Политика за защита на личните данни

„LendingFree" ООД · Платформа за кредитно посредничество · Последна актуализация: юни 2026 г. · Документът подлежи на финален преглед от практикуващ адвокат, вписан в България, преди публикуване.

1. Администратор на лични данни и данни за контакт

Администратор на личните данни, обработвани чрез платформата LendingFree, е: „LendingFree" ООД, ЕИК: [ЕИК], седалище и адрес на управление: [адрес, град], вписано в Търговския регистър към Агенцията по вписванията.

Данни за контакт по въпроси за лични данни: имейл [имейл], телефон [телефон]. Длъжностно лице по защита на данните (ако е назначено): [имена и контакт или „не е назначено"].

Тази Политика е изготвена в съответствие с изискванията на чл. 13 и чл. 14 от Регламент (ЕС) 2016/679 (GDPR) и чл. 37 от Закона за защита на личните данни (ЗЗЛД).

2. Обхват и приложимо право

Политиката се прилага към всички лични данни, обработвани при предоставяне на B2B2C платформата за кредитно посредничество на [домейн]. Платформата е насочена към кредитни посредници, брокери, агенции и партньори (Потребители) и чрез тях — към техни крайни клиенти. Приложимото право включва: Регламент (ЕС) 2016/679 (GDPR); ЗЗЛД; ЗЕТ; ЗЕС; насоките на КЗЛД и EDPB.

3. Категории лични данни и източници

3.1. Данни на Потребители/Партньори

• Идентификационни: две имена, наименование на фирма/агенция, ЕИК (за юридически лица).
• Данни за контакт: имейл адрес, телефонен номер, адрес на офис (по избор).
• Данни за профила: потребителско име, данни за достъп (хеширани), роля, абонаментен план.
• Финансово-административни: данни за фактуриране, IBAN (при приложимо), история на плащанията.
• Данни за активност: лог записи, IP адреси, тип устройство и браузър, действия в платформата.

3.2. Данни на крайни клиенти (физически лица)

При ползване на личния GDPR линк на брокера крайният клиент предоставя: две имена, имейл адрес, телефонен номер и декларирана бюджетна информация — въведена самостоятелно от клиента.

Какво НЕ събираме директно: ЕГН на крайни клиенти, данни за доходи и работодател, банкови извлечения, кредитни оценки, специални категории данни по чл. 9 GDPR. Тези данни се обработват от съответния Партньор като самостоятелен администратор — вж. т. 5.

3.3. Данни при заявка за демо

Две имена, фирма, роля, имейл, телефон, описание на интереса.

4. Цели и правни основания (чл. 6 GDPR)

Цел	Правно основание
Регистрация, поддръжка на профил и предоставяне на платформата	чл. 6, §1, б. „б" — договор
Обработка на заявки за демо и преддоговорна комуникация	чл. 6, §1, б. „б" — преддоговорни отношения
Фактуриране и управление на абонамента	чл. 6, §1, б. „б" и „в" — договор + законово задължение
Изпращане на търговски съобщения и бюлетини	чл. 6, §1, б. „а" — съгласие (оттегляемо)
Сигурност, предотвратяване на злоупотреби и измами	чл. 6, §1, б. „е" — легитимен интерес
Подобряване на платформата (анализ на употребата)	чл. 6, §1, б. „е" (анонимни данни) или „а" (бисквитки)
Изпълнение на счетоводни и данъчни задължения	чл. 6, §1, б. „в" — законово задължение (ЗСЧСЧ, ЗДДС)
Защита на правни претенции	чл. 6, §1, б. „е" — легитимен интерес

5. Разграничение на ролите на администраторите

„LendingFree" ООД действа като самостоятелен администратор само за данните по т. 3.1 и 3.3. Важи следното разграничение:

• „LendingFree" ООД — администратор за: данни на Партньори, заявки за демо, технически логове.
• Партньорът (кредитен посредник/брокер) — самостоятелен администратор за личните данни на своите крайни клиенти. Носи самостоятелна отговорност за GDPR спрямо тях.
• Финансираща банка — самостоятелен администратор при обработване на кредитното досие.

Споделянето на бюджетна информация от краен клиент към Партньора се извършва по инициатива и под контрола на самия клиент. Това не представлява съвместно администриране по чл. 26 GDPR.

6. Получатели и обработващи лица (чл. 28 GDPR)

6.1. Обработващи лица (действат по наши инструкции на база договор по чл. 28 GDPR)

• Доставчик на хостинг и инфраструктура: [доставчик, напр. Azure / AWS / Hetzner].
• Доставчик на транзакционен имейл и комуникации: [доставчик].
• Счетоводна система: [доставчик].
• ИТ поддръжка и разработка: [доставчик/подизпълнител].
• Уеб анализ (при съгласие): [доставчик].

6.2. Самостоятелни получатели

• Компетентни държавни органи (НАП, НОИ, съдилища) — при законово задължение.
• Одитори и правни консултанти — при необходимост и задължение за поверителност.

„LendingFree" ООД не продава лични данни на трети страни.

7. Трансфер на данни извън ЕС/ЕИП (чл. 44 и сл. GDPR)

Стремим се данните да се обработват в рамките на ЕС/ЕИП. При използване на доставчик извън ЕС/ЕИП прилагаме: решение за адекватност на Европейската комисия или Стандартни договорни клаузи (СДК) по чл. 46, §2, б. „в" GDPR. Конкретните доставчици са достъпни при поискване.

8. Срокове на съхранение

Категория данни	Срок	Основание
Данни на активен партньорски профил	За срока на договора	Изпълнение на договор
Данни след прекратяване на профила	36 месеца	Легитимен интерес (правни претенции)
Заявка за демо (неконвертирана)	12 месеца	Легитимен интерес
Счетоводни документи и фактури	10 години	чл. 12 ЗСЧСЧ, чл. 38 ЗДДС
Технически логове (сигурност)	12 месеца	Легитимен интерес
Данни при съгласие за маркетинг	До оттегляне	чл. 6, §1, б. „а" GDPR
Данни при правен спор	До окончателното му приключване	Легитимен интерес

9. Права на субектите на данни (чл. 15–22 GDPR)

• Достъп (чл. 15): потвърждение дали данните се обработват и копие от тях.
• Коригиране (чл. 16): поправяне на неточни или допълване на непълни данни.
• Изтриване / „право да бъдеш забравен" (чл. 17): при отпадане на правното основание — с изключения по чл. 17, §3 GDPR.
• Ограничаване (чл. 18): при оспорване на точността или при незаконосъобразност.
• Преносимост (чл. 20): данните в структуриран, машинночетим формат — при обработка въз основа на съгласие или договор.
• Възражение (чл. 21): срещу обработване въз основа на легитимен интерес, вкл. за директен маркетинг.
• Оттегляне на съгласие: по всяко време, без да засяга предходната обработка.
• Автоматизирани решения (чл. 22): „LendingFree" ООД не прилага профилиране с правни последици.

Упражняване: писмено искане на имейл [имейл за поверителност]. Отговаряме в срок до един месец (чл. 12, §3 GDPR), удължим с два месеца при сложност. Упражняването е безплатно (чл. 12, §5 GDPR).

10. Бисквитки и проследяване

Категория	Предназначение	Правно основание	Срок
Задължителни	Сесия, автентикация, сигурност, CSRF	Необходими за услугата	Сесия / до 1 г.
Функционални	Запомняне на предпочитания	Съгласие	До 1 г.
Аналитични	Статистика за ползване	Съгласие или легитимен интерес (анонимни)	До 2 г.
Маркетингови	Ретаргетинг	Съгласие	До 1 г.

Банерът за съгласие не съдържа предварително отметнати полета (освен задължителните), предоставя равностойни бутони „Приемам/Отказвам" и не блокира достъпа при отказ — в съответствие с насоките на КЗЛД и EDPB (Guidelines 05/2020).

11. Сигурност на данните (чл. 32 GDPR)

• Криптиране на данни при пренос (TLS 1.2+) и в покой при чувствителни категории.
• Контрол на достъпа на принципа „необходимост да се знае" и многофакторна автентикация.
• Хеширане на пароли (bcrypt/Argon2).
• Периодична оценка на риска и тестване на уязвимости.
• Обучение на служителите и задължителни клаузи за поверителност.
• Процедура за управление на инциденти и журналиране.

12. Нарушения на сигурността (чл. 33–34 GDPR)

При нарушение, водещо до риск за правата и свободите, уведомяваме КЗЛД в срок до 72 часа от узнаването (чл. 33). При висок риск уведомяваме и засегнатите лица без ненужно забавяне (чл. 34). Водим регистър на нарушенията по чл. 33, §5 GDPR.

13. Промени в Политиката

При съществени промени уведомяваме Партньорите чрез съобщение в платформата и/или имейл, с разумен срок преди влизане в сила. Актуалната версия е достъпна на [домейн]/politika-za-poveritelnost с дата на последна актуализация.

14. Контакт, жалби и надзорен орган

По въпроси за лични данни: имейл [имейл за поверителност]. Имате право на жалба до надзорния орган по обичайно пребиваване или място на нарушението. За България:

Комисия за защита на личните данни (КЗЛД)
гр. София 1592, бул. „Проф. Цветан Лазаров" № 2
Имейл: kzld@cpdp.bg · Тел.: 02/915 35 19
Уебсайт: www.cpdp.bg

Жалби по електронен път следва да са подписани с квалифициран електронен подпис (КЕП). Имате и право на съдебна защита.