Правила за повелителност

1. Администратор на лични данни
„КАРИНА“ ЕООД, ЕИК 124613105, със седалище и адрес на управление гр. Добрич 9300, ул. „Хан Аспарух“ № 18 (наричано по-долу „Администраторът“), управлява онлайн магазина NYSA на адрес nysastore.com (наричан по-долу „Магазинът“) и профилите на NYSA в Instagram и Facebook.

Имейл за въпроси и искания относно личните данни: contact@nysastore.com

Адрес за кореспонденция: адресът на седалището

Администраторът обработва личните данни съгласно Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) и Закона за защита на личните данни. Администраторът не е определил длъжностно лице по защита на данните, тъй като не е задължен за това по чл. 37 от ОРЗД.

Политиката се прилага за клиентите на Магазина, посетителите на сайта и лицата, които пишат до NYSA по имейл, телефон, Instagram или Facebook.

2. Надзорен орган
Комисия за защита на личните данни: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2; тел. 02 915 3 518; kzld@cpdp.bg; cpdp.bg. Всяко лице има право да подаде жалба до Комисията, ако смята, че данните му се обработват в нарушение на закона.

3. Какви данни се обработват, за какво и колко дълго
Администраторът обработва само данните, необходими за съответната цел. Не обработва специални категории данни (за здраве, произход, убеждения и други) и не взема автоматизирани решения, които пораждат правни последици за лицата. Данните за поръчката са необходими за сключването и изпълнението на договора; без тях поръчката не може да бъде изпълнена.

Изпълнение на поръчка и доставка
Данни: имена, имейл, телефон, адрес или офис или автомат на Speedy, поръчани стоки и размери, суми, начин на плащане, бележки към поръчката
Основание (чл. 6, пар. 1 ОРЗД): б. „б“: изпълнение на договор
Срок на съхранение: 5 години от поръчката, след това данните се изтриват или анонимизират

Плащане с карта
Данни: статус на плащането, тип на картата и последните 4 цифри; пълните данни на картата се обработват само от доставчика на платежни услуги
Основание (чл. 6, пар. 1 ОРЗД): б. „б“: изпълнение на договор
Срок на съхранение: заедно с данните за поръчката

Счетоводни и данъчни задължения (касови бележки, фактури и кредитни известия)
Данни: имена, адрес, данни за поръчката и плащането; за фактура — данните на получателя
Основание (чл. 6, пар. 1 ОРЗД): б. „в“: законово задължение
Срок на съхранение: 10 години от 1 януари на годината, следваща годината на документа

Отказ от договора, връщане, рекламации и претенции към куриера
Данни: имена, имейл, номер на поръчката, стоки, причина (ако е посочена), избран начин на възстановяване (по картата, по банков път, ваучер за пазаруване или замяна), IBAN и титуляр на сметката при възстановяване по банков път, снимки, кореспонденция; заявките за анулиране и връщане се подават чрез клиентския профил, чрез формата за връщане в Магазина (получава се като имейл на contact@nysastore.com) или по имейл
Основание (чл. 6, пар. 1 ОРЗД): б. „б“ и б. „в“; за претенции към куриера — б. „е“: законен интерес
Срок на съхранение: 5 години от приключването на случая

Клиентски профил („Моите поръчки“; вход с имейл и еднократен код)
Данни: имейл, имена, адреси, история на поръчките, заявки за анулиране и връщане
Основание (чл. 6, пар. 1 ОРЗД): б. „б“: изпълнение на договор
Срок на съхранение: до закриването на профила; профил, който не е използван 3 години, се закрива след предварително уведомление по имейл; данните за поръчките — според „Изпълнение на поръчка и доставка“ и „Счетоводни и данъчни задължения“

Запитвания и проба по уговорка (имейл, телефон, Instagram, Facebook)
Данни: имена, данни за контакт, съдържание на съобщението, дата и час на пробата, мерки, ако лицето ги сподели
Основание (чл. 6, пар. 1 ОРЗД): б. „б“: действия преди сключване на договор по искане на лицето; б. „е“: законен интерес да се отговори
Срок на съхранение: до 12 месеца от последното съобщение, освен ако е последвала поръчка

Известия за нови модели по имейл (при абонамент)
Данни: имейл
Основание (чл. 6, пар. 1 ОРЗД): б. „а“: съгласие
Срок на съхранение: до оттеглянето на съгласието; всеки имейл съдържа връзка за отписване

Сигурност и предотвратяване на измами
Данни: IP адрес, данни за устройството и браузъра, данни за поръчката
Основание (чл. 6, пар. 1 ОРЗД): б. „е“: законен интерес да се защитят Магазинът и клиентите
Срок на съхранение: не повече от срока за данните за поръчката

Анализ на посещенията и измерване на рекламата
Данни: бисквитки и подобни технологии, данни за посещенията и действията в сайта; за Meta и хеширани данни за контакт (раздел 6, ал. 5)
Основание (чл. 6, пар. 1 ОРЗД): б. „а“: съгласие чрез банера за бисквитки
Срок на съхранение: според раздел 6, до оттеглянето на съгласието

Защита при спорове
Данни: данните от описаните по-горе цели, необходими за конкретния случай
Основание (чл. 6, пар. 1 ОРЗД): б. „е“: законен интерес
Срок на съхранение: до приключването на спора

4. Откъде идват данните
Директно от лицето: при поръчка, вход в профила, запитване, анулиране на поръчка, отказ от договора (чрез профила, формата за връщане или имейл) или рекламация.

Автоматично от сайта: технически данни, а след дадено съгласие и данни от бисквитки (раздел 6).

От „Спиди“ АД: статус на доставката и на наложения платеж.

От доставчика на платежни услуги: статус на плащането.

От Meta: когато лицето пише до NYSA в Instagram или Facebook.

5. Получатели на данните и трансфер извън ЕИП
(1) Администраторът не продава лични данни. Предоставя ги само на следните получатели и само доколкото е необходимо за съответната цел. Обработващите действат по указания на Администратора и по договор за обработване на данни.

Shopify International Limited
Роля: обработващ
Цел: платформа на Магазина: сайт, количка, поръчки, клиентски профили и вход с еднократен код, заявки за анулиране и връщане, ваучери за пазаруване (подаръчни карти), форма за връщане, имейли за поръчките
Местоположение: Ирландия; трансфер по ал. 2

Shopify Payments, платежната услуга на Shopify
Роля: администратор на данните за плащането
Цел: обработка на картови плащания, Apple Pay и Google Pay, предотвратяване на измами
Местоположение: ЕС

„Спиди“ АД
Роля: самостоятелен администратор за куриерската услуга
Цел: доставка, наложен платеж, касови бележки за наложените платежи, претенции за повредени, изгубени или сгрешени пратки
Местоположение: България

WebShopAssist, разработчик на приложението DPD Integration (WSA)
Роля: обработващ
Цел: създаване на товарителници за Speedy
Местоположение: Румъния

Доставчикът на софтуера за фактуриране е-фактури.бг
Роля: обработващ
Цел: издаване и изпращане на фактури и кредитни известия
Местоположение: —

Google Ireland Limited
Роля: обработващ
Цел: служебна поща contact@nysastore.com; Google Analytics (след съгласие)
Местоположение: Ирландия; възможен трансфер до САЩ

Meta Platforms Ireland Limited
Роля: самостоятелен администратор; съвместен администратор по раздел 7 и за данните, събирани чрез Meta Pixel и Meta Conversions API (след съгласие, раздел 6, ал. 5)
Цел: съобщения в Instagram и Facebook; статистика на профилите; измерване на рекламата и реклами към посетители на сайта
Местоположение: Ирландия; възможен трансфер до САЩ

Счетоводителят на Администратора
Роля: обработващ
Цел: счетоводно обслужване и отчетност
Местоположение: България

Банката на Администратора
Роля: самостоятелен администратор
Цел: възстановяване на суми по банков път
Местоположение: България

Държавни органи (НАП, КЗП, съд и други)
Роля: получател по закон
Цел: изпълнение на законово задължение
Местоположение: България

Когато Клиентът използва Shop Pay, Shopify обработва данните за профила му в Shop Pay като отделен администратор, по своята политика за поверителност.

(2) Някои получатели могат да предават данни извън Европейското икономическо пространство. Shopify предава данни на Shopify Inc. в Канада въз основа на решение на Европейската комисия за адекватно ниво на защита и на други свои дружества въз основа на задължителни фирмени правила. Google и Meta предават данни в САЩ въз основа на решението за адекватност за Рамката за защита на данните между ЕС и САЩ или на стандартни договорни клаузи, одобрени от Европейската комисия.

6. Бисквитки и подобни технологии
(1) Бисквитките са малки файлове, които сайтът записва в браузъра. Те и подобните технологии (например пиксели) могат да съдържат лични данни.

(2) Необходимите бисквитки осигуряват работата на сайта: количката, страницата за плащане, входа в профила, сигурността и запомнянето на избора за бисквитки. За тях не се изисква съгласие.

(3) Аналитичните и маркетинговите бисквитки се поставят само след съгласие, дадено чрез банера при първото посещение:

Аналитични
Доставчик: Shopify; Google Analytics
Цел: статистика за посещенията и продажбите

Маркетингови
Доставчик: Meta Pixel и Meta Conversions API (ал. 5)
Цел: измерване на рекламите в Instagram и Facebook и показване на реклами

(4) Съгласието може да бъде дадено, променено или оттеглено по всяко време чрез връзката „Настройки на бисквитките“ в долната част на сайта. Бисквитките могат да се изтрият и от настройките на браузъра.

(5) Meta Pixel и Meta Conversions API. Магазинът използва Meta Pixel и Meta Conversions API чрез приложението Facebook & Instagram на Shopify, за да измерва резултатите от рекламите си във Facebook и Instagram и да показва реклами на посетители на сайта. След съгласие за маркетингови бисквитки на Meta Platforms Ireland Limited се предават: действията в сайта (прегледани страници и продукти, търсене, добавяне в количката, започване на поръчка, въвеждане на данни за плащане, покупка и стойността ѝ); технически данни (IP адрес, браузър и устройство, идентификатори от бисквитки); и данни за контакт (имейл, телефон, име и местоположение) в хеширан (необратимо кодиран) вид, за да бъдат съпоставени с профил във Facebook или Instagram. Част от данните се изпращат от сървърите на Shopify, а не от браузъра. Основанието е съгласието (чл. 6, пар. 1, б. „а“ ОРЗД), което може да бъде оттеглено по всяко време по реда на ал. 4. За събирането и предаването на тези данни Администраторът и Meta са съвместни администратори; за последващата им обработка Meta е самостоятелен администратор съгласно своята политика за поверителност (facebook.com/privacy/policy). За предаването на данни извън ЕИП се прилага раздел 5, ал. 2.

7. Профили на NYSA в Instagram и Facebook
(1) Когато лице посети, хареса, коментира или изпрати съобщение до профилите на NYSA в Instagram или Facebook, данните му се обработват и от Meta Platforms Ireland Limited, по нейните правила.

(2) За статистиката на профилите, която Meta предоставя на Администратора само в обобщен вид, Администраторът и Meta са съвместни администратори. Meta отговаря за упражняването на правата на лицата по отношение на тази статистика; искане може да се отправи и до Администратора, който го препраща към Meta.

(3) Съобщенията в Instagram и Facebook се използват само за отговор на запитването и за изпълнение на поръчката, ако е последвала (раздел 3, „Запитвания и проба по уговорка“).

8. Права на лицата
(1) Всяко лице, чиито данни се обработват, има право:

на достъп до данните си и на копие от тях;

на коригиране на неточни или непълни данни;

на изтриване, освен когато данните трябва да се пазят по закон (например счетоводни документи) или за установяване, упражняване или защита на правни претенции;

на ограничаване на обработването;

на преносимост: да получи данните, които е предоставило, в структуриран машинночетим формат (например CSV) или те да бъдат предадени на друг администратор, когато това е технически възможно;

на възражение срещу обработване на основание законен интерес, а срещу директен маркетинг — по всяко време;

да оттегли съгласието си по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето;

на жалба до Комисията за защита на личните данни (раздел 2).

(2) Правата се упражняват с искане в свободен текст на contact@nysastore.com или на адреса за кореспонденция; формуляр не е необходим. За да защити данните, Администраторът може да поиска потвърждение на самоличността, по правило чрез имейла, използван за поръчките.

(3) Администраторът отговаря в срок от един месец от получаването на искането. При сложни или многобройни искания срокът може да бъде удължен с още два месеца, за което лицето се уведомява. Упражняването на правата е безплатно; при явно неоснователни или прекомерни искания Администраторът може да поиска разумна такса или да откаже (чл. 12, пар. 5 от ОРЗД).

(4) Когато има поръчка в процес на изпълнение, данните, необходими за нея, се изтриват след приключването ѝ.

9. Сигурност
Сайтът работи с криптирана връзка (HTTPS). Плащанията с карта се обработват от доставчик, сертифициран по стандарта PCI DSS; Администраторът няма достъп до данните на картите. Достъп до данните на клиентите имат само упълномощените от Администратора лица. При нарушение на сигурността на данните Администраторът уведомява Комисията за защита на личните данни в срок до 72 часа, а засегнатите лица — без неоправдано забавяне, когато нарушението създава висок риск за техните права.

10. Деца
Магазинът е предназначен за пълнолетни лица. Администраторът не събира съзнателно данни на лица под 14 години. Родител, който установи, че дете е предоставило данни, може да поиска изтриването им на contact@nysastore.com.

11. Промени в политиката
Политиката се преглежда при всяка промяна в начина на обработване на данните. Новата редакция се публикува в Магазина с датата на актуализацията.

Последна актуализация: 6 ноември 2026 г.