Политика за поверителност

Тази политика обяснява обработването на лични данни при посещение на naplab.bg, използване на приложението НАП Лаб на app.naplab.bg и свързване с нашия екип. Тя е съобразена с Общия регламент относно защитата на данните, Регламент (ЕС) 2016/679 („GDPR“).

1. Кой отговаря за данните Ви

НАП Лаб ООД, ЕИК 207568306, със седалище и адрес на управление: гр. София 1407, р-н Лозенец, бул. „Черни връх“ 47, ет. 6, е администратор на данните за акаунти, екипи, електронни подписи, комуникация с нас и сигурност на услугата. За въпроси и искания относно личните Ви данни пишете на имейл.

За личните данни в документите, които подавате за свои клиенти или служители, администратор е лицето, което определя целите и средствата за обработването им, обикновено работодателят. НАП Лаб действа като обработващ по негово възлагане. Изключение е изготвянето на анонимна статистика по т. 5, за което НАП Лаб определя целите и средствата и е администратор. Условията на обработването по чл. 28 GDPR са уредени в т. 10 от Условията за ползване.

2. Какви данни обработваме

Данни за акаунта. Имена, имейл, парола (съхранявана като хеш), настройки за двустепенна защита, публични ключове на passkeys и данни за сесиите: IP адрес, браузър и устройство, време на вход.

Данни за екипа. Име на екипа, членове, роли и права, настройки, покани (имейл на поканения и кой го е поканил) и кой член е изпратил всяко подаване.

Данни от електронния подпис. При добавяне на КЕП запазваме публичния сертификат и извлечените от него данни: имена, ЕГН или ЛНЧ, имейл, организация и ЕИК, издател, сериен номер и срок на валидност. Частният ключ никога не достига до нас.

Данни за клиентите Ви. Наименование, ЕИК, ДДС номер, адрес, имейл, телефон, отговорник от екипа и бележки, които въвеждате. При едноличен търговец тези данни се отнасят до физическо лице.

Данни от подаванията. Файловете, които качвате, се обработват, за да бъдат проверени, подписани от Вас и подадени към НАП. Те съдържат лични данни на осигурени лица и служители на клиентите Ви: имена, ЕГН или ЛНЧ, данни за осигуряването, доходите, данъците и трудовото правоотношение. Могат да съдържат и данни за временна неработоспособност, които са данни за здравето, и данни за запорни съобщения. Съхраняваме качения файл, прочетеното от него съдържание, подписаното копие и отговора и резултата от НАП. От приетите декларации изготвяме и анонимна статистика по т. 5.

Технически данни. Сървърни логове, включително адресите, на които изпращаме имейли, данни за грешки и служебни данни за обработката на подаванията.

Комуникация с нас. Когато ни пишете по имейл или през формата за контакт на сайта, обработваме имейла Ви, името Ви, съдържанието на запитването и информацията, необходима за отговор. За защита от спам формата използва Cloudflare Turnstile, който обработва технически данни за браузъра и устройството Ви. Не изпращайте пароли, частни ключове или ненужни лични данни на други лица.

Данни в браузъра. Приложението използва необходими бисквитки за вход, сигурност и настройки на интерфейса. Публичният сайт запомня избора Ви за бисквитки. При активирани аналитични или рекламни услуги и само след Вашето съгласие съответните доставчици могат да получават информация за посещението, взаимодействията, браузъра и устройството Ви. Подробности има в Политиката за бисквитки.

Източници. Получаваме тези данни от Вас, от членовете на екипа Ви, от предоставения публичен сертификат и от отговорите на НАП. Данните за клиентите може да бъдат попълнени автоматично по ЕИК от Търговския регистър, системата VIES на Европейската комисия и публичните фирмени каталози papagal.bg и sova.bg. Технически данни се генерират при използване на услугата.

3. Защо и на какво основание

• Акаунт, екип и услуга: за регистрация, удостоверяване, работа в екип, предоставяне на заявените функции и съдействие. Основание е изпълнението на договора или действия преди сключването му по Ваше искане (чл. 6, пар. 1, б. „б“ GDPR). Когато ползвате акаунт като член на чужд екип, основание за администрирането на достъпа Ви е легитимният ни интерес да предоставяме услугата на собственика на екипа (б. „е“).
• Сигурност: за предотвратяване на злоупотреби, защита на акаунти и установяване на технически проблеми. Основание е легитимният интерес за поддържане на сигурна и работеща услуга (чл. 6, пар. 1, б. „е“ GDPR).
• Запитвания: за отговор на въпросите Ви. Основание са действията преди сключване на договор, когато запитването е за услугата, или легитимният интерес за водене на делова кореспонденция в останалите случаи.
• Анонимна статистика: за изготвяне на обобщена статистика за заетостта, възнагражденията и осигуровките по т. 5. Основание е легитимният интерес (чл. 6, пар. 1, б. „е“ GDPR). Обработването за статистически цели се счита за съвместимо с първоначалната цел (чл. 5, пар. 1, б. „б“ и чл. 89, пар. 1 GDPR).
• Законови изисквания и правни претенции: когато обработването е необходимо за изпълнение на законово задължение (б. „в“) или за установяване, упражняване или защита на правни претенции (б. „е“).
• Дейности по съгласие: аналитичните и рекламните услуги на публичния сайт и всяка друга незадължителна цел, за която ще поискаме съгласие отделно, преди обработването (чл. 6, пар. 1, б. „а“ GDPR). Можете да го оттеглите по всяко време, без това да засяга законосъобразността на предходното обработване.

По отношение на данните в подаваните документи правното основание, включително за данните за здравето, се определя от съответния администратор. Обработването им от НАП Лаб следва неговите документирани инструкции, с изключение на анонимизирането им за статистика по т. 5.

Данните, необходими за регистрация, удостоверяване и подаване, са условие за предоставяне на съответната функция. Без тях може да не можем да създадем акаунт или да изпълним подаване. Разглеждането на публичния сайт не изисква регистрация. Приемането на условията или прочитането на тази политика не представлява съгласие за реклама или проследяване.

4. На кого предоставяме данни

• Национална агенция за приходите, когато подавате документи чрез нейния API. НАП обработва получените документи в рамките на собствените си законови правомощия.
• Hetzner Online GmbH, Германия: сървъри, база данни и резервни копия, в център за данни във Фалкенщайн, Германия.
• Amazon Web Services: съхранение на качените файлове и резултатите в центрове за данни във Франкфурт, Германия.
• Cloudflare, Inc., САЩ: изпращане на имейли за вход и покани, домейн имена, хостинг на публичния сайт и защита на формата за контакт от спам.
• Google Ireland Limited (Firebase Authentication): данните за вход на акаунтите, създадени преди септември 2026 г., до приключване на прехода към новата система за вход.
• Google Ireland Limited и Meta Platforms Ireland Limited: данни за посещенията на публичния сайт, само при Вашето съгласие, според Политиката за бисквитки.
• Търговски регистър, VIES, papagal.bg и sova.bg: получават ЕИК, когато търсим данни за клиент.

Доставчиците обработват данните само по наши инструкции и по договор, който ги задължава да ги защитават. В рамките на екипа достъпът до данните зависи от предоставените роли и права. Можем да предоставим данни и на компетентни органи, когато това се изисква от закон.

Анонимната статистика по т. 5 можем да публикуваме или да предоставяме на трети лица, като им забраняваме опити за повторно разпознаване. Тя не съдържа лични данни. Не продаваме лични данни. Не предоставяме данните от акаунтите, КЕП или подаваните документи на рекламните и аналитичните инструменти на публичния сайт.

Предаване извън ЕИП. Данните от приложението се съхраняват в Германия. Cloudflare, Google и Meta са част от групи със седалище в САЩ, затова данни може да бъдат предадени там. Предаването се основава на Рамката за защита на данните между ЕС и САЩ (решение за адекватност) или на стандартни договорни клаузи. Можете да поискате информация за приложимите гаранции на имейл.

5. Анонимна статистика

От приетите от НАП декларации обр. 1 и обр. 6 изготвяме обобщена статистика за заетостта, възнагражденията и осигуровките. Тя не съдържа имена, ЕГН, ЕИК или други данни, по които може да бъде разпознато конкретно лице или конкретен работодател. Използваме я за анализи и публикации за пазара на труда, за развитие на услугата и за предоставяне на трети лица.

Какво обобщаваме. Брой лица и работодатели, брутни възнаграждения, осигурителен и облагаем доход, данък върху дохода, отработени дни и часове, извънреден труд, брой лица с повече от един работодател, дължимите по обр. 6 осигурителни вноски и данъци и времето до тяхното плащане. Стойностите се групират по възрастова група, пол, област, икономическа дейност (КИД) и размер на работодателя. Възрастта и полът се извличат от ЕГН, а областта и размерът от данните за работодателя. Данните за временна неработоспособност не се използват.

Как пазим анонимността.

• Всеки календарен месец се обобщава еднократно, около 6 месеца след края му, и след това не се преизчислява.
• Група се включва в статистиката само ако обхваща поне 5 работодатели и, при данните за лица, поне 10 лица.
• Група не се включва, ако един работодател или едно лице формира преобладаващата част от стойността ѝ или ако всички в нея имат еднаква стойност.
• Не се включват и групи, чиито стойности могат да бъдат изчислени от други включени групи.
• ЕГН се използва само по време на изчислението, за да се определят възрастта и полът и едно лице да не бъде преброено два пъти. То не се записва в статистиката.

Готовата статистика не представлява лични данни (съображение 26 GDPR), затова правата по т. 7 не се прилагат към нея.

Възражение. Лицата, чиито данни се съдържат в декларациите, могат да възразят срещу обработването по реда на т. 7. Вече обобщените месеци остават, защото не съдържат данни, по които могат да бъдат разпознати екипът, клиентите му или техните служители.

6. Колко време пазим данните

• Акаунт, екип и клиенти: докато акаунтът съществува или докато ги изтриете. Данните за сесиите се пазят заедно с акаунта.
• Електронни подписи: докато изтриете КЕП от профила си.
• Неизпратени чернови: изтриват се автоматично след 30 дни без промяна.
• Подадени файлове: когато НАП е обработила подаването, изминали са 6 месеца от отчетния месец и статистиката за него е изготвена, премахваме личните данни от файловете. Каченият файл се изтрива, а от съдържанието му остават само полетата, необходими за разпознаване на последващи корекции (например период, вид осигурен и код за корекция). ЕГН се заменя с псевдоним, изчислен с таен ключ, който е различен за всеки работодател. Подписаното копие се изтрива 12 месеца след отчетния месец.
• Подавания без окончателен отговор от НАП (неуспешни или без потвърждение): пазят се, докато ги изтриете.
• Отговорите и резултатите от НАП: докато изтриете подаването или клиента. Изтриването на клиент изтрива и всички негови подавания.
• Служебни данни за обработката: до 7 дни. Сървърни логове: до следващото обновяване на системата, обичайно няколко дни.
• Резервни копия на базата данни: 14 дни. Изтритите данни изчезват окончателно след изтичането на този срок.
• Кореспонденция: докато е необходимо за отговор, последващо съдействие и разрешаване на свързания въпрос.

При закриване на акаунта изтриваме данните му в срок до 30 дни. Клиентите и подаванията на екип, в който сте член, остават при собственика на екипа. Когато закон изисква по-дълго съхранение или данните са необходими за защита на правни претенции, изтриването може да бъде ограничено за съответните данни.

Изтриването от НАП Лаб не изтрива вече подадени документи от системите на НАП. Анонимната статистика се пази без ограничение във времето.

7. Вашите права

При условията, предвидени в GDPR, можете да поискате:

• Достъп до личните Ви данни и копие от тях.
• Коригиране на неточни или непълни данни.
• Изтриване, когато няма основание за по-нататъшно съхранение, включително закриване на акаунта.
• Ограничаване на обработването в предвидените от закона случаи.
• Преносимост, когато обработването е автоматизирано и се основава на съгласие или договор.
• Възражение срещу обработване на основание легитимен интерес по причини, свързани с Вашата конкретна ситуация.
• Оттегляне на съгласие, когато обработването се основава на него, без неблагоприятни последици за използването на функции, които не зависят от това съгласие.

Пишете на имейл, като посочите какво искате и за кой акаунт или данни се отнася искането. При основателни съмнения относно самоличността Ви можем да поискаме допълнителна информация, необходима за потвърждаването ѝ.

Отговаряме без ненужно забавяне и по правило до един месец от получаване на искането. При сложни или многобройни искания срокът може да се удължи с още два месеца. Ще Ви уведомим в първия месец за удължаването и причините. Упражняването на правата по правило е безплатно. Ако не можем да изпълним искане, ще обясним причината и възможностите за защита.

Ако искането Ви се отнася до данни, които обработваме от името на Ваш работодател или друг клиент, ще го препратим на съответния администратор и ще му съдействаме да го разгледа.

Имате право да подадете жалба до Комисията за защита на личните данни или друг компетентен надзорен орган, включително в държавата на обичайното Ви местопребиваване, месторабота или предполагаемото нарушение. Не е необходимо първо да се свързвате с нас, за да упражните това право.

8. Сигурност

Използваме защитена връзка, контрол на достъпа по роли, двустепенна защита и passkeys, съхранение в Европейския съюз и ограничени срокове на съхранение. Подписването става на Вашето устройство и частният ключ на КЕП не достига до нас. Нито една мярка не гарантира пълна сигурност. При нарушение на сигурността на данните ще уведомим Комисията за защита на личните данни и засегнатите лица, когато това се изисква от GDPR.

9. Бисквитки

Приложението използва само необходими бисквитки за вход, сигурност и настройки на интерфейса. Публичният сайт naplab.bg зарежда аналитични и рекламни инструменти само след съгласие за съответната категория и запомня избора Ви за 180 дни. Подробности има в Политиката за бисквитки.

10. Промени

Актуалната версия на тази политика се публикува на тази страница с датата на последната промяна и датата, от която е в сила. При съществена промяна ще Ви уведомим в приложението или по имейл.