Политика конфиденциальности

Настоящая Политика объясняет, какие персональные данные обрабатывает сервис Evimarko (evimarko.com), зачем, на каких основаниях, кому они передаются, сколько хранятся и какие права имеют люди, чьи данные обрабатываются. Политика составлена в соответствии с Законом Украины «О защите персональных данных» (далее — Закон) и Регламентом (ЕС) 2016/679 (General Data Protection Regulation, далее — GDPR).

1. Кто обрабатывает данные

1. Владельцем персональных данных (controller) посетителей сайта, пользователей Сервиса (студий и их сотрудников) и магазинов Маркета является [реквизиты будут указаны], ИНН (РНУКПН) / код ЕГРПОУ [реквизиты будут указаны], адрес: [реквизиты будут указаны], email: [email protected] (далее — «Evimarko», «мы»).
2. В отношении данных клиентов студий (людей, которые записываются в студию или данные которых студия вносит в CRM) владельцем персональных данных является соответствующая студия, а Evimarko — распорядителем (processor), который обрабатывает данные только по поручению студии согласно Договору обработки данных. С вопросами относительно таких данных сначала обращайтесь в студию; мы поможем студии выполнить ваш запрос.

2. Какие данные мы обрабатываем и зачем

2.1. Посетители сайта

• Технические данные: IP-адрес, тип браузера и устройства, адрес страницы, время запроса — в журналах сервера для работы сайта, защиты от атак и злоупотреблений. Основание: законный интерес (ст. 11 Закона; ст. 6(1)(f) GDPR).
• Статистика посещений — если подключена, используется аналитика без cookie (Plausible или Umami), которая считает посещения в агрегированном виде и не идентифицирует конкретного человека. Основание: законный интерес.
• Данные из форм: обращения в поддержку, отзыв в каталоге (имя, телефон для проверки — не публикуется, текст, оценка, IP), запрос владельца об изменении или удалении карточки в каталоге (контакт, причина). Основание: ваше согласие и законный интерес в модерации и защите от фейков.

2.2. Пользователи Сервиса (студии и их сотрудники)

• Учетная запись: имя, email, телефон, пароль (хранится только в виде хеша), роль, язык, часовой пояс, настройки, данные для двухфакторной аутентификации.
• Данные студии: название, адрес, контакты, реквизиты, логотип, тариф и история оплат (сумма, дата, статус; данные платежных карт мы не получаем — их обрабатывает платежный сервис).
• Журналы: входы (IP-адрес, время), журнал действий в CRM, журнал согласий с документами (кто, когда, IP, редакция документа).
• Поддержка: переписка, снимки экрана, которые вы отправляете.

Цель: заключение и исполнение договора (предоставление Сервиса, оплата, поддержка), безопасность учетных записей, выполнение требований закона (бухгалтерский и налоговый учет), доказательство акцепта условий. Основания: договор (ст. 11 Закона; ст. 6(1)(b) GDPR), обязанность по закону (ст. 6(1)(c)), законный интерес (ст. 6(1)(f)).

2.3. Клиенты студий (Evimarko — распорядитель)

• Имя, телефон, email, язык; автомобиль (марка, модель, год, госномер, VIN, пробег); адрес выезда; история записей и заказов, сметы, суммы и оплаты; фото автомобиля и повреждений, акты приема с подписью; гарантии; переписка в мессенджерах и на страницах онлайн-записи; при интеграции с телефонией — данные звонков; заметки студии.
• Цель и основания определяет студия как владелец персональных данных (как правило — исполнение договора с клиентом, согласие клиента, законный интерес студии). Evimarko обрабатывает эти данные исключительно для предоставления Сервиса студии.
• При онлайн-записи мы фиксируем время, IP-адрес и редакцию настоящей Политики, с которой ознакомили клиента.

2.4. Магазины Маркета

Имя и контакты представителя, название, реквизиты (ЕГРПОУ / ИНН (РНУКПН)), документы для проверки, товары, заказы, счета комиссии, отзывы. Основания: договор (Оферта Маркета), обязанность по закону, законный интерес в проверке продавцов. Данные Маркета хранятся в отдельной базе данных.

2.5. Каталог студий

Публичные сведения о студиях (название, адрес, публичный телефон, сайт, соцсети, часы работы), полученные от самих студий или из открытых источников. Если студия — ФЛП, эти сведения могут быть персональными данными. Основание: законный интерес в информировании об услугах (ст. 6(1)(f) GDPR); владелец вправе требовать изменения или удаления — см. Правила каталога.

3. Кому мы передаем данные

Мы не продаем персональные данные и не передаем их для рекламы. Данные могут получать только:

• хостинг-провайдер — серверы расположены в Европейском Союзе (Польша); провайдер хранит зашифрованные резервные копии;
• сервис почтовых рассылок — для служебных писем (восстановление пароля, уведомления);
• платежные сервисы — monobank (АО «Универсал Банк»), LiqPay (АО КБ «ПриватБанк»), Heleket — для оплаты тарифов; они действуют как самостоятельные владельцы персональных данных согласно своим политикам;
• мессенджеры и соцсети — Telegram, Viber, Meta (WhatsApp, Instagram, Facebook) — только если студия подключила соответствующий канал; сообщения проходят через их серверы по их правилам;
• сервисы, которые студия подключает сама: фискализация (Checkbox), SMS-шлюзы, телефония, службы доставки (Новая почта — для Маркета), вебхуки и API;
• шрифты и карты: сайты студий могут загружать шрифты Google Fonts (Google получает IP-адрес посетителя); ссылки на Google Maps / Waze открываются только после вашего нажатия;
• государственные органы — только по законному требованию;
• правопреемник — в случае передачи Сервиса другому лицу с уведомлением пользователей.

Часть этих сервисов может обрабатывать данные за пределами Европейской экономической зоны (ЕЭП) и Украины (например, в США). В таких случаях передача осуществляется на основании решения об адекватности (в частности, EU-U.S. Data Privacy Framework), стандартных договорных положений ЕС или потому, что она необходима для исполнения договора либо осуществляется по вашему запросу (ст. 29 Закона; глава V GDPR).

4. Сколько хранятся данные

• Данные учетной записи и Данные студии — в течение действия договора и 30 дней после его прекращения (для выгрузки), затем удаляются; резервные копии — еще до 30 дней.
• Данные клиентов студий — пока их хранит студия; после прекращения договора со студией — как указано выше.
• Платежные и бухгалтерские документы — срок, определенный налоговым законодательством (не менее 1095 дней).
• Журнал согласий и переписка по претензиям — в течение действия договора и 3 года после него (срок исковой давности).
• Журналы сервера — не дольше 90 дней, если они не нужны для расследования инцидента.
• Отзывы каталога — пока опубликованы; телефон автора — до завершения модерации, но не дольше 1 года.

5. Cookie и локальное хранилище

Мы используем только необходимые cookie, без которых сайт не работает, поэтому баннер согласия не нужен:

• cookie сессии — чтобы вы оставались в системе (удаляется после закрытия сессии / выхода);
• XSRF-TOKEN — защита форм от подделки запросов;
• remember_web_… — только если вы выбрали «Запомнить меня».

Рекламные и аналитические cookie мы не устанавливаем. В локальном хранилище браузера (localStorage) могут храниться мелкие настройки интерфейса (например, что вы закрыли подсказку об установке приложения); они не передаются нам.

6. Безопасность

• соединение защищено шифрованием (HTTPS/TLS);
• чувствительные поля (телефоны, email клиентов, заметки, адреса, коды доступа, IP-адреса в журналах) хранятся в базе данных в зашифрованном виде;
• пароли хранятся только в виде хеша; доступна двухфакторная аутентификация;
• данные каждой студии изолированы от других студий; данные Маркета — в отдельной базе данных;
• доступ сотрудников студии ограничивается ролями; ведется журнал действий;
• регулярное резервное копирование.

Об утечке персональных данных, создающей риск для людей, мы сообщаем соответствующему надзорному органу в течение 72 часов и, при необходимости, самим людям (ст. 33–34 GDPR), а также студии — в отношении данных ее клиентов.

7. Ваши права

В соответствии со ст. 8 Закона и ст. 15–22 GDPR вы имеете право: знать, кто и зачем обрабатывает ваши данные; получить доступ к ним и копию; требовать исправления неточных данных; требовать удаления («право быть забытым») или ограничения обработки; возразить против обработки на основании законного интереса; получить данные в машиночитаемом формате (переносимость); отозвать согласие в любой момент (это не влияет на законность обработки до отзыва); подать жалобу Уполномоченному Верховной Рады Украины по правам человека или в надзорный орган ЕС (в Польше — Prezes Urzędu Ochrony Danych Osobowych).

Запросы направляйте на [email protected]. Отвечаем в течение 30 дней (в сложных случаях срок может быть продлен, о чем мы сообщим). Можем попросить подтвердить личность. Если вы клиент студии, быстрее всего обратиться в саму студию.

8. Прочее

• Мы не принимаем решений, имеющих юридические последствия для вас, исключительно на основе автоматизированной обработки.
• Сервис не предназначен для лиц младше 16 лет; сознательно мы не собираем их данные.
• Мы можем обновлять Политику; новая редакция публикуется на этой странице с датой. О существенных изменениях пользователей Сервиса уведомляем в CRM.

9. Контакты

[реквизиты будут указаны]
ИНН (РНУКПН) / код ЕГРПОУ: [реквизиты будут указаны]
Адрес: [реквизиты будут указаны]
Email по вопросам персональных данных: [email protected]
Телефон: [реквизиты будут указаны]