1.Кой обработва данните ви (администратор)Who processes your data (controller)
„ОНЗИ ЕУ“ ЕООД, ЕИК 208519579, което поддържа портала esti.onzi.eu. Седалище и адрес на управление: гр. Пловдив 4003, р-н Северен, бул. „Марица“ № 27А, вх. Б, ет. 4, ап. 9. Връзка с нас: info@onzi.eu · +359 892 277 155.Onzi EY Ltd (ЕИК/UIC 208519579), operator of esti.onzi.eu. Registered seat: 27A Maritsa Blvd, entrance B, floor 4, apt. 9, Severen district, Plovdiv 4003, Bulgaria. Contact: info@onzi.eu · +359 892 277 155.
За данните на гостите домакинът (мястото за настаняване) е администратор, а „Онзи ЕУ“ ЕООД действа като обработващ данните от негово име. Домакинът остава отговорен за подаването към ЕСТИ.For guest data the host (the accommodation) is the controller and Onzi EU Ltd. acts as processor on their behalf. The host remains responsible for the ЕСТИ submission.
2.Какви данни събирамеWhat data we collect
От гости — само данните, които законът изисква за регистъра: имена, пол, дата на раждане и гражданство. За граждани извън ЕС/ЕИП/Швейцария — допълнително вид и номер на документа за самоличност. За български граждани по желание — ЕГН. По избор можете да оставите имейл, за да получите отново кода за вратата.From guests — only what the law requires for the register: names, gender, date of birth and nationality. For non‑EU/EEA/Swiss citizens — additionally the ID document type and number. For Bulgarian citizens optionally the national ID (ЕГН). Optionally an email so you can re‑receive your door code.
От домакини — имейл за вход в таблото и връзка, УИН на обекта, настройки и (по избор) данни за връзка към смарт брава.From hosts — a login/contact email, the property UIN, settings and (optionally) smart‑lock connection details.
Не събираме специални категории данни и не проследяваме поведение извън анонимна статистика (виж т. 10).We collect no special‑category data and do not track behaviour beyond anonymous statistics (see §10).
3.Защо и на какво основаниеPurpose & legal basis
Основна цел: изпълнение на законово задължение — чл. 116 от Закона за туризма (и чл. 28 ЗЧРБ за документите на чужденци извън ЕС) изискват регистрация на всяко настаняване в ЕСТИ. Правно основание: чл. 6, ал. 1, б. „в“ GDPR (законово задължение) — затова не искаме вашето съгласие за самата регистрация, а само ви информираме.Primary purpose: compliance with a legal obligation — art. 116 of the Tourism Act (and art. 28 ЗЧРБ for non‑EU documents) require every stay to be registered in ЕСТИ. Legal basis: Art. 6(1)(c) GDPR (legal obligation) — so we don't ask for your consent to register, we only inform you.
Кодове за достъп: ако домакинът ползва автоматика (Nuki/TTLock/Вход Про), издаваме код за вратата за вашия престой. Основание: изпълнение на престоя / законен интерес на домакина да ви осигури достъп.Access codes: if the host uses automation (Nuki/TTLock/Вход Про) we issue a door code for your stay. Basis: performance of the stay / the host's legitimate interest in giving you access.
4.Документи за самоличност — без снимкиIdentity documents — no photos
Когато сканирате документа си, камерата разчита машинночетимата зона изцяло на вашето устройство. До нашия сървър не достига изображение — само текстовите полета, които законът изисква. Съхраняване на копия на документи за самоличност е забранено (ЗЗЛД, чл. 25в) и при нас е технически невъзможно.When you scan your document, the camera reads the machine‑readable zone entirely on your device. No image reaches our server — only the text fields the law requires. Storing copies of identity documents is prohibited (Bulgarian PDPA art. 25v) and is technically impossible here.
5.Пред кого споделямеWho we share with
| ПолучателRecipient | За каквоPurpose |
|---|---|
| ЕСТИ / Министерство на туризмаMinistry of Tourism | Държавният регистър — домакинът качва файла там (законово задължение).The state register — the host uploads the file there (legal obligation). |
| Nuki / TTLock / Вход ПроVhod Pro | Издаване на код за вратата, ако домакинът ползва такава брава. Изпраща се период на валидност, не самоличности.Issuing a door code if the host uses such a lock. Only a validity window is sent, not identities. |
| Доставчик на имейл (SMTP)Email provider (SMTP) | Изпращане на готовия ЕСТИ файл до домакина (криптирана връзка).Delivering the ЕСТИ file to the host (encrypted connection). |
| Google Analytics | Анонимна статистика — само след ваше съгласие (т. 10).Anonymous statistics — only after your consent (§10). |
Не продаваме лични данни и не ги предаваме на трети страни извън изброените.We never sell personal data or share it beyond the above.
6.Международни трансфериInternational transfers
Данните се обработват в ЕС. Единственото изключение е Google Analytics (САЩ), който работи само след ваше съгласие и с анонимизиран IP; трансферът се основава на стандартни договорни клаузи на Google. Останалите услуги (Nuki, TTLock EU, Вход Про, имейл) са в ЕС.Data is processed in the EU. The only exception is Google Analytics (US), which runs only after your consent and with an anonymized IP; the transfer relies on Google's standard contractual clauses. All other services (Nuki, TTLock EU, Vhod Pro, email) are in the EU.
7.Колко дълго пазим даннитеHow long we keep data
- Данни на гости (имена, дата на раждане, ЕГН, номер на документ) и готовият CSV — срокът зависи от плана на домакина: при безплатния план — 7 дни след напускане, при платения — до 18 месеца след напускане. След това се изтриват автоматично и безвъзвратно и остава само анонимен запис за резервацията (дати/статус). При безплатния план домакинът сваля и пази файловете сам — порталът не поема съхранение след 7-ия ден. И в двата случая: по чл. 116, ал. 1 от Закона за туризма и Заповед № Т-РД-04-10/11.06.2019 домакинът води собствен регистър на настанените туристи. Максималният срок е 18 месеца — по решение на Министерството на туризма по ЗДОИ № Т-03-00-194/20.07.2026 г. (въпрос 8), във връзка с т. 25 от Преамбюла на Регламент (ЕС) 2024/1028. В ЕСТИ за граждани на България, ЕС, ЕИП и Швейцария се вписват само броят настанени и датите — имената, ЕГН и документът не се пазят там.Guest data (names, date of birth, ЕГН, document number) and the generated CSV — the period depends on the host's plan: on the free plan, 7 days after checkout; on the paid plan, up to 18 months after checkout. After that it is automatically and permanently deleted and only an anonymous reservation record (dates/status) remains. On the free plan the host downloads and keeps the files themselves — we take on no storage beyond day 7. In both cases: under art. 116(1) of the Tourism Act and Order No. Т-РД-04-10/11.06.2019 the host keeps their own register of accommodated tourists. The maximum period is 18 months, per the Ministry of Tourism's FOI decision No. Т-03-00-194/20.07.2026 (question 8), read with recital 25 of Regulation (EU) 2024/1028. In ЕСТИ, for citizens of Bulgaria, the EU, the EEA and Switzerland, only the number of guests and the dates are recorded — names, ЕГН and document are not kept there.
- Кодове за достъп (Nuki/TTLock кодове, потребители във Вход Про) — премахват се от устройствата 1 час след напускане. Nuki и TTLock кодовете се изтриват от бравата, а потребителите във Вход Про се деактивират (те са постоянни и принадлежат на обекта, затова не се изтриват).Access codes (Nuki/TTLock codes, Вход Про users) — removed from the devices 1 hour after checkout. Nuki and TTLock codes are deleted from the lock; Вход Про users are deactivated (they are permanent and belong to the property, so they are never deleted).
- Сваляне от домакина — домакинът може по всяко време да изтегли всички данни на гостите си (регистър и файлове за ЕСТИ). Файловете се предоставят като архив, защитен с парола. От момента на свалянето отговорността за съхранението и защитата им е на домакина като администратор на данните.Host downloads — a host may at any time export all their guest data (register and ЕСТИ files). The download is provided as a password-protected archive. From the moment it is downloaded, responsibility for storing and protecting it rests with the host as data controller.
- Данни на домакини — докато съществува акаунтът; изтриват се при закриване на акаунта.Host data — for the life of the account; deleted when the account is closed.
- Броячи за таксуване — анонимни числа по месеци, без лични данни.Billing counters — anonymous monthly totals, no personal data.
8.СигурностSecurity
Данните на гостите се съхраняват криптирани (AES‑256‑GCM) и се пренасят по криптирани връзки (HTTPS, задължителен TLS при имейл). Достъпът е защитен с уникални линкове и ПИН. Прилагаме принципа за минимизиране — събираме възможно най‑малко и пазим възможно най‑кратко.Guest data is stored encrypted (AES‑256‑GCM) and transmitted over encrypted connections (HTTPS, enforced TLS for email). Access is protected by unguessable links and a PIN. We apply data minimization — collect the least, keep it the shortest.
9.Вашите праваYour rights
Имате право на достъп, коригиране, изтриване, ограничаване, преносимост и възражение по отношение на данните си. За гости най‑бързият път е чрез вашия домакин (той е администраторът и вижда резервацията ви); може да пишете и на info@onzi.eu. Данните на гостите се пазят според плана на домакина (7 дни или до 18 месеца след напускане). Докато този срок тече, искане за изтриване може да бъде отказано, защото законът задължава домакина да води регистър (чл. 17, § 3, б. „б“ от ОРЗД).You have the right to access, rectify, erase, restrict, port and object to the processing of your data. Guests: the fastest route is via your host (the controller, who sees your reservation); you may also write to info@onzi.eu. Guest data is kept according to the host's plan (7 days, or up to 18 months, after checkout). While that period runs, an erasure request may be refused because the law obliges the host to maintain a register (GDPR art. 17(3)(b)).
10.Бисквитки и статистикаCookies & analytics
Порталът не използва бисквитки за проследяване. За вход ползваме само технически необходими подписани сесийни бисквитки. Google Analytics (с анонимизиран IP) се зарежда само след изричното ви съгласие и можете да откажете; изборът ви се помни.The portal uses no tracking cookies. For login we use only strictly necessary signed session cookies. Google Analytics (with anonymized IP) loads only after your explicit consent and you can decline; your choice is remembered.
11.Жалба до надзорния органComplaint to the supervisory authority
Ако смятате, че правата ви са нарушени, можете да подадете жалба до Комисия за защита на личните данни (КЗЛД) — гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, kzld@cpdp.bg, www.cpdp.bg.If you believe your rights have been infringed, you may lodge a complaint with the Commission for Personal Data Protection (КЗЛД) — Sofia 1592, 2 Prof. Tsvetan Lazarov Blvd., kzld@cpdp.bg, www.cpdp.bg.
12.ПромениChanges
Може да актуализираме тази политика. Актуалната версия е винаги на този адрес, с дата на редакция най‑горе.We may update this notice. The current version is always at this address, with the revision date at the top.