Политика за поверителност

Тази политика обяснява обработването на лични данни при посещение на naplab.bg, използване на приложението НАП Лаб и свързване с нашия екип. Тя е съобразена с Общия регламент относно защитата на данните — Регламент (ЕС) 2016/679 („GDPR“).

1. Кой отговаря за данните Ви

НАП Лаб ООД, ЕИК 207568306, със седалище и адрес на управление: гр. София 1407, р-н Лозенец, бул. „Черни връх“ 47, ет. 6, е администратор на данните за акаунти, комуникация с нас и сигурност на услугата. За въпроси и искания относно личните Ви данни пишете на hello@naplab.bg.

За личните данни в документите, които подавате за свои клиенти или служители, съответното лице, определящо целите и средствата за обработване, е администратор. НАП Лаб действа като обработващ по възлагане. Тази политика предоставя информация и не замества необходимото споразумение за обработване на данни по чл. 28 GDPR.

2. Какви данни обработваме

Данни за акаунта. Имена, имейл, парола (съхранявана като хеш), настройки за двустепенна защита, passkey публични ключове и данни за активните сесии (устройство, приблизително местоположение по IP адрес, време на вход).

Данни от електронния подпис. При добавяне на КЕП запазваме публичния сертификат и извлечените от него данни: имена, ЕГН или ЛНЧ, организация и ЕИК, сериен номер и срок на валидност. Частният ключ никога не достига до нас.

Данни за клиентите Ви. Наименование, ЕИК и други данни, които въвеждате или които се извличат от подаваните файлове, за да бъдат разпределени по клиенти.

Данни от подаванията. Файловете, които качвате, се обработват, за да бъдат проверени, подписани от Вас и подадени към НАП. Те съдържат лични данни на осигурени лица и служители на клиентите Ви (имена, ЕГН, осигурителен доход и др.). Резултатите от обработката, върнати от НАП, се съхраняват, за да са Ви достъпни в приложението.

Технически данни. Сървърни логове и данни за грешки, необходими за сигурността и работоспособността на платформата.

Комуникация с нас. Когато ни пишете, обработваме имейла Ви, името Ви, ако го посочите, съдържанието на запитването и информацията, необходима за отговор. Не изпращайте пароли, частни ключове или ненужни лични данни на други лица.

Данни в браузъра. Публичният сайт запомня избора Ви за бисквитки. При активирани аналитични или рекламни услуги и само след Вашето съгласие съответните доставчици могат да получават информация за посещението, взаимодействията, браузъра и устройството Ви. Подробности за използваните технологии и сроковете им има в Политиката за бисквитки.

Получаваме тези данни от Вас, от упълномощените членове на екипа Ви, от предоставения публичен сертификат и от отговорите на НАП. Технически данни се генерират и при използване на услугата.

3. Защо и на какво основание

• Акаунт и услуга: за регистрация, удостоверяване, предоставяне на заявените функции и съдействие — изпълнение на договор или действия преди сключването му по Ваше искане (чл. 6, пар. 1, б. „б“ GDPR). Когато ползвате служебен акаунт по договор с Вашата организация, основанието за администрирането на този достъп е легитимният ни интерес да предоставяме услугата на организацията (б. „е“).
• Сигурност: за предотвратяване на злоупотреби, защита на акаунти и установяване на технически проблеми — легитимен интерес за поддържане на сигурна и работеща услуга (чл. 6, пар. 1, б. „е“ GDPR).
• Запитвания: за отговор на въпросите Ви — действия преди сключване на договор, когато запитването е за услугата, или легитимен интерес за водене на делова кореспонденция в останалите случаи.
• Законови изисквания: когато обработването е необходимо за изпълнение на конкретно законово задължение — чл. 6, пар. 1, б. „в“ GDPR.
• Дейности по съгласие: когато за конкретна незадължителна цел се изисква съгласие, ще го поискаме отделно, преди обработването (чл. 6, пар. 1, б. „а“ GDPR). Можете да го оттеглите по всяко време, без това да засяга законосъобразността на предходното обработване.

По отношение на данните в подаваните документи правното основание се определя от съответния администратор. Обработването им от НАП Лаб следва неговите документирани инструкции.

Данните, необходими за регистрация, удостоверяване и подаване, са условие за предоставяне на съответната функция. Без тях може да не можем да създадем акаунт или да изпълним подаване. Разглеждането на публичния сайт не изисква регистрация. Приемането на условията или прочитането на тази политика не представлява съгласие за реклама или проследяване.

4. На кого предоставяме данни

• На Националната агенция за приходите, като подавате документи чрез нейния API.
• На доставчици на инфраструктура (хостинг, съхранение на файлове, изпращане на имейли), които обработват данни само по наши инструкции.
• Ако свържете AI асистент чрез MCP, той получава достъп само до обобщена информация за подаванията (брой, статуси, срокове) след Вашето изрично разрешение и никога до съдържанието на подадените файлове.

Не продаваме лични данни. Не предоставяме данните от акаунтите, КЕП или подаваните документи на рекламните и аналитичните инструменти на публичния сайт. При изрично съгласие за съответната категория данни за посещенията на публичния сайт могат да се предоставят на активираните Google Analytics, Google Tag Manager и Meta Pixel. Конкретните цели и получатели са описани в Политиката за бисквитки.

В рамките на екипа достъпът до данните зависи от предоставените роли и права. Можем да предоставим данни и на компетентни органи, когато това се изисква от закон. НАП обработва получените документи в рамките на собствените си законови правомощия.

Ако обработването включва предаване извън Европейското икономическо пространство, трябва да са изпълнени изискванията на глава V GDPR — например приложимо решение за адекватност или подходящи гаранции, включително стандартни договорни клаузи и допълнителни мерки, когато са необходими. Можете да поискате информация за приложимите към Вашите данни получатели, държави и гаранции на hello@naplab.bg.

5. Колко време пазим данните

Данните за акаунта пазим, докато акаунтът съществува. Качените файлове се пазят, докато е необходимо за обработката и справките по подаването. Резултатите от НАП се пазят, докато ги изтриете или закриете акаунта си. Сървърните логове се пазят за ограничен период, необходим за сигурността.

Кореспонденцията се съхранява според времето, необходимо за отговор, последващо съдействие и разрешаване на свързания въпрос. При определяне на сроковете отчитаме целта, състоянието на акаунта или подаването, приложимите законови изисквания и необходимостта от установяване, упражняване или защита на правни претенции. Когато закон изисква по-дълго съхранение, изтриването може да бъде ограничено за съответните данни.

Изтриването от НАП Лаб не изтрива вече подадени документи от системите на НАП. За конкретни данни, срокове или искане за изтриване се свържете с нас.

6. Вашите права

При условията, предвидени в GDPR, можете да поискате:

• Достъп до личните Ви данни и копие от тях.
• Коригиране на неточни или непълни данни.
• Изтриване, когато няма основание за по-нататъшно съхранение.
• Ограничаване на обработването в предвидените от закона случаи.
• Преносимост, когато обработването е автоматизирано и се основава на съгласие или договор.
• Възражение срещу обработване на основание легитимен интерес по причини, свързани с Вашата конкретна ситуация.
• Оттегляне на съгласие, когато обработването се основава на него, без неблагоприятни последици за използването на функции, които не зависят от това съгласие.

Пишете на hello@naplab.bg, като посочите какво искате и за кой акаунт или данни се отнася искането. При основателни съмнения относно самоличността Ви можем да поискаме допълнителна информация, необходима за потвърждаването ѝ.

Отговаряме без ненужно забавяне и по правило до един месец от получаване на искането. При сложни или многобройни искания срокът може да се удължи с още два месеца; ще Ви уведомим в първия месец за удължаването и причините. Упражняването на правата по правило е безплатно. Ако не можем да изпълним искане, ще обясним причината и възможностите за защита.

Ако искането Ви се отнася до данни, които обработваме от името на Ваш работодател или друг клиент, ще съдействаме то да бъде разгледано от съответния администратор.

Имате право да подадете жалба до Комисията за защита на личните данни или друг компетентен надзорен орган, включително в държавата на обичайното Ви местопребиваване, месторабота или предполагаемото нарушение. Не е необходимо първо да се свързвате с нас, за да упражните това право.

7. Бисквитки

Публичният сайт naplab.bg зарежда активираните аналитични и рекламни инструменти само след съгласие за съответната категория. Използва локално съхранение, за да запомни избора Ви за 180 дни. Приложението използва бисквитки за вход, сигурност и настройки на интерфейса.

Прочетете Политиката за бисквитки за подробности. Можете да отворите „Настройки за бисквитки“ от долната част на всяка страница. Този избор не замества правното основание за обработване на данните в акаунта или подаваните документи.

8. Промени

При съществена промяна на тази политика ще Ви уведомим в приложението или по имейл.