Политика за поверителност

1. Кой обработва вашите лични данни (администратор)

Администратор на личните данни по смисъла на Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни (ЗЗЛД) е:

Дружеството не е задължено по закон да назначи Длъжностно лице по защита на данните (DPO), но всички въпроси, свързани с поверителност, се обработват приоритетно от посочения имейл.

2. Обхват на политиката

Тази политика описва как обработваме лични данни, когато използвате уебсайта cyberninjas.ai, нашата SaaS платформа, AI Студиото, видео уроците, общността, свързаните Telegram интеграции и свързаните профили в Instagram и Facebook. Тя не покрива външни уебсайтове или услуги, към които препращаме.

3. Какви категории лични данни обработваме

• Идентификационни данни: име, имейл адрес, аватар (когато е свързан Google профил).
• Данни за акаунта: криптирана парола, статус на двуфакторна защита, MFA фактори, свързани OAuth профили (Google), съгласие за имейл маркетинг.
• Финансови и платежни данни: данни за плащания (последни 4 цифри на карта, държава), номера на абонаменти и фактури, ДДС / VAT номер за фирмени акаунти, фирмено име, адрес. Пълните данни на картите се обработват изцяло от Stripe и не се съхраняват от нас.
• Съдържание, генерирано от потребителя: изображения, видеа, наръчници, чат сесии с AI Архитектите, метаданни на генерациите, public/private статус, форкове, харесвания.
• Генеративни заявки (промптове): текстът на промптовете, които подавате за генериране на изображения, видеа и аудио, както и качените от вас референтни файлове.
• Разговори с AI и Супер Мозък памет: Супер Мозъкът съхранява карти с факти, които споделяте (включително дословните ви думи), личния ви профил („ДНК“: кой сте, с какво се занимавате, накъде вървите, бележки и връзки между тях), пълните транскрипти на разговорите с AI асистента (включително онбординг интервюто) и поведенчески сигнали от разговора (например настроение на интервюто, използвани токени). Съдържанието е свободен текст изцяло под ваш контрол - вие решавате какво да споделите. Съветваме ви да не споделяте специални категории данни (здраве, политически или религиозни убеждения и др.); ако все пак ги споделите, ги обработваме единствено за да ви служи паметта.
• Технически данни: IP адрес (за rate-limiting и сигурност), потребителски агент, тип браузър, операционна система, езикови предпочитания, времеви печати на действията. За продуктовата аналитика IP адресът се съхранява само като необратим хеш със сол, която се сменя на всеки 24 часа, заедно с код на държавата и потребителски агент; суровите събития се пазят 3-5 месеца.
• Данни за прогрес в обучението: гледани видеоуроци, докъде сте стигнали в курсовете, отзиви.
• Telegram данни: Telegram chat ID, име в Telegram (когато доброволно свържете акаунта си с бота), статус на членство в платената група, предпочитания за известия.
• Свързани социални профили: когато по свое желание свържете професионален профил в Instagram, Facebook страница или TikTok акаунт с акаунта си, пазим идентификатора на профила или страницата (при TikTok: open_id и union_id), потребителското и показваното име, адреса на профилната снимка, списъка с правата, които сте ни дали, и ключовете за достъп, които Meta или TikTok издава за профила ви. Ключовете се пазят само шифровани. Пазим и служебни данни за връзката: кога е създадена, опреснена и използвана за последно, кой свързан инструмент я е използвал, състояние и текст на последната грешка от платформата. Не четем и не пазим вашите последователи, съобщения или коментари.
• Данни от онбординга: онбордингът е разговор с AI асистент - нивото на опит, индустрията, интересите и целите, които споделяте в него, влизат в Супер Мозък паметта (вижте категорията „Разговори с AI и Супер Мозък памет“) и служат за персонализация.
• Маркетингова атрибуция: когато пристигате от реклама, запазваме първоначалния източник (utm параметри, кликови идентификатори fbclid/gclid, Meta бисквитките _fbp/_fbc, началната страница, препращащия сайт) в първострана бисквитка cn_attr и го свързваме с акаунта ви при регистрация.
• Имейл кореспонденция: съдържанието на писмата, които ни изпращате на адресите за поддръжка.

4. Цели, правни основания и срокове на съхранение

Обработваме личните ви данни за конкретни и легитимни цели, всяка с ясно определено правно основание по чл. 6 от GDPR и срок на съхранение, съобразен с целта или законовите изисквания.

Как работи свързването на социален профил. От cyberninjas.ai ви прехвърляме към екрана за съгласие на Meta (Instagram Login или Facebook Login for Business). Там вие избирате дали да дадете достъп, до кои страници и с какви права. Meta ни връща ключ за достъп до профила ви, който пазим шифрован и ползваме само за действията, които сте поискали от свързан инструмент, например публикуване на пост, който вие сте написали. Свързаният инструмент получава ключа за кратко, само през вашата удостоверена връзка с cyberninjas.ai и само когато публикува. Ключовете с краен срок се опресняват автоматично от нашия сървър, за да не свързвате профила отново. При TikTok ви прехвърляме към екрана за съгласие на TikTok (Login Kit), където давате достъп до основните данни на профила си (име и снимка) и право да качваме чернови. Свързаният инструмент качва видеото в TikTok директно от компютъра ви и то пристига като чернова във входящата ви кутия в TikTok; дали и как да го публикувате решавате вие в приложението на TikTok.

5. Доставчици на услуги (под-обработващи)

За да предоставим платформата, използваме доверени трети страни (под-обработващи), всички от които са обвързани с договори за обработка на данни (DPA) и подходящи технически и организационни мерки. Никой от тях не продава вашите данни.

При промяна в списъка на под-обработващите ще актуализираме тази таблица и датата в горната част на страницата.

6. Международни трансфери на данни

Част от описаните по-горе доставчици се намират извън Европейското икономическо пространство (ЕИП). За тези трансфери прилагаме допустими по GDPR гаранции:

• Стандартни договорни клаузи (SCCs): сключени с всички доставчици в САЩ (Stripe, Vercel, Google, OpenAI, xAI, Mux, Resend, Kling AI, Meta, OpenRouter, ElevenLabs и др.).
• EU-U.S. Data Privacy Framework (където доставчикът е сертифициран) – допълнителна гаранция за адекватност съгласно Решение за изпълнение на ЕК (ЕС) 2023/1795.
• Минимизация на данните: към AI доставчиците изпращаме само промптовете и референтните файлове, необходими за конкретната генерация – без идентификационни данни на потребителя.
• Технически мерки: всички трансфери се извършват по криптирани канали (TLS 1.2+) и кратко-живи токени.

Zhipu AI (Китай): разсъждаващият GLM модел на Супер Мозък се предоставя от Zhipu AI, базиран в Китай - държава, за която няма решение за адекватност от Европейската комисия. Трансферът се извършва чрез стандартни договорни клаузи и договорните условия на OpenRouter и на доставчика, с минимизация на данните: изпращаме само текста, необходим за отговора (разговорът и заредените карти от паметта), никога име, имейл или идентификатори на акаунта.

Telegram: свързването на Telegram акаунт е изцяло доброволно. Telegram е базиран извън ЕИП и САЩ, поради което изпратените към него данни (chat ID, име, известия) се обработват по правилата на Telegram. Можете по всяко време да отвържете Telegram акаунта от настройките.

7. Автоматизирано вземане на решения и AI обработка

Платформата използва AI модели от трети страни за генериране на изображения, видеа, текстове и автоматизации. Това включва автоматизирана обработка на въведените от вас промптове. Такава обработка:

• Не води до правни последици за вас и не засяга съществено вашите права (по смисъла на чл. 22 GDPR).
• Включва автоматична модерация на промптовете преди изпращане към AI моделите. При откриване на нарушаващо съдържание заявката се блокира и кредитите се възстановяват автоматично.
• Резултатите от генерациите остават ваша собственост, доколкото това е допустимо по приложимото законодателство и условията на AI доставчика.
• Супер Мозъкът създава профил на потребителя (профилиране по смисъла на чл. 4, т. 4 GDPR) единствено за да персонализира отговорите и помощта в платформата. Профилирането не води до правни последици за вас и не се използва за решения с подобен ефект.
• Не използваме вашето съдържание за обучение на AI модели и не го предоставяме на трети страни за такива цели.
• Вие виждате и управлявате паметта си - можете да изтриете отделна карта, отделен разговор или целия акаунт, при което данните се изтриват каскадно.

8. Вашите права по GDPR

Като субект на лични данни имате следните права, които можете да упражните по всяко време:

• Право на достъп (чл. 15 GDPR) – да получите потвърждение и копие на личните данни, които обработваме.
• Право на коригиране (чл. 16 GDPR) – да поправите неточни или непълни данни. Повечето полета можете да коригирате директно от настройките на профила.
• Право на изтриване „да бъдеш забравен“ (чл. 17 GDPR) – да поискате изтриване, освен в случаите, в които сме задължени по закон да запазим данните (например 10 години за фактури).
• Право на ограничаване на обработката (чл. 18 GDPR).
• Право на преносимост (чл. 20 GDPR) – да получите данните си в структуриран, машинно четим формат (JSON / CSV).
• Право на възражение (чл. 21 GDPR) – да възразите срещу обработка на основание легитимен интерес или директен маркетинг.
• Право да оттеглите съгласие (чл. 7, ал. 3 GDPR) – без да се засяга законосъобразността на предходната обработка. Маркетинговите имейли имат unsubscribe линк във всяко съобщение.

За да упражните права, които не са достъпни директно от настройките, ни пишете на privacy@cyberninjas.ai от регистрационния си имейл. Отговаряме в срок до един месец съгласно чл. 12, ал. 3 GDPR.

Откачане и изтриване на свързан социален профил. По всяко време можете да откачите профил от Настройки → Свързани профили → Социални мрежи. При откачане изтриваме веднага ключовете за достъп при нас. Достъпа на приложението Cyberninjas.ai при Meta отнемате от настройките на Instagram или Facebook (приложения и уебсайтове, бизнес интеграции); когато го направите, Meta ни уведомява и ние изтриваме ключовете по същия начин. Можете да поискате и изтриване на данните си през настройките на Facebook или Instagram: Meta ни изпраща заявката, ние изтриваме ключовете и ви даваме код за потвърждение и страница, на която да проверите състоянието на заявката. При TikTok откачането отнема и достъпа на приложението Cyberninjas.ai в самия TikTok. Достъпа можете да отнемете и от приложението TikTok; тогава ключовете ни спират да работят, а шифрованите ключове и записа за връзката изтриваме, когато откачите профила при нас, изтриете акаунта си или ни пишете. Записът за връзката без ключове се изтрива окончателно 30 дни след откачането. Изтриване можете да поискате и на privacy@cyberninjas.ai.

9. Жалби до надзорния орган

Ако считате, че обработката на вашите данни нарушава GDPR или ЗЗЛД, имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД):

Преди да подадете жалба, ви насърчаваме да се свържете с нас – в повечето случаи проблемът може да бъде решен директно.

10. Деца и непълнолетни

Платформата не е насочена към лица под 14 години (възрастта на съгласие за обработка на лични данни в Република България съгласно чл. 4а от ЗЗЛД). Не събираме съзнателно данни на деца под 14 г. без съгласието на техен родител или попечител. Ако установим, че сме събрали такива данни без надлежно съгласие, ги изтриваме незабавно. За въпроси и сигнали ни пишете на privacy@cyberninjas.ai.

11. Сигурност на данните

Прилагаме индустриални технически и организационни мерки за защита на вашите данни:

• Криптиране на трансфера (TLS 1.2+) и на чувствителните полета в покой.
• Row-Level Security (RLS) на ниво база данни – никой потребител не вижда чужди данни.
• Ключовете за достъп до свързаните социални профили се пазят шифровани (AES-256-GCM) с ключ, който съществува само в сървърната ни среда. Дешифрират се само в момента на употреба, не се показват в интерфейса и не се записват в логове.
• Двуфакторна защита (TOTP) за админ панела и опционално за потребителските акаунти.
• Хеширане на паролите чрез bcrypt – никой служител не вижда действителната ви парола.
• Принцип на минимални права – служителите имат достъп само до данните, необходими за конкретна задача.
• Регулярни сигурностни одити на кода и на инфраструктурата.
• Сегрегация между production и тестови среди – реални данни никога не се ползват за разработка.

12. Уведомление при нарушение на сигурността на данните

При нарушение на сигурността, което може да доведе до риск за правата и свободите ви, ще ви уведомим в срок до 72 часа от установяване (чл. 33 и чл. 34 GDPR), включително какво се е случило, какви данни са засегнати и какви мерки сме предприели. Едновременно уведомяваме и КЗЛД в законоустановения срок.

13. Бисквитки и подобни технологии

Платформата използва задължителни и функционални бисквитки, както и маркетингови технологии (Meta Pixel), описани подробно в нашата Политика за бисквитки.

14. Промени в политиката

Можем да актуализираме тази политика, за да отразим промени в услугите, законодателството или най-добрите практики. При съществени промени ще уведомим всички активни потребители по имейл поне 14 дни преди влизането им в сила. Датата на последна актуализация е посочена в горната част на страницата. Архив с по-стари версии се съхранява за 5 години.

15. Контакт

За всички въпроси, свързани с тази политика или с обработката на личните ви данни: