Правна информацияLegal

Кой обработва данните

Администратор на личните данни е [Име на фирмата] ЕООД, ЕИК [ЕИК], със седалище и адрес на управление [адрес], София („Loyalii“, „ние“). За въпроси относно данните пишете на [email protected].

Какви данни събираме

Данни	Откъде	Защо	Правно основание (GDPR)
Имейл адрес	Вход с имейл	Вход в акаунта с еднократен код, изпратен по имейл	Договор, чл. 6(1)(б)
Име, имейл, профилна снимка	Google / Facebook / Apple, ако влезете през тях	Вход и показване на профила	Договор, чл. 6(1)(б)
Карти за лоялност, печати, история на посещенията, мисии, XP и ниво	Персоналът на заведението партньор, когато потвърди покупка, споделяне или изплащане на награда	Работата на картите, мисиите и наградите	Договор, чл. 6(1)(б)
Код на картата (QR)	Създаваме го при регистрацията; показва се в профила и в Wallet картата	Персоналът да ви разпознае на бара	Договор, чл. 6(1)(б)
Кой ви е поканил	Линкът за покана, с който сте влезли	Стъпка по „Доведи приятел“ за поканилия ви	Договор, чл. 6(1)(б)
Дневник на действията на персонала	Терминалът на заведението	Проследимост и защита от злоупотреби: кой служител, кога и какво е потвърдил	Законен интерес, чл. 6(1)(е)
Коя версия на тези условия сте приели и кога; дали имейлът ви е потвърден	Входа в акаунта (Supabase потвърждава имейла с еднократния код или при вход с Google / Facebook / Apple)	Доказателство, че сте приели условията; защита от фалшиви профили	Законен интерес, чл. 6(1)(е)
Адрес за известия на устройството ви (при Google, Apple, Mozilla или Microsoft) и език	Вие, ако включите „Известия при печат“ в профила или акаунта	Изскачащо известие при печат, споделяне или изплатена награда	Съгласие, чл. 6(1)(а); изключвате ги по всяко време от акаунта или от браузъра
Съгласие за имейли с новини	Вие, в настройките на акаунта	Изпращане на новини и оферти	Съгласие, чл. 6(1)(а); можете да го оттеглите по всяко време
Запитвания до поддръжката	Формата „Помощ“	Отговор на въпроса ви	Договор / законен интерес, чл. 6(1)(б), (е)
Заявки от заведения: име и адрес на заведението, телефон	Формата „Поръчай тестов комплект“ в „За партньори“	Да ви се обадим за пробния период и евентуален договор	Стъпки преди договор по ваше искане, чл. 6(1)(б)
Проверка за повторен профил (имейлът ви в нормализиран вид, напр. [email protected] = [email protected])	Имейлът, с който сте влезли	Защита от създаване на множество профили за награди	Законен интерес, чл. 6(1)(е)
Технически записи (IP адрес, час, вид устройство)	Автоматично от сървърите	Сигурност, защита от злоупотреби и претоварване	Законен интерес, чл. 6(1)(е)
Статистика за посещенията: отворени страници, вид устройство и браузър, приблизителен град, случаен номер в бисквитка	Google Analytics, само ако приемете „Статистика“ в банера за бисквитки	Да видим кои части от сайта се ползват и да го подобряваме	Съгласие, чл. 6(1)(а); можете да го оттеглите по всяко време

Не събираме точното ви местоположение. Бутонът „Близо до мен“ използва местоположението само в браузъра ви, за да подреди заведенията, и не го изпраща до нас. Не продаваме данни и не ги използваме за реклами от трети страни. Не вземаме автоматизирани решения с правни последици за вас.

На кого ги предаваме

• Supabase: база данни и вход, сървъри в ЕС (Франкфурт, Германия).
• Google Wallet: ако запазите карта в Google Wallet, Google получава името на заведението, името ви, броя печати и номера на членската ви карта, за да покаже картата в телефона ви.
• Google Maps: вградената карта на заведенията, само ако разрешите „Карти“ в банера за бисквитки. Тогава Google получава IP адреса ви, докато картата се зарежда.
• Google Analytics (Google Ireland Ltd.): само ако разрешите „Статистика“ в банера за бисквитки. Получава адреса на отворената страница (без кодове за покана и вход), вида на устройството и IP адреса ви, по който определя приблизителния град; Google Analytics не съхранява IP адреси. Рекламните функции и Google Signals са изключени.
• Google, Meta (Facebook), Apple: само ако изберете вход през тях. Те обработват данните и като самостоятелни администратори по своите политики.
• Resend (изпращане на имейли): получава имейла ви, за да изпрати кода за вход, и ни препраща заявките от заведения.
• Cloudflare (хостинг, сървърен код, защита от атаки и проверката „не съм робот“): вижда IP адреса ви, докато зареждате сайта.
• Услугата за известия на браузъра ви (Google, Apple, Mozilla или Microsoft): само ако включите известията. Доставя известието до устройството ви; съдържанието е шифровано и тя не може да го прочете.
• Stripe (плащане на абонаментите на заведенията): обработва данните за плащане и фактуриране на собственика на заведението. Loyalii не вижда и не пази данни от банкови карти.
• Заведенията партньори: когато персоналът сканира кода ви, вижда само първото ви име, нивото ви, последните 4 знака от кода и прогреса ви в това заведение. Никога телефона, имейла или данни от други заведения. Собственикът вижда обобщени метрики за своето заведение.

Когато доставчик е извън ЕИП (например в САЩ), предаването става въз основа на Рамката за защита на данните ЕС–САЩ или стандартни договорни клаузи на Европейската комисия.

Колко дълго пазим данните

• Акаунт, карти и история: докато имате акаунт. След изтриване те изчезват веднага, а от резервните копия до 30 дни по-късно.
• Запитвания до поддръжката: до 24 месеца, след което се изтриват.
• Заявки от заведения: до 12 месеца, ако не започнем работа заедно.
• Доказателство за съгласие за имейли: докато е в сила и до 3 години след оттеглянето му, за да можем да докажем законността.
• Технически записи: до 90 дни.
• Адрес за известия: докато не ги изключите, не излезете от акаунта на това устройство или не изтриете акаунта; изтрива се и сам, ако устройството вече не го приема.
• Статистика в Google Analytics: до 14 месеца; бисквитките _ga изтичат след 13 месеца.

Възраст

Услугата е за лица над 14 години. Ако сте под 14 години, нужно е съгласие от родител.

Who processes the data

The data controller is [Company name] EOOD, company no. (UIC) [UIC], registered at [address], Sofia (“Loyalii”, “we”). Questions about your data: [email protected].

What we collect

Data	Source	Why	Legal basis (GDPR)
Email address	Email sign-in	Signing in with a one-time code sent by email	Contract, Art. 6(1)(b)
Name, email, profile picture	Google / Facebook / Apple, if you sign in with them	Signing in and showing your profile	Contract, Art. 6(1)(b)
Loyalty cards, stamps, visit history, missions, XP and level	Partner venue staff, when they confirm a purchase, a share or a reward payout	Running the cards, missions and rewards	Contract, Art. 6(1)(b)
Card code (QR)	Created when you sign up; shown in your profile and Wallet card	So staff can recognise you at the bar	Contract, Art. 6(1)(b)
Who invited you	The invite link you signed up with	A “Bring a friend” step for the person who invited you	Contract, Art. 6(1)(b)
Log of staff actions	The venue’s terminal	Accountability and abuse prevention: which staff member confirmed what, and when	Legitimate interest, Art. 6(1)(f)
Which version of these terms you accepted and when; whether your email is confirmed	Signing in (Supabase confirms the email with the one-time code or when you sign in with Google / Facebook / Apple)	Proof that you accepted the terms; protection against fake profiles	Legitimate interest, Art. 6(1)(f)
Your device’s notification address (at Google, Apple, Mozilla or Microsoft) and language	You, if you turn on “Stamp notifications” in your profile or account	A pop-up when you get a stamp, a share step or a reward	Consent, Art. 6(1)(a); turn them off any time in your account or browser
Consent to news emails	You, in account settings	Sending news and offers	Consent, Art. 6(1)(a); withdraw at any time
Support requests	The Support form	Answering you	Contract / legitimate interest, Art. 6(1)(b), (f)
Venue applications: venue name and address, phone	The “Order a trial kit” form under “For partners”	Calling you about the trial and a possible agreement	Steps at your request before a contract, Art. 6(1)(b)
Repeat-profile check (your email in normalised form, e.g. [email protected] = [email protected])	The email you signed in with	Preventing multiple profiles created to collect rewards	Legitimate interest, Art. 6(1)(f)
Technical logs (IP address, time, device type)	Automatically, by the servers	Security, abuse and overload protection	Legitimate interest, Art. 6(1)(f)
Visit statistics: pages opened, device and browser type, approximate city, a random number in a cookie	Google Analytics, only if you accept “Statistics” in the cookie banner	Seeing which parts of the site are used, to improve it	Consent, Art. 6(1)(a); withdraw at any time

We don’t collect your precise location. “Near me” uses it only inside your browser to sort venues and never sends it to us. We don’t sell data or use it for third-party advertising. We make no automated decisions with legal effects on you.

Who we share it with

• Supabase: database and sign-in, servers in the EU (Frankfurt, Germany).
• Google Wallet: if you save a card to Google Wallet, Google receives the venue name, your name, your stamp count and your member number to show the card on your phone.
• Google Maps: the embedded venue map, only if you allow “Maps” in the cookie banner. Google then receives your IP address while the map loads.
• Google Analytics (Google Ireland Ltd.): only if you allow “Statistics” in the cookie banner. It receives the address of the page you open (without invite or sign-in codes), your device type and your IP address, from which it works out an approximate city; Google Analytics does not store IP addresses. Advertising features and Google Signals are off.
• Google, Meta (Facebook), Apple: only if you choose to sign in with them. They also act as independent controllers under their own policies.
• Resend (email delivery): receives your address to send the sign-in code, and forwards venue applications to us.
• Cloudflare (hosting, server code, attack protection and the “not a robot” check): sees your IP address while the site loads.
• Your browser’s push service (Google, Apple, Mozilla or Microsoft): only if you turn notifications on. It delivers the notification to your device; the content is encrypted and it cannot read it.
• Stripe (payment of venue subscriptions): processes the venue owner’s payment and billing details. Loyalii never sees or stores payment card details.
• Partner venues: when staff scan your code they see only your first name, your level, the last 4 characters of the code and your progress at that venue. Never your phone, email or anything from other venues. The owner sees summary metrics for their own venue.

Where a provider is outside the EEA (e.g. in the US), transfers rely on the EU–US Data Privacy Framework or the European Commission’s standard contractual clauses.

How long we keep it

• Account, cards and history: while you have an account. Deleted immediately when you delete it, and from backups within 30 days.
• Support requests: up to 24 months, then deleted.
• Venue applications: up to 12 months if we don’t start working together.
• Proof of email consent: while it is valid and up to 3 years after you withdraw it, so we can prove it was lawful.
• Technical logs: up to 90 days.
• Notification address: until you turn them off, sign out on that device or delete your account; it is also deleted when the device stops accepting it.
• Statistics in Google Analytics: up to 14 months; the _ga cookies expire after 13 months.

Age

The service is for people aged 14 and over. Under 14, a parent’s consent is required.

Имате право да поискате достъп до данните си, да ги коригирате, изтриете, ограничите обработването им, да ги получите във файл (преносимост), да възразите срещу обработване на основание законен интерес и да оттеглите съгласие по всяко време. Отговаряме до 30 дни.

Пишете на [email protected] от имейла или телефона на акаунта си, или използвайте формата в Помощ с тема „Лични данни“.

Имате право на жалба до Комисията за защита на личните данни: София 1592, бул. „Проф. Цветан Лазаров“ № 2, www.cpdp.bg.

You can ask to access, correct or delete your data, restrict its processing, receive it in a file (portability), object to processing based on legitimate interest, and withdraw consent at any time. We answer within 30 days.

Email [email protected] from your account’s email or phone, or use the form in Support with the topic “Personal data”.

You can complain to the Bulgarian Commission for Personal Data Protection: 2 Prof. Tsvetan Lazarov Blvd, Sofia 1592, www.cpdp.bg.

Необходимите бисквитки и локалното съхранение работят винаги, защото без тях сайтът не работи. Статистиката и картите на Google включваме само ако ги приемете в банера за бисквитки. „Отказвам“ е толкова лесно, колкото „Приемам“, и сайтът работи и без съгласие. Не използваме рекламни бисквитки. Изборът ви важи 12 месеца, след което питаме отново. Можете да го промените по всяко време от „Настройки за бисквитки“ в менюто и в „Помощ“ или от бутона тук.

Промени избора си

Необходими (без съгласие)

Име	Цел	Срок
Данни на Loyalii (карти, език, настройки)	Сайтът да помни картите и езика ви	Докато не изчистите браузъра
Сесия за вход (Supabase)	Да останете влезли; ключът за достъп изтича след 1 час и се подновява автоматично	До изход от акаунта
loyalii-guest	Помни, че сте избрали „без акаунт“	До затваряне на раздела
loyalii-consent	Помни избора ви в банера за бисквитки	12 месеца
Cloudflare Turnstile	Проверка „не съм робот“ при вход и във формата за заведения	За времето на проверката

Само с ваше съгласие

Име	Доставчик и цел	Срок
_ga, _ga_SRTNB5GD3L	„Статистика“: Google Analytics (Google Ireland Ltd.). Брои посещенията и показва кои страници се отварят и от какво устройство. Не изпращаме името, имейла или кода на картата ви.	13 месеца
Бисквитки на Google Maps	„Карти“: вградената карта на заведенията. Google получава IP адреса ви и може да постави свои бисквитки според политиката на Google. Без съгласие показваме нашата рисувана карта.	Според Google

Ако оттеглите съгласието за „Статистика“, изтриваме бисквитките _ga от браузъра ви и Google Analytics спира.

Necessary cookies and local storage always run, because the site can’t work without them. Statistics and Google’s maps are switched on only if you accept them in the cookie banner. “Reject” is as easy as “Accept”, and the site works without consent. We use no advertising cookies. Your choice lasts 12 months, then we ask again. You can change it any time from “Cookie settings” in the menu and under Support, or with the button here.

Change your choice

Necessary (no consent needed)

Name	Purpose	Lifetime
Loyalii data (cards, language, settings)	Remembering your cards and language	Until you clear the browser
Sign-in session (Supabase)	Keeping you signed in; the access token expires after 1 hour and renews automatically	Until you sign out
loyalii-guest	Remembers you chose “no account”	Until the tab is closed
loyalii-consent	Remembers your choice in the cookie banner	12 months
Cloudflare Turnstile	The “not a robot” check at sign-in and in the venue form	During the check

Only with your consent

Name	Provider and purpose	Lifetime
_ga, _ga_SRTNB5GD3L	“Statistics”: Google Analytics (Google Ireland Ltd.). Counts visits and shows which pages are opened and on what device. We never send your name, email or card code.	13 months
Google Maps cookies	“Maps”: the embedded venue map. Google receives your IP address and may set its own cookies under Google’s policy. Without consent we show our own drawn map.	Set by Google

If you withdraw consent for “Statistics”, we delete the _ga cookies from your browser and Google Analytics stops.

1. Услугата

Loyalii предоставя дигитални карти за лоялност: в заведение партньор докосвате NFC табелката или показвате QR кода си, персоналът потвърждава покупката и получавате печат в профила си и в картата си в Google Wallet. За посетителите услугата е безплатна.

2. Акаунт

Трябва да сте на поне 14 години. Един човек може да има един акаунт. Вие отговаряте за достъпа до телефона и профилите, с които влизате.

3. Печати и награди

Наградите се дават от съответното заведение по неговите условия, показани в картата. Те нямат парична стойност, не могат да се заменят за пари и не могат да се прехвърлят. Заведението може да промени или прекрати своята програма. Печатите се трупат само при реално посещение. Наградите са фиксирани и не зависят от късмет: в Loyalii няма томболи и игри с награди.

4. Забранено използване

Всеки човек може да има само един профил в Loyalii. Забранено е:

• създаване на множество профили с цел получаване на награди, включително за да си давате стъпки по „Доведи приятел“;
• изкуствено увеличаване на печатите;
• използване на ботове или скриптове, масови заявки и претоварване на сайта или базата данни;
• търсене на слабости без разрешение и представяне за друг.

Профил със същата пощенска кутия като друг профил (например [email protected] и [email protected]) или с временен имейл не може да използва линк за покана, а персоналът на заведението вижда предупреждение. При нарушение можем да спрем профилите и да анулираме печатите, стъпките, XP и наградите, получени чрез тях, включително стъпките на поканилия.

Ако откриете проблем със сигурността, съобщете ни добросъвестно на [email protected] (виж Сигурност).

5. Абонамент за заведения партньори

Loyalii продава услугата си на заведения (кафенета, ресторанти, вериги и други търговци), а не на техните клиенти. За гостите Loyalii е безплатен и Loyalii не обработва плащания между заведенията и техните клиенти.

Заведенията партньори плащат месечен абонамент: START 99 €, GROW 159 € или PRO 199 €, с включен ДДС. Собственикът избира и плаща плана в партньорския си профил на partner.loyalii.com чрез Stripe. Loyalii не вижда и не пази данни от банковата карта. Първите 30 дни са безплатни (веднъж за заведение); след това сумата се таксува автоматично всеки месец, докато абонаментът не бъде отказан.

Собственикът може да смени плана, банковата карта или да откаже абонамента по всяко време от „Плащане, фактури и смяна на плана“. Отказът важи от края на текущия платен период. Ако плащане не мине, Stripe прави повторни опити и уведомява собственика по имейл. Ако всички опити се провалят, терминалът спира за персонала, докато абонаментът не бъде подновен; картите и прогресът на клиентите се запазват. Фактурите за плащанията са достъпни в същия раздел.

Какво включва планът. Функциите на START, GROW и PRO са описани в таблицата с плановете на loyalii.com. Нови функции се добавят към съответния план без доплащане.

Задължения на заведението. Персоналът потвърждава само реални покупки и посещения. Заведението дава наградите, които е обявило в картата и в мисиите. Наградите са фиксирани и не зависят от късмет: томболи и игри с награди не се допускат. Заведението пази паролите на служителите си и спира достъпа на хора, които вече не работят там.

Поддръжка. Пишете ни на [email protected]. Отговаряме до един работен ден, а на заведения с PRO с предимство. Планирани прекъсвания на услугата обявяваме предварително.

Спиране на достъпа. Loyalii може да спре достъпа на заведение при злоупотреба (например фалшиви печати) или при неплатен абонамент. Данните на гостите се използват само за програмата за лоялност и не се продават.

6. Наличност и отговорност

Стараем се услугата да работи непрекъснато, но не можем да гарантираме, че няма да има прекъсвания. Не отговаряме за наградите, които заведенията предоставят, нито за вреди от неправилно използване. Нищо в тези условия не ограничава отговорността ни при умисъл или груба небрежност, нито правата ви на потребител по закон.

7. Промени

Ако променим условията съществено, ще ви уведомим в сайта поне 14 дни предварително. Ако не сте съгласни, можете да изтриете акаунта си.

8. Приложимо право и спорове

Прилага се българското право. Спорове се решават от компетентния съд в София. Потребителите могат да се обърнат и към Комисията за защита на потребителите (kzp.bg) и към помирителните комисии към нея за извънсъдебно решаване на спорове.

1. The service

Loyalii provides digital loyalty cards: at a partner venue you tap the NFC tag or show your QR code, staff confirm the purchase and a stamp is added to your profile and your Google Wallet card. The service is free for guests.

2. Account

You must be at least 14. One person, one account. You are responsible for access to the phone and profiles you sign in with.

3. Stamps and rewards

Rewards are given by each venue under its own terms, shown on the card. They have no cash value, can’t be exchanged for money and can’t be transferred. A venue may change or end its programme. Stamps are collected only on real visits. Rewards are fixed and never depend on luck: Loyalii has no prize draws or games of chance.

4. Prohibited use

Each person may have only one Loyalii profile. You may not:

• create multiple profiles to obtain rewards, including to give yourself “Bring a friend” steps;
• inflate stamps artificially;
• use bots or scripts, send mass requests or overload the site or database;
• probe for weaknesses without permission or impersonate anyone.

A profile that shares a mailbox with another profile (for example [email protected] and [email protected]) or uses a throwaway email cannot use an invite link, and venue staff see a warning. If the rules are broken, we may suspend the profiles and cancel the stamps, steps, XP and rewards obtained through them, including the inviter’s steps.

If you find a security problem, please report it in good faith to [email protected] (see Security).

5. Subscription for partner venues

Loyalii sells its service to venues (cafés, restaurants, chains and other businesses), not to their customers. Loyalii is free for guests and does not process payments between venues and their customers.

Partner venues pay a monthly subscription: START 99 €, GROW 159 € or PRO 199 €, VAT included. The owner chooses and pays for the plan in their partner account at partner.loyalii.com through Stripe. Loyalii never sees or stores payment card details. The first 30 days are free (once per venue); after that the amount is charged automatically every month until the subscription is cancelled.

The owner can change the plan or payment card, or cancel at any time, under “Payment, invoices and plan”. Cancelling takes effect at the end of the current paid period. If a payment fails, Stripe retries it and emails the owner. If every retry fails, the terminal stops for staff until the subscription is renewed; customers keep their cards and progress. Invoices for the payments are available in the same place.

What a plan includes. The features of START, GROW and PRO are listed in the plan table on loyalii.com. New features are added to the matching plan at no extra cost.

The venue’s obligations. Staff confirm only real purchases and visits. The venue gives the rewards it has announced on its card and missions. Rewards are fixed and never depend on luck: prize draws and games of chance are not allowed. The venue keeps its staff passwords safe and removes access for people who no longer work there.

Support. Email us at [email protected]. We reply within one working day, and PRO venues get priority. We announce planned interruptions in advance.

Suspension. Loyalii may suspend a venue’s access in case of abuse (for example fake stamps) or an unpaid subscription. Guest data is used only for the loyalty programme and is never sold.

6. Availability and liability

We work to keep the service running but can’t promise it will never be interrupted. We are not responsible for rewards provided by venues or for damage caused by misuse. Nothing here limits our liability for intent or gross negligence, or your statutory consumer rights.

7. Changes

If we change these terms materially, we’ll tell you on the site at least 14 days in advance. If you don’t agree, you can delete your account.

8. Law and disputes

Bulgarian law applies. Disputes go to the competent court in Sofia. Consumers may also turn to the Commission for Consumer Protection (kzp.bg) and its conciliation committees for out-of-court resolution.

1. Влезте в сайта и отворете акаунта си (бутона с името ви горе вдясно).
2. Натиснете „Изтрий акаунта и данните“ и потвърдете.
3. Акаунтът, картите, историята и запитванията ви се изтриват веднага, а от резервните копия до 30 дни.

Ако нямате достъп до акаунта, пишете на [email protected] с тема „Изтриване на данни“ и телефона или имейла, с които сте влизали. Потвърждаваме изтриването до 30 дни.

Ако сте влизали с Facebook, можете да премахнете и достъпа на Loyalii от Facebook → Настройки → Приложения и уебсайтове.

1. Sign in and open your account (the button with your name, top right).
2. Tap “Delete account and data” and confirm.
3. Your account, cards, history and support requests are deleted immediately, and from backups within 30 days.

If you can’t access the account, email [email protected] with the subject “Delete my data” and the phone or email you signed in with. We confirm deletion within 30 days.

If you signed in with Facebook, you can also remove Loyalii’s access in Facebook → Settings → Apps and websites.

• Целият трафик минава само през HTTPS.
• Не съхраняваме пароли. Вход е с еднократен код по имейл или през Google / Facebook / Apple.
• Ключовете за достъп изтичат след 1 час, а кодовете за вход след няколко минути.
• Всеки потребител вижда и променя само собствените си данни (Row Level Security в базата).
• Ограничения на броя заявки, за да не може никой да претовари или напълни базата.
• Сървърите са в ЕС.

Съобщете уязвимост на [email protected]. Моля, не публикувайте подробности, преди да сме я поправили.

• All traffic goes over HTTPS only.
• We store no passwords. Sign-in uses a one-time code sent by email or Google / Facebook / Apple.
• Access tokens expire after 1 hour; sign-in codes after a few minutes.
• Each user can see and change only their own data (Row Level Security in the database).
• Request limits, so nobody can overload or flood the database.
• Servers are in the EU.

Report a vulnerability to [email protected]. Please don’t publish details before we’ve fixed it.