I. Общи Положения и идентичност на Администратора

1. Данни за администратора на лични данни

„ КРЕДЕКСИС“ ЕООД, ЕИК 208492776 (Дружество/то), със седалище и адрес на управление гр. София 1220, ж.к. Надежда 1, бл. 171, вх. Д, ет. 3, ап. 77, е администратор на лични данни и обработва Вашите лични данни законосъобразно, добросъвестно и по прозрачен начин.

2. Правна Рамка и Статут

Дружеството е регистриран кредитен посредник по смисъла на § 1, т. 8 от Закона за кредитите за недвижими имоти на потребители (ЗКНИП), вписан с номер BCI000159 и Заповед на БНБ № БНБ-142377/03.10.2025 г.

Дружеството е администратор на лични данни по смисъла на Закона за защита на личните данни и Регламент 2016/679 на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламент), приложим в България от 25.05.2018 г.

Настоящият документ („Политиката“) описва процесите, свързани със събирането, употребата и защитата на Вашата лична информация. Приканваме Ви да се запознаете с него и да се свържете с нас при възникнали въпроси.

II. Цели на обработването на лични данни

Личните данни се събират за конкретни и точно определени цели и се обработват законосъобразно и добросъвестно. За да Ви предостави качественa посредническа и/или консултантска услуга Дружеството обработва информация, представляваща лични данни, за следните цели:

III. Основания за обработваните лични данни

1. Съгласие

„Кредексис“ ЕООД обработва лични данни на основание чл. 6, пар. 1, буква „а“ от Регламент (ЕС) 2016/679, когато за съответната цел е необходимо Вашето изрично, свободно изразено, конкретно и информирано съгласие.

В случаите, когато предоставянето на такова съгласие е условие за обработването на Вашите данни и Вие решите да не го дадете, Дружеството може да не бъде в състояние да предостави съответната услуга или функционалност, за която то е необходимо.

Когато обработването се извършва въз основа на дадено съгласие, Вие имате право да го оттеглите по всяко време, без това да засяга законосъобразността на извършеното обработване преди оттеглянето.

2. Договор

„Кредексис“ ЕООД обработва лични данни на основание чл. 6, пар. 1, буква „б“ от Регламент (ЕС) 2016/679, когато обработването е необходимо за сключване или изпълнение на договор, по който Вие сте страна, или за предприемане на стъпки по Ваше искане преди сключването на договор.

В случаите, когато кандидатствате за услуга или сключвате договор с „Кредексис“ ЕООД, предоставянето на определени лични данни е необходимо, за да може дружеството да предприеме действия за изпълнение на заявената от Вас услуга.

Ако не предоставите тези данни, „Кредексис“ няма да може да осигури съответната услуга или да предприеме необходимите действия по Вашето искане.

3. Законово задължение

„Кредексис“ ЕООД обработва лични данни на основание чл. 6, пар. 1, буква „в“ от Регламент (ЕС) 2016/679, когато обработването е необходимо за спазване на законови задължения, които произтичат за дружеството в качеството му на администратор на лични данни.

Това включва задължения, произтичащи от Закона за потребителския кредит, Закона за кредитите за недвижими имоти на потребители, Закона за мерките срещу изпирането на пари, Закона за задълженията и договорите, Гражданския процесуален кодекс, както и от действащото данъчно, счетоводно и финансово законодателство, и други приложими нормативни актове, уреждащи дейността на дружеството.

4. Легитимен интерес

„Кредексис“ЕООД обработва лични данни на основание чл. 6, пар. 1, буква „е“ от Регламент (ЕС) 2016/679, когато обработването е необходимо за целите на легитимните интереси на дружеството или на трета страна, при условие че тези интереси не надделяват над основните права и свободи на субектите на данни.

Такива случаи могат да включват:

• предоставяне на данни на трети страни при изпълнение на законови или договорни задължения на администратора, както и при наличие на друго валидно правно основание;
• извършване на маркетингови и пазарни проучвания, статистически анализи и оценка на ефективността на услугите;
• подобряване на клиентското обслужване, включително чрез проучване на удовлетвореността и оптимизация на вътрешните процеси.

Когато обработването на личните Ви данни се основава на легитимния интерес на „Кредексис“ ЕООД, включително профилиране за горепосочените цели, имате право по всяко време да възразите срещу такова обработване.

IV. Категории получатели на лични данни

В съответствие с изискванията на Регламент (ЕС) 2016/679 „Кредексис“ ЕООД може да разкрива лични данни, които обработва, само на получатели, за които съществува правно основание. Такива категории получатели могат да бъдат:

• Компетентни публични органи, институции и учреждения, които упражняват контрол върху дейността на дружеството или имат право на достъп до данни по силата на закон – например Българска народна банка, Комисия за защита на личните данни, Национална агенция за приходите, съдебни и правоохранителни органи, прокуратура и др. Данни могат да бъдат предоставени и когато това е необходимо за получаване на информация, свързана със сключване или изпълнение на договор.
• Трети лица (физически или юридически), на които данни се предоставят във връзка с изпълнение на законови или договорни задължения на администратора или за предоставяне на конкретна услуга – например куриерски компании, доставчици на ИТ и хостинг услуги, счетоводни дружества, консултанти и партньори.
• Държавни органи, институции и регистри, от които „Кредексис“ ЕООД извършва проверки или получава информация при оценка на кредитоспособността, удостоверяване на самоличност или изпълнение на нормативни задължения — например справки в регистъра на МВР за валидност на лични документи или други официални източници.

Във всички случаи разкриването на лични данни се извършва само при наличие на законово или договорно основание и при прилагане на подходящи технически и организационни мерки за защита.

V. Предаване на личните данни на трета държава или международна организация

Обичайно „Кредексис“ АД не предава лични данни в трети държави или международни организации. Ако все пак това се наложи, ще бъдат спазени разпоредбите на Общия регламент относно защитата на данните. Такова прехвърляне може да се осъществи, когато Вашата лична информация бъде обработвана, съхранявана или прехвърляна към юрисдикции извън Европейското икономическо пространство (ЕИП), например САЩ, чрез нашите доставчици на услуги. В тези случаи, Дружеството гарантира, че трансферът се осъществява при стриктно спазване на изискванията на Регламента, като се използват Стандартни договорни клаузи (SCCs) на Европейската комисия и/или Рамката за Поверителност на Данните (DPF) или други одобрени механизми за осигуряване на адекватно ниво на защита.

VI. Систематично картографиране и централизирана документация на обработването

В пълно съответствие с принципа на отчетност (чл. 5, пар. 2 от Регламент (ЕС) 2016/679), „Кредексис“ ЕООД поддържа вътрешен механизъм за систематично картографиране и инвентаризация на всички свои информационни потоци и операции с лични данни.

Този механизъм представлява централизирана и динамично поддържана база данни, чиято основна цел е да осигури пълна проследимост на жизнения цикъл на данните в рамките на дружеството. Чрез него „Кредексис“ ЕООД гарантира, че управлението на личната информация е интегрирано, измеримо и прозрачно.

Ключови елементи на документиране:
За всяка отделна дейност по обработване, дружеството осигурява изчерпателна документация, която включва, но не се ограничава до, следните детайли:

• Дефиниране на обхвата: Конкретните бизнес функции и вътрешни процеси, които изискват обработване на лични данни.
• Категоризация на данните и субектите: Прецизно класифициране на типовете лична информация (напр. идентификационни, финансови, контактни данни) и приблизителния обем на засегнатите лица.
• Целево и правно обосноваване: Ясно формулиране на конкретните цели на обработване, както и посочване на приложимото правно основание (напр. договор, законно задължение, легитимен интерес или съгласие).
• Източници и дестинации: Идентификация както на първоначалните източници на събиране на данните, така и на външните получатели или категории получатели, на които информацията може да бъде разкрита.
• Архитектура на съхранение: Записване на всички информационни системи, софтуерни приложения и физическите локации, използвани за обработка и съхранение.
• Политика за задържане: Установени срокове за съхранение на данните и регламентирани процедури за сигурно и необратимо унищожаване (заличаване) след изтичане на необходимия период.

Непрекъснатото актуализиране на тази документация е основен оперативен процес, който позволява на „Кредексис“ ЕООД да поддържа ефективна рамка за оценка на въздействието върху защитата на данните и да реагира проактивно на промените в регулаторната среда.

VII. Срок за съхранение на личните данни

„Кредексис“ ЕООД обработва Вашите лични данни за сроковете, установени в действащото в страната законодателство и от регулаторните надзорни органи. След изтичане на законово/регулаторно установените срокове, Дружеството ще изтрие Вашите лични данни. Лични данни, за които липсва изрично законово/надзорно задължение за съхранение, ще бъдат изтривани след постигане на целите, за които личните данни са събрани и се обработват.

Изключение: В случай на правен спор или съдебно производство, Дружеството може да запази информацията за по-дълъг срок до окончателното приключване на спора.

VIII. Автоматизирано взимане на решение

В рамките на своята дейност „Кредексис“ ЕООД може да използва автоматизирани процеси за обработка и анализ на предоставените от Вас данни, включително профилиране. Тези процеси подпомагат оценката на предоставената информация с цел да бъдат предложени най-подходящите кредитни продукти и финансови решения от партньорските кредитни институции. Автоматизираната обработка при „Кредексис“ ЕООД не представлява самостоятелно вземане на решения с правни или сходно значими последици за лицата по смисъла на чл. 22 от Регламент (ЕС) 2016/679, а служи единствено за предварителна преценка и препоръка. В случаите, когато се прилага изцяло автоматизирано решение, „Кредексис“ ЕООД ще Ви уведоми предварително и ще Ви предостави възможност за човешка намеса, изразяване на становище или оспорване на решението, съгласно чл. 22 от Регламент (ЕС) 2016/679. Възможно е да получите персонализирани предложения, когато сте дали своето изрично съгласие за обработване на личните Ви данни за целите на директния маркетинг. При всички случаи преценката дали да приемете или не предложените продукти и услуги е изцяло Ваша.

IX. Управление на риска и оценка на въздействието върху защитата на данните (DPIA)

„Кредексис“ ЕООД прилага превантивен подход към защитата на личните данни, като интегрира управлението на риска във всички етапи на обработване.

Дружеството извършва периодична оценка на риска, базирана на естеството, обхвата, контекста и целите на обработването, като тази оценка е съобразена със спецификите на всяка дейност и категория данни.

Когато обработването може да породи висок риск за правата и свободите на субектите на данни, „Кредексис“ ЕООД задължително извършва Оценка на въздействието върху защитата на данните (DPIA) съгласно изискванията на Регламент (ЕС) 2016/679.

Всяка завършена DPIA съдържа минимално следните задължителни елементи:

• Системен опис: Подробно описание на предвидените операции по обработване и техните цели.
• Необходимост и Пропорционалност: Оценка на това дали обработването е необходимо и пропорционално по отношение на целите, за които се събират и обработват данните.
• Оценка на риска: Детайлна оценка на рисковете за правата и свободите на субектите на данни.
• Мерки за справяне с риска: Предложение и прилагане на мерки, включително гаранции, мерки за сигурност и механизми за осигуряване на защита на данните и демонстриране на съответствие.

Прилагането на тези процедури е неразделна част от стратегията на „Кредексис“ ЕООД за гарантиране на адекватна защита и намаляване на вероятността от инциденти.

X. Технически и организационни мерки за защита на личните данни

В „Кредексис“ ЕООД са предприети необходимите технически и организационни мерки за защита на личните данни от случайно или незаконно унищожаване, загуба или неправомерен достъп, изменение, или разпространение.

Видовете защита биват физическа, техническа, документална и защита на автоматизираните информационни системи и/или мрежи, криптографска защита.

XI. Упражняване на права по Регламент (ЕС) 2016/679

В съответствие с изискванията на Регламент (ЕС) 2016/679 „Кредексис“ ЕООД Ви информира за правата, които имате като субект на лични данни, както и за възможността да ги упражнявате при условията, предвидени в Регламента и приложимото национално законодателство.

1. Право на Достъп

Вие имате право да поискате от „Кредексис“ ЕООД потвърждение дали се обработват лични данни, които се отнасят до Вас, както и да получите достъп до тези данни и информацията, предвидена в чл. 15 от Регламент (ЕС) 2016/679.

2. Право на коригиране

Вие имате право да поискате от „Кредексис“ ЕООД да коригира без ненужно забавяне неточни или непълни лични данни, които се отнасят до Вас, в съответствие с чл. 16 от Регламент 2016/679.

3. Право на изтриване („правото да бъдеш забравен“)

Съгласно чл. 17 от Регламент (ЕС) 2016/679 имате право да поискате от „Кредексис“ ЕООД изтриване на личните Ви данни, когато е налице някое от следните основания:

• личните данни вече не са необходими за целите, за които са били събрани или обработвани;
• оттеглили сте даденото съгласие, на което се основава обработването, и няма друго правно основание за него;
• възразили сте срещу обработването и няма законови основания, които да имат преимущество;
• личните данни са били обработвани незаконосъобразно;
• изтриването е необходимо за спазване на законово задължение на администратора;
• в други случаи, предвидени в Регламент (ЕС) 2016/679.

Изтриването може да бъде ограничено, когато обработването е необходимо за изпълнение на законово задължение, за установяване, упражняване или защита на правни претенции.

4. Право на ограничаване на обработването

Съгласно чл. 18 от Регламент (ЕС) 2016/679 имате право да поискате от „Кредексис“ ЕООД ограничаване на обработването на личните Ви данни в следните случаи:

• когато оспорвате точността на данните – за периода, необходим на дружеството да провери тяхната вярност;
• когато обработването е незаконосъобразно, но не желаете данните да бъдат изтрити, а само ограничени;
• когато „Кредексис“ не се нуждае повече от данните за целите на обработването, но те са Ви необходими за установяване, упражняване или защита на правни претенции;
• когато сте възразили срещу обработването, до приключване на проверката дали законните основания на администратора имат преимущество.

При ограничаване на обработването, данните могат да бъдат съхранявани, но не и обработвани за други цели, освен в изрично предвидените от закона случаи.

5. Право на възражение

Съгласно чл. 21 от Регламент (ЕС) 2016/679 имате право по всяко време да възразите срещу обработването на личните Ви данни, когато то се извършва на основание легитимния интерес на „Кредексис“ ЕООД, включително когато се извършва профилиране на това основание.

Имате право също така да възразите срещу обработването на личните Ви данни за целите на директния маркетинг, включително профилиране, доколкото то е свързано с такъв маркетинг. В случай на подадено възражение, обработването на личните Ви данни за тези цели ще бъде прекратено.

6. Право на преносимост на данните

Съгласно чл. 20 от Регламент (ЕС) 2016/679 имате право да получите личните данни, които сте предоставили на „Кредексис“ ЕООД, в структуриран, широко използван и пригоден за машинно четене формат, както и да поискате тези данни да бъдат прехвърлени на друг администратор по Ваша преценка, когато обработването се основава на съгласие или на договор и се извършва по автоматизиран начин.

7. Право на оттегляне на съгласие

Имате право по всяко време да оттеглите даденото от Вас съгласие за обработване на личните данни, когато обработването се извършва въз основа на такова съгласие. Оттеглянето на съгласието не засяга законосъобразността на обработването, извършено преди неговото оттегляне. След получаване на оттеглянето „Кредексис“ ЕООД ще прекрати обработването на съответните данни, освен ако съществува друго законово основание за тяхното съхранение или използване.

8. Право на жалба

В случай че считате, че обработването на личните Ви данни от „Кредексис“ ЕООД нарушава разпоредбите на Регламент (ЕС) 2016/679 или на приложимото национално законодателство, имате право да подадете жалба до Комисията за защита на личните данни – компетентният надзорен орган в Република България.

9. Образец на искане за упражняване на права

„Кредексис“ ЕООД предоставя на субектите на данни възможност по ясен, прозрачен и достъпен начин да упражняват своите права съгласно Регламент (ЕС) 2016/679. За улеснение на процеса и с цел по-бързо обработване на подадените заявления, Дружеството предоставя образец на искане за упражняване на права по Регламента, който можете да изтеглите от уебсайта ни или да получите при поискване на посочените в настоящата Политика координати за контакт.

10. Подаване на заявление

В случай че желаете да упражните някое от своите права по Регламент (ЕС) 2016/679, можете да подадете заявление в свободен текст до „Кредексис“ ЕООД по един от следните начини:

• по електронна поща на: gdpr@credexis.bg
• по пощата или на място в офиса на адрес: гр. София 1220, ж.к. Надежда 1, бл. 171, вх. Д, ет. 3, ап. 77

За да можем да обработим искането Ви коректно и да гарантираме Вашата идентификация, е необходимо в заявлението да посочите следната информация:

• трите си имена;
• ЕГН или ЛНЧ (ако сте чужд гражданин – дата и място на раждане);
• номер, издател и срок на валидност на документа за самоличност;
• постоянен адрес и адрес за кореспонденция (ако е различен);
• електронен адрес, ако желаете да получите отговор по имейл;
• телефон за контакт (по желание);
• в какво качество подавате искането – например клиент, бивш клиент, служител, пълномощник, законен представител или друго основание;
• кратко описание на искането – например: искане за достъп, корекция, изтриване, ограничаване, възражение и др.;
• предпочитан начин за получаване на отговор – по електронна поща, по пощата или на място в офиса на „Кредексис“.

В случай че подаденото заявление не съдържа достатъчно данни за идентификация или е непълно, „Кредексис“ ЕООД може да се свърже с Вас за уточнение или да не бъде в състояние да обработи искането.

Всички постъпили заявления се разглеждат в срок до 30 дни от получаването им, като при необходимост този срок може да бъде удължен съгласно условията на Регламент (ЕС) 2016/679.

11. Подаване на искания

В стремежа си да осигурим пълна прозрачност и да улесним упражняването на Вашите права по Регламент (ЕС) 2016/679, „Кредексис“ ЕООД предоставя няколко удобни начина за подаване на искания:

Независимо от избрания начин, „Кредексис“ ЕООД ще разгледа подаденото искане своевременно и ще Ви уведоми за предприетите действия в сроковете, предвидени в Регламент 2016/679.