Защитата на данните e от особен приоритет за "КЕМСА" ЕООД. Използването на Приложението Kemsa не е възможно без посочване на лични данни. Ако не е налице законово или договорно основание за това, винаги молим за Вашето предварително съгласие.
Обработването на лични данни, като име, имейл адрес, телефонен номер, данни за покупките и ползваните услуги и др. (пълният списък е в т. 3а) винаги ще бъде в съответствие с Общия регламент относно защитата на данните (ОРЗД) и специфичните разпоредби за защита на данните на държавите, приложими към "КЕМСА" ЕООД. С настоящата политика за защита на данните нашето предприятие би искало да информира широката общественост относно естеството, обхвата и целта, за които събираме, използваме и обработваме лични данни. Освен това, посредством тази политика за защита на данните субектите на лични данни са информирани относно правата, които имат.
Като администратор на данни "КЕМСА" ЕООД е предприело редица технически и организационни мерки, за да осигури пълна защита на личните данни, обработвани чрез Приложението. При предаването на данни по интернет обаче може да има пробиви в сигурността и поради това не може да бъде гарантирана пълна защита.
Политиката за защита на данните на "КЕМСА" ЕООД се основава на термините, използвани от европейския законодател при въвеждане на Общия Регламент относно защитата на данните (ОРЗД). Целта на нашата политика за защита на личните данни е да бъде ясна и разбираема за широката общественост, както и за нашите клиенти и бизнес партньори. За да гарантираме това, бихме искали първо да разясним използваната терминология.
В тази политика за защита на данните използваме, наред с друго, следните термини:
Лични данни означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“). Физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице;
Субект на данни е всяко идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано, чийто данни се обработват от администратора, отговорен за обработването.
Обработване означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;
Ограничаване на обработването означава маркиране на съхранявани лични данни с цел ограничаване на обработването им в бъдеще.
Профилиране означава всяка форма на автоматизирано обработване на лични данни, изразяващо се в използването на лични данни за оценяване на определени лични аспекти, свързани с физическо лице, и по-конкретно за анализиране или прогнозиране на аспекти, отнасящи се до изпълнението на професионалните задължения на това физическо лице, неговото икономическо състояние, здраве, лични предпочитания, интереси, надеждност, поведение, местоположение или движение.
Псевдонимизация означава обработването на лични данни по такъв начин, че личните данни не могат повече да бъдат свързвани с конкретен субект на данни, без да се използва допълнителна информация, при условие че тя се съхранява отделно и е предмет на технически и организационни мерки с цел да се гарантира, че личните данни не са свързани с идентифицирано физическо лице или с физическо лице, което може да бъде идентифицирано;
Администратор на лични данни означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;
Обработващ лични данни означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора;
Получател означава физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не. Същевременно публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие с правото на Съюза или правото на държава членка, не се считат за „получатели“; обработването на тези данни от посочените публични органи отговаря на приложимите правила за защита на данните съобразно целите на обработването;
Трета страна означава физическо или юридическо лице, публичен орган, агенция или друг орган, различен от субекта на данните, администратора, обработващия лични данни и лицата, които под прякото ръководство на администратора или на обработващия лични данни имат право да обработват личните данни;
Съгласие на субекта на данните означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени.
Администратор за целите на Общия Регламент относно защитата на данните, други закони относно защита на данните, приложими в държави-членки на Европейския съюз и други разпоредби, отнасящи се до защитата на данните е:
Приложението ни събира набор от общи данни и информация, когато субект на данни или автоматизирана система се свързва с Приложението. Тези общи данни и информация се съхраняват във файлове със сървърни записи. Може да бъде събирана информация относно (1) вида на устройството Ви, (2) операционната система и версията на Приложението, чрез която потребителят достъпва Приложението, (3) дата и час на достъп до Приложението, (4) адрес на интернет протокол (IP адрес), (5) доставчика на интернет услугите на потребителя и (6) всякакви други подобни данни и информация, които могат да бъдат използвани в случай на атаки срещу нашите информационни технологични системи.
При използване на тези данни и информация "КЕМСА" ЕООД не извлича никакви заключения относно субекта на данни. По-скоро тази информация е нужна, за да: (1) предоставяме съдържанието на Приложението; (2) оптимизираме съдържанието на Приложението; (3) осигурим дългосрочна функционалност на нашите информационни технологични системи и технология на Приложението; и (4) предоставяме на правораздавателните органи информация, необходима за наказателно преследване в случай на кибератака. Поради тази причина "КЕМСА" ЕООД анализира анонимно събрани данни и информация статистически с цел повишаване на нивото на защитата и сигурността на данните на нашето предприятие и осигуряване на оптимално ниво на защита на личните данни, които обработваме. Анонимните данни на файловете, съдържащи сървърни записи, се съхраняват отделно от всички лични данни, предоставени от субект на данни.
| Данни | Откъде | За какво | Основание (ОРЗД, чл. 6, пар. 1) |
|---|---|---|---|
| Име и имейл адрес | От Google или Apple при вход (при Вход с Apple имейлът може да е скрит) | Профил, вход, връзка с Потребителя | б. „б“ – договор |
| Телефонен номер (по желание) | Въвежда се от Потребителя и се потвърждава със SMS код | Използване на Бонуси, които изискват потвърден номер; предотвратяване на злоупотреби с повече профили | б. „б“ – договор; б. „е“ – законен интерес |
| Ваучери, покупки, зареждания на машини и бонуси | Ползване на Приложението | Изпълнение на договора, рекламации, счетоводство | б. „б“ – договор; б. „в“ – законово задължение |
| Данни за банкова карта | Въвеждат се директно в системата на Stripe | Плащане | б. „б“ – договор. "КЕМСА" ЕООД не получава и не съхранява номера на картата. |
| Идентификатор на устройството, платформа и версия на Приложението | Устройството, при приемане на Общите условия | Доказване кога и от кое устройство са приети Общите условия | б. „е“ – законен интерес |
| Токен за известия | Устройството, ако Потребителят разреши известия | Изпращане на известия | б. „а“ – съгласие (разрешението на устройството) |
| Местоположение | Устройството, само ако Потребителят го разреши | Показване на близки автомивки и разстоянието до тях. Използва се на устройството и се изпраща на Google за изчисляване на разстояние и маршрут; "КЕМСА" ЕООД не го съхранява. | б. „а“ – съгласие (разрешението на устройството) |
| Камера | Устройството, само ако Потребителят я разреши | Сканиране на QR кодове. Изображения не се записват и не се изпращат. | б. „а“ – съгласие (разрешението на устройството) |
| Данни за използването на Приложението (отворени екрани) | Firebase Analytics | Статистика за подобряване на Приложението. Не се използва рекламен идентификатор. | б. „е“ – законен интерес |
Приложението ни съдържа информация, която предоставяте или актуализирате, като попълвате полета/ формуляри (име, електронен адрес, номер на телефон). Това включва информация, въведена при регистрацията за използване на Приложението, покупка на Ваучер или заявки за нови услуги.
Ако субект на данни се свърже с администратора на данни по електронна поща или се регистрира в Приложението, то личните данни, предавани от субекта на данни се съхраняват автоматично. Такива лични данни, предавани доброволно от субект на данни на администратора се съхраняват с цел обработване или свързване със субекта на данни. Възможно е да разкрием Личните Ви данни на трети страни, а именно: доставчици на закупени услуги, счетоводни къщи и други, описани в т. 4а.
Някои от изброените в т. 4а доставчици (Google, Apple, Stripe) могат да обработват данни и в САЩ. Предаването става на основание решението на Европейската комисия от 10.07.2023 г. относно адекватното ниво на защита по Рамката за защита на данните ЕС–САЩ (EU-US Data Privacy Framework) и/или стандартни договорни клаузи, одобрени от Европейската комисия.
Администраторът на данни обработва и съхранява личните данни на субекта на данни само за периода, който е необходим, за да се изпълни целта на съхранението или докато това се допуска от европейския законодател или други законодатели по силата на закони и разпоредби, които се прилагат спрямо субекта на данни или администратора на данни.
Ако целта на съхранението не е приложима, или ако срокът за съхранение, предвиден от европейския законодател или друг компетентен законодател изтича, личните данни се блокират или изтриват текущо в съответствие със законовите изисквания.
Потребителят може по всяко време да изтрие профила си от Настройки → Изтриване на акаунт. Преди изтриването се изисква повторен вход с Google или Apple. При изтриване:
Изтриване може да се поиска и на имейл kemsabg.ltd@gmail.com.
Всяко от правата по-долу Потребителят може да упражни, като пише на kemsabg.ltd@gmail.com или чрез „Връзка с нас“ в Настройките на Приложението. Навсякъде, където по-долу е посочено „служител на администратора“, става дума за този канал.
Всеки субект на данни има право, предоставено от европейския законодател, да получава от администратора потвърждение за това, дали личните му данни се обработват или не. Ако субект на данни желае да се възползва от това право на потвърждение, то той може да се свърже по всяко време със служител на администратора.
Всеки субект на данни има право, предоставено от европейския законодател, да получава от администратора безплатна информация относно неговите лични данни, съхранявани във всеки един момент и копие от тази информация. Освен това, европейските директиви и регламенти разрешават достъп на субекта на данни до следната информация:
Освен това, субектът на данни има право да получава информация относно това, дали лични данни се предават на трета държава или международна организация. Ако случаят е такъв, субектът на данни има право да бъде информиран относно подходящите гаранции във връзка с предаването.
Ако субект на данни желае да се възползва от правото на достъп, то той може по всяко време да се свърже със служител на администратора.
Всеки субект на данни има право, предоставено от европейския законодател, да поиска от администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването субектът на данните има право непълните лични данни да бъдат попълнени, включително чрез добавяне на декларация.
Ако субект на данни желае да се възползва от това право на коригиране, то той може да се свърже по всяко време със служител на администратора.
Всеки субект на данни има право, предоставено от европейския законодател, да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените по-долу основания, ако обработването вече не е необходимо съгласно нормативната уредба:
Ако се приложи едно от горните основания и субект на данни желае да заяви изтриване на лични данни, съхранявани от „КЕМСА“ ЕООД, то той може да се свърже по всяко време със служител на администратора или да изтрие профила си сам от Приложението (т. 5а). Служител на „КЕМСА“ ЕООД ще гарантира по бърз начин, че заявката за изтриване е незабавно изпълнена.
Ако администраторът е направил лични данни обществено достъпни и е длъжен съгласно член 17 параграф 1 от Общия Регламент относно защитата на данните да изтрие личните данни, то същият - при съблюдаване на наличната технология и разходите за изпълнение - следва да предприеме подходящи стъпки, включително технически мерки, за да информира други администратори, обработващи личните данни, че субектът на данни е поискал изтриване от тези администратори на всякакви връзки към, или копие или реплики на тези лични данни, ако обработване не е необходимо. Служител на „КЕМСА“ ЕООД ще предприеме необходимите мерки в конкретния случай.
Всеки субект на данни има право, предоставено от европейския законодател, да изиска от администратора ограничаване на обработването, когато се прилага едно от следното:
Ако едно от следните условия е изпълнено и субект на данни желае ограничаването на обработването на лични данни, съхранявани от „КЕМСА“ ЕООД, то той може да се свърже по всяко време със служител на администратора. Служителят на „КЕМСА“ ЕООД ще извърши ограничаването на обработването незабавно.
Всеки субект на данните има право, предоставено от европейския законодател, да получи личните данни, свързани с него, които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат. Той има право да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) от Общия Регламент относно защитата на данните или на договорно задължение съгласно член 6, параграф 1, буква б) от Общия Регламент относно защитата на данните и обработването се извършва по автоматизиран начин, доколкото обработването не е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора.
Освен това, когато упражнява правото си на преносимост на данните по член 20, параграф 1 от Общия Регламент относно защитата на данните, субектът на данните има право да получи пряко прехвърляне на личните данни от един администратор към друг, когато това е технически осъществимо и не влияе неблагоприятно върху правата и свободите на други лица.
За да заяви правото на преносимост на данните, субектът на данни може да се свърже със служител на „КЕМСА“ ЕООД.
Всеки субект на данни има право, предоставено от европейския законодател, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него, което се основава на член 6, параграф 1, буква д) или буква е) от Общия Регламент относно защитата на данните, включително профилиране, основаващо се на посочените разпоредби.
„КЕМСА“ ЕООД прекратява обработването на личните данни в случай на възражение, освен ако докаже, че съществуват законови основания за обработването, които имат преимущество пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции, както и освен ако е налице договорно основание за обработване на личните данни.
Когато „КЕМСА“ ЕООД обработва лични данни за целите на директния маркетинг, субектът на данни има право по всяко време да направи възражение срещу обработване на лични данни, свързани с него за този вид маркетинг. Това включва профилиране, доколкото то е свързано с директния маркетинг. Когато субектът на данни възрази пред „КЕМСА“ ЕООД срещу обработване за целите на директния маркетинг, обработването на личните данни за тези цели се прекратява. Известията за кампании и предложения могат да бъдат спрени и от настройките на устройството.
В допълнение, субектът на данни има право, въз основа на конкретното си положение, да възрази срещу обработването от „КЕМСА“ ЕООД на лични данни, свързани с него, за целите на научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1 от Общия Регламент относно защитата на данните, освен ако обработването е необходимо за изпълнението на задача, осъществявана по причини от обществен интерес.
За да упражни правото на възражение субектът на данни може да се свърже със служител на „КЕМСА“ ЕООД. В допълнение, субектът на данни е свободен в контекста на използване на услугите на информационното общество и независимо от Директива 2002/58/ЕО да упражнява правото си на възражение чрез автоматизирани средства, като се използват технически спецификации.
Всеки субект на данни има право, предоставено от европейския законодател, да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данни или по подобен начин го засяга в значителна степен, освен ако решението: (1) e необходимо за сключването или изпълнението на договор между субект на данни и администратор; или (2) е разрешено от правото на Съюза или правото на държава членка, което се прилага спрямо администратора, и в което се предвиждат също подходящи мерки за защита на правата и свободите, и законните интереси; или (3) се основава на изричното съгласие на субекта на данни.
Ако решението (1) е необходимо за сключването или изпълнението на договор между субект на данни и администратор, или (2) се основава на изричното съгласие на субекта на данни „КЕМСА“ ЕООД ще предприеме подходящи мерки за защита правата на субекта на данни и свободите и законни интереси, най-малко правото на човешка намеса от страна на администратора, правото да изрази гледната си точка и да оспори решението.
Ако субектът на данни желае да упражни правата си, свързани с автоматизирано вземане на индивидуални решения, то той може да се свърже по всяко време със служител на „КЕМСА“ ЕООД.
Всеки субект на данни има право, предоставено от европейския законодател, да оттегли по всяко време съгласието си за обработване на неговите лични данни.
Ако субектът на данни желае да упражни правото си да оттегли съгласието, то той може по всяко време да се свърже със служител на „КЕМСА“ ЕООД. Разрешенията за местоположение, камера и известия могат да бъдат оттеглени по всяко време и от настройките на устройството.
Всеки субект на данни има право да подаде жалба до Комисията за защита на личните данни: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg.
Член 6, параграф 1, б. а) от Общия Регламент относно защитата на данните e правното основание за операциите по обработване, за които получаваме съгласие за целите на конкретно обработване. Ако обработването на лични данни е необходимо за изпълнението на договор, по който субектът на данни е страна, като напр., когато операциите по обработване са необходими за доставката на стоки или за предоставяне на друга услуга, обработването се базира на член 6, параграф 1, б. б) от Общия Регламент относно защитата на данните. Същото се прилага към такива операции по обработване, които са необходими за извършване на мерки преди сключване на договор, напр. в случай на запитвания, касаещи нашите продукти или услуги. Ако нашето дружество има правно задължение, по силата на което обработването на лични данни е необходимо, като за изпълнението на данъчни задължения, обработването се основава на член 6, параграф 1, б. в) от Общия Регламент относно защитата на данните. В редки случаи, обработването на лични данни може да бъде необходимо за защита на жизненоважни интереси на субекта на данни или на друго физическо лице. Тогава обработването би се основавало на член 6, параграф 1, б. г) от Общия Регламент относно защитата на данните. Това правно основание се прилага при операциите на обработване, които не попадат в правните основания, посочени по-горе, ако обработването е необходимо в полза на легитимните интереси на нашето дружество или на трето лице, с изключение ако тези интереси са доминирани от интересите или основни права и свободи на субекта на данни, които изискват защита на лични данни. Тези операции по обработване са по-специално допустими, тъй като са конкретно упоменати от европейския законодател. Отчетено е, че законен интерес би могъл да е налице, ако субектът на данни е клиент на администратора (Съображение 47 изречение 2 от Общия Регламент относно защитата на данни).
Ако обработването на лични данни се основава на член 6, параграф 1, б. е) от Общия Регламент относно защитата на данните нашият законен интерес е сигурността на Приложението и на сървърите ни; предотвратяването на измами и злоупотреби, включително получаване на Бонуси чрез повече профили; доказване на приемането на Общите условия; анонимна статистика за подобряване на Приложението.
Критериите, използвани за определяне срока на съхранение на личните данни е съответният законов срок. Ако няма такъв, „КЕМСА“ ЕООД пази събраните лични данни за срок от 5 години. След изтичане на този срок съответните данни се изтриват текущо, ако не са повече необходими с оглед изпълнение или активиране на договор. Счетоводните документи за плащанията се пазят в сроковете по Закона за счетоводството. Данните в профила се заличават при изтриване на профила (т. 5а).
Поясняваме, че предоставянето на лични данни е частично изискуемо по закон (напр. данъчни разпоредби) или може също да произтича от договорни разпоредби (напр. информация относно договорния партньор). Понякога може да е необходимо да се сключи договор за това, че субектът на данни ни предоставя лични данни, които трябва впоследствие да бъдат обработени от нас. Субектът на данни е например длъжен да ни предоставя лични данни, когато подписва договор с нас. Непредоставянето на личните данни би довело до невъзможността да бъде сключен договор със субекта на данни. Преди субектът на данни да предостави лични данни той може да се свърже с наш служител. Служителят ще разясни на субекта на данни дали предоставянето на личните данни е необходимо по закон или съгласно договор, дали е налице задължение за предоставяне на личните данни и последствията от непредоставянето на личните данни. Без име и имейл (получени при вход с Google или Apple) Приложението не може да се използва. Телефонен номер, местоположение, камера и известия не са задължителни; без тях не са достъпни само съответните функции.
Приложението е предназначено за лица, навършили 18 години (Общи условия, раздел I, т. 5). "КЕМСА" ЕООД не събира съзнателно лични данни на непълнолетни.
При промени в тази политика актуалната редакция се публикува в Приложението и на https://kemsa.net с нова дата на последна актуализация.
Последна актуализация: 01.10.2026 г.
This is an English translation provided for convenience. In case of discrepancy, the Bulgarian version prevails.
Data protection is a particular priority for "KEMSA" EOOD. The Kemsa App cannot be used without providing personal data. Where there is no legal or contractual basis for processing, we always ask for your prior consent.
The processing of personal data, such as name, e-mail address, telephone number, data on purchases and services used, etc. (the full list is in section 3a), will always be in accordance with the General Data Protection Regulation (GDPR) and the country-specific data protection provisions applicable to "KEMSA" EOOD. With this privacy policy our company wishes to inform the public about the nature, scope and purpose of the personal data we collect, use and process. This policy also informs data subjects of their rights.
As the controller, "KEMSA" EOOD has implemented numerous technical and organisational measures to ensure the most complete protection of personal data processed through the App. However, data transmission over the Internet may have security gaps, so absolute protection cannot be guaranteed.
The privacy policy of "KEMSA" EOOD is based on the terms used by the European legislator in adopting the General Data Protection Regulation (GDPR). Our privacy policy should be clear and understandable for the general public as well as for our customers and business partners. To ensure this, we first explain the terminology used.
In this privacy policy we use, among others, the following terms:
Personal data means any information relating to an identified or identifiable natural person ("data subject"). An identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;
A data subject is any identified or identifiable natural person whose personal data is processed by the controller responsible for the processing.
Processing means any operation or set of operations performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
Restriction of processing means the marking of stored personal data with the aim of limiting their processing in the future.
Profiling means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person's performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements.
Pseudonymisation means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person;
Controller means the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law;
Processor means a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller;
Recipient means a natural or legal person, public authority, agency or another body, to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing;
Third party means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data;
Consent of the data subject means any freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her.
The controller for the purposes of the General Data Protection Regulation, other data protection laws applicable in the Member States of the European Union and other provisions related to data protection is:
Our App collects a series of general data and information when a data subject or automated system connects to the App. This general data and information is stored in server log files. The following may be collected: (1) the type of your device, (2) the operating system and the App version used to access the App, (3) the date and time of access to the App, (4) the Internet Protocol address (IP address), (5) the user's Internet service provider and (6) any other similar data and information that may be used in the event of attacks on our information technology systems.
When using this general data and information, "KEMSA" EOOD does not draw any conclusions about the data subject. Rather, this information is needed to: (1) deliver the content of the App; (2) optimise the content of the App; (3) ensure the long-term viability of our information technology systems and App technology; and (4) provide law enforcement authorities with the information necessary for criminal prosecution in case of a cyber-attack. Therefore, "KEMSA" EOOD analyses anonymously collected data and information statistically, with the aim of increasing the data protection and data security of our company and ensuring an optimal level of protection for the personal data we process. The anonymous data of the server log files are stored separately from all personal data provided by a data subject.
| Data | Source | Purpose | Legal basis (GDPR Art. 6(1)) |
|---|---|---|---|
| Name and e-mail address | From Google or Apple at sign-in (with Sign in with Apple the e-mail may be hidden) | Profile, sign-in, contacting the User | (b) – contract |
| Telephone number (optional) | Entered by the User and confirmed with an SMS code | Using Bonuses that require a confirmed number; preventing abuse through multiple profiles | (b) – contract; (f) – legitimate interest |
| Vouchers, purchases, machine top-ups and bonuses | Use of the App | Performance of the contract, complaints, accounting | (b) – contract; (c) – legal obligation |
| Bank card data | Entered directly into the Stripe system | Payment | (b) – contract. "KEMSA" EOOD does not receive or store the card number. |
| Device identifier, platform and App version | The device, when accepting the Terms of Use | Proving when and from which device the Terms of Use were accepted | (f) – legitimate interest |
| Notification token | The device, if the User allows notifications | Sending notifications | (a) – consent (device permission) |
| Location | The device, only if the User allows it | Showing nearby car washes and the distance to them. It is used on the device and sent to Google to calculate distance and route; "KEMSA" EOOD does not store it. | (a) – consent (device permission) |
| Camera | The device, only if the User allows it | Scanning QR codes. Images are not recorded or sent. | (a) – consent (device permission) |
| App usage data (screens opened) | Firebase Analytics | Statistics to improve the App. No advertising identifier is used. | (f) – legitimate interest |
Our App contains information that you provide or update by filling in fields/forms (name, e-mail address, telephone number). This includes information entered when registering to use the App, buying a Voucher or requesting new services.
If a data subject contacts the controller by e-mail or registers in the App, the personal data transmitted by the data subject is stored automatically. Such personal data transmitted voluntarily by a data subject to the controller is stored for the purpose of processing or contacting the data subject. We may disclose your Personal Data to third parties, namely: providers of purchased services, accounting firms and others described in section 4a.
Some of the providers listed in section 4a (Google, Apple, Stripe) may also process data in the USA. Such transfers are based on the European Commission's adequacy decision of 10 July 2023 under the EU-U.S. Data Privacy Framework and/or standard contractual clauses approved by the European Commission.
The controller processes and stores the personal data of the data subject only for the period necessary to achieve the purpose of storage, or as far as this is permitted by the European legislator or other legislators in laws or regulations to which the controller is subject.
If the purpose of storage no longer applies, or if a storage period prescribed by the European legislator or another competent legislator expires, the personal data is routinely blocked or erased in accordance with legal requirements.
The User may delete their profile at any time from Settings → Delete account. Before deletion, the User is asked to sign in again with Google or Apple. On deletion:
Deletion may also be requested by e-mail at kemsabg.ltd@gmail.com.
The User may exercise any of the rights below by writing to kemsabg.ltd@gmail.com or through "Contact us" in the App Settings. Wherever "an employee of the controller" is mentioned below, this channel is meant.
Each data subject has the right granted by the European legislator to obtain from the controller confirmation as to whether or not personal data concerning him or her is being processed. A data subject wishing to exercise this right may contact an employee of the controller at any time.
Each data subject has the right granted by the European legislator to obtain from the controller, free of charge, information about the personal data stored about him or her at any time and a copy of this information. Furthermore, the European directives and regulations grant the data subject access to the following information:
Furthermore, the data subject has the right to obtain information as to whether personal data is transferred to a third country or to an international organisation. Where this is the case, the data subject has the right to be informed of the appropriate safeguards relating to the transfer.
A data subject wishing to exercise this right of access may contact an employee of the controller at any time.
Each data subject has the right granted by the European legislator to obtain from the controller without undue delay the rectification of inaccurate personal data concerning him or her. Taking into account the purposes of the processing, the data subject has the right to have incomplete personal data completed, including by means of providing a supplementary statement.
A data subject wishing to exercise this right to rectification may contact an employee of the controller at any time.
Each data subject has the right granted by the European legislator to obtain from the controller the erasure of personal data concerning him or her without undue delay, and the controller is obliged to erase personal data without undue delay where one of the following grounds applies, as long as the processing is no longer necessary:
If one of the above grounds applies and a data subject wishes to request the erasure of personal data stored by "KEMSA" EOOD, he or she may contact an employee of the controller at any time or delete the profile in the App (section 5a). An employee of "KEMSA" EOOD will promptly ensure that the erasure request is complied with immediately.
Where the controller has made personal data public and is obliged pursuant to Article 17(1) GDPR to erase the personal data, the controller, taking account of available technology and the cost of implementation, shall take reasonable steps, including technical measures, to inform other controllers processing the personal data that the data subject has requested erasure by such controllers of any links to, or copy or replication of, those personal data, as far as processing is not required. An employee of "KEMSA" EOOD will arrange the necessary measures in individual cases.
Each data subject has the right granted by the European legislator to obtain from the controller restriction of processing where one of the following applies:
If one of the aforementioned conditions is met and a data subject wishes to request the restriction of the processing of personal data stored by "KEMSA" EOOD, he or she may contact an employee of the controller at any time. The employee of "KEMSA" EOOD will arrange the restriction of the processing immediately.
Each data subject has the right granted by the European legislator to receive the personal data concerning him or her, which he or she has provided to a controller, in a structured, commonly used and machine-readable format. He or she has the right to transmit those data to another controller without hindrance from the controller to which the personal data have been provided, where the processing is based on consent pursuant to Article 6(1)(a) or Article 9(2)(a) GDPR or on a contract pursuant to Article 6(1)(b) GDPR, and the processing is carried out by automated means, unless the processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller.
Furthermore, in exercising the right to data portability pursuant to Article 20(1) GDPR, the data subject has the right to have personal data transmitted directly from one controller to another, where technically feasible and where this does not adversely affect the rights and freedoms of others.
To assert the right to data portability, the data subject may contact an employee of "KEMSA" EOOD at any time.
Each data subject has the right granted by the European legislator to object, on grounds relating to his or her particular situation, at any time, to processing of personal data concerning him or her which is based on Article 6(1)(e) or (f) GDPR, including profiling based on these provisions.
"KEMSA" EOOD shall no longer process the personal data in the event of an objection, unless it can demonstrate compelling legitimate grounds for the processing which override the interests, rights and freedoms of the data subject, or for the establishment, exercise or defence of legal claims, or unless there is a contractual basis for processing the personal data.
If "KEMSA" EOOD processes personal data for direct marketing purposes, the data subject has the right to object at any time to the processing of personal data concerning him or her for such marketing. This applies to profiling to the extent that it is related to such direct marketing. If the data subject objects to "KEMSA" EOOD to the processing for direct marketing purposes, the personal data will no longer be processed for these purposes. Notifications about campaigns and offers can also be turned off in the device settings.
In addition, the data subject has the right, on grounds relating to his or her particular situation, to object to the processing by "KEMSA" EOOD of personal data concerning him or her for scientific or historical research purposes, or for statistical purposes pursuant to Article 89(1) GDPR, unless the processing is necessary for the performance of a task carried out for reasons of public interest.
To exercise the right to object, the data subject may contact an employee of "KEMSA" EOOD. In addition, the data subject is free in the context of the use of information society services, and notwithstanding Directive 2002/58/EC, to exercise his or her right to object by automated means using technical specifications.
Each data subject has the right granted by the European legislator not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her, or similarly significantly affects him or her, as long as the decision (1) is not necessary for entering into, or the performance of, a contract between the data subject and a data controller, or (2) is not authorised by Union or Member State law to which the controller is subject and which also lays down suitable measures to safeguard the data subject's rights and freedoms and legitimate interests, or (3) is not based on the data subject's explicit consent.
If the decision (1) is necessary for entering into, or the performance of, a contract between the data subject and a data controller, or (2) is based on the data subject's explicit consent, "KEMSA" EOOD shall implement suitable measures to safeguard the data subject's rights and freedoms and legitimate interests, at least the right to obtain human intervention on the part of the controller, to express his or her point of view and to contest the decision.
A data subject wishing to exercise the rights concerning automated individual decision-making may contact an employee of "KEMSA" EOOD at any time.
Each data subject has the right granted by the European legislator to withdraw his or her consent to processing of his or her personal data at any time.
A data subject wishing to exercise the right to withdraw consent may contact an employee of "KEMSA" EOOD at any time. Location, camera and notification permissions can also be withdrawn at any time in the device settings.
Each data subject has the right to lodge a complaint with the Bulgarian Commission for Personal Data Protection: 2 Prof. Tsvetan Lazarov Blvd., Sofia 1592, Bulgaria, www.cpdp.bg.
Article 6(1)(a) GDPR is the legal basis for processing operations for which we obtain consent for a specific processing purpose. If the processing of personal data is necessary for the performance of a contract to which the data subject is party, as is the case, for example, when processing operations are necessary for the supply of goods or to provide any other service, the processing is based on Article 6(1)(b) GDPR. The same applies to such processing operations which are necessary for carrying out pre-contractual measures, for example in the case of inquiries concerning our products or services. If our company is subject to a legal obligation by which processing of personal data is required, such as for the fulfilment of tax obligations, the processing is based on Article 6(1)(c) GDPR. In rare cases, the processing of personal data may be necessary to protect the vital interests of the data subject or of another natural person. Then the processing would be based on Article 6(1)(d) GDPR. Finally, processing operations could be based on Article 6(1)(f) GDPR. This legal basis is used for processing operations which are not covered by any of the abovementioned legal grounds, if processing is necessary for the purposes of the legitimate interests pursued by our company or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data. Such processing operations are particularly permissible because they have been specifically mentioned by the European legislator. It considered that a legitimate interest could be assumed if the data subject is a client of the controller (Recital 47 Sentence 2 GDPR).
Where the processing of personal data is based on Article 6(1)(f) GDPR, our legitimate interest is the security of the App and our servers; the prevention of fraud and abuse, including obtaining Bonuses through multiple profiles; proving acceptance of the Terms of Use; and anonymous statistics to improve the App.
The criterion used to determine the period of storage of personal data is the respective statutory retention period. If there is none, "KEMSA" EOOD keeps the collected personal data for 5 years. After expiration of that period, the corresponding data is routinely deleted, as long as it is no longer necessary for the fulfilment or initiation of a contract. Accounting documents for payments are kept for the periods set out in the Bulgarian Accountancy Act. The profile data is erased when the profile is deleted (section 5a).
We clarify that the provision of personal data is partly required by law (e.g. tax regulations) or can also result from contractual provisions (e.g. information on the contractual partner). Sometimes it may be necessary to conclude a contract that the data subject provides us with personal data, which must subsequently be processed by us. The data subject is, for example, obliged to provide us with personal data when our company signs a contract with him or her. Failure to provide the personal data would have the consequence that the contract with the data subject could not be concluded. Before personal data is provided by the data subject, the data subject may contact any employee, who will clarify whether the provision of the personal data is required by law or contract or is necessary for the conclusion of the contract, whether there is an obligation to provide the personal data and the consequences of non-provision of the personal data. Without a name and e-mail address (received at sign-in with Google or Apple), the App cannot be used. A telephone number, location, camera and notifications are optional; without them, only the respective functions are unavailable.
The App is intended for persons aged 18 or over (Terms of Use, section I, item 5). "KEMSA" EOOD does not knowingly collect personal data of minors.
When this policy changes, the current version is published in the App and at https://kemsa.net with a new date of last update.
Last updated: 01.10.2026