Политика за поверителност
Никога не продаваме лични данни. Кворум никога и при никакви обстоятелства не продава, не отдава под наем, не търгува и не предоставя лични данни на трети лица срещу заплащане или друга облага – нито за реклама, нито за профилиране, нито за маркетингови или политически цели. Това важи и за списъци с участници и подписи, включително обобщени или „анонимизирани“. Нямаме реклами и не използваме инструменти за проследяване. Ако услугата смени собственика си, този ангажимент остава в сила за вече събраните данни.
1. Кой обработва данните
Администратор на личните данни, описани в раздел 3, е Красимир Рангелов, (НЯМА ЕИК-А БЕЗ ПАРИ СМЕ, НЯМА ФИРМА), адрес: (Улица Някъде в София, 1700). За всякакви въпроси за личните данни: [email protected].
2. Две роли: администратор и обработващ
- Кворум като администратор – за акаунтите на организаторите, журнала на действията, сигналите за нарушения и сигурността на услугата.
- Кворум като обработващ – за данните на участниците (въведени от организатора) и на подписалите петиции на дадена организация. Администратор на тези данни е организацията, която ги въвежда или събира; тя определя целта и основанието. Кворум обработва тези данни само по указание на организацията и за предоставяне на услугата, гарантира поверителността им чрез лицата с достъп, прилага мерките за сигурност по раздел 7, ползва само подизпълнителите по раздел 5, помага на организацията да отговаря на исканията по раздел 9, изтрива данните при изтриване на организацията и предоставя информацията, нужна за доказване на съответствие (чл. 28 GDPR).
3. Какви данни, защо и колко време
| Данни | Цел | Основание | Срок |
|---|---|---|---|
| Акаунт: име, имейл, хеш на паролата, дата на потвърждение на имейла, дата и версия на приетите условия, последен вход | Регистрация, потвърждение на имейла и предоставяне на услугата | Договор – чл. 6, ал. 1, б. „б“ | Докато акаунтът съществува; непотвърден акаунт – до 7 дни |
| Домейнът на имейл адреса (не целият адрес) | Проверка, че адресът не е временен и че домейнът има пощенски сървър – в публичен списък и чрез DNS заявка | Легитимен интерес – чл. 6, ал. 1, б. „е“ (предотвратяване на злоупотреби) | Не се съхранява; резултатът от DNS се кешира до 1 час |
| Хеш (SHA-256) от IP адреса или имейла при вход, регистрация, подписване и сигнал | Ограничаване на броя опити срещу отгатване на пароли и автоматизирани злоупотреби | Легитимен интерес – чл. 6, ал. 1, б. „е“ | До 24 часа |
| Журнал: какво действие, кога, от кой акаунт или участник | Проследимост на гласуванията, сигурност, модерация, защита при спорове | Легитимен интерес – чл. 6, ал. 1, б. „е“ | Докато съществува организацията; при изтриване на акаунта записите остават без връзка с него |
| IP адрес в журнала | Предотвратяване на злоупотреби и пробиви | Легитимен интерес – чл. 6, ал. 1, б. „е“ | 90 дни, след което се изтрива автоматично |
| Участници: имена, личен код, хеш на ПИН, роля, група, тежест на гласа, регистрации и гласове | Регистрация, кворум и гласуване в организацията | Определя го организацията (Кворум е обработващ) | Докато организацията ги пази или до изтриването ѝ |
| Подписи: име, имейл, населено място (по желание), избор за публично показване, час | Подкрепа на петицията и предаване на организацията, която я е публикувала | Съгласие – чл. 6, ал. 1, б. „а“, дадено при подписването | Докато петицията съществува или до оттегляне на съгласието |
| Сигнали за нарушения: текст, по желание – имейл | Разглеждане на сигнала и уведомяване за решението | Правно задължение и легитимен интерес (Регламент (ЕС) 2022/2065) | До 2 години след решението |
| Технически данни при проверката срещу ботове | Защита на регистрацията, подписването и сигналите | Легитимен интерес – чл. 6, ал. 1, б. „е“ | Виж раздел 4 |
Тайно гласуване: при тайно гласуване се записва само, че участникът е гласувал. Отговорът се пази отделно, без връзка с участника и без час, и не може да бъде видян поименно – нито от организатора, нито от Кворум.
Публично показване на подписи: имейлът никога не се показва публично. Ако изрично сте избрали, на страницата и на таблото на петицията се показват само собственото ви име, инициалът на фамилията и населеното място (например „Мария П., Видин“).
4. Проверка срещу ботове
Формулярите за регистрация, подписване и сигнал използват Cloudflare Turnstile. Скриптът на доставчика се зарежда само на тези страници. Той обработва IP адреса и технически данни за браузъра и устройството, за да различи човек от автоматизирана програма. За тези данни доставчикът е самостоятелен администратор: Cloudflare, Inc. – политика за поверителност; Google Ireland Ltd. – политика за поверителност.
5. Кой получава данните
- Организацията – данните на нейните участници и на подписалите нейните петиции.
- Хостинг – (Me, myself and I), където работят сървърите и базата данни.
- Доставчик на имейл услуга – само за писмата за потвърждение и нова парола.
- Доставчикът на проверката срещу ботове – виж раздел 4.
- Държавни органи – само когато сме длъжни по закон (например по искане на съд или прокуратура).
Никой от тях не получава данните, за да ги продава или използва за собствена реклама.
6. Предаване извън Европейския съюз
Данните се съхраняват в Европейския съюз. Доставчиците на проверка срещу ботове може да обработват технически данни и в САЩ – на основание Рамката за защита на данните ЕС–САЩ или стандартни договорни клаузи.
7. Сигурност
- Връзката е криптирана (HTTPS).
- Паролите и ПИН-овете се пазят само като хеш (PBKDF2); връзките за потвърждение и нова парола – само като хеш и с кратък срок.
- Данните на всяка организация са отделени – всяка заявка към базата е ограничена до организацията.
- Опитите за вход са ограничени; ПИН-овете са защитени от отгатване.
- Всяко действие се записва в журнал. Достъп до данни на организации имат само модераторите на платформата и само при разглеждане на сигнал или нарушение.
8. Автоматизирани решения
Не вземаме автоматизирани решения и не профилираме потребителите. Изчисляването на кворум и мнозинство е аритметика по правилата, избрани от организацията.
9. Вашите права
Имате право на достъп, коригиране, изтриване, ограничаване на обработването, преносимост, възражение и оттегляне на съгласие по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.
- Организатори: изтегляте и изтривате данните си сами от страницата „Акаунт“.
- Участници и подписали: обърнете се към организацията. Може да пишете и на [email protected] – ще препратим искането и ще помогнем на организацията да го изпълни.
Отговаряме до един месец. Имате право на жалба до Комисията за защита на личните данни, бул. „Проф. Цветан Лазаров“ № 2, София 1592, www.cpdp.bg.
10. Деца
Акаунт на организатор могат да създават само пълнолетни лица. Подписването на петиции не е предназначено за лица под 14 години (чл. 25в от Закона за защита на личните данни).
11. Бисквитки
Използваме само строго необходими бисквитки – виж Политиката за бисквитките.
12. Отказ от отговорност
Кворум не отговаря за начина, по който организациите използват данните на своите участници и подписали извън платформата – за това отговаря организацията като администратор. Политиката има информационен характер и не ограничава правата ви по закон.
13. Промени
При съществени промени ще уведомим организаторите по имейл и на сайта поне 14 дни предварително. Актуалната версия е винаги на тази страница.