Политика за поверителност

1. Кои сме и как да се свържете с нас

„ЕйвъмАдс“ е работно име на ученически проект за национално състезание по информационни технологии. Приложението се разработва и поддържа от двамата ученици, автори на проекта. Зад него не стои търговско дружество и проектът няма назначено длъжностно лице по защита на данните.

Приложението помага на местни бизнеси (салони, сервизи, кабинети и др.) да проучат конкурентите си, да подготвят оферта, страница и реклами във Facebook и Instagram и да отговарят на клиентите си с помощта на AI екип.

Пишете ни на ardahalibryam@gmail.com.

2. Две роли: администратор и обработващ

Според Общия регламент относно защитата на данните (ОРЗД, Регламент (ЕС) 2016/679) за едни данни ние решаваме защо и как се обработват, а за други действаме само по указание на бизнеса.

а) Собствениците на бизнеси и техните колеги

За хората, които се регистрират и използват приложението (собственик, администратор, член на екипа), ние сме администратор на данните: профила, данните на бизнеса, разговорите с AI екипа, свързаните акаунти и техническите записи.

б) Клиентите на тези бизнеси

За клиентите на бизнеса (хора, които оставят запитване на страницата му, записват час, пишат му в WhatsApp, получават SMS или разглеждат страниците му) администратор е бизнесът. Ние обработваме тези данни от негово име и по негово указание, като обработващ по чл. 28 ОРЗД. Ако сте клиент на бизнес, за упражняване на правата си се обърнете първо към него (телефонът му е на страницата му). Бизнесът може да поиска от нас да поправим или изтрием данните.

За пиксела на Meta на страницата на бизнес (раздел 8) бизнесът и Meta Platforms Ireland са съвместни администратори за събирането и предаването към Meta; ние само зареждаме кода на пиксела по поръчка на бизнеса и след Вашето съгласие.

3. Какви данни събираме

Акаунт

• Имейл и парола (паролата се пази само като хеш от Supabase Auth) или, при вход с Google, имейлът на Google акаунта.
• Име, роля в бизнеса (собственик, администратор, член) и поканите към колеги (имейлът на поканения).

Бизнес профил

• Име на бизнеса, ниша, град, адрес, телефон, работно време, услуги и цени, оферти, марка (лого, цветове).
• Страниците, рекламите и кампаниите, които създавате, качените снимки и документи, задачите и одобренията.
• Разговорите с AI екипа в чата и бележките, които агентите запомнят за бизнеса.

Свързани акаунти и токени

• Meta (рекламен акаунт, Facebook страница) и WhatsApp Business: връзката минава през Zernio, който пази токените на Meta; ние получаваме само идентификатори и имена на акаунтите, никога токен на Meta.
• WhatsApp Personal: номерът и сесията на свързаното устройство в нашата услуга WAHA (раздел 8).
• Google Calendar и „Отзиви от Google“: имейлът на Google акаунта, списъкът с календари или избраното местоположение на бизнес профила и токен за опресняване, който пазим криптиран (раздел 7).
• Twilio за SMS: името на подателя, което бизнесът е избрал.

Запитвания и разговори (данни на клиентите на бизнеса)

• От формата на страницата: име, телефон и ако ги попълните имейл, избрана услуга, удобно време и съобщение, както и моментът на съгласието.
• Откъде е дошло запитването: страница, кампания и реклама.
• Съобщенията в WhatsApp (текстът; снимки и файлове не изтегляме, отбелязваме само „[снимка]“ или „[файл]“), изпратените SMS и статусът на доставката им, бележките на бизнеса и етапът на запитването.
• При WhatsApp Personal съобщенията от номера, които не са клиенти на бизнеса, по подразбиране се отхвърлят: броим ги, без да пазим номера или текста.

Записвания

• Дата и час, услуга, име и телефон на клиента, статус (потвърден, преместен, отменен) и бележки.
• Ако бизнесът е свързал Google Calendar: идентификаторът и връзката на събитието, което сме създали в календара.

Данни от страниците и пиксела

• Нашето собствено броене на страниците: видът на действието (посещение, обаждане, WhatsApp, запитване), часът и кампанията. Не пазим IP адрес, бисквитки или друг идентификатор на посетителя. IP адресът и браузърът се използват само в паметта на сървъра за защита от ботове и прекалено много заявки и не се записват.
• Пикселът на Meta събира данни само след Вашето съгласие (раздел 8 и 13).

Данни от проучването на конкуренти

• Публични реклами от Библиотеката с реклами на Meta: името на рекламодателя (обикновено бизнес), текстът на рекламата, връзката, бутонът и от кога върви. Изображенията на конкурентите показваме чрез връзките на Meta и не ги копираме.
• Публични данни за бизнеси от Google Maps (Google Places): име, адрес, оценка и брой отзиви.
• Ако свържете „Отзиви от Google“: до 50-те най-нови отзива за Вашия собствен бизнес, само текст, звезди и дата, без името на автора.

Технически логове

• Дневник на действията (одит): кой (човек или агент) какво е направил и кога, например одобрение, свързване на акаунт или неуспешна синхронизация.
• Логовете на сървърите: технически идентификатори, грешки и времена. Не записваме нарочно съдържание на разговори в тях, но съобщение за грешка понякога може да съдържа част от данните, с които е свързано.
• Броячи за разходи и лимити (например на AI заявки, SMS и проучвания) по бизнес.

Бисквитки и локално хранилище

• Бисквитки за вход (сесия на Supabase), необходими, за да останете влезли.
• В браузъра: отговорът Ви за бисквитките на страниците на даден бизнес, временна бележка за еднократно броене на посещение и дребни настройки на интерфейса.

4. За какво ги използваме и на какво основание

• Регистрация, вход и работа на приложението (профил, бизнес, страници, реклами, чат с AI екипа, записвания): изпълнение на договор, чл. 6, пар. 1, буква „б“ ОРЗД.
• Свързване на външни акаунти (Meta, WhatsApp, Google, Twilio) и действия през тях: изпълнение на договор, буква „б“, само след като Вие сте дали достъпа и само за действията, които сте поискали или одобрили.
• Проучване на конкуренти от публични източници: законен интерес, буква „е“ (да покажем на бизнеса какво рекламира пазарът). Събираме само публично достъпни данни, предимно за бизнеси.
• Сигурност, защита от злоупотреби, лимити и дневник на действията: законен интерес, буква „е“.
• Пикселът на Meta на страниците: съгласие на посетителя, буква „а“, и чл. 4а от Закона за електронните съобщения.
• Изпълнение на законови задължения и отговор на искане на компетентен орган: буква „в“.

За данните на клиентите основанието се определя от бизнеса като администратор. Обичайно това е предприемане на стъпки по искане на клиента преди сключване на договор (запитване, записване, буква „б“) и съгласие за обратна връзка по телефона, което формата иска изрично. SMS се изпращат само на хора, дали съгласие във формата, или със записан час.

Не продаваме данни и не ги използваме за реклама на нас самите или на трети лица.

5. Изкуствен интелект

AI екипът (Мениджър, Рекламист, Дизайнер, Рецепционист и др.) работи с езикови модели, които извикваме през OpenRouter. Към днешна дата моделите по подразбиране са Gemini на Google (за текст и изображения) и модел на OpenAI за векторно индексиране на текстове (embeddings). Моделът на отделен агент може да бъде сменен, и тогава заявките отиват към доставчика на избрания модел.

Какво се изпраща към моделите

• Данните на бизнеса, нужни за задачата: профил, услуги, работно време, оферта, марка, страници и реклами.
• Резултатите от проучването: текстовете на рекламите на конкурентите, данните от Google Maps и отзивите за Вашия бизнес, ако сте ги свързали.
• Вашите съобщения в чата с AI екипа.
• В разговор с клиент: съобщенията на клиента и данните за него, нужни за отговора и записването (например име, телефон, свободни часове).
• За търсене в знанията на бизнеса: текстове от услугите, офертата, отзивите, проучването, страниците и приключилите разговори се превръщат във вектори чрез модела за embeddings.

Обучават ли се моделите на тези данни

Ние не използваме данните Ви, за да обучаваме модели. Според документацията на OpenRouter той не пази съдържанието на заявките и отговорите, освен ако собственикът на акаунта не е включил запис, и не ги използва без включена изрична настройка; той пази само метаданни (например брой токени). Доставчиците на моделите имат собствени условия за използване на данните. Не можем да обещаем повече от това, което гарантират условията на OpenRouter и на съответния доставчик.

Човешки контрол

• Харчене на пари (пускане на реклама, бюджет) става само след изрично действие на собственика или администратор.
• Рецепционистът отговаря на клиентите в WhatsApp сам, когато бизнесът е включил това; собственикът вижда разговорите и може да поеме всеки от тях.
• Приложението не взема решения с правни последици за хората (чл. 22 ОРЗД).

6. На кого предаваме данните

Използваме следните доставчици (подобработващи). Всеки получава само данните, нужни за неговата задача.

Предаване извън Европейското икономическо пространство

Базата данни, файловете и сървърите на приложението са в ЕС. Някои доставчици са в САЩ или могат да обработват данни там (OpenRouter и доставчиците на моделите, Twilio, Google, Meta, а за поддръжка и Supabase и Railway). Предаването става въз основа на стандартните договорни клаузи на Европейската комисия (чл. 46 ОРЗД), включени в условията на доставчиците, а за доставчици, сертифицирани по Рамката за защита на данните ЕС–САЩ, и на решението на Комисията за адекватно ниво на защита (чл. 45 ОРЗД). OpenRouter посочва в политиката си стандартни договорни клаузи и решения за адекватност, не Рамката. Използваме доставчиците по техните стандартни условия; нямаме отделно договорени клаузи.

Освен на тези доставчици можем да предоставим данни само на компетентен орган, когато законът го изисква.

7. Потребителски данни от Google

Използването и предаването към друго приложение на информация, получена от API на Google, от „ЕйвъмАдс“ се придържа към Правилата за потребителските данни на услугите на Google API (Google API Services User Data Policy), включително изискванията за ограничено използване (Limited Use).

Google API Services User Data Policy

Google Calendar

Когато собственик или администратор свърже календара си, искаме следните обхвати:

• calendar.calendarlist.readonly: да покажем списъка с календарите Ви, за да изберете в кой да записваме часовете.
• calendar.freebusy: да прочетем само заетите интервали на избрания календар, за да не предлагаме на клиентите заети часове. Не четем заглавия, описания или участници на Вашите събития.
• calendar.events: да създаваме, преместваме и изтриваме събитията за часовете, записани през приложението (услуга, име и телефон на клиента, източник и връзка към запитването). Променяме само събитията, които сме създали.
• openid и email: да покажем с кой Google акаунт е свързан календарът.

Отзиви от Google (Google Business Profile)

Само ако натиснете „Свържи отзивите“, отделно от календара, искаме обхвата business.manage, за да прочетем местоположенията на бизнес профила Ви и до 50-те най-нови отзива (текст, звезди, дата). Използваме ги само за анализа в проучването на Вашия бизнес; текстът се изпраща към езиковия модел за този анализ (раздел 5). Само четем: не отговаряме на отзиви и не променяме профила.

Нашите ангажименти

• Използваме данните от Google само за функциите, описани по-горе, видими за Вас в приложението.
• Не ги използваме за реклама, не ги продаваме и не ги предаваме на трети лица, освен на доставчиците от раздел 6, доколкото е нужно за тези функции, или когато законът го изисква.
• Не ги използваме за обучение на общи модели с изкуствен интелект.
• Хора не четат тези данни, освен с Вашето изрично съгласие за конкретен случай на поддръжка, когато е нужно за сигурността (например разследване на злоупотреба) или когато законът го изисква.
• Токенът за опресняване се пази криптиран. С „Прекъсни“ в Настройки → Връзки отменяме достъпа в Google и изтриваме връзката. Можете да отмените достъпа и от myaccount.google.com/permissions.

Входът с Google използва Supabase Auth и получава само имейла и основните данни на профила Ви в Google.

8. WhatsApp и Meta

WhatsApp Business (през Zernio)

Ако бизнесът свърже официален WhatsApp Business номер, съобщенията между клиентите и бизнеса минават през WhatsApp (Meta) и Zernio. Текстът на съобщенията се пази в нашата база, за да ги вижда бизнесът и да отговаря Рецепционистът.

WhatsApp Personal (през WAHA)

Бизнесът може да свърже обикновения си WhatsApp номер като свързано устройство. За това използваме WAHA, софтуер с отворен код, който работи в наша собствена услуга на Railway, достъпна само във вътрешната мрежа. WAHA пази ключовете на сесията в собствена малка база, не пази снимки и файлове и не чете историята на чатовете при свързването. Текстът на новите съобщения се пази в нашата база. Групи, статуси и канали се пренебрегват. Това е неофициален начин за свързване, който WhatsApp не поддържа, и номерът може да бъде ограничен от WhatsApp; бизнесът решава дали да го използва. С „Прекъсни“ сесията се изтрива.

Реклами в Meta

Когато бизнесът пусне реклама, през Zernio изпращаме към рекламния му акаунт в Meta текстовете, изображенията, бюджета и настройките на кампанията и четем резултатите (разход, показвания, кликвания, запитвания).

Пикселът на Meta

Ако бизнесът рекламира през свързан рекламен акаунт, страницата му може да зареди пиксела на Meta. Той се зарежда само след „Приемам“ в лентата долу на страницата. Тогава браузърът Ви изпраща към Meta адреса на страницата, данни за браузъра и вида на действието (посещение, обаждане или WhatsApp, запитване или записване), а Meta поставя свои бисквитки. Името и телефона Ви не изпращаме. С „Само необходимите“ пикселът не се зарежда. Отговорът важи само за страниците на този бизнес. Можете да го оттеглите по всяко време с „Бисквитки“ долу на страницата: пикселът спира веднага и лентата се показва отново.

Conversions API

Когато запитване или записване идва от страница на кампания, пусната през приложението, сървърът ни изпраща към Meta (през Zernio) събитие „Lead“ с: случаен идентификатор на запитването, часа, адреса на страницата и държавата (България). Това става и без съгласие за бисквитки, защото не съдържа име, телефон, имейл, IP адрес или бисквитка. Ако сте приели пиксела, двете събития имат общ номер и Meta ги брои веднъж.

9. Колко време пазим данните

• Профил, данни на бизнеса, запитвания, разговори, записвания, страници, реклами, проучвания и дневникът на действията: докато акаунтът на бизнеса е активен. Към днешна дата приложението не изтрива тези данни автоматично след определен срок.
• При заявка за изтриване на акаунт или на данни (страница „Изтриване на данни“): изтриваме ги до 30 дни, освен ако закон не изисква да пазим част от тях.
• Свързани акаунти: до прекъсването им. При „Прекъсни“ отменяме токена при Google, изтриваме акаунта при Zernio или сесията в WAHA и изтриваме връзката от нашата база; запитванията и историята им остават при бизнеса.
• Отговорите от Библиотеката с реклами на Meta се пазят в общ кеш 7 дни; търсенията на снимки в Pixabay/Pexels се кешират 24 часа.
• Номера и съобщения от непознати номера в WhatsApp Personal: не се пазят.
• Отговорът за бисквитките: в браузъра Ви, докато не го оттеглите или не изчистите данните на браузъра. Бележката за броене на посещение: до затваряне на раздела.
• Логовете на сървърите и резервните копия на базата се пазят от Railway и Supabase за ограничен срок според техния план и се презаписват.

Ако сте клиент на бизнес, колко дълго се пазят данните Ви решава бизнесът. Той може да поиска от нас да ги изтрием.

10. Сигурност

• Данните се пазят в ЕС (Supabase, Ирландия), а връзките към приложението са криптирани (HTTPS).
• Роли (собственик, администратор, член), проверявани в API, и правила за достъп на ниво ред (Row Level Security) за всяка таблица в базата, с тест за всяко правило. Един бизнес не вижда данните на друг.
• Всеки AI агент има собствен токен с ограничени права и достига данните само през нашия API, като всяко действие се записва в дневника. Токените на агентите се пазят само като SHA-256 хеш.
• Токените за Google и ключовете на други връзки се пазят криптирани с AES-256-GCM. Токените на Meta не достигат до нас, пази ги Zernio.
• Входящите известия от Twilio, Zernio и WAHA се проверяват по подпис; WAHA не е достъпна от интернет.
• Проверка на всяка заявка, лимити на заявките и на разходите, защита срещу подвеждащи инструкции в чуждо съдържание.
• Тайните ключове са само в настройките на Railway и Supabase, никога в кода.

Никоя система не е напълно защитена. Ако узнаем за нарушение на сигурността, което засяга лични данни, ще уведомим засегнатите бизнеси и, когато е нужно, Комисията за защита на личните данни в срока по чл. 33 ОРЗД.

11. Вашите права

Според ОРЗД имате право:

• на достъп до данните си и копие от тях (чл. 15);
• на поправка на неточни данни (чл. 16);
• на изтриване (чл. 17);
• на ограничаване на обработването (чл. 18);
• на преносимост на данните, които сте ни предоставили (чл. 20);
• на възражение срещу обработване на основание законен интерес (чл. 21);
• да оттеглите съгласието си по всяко време, без това да засяга обработването преди оттеглянето (чл. 7, пар. 3); за пиксела това става с „Бисквитки“ на страницата.

Собствениците на бизнеси упражняват правата си при нас. Клиентите на бизнес се обръщат към бизнеса; ако се обърнете към нас, ще препратим искането към него. Отговаряме в срок до един месец (чл. 12, пар. 3). Може да поискаме да потвърдите самоличността си, например като пишете от имейла на профила си.

Пишете ни на ardahalibryam@gmail.com.

Изтриване на данни

Имате право на жалба до Комисията за защита на личните данни (КЗЛД): София 1592, бул. „Проф. Цветан Лазаров“ № 2.

www.cpdp.bg

12. Деца

Приложението е предназначено за бизнеси и не е за лица под 16 години. Не събираме съзнателно данни на деца. Ако смятате, че дете ни е предоставило данни, свържете се с нас и ще ги изтрием.

13. Бисквитки

• Необходими: бисквитките за вход в приложението (Supabase) и записите в браузъра, без които страниците не работят правилно (отговорът за бисквитките, еднократното броене на посещение). За тях не е нужно съгласие.
• Рекламни, по избор: пикселът на Meta на страниците на бизнес, който го използва. Зарежда се само след „Приемам“ и поставя бисквитки на Meta Platforms Ireland. Отговорът е отделен за всеки бизнес и се оттегля с „Бисквитки“ долу на страницата.

Нашата начална страница и самото приложение не използват рекламни или аналитични бисквитки на трети страни. Шрифтовете и снимките на страниците се зареждат от нашия сървър и хранилище, а не от услуги на трети страни.

14. Промени

Ще обновяваме тази политика, когато приложението започне да събира, изпраща или пази данни по друг начин. Всяка промяна публикуваме на тази страница с нова дата на последната редакция, която е посочена и в началото.

Последна редакция: 12 ноември 2026 г.