Политика за поверителност

Версия v0.7 · Последна редакция: 8 септември 2026 г.

ZweiHost е платформа „уебсайт като услуга“ (WaaS): малки бизнеси създават онлайн магазини и сайтове, които работят върху нашата инфраструктура. Тази Политика описва как ZweiHost обработва лични данни на две групи: купувачи, които влизат с Facebook или Google в магазин, изграден с ZweiHost (раздел 2), и нашите преки клиенти - търговците (раздели 3 и нататък).

1. Кои сме ние

Платформата ZweiHost се управлява от „Цвай Софт" ЕООД (Zwei Soft Ltd.) - дружеството, което е администратор на личните данни, описани в тази Политика.

„Цвай Софт" ЕООД (оператор на платформата ZweiHost)
Седалище и адрес на управление: гр. Пловдив 4004, ул. „Асеновградско шосе" № 2, вх. Е, ап. 52
ЕИК: 208515196 · ДДС №: BG208515196 · Управител: Ивайло Ивов Иванов
Контакт: support@zweisoft.com

2. Вход чрез Facebook и Google (за купувачи)

Някои магазини, изградени с ZweiHost, позволяват вход с Facebook или Google. ZweiHost управлява една централна интеграция за вход от името на всички тези магазини - затова екранът за съгласие на Facebook и Google показва името „ZweiHost“.

Когато изберете „Вход с Facebook“ или „Вход с Google“, получаваме от доставчика само:

Вашето име;
Вашия имейл адрес;
и постоянен идентификатор на потребителя при доставчика (Вашето Facebook/Google ID).

Използваме тези данни единствено за да създадем или да Ви впишем в Вашия клиентски профил в конкретния магазин, в който сте натиснали бутона. Не получаваме паролата Ви, списъка с приятели/контакти, публикации или други данни от профила Ви и не публикуваме нищо от Ваше име.

Профилът Ви (заедно с горните данни) се съхранява отделно за всеки магазин, в който влизате: магазинът е администратор на този профил, а ZweiHost действа като обработващ. Пазим данните, докато съществува профилът Ви в съответния магазин, и можете да ги изтриете по всяко време - вижте Изтриване на данни. Въпроси относно входа: support@zweisoft.com.

3. Какви данни обработваме за търговците

Данни за акаунт: имейл, име, телефон.
Данни за фирма: наименование, ЕИК, адрес.
Данни за плащане: обработват се от Stripe - получаваме само идентификатор и статус, не и номера на карти.
Данни за ползване: логове за вход, IP, браузър, действия в BackOffice.
Комуникация: имейли и съобщения с поддръжката.

Абонати на бюлетина (посетители на zweihost.com): ако се абонирате за нашия бюлетин, обработваме имейл адреса Ви и езика на сайта на основание Вашето съгласие, за да Ви изпращаме новини, статии и съвети за онлайн търговия. „Цвай Софт" ЕООД е администратор на тези данни; доставката е през Amazon SES (вж. раздел 5). Може да се отпишете по всяко време с един клик от всеки имейл.

4. Цели и основания за обработка

Цел	Основание (GDPR чл. 6)
Предоставяне на услугата (вкл. вход на купувачи)	Договор (чл. 6, ал. 1, б. „б“)
Фактуриране и счетоводство	Законово задължение (б. „в“)
Сигурност и предотвратяване на злоупотреби	Легитимен интерес (б. „е“)
Маркетинг (нюзлетър)	Съгласие (б. „а“)
Клиентски отзиви и препоръки (раздел 11)	Съгласие (б. „а“)
Спазване на отписване (запис за подтискане)	Легитимен интерес (б. „е“)

5. На кого предоставяме данни

Stripe (плащания) - Ирландия / САЩ (SCC).
Cloudflare (R2 съхранение на файлове, Workers хостинг и CDN, защита на трафика и IP адреси; входящо имейл препращане за магазини с активирано бизнес имейл препращане - съдържанието на писмата преминава само в транзит, без съхранение при нас) - ЕС / глобален edge.
Amazon Web Services (Amazon SES) (имейл доставка) - ЕС (eu-central-1) / САЩ (SCC).
Railway (API, административен панел и PostgreSQL база данни) - EU West (Амстердам, Нидерландия).
Functional Software, Inc. (Sentry) (проследяване на грешки и диагностика - само технически данни за грешки; телата на заявките, бисквитките, идентификационните данни и идентификаторите на потребители се премахват преди изпращане) - ЕС (Германия) / САЩ (SCC).
Meta Platforms и Google LLC - при вход чрез Facebook/Google и, при съгласие, реклама/аналитика; действат като самостоятелни администратори съгласно собствените си политики - САЩ (EU–US Data Privacy Framework).
Борика АД - картови плащания за български търговци, когато бъде активирано.
Държавни органи при законово задължение.

6. Международни трансфери

Когато данни се предават извън ЕИЗ, използваме приложим механизъм по GDPR: решение за адекватност, Стандартни договорни клаузи на Европейската комисия или друг допустим механизъм по чл. 46 GDPR. Информация за конкретните гаранции може да бъде поискана на support@zweisoft.com, доколкото предоставянето ѝ не нарушава търговска тайна или сигурността на услугата.

7. Срокове на съхранение

Файлове за печат по избор (снимка или изображение, което качвате, за да персонализирате продукт): ако не завършите поръчката, файлът се изтрива след 7 дни. Ако поръчате, магазинът се нуждае от него, за да изработи артикула, и файлът се изтрива 90 дни след поръчката. Малко изображение на готовия дизайн и описанието му остават към поръчката, за да е пълна историята на поръчките ви и документацията на магазина.
Съобщения до магазина (чат на витрината): имейлът, който посочвате, за да пишете на магазин, името ви, ако го добавите, и съдържанието на разговора - включително снимка на предхождащия разговор с асистента на магазина, ако е имало такъв. Магазинът е администратор на тези съобщения, а ZweiHost действа като негов обработващ; основанието е отговор на Вашето запитване (чл. 6, ал. 1, б. „б“/„е“) - без маркетинг и без отделно съгласие. Разговор се изтрива 30 дни след последното си съобщение; клиентската карта, към която е закачен, се пази по правилото за профил по-горе.
Профил на купувач (вкл. данни от вход с Facebook/Google): докато съществува профилът в магазина.
Запис за получател на маркетинг, създаден при абониране за бюлетин или при друго съгласие за маркетинг: съдържа само имейл адрес (и име, ако сте го посочили). Ако оттеглите съгласието си и този запис няма поръчки и не е свързан с регистриран профил, той се изтрива. Ако има поръчки или регистрация, записът се запазва, а съгласието за маркетинг се отбелязва като оттеглено.
След отписване запазваме минимален запис за подтискане (имейл адрес и отбелязано отписване), за да не Ви изпратим отново маркетингови съобщения. Правно основание: легитимен интерес (чл. 6, ал. 1, б. „е“) - именно спазването на Вашето отписване.
Данни за акаунт на търговец: до прекратяване на договора + 30 дни.
Счетоводни документи: 10 години (Закон за счетоводството).
Логове за сигурност: 12 месеца.
Оперативни логове на заявките - технически записи на заявките към и от нашия API, водени за сигурност, отстраняване на грешки и предотвратяване на злоупотреби. Личните данни в тях са маскирани, а идентификационните данни се премахват преди записване; пазят се само за срока на задържане на логове при хостинг доставчика (Railway) и след това се ротират автоматично.

8. Задължителност на данните и автоматизирано вземане на решения

Данните за акаунт, фирма, плащане и техническа сигурност са необходими за сключване и изпълнение на договора и за спазване на законови задължения; ако не бъдат предоставени, услугата може да не бъде достъпна. ZweiHost не използва автоматизирано вземане на решения, което поражда правни последици или Ви засяга по подобен значим начин, освен ако изрично не е посочено в отделен модул или политика.

9. Вашите права

Имате право на достъп, корекция, изтриване, ограничаване, преносимост, възражение и оттегляне на съгласие, без това да засяга законосъобразността на обработването преди оттеглянето. Имате право на жалба до Комисията за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров" № 2, cpdp.bg.

Купувачите могат сами да изтеглят или изтрият данните си от профила си в съответния магазин - вижте Изтриване на данни. Търговците - от BackOffice → Настройки → „Вашите данни и поверителност“. За всичко друго: support@zweisoft.com (отговор до 30 дни). Към момента ZweiHost не е определил длъжностно лице по защита на данните; това ще се преразгледа при промяна на мащаба, риска или вида на обработването.

10. Бисквитки

ZweiHost използва строго необходими бисквитки и сходни технологии (сесия, CSRF, езикова настройка), които са нужни за предоставяне на услугата и сигурността. Не поставяме маркетингови или аналитични бисквитки на zweihost.com без предварително съгласие и възможност за отказ. Когато отделен магазин на търговец използва допълнителни бисквитки, търговецът отговаря за собственото уведомление и съгласие, освен ако ZweiHost изрично предоставя централен модул за управление на съгласията. В магазин с включен чат на витрината строго необходима бисквитка (около 180 дни) помни отворения ви разговор, за да можете да го продължите от същото устройство; тя не носи маркетингови или аналитични данни и не изисква съгласие.

Инструменти за измерване на zweihost.com. Само след изричното ти съгласие през банера за бисквитки зареждаме:

Google Analytics 4 (категория „статистика“) - посетени страници, източник на посещението, приблизително местоположение по IP, тип устройство и браузър.
Meta Pixel и Meta Conversions API (категория „реклама“) - посетени страници и изпратена форма за запитване. Когато изпратиш формата, изпращаме към Meta и криптографски преобразувани (SHA-256) име и телефон от сървъра си, за да може Meta да свърже запитването с рекламата, която си видял/а. Meta получава само необратимо преобразуваните стойности, не самия телефон или име.
Google Ads (категория „реклама“) - отчита изпратената форма като реализация от рекламна кампания.

Основание: съгласие (чл. 6, пар. 1, б. „а“ GDPR). Ако откажеш, нищо от изброеното не се зарежда и към Google и Meta не се изпраща заявка. Оттегляне: изтрий бисквитките на сайта от браузъра си - банерът се появява отново и можеш да избереш наново. Оттеглянето действа занапред. Срок: изборът ти се пази до 12 месеца; сроковете на съхранение при Google и Meta се определят от техните собствени политики - за тези данни те действат като самостоятелни администратори (виж раздел 5).

11. Клиентски отзиви и препоръки

С изричното писмено съгласие на търговеца публикуваме на zweihost.com (началната страница и страницата „Отзиви“) клиентски отзиви: търговското име на магазина, категорията на бизнеса, връзка към магазина, текста на отзива, екранна снимка на витрината и, ако е предоставено, лого; ако отзивът е подписан лично, и името на лицето. Само когато търговецът е отбелязал това отделно в съгласието, същото съдържание може да се използва и в социалните профили на ZweiHost и в наши рекламни материали.

Основание: съгласие (чл. 6, ал. 1, б. „а“ GDPR); финалният текст на отзива се съгласува с търговеца преди публикуване. Срок: публикацията остава до оттегляне на съгласието или до прекратяване на отношенията ни. Оттегляне: по всяко време, безплатно, на support@zweisoft.com - сваляме отзива от сайта и социалните ни профили без излишно забавяне (до 14 дни) и спираме да го включваме в нови рекламни материали; вече разпространени рекламни импресии не могат да бъдат оттеглени със задна дата. Оттеглянето не засяга законосъобразността на публикуването преди него.

12. Промени

Промените се обявяват на тази страница и влизат в сила 14 дни след публикуване.

Privacy Policy

Version v0.7 · Last updated: 8 September 2026

ZweiHost is a Website-as-a-Service (WaaS) platform: small businesses run online shops and sites on our infrastructure. This Policy describes how ZweiHost processes personal data of two groups: shoppers who sign in with Facebook or Google on a shop built with ZweiHost (section 2), and our direct customers - the merchants (sections 3 onwards).

1. Who we are

The ZweiHost platform is operated by Zwei Soft Ltd. („Цвай Софт" ЕООД), the company that acts as data controller for the personal data described in this Policy.

Zwei Soft Ltd. (operator of the ZweiHost platform)
Registered seat: 2 Asenovgradsko shose St., entr. E, apt. 52, Plovdiv 4004, Bulgaria
UIC (ЕИК): 208515196 · VAT: BG208515196 · Manager: Ivaylo Ivov Ivanov
Contact: support@zweisoft.com

2. Sign in with Facebook & Google (for shoppers)

Some shops built with ZweiHost let shoppers sign in with Facebook or Google. ZweiHost operates a single, central sign-in integration on behalf of all those shops - which is why the Facebook and Google consent screens show the name “ZweiHost”.

When you choose “Continue with Facebook” or “Continue with Google”, we receive from the provider only:

your name;
your email address;
and a stable provider user identifier (your Facebook/Google user ID).

We use this data solely to create or sign you in to your customer account on the specific shop where you used the button. We do not receive your password, your friends/contacts, your posts, or any other profile data, and we do not post anything on your behalf.

Your account (together with the data above) is stored separately for each shop you sign in to: the shop is the controller of that account, and ZweiHost acts as its processor. We keep it for as long as your account on that shop exists, and you can delete it at any time - see Data deletion. Questions about social login: support@zweisoft.com.

3. Data we process about merchants

Account data: email, name, phone.
Business data: legal entity name, EIK, address.
Payment data: handled by Stripe - we only receive an identifier and status, never card numbers.
Usage data: login logs, IP, browser, BackOffice actions.
Communications: emails and support messages.

Newsletter subscribers (zweihost.com visitors): if you subscribe to our newsletter, we process your email address and the site language on the basis of your consent, to send you news, articles and advice on selling online. Tsvai Soft Ltd is the controller of this data; delivery is via Amazon SES (see section 5). You can unsubscribe at any time with one click from any email.

4. Purposes and legal bases (GDPR Art. 6)

Purpose	Basis
Service delivery (incl. shopper sign-in)	Contract (Art. 6(1)(b))
Invoicing and accounting	Legal obligation (c)
Security and abuse prevention	Legitimate interest (f)
Marketing newsletter	Consent (a)
Customer testimonials and references (section 11)	Consent (a)
Honouring an unsubscribe (suppression record)	Legitimate interest (f)

5. Recipients

Stripe (payments) - Ireland / USA (SCC).
Cloudflare (R2 file storage, Workers hosting and CDN, traffic protection and IP addresses; inbound email forwarding for shops that enable business email forwarding - email content passes through in transit only, no storage on our side) - EU / global edge.
Amazon Web Services (Amazon SES) (email) - EU (eu-central-1) / USA (SCC).
Railway (API, admin panel and PostgreSQL database) - EU West (Amsterdam, Netherlands).
Functional Software, Inc. (Sentry) (error tracking and diagnostics - technical error data only; request bodies, cookies, credentials and user identifiers are stripped before sending) - EU (Germany) / USA (SCC).
Meta Platforms and Google LLC - for Facebook/Google sign-in and, with consent, advertising/analytics; they act as independent controllers under their own policies - USA (EU–US Data Privacy Framework).
Borica AD - card payments for Bulgarian merchants, once activated.
Government bodies where legally required.

6. International transfers

Where data is transferred outside the EEA, we use an applicable GDPR mechanism: an adequacy decision, the European Commission's Standard Contractual Clauses, or another mechanism permitted under Art. 46 GDPR. Information on the specific safeguards can be requested at support@zweisoft.com, to the extent that providing it does not breach trade secrecy or the security of the service.

7. Retention

Shopper account (incl. Facebook/Google sign-in data): for as long as the account exists on that shop.
Custom-print uploads (a photo or image you upload to personalise a product): if you never place the order, the file is deleted after 7 days. If you do order, the shop needs it to produce your item, and it is deleted 90 days after the order. A small preview of your finished design and its text description are kept with the order so your order history and the shop's records stay complete.
Support messages (storefront chat): the email you give in order to message a shop, your name if you add it, and the content of the conversation - including a snapshot of any preceding chat with the shop's assistant. The shop is the controller of these messages and ZweiHost acts as its processor; the basis is responding to your enquiry (Art. 6(1)(b)/(f)) - no marketing and no separate consent. A conversation is deleted 30 days after its last message; the customer record it is attached to is kept under the account rule above.
Marketing-recipient record, created when you subscribe to a newsletter or otherwise give marketing consent: it holds only your email address (and your name, if you gave one). If you withdraw consent and that record has no orders and no registered account attached, it is deleted. If it has orders or a registration, the record is kept and the marketing consent is marked as withdrawn.
After you unsubscribe we keep a minimal suppression record (your email address and the fact that you unsubscribed) so that we do not send you marketing again. Legal basis: legitimate interest (Art. 6(1)(f)) - specifically, honouring your opt-out.
Merchant account data: until contract termination + 30 days.
Accounting documents: 10 years (Bulgarian Accounting Act).
Security logs: 12 months.
Operational request logs - technical records of the requests to and from our API, kept for security, debugging and abuse prevention. Personal data in them is masked and credentials are removed before anything is written; they are retained only for our hosting provider's (Railway) log-retention window and then rotated out automatically.

8. Whether data is required, and automated decision-making

Account, business, payment and technical-security data are necessary to conclude and perform the contract and to comply with legal obligations; if not provided, the service may be unavailable. ZweiHost does not use automated decision-making that produces legal effects or similarly significantly affects you, unless expressly stated in a separate module or policy.

9. Your rights

You may access, correct, delete, restrict, port, or object to processing, and withdraw consent, without affecting the lawfulness of processing before withdrawal. You have the right to complain to the Bulgarian Data Protection Authority (CPDP), 2 Prof. Tsvetan Lazarov Blvd., Sofia 1592, cpdp.bg.

Shoppers can export or delete their own data from their account on the relevant shop - see Data deletion. Merchants can do so from BackOffice → Settings → “Your data & privacy”. For anything else: support@zweisoft.com (response within 30 days). ZweiHost has not currently appointed a Data Protection Officer; this will be reviewed if the scale, risk or nature of processing changes.

10. Cookies

ZweiHost uses strictly necessary cookies and similar technologies (session, CSRF, language) needed to provide the service and for security. We do not place marketing or analytics cookies on zweihost.com without prior consent and an opt-out. Where an individual merchant's shop uses additional cookies, the merchant is responsible for its own notice and consent, unless ZweiHost expressly provides a central consent-management module. On a shop that has enabled storefront chat, a strictly-necessary cookie (about 180 days) remembers your open conversation so you can continue it on the same device; it carries no marketing or analytics data and needs no consent.

Measurement tools on zweihost.com. Only after your explicit consent via the cookie banner do we load:

Google Analytics 4 (“statistics” category) - pages visited, referral source, approximate location from IP, device and browser type.
Meta Pixel and the Meta Conversions API(“advertising” category) - pages visited and enquiry-form submissions. When you submit the form we additionally send Meta your cryptographically hashed (SHA-256) name and phone number from our server, so Meta can connect the enquiry to the ad you saw. Meta receives only the irreversibly hashed values, never the phone number or name itself.
Google Ads (“advertising” category) - records a submitted form as a conversion from an ad campaign.

Legal basis: consent (GDPR Art. 6(1)(a)). If you decline, none of the above loads and no request is made to Google or Meta. Withdrawal: clear this site’s cookies in your browser - the banner reappears and you can choose again. Withdrawal takes effect going forward. Retention: your choice is stored for up to 12 months; retention at Google and Meta is governed by their own policies - for this data they act as independent controllers (see section 5).

11. Customer testimonials and references

With the merchant's explicit written consent we publish customer testimonials on zweihost.com (the landing page and the “Reviews” page): the shop's trade name, its business category, a link to the shop, the testimonial text, a screenshot of the storefront and, where provided, a logo; if the testimonial is personally signed, the person's name as well. Only where the merchant has separately ticked this in the consent form may the same content also be used on ZweiHost's social media profiles and in our advertising.

Legal basis: consent (GDPR Art. 6(1)(a)); the final wording of the testimonial is agreed with the merchant before publication. Retention: the publication stays up until consent is withdrawn or our relationship ends. Withdrawal: at any time, free of charge, at support@zweisoft.com - we take the testimonial down from the site and our social profiles without undue delay (within 14 days) and stop including it in new advertising; ad impressions already served cannot be recalled retroactively. Withdrawal does not affect the lawfulness of publication before it.

12. Changes

Changes are posted on this page and take effect 14 days after publication.