Заявете ранен достъп

Посочете името си и имейл адрес или телефонен номер. Ще Ви изпратим информация за достъп до Tajo.

На тази страница

Защита на данните и поверителност

Този документ описва как Tajo обработва личните данни на клиентите на търговците, на потенциалните клиенти и на посетителите на сайтовете на търговците. Нашият ангажимент към защитата на данните осигурява съответствие с GDPR, CCPA и другите глобални разпоредби за поверителност.

Цел и минимизиране на данните

Обработвате ли минимума лични данни, необходим за създаване на стойност за търговците?

Да. Tajo обработва само основните лични данни, необходими за:

Синхронизиране на информацията за клиентите с Brevo за целите на маркетинговата автоматизация
Осигуряване на функционалността на програмата за лоялност
Проследяване на поръчките и ангажираността на клиентите
Предоставяне на възможности за многоканална комуникация

Личните данни включват информация, която може да идентифицира конкретно лице (име, имейл адрес) или да бъде свързана обратно с конкретно лице (обща стойност на поръчката, идентификатор на клиента).

Информирате ли търговците какви лични данни обработвате и с какви цели?

Да. Осигуряваме пълна прозрачност чрез:

Нашето Споразумение за обработване на данни (DPA), което ясно определя всички обработвани категории данни
Документация, в която е посочено точно какви данни се синхронизират с Brevo
Ясна API документация, показваща всички предавани полета с данни
Видимост в реално време на дейностите по синхронизация на данните

Ограничавате ли използването на личните данни само до тази цел?

Да. Tajo използва личните данни строго само за:

Предоставяне на основните услуги на платформата, както е описано в нашите Общи условия
Синхронизиране на клиентските данни с Brevo за целите на маркетинговата автоматизация
Управление на програми за лоялност и функции за ангажиране на клиентите
Генериране на анализи и изводи за търговците

Не използваме клиентски данни за цели извън изрично посочените и договорените.

Съгласие и правно основание

Имате ли споразумения за поверителност и защита на данните с Вашите търговци?

Да. Всеки търговец трябва да приеме нашите:

Общи условия, които уреждат използването на платформата Tajo
Споразумение за обработване на данни (DPA), което определя ролята ни на обработващ данните
Политика за поверителност, която описва практиките ни при работа с данни

Тези споразумения установяват, че:

Tajo действа като обработващ клиентските данни на търговеца
Търговците действат като администратори и отговарят за получаването на надлежно съгласие
И за двете страни има ясни задължения относно защитата на данните

Спазвате ли и прилагате ли решенията на клиентите относно съгласието?

Да. Tajo зачита съгласието на клиентите чрез:

Автоматична обработка на заявките за отписване от Brevo
Синхронизация в реално време на предпочитанията относно съгласието
Спиране на комуникацията към клиенти, които са се отказали
Спазване на предпочитанията на клиента по всички канали (имейл, SMS, WhatsApp)

Когато клиент се отпише или оттегли съгласието си, Tajo незабавно:

Синхронизира предпочитанието с Brevo
Предотвратява бъдещи маркетингови комуникации
Поддържа одитни записи за промените в съгласието

Спазвате ли и прилагате ли решенията на клиентите да се откажат от продажбата на данните им?

Да. Tajo не продава клиентски данни при никакви обстоятелства. Ние:

Никога не споделяме лични данни с трети страни с търговска цел
Предаваме данни само към Brevo като част от основната функционалност на платформата
Спазваме изискванията на CCPA за „Do Not Sell My Personal Information”
Поддържаме ясни оповестявания, че не се извършва продажба на данни

Ако използвате лични данни за автоматизирано вземане на решения и тези решения могат да имат правни или значителни последици, могат ли клиентите да се откажат?

Неприложимо. Tajo не извършва автоматизирано вземане на решения, което поражда правни или сходно значителни последици за физическите лица. Платформата предоставя:

Маркетингова автоматизация (от която клиентите могат да се откажат изцяло)
Управление на програми за лоялност (което се контролира от търговците)
Сегментиране на клиентите (само за нуждите на търговеца)

Нито една от тези дейности не представлява автоматизирано вземане на решения с правни или значителни последици по смисъла на член 22 от GDPR.

Съхранение и сигурност

Имате ли срокове на съхранение, които гарантират, че личните данни не се пазят по-дълго от необходимото?

Да. Tajo прилага ясни политики за съхранение на данните:

Данни на активни клиенти:

Съхраняват се, докато акаунтът на търговеца е активен
Използват се за текущата синхронизация и функционалността на платформата
Търговците могат да изтрият клиентските данни по всяко време през интерфейса на Tajo

Прекратяване на акаунт:

Всички клиентски данни се изтриват в рамките на 90 дни от прекратяването на акаунта
Търговците могат да поискат незабавно изтриване на данните при прекратяване
Резервните копия се заличават съгласно графика ни за съхранение на резервни копия (30 дни)

Законово съхранение:

Записите за транзакции може да се съхраняват по-дълго, когато това се изисква от закона (например данъчни документи)
Съхранява се минимален обем данни само за целите на законовото съответствие

Търговците отговарят за:

Управлението на сроковете на съхранение за собствените си дейности по обработване на данни
Изтриването на клиентски данни, когато вече не са необходими
Спазването на приложимото законодателство за защита на данните в тяхната юрисдикция

Криптирате ли данните при съхранение и при пренос?

Да. Tajo използва стандартно за индустрията криптиране:

При пренос:

TLS 1.3 за всички предавания на данни
Наложен HTTPS за целия уеб трафик
Криптирани API връзки към Brevo
Закачане на сертификати (certificate pinning) за мобилните приложения

При съхранение:

Криптиране AES-256 за базата данни
Криптирани резервни копия
Криптирано файлово хранилище за всички качени документи
Криптиране на ниво база данни за чувствителните полета (например API ключове)

Криптирате ли резервните копия на данните си?

Да. Всички данни в резервните копия са криптирани:

Автоматични ежедневни резервни копия, криптирани с AES-256
Файловете с резервни копия се съхраняват криптирани
Сигурно управление на ключовете за криптиране на резервните копия
Редовни тестове за възстановяване от резервно копие с цел проверка на целостта

Разделяте ли тестовите от продукционните данни?

Да. Tajo поддържа строго разделение:

Напълно отделни продукционна среда и среда за разработка/тестване
В тестовите среди не се използват продукционни данни
Тестовите данни са анонимизирани и синтетични
Отделни бази данни, сървъри и контроли за достъп
Различни API ключове и идентификационни данни за всяка среда

Имате ли стратегия за предотвратяване на загуба на данни?

Да. Tajo прилага цялостна защита срещу загуба на данни:

Превантивни мерки:

Автоматични резервни копия на всеки 24 часа
Репликация на базата данни в реално време
Резервирано съхранение в няколко зони на достъпност
Контрол на версиите и проследяване на промените

Откриване:

Автоматизиран мониторинг на целостта на данните
Откриване на аномалии при необичайни модели на достъп до данни
Редовни одити на сигурността и тестове за проникване
Автоматични предупреждения за възможни нарушения на сигурността на данните

Възстановяване:

Възможност за възстановяване до момент във времето
Документирани процедури за възстановяване след бедствие
Редовни учения за възстановяване след бедствие
RTO (целево време за възстановяване): 4 часа
RPO (целева точка на възстановяване): 24 часа

Контрол на достъпа

Ограничавате ли достъпа на служителите до личните данни на клиентите?

Да. Достъпът до клиентски данни е строго контролиран:

Принципи на достъпа:

Принцип на минималните необходими права
Ролеви контрол на достъпа (RBAC)
Достъп само при служебна необходимост
Редовни прегледи на достъпа (на тримесечие)

Нива на достъп:

Без достъп: повечето служители нямат достъп до продукционни клиентски данни
Само за четене: служителите в поддръжката имат ограничен и одитиран достъп за четене при отстраняване на проблеми
Административен: администраторите на бази данни имат разширен достъп, който се регистрира подробно
Аварийно: процедури за аварийен достъп само при критични инциденти

Контроли:

Многофакторно удостоверяване (MFA), задължително за всички служители
VPN, задължителен при отдалечен достъп
Бял списък с IP адреси за административен достъп
Изтичане на сесиите и автоматично заключване

Имате ли строги изисквания към паролите на служителите?

Да. Tajo прилага политики за пароли от корпоративен клас:

Изисквания:

Минимум 16 знака
Задължително съдържат главни и малки букви, цифри и специални знаци
Не може да се използват повторно последните 12 пароли
Изтичане на паролата на всеки 90 дни
Заключване на акаунта след 5 неуспешни опита

Допълнителна сигурност:

Многофакторното удостоверяване (MFA) е задължително за всички служители
Интеграция с единно вписване (SSO) с корпоративния доставчик на самоличност
Поддръжка на биометрично удостоверяване
Мениджър на пароли, задължителен за всички служители
Редовни обучения за осведоменост по сигурността

Регистрирате ли достъпа до личните данни?

Да. Поддържа се цялостно одитно логване:

Регистрирани дейности:

Всички заявки към базата данни, които достъпват клиентски данни
API повикванията към Brevo с информация за клиенти
Административен достъп до продукционните системи
Експорт на данни и групови операции
Промени в конфигурацията
Неуспешни опити за удостоверяване

Записите съдържат:

Момент на достъпа
Самоличност на потребителя
IP адрес и местоположение
Извършено действие
Достъпени данни (идентификатори на записи)
Статус на успех или неуспех

Управление на записите:

Записите се съхраняват минимум 1 година
Криптирано съхранение на записите
Система за логване, защитена срещу подправяне
Редовни прегледи на записите
Интеграция със SIEM за мониторинг в реално време
Автоматични предупреждения при съмнителни дейности

Имате ли политика за реакция при инциденти със сигурността?

Да. Tajo поддържа цялостен план за реакция при инциденти със сигурността:

Откриване и оценка:

Мониторинг на сигурността 24/7
Автоматизирано откриване на заплахи
Класификация на инцидентите по степен на сериозност
Първоначална оценка в рамките на 1 час

Екип за реакция:

Специализиран екип за реакция при инциденти със сигурността
Ясни процедури за ескалация
Определени роли и отговорности
Външни експерти по сигурност на разположение по договор

Процедури за реакция:

Ограничаване: незабавно изолиране на засегнатите системи
Разследване: съдебен анализ за установяване на обхвата и причината
Отстраняване: премахване на заплахата и затваряне на уязвимостите
Възстановяване: възстановяване на системите и проверка на сигурността
Уведомяване: уведомяване на засегнатите страни съгласно изискванията на закона
Преглед след инцидента: документиране на извлечените поуки и подобряване на процесите

Срокове за уведомяване:

Търговците се уведомяват в рамките на 72 часа от потвърдено нарушение на сигурността на данните
Регулаторните органи се уведомяват съгласно приложимото право (например 72-часовото изискване на GDPR)
Засегнатите лица се уведомяват, когато е налице висок риск за техните права

Документация:

Всички инциденти се документират подробно
Годишни отчети за инцидентите със сигурността
Редовни обучения и симулационни упражнения
Непрекъснато подобряване на процедурите за реакция

Споразумение за обработване на данни (DPA)

Tajo работи по цялостно Споразумение за обработване на данни, което съответства на изискванията на член 28 от GDPR. Основните елементи включват:

Роли и отговорности

Tajo действа като обработващ клиентските данни на търговеца
Търговците действат като администратори и отговарят за:
- Получаването на надлежно съгласие от клиентите
- Предоставянето на уведомления за поверителност
- Обработването на исканията за упражняване на правата на субектите на данни
- Определянето на целите и средствата на обработването

Подробности за обработването

Цел: предоставяне на услугите на платформата Tajo, включително:

Синхронизация на клиентските данни с Brevo
Управление на програми за лоялност
Многоканална маркетингова автоматизация
Анализи и отчети

Категории данни:

Данни за контакт (име, имейл, телефон)
История на поръчките и данни за транзакции
Предпочитания на клиентите и статус на съгласието
Поведенчески данни (кликвания, отваряния, ангажираност)
Данни от програмата за лоялност (точки, нива, награди)

Субекти на данни:

Клиенти на търговците
Посетители на уебсайта
Абонати за бюлетин
Участници в програмата за лоялност

Подизпълнители на обработването

Tajo използва следните подизпълнители на обработването:

Подизпълнител	Услуга	Местоположение	Гаранции
Brevo	Платформа за имейл/SMS/WhatsApp	Франция (ЕС)	Съответствие с GDPR, стандартни договорни клаузи
AWS	Облачна инфраструктура	Региони в ЕС	Съответствие с GDPR, рамка за защита на данните ЕС, САЩ
Cloudflare	CDN и сигурност	Глобално	Стандартни договорни клаузи, локализация на данните

Уведомление за промени:

Търговците се уведомяват 30 дни преди да бъдат ангажирани нови подизпълнители
Право на възражение срещу нови подизпълнители
Алтернативни решения или право на прекратяване при основателно възражение

Права на субектите на данни

Tajo подпомага търговците при изпълнението на правата на субектите на данни:

Поддържани права:

Право на достъп
Право на коригиране
Право на изтриване („право да бъдеш забравен”)
Право на преносимост на данните
Право на възражение
Право на ограничаване на обработването

Обработване на исканията:

Търговците могат да експортират клиентските данни по всяко време
Изтриването на клиентски данни е достъпно през интерфейса на Tajo
API крайни точки за автоматизирано управление на данните
Отговор на исканията на субектите на данни в рамките на 5 работни дни

Мерки за сигурност

Пълните мерки за сигурност са описани в Приложение 4 към нашето DPA и включват:

Физически и логически контроли на достъпа
Криптиране при съхранение и при пренос
Мониторинг на сигурността и реакция при инциденти
Редовни одити на сигурността и тестове за проникване
Обучение на персонала и проверки на биографията

Международни трансфери на данни

Защита на данните в ЕС:

Основно съхранение на данните в ЕС (Белгия, Франция)
Стандартни договорни клаузи за всички трансфери извън ЕС
Допълнителни мерки, включително криптиране и контроли на достъпа
Сертификация по рамката за защита на данните ЕС, САЩ, когато е приложимо

Съответствие с CCPA:

Ясно определено отношение на доставчик на услуги
Без продажба или споделяне на лична информация
Съответствие с правата за поверителност в Калифорния
Подписано споразумение за обработване на данни

Права на одит

Търговците имат право да:

Изискат документация за съответствието на Tajo
Прегледат сертификатите за сигурност и одитните доклади
Извършват одити (с разумно предизвестие, максимум веднъж годишно)
Получат документация за сигурността, включително доклади SOC 2

Регулаторно съответствие

Статус на съответствие: напълно съответства

Основни елементи:

Валидно правно основание за всички дейности по обработване
Споразумение за обработване на данни с всички търговци
Извършени оценки на въздействието върху защитата на данните (DPIA)
Назначено длъжностно лице по защита на данните: [email protected]
Процедури за уведомяване при нарушения (72 часа)
Поддържани регистри на дейностите по обработване
Принципи за защита на данните на етапа на проектиране и по подразбиране

CCPA (Закон за поверителността на потребителите в Калифорния)

Статус на съответствие: напълно съответства

Основни елементи:

Отношение на доставчик на услуги (не продаваме данни)
Поддържани потребителски права (достъп, изтриване, отказ)
Оповестявания в политиката за поверителност
Зачитане на „Do Not Sell My Personal Information”
Годишно обучение на персонала по защита на данните
Договорни задължения към търговците

Директива NIS 2

Приложимост: съответства, където е приложимо

Мерки за киберсигурност:

Внедрена рамка за управление на риска
Докладване на инциденти със сигурността към CSIRT
Изисквания за сигурност на веригата на доставки
Редовни оценки на сигурността
Планове за непрекъснатост на дейността и възстановяване след бедствие

DORA (Регламент за цифровата оперативна устойчивост)

Приложимост: готовност за финансови институции, използващи Tajo

Елементи на съответствието:

Рамка за управление на ИКТ рисковете
Процедури за докладване на инциденти
Тестване на цифровата оперативна устойчивост
Управление на риска от трети страни
Регулаторен достъп и права на одит

Забележка: разпоредбите на DORA се прилагат само за регулирани финансови институции. Ако сте финансова институция, попадаща в обхвата на DORA, свържете се с нашия екип за корпоративни клиенти за конкретна документация за съответствие.

Контакти и поддръжка

Длъжностно лице по защита на данните

Имейл: [email protected] Роля: следи за цялостното съответствие в областта на защитата на данните

Екип по сигурността

Имейл: [email protected] Роля: обработва инцидентите и запитванията, свързани със сигурността

Поддръжка за търговци

Имейл: [email protected] Уебсайт: https://tajo.io/support Роля: обща поддръжка и съдействие за платформата

Докладване на уязвимост в сигурността

Имейл: [email protected] PGP ключ: достъпен на https://tajo.io/security.txt

Приветстваме отговорното разкриване на уязвимости в сигурността и поддържаме програма за възнаграждения при откриване на уязвимости за отговарящите на условията доклади.

Допълнителни ресурси

Версия на документа

Версия: 1.0 Последна актуализация: януари 2025 г. Следващ преглед: юли 2025 г.

Този документ се преглежда и актуализира редовно, за да се осигури непрекъснато съответствие с развиващите се разпоредби за защита на данните и с добрите практики в индустрията.