Политика за поверителност

Последна актуализация: 24 май 2026 г.

1. Въведение

1.1. Настоящата Политика за поверителност описва как СТД Академик („Администраторът“, „ние“) — обработва лични данни при ползване на официалния уебсайт и свързаните онлайн услуги („Сайтът“).

1.2. Обработването се извършва в съответствие с:

Регламент (ЕС) 2016/679
(GDPR);
Закона за защита на личните данни
(ЗЗЛД);
други приложими актове на ЕС и Република България.

1.3. Политиката допълва Условията за ползване и Условията за участие в съответното издание. За правила, свързани със самото състезание (здраве, отговорност, медии и др.), вижте Условията за участие.

2. Администратор на лични данни

Поле	Стойност
Наименование	***
ЕИК	***
Адрес	***
Имейл за поверителност / общи въпроси	info@marathonvarna42km.com
Имейл за регистрации	registration@marathonvarna42km.com

Длъжностно лице по защита на данните (DPO): Божидар Илиев

За упражняване на права по GDPR използвайте горните контакти с тема „Лични данни“.

3. Категории лични данни, които обработваме

В зависимост от Вашето взаимодействие със Сайта можем да обработваме:

Категория	Примери	Кога се събират
Идентификационни и контактни	Име, презиме, фамилия, имейл, телефон, град, държава	Регистрация, контактна форма
Данни за участие	Пол, година на раждане, дистанция, екип, размер тениска, стартов номер, публичен UID, статус на регистрация	Регистрация и организация на събитието
Данни за плащане	Сума, валута, статус на плащане, идентификатор на транзакция, метод	При онлайн или отчетено плащане
Акаунт	Парола (криптирана), езикови предпочитания, момент на приемане на условия	Регистрация и вход
Спортни/федерални	Наличие на картотека към БФЛА (за маратон 42 км)	Регистрация за съответната дистанция
Технически	IP адрес, сесия, логове, user agent, време на действие	При всяко посещение
Комуникация	Съдържание на съобщение, тема	Контактна форма
Медийни	Снимки/видеа от събитието, търсене по стартов номер в галерия	Състезание, галерии, MyRacePix
Биометрични / лицеви (селфи)	Снимка на лице за търсене; embedding (вектор) — при MyRacePix	Само при доброволно търсене „по селфи“ в галерия, след съгласие

Специални категории данни (здраве, биометрични и др. по чл. 9 GDPR): не изискваме и не събираме целенасочено чрез Сайта. Декларациите за здравословно състояние в Условията за участие са отговорност на участника при участие в събитието, не като отделна здравна база данни в Сайта.

Данни за деца: онлайн регистрацията е достъпна за лица навършили 16 години. За по-малки лица регистрацията следва да се извърши от родител/настойник извън стандартния онлайн процес — свържете се с нас.

3.1. Търсене на снимки по селфи (разпознаване на лице)

При активирана функция „Намери снимките си с едно селфи“ в галерията на събитието можете доброволно да качите една снимка на лицето си (селфи), за да намерите кадри от състезанието, на които сте заснети.

Аспект	Описание
Какво качвате	Една снимка (JPG, PNG или WebP, до 5 MB), съдържаща лицето Ви
Какво не изискваме	Регистрация, акаунт или стартов номер за тази функция
Как работи	Снимката се изпраща към MyRacePix (обработващ), който извлича математически вектор (embedding) на лицето и го сравнява с вече индексирани лица от снимките на събитието. Съвпадащите кадри се показват в галерията
Какво не съхраняваме на Сайта	Селфито не се записва в базата данни на marathonvarna42km.com след приключване на заявката
Съгласие	Функцията е достъпна само след отметка на изрично съгласие във формата и линк към настоящата политика
Правно основание	чл. 6(1)(а) GDPR — съгласие (отделно от регистрацията за участие)
Оттегляне	Не качвайте селфи, ако не желаете обработка; вече каченото селфи не се пази на Сайта. За искания по § 11 (достъп, изтриване и др.) — info@marathonvarna42km.com
Автоматизирано решение	Резултатът е техническо съвпадение на лица в снимки; не поражда правни последици по смисъла на чл. 22 GDPR
Биометрични данни	Обработката може да засяга биометрични данни по смисъла на чл. 9 GDPR (разпознаване на лице). Основанието е изричното Ви съгласие (чл. 9(2)(а)) чрез отметката във формата, само за целта „намиране на мои снимки от това събитие“

Срок: селфито и временните технически данни от заявката се обработват само за времето на търсенето (секунди до минути) и не се съхраняват за маркетинг или профилиране.

Получатели: MyRacePix и неговите подизпълнители (хостинг на снимки, AI/embedder инфраструктура — напр. сървъри в ЕС/извън ЕИЗ при наличие на глава V механизми). Подробности: info@marathonvarna42km.com.

Rate limit: за защита срещу злоупотреба се прилага ограничение на броя заявки от IP адрес (напр. 10 търсения на минута).

Цел	Правно основание	Пояснение
Онлайн регистрация и сключване/изпълнение на договор за участие	чл. 6(1)(б) — изпълнение на договор	Регистрационни полета, профил, потвърждения
Онлайн плащане на такса	чл. 6(1)(б) и чл. 6(1)(в) — законово задължение (счетоводство)	Плащания, фактуриране/отчетност, ако е приложимо
Публичен списък на участници (име, номер, дистанция, държава)	чл. 6(1)(е) — задача от обществен интерес / чл. 6(1)(б) — договор	Състезателна прозрачност; данните са ограничени
Търсене на снимки по селфи в галерия	чл. 6(1)(а) — съгласие; чл. 9(2)(а) — изрично съгласие за биометрични данни	Само за показване на Ваши кадри от събитието; без регистрация
Имейл известия (регистрация, напомняния, потвърждение за плащане)	чл. 6(1)(б)	Необходими за изпълнение на регистрацията
Контактна форма	чл. 6(1)(б) или чл. 6(1)(в) — законен интерес / преддоговорни мерки	Отговор на запитване
Сигурност, предотвратяване на злоупотреби (rate limit, honeypot, логове)	чл. 6(1)(е) — законен интерес	Защита на Сайта и участниците
Администриране на съдържание (Filament админ панели)	чл. 6(1)(б) и чл. 6(1)(е)	Само за упълномощен персонал
Популяризиране на събитието (снимки, имена в медии)	чл. 6(1)(а) — съгласие / чл. 6(1)(е) — законен интерес	Съгласно Условията за участие и отделни съгласия, ако са изискуеми
Спазване на нормативни задължения	чл. 6(1)(в)	Напр. счетоводство, отговор на органи

Профилиране и автоматизирани решения с правни или съществени последици по смисъла на чл. 22 GDPR: не използваме.

Директен маркетинг: не изпращаме рекламни бюлетини чрез Сайта. Имейлите са трансакционни (регистрация, плащане), освен ако изрично поискате друго и дадете съгласие.

5. Източници на данни

Директно от Вас
— регистрационна форма, контакт, вход в профил.
Автоматично
— технически логове, бисквитки/сесия (виж § 9).
Платежни оператори
— статус и референция на транзакция (не пълни данни за карта).
MyRacePix
(ако е конфигуриран) — снимки, свързани със стартов номер при търсене в галерия.
Административен персонал
— ръчни корекции, задаване на стартов номер, бележки при проверка на стартов пакет.
Директно от Вас (галерия) — селфи и отметка за съгласие при търсене „по селфи“.

6. Получатели и обработващи лични данни

Данните могат да бъдат предоставени на:

Получател	Роля	Данни
KBC Bank / UPC (онлайн плащане)	Независим администратор / платежен оператор	Данни за карта и транзакция — само при тях
Борика АД (ако е активен драйвер)	Платежен оператор	Както по-горе
Доставчик на хостинг	Обработващ по договор	Съдържание на Сайта, база данни, логове
Доставчик на имейл (SMTP)	Обработващ	Имейл адрес, съдържание на съобщения
MyRacePix	Обработващ / самостоятелен администратор за снимки	Стартов номер при търсене по номер; селфи, лицеви embeddings и съвпадения при търсене по селфи; хостинг и AI инфраструктура за снимки
YouTube / Google	При вграждане на клип	Технически данни при пускане на плеъра
Упълномощени администратори (Filament: CMS и маратон панел)	Вътрешно	Всички данни, необходими за организация
Държавни органи	При законово задължение	По искане на закона

С обработващите се сключват договори по чл. 28 GDPR (или приложими стандартни клаузи при предаване извън ЕИЗ).

Публично достъпни данни: след плащане и присвояване на номер в списъка „Участници“ се показват: стартов номер, име, дистанция, държава — без имейл, телефон или адрес.

7. Предаване извън ЕИЗ

Основното обработване е в ЕС/България. При използване на услуги със сървъри извън ЕИЗ (напр. имейл, MyRacePix, YouTube) предаването се извършва при наличие на:

решение за адекватност, или
стандартни договорни клаузи
на ЕК, или
други механизми по глава V GDPR.

Подробности можете да поискате на info@marathonvarna42km.com.

8. Срокове на съхранение

Данни	Срок (ориентировъчно)
Регистрация за активно издание	До приключване на изданието + срок за счетоводство и претенции (обикновено до 5 години след финансовата година, освен ако законът изисква по-дълго)
Неплатени/изтекли регистрации	До анулиране + кратък технически срок за архив/логове
Плащания и счетоводни документи	Съгласно Закона за счетоводството (мин. 5 години)
Контактни съобщения	До приключване на кореспонденцията + до 2 години, освен ако е спор
Сървърни логове	Обикновено 30–90 дни, освен при инцидент
Сесии	До изтичане на сесията (по подразбиране до 120 мин. неактивност) или изход
Снимки в галерии/медии	Според Условията за участие и законния интерес за популяризиране; по искане — преглед за изтриване при липса на правно основание
Селфи при търсене в галерия	Не се съхранява на Сайта след приключване на заявката; при MyRacePix — според техните правила (обикновено краткотрайна обработка за търсенето)

След изтичане на срока данните се изтриват или анонимизират.

9. Бисквитки и подобни технологии

9.1. Какво използваме

Тип	Име / механизъм	Цел	Съгласие
Строго необходими	Сесия Laravel (laravel_session и свързани)	Вход, регистрация, CSRF защита, език	Не се изисква (чл. 5(3) ePrivacy — необходими)
Функционални (локално)	localStorage — marathon-theme	Запазване на светла/тъмна тема	Не идентифицира лично лице
Админ панел	Бисквитки на Filament	Само за администратори	Не се отнася до посетители
YouTube embed	Бисквитки на Google при пускане	Видео съдържание	Препоръчително информиране; embed чрез youtube-nocookie.com

Аналитични и маркетингови бисквитки (Google Analytics, Google Ads, Facebook Pixel): използваме след изрично съгласие на потребителя чрез Klaro Consent Manager. Вижте подробности в секции 9.2–9.4.

Тип	Име/механизъм	Цел	Съгласие
Аналитични	Google Analytics (`_ga`, `_ga_*`, `_gid`)	Анонимна статистика за посещенията — брой посетители, продължителност, източници на трафик	Изисква се — зареждат се само след изрично съгласие чрез Klaro
Маркетингови	Google Ads (`_gcl_`, `_gac_`)	Проследяване на конверсии и ремаркетинг чрез Google Ads	Изисква се — зареждат се само след изрично съгласие чрез Klaro
Маркетингови	Facebook Pixel (`_fbp`, `_fbc`)	Проследяване на конверсии и ремаркетинг чрез Meta/Facebook	Изисква се — зареждат се само след изрично съгласие чрез Klaro
Consent	Klaro (`klaro`)	Запазване на избора на потребителя за бисквитки	Не се изисква (чл. 5(3) ePrivacy — строго необходима)

9.2. Аналитични и маркетингови бисквитки

Сайтът използва Google Analytics 4 за събиране на анонимна статистика за посещенията (брой посещения, продължителност на сесиите, географски регион, устройство и източници на трафик). Данните се използват единствено за подобряване на съдържанието и потребителското изживяване. Google Analytics не събира лични данни без вашето изрично съгласие.

За рекламни цели използваме Google Ads и Facebook Pixel (Meta). Тези услуги проследяват конверсии (напр. успешни регистрации) и позволяват ремаркетинг — показване на реклами на потребители, които вече са посетили Сайта.

Всички аналитични и маркетингови бисквитки се зареждат само след изрично съгласие от ваша страна чрез банера за бисквитки (Klaro Consent Manager). Можете да промените избора си по всяко време чрез иконката 🍪 в долния ляв ъгъл на екрана.

Сайтът използва Google Consent Mode v2, който гарантира, че:

Преди съгласие: никакви данни не се изпращат към Google или Meta
При отказ: бисквитките на съответните услуги се изтриват автоматично
При приемане: активират се само избраните от вас категории

За потребители от Европейското икономическо пространство (ЕИП), Великобритания и Швейцария всички маркетингови и аналитични бисквитки са забранени по подразбиране до получаване на изрично съгласие, в съответствие с GDPR и ePrivacy Directive.

9.4. Бисквитка на Klaro

Бисквитката klaro съхранява вашия избор за съгласие (кои услуги сте приели и кои сте отказали). Тя е валидна 365 дни и е строго необходима за функционирането на механизма за управление на бисквитки, поради което не изисква съгласие (чл. 5(3) от ePrivacy Directive).

9.5. Управление

Можете да изтриете бисквитки от настройките на браузъра. Блокирането на строго необходимите бисквитки може да попречи на регистрация и плащане.

10. Сигурност

Прилагаме подходящи технически и организационни мерки, включително:

HTTPS криптиране;
хеширане на пароли;
ограничен достъп до админ панели (роли);
rate limiting при форми;
honeypot и времеви проверки при контактната форма;
подписани временни връзки за достъп до профил (magic links);
резервни копия и актуализации на софтуера.

При инцидент с данни ще уведомим КЗЛД и засегнатите лица, когато това се изисква от GDPR.

11. Вашите права

При спазване на условията на GDPR и ЗЗЛД имате право на:

1. Достъп (чл. 15) — копие от данните Ви.

2. Коригиране (чл. 16) — неточни или непълни данни.

3. Изтриване (чл. 17) — „право да бъдеш забравен“, когато няма правно основание за съхранение.

4. Ограничаване (чл. 18) — при оспорване или незаконно обработване.

5. Преносимост (чл. 20) — структуриран формат, когато обработването е автоматизирано и на договорно основание.

6. Възражение (чл. 21) — срещу обработване на законен интерес, включително публичен списък, когато приложимо.

7. Оттегляне на съгласие (чл. 7(3)) — без да засяга законността на обработването преди оттегляне.

8. Жалба до надзорен орган.

Как да упражните правата: изпратете имейл на info@marathonvarna42km.com или registration@marathonvarna42km.com с описание на искането и данни за идентификация. Отговаряме в срок до 1 месец (с възможно удължаване с 2 месеца при сложни случаи).

Надзорен орган в България:

Комисия за защита на личните данни (КЗЛД)

София 1592, бул. „Проф. Цветан Лазаров“ № 2

www.cpdp.bg | kzld@cpdp.bg

12. Автоматизирани решения

Не вземаме автоматизирани решения с правни последици за Вас. Назначаването на стартов номер и статуси се извършва по правила на системата и/или от администратор.

Търсенето по селфи използва автоматично сравнение на лица в снимки, но не води до отказ на участие, оценка или друго решение с правни последици за Вас — единствено до списък със снимки в галерията.

13. Участнически профил, magic links и пароли

Паролата
се съхранява криптирано; не я съхраняваме в четим вид.
Magic links
(подписани URL адреси) дават временен достъп до профил без парола до определен срок (свързан с край на регистрация/издание). Не споделяйте връзката.
При
забравена парола
— свържете се с registration@marathonvarna42km.com (процесът може да се актуализира на Сайта).

14. Контактна форма и антиспам

Обработваме: име, имейл, тема, съобщение.

Прилага се honeypot поле, минимално време за попълване и ограничение на честотата (throttle). Подозрителни изпращания се блокират и могат да се записват в лог без изпращане на имейл.