Тази политика описва как обработваме личните данни, които събираме чрез уебсайта invest.okollakepark.bg („Платформата“) — включително през формата за заявка за достъп и през защитената зона за поканени инвеститори. Изготвена е в съответствие с Регламент (ЕС) 2016/679 (ОРЗД) и Закона за защита на личните данни. This policy explains how we process the personal data we collect through the website invest.okollakepark.bg (the “Platform”) — including via the access request form and the secure area for invited investors. It is drawn up in accordance with Regulation (EU) 2016/679 (GDPR) and the Bulgarian Personal Data Protection Act.
01Кой обработва вашите данниWho processes your data
По всички въпроси, свързани с личните ви данни, и за упражняване на правата по раздел 09 пишете на посочения имейл с тема „Лични данни“. For any question concerning your personal data, and to exercise the rights set out in section 09, write to the email address above with the subject line “Personal data”.
02Какви данни събирамеWhat data we collect
А. Заявка за достъпA. Access request
Когато подадете заявка за достъп през Платформата, събираме: име и фамилия, имейл адрес, телефон, държава на пребиваване, тип инвеститор (физическо лице, юридическо лице, квалифициран инвеститор), как сте научили за програмата и текста на съобщението ви, ако попълните такова. When you submit an access request through the Platform we collect: your full name, email address, telephone number, country of residence, investor type (individual, company, qualified investor), how you heard about the programme, and the text of your message if you provide one.
Заедно със заявката записваме и декларацията, която потвърждавате в нея — заявения от вас опит с дългови инструменти, потвърждението, че сте запознати с рисковото предупреждение, и потвърждението, че можете да понесете загуба на цялата инвестирана сума — както и IP адреса, данните за браузъра, точния час и версията на текста на декларацията. Тези последни четири се пазят с една цел: да е доказуемо кой, кога и коя точно формулировка е потвърдил. Не ги използваме за проследяване или профилиране. Together with the request we also record the declaration you confirm within it — the experience with debt instruments you state, your confirmation that you have read the risk warning, and your confirmation that you are able to bear the loss of the entire amount invested — as well as your IP address, browser information, the exact time and the version of the declaration text. Those last four are kept for one purpose: so that it is demonstrable who confirmed what wording, and when. We do not use them for tracking or profiling.
Б. Защитена зона за поканени лицаB. Secure area for invited persons
При вход в зоната за поканени инвеститори обработваме: личния ви код за достъп, имейл адреса, към който е издаден кодът, дата и час на всеки вход, IP адрес, данни за браузъра, както и запис за всеки документ, който сте отворили или изтеглили, с неговата версия. Този запис (одитна следа) е необходим, за да можем да докажем пред компетентните органи, че предлагането е насочено само към предварително определени лица. When you sign in to the invited-investor area we process: your personal access code, the email address the code was issued to, the date and time of each sign-in, your IP address, browser information, and a record of every document you opened or downloaded, together with its version. This record (audit trail) is necessary so that we can demonstrate to the competent authorities that the offering is addressed only to pre-selected persons.
В. Технически данниC. Technical data
Сървърът записва стандартни лог данни за всяка заявка — IP адрес, дата и час, заявен адрес, код на отговора и данни за браузъра. Тези данни служат за поддръжка и за защита срещу злоупотреби (например автоматизирани опити за подаване на формата). The server records standard log data for each request — IP address, date and time, requested URL, response code and browser information. This data is used for maintenance and to protect against abuse (for example automated form submissions).
Не събираме специални категории данни. Платформата не изисква и не следва да ѝ предоставяте данни за здраве, етнически произход, политически убеждения, религия, членство в синдикати, сексуален живот, биометрични или генетични данни. Не искаме и данни от документи за самоличност или банкови сметки през формата на сайта — когато такива са необходими по Закона за мерките против изпирането на пари, те се събират отделно и по документиран ред, извън Платформата. We do not collect special categories of data. The Platform does not request, and you should not provide, data concerning health, ethnic origin, political opinions, religion, trade union membership, sex life, biometric or genetic data. Nor do we request identity document or bank account details through the website form — where these are required under anti-money-laundering legislation they are collected separately, through a documented procedure, outside the Platform.
03Цели и правни основанияPurposes and legal bases
| ЦелPurpose | ДанниData | Правно основаниеLegal basis |
|---|---|---|
| Разглеждане на заявката ви и връзка с вас по неяReviewing your request and contacting you about it | АA | чл. 6, § 1, б. „б“ ОРЗД — действия преди сключване на договор по ваше исканеArt. 6(1)(b) GDPR — steps prior to entering into a contract at your request |
| Издаване на поименна покана и личен код за достъпIssuing a named invitation and a personal access code | А, БA, B | чл. 6, § 1, б. „б“ ОРЗДArt. 6(1)(b) GDPR |
| Водене на регистър на поканените лица и на одитна следа, с които доказваме частния характер на предлагането и спазването на ограничението за брой лица по държаваMaintaining a register of invited persons and an audit trail evidencing the private character of the offering and compliance with the per-country limit on the number of persons | А, БA, B | чл. 6, § 1, б. „е“ ОРЗД — законен интерес да можем да докажем, че предлагането е частно и попада в изключението от задължението за проспект по Регламент (ЕС) 2017/1129; поддържащо — чл. 6, § 1, б. „в“, доколкото Законът за публичното предлагане на ценни книжа ни задължава да установим кръга на адресатитеArt. 6(1)(f) GDPR — legitimate interest in being able to demonstrate that the offering is private and falls within the prospectus exemption under Regulation (EU) 2017/1129; supporting — Art. 6(1)(c), to the extent the Public Offering of Securities Act requires us to establish the circle of addressees |
| Доказване на декларацията, която сте потвърдили — заявен опит, запознаване с рисковото предупреждение, способност да понесете загуба, час и версия на текстаEvidencing the declaration you confirmed — stated experience, having read the risk warning, ability to bear a loss, time and version of the text | АA | чл. 6, § 1, б. „е“ ОРЗД — законен интерес да разполагаме с доказателство какво е било разкрито и потвърдено преди отправянето на поканаArt. 6(1)(f) GDPR — legitimate interest in holding evidence of what was disclosed and confirmed before an invitation was made |
| Идентификация и проверка при установяване на делови взаимоотношенияIdentification and verification when establishing a business relationship | А, БA, B | чл. 6, § 1, б. „в“ ОРЗД — Закон за мерките против изпирането на париArt. 6(1)(c) GDPR — Measures Against Money Laundering Act |
| Сигурност на Платформата, предотвратяване и разследване на злоупотребиPlatform security, prevention and investigation of abuse | Б, ВB, C | чл. 6, § 1, б. „е“ ОРЗД — законен интересArt. 6(1)(f) GDPR — legitimate interest |
| Изпълнение на счетоводни и данъчни задължения, ако станете инвеститорAccounting and tax compliance, should you become an investor | АA | чл. 6, § 1, б. „в“ ОРЗД — Закон за счетоводството, ДОПКArt. 6(1)(c) GDPR — Accountancy Act, Tax and Social Insurance Procedure Code |
| Защита при правен спорDefence in legal proceedings | А, Б, ВA, B, C | чл. 6, § 1, б. „е“ ОРЗД — законен интересArt. 6(1)(f) GDPR — legitimate interest |
Не използваме данните ви за маркетинг и не ви изпращаме рекламни съобщения. Няма да получите бюлетин или предложение за друг продукт, освен ако сами не поискате. Предоставянето на данните е доброволно, но без тях не можем да разгледаме заявката ви. We do not use your data for marketing and we do not send you promotional messages. You will not receive a newsletter or an offer for another product unless you ask for one. Providing the data is voluntary, but without it we cannot review your request.
04Кой друг получава даннитеWho else receives the data
Не продаваме и не отдаваме под наем лични данни. Достъп имат само толкова лица, колкото е необходимо: We do not sell or rent personal data. Access is limited to those who need it:
- Наши служители и членове на управителните органи, отговарящи за връзки с инвеститорите — само тези, за които е необходимо.Our employees and members of the management bodies responsible for investor relations — only those who need access.
- Доставчик на хостинг и електронна поща, който съхранява Платформата и кореспонденцията ни, в качеството на обработващ лични данни, с договор по чл. 28 ОРЗД. Сървърите са на територията на Европейския съюз.Our hosting and email provider, which stores the Platform and our correspondence, acting as a processor under a contract pursuant to Art. 28 GDPR. The servers are located within the European Union.
- Правни, счетоводни и финансови консултанти, обвързани със задължение за поверителност.Legal, accounting and financial advisers, bound by confidentiality obligations.
- Банката, обслужваща емисията и специалната сметка за набиране на средства, доколкото това е необходимо за плащанията.The bank servicing the issue and the dedicated subscription account, to the extent necessary for payments.
- Държавни органи — Комисия за финансов надзор, Национална агенция за приходите, Държавна агенция „Национална сигурност“, съд и разследващи органи — само когато сме законово задължени да предоставим данни.Public authorities — the Financial Supervision Commission, the National Revenue Agency, the State Agency for National Security, courts and investigating bodies — only where we are legally required to disclose.
05Колко дълго пазим даннитеHow long we keep the data
| КатегорияCategory | СрокPeriod |
|---|---|
| Заявки за достъп, които не са одобрениAccess requests that are not approved | 12 месеца от подаването12 months from submission |
| Данни на поканени лица, които не са записали облигацииData of invited persons who did not subscribe | 3 години от изтичането на поканата3 years from expiry of the invitation |
| Данни на инвеститори и документи по ЗМИПInvestor data and AML documentation | 5 години след окончателното погасяване на облигациите5 years after final redemption of the bonds |
| Одитна следа за характера на предлаганетоAudit trail on the character of the offering | 5 години от приключване на предлагането5 years from closing of the offering |
| Счетоводни и данъчни документиAccounting and tax records | Съгласно Закона за счетоводството и ДОПКAs required by the Accountancy Act and the Tax Procedure Code |
| Сървърни логовеServer logs | до 12 месецаup to 12 months |
След изтичане на съответния срок данните се изтриват или анонимизират. Ако към този момент има висящ правен спор, съхраняваме необходимите данни до окончателното му решаване. Upon expiry of the relevant period the data is deleted or anonymised. If legal proceedings are pending at that time, we retain the necessary data until they are finally resolved.
06Прехвърляне извън ЕИПTransfers outside the EEA
Не прехвърляме съзнателно лични данни извън Европейското икономическо пространство. Едно изключение следва да ви бъде разкрито: Платформата зарежда типографските шрифтове от услугата Google Fonts. При това зареждане IP адресът на вашето устройство се предава на Google Ireland Limited и може да бъде обработен от Google LLC (САЩ) въз основа на Решението за адекватност на Европейската комисия относно Рамката за защита на данните ЕС–САЩ. Google не получава от нас име, имейл или друга информация за вас. Работим по прехвърляне на шрифтовете на собствения ни сървър, след което това предаване ще отпадне. We do not knowingly transfer personal data outside the European Economic Area. One exception should be disclosed to you: the Platform loads its typefaces from the Google Fonts service. In doing so, your device’s IP address is transmitted to Google Ireland Limited and may be processed by Google LLC (USA) on the basis of the European Commission’s adequacy decision on the EU–US Data Privacy Framework. Google receives no name, email or other information about you from us. We are in the process of moving the typefaces to our own server, after which this transfer will cease.
08Автоматизирани решенияAutomated decision-making
Не вземаме решения спрямо вас единствено чрез автоматизирана обработка и не извършваме профилиране. Всяка заявка за достъп се разглежда от човек. We take no decisions concerning you based solely on automated processing, and we carry out no profiling. Every access request is reviewed by a person.
09Вашите праваYour rights
По отношение на личните си данни имате право да: In respect of your personal data you have the right to:
- получите информация и достъп — да узнаете какви данни обработваме за вас и да получите копие (чл. 15 ОРЗД);be informed and obtain access — to learn what data we process about you and receive a copy (Art. 15 GDPR);
- коригирате неточни или непълни данни (чл. 16);rectify inaccurate or incomplete data (Art. 16);
- изтриете данните си, когато вече не са необходими за целите, за които са събрани (чл. 17);have your data erased where it is no longer necessary for the purposes it was collected for (Art. 17);
- ограничите обработването в случаите по чл. 18;restrict processing in the cases set out in Art. 18;
- получите данните в машинночетим формат и да ги прехвърлите на друг администратор (чл. 20);receive your data in a machine-readable format and transmit it to another controller (Art. 20);
- възразите срещу обработване, основано на наш законен интерес (чл. 21);object to processing based on our legitimate interest (Art. 21);
- оттеглите съгласието си по всяко време, когато обработването се основава на съгласие — оттеглянето не засяга законосъобразността на обработването преди него.withdraw your consent at any time where processing is based on consent — withdrawal does not affect the lawfulness of processing carried out beforehand.
Отговаряме в срок до един месец от получаване на искането. Този срок може да бъде удължен с още два месеца при сложни искания, за което ще ви уведомим. We respond within one month of receiving your request. This period may be extended by a further two months for complex requests, of which we will notify you.
Правото на изтриване не е безусловно. Данните, които съставляват одитната следа и регистъра на поканените лица, се пазят и след искане за изтриване, доколкото са ни необходими, за да докажем пред Комисията за финансов надзор, че предлагането не е било публично. Същото се отнася за документите по Закона за мерките против изпирането на пари и за счетоводните документи. В тези случаи ще ви обясним конкретното основание. The right to erasure is not unconditional. Data forming the audit trail and the register of invited persons is retained notwithstanding an erasure request, to the extent we need it to demonstrate to the Financial Supervision Commission that the offering was not public. The same applies to anti-money-laundering and accounting records. In such cases we will explain the specific ground to you.
10Жалба до надзорен органComplaint to a supervisory authority
Ако смятате, че обработваме данните ви незаконосъобразно, ще се радваме първо да се обърнете към нас. Независимо от това имате право да подадете жалба до: If you believe we are processing your data unlawfully, we would be glad if you came to us first. Regardless, you have the right to lodge a complaint with:
Ако сте с обичайно местопребиваване в друга държава от ЕС, можете да подадете жалба и до надзорния орган там. If you are habitually resident in another EU Member State, you may also complain to the supervisory authority there.
11Сигурност на даннитеData security
Прилагаме технически и организационни мерки, съобразени с риска: криптирана връзка (HTTPS) за целия сайт; съхранение на паролите само като необратим хеш; защита срещу подправяне на заявки (CSRF токени) и срещу автоматизирано подаване на формата; ограничаване на броя опити; отделяне на файловете с данни извън публично достъпната част на сървъра; ограничен достъп до администрирането; и водене на одитна следа за всяко действие в защитената зона. We apply technical and organisational measures appropriate to the risk: an encrypted connection (HTTPS) across the whole site; storage of passwords only as an irreversible hash; protection against request forgery (CSRF tokens) and against automated form submission; rate limiting; storage of data files outside the publicly accessible part of the server; restricted administrative access; and an audit trail of every action in the secure area.
Личният код за достъп е поименен. Не го предавайте на друго лице — документите в защитената зона са конфиденциални и се проследяват до кода, с който са отворени. Your access code is personal to you. Do not pass it to anyone else — the documents in the secure area are confidential and are traced to the code they were opened with.
В случай на нарушение на сигурността, което води до висок риск за правата ви, ще ви уведомим без необосновано забавяне и ще уведомим Комисията за защита на личните данни в срок до 72 часа. In the event of a security breach resulting in a high risk to your rights, we will notify you without undue delay and will notify the Commission for Personal Data Protection within 72 hours.
12Промени в тази политикаChanges to this policy
Можем да актуализираме политиката, когато променим начина, по който обработваме данни, или когато това се наложи от промяна в законодателството. Актуалната версия е винаги на този адрес, с посочени номер и дата в началото. При съществена промяна ще уведомим по имейл лицата с активен достъп до защитената зона. We may update this policy when we change the way we process data or when a change in the law requires it. The current version is always at this address, with its number and date shown at the top. In the event of a material change we will notify by email those persons who hold active access to the secure area.
Версия 1.1 · в сила от 09.09.2026 г. Version 1.1 · effective 9 September 2026