---
title: "Защита на данните и поверителност | Tajo"
description: "Подробна информация за защитата на данните и съответствието с изискванията за платформата Tajo"
url: https://tajo.io/bg/docs/compliance/data-protection/
markdown: https://tajo.io/bg/docs/compliance/data-protection.md
lang: bg-BG
author: "Set Noa"
author_url: https://tajo.io/bg/set-noa/
robots: noindex
---

Заявете ранен достъп

Въведете собственото си име и служебен имейл адрес. Ще ви изпратим връзка за потвърждение на заявката за достъп до Tajo.

# Защита на данните и поверителност

[Set Noa](https://tajo.io/bg/set-noa/)

Този документ описва как Tajo обработва личните данни на клиентите на търговците, на потенциалните клиенти и на посетителите на сайтовете на търговците. Нашият ангажимент към защитата на данните осигурява съответствие с GDPR, CCPA и другите глобални разпоредби за поверителност.

## Цел и минимизиране на данните

### Обработвате ли минимума лични данни, необходим за създаване на стойност за търговците?

**Да.** Tajo обработва само основните лични данни, необходими за:

- Синхронизиране на информацията за клиентите с Brevo за целите на маркетинговата автоматизация
- Осигуряване на функционалността на програмата за лоялност
- Проследяване на поръчките и ангажираността на клиентите
- Предоставяне на възможности за многоканална комуникация

Личните данни включват информация, която може да идентифицира конкретно лице (име, имейл адрес) или да бъде свързана обратно с конкретно лице (обща стойност на поръчката, идентификатор на клиента).

### Информирате ли търговците какви лични данни обработвате и с какви цели?

**Да.** Осигуряваме пълна прозрачност чрез:

- Нашето Споразумение за обработване на данни (DPA), което ясно определя всички обработвани категории данни
- Документация, в която е посочено точно какви данни се синхронизират с Brevo
- Ясна API документация, показваща всички предавани полета с данни
- История на изпълненията за всяка синхронизация, показваща какво е синхронизирано и кога

### Ограничавате ли използването на личните данни само до тази цел?

**Да.** Tajo използва личните данни строго само за:

- Предоставяне на основните услуги на платформата, както е описано в нашите Общи условия
- Синхронизиране на клиентските данни с Brevo за целите на маркетинговата автоматизация
- Управление на програми за лоялност и функции за ангажиране на клиентите
- Генериране на анализи и изводи за търговците

Не използваме клиентски данни за цели извън изрично посочените и договорените.

## Съгласие и правно основание

### Имате ли споразумения за поверителност и защита на данните с Вашите търговци?

**Да.** Всеки търговец трябва да приеме нашите:

- **Общи условия**, които уреждат използването на платформата Tajo
- **Споразумение за обработване на данни (DPA)**, което определя ролята ни на обработващ данните
- **Политика за поверителност**, която описва практиките ни при работа с данни

Тези споразумения установяват, че:

- Tajo действа като **обработващ** клиентските данни на търговеца
- Търговците действат като **администратори** и отговарят за получаването на надлежно съгласие
- И за двете страни има ясни задължения относно защитата на данните

### Спазвате ли и прилагате ли решенията на клиентите относно съгласието?

**Да.** Tajo зачита съгласието на клиентите чрез:

- Автоматична обработка на заявките за отписване от Brevo
- Спиране на комуникацията към клиенти, които са се отказали
- Спазване на предпочитанията на клиента по всички канали (имейл, SMS, WhatsApp)

Когато клиент се отпише или оттегли съгласието си, Tajo незабавно:

1. Синхронизира предпочитанието с Brevo
2. Предотвратява бъдещи маркетингови комуникации
3. Поддържа одитни записи за промените в съгласието

### Спазвате ли и прилагате ли решенията на клиентите да се откажат от продажбата на данните им?

**Да.** Tajo не продава клиентски данни при никакви обстоятелства. Ние:

- Никога не споделяме лични данни с трети страни с търговска цел
- Предаваме данни само към Brevo като част от основната функционалност на платформата
- Спазваме изискванията на CCPA за „Do Not Sell My Personal Information”
- Поддържаме ясни оповестявания, че не се извършва продажба на данни

### Ако използвате лични данни за автоматизирано вземане на решения и тези решения могат да имат правни или значителни последици, могат ли клиентите да се откажат?

**Неприложимо.** Tajo не извършва автоматизирано вземане на решения, което поражда правни или сходно значителни последици за физическите лица. Платформата предоставя:

- Маркетингова автоматизация (от която клиентите могат да се откажат изцяло)
- Управление на програми за лоялност (което се контролира от търговците)
- Сегментиране на клиентите (само за нуждите на търговеца)

Нито една от тези дейности не представлява автоматизирано вземане на решения с правни или значителни последици по смисъла на член 22 от GDPR.

## Съхранение и сигурност

### Имате ли срокове на съхранение, които гарантират, че личните данни не се пазят по-дълго от необходимото?

**Да.** Tajo прилага ясни политики за съхранение на данните:

**Данни на активни клиенти:**

- Съхраняват се, докато акаунтът на търговеца е активен
- Използват се за текущата синхронизация и функционалността на платформата
- Търговците могат да изтрият клиентските данни по всяко време през интерфейса на Tajo

**Прекратяване на акаунт:**

- Всички клиентски данни се изтриват в рамките на 90 дни от прекратяването на акаунта
- Търговците могат да поискат незабавно изтриване на данните при прекратяване
- Резервните копия се заличават съгласно графика ни за съхранение на резервни копия (30 дни)

**Законово съхранение:**

- Записите за транзакции може да се съхраняват по-дълго, когато това се изисква от закона (например данъчни документи)
- Съхранява се минимален обем данни само за целите на законовото съответствие

Търговците отговарят за:

- Управлението на сроковете на съхранение за собствените си дейности по обработване на данни
- Изтриването на клиентски данни, когато вече не са необходими
- Спазването на приложимото законодателство за защита на данните в тяхната юрисдикция

### Криптирате ли данните при съхранение и при пренос?

**Да.** Tajo използва стандартно за индустрията криптиране:

**При пренос:**

- TLS 1.3 за всички предавания на данни
- Наложен HTTPS за целия уеб трафик
- Криптирани API връзки към Brevo
- Закачане на сертификати (certificate pinning) за мобилните приложения

**При съхранение:**

- Криптиране AES-256 за базата данни
- Криптирани резервни копия
- Криптирано файлово хранилище за всички качени документи
- Криптиране на ниво база данни за чувствителните полета (например API ключове)

### Криптирате ли резервните копия на данните си?

**Да.** Всички данни в резервните копия са криптирани:

- Автоматични ежедневни резервни копия, криптирани с AES-256
- Файловете с резервни копия се съхраняват криптирани
- Сигурно управление на ключовете за криптиране на резервните копия
- Редовни тестове за възстановяване от резервно копие с цел проверка на целостта

### Разделяте ли тестовите от продукционните данни?

**Да.** Tajo поддържа строго разделение:

- Напълно отделни продукционна среда и среда за разработка/тестване
- В тестовите среди не се използват продукционни данни
- Тестовите данни са анонимизирани и синтетични
- Отделни бази данни, сървъри и контроли за достъп
- Различни API ключове и идентификационни данни за всяка среда

### Имате ли стратегия за предотвратяване на загуба на данни?

**Да.** Tajo прилага цялостна защита срещу загуба на данни:

**Превантивни мерки:**

- Автоматични резервни копия на всеки 24 часа
- Репликация на базата данни в реално време
- Резервирано съхранение в няколко зони на достъпност
- Контрол на версиите и проследяване на промените

**Откриване:**

- Автоматизиран мониторинг на целостта на данните
- Откриване на аномалии при необичайни модели на достъп до данни
- Редовни одити на сигурността и тестове за проникване
- Автоматични предупреждения за възможни нарушения на сигурността на данните

**Възстановяване:**

- Възможност за възстановяване до момент във времето
- Документирани процедури за възстановяване след бедствие
- Редовни учения за възстановяване след бедствие
- RTO (целево време за възстановяване): 4 часа
- RPO (целева точка на възстановяване): 24 часа

## Контрол на достъпа

### Ограничавате ли достъпа на служителите до личните данни на клиентите?

**Да.** Достъпът до клиентски данни е строго контролиран:

**Принципи на достъпа:**

- Принцип на минималните необходими права
- Ролеви контрол на достъпа (RBAC)
- Достъп само при служебна необходимост
- Редовни прегледи на достъпа (на тримесечие)

**Нива на достъп:**

- **Без достъп**: повечето служители нямат достъп до продукционни клиентски данни
- **Само за четене**: служителите в поддръжката имат ограничен и одитиран достъп за четене при отстраняване на проблеми
- **Административен**: администраторите на бази данни имат разширен достъп, който се регистрира подробно
- **Аварийно**: процедури за аварийен достъп само при критични инциденти

**Контроли:**

- Многофакторно удостоверяване (MFA), задължително за всички служители
- VPN, задължителен при отдалечен достъп
- Бял списък с IP адреси за административен достъп
- Изтичане на сесиите и автоматично заключване

### Имате ли строги изисквания към паролите на служителите?

**Да.** Tajo прилага политики за пароли от корпоративен клас:

**Изисквания:**

- Минимум 16 знака
- Задължително съдържат главни и малки букви, цифри и специални знаци
- Не може да се използват повторно последните 12 пароли
- Изтичане на паролата на всеки 90 дни
- Заключване на акаунта след 5 неуспешни опита

**Допълнителна сигурност:**

- Многофакторното удостоверяване (MFA) е задължително за всички служители
- Интеграция с единно вписване (SSO) с корпоративния доставчик на самоличност
- Поддръжка на биометрично удостоверяване
- Мениджър на пароли, задължителен за всички служители
- Редовни обучения за осведоменост по сигурността

### Регистрирате ли достъпа до личните данни?

**Да.** Поддържа се цялостно одитно логване:

**Регистрирани дейности:**

- Всички заявки към базата данни, които достъпват клиентски данни
- API повикванията към Brevo с информация за клиенти
- Административен достъп до продукционните системи
- Експорт на данни и групови операции
- Промени в конфигурацията
- Неуспешни опити за удостоверяване

**Записите съдържат:**

- Момент на достъпа
- Самоличност на потребителя
- IP адрес и местоположение
- Извършено действие
- Достъпени данни (идентификатори на записи)
- Статус на успех или неуспех

**Управление на записите:**

- Записите се съхраняват минимум 1 година
- Криптирано съхранение на записите
- Система за логване, защитена срещу подправяне
- Редовни прегледи на записите
- Интеграция със SIEM за мониторинг в реално време
- Автоматични предупреждения при съмнителни дейности

### Имате ли политика за реакция при инциденти със сигурността?

**Да.** Tajo поддържа цялостен план за реакция при инциденти със сигурността:

**Откриване и оценка:**

- Мониторинг на сигурността 24/7
- Автоматизирано откриване на заплахи
- Класификация на инцидентите по степен на сериозност
- Първоначална оценка в рамките на 1 час

**Екип за реакция:**

- Специализиран екип за реакция при инциденти със сигурността
- Ясни процедури за ескалация
- Определени роли и отговорности
- Външни експерти по сигурност на разположение по договор

**Процедури за реакция:**

1. **Ограничаване**: незабавно изолиране на засегнатите системи
2. **Разследване**: съдебен анализ за установяване на обхвата и причината
3. **Отстраняване**: премахване на заплахата и затваряне на уязвимостите
4. **Възстановяване**: възстановяване на системите и проверка на сигурността
5. **Уведомяване**: уведомяване на засегнатите страни съгласно изискванията на закона
6. **Преглед след инцидента**: документиране на извлечените поуки и подобряване на процесите

**Срокове за уведомяване:**

- Търговците се уведомяват в рамките на 72 часа от потвърдено нарушение на сигурността на данните
- Регулаторните органи се уведомяват съгласно приложимото право (например 72-часовото изискване на GDPR)
- Засегнатите лица се уведомяват, когато е налице висок риск за техните права

**Документация:**

- Всички инциденти се документират подробно
- Годишни отчети за инцидентите със сигурността
- Редовни обучения и симулационни упражнения
- Непрекъснато подобряване на процедурите за реакция

## Споразумение за обработване на данни (DPA)

Tajo работи по цялостно Споразумение за обработване на данни, което съответства на изискванията на член 28 от GDPR. Основните елементи включват:

### Роли и отговорности

- **Tajo действа като обработващ** клиентските данни на търговеца

- **Търговците действат като администратори** и отговарят за:

  - Получаването на надлежно съгласие от клиентите
  - Предоставянето на уведомления за поверителност
  - Обработването на исканията за упражняване на правата на субектите на данни
  - Определянето на целите и средствата на обработването

### Подробности за обработването

**Цел:** предоставяне на услугите на платформата Tajo, включително:

- Синхронизация на клиентските данни с Brevo
- Управление на програми за лоялност
- Многоканална маркетингова автоматизация
- Анализи и отчети

**Категории данни:**

- Данни за контакт (име, имейл, телефон)
- История на поръчките и данни за транзакции
- Предпочитания на клиентите и статус на съгласието
- Поведенчески данни (кликвания, отваряния, ангажираност)
- Данни от програмата за лоялност (точки, нива, награди)

**Субекти на данни:**

- Клиенти на търговците
- Посетители на уебсайта
- Абонати за бюлетин
- Участници в програмата за лоялност

### Подизпълнители на обработването

Tajo използва следните подизпълнители на обработването:

| Подизпълнител | Услуга | Местоположение | Гаранции |
| --- | --- | --- | --- |
| Brevo | Платформа за имейл/SMS/WhatsApp | Франция (ЕС) | Съответствие с GDPR, стандартни договорни клаузи |
| AWS | Облачна инфраструктура | Региони в ЕС | Съответствие с GDPR, рамка за защита на данните ЕС, САЩ |
| Cloudflare | CDN и сигурност | Глобално | Стандартни договорни клаузи, локализация на данните |

**Уведомление за промени:**

- Търговците се уведомяват 30 дни преди да бъдат ангажирани нови подизпълнители
- Право на възражение срещу нови подизпълнители
- Алтернативни решения или право на прекратяване при основателно възражение

### Права на субектите на данни

Tajo подпомага търговците при изпълнението на правата на субектите на данни:

**Поддържани права:**

- Право на достъп
- Право на коригиране
- Право на изтриване („право да бъдеш забравен”)
- Право на преносимост на данните
- Право на възражение
- Право на ограничаване на обработването

**Обработване на исканията:**

- Търговците могат да експортират клиентските данни по всяко време
- Изтриването на клиентски данни е достъпно през интерфейса на Tajo
- API крайни точки за автоматизирано управление на данните
- Отговор на исканията на субектите на данни в рамките на 5 работни дни

### Мерки за сигурност

Пълните мерки за сигурност са описани в Приложение 4 към нашето DPA и включват:

- Физически и логически контроли на достъпа
- Криптиране при съхранение и при пренос
- Мониторинг на сигурността и реакция при инциденти
- Редовни одити на сигурността и тестове за проникване
- Обучение на персонала и проверки на биографията

### Международни трансфери на данни

**Защита на данните в ЕС:**

- Основно съхранение на данните в ЕС (Белгия, Франция)
- Стандартни договорни клаузи за всички трансфери извън ЕС
- Допълнителни мерки, включително криптиране и контроли на достъпа
- Сертификация по рамката за защита на данните ЕС, САЩ, когато е приложимо

**Съответствие с CCPA:**

- Ясно определено отношение на доставчик на услуги
- Без продажба или споделяне на лична информация
- Съответствие с правата за поверителност в Калифорния
- Подписано споразумение за обработване на данни

### Права на одит

Търговците имат право да:

- Изискат документация за съответствието на Tajo
- Прегледат сертификатите за сигурност и одитните доклади
- Извършват одити (с разумно предизвестие, максимум веднъж годишно)
- Получат документация за сигурността, включително доклади SOC 2

## Регулаторно съответствие

### GDPR (Общ регламент относно защитата на данните)

**Статус на съответствие:** напълно съответства

**Основни елементи:**

- Валидно правно основание за всички дейности по обработване
- Споразумение за обработване на данни с всички търговци
- Извършени оценки на въздействието върху защитата на данните (DPIA)
- Назначено длъжностно лице по защита на данните: [privacy@tajo.io](mailto:privacy@tajo.io)
- Процедури за уведомяване при нарушения (72 часа)
- Поддържани регистри на дейностите по обработване
- Принципи за защита на данните на етапа на проектиране и по подразбиране

### CCPA (Закон за поверителността на потребителите в Калифорния)

**Статус на съответствие:** напълно съответства

**Основни елементи:**

- Отношение на доставчик на услуги (не продаваме данни)
- Поддържани потребителски права (достъп, изтриване, отказ)
- Оповестявания в политиката за поверителност
- Зачитане на „Do Not Sell My Personal Information”
- Годишно обучение на персонала по защита на данните
- Договорни задължения към търговците

### Директива NIS 2

**Приложимост:** съответства, където е приложимо

**Мерки за киберсигурност:**

- Внедрена рамка за управление на риска
- Докладване на инциденти със сигурността към CSIRT
- Изисквания за сигурност на веригата на доставки
- Редовни оценки на сигурността
- Планове за непрекъснатост на дейността и възстановяване след бедствие

### DORA (Регламент за цифровата оперативна устойчивост)

**Приложимост:** готовност за финансови институции, използващи Tajo

**Елементи на съответствието:**

- Рамка за управление на ИКТ рисковете
- Процедури за докладване на инциденти
- Тестване на цифровата оперативна устойчивост
- Управление на риска от трети страни
- Регулаторен достъп и права на одит

Забележка: разпоредбите на DORA се прилагат само за регулирани финансови институции. Ако сте финансова институция, попадаща в обхвата на DORA, свържете се с нашия екип за корпоративни клиенти за конкретна документация за съответствие.

## Контакти и поддръжка

### Длъжностно лице по защита на данните

**Имейл:** [privacy@tajo.io](mailto:privacy@tajo.io) **Роля:** следи за цялостното съответствие в областта на защитата на данните

### Екип по сигурността

**Имейл:** [security@tajo.io](mailto:security@tajo.io) **Роля:** обработва инцидентите и запитванията, свързани със сигурността

### Поддръжка за търговци

**Имейл:** [support@tajo.io](mailto:support@tajo.io) **Уебсайт:** [https://tajo.io/bg/contact/](https://tajo.io/bg/contact/) **Роля:** обща поддръжка и съдействие за платформата

### Докладване на уязвимост в сигурността

**Имейл:** [security@tajo.io](mailto:security@tajo.io) **security.txt:** [https://tajo.io/.well-known/security.txt](https://tajo.io/.well-known/security.txt)

Приветстваме отговорното разкриване на уязвимости в сигурността.

## Допълнителни ресурси

- [Политика за поверителност](https://tajo.io/bg/privacy)
- [Общи условия](https://tajo.io/bg/terms)
- [Документация за сигурността](https://tajo.io/bg/security)
- [Политика за бисквитките](https://tajo.io/bg/cookies)

## Версия на документа

**Версия:** 1.0 **Последна актуализация:** януари 2025 г. **Следващ преглед:** юли 2025 г.

Този документ се преглежда и актуализира редовно, за да се осигури непрекъснато съответствие с развиващите се разпоредби за защита на данните и с добрите практики в индустрията.