shield_lock Поверителност

Политика за поверителност

Последна актуализация: ноември 2026 г. | Администратор: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Основни принципи

Ние обработваме лични данни в съответствие с Регламент (ЕС) 2016/679 (GDPR). Защитата на Вашите данни е от първостепенно значение за нас. qr3.app е разработен съгласно принципа за защита на данните на етапа на проектирането (Privacy by Design): IP адресите никога не се съхраняват — те незабавно се псевдонимизират в мрежовата периферия (Cloudflare Workers) с HMAC-SHA-256, дългосрочна тайна, цел и UTC ден, преди данните да бъдат записани трайно.

2. Обработвани данни

2.1 Използване на API (Регистрирани потребители)

  • Данни за профила: Имейл адрес, име (чрез автентификация от Clerk.com)
  • Данни за таксуване: Stripe ID на клиент, статус на абонамента (без данни за кредитни карти — Stripe ги обработва директно)
  • Данни за използването: Създадени QR кодове, конфигурации на работни пространства (workspaces)
  • Правно основание: член 6, параграф 1, буква б) от GDPR (изпълнение на договор)

2.2 Анализ на сканиранията (Крайни потребители, които сканират QR кодове)

  • IP псевдоним: HMAC-SHA-256 с дългосрочна тайна, цел и UTC ден — псевдонимизирани лични данни; не могат да се възстановят директно от хеша, но притежателят на тайната може да пресметне отново известен IP кандидат за деня
  • Данни за устройството: Тип устройство, операционна система, браузър (от User-Agent, анонимизирани)
  • Геоданни: Държава, град (от хедъра Cloudflare CF-IPCountry — не се съхранява IP адрес)
  • Правно основание: член 6, параграф 1, буква е) от GDPR (легитимен интерес на притежателите на QR кодове от получаване на статистика)
  • Срок на съхранение: 90 дни, след което се изтриват автоматично

2.3 Посещение на уебсайта (qr3.app)

За да отчита прегледите на страниците по езикови версии, qr3.app използва Cloudflare Web Analytics. Услугата не използва бисквитки или други механизми за съхранение от страна на клиента, не съхранява IP адреси и не създава потребителски профили. Събираните данни в обобщен вид са: път до страницата, референт, тип браузър и устройство, и държава. Доставчик: Cloudflare, Inc., в качеството си на обработващ лични данни (Споразумение за обработка на данни). Правно основание: член 6, параграф 1, буква е) от GDPR — легитимен интерес от измерване на обхвата по езици. Не е необходима бисквитка за отказ (opt-out), тъй като на Вашето устройство не се съхраняват никакви данни.

2.4 Статистика на използването и дневници на уебхукове (Регистрирани потребители)

  • Статистика на използването: Активност в таблото по дни (в кои UTC дни потребител е отварял таблото на работно пространство) и броячи за използване на API по операция и ден (брой заявки на един API ключ по операция и резултат). За активността в таблото се съхраняват идентификаторите на потребителя, организацията и работното пространство, UTC денят и часът на първото отваряне през този ден; за броячите на API — идентификаторите на организацията, работното пространство и API ключа, UTC денят, операцията, резултатът, броят и часът на първата и на последната заявка за деня — без IP адрес и без User-Agent.
  • Дневници за доставка на уебхукове: За всеки опит за доставка: тип събитие, час, статус, HTTP код на състоянието и време за отговор, изпратените данни за събитието и първият килобайт (1 KB) от отговора на получателя или съобщение за грешка. При събития за сканиране данните за събитието съдържат държавата, типа устройство, операционната система, браузъра и езика на посетителя; при събития за кодове — пълния код заедно с целевия адрес и бележките. IP адресът и User-Agent на посетителите не се съхраняват, но данните за събитието и отговорът на получателя могат да съдържат лични данни.
  • Цел: Експлоатация, отстраняване на грешки и подобряване на продукта
  • Правно основание: член 6, параграф 1, буква е) от GDPR (легитимен интерес от сигурна експлоатация, отстраняване на грешки и развитие на услугата)
  • Срок на съхранение: 90 дни (текущият UTC ден плюс предходните 89 дни), след което се изтриват автоматично; при DELETE /v1/account — незабавно

2.5 Дневник за одит (Регистрирани потребители)

  • Съдържание: За всяка промяна в работно пространство (например в кодове, API ключове, членове или уебхукове): час, действие, засегнат ресурс, променените стойности и кой е действал (ID на потребителя или на API ключа). При заявки директно към API – също IP псевдонимът (HMAC-SHA-256 за UTC ден, отделна цел) и потребителският агент (user agent). Не се съхраняват IP адрес, тайни (secrets) и API ключове.
  • Цел: Проследимост на промените за екипа на работното пространство и сигурност на услугата
  • Правно основание: член 6, параграф 1, буква е) от GDPR (легитимен интерес от проследими промени и от сигурността на услугата)
  • Срок на съхранение: IP псевдоним и user agent – 90 дни, записът – 365 дни (всеки път текущият UTC ден и предходните дни), след това автоматично изтриване; при DELETE /v1/account записите на собствените организации се изтриват незабавно, а в други екипи се премахват IP псевдонимът и user agent

3. Предоставяне на данни на трети страни

Предоставяме данни само на следните доставчици на услуги. Освен ако не е посочено друго, те обработват данните от наше име (чл. 28 от GDPR). Когато при това данни достигат до САЩ, това се основава на Рамката за защита на личните данни между ЕС и САЩ (EU-US Data Privacy Framework), по която са сертифицирани американските дружества на тези доставчици (решение относно адекватното ниво на защита, член 45 от GDPR), и субсидиарно — на стандартните договорни клаузи на Европейската комисия в техните договори за обработване на данни (член 46, параграф 2, буква в) от GDPR).

  • Cloudflare, Inc. (САЩ) — инфраструктура, CDN, Workers: хостинг на уебсайта, таблото и API, база данни, хранилище за файлове и опашки, изпращане на системните имейли (Cloudflare Email Service) и Web Analytics (раздел 2.3)
  • Clerk, Inc. (САЩ) — автентификация: имейл адрес, име, данни за вход и за сесията (включително IP адрес, определено по него местоположение и браузър) и имейли за потвърждение. При регистрация Clerk вгражда защита срещу автоматизирани регистрации (Cloudflare Turnstile). Ако влезете с акаунт в Google, Clerk получава от този акаунт Вашето име и имейл адрес.
  • Stripe Payments Europe, Ltd. (Ирландия) — обработка на плащания и фактури. Stripe събира данните за плащане директно; ние не получаваме данни за карти. За предотвратяване на измами, за собствените си законови задължения и за развитието на своите продукти Stripe отговаря самостоятелно.
  • Functional Software, Inc. (Sentry) (САЩ, съхранение в ЕС) — анализ на грешки за API, пренасочванията и таблото: съобщения за грешки и извадки от заявки (метод, път без параметри, код на състоянието, продължителност, вътрешни идентификатори). Премахваме IP адресите, заглавките, бисквитките и параметрите преди изпращане; имейл адресите и ключовете в текста се заличават. Правно основание: член 6, параграф 1, буква е) от GDPR (легитимен интерес от безпроблемна и сигурна експлоатация)
  • Google Cloud EMEA Ltd. (Ирландия; Google Cloud Web Risk) — проверка на целевите адреси за фишинг и зловреден софтуер: при създаване или промяна на код, при проверка чрез API и при нощната повторна проверка — целевият адрес на кода или връзките на неговата целева страница. Изпраща се само адресът, без данни за акаунти или посетители; ако самият адрес съдържа лични данни (например в параметър), те се изпращат заедно с него. Правно основание: член 6, параграф 1, буква е) от GDPR (защита на посетителите от измамни цели и сигурност на услугата)
  • Microsoft (Microsoft 365) — пощенската кутия office@qr3.app: имейли до нас, включително отговори на системни имейли, и нашите отговори. Правно основание: член 6, параграф 1, буква б) от GDPR (запитвания относно договора) или буква е) (други запитвания)

Не се извършва предоставяне на данни за рекламни цели.

4. Вашите права (членове 15–22 от GDPR)

  • Право на достъп (член 15): GET /v1/account/privacy или имейл до office@qr3.app
  • Преносимост на данните (член 20): GET /v1/account/export — експорт на всички данни в JSON формат
  • Изтриване (член 17): DELETE /v1/account или имейл. Профилът Ви се изтрива незабавно: организациите, на които сте собственик, с всички работни пространства, кодове, продуктови паспорти, файлове и статистики (ако такава организация има друг администратор на организацията, той я поема заедно с данните и абонамента), членството Ви в други организации, входът Ви в Clerk и клиентският Ви запис в Stripe. Текущ абонамент приключва незабавно, без пропорционално възстановяване на сумата. При много големи профили изтриването приключва в рамките на няколко часа. В резервните копия на базата данни (Cloudflare D1 Time Travel) изтритите данни остават възстановими до 30 дни, след което се премахват окончателно. Изключение правят фактурите, които съхраняваме в Stripe за законовия срок от седем години (§ 132 BAO), и сигналите на трети лица за злоупотребяващи кодове (предотвратяване на злоупотреби).
  • Ограничаване на обработването (член 18): имейл до office@qr3.app
  • Право на възражение (член 21): по всяко време, при обработване въз основа на легитимни интереси

5. Бисквитки

qr3.app използва единствено технически необходими сесийни бисквитки (автентификация чрез Clerk). Не се използват маркетингови или проследяващи бисквитки. Поради това не се изисква съгласие съгласно Директивата за бисквитките. Cloudflare Web Analytics (вижте раздел 2.3) също не използва бисквитки.

6. Сигурност на данните

Всички данни се предават криптирани (TLS 1.3). Криптиране на базата данни в покой (at-rest) чрез Cloudflare D1. API ключовете се съхраняват в хеширан вид. Подписи на уебкукички (webhooks) чрез HMAC-SHA256.

7. Право на жалба

Имате право да подадете жалба до австрийския орган за защита на данните:
Орган за защита на данните (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Контакт за въпроси относно поверителността

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app