Политика за поверителност

Тази политика за поверителност се отнася за iOS приложението SmoGo, уебсайта smogo.app и свързания интерфейс api.smogo.app (заедно „SmoGo“). Тя обяснява кои лични данни обработваме, за каква цел, на какво правно основание, за колко време и какви права имате.

1. Администратор

ТАНО ТРЕЙДИНГ ООД (TANO TRADING LTD OOD)
ул. „Хаджи Димитър“ 3, 4701 Смолян, България
ЕИК: 204784209
Представлявано от управителя Веска Николова Бояджиева
Имейл: [email protected] · Телефон: +359 88 9971608

За всички въпроси относно защитата на данните и за упражняване на правата си пишете ни на [email protected].

2. Принципи

SmoGo можете да използвате без профил. Профил (SmoGo ID) е нужен само за изпращане на места, оценки, съобщения, Premium или бизнес частта.
Не продаваме лични данни.
Статистиката и рекламата се използват само според избора ви в диалога за съгласие. Можете да промените избора си по всяко време: на уебсайта – чрез „Настройки за поверителност“ в долната част на всяка страница, в приложението – от Профил → Настройки.
Сървърите си управляваме сами в Смолян (България, ЕС). Не използваме външни доставчици на хостинг. За защита на мрежата и проверка на заявките използваме Cloudflare (вижте точки 3 и 14).

3. Посещение на уебсайта и приложението (сървърни журнали)

При всяка заявка сървърите ни обработват технически необходими данни: IP адрес, дата и час, заявен адрес, пренесен обем данни, версия на браузъра или приложението, операционна система и тип устройство. Това е необходимо, за да предоставим SmoGo, за да осигурим сигурността и за откриване на грешки (чл. 6, пар. 1, буква е) от ОРЗД). Сървърните журнали изтриваме най-късно след 7 дни.

Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, САЩ) пренасочва връзките през своята мрежа. Cloudflare обработва горепосочените данни за връзката от наше име (чл. 28 от ОРЗД). Cloudflare е сертифициран по Рамката за защита на данните ЕС–САЩ; допълнително се прилагат стандартните договорни клаузи на ЕС.

Доклади за грешки и данни за производителност: Ако приложението се срине, увисне или заявка към нашия интерфейс се провали, изпращаме доклад за грешка към нашата собствена услуга за грешки (GlitchTip на нашите сървъри в Смолян). Докладът съдържа модела на устройството, операционната система, версията на приложението, вида на грешката, техническото съобщение и мястото в програмата (файл, ред, функция). На уебсайта се добавя и пътят на адреса без параметрите за търсене. Не съдържа имена, имейл адреси, данни за достъп, данни за местоположение или въведеното от теб. От докладите премахваме имейл адреси и дълги числа; услугата за грешки не съхранява IP адреси. Правното основание е нашият законен интерес да откриваме грешки и да поддържаме сигурна работа (чл. 6, пар. 1, буква е) от ОРЗД). Докладите изтриваме след 90 дни.

Времената за отговор на нашия интерфейс броим по час и маршрут, без връзка с потребители или устройства. Освен това около всяка двадесета заявка се изпраща като доклад за производителност към услугата за грешки, също без връзка с потребители или устройства.

4. Защита срещу злоупотреба и заявки за отстраняване на неизправности

За да гарантираме, че нашия интерфейс ползват само истинското приложение SmoGo и истинският уебсайт, проверяваме заявките (чл. 6, пар. 1, буква е) от ОРЗД):

Приложение: Apple App Attest потвърждава, че заявката идва от непроменено приложение SmoGo на реално устройство. Получаваме само ключ за проверка, свързан с устройството, без данни за вас.
Уебсайт: Cloudflare Turnstile проверява на заден план дали страницата се използва от човек. За целта към Cloudflare се предават данни за връзката и браузъра. Turnstile може да записва технически необходими данни на вашето устройство.
Заявки в минута: За кратко броим заявките по устройство или профил и по IP адрес. IP адресът се съхранява само като необратима контролна стойност; броячите се изтриват след няколко минути.
Идентификатор на устройството: При всяка заявка приложението изпраща идентификатор на устройството (identifierForVendor, не рекламен идентификатор). Той служи за дневните квоти и за откриване на грешки и не се използва за реклама.
Заявки за отстраняване на неизправности (debug): Такава заявка съдържа сериен номер на устройството и текущото местоположение, които приложението изпраща за проверка от поддръжката или разработката. Статуса на заявката приложението извлича само с таен токен за заявки. Администратор вижда заявката и решава в уеб администрацията. Заявките изтриваме след 90 дни (чл. 6, пар. 1, буква е) от ОРЗД).

5. SmoGo ID (профил)

Когато създадете профил, обработваме данните, които въвеждате: имейл адрес, потребителско име, парола (съхранявана само като защитен хеш), по избор показвано име и телефонен номер. При бизнес профили – още име на фирмата, номер по търговския регистър и ДДС номер, документи за доказване (код за потвърждение на регистрирания адрес, документ за доказване) и – ако заявите място като собственик – видеозапис за проверка. Правното основание е изпълнението на договора за ползване (чл. 6, пар. 1, буква б) от ОРЗД).

Вход с Apple или Google: Ако използвате „Вход с Apple“ (Apple Distribution International Ltd., Ирландия) или „Вход с Google“ (Google Ireland Limited, Ирландия), получаваме от тях идентификатор и – ако го разрешите – имейл адреса и името ви. При Apple това може да е частен адрес за препращане. Скриптовете за вход зареждаме едва когато изберете вход или свързване на профил.

Вход и сесия: След вход приложението или уебсайтът съхраняват токен за сесията (подробности в точка 13). Сесиите изтичат след 30 дни. Профилите на администраторите получават след вход с втори фактор (TOTP) сесия от само 12 часа.

Имейлите (кодове за потвърждение, нулиране на парола, съобщения за профила) изпращаме през собствения си пощенски сървър (mail.smogo.app).

Изтриване: Можете да изтриете профила си по всяко време в приложението (Профил) или с имейл до нас. При изтриване премахваме от сървъра си данните за вход, имейл адреса, името, телефонния номер, съобщенията, оценките, списъка с посещения, push устройствата, кредитния баланс, абонамента за бюлетин, данните за бета достъп, както и видеозаписите за проверка и файловете с доказателства. Вашите приноси (места, снимки, маршрути, сигнали) остават, но вече не са свързани с профила ви (вижте точка 18). Счетоводните документи пазим 10 години, защото законът го изисква (чл. 6, пар. 1, буква в) от ОРЗД).

6. Места, снимки, оценки, съобщения и сигнали

Места и снимки: Това, което изпращате (име, адрес, описание, категория, координати, до пет снимки, име и телефон за контакт), съхраняваме с профила ви, за да го проверим и публикуваме (чл. 6, пар. 1, буква б) от ОРЗД). Публикуваните места и снимки са видими за всички. Името за контакт, телефонът и имейл адресът не се публикуват.
Оценки: Звездите и текстът са публични. Показва се първата дума от показваното ви име. Ако не е зададено име или то съдържа имейл адрес, името не се показва.
Списък с посещения („Бях тук“): Само вие и ние виждаме кои места сте отбелязали. Списъкът служи за личния ви преглед (чл. 6, пар. 1, буква б) от ОРЗД).
Съобщения: Текст, подател и получател на съобщения между потребители или към бизнеси. Събеседникът ви вижда показваното ви име, никога имейл адреса ви. Съобщенията използваме само за доставянето им.
Сигнали: Ако подадете сигнал за място, оценка или друго съдържание, съхраняваме причината, съобщението ви и по желание имейл адреса за въпроси (чл. 6, пар. 1, буква е) от ОРЗД, защита срещу злоупотреба).

7. Търсене с Google (Google Places)

Ако SmoGo не намери нищо подходящо в собствените си данни, показваме допълнително резултати от Google Maps. Сървърът ни изпраща тези заявки към Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ирландия). Устройството ви няма пряк контакт с Google. Не предаваме нито IP адреса, нито профила ви, а само търсения термин или показания картен изрез. Google може да прехвърля данни в САЩ (Рамка за защита на данните ЕС–САЩ).

Търсенията броим за всеки ден и ги съхраняваме заедно с броя резултати. Тази история не е свързана с профила ви. Служи за управление на дневната квота на Google (чл. 6, пар. 1, буква е) от ОРЗД).

Дневна квота: Броят заявки към Google за ден е ограничен, защото всяка заявка ни струва пари. Затова броим по устройство или браузър и допълнително по мрежа. Броенето работи без бисквитки.

При съгласие за „По-точно броене на търсенията в Google“ (чл. 6, пар. 1, буква а) от ОРЗД): уебсайтът създава контролна стойност (хеш) от технически характеристики на браузъра ви (напр. размер на екрана, графична карта, часова зона). Приложението използва своя идентификатор на устройството. Съхранява се само тази контролна стойност с брояча за деня; след два дни се изтрива.

Без това съгласие броим по хеширана стойност от IP адреса ви и данните за браузъра, които така или иначе изпраща браузърът (чл. 6, пар. 1, буква е) от ОРЗД). Тогава лимитът е по-строг, защото няколко души в една мрежа споделят квотата.

8. Карти, маршрути, време и местоположение

Местоположение в приложението: Само ако го разрешите и докато използвате приложението. Приложението използва местоположението на устройството за разстояния, най-близката спирка и маршрути.
Какво отива към нашия сървър: (а) За планиране на маршрута приложението изпраща начало и крайна точка като координати. Използваме ги, за да изчислим връзката по разписанието, и не съхраняваме координатите. (б) За определяне на държавата (правила за наличност на Premium) Apple превръща местоположението веднъж в държава; получаваме само кода на държавата, никога координатите ви. (в) Предложенията за места и сигналите съдържат координатите, които избирате, или които възникват при сигнала ви. (г) Записът на ски писта съхранява трасето (координати и надморска височина) само ако изрично го стартирате и запазите. Тази функция в момента не е публична.
Apple Карти: Картите и изчисляването на маршрути в приложението работят през Apple Карти (MapKit). Apple обработва началото и крайната точка според собствените си правила за поверителност. Apple е самостоятелен администратор за тази обработка.
Карта на уебсайта: Картинките на картата от OpenStreetMap браузърът ви зарежда едва след съгласие за „Карта“ (чл. 6, пар. 1, буква а) от ОРЗД). Тогава браузърът предава IP адреса ви на OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Великобритания). Без съгласие виждате заместител и уебсайтът не се свързва с OpenStreetMap.
Време: Сървърът ни взима метеорологични данни от Норвежкия метеорологичен институт (MET Norway) за фиксирани координати в Смолян. Не се предават данни за вас.
Изображения от трети страни: Някои изображения идват от Wikimedia Commons (Wikimedia Foundation, САЩ). Логата на платежните марки на страницата с цените браузърът ви зарежда директно оттам; при това се предава IP адресът ви (чл. 6, пар. 1, буква е) от ОРЗД).

9. Статистика (собствен хостинг, само със съгласие)

С ваше съгласие (чл. 6, пар. 1, буква а) от ОРЗД) броим на собствения си сървър кои страници или части се отварят – без Google Analytics и без други доставчици. Предават се: отворената страница или част, език, тип устройство и при уебсайта домейнът на препращащата страница (напр. google.com). От връзката извеждаме държавата.

Не се поставят бисквитки и не се съхраняват IP адреси. За да броим посетителите за един ден, от IP адреса и идентификатора на браузъра (или на устройството в приложението) с таен дневен ключ създаваме контролна стойност. Дневният ключ се изхвърля в полунощ (UTC); след това никой запис не може да се свърже с лице или устройство.

Ако браузърът ви изпраща „Do Not Track“ или „Global Privacy Control“, не броим – дори при съгласие. Записите се изтриват след 13 месеца. Съгласието си можете да оттеглите по всяко време с действие за в бъдеще.

Статистика на уебсайта с Matomo: Освен собственото ни броене, уебсайтът използва Matomo на наш собствен сървър (analytics.tanotrading.com). Matomo се зарежда само ако си дал съгласие за „Статистика“ (чл. 6, пар. 1, буква а) от ОРЗД). Matomo не задава бисквитки, не съхранява пълни IP адреси и предоставя само обобщени стойности (посещения, страници, държава, браузър). Данните остават на нашите сървъри. Записите изтриваме след 13 месеца.

Приложение: Приложението измерва данни за производителност (времена на стартиране и зареждане, забавяния) само със съгласието ти за „Статистика“. Предават се модел на устройството, операционна система, версия на приложението и времеви стойности, но не и данни за профила или потребителя.

Статистика на приложението с Matomo: С твоето съгласие „Статистика“ приложението изпраща към същия Matomo сървър кой раздел на приложението е отворен, езика, версията на приложението и дневен идентификатор, който се сменя всеки ден. Няма рекламен идентификатор и бисквитки. IP адресът е нужен само за връзката и не се съхранява пълен. Записите изтриваме след 13 месеца.

10. Реклама

Потребителите с Premium не виждат реклама; тогава и рекламните услуги не се зареждат.

Уебсайт – Google AdSense: На уебсайта показваме реклами от Google AdSense (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ирландия). Скриптът на AdSense се зарежда едва след като направите избор в диалога за съгласие и никога на страниците с правни текстове. При съгласие за „персонализирана реклама“ (чл. 6, пар. 1, буква а) от ОРЗД) Google може да използва бисквитки и подобни технологии, за да съобразява рекламите с интересите ви и да измерва резултатите. Без съгласие Google показва само неперсонализирани реклами според съдържанието на страницата и приблизителното местоположение (от IP адреса). И тогава Google може да използва бисквитки или подобни технологии за ограничаване на честотата, за отчитане и за предотвратяване на измами. Повече: policies.google.com/technologies/ads.

Приложение – Google AdMob: В приложението показваме реклами от Google AdMob (Google Ireland Limited). С ваше съгласие, дадено чрез формуляра на Google (в ЕС и Великобритания), Google и партньорите му могат да използват идентификатори на устройството и рекламни идентификатори, приблизително местоположение (от IP адреса) и данни за ползването, за да персонализират и измерват рекламите. Само тогава iOS допълнително пита дали SmoGo може да ви проследява в приложения на други компании (App Tracking Transparency). Без съгласие Google показва само неперсонализирани реклами. Google може да прехвърля данни в САЩ (Рамка за защита на данните ЕС–САЩ). Повече: policies.google.com/technologies/partner-sites.

11. Покупки и плащания

В приложението Premium, пропуските и кредитите се купуват през App Store на Apple. Плащането се обработва от Apple. Получаваме само подписаното потвърждение за покупката (продукт, срок, идентификатор на транзакцията), за да присвоим Premium или кредитите към профила ви. Ако в профила ви има потвърден имейл адрес, Premium от App Store важи и на уебсайта.
На уебсайта плащането се обработва от Payment Center на TANO TRADING LTD OOD. Payment Center предава плащането на доставчици на платежни услуги (напр. Stripe). Получаваме имейл адрес, статус на покупката и срок, за да отключим Premium. Данните на картата се обработват само от доставчика на платежни услуги.
Правното основание е изпълнението на договора (чл. 6, пар. 1, буква б) от ОРЗД). Фактурите и платежните документи пазим 10 години (чл. 6, пар. 1, буква в) от ОРЗД).

12. Известия и бюлетин

Push известията приложението изпраща само ако ги разрешите. За целта съхраняваме токена на устройството от Apple Push Notification service заедно с езика на устройството. Разрешението можете да оттеглите в настройките на iOS.

Бюлетин изпращаме само със съгласие (двойно потвърждение, чл. 6, пар. 1, буква а) от ОРЗД). Можете да се отпишете по всяко време с връзката във всеки имейл. При изтриване на профила адресът ви се премахва от бюлетина.

Списък за изчакване и заявки за бета: Докато достъпът до уебсайта е заключен, можете да се запишете в списък за изчакване с имейл адрес (двойно потвърждение). Заявките за бета съдържат име, имейл адрес и бележка. Използваме тези данни само за да ви уведомим или за избор на тестови потребители (чл. 6, пар. 1, буква б) или а) от ОРЗД).

13. Съхранение в браузъра и на устройството

Уебсайт: Уебсайтът съхранява вашия вход в бисквитката „smogo_token“ (една година, само за smogo.app, предавана само криптирано) и в локалното хранилище на браузъра. Там се съхраняват още профилът ви (показвано име, роля) и вашият избор за поверителност (ключ „smogo.consent“, с час). През времето на сесията браузърът съхранява и краткотраен токен за достъп до нашия интерфейс. Не поставяме бисквитки за проследяване.

Приложение: Входът се съхранява в Keychain на устройството. Настройките, вашият избор за поверителност с час, езикът, push токенът и конфигурацията на рекламите се съхраняват в настройките на приложението. Съдържание като разписания и снимки приложението съхранява в кеш директорията, за да работи офлайн. Системата може да изчисти част от него при недостиг на памет.

Тези съхранения са необходими за функцията, която искате, и затова не изискват съгласие (§ 25, ал. 2, т. 2 от TDDDG).

Ако докладите за грешки не могат да бъдат изпратени в момента (например без интернет връзка), приложението ги съхранява временно в кеша на устройството и ги изпраща по-късно. Тези доклади не съдържат информация, която те идентифицира лично.

14. Получатели и предаване в трети държави

Сървърите си управляваме сами (TANO TRADING LTD OOD, Смолян). Не използваме доставчици на хостинг. Тези услуги получават данни, доколкото това е необходимо за съответната цел:

Cloudflare, Inc. (САЩ): мрежа, защита и Turnstile (вижте точки 3 и 4).
Google Ireland Limited (Ирландия, група с американско дружество майка): вход с Google, AdSense, AdMob, Google Places (вижте точки 5, 7, 10).
Apple Distribution International Ltd. (Ирландия, група с американско дружество майка): вход с Apple, App Store и покупки, push известия, App Attest, Apple Карти и определяне на държавата (вижте точки 4, 5, 8, 11, 12).
OpenStreetMap Foundation (Великобритания): картинки на карти, само със съгласие (вижте точка 8).
Wikimedia Foundation (САЩ): изображения и логота (вижте точка 8).
Доставчици на платежни услуги (напр. Stripe, САЩ): плащания с карта през Payment Center (вижте точка 11).
MET Norway (Норвегия): метеорологични данни, без информация за вас.

Предаванията в САЩ се основават на Рамката за защита на данните ЕС–САЩ (чл. 45 от ОРЗД) и допълнително на стандартните договорни клаузи на ЕС (чл. 46 от ОРЗД). Органите получават данни само когато сме законово задължени да ги предадем.

Докладите за грешки и статистиката на уебсайта обработваме на нашите собствени сървъри в Смолян. Те не се предават на трети лица.

15. Вашите права

Имате право на достъп (чл. 15), на коригиране (чл. 16), на изтриване (чл. 17), на ограничаване на обработката (чл. 18), на преносимост на данните (чл. 20) и на възражение срещу обработка, основана на законен интерес (чл. 21 от ОРЗД). Съгласие можете да оттеглите по всяко време с действие за в бъдеще (чл. 7, пар. 3 от ОРЗД). Просто пишете на [email protected].

Можете да подадете жалба и до надзорен орган по защита на данните, особено в държавата, в която живеете. Компетентният орган за нас е Комисията за защита на личните данни, бул. „Проф. Цветан Лазаров“ 2, 1592 София, www.cpdp.bg.

16. Деца

SmoGo не е насочено към деца под 14 години. Деца под 14 години могат да създават профил само със съгласието на родителите си.

17. Задължение за предоставяне на данни и автоматизирани решения

Не сте длъжни да ни предоставяте данни. Без техническите данни за връзката обаче SmoGo не може да се използва, а без данни за профила – функциите на профила. Не извършваме автоматизирано вземане на решения, включително профилиране по смисъла на чл. 22 от ОРЗД.

18. Срокове на съхранение

Профил (данни за вход, имейл адрес, име, телефон): до изтриването на профила.
Сесии: 30 дни, за администратори 12 часа. Изтеклите сесии премахваме.
Съобщения, оценки, списък с посещения, push устройства, бюлетин: до изтриването им от вас или до изтриването на профила.
Видеозапис за проверка и доказателства (бизнес): до изтриването на профила. След това файловете се премахват от сървъра.
Приноси без връзка с профил (места, снимки, маршрути, сигнали): без срок, като част от SmoGo, без връзка с вас.
Покупки без връзка с профил (идентификатор на транзакцията, сума): без срок като доказателство; фактури и платежни документи – 10 години.
Броячи на заявки (IP като контролна стойност): няколко минути.
Сървърни журнали: 7 дни.
Статистика: 13 месеца, без IP адрес.
Заявки за отстраняване на неизправности (сериен номер, местоположение): 90 дни.
Търсения в Google (без връзка с профил): без срок като дневни броячи.
Списък за изчакване, бета заявки: до края на списъка за изчакване или на бета фазата.
Сигнали: до обработката на сигнала.
Доклади за грешки (данни за устройството и грешката): 90 дни.
Данни за производителност и времена за отговор (без връзка с лице): 90 дни.
Статистика (Matomo, уебсайт и приложение): 13 месеца.

19. Промени

Актуализираме тази политика за поверителност, когато се промени SmoGo или правната ситуация. Важи версията, публикувана тук.

Актуализация: 15 октомври 2026

Последна актуализация: 15.10.2026