INTERNAL RULES

protection of persons who report breaches or publicly disclose information about breaches

1. INTRODUCTION

Legal ground and purpose

Art. 1.1. These Internal Rules protection of persons who report breaches or publicly disclose information about breaches (“Internal Rules” or “Rules”) are adopted on the basis of Art. 13 et seq. of the Protection of Persons who Report Breaches or Publicly Disclose Information about Breaches Act (“Act” or PPRBPDIBA).

Art. 1.2. The purpose of the Rules is to determine the procedure for submitting and evaluating the internal report of a breach, as well as the conditions for ensuring the protection of persons who submit reports or publicly disclose information about breaches of Bulgarian legislation or acts of the EuropeanUnion that have become known to them during or on the occasion of the performance of their work or official duties or in another work-related context.

Obliged Person 

Art. 1.3. The obliged person pursuant to Art. 12, Para 1, item 3 of the Act, is the company “SOFIA CENTER REALTY” EOOD, UIC  208573858, having its seat and registered office in Sofia, 27A “Moskovska: str., floor 1, ap. 4 (“Company“).

Definitions

Art. 1.4. For the purpose of the Internal Rules the following definitions shall have the meaning as per PPRBPDIBA, namely:

a) “breaches” shall mean acts or omissions that are unlawful and/or contradict to the Bulgarian legislation or the European Union acts and areas falling within the material scope referred to in Article 3 of PPRBPDIBA or contradict to the material scope or purpose of the European Union acts in the material scope as per Article 3 of PPRBPDIBA.

b) “information on breaches” means information, including reasonable suspicions, about actual or potential breaches, which occurred or are very likely to occur in the organisation of the Company and about attempts to conceal such breaches.

c) “work-related context” means current or past work activities through which, irrespective of the nature of those activities, persons acquire information on breaches and within which those persons could suffer retaliation, if they reported such information.

d) “reporting person” means a natural person who reports or publicly discloses information on breaches acquired in the context of his or her work-related activities.

e) “concerned person” means a natural or legal person who is referred to in the report or public disclosure as a person to whom the breach is attributed or with whom that person is associated. 

f) “follow-up” means any action taken by the recipient of a report or any competent authority, to assess the accuracy of the allegations made in the report and, where relevant, to address the breach reported, including through actions such as an internal enquiry, an investigation, prosecution, an action for recovery of funds, or the closure of the procedure.

g) „feedback“ means the provision to the reporting person of information on the action envisaged or taken as follow-up and on the grounds for such follow-up.

h)“retaliation” means any direct or indirect act or omission which occurs in a work-related context, is prompted by internal or external reporting or by public disclosure, and which causes or may cause unjustified detriment to the reporting person.

i) “external reporting” means the oral or written communication of information on breaches to the competent authorities.

j) “internal reporting” means the oral or written communication of information on breaches within a legal entity in the Company.

k) „competent authority“ that designated to receive reports under PPRBPDIBA, is the Commission on Personal Data protection (CPDP): 

https://www.cpdp.bg/ - link to the electronic page of CPDP;

https://www.cpdp.bg/?p=pages&aid=70  - link to the electronic portal for external reporting

address: Sofia 1592, 2 “Prof. Tsvetan Lazarov” Blvd. 

2. MATERIAL SCOPE

Art. 2.1. The Internal Rules apply for persons who report breaches in the following area (to the extent they relate to the business activity of the Company):

2.1.1. Breaches of the Bulgarian legislation or acts of the European Union in the field of:

a) public procurement;

b) financial services, products and markets and the prevention of money laundering and terrorist financing;

c) product safety and compliance;

d) transport safety;

e) protection of the environment;

f) radiation protection and nuclear safety;

g) food and feed safety, animal health and animal welfare;

h) public health;

i) consumer protection;

j) protection of privacy and personal data;

k)  the security of networks and information systems.

l) breaches affecting the financial interests of the European Union as referred to in Art. 325 of the Treaty on the Functioning of the European Union;

m) breaches relating to the internal market as referred to in Art. 26, paragraph 2 of the Treaty on the Functioning of the European Union, including the rules of the European Union and Bulgarian legislation on competition and state aid;

n) breaches relating to cross-border tax schemes, the purpose of which is to obtain a tax advantage that is contrary to the object or purpose of the applicable law in the field of corporate taxation.

o) a committed crime of a general nature, which the person learned about in connection with the performance of his work or in the performance of his official duties.

2.1.2. Breaches of Bulgarian legislation in the field of:

a) the rules for payment of due public state and municipal receivables;

b) labor legislation;

c) the legislation relating to the performance of public service.

3. PERSONAL SCOPE.

REPORTING PERSONS WHO ARE SUBJECT TO PROTECTION

Art. 3.1. The Internal Rules shall apply to the following categories of reporting persons:

3.1.1. employee within the meaning of Article 45(1) of the Contract for the Functioning of the European Union, including an employee, civil contractor, public servant or any other person engaged in paid work, regardless of the nature of the work, the method of remuneration and the source of funding;

3.1.2. a worker or employee, as well as any other person listed under this article who received the information within the framework of an employment, service or other legal relationship in a work context, which has been terminated at the time of filing the report or public disclosure;

3.1.3. a person whose employment or service relationship is about to begin, or a person who is about to enter into a contract for the provision of any type of service, in cases where the information regarding the violations was obtained during the selection process or other pre-contractual relations;

3.1.4 shareholders, members of the management or control body of the Company;

3.1.5. persons who work for a natural or legal person, its subcontractors or suppliers of the Company;

3.1.6. paid or unpaid intern;

3.1.7. any other reporting persons who report a breach that became known to them in a work-based relationship.

4. CONDITIONS FOR PROTECTION

Art. 4.1. A reporting person shall qualify for protection, in case of either internal, or external reporting, provided that: 

4.1.1. they had reasonable grounds to believe that the information on breaches reported was true at the time of reporting and that such information fell within the scope of the Act; and 

4.2.1. they reported in accordance with the Act and the Internal Rules.

5. INTERNAL REPORTING. 

FOLLOW-UP

Art. 5.1. The Company, acting as an obliged person under Art. 12 of PPRBPDIBA, shall establish a channel for internal reporting of breaches. 

Art. 5.2. The reporting person may file a report through the internal channel for reporting of breaches, subject to the conditions described in the Internal Rules and the Act. 

Art. 5.3. The internal reporting does not deprive the reporting person of the right to report to the competent authority – CPDP, through the external reporting channel. 

Art. 5.4. The reporting person can submit a report via an electronic message to the following e-mail address: Compliance@first.bg or orally, (by phone or by means of a personal meeting with the person under item 5.4.3.).

5.4.1. The electronic message must contain a duly completed reporting form, according to the template – Enclosure No. 1 to the Internal Rules, containing at least the following information: 

·     Three names, address and phone, and email address. 

·     The names of the person against whom the report is filed (concerned person) and his workplace, if the report is filed against specific persons and they are known;

·     Specific data on a breach or on a real danger that it will be committed; place and period of commission of the violation, if such was committed; description of the act or situation and other circumstances, as far as they are known to the reporting person;

·     Date of submission of the report;

·     Signature, electronic signature or other identification of the reporting person;

·     The report must also include any kind of sources of information supporting the statements in the report, including documents, indication of persons who could confirm the information or to provide additional information.

5.4.2. When the report is submitted orally, the person under item 5.4.3 shall fill out the template – Enclosure No. 1, shall provide it for verification of the content to the reporting person, after which the reporting person shall sign it. The oral report shall be documented by filling in the specified form by the officer responsible for handling the reports, who shall invite the person submitting the report to check, correct and approve it by signing it. With the express consent of the person submitting the report, the verbal report submitted via a telephone line or other voice messaging system or through a personal meeting may also be documented by recording it on a durable medium allowing its retrieval.

5.4.3. The reports shall be processed and checked by a person, designated by the Company with an order of the Managing Director.  

5.4.4. The reports will not be processed in the following cases: 

a) the report does not fall within the material scope of the Act and the Internal Rules; 

b) the content of the report gives no reason for credibility of the report; 

c) the report contains obviously false or misleading statements, which are not corrected even after the reporting person being notified by the Company; 

d) the report is anonymous.

Art. 5.5. The Company shall organize the processing of reports in accordance with PPRBPDIBA.

5.5.1. Employees, responsible for processing the reports, shall confirm the receipt of the report within 7 days after receiving it.

5.5.2. In the event that the report does not meet the requirements of the Act, the reporting person shall be notified and instructed to correct the irregularities within a 7-day term as of receipt of the report. If the irregularities are not corrected within term as indicated by the Company, the report, together with its attachments, shall be returned to the reporting person and the procedure will be terminated.

5.5.3. Within 3 (three) months after confirmation of receipt of the report, The Company shall provide feedback to the reporting person with information on the follow-up actions or if no confirmation has been sent to the reporting person, after the expiry of no more than three months, counting from the expiry of the period under item 5.5.1.

Art. 5.6. The person under item 5.4.3., respectively the Company, may take any of the follow-up actions, which will depend on the specific case:

a) Keeps contact with the reporting person, in case there is contact data;

b) Upon their discretion, can require additional information on the report by the reporting person; 

a) Takes action to stop the breach or prevent it if it has not started;

b) Directs the reporting person to the competent authorities, when his rights are affected;

c) Forwards the report to CPDP, if it is necessary to take action on his part, and the reporting person shall be notified in advance of the forwarding;

In case the reporting person is an employee of the Company, the person under item 5.4.3 above shall direct the reporting person to simultaneous reporting to CPDP.

d) Shall terminate the procedure in the following cases: 

• when the breach, for which the report was filed, is a minor case and does not require additional follow-up actions; 

In this case, the reporting person may file a report to CPDP.

• on a repeated signal that does not contain new information of essential importance for a breach, in respect of which there is already a completed investigation, unless new legal or factual circumstances justify the taking of subsequent actions. 

In this case, the reporting person may file a report to CPDP.

• when data on a committed crime is established; 

In this case, the report and the materials to it shall be sent immediately to the prosecutor's office.

·       when the violation for which the report was submitted is a minor case and does not require additional follow-up actions; when, with respect to the violation, the time limits provided for in the relevant law for initiating administrative or criminal proceedings have expired, respectively, the administrative or criminal liability has been extinguished due to the expiration of the statute of limitations provided for in the relevant law; the closure does not affect other obligations or applicable procedures in relation to the violation for which the report was submitted, nor the protection under this law with respect to internal or external reporting.

Art. 5.8. After the completion of the internal check, the person under item 5.4.3 shall draft a report, which will briefly outline the information from the report, the follow-up actions taken, the final results of the report internal check-in. This final report, together with the reasons, shall be send to the reporting person and to the concerned person.

Art. 5.9. Every report shall be registered in Internal register of the reports of the Company, which is not public.

6. EXTERNAL REPORTING

Art. 6.1. External reporting shall be done in front of the national authority for processing of reports – Commission on Personal Data protection. 

Art. 6.2. Persons filing reports or publicly disclosing information about violations may choose the reporting method - 1). through internal channel only, 2). only through an external channel or 3). through internal and external channel simultaneously.

Art. 6.3. The reports shall be submitted to the following link:

https://www.cpdp.bg/?p=pages&aid=70

whereas the reporting person should fill in the form – Enclosure No 1 to the Internal Rules. 

Art. 6.4. For more detailed information the reporting persons can refer to the website of CPDP: www.cpdp.bg.

7. PROTECTION MEASURES

Art. 7.1. Any form of retaliation, in the form of repression and positioning the persons in a disadvantageous position, as well as threats or attempts of such actions, are prohibited, including in the form of:

7.1.1. temporary suspension, dismissal or application of another ground for termination of the legal relationship under which a person is employed;

7.1.2. demotion or withholding of promotion;

7.1.3. change in the place or nature of work, the duration of working hours or a reduction in wages;

7.1.4. withholding of training to maintain and increase the professional qualification of the employee;

7.1.5. negative performance assessment of work, including in a employment reference;

7.1.6. imposition of financial penalty and or disciplinary liability, including imposition of disciplinary penalties;

7.1.7. coercion, rejection, threat of retaliation or actions of in physical, verbal or in any way, which aim to harm the dignity of the person and create a hostile professional environment;

7.1.8. direct or indirect discrimination, disadvantageous or unfair treatment;

7.1.9. failure to convert a temporary employment contract into a permanent one, where the employee had legitimate expectations that he or she would be offered permanent employment;

7.1.10. early termination of, a temporary employment contract or failure to renew a temporary employment contract when such is permissible by law;

7.1.11. harm, including to the person's reputation, particularly in social media, or financial loss, including loss of business and loss of income;

7.1.12. blacklisting on the basis of a sector or industry-wide informal or formal agreement, which may entail that the person will not, in the future, find employment in the sector or industry;

7.1.13. early termination or cancellation of a contract for goods or services;

7.1.14. cancellation of a license or permit;

7.1.15. psychiatric or medical referrals.

8. PRIVACY AND PROCESSING OF PERSONAL DATA

Art. 8.1. The Company shall ensure the protection of whistleblower information and the protection of the whistleblower's identity including: 

8.1.1. Any processing of personal data carried out pursuant to these Rules, including the exchange or transmission of personal data, shall be carried out in accordance with Regulation (EU) 2016/679 and Directive (EU) 2016/680, the Personal Data Protection Act, the applicable legislation regulating the Company's activities, as well as the Company's personal data protection policy, which can be found at http://kwbulgaria.com/.

8.1.2. No personal data is collected that is clearly not relevant to the consideration of a specific signal, and if it is accidentally collected, it is deleted without undue delay.

8.1.3. We do not collect personal data that is obtained illegally or when it is no longer necessary.

8.1.4. Only the persons responsible for processing the reports have access to the personal data of the persons related to the report. Personal data may be disclosed in accordance with applicable law.

8.1.5. Categories of personal data processed on the occasion of the submission of reports:

a) full names of the reporting person;

b) contact details of the reporting person: telephone and e-mail;

c) names of the concerned person and his/her working place; 

d) other data, collected and necessary in relation to the processing of the report. 

Art. 8.2. The processed personal data shall be kept electronically and/or paper, depending on the way of submission of the report. 

8.2.1. Paper carriers of personal data are kept in a separate archive, with limited access only to the employees responsible for processing the reports.

8.2.2. A separate file is created for each case, which is kept in a binder, and the binder is kept by the employee responsible for processing the reports.

8.2.3. The employee responsible for processing the reports is obliged not to distribute or share information that became known to him/her during and on the occasion of processing the reports. The sharing of information shall be done in compliance with the provisions of the Act and the Directive.

8.2.4. The person responsible for processing the reports has no right to leave documents and media related to the report unattended at his/her workplace. 

8.2.5. Data on electronic media shall be processed by the employee responsible for processing reports only on his/her work computer.

8.2.6. The employee creates an electronic file in an electronic folder to which only he/she has access. The electronic folder is protected by a password created by the employee. 

8.2.7. The work computer of the person responsible for processing the reports shall be automatically locked when not in use by the employee. 

8.2.8. In the event of a personal meeting with the reporting person, the meetings shall be held only in the presence of the reporting person and the person responsible for processing the reports. 

Art. 8.3. The signals and the data processed in connection with them are stored for a period of 5 years, counted from the date of the opinion on the measures taken and/or counted from the date of completion of administrative proceedings or judicial proceedings, or for a period longer than that when Law or another normative act of the Bulgarian legislation requires this. In the event that the report does not meet the requirements introduced by the Act and its deficiencies have not been remedied in time, as well as when the report does not contain data on breaches, the data is deleted immediately after the opinion of the person responsible for receiving the reports.

8.3.1. After the expiration of the storage period, the data shall be destroyed.

Art. 8.4. The disclosure of the identity of the whistleblower and the information related to the submitted violation report is permitted only with the express written consent of the whistleblower, except in cases where this is a necessary and proportionate obligation imposed by Bulgarian legislation or the law of the European Union in the context of investigations by CPDP or legal proceedings, including with a view to guaranteeing the right of defence of the person concerned.

8.4.1. In these cases, the Company will notify the whistleblower of the need for disclosure with a written, motivated notification. The whistleblower is not notified when the investigation or legal proceedings are jeopardized.

9. CLOSING PROVISIONS

§ 1. These Internal Rules have been adopted by Order No WBD_SCR/01.12.2025 by the Managing Director of "SOFIA CENTER REALTY" EOOD.

§ 2. Amendments and supplements to the Internal Rules shall be made in the order of their adoption.

§ 3. An integral part of the Internal Rules is:

Enclosure No 1 – template of a report, approved by CPDP. 

§ 4. These internal rules have been adopted and are mandatory for application by all associated members, associates, natural and legal persons and all other persons in contractual relations with "SOFIA CENTER REALTY" EOOD.

4.1. "SOFIA CENTER REALTY" EOOD has the right to amend these internal rules at any time, and with their publication, respectively. publication of their update, on the company's website, they are considered publicly disclosed, respectively all persons referred to in the previous point are considered notified and familiar with them and their content.

4.2. The persons under paragraph 4 are obliged to bring to the attention of their employees, contractors, subcontractors, etc. the provisions and updates of these internal rules.

ВЪТРЕШНИ ПРАВИЛА 

за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения

1. ВЪВЕДЕНИЕ

Нормативно основание и цел

Чл. 1.1. Настоящите Вътрешни правила за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения („Вътрешни правила“ или „Правила“) се приемат на основание чл. 13 и сл. от Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения („Законът“ или ЗЗЛПСПОИН). 

Чл. 1.2. Целта на Правилата е да определи процедурата за подаване и оценка на вътрешния сигнал за нарушение, както и условията за осигуряване на защита на лицата, които подават сигнали или публично оповестяват информация за нарушения на българското законодателство или на актове на Европейския съюз, станала им известна при или по повод изпълнение на трудовите или служебните им задължения или в друг работен контекст.

Задължен субект 

Чл. 1.3. Задълженият субект по смисъла на чл. 12, ал. 1, т. 3 от Закона, е дружеството „СОФИЯ ЦЕНТЪР РЕАЛТИ“ ЕООД, с ЕИК 208573858, със седалище и адрес на управление: гр. София, ул. "Московска" № 27, вх. А, ет. 1, ап. 4 („Дружество“).

Дефиниции

Чл. 1.4. По смисъла на Вътрешните правила следните понятия ще имат смисъла, съгласно ЗЗЛПСПОИН, както следва:

а) „нарушения“ означава действия или бездействия, които са незаконосъобразни и/или противоречат на българското законодателство или актовете а Европейския съюз в областите, посочени в чл. 3 от ЗЗЛПСПОИН, или противоречат на предмета или целта на правилата в актовете на Европейския съюз и областите, посочени в чл. 3 от ЗЗЛПСПОИН.

б) „информация за нарушения“ означава информация, включително основателни подозрения, за действителни или потенциални нарушения, които са извършени или е много вероятно да бъдат извършени в структурата на Дружеството, както и за опити за прикриване на нарушения.

в) „работен контекст“ означава настоящи или минали работни дейности, чрез които, независимо от тяхното естество, лицата получават информация за нарушения и в рамките на които тези лица могат да бъдат подложени на репресивни ответни действия, ако подадат такава информация.

г) „сигнализиращо лице“ означава физическо лице, което подава сигнал или публично оповестява информация за нарушения, получена в контекста на свързаните с неговата работа дейности.

д) „засегнато лице“ означава физическо или юридическо лице, което се посочва при подаването на сигнала или при публичното оповестяване на информация като лице, на което се приписва нарушението или с което това лице е свързано.

е) „последващи действия“ означава всяко действие, предприето от лицето, приемащо сигнал, или от компетентен орган, с цел оценка на точността на представените в сигнала твърдения и по целесъобразност с цел третиране на сигнализираното нарушение, включително чрез действия като вътрешна анкета, разследване, наказателно преследване, действия за обезпечаване на средства или приключване на процедурата.

ж) „обратна информация“ означава предоставянето на сигнализиращото лице на информация за действието, което е предвидено или е вече предприето като последващо действие, както и за основанията за въпросното последващо действие.

з) „ответни действия“ означава всяко пряко или непряко действие или бездействие, което настъпва в работен контекст, предизвикано е от вътрешно или външно подаване на сигнал или от публично оповестяване, и което причинява или може да причини неоправдана вреда на сигнализиращото лице.

и) „външно подаване на сигнал“ означава устно или писмено съобщаване на информация за нарушения на компетентните органи.

й) „вътрешно подаване на сигнал“ означава устно или писмено съобщаване на информация за нарушения в рамките на Дружеството. 

к) „Компетентен орган“, на който е възложено да получава сигнали по ЗЗЛПСПОИН, е Комисията за защита на личните данни (КЗЛД): 

https://www.cpdp.bg/ - линк към електронната страница на КЗЛД 

https://www.cpdp.bg/?p=pages&aid=70 – линк към портала за подаване на сигнал 

адрес: София 1592, бул. „Проф. Цветан Лазаров” № 2

2. ПРИЛОЖНО ПОЛЕ

Чл. 2.1. Вътрешните правила се прилагат относно лица, които подават сигнали за нарушения в следните области (доколкото те имат отношение към дейността на Дружеството): 

2.1.1. Нарушения на българското законодателство или на актове на Европейския съюз в областта на:

а) обществените поръчки;

б) финансовите услуги, продукти и пазари и предотвратяването на изпирането на пари и финансирането на тероризма;

в) безопасността и съответствието на продуктите;

г) безопасността на транспорта;

д) опазването на околната среда;

е) радиационната защита и ядрената безопасност;

ж) безопасността на храните и фуражите, здравето на животните и хуманното отношение към тях;

з) общественото здраве; 

и) защитата на потребителите;

й) защитата на неприкосновеността на личния живот и личните данни;

к) сигурността на мрежите и информационните системи.

л) Нарушения, които засягат финансовите интереси на Европейския съюз по смисъла на чл. 325 от Договора за функционирането на Европейския съюз;

м) Нарушения на правилата на вътрешния пазар по смисъла на чл. 26, параграф 2 от Договора за функционирането на Европейския съюз, включително правилата на Европейския съюз и българското законодателство относно конкуренцията и държавните помощи;

н) Нарушения, свързани с трансгранични данъчни схеми, чиято цел е да се получи данъчно предимство, което противоречи на предмета или на целта на приложимото право в областта на корпоративното данъчно облагане.

о) Извършено престъпление от общ характер, за което лицето е узнало във връзка с извършване на своята работа или при изпълнение на служебните си задължения.

2.1.2. Нарушения на българското законодателство в областта на:

а) правилата за заплащане на дължими публични държавни и общински вземания; 

б) трудовото законодателство;

в) законодателството, свързано с изпълнението на държавна служба.

3. ЛИЧЕН ОБХВАТ. 

СИГНАЛИЗИРАЩИ ЛИЦА, НА КОИТО СЕ 

ПРЕДОСТАВЯ ЗАЩИТА

Чл. 3.1. Вътрешните правила се отнасят до следните категории сигнализиращи лица: 

3.1.1. работник по смисъла на член 45, параграф 1 от Договора за функционирането на Европейския съюз, включително работник, служител, държавен служител или друго лице, което полага наемен труд, независимо от характера на работата, от начина на заплащането и от източника на финансирането; 

3.1.2. работник или служител, както и всяко друго от изброените по този член лица, получили информацията в рамките на трудово, служебно или друго правоотношение в работен контекст, което е прекратено към момента на подаване на сигнала или на публичното оповестяване;

3.1.3.  лице, чието трудово или служебно правоотношение предстои да започне, или лице, което предстои да сключи договор за предоставяне на всякакъв вид услуга, в случаите, в които информацията относно нарушенията е получена по време на процеса на подбор или други преддоговорни отношения;

3.1.4. съдружници, членове на управителен или контролен орган на Дружеството;

3.1.5. лица, които работят за физическо или юридическо лице, негови подизпълнители или доставчици на Дружеството;

3.1.6. платен или неплатен стажант;

3.1.7. всякакви други сигнализиращи лица, които подават сигнал за нарушение, станало им известно в работен контекст.

4. УСЛОВИЯ ЗА ЗАЩИТА

Чл. 4.1. Сигнализиращото лице, независимо дали подава сигнал чрез вътрешен или външен канал, има право на защита, при условие че:

4.1.1. е имало основателна причина да счита, че подадената информация за нарушението в сигнала е била вярна към момента на подаването и че тази информация попада в обхвата на Закона; и

4.1.2. е подало сигнал за нарушение при условията и по реда на Закона и на Вътрешните правила.

5. ВЪТРЕШНО ПОДАВАНЕ НА СИГНАЛ. ПОСЛЕДВАЩИ ДЕЙСТВИЯ

Чл. 5.1. В качеството си на задължен субект по чл. 12 от ЗЗЛПСПОИН Дружеството създава канал за вътрешно подаване на сигнали за нарушения.  

Чл. 5.2. Сигнализиращите лица могат да подават сигнал чрез вътрешния канал за подаване на сигнали за нарушения, при спазване на условията, описани във Вътрешните правила и Закона. 

Чл. 5.3. Вътрешното подаване на сигнал не лишава сигнализиращото лице от право да подаде сигнал и до компетентния орган – КЗЛД, посредством външния канал за подаване на сигнал. 

Чл. 5.4. Сигнализиращото лице може да подаде сигнал чрез електронно съобщение до следната електронна поща: Compliance@first.bg или устно (по телефона или чрез лична среща с лицето по т. 5.4.3.).

5.4.1. Електронното съобщение трябва да съдържа надлежно попълнен формуляр за подаване на сигнали, по образец – Приложение № 1 към настоящите Вътрешни правила, съдържащи минимум следната информация: 

·     Три имена, адрес и телефон, както и електронен адрес. 

·     Имената на лицето, срещу което се подава сигналът (засегнато лице), и неговата месторабота, ако сигналът се подава срещу конкретни лица и те са известни;

·     Конкретни данни за нарушение или за реална опасност такова да бъде извършено; място и период на извършване на нарушението, ако такова е извършено; описание на деянието или обстановката и други обстоятелства, доколкото такива са известни на сигнализиращото лице;

·     Дата на подаване на сигнала;

·     Подпис, електронен подпис или друга идентификация на сигнализиращото лице;

·     Към сигнала трябва да са приложени всякакъв вид източници на информация, подкрепящи изложените в сигнала твърдения, включително документи, посочване на данни на лица, които могат да потвърдят информация или да предоставят допълнителна информация.

5.4.2. Когато сигналът се подава устно, лицето по т. 5.4.3 попълва формуляра – Приложение № 1,предоставя го за проверка на съдържанието на сигнализиращото лице, след което сигнализиращото лице го подписва. Устният сигнал се документира чрез попълване на посочения формуляр от служителя, отговарящ за разглеждането на сигнали, който предлага на подаващия сигнала да го провери, коригира и одобри, като го подпише. При изрично съгласие на лицето, подаващо сигнала, устният сигнал, подаден чрез телефонна линия или друга система за гласови съобщения или чрез лична среща, може да бъде документиран и посредством запис на траен носител, позволяващ неговото извличане.

5.4.3. Сигналите се обработват и проверяват от лице, натоварено от Дружеството със заповед на управителя.

5.4.4. Не се разглеждат сигнали в следните случаи: 

а) сигналът не попада в обхвата на Закона или Вътрешните правила;

б) съдържанието на сигнала не дава основание да се приеме за правдоподобен;

в) сигналът съдържа очевидно неверни или заблуждаващи твърдения за факти, които не са коригирани, дори и след указание от страна на Дружеството;

г) сигналът е анонимен.

Чл. 5.5. Дружеството организира процеса по обработване на сигнала съгласно изискванията на ЗЗЛПСПОИН.  

5.5.1. Служител, отговарящ за разглеждането на сигнали, потвърждава получаването на сигнала в 7-дневен срок след получаването му.

5.5.2. В случай че сигналът не отговаря на изискванията на Закона, на сигнализиращото лице се изпраща съобщение с указание за отстраняване на допуснатите нередности в 7-дневен срок от получаване на сигнала. Ако нередовностите не бъдат отстранени в посочения от Дружеството срок, сигналът, заедно с приложенията към него, се връщат на сигнализиращото лице и процедурата се прекратява.

5.5.3. В срок до 3 (три) месеца след потвърждаване на получаването на сигнала, Дружеството предоставя обратна информация на подателя на сигнала за предприетите последващи действия или ако не е било изпратено потвърждение на сигнализиращото лице, след изтичането на не повече от три месеца, считано от изтичане на срока по т. 5.5.1.

Чл. 5.6. Лицето по т. 5.4.3., съответно Дружеството, може да предприеме някое от следните последващи действия, които зависят от конкретния случай: 

а) Поддържа връзка със сигнализиращото лице, когато разполага с данни за контакт;

б) По своя преценка може да изисква допълнителна информация по сигнала от сигнализиращото лице;

а) Предприема действия по преустановяване на нарушението или предотвратяването му, ако то не е започнало; 

б) Насочва сигнализиращото лице към компетентните органи, когато се засягат неговите права;

в) Препраща сигнала на КЗЛД, при необходимост от предприемане на действия от негова страна, като за препращането сигнализиращото лице се уведомява предварително; 

В случай че сигнализиращото лице е служител на Дружеството, служителят по т. 5.4.3 по-горе насочва сигнализиращото лице към едновременно сигнализиране на КЗЛД.

г) Прекратява проверката в следните случаи:

·       когато нарушението, за което е подаден сигналът, е маловажен случай и не налага предприемането на допълнителни последващи действия; 

В този случай сигнализиращото лице може да подаде сигнал до КЗЛД.

·       по повтарящ се сигнал, който не съдържа нова информация от съществено значение за нарушение, по отношение на което вече има приключила проверка, освен ако нови правни или фактически обстоятелства не дават основание за предприемането на последващи действия. 

В този случай сигнализиращото лице може да подаде сигнал до КЗЛД.

·       когато се установят данни за извършено престъпление; 

В този случай сигналът и материалите към него се изпращат незабавно на прокуратурата.

·       когато нарушението, за което е подаден сигналът, е маловажен случай и не налага предприемането на допълнителни последващи действия; когато по отношение на нарушението предвидените в съответния закон срокове за образуване на административнонаказателно или наказателно производство са изтекли, съответно административнонаказателната или наказателната отговорност е погасена поради изтичане на предвидената в съответния закон давност; приключването не засяга други задължения или приложими процедури във връзка с нарушението, за което е подаден сигнал, нито защитата по този закон по отношение на вътрешното или външното подаване на сигнали.

Чл. 5.8. След приключване на проверката служителят по т. 5.4.3. изготвя индивидуален доклад, в който се описва на кратко информацията от сигнала, предприетите действия, окончателните резултати от проверката по сигнала. Този финален доклад, заедно с мотивите, се съобщават на сигнализиращото лице и на засегнатото лице. 

Чл. 5.9. Всеки подаден сигнал се регистрира във Вътрешен регистър на сигналите на Дружеството, който не е публичен. 

6.  ВЪНШНО ПОДАВАНЕ НА СИГНАЛИ

Чл. 6.1. Външно подаване на сигнал се извършва пред националния орган за външно подаване на сигнали и за защита на лицата – Комисия за защита на личните данни. 

Чл. 6.2. Лицата, подаващи сигнали или публично оповестяващи информация за нарушения, могат да избират начина за сигнализиране – 1). само чрез вътрешен канал, 2). само чрез външен канал или 3). чрез вътрешен и външен канал едновременно.

Чл. 6.3. Сигналите може да се подават на следния линк: 

https://www.cpdp.bg/?p=pages&aid=70

като подаващият сигнала трябва да попълни формата – Приложение № 1 от Вътрешните правила. 

Чл. 6.4. По-детайлна информация лицата може да намерят на сайта на КЗЛД – www.cpdp.bg.

7. МЕРКИ ЗА ОСИГУРЯВАНЕ НА ЗАЩИТА

Чл. 7.1. Забранява се всяка форма на ответни действия, имащи характер на репресия и поставящи лицата в неблагоприятно положение, както и заплахи или опити за такива действия, включително под формата на:

7.1.1.     временно отстраняване, уволнение или прилагане на друго основание за прекратяване на правоотношението, по което лице полага наемен труд;

7.1.2. понижаване в длъжност или забавяне на повишение в длъжност;

7.1.3.     изменение на мястото или характера на работата, продължителността на работното време или намаляване на възнаграждението;

7.1.4.     отказ за осигуряване на обучение за поддържане и повишаване на професионалната квалификация на служителя;

7.1.5.     отрицателна оценка на работата, включително в препоръка за работа;

7.1.6.     прилагане на имуществена и/или дисциплинарна отговорност, включително налагане на дисциплинарни наказания;

7.1.7.     принуда, отхвърляне, заплашване за предприемане на ответни действия или действия, изразени физически, словесно или по друг начин, които имат за цел накърняване на достойнството на лицето и създаване на враждебна професионална среда;

7.1.8.     пряка или непряка дискриминация, неравностойно или неблагоприятно третиране;

7.1.9. отнемане на възможност за преминаване от срочен трудов договор на трудов договор за неопределено време, когато работникът или служителят е имал законно право да му бъде предложена постоянна работа;

7.1.10.    предсрочно прекратяване на срочен трудов договор или отказ за повторно сключване, когато такова е допустимо по закон;

7.1.11.    вреди, включително за репутацията на лицето, по-специално в социалните мрежи, или финансови загуби, включително загуба на бизнес и загуба на доход;

7.1.12. включване в списък, изготвен въз основа на официално или неофициално споразумение, в сектор или в отрасъл, което може да доведе до това лицето да не може да постъпи на работа или да не може да достави стока или услуга в този сектор или отрасъл (черен списък);

7.1.13.    предсрочно прекратяване или разваляне на договор за доставка на стоки или услуги, когато лицето е доставчик;

7.1.14.    прекратяване на лиценз или разрешение;

7.1.15.    насочване на лицето към извършване на медицински преглед.

8. ПОВЕРИТЕЛНОСТ И ОБРАБОТВАНЕ НА ЛИЧНИ ДАННИ

Чл. 8.1. Дружеството взема мерки за защитата на информацията, свързана с подадените сигнали за нарушения и за защита на самоличността на сигнализиращите лица, включително:

8.1.1. Всяко обработване на лични данни, извършено по силата на настоящите Правила, включително обмен или предаване на лични данни, се извършва в съответствие с Регламент (ЕС) 2016/679 и Директива (ЕС) 2016/680, Закона за защита на личните данни, приложимото законодателство, регулиращо дейността на Дружеството, както и политиката за защита на личните данни на Дружеството, която може да бъде намерена на http://kwbulgaria.com/.

8.1.2. Не се събират лични данни, които явно не са от значение за разглеждането на конкретен сигнал, а ако бъдат случайно събрани, се заличават без ненужно забавяне.

8.1.3. Не се събират лични данни, които са получени неправомерно или с отпаднала необходимост. 

8.1.4. Достъп до личните данни на лицата, свързани със сигнала, имат единствено лицата, които отговарят за обработване на сигналите. Личните данни могат да се разкриват в съответствие в приложимото законодателство. 

8.1.5. Категории лични данни, обработвани по повод подаването на сигнали:

а) пълни имена на лицето, подаващо сигнала;

б) Данни за контакт на лицето, подаващо сигнала: адрес, телефон и електронен адрес;

в) Имена на лицето, срещу което се подава сигнала и неговата месторабота;

г) Други данни, събрани и необходими във връзка с разследване на сигнала.

Чл. 8.2. Обработваните лични данни се съхраняват на електронен и/или хартиен носител, в зависимост от начина на подаване на сигнала. 

8.2.1. Хартиените носители на лични данни се съхраняват в отделен архив, с ограничен достъп само за служителя, отговорен за обработване на сигналите.

8.2.2. За всеки случай се създава отделно досие, което се прибира в класьор и класьорът се прибира от служителя, отговорен за обработване на сигналите.

8.2.3. Служителят, отговорен за обработване на сигналите, е длъжен да не разпространява и да не споделя информация, станала му известна при и по повод обработване на сигналите. Споделянето на информацията се извършва при спазване на разпоредбите на Закона и Директивата.

8.2.4. Лицето, отговорно за обработване на сигналите, няма право да оставя на работното си място без надзор документи и носители на информация, свързани с подадения сигнал. 

8.2.5. Данните на електронни носители се обработват от служителя, отговорен за обработване на сигналите, само на служебния му компютър. 

8.2.6. Служителят създава електронно досие в електронна папка, до която само той има достъп. Електронната папка е защитена с парола, създадена от служителя. 

8.2.7. Служебният компютър на лицето, отговорно за обработване на сигналите, се заключва автоматично, в случай, че не се използва от служителя. 

8.2.8. В случай на лична среща със сигнализиращото лице, срещите се провеждат само в присъствието на сигнализиращия и лицето, отговорно за обработване на сигнали.

Чл. 8.3. Сигналите и обработваните данни във връзка с тях, се съхраняват за срок от 5 години, считано от датата на становището за предприетите мерки и/или считано от датата на приключване на административно производство или съдебно производство или за срок по-дълъг от този, когато Закон или друг нормативен акт от българското законодателство изисква това. В случай, че сигналът не отговаря на изискванията, въведени със Закона и неговите недостатъци не са отстранени в срок, както и когато сигналът не съдържа данни за нарушения, данните се заличават веднага след становището на лицето, отговарящо за приемане на сигналите.

8.3.1. След изтичане на срока за съхранение, данните се унищожават.

Чл. 8.4. Разкриването на самоличността на сигнализиращото лице и на информацията, свързана с подадения сигнал за нарушение, се допуска само при изрично писмено съгласие на сигнализиращото лице, освен в случаите, когато това е необходимо и пропорционално задължение, наложено от българското законодателство или от правото на Европейския съюз в контекста на разследвания от КЗЛД или на съдебни производства, включително с оглед на гарантиране правото на защита на засегнатото лице.

8.4.1. В тези случаи Дружеството ще уведоми сигнализиращото лице за необходимостта от разкриването му с писмено мотивирано уведомление. Сигнализиращото лице не се уведомява, когато с това се застрашава разследването или съдебното производство.

9. ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ

§ 1. Настоящите Вътрешни правила са приети със Заповед № WBD_SCR/01.12.2025 г. от управителя на "СОФИЯ ЦЕНТЪР РЕАЛТИ" ЕООД.

§ 2. Изменения и допълнения на Вътрешните правила се извършват по реда на тяхното приемане.

§ 3. Неразделна част от Вътрешните правила е: 

Приложение № 1 – образец за подаване на сигнал, одобрен от КЗЛД. 

§ 4. Настоящите вътрешни правила са приети и са задължителни за прилагане от всички асоциирани членове, сътрудници, физически и юридически лица и всички други лица в договорни отношения със "СОФИЯ ЦЕНТЪР РЕАЛТИ" ЕООД. 

4.1. "СОФИЯ ЦЕНТЪР РЕАЛТИ" ЕООД има право да изменя настоящите вътрешни правила във всеки един момент, като с публикуването им, съотв. публикуването на тяхната актуализация, на интернет страницата на дружеството, същите се считат за публично оповестени, респ. всички лица, посочени в предходната точка се считат за уведомени и запознати с тях и с тяхното съдържание.

4.2. Лицата по параграф 4 се задължават да сведат до знанието на своите служители, изпълнители, подизпълнители и т.н. разпоредбите и актуализациите на настоящите вътрешни правила.