на

“МУЗЕЙ НА АРХИТЕКТУРНО-ИСТОРИЧЕСКИ РЕЗЕРВАТ „БОЖЕНЦИ“

/за посетители на сайта и къщите за гости/

Приета на 25.05.2018 г., посл. изменение 25.06.2019 г., извадка за посетители на сайта и къщите за гости – утвърден на 21.04.2022 г.

1. Въведение

Настоящата Политика за защита на личните данни има за цел да Ви информира какви лични данни се обработват от “МУЗЕЙ НА АРХИТЕКТУРНО -ИСТОРИЧЕСКИ РЕЗЕРВАТ „БОЖЕНЦИ“ /наричано по-долу за краткост само Администратор/а/ът/, защо и как се обработват, кога е необходимо да се разкриват на трети лица. Също така, с нея се предоставя информация за правата, които субектите на данните имат във връзка с обработването на лични им данни от Администратора съгласно Регламент (ЕС) 2016/679 (ОРЗД) и Закона за защита на личните данни.

Настоящата извадка от политиката за защита на личните данни се отнася до всички дейности по обработването на лични данни, които се извършват относно лични данни на посетители на уеб сайта и къщите за гости, които организацията на Администратора обработва от различни източници.

Трети страни, които работят с или за Администратора, в т.ч. партньори, външни доставчици, клиенти, посетители и др., както и които имат или могат да имат достъп до личните данни на Администратора, са длъжни да се запознаят и съобразят с тази политика.

2. Видове лични данни, които се обработват от Администратора

Личните данни, събирани и обработвани от Администратора, са:

– Вашето собствено име, презиме, фамилия, пол, имейл адрес, телефонен номер и постоянен/настоящ адрес;

– ЕГН/ЛНЧ;

– данни от Вашия документ за самоличност (серия, номер, дата и място на издаване, валидност);

– Информация за кредитната Ви карта (вид и номер на картата, номер на сметката, име на картодържателя, дата на валидност и код за сигурност) – ако извършвате плащания посредством кредитна карта;

– Информация за престоя на гостите, включваща дата на пристигане и заминаване, направени специални заявки, цел на пребиваване, наблюдения за Вашите предпочитания за услуги (включително предпочитания за стая, удобства или други използвани услуги);

– Данни, които ни предоставяте относно Вашите маркетингови предпочитания или в процеса на Вашето участие в проучвания, конкурси, промоционални оферти, както и при абониране за електронния ни бюлетин;

– Други данни, когато нормативен акт изисква това.

3. Чувствителни лични данни

Администраторът не събира или обработва никакви видове чувствителни лични данни, освен ако чувствителните данни са от значение за конкретна цел, за която личните данни се обработват; в други случаи, в които Администраторът е задължен по закон; и/или ако сте предоставили определено изрично съгласие за това.

4. Цел на обработването

Личните данни на субектите се обработват в съответствие с ОРЗД и Закона за защита на личните данни, както и подзаконовите нормативни актове в областта на защитата на лични данни. Администраторът обработва личните Ви данни за следните цели:

• установяване самоличността на субектите на данните;

• водене на регистър за настанените туристи и предоставяне на поддържаната в него информация на съответните органи;

• адресна регистрация на чужденците;

• осъществяване на обратна връзка с посетителите с цел подобряване на предлаганите услуги и изпращане на информация към тях;

• удържане и заплащане на туристически данък;

• осчетоводяване, изготвяне и изпращане на сметки/фактури за услугите, които използвате при нас;

• дейности, свързани с разработването и въвеждането на мерки за борба с тероризма;

• осигуряване на сигурност и защита на субектите на данните;

• получаване на плащания и възстановяване на погрешно заплатени суми;

• упражняване и защита на законните права и интереси на Администратора (като отправяне на съобщения, нотариални покани, подаване на искови молби, заявления, жалби, сигнали и др.);

• изпращане на маркетингови и рекламни съобщения, свързани с предлаганите от Администратора услуги – след получаване на изрично съгласие;

• осигуряване на индивидуален подход при предоставяне на услугите, съобразен със заявените от посетителите ни предпочитания;

• обработване на заявления;

• изпълнение на задълженията на Администратора във връзка с предоставяната услуга;

• осъществяване на ефективна комуникация;

• актуализиране на личните данни на субектите на данните;

• изпълнение на други законови задължения на Администратора;

• други цели, за които изрично е предоставено съгласие от субекта на данните.

5. Правно основание за обработване на личните данни

Администраторът събира и обработва Вашите лични данни на едно от долупосочените основания:

• изрично предоставено съгласие – всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени. /напр. за целите на директния маркетинг/;

• изпълнение на договорни задължения – доколкото основният предмет и цел на договора обективно не могат да бъдат постигнати без предоставяне на определен обем лични данни. В тези случаи е достатъчна волята на страните да встъпят в договорни или преддоговорни отношения и съответно не е нужно даване на отделно съгласие за обработване на лични данни.

• изпълнение на законово задължение на Администратора – в случаите, когато личните данни се предават от един администратор на друг в резултат на прехвърляне на вземания (цесия), правното основание за обработване на личните данни е изпълнение на законовото задължение по чл. 99, ал. 3 от Закона за задълженията и договорите. Законът задължава предишния кредитор да предаде на новия кредитор намиращите се у него документи, които установяват вземането. Това обстоятелство обуславя и предаването на личните данни, доколкото същите се съдържат в съответните документи;

• защита на жизненоважни интереси – такава хипотеза би била налице при спешен случай и когато субектът на данните е неспособен да даде съгласие;

• за защита на легитимни интереси на администратора – това са случаите, в които се предприемат мерки за сигурност и охрана, включително чрез видеонаблюдение, проверка на лица и регистрация на достъпа до сгради, действия за гарантиране на информационната и мрежовата сигурност и др. Легитимен интерес е налице и при обработване на лични данни за защита на правата на администратора по съдебен или несъдебен ред, например за подаване на иск за неизпълнение на договор или за търсене на отговорност за причинени вреди.

6. Лични данни на деца

Обработването на лични данни на дете под 14-годишна възраст се осъществява въз основа на изрично съгласие, дадено от упражняващия родителски права родител или от настойника.

7. Последици при отказ за предоставяне на лични данни

Изричното съгласие на субекта на данните невинаги е необходимо, ако Администраторът разполага с друго правно основание за обработката на личните данни – напр. нормативно установено задължение.

Отказът за предоставяне на изискваните от Администратора лични данни, както и предоставянето на неверни такива, може да доведе до невъзможност за: сключване на договор; изпълнение на договорни и законови задължения, предоставяне на услуги и други, което освобождава Администратора от отговорност за неизпълнение.

8. Получатели на лични данни, пред които са или може да бъдат разкрити личните Ви данни

Администраторът предоставя личните данни на субектите на компетентните държавни, общински и съдебни органи и институции, когато това се изисква от законодателството на страната и в съответствие с определеното в него (напр. НАП, НОИ, МВР и др.). Администраторът предоставя данни и на: търговски партньори; обработващи лични данни по възлагане от администратора; банки; доставчици на пощенски и куриерски услуги; съдебни изпълнители; счетоводители; адвокати; нотариуси и други органи, когато това е необходимо за изпълнение на законово задължение на Администратора, като личните данни не се предават на трети държави.

9. Период на съхранение на личните данни

Продължителността на съхранение на личните Ви данни, зависи от целите на обработването, за които са събирани:

• Личните данни, обработвани с цел издаване на счетоводни/финансови документи за осъществяване на данъчно-осигурителния контрол, като фактури, дебитни, кредитни известия, приемо-предавателни протоколи, договори и други се съхраняват 10 години след изтичане на давностния срок за погасяване на публичното вземане или прекратяване на договора, с изключение на случаите, в които законодателството предвижда друг срок;

• Личните данни, за които законодателството не предвижда изричен срок, се съхраняват до изтичане на давностните срокове.

Когато личните данни, които се събират, вече не са необходими за упоменатите цели, те ще бъдат заличени или унищожени.

10. Права на субектите на данни

Съгласно ОРЗД субектът на данни има следните права по отношение на обработването на личните му данни:

– право на достъп до данните и информация за целите на обработването – Всяко лице има право да получи от Администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: целите на обработването; съответните категории лични данни; получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни (вкл. в трети държави или международни организации); когато е възможно, предвидения срок, за който ще се съхраняват данните, а ако това е невъзможно, критериите, използвани за определянето на този срок; съществуването на право да се изиска от Администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със засегнатите лицата, или да се направи възражение срещу такова обработване; правото на жалба до Комисията за защита на личните данни; когато личните данни не се събират от самите лица, всякаква налична информация за техния източник; съществуването на автоматизирано вземане на решения, вкл. профилирането, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за лицата.

Администраторът предоставя на лицето копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от лицата, Администраторът може да наложи разумна такса въз основа на административните разходи. Когато лицето подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако лицето не е поискало друго;

– право на коригиране на личните данни – Всяко лице, чиито данни се обработват от Администратора, има право да поиска от Администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването лицето има право непълните лични данни да бъдат допълнени;

– право на изтриване (правото „да бъдеш забравен“) – Всяко лице, чиито данни се обработват от Администратора, има правото да поиска от Администратора изтриване на свързаните с него лични данни без ненужно забавяне, а Администраторът има задължението да ги изтрие без ненужно забавяне, когато: личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин; лицето оттегли своето съгласие, върху което се основава обработването на данните, и няма друго правно основание за обработването; лицето възрази срещу обработването и няма законни основания за обработването, които да имат преимущество; личните данни са били обработвани незаконосъобразно; личните данни трябва да бъдат изтрити с цел спазването на правно задължение, което се прилага спрямо администратора; личните данни са били събрани във връзка с предлагането на услуги на информационното общество.

Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне.

– право на ограничаване обработването на лични данни – всяко лице, чиито данни се обработват от Администратора, има право да изиска от Администратора ограничаване на обработването, когато се прилага едно от следните: точността на личните данни се оспорва от лицето, за срок, който позволява на Администратора да провери точността на личните данни; Администраторът не се нуждае повече от личните данни за целите на обработването, но субектът на данните ги изисква за установяването, упражняването или защитата на правни претенции; субектът на данните е възразил срещу обработването в очакване на проверка дали законните основания на Администратора имат преимущество пред интересите на субекта на данните.

Когато обработването е ограничено съгласно горния параграф, такива данни се обработват, с изключение на тяхното съхранение, само със съгласието на субекта на данните или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице или поради важни основания от обществен интерес.

– право на преносимост на лични данни – субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на Администратора, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от Администратора, когато обработването е основано на съгласие във връзка с определени цели или на договорно задължение на субекта или предприемане на стъпки преди сключване на договор и когато обработването се извършва по автоматизиран начин.

Когато упражнява правото си на преносимост, субектът на данните може да получи пряко прехвърляне на личните данни от един администратор към друг, в случаите, в които това е технически осъществимо;

– право на възражение срещу обработването – Субектът на данните има право на възражение срещу обработване на лични данни, отнасящи се до него (когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия на Администратора, или обработването е за целите на легитимните интереси на Администратора или на трета страна), включително профилиране. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции.

Когато се обработват лични данни за целите на директния маркетинг, субектът на данни има право по всяко време да направи възражение срещу обработване на лични данни, отнасящо се до него за този вид маркетинг, което включва и профилиране, доколкото то е свързано с директния маркетинг. Когато субектът на данни възрази срещу обработване за целите на директния маркетинг, обработването на личните данни за тези цели се прекратява;

– право на жалба до надзорен орган за защита на личните данни – Съгласно българското законодателство надзорен орган по смисъла на ОРЗД е Комисията за защита на личните данни /КЗЛД/ с адрес: София 1592, бул. „Проф. Цветан Лазаров” № 2, електронна поща: kzld@cpdp.bg, интернет страница: www.cpdp.bg, тел.: 02/91-53-555.

11. Права на Администратора на лични данни

– да откаже да изтрие личните данни при условията и основанията, предвидени в Общия регламент относно защитата на данните, ЗЗЛД и другите нормативни актове в тази област, като се мотивира за отказа;

– да откаже предоставяне на достъп до данните на субекта на данни, ако искането за предоставяне право на достъп е неясно, неконкретно, или по друга причина, като във всеки конкретен случай администраторът е длъжен да се мотивира;

– да откаже коригиране на личните данни или ограничаване на обработването на личните данни, свързани със субекта на данни, като обясни причините за това;

– да наложи разумна такса, когато исканията са явно неоснователни или прекомерни, особено поради повтарящия се характер.

12. Защита на личните данни

За осигуряване на адекватна защита на данните Администраторът прилага всички необходими организационни и технически мерки, предвидени в ОРЗД, Закона за защита на личните данни, подзаконовите нормативни актове в областта на защитата на лични данни, както и най-добрите практики от международните стандарти. С цел максимална сигурност при обработване, пренос и съхранение на лични данни, Администраторът използва допълнителни механизми за защита, като защитни стени, процедури за контрол на достъпа, пароли за сигурност, заключващи устройства и система за видеоконтрол.

13. Правила за извършване на видеонаблюдение

На територията на “МУЗЕЙ НА АРХИТЕКТУРНО -ИСТОРИЧЕСКИ РЕЗЕРВАТ „БОЖЕНЦИ“ се осъществява видеонаблюдение с цел осигуряване безопасността на служители и посетители и охрана на имущество, а също така се използва и като средство за контрол на трудовата дисциплина на служителите. Използват се и уеб камери, които предават на живо картина и изображението е достъпно online.

Записите се съхраняват за период от 2 месеца, след което се унищожават и външни лица нямат достъп до тях. Записите се запазват извън посочения по – горе срок в случаите, когато е нужно за целите на разследване на престъпления или нарушения, за което Администраторът уведомява разследващия орган – полиция, прокуратура, Комисия за защита на личните данни и др., като в тези случаи записите могат да бъдат предоставени на компетентните органи.

Всяко физическо лице има право на достъп до отнасящите се за него видеозаписи. В случаите, когато при осъществяване правото на достъп на физическото лице могат да се разкрият лични данни и за трето лице, Администраторът е длъжен да предостави на съответното физическо лице достъп до частта от тях, отнасяща се само за него. За тази цел той трябва да предприеме съответни технически мерки за заличаване/маскиране на образите на другите лица-обект на видеонаблюдението. При липса на такава техническа възможност достъп до видеозаписи може да бъде предоставен само със съгласието на всички лица-обект на видеонаблюдението.

14. Нарушения. Уведомяване за нарушения

Нарушение на сигурността на данни възниква, когато личните данни, за които Администраторът отговаря, са засегнати от нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин.

След като съответният служител получи информация за извършено нарушение, той трябва да определи дали конкретното събитие представлява нарушение на лични данни и да уведоми ръководството на организацията за събитието (в случай, че то не е запознато).

В случай на нарушение на сигурността на личните данните, което съществува вероятност да породи риск за правата и свободите на физическите лица, Администраторът, без ненужно забавяне и когато това е осъществимо — не по-късно от 72 часа след като е разбрал за него, уведомява за нарушението Комисията за защита на личните данни.

Когато и доколкото не е възможно информацията да се подаде едновременно, информацията може да се подаде поетапно без по-нататъшно ненужно забавяне.

Когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, Администраторът без ненужно забавяне, съобщава на субекта за нарушението.

Администраторът документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението, последиците от него и предприетите действия за справяне с него.

15. Информация за контакти

“МУЗЕЙ НА АРХИТЕКТУРНО-ИСТОРИЧЕСКИ РЕЗЕРВАТ „БОЖЕНЦИ“ с код по БУЛСТАТ 000210372, със седалище и адрес на управление: БЪЛГАРИЯ, ПК 5349, с. Боженците, представлявано от Директора Мирослав Христов Йорданов.

Длъжностно лице по защита на данните:

Албена Георгиева Георгиева

с. Боженците, община Габрово

тел.:  +359 66 990950

e-mail: schetovodstvomair@abv.bg

Утвърдил: …………………………………………………………

/Мирослав Йорданов – Директор/