Политика за поверителност

Последна редакция: 26 октомври 2026

Тази политика обяснява какви лични данни обработваме, когато използваш сайта onebite.bg и мобилните приложения OneBite (за клиенти) и OneBite Business (за ресторанти и куриери), защо ги обработваме, с кого ги споделяме и какви права имаш. Пишем я на разбираем език; ако нещо не е ясно, пиши ни на support@onebite.bg.

Кой обработва данните ти

Администратор на личните данни е HAWK MINDS LTD OOD, ЕИК 205119042, ДДС № BG205119042, със седалище и адрес на управление: ул. „Пушкин“ № 19А, гр. Велинград 4600, обл. Пазарджик, България (наричано по-долу „OneBite“, „ние“). Връзка с нас по въпроси за личните данни: support@onebite.bg.

OneBite е платформа, която свързва клиенти с местни ресторанти. За данните, нужни за приготвянето и доставката на конкретна поръчка, ресторантът, от който поръчваш, е самостоятелен администратор: той получава данните за твоята поръчка и ги използва само за нея.

Какви данни събираме

• Акаунт — име, имейл, телефон, парола (пази се само като необратим хеш), език и избор за известия и оферти. При вход с Google или Apple получаваме от тях името и имейла ти (Apple може да даде вместо истинския ти имейл частен препращащ адрес) и пазим идентификатора ти при доставчика.
• Поръчки — име, телефон, имейл (по желание), адрес за доставка, точката на входа, която сам поставяш на картата, тип на сградата, вход, етаж, апартамент и указания за куриера, бележки, съдържание и стойност на поръчката, начин на плащане, статуси и часове на всяка стъпка. Можеш да поръчаш и като гост, без акаунт.
• Запазени адреси и любими ресторанти — ако ги добавиш. Запазеният адрес включва същото като адреса в поръчката (текст, точка на входа, указания) и идентификатора на избраното място при Google.
• Ревюта — оценките и коментарът, които оставяш за изпълнена поръчка. Другите клиенти виждат оценката, коментара и само малкото ти име.
• Измерване на реклами на сайта (само със съгласие) — ако натиснеш „Приемам“ в банера за бисквитки, пикселът на Meta в браузъра ти отчита кои ресторанти разглеждаш, какво добавяш в кошницата, и че си стигнал до поръчката, заедно с IP адреса и данните на браузъра ти и с бисквитките на Meta _fbp и _fbc. Същите събития нашият сървър изпраща и директно на Meta (за да не се губят, ако браузърът блокира пиксела); те съдържат само техническите данни на браузъра ти — без име, телефон, имейл или адрес. Подадената поръчка (със стойността ѝ) отчита само нашият сървър — не браузърът ти, защото адресът на страницата с поръчката съдържа таен код. При нея отива: името, телефонът, имейлът (ако си го дал) и градът ти — само като псевдонимизирани (криптографски хеширани чрез SHA-256) данни, които не се пращат в открит вид, но позволяват на Meta да ги съпостави с потребителски профил — само при твоето съгласие — и да познае дали си видял рекламата ни; още ястията (по вътрешен номер), количеството, цената и номерът на поръчката — но не точният адрес, не бележките ти и не парола. Пазим и откъде си дошъл (utm_source, utm_medium и utm_campaign от адреса на рекламата) и към поръчката записваме, че си се съгласил, и кампанията — за да виждаме коя реклама води до поръчки. Това се отнася само за сайта, не за приложенията.
• Статистика на посещенията (само със съгласие) — ако натиснеш „Приемам“ (или включиш „Статистика“ в „Настройки“), Google Analytics отчита кои страници на сайта се разглеждат, от какво устройство и браузър, приблизително от кое населено място и откъде си дошъл (адрес на рекламата или сайт), заедно с бисквитките _ga и _ga_JW4MN2Z41N. Адресът на страницата с твоята поръчка се изпраща без тайния код в него. Не изпращаме име, телефон, имейл, адрес или съдържание на поръчка. Не включваме рекламните функции на Google (персонализация на реклами, Google Signals).
• Местоположение — адресът или точката, които избираш за доставка. Ако натиснеш „Използвай местоположението ми“ (в приложението или в сайта, след като го разрешиш в телефона или браузъра), се взема текущата ти позиция (точно местоположение, еднократно) и се използва, за да намерим адреса ти и ресторантите, които доставят до теб. Позицията ти се изпраща на Google само за да ти върне адреса за нея и по-подходящи подсказки. Не следим местоположението ти във фонов режим.
• Търсене на адрес и карта — текстът, който пишеш в полето за адрес, отива през нашия сървър към Google за подсказки и за да намерим мястото; не го пазим, освен адреса, който избереш. Когато стигнеш до стъпката, на която поставяш пина на входа, браузърът ти се свързва директно с Google, за да покаже картата: Google получава IP адреса и данни за браузъра ти и показваната област на картата. Пинът, който поставиш, се пази при нас; само ако избереш място направо на картата, координатите му се изпращат на Google, за да получим адрес за него.
• Списък „Известете ме“ — ако още не доставяме до мястото ти и оставиш имейл (в сайта) или се запишеш от приложението: имейлът или случаен идентификатор на инсталацията, селището или градът, до които си искал доставка, приблизителна позиция (закръглена до около 1 км, никога точният ти адрес) и часът на съгласието ти. Използваме ги, за да ти пишем, когато започнем доставка там, и за да видим къде има интерес.
• Устройство и известия — случаен идентификатор на инсталацията, платформа (iOS или Android), версия на приложението, език и токен за известия, ако ги разрешиш.
• Технически данни — IP адрес, тип на устройството и браузъра и часове на заявките, за сигурност, предотвратяване на злоупотреби и правилна работа.
• Доклади за сривове — ако приложението се срине, технически доклад (модел и версия на системата на устройството, версия на приложението, грешката) отива при доставчика ни за проследяване на грешки. Не съдържа поръчки, имена, телефони или адреси.
• Съобщения до нас — писмата и разговорите ни, когато ни питаш за поръчка или за акаунта.
• Ресторанти, служители и куриери (OneBite Business и конзолата на ресторанта) — име, имейл, телефон, роля и обект; за куриерите — назначените доставки и отметките „взето“, „доставено“ или „неуспешно“, заедно с данните на клиента, нужни за доставката; за сдвоените таблети — име на устройството и последна употреба.

Мобилните приложения

Приложенията могат да поискат следните разрешения. Всяко е по твой избор и можеш да го оттеглиш по всяко време от настройките на телефона:

• Местоположение (само докато приложението е отворено) — когато натиснеш „Използвай местоположението ми“. Адресът по координатите се определя от услугите за карти на Apple или Google на самото устройство или — в по-новите версии на приложението — от нашия сървър чрез Google.
• Известия — за статуса на поръчката (приета, на път, доставена) в OneBite и за нови поръчки, ревюта и доставки в OneBite Business. Питаме те в подходящ момент, не при първото отваряне.
• Камера и снимки — само в OneBite Business, за да качиш снимка на ястие.

На телефона приложението пази: идентификатор на инсталацията, токен за вход (в защитеното хранилище на системата — Keychain на iOS и Keystore на Android), избрания адрес и език, кошницата и поръчките, направени като гост (за да ги следиш без акаунт).

Приложенията не показват реклами, не проследяват потребителите между приложения и сайтове, не ползват рекламен идентификатор и не продават данни. Затова не искат разрешение за проследяване. Измерването на реклами с Meta е само на сайта (виж по-долу). Не ползваме Face ID, пръстов отпечатък или микрофон.

Защо използваме данните и на какво основание

• За да приемем, предадем на ресторанта и проследим поръчката ти и да поддържаме акаунта ти — изпълнение на договор (чл. 6, пар. 1, б. „б“ от Регламент (ЕС) 2016/679, ОРЗД).
• За известия за статуса на поръчката по имейл, SMS и push — изпълнение на договор; push известията работят само ако си ги разрешил в телефона.
• За точното ти местоположение — съгласие (чл. 6, пар. 1, б. „а“ ОРЗД), което даваш в системния диалог и можеш да оттеглиш по всяко време.
• За подсказките за адрес и за картата, на която поставяш пина на входа — изпълнение на договор: без тях не можем да доставим до точното място. Позицията ти отива към Google само ако натиснеш „Използвай местоположението ми“ — с твоето съгласие.
• За списъка „Известете ме“ — съгласие (чл. 6, пар. 1, б. „а“ ОРЗД), което даваш с отметката до имейла; можеш да го оттеглиш по всяко време. Приблизителната позиция ползваме и за да видим къде има интерес за разширяване — законен интерес (чл. 6, пар. 1, б. „е“ ОРЗД).
• За оферти и промоции от OneBite и ресторантите — само ако си поставил отметка (съгласие). Можеш да я махнеш във всеки момент от Акаунт → Настройки.
• За измерването на рекламите ни във Facebook и Instagram (пиксел на Meta на сайта, предаване на събитията от нашия сървър) и за записа на кампанията, от която си дошъл — за да виждаме коя реклама води до поръчки — само съгласие (чл. 6, пар. 1, б. „а“ ОРЗД), което даваш с бутона „Приемам“ в банера за бисквитки и можеш да оттеглиш по всяко време от „Настройки за бисквитки“ най-долу на страницата. Ако не се съгласиш, сайтът и поръчките работят по същия начин.
• За статистиката на посещенията (Google Analytics) — само съгласие (чл. 6, пар. 1, б. „а“ ОРЗД), което даваш с „Приемам“ или с отметка „Статистика“ в „Настройки“ и можеш да оттеглиш по всяко време. Ако не се съгласиш, сайтът и поръчките работят по същия начин.
• За записа на избора ти в банера (за да докажем съгласието) — законово задължение / легитимен интерес (чл. 6, пар. 1, б. „в“ и „е“ и чл. 7, пар. 1 ОРЗД).
• За счетоводни, данъчни и други задължения по закон — законово задължение (чл. 6, пар. 1, б. „в“ ОРЗД).
• За сигурност, предотвратяване на измами и фалшиви поръчки, доклади за сривове, поддръжка, модерация на ревюта, подобряване на услугата и защита на правни претенции — легитимен интерес (чл. 6, пар. 1, б. „е“ ОРЗД).

С кого споделяме данни

• Ресторантът, от който поръчваш, и неговите служители и куриери — само данните за твоята поръчка (име, телефон, адрес, бележки, съдържание на поръчката).
• Доставчици, които работят за нас (обработващи данни) — изброени в таблицата по-долу, по договор и само за да предоставят услугата.
• Google Ireland Limited (Google Analytics) — само ако си приел „Статистика“: данните за посещенията от раздел „Какви данни събираме“. Не включваме рекламните функции на Google.
• Meta Platforms Ireland Limited (Facebook и Instagram) — само ако си натиснал „Приемам“: данните за измерване на реклами от раздел „Какви данни събираме“. Meta ги обработва и по собствената си политика за поверителност (facebook.com/privacy/policy).
• Органи и институции — когато законът ни задължава или за защита на правни претенции.
• При преструктуриране или прехвърляне на дейността данните преминават към правоприемника при същата защита.

Не продаваме лични данни и — освен измерването на реклами с Meta, когато си се съгласил — не ги предаваме на трети страни за реклама. Известията до телефона минават през Expo, Apple и Google и съдържат името на ресторанта, състоянието на поръчката и прогнозното време — не и адрес или телефон.

При използване на Meta Pixel и Conversions API „HAWK MINDS LTD OOD“ и Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Ireland) действат като съвместни администратори по смисъла на чл. 26 от ОРЗД за събирането на данни за действията ти на сайта и предаването им към Meta. Същественото съдържание на споразумението между съвместните администратори (Meta Controller Addendum): ние осигуряваме правното основание (съгласие) и информацията по чл. 13 и 14 ОРЗД на сайта; Meta отговаря за сигурността на услугите си и за изпълнението на правата по чл. 15–20 ОРЗД относно данните, които съхранява след предаването им. За повече информация как Meta обработва данните и как да упражниш правата си спрямо нея: facebook.com/privacy/policy.

Предаване извън ЕС/ЕИП

Основната ни инфраструктура е в ЕС (Франкфурт, Германия). Някои доставчици — например Expo, Apple, Google, Cloudflare и Meta — могат да обработват ограничени данни и извън ЕИП, най-вече в САЩ. В тези случаи разчитаме на решение на Европейската комисия за адекватно ниво на защита (напр. Рамката за защита на данните ЕС–САЩ) или на стандартните договорни клаузи на ЕС. Можеш да поискаш копие на гаранциите на support@onebite.bg.

Данните, събирани чрез Meta Pixel и Conversions API, се предават на Meta Platforms Ireland Limited (Ирландия). При по-нататъшно предаване към Meta Platforms, Inc. в САЩ предаването се извършва на основание решението на Европейската комисия за адекватно ниво на защита (Рамката за защита на данните ЕС–САЩ), по която американското дружество е сертифицирано, както и на основание приетите от Комисията стандартни договорни клаузи (чл. 46, пар. 2, б. „в“ ОРЗД).

Колко дълго пазим данните

• Данни за поръчки и фактури — 60 месеца (счетоводни изисквания), след което се изтриват или анонимизират. С поръчката се пази бележката, че си се съгласил с маркетинг (като доказателство); кампанията (utm_*), ако има такава, се изтрива от поръчката след 6 месеца.
• Статистика на посещенията (Google Analytics) — до 2 месеца (настройка в Google Analytics); не съдържа име, телефон или адрес.
• Запис за избора ти в банера за бисквитки (кога, коя версия на текста, какво си избрал; IP адресът — само като хеш) — 24 месеца, за да можем да докажем, че е имало съгласие.
• Акаунт — докато го ползваш; неактивен акаунт — до 24 месеца след последната активност, след което се изтрива или анонимизира.
• Когато изтриеш акаунта си, веднага се изтриват името, имейлът, телефонът, запазените адреси, любимите, токените за известия и връзките за вход, както и записите в списъка „Известете ме“, оставени с имейла на акаунта или от устройствата ти. Минали поръчки остават като счетоводен запис без име, телефон и адрес; ревютата остават без връзка с теб.
• Списък „Известете ме“ (имейл или инсталация, приблизителна позиция, съгласие) — 12 месеца след съгласието (повторно записване го подновява), след което записът се изтрива; по-рано — когато поискаш или изтриеш акаунта си.
• В историята на куриера данните на клиента се виждат най-много 24 часа след приключване на доставката.
• Токените за вход в приложенията изтичат сами (клиентски — 180 дни, служебни — 60 дни) и се унищожават при изход.
• Докладите за сривове се пазят според настройките на доставчика ни (обикновено до 90 дни); техническите журнали — само докато са нужни за сигурността.

Твоите права и как да ги упражниш

Имаш право на достъп до данните си, на коригиране, изтриване, ограничаване на обработването, преносимост и възражение, както и право да оттеглиш съгласие, без това да засяга обработването до оттеглянето.

• Изтриване на акаунта: в приложението (Акаунт → Изтрий акаунта) или на страницата Изтриване на акаунт.
• Оферти: Акаунт → Настройки. Известия и местоположение: настройките на телефона.
• Списък „Известете ме“: пиши на support@onebite.bg от имейла, с който си се записал, и ще изтрием записа.
• За всичко останало пиши на support@onebite.bg. Отговаряме най-късно в рамките на един месец.

Имаш право на жалба до надзорния орган — Комисията за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg, kzld@cpdp.bg.

За обработването заедно с Meta (пиксел и Conversions API) можеш да упражниш правата си спрямо всеки от двама ни. Ако ни пишеш на support@onebite.bg, ще изтрием данните ти в нашите системи (бисквитки, записи, флаг за маркетинг), в срок до 7 календарни дни ще препратим искането ти на Meta по предвидените за администратори канали и ще ти кажем какво сме направили, с връзка към настройките на Meta за рекламни предпочитания.

Автоматизирани решения

Не вземаме решения, които имат правни или подобни последици за теб, единствено чрез автоматизирана обработка. Редът на ресторантите се определя по публични критерии (виж Класиране) и не се основава на профил за теб. Акаунт се ограничава при злоупотреба само след преглед от човек.

Сигурност

Връзката със сайта и приложенията е криптирана (HTTPS/TLS), паролите се пазят като необратими хешове, токените за вход — в защитеното хранилище на телефона, а достъпът на служители и ресторанти е ограничен по роли и по обект: всеки вижда само данните на собствените си поръчки. Ако има нарушение, което създава риск за теб, ще уведомим КЗЛД в срок от 72 часа и теб, когато се изисква.

Деца

Услугата е предназначена за лица над 18 години. Не събираме съзнателно данни от лица под 14 години. Ако смяташ, че дете ни е дало данни, пиши ни на support@onebite.bg и ще ги изтрием.

Бисквитки и локално съхранение

Използваме необходими бисквитки — без тях сайтът не работи — и, само ако се съгласиш, бисквитки за статистика (Google Analytics) и за измерване на реклами (Meta). Не ползваме бисквитки за реклами на други компании:

• Сесия и защита — поддържа входа, кошницата и защитата от подправени заявки; изтича след 2 ч. неактивност.
• „Запомни ме“ — само ако оставиш отметката при вход: поддържа входа ти на това устройство до 5 години или докато излезеш от профила.
• onebite_address — запомнен адрес за доставка, за да не го въвеждаш отново (до 5 години; изтрива се при „Забрави…“ или промяна на адреса).
• onebite_contact — запомнени име и телефон за следващата поръчка (до 5 години; изтрива се при изход от профила или с „Забрави…“ при поръчка).
• Карта на Google — само на стъпката, на която поставяш пина на входа: браузърът ти зарежда картата от Google, който получава IP адреса и данни за браузъра ти и може да запише свои технически данни в браузъра, нужни за работата на картата. Не ги ползваме за реклама или анализ.
• Сдвояване на таблет — само на таблета на ресторанта: разпознава сдвоеното устройство.
• Локални настройки на конзолата — звук, размер на текста и изглед на таблото (в браузъра на ресторанта).
• onebite_consent — запомня избора ти в банера за бисквитки („Приемам“ или „Отказвам“); до 180 дни.
• onebite_campaign — само ако си натиснал „Приемам“: откъде си дошъл (utm_source, utm_medium, utm_campaign от адреса на рекламата, максимум по 100 знака), за да знаем коя реклама води до поръчки; 30 дни. Ако натиснеш „Отказвам“ или оттеглиш съгласието, го изтриваме.
• _fbp и _fbc (Meta) — само ако си натиснал „Приемам“: идентификатор на браузъра ти и на рекламата, от която си дошъл, за да може Meta да свърже поръчката с рекламата. Поставя ги пикселът на Meta; до 90 дни. Ако натиснеш „Отказвам“ или оттеглиш съгласието, пикселът не се зарежда и ги изтриваме.
• _ga и _ga_JW4MN2Z41N (Google Analytics) — само ако си приел „Статистика“: идентификатор на браузъра и на сесията ти, за да броим посещенията; до 13 месеца. Ако натиснеш „Отказвам“ или оттеглиш съгласието, Google Analytics не се зарежда и ги изтриваме.

Статистиката с Google Analytics и измерването на реклами с Meta важат само за сайта — не за приложенията. Докато не дадеш съгласие, от Google и Meta не се зарежда нищо и не им се изпращат данни. Избора си можеш да промениш по всяко време от „Настройки за бисквитки“ най-долу на страницата. Данните, които Meta вече е получила, остават при нея по нейната политика; можеш да поискаш изтриване от Meta чрез настройките на профила си във Facebook/Instagram.

В съответствие с чл. 5, параграф 3 от Директива 2002/58/ЕО (и българското право, което я въвежда) бисквитките за статистика и маркетинг се записват на устройството ти само след изричното ти предварително съгласие.

Промени в политиката

При съществена промяна ще те уведомим в приложението или на сайта поне 15 дни преди влизането ѝ в сила. Винаги можеш да намериш актуалната версия на тази страница; датата на последната редакция е най-горе.

Последната съществена промяна е добавянето на статистика на посещенията с Google Analytics и на измерване на реклами с Meta (раздели „Какви данни събираме“, „Защо използваме данните“, „С кого споделяме данни“ и „Бисквитки и локално съхранение“). Влиза в сила от датата на последната редакция на тази страница. Тъй като двата инструмента се включват само с твое изрично съгласие в банера, за всички, които не са се съгласили, от Google и Meta не се зарежда нищо.