Политика за поверителност

Тази политика обяснява какви лични данни обработва онлайн магазин KOSHOLAD (kosholad.bg), защо, на какво правно основание, на кого ги предоставяме, колко дълго ги пазим и какви са Вашите права. Изготвена е съгласно Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, „GDPR“) и Закона за защита на личните данни.

В сила от 3 ноември 2026 г.

Администратор на личните данни е „Старлайт Ритейл“ ООД, ЕИК 207444127, със седалище и адрес на управление: гр. Свищов, ул. „Патриарх Евтимий“ № 30, вх. А, ап. 12.

Имейл: contact@kosholad.bg · Телефон: +359 896 84 29 14

Не сме длъжни да определим длъжностно лице по защита на данните и не сме определили такова. За всички въпроси за личните Ви данни пишете ни на contact@kosholad.bg.

• Данни за поръчката – име, имейл, телефон, адрес или офис на Еконт за доставка, поръчаните продукти, сумата, начинът на плащане и доставка, бележките към поръчката. Ако поискате фактура – и данните на фирмата или лицето, на което се издава.
• Данни за профила – ако си създадете профил: имейлът, с който влизате, името и телефонът Ви, запазените адреси за доставка (включително името и телефона на получателя, когато запазите адрес на близък човек) и поръчките, направени с профила. Поръчките, които сте направили преди това като гост със същия имейл, се добавят към профила, след като потвърдите имейла си при вход.
• Данни от Google – ако влизате с профила си в Google: идентификаторът на профила Ви в Google, името Ви, имейлът Ви и потвърждението на Google, че е проверен, и връзка към снимката на профила Ви. Подробно – в раздел „Вход с Google“.
• Данни за плащането – при плащане с карта, включително чрез Apple Pay или Google Pay, данните на картата въвеждате директно във формата на Stripe и те не достигат до нас. От Stripe получаваме само вида на картата (например Visa), последните ѝ четири цифри и резултата от плащането. При наложен платеж плащате на куриера и ние получаваме от Еконт само сумата. При превод по банкова сметка виждаме името на наредителя и сметката, от която е направен преводът. При възстановяване на сума – банковата сметка, която ни посочите.
• Заявления за отказ – когато се откажете от договора чрез формата на сайта: номерът на поръчката, имейлът, с който сте поръчали, името Ви, продуктите, от които се отказвате, и датата и часът на заявлението.
• Кореспонденция – съдържанието на имейлите и обажданията Ви до нас, например въпроси, рекламации и откази от поръчка.
• Технически данни – IP адрес, вид и версия на браузъра и устройството, посетените адреси и часът на заявката. Те се обработват автоматично при всяко посещение – от Cloudflare, през чиято мрежа минава всяка заявка към сайта, и в техническите записи на нашия сървър.
• Бисквитки и локално хранилище – строго необходими „бисквитки“ (при плащане с карта – и на Stripe), бисквитките на Meta, само ако ги приемете, и записи в локалното хранилище на браузъра Ви, които Ви спестяват повторното попълване на данните за връзка и пазят избора Ви за бисквитките. Подробно – в раздел „Бисквитки и локално хранилище“ по-долу.

Получаваме тези данни от Вас, а данните от Google – от Google, когато изберете вход с Google. Данните, отбелязани като задължителни при поръчка, са необходими, за да сключим и изпълним договора с Вас: без тях не можем да приемем и доставим поръчката. Не обработваме чувствителни данни (специални категории по чл. 9 от GDPR).

Когато обработваме данни на основание законен интерес, сме преценили, че той не надделява над Вашите интереси и права. Можете да възразите срещу такова обработване (вижте „Какви са Вашите права?“).

Не продаваме лични данни. Търговски съобщения изпращаме само по имейл и само на клиентите си, както е описано в „Писма с предложения“ по-долу. За реклама използваме данни само чрез Meta и само ако сте приели бисквитките на Meta.

Ако сте поръчали от нас, от време на време може да Ви пишем по имейл за наши продукти, подобни на тези, които сте купили, с предложения и кодове за отстъпка. Пишем Ви само на имейла, с който сте поръчали.

За тези писма използваме имейла и данните за поръчките Ви, например какво сте поръчали и кога е доставено, за да Ви пишем в подходящия момент. Изпращаме ги чрез Brevo, както писмата за поръчките.

Не е нужно да правите нищо, за да ги получавате, и можете да се откажете по всяко време. Във всяко такова писмо има линк „отпишете се тук“, а можете и да ни пишете на contact@kosholad.bg, дори преди да сте получили писмо. Отписването спира всички писма от нас, които не са за Ваша поръчка. Пазим адреса, който се е отписал, само за да не Ви пишем отново. Писмата за Вашите поръчки продължават да идват.

Можете да влизате в профила си в KOSHOLAD с профила си в Google („Продължи с Google“) вместо с код по имейл. Входът с Google е по желание, а поръчка можете да направите и без профил.

Какви данни получаваме от Google

Google Ви пита дали да сподели с KOSHOLAD основните данни от профила Ви, и искаме само тях: идентификатора на профила Ви в Google, името Ви, имейла Ви и потвърждението, че Google го е проверил, както и връзка към снимката на профила Ви. Не получаваме паролата Ви за Google и нямаме достъп до имейлите, контактите, файловете, календара или други данни в профила Ви в Google.

За какво ги използваме

Само за да Ви впишем в профила Ви в магазина. По идентификатора и проверения имейл разпознаваме профила Ви, така че имате един профил за един имейл, независимо дали влизате с Google или с код по имейл. Името попълва формата при първото Ви влизане и можете да го промените. Снимката не използваме и не показваме.

Не използваме данните от Google за реклама, не ги продаваме, не ги предоставяме на трети лица и не ги използваме за профилиране, за оценка на кредитоспособност или за обучение на модели за изкуствен интелект. Използването и предаването към други приложения на информация, получена от API на Google, спазва Правилата за потребителските данни в услугите с API на Google (Google API Services User Data Policy), включително изискванията за ограничено използване (Limited Use).

Как ги съхраняваме и защитаваме

Данните от Google се пазят заедно с профила Ви в базата данни на магазина, на сървъра ни във Франция (ЕС), и стигат до него само по криптирана връзка. Не пазим ключове за достъп до профила Ви в Google и след входа не се обръщаме към Google от Ваше име.

Колко дълго ги пазим и как да ги изтриете

Пазим ги, докато имате профил в KOSHOLAD. Когато профилът бъде изтрит, изтриваме и данните от Google. Профил, в който не сте влизали 3 години, изтриваме. Можете да поискате изтриване по всяко време, като ни пишете на contact@kosholad.bg (вижте „Какви са Вашите права?“).

Можете да оттеглите достъпа на KOSHOLAD до профила Ви в Google по всяко време от настройките на профила Ви в Google. След това можете да продължите да влизате в профила си в магазина с код по имейл.

В раздел „Полезно“ (например справочника за детски кухни) можете да ни съобщите, че информация не е вярна, или да предложите детска кухня, която липсва. За това не е нужен профил.

Пазим написаното от Вас, страницата, от която е изпратен сигналът, и ключов хеш на IP адреса Ви. От хеша адресът не може да бъде възстановен. Използваме го само за да спрем злоупотреби, например масово изпращане, на основание законния ни интерес (чл. 6, пар. 1, буква „е“ от GDPR). Сигналът ни помага да проверим и поправим информацията и не се публикува.

Имейлът е по желание. Пазим го само ако сте отбелязали, че сте съгласни да Ви пишем по този сигнал (чл. 6, пар. 1, буква „а“ от GDPR), и го използваме единствено за отговор по него. Не Ви изпращаме търговски съобщения. Изтриваме имейла 12 месеца след като сме приключили сигнала. Можете да оттеглите съгласието си по всяко време с писмо до нас и тогава го изтриваме веднага.

Предоставяме данни само доколкото е необходимо за съответната цел. Обработващите (които действат от наше име) са обвързани с договор по чл. 28 от GDPR и могат да ползват данните само по наши указания.

Когато платите с карта онлайн или на терминала на куриера, банката, издала картата Ви, и картовите организации (например Visa и Mastercard) обработват данните за плащането като самостоятелни администратори. Ако платите чрез Apple Pay или Google Pay, Apple или Google обработват данните за плащането като самостоятелни администратори, по своите условия.

Cloudflare

Cloudflare обработва Вашите данни в две отделни роли и е важно да ги различавате, защото в едната отговаряме ние, а в другата – Cloudflare.

Като наш обработващ Cloudflare пренася цялата комуникация между браузъра Ви и сървъра ни: осигурява защитената връзка, доставя страниците и филтрира злонамерения трафик. За да направи това, Cloudflare дешифрира заявките в своята мрежа, преди да ги препрати по криптиран тунел до сървъра ни. Тук Cloudflare действа само по наши указания, съгласно споразумението си за обработване на данни.

Като самостоятелен администратор Cloudflare използва ограничени данни за трафика (например IP адреси и признаци на атаки) за собствените си цели: да защитава и подобрява мрежата и услугите си, да разпознава заплахи за всички свои клиенти и да спазва законовите си задължения. За това обработване отговаря Cloudflare съгласно своята политика за поверителност, и можете да упражните правата си и пряко пред Cloudflare.

Не сме съвместни администратори с Cloudflare и не определяме как използва данните за собствените си цели.

Stripe

Като наш обработващ Stripe обработва плащането с карта: приема данните на картата, иска потвърждение от банката Ви и превежда сумата към нас. Тук Stripe действа по наши указания, съгласно споразумението си за обработване на данни.

Като самостоятелен администратор Stripe използва данните за плащането, за устройството и браузъра Ви, за да предотвратява измами, и за да спазва задълженията си като доставчик на платежни услуги, например мерките срещу изпирането на пари. За това обработване отговаря Stripe съгласно своята политика за поверителност, и можете да упражните правата си и пряко пред Stripe.

Проверката на Stripe за измами е автоматизирана и може да откаже плащане, което изглежда рисково. Тогава можете да платите с наложен платеж или с превод по банкова сметка, или да ни пишете на contact@kosholad.bg, за да разгледаме случая с участието на човек, да изразите гледната си точка и да оспорите решението (чл. 22 от GDPR).

Рекламираме магазина във Facebook и Instagram. За да знаем кои реклами водят до поръчки и да ги показваме на хора, които вече познават магазина, използваме Meta Pixel и изпращаме на Meta завършените поръчки от нашия сървър (Conversions API). И двете работят само ако сте приели бисквитките на Meta в лентата за бисквитки. Ако откажете или не изберете нищо, към Meta не се изпраща нищо – нито от браузъра Ви, нито от нашия сървър.

С Ваше съгласие Meta получава: посетените страници на сайта, разгледан продукт, добавяне в количката, започната поръчка и завършена поръчка (номер, сума, брой и код на продуктите), IP адреса Ви, вида на браузъра и устройството и бисквитките _fbp и _fbc. За завършена поръчка изпращаме и имейла и телефона Ви, но само като еднопосочен хеш (SHA-256), от който Meta може да ги сравни със своите потребители, но не и да ги прочете. За да изпратим поръчката от сървъра, пазим бисквитките _fbp и _fbc и вида на браузъра Ви заедно с поръчката, за сроковете на поръчката.

Съвместни администратори. За събирането на тези данни на сайта и предаването им на Meta сме съвместни администратори с Meta Platforms Ireland Limited (чл. 26 от GDPR), по Допълнението за администратори на Meta. По него ние отговаряме да Ви информираме и да поискаме съгласието Ви, а Meta – за сигурността на данните при нея и за искания по правата Ви за данните, които обработва. Можете да упражните правата си и пред двете страни.

Самостоятелен администратор. След като получи данните, Meta ги използва за свои цели – например за измерване и подобряване на рекламите и за персонализирана реклама – като самостоятелен администратор, съгласно своята политика за поверителност.

Можете да оттеглите съгласието си по всяко време с бутона „Настройки за бисквитки“ в долния край на всяка страница. Тогава изтриваме бисквитките на Meta от браузъра Ви и не изпращаме нищо повече. Оттеглянето не засяга законосъобразността на обработването преди него.

Да, в следните случаи:

• Cloudflare – данните се обработват в САЩ и в центровете за данни на Cloudflare по света. Cloudflare, Inc. е сертифицирано по Рамката за защита на данните между ЕС и САЩ (EU-U.S. Data Privacy Framework), за която Европейската комисия е приела решение за адекватност, а споразумението ни с Cloudflare съдържа и стандартните договорни клаузи на Европейската комисия.
• Stripe – само при плащане с карта. Stripe Payments Europe, Limited предава данни на Stripe, Inc. в САЩ. Stripe, Inc. е сертифицирано по Рамката за защита на данните между ЕС и САЩ, а Stripe прилага и стандартните договорни клаузи на Европейската комисия.
• Meta – само ако сте приели бисквитките на Meta. Meta Platforms Ireland Limited предава данни на Meta Platforms, Inc. в САЩ. Meta Platforms, Inc. е сертифицирано по Рамката за защита на данните между ЕС и САЩ, а Meta прилага и стандартните договорни клаузи на Европейската комисия.
• Purelymail – пощенската ни кутия се намира на сървъри в САЩ. Purelymail не е сертифицирана по Рамката за защита на данните между ЕС и САЩ, а стандартните договорни клаузи на Европейската комисия все още не са сключени: поискали сме ги от Purelymail. Затова писмата, които ни изпращате по имейл, се съхраняват в САЩ без допълнителни гаранции. Ако предпочитате, можете да ни се обадите на +359 896 84 29 14 или да ни пишете по пощата.

Ако изберете вход с Google, влизате направо на страницата на Google, а Google LLC е сертифицирано по Рамката за защита на данните между ЕС и САЩ. Ние не изпращаме данни на Google.

Сървърът на магазина (Hostinger, Франция) и доставчикът на имейлите за поръчките (Brevo, Франция) са в ЕС. Можете да поискате копие от приложимите гаранции на contact@kosholad.bg.

Повечето бисквитки, които използваме, са строго необходими, за да работи магазинът и да изпълним поръчката Ви. Съгласно чл. 4а, ал. 3 от Закона за електронните съобщения за тях не се изисква съгласие. Единствените други са бисквитките на Meta, които се записват само ако ги приемете в лентата за бисквитки.

• Наши бисквитки – пазят количката и промо кода, а ако влезете в профила си – и входа Ви в него.
• Бисквитки на Cloudflare – само ако Cloudflare трябва да провери дали заявката не идва от автоматизиран или злонамерен източник.
• Бисквитки на Stripe – само когато изберете плащане с карта, за да предотврати измами с карти.
• Бисквитки на Meta – само с Ваше съгласие, за измерване на рекламите ни (вижте „Meta (Facebook и Instagram)“). Можете да промените избора си по всяко време с бутона „Настройки за бисквитки“ в долния край на страницата.

Освен това пазим в локалното хранилище на браузъра Ви въведения при поръчка имейл, за да не го попълвате отново, и избора Ви за бисквитките. Те остават само на устройството Ви и не се изпращат към нас.

Пълният списък с имената, целите и сроковете е в раздел „Бисквитки“ от Общите условия.

Ако по това време тече спор или проверка, пазим нужните данни до приключването им. Cloudflare, Stripe, Meta и Еконт пазят данните, които обработват като самостоятелни администратори, в сроковете по своите политики и приложимото към тях законодателство.

След изтичане на срока данните се изтриват или анонимизират.

Връзката със сайта е криптирана (HTTPS). Сървърът ни не е достъпен директно от интернет: заявките стигат до него само по криптиран тунел през Cloudflare. Достъпът до административната част е защитен с допълнителна проверка на самоличността и е ограничен до хората, които се нуждаят от него, за да обработят поръчките.

Профилите в магазина нямат пароли. Кодът за вход, който Ви изпращаме по имейл, важи 10 минути, може да се използва само веднъж и пазим само криптографски отпечатък от него, а броят на опитите е ограничен. При вход с Google проверяваме отговора на Google с публичните му ключове. Входът в профила се пази в бисквитка, която е достъпна само за сървъра ни и се предава само по защитена връзка.

Ако въпреки това настъпи нарушение на сигурността, което създава висок риск за Вас, ще Ви уведомим без излишно забавяне.

Когато посещавате страниците ни във Facebook и Instagram, Meta Platforms Ireland Ltd. обработва данните Ви съгласно своята политика за поверителност. За статистиката за посещенията на тези страници сме съвместни администратори с Meta по споразумението, което Meta публикува за администраторите на страници. Всичко, което публикувате на страниците ни там, е публично – моля, не споделяйте лични данни в коментари.

Магазинът е предназначен за възрастни. Не събираме съзнателно лични данни на лица под 16 години. Ако научим, че сме получили такива данни, ще ги изтрием. Ако сте родител и смятате, че детето Ви ни е предоставило данни, пишете ни на contact@kosholad.bg.

По отношение на данните, които обработваме, имате право:

• на достъп – да научите дали и какви Ваши данни обработваме и да получите копие от тях (чл. 15);
• на коригиране на неточни или непълни данни (чл. 16);
• на изтриване, когато данните вече не са ни нужни или обработването е незаконосъобразно, освен ако законът ни задължава да ги пазим (чл. 17);
• на ограничаване на обработването, например докато проверяваме точността на данните (чл. 18);
• на преносимост – да получите данните, които сте ни предоставили, в структуриран, машинночетим формат или да ги прехвърлим на друг администратор (чл. 20);
• на възражение срещу обработване на основание законен интерес (чл. 21), включително срещу писмата с предложения, по всяко време и без да посочвате причина (чл. 21, пар. 2);
• да оттеглите съгласието си по всяко време, без това да засяга обработването преди оттеглянето (чл. 7, пар. 3) – за бисквитките на Meta с бутона „Настройки за бисквитки“ в долния край на страницата.

Ако имате профил, можете да поискате да го изтрием, като ни пишете на contact@kosholad.bg от имейла на профила. До един месец изтриваме профила, запазените адреси и данните от Google. Поръчките пазим за сроковете, посочени в раздел „Колко дълго пазим данните?“, защото законът ни задължава.

Самите ние не вземаме решения, основани единствено на автоматизирано обработване, включително профилиране, които Ви засягат. Единственото такова решение е автоматизираната проверка на Stripe за измами при плащане с карта, която може да откаже плащането. Можете да поискате човешка намеса, да изразите гледната си точка и да оспорите решението, като ни пишете (вижте „Cloudflare и Stripe: двете им роли“, чл. 22).

Упражняването на правата е безплатно. Може да поискаме доказателство за самоличността Ви, преди да изпълним искането. За данните, които Cloudflare, Stripe и Meta обработват като самостоятелни администратори, можете да се обърнете и пряко към тях.

Ако смятате, че обработваме данните Ви в нарушение на закона, имате право да подадете жалба до Комисията за защита на личните данни:

Комисия за защита на личните данни – гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2; тел.: 02 915 35 19; имейл: kzld@cpdp.bg; www.cpdp.bg.

Жалбата се подава в срок от 6 месеца от узнаването на нарушението, но не по-късно от две години от извършването му. Можете да подадете жалба и до надзорния орган в държавата от ЕС, в която живеете или работите, както и да потърсите защита пред съда. Ще се радваме, ако първо ни пишете – често можем да решим въпроса веднага.

За да упражните правата си или ако имате въпрос за личните си данни, пишете ни на contact@kosholad.bg или по пощата на адрес: гр. Свищов, ул. „Патриарх Евтимий“ № 30, вх. А, ап. 12, „Старлайт Ритейл“ ООД.

Ще отговорим без излишно забавяне и най-късно в едномесечен срок от получаването на искането. При сложни или многобройни искания срокът може да бъде удължен с още два месеца, за което ще Ви уведомим в първия месец.

Ако променим начина, по който обработваме данните – например нов получател, нов начин на плащане или нова цел, – ще обновим тази политика и датата, от която е в сила, в началото ѝ. При съществени промени ще Ви уведомим и на сайта.