Политика за поверителност

1. Администратор на данни

Администратор по смисъла на GDPR е PeptidLabs (търговско име). За контакт по въпроси, свързани с личните данни: info@peptidlabs.eu.

2. Какви данни събираме

• Данни от поръчки — име, адрес за доставка, имейл, телефон.
• Данни за плащане — обработват се изцяло от Stripe; ние не съхраняваме номер на карта, CVV или данни за автентикация.
• Данни за доставка — предаваме минимално необходимите данни на куриера (Еконт, Спиди, DHL или друг превозвач).
• Технически данни — IP адрес, тип на браузъра, време на достъп, страници посетени, анонимизирани за аналитични цели.
• Бисквитки и местно съхранение — виж отделната Политика за бисквитки.

3. Цели и правно основание

• Изпълнение на договор — за обработка на поръчки, доставка и комуникация (чл. 6, ал. 1, буква б от GDPR).
• Законово задължение — за съхранение на счетоводни документи и фактури (чл. 6, ал. 1, буква в от GDPR).
• Легитимен интерес — за предотвратяване на измами и подобряване на услугата (чл. 6, ал. 1, буква е от GDPR).
• Съгласие — за маркетингови имейли и незадължителни бисквитки (чл. 6, ал. 1, буква а от GDPR).

4. Срокове за съхранение

• Данни от поръчки и фактури — 10 години съгласно Закона за счетоводството.
• Данни за абонамент за бюлетин — до отписване от Клиента.
• Технически логове — до 90 дни.
• Бисквитки — според конфигурацията им (виж Политика за бисквитки).

5. Трети страни — обработващи

• Supabase Inc. (САЩ, EU-US Data Privacy Framework + SCC) — хостинг на база данни (eu-west-1).
• Stripe Payments Europe Ltd. (Ирландия) + Stripe Inc. (САЩ, DPF) — обработка на плащания с карта; ние не съхраняваме номер на карта.
• Resend Inc. (САЩ, DPF) — изпращане на транзакционни имейли и бюлетин.
• Еконт Експрес / Спиди / DHL — куриерски услуги, само за обработка на доставки.
• Vercel Inc. (САЩ, DPF) — хостинг на приложението и edge CDN.
• Google LLC (САЩ, DPF) — Google Analytics 4 (само след съгласие чрез бисквитков банер).
• Plausible Insights OÜ (Естония, ЕС) — privacy-friendly аналитика без бисквитки.
• Ahrefs Pte (Сингапур, SCC) — privacy-friendly SEO аналитика без бисквитки.
• Cloudflare Inc. (САЩ, DPF) — CDN, DNS и Turnstile CAPTCHA защита на форми.
• OpenRouter Inc. (САЩ, SCC) — proxy за AI асистента в чат widget-а; разговорите се препращат към Google Gemini API за анализ.

6. Международни трансфери

Част от обработващите (Supabase, Stripe Inc., Resend, Vercel, Cloudflare, Google, OpenRouter, Ahrefs) обработват данни извън Европейското икономическо пространство, основно в САЩ и Сингапур.

Прехвърлянето е базирано на: (а) Решение за адекватност на ЕК от 10.07.2023 — EU-US Data Privacy Framework — за DPF-сертифицирани получатели; (б) Стандартни договорни клаузи 2021/914 (SCC) за останалите. Копие от приложимите SCC можете да поискате на info@peptidlabs.eu.

7. Вашите права по GDPR

За упражняване на Вашите права, моля пишете на info@peptidlabs.eu. Отговаряме в срок от 30 дни.

• Право на достъп (чл. 15) — да получите потвърждение и копие на данните Ви.
• Право на коригиране (чл. 16) — да поискате корекция на неточни данни.
• Право на изтриване (чл. 17) — правото да бъдете забравен в определени случаи.
• Право на ограничаване на обработката (чл. 18).
• Право на преносимост (чл. 20) — да получите данните си в структуриран формат.
• Право на възражение (чл. 21) — включително срещу профилиране и маркетинг.
• Право на жалба до Комисията за защита на личните данни (КЗЛД) — www.cpdp.bg.

8. Сигурност

Прилагаме технически и организационни мерки, включително TLS шифроване при предаване, Row-Level Security на база данни, строги ролеви достъпи и редовни одити на сигурността.

9. Биометрични данни — Изследователски асистент

Страницата /asistent (Изследователски асистент) приема качване на лична снимка. Снимката попада в специалната категория данни по чл. 9 от GDPR (биометрични характеристики).

Обработката е базирана на изричното Ви съгласие (чл. 9, ал. 2, б. а), което потвърждавате чрез отделен чекбокс преди качване. Имате право да оттеглите съгласието си по всяко време — оттеглянето не засяга законосъобразността на обработката, извършена преди това.

Снимката се препраща за анализ в реално време към следните обработващи: OpenRouter Inc. (САЩ, SCC) — proxy към Google Gemini Vision (САЩ, EU-US DPF) — за класификация на безопасност и извличане на общи характеристики (пол, възрастов диапазон, тип телосложение, цвят на кожата). Не се извличат биометрични идентификатори, годни за идентификация на конкретно лице.

Снимката НЕ се съхранява в нашата база данни и НЕ се запазва в Supabase Storage. Buffer-ът, държащ изображението, се освобождава веднага след получаване на отговора от Vision LLM.

Резултатът — илюстративна визуализация на образ с подобни общи характеристики — се съхранява в публичен bucket за 30 дни с автоматично изтриване след това. Визуализацията съдържа постоянен впечатан надпис, че не е медицинско предсказание.

10. Непълнолетни

Платформата не е предназначена за лица под 18 години. Не събираме съзнателно данни от непълнолетни. Изследователският асистент изисква изрично потвърждение на пълнолетие преди приемане на снимка.

11. Промени в политиката

Можем да актуализираме тази политика. Датата на последна актуализация е посочена в началото. Значителни промени се съобщават по имейл на регистрирани клиенти.

12. Контакт

Контактна точка по защита на данните: info@peptidlabs.eu