GDPR — Регламент (ЕС) 2016/679

Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година („Общ регламент относно защитата на данните“, накратко GDPR) е основният европейски закон, който урежда обработката на лични данни на физически лица на територията на Европейския съюз.

Регламентът е пряко приложим във всички държави-членки, включително Република България, от 25 май 2018 г. Той дава на гражданите контрол върху техните лични данни и уеднаквява правилата за бизнеси, които работят с тези данни.

„Лични данни“ са всяка информация, свързана с идентифицирано или идентифицируемо физическо лице („субект на данните“) — като име, идентификационен номер, данни за местоположение, онлайн идентификатор или един или повече фактори, специфични за физическата, физиологичната, генетичната, умствената, икономическата, културната или социална идентичност на това лице.

„Обработка“ е всяка операция или комплект операции, извършени с лични данни — събиране, записване, организиране, структуриране, съхраняване, използване, разкриване, предаване, изтриване или унищожаване.

„Администратор на данни“ е лицето или организацията, която определя целите и средствата за обработка (в нашия случай — Twin Burgers). „Обработващ“ е този, който обработва данни от името на администратора (например куриерска фирма).

„Съгласие“ е свободно изразено, конкретно, информирано и недвусмислено изявление на волята на субекта на данните, с което той дава съгласие да бъдат обработвани неговите лични данни (чл. 4, т. 11).

Законност, добросъвестност и прозрачност — личните данни се обработват законно и по начин, прозрачен за субекта на данните.

Ограничение на целите — данните се събират за определени, ясни и законни цели и не се обработват по-нататък по начин, несъвместим с тези цели.

Минимизиране на данните — обработват се само данни, които са подходящи, релевантни и ограничени до необходимото (напр. за поръчка: име, телефон, имейл, адрес при разнос).

Точност — данните трябва да са точни и да се актуализират; неточните данни се изтриват или коригират.

Ограничение на съхранението — данните се пазят в форма, позволяваща идентификация не по-дълго от необходимото за целите.

Целостност и конфиденциалност — обработката се извършва така, че да гарантира сигурност на данните, вкл. защита от неоторизирана обработка, загуба или повреда.

Обработката е законна само ако е налице поне едно от следните основания:

1. Субектът на данните е дал съгласие за обработката на своите лични данни за една или повече конкретни цели.

2. Обработката е необходима за изпълнение на договор, на който субектът на данните е страна (например изпълнение на вашата поръчка).

3. Обработката е необходима за изпълнение на законово задължение.

4. Обработката е необходима за защита на жизненоважни интереси.

5. Обработката е необходима за изпълнение на задача в обществен интерес.

6. Обработката е необходима за легитимните интереси на администратора, освен когато интересите на субекта имат предимство.

При поръчка у нас вашите данни се обработват на основание изпълнение на договор (поръчката) и вашето изрично съгласие, което давате с отметката в формата.

Администраторът трябва да може да докаже, че субектът на данните е дал съгласие за обработка на личните си данни.

Съгласие трябва да е свободно дадено, конкретно, информирано и недвусмислено — изразено с ясен позитивен акт (в нашия случай — отметка на чекбокса преди потвърждаване на поръчката).

Субектът на данните има право да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработката преди оттеглянето.

Прозрачност и информация (чл. 12–14) — информирате се по ясен и разбираем начин за обработката на вашите данни, целите, основанията, срока на съхранение и вашите права.

Достъп (чл. 15) — имате право да получите потвърждение дали данните ви се обработват и ако да — достъп до тях, до целите на обработката, категориите данни, получателите и срока на съхранение.

Коригиране (чл. 16) — имате право да коригирате неточните лични данни без излишно забавяне.

Изтриване / „право да бъдеш забравен“ (чл. 17) — имате право да изтриването на личните ви данни, когато те вече не са необходими за целта, когато оттеглите съгласието, или когато обработката е незаконна.

Ограничаване на обработката (чл. 18) — имате право да изискате обработката да бъде временно спряна, например докато се проверява коректността на данните.

Преносимост на данните (чл. 20) — имате право да получите данните си в структуриран, широко използван и машинночетим формат и да ги предадете на друг администратор.

Право на възражение (чл. 21) — имате право да възразите срещу обработка, основана на легитимен интерес или извършвана за целите на директния маркетинг.

Автоматизирани решения (чл. 22) — имате право да не бъдете подлагани на решение, основано единствено на автоматизирана обработка, което поражда правни последици за вас.

Отговорност (чл. 24) — администраторът прилага подходящи технически и организационни мерки, за да гарантира и може да докаже съответствие с Регламента.

Проектиране и защита по подразбиране (чл. 25) — мерките за защита се прилагат от самото начало на разработката и по подразбиране се обработват само необходимите данни.

Съвместна работа с обработващи (чл. 28) — обработващите (напр. куриерски фирми, имейл доставчици) работят само по документирано нареждане и с подходящи договорни гаранции.

Сигурност на обработката (чл. 32) — прилагат се подходящи технически и организационни мерки: шифроване (TLS/HTTPS), контрол на достъпа, постоянство на системите и редовно тестване.

Уведомяване при пробив на данни (чл. 33–34) — при пробив, който поражда риск за правата на физическите лица, администраторът уведомява надзорния орган в срок до 72 часа, а при висок риск — и засегнатите лица.

Личните данни могат да напуснат ЕС само когато получателят осигурява подходяща защита — например по решение за адекватност на Комисията, стандартни договорни клаузи или сертификация.

В нашия случай услуги като имейл изпращане и карти/сървъри работят с доставчици, които предоставят съответните гарантирани механизми за прехвърляне.

Надзорни органи — всяка държава-членка има независим надзорен орган. За Република България това е Комисията за защита на личните данни (КЗЛД), гр. София, бул. „Проф. Цветан Лазаров“ 2. Уебсайт: www.cpdp.bg.

Отговор на жалби (чл. 57) — надзорният орган разглежда жалби, извършва проверки и налага коригиращи мерки.

Санкции (чл. 83) — при нарушение могат да се налагат административни наказания до 20 млн. евро или до 4% от общия годишен оборот на предприятието, като се избере по-високата сума.

Право на съдебна защита (чл. 78–79) — имате право на съдебно обжалване на действия на надзорния орган или на администратора.

Обработка в контекста на трудовите отношения (чл. 88) — държавите могат да определят специфични правила за данни на служители.

Свободно изразено мнение и информация (чл. 85) — обработка за журналистически, академични и художествени цели е освободена в определени граници.

Отношения с предишни директиви (чл. 94–95) — Регламентът отменя Директива 95/46/ЕО и не се прилага за дейности в областта на правосъдието и вътрешните работи (Директива 2016/680).

Влизане в сила (чл. 99) — Регламентът влиза в сила 20 дни след публикуването и е приложим от 25 май 2018 г.

Събираме само необходимите данни: име, фамилия, телефон, имейл, час на поръчката, а при разнос — адреса за доставка. Без чекбокс за съгласие поръчката не се приема.

Данните се използват само за обработка на поръчката: предаване на кухнята, комуникация с вас (потвърждение по имейл), включително предаване на адреса на куриерската фирма при разнос.

Данните не се продават, не се споделят с трети страни за маркетинг и не се използват за профилиране.

Мерките за сигурност включват шифрована връзка (HTTPS), ограничен достъп само за оторизиран персонал и разделение на достъпа по клонове.

Можете да оттеглите съгласието си или да упражните всяко от горните права, като се свържете с нас или заявите изтриване на данни.