Вашите Лични данни при наличие на основанията, предвидени в GDPR, освен когато Обработването е необходимо за изпълнение на законово задължение, за установяване, упражняване или защита на правни претенции или на друго основание, предвидено в закона;

4. Право на ограничаване на Обработването (чл. 18 GDPR) - да поискате ограничаване на Обработването в предвидените от GDPR случаи;

5. Право на преносимост на данните (чл. 20 GDPR) - да получите Вашите Лични данни в структуриран, широко използван и пригоден за машинно четене формат и да ги прехвърлите на друг администратор, когато Обработването е основано на съгласие или на договор и се извършва по автоматизиран начин;

6. Право на възражение (чл. 21 GDPR) - да възразите по всяко време срещу Обработването на Вашите Лични данни, когато то се основава на легитимен интерес на Дружеството. Когато възразявате срещу Обработване за целите на директния маркетинг, включително срещу Съобщения в Платформата с промоционално съдържание и срещу свързаното с тях профилиране, Обработването за тези цели се преустановява безусловно;

7. Право да не бъдете обект на решение, основаващо се единствено на автоматизирано Обработване, включително профилиране (чл. 22 GDPR) - когато е приложимо;

8. Право на оттегляне на съгласие - когато Обработването се основава на Вашето съгласие, Вие имате право по всяко време да го оттеглите, без това да засяга законосъобразността на Обработването, извършено преди оттеглянето.

(2) За упражняване на правата си по ал. 1 можете да изпратите искане на електронна поща: [email protected]. Дружеството може да поиска допълнителна информация за установяване на самоличността Ви, преди да предприеме действия по искането. Ползвателят може да поиска изтриване на профила и на свързаните с него данни чрез функционалност в самото Мобилно приложение, чрез функционалност в интернет сайта, чрез искане до Дружеството на посочения адрес на електронна поща, без да е необходимо повторно инсталиране на Мобилното приложение, както и чрез общодостъпна страница в интернет сайта, която позволява подаване на искане за изтриване без регистрация, без вход в профил и без инсталиране на Мобилното приложение. Адресът на тази страница се публикува в Платформата и се предоставя на съответния магазин за приложения. При изтриване се заличават данните, събрани при регистрацията и при използването на Платформата, включително профилните, адресните, маркетинговите и поведенческите данни, а данните, за които е налице законово задължение за съхранение или основание за защита на правни претенции, се запазват в ограничен режим за сроковете по чл. 14 и след изтичането им се заличават или анонимизират.

(3) Дружеството отговаря на искания по ал. 1 в срок до 1 месец от получаването им. Този срок може да бъде удължен с до два допълнителни месеца при необходимост, като се вземат предвид сложността и броят на исканията, за което Дружеството уведомява субекта на данни. Когато искането е подадено по електронен път, информацията се предоставя по електронен път, освен ако субектът на данни не е поискал друго.

(4) Упражняването на правата по ал. 1 е безплатно. Когато исканията са явно неоснователни или прекомерни, по-специално поради своя повтарящ се характер, Дружеството може да наложи разумна такса или да откаже да изпълни искането.

(5) Когато личните данни се обработват от Дружеството в качеството му на обработващ по указания на Изпълнител, Дружеството може да препрати искането до съответния Изпълнител, който е администратор за тези данни.

(6) Правото на изтриване и правото да бъдете забравен се упражняват при спазване на сроковете и на поетапния ред за заличаване по чл. 14, като данните, за които е налице законово задължение за съхранение или основание за защита на правни претенции, се съхраняват до изтичане на съответния срок.

(7) Оттеглянето на маркетинговото съгласие и възражението срещу директен маркетинг могат да бъдат упражнени и чрез връзката за отписване във всяко съответно съобщение, чрез настройките в Профила, както и чрез настройките за известия на устройството по отношение на Push известията, без да е необходимо изпращане на отделно искане.

Чл. 16. (1) Дружеството може да изпраща маркетингови съобщения по електронен способ, включително чрез електронна поща, кратко текстово съобщение, Viber или друг канал за незабавни съобщения и Push известия, на Ползватели и Изпълнители, които са дали съгласие за това. Съгласието обхваща посочените канали и се дава чрез отделно, непредварително отбелязано действие. В предвидените от закона случаи Дружеството може да изпраща съобщения относно собствени сходни услуги на свои клиенти на основание легитимен интерес, като при всяко съобщение осигурява лесен начин за възражение. Съгласието може да бъде оттеглено по всяко време, без това да засяга законосъобразността на Обработването преди оттеглянето.

(2) Подробна информация за видовете маркетингови комуникации, каналите, честотата, начините за отписване и правата Ви се съдържа в отделна Маркетингова политика, достъпна в Платформата. Съгласието за маркетингови съобщения се дава по реда на чл. 5 от Маркетинговата политика, чрез отделно действие, различно от приемането на Общите условия и от запознаването с политиките.

(3) Маркетинговата политика представлява неразделна част от настоящата Политика за поверителност.

(4) Съобщенията, свързани със заявка, плащане, промяна, отказ, пренасрочване, статус на услуга, напомняне за записан час, сигурност, актуализации на политики и други съществени елементи на правоотношението, не представляват маркетингови съобщения и не изискват отделно маркетингово съгласие. Тези съобщения могат да бъдат изпращани по електронна поща, кратко текстово съобщение, телефонно обаждане, Viber, WhatsApp, Telegram, Signal или друг канал за незабавни съобщения, Push известия и Съобщения в Платформата, посочени от Ползвателя или използвани в рамките на Платформата.

(5) Съобщенията в Платформата с промоционално съдържание се основават на легитимен интерес на Дружеството от директен маркетинг във връзка с Платформата и с предлаганите чрез нея услуги и оферти, а не на съгласие. Спрямо тях се прилага правото на възражение по чл. 15, ал. 1, т. 6 и по Раздел X.

Чл. 17. (1) Дружеството прилага подходящи технически и организационни мерки за защита на личните данни срещу неразрешен или незаконосъобразен достъп, случайна загуба, унищожаване, повреждане, изменение или разкриване, включително, но не само:

1. криптиране на данните при предаване (SSL/TLS) и при съхранение (AES-256 или еквивалентен стандарт);

2. архивиране (backup) на данните;

3. мониторинг, логване, управление на достъпа на база предоставени права и известяване при инциденти със сигурността;

4. периодичен преглед и актуализация на мерките за сигурност.

5. съхраняване на паролите само в необратимо криптиран вид;

6. псевдонимизиране и свеждане до минимум на данните, където е приложимо, включително визуализиране на оценки и отзиви само чрез инициали, без пряко идентифициращи данни.

(2) Дружеството не може да гарантира абсолютна сигурност на данните, тъй като никоя система за предаване или съхранение на данни чрез интернет не е напълно сигурна. При установяване на нарушение на сигурността на данните Дружеството уведомява компетентния надзорен орган и засегнатите субекти на данни съгласно чл. 33 и чл. 34 GDPR, когато е приложимо.

(3) Ползвателите и Изпълнителите са длъжни да пазят в тайна своите данни за достъп (потребителско име и парола) и да уведомят незабавно Дружеството при съмнение за неразрешен достъп до техния профил.

(4) Когато дадено Обработване, по-специално при използване на нови технологии или при мащабно Обработване на специални категории данни, е вероятно да породи висок риск за правата и свободите на физическите лица, Дружеството извършва предварителна оценка на въздействието върху защитата на данните (DPIA) по реда на чл. 35 от GDPR, преди да пристъпи към Обработването.

(5) Дружеството прилага принципите на защита на данните на етапа на проектирането и по подразбиране (privacy by design and by default) по смисъла на чл. 25 от GDPR, като при проектирането и развитието на Платформата интегрира подходящи технически и организационни мерки за защита на Личните данни и осигурява обработването по подразбиране само на данни, необходими за всяка конкретна цел.

(6) Дружеството поддържа регистър на дейностите по обработване по чл. 30 от GDPR, който съдържа информация за целите на Обработването, категориите субекти и данни, получателите, сроковете за съхранение и описание на техническите и организационните мерки за сигурност.

(7) Дружеството осигурява вътрешен контрол по спазването на настоящата Политика и приложимото законодателство за защита на Личните данни, включително чрез периодични вътрешни проверки, обучения на персонала с достъп до Лични данни и поддържане на документация за извършените дейности по отчетност.

(8) Дружеството обработва Личните данни в собствената си среда, поддържана чрез инфраструктурните доставчици по чл. 11, ал. 1, т. 2, и в средата на останалите технически доставчици по същата разпоредба. Съставът на техническите доставчици и разпределението на операциите между тях може да бъде променяно от Дружеството във времето в зависимост от развитието на Платформата, въвеждането на нови функционалности, изискванията за сигурност и приложимото законодателство, като добавянето, замяната или премахването на доставчик в рамките на описана в чл. 11, ал. 1, т. 2 категория и цел не представлява изменение на настоящата Политика.

(9) Дружеството не съхранява данни за здравословното състояние в потребителски облачни услуги на доставчика на операционната система или на друго трето лице, предназначени за лично ползване от субекта на данни. Мобилното приложение не използва програмни интерфейси на операционната система за здравни данни и не чете данни от здравните приложения на устройството. Когато такава функционалност бъде въведена, тя се използва само след отделно разрешение и само за изрично посочената пред Ползвателя цел, а получените чрез нея данни се обработват при условията на чл. 10, ал. 5.

Чл. 18. (1) Платформата действа като онлайн място за търговия и посредник между Ползвателя и Изпълнителя. Разпределението на ролите по отношение на Обработването на Лични данни е следното:

1. Дружеството е самостоятелен администратор за регистрацията и поддържането на потребителски профили, собствените си общи условия и политики, собственото си счетоводно, данъчно и правно обслужване, сигурността и функционирането на Платформата, маркетинговите комуникации, аналитиката и всяка друга операция, при която самостоятелно определя целите и средствата на Обработването;

2. Изпълнителят е самостоятелен администратор за предоставянето на самата услуга, медицинската или друга професионална преценка, създаването и съхраняването на медицинска и друга професионална документация, изпълнението на задължения към регулаторни органи и всяка друга операция, при която самостоятелно определя целите и средствата;

3. Дружеството е Обработващ Лични данни от името на Изпълнителя за техническото приемане и маршрутизиране на заявки, хостването и съхраняването на документи, съхраняването на записи на онлайн консултации, когато такива се съставят по указание на Изпълнителя, издаването на фактури от името на Изпълнителя, Обработването на плащания от името на Изпълнителя и други операции, при които Дружеството действа по указания на Изпълнителя;

4. За определени операции, при които Дружеството и Изпълнителят съвместно определят целите и съществените средства на Обработването (напр. напр. управление на процеса по заявяване, потвърждаване и проследяване на заявката, достъп до до документи, интегриран процес по фактуриране и плащане), те могат да действат като съвместни администратори по смисъла на чл. 26 GDPR, като вътрешното разпределение на отговорностите се урежда в отделно споразумение.

(2) Конкретното разпределение на ролите между Дружеството и всеки отделен Изпълнител се урежда в споразумение за защита на личните данни, което е неразделна част от договорните отношения между тях.

(3) Независимо от вътрешното разпределение на ролите, субектът на данни може да упражни правата си спрямо всяка от страните, доколкото това е допустимо от приложимото законодателство.

(4) Когато нормативен акт изисква съставянето и съхраняването на запис на онлайн консултация, Дружеството е самостоятелен администратор по отношение на този запис, доколкото самостоятелно определя средствата за неговото съхраняване и защита, при спазване на професионалната тайна и на приложимото здравно законодателство.

Чл. 19. (1) Платформата е предназначена за лица, навършили 18 години. Лица под 18 години не могат да се регистрират, да създават профил и самостоятелно да заявяват услуги чрез Платформата.

(2) При регистрация Ползвателят декларира, че е навършил 18 години, по реда на чл. 4, ал. 2. Дружеството не събира съзнателно данни на лица под 18 години, регистрирали се като Ползватели.

(3) Ползвателят може да заявява услуга за Получател на услугата, който е малолетно или непълнолетно лице, в качеството си на родител, настойник, попечител или друг законен представител, съответно със знанието и съгласието на такъв, като действа от името на лицето и носи отговорност за законосъобразността на предоставянето на данните съгласно чл. 9 от Общите условия.

(4) Когато за услуга на малолетно или непълнолетно лице е необходимо Обработване на Специални категории Лични данни, включително данни за здравословното състояние, Обработването се извършва на основание чл. 9, ал. 2, б. „з“ във връзка с чл. 9, ал. 3 GDPR, а когато то не е приложимо - на основание изрично съгласие на родителя, съответно на законния представител, по чл. 9, ал. 2, б. „а“ GDPR.

(5) Ако Дружеството установи, че лице под 18 години се е регистрирало или е предоставило свои данни като Ползвател без надлежно основание, то предприема мерки за заличаване на тези данни в най-кратък срок.

Чл. 20. (1) Ако считате, че Обработването на Вашите Лични данни нарушава GDPR или приложимото законодателство за защита на личните данни, имате право да подадете жалба до:

1. Комисия за защита на личните данни (КЗЛД) - адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2; интернет адрес: www.cpdp.bg; електронна поща: [email protected];

2. надзорен орган в държавата членка на Вашето обичайно местопребиваване, място на работа или място на предполагаемото нарушение, когато е приложимо.

(2) Правото на жалба не е обвързано с предварително упражняване на правата по Раздел X от настоящата Политика, но Дружеството Ви насърчава първо да се свържете с нас на [email protected] или [email protected], за да можем да разрешим въпроса.

(3) Когато жалбата се отнася до задълженията на Дружеството като доставчик на посреднически услуги по Регламент (ЕС) 2022/2065, компетентен орган е Комисията за регулиране на съобщенията в качеството ѝ на координатор на цифровите услуги за Република България, без това да засяга компетентността на Комисията за защита на личните данни по въпросите на защитата на данните.

Чл. 21. (1) Дружеството има право по всяко време да изменя, допълва или заменя настоящата Политика, включително при промяна на приложимото законодателство, на техническите и организационните условия, на категориите обработвани данни, на доставчиците или на функционалностите на Платформата.

(2) Актуалната редакция на Политиката се публикува в Платформата на адрес www.onecare.bg с посочване на датата на последната актуализация.

(3) При съществени промени, които засягат правата на субектите на данни, Дружеството уведомява Ползвателите и Изпълнителите чрез електронна поща, Съобщение в Платформата, Push известие или по друг подходящ начин, преди промяната да породи действие. Когато изменението налага получаване на съгласие, промяната поражда действие спрямо съответното Обработване само след даване на съгласието.

(4) Продължаването на използването на Платформата след влизане в сила на изменението се счита за запознаване с актуалната редакция на Политиката, доколкото това е допустимо от приложимото законодателство.

(5) Не представлява изменение на настоящата Политика добавянето, замяната или премахването на технически доставчик, канал за комуникация, разрешение на устройството или функционалност в рамките на вече описана в Политиката категория и цел на Обработването. Такива промени се отразяват в Платформата и не изискват отделно уведомление, освен когато приложимото законодателство изисква друго.

Чл. 22. (1) Настоящата Политика е приета от управителя на Дружеството и влиза в сила считано от 16.09.2026 г. Тя отменя и заменя всички предходни редакции на Политиката за поверителност.

(2) За неуредените в настоящата Политика въпроси се прилагат разпоредбите на приложимото законодателство, Общите условия за използване на Платформата OneCare, Политиката за бисквитки и Политиката за маркетинг.

(3) Недействителността на отделна разпоредба на настоящата Политика не води до недействителност на останалите разпоредби.

(4) Настоящата Политика е съставена на български език. Българската редакция е оригиналната и единствената правно обвързваща. Всяка редакция на друг език, включително изготвена чрез автоматизиран превод, има само информативен характер и служи за удобство на съответното лице; при несъответствие, противоречие или съмнение относно смисъла се прилага българската редакция, а редакция на друг език не поражда права и задължения, различни от предвидените в българската редакция.