ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИ ДАННИ НА „ДЕКАТЛОН БЪЛГАРИЯ“ ЕООД

„Декатлон България“ ЕООД е дружество, регистрирано в Търговския регистър при Агенцията по вписванията с ЕИК 201811997, със седалище и адрес на управление: гр. София, 1309, ж.к. в.з. Малинова долина, ул. „Олимпийска” № 4, тел: 02/9021070; e-mail: [email protected]. С оглед сериозното отношение и високата грижа на Декатлон за защита на данните, Ние сме определили Длъжностно лице по защита на данните /по-долу за краткост „ДЛЗД“/. Данните за контакт на ДЛЗД са: [email protected]. При обработване на лични данни, Ние следваме стриктно следните основните принципи, а именно:

• законосъобразност, добросъвестност и прозрачност;
• ограничение на целите на обработването;
• съотносимост с целите на обработката и свеждане до минимум на събираните данни;
• точност и актуалност на данните;
• ограничение на съхранението с оглед на постигане на целите;
• цялостност и поверителност на обработването и гарантиране на подходящо ниво на сигурност на личните данни.

При предоставяне на услугите ни и продажбата на стоки, събираме лични данни на различни категории клиенти /субекти на данни/, които могат да бъдат обобщени в следните групи:

• физически лица, използващи услугите ни като сервиз или купуващи продуктите ни;
• физически лица, закупуващи продукти, предлагани от Продавачи чрез Маркетплейса;
• роднини на клиентите ни при регистрация;
• физически лица, участващи в провеждане различни проучвания, кампании, турнири, включително в социалните мрежи;
• физически лица за целите на директен маркетинг;
• законни представители на други търговски дружества-партньори;
• законни представители и лица за контакт на Продавачите в Маркетплейса;
• посетители в нашите обекти.

Когато поръчате продукт, предлаган от Продавач чрез Маркетплейса, договорът за продажба се сключва директно между Вас и съответния Продавач. В този случай Декатлон събира данните Ви чрез онлайн магазина и предава на съответния Продавач само данните, необходими за изпълнението на поръчката – имена, адрес за доставка, телефонен номер, електронен адрес и данни за поръчаните продукти. Продавачът има достъп до тези данни през платформата само за ограничен период – от приемането на поръчката до изпращането на продукта – и след предаването им ги обработва като самостоятелен администратор съгласно собствената си политика за поверителност. Повече информация се съдържа в раздел IV по-долу.

Описание на събираните и обработвани лични данни, може да бъде намерено по-долу. Когато съществува договорно или законово задължение, ние трябва да го спазим и да обработим личните Ви данни. В случай, че е налице такова задължение и Вие не ни предоставите при поискване изискуемите данни, Ние може да не успеем да сключим или да изпълним договора, или наше законово задължение. В отделен раздел сме предоставили информация за обработването на личните данни на кандидати за работа.

1. Общи положения

1.1. Цели

Данните, които събираме от и за Вас, използваме за целите на:

• Предоставяне на услугите и продажба на продуктите ни;
• Организиране на кампании, проучвания, игри и състезания;
• Предлагане на качествено клиентско обслужване и отговаряне на запитвания;
• Спазване закона или законови задължения и/или да отговаряме на искания от публични и държавни органи;
• Анализиране и подобряване услугите и продуктите ни;
• Упражняване или запазване на законовите ни права и интереси;
• Управление на социалните ни мрежи;
• Опериране на Маркетплейса, включително приемане на поръчки и предаването им за изпълнение на съответния Продавач;
• Обработване на плащания в Маркетплейса съвместно с лицензиран доставчик на платежни услуги;
• Посредничество при връщания, рекламации, следпродажбено обслужване и изтегляне от пазара на продукти, закупени от Продавачи;
• Промотиране на услугите и продуктите ни.

1.2. Срокове на съхранение

Ще запазим Вашите лични данни само толкова дълго, колкото е необходимо, за да изпълним целите, за които сме ги събрали и описали в настоящата Политика. При определяне на срока за съхранение на данните, ние вземаме предвид техния вид, обем, потенциалния риск от вреди от неразрешено използване или разкриване, както и нормативните изисквания. В много случаи ще се съобразим с давностните срокове за завеждане на определени искове съгласно българското законодателство, като най-дългите такива са 10 г. Срокът за съхранение на данните от видеонаблюдение е описан в уведомлението ни за поверителност при видеонаблюдение. Във всички случаи ние предприемаме мерки за ограничаване на достъпа до личните данни на съответни етапи, с оглед текущото обработване на данните и съответните цели.

2. Конкретни видове обработки на данни, правните основания и сроковете за съхранение:

1. Онлайн поръчка на стоки, продавани от Декатлон

Категории данни: Имена, адрес за доставка, електронен адрес и телефонен номер.

Правно основание: Договор – чл. 6, пар. 1, б. „б“ GDPR

Срок на съхранение: До 10 години, считано от момента на покупката.

2. Поръчка на продукти, предлагани от Продавач в Маркетплейса

Категории данни: Имена, адрес за доставка, електронен адрес, телефонен номер и данни за поръчаните продукти.

Правно основание: Договор – чл. 6, пар. 1, б. „б“ GDPR

Срок на съхранение: До 10 години, считано от момента на покупката.

3. Поръчка чрез използване на киоск

Категории данни: Имена, адрес за доставка, електронен адрес и телефонен номер.

Правно основание: Договор – чл. 6, пар. 1, б. „б“ GDPR

Срок на съхранение: До 10 години, считано от момента на покупката.

4. Услуги от сервизите ни

Категории данни: Имена, адрес за доставка, електронен адрес и телефонен номер.

Правно основание: Договор – чл. 6, пар. 1, б. „б“ GDPR

Срок на съхранение: До 5 години, считано от момента на извършване на услугите ни.

5. Обработване на плащания в Маркетплейса („Lemonway“ SAS)

Категории данни: Имена на платеца, сума и референция на трансакцията, данни за платежната сметка (когато е приложимо).

Правно основание: Договор – чл. 6, пар. 1, б. „б“ GDPR, а по отношение на Lemonway – и собствените му нормативни задължения като платежна институция (б. „в“)

Срок на съхранение: До 5 години от закриване на платежната сметка, съответно от края на отношението.

6. Посредничество при връщания, рекламации и следпродажбено обслужване

Категории данни: Имена, данни за контакт, данни за поръчката и комуникацията с Вас.

Правно основание: Договор – чл. 6, пар. 1, б. „б“ GDPR и легитимен интерес – б. „е“

Срок на съхранение: До 3 години от събирането – при връщания и запитвания; до 5 години – при следпродажбено обслужване.

7. Издаване на фактури

Категории данни: Имена, ЕГН и адрес.

Правно основание: Нормативни задължения – чл. 6, пар. 1, б. „в“ GDPR (Закон за счетоводството и ЗДДС)

Срок на съхранение: До 10 години, считано от момента на покупката.

8. Създаване на спортни продукти на бъдещето

Категории данни: Имена, електронен адрес, спортни практики, възраст и подходящ размер.

Правно основание: Съгласие – чл. 6, пар. 1, б. „а“ GDPR

Срок на съхранение: 3 месеца след участието в програмата.

9. Организиране на спортни събития

Категории данни: Имена, имейл адрес, дата на раждане, телефонния Ви номер, както и снимките от събитията.

Правно основание: Съгласие – чл. 6, пар. 1, б. „а“ GDPR

Срок на съхранение: До 18 месеца след приключване на спортното събитие.

10. Създаване на карта за лоялност

Категории данни: Имена, ЕГН (при желание за издаване на фактури), дата на раждане, електронен адрес, телефонен номер, пол, адрес, възраст, любим спорт и любим магазин.

Правно основание: Съгласие – чл. 6, пар. 1, б. „а“ GDPR

Срок на съхранение: До 3 години, считано от последния ден, в който сте посетили профила си.

11. Изпращане на персонализиран бюлетин по електронен път

Категории данни: Имена, електронен адрес и данни на клиентите, свързани с определяне на точен размер на продуктите ни.

Правно основание: Съгласие – чл. 6, пар. 1, б. „а“ GDPR

Срок на съхранение: До 2 години от последната активност.

12. Персонализирано класиране на продукти в Маркетплейса

Категории данни: История на разглежданията и покупките Ви в онлайн магазина и данни за профила Ви.

Правно основание: Изрично съгласие – чл. 6, пар. 1, б. „а“ GDPR, дадено чрез инструмента за управление на поверителността

Срок на съхранение: До оттегляне на съгласието.

13. Мнения и въпроси за продуктите ни и "User 2 User" кампании

Категории данни: Имена, електронен адрес и данни на клиентите, свързани с определяне на точен размер на продуктите ни.

Правно основание: Легитимен интерес – чл. 6, пар. 1, б. „е“ GDPR

Срок на съхранение: До 2 години след отговора на Вашия въпрос.

14. Комуникация с нас чрез телефонната ни централа

Категории данни: Аудиозапис.

Правно основание: Легитимен интерес – чл. 6, пар. 1, б. „е“ GDPR – с оглед подобряване качеството на предлаганите услуги и решаване на спорове, респ. защита на наши права и интереси

Срок на съхранение: До 12 месеца, считано от телефонното обаждане.

15. Използване на безплатния безжичен интернет (wi-fi)

Категории данни: Имена, електронен адрес, метод за удостоверяване (Google+, Facebook, Twitter, E-mail, Corporate), пол, езика на съответното устройство, вид на устройството (смартфон, таблет и др.), уеб браузър, дата и час на връзката и физическото посещение на съответния търговски обект, както и всички данни, произтичащи от уеб трафика (IP адрес, профил на потребителя, обем на трафика).

Правно основание: Легитимен интерес – чл. 6, пар. 1, б. „е“ GDPR

Срок на съхранение: До 12 месеца, считано от датата на постъпването им.

Част от обработваните личните данни могат да се съхраняват за по-дълго време в случаите, когато данните са нужни като доказателство за конкретни взаимоотношения; за извършено престъпление или нередност, както и при съдебно или рекламационно производство до окончателното им разрешаване. Можем да използваме анонимизирана информация или информация, която вече не позволява да бъдете идентифицирани като конкретно физическо лице и след описаните по-горе срокове за съхранение.

Декатлон не предоставя лични данни на трети лица, преди да се гарантира, че са взети всички технически, организационни и правни мерки за защита на тези данни, както и че има валидно правно основание. Може да се наложи да споделяме Вашите лични данни със страните, посочени по-долу:

• В рамките на нашата група свързани компании на Декатлон – на основание нашия легитимен интерес да администрираме и отчитаме дейността ни. Ако е нужно друго правно основание, то същото ще бъде осигурено, преди трансфера на данни;
• Продавачи в Маркетплейса – когато закупите продукт, предлаган от Продавач, предаваме на съответния Продавач само данните, необходими за изпълнение на поръчката Ви: имена, адрес за доставка, телефонен номер, електронен адрес и данни за поръчаните продукти. Достъпът на Продавача до тези данни през платформата е ограничен във времето – от приемането на поръчката до изпращането на продукта. Продавачът обработва данните в качеството си на самостоятелен и независим администратор – за изпълнение на договора за продажба, доставката, счетоводните си задължения и обслужването на поръчката – съгласно собствената си политика за поверителност, достъпна на страницата му в Маркетплейса, и носи самостоятелна отговорност за това обработване;
• Дружества от групата Декатлон във връзка с Маркетплейса – за следните операции: (i) организиране на връщанията на продукти; (ii) организиране на информацията относно изпращането и/или доставката на продуктите; (iii) организиране на следпродажбеното обслужване; и (iv) организиране на изтеглянето на продукти от пазара, Декатлон и „Декатлон Белджъм“ СА (Avenue Jules Bordet 1, 1140 Evere, Белгия), заедно със съответните дружества от групата, действат като съвместни администратори по смисъла на чл. 26 от GDPR. Съгласно договореността между съвместните администратори Декатлон е Вашето звено за контакт за България, но Вие можете да упражнявате правата си по GDPR спрямо и срещу всеки от съвместните администратори. Основното съдържание на договореността е достъпно при поискване чрез ДЛЗД;
• Доставчик на платежни услуги – плащанията в Маркетплейса се обработват от „Lemonway“ SAS, лицензирана платежна институция със седалище: 8, rue du Sentier, 75002 Париж, Франция, под надзора на френския орган ACPR. За управлението на платежните трансакции Декатлон и Lemonway действат като съвместни администратори, а за изпълнението на собствените си нормативни задължения (включително мерките срещу изпирането на пари) Lemonway е самостоятелен администратор. Повече информация се съдържа в политиката за поверителност на Lemonway и в Рамковия договор за платежни услуги, достъпни на www.lemonway.com;
• Доставчик на техническата платформа на Маркетплейса – „Mirakl“ SAS, който поддържа техническото решение на Маркетплейса и обработва лични данни само по наше възлагане и съгласно нашите указания, в качеството на обработващ лични данни;
• Доставчици на услуги – в качеството си на обработващи лични данни. Това могат да бъдат адвокатски и счетоводни кантори, одитори, куриери, превозвачи, хостинг компании, доставчици на IT услуги, системна администрация, мобилни оператори, застрахователи, организатори на събития и други. С тях сключваме договори, които гарантират сигурността на Вашите данни;
• Публични органи - предоставянето на лични данни в някои случаи е задължително, за да спазим наши законови изисквания и в тази връзка предоставяме информация на: публични и общински органи, министерства, НАП, НОИ, КЗК, КЗП, и други регулаторни органи и комисии.

Ние не вземаме решения, основани единствено на автоматизирано обработване, които пораждат правни последствия за Вас или по подобен начин Ви засягат в значителна степен, по смисъла на чл. 22 от GDPR. Продуктите в Маркетплейса се подреждат чрез алгоритъм за класиране, който отчита основни параметри като качество на продукта, цена и ниво на удовлетвореност на клиентите. Подреждането може да бъде персонализирано въз основа на Вашата история на разглеждане и покупки единствено ако сте дали изричното си съгласие за това чрез инструмента за управление на поверителността на сайта ни. Можете да оттеглите съгласието си по всяко време, както и да променяте подреждането чрез наличните филтри и опции за сортиране.

Сигурността на данните, които сте ни поверили е много важна за нас. За осигуряване на адекватна защита на данните на своите клиенти, ние прилагаме всички необходими организационни и технически мерки, предвидени в законодателството, както и най-добрите практики от международни стандарти. В тази връзка, от Декатлон сме предприели мерки за защита на личните Ви данни от случайна загуба и нерегламентиран достъп, употреба, промяна или оповестяване. Налице са политики и процедури, предназначени да предпазят информацията от загуба, злоупотреба и неправомерно разкриване. Освен това предприемаме допълнителни мерки за информационна сигурност, включително контрол на достъпа, строга физическа защита и надеждни практики за събиране, съхранение и обработка на информацията. Част от приложените мерки са:

• Защита на събраните лични данни от необосновано използване и следи за тяхната обработка;
• Приемане на строги политики и процедури, приложими към персонала ни за минимизиране на рисковете от обработването на лични данни;
• Контрол на достъпа до лични данни въз основа на матрица на задълженията;
• Периодични обучения на персонала във връзка със защитата на лични данни.

От друга страна, прилагаме технически мерки като криптиране, псевдонимизация и анонимизация на събраните лични данни, когато това е възможно.

При осъществяване на дейността ни, е възможно да предадем Вашите данни извън Европейския съюз, но във всички случаи ще осигурим адекватно ниво на защита или подходящи гаранции и правни основания за това. Ако се наложи предаване на данни в „друга държава” ние гарантираме, че преди такова прехвърляне е осигурено необходимото ниво на защита на данните в съответната трета държава или при получателя в тази третата държава. Това може да се основава на съгласие, разрешение от надзорен орган, задължителни корпоративни правила или решение на Европейската комисия относно адекватното ниво на защита на данните в определена трета държава като цяло. Като алтернатива, предаването на данни може да се основава на т. нар. „Стандартни договорни клаузи в ЕС”, договорени с получателя (приети с Решение за изпълнение (ЕС) 2021/914 на Европейската комисия) или ако получателите са в САЩ, на основание Рамката за защита на личните данни ЕС–САЩ (EU-U.S. Data Privacy Framework), съгласно решението на Европейската комисия относно адекватното ниво на защита от 10 юли 2023 г. – по отношение на сертифицирани по Рамката организации. Продавачите в Маркетплейса са търговци, установени в Европейския съюз, поради което предаването на Вашите данни към тях за изпълнение на поръчките Ви не представлява предаване на данни извън ЕС. При поискване, ще се радваме да Ви предоставим допълнителна информация за подходящите и уместни гаранции за поддържане на подходящо ниво на защита на данните.

Съгласно европейското и местно законодателство, в зависимост от правното основание, Вие имате следните права във връзка с личните Ви данни:

• Право на достъп: Вие имате право да получите потвърждение дали се обработват лични данни, свързани с Вас, и ако това е така, да получите достъп до данните и до информация, свързана с тях, както и копие от тези данни, ако това е възможно;
• Право на коригиране: Вие можете да изисквате от нас коригирането на неточни лични данни, свързани с Вас, допълването на непълни лични данни, свързани с Вас;
• Право изтриването на лични данни (право „да бъдеш забравен“): имате право да поискате изтриване на личните Ви данни, но доколкото са налице основанията за това;
• Ограничаване на обработването: Доколкото са изпълнени законовите условия, Вие можете да изисквате от нас ограничаване на обработването на лични данни, отнасящи се до Вас;
• Право на възражение: Вие имате право, по всяко време и на основания, свързани с конкретния тип обработка, на възражение срещу обработване на лични данни на основание легитимен интерес. Ако на това основание обработваме Вашите данни за целите на директния маркетинг, то ние сме длъжни да прекратим обработването;
• Право на преносимост на данните: Ако обработваме лични данни на договорно основание или въз основа на Вашето съгласие, Вие може да изисквате предоставените от Вас лични данни да се получат от Вас в структуриран, широко използван и пригоден за машинно четене формат и/или да ги предадем на друг администратор на лични данни;
• Право на възражение при автоматизирано вземане на индивидуални решения, включително профилиране;
• Право на оттегляне на съгласието: В случай че обработваме лични данни на основание Вашето съгласие или изрично съгласие, Вие имате право да оттеглите съгласието си по всяко време, без да се засяга законосъобразността на обработените данни въз основа на съгласие, преди то да бъде оттеглено;
• Право на жалба до надзорния орган – КЗЛД (София 1592, бул. „Проф. Цветан Лазаров” №2 или www.cpdp.bg).

Следва да имате предвид че не всички от посочените по-горе права са абсолютни и не винаги са приложими, като е възможно да има изключения. В отговор на отправено искане е необходимо да потвърдите Вашата самоличност и/или да предоставите допълнителна информация, която да помогне за по-доброто и пълно разбиране на Вашето искане. При покупки от Продавач чрез Маркетплейса можете да упражните правата си както пред Декатлон, така и пред съответния Продавач. Когато искането се отнася до обработване, за което отговаря другата страна, ще Ви съдействаме и ще препратим искането за отговор в законовите срокове.

Всяко едно от предвидените в закона права може да бъде упражнено чрез подаване на искане на упражняване на съответното право. Искания за упражняване на правата на субектите на лични данни могат да бъдат подадени алтернативно по някой от следните начини:

• По електронен път на следния имейл адрес: [email protected]
• Лично на следния адрес: гр. София, 1309, ж.к. в.з. Малинова долина, ул. „Олимпийска” № 4

Искането за упражняване на права на лични данни следва да съдържа следната информация:

• Данни за идентификация на субекта – имена и ЕГН;
• Контакти за обратна връзка – адрес, телефон, електронна поща;
• Искане – описание на искането.

Декатлон предоставя информация относно действията, предприети във връзка с искане за упражняване на правата Ви, в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още един месец, като се взема предвид сложността и броя на исканията. Декатлон ще Ви информира за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Предоставяната информация във връзка с упражняването правата на субекта на данни се предоставят безплатно, освен при злоупотреба с предоставените права. В такъв случай, може да наложим разумна такса въз основа на административните ни разходи, необходими за предоставянето на информацията. Можем да поискаме предоставянето на допълнителна информация, необходима за потвърждаване на самоличността Ви, когато са налице опасения във връзка със самоличността на физическото лице, което подава искане. При упражняването на правата Ви чрез пълномощник, то следва да ни бъде предоставено изрично пълномощно. Декатлон няма задължение да отговори на искане, в случай че не е в състояние да идентифицира субекта на данните. Когато искането е подадено с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако не сте поискали нещо друго изрично, но при спазване изискванията на ЗЗЛД.