Политика за поверителност

1. Кои сме ние

CreditArena е електронна платформа за кредитно посредничество, оперираща на адрес creditarena.bg.

За целите на тази политика администраторът на лични данни е CREDiPORT, операторът на платформата. Това е КРЕДИПОРТ АД — вписан в регистъра на кредитните посредници при БНБ под номер BCI000061 за кредити срещу имот (КРЕДИПОРТ АД, ЕИК 130847504, гр. София 1612, ул. „Ами Буе“ №84, ет. 9).

Обработваме личните ти данни по Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни.

2. Какви данни събираме

В зависимост от взаимодействието ти с платформата, обработваме следните категории данни:

2.1 Идентификационни данни (от формата за заявка)

• Три имена
• ЕГН (Единен граждански номер) — за да те идентифицира кредиторът и да прецени кредитоспособността ти
• Град на пребиваване
• Телефонен номер
• Имейл адрес

Ако си разрешил рекламните бисквитки, имейлът се записва още щом го въведеш във формата — преди да си изпратил заявката. Пазим го, за да можем да ти напомним за недовършена заявка. Ако не искаш, пиши ни (виж т. 11) и ще го изтрием.

2.2 Финансови данни

• Желана сума и срок на кредита — от формата за заявка.
• След като изпратиш заявката, формата те пита още: дали имаш доход и какъв; за какво е кредитът; какви кредити изплащаш (брой, колко плащаш по тях всеки месец, просрочия); семейно положение и домакинство; жилище и наем; образование; работа (вид договор, длъжност, работодател, стаж, отрасъл); личен и семеен нетен доход; дали имаш автомобил и откога ползваш телефонния си номер. Тези въпроси не са задължителни — заявката вече е изпратена и без тях. Отговорите, които дадеш, пазим заедно със заявката и според случая може да ги предадем на кредиторите, до които е стигнала заявката ти, за да преценят профила ти по-точно.

2.3 Технически данни, събирани автоматично

• IP адрес — за защита от злоупотреби; ако си разрешил рекламните бисквитки, и за отчитане на рекламата в Meta
• Тип на устройство, браузър, операционна система, разделителна способност
• Страници, които посещаваш, и времето, прекарано на тях
• Откъде идваш — предишната страница и параметрите на рекламата в адреса
• Бисквитки и подобни технологии (виж Политика за бисквитки)
• Изборът ти в банера за бисквитки — само като обща бройка за деня, без IP адрес и без идентификатор

2.4 Чувствителни данни: какво НЕ събираме

Не събираме и не обработваме специални категории данни по чл. 9 GDPR: раса, етнически произход, политически възгледи, религиозни убеждения, здравно състояние, сексуална ориентация или биометрични данни.

ЕГН се класифицира като идентификационни данни, а не като специална категория. Третираме го с повишена защита: кодиран в трансфер, с ограничен достъп.

3. Цели на обработката

Обработваме лични данни единствено за следните цели:

• Изпълнение на услугата: предаване на заявката към партньорските кредитори
• Комуникация: отговаряне на запитвания, изпращане на потвърждения и информация по заявката, напомняне за недовършена заявка (виж 2.1)
• Подобряване на услугата: анализ на ползваемост, технически проверки, отстраняване на грешки
• Измерване на рекламата: коя реклама е довела посещението или заявката — само ако си разрешил рекламните бисквитки
• Обобщена статистика: от отговорите в заявките смятаме обобщени числа, например каква част от заявките са за ремонт или каква е обичайната поискана сума, и ги публикуваме в раздел „Изследвания“. Публикуваме само числа за групи от поне 50 заявки, без имена, ЕГН, телефони, имейли и адреси и без нищо по отделни кредитори. От тези числа не може да се разбере кой е подал заявка
• Спазване на правни задължения: счетоводна, данъчна и регулаторна отчетност
• Сигурност: предотвратяване на измами, злоупотреби и неоторизиран достъп

4. Правни основания

Обработваме лични данни въз основа на:

• Твоето съгласие (чл. 6(1)(а) от GDPR): за предаването на заявката към кредиторите (отметката във формата; можеш да я оттеглиш по всяко време) и за аналитичните и рекламните бисквитки
• Законово задължение (чл. 6(1)(в)): за счетоводна и регулаторна отчетност
• Легитимен интерес (чл. 6(1)(е)): за сигурност, превенция на измами и подобряване на услугата, както и за обобщената статистика от т. 3, с гаранциите по чл. 89(1) от GDPR: смятат се само обобщени числа и се публикуват само групи от поне 50 заявки

5. С кого споделяме данни

Споделяме лични данни само в следните случаи:

• Партньорски кредитори: небанкови финансови институции, вписани в регистъра на БНБ, на чиито критерии съответства профилът ти, за изготвяне на оферта
• Технически доставчици: хостинг, база данни, имейл и инструменти за статистика — виж 5.2
• Meta: само ако си разрешил рекламните бисквитки — виж 5.2
• Държавни органи: при изрично законово изискване (БНБ, КЗЛД, съдебни органи)

Не продаваме лични данни. За реклама данни получава само Meta — и то само ако си разрешил рекламните бисквитки.

5.1 Партньорски кредитори като независими администратори

При подаване на заявка данните ти се изпращат до онези от изброените по-долу партньорски кредитори, чиито публикувани критерии съответстват на профила ти. Колко са те зависи изцяло от профила — не изпращаме към предварително определен брой. Всеки от тях е отделен администратор на лични данни. Обработва ги по собствената си политика за поверителност, със собствени срокове за съхранение и собствени решения за маркетинг.

Списък на партньорите:

• Кредисимо ЕАД (Credissimo)
• ЮтеКредит България ЕООД (iute Credit)
• Микро Кредит ЕАД (Микрокредит)
• Вива Кредит АД (VivaCredit)
• Кеш Кредит ЕАД (CashCredit)
• Максо България АД (Xtra.bg)
• Изи Асет Мениджмънт АД (EasyCredit)
• Креди Йес ООД (CrediYes)
• Аксес Файнанс АД (Бяла Карта)
• КРЕДИРЕКТ ЕООД (newcard.bg)
• Ай Ти Еф Груп АД (SmileCredit)
• ПРОФИ КРЕДИТ България ЕООД (ProfiCredit)
• Мъни Лийз ЕАД (Money+)
• Кредит Тайм ЕООД (CreditTime)
• София Комерс Кредит Груп АД (SofCommerce)
• Сити Кеш ООД (CityCash)

За всеки от тях ще намериш кратко описание и връзка към техните политики на /kreditori.

За въпроси по обработката на данните ти при конкретен кредитор се обърни директно към него.

Заявката за кредит срещу имот не отива до кредиторите от този списък. Получава я КРЕДИПОРТ АД — вписаният в БНБ кредитен посредник (BCI000061).

5.2 Технически доставчици и Meta

Освен кредиторите, данни обработват доставчиците в таблицата — за да работи сайтът, да се пазят заявките и да измерваме как се ползва сайтът. Инструментите за статистика и реклама тръгват само след съгласието ти в банера за бисквитки.

При Meta има разлика: за събирането и предаването на данните от сайта ни отговаряме заедно с Meta, като съвместни администратори (Съдът на ЕС, дело C‑40/17 Fashion ID). Какво прави Meta с данните след това, описва нейната политика за поверителност.

5.3 Проверка за повторна заявка

Преди да изпратиш заявката, браузърът ти праща към КРЕДИПОРТ (c.crediport.bg), операторът на платформата, хеш SHA‑256 на ЕГН-то, а не самото ЕГН, и откъде си дошъл. Така се проверява дали с това ЕГН вече има заявка през последните 2 месеца. Отговорът е „да“ или „не“.

Зареждането на рекламни и аналитични скриптове става само след изричното ти съгласие чрез банера за бисквитки. Виж Политика за бисквитки за пълен списък на конкретните бисквитки и техните срокове.

6. Срок на съхранение

Запазваме лични данни в следните срокове, в зависимост от категорията:

След изтичане на срока, данните се безвъзвратно изтриват или анонимизират (за статистически цели). Анонимизирани данни не съдържат лична информация и не подлежат на GDPR.

Можеш да поискаш по-ранно изтриване по чл. 17 GDPR (виж GDPR права), освен в случаите, когато законът ни задължава да запазим данните.

7. Твоите права

Като субект на лични данни, имаш следните права съгласно GDPR:

• Право на достъп: да получиш потвърждение дали обработваме твои данни и копие от тях
• Право на коригиране: да поискаш корекция на неточни данни
• Право на изтриване („бъди забравен“): при определени условия
• Право на ограничаване на обработката
• Право на преносимост: да получиш данните си в машинно-четим формат
• Право на възражение срещу обработка, основана на легитимен интерес
• Право да оттеглиш съгласие по всяко време, без обяснения
• Право на жалба до КЗЛД (Комисия за защита на личните данни)

Виж подробно: Твоите GDPR права.

8. Сигурност на данните

Прилагаме технически и организационни мерки за защита на данните:

• SSL/TLS криптиране на цялата комуникация със сайта
• Ограничен достъп до данните само за упълномощени служители

В случай на пробив, който може да доведе до риск за правата ти, ще уведомим КЗЛД в срок до 72 часа от установяване на инцидента (съгласно чл. 33 GDPR), а теб — без неоснователно забавяне, ако пробивът може да доведе до висок риск за теб (чл. 34 GDPR).

9. Международни трансфери

Базата данни и хостингът съхраняват данните в ЕС. Google, Microsoft и Meta са американски компании и данни от сайта може да стигнат до САЩ. Тогава прехвърлянето става по механизма в последната колона на таблицата в т. 5.2: стандартни договорни клаузи на ЕС (SCC) или решението на Европейската комисия за адекватност по EU‑US Data Privacy Framework.

10. Промени в политиката

Когато променим политиката, сменяме датата „Последно обновяване“ в горната част на страницата.

11. Контакт