1. Администратор и контакт
Администраторът определя целите и средствата на обработването за работата на „Даскал“. За въпроси относно данните и упражняване на права използвайте контактния имейл в края на тази страница. Не е необходимо да имате активен акаунт, за да отправите искане.
Приемането на Общите условия и потвърждението за запознаване с тази политика не представляват GDPR съгласие за всички операции. Правното основание зависи от конкретната цел, описана по-долу.
2. Какви данни обработваме и откъде идват
От регистрацията и профила: име, имейл, данни за удостоверяване и сесия, роля, профилна снимка, град; за учениците — клас и дали профилът се управлява от ученик или родител/настойник, а във втория случай — и името на управляващото лице. Паролата се обработва от системата за удостоверяване; не я включвайте в други полета.
За учителите: представяне, образование, опит, предмети, преподавани класове, начин на провеждане, налични часове, продължителности и цени, рейтинг и отзиви. Учителските профили и аватари се показват публично. Публичните отзиви могат да показват име на автора, оценка, текст и дата.
За уроците и отношенията между участниците: резервации, учител и ученик, предмет, час, продължителност, цена и валута, статус, бележки и линкове за срещи; домашни, срокове, коментари, решения, обратна връзка и прегледи на изпратеното решение.
За файловете: каченото съдържание, име, тип, размер, ключ за съхранение, собственик, свързан урок/домашно/материал и статус на файловата операция. За отчетността: суми, валута, платежни статуси, такси и нетни суми в исторически записи, бележки за корекция и идентификатори на транзакции, когато такива съществуват.
За приемането на правните документи: идентификатор на профила, версии на документите, време от DB сървъра и контекст — учител, самоуправляван ученически профил или профил, управляван от родител/настойник. За този запис не събираме IP адрес или user-agent.
Получаваме данни от вас, от родителя/настойника при управляван профил, от другия участник чрез резервации, отзиви, задания и обратна връзка, както и от техническата работа на услугата. Доставчиците на инфраструктура могат да обработват IP адрес, време на заявката, технически характеристики и записи за сигурност при обслужване на връзката; това е различно от записа за приемане на условията.
3. Цели и правни основания
Регистрация, вход, възстановяване на парола и управление на профила: изпълнение на договор или преддоговорни действия по ваше искане — чл. 6, пар. 1, б. „б“ GDPR, доколкото са обективно необходими за услугата. Същото основание обхваща необходимите служебни имейли за потвърждение и промяна на имейл.
Търсене на учител, резервации, организация на уроците и разрешения обмен на материали: чл. 6, пар. 1, б. „б“ за данните на страна по договора. Когато родителят е страна и се обработват данни на детето, основанието не се прехвърля автоматично върху детето: за необходимата организация на обучението се разглежда легитимният интерес на участниците по б. „е“, с предимство на правата и интересите на детето и ограничаване на данните.
Показване на учителско предложение, цена и професионално представяне: необходимост за услугата по чл. 6, пар. 1, б. „б“. Публикуване на отзиви и изчисляване на рейтинг: легитимен интерес по б. „е“ за достоверна информация при избора на учител, при възможност за възражение и разглеждане на неподходящо съдържание.
Отчитане на уроци, плащания и корекции: чл. 6, пар. 1, б. „б“ за обслужване на отношенията и б. „е“ за проследимост и защита при спор. Буква „в“ се прилага само за конкретно задължително съхранение или предоставяне по приложим закон, например ако възникне счетоводно или данъчно задължение за администратора; не се приема, че всеки запис има такова основание.
Сигурност, предотвратяване на злоупотреби, проверки на достъпа и недопускане на повредени файлови операции: легитимен интерес по чл. 6, пар. 1, б. „е“ за защита на участниците и услугата, ограничен до необходимите данни. Изпълнение на законно искане на компетентен орган — б. „в“, когато има конкретно законово задължение.
Доказване на приетите условия и запознаването с политиката: легитимен интерес по чл. 6, пар. 1, б. „е“ за установяване на приложимите договорни условия и защита на права. Записът не е доказателство за общо GDPR съгласие или проверена родителска представителна власт.
Разглеждане на искания за права: чл. 6, пар. 1, б. „в“ във връзка с GDPR. Изтриване на акаунт и необходима техническа обработка — б. „б“; ограниченото запазване на история за законни претенции — б. „е“, а конкретно задължително съхранение — б. „в“. Когато за отделна незадължителна цел действително е нужно съгласие, то трябва да се поиска отделно и да може да се оттегли; тази регистрационна отметка не го замества.
4. Необходими данни и достъпност
Името, имейлът, удостоверяването и изборът на роля са необходими за регистрираната услуга. При ученически профил формата изисква клас и кой го управлява, а при родител/настойник — неговото име. Без задължителните данни или приемане на условията не може да бъде завършена нова регистрация. Използването на публичните страници не изисква приемане чрез регистрационната форма.
Допълнителното съдържание се предоставя според използваната функция. Не качвайте здравни данни, документи за самоличност или други специални категории данни, които не са необходими за урока. Изтриването на акаунт не превръща автоматично всеки останал текст или файл в анонимна информация.
5. Получатели, инфраструктура и имейли
Supabase предоставя authentication и PostgreSQL database за профилите, отношенията, metadata и историята. Vercel хоства Next.js приложението и server endpoints. Cloudflare R2 съхранява физическите потребителски файлове в private bucket; R2 не е analytics или tracking услуга в тази архитектура.
Качването на файлове е директно към R2 с временен адрес, а достъпът до private файлове се разрешава след проверка на отношенията между участниците. Учителските аватари се предоставят чрез контролиран публичен endpoint; останалите файлове не стават публични само защото се пазят в R2.
Служебните имейли за потвърждение, възстановяване на парола и промяна на имейл се задействат чрез Supabase Auth и се изпращат чрез SMTP доставчика Resend. Подателят е „Даскал“ — noreply@daskalite.bg. Resend обработва адреса на получателя, съдържанието на служебното съобщение и необходимите данни за доставянето му. Тези съобщения са за обслужване на акаунта, а не маркетингов абонамент. За контакт и искания за личните данни използвайте посочения в края адрес, а не noreply подателя.
Учителят и съответният ученик/представител получават данните и материалите, необходими за общия им урок или възложена задача. Самостоятелното използване на данни от учител извън платформата може да е под негова отговорност, а не автоматично обработване от името на „Даскал“. Външен инструмент за среща се избира чрез линка на учителя и има свои правила.
В историческия модел има платежни записи с обозначение BORICA. BORICA в момента не се използва за активни онлайн плащания, а текущият booking flow не извършва реално онлайн плащане. Не изпращаме данните от нова резервация към BORICA или Stripe за обработване на плащане. При законова необходимост данни могат да бъдат предоставени на компетентни органи и на упълномощени лица за защита на права, само в необходимия обем.
6. Международни трансфери
Облачните услуги могат да включват обработване или достъп извън Европейското икономическо пространство според избрания регион, подизпълнителите и договорните настройки. Не обещаваме, че всички данни се обработват само в България или ЕИП.
Когато има трансфер извън ЕИП, той следва да е основан на приложимо решение за адекватност или подходящи гаранции по глава V GDPR, например стандартни договорни клаузи и необходимите допълнителни мерки. Конкретните държави, получатели и гаранции се уточняват според действащите договори; можете да поискате информация и копие на приложимите гаранции чрез контакта по-долу. Самото използване на облачен доставчик не доказва наличието на конкретна гаранция.
7. Съхранение и изтриване на акаунт
Данните за достъп и активния профил се пазят за използването на акаунта. При успешно изтриване Auth идентичността се премахва, профилните лични полета се изчистват, аватарите се изтриват, а вътрешният profile UUID и датата на изтриване остават. Професионалните лични описания на учителя се изчистват; определени исторически числови стойности и връзки остават.
Резервации, платежни и учителски отчетни записи, отзиви, отношения между участници и исторически homework/submission/material/library metadata и файлове не се заличават автоматично с акаунта. Те могат да са нужни на другия участник за услугата или за установяване, упражняване и защита на правни претенции. Тези записи и свободните текстове могат да останат лични данни, включително за дете; запазването на UUID не е пълна анонимизация.
Необходимостта от запазване се определя по целта на конкретния запис, приключването на отношенията, висящи спорове, приложими давностни срокове и конкретни законови задължения. След отпадане на основанието данните следва да бъдат изтрити или необратимо анонимизирани. Няма основание за безсрочно пазене само защото автоматичното изтриване не обхваща дадена таблица. Към тази версия няма автоматичен срок за цялата историческа информация; отделните искания се разглеждат конкретно.
Историята на приеманията се пази отделно от Auth, без пароли, имейл, IP адрес и user-agent, за доказване на приложимата версия при необходимост. Тя не се редактира или изтрива от потребителя. Ограниченията на приложния достъп не отменят задължението на администратора да прегледа законосъобразността на съхранението и основателно искане за изтриване.
Временните R2 staging файлове са отделени от използваемите файлове. За тях е предвидено lifecycle правило за изтичане след 1 ден; физическото почистване е асинхронно. При техническа неопределеност файловата операция се преглежда, вместо да се обявява за приключила. Сроковете за инфраструктурни логове и резервни копия зависят от настройките и приложимите задължения; те не са равнозначни на незабавно изтриване на всички копия.
Предстоящи/текущи уроци, неуреден payment/refund статус или неясна файлова операция могат да отложат автоматичния account deletion процес. Това не отменя правото ви да поискате изтриване или ограничаване и да получите мотивиран отговор.
8. Вашите права и жалби
Можете да поискате информация и достъп до данните си, корекция на неточни данни, изтриване или ограничаване при приложимите условия. Имате право на преносимост за предоставени от вас данни, обработвани автоматизирано на основание договор или съгласие, когато изискванията са изпълнени.
Можете да възразите по причини, свързани с конкретната ви ситуация, срещу обработване на основание легитимен интерес. Ако отделна операция се основава на съгласие, можете да го оттеглите без това да засяга законосъобразността на предходното обработване. Приемането на условията не ви лишава от тези права.
Изпратете искането чрез контакта по-долу и опишете засегнатите данни. При основателно съмнение може да е нужна съразмерна проверка на самоличността, без рутинно да изискваме копие на документ. По правило отговорът е до един месец; при допустимо удължаване ще бъдете уведомени за причините. Ограничения, свързани с чужди права или приложим закон, се обясняват конкретно.
Имате право на жалба до Комисията за защита на личните данни (КЗЛД) в България — https://cpdp.bg — и на съдебна защита. Не е необходимо първо да приключи спор с платформата, за да се обърнете към компетентния надзорен орган.
9. Деца и профили, управлявани от родител/настойник
Данните за деца изискват специална защита. Класът и изборът на управляващо лице не са надеждна проверка на възраст или родителски права. Не приемаме автоматично, че самоуправляван ученически профил принадлежи на пълнолетно лице. Родителят/настойникът трябва да предоставя само необходимите данни и да обясни използването на платформата по разбираем за детето начин.
Когато услуга на информационното общество се предлага пряко на дете и конкретното обработване се основава на съгласие, приложимата в България граница е 14 години; под нея е необходимо съгласие или разрешение от носещия родителска отговорност и подходяща проверка. Това правило не е общо разрешение за самостоятелно сключване на договори и не превръща регистрационната отметка в проверено родителско съгласие.
При данни на дете, предоставени от родител или учител, се прилагат същите принципи за прозрачност, минимизация и ограничен достъп. Исканията за права могат да бъдат отправяни от детето или от надлежно упълномощен представител съобразно приложимото право; правата на детето не се пренебрегват само защото друг управлява профила.
11. Промени в политиката
Показваме версия и дата на актуализация. При съществени промени в целите, получателите или основанията следва да предоставим нова информация по подходящ начин, а когато е необходимо — да поискаме отделно съгласие. Историческият запис за запознаване не се презаписва с нова версия.