1. Кто обрабатывает персональные данные
Контролёром персональных данных является Refact OÜ, регистрационный код 17573622, адрес: Peterburi tee 46, 11415 Tallinn, Estonia (далее — «Refact», «мы»).
По вопросам обработки персональных данных и для реализации своих прав можно обратиться по адресу info@refact.ee или по почтовому адресу, указанному выше.
Эта политика относится:
- к посетителям сайта Refact, включая сайт на домене refact.ee;
- к людям, которые связываются с нами по телефону, электронной почте, через Telegram, WhatsApp или иным выбранным ими способом;
- к клиентам и представителям клиентов, заказывающим диагностику, ремонт, обслуживание, восстановление или перенос данных;
- к посетителям помещения Refact;
- к поставщикам, подрядчикам и деловым партнёрам — физическим лицам либо их представителям.
Обработка данных работников и кандидатов регулируется отдельной внутренней информацией, если она применима.
2. Какие данные мы обрабатываем
В зависимости от ситуации мы можем обрабатывать следующие данные.
2.1. Обращения и контактные данные
- имя и фамилия;
- номер телефона, адрес электронной почты, имя пользователя в мессенджере;
- содержание переписки, звонка или обращения;
- предпочитаемый язык и способ связи.
2.2. Данные заказа и устройства
- сведения о заказанной услуге, неисправности, диагностике, выполненных работах, деталях, стоимости и гарантии;
- марка, модель, серийный номер, IMEI или иной идентификатор устройства;
- внешнее состояние, комплектность и фотографии устройства, если они нужны для документирования его состояния или ремонта;
- даты приёма и выдачи, номер заказа, подписи и иные сведения в документах обслуживания.
2.3. Доступ к устройству и содержащимся на нём данным
Для диагностики или выполнения заказанной услуги иногда может потребоваться код разблокировки, PIN-код, пароль либо временный доступ к учётной записи. Мы запрашиваем такие данные только тогда, когда без них разумно невозможно выполнить согласованную работу.
Мы не просматриваем личные файлы, сообщения, фотографии или иное содержимое устройства без необходимости. Доступ допускается только в объёме, который нужен для диагностики, проверки результата, переноса или восстановления данных и прямо связан с поручением клиента.
Если для ремонта создаётся временная копия данных, мы используем её только для согласованной услуги. Как правило, она удаляется сразу после успешной передачи результата, но не позднее 7 дней после выдачи устройства или результата, если иной срок не был отдельно согласован либо сохранение не требуется для урегулирования инцидента.
Коды доступа и пароли не включаются в бухгалтерские документы и удаляются сразу после окончания работ или возврата устройства, в зависимости от того, что наступит раньше. По возможности клиенту рекомендуется создать временный код или отдельную учётную запись и изменить код после получения устройства.
2.4. Платежи и бухгалтерия
- имя или наименование плательщика;
- данные счёта, платежа и банковской операции;
- сведения, обязательные для счёта, кассового документа, бухгалтерского и налогового учёта;
- информация о задолженности и возвратах.
Мы не получаем и не храним полные данные банковской карты, если платёж выполняется через банк или платёжную систему.
2.5. Посещение сайта
Сайт не содержит собственной формы заявки, личного кабинета или интернет-магазина. При обычном посещении сайта инфраструктура сайта всё же может технически обрабатывать IP-адрес, дату и время запроса, адрес запрошенной страницы, тип браузера и устройства, приблизительную страну, источник перехода, технические журналы и сведения об ошибках. Это необходимо для доставки сайта, его безопасности, диагностики и агрегированной статистики.
Мы используем встроенную аналитику Framer, которая предназначена для агрегированной статистики, работает без аналитических cookies и не используется нами для создания рекламных профилей посетителей.
На сайте могут загружаться шрифты Google Fonts. При прямой загрузке шрифтов браузер устанавливает соединение с серверами Google, в связи с чем Google технически получает IP-адрес и стандартные данные запроса. Для минимизации такой передачи Refact может перейти на локальное размещение шрифтов.
2.6. Видеонаблюдение
Камеры установлены у входа и в клиентской зоне. Они используются для безопасности людей, защиты устройств и другого имущества, предотвращения и расследования краж, повреждений и иных инцидентов, а также для установления обстоятельств спорных событий.
Камеры не используются для распознавания лиц, маркетинга или систематического контроля работы сотрудников. Аудиозапись не ведётся. Запись не охватывает места, где у человека имеется повышенное ожидание приватности.
Записи обычно хранятся не более 30 дней, после чего автоматически удаляются или перезаписываются. Фрагмент, связанный с инцидентом, претензией или производством, может храниться дольше — до окончания расследования, урегулирования требования или установленного законом срока.
Доступ к записям имеют только уполномоченные лица Refact. При наличии правового основания запись может быть передана полиции, страховщику, юристу, суду или другому компетентному органу.
3. Для чего и на каком основании мы обрабатываем данные
| Цель | Правовое основание |
|---|---|
| Ответ на запрос, подготовка предложения, приём и выполнение заказа, связь по поводу ремонта и гарантии | Заключение и исполнение договора — статья 6(1)(b) GDPR |
| Диагностика устройства, доступ к нему, перенос или восстановление данных по поручению клиента | Исполнение договора — статья 6(1)(b) GDPR; действия выполняются только в пределах поручения клиента |
| Выставление счетов, бухгалтерский и налоговый учёт, ответы государственным органам | Юридическая обязанность — статья 6(1)(c) GDPR |
| Защита прав Refact и клиента, работа с претензиями, предотвращение мошенничества, обеспечение сетевой и информационной безопасности | Законный интерес — статья 6(1)(f) GDPR |
| Видеонаблюдение у входа и в клиентской зоне | Законный интерес в обеспечении безопасности и защите людей и имущества — статья 6(1)(f) GDPR |
| Техническая работа сайта и агрегированная статистика | Законный интерес в предоставлении, защите и улучшении сайта — статья 6(1)(f) GDPR |
| Действия, которые не нужны для договора и основаны на свободном выборе человека | Согласие — статья 6(1)(a) GDPR; согласие можно отозвать в любое время |
Мы не принимаем решений, имеющих для человека юридические или аналогично существенные последствия, исключительно автоматизированным способом и не осуществляем профилирование для рекламы.
4. Откуда мы получаем данные
Обычно данные поступают непосредственно от самого человека или от представляемой им организации. Технические данные сайта формируются браузером и инфраструктурой сайта. Платёжные сведения могут поступать от банка. В законных случаях сведения могут поступать от государственных органов, страховщика, курьерской службы, поставщика деталей или другого участника выполнения заказа.
Если клиент передаёт нам устройство, содержащее данные других людей, он подтверждает, что вправе передать устройство для заказанной работы. Refact обрабатывает случайно доступные данные третьих лиц только в минимально необходимом объёме.
5. Обязательность предоставления данных
Предоставление контактных и заказных данных обычно необходимо для заключения и исполнения договора. Без идентификации устройства, описания неисправности или возможности связаться с клиентом мы можем быть не в состоянии принять или выполнить заказ. Код доступа нужен не всегда; если клиент не желает его предоставлять, мы согласуем ограниченный объём проверки либо попросим клиента самостоятельно разблокировать устройство.
6. Кому могут передаваться данные
Мы раскрываем данные только в необходимом объёме следующим категориям получателей:
- поставщикам сайта и технической инфраструктуры, включая Framer и его подрядчиков;
- поставщикам электронной почты, связи, защиты от ошибок и информационной безопасности;
- Google, если браузер загружает Google Fonts напрямую;
- операторам выбранных клиентом каналов связи, включая Telegram и WhatsApp;
- LHV и иным банкам или платёжным провайдерам в связи с платежами;
- бухгалтеру, поставщику бухгалтерской системы, аудитору и профессиональным консультантам;
- поставщикам деталей, авторизованным сервисам, курьерским службам и страховщикам, если это необходимо для конкретного заказа;
- Налогово-таможенному департаменту, полиции, судам и иным органам, когда раскрытие предусмотрено законом или необходимо для защиты прав;
- лицу, которому законно перейдёт бизнес или его часть, при условии надлежащей защиты данных.
Наши поставщики получают только те данные, которые нужны им для соответствующей услуги, и обязаны соблюдать требования конфиденциальности и безопасности.
7. Передача данных за пределы Европейской экономической зоны
Некоторые поставщики инфраструктуры и мессенджеров могут обрабатывать данные за пределами Европейской экономической зоны. В таких случаях передача осуществляется на основании решения Европейской комиссии об адекватности, стандартных договорных положений Европейской комиссии либо другого допустимого механизма главы V GDPR. Следует учитывать, что при самостоятельном выборе Telegram или WhatsApp данные также обрабатываются по правилам соответствующего сервиса.
8. Сроки хранения
Мы не храним данные дольше, чем это необходимо для цели обработки:
- обращения, не приведшие к заказу, — обычно до 12 месяцев после последнего контакта;
- документы заказа, ремонта, гарантии и связанная переписка — обычно 3 года после завершения услуги либо дольше, пока действует гарантия, рассматривается претензия или сохраняется юридическая необходимость;
- бухгалтерские первичные документы и учётные данные — 7 лет в соответствии с требованиями бухгалтерского законодательства Эстонии;
- коды доступа и пароли — до окончания работ или возврата устройства, в зависимости от того, что наступит раньше;
- временные копии данных устройства — как правило, сразу после передачи результата, но не позднее 7 дней, если не согласовано иное или не возник инцидент;
- записи камер — до 30 дней, кроме фрагментов, необходимых для расследования или защиты требования;
- технические журналы и статистика сайта — в соответствии с разумными сроками безопасности и настройками поставщика инфраструктуры; агрегированные сведения могут храниться дольше, если они больше не позволяют идентифицировать человека.
По окончании срока данные удаляются, обезличиваются либо надёжно уничтожаются. Если закон, спор или распоряжение органа требует сохранения, удаление откладывается только в необходимом объёме.
9. Cookies и внешние ссылки
На дату этой версии Refact не использует на сайте рекламные cookies, межсайтовое отслеживание или собственные маркетинговые пиксели. Поэтому отдельное согласие на такие cookies не запрашивается. Технически необходимые средства хранения могут применяться платформой только для работы и безопасности сайта.
Ссылки на электронную почту, телефон, Telegram, WhatsApp, карты или другие внешние сервисы ведут на сайты и приложения соответствующих поставщиков. После перехода их обработка регулируется их собственными условиями и политиками. Если в будущем мы добавим необязательную аналитику, рекламные технологии, встроенное видео или иные средства отслеживания, мы обновим эту политику и при необходимости внедрим механизм согласия до их активации.
10. Безопасность данных
Мы применяем соразмерные организационные и технические меры: ограничиваем доступ кругом лиц, которым он нужен для работы; используем учётные записи и защиту доступа; ограничиваем копирование данных с устройств; удаляем временные данные; физически защищаем помещение и устройства; выбираем поставщиков с подходящими мерами безопасности; реагируем на инциденты и при необходимости уведомляем надзорный орган и затронутых людей.
Ни один способ хранения или передачи не исключает риск полностью. Клиенту рекомендуется создавать резервную копию до передачи устройства, если это возможно, и не передавать лишние данные или постоянные пароли.
11. Права человека
В предусмотренных GDPR случаях человек вправе:
- получить информацию и копию своих персональных данных;
- потребовать исправления неточных данных;
- потребовать удаления данных;
- потребовать ограничения обработки;
- возразить против обработки на основании законного интереса;
- получить предоставленные им данные в машиночитаемом виде и передать их другому контролёру, если применимо право на переносимость;
- отозвать согласие без влияния на законность обработки до отзыва;
- подать жалобу в Инспекцию по защите данных Эстонии (Andmekaitse Inspektsioon), [www.aki.ee](http://www.aki.ee), либо в суд.
Для реализации прав напишите на info@refact.ee. Чтобы не раскрыть данные постороннему, мы можем запросить разумное подтверждение личности. Обычно мы отвечаем в течение одного месяца; в сложном случае срок может быть продлён в порядке, разрешённом GDPR.
12. Изменения политики
Мы можем обновлять политику при изменении услуг, поставщиков или законодательства. Актуальная версия публикуется на сайте с датой вступления в силу. О существенных изменениях, затрагивающих уже собранные данные, мы сообщим подходящим способом, если это требуется законом.