Политика за поверителност

1.Кои сме ние

AhaPlay Bulgaria VCC е дружеството, което отговаря за експлоатацията на Платформата ExecuteOS и свързаните с нея услуги. Правното ни наименование е AhaPlay Bulgaria VCC, ЕИК 208270875, а седалището и адресът ни на управление са ул. „Розова долина“ № 5, ет. 4, район „Лозенец“, 1421 София, България. С въпроси, свързани с настоящата Политика за поверителност или с обработването на лични данни, можете да се обърнете към нашия контакт за поверителност на privacy@ahaplay.com или по пощата на адрес AhaPlay Bulgaria VCC, на вниманието на контакта за поверителност, ул. „Розова долина“ № 5, ет. 4, район „Лозенец“, 1421 София, България.

2.Обхват на настоящата Политика за поверителност

Настоящата Политика за поверителност се прилага за личните данни, обработвани от ExecuteOS във връзка с Платформата ExecuteOS и свързаните с нея приложения; Работните пространства, Програмите, Сесиите, Провежданията, Шаблоните и свързаните функционалности; функциите и интеграциите с помощта на ИИ; уебсайтовете, процесите на въвеждане, комуникациите и услугите по поддръжка; и другите услуги или функционалности, предоставяни периодично от ExecuteOS.

Настоящата Политика за поверителност се прилага за Клиентски организации, Крайни потребители и Администратори на работно пространство, участници в Сесии или Провеждания, посетители на уебсайтовете на ExecuteOS, потенциални клиенти, Партньори, консултанти, Лидери на мнение и бизнес контакти, както и за други лица, чиито лични данни се обработват във връзка с Платформата или свързаните услуги, независимо дали достъпът до Платформата е пряко чрез ExecuteOS, чрез Партньор, чрез корпоративно внедряване или чрез друга разрешена договореност.

Настоящата Политика за поверителност не се прилага за платформи, услуги или интеграции на трети лица, които ExecuteOS не контролира; за политики или дейности по обработване на Клиентски организации извън Платформата; нито за дейности по обработване, извършвани самостоятелно от Клиентски организации, Партньори или други трети лица извън контрола на ExecuteOS. Услугите и интеграциите на трети лица могат да имат собствени политики за поверителност, условия и практики за обработване.

Когато Клиентска организация ви покани на Сесия, Програма или друго преживяване в Платформата, преди да имате Потребителски профил в ExecuteOS, Клиентската организация действа като администратор по отношение на тази първоначална покана и отговаря за предоставянето на информация как използва личните ви данни във връзка с поканата. ExecuteOS ви предоставя настоящата Политика за поверителност при първото ви взаимодействие с Платформата (обикновено когато щракнете върху връзката в поканата или по друг начин получите за първи път достъп до функционалност на Платформата). Ако получите покана, но не влезете в Платформата, информацията за вас се обработва само от поканилата ви Клиентска организация и от подобработващия лични данни за доставка на имейли, посочен в раздел 5.4, и то само с ограничената цел за доставяне на поканата, докато тя изтече или бъде оттеглена.

3.Категории лични данни, които обработваме

Категориите лични данни, които ExecuteOS обработва, зависят от използваните функционалности на Платформата, конфигурацията на съответното Работно пространство, ролята на съответния Краен потребител, активираните интеграции и функции с ИИ и начина, по който Клиентските организации и Крайните потребители използват Платформата.

3.1 Данни за профила и самоличността

Когато се регистрирате за Потребителски профил в ExecuteOS или го използвате, ние обработваме вашето пълно име (използва се за показвано име и идентифициране в Сесиите), имейл адрес (използва се за вход, комуникация и покани), парола в хеширан вид (използва се за удостоверяване и никога не се съхранява в явен вид), снимка на профила или аватар, ако сте ги предоставили доброволно, професионална биография или заглавие, ако сте ги предоставили доброволно, предпочитания за език и локализация, дата на последния вход, индикатори за статус на профила и дата и час на създаване на профила.

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR) за задължителните данни за профила, съгласие (чл. 6, пар. 1, буква „а“ от GDPR) за доброволно предоставени елементи на профила, като снимка и биография, и законен интерес (чл. 6, пар. 1, буква „е“ от GDPR) за информация за сигурност и одит, като дата на последния вход и дата и час на създаване на профила.

3.2 Данни за Работното пространство и организацията

Когато организация внедри ExecuteOS, ние обработваме името и имейл адреса на лицето за контакт на организацията, телефонния му номер, ако е предоставен, показваното име на подателя в системните имейли, изпращани от името на организацията, идентификаторите на Работното пространство, информация за фактуриране и абонамент, административни контакти, конфигурации и настройки на Работното пространство, структури на участниците и членствата, разрешения за достъп, активирани функционалности и интеграции, както и данни за клиентска поддръжка, въвеждане и оперативна конфигурация, свързани с използването на Платформата.

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR).

3.3 Данни за активността в Сесии и Провеждания

Когато участвате в съвместни преживявания в ExecuteOS (Сесии и Провеждания), ние обработваме записи за присъствие на сесии, включително дата и час на присъединяване и записи за участие; вашите отговори, избори, класирания, размисли и приноси към дейностите; напредъка в дейностите, включително статус на завършване, време в дейността и резултати; оценки за съгласуване, показатели за разминаване и обобщени показатели за съгласуването на екипа, изведени от груповите модели на отговорите; съобщения в чата в рамките на Сесиите; дадените или получените от вас одобрения с незадължителни коментари; поетите от вас ангажименти и потвърждения по време на Сесиите; обратна връзка за удовлетвореност след Сесията и за повторно възпроизвеждане, ако решите да я предоставите; статус на Член на програма, включително дати на присъединяване и завършване и индикатори за посланик (champion); действия по фасилитиране, когато действате като фасилитатор на Сесия; и сигнали за проблеми, включително име, имейл и съобщение, ако подадете сигнал за грешка.

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR) за данните за участие и ангажираност, необходими за предоставянето на услугата, съгласие (чл. 6, пар. 1, буква „а“ от GDPR) в съчетание със законен интерес (чл. 6, пар. 1, буква „е“ от GDPR) за одобренията и обратната връзка, и законен интерес (чл. 6, пар. 1, буква „е“ от GDPR) за сигналите за проблеми.

3.4 Данни за устройството и технически данни

Ние автоматично събираме технически данни, когато използвате Платформата, включително информация за вида на устройството и операционната система, вида и версията на браузъра, IP адрес и приблизително географско местоположение, изведено от технически или мрежови данни (обикновено на ниво държава или град), активност по удостоверяване и сесии, дата и час на достъп, статус на разрешенията за камера и микрофон (само проверка на възможностите, без запис), качество на мрежовата връзка по време на Сесии, активност на инфраструктурата и API, отчети за грешки и сривове, показатели за производителност и забавяне, оперативни журнали и информация от мониторинг, информация за съхранението в браузъра и състоянието на сесията, както и събития, свързани със сигурността, сигнали за откриване на аномалии и индикатори за предотвратяване на измами.

Правно основание: законен интерес (чл. 6, пар. 1, буква „е“ от GDPR) за сигурността на платформата, отстраняването на проблеми, предоставянето на услугата и оперативната цялост.

3.5 Мониторинг на грешки

Използваме услуга за мониторинг на грешки на трето лице за автоматично докладване на грешки и сривове в Платформата ExecuteOS в производствена среда. При възникване на грешка услугата може да запише съобщението за грешка и трасирането на стека, идентификатора на вашия Потребителски профил и в някои случаи имейл адреса ви като част от контекста на грешката, вида на устройството, името и версията на браузъра, страницата или маршрута, където е възникнала грешката, и последните действия преди нея (breadcrumbs).

Данните от мониторинга на грешки се използват единствено за диагностика и отстраняване на софтуерни грешки и не се използват за профилиране, маркетинг или други цели извън надеждността на платформата. Срок за съхранение: най-много 90 дни.

Правно основание: законен интерес (чл. 6, пар. 1, буква „е“ от GDPR): поддържане на стабилността на платформата и отстраняване на технически проблеми, които засягат потребителите.

3.6 Данни за удостоверяване и сигурност

За да защитим вашия Потребителски профил, ние обработваме токени за удостоверяване (съхранявани в локалното хранилище на браузъра, докато излезете от профила), които поддържат удостоверената ви сесия при презареждане на страницата и се изчистват при излизане; отделни токени за влизане от името на потребител, използвани, когато персоналът на ExecuteOS влиза във вашия Потребителски профил за целите на поддръжката, с ангажимента за уведомяване за достъпа, описан в раздел 5.3; записи за валидност, изтичане и отнемане на сесии; токени за нулиране на парола и за магически връзки (временни и с ограничен срок на валидност); и записи за административен достъп, когато персоналът на ExecuteOS влиза във вашия Потребителски профил за целите на поддръжката. Конкретните технически подробности за ключовете за съхранение, форматите на токените и криптографските стандарти са описани в Политиката за сигурност.

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR) и законен интерес (чл. 6, пар. 1, буква „е“ от GDPR) за сигурността на вашия профил.

3.7 Данни от разговори с ИИ

Когато използвате функциите на ExecuteOS с помощта на ИИ (включително генериране на Програми с ИИ, препоръки, обобщения, промптове и създаване на Програми чрез чат), могат да се обработват следните данни:

• Вашите съобщения в чата и промптове (съхраняват се 7 дни, след което се изтриват автоматично)
• Целите на екипа и работният контекст, които описвате (съхраняват се 7 дни, след което се изтриват автоматично)
• Качените от вас документи, например PDF файлове (съхраняват се 7 дни, след което се изтриват автоматично)
• Името на организацията (съхранява се 7 дни, след което се изтрива автоматично)
• Идентификаторът на вашия Потребителски профил и идентификаторът на Работното пространство (съхраняват се 7 дни само като метаданни и НЕ се изпращат на доставчиците на модели на ИИ)
• Генерираните резултати от Програми (съхраняват се 1 година, вижте раздел 7)
• Следи от изпълнението на ИИ, използвани за мониторинг на качеството и безопасността (съхраняват се най-много 90 дни от доставчика на проследяване на ИИ)

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR): функциите с ИИ са основна част от услугата, за която сте сключили договор.

ExecuteOS не използва Съдържание на клиента в разпознаваема форма за обучение, дообучаване, оптимизиране или разработване на модели на изкуствен интелект или системи за машинно обучение, независимо дали тези системи са предназначени за вътрешна или външна употреба, без изричното предварително съгласие на съответната Клиентска организация. ExecuteOS поддържа договорни гаранции със своите подобработващи лични данни в областта на ИИ (включително OpenAI, Anthropic и доставчици на проследяване на ИИ), по силата на които Съдържанието на клиента, подадено чрез API, не се използва от тези доставчици за обучение на техните модели на ИИ с общо предназначение, освен ако съответната Клиентска организация или Краен потребител изрично не е разрешил това. ExecuteOS може да използва обобщени, анонимизирани, статистически и неидентифициращи данни, получени от използването на Платформата, единствено за целите на експлоатацията, поддържането, защитата, подобряването, поддръжката и развитието на Платформата и нейните системи с ИИ.

3.8 Видео и аудио по време на Сесии

ExecuteOS се интегрира с услуга за видеоконферентна връзка на трето лице за видеоконференции на живо по време на съвместни Сесии. Когато се присъедините към Сесия с видео, вашето показвано име и роля се споделят с услугата за конферентна връзка, аудио- и видеопотоците ви се предават чрез нейната инфраструктура, другите участници в Сесията могат да ви виждат и чуват, а идентификаторите на конферентните стаи се свързват с вашата Сесия.

Важно: ExecuteOS НЕ записва вашите видео- или аудиосесии. Потоците в реално време се предават чрез инфраструктурата за конферентна връзка и не се съхраняват от ExecuteOS, освен ако записването на Сесията не е изрично активирано и всички участници не са дали съгласието си (вижте раздел 3.9).

API за видеоконферентна връзка се зарежда като външен скрипт по време на Сесиите и може да задава собствено хранилище в браузъра или бисквитки независимо от контрола на ExecuteOS. За подробности относно данните, които може да събира, вижте политиката за поверителност на съответния доставчик на конферентна връзка.

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR): видеоконферентната връзка е неразделна функция на съвместните Сесии.

3.9 Незадължително записване на Сесии (изисква се съгласие)

ExecuteOS може да позволи записване на Сесии. Записването се активира САМО когато:

• преди началото на записа е получено изрично съгласие от ВСИЧКИ участници;
• през цялото време на записа е показан видим индикатор за запис;
• записът се спира незабавно, ако някой участник оттегли съгласието си.

Ако не дадете съгласие, няма да бъдете записвани, а отказът ви не се отразява на възможността да участвате в Сесията.

Правно основание: съгласие (чл. 6, пар. 1, буква „а“ от GDPR): изрично, конкретно и свободно изразено съгласие от всички участници.

3.10 Технологии за съхранение в браузъра

ExecuteOS не използва бисквитки на маркетинговия си уебсайт или в Платформата за проследяване, реклама или анализи. Използваме локалното хранилище на браузъра единствено за съхраняване на функционални и сесийни данни, включително токени за удостоверяване, административни токени за влизане от името на потребител, езиков код, кеширани низове от потребителския интерфейс за по-добра производителност, предпочитания за оформление на интерфейса и състояние на интерфейса за конкретната Сесия (например състояние на времевата линия и видимост на колоните). Конкретните имена на ключовете в локалното хранилище и техническите подробности са описани в Политиката за сигурност.

Можете по всяко време да изчистите всички данни от локалното хранилище чрез настройките на браузъра си, но така ще излезете от Платформата.

3.11 Анализ чрез топлинни карти и записи на сесии (изисква се съгласие)

Когато дадете съгласие, доставчикът на анализи събира:

• движения на мишката, щраквания и превъртане;
• взаимодействия с бутони и полета на формуляри;
• IP адрес (маскиран до ниво град чрез анонимизацията на доставчика);
• информация за устройството и браузъра.

Доставчикът НЕ събира пароли, данни за платежни карти или пълния текст, въведен в чувствителни полета (те се маскират автоматично).

Правно основание: съгласие (чл. 6, пар. 1, буква „а“ от GDPR). Можете да оттеглите съгласието си по всяко време от настройките на профила си и доставчикът на анализи ще спре незабавно.

3.12 Комуникация с поддръжката и съобщения в Платформата

Когато се обръщате към поддръжката на ExecuteOS, използвате функционалностите за съобщения в платформата или функциите за поддръжка с помощта на ИИ, ние обработваме съдържанието на вашите съобщения и разговори с поддръжката; прикачените файлове, екранните снимки или файловете, които подавате във връзка с искане за поддръжка; идентификаторите, необходими за свързване на искането с вашия Потребителски профил (име, имейл, идентификатор на Потребителски профил, идентификатор на Работно пространство); контекстна информация за проблема (страница или функция, в която е възникнал, информация за браузъра и устройството, съобщения за грешки); и метаданни за взаимодействието (дата и час, време за отговор, статус на заявката, служител по поддръжката, на когото е възложена).

Чатът за поддръжка на ExecuteOS в платформата се хоства в собствената инфраструктура на ExecuteOS (AWS eu-central-1, Франкфурт), а комуникацията с поддръжката не се предава и не се съхранява при външни доставчици на хоствани чатове за поддръжка. Когато за разпределяне, предлагане на отговори или друга помощ при вашето взаимодействие с поддръжката се използва функционалност с помощта на ИИ, съдържанието на съобщението ви и относимият контекст могат да се обработват от подобработващите лични данни на ExecuteOS в областта на ИИ (OpenAI и Anthropic, посочени в раздел 5.4) при същите гаранции, описани в раздел 3.7, включително договорната забрана тези доставчици да обучават своите модели на ИИ с общо предназначение с подаденото съдържание.

Съдържанието на комуникацията с поддръжката се съхранява за срока, необходим за разрешаване на вашето искане и поддържане на непрекъснатостта на поддръжката, при спазване на сроковете за съхранение в раздел 7.

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR) за поддръжката, необходима за предоставянето на Услугите, и законен интерес (чл. 6, пар. 1, буква „е“ от GDPR) за подобряване на качеството на поддръжката, предотвратяване на измами и злоупотреби и оперативна непрекъснатост.

4.Цели на обработването и правни основания

Обработваме личните ви данни само когато имаме правно основание за това. Основните цели на обработването и съответните правни основания са посочени по-долу.

4.1 Тест за баланс на законните интереси

Когато се основаваме на законни интереси (чл. 6, пар. 1, буква „е“ от GDPR), сме извършили тест за баланс, за да гарантираме, че нашите интереси нямат преимущество пред основните ви права. Основните законни интереси, на които се основаваме, са:

• Сигурност на Платформата и предотвратяване на измами: интересът ни да защитим всички потребители от заплахи за сигурността надделява над минималното въздействие върху поверителността от обработването на технически данни и журнали, което потребителите разумно очакват в среда на SaaS (софтуер като услуга). Свеждаме събирането на данни до необходимото за идентифициране на заплахи и реакция при тях, прилагаме контрол на достъпа и съхраняваме данните за сигурността само за сроковете, посочени в раздел 7.
• Мониторинг на услугата и отстраняване на грешки: поддържането на надеждността на Платформата е от полза за всички потребители, а данните за грешки имат технически характер и се обработват с контрол на достъпа и свеждане до минимум на личните данни. Отчетите за грешки изключват съдържанието на заявките, когато това е възможно, а идентификаторите се свеждат до необходимия минимум за диагностика на проблемите.
• Подобряване на продукта и развитие на Платформата: използваме анонимизирани или обобщени данни само за общо подобряване на продукта, а индивидуалните поведенчески данни не се използват за профилиране без съгласие. Когато използваме данни от функционалностите с помощта на ИИ за подобряването им, прилагаме ограниченията за обучение на ИИ, описани в раздел 3.7.
• Одит, управление и предотвратяване на злоупотреби: съхраняваме одитни журнали, записи за административен достъп и оперативни записи в подкрепа на разследвания по сигурността, законосъобразното съответствие и защитата на Платформата и нейните потребители. Достъпът до тези записи е ограничен до оправомощен персонал със законна оперативна необходимост или необходимост, свързана със сигурността или съответствието.
• Управление на отношенията с клиенти и качество на поддръжката: обработваме ограничени данни за самоличност и взаимодействие, за да управляваме отношенията с клиентите, да предоставяме поддръжка, да подобряваме нейното качество и да поддържаме оперативната непрекъснатост. Това обработване е пропорционално на контекста на поддръжката и е ограничено до информацията, разумно необходима за взаимодействието.
• Защита на дейността и правни претенции: можем да обработваме и съхраняваме данни, когато това е необходимо за установяване, упражняване или защита на правни претенции, за прилагане на договорни права или за отговор на законни нужди от защита на дейността. Сроковете за съхранение са съобразени с приложимите давностни срокове.

Във всеки от случаите сме претеглили законния си интерес спрямо правата и свободите на субектите на данни и сме заключили, че той няма преимущество пред тези права, особено предвид прилаганите гаранции (контрол на достъпа, свеждане на данните до минимум, ограничения на срока за съхранение и липса на поведенческа реклама или профилиране от трети лица). Имате право да възразите срещу обработване, основано на законни интереси. Как да упражните това право е описано в раздел 11, а ние ще прекратим това обработване, освен ако не докажем убедителни законни основания, които имат предимство пред вашите интереси.

4.2 Разпределение на ролите на администратор и обработващ

Когато ExecuteOS действа като обработващ лични данни от името на Клиентска организация, Клиентската организация определя целите и средствата на обработването. Дейностите, при които Клиентската организация действа като администратор, а ExecuteOS като обработващ лични данни, включват конфигуриране на Работното пространство; управление на участниците и администриране на Членовете на програми; дизайн и конфигуриране на Програми, Сесии и Провеждания; настройки за видимост на участието и организационен достъп; Съдържание на клиента, качено в Платформата; използване на работни процеси с помощта на ИИ, инициирано от Клиентската организация; и инициативи за ангажираност и сътрудничество, конфигурирани на ниво Работно пространство. За тези дейности обработването се урежда от приложимото Споразумение за обработване на лични данни (DPA) и от инструкциите на Клиентската организация.

ExecuteOS действа като самостоятелен администратор при дейности, за които определя целите и средствата на обработването, включително управление и удостоверяване на Потребителски профили; управление на абонаменти и фактуриране; управление на отношенията с клиенти; сигурност, предотвратяване на измами и на злоупотреби; оперативен мониторинг и управление на инфраструктурата; подобряване на Платформата и развитие на продукта (с обобщени и анонимизирани данни); разработване и подобряване на функционалности с помощта на ИИ; поддръжка и отстраняване на проблеми; и спазване на закона и законни търговски дейности.

Когато ExecuteOS обработва едни и същи лични данни както в качеството на администратор, така и в качеството на обработващ (например името на Краен потребител фигурира както в Потребителския профил, който ExecuteOS управлява като администратор, така и в записите за участие в Сесии, които ExecuteOS обработва от името на Клиентската организация), ExecuteOS прилага съответната роля за всяка цел на обработването.

5.Как споделяме личните ви данни

5.1 В рамките на вашата организация

Ако имате достъп до ExecuteOS чрез вашия работодател или организация:

• Администраторите на работно пространство могат да виждат записите за участие, показателите за ангажираност и присъствието на Сесиите;
• обобщените оценки за съгласуването на екипа и записите за ангажименти са видими за администраторите на организацията;
• индивидуалните отговори в Сесии и приносите към дейностите са видими за фасилитатора на вашата Сесия и за другите участници по време на общите ви Сесии и след тях;
• вашето име, роля и снимка на профила са видими за членовете на вашето Работно пространство.

Когато в Сесия, Програма или съвместно преживяване участват лица извън вашата Клиентска организация, включително външни гости, поканени участници, Партньори, консултанти или фасилитатори, оправомощени от вашата Клиентска организация, вашето име, роля, снимка на профила, отговори и приноси, видими по време на Сесията, ще бъдат видими за тези външни участници при същите условия, както за другите участници в Сесията. В останалите случаи Работните пространства са логически разделени среди, а видимост между тях е налице само когато е изрично конфигурирана от оправомощен Администратор на работно пространство, активирана чрез приложима функционалност на Платформата или необходима за споделени съвместни преживявания, разрешени процеси на покани или оперативни интеграции.

5.2 Участници в Сесии

По време на Сесия на живо следните данни се споделят в реално време с всички участници във вашата Сесия:

• вашето показвано име и снимка на профила;
• вашите отговори и приноси към дейностите (които са част от груповото упражнение за съгласуване);
• статусът ви на присъствие (на линия или извън линия);
• съобщенията в чата, които изпращате в рамките на Сесията.

5.3 Администратори на работно пространство и оперативен достъп

Клиентските организации остават отговорни да гарантират, че видимостта за Администраторите на работно пространство е конфигурирана пропорционално, че Крайните потребители и участниците са информирани за приложимите настройки за видимост и че използването на данните за участие от организацията съответства на Приложимото законодателство (включително приложимите изисквания за наблюдение на работното място, трудово право, недискриминация и работнически съвети).

Персоналът на ExecuteOS, оправомощен за операции и поддръжка на ниво платформа, може да получава достъп до Работните пространства на Клиента единствено доколкото това е разумно необходимо за предоставянето на Услугите, за отговор на искания за поддръжка, за разследване на инциденти със сигурността или за изпълнение на законови задължения. Когато това е разумно осъществимо и не противоречи на целта на достъпа, ExecuteOS уведомява съответния Администратор на работно пространство за този достъп. Одитните следи за този достъп се поддържат и могат да бъдат предоставени на съответната Клиентска организация при разумно искане.

5.4 Доставчици на услуги, които са трети лица (подобработващи лични данни)

Споделяме данни с внимателно подбрани доставчици на услуги, които са трети лица и обработват данни от наше име. Всички подобработващи лични данни са обвързани със споразумения за обработване на лични данни (DPA), съответстващи на член 28 от GDPR. Настоящите ни подобработващи лични данни са:

Актуален списък на подобработващите лични данни, включително всички добавяния или замени, направени след датата на последна актуализация на настоящата Политика за поверителност, се поддържа и на адрес ahaplay.com/sub-processors. ExecuteOS уведомява Клиентските организации най-малко тридесет (30) дни предварително за всяка съществена промяна в списъка на подобработващите лични данни в съответствие с раздел 10.6 от Общите условия за ползване, като там е описан и механизмът за възражение.

5.5 Други разкривания

Можем да споделяме лични данни и при следните обстоятелства:

• Законово задължение: когато това се изисква от закон, съдебно разпореждане, регулаторен орган или правоохранителни органи. Когато това е разумно осъществимо и законово допустимо, ExecuteOS уведомява засегнатата Клиентска организация, преди да разкрие Съдържание на клиента в отговор на искания от държавни, съдебни, регулаторни или правоохранителни органи, а когато искането се отнася до лични данни на физическо лице, уведомява и засегнатото лице, ако това е законово допустимо.
• Корпоративни сделки: в случай на вливане, придобиване, инвестиция, финансираща сделка, корпоративно преструктуриране, промяна на контрола, продажба на активи, стратегическо партньорство, съвместно предприятие или друга корпоративна сделка, в която участва ExecuteOS, лични данни могат да бъдат разкрити на потенциални или действителни правоприемници, приобретатели, инвеститори, съветници или участници в сделката. Разкриванията по време на правен и финансов преглед (due diligence) подлежат на задължения за поверителност, ограничения на достъпа и търговски разумни предпазни мерки за сигурност, а от всеки правоприемник, който получава лични данни, се очаква да ги обработва в съответствие с Приложимото законодателство и при защита, по същество равностойна на предвидената в настоящата Политика за поверителност. Нищо в тази разпоредба не позволява продажба, лицензиране или прехвърляне на разпознаваеми лични данни за поведенческа реклама от трети лица или за несвързана търговска експлоатация.
• Защита на жизненоважни интереси: за защита на жизненоважните интереси на което и да е лице.
• С ваше съгласие: за всяка друга цел, за която сте дали изрично съгласие.

5.6 Публично съдържание и споделяне по решение на потребителя

Определени функционалности на Платформата могат да позволяват на Клиентски организации, Администратори на работно пространство, Крайни потребители или оправомощени участници умишлено да публикуват, споделят, разпространяват, вграждат, експортират или по друг начин да предоставят съдържание на други потребители или на обществеността, включително публични Шаблони, Програми, Сесии или Провеждания; публични демонстрационни страници или споделени преживявания; съдържание на общността и споделени ресурси; публични галерии или зони за откриване; споделени връзки или вградени преживявания; или друго съдържание, умишлено направено видимо извън частна среда на Работно пространство.

Клиентските организации и Крайните потребители остават отговорни да гарантират, че съдържанието, умишлено споделено, публикувано, експортирано или направено публично достъпно чрез Платформата, не нарушава Приложимото законодателство; не накърнява права на трети лица; не разкрива поверителна или чувствителна информация без разрешение; и е подходящо за предвидената видимост и аудитория. Съдържание, умишлено направено публично или споделено навън, може да стане достъпно за трети лица и да остане видимо, кеширано, копирано, индексирано или преразпространявано извън контрола на ExecuteOS. ExecuteOS не носи отговорност за използване, повторно публикуване, копиране, индексиране или преразпространение от трети лица на съдържание, умишлено споделено или направено публично от Клиентски организации или Крайни потребители.

5.7 Интеграции и услуги на трети лица, разрешени от потребителя

Платформата поддържа интеграции с услуги на трети лица, които Клиентските организации или оправомощени потребители могат да изберат да свържат, включително интеграции с календар (например Google Calendar), доставчици на удостоверяване и единен вход, инструменти за производителност и сътрудничество и други услуги, активирани към съответния момент. Когато дадена интеграция е активирана, ExecuteOS може да обменя лични данни с интегрираната услуга, доколкото това е необходимо за предоставянето на функционалността на интеграцията (например изпращане на графици на Сесии към свързана календарна услуга).

Интеграциите, които вие или вашата Клиентска организация изберете да свържете, функционират съгласно собствената политика за поверителност, условия за ползване и практики за сигурност на третото лице, които са независими от настоящата Политика за поверителност. Клиентските организации и Крайните потребители отговарят за преценката дали свързаните услуги са подходящи, за управлението на приложимите разрешения (включително разрешенията по OAuth) и за законосъобразното използване на интеграциите. ExecuteOS не носи отговорност за дейностите по обработване, оперативните практики или самостоятелните действия на услуги или интеграции на трети лица извън разумния контрол на ExecuteOS.

За разлика от тези интеграции подобработващите лични данни на ExecuteOS (раздел 5.4) обработват лични данни от името на ExecuteOS по споразумения за обработване на лични данни съгласно член 28 от GDPR и са отговорност на ExecuteOS.

6.Международно предаване на данни

Някои от нашите доставчици на услуги се намират извън Европейското икономическо пространство (ЕИП). Когато предаваме личните ви данни извън ЕИП, гарантираме наличието на подходящи гаранции съгласно глава V от GDPR. Механизмите за предаване, които използваме, включват:

• Стандартни договорни клаузи (СДК) съгласно Решение 2021/914 на Комисията за предаване към обработващи лични данни, когато няма решение за адекватно ниво на защита;
• решението за адекватно ниво на защита по Рамката за защита на личните данни между ЕС и САЩ (DPF), когато обработващият лични данни в САЩ е сертифициран по DPF (проверете на dataprivacyframework.gov);
• решението за адекватно ниво на защита за Обединеното кралство (чл. 45 от GDPR) за предаване към Обединеното кралство;
• споразумения за обработване на лични данни с конкретни обработващи, включващи СДК, когато е приложимо; и
• не се изисква механизъм за предаване при обработване, което остава в рамките на ЕИП.

Ако действието на решение за адекватно ниво на защита (включително DPF между ЕС и САЩ) бъде спряно, отменено или съществено изменено, ExecuteOS ще разчита като действаща гаранция на СДК или други валидни механизми за предаване, приложени със съответния подобработващ лични данни, без да е необходима промяна на настоящата Политика за поверителност.

6.1 Оценки на въздействието върху предаването

За предаване към юрисдикции извън ЕИП сме извършили оценки на въздействието върху предаването (TIA), като сме взели предвид:

• естеството на предаваните данни (обикновено техническо, оперативно или бизнес съдържание, а не чувствителни категории);
• правната рамка на държавата по местоназначение и всички приложими закони за достъп от държавни органи;
• прилаганите допълнителни мерки (криптиране при пренос, псевдонимизация, контрол на достъпа);
• практическата вероятност трети лица да получат достъп до конкретните данни.

Копия от нашите СДК или обобщения на TIA се предоставят при писмено искане на privacy@ahaplay.com.

7.Съхранение на данните: колко дълго пазим данните ви

Съхраняваме личните ви данни само докато е необходимо за целите, описани в настоящата Политика, за спазване на законови задължения, за разрешаване на спорове и за прилагане на нашите споразумения. Основните срокове за съхранение са:

ExecuteOS прилага търговски разумни технически и организационни мерки, за да намали вероятността от повторна идентификация на анонимизирани или обобщени данни. Обобщената, анонимизираната, деидентифицираната, псевдонимизираната, статистическата, сравнителната, оперативната и аналитичната информация, която не идентифицира Клиентски организации или разпознаваеми физически лица, не представлява Съдържание на клиента или Поверителна информация на съответната Клиентска организация за целите на настоящата Политика за поверителност, Общите условия за ползване или приложимата договорна рамка.

8.Как защитаваме данните ви: мерки за сигурност

Прилагаме технически и организационни мерки за сигурност, съразмерни на риска, в съответствие с член 32 от GDPR. ExecuteOS поддържа сертификат по ISO/IEC 27001:2022, който обхваща платформата ExecuteOS и свързаните с нея системи за управление на сигурността на информацията, и редовно преминава през оценки на сигурността.

8.1 Технически мерки за сигурност

Нашата програма за сигурност включва мерки, свързани с:

• криптиране при съхранение и при пренос с криптографски алгоритми, отговарящи на отрасловите стандарти;
• удостоверяване и контрол на достъпа, включително контрол на достъпа въз основа на роли (RBAC) и многофакторно удостоверяване за административен достъп;
• сегментиране на мрежата с контролиран достъп до производствените среди чрез VPN;
• управление на уязвимости, включително редовни актуализации за сигурност, сканиране на зависимостите и тестове за проникване;
• мониторинг и известяване чрез автоматизиран мониторинг на сигурността с откриване на аномалии;
• процедури за реакция при инциденти;
• резервно копиране и възстановяване при бедствия; и
• управление на сигурността на ИИ.

Подробните технически спецификации, включително конкретните стандарти за криптиране, криптографските алгоритми, мрежовата архитектура и инфраструктурните практики, са описани в Политиката за сигурност.

8.2 Организационни мерки за сигурност

• Целият персонал с достъп до лични данни преминава обучение по защита на данните и сигурност.
• Достъп до лични данни се предоставя само при необходимост и редовно се преглежда.
• Всички подобработващи лични данни, които са трети лица, преминават проверка и са обвързани с DPA.
• Въведена е процедура за реакция при нарушение на сигурността на личните данни (вижте раздел 13).
• Вътрешните политики за сигурност се преглеждат най-малко веднъж годишно.

8.3 Вашите отговорности

Вие също допринасяте за сигурността на данните си:

• Изберете силна и уникална парола и не я споделяйте с други лица.
• Излизайте от ExecuteOS, когато използвате споделени или обществени устройства.
• Уведомете ни незабавно на privacy@ahaplay.com, ако подозирате неоправомощен достъп до вашия Потребителски профил.

9.Съгласие: кога и как го искаме

9.1 Съгласие при регистрация

Когато създавате Потребителски профил в ExecuteOS, ви молим:

• да прочетете и приемете нашите Общи условия за ползване;
• да прочетете настоящата Политика за поверителност и да потвърдите, че сте запознати с нея;
• по желание да се съгласите да получавате маркетингови съобщения чрез отделно незадължително поле за отметка.

Записваме датата и версията на Политиката за поверителност, които сте приели при регистрацията. Ако направим съществени промени в настоящата Политика, ще поискаме отново вашето потвърждение.

9.2 Съгласие за проследяване

ExecuteOS не използва бисквитки за проследяване и не показва банер за съгласие за бисквитки. Технологиите за проследяване, за които се изисква вашето съгласие, са:

• Анализ чрез топлинни карти и записи на сесии (вижте раздел 3.11): изисква се изрично съгласие, само в Платформата и след активиране от Администратор на работно пространство.
• Незадължително записване на Сесии (вижте раздел 3.9): изисква се изрично съгласие от всички участници в Сесията.

9.3 Оттегляне на съгласие

Когато обработването се основава на вашето съгласие, имате право да го оттеглите по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето. За да оттеглите съгласие:

• Маркетингови имейли: щракнете върху „Отписване“ във всеки имейл или актуализирайте предпочитанията си за комуникация в настройките на профила;
• Анализ чрез топлинни карти и записи на сесии: откажете се чрез настройките за поверителност;
• Интеграция с календар: прекъснете връзката от настройките за интеграции;
• Снимка на профила: изтрийте снимката от настройките на профила;
• Всяко друго съгласие: свържете се с privacy@ahaplay.com и ще обработим оттеглянето в срок от 5 работни дни.

10.Специални категории данни и високорисково обработване

10.1 Снимки на профила: биометрични данни

Снимките на профила се качват доброволно и се използват единствено за показване (за да ви разпознават членовете на екипа). ExecuteOS не използва лицево разпознаване, биометрична идентификация или обработване, при което от снимките се извличат биометрични шаблони. Снимките на профила НЕ се обработват за целите на идентифициране.

Правно основание: съгласие (чл. 6, пар. 1, буква „а“ от GDPR). Можете да изтриете снимката си по всяко време.

10.2 Обработване с ИИ и големи езикови модели: извършена оценка на въздействието

10.3 Анализ чрез топлинни карти и записи на сесии: извършена оценка на въздействието

10.4 Поведенчески данни и показатели за ангажираност

Платформата ExecuteOS събира данни за ангажираност и поведение, за да измерва съгласуването на екипа и ефективността на Програмите, включително честота на влизане, процент на завършване на дейности, вид устройство, показатели за ангажираност, участие в Програми и тенденции в оценките за съгласуване. Тези данни се използват за предоставяне на функциите за измерване на съгласуването, които са основна част от услугата ExecuteOS.

Тези данни НЕ се използват за вземане на автоматизирани решения относно отделни служители, за извеждане на чувствителни характеристики или за изграждане на профили, използвани за цели извън предоставянето на услугата.

Правно основание: изпълнение на договор (чл. 6, пар. 1, буква „б“ от GDPR) за показателите, необходими за предоставянето на услугата; законен интерес (чл. 6, пар. 1, буква „е“ от GDPR) за обобщено подобряване на продукта.

11.Вашите права като субект на данни

Съгласно GDPR имате следните права, които можете да упражнявате безплатно. Ще отговорим в срок от един календарен месец (който може да бъде удължен до три месеца при сложни искания, като ще ви уведомим за това).

11.1 Процедура при искане за достъп от субект на данни (DSAR)

За да подадете искане за достъп (DSAR) или да упражните някое от горните права:

1. Подайте искането си по имейл на privacy@ahaplay.com с тема „Data Subject Rights Request“ или чрез настройките за поверителност в платформата.
2. Проверка на самоличността: можем да ви помолим да потвърдите самоличността си (например регистрирания си имейл), за да защитим данните ви от неоправомощени искания.
3. Обработване: ще потвърдим получаването в срок от 3 работни дни и ще дадем пълен отговор в срок от 1 календарен месец или ще ви уведомим за удължаване на срока.
4. Предоставяне: при искания за достъп предоставяме експорт на данните във формат JSON и/или CSV, който обхваща всички лични данни, описани в раздел 3.
5. Безплатно: не начисляваме такса за отговор на искания за достъп, освен ако искането е явно неоснователно, повтарящо се или прекомерно.

12.Автоматизирано вземане на решения и профилиране

Използваме автоматизирано обработване за следните функции, като във всеки от случаите то подпомага дейности, ръководени от хора, а не замества човешката преценка:

• Оценки за съгласуването на екипа и показатели за разминаване: изчисляват се чрез обобщаване на отговорите на участниците в дадена дейност и изчисляване на статистически мерки за сближаване и вариация в групата. Тези оценки описват групата като цяло, а не отделни лица, и не се използват за оценка на индивидуалното представяне.
• Генериране на Програми с помощта на ИИ: на големите езикови модели се подават целите на екипа, работният контекст и качените материали, предоставени от потребителя, и те генерират предложения за структури на Програми, план на Сесии и последователности от дейности. Резултатите са препоръки, а не указания, и изискват човешки преглед преди внедряване.
• Формиране на групи, разпределяне на участниците и балансиране на участието: в рамките на Сесия ExecuteOS може да разпределя или преразпределя участниците в подгрупи или кръгове на дейности въз основа на сигнали като брой участници, разпределение на ролите, предишен състав на групите и параметри на дизайна на Сесията. Използваните сигнали не включват чувствителни характеристики, оценки на представянето или поведенчески профили.
• Последователност и координиране на работните процеси: редът и темпото на дейностите в Програмите и Сесиите се определят от структурата на Програмата (конфигурирана от фасилитатори или ръководители на Програми) и от динамични сигнали като статус на завършване на дейностите и готовност на участниците. Фасилитаторите могат да променят последователността по всяко време.
• Подпомагане на модерирането: Платформата може да отбелязва съдържание или взаимодействия за преглед от фасилитатор или администратор въз основа на сигнали за съвпадение на модели (например филтри за ключови думи, прагове за дължина или аномалии в отговорите). Отбелязването води до човешки преглед и спрямо отбелязаното съдържание не се предприема автоматично действие без потвърждение от човек.
• Графици, напомняния и известия: повтарящите се Сесии за проверка, напомнянията по имейл и известията за участие се генерират въз основа на графиците на Програмите, статуса на участниците и правилата, конфигурирани от Администраторите на работно пространство.

Резултатите и препоръките, генерирани от ИИ в Платформата, могат да съдържат неточности, предубеждения, пропуски или неподходящо съдържание, а Клиентските организации и фасилитаторите отговарят за прегледа им, преди да разчитат на тях при вземане на решения, които ви засягат. Съгласно Общите условия за ползване на Клиентските организации е договорно забранено да използват Платформата, Резултатите, генерирани от ИИ, анализите или поведенческите показатели като единствена или основна основа за решения за наемане, прекратяване, дисциплинарни мерки, възнаграждения, повишения, психологически оценки, здравни оценки, автоматизирано профилиране или други решения с правни последици в областта на трудовите отношения или регулаторни решения.

Ако смятате, че автоматизиран процес е довел до резултат, който ви засяга съществено, свържете се с privacy@ahaplay.com и ще осигурим човешки преглед.

13.Нарушения на сигурността на личните данни: нашите задължения и вашите права

Отнасяме се сериозно към сигурността на данните. В случай на нарушение на сигурността на личните данни следваме процедурите, предвидени в членове 33 и 34 от GDPR.

13.1 Вътрешна реакция

• Целият персонал е обучен да разпознава предполагаеми нарушения и незабавно да ги докладва на нашия контакт за поверителност.
• След потвърждаване на нарушение извършваме оценка на риска в срок от 24 часа.
• Нашата процедура за реакция при инциденти документира естеството на нарушението, засегнатите данни, вероятните последици и мерките за смекчаването им.

13.2 Уведомяване на надзорния орган (чл. 33)

Ако е вероятно нарушение да породи риск за правата и свободите на физическите лица, ще уведомим компетентния надзорен орган в срок от 72 часа, след като сме узнали за нарушението. Уведомлението включва:

• естеството на нарушението и категориите засегнати данни;
• броя на лицата, които вероятно са засегнати;
• вероятните последици от нарушението;
• предприетите или предложените мерки за справяне с нарушението.

13.3 Уведомяване на вас (чл. 34)

Ако е вероятно нарушение да породи висок риск за вашите права и свободи, ще ви уведомим пряко, без неоправдано забавяне и на разбираем език за това:

• какво се е случило и какви данни са засегнати;
• какво предприемаме;
• какво можете да направите, за да се защитите;
• данни за контакт за допълнителна информация.

Поддържаме регистър на всички нарушения на сигурността на данните (независимо дали достигат прага за уведомяване), както се изисква от чл. 33, пар. 5 от GDPR.

14.Поверителност на децата

ExecuteOS е предназначен за лица, навършили възрастта за цифрово съгласие, приложима в държавата им на пребиваване, която съгласно член 8 от GDPR може да варира от 13 до 16 години в зависимост от съответната държава членка на ЕС (например възрастта за цифрово съгласие е 16 години в Германия и Нидерландия и 13 години в някои други държави членки).

• Не събираме съзнателно лични данни от деца под приложимата възраст за цифрово съгласие без проверено родителско съгласие.
• Ако вашата организация внедри ExecuteOS за участници под приложимата възраст за цифрово съгласие, организацията отговаря за получаването на подходящо родителско съгласие и трябва да ни уведоми предварително на privacy@ahaplay.com.
• Ако установим, че по невнимание сме събрали данни от дете без подходящо съгласие, ще ги изтрием незабавно.

Родители или настойници, които смятат, че данните на детето им са събрани без съгласие, могат да се свържат с нас на privacy@ahaplay.com.

15.Вашето право на жалба до надзорен орган

Без да се засягат други административни или съдебни средства за защита, имате право да подадете жалба до надзорен орган по защита на данните, ако смятате, че обработването на личните ви данни от нас нарушава GDPR (член 77 от GDPR).

За спорове по договор между ExecuteOS и Клиентска организация се прилага процедурата за ескалация по раздел 18.2 от Общите условия за ползване в допълнение към (и без да се засяга) вашето право да подадете жалба до регулаторен орган, от което не можете да се откажете.

15.1 Контакти на надзорните органи

16.Регистър на дейностите по обработване (RoPA)

ExecuteOS поддържа вътрешен регистър на дейностите по обработване (RoPA), както се изисква от член 30 от GDPR. В него са документирани всички дейности по обработване, целите, правните основания, категориите данни, получателите, предаванията и сроковете за съхранение. Този документ се предоставя на надзорния орган при поискване.

Обобщение на дейностите ни по обработване се съдържа в настоящата Политика за поверителност. За пълния вътрешен регистър оправомощените страни (включително надзорните органи) могат да се свържат с privacy@ahaplay.com.

17.Споразумения за обработване на лични данни

Сключили сме Споразумения за обработване на лични данни (DPA) с всички подобработващи лични данни, които са трети лица и са посочени в раздел 5.4, в съответствие с член 28 от GDPR. Тези споразумения включват:

• определяне на предмета, срока, естеството и целта на обработването;
• вида на обработваните лични данни и категориите субекти на данни;
• задълженията на обработващия лични данни: да обработва само по наши инструкции, да прилага мерки за сигурност, да ни уведомява за нарушения, да съдейства при упражняването на правата на субектите на данни и да изтрива или връща данните при прекратяване на договора;
• ограничения за възлагане на обработване: подобработващите лични данни трябва да получат нашето разрешение, преди да ангажират други подобработващи лични данни.

Списък на нашите подобработващи лични данни и състоянието на техните DPA се поддържа вътрешно и на страницата ни за подобработващи лични данни. Клиентските организации и субектите на данни могат да поискат потвърждение за наличието на DPA с конкретни подобработващи лични данни, като пишат на privacy@ahaplay.com.

18.Промени в настоящата Политика за поверителност

Можем периодично да актуализираме настоящата Политика за поверителност, за да отразим промени в нашите практики, технологии, правни изисквания или по други оперативни причини. Ние ще:

• публикуваме актуализираната Политика на нашия уебсайт с нова дата на последна актуализация;
• уведомяваме Клиентските организации за съществени промени чрез разумни канали за комуникация в съответствие с раздел 17.2 от Общите условия за ползване;
• при промени, които изискват ново съгласие, ви показваме нова подкана за съгласие при следващото ви влизане;
• поддържаме архив на предишните версии на настоящата Политика, достъпен при поискване.

Продължаването на използването на ExecuteOS след датата на влизане в сила на изменената Политика представлява потвърждение, че сте запознати с несъществените промени. За съществени промени, които изискват съгласие, ще поискаме изричното ви съгласие.

19.Как да се свържете с нас

За въпроси, опасения или искания, свързани с настоящата Политика за поверителност или нашите практики за обработване на данни: