Политика за поверителност

1. Администратор на данни

Операторът, посочен в края на тази политика, е администратор за акаунт, договорни, фактурни, сигурност и продуктови данни. Когато бизнес клиент качва документи или предоставя данни за свои служители, клиенти и подписващи, той може да бъде администратор, а SignFida да обработва данните от негово име за предоставяне на услугата.

2. Категории данни

Обработваме данни за акаунта и организацията, роли, настройки, план и срокове на достъп; документи, получатели, данни за подписване и доказателства според използваните функции. За персонална оферта пазим лице за контакт, имейла на акаунта, фирма/телефон по избор, избран план, потребители, нужно пространство, съобщение и статус на заявката. Заявката се пази в администрацията и се изпраща по имейл до оператора за отговор на запитването, а не като съгласие за маркетинг.

3. Цели и правни основания

• Изпълнение на договор: регистрация, достъп, съхранение, подписване, споделяне, фактуриране и поддръжка.
• Законово задължение: счетоводни, данъчни, регулаторни и валидни искания от органи.
• Легитимен интерес: защита от измама и злоупотреба, сигурност, диагностика, защита на правни претенции и подобряване на надеждността, след преценка на интересите.
• Съгласие: незадължителна аналитика и други случаи, в които изрично го поискаме; съгласието може да се оттегли занапред.

4. Източници и задължителност

Данните идват от потребителите, собствениците на работни пространства, получателите и използваните устройства. Задължителните полета са нужни за съответния акаунт или функция. В този режим данните от запитването не се изпращат до оператор за плащания с карта.

5. Получатели и доставчици

Доставчици обработват данни според необходимото за хостинг, съхранение, доставка на имейли и използвания метод на подписване. Заявките за оферта се изпращат до служебната поща на оператора. Незадължителната аналитика и услугите срещу злоупотреби се използват само когато са активни. Локалните инструменти за подписване не означават партньорство с доставчиците им.

Незадължителен AI анализ на места за подпис: когато е включен за Business или Enterprise и разрешен при качване, изображения на ограничен брой страници и контекст около възможните позиции се изпращат към OpenAI. Анализът предлага позиции и видими следи, но не удостоверява валидността на подпис. Без разрешение документът се обработва локално. Не използваме Files API и заявката е с store=false; това не изключва приложимото съхранение от доставчика за сигурност и наблюдение на злоупотреби. Договорните условия, международните трансфери и настройките за съхранение на OpenAI трябва да бъдат проверени преди обработка на клиентски документи. Данни и съхранение в OpenAI

6. Международни трансфери

Някои доставчици може да обработват данни извън ЕИП. Местоположенията, договорните гаранции и приложимите основания за трансфер трябва да се преценят за действително използваните доставчици.

7. Срокове за съхранение

Акаунт и договорни данни се пазят докато акаунтът е активен и след това за сроковете, необходими за претенции и задължения. При заявка за изтриване акаунтът се насрочва за окончателно премахване след 30 дни; през този срок заявката може да бъде отменена след потвърждение по email. При окончателното изтриване документите, работните пространства, подписите и свързаната оперативна история се премахват, освен когато законово задължение или валиден спор изисква ограничено съхранение. Фактури и счетоводни записи се пазят за приложимия законов срок. Данните в резервни копия се премахват чрез обичайния цикъл на ротация и не се възстановяват за оперативна употреба. При валиден спор, проверка или законово задължение срокът може да бъде удължен.

8. Права

При условията на GDPR можете да поискате достъп, корекция, изтриване, ограничаване, възражение и преносимост и да оттеглите съгласие чрез правния контакт. Отговаряме без ненужно забавяне и до един месец. При сложни или многобройни искания можем да удължим срока с още два месеца, като в първия месец обясним причините. Може да поискаме разумна идентификация. За данни на ваша организация може да насочим искането към нея като администратор. Това е отделно от срока за отмяна на изтриване на профил.

9. Жалба и автоматизирани проверки

Можете да подадете жалба до Комисията за защита на личните данни или компетентния надзорен орган. В този режим не се извършват проверки за измами или удостоверяване на плащания с карта. cpdp.bg.

10. Сигурност и нарушения

Прилагаме контрол на достъпа, HTTPS, CSRF защита, ограничени права, частно файлово хранилище, audit trail и AES-256-GCM криптиране на частните документи преди съхранение. Криптиращите ключове и чувствителните частни ключове се управляват отделно от файловете. При нарушение оценяваме риска и уведомяваме компетентния орган и засегнатите лица, когато законът го изисква.

Доказателства за подписване

За проверка на достъпа до имейла използваме еднократен код с ограничени опити и срок. Пазим хеш на кода, адрес, връзка с поканата и документа, време на проверка и употреба; не пазим кода в отворен вид в базата. Това не е независима проверка на гражданската самоличност. Когато бъде договорен и активиран външен времеви печат, към доставчика се изпраща хеш на доказателствата. При активиран защитен архив копие от пакета с документи и доказателства се съхранява при отделен доставчик за предварително определен срок; договорът, държавата, приложимото основание и срокът трябва да бъдат уточнени преди активиране. Няма автоматично активирано външно архивиране.

За всеки нов подпис пазим приетата декларация и нейната версия, данни за подписващия, достъп чрез акаунт или линк за подписване, сървърно време, IP адрес, информация за браузъра, хешове на документа и отделно подписано PDF копие. Собственикът може да изтегли доказателствата, а другите подписали — доказателствата за подписаните от тях версии. Достъпът чрез акаунт или линк сам по себе си не е независима проверка на самоличността, а сървърното време не е квалифициран времеви печат. Премахването на документ с положен подпис го скрива само от списъка на съответния потребител, без да унищожава подписаните копия и доказателствата за другите страни. Физическото изтриване и заличаването на акаунт с подписани документи изискват отделна преценка на съхранението; този бутон не задава автоматичен срок за пазене. При изрично активиран защитен външен архив копието остава до края на договорения срок, независимо от локалното изтриване.

Декларации, договорни записи и резервни копия

При отказ обработваме име, имейл, идентификатор на договора, съдържание и време на декларацията за изпълнение на законовите ни задължения. При платена поръчка пазим копие и версия на приетата оферта, време и изрично искане за ранно изпълнение, ако е направено. Тези записи не се изтриват автоматично с профила, когато са необходими за законови задължения или правни претенции. Срокът се определя според приложимото основание, а не безсрочно. Криптираните резервни копия се ротират по 30-дневен оперативен цикъл; най-новото възстановимо копие се запазва при проблем с последващ backup. При възстановяване трябва да се приложат отново валидните заявки за изтриване. Достъпът до backup е ограничен до администратора.

Оператор

Услугата SignFida се предоставя от ЛИХТ ЕООД. ЕИК: 120562752. Адрес: ул. Петър Берон 14, 4700 Смолян, България.