ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

(ПОЛИТИКА ЗА ПОВЕРИТЕЛНОСТ)

на онлайн платформата NovaFirma.bg,

утвърдена от управителя на „Бизнес Уеб Сървисиз“ ООД

 

В сила от: 15 юни 2026 г.

 

1. ОБЩИ ПОЛОЖЕНИЯ И АДМИНИСТРАТОР НА ДАННИТЕ

Настоящата Политика за защита на личните данни („Политиката“) определя правилата, условията и целите, при които „Бизнес Уеб Сървисиз“ ООД обработва и защитава личните данни на физическите лица, ползващи уебсайта и софтуерната платформа NovaFirma.bg, в съответствие с Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Общ регламент относно защитата на данните – ОРЗД) и Закона за защита на личните данни (ЗЗЛД).

• Администратор на личните данни: „Бизнес Уеб Сървисиз“ ООД, ЕИК 205079808
• Седалище и адрес на управление: гр. Бургас, п.к. 8000, ул. „Съединение“ № 5, ет. 3
• Адрес за кореспонденция: гр. Бургас, п.к. 8000, ул. „Съединение“ № 5, ет. 3
• Електронна поща за контакт относно личните данни:
• Телефон: (в работни дни от 13:00 до 17:00 ч.)

Към момента на приемане на настоящата Политика дружеството не е задължено по смисъла на чл. 37 от ОРЗД да назначава формално Длъжностно лице по защита на данните (DPO). Всички запитвания, искания за упражняване на права и възражения се обработват чрез посочения e-mail адрес: 

 

2. КАТЕГОРИИ СУБЕКТИ НА ДАННИ И РОЛИ ПРИ ОБРАБОТВАНЕТО

Платформата NovaFirma.bg обработва лични данни относно следните категории физически лица:

1. Посетители на уебсайта: Лица, които зареждат публичните страници, статии в блога или ползват безплатни автоматизирани справки без създаване на профил.
2. Регистрирани потребители (Клиенти): Физически лица, които създават личен потребителски профил и/или поръчват платени услуги за автоматизирано генериране на документи или адвокатско подаване в Търговския регистър.
3. Трети лица, индивидуализирани в генерираните дружествени документи: Физически лица, чиито данни (имена, ЕГН/ЛНЧ, адреси, дялови участия) се въвеждат от регистрирания потребител в качеството им на съдружници, еднолични собственици на капитала, управители, пълномощници или ликвидатори на съответното търговско дружество.

Разпределение на договорните роли: По отношение на потребителския профил, плащанията, издаването на отчети/фактури и системните логове за сигурност, „Бизнес Уеб Сървисиз“ ООД действа в качеството на самостоятелен администратор на лични данни. По отношение на данните на трети лица (съдружници, управители), въвеждани от потребителя за целите на съставяне на дружествени актове, Платформата предоставя автоматизиран софтуерен инструмент, като потребителят гарантира и декларира, че е налице законосъобразно основание (включително пълномощие, водене на чужда работа без поръчка /гестия/ или съгласие) за въвеждане на данните в системата.

 

3. КАТЕГОРИИ ОБРАБОТВАНИ ДАННИ, ЦЕЛИ И ПРАВНИ ОСНОВАНИЯ

Категория лични данни	Конкретни цели на обработването	Правно основание по ОРЗД	Срок за съхранение
Данни за регистрация и профил: Електронен адрес (e-mail), криптирана парола, потребителско име, дата на регистрация.	Създаване и поддържане на потребителски профил; осигуряване на достъп до функционалността „Личен бизнес профил и дигитален архив“; идентификация при вход.	Изпълнение на договор, по който субектът е страна (чл. 6, пар. 1, б. „б“ от ОРЗД).	Съгласно хибриден модел (3 години за празни профили; 5 години за профили с дейност, с право на продължаване).
Данни за изпълнение на поръчки: Имена, ЕГН/ЛНЧ, постоянен/настоящ адрес, данни от Търговския регистър.	Автоматизирано структуриране и генериране на персонализирани комплекти дружествени документи (ЕООД/ООД, промени, превалутиране, ГФО, декларации за неактивност); изпращане на файловете по e-mail.	Изпълнение на договор за цифрова услуга от разстояние (чл. 6, пар. 1, б. „б“ от ОРЗД).	5 години от последната поръчка или генериран документ (с опция за 1-клик подновяване за нов 5-годишен срок).
Данни при адвокатско подаване в ТР: Пълномощни, сканирани декларации, електронни подписи (КЕП).	Процесуално представителство и подаване на заявления за вписване/обявяване в Търговския регистър от упълномощен адвокат (чл. 15, ал. 1, т. 4 ЗТРЮЛНЦ).	Изпълнение на договор (чл. 6, пар. 1, б. „б“ ОРЗД) и законови задължения по ЗТРЮЛНЦ и Закона за адвокатурата (чл. 6, пар. 1, б. „в“ ОРЗД).	5 години от приключване на регистърното производство (съгласно сроковете по Закона за адвокатурата).
Финансово-счетоводни данни: Имена/фирма, ЕГН/ЕИК, адрес, данни за платежна трансакция, номер на отчет/фактура.	Издаване на електронен отчет за изразходвани средства или данъчна фактура; счетоводно отчитане; спазване на данъчния контрол.	Законово задължение на Администратора (чл. 6, пар. 1, б. „в“ ОРЗД във вр. с чл. 12 ЗСчет, чл. 38 ДОПК и ЗДДС).	10 години, считано от 1 януари на годината, следваща отчетния период.
Данни за информационен бюлетин: Електронен адрес (e-mail) и статус на абонамента.	Изпращане на уведомления  за изтичащи законови срокове (ГФО, декларации), новости и промоционални условия.	Доброволно съгласие на субекта на данните чрез отделен Opt-in чекбокс (чл. 6, пар. 1, б. „а“ от ОРЗД).	До оттегляне на съгласието (чрез бутон „Отписване във всяко съобщение).
Технически логове и сигурност: IP адрес, дата и час на заявката, HTTP статус код, User-Agent, логове на защитната стена (SH Protect).	Осигуряване на непрекъсваемост, противодействие на злоумишлени атаки, диагностика на софтуерни грешки.	Легитимен интерес на Администратора за гарантиране на киберсигурността (чл. 6, пар. 1, б. „е“ от ОРЗД).	До 12 месеца от създаване на съответния лог файл.
Аналитични и рекламни бисквитки: Онлайн идентификатори, бисквитки на Google Analytics и Google Ads.	Статистически анализ на трафика, измерване на ефективността на страниците и рекламни кампании в Google.	Изрично съгласие чрез панела за управление на бисквитки (чл. 6, пар. 1, б. „а“ от ОРЗД и чл. 4а ЗЕТ).	От сесийно до 24 месеца (съгласно Политиката за бисквитки).

 

4. КАТЕГОРИИ ПОЛУЧАТЕЛИ НА ЛИЧНИ ДАННИ И ТРЕТИ СТРАНИ

 

Администраторът не продава, не отдава под наем и не разпространява лични данни на трети лица за техни собствени маркетингови цели. Достъп до данните се предоставя единствено на следните категории доверени партньори и обработващи лица при спазване на чл. 28 от ОРЗД:

1. Хостинг доставчик и сървърна инфраструктура: „СуперХостинг.БГ“ ЕООД (ЕИК 131449115, гр. София, България) — осигурява надеждно и криптирано съхранение на базите данни и файловете на територията на Република България (ЕС) при внедрени многостепенни защити (SH Protect, DDoS филтриране, автоматични бекъпи).
2. Доставчик на електронна поща: Google Ireland Limited  / Google LLC — предоставя инфраструктура за служебна електронна поща (Google Workspace / Gmail) за комуникация с клиенти и изпращане на системни съобщения.
3. Лицензирани платежни оператори и финансови институции:
   • „Банка ДСК“ АД (ЕИК 121830623) — обслужва картовите разплащания чрез защитен Виртуален ПОС терминал (Администраторът не получава и не съхранява пълните номера на банкови карти, CVC/CVV кодове);
   • „Ипей“ АД (ePay.bg, ЕИК 131405412) и „Изипей“ АД — за разплащания по електронен път или в брой;
   • PayPal (Europe) S.a r.l. et Cie, S.C.A. (Люксембург) — за разплащания чрез международната система PayPal.
4. Адвокати и юридически консултанти: Правоспособни адвокати, вписани в адвокатска колегия в Република България, с които Дружеството има сключени договори за сътрудничество, на които се възлага подаването на документи в Търговския регистър с електронен подпис при избор на съответната услуга.
5. Компетентни държавни и публични органи: Агенция по вписванията (Търговски регистър), Национална агенция за приходите (НАП), Министерство на вътрешните работи (МВР), Комисия за защита на потребителите (КЗП) и съдебни органи — единствено при надлежно писмено искане на законово основание.

 

6. МЕЖДУНАРОДНО ПРЕДАВАНЕ НА ДАННИ (ТРАНСФЕРИ ИЗВЪН ЕИП)

 

По правило всички основни данни на потребителите и генерираните файлове се съхраняват на сървъри, разположени на територията на Република България (Европейски съюз). При използване на определени глобални технически услуги (като Google Workspace, Google Analytics, Google Ads или PayPal) е възможно част от данните (онлайн идентификатори, IP адреси, служебна кореспонденция) да бъдат обработвани в трети държави. В тези случаи предаването на данни се извършва при стриктно спазване на Глава V от ОРЗД въз основа на:

• Решение за адекватност на Европейската комисия относно Рамката за защита на личните данни между ЕС и САЩ (EU-US Data Privacy Framework) съгласно чл. 45 от ОРЗД — за сертифицирани американски дружества (вкл. Google LLC);
• Стандартни договорни клаузи (SCC), одобрени от Европейската комисия съгласно чл. 46, пар. 2, б. „в“ от ОРЗД, придружени с допълнителни технически и организационни мерки за защита (криптиране при пренос и в покой).

 

6. СРОКОВЕ ЗА СЪХРАНЕНИЕ И ХИБРИДЕН МОДЕЛ ЗА УПРАВЛЕНИЕ НА ДАННИТЕ

 

В съответствие с принципа за ограничение на съхранението (чл. 5, пар. 1, б. „д“ от ОРЗД), Администраторът прилага следния обективен хибриден модел за управление на жизнения цикъл на профилите и данните:

1. Профили без активност и поръчки („Празни профили“): Профили, по които в продължение на 3 (три) последователни години от датата на първоначалната им регистрация няма извършена нито една платена поръчка, няма запазени генерирани документи и балансът в портфейла е 0.00 EUR, подлежат на автоматично заличаване.
2. Профили с генерирани документи и поръчки („Личен бизнес профил и дигитален архив“): Данните за юридически лица, техните органи и генерираните комплекти документи се съхраняват в клиентския профил за срок от 5 (пет) години, считано от датата на последната извършена поръчка, генериране на документ или актуализация на фирмените данни. Преди изтичане на този срок Администраторът изпраща електронно съобщение с възможност за потвърждение с 1 клик. При изрично потвърждение от Клиента, срокът се подновява за нов 5-годишен период, осигурявайки възможност данните да се ползват за бъдещи процедури (превалутиране, промени, ГФО) без повторно въвеждане.
3. Профили с наличен предплатен баланс в портфейла: Профил на Клиент, в чийто виртуален портфейл са налични парични средства (> 0.00 EUR), не подлежи на служебно деактивиране или изтриване, докато средствата не бъдат изразходвани за услуги или възстановени по банкова сметка на Клиента.
4. Финансово-счетоводен и данъчен архив: Издадените електронни отчети за изразходвани средства, фактури, счетоводни регистри и платежни документи се съхраняват в обособен счетоводен архив за срок от 10 (десет) години, считано от 1 януари на годината, следваща отчетния период (чл. 12, ал. 1, т. 2 ЗСчет и чл. 38, ал. 1, т. 2 ДОПК), независимо дали потребителският профил в уебсайта е активен или закрит.

 

7. ПРАВА НА СУБЕКТИТЕ НА ДАННИ СЪГЛАСНО ОРЗД

Като субект на лични данни, Вие разполагате със следните законоустановени права, които можете да упражните по всяко време:

• Право на достъп (чл. 15 ОРЗД): Право да получите потвърждение дали обработваме Ваши данни, както и безплатно копие от обработваните лични данни и информация за целите, получателите и сроковете.
• Право на коригиране (чл. 16 ОРЗД): Право да коригирате неточни или непълни лични данни директно през менюто на Вашия потребителски профил или чрез писмено искане до нас.
• Право на изтриване („право да бъдеш забравен“) (чл. 17 ОРЗД): Право да поискате заличаване на Вашите лични данни, когато те вече не са необходими за целите на договора, когато сте оттеглили съгласието си или обработването е незаконосъобразно. (Правото не се прилага за данни, които Администраторът е длъжен по закон да съхранява в 10-годишния данъчно-счетоводен архив).
• Право на ограничаване на обработването (чл. 18 ОРЗД): Право да изискате временно спиране на оперативната обработка при оспорване на точността на данните или при висяща проверка на правния интерес.
• Право на преносимост на данните (чл. 20 ОРЗД): Право да получите личните данни, които сте ни предоставили, в структуриран, широко използван и машинночетим формат (напр. JSON, XML, PDF) или да изискате прехвърлянето им към друг администратор.
• Право на възражение (чл. 21 ОРЗД): Право по всяко време да възразите срещу обработване, основано на легитимен интерес или срещу обработване за целите на директния маркетинг.
• Право на оттегляне на съгласието (чл. 7, пар. 3 ОРЗД): Когато обработването се базира на Вашето съгласие (напр. за информационен бюлетин или незадължителни бисквитки), можете да го оттеглите по всяко време безплатно, без това да засяга законосъобразността на обработката преди оттеглянето.

 

8. РЕД ЗА УПРАЖНЯВАНЕ НА ПРАВАТА И ЖАЛБИ ДО НАДЗОРНИЯ ОРГАН

За да упражните което и да е от посочените по-горе права, можете да подадете писмено заявление, изпратено по електронна поща на адрес:   или на пощенския адрес на дружеството: гр. Бургас 8000, ул. „Съединение“ № 5, ет. 3.

За да защитим сигурността на Вашите данни и да предотвратим неправомерен достъп от трети лица, при получаване на искане Администраторът може да изиска допълнителна верификация на самоличността Ви (напр. потвърждение през регистрирания e-mail адрес или идентификация чрез потребителския профил). Администраторът се произнася по искането и предоставя писмен отговор без неоправдано забавяне и най-късно в срок до 1 (един) месец от получаването му съгласно чл. 12, пар. 3 от ОРЗД.

В случай че смятате, че правата Ви по ОРЗД или националното законодателство са нарушени, имате право да подадете жалба до компетентния надзорен орган:

Комисия за защита на личните данни (КЗЛД)
Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2
Телефон: 02 915 3 518 | Факс: 02 915 3 525
Електронна поща: [email protected] | Интернет страница: https://cpdp.bg

 

9. ТЕХНИЧЕСКИ И ОРГАНИЗАЦИОННИ МЕРКИ ЗА СИГУРНОСТ

 

Администраторът прилага строги съвременни технически и организационни мерки съгласно чл. 32 от ОРЗД, включително:

• Пълно SSL/TLS криптиране на комуникационния трафик между браузъра на потребителя и уеб сървъра (HTTPS 256-bit);
• Криптиране на паролите с необратими хеш алгоритми с висока ентропия (Bcrypt/Argon2);
• Хардуерна и софтуерна защита на хостинг инфраструктурата от СуперХостинг.БГ (SH Protect, Web Application Firewall, филтриране на зловреден трафик и автоматична защита от DDoS атаки);
• Резервни копия (бекъпи) на базите данни, съхранявани в изолирана криптирана среда;
• Строго ограничаване на административния достъп до базите данни на принципа „необходимост да се знае“ (Need-to-know basis).

 

10. АКТУАЛИЗАЦИИ И ПРОМЕНИ В НАСТОЯЩАТА ПОЛИТИКА

 

Настоящата Политика за защита на личните данни може да бъде периодично изменяна и допълвана с оглед промени в законодателството, указания на надзорните органи или внедряване на нови софтуерни функционалности в Платформата. При извършване на съществени промени, Администраторът уведомява регистрираните потребители чрез съобщение на посочените от тях e-mail адреси и чрез видимо уведомление на уебсайта преди влизането им в сила.