Политика за поверителност на „Брутално Вкусно“
В сила от: 13.10.2026 · Версия 3
1. Администратор
АМ ПРОТЕИН БАР ЕООД, ЕИК 205158433, гр. София 1712, р-н Младост, жк Младост, бул. „Александър Малинов“, ТБЦ „Метро сити“, М28А, 51, ет. 2. Връзка по въпросите за личните данни: contact@brutalnovkusno.bg. Длъжностно лице по защита на данните не е определено: обработването не е „в голям мащаб“ по смисъла на чл. 37 GDPR и насоките на Европейския комитет по защита на данните. Преценката се прави отново при растеж.
2. Какви данни обработваме
- Профил: имейл, парола или вход с код, дата на създаване и последно влизане. Ако влезете с Google — имейлът от профила ви в Google и снимката на профила ви там, която копираме като ваша профилна снимка, ако още нямате такава.
- Профилни данни за целите: пол, месец и година на раждане, ръст, тегло, желано тегло, ниво на движение и тренировки, цел.
- Данни, свързани със здравето: отговорите на въпросите за безопасност, теглото и мерките, снимките на прогреса, дневникът на храненето, алергиите и непоносимостите, „Не ям“.
- Снимки на храна, които пускате в AI скенера, в „Моите рецепти“ и „Какво да сготвя“.
- Разговорите с AI коуча (Макс).
- Седмичният чек-ин (по желание): оценките ви за седмицата, написаното от вас, темата и промените, които поискате за следващия план. Теглото и мерките, ако ги въведете там, се пазят с данните за прогреса.
- Оценките на ястията (харесвам / не харесвам) — за да ви предлагаме повече от харесаното.
- Обратната връзка за приложението (по желание): оценка, тема, текст и екранът, от който я пишете.
- Известия (ако ги включите): адресът на браузъра ви за известия и ключовете му, видът на устройството, настройките ви (кои известия, тихите часове) и кои известия сме ви пратили.
- Плащания: идентификаторите на клиента, абонамента и плащането в Stripe, сумите и датите. Без данни на картата.
- Покупки и отключени книги.
- Съгласията ви: кога и коя версия на условията, на съгласието за здравните данни и на другите съгласия сте приели или оттеглили.
- Проби: непълни отпечатъци (HMAC) на IP адреса и на браузъра — само за проверка „веднъж на човек“. Суровият IP адрес не се пази.
- Сигурност: историята на входовете (непълен отпечатък на браузъра и част от IP адреса), събитията по сигурността и при нужда — IP адресът при подозрителни опити за вход.
- Технически данни: логове на сървъра (IP адрес, време, грешки) за сигурност и поддръжка.
Задължително ли е? Имейлът е нужен, за да има профил. Без отговорите на въпросника не можем да изчислим хранителните ви цели и плана. Всичко останало е по желание.
3. Защо и на какво основание
| цел | основание |
|---|---|
| профил, планове, дневник, рецепти, скенери, коуч | договорът (чл. 6(1)(b) GDPR) |
| данните, свързани със здравето | вашето изрично съгласие (чл. 9(2)(a) GDPR), дадено в приложението; можете да го оттеглите по всяко време |
| снимките на прогреса | отделно изрично съгласие, никога отметнато предварително |
| седмичният чек-ин и оценките на ястията | договорът; доколкото издават здравословно състояние — изричното ви съгласие за данните, свързани със здравето |
| известията | вашето съгласие — разрешението в браузъра и видовете, които сте включили; рекламните — отделно съгласие, изключени по подразбиране |
| обратната връзка за приложението | законен интерес (чл. 6(1)(f)) — да подобряваме приложението и да ви отговорим |
| измерването с Google Analytics | вашето съгласие (т. 7) |
| плащания, фактури, счетоводство | законово задължение (чл. 6(1)(c)) — Закона за счетоводството |
| защитата на пробите от злоупотреба, сигурността, логовете | законен интерес (чл. 6(1)(f)) |
| писма за профила (код за вход, плащания, промени в условията) | договорът |
Не правим профилиране за реклама и не продаваме данни.
4. Кой получава данните (обработващи) и прехвърляне извън ЕС
- Supabase — базата данни, файловете и входът, сървъри в ЕС (Франкфурт); американска компания.
- Vercel — хостингът на приложението, изпълнение в ЕС (Франкфурт); американска компания.
- Stripe (Stripe Payments Europe, Ltd., Ирландия) — плащанията.
- Google (Gemini API, платена услуга) — снимките, гласовите записи и текстовете, които пускате в AI функциите, се обработват, за да се получи отговорът. Google не ги ползва, за да подобрява продуктите си, и ги пази само за ограничено време, срещу злоупотреби.
- OpenAI (API, платена услуга) — текстът на разговора ви с коуча и контекстът на плана (храненията, целите и отговорите ви от въпросника, без име и имейл) се обработват, за да се получи отговорът на Макс. OpenAI не ги ползва, за да обучава моделите си, и ги пази само за ограничено време, срещу злоупотреби.
- Cloudflare (Turnstile) — проверката „не съм робот“ при входа.
- Google (вход с Google) — само ако изберете да влезете така.
- Услугите за известия на браузъра (Google, Apple, Mozilla, Microsoft — според браузъра ви) — доставят известията, ако сте ги включили. Съдържанието им е шифровано.
- Google Analytics (Google Ireland Limited) — само с вашето съгласие (т. 7).
- Хостинг доставчикът на имейла — изпращането на писмата.
Гласовото писане в Chrome ползва разпознаването на говор на браузъра — звукът се обработва от Google. Ние не пазим записа.
За храните и баркодовете питаме Open Food Facts и USDA FoodData Central само по името на храната или баркода — без данни за вас.
Когато доставчик е американска компания, прехвърлянето става по Рамката за защита на данните ЕС–САЩ, ако доставчикът е сертифициран по нея, или по стандартните договорни клаузи на Европейската комисия (Supabase — по стандартни договорни клаузи).
5. Колко време
- Докато профилът е активен.
- Разговорите с коуча — 90 дни, после се трият сами.
- Текстът от седмичния чек-ин и от обратната връзка — 12 месеца, после се изтрива; оценките и темата остават без текста.
- Списъкът с пратените известия — 90 дни. Устройството за известия се маха, щом изключите известията на него, излезете от профила или браузърът спре да го приема.
- Отпечатъците за пробите — 90 дни.
- Историята на входовете — 90 дни; IP адресите при подозрителни опити за вход — 30 дни; събитията по сигурността — 180 дни.
- Писмата, които ви пращаме (кое писмо и кога) — 12 месеца.
- Документите за плащанията — 10 години (Закон за счетоводството).
- Логовете на сървъра — до 7 дни (Vercel: 1 ден; Supabase: до 7 дни).
- При изтриване на профила данните се изтриват, освен тези, които законът ни задължава да пазим (плащанията — без връзка с профила), и събитията по сигурността до изтичане на срока им.
6. Вашите права
Имате право на достъп, поправка, изтриване, ограничаване, преносимост и възражение, както и да оттеглите съгласието си по всяко време. Оттеглянето не засяга обработването дотогава.
- Данните на коуча (разговорите, плана, чек-ините, оценките) можете да изтеглите и да изтриете сами — от настройките на коуча. За всичко друго, вкл. изтриване на целия профил, пишете на contact@brutalnovkusno.bg — отговаряме до един месец.
- Съгласието за здравните данни се оттегля от настройките. След това не можете да добавяте нови такива данни; вече записаните остават, докато не поискате да ги изтрием или не изтриете профила.
- Съгласието за снимките на прогреса се оттегля от екрана „Прогрес“ — тогава снимките се изтриват.
Имате право на жалба до Комисията за защита на личните данни: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg.
7. Бисквитки и измерване
Ползваме два вида бисквитки.
Необходими. Без тях сайтът не работи, затова не искаме съгласие за тях: за входа и сесията ви, за защитата от ботове и за да запомним избора ви за бисквитките (бисквитката `bv_biskvitki`, пази се 12 месеца).
За измерване — само ако ги приемете. Ползваме Google Analytics 4 на Google Ireland Limited, за да виждаме колко хора отварят публичните страници на сайта (началната, „Как работи“, плановете, магазина, рецептите и правните страници) и откъде идват. Докато не натиснете „Приемам“, Google Analytics изобщо не се зарежда: не се записва бисквитка и към Google не се праща нищо.
След „Приемам“ Google Analytics записва бисквитката `_ga` и още една, чието име започва с `_ga_` (пазят се до 2 години), и получава адреса на публичната страница, която отваряте — без параметрите в него, освен означенията на рекламни кампании — и сайта, от който идвате (само името на сайта, без пълния адрес). Google Analytics не пази IP адреса ви. Рекламните функции и „Google сигналите“ са изключени. Данните в Google Analytics се пазят 2 месеца.
Какво никога не изпращаме към Google Analytics: здравни данни (тегло, мерки, калории, хранителен дневник, отговори към AI коуча), имейл, име, телефон, идентификатора на профила ви и данни за плащане. Страниците в профила ви (след вход) не се измерват изобщо.
Google може да обработва тези данни и извън Европейския съюз — в Google LLC в САЩ, по Рамката за защита на данните ЕС–САЩ и стандартните договорни клаузи.
Можете да промените или да оттеглите съгласието си по всяко време от връзката „Бисквитки“ в долната част на сайта. Тогава бисквитките на Google Analytics се изтриват. Оттеглянето не засяга обработването дотогава. Основание: вашето съгласие (чл. 6(1)(a) GDPR и чл. 4а от Закона за електронните съобщения).
8. Деца
Приложението е само за лица над 18 години (изискват го и условията на Google за AI функциите). Не събираме съзнателно данни на по-млади. Ако научим за такъв профил, го изтриваме.
9. Сигурност
Достъпът до данните е ограничен. Всеки вижда само своите данни, а административният достъп е с двуфакторна защита. Седмичния чек-ин и обратната връзка ги чете Алекс в административния панел, за да подобрява приложението и да ви отговори. При ниска оценка той получава писмо само с оценката и темата — без текста. Паролите не се пазят в четим вид.
10. Автоматизирани решения
AI функциите (скенерът, коучът, предложенията за рецепти) дават предложения. Те не вземат решения с правни последици за вас и не ви засягат по подобен начин. Единственото автоматично решение е при пробните периоди: ако за последните 90 дни пробата вече е ползвана със същия имейл, с временен имейл адрес или от същия браузър и мрежа, пробата не се дава. Ако смятате, че това е грешка, пишете на contact@brutalnovkusno.bg — човек ще провери и ще отговори.
11. Промени
Новата версия на тази политика публикуваме на тази страница с датата, от която важи. За съществени промени ви пишем и по имейл.