http___fertitron.com_bg_politika-za-poveritelnost_1.xml
https___buffered.com_privacy_statement.xml
1.1 2.1 2.2 2.3 2.4 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 9.3 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 53.2 54.1 55.1 56.1 57.1 58.1 58.2 58.3 58.4 59.1 59.2 60.1 61.1 61.2 62.1 62.2 63.1 63.2 63.3 64.1 64.2 64.3 64.4 65.1 65.2 66.1 67.1 68.1 68.2 69.1 70.1 71.1 71.2 72.1 73.1 74.1 74.2 74.3 75.1 76.1 77.1 78.1 79.1 80.1 81.1 81.2 82.1 83.1 83.2 83.3 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 96.1 97.1 98.1 99.1 100.1 100.2 100.3 101.1 102.1 102.2 103.1 104.1 105.1 106.1 107.1 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 122.2 123.1 124.1 125.1 126.1 127.1 127.2 128.1 128.2 129.1 130.1 131.1 132.1 133.1 134.1 134.2 135.1 136.1 136.2 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1
Политика за защита на данните във ФЕРТИТРОН БЪЛГАРИЯ ЕООД ФЕРТИТРОН БЪЛГАРИЯ ЕООД, ЕИК: 131040111, с адрес: ул. „Хаджи Димитър“ №9-11, гр. София, обл. София град, тел.: +359 2 980 72 71 и имейл адрес: info@fertitron.com, прилага в търговските си взаимоотношения с Клиентите настоящите Общи условия, ("Администраторът" или "ФЕРТИТРОН БЪЛГАРИЯ"), ПРЕАМБЮЛ ФЕРТИТРОН БЪЛГАРИЯ, като администратор на лични данни, събира и обработва определена информация за физически лица. Тази информация може да се отнася до служители, управители, клиенти, доставчици, контрагенти, бизнес контакти и други физически лица, с които Администраторът има връзка или иска да установи бизнес контакт. Настоящата политика за защита на личните данни урежда как да бъдат събирани, обработвани и съхранявани личните данни, за да отговарят на стандартите в организацията на Администратора и да са в съответствие със правните изисквания. I.Правно основание Настоящата Политика за защита на личните данни ("Политика") се издава на основание Закона за защита на личните данни и подзаконовите му актове, така както се променят, ("Българското законодателство") и Общия регламент относно защитата на данните (ЕС) 2016/679 ("GDPR"). Българското законодателство и GDPR предвиждат правила как организациите, вкл. ФЕРТИТРОН БЪЛГАРИЯ, трябва да събират, обработват и съхраняват лични данни. Тези правила се прилагат от Администратора независимо дали се отнася до данни, които се обработват електронно, на хартия или на други носители. За да бъде обработването на лични данни в съответствие с правните изискванията, личните данни се събират и използват основателно, съхраняват се сигурно и Администраторът предприема необходимите мерки, за да не бъдат обработваните лични данни обект на незакономерно разкриване. Администраторът на лични данни е запознат с и следва принципите, предвидени в GDPR: -личните данни се обработват законосъобразно, добросъвестно и прозрачно; -личните данни се събират за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; -личните данни са подходящи, свързани с и ограничени до необходимото във връзка с целите, за които се обработват; -личните данни са точни и при необходимост се поддържат в актуален вид; -личните данни се съхраняват във форма, която да позволява идентифицирането на засегнатите лица за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; -личните данни са обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки. II.Цели на Политиката Настоящата Политика цели Администраторът да: -бъде в съответствие с приложимото законодателство по отношение на личните данни и да следва установените добри практики; -установи механизмите за водене, поддържане и защита на отчетните регистри; -установи задълженията на длъжностните лица, обработващи лични данни и/или лицата, които имат достъп до лични данни и работят под ръководството на обработващите лични данни, тяхната отговорност при неизпълнение на тези задължения; -защитава правата на персонала, клиентите и партньорите; -бъде открит как съхранява и защитава личните данни на физическите лица; -установи необходимите технически и организационни мерки за защита личните данни от неправомерно обработване (случайно или незаконно унищожаване, случайна загуба неправомерен достъп, изменение или разпространение, както и от всички други незаконни форми на обработване на лични данни); -бъде защитен при риск от нарушения. III.Обхват Настоящата Политика се прилага по отношение на обработването на лични данни на контрагенти, доставчици, клиенти и партньори, така както са описани в електронните отчетни регистри, установени в съответствие с тази Политика, Българското законодателство и чл. 30 от GDPR ("Регистри на дейностите по обработване"). IV.Събиране на лични данни Категории данни и субекти "Лични данни" са всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („Субект на данни“), а именно: Администраторът събира лични данни по отношение на следните категории лица: -лица, представляващи дружествата, с които Администраторът има или планира да има бизнес взаимоотношения; -лица за контакт в дружествата, с които Администраторът има бизнес взаимоотношения; -лица, които са заинтересовани от получаването на информационни услуги – информационен бюлетин, справочници и др.; -лица, които се регистрират с цел използване на онлайн-магазин. Цели на събирането на данните Администраторът събира личните данни във връзка с изпълнението на следните цели: За изпълнение на дейности, свързани със сключване, съществуване, изменение и прекратяване на договорни правоотношения, вкл. за: -изготвяне на всякакви документи; -за установяване на връзка с лицето за контакт по телефон, факс, имейл или по всякакъв друг законосъобразен начин; -за доставка и/или приемане на стоки/услуги, за комуникация във връзка с предоставяне и/или получаване на стоки/услуги и за предоставяне на свързаното с тях клиентско обслужване; -за водене на счетоводна отчетност във връзка с изпълненията по договори, по които Администраторът е страна; -за обработка на плащания във връзка със сключените договори от Администратора; -за изпращане на важна информация до субектите във връзка с промени в правилата, условията и политиките на Администратора и/или друга административна информация; За маркетингови цели – след получаване на изрично съгласие от субектите на лични данни; За статистически цели - след получаване на изрично съгласие от субектите на лични данни; Събиране на данните Данни на контрагенти (вкл. физически лица, управители, представители и/или лица за контакт на юридическото лице по търговски договор) Личните данни за всяко лице се предоставят доброволно от самите лица и се събират от Администратора в изпълнение на нормативно задължение, във връзка със сключването на договор и/или изпълнения на задълженията по сключен договор съгласно разпоредбите на Закона за задълженията и договорите, Търговския закон, Закона за счетоводството, Закона за данъка добавена стойност и др. и условията посочени в търговски договор със съответния клиент чрез: хартиен носител-писмени документи (вкл. пълномощни, договори, банкова информация и др.), по електронна поща- предоставени във връзка с изпълнението на граждански или търговски договор и/или чрез попълване на регистрационна форма. Лицата се уведомяват за разпоредбите на тази Политика предварително или в момента на получаване на данните им. V.Законни интереси, преследвани от Администратора Във връзка с обработване на данните на управителите и контрагенти: Обработването на данните се извършва на основание законен интерес и във връзка със сключването, съществуването, изменението и прекратяването на търговски и граждански договори при прилагането и изпълнение на нормативните изисквания на Търговския закон, Закона за задълженията и договорите, Кодекса за социално осигуряване, Данъчно-осигурителен процесуален кодекс, Кодекса на застраховането, Закон за данъците върху доходите на физическите лица, Закона за счетоводството и др. VI.Политика относно „бисквитките“ „Бисквитката“ е информация, подобна на маркер, която се съхранява на твърдия диск на компютъра Ви от Вашия уеб браузър, когато посещавате електронна страница. Наред с други онлайн услуги, използваме „бисквитки“ (включително във връзка с услугите, предоставяни от Google Анализ, както е описано по-горе в раздел „информация, която събираме за Вас“), за да получи определена потребителска информация относно това как и кога са разгледани определени раздели на Страницата ни, както и колко хора са ги посетили. Можете да настроите браузъра си да откаже, премахне или блокира „бисквитки“ или да Ви покаже, когато се генерира „бисквитка“, без това да засяга ползването на повечето функции на Страницата. За повече информация относно „бисквитките“, моля, посетете: www.allaboutcookies.ogr. „Бисквитката“ е малък файл с букви и цифри, който се запазва на Вашия браузър или на твърдия диск на Вашия компютър, ако сте се съгласили. „Бисквитките“ съдържат информация, която се прехвърля на твърдия диск на Вашия компютър. Ние използваме следните „бисквитки“: - Строго необходими „бисквитки“: Това са „бисквитки“, които са ноебходими за функционирането на нашия Сайт. Те включват например „бисквитки“, които Ви позволяват да влизате в защитените зони на нашия Сайт. - Аналитични/ „бисквитки“ за ефективност: Тези „бисквитки“ ни позволяват да разпознаваме и отброяваме посетителите на нашия Сайт и да видим как го ползват те. Тази „бисквитка“ ни помага да подобрим начина, по който функционира нашия уебсайт. - Функционални „бисквитки“: Тези „бисквитки“ записват Вашето посещение на нашия Сайт, посетените от Вас страници и връзките, които сте проследили. Ние ще използваме тази информация, за да направим нашия Сайт и рекламите, предлагани на него, по-подходящи за вашите интереси. Също така ние може да споделим тази информация с трети страни с тази цел. Моля, имайте предвид, че трети страни могат също да използват „бисквитки“, върху които ние нямаме контрол. Тези „бисквитки“ може да са само аналитични „бисквитки“ за ефективност или насочващи „бисквитки“. Ако не искатее да използваме „бисквитки“, както сме описали по-горе, или ако промените решението си, след като вече сте се съгласили и използването на „бисквитки“, Вие можете на изтриете и блокирате „бисквитките“ на този Сайт чрез Вашия браузър. Ако използвате настройките на Вашия браузър, за да блокирате всички „бисквитки“ (включително основните „бисквитки“), части от нашия уебсайт може да не фунционират. VII. Анализ на уеб пространството Нуждаем се от статистическа информация за използването на нашата уеб-страница, за да я направим по-достъпна, да извършваме измервания на обхвата и да правим пазарни проучвания. За тази цел използваме инструментите за уеб анализ, описани в този раздел. Потребителските профили, създадени от тези инструменти, с помощта на аналитични бисквитки или чрез оценка на лог файловете, не съдържат лични данни. Инструментите или изобщо не използват IP адресите на потребителите, или ги съкращават незабавно след събирането им. Доставчиците на инструментите обработват данните само като обработващи личните данни според нашите указания, а не за собствени цели. По-долу ще намерите информация за всеки доставчик на инструмент и как можете да възразите срещу събирането и обработването на лични данни чрез инструмента. Следва да имате предвид, че при инструментите, които използват бисквитки за отказ, функцията за отказ е свързана с устройството или браузъра и, следователно, е валидна за използваното в момента крайно устройство или браузър. Ако използвате няколко крайни устройства или браузъра, трябва да изберете функцията за отказ на всяко крайно устройство и във всеки използван браузър. Освен това, като цяло можете да предотвратите създаването на потребителски профили, като деактивирате използването на бисквитки. Google Analytics Google Analytics се предлага от Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA ("Google"). Ползваме Google Analytics с предлаганата от Google допълнителна функция за анонимизиране на IP адресите. Google съкращава IP адреса още в рамките на ЕС и само в изключителни случаи в САЩ, като и в двата случая записва само съкратени IP адреси. Можете да възразите срещу събирането и обработването на данните ви, като изтеглите и инсталирате приставка за браузър от следния линк: http://tools.google.com/dlpage/gaoptout?hl=en VIII.Прозрачност. Права на лицата, чиито данни се обработват от Администратора Прозрачност и условия за упражняване на правата на лицата Администраторът предоставя информация на лицата в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Администраторът се стреми да гарантира, че лицата са запознати относно обработваните от него лични данни и, че лицата изцяло и напълно разбират и са информирани във връзка с обработването в съответствие с изискванията на GDPR и Българското законодателство. Администраторът предоставя информацията на лицата писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако лицето е поискало това, информацията може да бъде дадена устно, при положение че идентичността на лицето е доказана с други средства. Администраторът предоставя на лицата безплатно информация относно действията, предприети във връзка с искане относно правото им на достъп, коригиране, изтриване, ограничаване на обработването, преносимост, възражение и автоматизирано вземане на решения, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира лицето за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато съответно лице подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако лицето не е поискало друго. Ако Администраторът не предприеме действия по искането, Администраторът уведомява лицето без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Когато исканията на лицето са явно неоснователни или прекомерни, по-специално поради своята повторяемост, Администраторът може или: -да наложи разумна такса, като взема предвид административните разходи за предоставяне на информацията или комуникацията или предприемането на исканите действия или -да откаже да предприеме действия по искането. Право на достъп на лицата Всяко лице има право да получи от Администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: -целите на обработването; -съответните категории лични данни; -получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни (вкл. в трети държави или международни организации); -когато е възможно, предвиденият срок, за който ще се съхраняват данните, а ако това е невъзможно, критериите, използвани за определянето на този срок; -съществуването на право да се изиска от Администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със засегнатите лицата, или да се направи възражение срещу такова обработване; -правото на жалба до Комисията за защита на личните данни; -когато личните данни не се събират от самите лица, всякаква налична информация за техния източник; -съществуването на автоматизирано вземане на решения, вкл. профилирането, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за лицата. Когато личните данни се предават на трета държава или на международна организация, лицата имат право да бъдат информирани относно подходящите гаранции във връзка с предаването. Администраторът предоставя на лицето копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от лицата, Администраторът може да наложи разумна такса въз основа на административните разходи. Когато лицето подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако лицето не е поискало друго. Право на коригиране Всяко лице, чиито данни се обработват от Администратора, има право да поиска от Администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването лицето има право непълните лични данни да бъдат допълнени. Право на изтриване (право „да бъдеш забравен“) Всяко лице, чиито данни се обработват от Администратора, има правото да поиска от Администратора изтриване на свързаните с него лични данни без ненужно забавяне, а Администраторът има задължението да изтрие без ненужно забавяне личните данни, когато: -личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин; -лицето оттегли своето съгласие, върху което се основава обработването на данните, и няма друго правно основание за обработването; -лицето възрази срещу обработването и няма законни основания за обработването, които да имат преимущество; -личните данни са били обработвани незаконосъобразно; -личните данни трябва да бъдат изтрити с цел спазването на правно задължение, което се прилага спрямо администратора; -личните данни са били събрани във връзка с предлагането на услуги на информационното общество. Когато Администраторът е направил личните данни обществено достояние и е задължен съгласно предходния параграф да изтрие личните данни, той, като отчита наличната технология и разходите по изпълнението, предприема разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че засегнатото лице е поискало изтриване от тези администратори на всички връзки, копия или реплики на неговите лични данни. Право на ограничаване на обработването Всяко лице, чиито данни се обработват от Администратора, има право да изиска от Администратора ограничаване на обработването, когато се прилага едно от следното: -точността на личните данни се оспорва от лицето, за срок, който позволява на Администратора да провери точността на личните данни; -обработването е неправомерно, но субектът на данните не желае личните данни да бъдат изтрити, а изисква вместо това ограничаване на използването им; -Администраторът не се нуждае повече от личните данни за целите на обработването, но субектът на данните ги изисква за установяването, упражняването или защитата на правни претенции; -субектът на данните е възразил срещу обработването в очакване на проверка дали законните основания на Администратора имат преимущество пред интересите на субекта на данните. Когато обработването е ограничено съгласно горния параграф, такива данни не се обработват, с изключение на тяхното съхранение, само със съгласието на субекта на данните или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице или поради важни основания от обществен интерес. Когато субект на данните е изискал ограничаване на обработването, Администраторът го информира преди отмяната на ограничаването на обработването. Задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването Администраторът съобщава за всяко извършено коригиране, изтриване или ограничаване на обработване на всеки получател, на когото личните данни са били разкрити, освен ако това е невъзможно или изисква несъразмерно големи усилия. Администраторът информира субекта на данните относно тези получатели, ако субектът на данните поиска това. Право на преносимост на данните Субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на Администратора, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от Администратора, когато (i) обработването е основано на съгласие във връзка с определени цели или на договорно задължение на субекта или предприемане на стъпки преди сключване на договор и (ii) обработването се извършва по автоматизиран начин. Когато упражнява правото си на преносимост, субектът на данните има право да получи пряко прехвърляне на личните данни от един администратор към друг, когато това е технически осъществимо. Право на възражение Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него (когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия на Администратора, или обработването е за целите на легитимните интереси на Администратора или на трета страна), включително профилиране. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции. Когато се обработват лични данни за целите на директния маркетинг, субектът на данни има право по всяко време да направи възражение срещу обработване на лични данни, отнасящо се до него за този вид маркетинг, което включва и профилиране, доколкото то е свързано с директния маркетинг. Когато субектът на данни възрази срещу обработване за целите на директния маркетинг, обработването на личните данни за тези цели се прекратява. Най-късно в момента на първото осъществяване на контакт със субекта на данните, той изрично се уведомява за съществуването на правото по предходните параграфи, което му се представя по ясен начин и отделно от всяка друга информация. IX.Технически и организационни мерки за защита на данните Защитата на данните на хартиено копие, както и на електронен носител от неправомерен достъп, повреждане, изгубване или унищожаване се осигурява посредством поредица от вътрешно регулирани технически и организационни мерки. X.Трансфер на лични данни Към настоящия момент Администраторът не осъществява трансфер на лични данни в други страни в или извън Европейския съюз. XI.Нарушения. Уведомяване за нарушения Нарушения Нарушение на сигурността на данни възниква, когато личните данни, за които ФЕРТИТРОН БЪЛГАРИЯ отговаря, са засегнати от инцидент със сигурността, в резултат на който се нарушава поверителността, наличието или целостта на личните данни. В този смисъл, нарушение на данните възниква, когато има нарушение на сигурността, водещо до инцидентно или незаконно унищожаване, загуба, изменение, нерегламентирано разкриване на данни, които се предават, съхраняват или по друг начин се обработват. В случай на нарушение на сигурността на личните данни незабавно следва да се уведоми на имейл info@fertitron.com Оценка на нарушенията След като съответният служител на ФЕРТИТРОН БЪЛГАРИЯ получи информация за извършено нарушение, то трябва да определи дали конкретното събитие представлява нарушение на лични данни и да уведоми управителите на Администратора за събитието (в случай, че те не знаят). В случай на нарушение на сигурността на личните данните, което съществува вероятност да породи риск за правата и свободите на физическите лица, Администраторът (чрез съответния служител), без ненужно забавяне и когато това е осъществимо-не по-късно от 72 часа след като е разбрал за него, уведомява за нарушението Комисията за защита на личните данни. Когато и доколкото не е възможно информацията да се подаде едновременно, информацията може да се подаде поетапно без по-нататъшно ненужно забавяне. Когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, Администраторът без ненужно забавяне, съобщава на субекта за нарушението. Администраторът документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението, последиците от него и предприетите действия за справяне с него. XII.Унищожаване Счетоводната и търговската информация, както и всички други сведения и документи от значение за данъчното облагане и задължителните осигурителни вноски се съхраняват от Администратора в следните срокове: -ведомости за заплати - 50 години; -счетоводни регистри и финансови отчети-10 години; -документи за данъчно-осигурителен контрол-5 години след изтичане на давностния срок за погасяване на публичното задължение, с което са свързани; -всички останали носители-5 години, доколкото по закон не е предвиден друг срок. След изтичането на срока за съхранението им носителите на информация (хартиени или технически), които не подлежат на предаване в Националния архивен фонд, могат да се унищожават. След приключване на срока за съхранение данните се унищожават възможно най-бързо посредством унищожаването на хартиените носители чрез рязане чрез машина тип „Шредер“ (шредиране), а на техническия носител-чрез заличаване и изтриване на съответните файлове от сървъра/компютрите на Дружеството. Допълнителни разпоредби По смисъла на настоящите вътрешни правила: ”Администратор на лични данни” е "ФЕРТИТРОН БЪЛГАРИЯ", еднолично дружество с ограничена отговорност, с ЕИК 131040111, като действия от името на администратора осъществява Гергана Мървакова, администратор база данни. „Обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване; Настоящaта Политика подлежи на утвърждаване и довеждане до знанието на лицата, които касаят, със заповед на управителя на Администратора.
1.1 2.1 3.1 3.2 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 25.2 25.3 26.1 27.1 28.1 28.2 28.3 29.1 30.1 31.1 31.2 32.1 32.2 32.3 33.1 34.1 35.1 36.1 37.1 38.1 38.2 38.3 38.4 39.1 40.1 40.2 41.1 41.2 41.3 42.1 43.1 44.1 44.2 44.3 44.4 44.5 45.1 46.1 47.1 48.1 49.1 49.2 49.3 50.1 51.1 52.1 52.2 52.3 52.4 52.5 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 61.2 61.3 62.1 63.1 64.1 65.1 66.1 67.1 68.1 69.1 70.1 71.1 72.1 73.1 73.2 74.1 75.1 76.1 76.2 77.1 78.1 79.1 80.1 81.1 82.1 82.2 83.1 84.1 85.1 86.1 86.2 87.1 88.1 89.1 89.2 89.3 90.1 91.1 91.2 92.1 93.1 94.1 95.1 96.1 97.1 98.1 99.1 100.1 100.2 101.1 102.1 103.1 104.1 105.1 105.2 105.3 106.1 106.2 106.3 107.1 108.1 109.1 110.1 111.1 111.2 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 149.2 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 159.1 160.1 161.1 162.1 163.1 164.1 165.1 166.1 167.1 168.1 169.1 169.2 170.1 171.1 172.1 173.1 174.1 174.2 175.1 175.2 175.3 176.1 177.1 177.2 178.1 179.1 180.1 181.1 181.2 181.3 182.1 183.1 183.2 184.1 185.1 186.1 187.1 188.1 189.1 190.1 192.1 193.1 194.1 195.1
General Buffered Limited ("We” or “Data Controller" or “us”) are committed to protecting and respecting your privacy. This policy (together with our VPN Terms and Conditions and any other documents referred to on it) sets out the basis on which any personal data we collect from yours, or that you provide to us, will be processed by us. Please read the following carefully to understand our practices regarding your personal data and how we will treat it. For the purpose of the Data Protection Act 2004 (the “Act”) and Regulation (EU) 2016/679 of the European Parliament and of the Council (GDPR) (together the “Data Protection Legislation”), the data controller is Buffered Limited a company incorporated in Gibraltar and registered in Gibraltar with Company Number 112307 whose registered office is at Suites 7B & 8B, 50 Town Range, Gibraltar, email: privacy@buffered.com. Principles Relating to Processing of Personal Data In the course of processing personal data, the Buffered Ltd. as Data Controller observes and acts in line with the following principles stipulated in Article 5 of the GDPR: - lawfulness, fairness and transparency – this means that your personal data will be collected, stored and processed lawfully and fairly and we will be transparent with you about the manner in which we do so; - purpose limitation – this means that we will only collect your personal data for specific legitimate purposes and we will not process your personal data in a manner which would contradict those purposes; - data minimisation – this means that the personal data we collect about will be limited to what is adequate and relevant in relation to the purpose for which we have collected it; - accuracy – this means that we will keep personal data we hold about you accurate and up to date; - storage limitation – which means that we will only collect, store and process your personal data only for as long as is necessary (in connection with the purpose for which we have collected it); and - integrity and confidentiality – which means that we will keep personal data that we collect, store and process about you secure. Lawfulness of processing The Data Controller may process data only if and to the extent that at least one of the following applies: - the data subject (you) has freely given specific, informed and unambiguous consent to the processing of his or her personal data for one or more specific purposes (“consent”); - processing is necessary for the performance of a contract to which the data subject (you) is party or in order to take steps at the request of the data subject (you) prior to entering into a contract (“performance of the contract”); - processing is necessary for compliance with a legal obligation to which the Data Controller is subject (“statutory processing”); - processing is necessary in order to protect the vital interests of the data subject or of another natural person (“vital interest”); - processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the Data Controller (“exercise of public powers”); or - processing is necessary for the purposes of the legitimate interests pursued by the Data Controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child (“legitimate interest”). Information We Obtain We will collect and process the following data about you: Information you give us Contract and contact data This is information about you that you give us by filling in forms on our site www.buffered.com (our site) or by corresponding with us (by phone, e-mail, electronic chat or otherwise). It includes information you provide when you register to use our site, subscribe to our service (the “Services”), and when you report a problem with our site. The information you give us may include your name, address, e-mail address, financial and credit card information. The legal basis of this data processing is the performance of a contract under which we provide the Services to you (and to which to which the you are a party) or in order to take steps at your request prior to entering into a contract (“performance of the contract”). The purpose of data processing is registration and performance of contract, including free use. Providing the relevant data is the pre-condition of concluding a contract with you in other words, the data is required in order for you to register to make use of the Services. You are always free to refuse to provide your data. Please note however, that if you decide not to provide your data, we may not be able to provide the Services to you. We process the personal data for 1 year after the cessation of the contract, or, in the case of a legal dispute, until the conclusion of the legal dispute. Billing data Your billing data (name, address) is processed on the basis that it is necessary for compliance with a legal obligation to which we are subject (“statutory processing”). The purpose of such processing is to issue invoice and assess our VAT liability for customers in the EU on a country by country basis if applicable. We need you to provide us with the relevant data so that we may carry out our obligations to you and provide you with our services. You are always free to refuse to provide your data. Please note however, that if you do not provide us with the data that we need, then we will not be able to provide the services to you. We process the personal data as long as we are required to in accordance with applicable laws (i.e., until the end of the limitation period); or, in the case of a legal dispute, until the conclusion of the legal dispute. Information we collect about you Every time you visit our site (this does not include usage of our VPN client software) we will automatically collect the following information: - technical information, including the Internet protocol (IP) address used to connect your computer to the Internet, your login information, browser type and version, time zone setting, browser plug-in types and versions, operating system and platform; - information about your visit, including the full Uniform Resource Locators (URL), clickstream to, through and from our site (including date and time), products you viewed or searched for, page response times, download errors, length of visits to certain pages, page interaction information (such as scrolling, clicks, and mouse-overs), methods used to browse away from the page. With the software and configuration files we provide we may collect information from you which may include but is not limited to your devices identifiers, including unique identifiers, operating system’s version, language, IP addresses, network information, user information on the operating system, routing tables, DNS server addresses, other filesystem information. This information is only used for troubleshooting purposes. You can opt out of this collection in the desktop client by disabling the “Report operational errors” option in the “Settings” menu. When using third party client software this information is not collected by us. The purpose of processing this data is the legitimate pursuit of troubleshooting and service development (legitimate interest). Providing the relevant data is not a pre-condition of concluding a contract with you. You are always free to refuse to provide your personal data. It is in our legitimate interest to use the above data for troubleshooting and service development. Processing the above data is necessary for the purpose; it is proportionate and coherent with the data minimisation principle since no other data is collected in this context. As written above, you may freely block the relevant data flow. In these circumstances, the Data Controller processes the personal data for 30 days or, in the case of a legal dispute, until the conclusion of the legal dispute. Information we receive from other sources When paying us via credit/debit card we receive information from the payment processor (please see our website for more details). This information includes your billing name and address, and your card type. It does not include your credit/debit card number, expiry or CVV. Your credit card information is encrypted on the fly and it is stored on Spreedly servers. We never see your credit card information. When paying us via Paypal, we receive your email address you use in Paypal, and your billing name and address. We do not use any third party tracking or analytics applications, and do not receive any information about you from these. The legal basis of this data processing is the performance of our contract with you (“performance of the contract”). The purpose of data processing is registration and performance of contract. Providing the relevant data is the pre-condition of concluding a contract with you. You are always free to refuse to provide your data. Please note however, that if you decide not to provide your data, we may not be able to provide the Services to you under the contract with you. The Data Controller processes the personal data for 1 year after the cessation of the contract, or, in the case of a legal dispute, until the conclusion of the legal dispute. Cookies Our website uses cookies to distinguish you from other users of our website. A cookie is a small file of letters and numbers that we store on your browser. Cookies contain information that is transferred to your computer's hard drive. This helps us to provide you with a good experience when you browse our website and also allows us to improve our site. For detailed information on the cookies we use and the purposes for which we use them see our Cookie Policy. Uses Made of the Information We use information held about you in the following ways: Information you give to us We will use this information: - to carry out our obligations arising from any contracts entered into between you and us and to provide you with the information, products and services that you request from us; - to carry out our legal obligation stipulated by applicable laws; - to carry out fraud checks on payment information via a third party fraud detection service. - to provide you with information about other goods and services we offer that are similar to those that you have already purchased or enquired about which is our legitimate interest; - to provide you, or permit selected third parties, limited to third party email services (for example Mailchimp) to provide you, with information about goods or services we feel may interest you. If you are an existing customer, we (or third parties on our behalf) will only contact you by electronic means (e-mail or electronic chat) with information about goods and services similar to those which were the subject of a previous sale or negotiations of a sale to you. You may opt out from receiving such information at any time by letting us know. - to notify you about changes to our service; and - to ensure that content from our site is presented in the most effective manner for you and for your computer. Information we collect about you We will use this information: - to administer our site and for internal operations, including troubleshooting, data analysis, testing, research, statistical and survey purposes; - to improve our site to ensure that content is presented in the most effective manner for you and for your computer (or device); - to allow you to participate in interactive features of our service, when you choose to do so; - as part of our efforts to keep our site safe and secure; - to measure or understand the effectiveness of advertising we serve to you and others, and to deliver relevant advertising to you; and - to make suggestions and recommendations to you and other users of our site about goods or services that may interest you or them. Information we receive from other sources We will combine this information with the information you give to us and the information we collect about you. We will use this information for the performance of our contract with you (“performance of the contract”). Disclosure of Your Information We may share your personal data with: Any member of our group, which means our subsidiaries from time to time or our ultimate holding company and any of its subsidiaries, as defined within the meaning of the Gibraltar Companies Act 2014. and when shared, this will be done for the processing purposes highlighted in Section 4. The below third parties as data processors (recipients): - Accountant; - Payment providers as seen on our website - Third party fraud detection service provider (SEON) - Email sending services, including but not limited to Mailchimp and Mandrill (https://mailchimp.com and https://mandrillapp.com) - Your web browsing information may be shared for retargeting purposes with Google Inc, if your first page impression is a marketing campaign we are running. User’s data who are visiting our front page for the first time is not shared with Google Inc. We will disclose your personal information to third parties: - in the event that we sell or buy any business or assets, in which case we will disclose your personal data to the prospective seller or buyer of such business or assets. - if Buffered Limited or substantially all of its assets are acquired by a third party, in which case personal data held by it about its customers will be one of the transferred assets. - if we are under a duty to disclose or share your personal data in order to comply with any legal obligation (outside of those under the Data Protection Legislation), or in order to enforce or apply our Terms of Use and other agreements; or to protect the rights, property, or safety of Buffered Limited, our customers, or others. This includes exchanging information with other companies and organisations for the purposes of fraud protection and credit risk reduction. Where we store, transfer and/or process your personal data outside of the European Economic Area ("EEA") we will strive to ensure that the individuals or entity receiving the personal data provides an adequate level of protection for that personal data. Please contact us if you want further information on the specific mechanism used by us when transferring your personal data out of the EEA. The Data Controller may change the data processors by a business decision. At your request, the Data Controller shall inform you directly of the current list of data processors. We encourage you to periodically review it so that you can exercise your rights of information and the protection of personal data. Security of processing We take all reasonable measures to ensure the security of your personal data and to provide an appropriate level of protection against the risk of access, alteration, unaurhorised transfers/disclosures, unauthorised destruction or accidental destruction or damage to the personal data, and the risk of it becoming inaccessible due to the change in the applied technology. We strive to ensure the security of personal data by implementing appropriate technical and organisational measures such as: - the pseudonymisation and encryption of personal data; - the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services; - the ability to restore the availability and access to personal data in a timely manner in the event of a physical and technical incident; - a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing. In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing, with special regard to those arising from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal data transmitted, stored or otherwise processed. We shall take steps to ensure that any natural person acting under our authority who has access to personal data does not process it except on our instruction. In the case of a personal data breach, the we shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to our regulator, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. We shall document any personal data breaches, comprising the facts relating to the personal data breach, its effects and the remedial action taken. When the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, we shall communicate the personal data breach to the data subjects without undue delay. The communication to the data subject shall not be required if: - we have implemented appropriate technical and organisational protection measures, and those measures were applied to the personal data affected by the personal data breach, in particular those that render the personal data unintelligible to any person who is not authorised to access it, such as encryption; - we have taken subsequent measures which ensure that the high risk to the rights and freedoms of data subject is no longer likely to materialise; - it would involve a disproportionate effort. Your Rights You have the right to ask us not to process your personal data for marketing purposes at any time. You can exercise your right to prevent such processing by not checking certain boxes on the forms we use to collect your data. You can also exercise the right at any time by contacting us at privacy@buffered.com. Our site may, from time to time, contain links to and from the websites of our partner networks, advertisers and affiliates. If you follow a link to any of these websites, please note that these websites have their own privacy policies and that we do not accept any responsibility or liability for these policies. Please check these policies before you submit any personal data to these websites. In connection with data processing, you have the right of information, access to and rectification or erasure of your personal data, the right to data portability and the right to object. Your rights and remedies related to data processing In connection with data processing, you have the right of information, access to and rectification or erasure of your personal data, the right to data portability and the right to object. Right of information You have the right to be provided with clear, transparent and easily understandable information about how we use your personal data and your rights. Where personal data relating to you is collected from you, we, at the time when personal data are obtained, will provide you with all of the following information: - the identity and the contact details of the Data Controller; - the contact details of the Privacy Specialist; - the purposes of the processing for which the personal data are intended as well as the legal basis for the processing; - where the processing is based on the legitimate interests pursued by the Data Controller or by a third party; - the recipients or categories of recipients of the personal data, if any; - where applicable, the fact that the Data Controller intends to transfer personal data to an organization outside of the EEA; - the period for which the personal data will be stored, or, where that is not possible, the criteria used to determine that period; - the existence of your right to request access to and/or rectification or erasure of personal data or to restrict us from processing your personal data, or to object to processing as well as the right to data portability; - where processing is based on consent, the existence of the right to withdraw consent at any time; - the right to lodge a complaint with the supervisory authority; - whether the provision of personal data is a statutory or contractual requirement, or a requirement necessary to enter into a contract, as well as whether the data subject is obliged to provide the personal data and of the possible consequences of failure to provide such data; - the existence of automated decision-making, including profiling. The controller shall provide the data subject with the following information in the event that personal data have not been obtained from the data subject: - the identity and contact information of the controller; - the contact details of the data protection officer (where applicable); - the purpose for processing the personal data as well as any legal basis for processing; - the recipients of the personal data; and - the categories of personal data obtained. To ensure fair and transparent processing, the controller shall also provide the data subject with the following: - information regarding the period for which the data will be stored and the criteria used to determine the timeframe; - where the processing is based on the legitimate interests pursued by the Data Controller or by a third party; - the means for the data subject to request from the controller erasure or rectification of personal data, restriction of processing of data, and the facility for data portability; - the means for the data subject to request withdrawal of consent at any time, without affecting the lawfulness of the processing; - the right to file a complaint with the supervisory authority; - information regarding the source(s) from which the personal data was obtained, and whether the data was obtained from publicly accessible sources; and - information regarding the existence of any automated decision-making, including information regarding the logic involved, and any potential consequences to the data subject in relation to automated decision-making. Right to access You have the right to obtain confirmation as to whether or not personal data concerning you are being processed, and, where that is the case, access to the personal data and the following information: - the purposes of the processing; - the categories of personal data concerned; - the recipients or categories of recipient to whom the personal data have been or will be disclosed, in particular recipients outside of the EEA or international organisations; - where possible, the envisaged period for which the personal data will be stored, or, if not possible, the criteria used to determine that period; - the existence of your right to request from the Data Controller rectification or erasure of personal data or restriction of processing of personal data concerning you or to object to such processing; - the right to lodge a complaint with a supervisory authority; - where the personal data are not collected from the data subject, any available information as to their source; - the existence of automated decision-making, including profiling, and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject. Right to rectification You have the right to request that we rectify any inaccurate personal data concerning you without undue delay. Taking into account the purposes of the processing, you have the right to have incomplete personal data completed. Right to erasure ("right to be forgotten") You have the right to request that we delete/erase the personal data we hold about you without undue delay and the hawse have the obligation to erase personal data we hold about you without undue delay where one of the following grounds applies: - the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise processed; - you withdraw your consent underlying the data processing (if this is the legal base) and the processing has no other legal base; - you exercise your right to object to data processing; - the personal data have been unlawfully processed; - the personal data have to be erased for compliance with a legal obligation in Union or Member State law to which the Data Controller is subject; - the personal data have been collected in relation to the offer of information society services. Right to restriction of processing You have the right to restrict the processing of your personal information by us where one of the following applies: - if you contest the accuracy of the personal data, for a period enabling the Service Provider to verify the accuracy of the personal data; - the processing is unlawful and you oppose the erasure of the personal data and request the restriction of their use instead; - we no longer need the personal data for the purposes of the processing, but they are required by you for the establishment, exercise or defence of legal claims; or - you have objected to processing; in such a case restriction applies pending the verification whether the legitimate grounds which may override of yours. Right to data portability You have the right to receive the personal data we hold concerning you, which you have provided to us, in a structured, commonly used and machine-readable format and have the right to transmit that data to another service provider without hindrance from us where: - processing was based on a consent or a contract; and - the processing is carried out by automated means. Right to object You have the right to object, on grounds relating to your particular situation, at any time to processing of personal data concerning you, including profiling based on those provisions. The Data Controller shall no longer process the personal data unless the Data Controller demonstrates compelling legitimate grounds for the processing which override the interests, rights and freedoms of the data subject or for the establishment, exercise or defence of legal claims. You can exercise the above rights of data subjects as follows: Contact us using any of the following points of contact: Mailing address: GX111AA Suites 7B & 8B, 50 Town Range, Gibraltar E-mail: privacy@buffered.com On receipt of a request under this Privacy Statement, we shall try to provide the information sought without undue delay and in any event within one month of receipt of the request. That period may be extended by two further months if the request is particularly complex or burdensome. We will inform you of any such extension within one month of receipt of the request, together with the reasons for the delay. This information is provided free of charge however, we may charge a fee where the request is unfounded or excessive. In such circumstances we may also refuse to provide such information. How Will We Keep Your Data? We will only keep your personal data for as long as necessary to fulfil the purposes set out above. The specific terms we apply are contained above at Section 2. We may keep your personal data for longer where we are required to do so by law, or it is necessary to establish make or defend a legal claim. To determine the appropriate retention period for personal data, we consider the amount, nature, and sensitivity of the personal data, the potential risk of harm from unauthorised use or disclosure of your personal data, the purposes for which we process your personal data, and the likelihood of a legal claim. Changes to Our Privacy Statement This privacy statement is dated 25th of May 2018. Any changes we make to our privacy policy in the future will be posted on this page and, where appropriate, notified to you by e-mail. Please check back frequently to see any updates or changes to our privacy policy. Our Regulator You have the right to make a complaint at any time to the Gibraltar Regulatory Authority (the “GRA”), the supervisory authority for data protection issues in Gibraltar (www.gra.gi). We would, however, appreciate the chance to deal with your concerns before you approach the GRA so please contact us in the first instance. GRA Contact Details: Gibraltar Regulatory Authority 2nd floor Eurotowers 4 1 Europort Road Gibraltar GX11 1AA Email: info@gra.gi Contact Questions, comments and requests regarding this privacy policy are welcomed and should be addressed to at privacy@buffered.com. Last updated: 23 July, 2018