Политика за поверителност

1. Идентификация на администратора на лични данни

"Резервейшън" ЕООД (на латиница: Reservation Ltd)


ЕИК	203865762
Седалище и адрес на управление	гр. Варна, ул. Петър Райчев 1А
Имейл за въпроси, свързани с лични данни	[email protected]
Имейл за обща поддръжка	[email protected]
Телефон	+359 2 495 0888
Уебсайт	https://www.reservation.tools

"Резервейшън" ЕООД (наричано по-долу "Дружеството", "ние" или "Reservation.tools") предоставя многоарендна (multi-tenant) SaaS платформа за управление на резервации в сферата на хотелиерството и ресторантьорството (ресторанти, барове, клубове, пъбове, плажни заведения и др.). В тази Политика за поверителност описваме какви лични данни обработваме, на какво правно основание, с кого ги споделяме и какви права имате като субект на данни.

Важно за двойната ни роля: В част от обработката на данни Дружеството действа като администратор, а в друга част — като обработващ лични данни от името на заведенията, които използват платформата. Тази разлика е обяснена подробно в Раздел 4 (Категории субекти на данни) и Раздел 6 (Цели и правни основания).

2. Надзорен орган

Ако смятате, че Вашите права по защита на личните данни са нарушени, имате право да подадете жалба до:

Комисия за защита на личните данни (КЗЛД)


Адрес	гр. София 1592, бул. "Проф. Цветан Лазаров" № 2
Телефон	+359 2 915 3 518
Имейл	[email protected]
Уебсайт	https://www.cpdp.bg

Преди да подадете жалба до КЗЛД, насърчаваме Ви първо да се свържете с нас на [email protected] — в повечето случаи можем да разрешим въпроса директно и бързо.

3. Принципи на обработка на лични данни

При обработката на лични данни Дружеството спазва принципите по чл. 5 от Регламент (ЕС) 2016/679 (Общ регламент за защита на данните, "GDPR"):

Законосъобразност, добросъвестност и прозрачност — обработваме данни само на ясно правно основание и информираме субектите за това.
Ограничение на целите — събираме данни за конкретни, изрично указани и легитимни цели и не ги използваме по начин, несъвместим с тези цели.
Свеждане до минимум — събираме само онези данни, които са необходими за съответната цел.
Точност — поддържаме данните актуални и предоставяме механизми за корекция.
Ограничение на съхранението — не съхраняваме данни по-дълго, отколкото е необходимо (вж. Раздел 9).
Цялостност и поверителност — прилагаме технически и организационни мерки за защита (вж. Раздел 12).
Отчетност — поддържаме вътрешна документация (Регистър на дейностите по обработване) и сме готови да я представим при поискване от надзорния орган.

4. Категории субекти на данни

Личните данни, които обработваме, се отнасят до следните категории физически лица:

4.1 Регистрирани потребители на платформата (Дружеството = администратор)

Служители на заведения-клиенти, които си създават акаунт в Reservation.tools, за да управляват резервации, маси, клиенти и плащания на заведението. Това могат да бъдат собственици, мениджъри, келнери и други служители.

4.2 Посетители на www.reservation.tools (Дружеството = администратор)

Анонимни посетители на маркетинговия уебсайт на платформата.

4.3 Получатели на продуктови и сервизни известия (Дружеството = администратор)

Регистрирани потребители на платформата, които периодично получават известия за нови функционалности, важни промени в услугата и сродни продуктови съобщения. Тези известия се изпращат само на съществуващи клиенти на платформата — Дружеството не поддържа отделен публичен формуляр за абонамент за бюлетин и не изпраща маркетингови съобщения към лица, които не са регистрирани потребители. Всеки получател може да се отпише по всяко време чрез линка за отписване, наличен във всеки имейл.

4.4 Крайни клиенти на заведенията (Дружеството = обработващ от името на заведението)

Физически лица, които правят резервация в заведение, използващ Reservation.tools — независимо дали резервацията е направена директно през уеб формата на заведението, през Google Reserve, по телефон, или въведена ръчно от служител на заведението.

Юридически статут: За тези данни заведението е администратор, а Дружеството действа само като обработващ лични данни по смисъла на чл. 28 от GDPR. Това означава, че:

Заведението решава какви данни се събират, за какви цели и колко дълго се пазят.
Дружеството обработва тези данни само по указание на заведението и по силата на договор между заведението и Дружеството (включващ Споразумение за обработка на лични данни — DPA).
Искания за достъп, корекция, изтриване и други права по GDPR относно данни на крайни клиенти на заведения следва да се отправят първо към съответното заведение. Дружеството ще съдейства на заведението при изпълнението на такива искания.

4.5 Подадени запитвания чрез формата за контакт (Дружеството = администратор)

Посетители, които изпратят формата за контакт на www.reservation.tools, предоставят: име, имейл адрес и свободен текст на съобщението. Тези данни се обработват с цел отговор на запитването. Освен това, ако сте дали маркетингово съгласие чрез бисквитения банер, хеширана (необратима) версия на данните Ви за контакт (имейл, име, телефон) може да бъде предадена на Meta Platforms с цел измерване на ефективността на рекламни кампании (Advanced Matching). Meta получава само криптографския хеш — не оригиналните стойности. Подадените запитвания се съхраняват до 12 месеца след приключване на запитването.

5. Категории лични данни

5.1 Регистрирани потребители на платформата

Идентификационни данни: име, имейл адрес, телефонен номер
Удостоверителни данни: парола (съхранява се в хеширан вид, не в открит текст)
Профилни данни: роля в платформата (собственик, мениджър, viewer и т.н.), език, часова зона
Сесийни и технически данни: IP адрес, тип браузър, операционна система, време на последен вход
Журнални записи на действия в платформата (audit logs)

5.2 Посетители на www.reservation.tools

Технически данни: IP адрес (псевдонимизиран при използване на аналитика), тип браузър, посетени страници, реферер
Cookies — подробно описани в отделна Политика за бисквитки (вж. Раздел 11)

5.3 Получатели на продуктови известия

Тази категория съвпада с регистрираните потребители на платформата (вж. 5.1). За изпращане на продуктови имейли се обработват:

Имейл адрес и име на регистрирания потребител
Метаданни за ангажираност (доставка, отваряне, кликове) — за измерване на ефективността и подобряване на съдържанието

5.4 Крайни клиенти на заведенията (обработвани от името на заведението)

Идентификационни данни: име, имейл адрес, телефонен номер
Резервационни данни: дата и час на резервация, брой гости (включително брой деца), маса/зала, статус
Предпочитания: диетични ограничения, специални пожелания, бележки от заведението
История на резервациите при съответното заведение
Външни идентификатори (когато е приложимо): Stripe customer ID — генериран и съхраняван от Stripe акаунта на заведението; Google Reserve User ID — когато резервацията идва през Google Reserve

Какво НЕ събираме: Не събираме чувствителни ("специални") категории лични данни по смисъла на чл. 9 от GDPR — расов или етнически произход, политически възгледи, религиозни убеждения, генетични или биометрични данни, данни за здравословното състояние, сексуална ориентация. Изключение: ако заведение въведе диетична информация (напр. "алергия към ядки"), тя може да съдържа индиректна здравна информация — отговорността за това е на заведението като администратор.

Платежни данни (карти и др.): Дружеството не съхранява и не обработва данни за платежни карти. Когато заведение приема плащания през платформата, тези плащания се обработват директно от Stripe (през Stripe Connect Standard) или myPOS (през embedded checkout) — вж. Раздел 7.4.

5.5 Потребители на мобилното приложение (iOS и Android)

Данни за устройството: модел на устройството, версия на операционната система, версия на приложението
Токен за push известия (Apple Push Notification Service / Firebase Cloud Messaging) — използва се единствено за доставяне на свързани с услугата известия (напомняния за резервации, актуализации на статуса)
Достъп до камерата (само при изрично разрешение от потребителя) — за сканиране на QR кодове в приложението

Мобилните приложения не събират данни за местоположение, контакти или друга чувствителна информация от устройството. Токените за push известия не се споделят с трети страни за маркетингови цели.

5.6 Запитвания чрез формата за контакт

Идентификационни данни: име, имейл адрес
Свободен текст на съобщението

6. Цели и правни основания за обработка

Обработваме лични данни на следните основания по чл. 6, ал. 1 от GDPR:

Цел на обработка	Категория субект	Категории данни	Правно основание	Чл. от GDPR
Регистрация и поддържане на потребителски акаунт	Регистрирани потребители	Име, имейл, парола, роля	Изпълнение на договор	Чл. 6(1)(б)
Изпращане на оперативни известия (потвърждение на регистрация, нулиране на парола, известия за акаунта)	Регистрирани потребители	Имейл, телефон	Изпълнение на договор	Чл. 6(1)(б)
Издаване на фактури и счетоводна отчетност	Регистрирани потребители / клиенти	Име, ЕИК (за юридически лица), адрес	Законово задължение	Чл. 6(1)(в) — Закон за счетоводството
Защита от злоупотреба, ботове, спам и измами	Посетители / потребители	IP, технически идентификатори	Легитимен интерес	Чл. 6(1)(е)
Подобряване на платформата (debugging, проследяване на грешки)	Потребители	Технически данни, грешкови записи	Легитимен интерес	Чл. 6(1)(е)
Изпращане на продуктови и сервизни известия	Регистрирани потребители	Имейл, име	Легитимен интерес — информиране на съществуващи клиенти за услугата, която ползват, с право на отписване във всеки момент	Чл. 6(1)(е)
Аналитика на маркетинговия уебсайт (GA4)	Посетители на www	Cookies, IP, поведение	Съгласие (бисквитен банер)	Чл. 6(1)(а) + чл. 4а от ЗЕС
Маркетингова аналитика и ремаркетинг (Facebook Pixel)	Посетители на www	Cookies, IP, поведение; хеширани данни за контакт при Advanced Matching (виж Раздел 4.5)	Съгласие (бисквитен банер)	Чл. 6(1)(а) + чл. 4а от ЗЕС
Обработка на данни на крайни клиенти на заведения	Крайни клиенти на заведенията	Резервационни данни	Договор между заведението и Дружеството (като обработващ)	Чл. 28

Кратко обяснение на легитимния интерес: Когато се позоваваме на легитимен интерес, прилагаме т.нар. "тест за балансиране" — съпоставяме нашия интерес с правата и свободите на субекта на данни. Имате право да възразите срещу такава обработка по всяко време (вж. Раздел 10).

7. Получатели на лични данни (под-обработващи)

За да предоставяме платформата, използваме доставчици на услуги, които действат като под-обработващи на данните, за които ние сме администратор или обработващ. С всеки от тях имаме (или прилагаме автоматично, чрез условията на доставчика) Споразумение за обработка на лични данни (DPA), отговарящо на изискванията на чл. 28 от GDPR.

7.1 Какво означава "под-обработващ"

Под-обработващ е трета страна, на която Дружеството поверява извършването на конкретни операции по обработка на лични данни (например хостинг на бази данни, доставка на транзакционни имейли, изпращане на SMS). Под-обработващите действат строго по указания на Дружеството и са обвързани с договорни задължения за поверителност и сигурност.

7.2 Актуален списък на под-обработващите

#	Доставчик	Цел на обработката	Юрисдикция	Механизъм за трансфер	DPA
1	Amazon Web Services EMEA SARL	Хостинг на платформата, съхранение на файлове (S3), транзакционни имейли (SES)	Ирландия (eu-west-1)	ЕС/ЕИП — без трансфер извън ЕС	AWS GDPR DPA (автоматично приложим съгласно AWS Service Terms)
2	MailerLite Limited	Изпращане на продуктови и сервизни имейли към регистрирани потребители	Литва (ЕС)	ЕС/ЕИП — без трансфер извън ЕС	MailerLite DPA
3	Cloudflare, Inc.	Защита от ботове и DDoS, edge доставка на статично съдържание	САЩ (с edge точки в ЕС)	EU–U.S. Data Privacy Framework + Стандартни договорни клаузи (SCC)	Cloudflare Customer DPA
4	Rollbar, Inc.	Проследяване на технически грешки и debugging (не съдържа лични данни на крайни клиенти; може да съдържа технически идентификатори на регистрирани потребители)	САЩ	EU–U.S. Data Privacy Framework + SCC	Rollbar DPA
5	GatewayAPI ApS	Изпращане на SMS известия (резервационни напомняния и др.)	Дания (ЕС)	ЕС/ЕИП — без трансфер извън ЕС	GatewayAPI DPA
6	LINK Mobility AS	Алтернативен SMS канал за отделни региони	Норвегия (ЕИП)	ЕИП — без трансфер извън ЕИП	LinkMobility DPA
7	Google LLC / Google Ireland Limited	(а) Google Reserve — приемане на резервации през Google Maps и Google Search; (б) Google Analytics 4 — анонимизирана уеб аналитика само на маркетинговия уебсайт www.reservation.tools, само със съгласие	САЩ (с EU sub-entity за европейски клиенти)	EU–U.S. Data Privacy Framework + SCC	Google Cloud DPA
8	Mixpanel, Inc.	Продуктова аналитика в приложението (rt-app) — измерване на използването на функционалности с цел подобряване на продукта	Германия (Frankfurt — EU residency)	ЕС/ЕИП — без трансфер извън ЕС	Mixpanel DPA
9	Meta Platforms Ireland Limited	Facebook/Instagram Pixel — маркетингова аналитика и измерване на ефективността на рекламни кампании, само на маркетинговия уебсайт www.reservation.tools, само със съгласие	Ирландия (ЕС) + САЩ (Meta Platforms, Inc.)	EU–U.S. Data Privacy Framework + SCC	Meta Business Tools Terms (включва задължения за обработка на данни)

7.3а Потоци на SMS и имейл данни

Когато заведение изпраща SMS известия чрез платформата (напр. потвърждения на резервации, напомняния), телефонният номер на крайния клиент и съдържанието на съобщението се предават на SMS доставчика (GatewayAPI или LINK Mobility) за доставка. По подобен начин транзакционните имейли (напр. потвърждения на резервации) се изпращат чрез Amazon SES. Тези доставчици действат като под-обработващи и обработват данните единствено с цел доставка на съобщението — те не съхраняват съдържанието на съобщението отвъд необходимото за доставка и регулаторно съответствие.

7.3 Промени в списъка на под-обработващите

Дружеството може да добавя, премахва или заменя под-обработващи, когато това е необходимо за подобряване на услугата, миграция към по-добри доставчици или поради прекратяване на услугата от съществуващ доставчик. При добавяне на нов под-обработващ, Дружеството:

Актуализира таблицата по т. 7.2 в тази Политика за поверителност
Уведомява клиентите си (заведения) по имейл преди новият под-обработващ да започне да обработва лични данни, в рамките на разумен срок, който позволява възражения

Заведение-клиент има право да възрази обосновано срещу нов под-обработващ. При неразрешим спор страните си запазват правото да прекратят договора съгласно условията на DPA.

7.4 Оповестяване по силата на закон

Дружеството може да разкрие лични данни пред държавни органи, когато това е изискано със законов акт (напр. съдебно разпореждане, разпореждане на компетентен орган). В такива случаи Дружеството проверява легитимността на искането и оповестява само данните, които са изрично изискани от съответния акт.

7.5 Платежни услуги — НЕ са под-обработващи на Дружеството

Когато заведение приема плащания през платформата, плащанията се обработват в така наречения "facilitator" модел — Дружеството не е страна по плащането и не обработва платежни данни:

Stripe (чрез Stripe Connect Standard): заведението има собствен Stripe акаунт, свързан с платформата чрез OAuth (scope=read_write). Платежните данни (включително данни за карти) се обработват директно между крайния клиент и Stripe акаунта на заведението чрез механизма "Direct Charges" с заглавка Stripe-Account. Дружеството не съхранява данни за карти, не е merchant of record и не получава комисиони от транзакциите.
myPOS (чрез embedded Checkout): заведението има собствен myPOS търговски акаунт с уникален Store ID и сертификати. Платформата препраща крайния клиент към платежна форма, използваща merchant credentials на самото заведение. Дружеството не е страна по плащането.

В тези два случая Stripe и myPOS са под-обработващи на заведението като администратор, а не на Дружеството. Условията за обработка на платежни данни се регулират от прякото договорно отношение между заведението и съответния платежен доставчик.

7.6 Уиджет за резервации, вграден на уебсайтове на заведения

Когато заведение вгради уиджета за резервации на Reservation.Tools на собствения си уебсайт, уиджетът се свързва с платформата на Reservation.Tools за показване на наличност и приемане на резервации. Данните, събрани чрез уиджета (име, телефон, имейл, детайли за резервацията), се обработват съгласно политиката за поверителност на заведението, като Дружеството действа като обработващ. Уиджетът не поставя бисквитки на уебсайта на заведението извън стриктно необходимите за сесията на резервацията.

7.7 Услуги на трети страни, вградени в www.reservation.tools

Маркетинговият уебсайт вгражда Calendly за планиране на демо на страницата за ценообразуване. Когато взаимодействате с уиджета на Calendly, Calendly обработва Вашите данни (име, имейл, избран час) като самостоятелен администратор на лични данни съгласно собствената си политика за поверителност (https://calendly.com/privacy). Дружеството не получава и не съхранява данни от Calendly резервации в собствените си системи — те се използват единствено за планиране на демо.

8. Международни трансфери на данни

Основната ни инфраструктура и под-обработващи са разположени в Европейския съюз / Европейското икономическо пространство (ЕС/ЕИП):

Хостинг и инфраструктура — Amazon Web Services, регион eu-west-1 (Ирландия)
Маркетингови имейли — Литва (ЕС)
SMS — Дания и Норвегия (ЕИП)

За част от услугите (например автентикация през Google, защита от ботове, проследяване на грешки) данните могат да се обработват от доставчици в Съединените американски щати. В тези случаи трансферът е защитен по един от следните механизми по чл. 44–49 от GDPR:

EU–U.S. Data Privacy Framework (DPF) — доставчикът е сертифициран по Рамката за защита на данните между ЕС и САЩ. Можете да проверите статуса на сертификация на https://www.dataprivacyframework.gov
Стандартни договорни клаузи (SCC) — за доставчици, които не са сертифицирани по DPF, се прилагат одобрените от Европейската комисия Стандартни договорни клаузи

Конкретни данни кой доставчик в коя юрисдикция и под кой механизъм оперира — вижте актуалния списък на под-обработващите (Раздел 7.2).

Дружеството не извършва трансфери към трети държави извън ЕС/ЕИП и САЩ.

9. Срокове на съхранение

Срок на съхранение се определя за всяка категория данни в зависимост от целта и приложимото законодателство:

Тип данни	Срок	Основание
Активни потребителски акаунти (данни на регистрирани потребители)	За срока на действащия договор + 30 дни след прекратяване	Изпълнение на договор
Закрити потребителски акаунти	Изтриват се или анонимизират в рамките на 30 дни след прекратяване, освен ако законово задължение не изисква по-дълго съхранение	Минимизация на данните
Фактури и счетоводни документи	10 години от началото на годината, следваща годината на издаване	Закон за счетоводството, чл. 12
Метаданни за плащания (Stripe / myPOS reference IDs в нашата база)	За срока на счетоводната задължителност (10 г.)	Закон за счетоводството
Сървърни логове (access logs, error logs)	До 12 месеца	Легитимен интерес — сигурност и debugging
Записи за грешки в системата (Rollbar)	До 30 дни	Легитимен интерес
Продуктови имейли — списък на получатели	За срока на активния акаунт; до отписване	Легитимен интерес
Продуктови имейли — статистика за ангажираност	До 24 месеца от изпращане	Легитимен интерес
Аналитични данни от уебсайта (GA4)	До 14 месеца	Съгласие
Резервни копия (backups) на базата данни	За техническия срок, необходим за възстановяване след инциденти, след което автоматично се ротират	Оперативна непрекъснатост и възстановяване
Данни на крайни клиенти на заведения (когато сме обработващ)	Според указанията на заведението като администратор; при прекратяване на договора със заведението — изтриват се или връщат на заведението в съответствие с DPA	Чл. 28 — обработка по указание на администратора

Запитвания чрез формата за контакт
До 12 месеца след приключване на запитването
Легитимен интерес — отговор на запитвания на клиенти

Токени за push известия от мобилното приложение
За срока на активния акаунт; до деинсталиране на приложението или оттегляне на разрешението за push известия
Изпълнение на договор

Бележка за резервните копия: Правото на изтриване ("право да бъдеш забравен") се прилага и за резервните копия. Когато данните бъдат изтрити от продукционната база данни, те ще бъдат окончателно премахнати и от резервните копия в рамките на цикъла на ротация (до 30 дни). До тогава резервните копия се пазят само за целите на възстановяване след инциденти и не се използват за други цели.

10. Права на субектите на данни

Като субект на данни имате следните права съгласно GDPR (чл. 15–22):

Право на достъп (чл. 15) — да получите потвърждение дали обработваме Ваши данни и копие от тях.
Право на коригиране (чл. 16) — да изисквате коригиране на неточни данни или допълване на непълни данни.
Право на изтриване / "право да бъдеш забравен" (чл. 17) — да изисквате изтриване на Вашите данни, освен когато законово задължение или легитимен интерес изисква запазването им.
Право на ограничаване на обработването (чл. 18) — да изисквате временно спиране на обработката в определени случаи.
Право на преносимост на данните (чл. 20) — да получите Вашите данни в структуриран, машинно четим формат.
Право на възражение (чл. 21) — да възразите срещу обработка, основана на легитимен интерес или директен маркетинг.
Право да оттеглите съгласие (чл. 7, ал. 3) — за обработки, основани на съгласие, по всяко време. Оттеглянето не засяга законосъобразността на обработката преди оттеглянето.
Право на жалба до надзорен орган (чл. 77) — до Комисията за защита на личните данни (вж. Раздел 2).

10.1 Как да упражните правата си

Изпратете писмено искане на: [email protected]

Молим Ви да включите достатъчно информация, за да можем да Ви идентифицираме и да обработим искането (например имейл адрес, използван при регистрация). При обосновани съмнения за самоличността Ви, можем да поискаме допълнителна информация за потвърждение.

10.2 Срок за отговор

Дружеството отговаря на искания в срок до 30 дни от получаването. При сложни или многобройни искания срокът може да бъде удължен с още 60 дни, за което ще Ви уведомим.

10.3 Безплатно

Упражняването на правата Ви е безплатно. Дружеството може да откаже или да наложи разумна такса само ако исканията са явно неоснователни или прекомерни (особено поради повтарящ се характер).

10.4 Искания относно данни на крайни клиенти на заведения

Ако сте бил клиент на заведение, използващ нашата платформа, и искате да упражните правата си върху Ваши данни (резервации, телефон, имейл), молим да се обърнете първо към съответното заведение, тъй като той е администратор на тези данни. Дружеството ще съдейства на заведението при изпълнението на Вашето искане.

11. Бисквитки (Cookies) и подобни технологии

11.1 Какво представляват бисквитките

Бисквитката е малък текстов файл, който уебсайт записва в браузъра Ви, за да запомни информация между посещенията — например предпочитан език, статус на влизане или съгласие за анализ. Бисквитките сами по себе си не съдържат лична информация (име, имейл и т.н.), но могат да се използват за разпознаване на устройство или браузър при следващи посещения.

В тази политика "бисквитки" обхваща и сродни технологии: local storage, session storage, web beacons, pixels.

11.2 Категории бисквитки, които използваме

Дружеството категоризира бисквитките в три групи, в съответствие с насоките на ЕDPB и чл. 4а от Закона за електронните съобщения:

Стриктно необходими — задължителни за основното функциониране на услугата (вход в платформата, поддържане на сесия, защита от ботове, запазване на избора Ви по тази политика). Не изискват съгласие.
Аналитични — измерват анонимизирано как се използва маркетинговият уебсайт, за да го подобряваме. Изискват съгласие.
Маркетингови / реклама — използват се за измерване на ефективността на рекламни кампании и ремаркетинг. Изискват съгласие.

11.3 Конкретни бисквитки

11.3.1 Стриктно необходими (без съгласие)

Бисквитка	Доставчик	Цел	Срок
`cc_cookie`	Reservation.tools	Запазва избора Ви относно категориите бисквитки от банера за съгласие	6 месеца
`PHPSESSID`	Reservation.tools	Поддържа потребителската сесия в платформата след вход (Secure, SameSite=Lax)	До затваряне на браузъра
`__cf_bm`	Cloudflare	Защита от ботове и автоматизирани атаки (Bot Management)	30 минути
`cf_clearance`	Cloudflare	Доказване, че посетителят е преминал challenge срещу ботове	До 30 дни

11.3.2 Аналитични (само със съгласие — само на www.reservation.tools)

Бисквитка	Доставчик	Цел	Срок
`_ga`	Google Analytics 4	Уникален идентификатор на браузър, използван за измерване на посещения	2 години
`_ga_DCDZNY25K7`	Google Analytics 4	Поддържа сесия и измерва ангажираност за конкретното GA4 property на сайта	2 години

Важно за GA4 на маркетинговия уебсайт: GA4 се зарежда само след като дадете съгласие за категория "Analytics" в банера за бисквитки. До момента на съгласие GA4 не се изпълнява и не записва данни за Вашето посещение. При оттегляне на съгласие GA4 спира да обработва нови данни. В потребителското приложение не се използва Google Analytics — там измерване на употребата на функционалностите се извършва чрез Mixpanel (с EU data residency, без cookies на маркетинговия уебсайт).

11.3.3 Маркетингови (само със съгласие — само на www.reservation.tools)

Бисквитка	Доставчик	Цел	Срок
`_fbp`	Meta Platforms (Facebook Pixel)	Идентификатор на браузъра, използван за измерване на ефективността на рекламни кампании и ремаркетинг	3 месеца
`_fbc`	Meta Platforms (Facebook Pixel)	Съхранява click ID при преход от реклама във Facebook/Instagram към сайта	3 месеца

Важно за Facebook Pixel: Pixel скриптът се зарежда само след като дадете съгласие за категория "Marketing" в банера за бисквитки. При оттегляне на съгласие Pixel спира да обработва нови данни. Facebook Pixel предава събития (посещение на страница) към Meta Platforms за целите на рекламна оптимизация. Подробности: Meta Cookie Policy.

11.4 Управление на съгласието

При първото посещение на www.reservation.tools се показва банер за съгласие, чрез който можете да:

Приемете всички — разрешавате аналитичните и маркетинговите бисквитки
Отхвърлите всички — зареждат се само стриктно необходимите бисквитки
Персонализирате — избирате категория по категория

Можете да промените избора си по всяко време чрез връзка "Управление на бисквитките" в долната част на сайта или чрез настройките на браузъра си.

11.5 Управление на бисквитки чрез браузъра

Освен чрез нашия банер, можете да управлявате или изтривате бисквитки и през настройките на браузъра си. Всеки модерен браузър поддържа изтриване, блокиране и преглеждане на бисквитки. Имайте предвид, че блокирането на стриктно необходими бисквитки може да наруши функционирането на платформата.

Полезни ресурси:

Google Chrome — chrome://settings/cookies
Mozilla Firefox — about:preferences#privacy
Safari — Preferences → Privacy
Microsoft Edge — edge://settings/privacy

12. Сигурност на данните (технически и организационни мерки)

Дружеството прилага технически и организационни мерки, съответстващи на риска, в изпълнение на чл. 32 от GDPR. Тези мерки включват:

Криптиране при пренос — целият трафик към и от платформата се осъществява през HTTPS / TLS
Криптиране в покой — резервните копия и съхранените файлове са криптирани
Контрол на достъпа — ролеви достъп (RBAC) до данни в платформата; принцип на най-малките привилегии за вътрешни администратори
Силни механизми за удостоверяване — хеширани пароли, поддръжка на вход през трети страни (OAuth)
Аудиторски записи — журнали за съществени действия в платформата
Сегрегация на данните по арендатори — multi-tenant изолация на ниво база данни (Doctrine филтри по Account и Venue), предотвратяваща случаен или умишлен достъп между заведения
Резервиране на данни — автоматизирани резервни копия с дефинирана политика на ротация
Локализация на основната инфраструктура в ЕС — основният хостинг е в регион eu-west-1 (Ирландия)
Управление на под-обработващите — DPA с всеки доставчик; периодична преоценка на сигурността на доставчиците
Реакция при инциденти — вътрешен план за действие при пробив в сигурността, включително уведомяване на надзорния орган в рамките на 72 часа съгласно чл. 33 от GDPR

13. Промени в Политиката за поверителност

Дружеството може периодично да актуализира тази Политика за поверителност, например за да отрази нови функционалности, нови под-обработващи или промени в законодателството.

При съществени промени ще уведомим регистрираните потребители по имейл и/или чрез видимо известие в платформата преди новата версия да влезе в сила. Несъществените промени (правописни корекции, актуализиране на контактни данни, добавяне на разяснения без промяна на същността) се отразяват директно в публикуваната версия.

Текущата дата на актуализация е посочена в началото на този документ. Препоръчваме периодично да преглеждате тази страница.

14. Контакт

За въпроси, свързани с тази Политика за поверителност, искания за упражняване на права по GDPR или други въпроси, свързани с обработката на лични данни:

"Резервейшън" ЕООД Имейл: [email protected] Адрес: гр. Варна, ул. Петър Райчев 1А

За оплаквания към надзорен орган: Комисия за защита на личните данни, www.cpdp.bg (вж. Раздел 2 за пълни данни).

Тази Политика за поверителност е изготвена в съответствие с Регламент (ЕС) 2016/679 (Общ регламент за защита на данните) и приложимото българско законодателство.

Споразумението за обработка на лични данни (DPA) между Дружеството и заведенията-клиенти е публикувано като отделен документ:

https://www.reservation.tools/bg/dpa/

DPA-то е инкорпорирано чрез препратка в Общите условия (Terms of Use) — с приемането на Общите условия при регистрация, заведението-клиент приема и DPA-то.