Кой отговаря за данните

Администратор на личните данни по смисъла на Общия регламент относно защитата на данните (Регламент (ЕС) 2016/679, „GDPR") е:

Не сме задължени да назначим длъжностно лице по защита на данните по чл. 37 от GDPR — основната ни дейност не е систематично мащабно наблюдение, нито обработване на специални категории данни. Въпросите по тази политика се приемат на посочения имейл.

Какво събираме и защо

Събираме само данните, необходими за работата на услугата. Няма профилиране за реклама, няма продажба на данни и няма проследяване из други сайтове.

Не искаме и не желаем да получаваме специални категории данни по чл. 9 от GDPR — здравословно състояние, етнос, политически възгледи и подобни. Не ги ползвай в съдържанието на фуниите си.

Правни основания

• Изпълнение на договор и стъпки преди сключването му по твое искане (чл. 6, § 1, б. „б") — доброволната заявка за beta onboarding и действията по нея преди създаване на профил, както и профилът, работното пространство, свързването на магазини, редакторът, публикуването и таксуването. Без тези данни поисканото съдействие или услугата не могат да бъдат предоставени.
• Законово задължение (чл. 6, § 1, б. „в") — счетоводните и данъчните записи за платените абонаменти.
• Легитимен интерес (чл. 6, § 1, б. „е") — сигурност на системата, предотвратяване на злоупотреби, отстраняване на дефекти и измерване кои собствени beta кампании водят до реално активиране на услугата. Интересът ни е услугата да работи, да не бъде компрометирана и ограничените средства за beta теста да се насочват към полезни кампании; преценили сме, че това не надделява над правата ти, защото пазим само параметрите, с които си дошъл при регистрация, не проследяваме поведението ти из други сайтове и не ги използваме за решения относно теб. Имаш право на възражение по раздел 11.
• Съгласие (чл. 6, § 1, б. „а") — не разчитаме на съгласие за нищо в момента. Нямаме бюлетин и не пращаме маркетингови съобщения. Ако това се промени, съгласието ще бъде поискано отделно и ще може да се оттегли по всяко време.

Кой друг вижда данните

Не продаваме и не отдаваме лични данни. Следните доставчици участват в предоставянето на услугата. Някои обработват данни по наше възлагане, а други предоставят избрана от теб външна функция и обработват данните и по собствените си условия:

Когато подадеш Instant Form във Facebook или Instagram, Meta първо получава данните в рамките на своята платформа и ни предоставя изпратените отговори. Meta обработва данни за собствената си платформа според своята политика за поверителност; ние отговаряме за начина, по който използваме получената beta заявка.

Актуалният списък се поддържа тук. При смяна на доставчик, който обработва лични данни, страницата се обновява преди промяната да влезе в сила.

Извън тези доставчици разкриваме данни само когато закон ни задължава — по искане на съд или компетентен орган в предвидената форма.

Предаване извън ЕС

Част от доставчиците в раздел 4 са дружества от САЩ или имат достъп до данните оттам. За такива предавания се опираме на:

• Рамката за защита на личните данни ЕС–САЩ (EU–U.S. Data Privacy Framework) — за доставчиците, които са сертифицирани по нея, съгласно решението за адекватност на Европейската комисия от 10 юли 2023 г.
• Стандартни договорни клаузи по Решение за изпълнение (ЕС) 2021/914 — за останалите, заедно с оценка на въздействието на предаването.

Копие от приложимите гаранции може да бъде поискано на имейла от раздел 1.

Колко дълго ги пазим

Профилът се изтрива самостоятелно от настройките му. Ако си единственият собственик на работно пространство с други членове, първо трябва да прехвърлиш собствеността или да премахнеш членовете — иначе пространството би останало без кой да го управлява. Активен платен абонамент трябва да бъде прекратен преди изтриването.

Бисквитки и локално хранилище

Публичният сайт funneluno.com

Не поставя бисквитки. Няма аналитични скриптове, няма рекламни пиксели и няма външни ресурси — политиката за сигурност на съдържанието на сайта забранява зареждането на каквото и да е от чужд домейн.

Записва едно нещо в локалното хранилище на браузъра: избрания от теб език, под ключ funneluno-language. Това е предпочитание, зададено с изричното ти действие, и не изисква съгласие. Изчиства се с изчистването на данните на сайта в браузъра.

Ако си отворил сайта от кампания, позволените параметри в адреса — UTM, fbclid, език, източник и избрано демо — се пренасят към адреса за регистрация. Публичният сайт не ги записва. При създаване на нов профил приложението записва еднократно първоначалния източник, както е описано в раздел 2.

Meta Instant Forms

Когато попълниш наша beta форма във Facebook или Instagram, тя се зарежда в платформата на Meta, а не на funneluno.com. Meta ни предоставя само полетата, които доброволно изпратиш. Funneluno не добавя Meta скрипт или пиксел към публичния си сайт заради тази форма.

Приложението app.funneluno.com

Поставя бисквитки, необходими за работата на входа — идентификатор на сесия и защита срещу подправяне на заявки между сайтове. Без тях влизането в профил е невъзможно, затова не изискват съгласие по чл. 4б от Закона за електронните съобщения. Няма бисквитки за реклама или анализ на поведението.

Публикуваните фунии

Виж раздел 8 — там бисквитките са на домейна на магазина и отговорността за тях е на търговеца.

Данни на посетителите на фунии

Когато търговец публикува фуния, страницата се показва на неговия домейн и се посещава от неговите клиенти. За тези данни търговецът е администратор, а ние сме обработващ. Условията са в Споразумението за обработване на лични данни, което е част от договора с всеки клиент.

Накратко какво се случва там:

• Разширението поставя две first-party бисквитки на домейна на магазина — fnl_vid (произволен идентификатор на посетител, със срок една година) и fnl_sid (идентификатор на сесията, изтича със затварянето на браузъра). Служат за разпределението по варианти в A/B теста и за свързване на поръчката със страницата, която я е донесла.
• Записваме прегледи, добавяния в количката и поръчки, свързани с тези идентификатори, заедно с обобщен произход на посещението и вид устройство.
• Ако търговецът включи „Бърза поръчка“, получаваме телефона, по избор името, избрания продукт и статуса на заявката. Данните за контакт се пазят криптирано и са достъпни само за упълномощените членове на неговото работно пространство.
• Извън изрично подадена бърза поръчка не получаваме имена, имейли, адреси, телефони или платежни данни на клиентите. От завършена поръчка в магазина виждаме единствено номера ѝ, статуса и сумата.
• Не съхраняваме IP адреси на посетителите на фунии, нито суровия referrer или пълния User-Agent — те се свеждат до категории още при получаването.

Идентификаторите fnl_vid и fnl_sid не са строго необходими за показването на страницата. Според чл. 4б от Закона за електронните съобщения поставянето им изисква съгласие от посетителя, което трябва да бъде събрано от търговеца на неговия сайт — обикновено от вече наличния му банер за бисквитки. Ако си наш клиент, това е твое задължение и не можем да го изпълним вместо теб.

Изкуствен интелект

Функциите за редактиране с AI изпращат към OpenAI съдържанието на страницата, върху която работиш, данните на продукта от каталога ти и инструкцията, която си написал. Изпращат се само при изрично твое действие — няма фоново обработване.

• Не изпращаме имена, имейли или други данни за клиентите на магазина ти. Ако сам ги напишеш в инструкцията или в текста на страницата, ще заминат с нея — не го прави.
• Ползваме бизнес условията на доставчика, при които подадените данни не се използват за обучение на моделите му.
• AI не взема решения относно лица и не поражда правни последици за когото и да е. Няма автоматизирано вземане на решения по смисъла на чл. 22 от GDPR.
• Резултатът е предложение. Прилага се само след като ти го одобриш, а публикуването е отделно действие.

Сигурност

• Целият трафик минава по HTTPS. Достъпът до приложението е само през удостоверена сесия.
• Паролите се съхраняват като хеш, не в четим вид. Не можем да ти кажем каква е паролата ти.
• Ключовете за достъп до свързаните магазини се съхраняват шифровани (AES-256-GCM) с ключ, който не се държи в базата.
• Данните на всяко работно пространство са изолирани на ниво заявка — един клиент няма как да прочете данните на друг.
• Достъпът на екипа ни до продукционни данни е ограничен до необходимото за поддръжка и отстраняване на дефекти.

При нарушение на сигурността, което поражда риск за правата ти, уведомяваме Комисията за защита на личните данни до 72 часа и теб — без ненужно забавяне, когато рискът е висок.

Твоите права

По GDPR имаш право на:

• Достъп — да получиш копие от данните, които обработваме за теб (чл. 15).
• Коригиране — да поправиш неточни данни (чл. 16). Името и имейлът се променят директно от профила.
• Изтриване — да поискаш заличаване (чл. 17). Профилът се изтрива самостоятелно от настройките.
• Ограничаване на обработването (чл. 18).
• Преносимост — да получиш данните си в структуриран, машинночетим формат (чл. 20).
• Възражение срещу обработване на основание легитимен интерес (чл. 21).
• Жалба до Комисията за защита на личните данни — данните за контакт са в Контакти.

Правата се упражняват с имейл до адреса от раздел 1. Отговаряме до един месец. Не таксуваме за това, освен ако исканията не са явно неоснователни или прекомерни. За да не разкрием данни на трето лице, може да поискаме допълнителна информация, потвърждаваща самоличността ти.

Деца

Услугата е предназначена за търговци и не е насочена към лица под 18 години. Не събираме съзнателно данни на деца. Ако научим, че сме получили такива, ги изтриваме.

Промени в политиката

При съществена промяна — нова цел на обработване, нов доставчик с достъп до лични данни или ново предаване към трета държава — уведомяваме клиентите си най-малко 30 дни предварително в приложението. Редакционните поправки влизат в сила с публикуването си. Датата в началото на страницата винаги показва действащата версия.

Who is responsible

The controller of personal data within the meaning of the General Data Protection Regulation (Regulation (EU) 2016/679, "GDPR") is:

We are not required to appoint a data protection officer under Article 37 GDPR — our core activity is neither systematic large-scale monitoring nor processing of special categories of data. Questions about this policy are accepted at the address above.

What we collect and why

We collect only what the service needs to work. There is no advertising profiling, no sale of data, and no cross-site tracking.

We neither request nor want to receive special categories of data under Article 9 GDPR — health, ethnicity, political opinions and the like. Do not use them in your funnel content.

Legal bases

• Performance of a contract and steps taken at your request before entering into it (Art. 6(1)(b)) — the voluntary beta onboarding application and steps taken in response before an account is created, as well as the account, workspace, store connections, editor, publishing, and billing. The requested assistance or service cannot be provided without this data.
• Legal obligation (Art. 6(1)(c)) — accounting and tax records for paid subscriptions.
• Legitimate interests (Art. 6(1)(f)) — system security, abuse prevention, defect resolution, and measuring which of our own beta campaigns result in genuine activation of the service. Our interest is that the service works, remains secure, and that the beta test's limited budget goes to useful campaigns; we have assessed that this does not override your rights because we keep only the parameters with which you arrived at sign-up, do not track your behaviour across other sites, and do not use them to make decisions about you. You may object under section 11.
• Consent (Art. 6(1)(a)) — we currently rely on consent for nothing. We have no newsletter and send no marketing messages. Should this change, consent will be requested separately and can be withdrawn at any time.

Who else sees the data

We do not sell or rent personal data. The following providers take part in delivering the service. Some process data on our instructions, while others provide an external function you choose and also process data under their own terms:

When you submit an Instant Form on Facebook or Instagram, Meta first receives the data within its platform and makes the submitted answers available to us. Meta processes data for its own platform under its Privacy Policy; we are responsible for how we use the beta application we receive.

The current list is maintained on this page. When a provider that processes personal data changes, this page is updated before the change takes effect.

Beyond these providers, we disclose data only where the law requires it — at the request of a court or competent authority in the prescribed form.

Transfers outside the EU

Some providers in section 4 are US companies or have access to data from there. For such transfers we rely on:

• The EU–U.S. Data Privacy Framework — for providers certified under it, pursuant to the European Commission's adequacy decision of 10 July 2023.
• Standard Contractual Clauses under Implementing Decision (EU) 2021/914 — for the rest, together with a transfer impact assessment.

A copy of the applicable safeguards can be requested at the email in section 1.

How long we keep it

You delete your account yourself from its settings. If you are the sole owner of a workspace that has other members, you must first transfer ownership or remove the members — otherwise the workspace would be left with nobody to administer it. An active paid subscription must be cancelled before deletion.

Cookies and local storage

The public site funneluno.com

Sets no cookies. There are no analytics scripts, no advertising pixels, and no external resources — the site's content security policy forbids loading anything from a third-party domain.

It writes one thing to your browser's local storage: your chosen language, under the key funneluno-language. This is a preference set by your explicit action and requires no consent. It is cleared when you clear the site's data in your browser.

If you arrived from a campaign, the allowed URL parameters — UTM, fbclid, language, source, and selected demo — are carried into the sign-up URL. The public site does not store them. When a new account is created, the application records the original source once, as described in section 2.

Meta Instant Forms

When you fill in our beta form on Facebook or Instagram, it loads within Meta's platform, not on funneluno.com. Meta makes available to us only the fields you voluntarily submit. Funneluno does not add a Meta script or pixel to its public site as a result of this form.

The application app.funneluno.com

Sets cookies necessary for sign-in to work — a session identifier and cross-site request forgery protection. Signing in is impossible without them, so they require no consent under Article 4b of the Bulgarian Electronic Communications Act. There are no advertising or behavioural analytics cookies.

Published funnels

See section 8 — there the cookies sit on the merchant's domain and responsibility for them rests with the merchant.

Funnel visitors' data

When a merchant publishes a funnel, the page is served on their domain and visited by their customers. For that data the merchant is the controller and we are the processor. The terms are in the Data Processing Agreement, which forms part of the contract with every customer.

In short, what happens there:

• The extension sets two first-party cookies on the store's domain — fnl_vid (a random visitor identifier, valid for one year) and fnl_sid (a session identifier that expires when the browser closes). They serve the A/B variant assignment and the attribution of an order to the page that produced it.
• We record page views, add-to-cart actions, and orders linked to these identifiers, together with a bucketed traffic source and device type.
• If the merchant enables “Quick order”, we receive the phone number, optionally the name, the selected product, and the request status. Contact data is stored encrypted and is available only to authorised members of that merchant's workspace.
• Outside an explicitly submitted quick order, we do not receive names, emails, addresses, phone numbers, or payment data of store customers. From a completed store order we see only its number, status, and amount.
• We do not store IP addresses of funnel visitors, nor the raw referrer or full User-Agent — these are reduced to categories on receipt.

The fnl_vid and fnl_sid identifiers are not strictly necessary to display the page. Under Article 4b of the Bulgarian Electronic Communications Act, setting them requires the visitor's consent, which must be collected by the merchant on their own site — usually through the cookie banner they already have. If you are our customer, this is your obligation and we cannot discharge it for you.

Artificial intelligence

The AI editing features send OpenAI the content of the page you are working on, the product data from your catalog, and the instruction you wrote. They are sent only on your explicit action — there is no background processing.

• We do not send names, emails, or other data about your store's customers. If you write such data into the instruction or the page copy yourself, it will go with it — please don't.
• We use the provider's business terms, under which submitted data is not used to train its models.
• AI makes no decisions about individuals and produces no legal effects for anyone. There is no automated decision-making within the meaning of Article 22 GDPR.
• The output is a suggestion. It is applied only after you approve it, and publishing is a separate action.

Security

• All traffic runs over HTTPS. The application is accessible only through an authenticated session.
• Passwords are stored as hashes, not in readable form. We cannot tell you what your password is.
• Access keys for connected stores are stored encrypted (AES-256-GCM) with a key that is not held in the database.
• Each workspace's data is isolated at query level — one customer cannot read another's data.
• Our team's access to production data is limited to what support and defect resolution require.

In the event of a security breach that creates a risk to your rights, we notify the Commission for Personal Data Protection within 72 hours, and you without undue delay where the risk is high.

Your rights

Under the GDPR you have the right to:

• Access — obtain a copy of the data we process about you (Art. 15).
• Rectification — correct inaccurate data (Art. 16). Name and email can be changed directly in your profile.
• Erasure — request deletion (Art. 17). You delete your account yourself from its settings.
• Restriction of processing (Art. 18).
• Portability — receive your data in a structured, machine-readable format (Art. 20).
• Objection to processing based on legitimate interests (Art. 21).
• Complaint to the Commission for Personal Data Protection — contact details are in Contact.

Rights are exercised by email to the address in section 1. We respond within one month. We do not charge for this unless requests are manifestly unfounded or excessive. To avoid disclosing data to a third party, we may ask for additional information confirming your identity.

Children

The service is intended for traders and is not directed at persons under 18. We do not knowingly collect children's data. If we learn that we have received any, we delete it.

Changes to this policy

For a material change — a new processing purpose, a new provider with access to personal data, or a new third-country transfer — we notify customers at least 30 days in advance in the application. Editorial corrections take effect on publication. The date at the top of this page always shows the version in force.