Политика за поверителност

Администратор на личните данни, описани в това уведомление, е: „АНДИМАКС“ ООД, Дружество с ограничена отговорност (ООД), вписано в Търговския регистър на Република България. ЕИК: 203076382 ДДС номер: BG203076382 Седалище и адрес на управление: България, гр. София 1113, р-н Изгрев, жк. Изток, ул. Самоков 1, ет. 8, ап. 37 Представлявано от: Върбин Христов Дичев; Георги Руменов Бояджиев Корпоративен сайт: https://www.andimax.net/ TOVR е търговското име на платформата, управлявана от това дружество. За всичко в това уведомление: [email protected] Сигнали за сигурност: [email protected] Пълните данни за дружеството имат и собствена страница — вижте Импресум.

НЕ сме определили длъжностно лице по защита на данните. Казваме го изрично, защото чл. 37 ОРЗД го изисква в определени случаи и имате право да знаете каква позиция заемаме. Нашата оценка е, че основната ни дейност е предоставяне на платформа за товари, а не мащабно наблюдение на лица, и че праговете по чл. 37, § 1, б. „б“ и „в“ не са достигнати при настоящия ни мащаб. Раздел 10 обяснява защо това е преценка, а не очевиден отговор, и какво правим вместо това. Всички въпроси по защита на данните отиват на [email protected] и се разглеждат от управителите.

Данни за акаунта и потребителя • Име, служебен имейл, идентификационни данни, обработвани от слоя за удостоверяване, метод за вход, профилна снимка, ако качите такава. • Настройки на интерфейса: език, часова зона, мерни единици, валута за показване. • Активност в продукта: влизания, действия по товари, вериги и оферти. Данни за дружеството • Наименование, адрес, ЕИК/ДДС номер, транспортни лицензи, CMR застраховка и документите, които качвате като доказателство. • Адрес за фактуриране, фактури и статус на плащане. Данните на картата се обработват от Stripe и никога не достигат наши сървъри. Оперативни данни • Регистрационни номера, позиции, прозорци на наличност и капацитет на превозни средства, получени от телематични интеграции или публични радари. • Данни за водачи, когато телематична интеграция ги предоставя: име, номер на свидетелство за управление, време на управление и работно време от тахографа, почивки, оценки за икономично шофиране. • Товари, маршрути, цени, оферти и резултати от преговори. Контакти и комуникация • Имена, телефонни номера и имейл адреси на лица за контакт при превозвачи и товародатели, включително на хора, които не са потребители на TOVR. • Съдържание на имейли, чат съобщения и разговори, проведени през платформата, както и транскрипции на разговори. • Генерирани от изкуствен интелект обобщения и поведенчески профили на контакти — отзивчивост, поведение при преговори, надеждност — в таблиците ни за contact intelligence. Технически данни • IP адрес, потребителски агент, времеви маркери и диагностика на грешки. • Продуктова аналитика и запис на сесията, но САМО при Ваше съгласие — вижте раздел 13.

Предоставяне на платформата на Вашето дружество — чл. 6, § 1, б. „б“ ОРЗД, изпълнение на договор (за нашите потребители), и чл. 6, § 1, б. „е“, легитимен интерес (за посочени лица за контакт при клиент или превозвач, които сами не са страна по договора). Свързване на товари, изграждане на вериги и диспечиране, включително обработка на позиции на превозни средства и часове на водачите — чл. 6, § 1, б. „б“ и б. „е“. Легитимният интерес е интересът на клиента ни да управлява автопарка си законосъобразно и ефективно, и нашият да предоставяме услугата. Помощ от изкуствен интелект в TOVR fOS: диспечиране на естествен език, разчитане на документи, съставяне и водене на кореспонденция — чл. 6, § 1, б. „б“ за данните на Вашето дружество и б. „е“ за данни на трети лица за контакт, съдържащи се в тях. Свързване с превозвачи и товародатели от името на клиент, по имейл, чат или телефон — чл. 6, § 1, б. „е“. Нашият легитимен интерес е организирането на превози, Вашият — да бъдете открити във връзка с товар, който сте предложили или потърсили. Можете да възразите по всяко време, вижте раздел 11. Профилиране на лица за контакт при превозвачи и товародатели, за да се подредят вероятните партньори за даден товар — чл. 6, § 1, б. „е“. Какво решава и какво не — вижте раздел 9. Фактуриране, счетоводство и данъци — чл. 6, § 1, б. „б“ и б. „в“, спазване на законово задължение по българското търговско и данъчно право. Сигурност, предотвратяване на злоупотреби, ограничаване на заявки и одитни записи — чл. 6, § 1, б. „е“. Продуктова аналитика и запис на сесията — чл. 6, § 1, б. „а“, съгласие, и чл. 5, § 3 от Директивата за електронните комуникации за съхранението и достъпа във Вашето устройство. НЕ се позоваваме на легитимен интерес за нищо от това. Преди да отговорите на банера, не се зарежда нищо, а оттеглянето е един клик. Маркетингови имейли до хора, които са ги поискали — чл. 6, § 1, б. „а“, съгласие, оттегляемо във всяко съобщение.

Част от хората, чиито данни държим, никога не са се регистрирали в TOVR. Чл. 14 ОРЗД изисква да посочим източника: • Телематични доставчици, свързани от превозвач — Frotcom, Mapon, Wialon, OBS, Volvo, ZF Transics и други. Източник на позиции на превозни средства и на данни за водачи, включително тахографски часове. • Товарни борси — TIMOCOM, LKW Walter, Trans.eu / Teleroute, Lardi-Trans, Cargopedia, Saloodo, CargoRadar, Transporeon. Източник на обяви за товари и на прикрепените към тях данни за контакт. • Публични регистри и публични данни за дружества, за проверка. • Самите наши клиенти, които въвеждат или импортират данни за контакт на партньорите си. • Пощенски кутии, свързани от потребител (Gmail или Microsoft 365), чието съдържание се чете за извличане на информация за товари. Ако сте едно от тези лица, има уведомление, написано за Вас: вижте „Уведомление за шофьори и контакти“.

В рамките на TOVR достъпът е ограничен до организацията, на която принадлежат данните, и се налага при всяка заявка от слоя ни за оторизация. Наши служители достъпват продукционни данни само когато поддръжката или обработката на инцидент го изисква. Извън TOVR ползваме обработващи лица. Пълният списък, с държава и какво получава всеки, е на отделна страница: Подизпълнители. Накратко: хостинг доставчикът ни (Hetzner, Германия), доставчикът на входящ трафик (Cloudflare), AWS в eu-central-1 за имейли и файлове, Stripe за фактуриране, PostHog EU Cloud за аналитика при съгласие, доставчици на изкуствен интелект за асистента, гласови доставчици за телефония, както и товарните борси и телематичните системи, които свързвате. Предаваме и резултати от съпоставянето обратно към свързани системи на превозвачи, когато клиент ги е свързал. НЕ продаваме лични данни и не извършваме реклама или проследяване между сайтове. Разкриваме данни на публични органи само когато сме правно задължени.

Приложението, базата данни и гео стекът се хостват в Германия. Аналитиката, при съгласие, е в EU Cloud на PostHog. Част от обработващите са в САЩ: Anthropic, Deepgram, ElevenLabs, Cartesia, Telnyx, както и части от Cloudflare, Stripe, Google и Microsoft. Предаванията се извършват въз основа на Стандартните договорни клаузи на Европейската комисия (Решение 2021/914), допълнени с криптиране при пренос и — когато доставчикът участва — Рамката за защита на данните ЕС—САЩ. Можете да поискате копие от гаранциите за конкретно предаване на [email protected]. Търсенето на адреси и изчисляването на маршрути НЕ напускат нашата инфраструктура: поддържаме собствени инстанции на Photon и Valhalla, вместо да изпращаме адреси към картова услуга.

• Данни за акаунта и дружеството: за срока на акаунта, след което 5 години, съгласно българските задължения за съхранение на търговски документи. • Фактури, платежни документи и счетоводни данни: 10 години, както изисква българското данъчно законодателство. • История на позициите на превозни средства: 90 дни, след което се агрегира, така че да не идентифицира превозно средство или водач. • Данни за водачи, включително време на управление и работно време: 12 месеца от събирането, освен ако собственото законово задължение на превозвача изисква по-дълъг срок — в който случай записът е негов, не наш. • Товари, вериги, оферти и техните резултати: срокът на акаунта плюс 5 години, като търговски документи. • Транскрипции на чатове и разговори с изкуствен интелект: 24 месеца. • Аудиозаписи на разговори: 30 дни. Транскрипции: 12 месеца. • Профили contact intelligence: 24 месеца от последното взаимодействие, след което се изтриват. • Метаданни за заявки към API (време, име на инструмент, статус на отговора): 30 дни. Съдържанието на заявките не се записва. • Дневници за сигурност и одит: 12 месеца. • Аналитика и запис на сесията при съгласие: според конфигурацията в PostHog, понастоящем 12 месеца за събития и 30 дни за записи. Когато срок противоречи на законово задължение за съхранение, задължението има предимство и пазим само това, което то обхваща.

TOVR оценява и подрежда. TOVR не решава. Изграждаме профили на лица за контакт при превозвачи и товародатели — колко бързо отговарят, как преговарят, колко надеждно завършват товар — и оценяваме съответствия и ценови предложения. Това ПОДРЕЖДА какво вижда диспечерът и захранва чернови на съобщения, които диспечерът изпраща. Човек диспечер избира кой превозвач да бъде потърсен, каква оферта да бъде направена и на кого да бъде възложен товарът. Няма автоматизирано решение с правни последици за лице или с подобно значително въздействие по смисъла на чл. 22, § 1 ОРЗД. Заемаме тази позиция съзнателно и приемаме последицата: ако някога автоматизираме възлагане или отказ изцяло, този раздел се променя и се прилагат гаранциите по чл. 22, § 3. Ако смятате, че решение за Вас е било взето без човешка намеса, пишете на [email protected] и ще Ви кажем какво се е случило и ще го поправим.

Държим време на управление и работно време от тахограф, почивки, оценки за икономично шофиране и генерирани от изкуствен интелект поведенчески профили. Приложено към водачи и към контакти, това са данни за трудовото поведение на лица, събирани непрекъснато и оценявани систематично. Дали това е „редовно и систематично наблюдение в голям мащаб“ по чл. 35 и чл. 37 ОРЗД, подлежи на спор, и предпочитаме да заемем позиция, вместо да мълчим. Нашата позиция: наблюдението е редовно и систематично, но при настоящия ни мащаб не е в голям мащаб по смисъла на насоките на Работната група по чл. 29 — броят на субектите, географският обхват и продължителността са ограничени, а данните на всеки превозвач се обработват само за него. Какво правим, защото това може да се промени: • Извършили сме оценка на въздействието върху защитата на данните за обработката на данни за водачи и за профилирането на контакти и я преразглеждаме при съществена промяна. • Държим тахографския срок кратък (12 месеца), а историята на позициите — още по-кратка (90 дни). • Ако мащабът се промени, ще определим длъжностно лице по защита на данните и ще публикуваме това тук. Ако не сте съгласни с оценката ни, бихме искали да го чуем: [email protected].

Съгласно ОРЗД имате право на: • достъп — копие от личните данни, които държим за Вас, и информацията в това уведомление (чл. 15); • коригиране — поправяне на неточни и допълване на непълни данни (чл. 16); • изтриване — когато е налице основание по чл. 17; • ограничаване — да спрем обработването, но да запазим данните, докато спор бъде решен (чл. 18); • преносимост — данните, които сте ни предоставили, в машинночетим формат и предаване на друг администратор, когато е технически осъществимо (чл. 20); • възражение — срещу всяко обработване, основано на легитимен интерес, включително профилиране, по причини, свързани с Вашата конкретна ситуация (чл. 21, § 1), и БЕЗУСЛОВНО срещу директен маркетинг (чл. 21, § 2); • оттегляне на съгласие — по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето (чл. 7, § 3); • да не бъдете обект на решение, основано единствено на автоматизирано обработване (чл. 22) — вижте раздел 9. За да упражните което и да е от тях, пишете на [email protected] или използвайте контролите за данни в настройките на акаунта си. Отговаряме в срок от един месец, удължим с още два месеца при сложни искания, като ще Ви уведомим, ако ни е нужно удължаване. Не начисляваме такса. Ако сте водач или бизнес контакт, а не потребител на TOVR, същите права важат — вижте „Уведомление за шофьори и контакти“ как да ги упражните без акаунт.

Ако смятате, че сме обработили данните Ви незаконосъобразно, моля кажете ни първо — [email protected] — за да го поправим. Имате и право да подадете жалба до надзорен орган, независимо дали сте се свързали с нас. Нашият е: Комисия за защита на личните данни (CPDP) гр. София, България https://www.cpdp.bg/ Можете да подадете жалба и до надзорния орган на държавата членка, в която живеете или работите, или в която е извършено твърдяното нарушение.

Строго необходимите бисквитки Ви държат вписани и поддържат платформата сигурна. Те се поставят на основание чл. 5, § 3 от Директивата за електронните комуникации, който освобождава строго необходимото за предоставяне на поисканата от Вас услуга. Всичко останало изисква Вашето съгласие и го иска, преди каквото и да било да бъде заредено: • Продуктова аналитика (PostHog, сървъри в ЕС, в режим само в паметта, без бисквитки). • Запис на сесията, който е ОТДЕЛЕН избор и никога не се включва чрез съгласие за аналитика. Можете да приемете всичко, да откажете всичко или да изберете по категория и да промените отговора си по всяко време чрез връзката „Настройки за бисквитки“ във футъра на всяка страница или в Настройки → Предпочитания → Поверителност. Зачитаме Global Privacy Control и Do Not Track като отказ и в този случай изобщо не показваме банер. Пълният опис — всяка бисквитка, всеки ключ в браузърното хранилище, съдържание и срок — е в Политиката за бисквитки.

Използваме TLS 1.2 или по-нов при всяка връзка, хешираме API идентификаторите необратимо (SHA-256), ограничаваме обхвата на токените за достъп и налагаме изолация между наемателите при всяка заявка към базата данни през слоя за оторизация. Качените документи се съхраняват в AWS eu-central-1 с криптиране в покой. Ако откриете уязвимост в платформата или API на TOVR, докладвайте я на [email protected]. Машинночетимият ни контакт е на https://tovr.eu/.well-known/security.txt. Потвърждаваме получаването в рамките на 48 часа и даваме срок за решение в рамките на 5 работни дни. Моля, не тествайте върху данни на други клиенти. Уведомяваме КЗЛД в срок от 72 часа, след като узнаем за нарушение на сигурността на личните данни, когато чл. 33 го изисква, и уведомяваме засегнатите лица пряко, когато чл. 34 го изисква.

Актуализираме това уведомление, когато обработването се промени. Датата най-горе е датата на текущата версия. Когато промяна Ви засяга съществено — нова цел, нова категория получатели, ново правно основание — Ви уведомяваме преди тя да влезе в сила, с имейл до титулярите на акаунти и със съобщение в продукта. Промяна, която само изяснява формулировка, се публикува тук без отделно уведомяване. Тази версия заменя уведомлението от 17 май 2026 г., което посочваше Supabase и Google Cloud Platform като хостинг и база данни. Нито едното се използва от TOVR и нито едното някога е получавало Ваши данни в тази платформа; посочването беше невярно и е премахнато.