Политика за поверителност

1. Кой обработва данните Ви

Администратор на личните данни е „100 МЕЧТИ" ЕООД, ЕИК 208238190, със седалище и адрес на управление: гр. Плевен 5800, ул. Найчо Цанов 5, ет. 3, ап. 12, Плевен.

Контакт по всички въпроси за защита на личните данни: support@myfirma.bg, телефон +359 876 91 7606.

Платформата е създадена от Веселин Василев. Той не е администратор на личните Ви данни — администратор е дружеството по-горе. Повече в За нас.

Не сме определили длъжностно лице по защита на данните: не извършваме мащабно системно наблюдение и обработката е ограничена до необходимото за изготвяне на конкретен документ. Въпросите се отправят на посочения имейл.

2. Кои сте Вие за нас — категории субекти

• Клиенти — лицата с профил, които поръчват комплект (собственици, управители, счетоводители, адвокати).
• Лица, чиито данни се вписват в документите — съдружници и управители на дружеството. Те често НЕ са наши клиенти. За тях виж раздел 12.
• Посетители — всеки, който отваря сайта, без да създава профил.

3. Какви данни обработваме

3.1. Профил

• Имейл адрес и парола. Паролата се съхранява само като необратим отпечатък (scrypt).
• Дата на регистрация, дата на последно влизане, тип и състояние на профила.
• Данни за фактуриране, ако сте ги попълнили: наименование, ЕИК и адрес на получателя.

3.2. Публични данни за дружеството

• Наименование, ЕИК, правна форма, седалище и адрес на управление, представляващи, предмет на дейност — извлечени от Търговския регистър по въведения от Вас ЕИК.
• Последно обявеният учредителен акт или дружествен договор, така както е публикуван.

3.3. Данни на лицата, необходими за документите

• Три имена, ЕГН, номер на лична карта, издател и дата на издаване, постоянен адрес.
• Място на раждане (изисква се от заявление А4).
• Брой дялове и качество — управител, съдружник или едноличен собственик.

Тези данни се изискват от закона, за да бъдат валидни самите документи. Въвеждате ги Вие — не ги извличаме автоматично отникъде.

3.4. Плащане и фактуриране

• Плащането се обработва изцяло от Stripe. Номера на карти не достигат до нашия сървър и не се съхраняват при нас. При нас остават идентификаторът на плащането, сумата, валутата и статусът.
• Издадената фактура с данните на получателя.

3.5. Технически данни

• IP адрес — използва се за ограничаване на броя заявки срещу злоупотреба. Пази се в оперативната памет на процеса и изчезва при рестарт; не се записва в базата за обикновени посещения.
• IP адресът на администратор се записва в отделен одитен дневник при административни действия (например теглене на комплект по заявка за поддръжка).
• Сесийна бисквитка, необходима, за да останете влезли. Подробно в раздел 10.

3.6. Разчетеният текст на публично обявения акт

Резултатът от разчитането се пази в кеш по ЕИК, за да не се разчита един и същ документ по няколко пъти. Записът съдържа дословния текст на акта така, както е публикуван в регистъра — включително имената на съдружниците, които стоят в него. НЕ съдържа данните, които въвеждате Вие. Преди записа от текста се премахват намерените лични идентификатори (виж раздел 6).

3.7. Записи за доказване

• Регистър на съгласията — вид, версия, отпечатък на текста, момент и (при съгласието за незабавно изпълнение) номер на поръчката.
• Одитна следа — кой профил какво действие е извършил и кога (създадена поръчка, изтеглен комплект, генериран документ). Без съдържание на документите.

4. Източник на данните

Данните за дружеството и обявеният акт се извличат от Търговския регистър и регистъра на юридическите лица с нестопанска цел, воден от Агенция по вписванията, през публичния му портал. Навън тръгва само ЕИК — нищо, което сте въвели. MyFirma не е свързана с Агенцията и не действа от нейно име.

Всички останали данни идват от Вас: при регистрация, при попълване на данните на лицата и при потвърждаване на данните за фактуриране.

5. Защо обработваме данните и на какво основание

Правното основание е различно за различните обработки. Не използваме „съгласие с Политиката за поверителност“ като общо основание — тази политика Ви информира, тя не е нещо, което се подписва.

• Изпълнение на договора с Вас (чл. 6, § 1, б. „б“ ОРЗД) — профил, извличане на фирмените данни, разчитане на акта, изчисление, изготвяне на документите, преглед, плащане, изтегляне и потвърждението по имейл.
• Законово задължение (чл. 6, § 1, б. „в“ ОРЗД) — издаване и съхранение на фактури и счетоводни документи; потвърждението за сключен договор по Закона за защита на потребителите.
• Легитимен интерес (чл. 6, § 1, б. „е“ ОРЗД) — сигурност на платформата, ограничаване на броя заявки, предотвратяване на злоупотреби, доказване на дадените съгласия и защита при спор. Виж раздел 13 за преценката.
• Съгласие (чл. 6, § 1, б. „а“ ОРЗД) — САМО за аналитичните и рекламните технологии и за публикуването на отзив със снимка. Оттегля се по всяко време.

Задължителни са само данните, без които услугата не може да бъде извършена: имейл и парола за профила; ЕИК за извличането; трите имена, ЕГН, данните от личната карта и постоянният адрес на лицата — те се изписват дословно в документите и без тях Агенцията ги отказва; телефонен номер на страницата за плащане — за връзка при проблем с поръчката. Ако откажете да ги предоставите, договор не се сключва. Данните за фактуриране извън задължителните реквизити и съгласието за проследяване са напълно доброволни.

6. Разчитане на акта с изкуствен интелект

За да не заменяме съдържанието на Вашия документ с общ образец, последно обявеният акт се разчита автоматично и текстът му се пренася в актуализираната версия, като се променят само стойностите, свързани с капитала и дяловете. За разчитането използваме услуга на Anthropic, PBC (САЩ).

6.1. Какво НЕ се изпраща

Данните, които въвеждате Вие — имена, ЕГН, лична карта, постоянен адрес — не се изпращат за разчитане. Функцията, която говори с доставчика, приема само ЕИК и файла на акта; въведените от Вас стойности се вписват в документите тук, на нашия сървър. Това е проверено с тест, който прихваща изходящата заявка и сравнява съдържанието ѝ.

6.2. Какво се изпраща

Изпраща се самият файл на акта, така както Търговският регистър го отдава публично — цял. Регистърът публикува тези документи със заличени лични данни, но имената на съдружниците остават в текста и следователно напускат сървъра заедно с файла.

6.3. Какво правим, когато регистърът не е заличил

Актовете, прехвърлени от съдебните фирмени дела при пререгистрацията, понякога съдържат незаличени ЕГН. Затова преди изпращането проверяваме текста на документа. Ако в него има валиден единен граждански номер или личен номер на чужденец, работи следното:

• Заличаваме числото в самия документ. Цифрите се заменят с точки направо във файла, така че изчезват и от текста, и от изрисуваната страница. Оригиналният файл не се изпраща.
• Проверяваме готовия файл наново и го изпращаме само ако в него вече няма разпознаваем идентификатор.
• Ако заличаването в документа не се получи (нестандартен файл), опитваме с текста на акта — извлечен и заличен тук, на нашия сървър, и също проверен повторно.
• Ако и това не мине проверката, навън не тръгва нищо и разчитането пада към ръчно въвеждане.

Така запазвате автоматичното изготвяне на документите, а числото не напуска сървъра. Не разчитаме на обещание — проверява се самият файл, който ще бъде изпратен.

Границата на тази проверка, казана честно: тя чете текстовия слой на документа. Голяма част от актовете в регистъра са сканирани изображения без текстов слой — при тях проверката няма какво да види и файлът тръгва както обикновено. Затова втората преграда е основната: от разчетения текст се премахват намерените лични идентификатори, преди той да бъде запазен и преди да влезе в документите, включително в преписа, който се обявява публично. Тя работи независимо от вида на файла.

6.4. Изпраща се ≠ съхранява се ≠ използва се за обучение

• Изпраща се — файлът на публично обявения акт, както е описано по-горе.
• Съхранява се — според официалните условия на доставчика входовете и изходите по неговия програмен интерфейс се изтриват в срок до 30 дни от получаването им. По-дълго задържане е предвидено само при сигнал за нарушение на правилата за ползване.
• За обучение на модели не се използва — според официалната политика на Anthropic за търговските ѝ продукти.

Няма втори доставчик на изкуствен интелект и няма резервен. Ако разчитането се провали, въвеждате данните ръчно.

Не вземаме решения, основани единствено на автоматизирана обработка, които да пораждат правни последици за Вас по смисъла на чл. 22 ОРЗД. Резултатът от разчитането Ви се показва и Вие го потвърждавате преди генериране. Не извършваме профилиране.

7. На кого предаваме данни

Пълният списък. Няма други получатели и не продаваме данни на никого.

• Търговски регистър (Агенция по вписванията), България — получава само ЕИК. Публичен източник, не обработващ по наше възлагане.
• Anthropic, PBC (САЩ) — файлът на публично обявения акт. Виж раздел 6.
• Stripe — обработва плащането. Получава Вашия имейл, телефонния номер, който въвеждате на страницата за плащане, наименованието и ЕИК на дружеството, сумата и вътрешните номера на поръчката. Телефонният номер остава при Stripe и не се записва в нашата база. Stripe не получава ЕГН, лична карта, адрес на лицата или съдържание на документи.
• Hetzner Online GmbH, Германия — сървърът, на който работи платформата и на който стоят базата и генерираните файлове. Обработването е в Европейския съюз.
• Доставчикът на изходяща поща (по подразбиране Google) — през него минават писмото с потвърждение на поръчката до Вас и вътрешното известие до екипа. Той вижда Вашия имейл, номера на поръчката, наименованието и ЕИК на дружеството и сумата.
• Google Ireland Limited — статистика за посещаемостта. Само при Ваше съгласие; без него скриптът изобщо не се зарежда. Не изпращаме към Google имена, имейли, ЕГН, адреси, съдържание на документи, нито ЕИК.
• Meta Platforms Ireland Limited — измерване на рекламите. Само при Ваше съгласие. Освен бисквитките в браузъра, при поръчка нашият сървър изпраща и събитие към Meta, което съдържа: необратимо хеширан имейл, необратимо хеширан вътрешен идентификатор на профила, IP адрес, тип браузър, рекламните идентификатори от бисквитките и сумата. Не изпращаме ЕИК и наименование на фирма.

8. Предаване извън Европейския съюз

Anthropic обработва данни в САЩ. Stripe, Google и Meta работят през дружества в Европейския съюз, но може да обработват данни и в САЩ.

Всеки от тези доставчици предвижда в собствените си условия механизъм за такова предаване — стандартни договорни клаузи и/или сертификация по Рамката за защита на личните данни ЕС–САЩ. Казваме го както е: позоваваме се на механизмите, обявени от самите доставчици. Копия на сключените с всеки от тях документи можете да поискате на support@myfirma.bg и ще Ви отговорим какво точно е налице към момента на искането.

9. Колко дълго пазим данните

За резервните копия — точно както е. Всяка нощ се прави архив на базата и на файловете и се пази 14 дни. Изтрит казус изчезва от работещата система веднага след срока си, но остава в архивите, докато и те не изтекат. Затова максималният реален живот на данните по един казус е 7 дни плюс 14 дни. Архивите стоят на същия сървър, с достъп само за системния администратор.

10. Бисквитки и подобни технологии

Строго необходими — сесийната бисквитка, която Ви държи влязъл, и записът за избора Ви относно бисквитките. Без тях платформата не работи и за тях не се иска съгласие.

Аналитични и рекламни — скриптовете не се зареждат изобщо, докато не разрешите съответната категория. Двете категории са отделни: разрешаването на статистиката не пуска рекламното измерване.

Пълният списък с технологии, срокове и доставчици е в Политиката за бисквитки.

11. Мерки за сигурност

Изброяваме само мерки, които реално съществуват в системата.

• Криптирана връзка (HTTPS) за целия сайт.
• Криптиране при съхранение на точно определени полета — ЕГН, номер на лична карта и постоянен адрес, с AES-256-GCM. Имената и данните за дружеството не са криптирани отделно.
• Паролите се съхраняват само като необратим отпечатък.
• Всяко изтегляне проверява дали поръчката и документът принадлежат на влезлия профил; отговорите с документи не се кешират никъде по пътя.
• Ограничен брой заявки на профил и на адрес срещу злоупотреба и автоматизирани атаки.
• Автоматично изтриване по часовник, а не при случайно посещение.
• Нощни резервни копия с ограничен достъп и 14-дневен срок.

Достъп на поддръжката. Администратор на платформата може да изтегли комплекта на поръчка, когато това е нужно за разрешаване на проблем. Всяко такова действие се записва в отделен одитен дневник заедно с това кой го е извършил и кога. Не твърдим, че документите Ви не могат да бъдат видени от никого — твърдим, че достъпът е ограничен и проследим.

Никоя система не е абсолютно защитена и не твърдим обратното. Не сме преминавали независим одит на сигурността или тест за проникване; ако това се промени, ще го посочим тук с име на проверяващия, обхват и дата.

12. Данни на лица, които не са наши клиенти

В документите се вписват данните на съдружниците и управителите. Част от тези лица не са наши клиенти и не са ги предоставили лично — въвежда ги клиентът, който подготвя документите.

Спрямо тези данни администратор сме ние, защото ние определяме как се обработват — криптирането, срока, веригата на разчитане и начина на доставка. Обработваме ги, защото са необходими за изготвянето на конкретния документ, и на основание нашия и Вашия легитимен интерес този документ да бъде валиден.

Ако сте такова лице: имате всички права по раздел 14 и можете да ги упражните направо при нас на support@myfirma.bg, без да минавате през клиента. Ще Ви кажем какви данни за Вас обработваме, откъде са дошли и кога изтичат.

Ако сте клиент: задължени сте да уведомите лицата, чиито данни въвеждате. Може да ползвате този текст:

13. Легитимен интерес — кога се позоваваме на него

• Сигурност на платформата — записи за вход, одитна следа, ограничаване на заявките. Интересът е защитата на профилите и данните на всички клиенти. Обработват се минимални данни и не се използват за друга цел.
• Защита при спор — запазване на доказателства за дадените съгласия и за изпълнението на поръчката. Интересът е възможността да докажем какво е било договорено; тези записи са нужни именно когато данните по казуса вече са изтрити.
• Данните на съдружниците и управителите — виж раздел 12.

Имате право да възразите срещу обработка на това основание. Възражението се подава на support@myfirma.bg и се разглежда индивидуално.

14. Вашите права

• Достъп до данните, които обработваме за Вас, и копие от тях.
• Коригиране на неточни данни.
• Изтриване — „правото да бъдеш забравен“.
• Ограничаване на обработването.
• Преносимост на данните в машинночетим формат.
• Възражение срещу обработване на основание легитимен интерес.
• Оттегляне на съгласието по всяко време, без това да засяга направеното дотогава.

14.1. Как става на практика

• Искане по имейл на support@myfirma.bg. Отговаряме в срок до един месец. При сложно искане срокът може да бъде удължен с два месеца, за което Ви уведомяваме.
• Изтриване на казус преди срока — пишете ни номера на поръчката. Изтриваме казуса, данните на лицата и файловете. Фактурата остава — тя е счетоводен документ.
• Изтриване на профил — по искане. Заедно с него отпадат казусите и документите Ви.
• Оттегляне на съгласието за бисквитки — от бутона в раздел 10 или от футъра.
• Изтритото от работещата система остава в резервните копия до 14 дни — виж раздел 9.

15. Право на жалба

Ако смятате, че обработваме данните Ви в нарушение на закона, имате право на жалба до Комисията за защита на личните данни: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, cpdp.bg. Можете да подадете жалба и до надзорния орган по местоживеенето си.

16. Нарушения на сигурността

При нарушение на сигурността, което може да породи риск за правата Ви, уведомяваме Комисията за защита на личните данни в срок до 72 часа от узнаването. Когато рискът е висок, уведомяваме и Вас — без ненужно забавяне, на посочения от Вас имейл.

17. Промени в тази политика

При промяна публикуваме новата версия на тази страница с нов номер и нова дата. Всеки правен документ носи собствена версия. При съществени промени уведомяваме и по имейл.

18. История на версиите

• Версия 2.0 — пренаписана след технически одит на кода: добавени са получателите, които липсваха (доставчик на поща, сървърното изпращане към Meta, хостингът), реалният срок заради резервните копия, преградата пред изпращането на незаличени лични данни, достъпът на поддръжката, разделът за лицата, които не са наши клиенти, и точната формулировка за международния трансфер. Поправени: адресът на надзорния орган и твърдението, че аналитичните инструменти не се зареждат без съгласие — то вече е вярно и в кода.
• Версия 1.1 — допълнени: задължителност на данните, легитимен интерес, разграничени срокове, нарушения на сигурността.
• Версия 1.0 — първоначална редакция.

19. Свързани документи

Какво съхраняваме в браузъра Ви е описано в Политиката за бисквитки. Условията за ползване са в Общите условия, а правото на отказ и рекламациите — в Отказ, възстановяване и рекламации.