Политика за поверителност
Последна промяна: 9 октомври 2026 г.
Тази политика обяснява какви лични данни обработва Korpora, защо, колко време ги пазим и какви права имате по Общия регламент относно защитата на данните (ОРЗД).
Кой обработва данните
Карбон Стелт ЕДПК (Carbon Stealth VCC), еднолично дружество с променлив капитал, ЕИК 208725180, ул. „Самуил“ № 3, 2670 Бобов дол, обл. Кюстендил, България, тел. +359 877 414 874. За въпроси за личните данни пишете на privacy@carbonstealth.eu.
Какви данни, защо и до кога
| Данни | Защо | Основание | Срок |
|---|---|---|---|
| Имейл, име, език, хеш на паролата (Argon2id) | Акаунтът и входът в него | Договор, чл. 6, пар. 1, б. „б“ ОРЗД | Докато акаунтът съществува; регистрация, чийто имейл не е потвърден, се изтрива след 7 дни |
| Проектите: вид мебел, размери, материали, име на проекта | Самата услуга: модел, разкрой, чертежи, файлове за машината | Договор | Докато не ги изтриете или не изтриете акаунта |
| IP адрес, държава според IP адреса, браузър и операционна система, резултат от опита за вход — и при опит за вход с имейл, за който няма акаунт | Защита на акаунтите: откриване на чужд вход, заключване при отгатване на парола, предупреждение за нов вход | Легитимен интерес, чл. 6, пар. 1, б. „е“ ОРЗД | Историята на входовете — 180 дни. IP адресът при регистрацията — 180 дни след нея. Държавата при регистрацията, IP адресът и държавата при последния вход — докато акаунтът съществува. Активните сесии (IP адрес, държава, браузър) — до изхода или до изтичането на сесията, най-много 30 дни |
| Устройството: хеш на бисквитката на устройството и кратко описание (система и браузър) | Разпознаване на познато устройство и писмо при вход от ново | Легитимен интерес | Устройство, което не е използвано 180 дни, се изтрива; устройството от регистрацията — 180 дни след нея |
| Отпечатък на устройството (HWID): хеш на хардуерните данни от браузъра и описание (размер на екрана, ядра, памет, видеокарта, часова зона); за същата цел — и бисквитката на устройството | Откриване на повторни тестови периоди и на споделени акаунти — само ако сте дали съгласие с отделната отметка при регистрацията | Съгласие, чл. 6, пар. 1, б. „а“ ОРЗД — по желание; тестовият период не зависи от него | До оттегляне на съгласието — тогава се изтрива веднага; иначе отпечатъкът от регистрацията — 180 дни след нея, а този от входовете — с устройството и с историята на входовете, 180 дни |
| Двуфакторна защита: таен ключ (шифрован с AES-256-GCM) и резервни кодове (пазим само HMAC от тях) | Втори фактор при вход, ако сте го включили | Договор | До изключване на защитата или изтриване на акаунта |
| План, срок, поръчки (вариант, цена, дали купувате като потребител или фирма, искане за ранно начало, версия на общите условия, съобщение, отказ от договора), промени по плана и сумите им; данните за фактурата, които ни пишете в съобщението към поръчката (име или фирма, адрес, а за фирми — ЕИК и ДДС номер), и данните на платеца от банковия превод (име, сметка, сума) | Тестовият период, договорът за платения план, плащането, фактурата, активирането и правото на отказ | Договор; законово задължение за счетоводните документи, чл. 6, пар. 1, б. „в“ ОРЗД | Докато акаунтът съществува; фактурите и данните за плащането — колкото изисква счетоводното и данъчното законодателство. Ако изтриете акаунта, поръчките остават само с данните на договора (име, имейл, сума, дати, версия на приетите общи условия, искането за ранно начало и отказът от договора), а съобщението към тях и промените по плана се изтриват; поръчките се изтриват 5 години след изтриването на акаунта |
| Блокиране на акаунт: причина, кой и кога е блокирал акаунта или е вдигнал блокирането, бележка при вдигането | Спазване на общите условия (раздел „Блокиране“) и защита при спор | Легитимен интерес | Докато акаунтът съществува |
| Одитен дневник: кой, какво и кога е направил с акаунт, поръчка или проект, и от кой IP адрес | Отчетност и защита при спор | Легитимен интерес | Записите се пазят 5 години, след което се изтриват; IP адресите в тях — 180 дни, след което остава само ключов хеш (HMAC) на адреса, нужен за проверката на целостта на дневника, докато се изтрие и записът. За клиенти дневникът пази номера на акаунта, не имейла. Когато екипът изтрие акаунт, остава SHA-256 хеш на имейла — доказва кой акаунт е изтрит, без да пази самия адрес |
| Резервни копия на базата: всички данни по-горе | Възстановяване след авария или неуспешно обновяване на програмата | Легитимен интерес; сигурност на обработването, чл. 32 ОРЗД | Дневните копия са шифровани и от тях пазим най-новото за всеки от последните 14 дни и за всяка от последните 8 седмици, а по-старите изтриваме — изтрити данни изчезват от тях най-късно след 8 седмици. Копието преди всяко обновяване на програмата пазим, докато не се съберат 5 по-нови, но не повече от 30 дни. Ако се наложи възстановяване от копие, изтритите междувременно акаунти изтриваме отново, а шифрованата снимка на базата отпреди възстановяването пазим също не повече от 8 седмици |
Имейлът, името и паролата са нужни, за да има акаунт: без тях не можем да го създадем. IP адресът, браузърът и устройството се записват при всеки вход, защото без тях не можем да пазим акаунта от чужд достъп. Отпечатъкът на устройството не е задължителен: без съгласие не го изчисляваме. За поръчка на план са нужни и изборите в нея — без тях не можем да сключим договора.
Какво е „HWID“ при нас
Браузърът не дава на сайтовете хардуерния номер на компютъра. Затова под „HWID“ разбираме отпечатък на устройството: хеш от данни, които браузърът показва на всеки сайт — платформа, брой ядра, памет, дълбочина на цвета, сензорен екран и видеокарта (производител и модел). Освен хеша пазим кратко описание: система, браузър, размер на екрана, ядра, памет, видеокарта и часова зона (например „Windows, Chrome 128, 1920 × 1080, 8 CPU“).
Отпечатъкът се изчислява само ако сте дали съгласие с отделната отметка при регистрацията — тя не е отметната предварително и не е условие за акаунта или за тестовия период. Тогава се изчислява при регистрацията и при вход от браузър, от който са влизали само акаунти със съгласие, и се пази при вход с вярна парола в такъв акаунт (и когато след нея се иска код за двуфакторна защита); при грешна парола не се пази. Без съгласие отпечатък не се изчислява и не се пази, а бисквитката на устройството служи само за сигурността на входа — свързаните акаунти не ползват нито нея, нито отпечатък. Съгласието се оттегля по всяко време от „Сигурност“ в акаунта с едно натискане; тогава изтриваме пазения отпечатък, а описанията на устройствата остават само система и браузър. Оттеглянето не засяга законосъобразността на обработването дотогава. Ако JavaScript е изключен, регистрацията и входът работят и без него.
Бисквитки
Използваме само бисквитки, без които услугата не работи или не е защитена. Единственото изключение е допълнителната цел на бисквитката на устройството — откриване на повторни тестови периоди и на споделени акаунти: за нея питаме за съгласие с отделна отметка при регистрацията (виж раздела за HWID по-горе). Нямаме рекламни, аналитични или чужди бисквитки, затова не показваме банер за съгласие.
| Име | За какво | Срок |
|---|---|---|
__Host-rd_sid | Сесията след вход | До изход; най-много 30 дни (7 дни без активност), за екипа — 24 часа |
__Host-rd_dev | Разпознаване на устройството за сигурността на входа; само със съгласие — и откриване на повторни тестови периоди и на споделени акаунти | 180 дни от последния опит за вход, регистрацията или потвърждаването на имейла |
rd_pre | Защита на формите за вход и регистрация срещу подправени заявки (CSRF) | 2 часа |
rd_lang | Избраният език | 1 година |
rd_flash | Еднократно съобщение след действие (например „Запазено“) | 1 минута |
Кой още вижда данните
- Hetzner Online GmbH, Германия — сървърът, на който работи Korpora, в център за данни в Европейския съюз. На него са и резервните копия на базата.
- Sendinblue SAS (Brevo), Франция — изпращането на писмата, описани в „Писма“ по-долу.
- Have I Been Pwned — когато избирате нова парола, изпращаме само първите 5 знака от SHA-1 хеша ѝ, за да проверим дали паролата е изтичала при пробив. Паролата и пълният хеш не напускат сървъра.
- Банката, през която минава преводът — получава данните за плащането (име и сметка на платеца, сума) и ги обработва като самостоятелен администратор по своите законови задължения.
Държавата по IP адреса се определя от база данни на DB-IP (IP Geolocation by DB-IP, лиценз CC BY 4.0), която е на нашия сървър — IP адресът не се изпраща никъде. Не продаваме и не предоставяме данни за реклама. Ние не прехвърляме лични данни извън Европейския съюз; ако подизпълнител на Brevo обработва данни извън ЕС, трансферът е защитен със стандартни договорни клаузи (чл. 46 ОРЗД).
Писма
Изпращаме само писма, свързани с акаунта и договора: потвърждение на имейла и на смяната му (и известие до стария адрес), нулиране и смяна на паролата, вход от ново устройство, грешни кодове при вход, грешни пароли или кодове при потвърждение на действие в акаунта, включване и изключване на двуфакторната защита, напомняне 3 дни преди края на тестовия период и 7 дни преди края на Premium, потвърждение на поръчка и на отказ от договора, промени по плана, известие при опит за регистрация с вече зает имейл, писмо за задаване на парола, когато екипът създаде акаунт за вас, и потвърждение за изтрит акаунт. Не изпращаме рекламни писма.
Автоматизирани решения
Не вземаме решения с правни последици само автоматично. След 5 грешни пароли или кодове входът се заключва за 15 минути — това е мярка за сигурност и отминава сама. Ако грешките са при потвърждение на действие в отворена сесия, освен това се прекратяват всички сесии и ви изпращаме писмо. Блокиране на акаунт прави само човек от екипа и причината се показва при опит за вход.
Сигурност
Връзката е само по HTTPS. Паролите се пазят като хеш Argon2id, тайните ключове за двуфакторната защита са шифровани, сесиите са на сървъра и се прекратяват веднага при смяна на паролата или блокиране. Администраторският панел се отваря само с двуфакторна защита. Дневниците на приложението не съдържат имейли, IP адреси и пароли, а уеб сървърът не води дневник на заявките — IP адрес записва само в дневника си за грешки, когато заявка не може да бъде обслужена.
Вашите права
Имате право на достъп, коригиране, изтриване, ограничаване на обработването и преносимост. Голяма част става директно от акаунта:
- „Профил“ — поправка на името и имейла;
- „Данни“ — изтегляне на всички ваши данни като JSON файл (профил, проекти, план и поръчки, устройства, входове, сесии и записите в одитния дневник за вас) и изтриване на акаунта заедно с проектите (поръчките остават само с данните на договора — сроковете са по-горе);
- „Сигурност“ — активните сесии, устройствата, от които е влизано, и оттеглянето на съгласието за отпечатъка.
Право на възражение. По всяко време можете да възразите срещу обработването на данните ви на основание легитимен интерес — историята на входовете, устройството, блокирането и одитния дневник — по причини, свързани с конкретната ви ситуация. Тогава спираме, освен ако имаме убедителни законни основания, които надделяват над интересите ви, или данните са нужни за защита на правни претенции.
За всичко останало пишете на privacy@carbonstealth.eu — отговаряме до един месец. Имате право да подадете жалба до Комисията за защита на личните данни (София 1592, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg) или до надзорния орган в държавата от ЕС, в която живеете (в Италия — Garante per la protezione dei dati personali).
Непълнолетни
Korpora е професионален инструмент и не е предназначен за лица под 16 години.
Промени
Ако променим политиката съществено, ще ви уведомим по имейл, преди промяната да влезе в сила. Датата на последната промяна е най-горе на страницата.