Політика конфіденційності

Ця Політика пояснює, які персональні дані обробляє сервіс Evimarko (evimarko.com), навіщо, на яких підставах, кому вони передаються, скільки зберігаються і які права мають люди, чиї дані обробляються. Політика складена відповідно до Закону України «Про захист персональних даних» (далі — Закон) та Регламенту (ЄС) 2016/679 (General Data Protection Regulation, далі — GDPR).

1. Хто обробляє дані

1. Володілець (controller) даних відвідувачів сайту, користувачів Сервісу (студій та їх співробітників) і магазинів Маркету — [реквізити буде вказано], ІПН / код ЄДРПОУ [реквізити буде вказано], адреса: [реквізити буде вказано], email: [email protected] (далі — «Evimarko», «ми»).
2. Щодо даних клієнтів студій (людей, які записуються до студії або дані яких студія вносить у CRM) володільцем є відповідна студія, а Evimarko — розпорядником (processor), який обробляє дані лише за дорученням студії згідно з Договором обробки даних. З питаннями щодо таких даних спершу звертайтеся до студії; ми допоможемо студії виконати ваш запит.

2. Які дані ми обробляємо і навіщо

2.1. Відвідувачі сайту

• Технічні дані: IP-адреса, тип браузера й пристрою, адреса сторінки, час запиту — у журналах сервера для роботи сайту, захисту від атак і зловживань. Підстава: законний інтерес (ст. 11 Закону; ст. 6(1)(f) GDPR).
• Статистика відвідувань — якщо підключено, використовується аналітика без cookie (Plausible або Umami), яка рахує відвідування в агрегованому вигляді й не ідентифікує конкретну людину. Підстава: законний інтерес.
• Дані з форм: звернення в підтримку, відгук у каталозі (ім’я, телефон для перевірки — не публікується, текст, оцінка, IP), запит власника про зміну чи видалення картки в каталозі (контакт, причина). Підстава: ваша згода та законний інтерес у модерації і захисті від фейків.

2.2. Користувачі Сервісу (студії та їх співробітники)

• Обліковий запис: ім’я, email, телефон, пароль (зберігається лише у вигляді хешу), роль, мова, часовий пояс, налаштування, дані для двофакторної автентифікації.
• Дані студії: назва, адреса, контакти, реквізити, логотип, тариф і історія оплат (сума, дата, статус; дані платіжних карток ми не отримуємо — їх обробляє платіжний сервіс).
• Журнали: входи (IP-адреса, час), журнал дій у CRM, журнал згод з документами (хто, коли, IP, редакція документа).
• Підтримка: листування, знімки екрана, які ви надсилаєте.

Мета: укладення й виконання договору (надання Сервісу, оплата, підтримка), безпека облікових записів, виконання вимог закону (бухгалтерський і податковий облік), доказ акцепту умов. Підстави: договір (ст. 11 Закону; ст. 6(1)(b) GDPR), обов’язок за законом (ст. 6(1)(c)), законний інтерес (ст. 6(1)(f)).

2.3. Клієнти студій (Evimarko — розпорядник)

• Ім’я, телефон, email, мова; автомобіль (марка, модель, рік, держномер, VIN, пробіг); адреса виїзду; історія записів і замовлень, кошториси, суми й оплати; фото автомобіля й пошкоджень, акти приймання з підписом; гарантії; листування в месенджерах і на сторінках онлайн-запису; за інтеграції з телефонією — дані дзвінків; нотатки студії.
• Мета й підстави визначає студія як володілець (як правило — виконання договору з клієнтом, згода клієнта, законний інтерес студії). Evimarko обробляє ці дані виключно для надання Сервісу студії.
• Під час онлайн-запису ми фіксуємо час, IP-адресу та редакцію цієї Політики, з якою ознайомили клієнта.

2.4. Магазини Маркету

Ім’я та контакти представника, назва, реквізити (ЄДРПОУ / ІПН), документи для перевірки, товари, замовлення, рахунки комісії, відгуки. Підстави: договір (Оферта Маркету), обов’язок за законом, законний інтерес у перевірці продавців. Дані Маркету зберігаються в окремій базі даних.

2.5. Каталог студій

Публічні відомості про студії (назва, адреса, публічний телефон, сайт, соцмережі, години роботи), отримані від самих студій або з відкритих джерел. Якщо студія — ФОП, ці відомості можуть бути персональними даними. Підстава: законний інтерес в інформуванні про послуги (ст. 6(1)(f) GDPR); власник має право вимагати зміни чи видалення — див. Правила каталогу.

3. Кому ми передаємо дані

Ми не продаємо персональні дані і не передаємо їх для реклами. Дані можуть отримувати лише:

• хостинг-провайдер — сервери розташовані в Європейському Союзі (Польща); провайдер зберігає зашифровані резервні копії;
• сервіс поштових розсилок — для службових листів (відновлення пароля, повідомлення);
• платіжні сервіси — monobank (АТ «Універсал Банк»), LiqPay (АТ КБ «ПриватБанк»), Heleket — для оплати тарифів; вони діють як самостійні володільці за своїми політиками;
• месенджери і соцмережі — Telegram, Viber, Meta (WhatsApp, Instagram, Facebook) — лише якщо студія підключила відповідний канал; повідомлення проходять через їхні сервери за їхніми правилами;
• сервіси, які студія підключає сама: фіскалізація (Checkbox), SMS-шлюзи, телефонія, служби доставки (Нова пошта — для Маркету), вебхуки та API;
• шрифти й карти: сайти студій можуть завантажувати шрифти Google Fonts (Google отримує IP-адресу відвідувача); посилання на Google Maps / Waze відкриваються лише після вашого натискання;
• державні органи — лише на законну вимогу;
• правонаступник — у разі передачі Сервісу іншій особі з повідомленням користувачів.

Частина цих сервісів може обробляти дані за межами Європейського економічного простору (ЄЕП) та України (наприклад, у США). У таких випадках передача здійснюється на підставі рішення про адекватність (зокрема EU-U.S. Data Privacy Framework), стандартних договірних положень ЄС або тому, що вона необхідна для виконання договору чи здійснюється за вашим запитом (ст. 29 Закону; глава V GDPR).

4. Скільки зберігаються дані

• Дані облікового запису і Дані студії — протягом дії договору та 30 днів після його припинення (для вивантаження), потім видаляються; резервні копії — ще до 30 днів.
• Дані клієнтів студій — доки їх зберігає студія; після припинення договору зі студією — як зазначено вище.
• Платіжні й бухгалтерські документи — строк, визначений податковим законодавством (не менше 1095 днів).
• Журнал згод і листування щодо претензій — протягом дії договору і 3 роки після нього (строк позовної давності).
• Журнали сервера — не довше 90 днів, якщо вони не потрібні для розслідування інциденту.
• Відгуки каталогу — доки опубліковані; телефон автора — до завершення модерації, але не довше 1 року.

5. Cookie та локальне сховище

Ми використовуємо лише необхідні cookie, без яких сайт не працює, тому банер згоди не потрібен:

• cookie сесії — щоб ви залишалися в системі (видаляється після закриття сесії / виходу);
• XSRF-TOKEN — захист форм від підробки запитів;
• remember_web_… — лише якщо ви обрали «Запам’ятати мене».

Рекламних і аналітичних cookie ми не встановлюємо. У локальному сховищі браузера (localStorage) можуть зберігатися дрібні налаштування інтерфейсу (наприклад, що ви закрили підказку про встановлення застосунку); вони не передаються нам.

6. Безпека

• з’єднання захищене шифруванням (HTTPS/TLS);
• чутливі поля (телефони, email клієнтів, нотатки, адреси, коди доступу, IP-адреси в журналах) зберігаються в базі даних у зашифрованому вигляді;
• паролі зберігаються лише у вигляді хешу; доступна двофакторна автентифікація;
• дані кожної студії ізольовані від інших студій; дані Маркету — в окремій базі даних;
• доступ співробітників студії обмежується ролями; ведеться журнал дій;
• регулярне резервне копіювання.

Про витік персональних даних, що створює ризик для людей, ми повідомляємо відповідний наглядовий орган протягом 72 годин і, за потреби, самих людей (ст. 33–34 GDPR), а також студію — щодо даних її клієнтів.

7. Ваші права

Відповідно до ст. 8 Закону та ст. 15–22 GDPR ви маєте право: знати, хто і навіщо обробляє ваші дані; отримати доступ до них і копію; вимагати виправлення неточних даних; вимагати видалення («право бути забутим») чи обмеження обробки; заперечити проти обробки на підставі законного інтересу; отримати дані в машиночитному форматі (перенесення); відкликати згоду в будь-який момент (це не впливає на законність обробки до відкликання); подати скаргу до Уповноваженого Верховної Ради України з прав людини або до наглядового органу ЄС (у Польщі — Prezes Urzędu Ochrony Danych Osobowych).

Запити надсилайте на [email protected]. Відповідаємо протягом 30 днів (у складних випадках строк може бути продовжено, про що ми повідомимо). Можемо попросити підтвердити особу. Якщо ви клієнт студії, найшвидше звернутися до самої студії.

8. Інше

• Ми не приймаємо рішень, що мають юридичні наслідки для вас, виключно на основі автоматизованої обробки.
• Сервіс не призначений для осіб молодше 16 років; свідомо ми не збираємо їхні дані.
• Ми можемо оновлювати Політику; нова редакція публікується на цій сторінці з датою. Про суттєві зміни користувачів Сервісу повідомляємо в CRM.

9. Контакти

[реквізити буде вказано]
ІПН / код ЄДРПОУ: [реквізити буде вказано]
Адреса: [реквізити буде вказано]
Email з питань персональних даних: [email protected]
Телефон: [реквізити буде вказано]