Политика за защита на личните данни на Фондация ХАЛО

I. Данни за администратора и обща информация

Фондация ХАЛО (ХАЛО) е юридическо лице с нестопанска цел, определена за извършване на дейност в обществена полза, вписана в Търговския регистър и регистър на ЮЛНЦ към Агенцията по вписванията с ЕИК 205862455 и със седалище и адрес на управление в гр. Хасково, ул. „Стара планина“ № 12, тел.: 0898 412 180, е-mail: halongobg@gmail.com, интернет страници: https://halongo.eu/, https://halo-platform.halongo.eu/, https://www.facebook.com/halongobg, https://www.instagram.com/halongobg/, https://www.linkedin.com/in/halo-foundation-ngo/ и https://www.youtube.com/@halofoundation7814   

ХАЛО има следните цели: 

1. Да подпомага разпространението и използването на принципите на устойчивото развитие;
2. Да подпомага опазването на нематериалното и материалното културно богатство на България;
3. Да подпомага опазването на околната среда и природните богатства в България;
4. Да подпомага изграждането и утвърждаването на активно гражданско общество, гражданското участие и доброто управление в България;
5. Да подпомага развитието на отделните региони в България;
6. Да подпомага развитието и утвърждаването на духовните ценности, образованието и културата в България.

За постигане на своите цели ХАЛО:

1. Съдейства за разпространението и предаването на знания и умения у подрастващите и пълнолетните граждани, свързани с опазването на природата и материалното и нематериалното културно наследство;
2. Създава, изпълнява и участва в проекти, дейности и инициативи за устойчиво развитие, добро управление, регионално развитие, опазване на околната среда и съхраняване на биоразнообразието; 
3. Създава условия за обмен на знания и опит в областта на доброто управление, регионалното развитие, опазването на нематериалното и материалното културно наследство, опазването на природата в България и трансграничните региони;
4. Изпълнява дейности,  целящи подобряване на екологичната среда, запазване на биологичното разнообразие, хабитатите, съхраняването на природните забележителности;
5. Създава и участва в  проекти за съхранение и развитие на културно–историческото наследство на България, грижи се за съхраняването на културните паметници и традиции, работи за повишаване чувствителността на обществото, институциите и професионалистите по проблемите на запазване на историческата и културната памет на България;
6. Подпомага изграждането и модернизацията на материалната база, свързана с дейности целящи опазване на културното и природното богатство;
7. Работи за популяризиране културните, природните и туристическите забележителности, както и местните производства в страната и в чужбина;
8. Работи за развитие на културата и изкуството в по-малки населени места, насърчаване на междукултурния диалог и международния културен обмен, спомага за развиване и задоволяване на културните, образователните и развлекателните интереси в общността;
9. Подпомага, насърчава и работи за изграждане на устойчиви партньорства между местния бизнес, регионалните и местните власти, НПО и др. в усилията им за подобряване на регионалното развитие, трансграничното сътрудничество, опазването на културното и природно богатство;
10. Подпомага постигането на Глобалните цели за устойчиво развитие;
11. Предоставя консултации и оперативна помощ за организации, предприятия и институции в областта на планирането, организацията, ефективността и контрола, информацията, необходима за изработването и прилагането на политики, управлението и др.; 
12. Подпомага дейността на публичната администрация, обществените образователни, социални, културни и граждански организации и общности, читалища, настоятелства, спортни клубове, научни центрове, малки и средни предприятия и граждани при иницииране и реализиране на идеи в полза на общността и устойчивото развитие;
13. Спомага за укрепване на демократичното гражданско общество и изграждането на активни и сплотени местни общности;
14. Подкрепя местните общности в усилията им за изграждане на устойчиво местно развитие и активното им включване в дейности, засилващи ролята на гражданското общество на местно, регионално и национално ниво на управление, включително и чрез пряко участие на местното население при решаването на национални, регионални и местни проблеми;
15. Работи за подобряване на местното и регионално планиране и работата в екипи. 
16. Извършва дейности и участва в инициативи за развитие на малкия и среден бизнес, културните и творческите индустрии, занаятите, туризма и селското стопанство; 
17. Участва в създаването, оценката, провеждането и популяризирането на по отношение на  развитие на малките и средните предприятия, развитие на селските райони, рибарството и аквакултурата, местно, регионално и трансгранично развитие, туризъм, транспорт, климатични проблеми и опазване на околната среда, енергийна и ресурсна ефективност, конкурентоспособност, иновации, културно и историческо наследство, добро управление и институционален капацитет, социални политики равенство между половете, заетост и политики на пазара на труда, образование и професионална квалификация, обучение и др.; 
18. Работи за изграждането на балансирано гражданско общество чрез подпомагане и овластяване на групи в неравностойно положение, малцинства, хора с увреждания, социално-уязвими групи, трайно безработни и др.;
19. Извършва дейности, съдействащи за преодоляване на социалното отчуждение и за насърчаване на социалната интеграция на граждани, групи, общности и региони.

ХАЛО е администратор на лични данни по смисъла на Закона за защита на личните данни (ЗЗЛД).

ХАЛО е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 („GDPR/ОРЗД“) и прилага Закона за защита на личните данни („ЗЗЛД“) като национален закон, който допълва и конкретизира правилата на Регламента. (чл. 4, т. 7 и чл. 24 Регламент (ЕС) 2016/679; чл. 1 ЗЗЛД)

Тази политика се прилага към обработването на лични данни на: служители и кандидати за работа; членове на управителни и контролни органи; доброволци; дарители; партньори; контрагенти; участници в проекти, обучения, кампании, консултации, обществени обсъждания, граждански бюджети, анкети и събития; представители на публични органи, училища, читалища, НПО, бизнес и местни общности; посетители на онлайн страници и профили, управлявани от ХАЛО. (чл. 13 и чл. 14 Регламент (ЕС) 2016/679)

Когато по естеството на конкретна дейност ХАЛО обработва данни на деца, информацията се предоставя на ясен и разбираем език, а когато обработването се основава на съгласие, се събира съгласие от носителя на родителска отговорност, когато това се изисква. (чл. 8, чл. 12 Регламент (ЕС) 2016/679; съображение 38 GDPR)

II. Цели и обхват на Политиката за защита на лични данни

С настоящата Политика за защита на личните данни ХАЛО отчита неприкосновеността на личността и предприема необходимите мерки за защита срещу неправомерно обработване на лични данни на физически лица. В съответствие с действащото европейско и национално законодателство и добрите практики, ХАЛО прилага изискваните организационни и технически мерки за защита на лични данни.

С настоящата Политика ХАЛО информира физическите лица за начина, по който събира, използва, съхранява, споделя, защитава и унищожава лични данни при изпълнение на своите нестопански, проектни, образователни, екологични, културни, граждански и административни дейности. Както и елите на обработка на лични данни, основанията за обработването им, категориите получатели, на които могат да бъдат разкрити данните, последиците от отказ за предоставянето им, както и информация за правото на достъп, коригиране, заличаване и възражение, съгласно изискванията на Регламент (ЕС) 2016/679 и ЗЗЛД.

Политиката обхваща обработване с автоматични и неавтоматични средства: хартиени документи, електронна кореспонденция, електронни таблици, облачни пространства, проектни платформи, счетоводни системи, социални мрежи, формуляри за регистрация, списъци за присъствие, анкетни карти, снимки, видеозаписи и други носители. (чл. 2 и чл. 4, т. 2 Регламент (ЕС) 2016/679)

III. Основни принципи при обработване

ХАЛО обработва лични данни при спазване на следните принципи:

• законосъобразност, добросъвестност и прозрачност;

• ограничаване на целите – данните се събират за конкретни, изрично указани и легитимни цели;

• свеждане на данните до минимум – събират се само данни, които са необходими за съответната цел;

• точност и актуалност на данните;

• ограничение на съхранението – данните не се пазят по-дълго от необходимото;

• цялостност и поверителност – прилагат се подходящи технически и организационни мерки;

• отчетност – ХАЛО поддържа доказуемост на съответствието с правилата.

(чл. 5, чл. 24 и чл. 25 Регламент (ЕС) 2016/679)

IV. Източници на лични данни

1. ХАЛО, в качеството си на администратор на лични данни, обработва лични данни, структурирани в отделни регистри.
2. ХАЛО обработва лични данни, предоставени лично от субектите на лични данни, за които се отнасят във връзка със спазването на законово задължение, което се прилага спрямо администратора.
3. ХАЛО обработва лични данни, предоставени лично от субектите на лични данни, в случаите, когато субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели, когато обработването е необходимо на база на договорни изисквания или за целите на легитимните интереси на администратора.
4. ХАЛО обработва и лични данни, които не са получени от субекта на личните данни, за когото се отнасят, а са предоставени от трето лице във връзка с изпълнението на конкретно договорно задължение по изпълнение и управление на програми и проекти за безвъзмездно финансиране или дейности по изпълнение на други договорни задължения. В тези случаи лицето предоставило тези данни на ХАЛО се задължава предоставя информация по чл. 14 GDPR, освен ако лицето вече разполага с нея, предоставянето е невъзможно или изисква несъразмерно големи усилия, или закон допуска изключение. (чл. 14 Регламент (ЕС) 2016/679):

• да предостави на субекта на лични данни информация за администратора – ХАЛО;
• да уведоми субекта на лични данни за целите, категориите предоставяни данни и категориите получатели на тези данни;
• да предостави информация за правото на достъп и на коригиране на лични данни от лицето, за което се отнасят.
• срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок и т.н.

V. Категории лични данни обработвани в ХАЛО

Диференцирани от конкретната дейност или нормативно изискване са следните категории лични данни, които се обработват от ХАЛО. Такива данни са свързани с:

• физическа идентичност: име, ЕГН, данни от документ за самоличност, месторождение, адрес, телефон, e-mail;
• социална идентичност: образование, квалификация, правоспособност, заемана длъжност, трудова дейност – стаж и професионална биография, гражданство, участие в управителни органи на юридически лица;
• икономическа идентичност – номер на банкова сметка (IBAN);
• данни, разкриващи принадлежност към уязвима група, етническа принадлежност.

5. Във връзка със спазване на законови задължения ХАЛО събира данни за физическата и икономическа идентичност.
6. В рамките на някои от провежданите от ХАЛО социологически проучвания е възможно събирането и на следните категории лични данни, свързани с:

• семейна идентичност на лицата: фактическо семейно положение – брак, развод, съжителство, вдовство по самооценка на лицето; състав на домакинството – брой членове на домакинството, в това число деца до 18 години; в някои изследвания – роднински връзки в домакинството по самооценка на лицето;
• образование на лицата: образователна степен и вид на образованието, година на завършване, настоящ образователен статус (дали лицето учи в момента) по самооценка на лицето;
• трудова дейност и материално положение: трудов статус – зает, пенсионер, безработен, отпуск по майчинство – по самооценка на лицето; професия и сектор на трудовата заетост по самооценка на лицето; средномесечно брутно/нетно трудово възнаграждение по самооценка на лицето; имуществено положение и условия на живот по самооценка на лицето; наличие на здравна осигуровка – по самооценка на лицето;
• здравно състояние на лицето: здравен статус – по самооценка на лицето; наличие на хронично заболяване – по самооценка на лицето;
• данни, касаещи социалната и културната идентичност на лицето: етническа идентичност – по самоопределение на лицето; религиозна принадлежност – по самоопределение; нагласа за подкрепа на политически партии и лидери – по самоопределение; репродуктивни и сексуални нагласи – по самоопределение.

7. В случаите по т. 6 на технически носител се качват единствено контактни данни  на лицата. Данните от анкетните карти се качват на технически носител и се обработват за статистически цели само в псевдонимизиран вид.
8.  В рамките на договорно задължение, свързано с финансиране на проект/програма, с изричното съгласие на лицето може да бъде изискана информация свързана с отговаряне на определени изисквания за неговото включване (образование, принадлежност към уязвима група, етническа принадлежност).
9. Данни за участие в дейности: присъствени списъци, регистрационни форми, декларации, протоколи, сертификати, оценителни форми, анкетни карти, проектни отчети. (чл. 6 Регламент (ЕС) 2016/679)
10. Снимки, видео, аудио и публични материали от събития и кампании, когато са необходими за отчетност, публичност, архив или комуникация. (чл. 6, пар. 1, б. „а“, „е“ или „в“ според случая; правила за публичност по финансиращи програми)
11. Технически данни при електронна комуникация: e-mail кореспонденция, IP адреси, метаданни, данни от онлайн форми и платформи, когато се използват такива. (чл. 6, пар. 1, б. „е“ GDPR)
12. Данни във връзка с платформата „Граждански бюджети“: при подаване на идея – име и фамилия, телефон, e-mail и съдържание на предложението; при гласуване – ЕГН и адрес, когато това е необходимо за проверка на допустимостта на гласуващия, установяване на връзка с конкретната община/населено място и предотвратяване на многократно или недопустимо гласуване. ЕГН и адрес не се използват за публично оповестяване и се обработват само за целите на администриране и валидиране на гласуването. (чл. 5, пар. 1, б. „б“, „в“ и „е“, чл. 6, пар. 1, б. „а“, „д“ и/или „е“, чл. 25 и чл. 87 Регламент (ЕС) 2016/679)

ХАЛО събира ЕГН, данни от лични документи или специални категории данни само когато са необходими за конкретна цел и има правно основание. (чл. 5, пар. 1, б. „в“ Регламент (ЕС) 2016/679)

VI. Обработване на лични данни

1. Като администратор на лични данни ХАЛО обработва лични данни чрез съвкупност от действия, които могат да се извършат по отношение на личните данни с автоматични или неавтоматични средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, консултиране, употреба, блокиране, заличаване и унищожаване, при спазване на следните принципи:

• законосъобразност на обработката на лични данни;
• пропорционалност на обработката на лични данни;
• актуалност на обработваните лични данни.

2. ХАЛО обработва личните данни самостоятелно или чрез възлагане на обработващи данните като се определят целите и обемът на задълженията, възложени от администратора на обработващия данните, при наличие на релевантно правно основание, съгласно ЗЗЛД. Обработващи от името на ХАЛО се явяват например служителите му, чиито права и задължения, във връзка с обработването на лични данни на физически лица, са надлежно регламентирани във Вътрешните правила на ХАЛО.

VII. Снимки, видео, медии, социални мрежи и видеонаблюдение

При публични събития, обучения, кампании и инициативи ХАЛО може да заснема снимки и видеоматериали за документиране, отчетност и публичност. Когато кадрите са фокусирани върху конкретно лице, дете, уязвима група или чувствителен контекст, ХАЛО приоритетно използва съгласие или друг ясно приложим правен режим. (чл. 6 и чл. 9 Регламент (ЕС) 2016/679)

При общи панорамни кадри от публични събития ХАЛО може да се позове на легитимен интерес или изисквания за публичност по проект, като осигурява информираност чрез покани, регистрационни форми, обозначения на място или друг подходящ начин. (чл. 6, пар. 1, б. „е“ GDPR; указания/практика на КЗЛД относно образни данни и видеонаблюдение)

Когато ХАЛО публикува материали във Facebook или други платформи, съответната платформа може да обработва данни като самостоятелен администратор съгласно собствените си условия. ХАЛО не контролира изцяло последващото споделяне, индексиране или обработване от платформата. (чл. 13, чл. 14 и чл. 26 Регламент (ЕС) 2016/679, когато е приложимо)

Ако ХАЛО въведе постоянно видеонаблюдение в свои помещения или на събития, предварително приема отделни правила/информационни табели, определя цел, срок на съхранение, достъп до записите и правно основание. Видеозаписите представляват лични данни, когато чрез тях лицето може да бъде идентифицирано. (чл. 4, т. 1 и т. 2; чл. 5; чл. 6; чл. 13 GDPR; становища/указания на КЗЛД относно видеонаблюдение)

VIII. Цел на обработката на лични данни

Целта на обработката на лични данни е еднозначно да се идентифицират физическите лица, настоящи и бъдещи служители на ХАЛО, контрагенти, страни по договори, участници в някои социологически проучвания, поканени и участници в събития, осъществявани във връзка с изпълнение на дейностите на ХАЛО. Обработката на данни е вследствие на:

1. изпълнението на нормативно установени задължения на администратора на лични данни, произтичащи от спецификата на изискванията на законодателството, регламентиращо финансово-счетоводната отчетност, пенсионна, здравна и социално-осигурителна дейност, дейността по управление на човешки ресурси;
2. изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;
3. в изпълнение на дейности от ХАЛО – за една или повече конкретни цели със съгласие на субекта на данните; за целите на легитимните интереси на администратора или на трета страна със съгласие на субекта на данните.

ХАЛО обработва лични данни за следните цели и на следните правни основания:

Цел	Правно основание	Препратка
Управление на трудови, граждански, доброволчески и управленски отношения	договор; законово задължение; легитимен интерес	чл. 6, пар. 1, б. „б“, „в“ и „е“ GDPR; КТ, КСО, ЗДДФЛ, ЗСч
Сключване и изпълнение на договори с контрагенти, експерти, доставчици и партньори	договор; законово задължение; легитимен интерес	чл. 6, пар. 1, б. „б“, „в“ и „е“ GDPR
Кандидатстване, изпълнение, управление, отчитане, одит и контрол на проекти и програми	закон; договор; легитимен интерес; задача в обществен интерес, когато е приложимо	чл. 6, пар. 1, б. „б“, „в“, „д“ и „е“ GDPR; правила на съответния финансиращ орган
Организиране на обучения, събития, кампании, инициативи, граждански бюджети и обществени консултации	съгласие; договорни отношения; легитимен интерес; обществен интерес, когато е приложимо	чл. 6, пар. 1, б. „а“, „б“, „д“ и „е“ GDPR
Снимки, видео, публикации и публичност на дейности	съгласие или легитимен интерес; законово/договорно изискване за публичност	чл. 6, пар. 1, б. „а“, „в“ и „е“ GDPR; проектни правила за визуализация и публичност
Социологически, обществени и оценителни проучвания	съгласие; легитимен интерес; обществен интерес; статистически цели	чл. 6, пар. 1, б. „а“, „д“ и „е“; чл. 9, пар. 2, б. „а“ или „й“; чл. 89 GDPR
Счетоводство, данъци, осигуряване, архив и защита при проверки или спорове	законово задължение; легитимен интерес	чл. 6, пар. 1, б. „в“ и „е“ GDPR; ЗСч, ДОПК, КСО, ЗЗД
Комуникация с институции, партньори, медии, общности и граждани	легитимен интерес; договор; законово задължение	чл. 6, пар. 1, б. „б“, „в“ и „е“ GDPR
Защита на права и законни интереси на ХАЛО, включително при жалби, сигнали, проверки и съдебни производства	легитимен интерес; законово задължение	чл. 6, пар. 1, б. „в“ и „е“ GDPR
Подаване, администриране, оценка, публикуване и последваща комуникация по идеи в платформата „Граждански бюджети“	съгласие на участника; легитимен интерес на ХАЛО/партньорите за организиране на програмата; обществен интерес, когато платформата се използва по възлагане или партньорство с община/публичен орган	чл. 6, пар. 1, б. „а“, „д“ и/или „е“ GDPR; чл. 5 GDPR; правила на конкретната програма/община
Електронно гласуване в платформата „Граждански бюджети“, включително проверка на допустимост, предотвратяване на повторно гласуване и защита на целостта на резултатите	съгласие при доброволно участие; легитимен интерес; обществен интерес, когато е приложимо; обработване на национален идентификатор само когато е необходимо и пропорционално	чл. 5, чл. 6, пар. 1, б. „а“, „д“ и/или „е“, чл. 25, чл. 32 и чл. 87 GDPR; чл. 25г ЗЗЛД, когато е приложим

Когато обработването се основава на съгласие, лицето има право да го оттегли по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето. (чл. 7, пар. 3 Регламент (ЕС) 2016/679)

Когато обработването се основава на легитимен интерес, ХАЛО извършва преценка за баланс между интереса на организацията и правата и свободите на лицето, особено когато лицето е дете или принадлежи към уязвима група. (чл. 6, пар. 1, б. „е“ и съображение 47 Регламент (ЕС) 2016/679)

IX. Специални правила за платформата „Граждански бюджети“

ХАЛО поддържа/използва електронна платформа за Програма „Граждански бюджети“, чрез която граждани могат да подават идеи и, на следващ етап, да гласуват за допустими предложения. Платформата обработва лични данни само за конкретните цели на програмата: приемане и разглеждане на идеи, връзка с подателя, проверка на допустимостта на гласуващите, предотвратяване на повторно/недопустимо гласуване, отчитане на резултатите и защита на целостта на процеса. (чл. 5, пар. 1, б. „б“ и „в“, чл. 6 и чл. 25 Регламент (ЕС) 2016/679)

При подаване на идея се събират име и фамилия, телефон и e-mail на подателя, както и съдържанието на предложението. Публично могат да се визуализират само данните, които са необходими за представяне на идеята и процеса, като контактни данни не се публикуват, освен ако това е предварително ясно посочено и има подходящо правно основание. (чл. 5, пар. 1, б. „а“, „б“ и „в“, чл. 13 Регламент (ЕС) 2016/679)

При гласуване се събират ЕГН и адрес, когато те са необходими за проверка на право на участие, връзка с конкретна община/населено място и недопускане на повече от един валиден глас от едно лице. Тези данни не се използват за други цели, не се публикуват и не се предоставят на трети лица извън необходимото за администриране, проверка, отчетност или законово изискуем контрол. (чл. 5, пар. 1, б. „б“, „в“ и „е“, чл. 6, пар. 1, б. „а“, „д“ и/или „е“, чл. 87 Регламент (ЕС) 2016/679)

Всички лични данни в базата данни на платформата се съхраняват в криптиран вид. Декриптиран достъп е възможен само през защитен администраторски панел и само за оправомощения администратор/оправомощени лица, за които достъпът е необходим за изпълнение на конкретна функция по програмата. Достъпът следва да бъде индивидуален, защитен с парола и, когато е технически възможно, с двуфакторна автентикация, като се поддържат логове за достъп и действия. (чл. 25 и чл. 32 Регламент (ЕС) 2016/679; указания на КЗЛД относно отчетност и сигурност)

След изтичане на сроковете за подаване, гласуване, проверка, обжалване/възражения, отчетност и последващ контрол по конкретната програма, личните данни в платформата се изтриват или необратимо анонимизират. За статистика, публичност и отчетност се запазват само агрегирани/анонимизирани резултати, които не позволяват идентифициране на конкретни лица. (чл. 5, пар. 1, б. „е“, чл. 17 и чл. 89 Регламент (ЕС) 2016/679)

Преди стартиране на нова кампания или съществена промяна във функционалностите на платформата ХАЛО извършва преглед на риска за правата и свободите на лицата, включително оценка дали е необходима оценка на въздействието върху защитата на данните. Това е особено важно при използване на ЕГН, адрес и електронно валидиране на гласуване. (чл. 24, чл. 25, чл. 30, чл. 32 и чл. 35 Регламент (ЕС) 2016/679)

X. Последици от отказ за предоставяне на лични данни

1. Изрично съгласие на физически лица, чиито данни се обработват не е необходимо, ако администраторът разполага с правно основание за обработка на лични данни. Такива основания са например нормативно установено задължение във връзка с изискванията на трудовото, данъчното и социално-осигурително законодателство, Закона за задълженията и договорите, Закона за счетоводство, Закона за мерките срещу изпирането на пари, Закона за мерките срещу финансирането на тероризма и др.
2. В случай на отказ от доброволно предоставяне на искани лични данни, ХАЛО няма да бъде в състояние да изпълни свои нормативно или договорно установени задължения, включително да не бъде в състояние да предостави безвъзмездна услуга или финансиране на отказващия да предостави личните си данни субект, бенефициент по изпълняван от ХАЛО проект или по проект, финансиран от управляван от ХАЛО фонд или програма за безвъзмездно финансиране.

XI. Разкриване на лични данни

ХАЛО като администратор на лични данни има право да разкрие обработваните лични данни само на следните категории лица:

1. физически лица, за които се отнасят данните;
2. лица, за които правото на достъп е законово установено;
3. лица, за които правото произтича по силата на договор.

ХАЛО разкрива лични данни само когато има правно основание и само до необходимия обем. Получатели могат да бъдат:

• самите лица, за които се отнасят данните;
• служители, членове на органи, координатори, експерти и доброволци на ХАЛО, които имат нужда от достъп за изпълнение на конкретна дейност;
• счетоводители, одитори, юристи, консултанти, банки, куриери, доставчици на IT услуги, облачни услуги, хостинг, електронна поща, онлайн форми и проектни платформи;
• финансиращи органи, управляващи органи, междинни звена, общини, министерства, училища, читалища, партньорски организации и други институции, когато това е необходимо за проект, договор, отчетност, контрол или публичност;
• НАП, НОИ, Инспекция по труда, КЗЛД, съд, прокуратура, МВР и други компетентни органи при законово основание;
• медии и общественост само при публичност на дейности и при спазване на принципите за минимизация и пропорционалност.

Когато трето лице обработва лични данни от името на ХАЛО, се сключва договор или друг правен акт по чл. 28 GDPR, който урежда предмета, срока, естеството и целта на обработването, вида данни, категориите лица и мерките за защита. Служителите на ХАЛО не са „обработващи“ по смисъла на GDPR, а лица, действащи под ръководството на администратора. (чл. 28 и чл. 29 Регламент (ЕС) 2016/679)

За платформата „Граждански бюджети“ получатели/лица с достъп могат да бъдат само оправомощени администратори на ХАЛО, технически доставчик/хостинг или разработчик в качеството им на обработващи лични данни по чл. 28 GDPR, както и община, финансиращ орган или партньор, когато това е необходимо по правилата на конкретната програма. Достъпът до ЕГН, адрес и контактни данни се ограничава до минимално необходимия кръг лица и не се допуска публично разкриване на тези данни. (чл. 5, пар. 1, б. „в“ и „е“, чл. 28 и чл. 32 Регламент (ЕС) 2016/679)

XII. Срокове за съхранение

ХАЛО съхранява личните данни само за срока, необходим за целите, за които са събрани, или за сроковете, предвидени в закон, договор, проектни правила, одитни изисквания или давностни срокове. (чл. 5, пар. 1, б. „е“ Регламент (ЕС) 2016/679)

Категория	Срок/критерий	Основание
Счетоводни, данъчни и платежни документи	съгласно счетоводното и данъчно законодателство, обичайно до изтичане на законоустановените срокове за съхранение и проверки	чл. 6, пар. 1, б. „в“ GDPR; ЗСч, ДОПК
Трудови и осигурителни документи	съгласно трудовото и осигурителното законодателство и правилата за архивиране	чл. 6, пар. 1, б. „в“ GDPR; КТ, КСО
Проектни документи, присъствени списъци, декларации, отчети	до приключване на проекта и последващите срокове за мониторинг, одит, проверки и устойчивост, определени от финансиращия орган	чл. 6, пар. 1, б. „б“, „в“ и „е“ GDPR; договор/правила на програмата
Данни от кандидати за работа	до приключване на подбора, освен ако лицето даде съгласие за по-дълго съхранение; не повече от допустимото по ЗЗЛД	чл. 25к ЗЗЛД; чл. 6 GDPR
Снимки/видео за публичност	за срока на публичност, отчетност и архив на организацията/проекта, освен ако лицето възрази и няма по-силно основание за запазване	чл. 6, пар. 1, б. „а“, „в“ или „е“ GDPR
Анкетни карти и изследователски данни	в псевдонимизиран/анонимизиран вид за периода, необходим за анализ, отчетност и архив; контактни данни отделно и за по-кратък срок	чл. 5 и чл. 89 GDPR
Кореспонденция и договорни отношения	до приключване на отношенията и изтичане на приложимите давностни срокове	чл. 6, пар. 1, б. „е“ GDPR; ЗЗД
Данни в платформата „Граждански бюджети“ – податели на идеи и гласуващи	до изтичане на сроковете за подаване, гласуване, проверка, възражения/обжалване, отчетност и последващ контрол по конкретната програма; след това личните данни се изтриват или анонимизират, а се запазват само агрегирани резултати	чл. 5, пар. 1, б. „е“, чл. 17 и чл. 89 GDPR; правила на конкретната програма/община

След изтичане на съответните срокове данните се изтриват, унищожават или анонимизират по начин, който не позволява идентифициране на лицата. Унищожаването/заличаването се документира, когато това е необходимо. (чл. 5, пар. 2 и чл. 17 Регламент (ЕС) 2016/679; чл. 25е ЗЗЛД, когато е приложим)

За платформата „Граждански бюджети“ изтриването се извършва след приключване на всички програмни срокове, включително срокове за проверка на валидност на гласовете, възражения, отчетност и последващ контрол. Изтриването се документира чрез вътрешен протокол/лог или друг подходящ запис, без в него да се възпроизвеждат самите лични данни. (чл. 5, пар. 2, чл. 17 и чл. 30 Регламент (ЕС) 2016/679)

XIII. Технически и организационни мерки за сигурност

ХАЛО прилага подходящи технически и организационни мерки, съобразени с риска, естеството на данните, обема, контекста и целите на обработването. (чл. 25 и чл. 32 Регламент (ЕС) 2016/679)

• контрол на достъпа до хартиени и електронни документи;
• ограничаване на достъпа само до лица, които имат служебна/проектна необходимост;
• използване на пароли, двуфакторна автентикация, криптиране или псевдонимизация, когато е подходящо;
• регулярно архивиране и защита от загуба, унищожаване или неоторизиран достъп;
• разделяне на контактни данни от анкетни/изследователски отговори, когато е възможно;
• обучение и инструкции към служители, експерти и доброволци;
• договорни клаузи за поверителност с лица и доставчици, които имат достъп до данни;
• преглед на мерките при нови проекти, нови категории данни или нови технологии.

За платформата „Граждански бюджети“ ХАЛО прилага допълнителни технически и организационни мерки: криптиране на личните данни в базата данни; ограничаване на декриптирания изглед само до администраторския панел; индивидуални администраторски профили; минимални права за достъп; логване на достъпите и действията; защита на връзката чрез HTTPS/TLS; резервни копия с ограничен достъп; периодичен преглед на правата за достъп; изтриване/анонимизиране след изтичане на сроковете. (чл. 25 и чл. 32 Регламент (ЕС) 2016/679)

Когато техническата поддръжка, хостингът или разработката на платформата се извършват от външно лице, с него се сключва договор/клауза за обработване на лични данни, която урежда предмета, срока, целите, категориите данни, мерките за сигурност, поверителността, подизпълнителите, съдействието при права на субекти и действията при нарушение на сигурността. (чл. 28 и чл. 32 Регламент (ЕС) 2016/679)

Отменената Наредба № 1 от 30.01.2013 г. не се използва като действащо основание за определяне на „минимално ниво“ на защита; подходът е рисково-базиран съгласно GDPR. (Наредба за отменяне на Наредба № 1/2013 г., ДВ бр. 43/25.05.2018 г.; чл. 32 GDPR)

XIV. Права на субектите на лични данни

Физическите лица, чиито лични данни се обработват имат следните права:

• Право на информираност относно данните, които идентифицират администратора, целите на обработването на лични данни, получателите или категориите получатели, на които могат да бъдат разкрити данните, задължителния или доброволен характер на предоставянето на лични данни и последиците от отказ за предоставянето им.
• Право на достъп до отнасящи се до физическите лица данни. В случаите когато при предоставяне правото на достъп на субекта на данни могат да се разкрият лични данни и за трето лице, администраторът е длъжен да предостави частичен достъп до тях, без да разкрива данни за третото лице.
• Право на коригиране или допълване на неточни или непълни лични данни.
• Право на заличаване на лични данни, обработването на които не отговаря на регламентираните изисквания или е с отпаднало правно основание (изтекъл срок на съхранение, оттеглено съгласие, изпълнена първоначална цел, за която са били събирани данните и др.), както и правото да се поиска да бъдат уведомени третите лица, на които са били разкрити личните данни на лицето, за всяко заличаване, коригиране или блокиране, което е извършено, с изключение на случаите, когато това е невъзможно или е свързано с прекомерни усилия.
• Право на възражение пред администратора срещу обработването и/или разкриването на лични данни на субекта при наличие на законово основание за това. Право да бъде уведомено преди личните му данни да бъдат разкрити на трети лица при наличие на законово основание за това.
• Право на защита пред КЗЛД https://www.cpdp.bg/ или по съдебен ред.

XV. Ред за упражняване на права

1. (1) Физическите лица упражняват правата си като подават писмено заявление до ХАЛО (на хартиен носител или по електронна поща), съдържащо минимум следната информация:

• Име, адрес и други данни за идентифициране на съответното физическо лице;
• Описание на искането;
• Предпочитана форма за предоставяне на информация;
• Подпис, дата на подаване на заявлението и адрес за кореспонденция.

(2) Цялата процедура по упражняване на права на физическо лице във връзка с личните им данни е безплатна за лицето.

(3) С цел избягване на злоупотреби, при подаване на заявление от упълномощено лице, към заявлението се прилага нотариално заверено пълномощно.

2. ХАЛО отговаря без ненужно забавяне и най-късно в срок до 1 месец от получаване на искането. При необходимост срокът може да бъде удължен с още до 2 месеца, като лицето се уведомява в рамките на първия месец за причините за удължаването. (чл. 12, пар. 3 Регламент (ЕС) 2016/679)  
3. ХАЛО изготвя писмен отговор и го съобщава на заявителя лично – срещу подпис или по поща/куриер с обратна разписка, като се вземе предвид предпочитаната от заявителя форма за предоставяне на информацията.
4. Когато данните, предмет на заявлението не съществуват или предоставянето им е забранено със закон, на заявителя се отказва достъп до тях.
5. В случай, че ХАЛО не отговори на заявителя в предвидените срокове или заявителят не е удовлетворен от получения отговор и/или счита, че са нарушени негови права, свързани със защита на личните данни, той има право да упражни правото си на защита пред компетентните органи.

XVI. Използвани термини и дефиниции

По смисъла на настоящата Политика:

• „Лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер или чрез един или повече специфични признаци.
• „Обработване на лични данни“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.
• „Администратор на лични данни“ е ХАЛО, който сам или съвместно/чрез възлагане на друго лице обработва лични данни.
• „Регистър с лични данни“ е всяка структурирана съвкупност от лични данни, достъпна по определени критерии, съгласно Вътрешните правила на ХАЛО, която може да бъде централизирана или децентрализирана и е разпределена на функционален принцип.

Настоящата Политика за защита на личните данни на фондация ХАЛО 2019 е утвърдена със Заповед на Управителя на 03.01.2021 г. и влиза в сила от същата дата.

Настоящата Политика за защита на личните данни на фондация ХАЛО е актуализирана и утвърдена със Заповед на Управителя на 08. 07. 2026 г. и влиза в сила от същата дата.