Политика за поверителност
Версия 1.2 · в сила от 9 ноември 2026 г.
1. Кой обработва данните ви
Администратор на лични данни е „СтасиЕду" ЕООД, ЕИК 208974687, със седалище и адрес на управление: гр. Благоевград 2700, ул. Броди № 12 („ние", „Стаси").
Контакт по всички въпроси за лични данни: contactus@stasy.org.
2. За кого е услугата и защо говорим за родители
Стаси е учебна услуга за ученици от 4. до 10. клас (обичайно 9–16 години). Според чл. 25в от Закона за защита на личните данни дете под 14 години не може само да даде валидно съгласие. Затова услугата се ползва през родителски профил: пълнолетен родител или настойник се регистрира от свое име и от този профил добавя децата си. Добавянето на дете от влязъл в профила си родител е родителското съгласие за обработката на данните на детето; записваме кой родител го е дал и кога. Профилите на учениците на 14 и повече години също се създават и управляват от родителя.
Профил на ученик, създаден по стария ред (от самото дете, с посочен имейл на родител), изисква потвърждение по имейл: без потвърждение в срок от 3 дни достъпът на детето се спира автоматично, докато родителят не потвърди.
3. Какви данни събираме
За ученика:
- име (и по желание прякор), клас;
- данни за вход: потребителско име, избрано от родителя, или имейл. При потребителско име детето няма собствен имейл адрес — приложението използва вътрешен технически идентификатор, на който никога не се изпраща поща; паролата на детето се сменя от родителя;
- кой родител е дал съгласието и кога;
- учебна активност: решени задачи, отговори, грешки, разговори с AI учителя, резултати от диагностика и пробни изпити, точки и серии;
- сигнали, които ученикът изпраща с бутона „Съобщи" на задача: вид на сигнала, едно изречение по желание (до 280 знака) и последните до 6 реплики от разговора по тази задача.
За родителите и настойниците — всеки възрастен в семейството е отделен субект на данни:
- име, имейл и данни за вход (паролата — само като хеш; възможен е и вход с еднократна връзка по имейл);
- роля в семейството (собственик или „само за преглед"), кой го е поканил и кога е приел поканата;
- дата и час на приемане на Общите условия;
- настройка дали получава седмичния отчет;
- дневник на събитията в семейството: добавяне и премахване на дете, смяна на план или място, покани към възрастни, стартиране, промяна и отказ на абонамент — с референтни номера от Stripe (идентификатори на клиент, абонамент и фактура, никога данни за карта). Дневникът е за да можем да отговорим точно на въпроса „защо и кога сте таксувани с тази сума".
За плащанията (след активирането на платените планове): обработват се изцяло от Stripe. Ние никога не виждаме и не съхраняваме номера на карти — при нас остават само видът на плана на всяко дете, процентът семейна отстъпка, срокът на абонамента и идентификаторите на Stripe.
Пробен тест без регистрация (www.stasy.org/probvai): всеки
може да избере клас и да реши 5 задачи, без да създава профил. Не питаме за
име, имейл или каквото и да е друго. Пазим класа, отговорите, използваните
подсказки и разговора с учителя по тези задачи, вързани със случаен ключ в
бисквитка на устройството (stasy_try). IP адреса не пазим — за да ограничим
злоупотребите, пазим само еднопосочен хеш с дневна сол, по който адресът не
може да бъде възстановен. Ако посетителят изпрати резултата на родител, в
линка има друг случаен ключ, валиден 7 дни. Щом родителят създаде профил на
детето, петте задачи стават част от учебната му активност.
Какво съзнателно НЕ събираме: адрес, училище, телефон, снимки, местоположение. AI учителят е инструктиран да отклонява лични теми и да насочва детето към родител или учител.
Бисквитки: използваме само технически бисквитки — за вход (сесия) и за
пробния тест (stasy_try, 14 дни, само за да продължи тестът след
презареждане). Нямаме рекламни или проследяващи бисквитки и не показваме
реклами.
4. За какво използваме данните (цели и основания)
| Цел | Правно основание |
|---|---|
| Предоставяне на услугата (профил, задачи, AI разговори, напредък) | Изпълнение на договор (чл. 6, ал. 1, б. „б" GDPR) |
| Регистрация на дете под 14 г. | Съгласие на родител (чл. 6, ал. 1, б. „а" във вр. с чл. 8 GDPR, чл. 25в ЗЗЛД) |
| Родителски профил, покани към други възрастни, управление на местата | Изпълнение на договор (чл. 6, ал. 1, б. „б" GDPR) |
| Седмичен родителски отчет | Изпълнение на договор / съгласие при регистрацията; всеки възрастен може да се откаже |
| Дневник на събитията в семейството (кой кога какво е променил, с референции към Stripe) | Изпълнение на договор и легитимен интерес — доказване на фактурирането и на дадените съгласия (чл. 6, ал. 1, б. „б" и „е"; чл. 7, ал. 1 GDPR) |
| Пробен тест без регистрация: показваме как работи услугата, преди някой да създаде профил | Легитимен интерес (чл. 6, ал. 1, б. „е" GDPR); данните са псевдонимни и се трият след 14 дни, ако не бъдат прехвърлени |
| Прехвърляне на пробния тест в профила на детето | Съгласие на родителя при създаването на профила (чл. 6, ал. 1, б. „а" във вр. с чл. 8 GDPR) |
| Училищен клас: учителят вижда напредъка на детето в класа | Съгласие на родителя — той записва детето или одобрява молбата му (чл. 6, ал. 1, б. „а" GDPR) и може да го оттегли по всяко време, като извади детето от класа |
| Сигнали „Съобщи" — поправяне на грешни задачи и неясни подсказки. Чете ги само нашият рецензент на съдържанието; в известието до нас по имейл няма нито текста на детето, нито разговора | Легитимен интерес — качество на учебното съдържание (чл. 6, ал. 1, б. „е" GDPR) |
| Сигурност, ограничаване на злоупотреби (напр. лимити на заявките) | Легитимен интерес (чл. 6, ал. 1, б. „е" GDPR) |
| Счетоводни и данъчни задължения | Законово задължение (чл. 6, ал. 1, б. „в" GDPR) |
Не използваме данните за реклама, не ги продаваме и не изграждаме рекламни профили. Не прилагаме автоматизирани решения с правни последици по чл. 22 GDPR — адаптивността на задачите е учебна функционалност, не решение с правно или подобно съществено действие.
5. Семейства: кой какво вижда
- Данните на всяко дете са строго отделени от тези на братята и сестрите му. Дете никога не вижда задачите, грешките, разговорите или напредъка на друго дете, а приложението не сравнява децата помежду им — нито пред тях, нито пред родителя.
- Родителите и настойниците в семейството виждат напредъка на всяко дете поотделно. Седмичният отчет се изпраща до всички възрастни в семейството, освен ако някой от тях не се откаже от него.
- Родителят вижда статистиката и тетрадката с грешки на детето (решени задачи, теми, повтарящи се грешки, готовност за изпит), но не вижда дословните разговори на детето с AI учителя в приложението. Това е наша политика, не техническо ограничение: разговорът е работното пространство на детето, а родителят получава изводите от него. Това не ограничава правото на достъп по раздел 8: при изрична заявка на родителя разговорите се предоставят като част от пълното копие на данните на детето.
- Кои възрастни са в семейството решава родителят-собственик. Ние не проверяваме и не решаваме спорове за родителски права (вж. Общите условия, чл. 4).
- Училищни класове. Ако учителят на детето ползва Стаси, той създава клас с код. Дете влиза в класа само с действие на родителя: родителят го записва от линка на класа, създава профила му от пробния тест с кода на класа, или одобрява молбата, която детето е пратило. Докато детето е в класа, учителят вижда: името му, колко задачи е решило и колко от тях вярно, средно колко подсказки използва, напредъка му по целта, която учителят е поставил на класа, и — за 4., 7. и 10. клас — приблизителен интервал за готовност за НВО. Вижда и обобщено за целия клас най-честите затруднения и средния резултат от пробно НВО на класа (без резултата на отделното дете). Учителят не вижда разговорите на детето, тетрадката му с грешки поименно, нито данни за родителя. Родителят може да извади детето от класа по всяко време — учителят спира да го вижда веднага.
6. Кой друг вижда данни (обработващи)
Използваме следните доставчици (обработващи лични данни по чл. 28 GDPR):
| Доставчик | Роля | Данни | Местоположение |
|---|---|---|---|
| Supabase | база данни и автентикация | профили на деца и родители, учебна активност, дневник на семейството | ЕС (Германия, Франкфурт) |
| Vercel | хостинг на приложението | технически логове | ЕС/САЩ (SCC/DPF) |
| Anthropic | AI модел на учителя | текстът на задачите, отговорите и разговора с детето (и с посетителя на пробния тест — без име); малкото име или прякорът му (за да се обръща учителят към него по име); класът и обобщение на напредъка му по теми. Без фамилия, имейл и данни за родителя | САЩ (SCC/DPF); по API условията данните не се използват за обучение на модели |
| Brevo (Sendinblue SAS) | изпращане на имейли | имейл адреси на родителите, съдържание на писмата (вход, нова парола, покани, отчети, потвърждения) | ЕС (Франция) |
| Stripe (след активирането на платените планове) | плащания | имейл на родителя-собственик, данни за плащане (при тях), планове на децата, отстъпка | ЕС/САЩ (SCC/DPF) |
За доставчиците извън ЕС прилагаме предвидените в GDPR гаранции (стандартни договорни клаузи и/или EU-U.S. Data Privacy Framework).
7. Колко време пазим данните
- Профил на дете и учебна активност: докато профилът съществува. При заявка за изтриване — изтриваме в срок до 30 дни.
- Премахнато от семейството дете: 30 дни след премахването, за да може родителят да го върне без загуба на напредъка; след това данните се изтриват окончателно и автоматично.
- Сигнали „Съобщи": като учебната активност — изтриват се заедно с профила на детето.
- Членство в училищен клас: докато детето е в класа. При изваждане учителят спира да вижда данните веднага; записът кога е влязло и излязло остава до изтриването на профила на детето.
- Пробен тест без регистрация: 14 дни, ако не бъде прехвърлен в профил — после се изтрива автоматично. При прехвърляне задачите остават като учебна активност на детето, а суровият запис на теста (отговори и разговор) се изтрива на следващия ден.
- Родителски профил: докато семейството съществува. Възрастен с достъп „само за преглед", който бъде премахнат от семейството, се изтрива от него веднага; следа остава само в дневника на събитията.
- Дневник на събитията в семейството, данни по фактури и плащания: по сроковете на Закона за счетоводството (до 10 години), само каквото законът изисква.
- Съгласия: записваме кой родител и кога е дал съгласието (и кога е потвърдено по имейл при стария ред), докато профилът на детето съществува (доказателство по чл. 7, ал. 1 GDPR).
8. Вашите права
Всеки родител и настойник — за собствените си данни — и родителят — от името на детето — имат право на: достъп, коригиране, изтриване („правото да бъдеш забравен"), ограничаване, преносимост, възражение, както и право по всяко време да оттеглят даденото съгласие — оттеглянето спира достъпа на детето, без да засяга законността на обработката преди него. Поканен възрастен може по всяко време да поиска да бъде премахнат от семейството.
Заявки: contactus@stasy.org. Отговаряме до 30 дни.
Ако смятате, че правата ви са нарушени, може да подадете жалба до Комисията за защита на личните данни (КЗЛД): гр. София 1592, бул. „Проф. Цветан Лазаров" № 2, www.cpdp.bg.
9. Сигурност
Достъпът до базата данни е ограничен на ниво ред (row-level security), а паролите се съхраняват само като необратими хешове. Родител достига до данни на дете единствено през членството си в семейството на това дете; децата нямат достъп до данни на други деца. Плащанията минават изцяло през Stripe. Достъп до продукционните данни има само администраторът по раздел 1.
10. Промени
При съществена промяна на тази политика ще уведомим родителите по имейл поне 14 дни предварително. Актуалната версия е винаги на www.stasy.org/poveritelnost.