Политика за поверителност

01Кои сме ние и как да се свържеш с нас

Тази политика описва как обработваме лични данни на thugqr.com, на api.thugqr.com (услугата зад акаунтите) и на go.thugqr.com (адресът зад всеки динамичен QR код), във всичките им езикови версии. Общо ги наричаме „ThugQR“, „услугата“, „ние“.

Администратор по смисъла на Общия регламент относно защитата на данните (ОРЗД, Регламент (ЕС) 2016/679) и гръцкия закон 4624/2019 е частното лице, което поддържа ThugQR, личен и нетърговски проект, а не фирма. Повече в раздела „Кои сме ние“ на Условията за ползване.

За всякакви въпроси или искания относно данните ти, пиши ни на hello@thugqr.com. Не сме задължени да определим длъжностно лице по защита на данните (ДЛЗД) и не сме определили такова; кореспонденцията относно поверителността се чете и обработва пряко от оператора на услугата.

02За кого се отнася тази политика

Тази политика засяга три различни групи хора и за всяка обработваме нещо различно:

• Посетители, които правят статични QR кодове без акаунт. За теб не пазим почти нищо, а статистика за посещенията и измерване на рекламите само ако ги разрешиш (раздели 3, 4, 11, 12 и 13).
• Притежатели на акаунт, които използват динамични QR кодове. За теб пазим данните на акаунта и QR кодовете ти (раздели 5 до 7).
• Хора, които сканират чужд динамичен QR код. За теб обработваме техническите данни на сканирането за няколко милисекунди и пазим само анонимна статистика а при игра с награди само това, което сам въвеждаш във формуляра за печеливши (раздели 8 до 10).

Ако някой раздел не се отнася за теб, можеш просто да го пропуснеш.

03Генераторът: всичко става на твоето устройство

Генераторът на статични QR кодове работи изцяло в браузъра ти. Съдържанието, което въвеждаш (линкове, текст, данни за Wi‑Fi, визитки vCard, съдържание на имейл или SMS, телефонни номера), логата, които качваш, цветовете и формите, които избираш, и файловете PNG, JPEG, WEBP или SVG, които изтегляш, се създават и обработват локално, от код, който работи на устройството ти.

Нищо от това не се изпраща към нашите сървъри или към трета страна. Не можем да видим, съхраним, възстановим или изключим статичните кодове, които създаваш. Статичният код съдържа собственото си съдържание, затова продължава да работи дори ако ThugQR престане да съществува.

Единствената комуникация между браузъра ти и нашите сървъри, докато използваш генератора, е зареждането на самата страница и файловете ѝ (код, шрифтове, изображения), което е описано в раздел 13.

Изключението: Запази. Ако си влязъл в акаунта си и натиснеш Запази, изпращаме и пазим в акаунта ти името, което задаваш, съдържанието на кода, всички настройки на дизайна (включително каченото лого, ако има такова) и малко изображение за преглед, за да можеш да го отвориш, промениш и изтеглиш отново. Виждаш ги само ти, в „Моите QR кодове“, и остават, докато не ги изтриеш или не изтриеш акаунта си. Правно основание: изпълнение на договора (чл. 6, пар. 1, буква б) от ОРЗД).

04Какво се пази на устройството ти

За да намериш работата си, когато се върнеш, сайтът запазва текущия ти дизайн в локалното хранилище на браузъра: въведеното съдържание, избраните настройки на дизайна и, ако се побира, каченото лого. Запазва също езика ти, темата (светла или тъмна) и последно отворения раздел. Ако си влязъл в акаунта си, запазва и основните му данни (име, имейл, план), за да се показва бутонът за акаунта веднага, без нова заявка към сървъра.

Всичко това остава на устройството ти и не се изпраща до нас. Можеш да го изтриеш с бутона Нулирай в генератора, като излезеш от акаунта си (за данните на акаунта) или като изчистиш данните на сайта от настройките на браузъра. Пълният списък, заедно с бисквитките, използвани от акаунтите, от заключените QR кодове и, само ако ги приемеш, от Google Analytics и TikTok Pixel, е в Политиката за бисквитките.

05Твоят акаунт

Акаунт е нужен само за динамични QR кодове. Когато се регистрираш, обработваме:

• Име и фамилия, както ги въведеш, за да се обръщаме към теб в услугата и в имейлите.
• Имейл адрес, като идентификатор за вход и за изпращане на кодове за потвърждение. Проверяваме го с 6-цифрен код, преди акаунтът да бъде създаден, така че никой не може да се регистрира с адрес, който не притежава.
• Парола, съхранявана само като Argon2id хеш. Не знаем паролата ти и не можем да я възстановим, а само да я заменим чрез процедурата за нулиране.
• Времеви отпечатъци: кога е създаден акаунтът, кога е потвърден имейлът, кога си приел Условията за ползване (за да можем да го докажем, чл. 7, пар. 1 от ОРЗД) и кога си влязъл за последно.
• План (безплатен или Pro) и статус на акаунта.

При всеки вход от устройство или браузър създаваме сесия, в която записваме идентификатора на браузъра (user agent), IP адреса, от който е извършен входът, часа на входа и часа на последното използване. Това ти позволява да видиш активните си устройства и да излезеш от всички останали, а на нас позволява да откриваме злоупотреби (например откраднат токен за вход). Токените на сесиите се съхраняват само като SHA‑256 хешове.

За защита от отгатване на пароли броим неуспешните опити за вход по IP адрес и по акаунт. Ключовете на тези броячи се съхраняват като хешове, а не като IP адреси или имейли в явен вид, и се изтриват веднага щом изтече времевият прозорец (най-много един час).

Правно основание: изпълнение на договора ни с теб, т.е. предоставяне на акаунта, който си поискал (чл. 6, пар. 1, буква б) от ОРЗД). За сесиите, броячите за сигурност и доказателството за приемане на условията: нашият легитимен интерес да поддържаме сигурна услуга и да можем да докажем спазването на изискванията (чл. 6, пар. 1, буква е) от ОРЗД).

06Имейлите, които ти изпращаме

Изпращаме само функционални имейли, от noreply@thugqr.com, и само когато ти ги задействаш с твое действие:

• 6-цифрения код за потвърждение при регистрация
• кода за нулиране, когато поискаш нова парола
• два кода, когато сменяш имейла си: един на стария и един на новия адрес, така че да са нужни и двата
• кода за потвърждение, когато поискаш да изтриеш акаунта си

Не изпращаме бюлетини, оферти или маркетингови съобщения и няма да го правим, без първо да поискаме изричното ти съгласие, което ще можеш да оттеглиш по всяко време. Ако условията или тази политика се променят съществено, или ако трябва да те уведомим по въпрос, свързан със сигурността на акаунта ти, може да ти изпратим информационен имейл; това е част от услугата, а не търговска комуникация.

Кодовете, които изпращаме, се съхраняват в базата ни данни само като HMAC‑SHA256, валидни са 10 минути и се анулират след 5 грешни опита. Имейлите излизат през пощенските сървъри на нашия хостинг доставчик (раздел 14). Имейл доставчикът на получателя (например Google, ако използваш Gmail) обработва съобщението според собствената си политика; това е извън нашия контрол.

07Твоите динамични QR кодове

Динамичният QR код не съдържа крайната дестинация, а кратък линк от вида go.thugqr.com/име. Когато някой го сканира, нашият сървър го пренасочва към дестинацията, която си задал в този момент. Затова можеш да смениш дестинацията, след като кодът е отпечатан. За да работи това, съхраняваме в акаунта ти:

• името, което даваш на всеки QR код, и краткия му линк (slug)
• дестинацията или дестинациите му, с правилата, които задаваш (по устройство, час, дата, брой сканирания, език, държава или случайна/последователна ротация), и часовата зона за правилата
• паролата за заключване, ако си заключил QR кода, съхранявана само като Argon2id хеш
• групите QR кодове (напр. „Маси“), тяхното име и параметър
• статуса на всеки код (активен, на пауза, блокиран), общия му брой сканирания и часа на последното сканиране

Правно основание: изпълнение на договора (чл. 6, пар. 1, буква б) от ОРЗД). Дестинациите, които задаваш, са твое съдържание; не ги използваме за нищо друго освен за пренасочване, проверка за злоупотреби (раздел 8 от Условията за ползване) и решаване на технически проблеми.

Когато изтриеш QR код, статистиката му се изтрива незабавно. Самият кратък линк остава запазен завинаги (без име, дестинация или статистика), така че никой друг да не може да го вземе и да прати хората, които сканират вече отпечатан код, на друго място. Същото се случва с всичките ти QR кодове, когато изтриеш акаунта си.

08Статистика на сканиранията: как броим без проследяване

Този раздел се отнася за хората, които сканират динамичен QR код, а не за собственика му. Всяко сканиране е обикновено посещение на адрес на go.thugqr.com. В момента на посещението нашият сървър автоматично получава, както всеки сървър в интернет, IP адреса ти, идентификатора на браузъра ти (user agent) и предпочитания език на браузъра ти. Използваме ги незабавно, в рамките на същата заявка, за две неща: да те пратим към правилната дестинация (правилата на собственика може да зависят от устройството, езика или държавата ти) и да преброим сканирането.

От сканирането съхраняваме само:

• датата и часа
• държавата, определена от IP адреса ти с нулирана последна част, чрез база данни, която се намира на собствения ни сървър (DB‑IP Lite). Не се извиква външна услуга за геолокация и не се определя град или точно местоположение.
• типа устройство (мобилно, таблет, настолен компютър), семейството на операционната система (напр. iOS, Android) и семейството на браузъра (напр. Safari, Chrome), без номера на версии
• към коя от дестинациите на кода си бил пратен, ако кодът има повече от една
• анонимен идентификатор на посетителя: SHA‑256 хеш на случайна дневна „сол“, конкретния QR код, IP адреса ти и user agent-а ти. Служи само за преброяване на уникалните посетители за деня и за да не се брои два пъти сканиране, повторено в рамките на 10 секунди.

Дневната „сол“ се изтрива в края на всеки ден. От този момент идентификаторът не може да бъде възпроизведен, дори от нас: не можем да свържем посещенията ти в различни дни, нито посещенията ти на различни QR кодове, нито да стигнем обратно до IP адреса ти. Не съхраняваме нито IP адрес, нито user agent, нито бисквитка или друг идентификатор на устройството ти. Това е същият метод, използван от инструментите за измерване на аудиторията, които зачитат поверителността, и е проектиран така, че да попада в изключението за измерване на аудиторията, описано от френския орган CNIL.

Автоматизираните посещения от роботи (crawlers), визуализациите на линкове в приложенията за съобщения (WhatsApp, Slack, iMessage и други) и предварителните зареждания се пренасочват нормално, но не се броят. Собственикът на QR кода вижда само обобщени числа: сканирания и уникални посетители по ден, по държава, по тип устройство и по дестинация. Той никога не вижда отделни посещения, IP адреси или каквото и да било, което може да доведе до конкретен човек.

При пренасочването инструктираме браузъра ти да не разкрива на дестинацията, че си дошъл през go.thugqr.com (политика no‑referrer), и да не кешира пренасочването. Дестинацията е уебсайт на собственика на кода или на трета страна, със собствена политика за поверителност, която не контролираме.

Правно основание: нашият легитимен интерес и този на собственика на кода (чл. 6, пар. 1, буква е) от ОРЗД) да предоставим пренасочването, което си поискал със сканирането, да защитим услугата от злоупотреби и да дадем на собственика възможност да знае, на обобщено ниво, колко се използва кодът му. Претеглихме този интерес спрямо правата ти и затова избрахме метод, който не те проследява и не пази нищо, което те идентифицира. Тъй като нищо не се съхранява на устройството ти и нищо не се чете от него, не се изисква съгласие по правилата за електронните съобщения (чл. 5, пар. 3 от Директива 2002/58/ЕО). Винаги имаш право на възражение (раздел 18).

09Заключени QR кодове

Собственикът на динамичен QR код може да го защити с парола. Тогава вместо пренасочване виждаш страница, която иска паролата. Това, което въвеждаш там, се сравнява с хеша на паролата и не се съхранява. След правилна парола нашият сървър поставя в браузъра ти бисквитка, само за go.thugqr.com, за да не се налага да въвеждаш паролата отново в продължение на 12 часа. Бисквитката съдържа дата на изтичане и цифров подпис; не съдържа нито паролата, нито каквито и да било данни за теб, и не се използва за никаква друга цел. Тя е строго необходима за функцията, която си поискал, затова не изисква съгласие.

Грешните опити се броят по IP адрес и код (като хеш, за 10 минути), така че никой да не може да опита хиляди пароли. Сканирането на заключен код се брои в статистиката по начина, описан в раздел 8, независимо дали е въведена правилната парола.

За всяка грешна парола пазим само часа, нищо за това кой я е въвел, за да вижда собственикът колко неуспешни опита е имало. Ако собственикът е избрал така, след определен брой грешни пароли поред QR кодът спира, докато не го пусне отново. Тези записи се изтриват след 90 дни.

10Игри с награди с QR кодове

Собственикът на група динамични QR кодове може да я превърне в игра с награди. Когато сканираш такъв код, вместо пренасочване виждаш страница с резултат (печелиш, няма награда, вече отворен, играта е приключила). Дали един код печели се решава чрез случайно теглене на нашия сървър, или когато организаторът създава играта, или в момента на първото сканиране. Нищо за теб не участва в тегленето и нищо за теб не се съхранява за него. Сканирането се брои в статистиката по начина, описан в раздел 8. Кодът за получаване, който виждат печелившите, се изчислява от идентификатора на QR кода и не се съхранява.

Ако организаторът е избрал резултатът да се разкрива само веднъж, първото сканиране на всеки код го „отваря“, а следващите виждат „вече отворен“. За да можеш да видиш отново своя резултат на същото устройство, нашият сървър поставя бисквитка с име qrs_<число>, само за go.thugqr.com, за 30 дни. Тя съдържа само подписана отметка за момента на отваряне на кода, нищо за теб, и е строго необходима за функцията, която си поискал, затова не изисква съгласие.

Организаторът може да поиска от печелившите да оставят данни за предаване на наградата (име, фамилия, телефон, имейл, които от тях е избрал) и може да ти позволи да получиш наградата на имейла си. Съхраняваме само това, което въвеждаш, заедно с часа на изпращане, свързано с конкретния код. Данните се изпращат по имейл на организатора, показват се в неговото табло и, ако той е избрал така, и ти получаваш копие. Не ги използваме за нищо друго: без рекламни съобщения, без профил, без споделяне с никого освен организатора. Организаторът отговаря за играта и за това какво прави с данните ти след това; ние ги обработваме от негово име, само за да му ги предадем. Правно основание: твоята заявка да получиш наградата (чл. 6, пар. 1, б. „б“ от ОРЗД). Изпращанията на формуляра са ограничени до 20 на 10 минути на IP адрес (като хеш), за да не може някой да го залее.

Данните на печелившите се пазят, докато играта съществува в акаунта на организатора, и се изтриват заедно с кода, играта или акаунта. Отметката „получено“, която поставя организаторът, пази само час. Можеш да поискаш изтриването им от организатора или от нас на hello@thugqr.com, като посочиш линка на кода.

11Статистика за посещенията (Google Analytics), само с твое съгласие

За да разбираме кои страници се четат и къде сайтът има нужда от подобрение, thugqr.com може да използва Google Analytics 4. То работи само ако натиснеш „Приемам“ в банера за бисквитките. Дотогава, и ако натиснеш „Отказвам“, кодът на Google Analytics изобщо не се зарежда и нищо не се изпраща до Google. Analytics работи само на thugqr.com: услугата за акаунти (api.thugqr.com) и сканиранията на QR кодове (go.thugqr.com) никога не го използват.

Ако приемеш, Google Analytics записва, под случаен идентификатор, съхраняван в бисквитка: страниците, които посещаваш, и страницата, от която идваш, часа, приблизителното ти местоположение (държава и град, определени от IP адреса ти, който Google Analytics 4 не съхранява), устройството, браузъра, операционната система, размера на екрана и езика ти, както и прости действия като превъртане, изтегляне на файлове и кликвания върху линкове към други сайтове. Не записва това, което пишеш в генератора, QR кодовете ти, логото ти или данните на акаунта ти.

Изключили сме Google signals и персонализирането на рекламите: данните не се свързват с профила ти в Google и не се използват за реклама. Google Ireland Ltd обработва данните като обработващ лични данни от наше име, съгласно условията на Google за обработване на данни. Google може да обработва данни и в Съединените щати; Google LLC е сертифицирана по Рамката за защита на личните данни между ЕС и САЩ.

Правно основание: твоето съгласие (чл. 6, пар. 1, буква а) от ОРЗД и чл. 4, пар. 5 от закон 3471/2006). Можеш да го оттеглиш по всяко време, толкова лесно, колкото си го дал, от линка „Настройки за бисквитките“ в долната част на всяка страница; тогава бисквитките се изтриват и измерването спира. Статистиката се пази в Google Analytics до 14 месеца и след това се изтрива автоматично. Самият ти избор се съхранява само в браузъра ти (виж Политиката за бисквитките) и те питаме отново след 12 месеца.

12Измерване на рекламите (TikTok Pixel), само с твое съгласие

Популяризираме ThugQR с реклами в TikTok. За да знаем кои от тези реклами наистина довеждат хора до сайта, thugqr.com може да използва TikTok Pixel. Той работи само ако разрешиш „Реклама“ в настройките за бисквитките или натиснеш „Приемам“ в банера. Дотогава, и ако го откажеш, кодът на TikTok изобщо не се зарежда и нищо не се изпраща до TikTok. Пикселът работи само на thugqr.com, никога на api.thugqr.com или go.thugqr.com. Самият ThugQR не ти показва реклами.

Ако го разрешиш, TikTok Pixel изпраща до TikTok: страниците, които посещаваш, и страницата, от която идваш, часа, технически данни за браузъра и устройството ти, IP адреса ти, идентификатор, съхраняван в бисквитка, и, ако идваш от реклама в TikTok, идентификатора на кликването върху тази реклама. TikTok може да свърже това с профила ти в TikTok, ако имаш такъв, и го използва, за да измерва кампаниите ни и, съгласно собствената си политика за поверителност, за да показва реклами, включително реклами на други фирми. Не изпращаме на TikTok това, което пишеш в генератора, QR кодовете ти или данните на акаунта ти. С твоето съгласие то записва и няколко действия в сайта: отваряне на страница на услуга, изтегляне на QR код и създаване на профил, без името ти, имейла ти или съдържанието на кода.

Получател: TikTok Technology Limited (Ирландия). За събирането и предаването на тези данни чрез пиксела TikTok и ние сме съвместни администратори съгласно условията на TikTok за бизнес продуктите му; след това TikTok обработва данните като самостоятелен администратор. TikTok може да предава данни извън ЕИП, като използва стандартните договорни клаузи на ЕС. Можеш да упражниш правата си по отношение на тези данни пряко пред TikTok или чрез нас на hello@thugqr.com.

Правно основание: твоето съгласие (чл. 6, пар. 1, буква а) от ОРЗД и чл. 4, пар. 5 от закон 3471/2006). Можеш да го оттеглиш по всяко време от линка „Настройки за бисквитките“ в долната част на всяка страница; тогава бисквитките на TikTok на thugqr.com се изтриват и пикселът вече не се зарежда. Бисквитките са валидни до 13 месеца; колко дълго TikTok пази получените данни, се определя от политиката за поверителност на TikTok.

13Хостинг, сървърни логове и резервни копия

Уебсайтът, услугата за акаунти, базата данни и пренасочванията се хостват на сървъри на Hostinger, в център за данни във Франкфурт, Германия, в рамките на Европейския съюз. Hostinger действа като обработващ лични данни от наше име, съгласно договор за обработване на данни по чл. 28 от ОРЗД.

Както при всеки уебсайт, когато браузърът ти поиска страница или файл, сървърът временно записва в лог файловете си:

• IP адреса ти
• датата и часа на заявката
• заявения адрес и отговора на сървъра (напр. код на състоянието, размер)
• браузъра и операционната ти система (user agent)
• страницата, от която идваш (referrer), ако браузърът ти я изпраща

Лог файловете се използват само за работата и сигурността на сайта (отстраняване на проблеми, атаки и злоупотреби) и се изтриват автоматично след кратък подвижен период, определен от хостинг доставчика. Не ги използваме, за да те идентифицираме или да създаваме профили. Правно основание: нашият легитимен интерес да поддържаме сигурен и надежден уебсайт (чл. 6, пар. 1, буква е) от ОРЗД).

Хостинг доставчикът автоматично пази резервни копия на базата данни и файловете, за да можем да възстановим услугата след срив. Резервните копия се подменят на ротационен принцип, а по-старите се изтриват най-късно до 30 дни. Това означава, че данни, които си изтрил, може да останат в резервно копие до 30 дни, без да се използват за никаква друга цел.

14С кого споделяме данни

Не продаваме, не отдаваме и не предаваме лични данни на никого за негови собствени цели. Единствените трети страни, които влизат в контакт с данни, са:

• Hostinger (Hostinger International Ltd. и дружествата от групата му, установени в ЕС): хостинг на уебсайта, базата данни и лог файловете и доставка на имейлите ни през пощенските му сървъри. Обработващ лични данни, сървъри във Франкфурт.
• Cloudflare (cdnjs): само когато от таблото за динамични QR кодове изтегляш много QR кодове заедно като ZIP файл, браузърът ти зарежда библиотеката за компресиране JSZip от cdnjs.cloudflare.com. В тази заявка Cloudflare получава IP адреса и user agent-а ти, както всеки сървър, от който изтегляш файл. Не получава съдържанието на QR кодовете ти, което се компресира локално. Целостта на файла се проверява с криптографски подпис (Subresource Integrity). Никоя друга страница или функция на ThugQR не комуникира с Cloudflare.
• Google (Google Ireland Ltd): само ако приемеш бисквитките за анализи, статистиката за посещенията, описана в раздел 11. Обработващ лични данни; данните може да се обработват и в Съединените щати съгласно Рамката за защита на личните данни между ЕС и САЩ.
• TikTok (TikTok Technology Limited, Ирландия): само ако разрешиш бисквитките за реклама, измерването на рекламите, описано в раздел 12. Съвместен администратор за събирането чрез пиксела, след това самостоятелен администратор; данните може да се предават извън ЕИП съгласно стандартните договорни клаузи на ЕС.
• Публични органи, само когато законът или задължително съдебно или административно разпореждане го изисква, и само в изискваната степен. Ще уведомим засегнатото лице, когато законът позволява.

Освен Google Analytics и TikTok Pixel, и двете само с твое съгласие, не използваме други инструменти за анализи или реклама, джаджи на социални мрежи, чат джаджи или външни шрифтове. Шрифтовете, иконите и библиотеките с код на сайта (освен споменатата по-горе JSZip) се хостват на собствения ни сървър. Базата данни на DB‑IP за държавите също се намира на нашия сървър, така че никакъв IP адрес не се изпраща на трета страна, за да се определи държавата.

15Как защитаваме данните

Прилагаме технически и организационни мерки, съобразени с риска (чл. 32 от ОРЗД), включително:

• криптиране на всяка връзка с TLS (HTTPS) и HSTS на всички поддомейни
• пароли и пароли за заключване, съхранявани само като Argon2id хешове; токени на сесии, имейл кодове и ключове на броячи само като SHA‑256 или HMAC хешове
• бисквитки за вход с атрибутите HttpOnly, Secure и SameSite=Strict, така че да не могат да бъдат четени от код или от други уебсайтове, и защита срещу CSRF
• краткотрайни токени за достъп (15 минути) с автоматична ротация и анулиране на цялата сесия, ако бъде засечено повторно използване на стар токен
• ограничения на честотата на заявките при вход, регистрация, имейл кодове и заключени QR кодове
• минимизиране по замисъл: не съхраняваме това, което не е нужно (IP адрес и user agent на сканиранията, съдържание на статичните кодове)
• заглавки за сигурност (Content Security Policy, X‑Frame‑Options и други), подготвени SQL заявки, автоматизирани тестове и редовни актуализации на софтуера
• достъп до базата данни и сървърите само от оператора на услугата, със силно удостоверяване

Никоя услуга не е напълно сигурна. Ако настъпи нарушение на сигурността на данните, което има вероятност да застраши правата ти, ще уведомим компетентния надзорен орган в рамките на 72 часа, а теб без ненужно забавяне, както изискват чл. 33 и 34 от ОРЗД.

16Къде са данните

Всички данни, които съхраняваме, са на сървъри в рамките на Европейския съюз (Франкфурт). Не предаваме данни извън Европейското икономическо пространство, със следните изключения: имейлите, които ти изпращаме, се доставят до твоя собствен имейл доставчик, където и да се намира той; библиотеката JSZip се зарежда от мрежата за доставка на съдържание на Cloudflare, която отговаря от най-близкия до теб възел, вероятно извън ЕС; само ако приемеш бисквитките за статистика, Google може да обработва статистиката за посещенията в Съединените щати; и само ако разрешиш бисквитките за реклама, TikTok може да обработва данните от измерването на рекламите извън ЕИП. Cloudflare и Google са обхванати от стандартните договорни клаузи на ЕС и от Рамката за защита на личните данни между ЕС и САЩ; TikTok използва стандартните договорни клаузи на ЕС.

17Колко време пазим данните

Накратко, по категории:

• Данни на акаунта (име, имейл, хеш на паролата, план, времеви отпечатъци): докато съществува акаунтът. Изтриват се окончателно веднага щом го изтриеш.
• Сесии (user agent, IP адрес, часове): сесията приключва след 14 дни неактивност или най-много след 90 дни, или когато излезеш. Записът ѝ се изтрива 7 дни след приключването ѝ.
• Имейл кодове (хеширани): валидни 10 минути, изтриват се на следващия ден. Данните на регистрация, която никога не е била потвърдена, се изтриват заедно с тях.
• Броячи за сигурност (хеширани): до един час.
• Динамични QR кодове (име, дестинации, правила, групи): докато съществуват в акаунта ти. След изтриване остава само запазеният кратък линк, без лични или други данни.
• Подробни сканирания (час, държава, устройство, анонимен идентификатор): 90 дни, след което се изтриват автоматично. Общият брой сканирания на всеки код, едно единствено число, остава, докато съществува кодът.
• Дневни „соли“ за идентификаторите на посетителите: изтриват се след края на деня.
• Сървърни логове: кратък подвижен период, определен от хостинг доставчика.
• Резервни копия: до 30 дни.
• Кореспонденция с теб: толкова, колкото е нужно, за да отговорим и обработим искането ти, а след това до 3 години, за да можем да докажем какво сме отговорили на искане или сигнал за злоупотреба.
• Запазени статични QR кодове (име, съдържание, дизайн, лого, преглед): докато не ги изтриеш или не изтриеш акаунта си; тогава се изтриват окончателно.
• Сигнали за злоупотреба от формата за сигнали (линк, причина, описание, име, ако го посочиш, имейл): до 3 години, за да можем да покажем как сме обработили всеки сигнал. Изпращаме потвърждение за получаване и отговора ни на посочения имейл.
• Данни на печелившите от формуляр на игра (име, фамилия, телефон, имейл, каквото е поискал организаторът, часът и дали наградата е изпратена по имейл): докато играта съществува в акаунта на организатора. Изтриват се заедно с кода, играта или акаунта.
• Статистика в Google Analytics (само с твое съгласие): до 14 месеца в Google Analytics, след това се изтрива автоматично. Самите бисквитки изтичат след 13 месеца или веднага щом оттеглиш съгласието си.
• TikTok Pixel (само с твое съгласие): бисквитките на thugqr.com са валидни до 13 месеца или докато не оттеглиш съгласието си. TikTok пази получените данни съгласно собствената си политика за поверителност.

Ако законът ни задължава да пазим нещо по-дълго (например за да изпълним съдебно разпореждане), го пазим само докато трае това задължение.

18Твоите права

Като субект на данни имаш, съгласно чл. 15 до 22 от ОРЗД, следните права. Повечето от тях можеш да упражниш сам, веднага, от страницата на акаунта си:

• Достъп и преносимост: бутонът „Експортирай данните“ в акаунта ти изтегля, в машинночетим формат JSON, всичко, което пазим за теб: данни на акаунта, сесии, чакащи кодове и всичките ти динамични QR кодове с дестинациите и обобщената им статистика.
• Коригиране: сам сменяш името, фамилията, имейла и паролата си по всяко време.
• Изтриване: бутонът „Изтрий акаунта“ (с паролата ти и код за потвърждение, изпратен на имейла ти) изтрива окончателно акаунта, сесиите, QR кодовете и тяхната статистика. Няма период на изчакване или „деактивиране“. Остават само запазените кратки линкове, без данни, и резервните копия за до 30 дни.
• Ограничаване на обработването и възражение (чл. 21 от ОРЗД): можеш да възразиш срещу всяко обработване, основано на нашия легитимен интерес, на основания, свързани с конкретната ти ситуация. Това включва броенето на сканиранията; тъй като не пазим нищо, което те идентифицира, не можем впоследствие да намерим и изтрием „твоите“ сканирания, но можем да обясним метода и да разгледаме искането ти.
• Оттегляне на съгласие: когато обработването се основава на съгласие (в момента Google Analytics и TikTok Pixel), можеш да го оттеглиш по всяко време от линка „Настройки за бисквитките“ в долната част на всяка страница, без това да засяга законосъобразността на обработването преди оттеглянето.
• Да не бъдеш обект на автоматизирани решения: не вземаме решения с правни или подобни значими последици за теб по автоматизиран начин и не създаваме профили.

За всичко, което не можеш да направиш сам, или ако нямаш акаунт, пиши ни на hello@thugqr.com. Отговаряме най-късно в рамките на един месец, безплатно. За да защитим данните ти от трети лица, може да те помолим да потвърдиш, че контролираш имейл адреса на акаунта.

Ако смяташ, че нарушаваме закона, имаш право да подадеш жалба до надзорния орган на държавата, в която живееш, в която работиш, или в която е извършено предполагаемото нарушение. Компетентният за нас орган е Гръцкият орган за защита на данните (Kifissias 1‑3, 115 23 Атина, dpa.gr). Ще се радваме първо да решим въпроса заедно с теб.

19Деца

Генераторът е инструмент с общо предназначение и не е насочен към деца. Можеш да създадеш акаунт само ако си навършил 16 години; гръцкият закон позволява на непълнолетен да даде съгласие за услуги на информационното общество от 15 години, но избрахме 16, за да важи една и съща граница в целия ЕС. Не събираме съзнателно данни на деца. Ако смяташ, че дете е създало акаунт, пиши ни и ще го изтрием.

20Промени в тази политика

Когато добавяме функции, които променят начина на обработване на данните, първо актуализираме тази страница и датата в началото ѝ. При съществени промени, засягащи притежателите на акаунт, изпращаме допълнително информационен имейл поне 14 дни преди влизането им в сила. Предишните версии са достъпни при поискване на hello@thugqr.com.