РЕГИСТЪР НА ОБРАБОТВАЩИТЕ И ПОЛУЧАТЕЛИТЕ НА ЛИЧНИ ДАННИ

1.1. Администратор на лични данни по смисъла на чл. 4, т. 7 от GDPR („Операторът“) е организацията fotonapassport.

1.2. Адрес за контакт по въпроси, свързани с личните данни: support@fotonapassport.ru. Не е определено длъжностно лице по защита на данните (не е задължително по чл. 37 от GDPR).

2.1. Операторът предава лични данни на трети лица само в обема, необходим за предоставянето на услугата, изпълнението на договора, приемането на плащания, удостоверяването, връзката с Потребителя, анализа (ако Потребителят не се е отказал от аналитичните бисквитки), осигуряването на сигурността, изпълнението на правни задължения или защитата на правата на Оператора, и то само на основание по чл. 6, пар. 1 от GDPR.

2.2. Операторът не продава личните данни на Потребителите на трети лица.

2.3. Операторът не предава качените снимки, крайните файлове, платежните данни и запитванията до поддръжката на рекламни партньори за самостоятелно използване.

2.4. При предаване на данни на обработващите лични данни Операторът прилага принципа на минимизиране: предават се само данните, които са необходими на конкретния получател за изпълнение на възложената му функция.

2.5. Премахването на фона на изображението (отделянето на силуета) се извършва в собствената инфраструктура на Оператора, без изображението да се предава на трети лица.

2.6. Роли на получателите. Обработващият лични данни обработва личните данни от името на Оператора и само по негови документирани указания по договор, отговарящ на изискванията на чл. 28, пар. 3 от GDPR. Самостоятелният администратор определя целите и средствата на собственото си обработване (например платежните услуги и публичните органи) и отговаря за него съгласно собствените си условия и приложимото право.

2.7. Предаване извън ЕИП. Основната инфраструктура на Платформата (хостингът, базата данни, файловото хранилище и собствената услуга на Оператора за премахване на фона) се намира в Руската федерация – трета държава, за която Европейската комисия не е приела решение относно адекватното ниво на защита. Доставчиците на услуги за обработка на изображения с AI могат да обработват изображения извън ЕИП, включително в САЩ. Когато лични данни се предават на получател извън ЕИП, предаването се основава на стандартните договорни клаузи, приети от Европейската комисия (чл. 46, пар. 2, буква в) от GDPR), ако такива клаузи са сключени с получателя; в противен случай предаването е необходимо за изпълнението на договора с Потребителя (чл. 49, пар. 1, буква б) от GDPR) и/или се основава на изричното съгласие на Потребителя, дадено, след като е бил информиран за възможните рискове от такова предаване (чл. 49, пар. 1, буква а) от GDPR). Предаването на данни, събрани чрез аналитични и маркетингови бисквитки (точки 3.8 и 3.9), не се основава на съгласието на Потребителя: стандартни договорни клаузи се прилагат само ако са сключени с доставчика, а Операторът не твърди, че за тези предавания има такива клаузи или други подходящи гаранции; Потребител, който не желае тези данни да бъдат предавани, може да се откаже от аналитичните и маркетинговите бисквитки в банера за бисквитки или чрез връзката „Настройки на бисквитките“ на уебсайта.

3.1. Beget / доставчик на хостинг.

Цел: разполагане на уебсайта, backend, базата данни, файловото хранилище и техническата инфраструктура на територията на Руската федерация.

Данни: акаунт, сесии, качени снимки, генерирани изображения, крайни файлове, сведения за поръчките, технически логове, IP адрес, User-Agent, съгласия за бисквитки, журнали за сигурността.

Правно основание: изпълнение на договора с Потребителя (чл. 6, пар. 1, буква б) от GDPR); законни интереси за осигуряване на работата и сигурността на Платформата и за защита на правата на Оператора (чл. 6, пар. 1, буква е) от GDPR).

Роля: обработващ лични данни.

Местонахождение: Руска федерация (трета държава). Гаранции при предаването: точка 2.7.

3.2. UnitPay / платежна услуга.

Цел: приемане на плащания, потвърждаване на плащанията, възстановявания на суми, платежни известия, формиране на платежни идентификатори, издаване и изпращане на касови бележки.

Данни: сума, план, начин на плащане (банкова карта или СБП), статус на плащането, платежен идентификатор, технически сведения за плащането, адрес на електронна поща за изпращане на касовата бележка.

Правно основание: изпълнение на договора с Потребителя, включително приемане на плащания (чл. 6, пар. 1, буква б) от GDPR); счетоводни и данъчни задължения (чл. 6, пар. 1, буква в) от GDPR).

Роля: самостоятелен администратор по отношение на платежните услуги, които предоставя съгласно собствените си условия и регулаторни задължения.

Местонахождение: Руска федерация (трета държава). Гаранции при предаването: точка 2.7.

3.3. Norelio / платежна услуга (плащания с чуждестранни банкови карти).

Цел: приемане на плащания с чуждестранни банкови карти на платежната страница на Norelio (pay.lis-system.eu / norelio.store), потвърждаване на плащанията, възстановявания на суми, платежни известия, формиране на платежни идентификатори.

Данни: адрес на електронна поща на купувача, сума и валута на плащането, номер на поръчката, план, статус на плащането, платежен идентификатор, технически сведения за плащането. Данните на банковата карта Потребителят въвежда директно на платежната страница на Norelio; те не се предават на Оператора.

Правно основание: изпълнение на договора с Потребителя, включително приемане на плащания (чл. 6, пар. 1, буква б) от GDPR); счетоводни и данъчни задължения (чл. 6, пар. 1, буква в) от GDPR).

Роля: самостоятелен администратор по отношение на платежните услуги, които предоставя съгласно собствените си условия и регулаторни задължения.

Местонахождение: картовите плащания могат да се обработват от банки и платежни мрежи извън ЕИП. Гаранции при предаването: точка 2.7.

3.4. OpenAI API / услуга за автоматизирана обработка на изображения и обработка с невронни мрежи.

Цел: обработка на изображението, генериране или подобряване на вариант на снимката, техническо изпълнение на AI заявката.

Данни: каченото изображение или изображението, избрано за обработка, техническата заявка за обработка, параметрите на генерирането и техническите метаданни на заявката. Телефонен номер, имейл, платежни данни, история на поръчките и запитвания до поддръжката не се предават.

Роля: обработващ лични данни.

Местонахождение: извън ЕИП, включително САЩ. Гаранции при предаването: точка 2.7.

3.5. Higgsfield / Higgsfield CLI / услуга за автоматизирана обработка на изображения и обработка с невронни мрежи.

Цел: обработка на изображението, генериране или подобряване на вариант на снимката, техническо изпълнение на AI заявката.

Данни: каченото изображение или изображението, избрано за обработка, техническата заявка за обработка, параметрите на генерирането и техническите метаданни на заявката. Телефонен номер, имейл, платежни данни, история на поръчките и запитвания до поддръжката не се предават.

Роля: обработващ лични данни.

Местонахождение: извън ЕИП, включително САЩ. Гаранции при предаването: точка 2.7.

3.6. OpenRouter platform / услуга за маршрутизиране и изпълнение на AI заявки.

Цел: резервна, legacy или вътрешна обработка на изображения чрез AI доставчици, ако съответният контур е включен в Платформата.

Данни: изображението, техническата заявка за обработка, параметрите на генерирането и техническите метаданни на заявката. Телефонен номер, имейл, платежни данни, история на поръчките и запитвания до поддръжката не се предават.

Роля: обработващ лични данни.

Местонахождение: извън ЕИП, включително САЩ. Гаранции при предаването: точка 2.7.

3.7. Kie.ai / услуга за генериране на изображения с невронни мрежи.

Цел: обработка на изображението, генериране или подобряване на вариант на снимката, техническо изпълнение на AI заявката.

Данни: каченото изображение или изображението, избрано за обработка, техническата заявка за обработка, параметрите на генерирането и техническите метаданни на заявката. Телефонен номер, имейл, платежни данни, история на поръчките и запитвания до поддръжката не се предават.

Роля: обработващ лични данни.

Местонахождение: извън ЕИП, включително САЩ. Гаранции при предаването: точка 2.7.

3.8. Яндекс.Метрика и Webvisor; Google Analytics 4 / аналитика.

Цел: анализ на посещаемостта, качеството на интерфейса, източниците на преходи, техническите грешки и ефективността на Платформата.

Данни: IP адрес, User-Agent, сведения за браузъра, устройството, страницата, източника на прехода и действията на уебсайта; сведения за извършеното плащане (номер на поръчката, сума, време на плащането, идентификатор на рекламния преход и идентификатор на посетителя в Яндекс.Метрика), които Операторът предава от своя сървър за оценка на ефективността на рекламата. Използва се, ако Потребителят не се е отказал от аналитичните бисквитки (сведенията за плащането – ако не се е отказал и от маркетинговите бисквитки).

Правно основание: законен интерес на Оператора да измерва, подобрява и популяризира Платформата (чл. 6, пар. 1, буква е) от GDPR). Използва се по подразбиране, докато Потребителят не се откаже от аналитичните бисквитки; Потребителят може да се откаже от тях и да възрази във всеки момент с действие занапред (чл. 21 от GDPR) в банера за бисквитки или в настройките на бисквитките.

Роля: обработващ лични данни по отношение на статистиката, предоставяна на Оператора; самостоятелен администратор, доколкото Яндекс обработва данните за собствени цели съгласно своите условия.

Местонахождение: Руска федерация (трета държава). Гаранции при предаването: точка 2.7.

Google Analytics 4 (доставчик: Google), само в езиковите версии на уебсайта, различни от руската, чрез тага на Google (gtag.js) с Google Consent Mode (версия 2). Данни: IP адрес, User-Agent, сведения за браузъра, устройството, страницата (без токени за достъп и платежни идентификатори), източника на прехода и действията на уебсайта; за плащания във валута, различна от руската рубла, в такива езикови версии – сведения за извършената покупка (платежен идентификатор, сума и валута). Използва се, ако Потребителят не се е отказал от аналитичните бисквитки; ако Потребителят не е направил избор и изглежда, че се намира в ЕС/ЕИП, Обединеното кралство или Швейцария, хранилището на Google по подразбиране е „denied“ (отказано) и се изпращат само сигнали без бисквитки. Правно основание: както за Яндекс.Метрика по-горе. Роля: обработващ лични данни по отношение на статистиката, предоставяна на Оператора; самостоятелен администратор, доколкото Google обработва данните за собствени цели съгласно своите условия. Местонахождение: извън ЕИП, включително САЩ. Гаранции при предаването: точка 2.7.

3.9. VK Pixel; Google Ads / рекламна аналитика.

Цел: оценка на ефективността на рекламата, ретаргетиране и анализ на преходите от реклами.

Данни: технически сведения за посещението и действията на уебсайта. Качените снимки, крайните файлове, платежните данни и запитванията до поддръжката не се предават. Използва се, ако Потребителят не се е отказал от маркетинговите бисквитки.

Правно основание: законен интерес на Оператора да измерва, подобрява и популяризира Платформата, включително да оценява ефективността на рекламата си (чл. 6, пар. 1, буква е) от GDPR). Използва се по подразбиране, докато Потребителят не се откаже от маркетинговите бисквитки; Потребителят може да се откаже от тях и да възрази във всеки момент с действие занапред (чл. 21 от GDPR) в банера за бисквитки или в настройките на бисквитките.

Роля: самостоятелен администратор по отношение на обработването, което извършва за собствени рекламни цели съгласно своите условия.

Местонахождение: Руска федерация (трета държава). Гаранции при предаването: точка 2.7.

Google Ads (доставчик: Google), само в езиковите версии на уебсайта, различни от руската, чрез тага на Google (gtag.js) с Google Consent Mode (версия 2) и предаване на платежни конверсии от страна на сървъра. Данни: технически сведения за кликванията върху реклами на Google, за посещенията и действията на уебсайта; за плащания във валута, различна от руската рубла, в такива езикови версии – платежният идентификатор, сумата, валутата, времето на плащането и идентификаторът на рекламния клик на Google, предавани от тага и от Оператора от неговия сървър. Качените снимки, крайните файлове, името, имейлът, телефонният номер и запитванията до поддръжката не се предават. Използва се, ако Потребителят не се е отказал от маркетинговите бисквитки; ако Потребителят не е направил избор и изглежда, че се намира в ЕС/ЕИП, Обединеното кралство или Швейцария, хранилището на Google по подразбиране е „denied“ (отказано), а предаването на плащания от страна на сървъра за такива Потребители се извършва само ако Потребителят е приел маркетинговите бисквитки. Плащанията в руската езикова версия и плащанията в руски рубли никога не се предават на Google. Правно основание: както за VK Pixel по-горе. Роля: самостоятелен администратор по отношение на обработването, което извършва за собствени рекламни цели съгласно своите условия. Местонахождение: извън ЕИП, включително САЩ. Гаранции при предаването: точка 2.7.

3.10. Пощенска услуга (SMTP) за изпращане на имейли.

Цел: изпращане на връзки за вход в личния акаунт и за възстановяване на паролата, връзки за изтегляне на резултата, известия за Поръчката и други служебни и транзакционни съобщения.

Данни: адрес на електронна поща, текст на служебното съобщение, технически статус на доставката.

Роля: обработващ лични данни. Когато пощенската услуга се намира извън ЕИП, гаранции при предаването: точка 2.7.

3.11. Услуги за удостоверяване и за потребителски акаунти, включително Stack Auth, ако съответният контур е включен в Платформата.

Цел: регистрация, удостоверяване, управление на сесиите и на достъпа до личния акаунт.

Данни: имейл, технически идентификатор на потребителя, сесии, сведения за влизанията и технически журнали за удостоверяването.

Роля: обработващ лични данни. Когато услугата се намира извън ЕИП, гаранции при предаването: точка 2.7.

3.12. Talk-Me / онлайн чат за поддръжка на Уебсайта, ако съответният уиджет е включен.

Цел: приемане и обработка на запитванията на Потребителите чрез чата за поддръжка.

Данни: съдържанието на кореспонденцията, данните за контакт, които Потребителят съобщава в чата, технически сведения за посещението (IP адрес, User-Agent, адрес на страницата). Качените снимки, крайните файлове и платежните данни не се предават.

Роля: обработващ лични данни.

Местонахождение: Руска федерация (трета държава). Гаранции при предаването: точка 2.7.

3.13. Технически изпълнители и специалисти по поддръжката.

Цел: поддръжка, диагностика, отстраняване на грешки, обработка на запитвания, осигуряване на сигурността и развитие на Платформата.

Данни: само сведенията, достъпът до които е необходим за изпълнението на конкретна задача, при спазване на ограниченията за достъп и поверителност.

Роля: обработващи лични данни или лица, действащи под ръководството на Оператора (чл. 28–29 от GDPR), обвързани със задължение за поверителност. Когато се намират извън ЕИП, гаранции при предаването: точка 2.7.

3.14. Държавни органи, съдилища, правоохранителни органи, данъчни органи и други оправомощени лица.

Цел: изпълнение на правните задължения на Оператора по правото на ЕС и на Чехия, на съдебните решения и законните искания, както и установяване, упражняване или защита на правни претенции.

Данни: сведения в обема, предвиден от приложимия закон или от законното искане.

Правно основание: правно задължение (чл. 6, пар. 1, буква в) от GDPR); законни интереси за защита на правата на Оператора (чл. 6, пар. 1, буква е) от GDPR).

Роля: самостоятелни администратори.

4.1. Операторът преразглежда настоящия регистър при включване на нов обработващ лични данни, при промяна на целта на предаването, при промяна на състава на предаваните данни или при промяна на приложимите изисквания на законодателството.

4.2. Актуалната редакция на регистъра се публикува на Уебсайта.