1. Администратор на лични данни

1.1. FinHome ООД, ЕИК [ЕИК], седалище и адрес на управление [адрес], имейл [имейл], телефон [телефон].

1.2. Длъжностно лице по защита на данните / точка за контакт по въпроси за лични данни: [име и/или имейл, ако е приложимо]. (Назначаването на ДЛЗД по чл. 37 GDPR вероятно не е задължително предвид минималния обем обработка, но точка за контакт се препоръчва.)

2. Какви лични данни събираме

2.1. При регистрация на Профил (Купувач/Продавач/Брокер) — само и единствено: (а) две имена; (б) имейл адрес; (в) телефонен номер.

2.2. Технически данни за имоти (площ, локация, тип, цена, наличност и т.н.) — това са технически описания на обекти и не представляват лични данни.

2.3. Технически логове и бисквитки — IP адрес, данни за устройство/браузър, лог записи, събирани при ползване (вж. раздел 10).

3. Какво НЕ събираме

3.1. FinHome НЕ събира и не обработва: ЕГН; данни за доходи; данни за работодател; банкови или платежни данни; кредитни оценки; нито специални категории лични данни по чл. 9 GDPR.

3.2. Финансовото бюджетиране (реален бюджет, максимална възможност за финансиране, кредитна способност) се извършва изцяло от LendingFree — отделен, самостоятелен администратор — чрез отделна GDPR форма в процеса на LendingFree. FinHome получава само споделения от самия клиент „бюджетен статус" (резултат/статус), но не и суровите финансови данни.

4. Цели и правни основания за обработването (чл. 6 GDPR)

• Регистрация и поддръжка на Профил — предоставяне на услугата; основание: чл. 6, §1, б. „б" (договор).
• Свързване при заявен интерес — изпълнение на услугата по съвпадение; чл. 6, §1, б. „б" (договор).
• Получаване на споделен „бюджетен статус" — подобряване на съвпадението; чл. 6, §1, б. „б" и/или съгласие чл. 6, §1, б. „а".
• Маркетинг/бюлетини — търговски съобщения; чл. 6, §1, б. „а" (съгласие); чл. 6 ЗЕТ.
• Сигурност, предотвратяване на злоупотреби, защита на права — защита на Платформата; чл. 6, §1, б. „е" (легитимен интерес).
• Изпълнение на законови задължения — счетоводни/правни изисквания; чл. 6, §1, б. „в".

5. Роли и разграничение на администраторите (ключово)

5.1. FinHome ООД е самостоятелен администратор само за минималните контактни данни (две имена, имейл, телефон) и техническите логове/бисквитки.

5.2. LendingFree е отделен, самостоятелен администратор за финансовото бюджетиране и свързаните финансови данни.

5.3. Брокери/Агенции са самостоятелни администратори по отношение на личните данни на собствените си клиенти, които обработват извън или чрез контакта, осъществен през Платформата.

5.4. Това не е съвместно администриране по чл. 26 GDPR, тъй като FinHome и LendingFree не определят съвместно целите и средствата на обработването. Прехвърлянето на „бюджетен статус" се извършва по инициатива и под контрола на самия субект на данните, който сам решава дали и кога да го сподели. Всеки администратор отговаря самостоятелно за своята обработка.

6. Получатели и обработващи лица (чл. 28 GDPR)

6.1. Дружеството може да разкрива данни на следните категории обработващи лица, действащи по негови инструкции въз основа на договор по чл. 28 GDPR: доставчик на хостинг [име/категория]; доставчик на имейл/комуникационни услуги [име/категория]; доставчик на ИТ поддръжка/аналитика [категория].

6.2. Данни могат да се предоставят на компетентни държавни органи при законово основание.

6.3. Дружеството не продава лични данни.

7. Трансфер извън ЕС/ЕИП (чл. 44 и сл. GDPR)

7.1. Дружеството се стреми да съхранява данните в ЕС/ЕИП. Ако обработващо лице (напр. облачен доставчик) обработва данни извън ЕС/ЕИП, трансферът се основава на подходяща гаранция по GDPR — решение за адекватност на ЕК или Стандартни договорни клаузи. Конкретни доставчици и държави: [да се попълни].

8. Срокове на съхранение

8.1. Данни от Профила — за срока на съществуване на Профила и до [срок, напр. 6 месеца] след изтриването му, освен ако закон не изисква по-дълъг срок.

8.2. Технически логове — [срок].

8.3. Данни, обработвани въз основа на съгласие (маркетинг) — до оттегляне на съгласието или [срок].

8.4. Данни за изпълнение на законови (счетоводни/данъчни) задължения — за нормативно определените срокове.

9. Права на субекта на данните (чл. 15–22 GDPR)

9.1. Имате право на: достъп (чл. 15); коригиране (чл. 16); изтриване/„право да бъдеш забравен" (чл. 17); ограничаване (чл. 18); преносимост (чл. 20); възражение (чл. 21); както и право да оттеглите съгласие по всяко време (с действие занапред).

9.2. Правата се упражняват чрез заявление на имейл [имейл]. Дружеството отговаря без ненужно забавяне и в срок до един месец от получаване на искането; срокът може да бъде удължен с още два месеца при сложност или множество искания, за което ще бъдете уведомени в първоначалния месечен срок (чл. 12, §3 GDPR). Упражняването на правата е безплатно (чл. 12, §5 GDPR).

10. Бисквитки (cookies)

10.1. Правно основание: чл. 4а ЗЕТ и GDPR; насоки на КЗЛД и EDPB.

10.2. Видове: необходими (за вход, сесия, сигурност) — не изискват съгласие; аналитични и маркетингови — изискват предварително, свободно, конкретно, информирано и активно съгласие.

10.3. Банерът за съгласие не съдържа предварително отметнати полета (освен необходимите), позволява отказ или избор по категории и не блокира достъпа до съдържанието при отказ. Съгласието може да бъде оттеглено по всяко време.

11. Сигурност на данните (чл. 32 GDPR)

Дружеството прилага подходящи технически и организационни мерки, съобразени с риска: контрол на достъпа на принципа „необходимост да се знае"; криптиране при пренос; периодична оценка на риска; журналиране; и [други конкретни мерки]. При нарушение на сигурността Дружеството действа съгласно чл. 33–34 GDPR (уведомяване на КЗЛД и при необходимост на субектите).

12. Право на жалба

12.1. Имате право на жалба до надзорния орган: Комисия за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров" № 2; имейл kzld@cpdp.bg; тел. 02/915 35 19; уебсайт www.cpdp.bg. Електронните жалби следва да са подписани с квалифициран електронен подпис (КЕП).

12.2. Имате право и на защита по съдебен ред.

13. Промени в Политиката

Дружеството може да актуализира тази Политика, като публикува новата версия в Платформата и/или уведомява чрез имейл при съществени промени.

14. Дата на влизане в сила

Тази Политика влиза в сила на [дата]; последна актуализация: [дата].

1. Data Controller

1.1. FinHome OOD, UIC [UIC], registered seat/management address [address], e-mail [e-mail], phone [phone].

1.2. Data Protection Officer / contact point for data matters: [name and/or e-mail, if applicable]. (A DPO under Art. 37 GDPR is likely not mandatory given the minimal processing, but a contact point is recommended.)

2. Personal Data We Collect

2.1. Upon Account registration (Buyer/Seller/Broker) — only: (a) two names; (b) e-mail address; (c) phone number.

2.2. Technical property data (area, location, type, price, availability) — these are technical object descriptions and do not constitute personal data.

2.3. Technical logs and cookies — IP address, device/browser data, log records collected during use (see Section 10).

3. What We Do NOT Collect

3.1. FinHome does NOT collect or process: national identity numbers (EGN); income data; employer data; bank or payment data; credit scores; or special categories of data under Art. 9 GDPR.

3.2. Financial budgeting is performed entirely by LendingFree — a separate, independent controller — via a separate GDPR form within the LendingFree process. FinHome receives only the "Budget Status" voluntarily shared by the client (a result/status), not the raw financial data.

4. Purposes and Legal Bases (Art. 6 GDPR)

• Account registration and maintenance — service provision; Art. 6(1)(b) (contract).
• Connecting parties upon expressed interest — performing the matching service; Art. 6(1)(b) (contract).
• Receiving shared "Budget Status" — improving matching; Art. 6(1)(b) and/or consent Art. 6(1)(a).
• Marketing/newsletters — commercial messages; Art. 6(1)(a) (consent); Art. 6 E-Commerce Act.
• Security, abuse prevention, protection of rights — protecting the Platform; Art. 6(1)(f) (legitimate interest).
• Compliance with legal obligations — accounting/legal requirements; Art. 6(1)(c).

5. Roles and Separation of Controllers (key)

5.1. FinHome OOD is an independent controller only for the minimal contact data (two names, e-mail, phone) and technical logs/cookies.

5.2. LendingFree is a separate, independent controller for financial budgeting and related financial data.

5.3. Brokers/Agencies are independent controllers in respect of their own clients' personal data.

5.4. This is not joint controllership under Art. 26 GDPR, as FinHome and LendingFree do not jointly determine the purposes and means. The transfer of "Budget Status" is initiated and controlled by the data subject, who alone decides whether and when to share it. Each controller is independently responsible for its own processing.

6. Recipients and Processors (Art. 28 GDPR)

6.1. Data may be disclosed to the following categories of processors acting on our instructions under an Art. 28 GDPR contract: hosting provider [name/category]; e-mail/communications provider [name/category]; IT support/analytics provider [category].

6.2. Data may be provided to competent authorities on a legal basis.

6.3. The Company does not sell personal data.

7. Transfers Outside the EU/EEA (Art. 44 et seq. GDPR)

7.1. We aim to store data within the EU/EEA. If a processor (e.g., a cloud provider) processes data outside the EU/EEA, the transfer relies on an appropriate safeguard — an EC adequacy decision or Standard Contractual Clauses. Specific providers and countries: [to be completed].

8. Retention Periods

8.1. Account data — for the life of the Account and up to [period, e.g., 6 months] after deletion, unless a longer statutory period applies.

8.2. Technical logs — [period].

8.3. Consent-based data (marketing) — until consent withdrawal or [period].

8.4. Data for legal (accounting/tax) obligations — for statutory periods.

9. Data Subject Rights (Arts. 15–22 GDPR)

9.1. You have the right to: access (Art. 15); rectification (Art. 16); erasure / "right to be forgotten" (Art. 17); restriction (Art. 18); portability (Art. 20); objection (Art. 21); and to withdraw consent at any time (with prospective effect).

9.2. Rights are exercised by request to [e-mail]. We respond without undue delay and within one month of receipt; this may be extended by a further two months for complex or numerous requests, of which you will be informed within the initial month (Art. 12(3) GDPR). Exercising rights is free of charge (Art. 12(5) GDPR).

10. Cookies

10.1. Legal basis: Art. 4a of the E-Commerce Act and GDPR; CPDP and EDPB guidance.

10.2. Types: strictly necessary (login, session, security) — no consent required; analytics and marketing — require prior, freely given, specific, informed and active consent.

10.3. The consent banner contains no pre-ticked boxes (except necessary), allows refusal or per-category choice, and does not block access upon refusal. Consent may be withdrawn at any time.

11. Data Security (Art. 32 GDPR)

The Company applies appropriate technical and organizational measures proportionate to risk: access control on a need-to-know basis; encryption in transit; periodic risk assessment; logging; and [other specific measures]. In the event of a breach, the Company acts under Arts. 33–34 GDPR.

12. Right to Complain

12.1. You may complain to the supervisory authority: Commission for Personal Data Protection (CPDP), Sofia 1592, 2 "Prof. Tsvetan Lazarov" Blvd.; e-mail kzld@cpdp.bg; phone +359 2 915 35 19; website www.cpdp.bg. Electronic complaints must be signed with a qualified electronic signature (QES).

12.2. You also have the right to judicial remedy.

13. Changes to this Policy

The Company may update this Policy by publishing the new version on the Platform and/or notifying by e-mail for material changes.

14. Effective Date

This Policy is effective [date]; last updated [date].