Уведомление за поверителност

Настоящото уведомление за поверителност разяснява как Montandor Andorra S.L.U. („Montandor“, „ние“) събира, използва, съхранява и защитава Вашите лични данни, когато посещавате securitshop.com, направите поръчка или взаимодействате с Вашия специализиран мениджър за страната чрез чата на бутика. То е изготвено в съответствие с андорското законодателство за защита на данните (Llei Qualificada de Protecció de Dades, LQPD), GDPR на ЕС (EU 2016/679), когато посетителят се намира на територията на Европейския съюз, както и приложимите национални правила за защита на данните в цяла Европа, когато те са приложими.

1. Администратор на лични данни

Montandor Andorra S.L.U., със седалище на адрес Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Княжество Андора. За всякакви запитвания относно поверителността или за упражняване на Вашите права, пишете на [email protected] или използвайте чата на бутика, като изберете категория „Privacy“. Отговаряме в сроковете, определени от приложимото право, и във всеки случай в рамките на тридесет (30) дни.

2. Данни, които събираме

Събираме четири категории данни, строго ограничени до необходимото за изпълнение на Вашата поръчка и управление на търговското отношение:

• Данни за акаунт и поръчка: пълно име, наименование на дружеството (ако има), адреси за фактуриране и доставка, електронна поща, телефон, идентификатори на поръчки, история на покупките. Тези данни са необходими за сключването и изпълнението на договора за продажба.
• Данни за плащане: ние никога не съхраняваме пълните номера на картите. Плащането се обработва от нашия сертифициран доставчик по стандарта PCI-DSS Level 1. Съхраняваме единствено токена на транзакцията, последните четири цифри на картата, платежната мрежа (Visa, Mastercard, Amex), срока на валидност и статуса на плащането, за счетоводни цели и за предотвратяване на измами.
• Данни за доставка: адрес за доставка, код за достъп до входа, инструкции за доставка, номер за проследяване от превозвача (Chronopost, DHL Express). Споделят се единствено с нашия превозвач и с логистичния 3PL доставчик за изпълнение на доставката.
• Технически данни за връзката: IP адрес, потребителски агент, приблизителна държава, разгледана страница, времеви печат. Захранват нашите журнали за достъп с цел сигурност, предотвратяване на измами и техническа диагностика.

Ние не събираме никакви чувствителни данни по смисъла на член 9 от GDPR (етнически произход, политически възгледи, религия, здраве, сексуална ориентация, членство в синдикати, биометрични или генетични данни).

3. Цели и правно основание

4. Срокове на съхранение

• Данни за поръчки и фактуриране: за срока на търговското отношение плюс десет (10) години, в съответствие с андорските и френските счетоводни задължения.
• Данни за плащане: тринадесет (13) месеца за токена на транзакцията и елементите за предотвратяване на измами, в съответствие с указанията на CNIL и изискванията на PCI-DSS.
• Неактивен клиентски акаунт: три (3) години след последното влизане, след което изтриване или анонимизиране (при спазване на остатъчните счетоводни задължения).
• Технически журнали за достъп: дванадесет (12) месеца, след което автоматично изтриване.
• Обобщено измерване на аудиторията: тринадесет (13) плаващи месеца.
• Бюлетин: до момента, в който се отпишете, мигновено чрез връзката във всяко съобщение.

5. Получатели и обработващи лични данни

Събраните данни се обработват от нашия вътрешен екип и от ограничен брой технически обработващи лица, строго необходими за изпълнението на Вашата поръчка:

• Хостинг на инфраструктура: Microsoft Azure, регион West Europe. Данните се съхраняват на територията на ЕС.
• Payment: плащанията с карта се обработват чрез Redsys (Redsys Servicios de Procesamiento, S.L., Испания — ЕС), нашия сертифициран по PCI-DSS ниво 1 платежен шлюз, който извършва прихващането на данните от картата, оторизацията, 3-D Secure (PSD2 SCA) и проверката за измами. Придобиващата банка е Creand (Creand Crèdit Andorrà, S.A., Андора), като Андора се ползва от решение на Европейската комисия относно адекватното ниво на защита (2010/625/EU). Ние никога не получаваме и не съхраняваме пълните номера на картите.
• Логистика и изпращане: логистичен 3PL доставчик във Франция (склад Grisolles, 82170) и превозвачи (Chronopost, DHL Express) за доставка до последната миля.
• Транзакционна електронна поща: Mailgun (ЕС), за доставяне на потвърждения, фактури и известия за изпращане.
• Услуги на Microsoft 365: вътрешна професионална електронна поща, календари, документация. Наемател на Montandor.
• Тарифи за изпращане с множество превозвачи: Upela (Upela SAS, Франция), агрегатор на превозвачи, който запитва Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx и DHL. Изпращат се само данните, строго необходими за оферта: пощенски код на местоназначението, град, тегло и размери на пратката. На този етап не се изпращат лични данни.
• Автоматично попълване на адрес: Google Maps Platform — Maps JavaScript API и Places API (Google Ireland Limited). Скриптът на Google се зарежда едва след първото Ви взаимодействие с полето „адрес за доставка“. Вижте policies.google.com/privacy.
• Проверка на френски бизнес (SIRET / SIREN): френски държавен търговски регистър чрез recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Публични данни INSEE/Sirene, използвани повторно съгласно Licence Ouverte 2.0. За B2B покупки във Франция, допълнено от API на societe.com (Société.com SAS, Франция).
• Валидиране на ДДС номер в ЕС: системата VIES на Европейската комисия (DG TAXUD), съгласно Регламент (ЕС) № 904/2010 на Съвета. Изпраща се единствено въведеният от Вас ДДС номер.

Всеки обработващ е обвързан със Споразумение за обработване на данни (DPA), обхващащо необходимите договорни, организационни и технически гаранции, с изключение на публичните услуги, използвани повторно съгласно отворен лиценз (DataGouv, VIES), които не се основават на двустранно DPA. Актуалният списък е достъпен при поискване на [email protected].

6. Международни трансфери

Събраните данни се съхраняват и обработват в рамките на Европейското икономическо пространство (Microsoft Azure West Europe, френски логистичен склад). Може да се извърши трансфер към Княжество Андора за вътрешни административни операции — Андора се ползва от решение относно адекватното ниво на защита на Европейската комисия (2010/625/EU), гарантиращо ниво на защита, считано за равностойно. Не се извършва трансфер към трета държава без решение относно адекватното ниво на защита без стандартни договорни клаузи или равностойни гаранции.

7. Сигурност

Прилагаме разумни технически и организационни мерки за защита на Вашите данни: криптиране от край до край TLS 1.3, токенизирано плащане (PCI-DSS Level 1), строг контрол на достъпа до вътрешните системи, журналиране на достъпа, многофакторно удостоверяване за административните акаунти, ежедневни криптирани резервни копия, разделяне на производствената и тестовата среда, периодични одити на сигурността. В случай на нарушение, което е вероятно да породи риск за Вашите права и свободи, уведомяваме компетентния надзорен орган в рамките на 72 часа, а когато рискът е висок, Ви информираме директно.

8. Автоматизирани решения и профилиране

Никакво решение, пораждащо правни последици или засягащо в значителна степен посетителите, не се взема чрез изцяло автоматизирано обработване. Прилагаме автоматизирани правила за предотвратяване на измами към платежните транзакции (проверка на адреса, откриване на подозрително поведение); всяко решение за блокиране или анулиране може да бъде оспорено чрез изпращане на електронно писмо до [email protected] и води до преразглеждане от служител на нашия екип.

9. Вашите права

Съгласно GDPR и андорския LQPD, Вие разполагате със следните права по отношение на данните, които се отнасят до Вас:

• Право на достъп до Вашите данни.
• Право на коригиране на неточни данни.
• Право на изтриване („право да бъдеш забравен“) при условията, определени от закона.
• Право на ограничаване на обработването.
• Право на преносимост на Вашите данни към друг администратор.
• Право на възражение срещу обработване, основано на законен интерес.
• Право на оттегляне на съгласието по всяко време за обработване, основано на съгласие (напр. бюлетин).
• Право на определяне на посмъртни разпореждания.
• Право на подаване на жалба до Андорската агенция за защита на данните (APDA), френската CNIL или Вашия местен надзорен орган в ЕС.

За да упражните Вашите права, пишете на [email protected] или използвайте чата на бутика, като изберете „Privacy“. Може да бъде поискано разумно доказателство за самоличност с цел предотвратяване на присвояване на самоличност.

10. Промени в настоящото уведомление

Настоящото уведомление може да се променя. Датата на последна актуализация е посочена в горната част на страницата. Съществените промени (смяна на администратора, промяна на целите, добавяне на нов основен обработващ) ще бъдат откроени чрез специален информационен банер за срок от тридесет (30) дни.