Правна информация · 2026-08-v4

Политика за поверителност

В сила от: 24 август 2026 г. · Версия: 2026-08-v4

Настоящата Политика описва как обработваме лични данни при ползване на Софтуер за СТМ — софтуер за Служби по трудова медицина в България (публичен сайт stm-bg.com и защитена среда app.stm-bg.com). Прилагат се GDPR и ЗЗЛД. Чети заедно с Условията за ползване.

1. Администратор

За данните, при които Дружеството е администратор (профили, вход, абонамент, фактуриране, публичен сайт):

Жалба до КЗЛД: www.cpdp.bg.

2. Администратор и обработващ

Клиентът (регистрирана Служба по трудова медицина) е администратор на данните в работната среда за обслужваните работодатели и работещи — включително здравни досиета, болнични листове, прегледи, заключения и свързани документи. „Аутрейди“ ЕООД е обработващ по чл. 28 GDPR за тези данни и ги обработва само по документирани указания на клиента (ползването на софтуера).

Дружеството е администратор за: профил и вход с Google на потребителите на СТМ; записи за приемане на Условията; технически записи за сигурност; данни за абонамент и таксуване; данни на посетители на публичния сайт, доколкото се събират.

Публичният сайт не приема медицински документи. Качването става само в защитената работна среда след удостоверяване.

3. Категории данни

• Google профил – име, имейл и стабилен идентификатор (subject) при вход.
• Правно приемане – че сте приели Условията и сте запознати с тази Политика (чрез продължаване с Google).
• Работна среда на СТМ – работодатели, служители, роли, покани, записи в журнала.
• Качени документи – болнични листове, списъци, прегледи, ТЕЛК/НЕЛК, условия на труд и други файлове, включително копия, предадени към доставчика за извличане.
• Здравни данни (специални категории, чл. 9 GDPR) – диагнози/МКБ-10, периоди на неработоспособност, заключения за пригодност, съдържание на досиета и извлечени полета. Обработват се като обработващ за клиента.
• Извлечено съдържание – извлечен текст, подредени полета, чернови анализи.
• Вход за работодателя – данни, които работодателят подава или получава през отделния вход; индивидуалните здравни досиета не са достъпни за работодателя през този вход.
• Технически данни – IP, браузър/устройство, записи за сигурност.

Ако предоставите данни на трети лица (работещи, работодатели, колеги), Вие трябва да разполагате с правно основание. За здравни данни това обичайно е дейността на СТМ по ЗЗБУТ и Наредба № 3, а не „общо съгласие за всичко“.

4. Цели и правни основания

Приемането на Условията при вход е договорен акт. Запознаването с тази Политика не е „съгласие“ по GDPR за основното обработване. Не Ви добавяме автоматично към маркетингов бюлетин. Съгласие би се изисквало за несъществени цели като аналитични бисквитки, ако бъдат въведени.

5. Съхранение и инфраструктура

• Приложна база и файлове – Vultr във Франкфурт, Германия (ЕИП).
• Доставчик за извличане (OpenAI) – разпознаване на текст и извличане на полета; съдържание на качени документи (вкл. здравни данни) се предава за обработка. Съгласно условията за API на доставчика входовете и изходите по подразбиране не се използват за обучение на моделите, освен ако клиентът не се включи в споделяне на данни. Не твърдим, че доставчикът не пази данни.

Сървърите на приложението са в ЕИП. Извличането е при доставчик с международна инфраструктура; гаранциите и евентуалните предавания извън ЕИП зависят от неговия договор за обработване. Вижте Подизпълнители.

6. Получатели и предавания

• Google (удостоверяване)
• OpenAI (извличане от документи)
• Resend (служебни имейли, когато са включени)
• Сървърен оператор (Vultr)

OpenAI, Google и Resend могат да включват обработване извън ЕИП. Когато е приложимо, разчитаме на адекватност и/или стандартни договорни клаузи (SCC) според доставчика. Не продаваме лични данни. Платежен оператор ще бъде посочен тук и в списъка на подизпълнителите преди активиране на платени планове.

7. Вашите права (GDPR)

Достъп, коригиране, изтриване, ограничаване, преносимост, възражение, жалба до КЗЛД.

За данни в работната среда на СТМ (досиета, болнични, служители) исканията се насочват към съответната Служба по трудова медицина като администратор. Можем да препратим или да съдействаме на клиента съгласно чл. 28.

Автоматичното извличане е помощно. То не е правно обвързващо медицинско или административно решение. Окончателният контрол остава при СТМ. Можете да поискате човешка намеса в рамките на работния процес на клиента.

За права, при които сме администратор, пишете на [email protected]. Отговаряме без ненужно забавяне, обичайно до 1 месец. Може да поискаме потвърждение на самоличност.

8. Срокове на съхранение

• Профил – докато е активен; след искане за изтриване — обичайно около 30 дни, освен законови изключения.
• Работна среда и документи – според указанията на клиента и продължителността на услугата; при прекратяване — изтриване или връщане, доколкото е технически възможно, освен задължително съхранение.
• Фактури / счетоводни записи – 10 години (Закон за счетоводството, чл. 12), когато са приложими.
• Записи за сигурност – месеци, според нуждата.
• OpenAI – според политиката и условията на доставчика; не държим отделно копие при доставчика след приключване на заявката, освен ако той го запази по свои правила.

9. Бисквитки

Публичният сайт е проектиран без рекламни или аналитични бисквитки. Работната среда използва само строго необходими бисквитки за вход, защита на формулярите и Google вход. Подробности: Бисквитки.

10. Сигурност

Криптирана връзка, изолация по клиент, контрол на достъпа, криптиране на документи, ограничено записване. Никоя услуга в интернет не гарантира абсолютна сигурност. При инцидент с висок риск действаме съгласно задълженията за уведомяване по GDPR — като администратор за нашите данни и като обработващ чрез уведомяване на клиента, когато е приложимо.

11. Деца

Услугата е за професионални потребители на възраст най-малко 18 години. Не създаваме съзнателно профили на деца. Данни за непълнолетни работещи могат да попаднат в досиетата само ако клиентът ги въведе в рамките на своята СТМ дейност; тогава клиентът е администратор.

12. Промени

При съществени промени актуализираме версията и датата и уведомяваме чрез имейл и/или известие в работната среда. Не изискваме „повторно GDPR съгласие“ към Политиката като условие за договорното обработване.

13. Контакти

← Обратно към началната страница