Политика за поверителност #

В сила от: 17 февруари 2026 г.
Последна актуализация: 28 октомври 2026 г.

1. Въведение #

EthicsPortal („ние“, „нас“, „наш“) е търговско наименование, използвано от Yaroslav Shmarov, едноличен търговец (jednoosobowa działalność gospodarcza) регистриран в Полша (NIP: 5272755790), с адрес ul. Obrzeżna 1A, 02-691 Варшава, Полша. Тази политика за поверителност описва как събираме, използваме, съхраняваме и защитаваме личната ви информация, когато използвате EthicsPortal на ethicsportal.eu („Услугата“).

Тази политика обяснява обработването на лични данни; тя не представлява искане за съгласие. Единственото обработване въз основа на съгласие е изпращането на маркетингови имейли по избор, за което давате съгласието си отделно и можете да го оттеглите по всяко време.

Контакт: privacy@ethicsportal.eu

Базова информация за договарящата страна е публикувана на страницата Доверие.

2. Каква информация събираме #

2.1 Данни за профила #

Когато създавате профил, събираме:

имейл адрес
име за показване (ако е предоставено)
езиково предпочитание

Служителите влизат без парола — използваме еднократни връзки (изпратени по имейл кодове), затова не събираме и не съхраняваме пароли на служителите. Сигнализиращо лице, което иска да следи сигнала си онлайн, получава парола, генерирана от системата, която се съхранява само като bcrypt хеш.

Използваме информация за източника на регистрациите, за да разберем как клиентите откриват EthicsPortal и да измерим ефективността на нашия маркетинг.

2.2 Данни за плащане #

Плащанията за абонаменти и фактуриране се обработват чрез Stripe Checkout и Billing Portal, хоствани от Stripe. Предоставяме на Stripe имейл адреса на профила и вътрешните идентификатори на организацията и клиента, необходими за създаване и управление на абонамента. Stripe събира директно името на платеца, адреса за фактуриране, данъчния идентификационен номер и данните за платежния метод. Не получаваме и не съхраняваме пълните номера на карти или банкови сметки.

За изпълнението на плащанията Stripe обработва лични данни от наше име. Stripe обработва и някои данни като самостоятелен администратор за цели, определени от него, включително предотвратяване на измами, спазване на нормативните изисквания и работа на платежните мрежи. Тези дейности се уреждат от политиката за поверителност на Stripe.

2.3 Сървърни записи #

Нашите сървъри автоматично записват информация, когато достъпвате Услугата, включително:

IP адрес
тип и версия на уеб браузъра
посетени страници и време на посещение
адрес на препращащата страница

Сървърните записи се използват за наблюдение на сигурността и отстраняване на проблеми. Те не се използват за реклама или проследяване.

За канала за сигнали записите на приложението не съдържат IP адреси на подателите. TLS проксито пред приложението води краткотрайни записи за връзките, включително IP адреси, за целите на сигурността.

2.4 Данни по сигнали #

Когато подател на сигнал изпрати сигнал чрез канала за сигнали на организация, събираме:

описание на сигнала, категория и източник
име и данни за контакт на подателя (ако са предоставени доброволно)
съобщенията между подателя и организацията

Описанията на сигналите, имената на подателите, данните за контакт и съдържанието на съобщенията се съхраняват шифровано в базата данни, чрез шифроване на ниво приложение. IP адресите на подателите не се съхраняват със сигналите, съобщенията или одитните записи. Ограничаването на честотата на заявките използва псевдонимизиран хеш с ключ на IP адреса, който се пази само за периода на ограничението. Записите на приложението за канала за сигнали не съдържат IP адреси.

2.5 Лични данни на трети лица, посочени в сигналите #

Сигналът може да съдържа лични данни за други лица — например лицето, за което се отнася сигналът, или свидетели. По отношение на тези данни по сигнала EthicsPortal действа като обработващ лични данни от името на организацията клиент, която е администраторът. Организацията носи отговорност за законосъобразността на това обработване и за предоставянето на цялата информация, изисквана съгласно член 14 от ОРЗД, на засегнатите лица.

В съответствие с член 14, параграф 5, буква „б“ от ОРЗД и изискванията за поверителност на Директива (ЕС) 2019/1937 за защита на лицата, подаващи сигнали, уведомяването на посочено лице може да бъде отложено или ограничено, когато това би навредило на разследване или би застрашило защитата на самоличността на подателя на сигнала.

3. Как използваме информацията ви и правно основание #

Цел	Данни	Правно основание (член 6, параграф 1 от ОРЗД)
Създаване и поддържане на профила ви и на работното пространство на организацията ви	Данни за профила, настройки на организацията	(б) договор
Изпращане на имейли относно профила ви и преписките на организацията ви	Имейл адрес, име, съдържание на известието	(б) договор
Фактуриране на абонаменти и съхраняване на фактури и платежни записи	Имейл на профила, идентификатори за фактуриране; данни за платеца, събирани от Stripe	(б) договор; (в) правно задължение за данъчните и счетоводните записи
Поддържане на сигурността на Услугата и предотвратяване на измами, злоупотреби и неоправомощен достъп	Сървърни записи, записи за влизания и сесии, одитни записи, псевдонимизирани хешове на IP адреси за ограничаване на честотата на заявките	(е) легитимен интерес от защитата на Услугата и нейните потребители
Поддържане на одитната следа на организацията за действията по разглеждане на преписките	Одитни записи с името, имейла и IP адреса на извършилия действието при удостоверени действия	(е) легитимен интерес на организацията клиент и на EthicsPortal да докажат как са разгледани преписките
Диагностика на грешки и подобряване на Услугата	Доклади за грешки и метаданни на заявките (AppSignal)	(е) легитимен интерес от правилно функционираща Услуга
Изпращане на новини за продукта и маркетингови имейли, само ако сте се абонирали	Имейл адрес, час на абонирането	(а) съгласие, което можете да оттеглите по всяко време от настройките на профила си
Установяване как клиентите са открили EthicsPortal	Източник на регистрацията, маркери на кампании, вашият незадължителен отговор на въпроса „Откъде научихте за нас“	(е) легитимен интерес от измерване на нашия маркетинг
Отчитане на посещенията на публичния сайт	Статистика на Plausible (раздел 4)	(е) легитимен интерес от измерване на аудиторията; можете да се откажете (раздел 5)
Отговаряне на искания за упражняване на правата ви	Вашето искане и данните, необходими за проверката му	(в) правно задължение
Оценяване на кандидатури за работа	Вижте раздел 12	(б) стъпки преди сключване на договор; (е) легитимен интерес

Когато се основаваме на легитимен интерес, можете да възразите по всяко време (раздел 8). Ние не продаваме личната ви информация. Ние не използваме данните ви за персонализирана реклама. Не използваме автоматизирано вземане на решения, което поражда правни последици за вас или ви засяга по подобен начин в значителна степен.

4. Услуги на трети страни #

Споделяме данни със следните услуги на трети страни само доколкото това е необходимо за предоставяне на Услугата:

Услуга	Цел	Споделени данни
Stripe	Фактуриране на абонаменти и обработка на плащания	Имейл на профила и вътрешни идентификатори на организацията/клиента; име на платеца, адрес за фактуриране, данъчен идентификационен номер и данни за платежния метод, събирани директно от Stripe
Hetzner	Хостинг, база данни и съхранение на файлове (Германия)	Всички данни на приложението, включително качените файлове, и IP адресите на хората, които използват приложението
Mailjet	Транзакционни имейли	Имейл адрес и съдържание, включително номер на преписката и връзка при известия до сигнализиращия; потвърждението за сигнал, изпратен по имейл, съдържа и еднократна парола
Cloudflare	CDN и DDoS защита за публичния сайт	IP адрес на посетителя и заглавки на заявката за доставка и сигурност
Plausible Analytics	Измерване на аудиторията на сайта (хостван в ЕС, Германия)	Посещения, препращаща страница, тип на уеб браузъра, държава и събития на сайта, като заявки за демонстрация. Без бисквитки; IP адресите не се съхраняват. Зарежда се само на публичния маркетингов сайт — никога в приложението или в канала за сигнали. Вижте политиката за данни на Plausible
Zoho	Имейл, записи за клиенти и календар за заявяване на демонстрации	Имейлите, които ни изпращате, данните ви за контакт и заявените срещи
AppSignal	Следене на грешки и наблюдение на производителността на приложението	Данни за грешки и заявки; достъпът и другите потоци изискват проверка

Всяка услуга на трета страна се урежда от собствената си политика за поверителност.

5. Бисквитки и статистика на сайта #

Приложението (secure.ethicsportal.eu) използва само собствени бисквитки, необходими за влизането ви, за запазване на влизането ви и за запомняне на настройките ви:

Бисквитка	Цел	Срок
`_ethicsportal_session`	Управление на сесията (удостоверяване)	30 дни
`session_token`	Подписан идентификатор на сесията за постоянен вход	Сесията от страна на сървъра изтича след 14 дни неактивност
`remembered_email`	Попълва предварително имейл адреса ви на страницата за вход (шифровано)	1 година
`locale`	Съхранява езиковото ви предпочитание	1 година
`timezone`	Показва датите и часовете във вашата часова зона	До затваряне на браузъра
`pending_authentication_token`	Свързва влизането с еднократна връзка с браузъра, от който е поискано	15 минути
`pending_two_factor_token`	Пренася влизането през стъпката за двуфакторно удостоверяване	5 минути
`pending_email_change_token`	Свързва смяната на имейл адреса с браузъра, от който е поискана	До изтичане на връзката за потвърждение
`saml_flow`	Пренася процеса на единен вход (SAML) обратно от вашия доставчик на идентичност (шифровано)	10 минути

Ние не използваме проследяващи или рекламни бисквитки на трети страни.

Публичният сайт не поставя бисквитки. Измерването на аудиторията му (Plausible, раздел 4) работи без бисквитки и можете да изключите посещенията си в този браузър:

6. Съхранение и сигурност на данните #

Място на сървърите: Hetzner, Нюрнберг, Германия (Европейски съюз)
Шифроване при пренос: всички връзки използват HTTPS/TLS
Шифроване при съхранение: данните по сигналите (описания, имена, данни за контакт, съобщения) се съхраняват шифровано в базата чрез Active Record Encryption
Вход без парола за служителите: служителите използват еднократни връзки, затова не се съхраняват пароли на служители. Паролите на сигнализиращите лица се генерират от системата и се съхраняват само като bcrypt хеш
Контрол на достъпа: достъпът до базата е ограничен само до оправомощения персонал

Въпреки че предприемаме разумни мерки за защита, никой метод за пренос или съхранение не е 100% сигурен. Ако откриете уязвимост, пишете на security@ethicsportal.eu.

7. Срокове за съхранение #

Данните за профила се съхраняват, докато профилът ви е активен
Данните на организацията се съхраняват, докато организацията е активна
Сигналите — приключените или прекратените сигнали се изтриват автоматично след срока, настроен от организацията клиент (12, 24, 36, 48 или 60 месеца). Активните сигнали се съхраняват до приключването им; сигнал без активност в продължение на 18 месеца се приключва автоматично, с което започва срокът за съхранение
Записите за изпратени имейли — за покани и известия до служителите: шифрованият адрес на получателя, видът на имейла и часът на изпращане, никога темата или съдържанието. Записите, свързани с организация, се изтриват заедно с нея; записите, които не са свързани с организация, се изтриват 90 дни след изпращането. Имейлите за вход и имейлите до сигнализиращи лица не се записват
Сървърните записи се презаписват при запълване. Записът на прокси сървъра, който съдържа IP адреси, в момента се презаписва след около два дни. Записите на приложението не съдържат IP адреси
Платежните записи се съхраняват според приложимите данъчни и счетоводни изисквания
Одитната следа — определени събития по сигналите и профилите се съхраняват за целите на съответствието, включително кой служител, разглеждащ сигнали, е прегледал кой сигнал (един запис на служител за сигнал на всеки 24 часа); прегледите на други страници не се записват. Одитните записи се пазят, докато съществува организацията, и се изтриват заедно с нея

Когато затворите профила си, данните за достъп се премахват. Ограничени записи за приписани действия могат да останат съгласно документираните указания на Администратора, приложими правни задължения или за установяването, упражняването или защитата на правни претенции. Раздел 9 посочва какво остава и защо.

8. Вашите права по ОРЗД #

Тъй като сме базирани в Европейския съюз, Общият регламент относно защитата на данните (ОРЗД) се прилага. Имате право на:

достъп — да поискате копие от личните данни, които съхраняваме за вас
коригиране — да поискате поправка на неточни данни
изтриване — да поискате изтриване на данните си
ограничаване — да поискате да ограничим начина, по който обработваме данните ви
преносимост — да поискате данните си в структуриран, машинно четим формат
възражение — да възразите срещу обработването на данните ви
оттегляне на съгласие — когато обработването се основава на съгласие
жалба — да подадете жалба до надзорен орган за защита на данните, по-специално в държавата от ЕС, в която живеете или работите, или до нашия водещ надзорен орган — председателя на полската Служба за защита на личните данни (UODO, ul. Stawki 2, 00-193 Варшава)

Как да упражните правата си: Повечето от данните си можете да управлявате направо през настройките на профила си. За изтриване на профила посетете страницата с настройки на профила. За други искания пишете на privacy@ethicsportal.eu.

Ако сте подали сигнал: организацията, чийто канал за подаване на сигнали сте използвали, е Администраторът, а EthicsPortal действа като неин Обработващ. Можете по всяко време да достъпите и свалите копие чрез онлайн формуляра с номера на преписката и паролата си. За корекция добавете съобщение; за други искания се свържете с организацията (ние ще я подпомогнем като Обработващ). Изтриването може да бъде ограничено от документираното решение на Администратора за съхранение и от приложимо правно задължение или изключение за правни претенции.

Контакт за защита на данните: Запитванията относно нашите практики за защита на данните могат да бъдат отправяни към privacy@ethicsportal.eu.

9. Изтриване на профил и данни #

Можете да затворите акаунта си по всяко време от настройките на акаунта. Вашият имейл адрес се заменя със служебен адрес, на който не може да се доставя поща, а данните за двуфакторно удостоверяване, активните сесии, API токените, езиковото предпочитание и маркетинговите предпочитания се премахват окончателно. Вече не можете да влизате в акаунта си, а ние не можем да се свързваме с Вас през Услугата.

Ако акаунтът Ви никога не е действал в рамките на организация, записът се изтрива изцяло. В противен случай членствата Ви се деактивират, а свързаните с тях бележки по случаи, съобщения и одитни записи се запазват, за да остане проследимо кой е извършил записаните действия. Администраторът определя срока за съхранение чрез документираните си инструкции и приложимото право; правото на изтриване по ОРЗД остава подчинено на приложимите изключения за правни задължения или правни претенции.

Затова три неща надживяват затварянето:

Профилната Ви снимка се изтрива при закриване на акаунта. Името Ви остава свързано с приписаните действия, докато съответната организация пази документацията за съответствие. То се съхранява само за установяване кой е обработил записаното действие, а не за удостоверяване или контакт.
Одитните записи запазват Вашето име, имейл адрес и IP адреса на заявката за удостоверени действия. IP адресите на подателите на сигнали са изключени. Администраторите на организацията не могат да редактират или поотделно да изтриват одитния дневник, който позволява само добавяне; записите се изтриват заедно с организацията.
Експортите на данни, създадени преди Вашето искане, се пазят до 7 дни, след което се изтриват автоматично.

Изтриването се отказва, докато сте собственик на организация, неин единствен администратор или неин определен служител по съответствието. Първо прехвърлете или преназначете ролята.

10. Поверителност на децата #

Клиентските профили не са предназначени за деца под 16 години. Каналът за подаване на сигнали на организация може все пак да получи сигнал от непълнолетно лице, когато организацията го предоставя. Организацията е Администраторът на данните в сигнала и решава как се обработва искане за изтриване; ние я подпомагаме като Обработващ. За лични данни, които контролираме пряко, пишете на privacy@ethicsportal.eu, за да оценим и изпълним искането съгласно приложимото право.

11. Международни трансфери на данни #

Доставчиците Mailjet и AppSignal са установени в ЕС. Когато техните доставчици обработват данни извън ЕИП, тези трансфери са предмет на гаранциите по глава V от ОРЗД (вижте DPA).

Основните данни по сигналите се съхраняват на сървъри в Германия (ЕС). Публичният маркетингов сайт се доставя чрез Cloudflare (САЩ); каналът за сигнали и порталът на обработващите — не. Това обработване на публичния сайт е извън веригата за обработване на данни по сигнали по указания на клиента, обхваната от DPA. За трансфери на данни от публичния сайт от ЕИП към САЩ Cloudflare заявява, че се позовава на Рамката за защита на данните ЕС—САЩ, а ако сертификацията отпадне или е невалидна — на стандартни договорни клаузи с допълнителни мерки съгласно DPA за клиенти на Cloudflare.

Нашият имейл, записите за клиенти и календарът за заявяване на демонстрации се хостват от Zoho в САЩ. Трансферите към Zoho са предмет на гаранциите по глава V от ОРЗД.

Stripe Payments Europe е установено в Ирландия, но Stripe може да обработва данни за фактуриране и плащане в други държави. Stripe посочва, че използва приложимите законосъобразни механизми за трансфер, включително решения за адекватност и стандартни договорни клаузи, както е описано в Споразумението за обработване на данни на Stripe.

12. Кандидати за работа #

Когато кандидатствате за позиция при нас (например чрез имейл до careers@ethicsportal.eu), събираме и обработваме:

Вашето име и данни за контакт
Вашата автобиография, мотивационно съобщение и всичко, което решите да ни споделите за своя опит
Бележки от интервюта или разговори по време на процеса на подбор

Правно основание: обработването е необходимо за предприемане на стъпки по ваше искане преди сключване на договор, както и нашият легитимен интерес да оценяваме кандидати и да провеждаме справедлив подбор. Не изискваме и ви молим да не изпращате специални категории данни (като здравословно състояние, религия или членство в синдикат), нито историята на възнагражденията си от предишни позиции.

Срок на съхранение: съхраняваме данните от кандидатурата само толкова дълго, колкото е необходимо за оценката ѝ и за заемане на позицията. Ако не бъдете нает, изтриваме данните ви след приключване на процеса, освен ако не ни помолите да ги запазим за бъдещи позиции, в който случай ги съхраняваме до 12 месеца.

Имате същите права по ОРЗД върху данните от кандидатурата си, както са описани в раздел 8. За да ги упражните или да поискате изтриване на кандидатурата си, пишете на privacy@ethicsportal.eu.

13. Промени в тази политика #

Можем да актуализираме тази политика за поверителност от време на време. При съществени промени ще ви уведомим по имейл или чрез известие в приложението. Датата „Последна актуализация“ в началото на страницата показва кога политиката е била преразгледана за последен път.

Тази политика е уведомление, а не договор, и не изисква приемане. Промените се прилагат от посочената дата на влизане в сила или последна актуализация, при спазване на всяко уведомяване, изисквано от приложимото право.

14. Контакт #

Ако имате въпроси относно тази политика за поверителност или искате да упражните правата си, свържете се с нас на:

Общи запитвания: support@ethicsportal.eu
Поверителност и GDPR права: privacy@ethicsportal.eu
Контакт за защита на данните: privacy@ethicsportal.eu Доклади за сигурност: security@ethicsportal.eu
Правни въпроси и DPA: legal@ethicsportal.eu
Местоположение: Варшава, Полша

Последна актуализация: 30 октомври 2026 г.