Политика конфиденциальности

1. Кто мы и как с нами связаться

1.1. Контролёром данных является Majevski, MB, код юридического лица 304720404, адрес местонахождения Smalinės g. 21-3, LT-06225, Vilnius, Lietuva. Данные о нас собираются и хранятся в Регистре юридических лиц Литовской Республики.

1.2. По вопросам обработки персональных данных и реализации своих прав пишите по электронной почте pagalba@majevski.com. Писать можно на любом языке Сервиса; мы отвечаем на литовском или английском языке, а когда это возможно, и на вашем языке.

1.3. Инспектора по защите данных мы не назначали. По всем вопросам защиты данных обращайтесь по адресу электронной почты, указанному в пункте 1.2.

1.4. Настоящая политика применяется: 1) к Заказчикам, являющимся физическими лицами, представителям Заказчиков, Пользователям и плательщикам (раздел 3); 2) к Клиентам в той мере, в какой мы сами обрабатываем их данные: в целях Профиля DEK, общего Показателя надёжности и защиты от злоупотреблений (раздел 4); 3) к посетителям сайта и Страниц записи и иным лицам, обращающимся к нам (раздел 5). Получатели данных, передача, сроки хранения, автоматизированные решения, безопасность и права описаны в разделах 6–13 и относятся ко всем.

2. Кто отвечает за какие данные

2.1. Заказчик, то есть предприятие, которое пользуется Сервисом (например, салон, клиника или консультант), является контролёром Данных Клиентов и обрабатываемых в Сервисе данных Членов команды. Он решает, какие данные о Клиентах собирать, какие уведомления отправлять и как долго хранить данные. Эти данные мы обрабатываем как обработчик данных, только от имени Заказчика и по его указаниям, как установлено в Соглашении об обработке данных (далее СОД) (пункт 21.1 Условий).

2.2. Данными Клиентов являются, например, имя Клиента, контакты, визиты, заметки, значения дополнительных полей, отметки о согласиях, SMS-переписка и история уведомлений. Как эти данные обрабатывает предприятие, разъясняется в его уведомлении о конфиденциальности (пункт 11.4 Условий). По вопросам этих данных и своих прав в отношении них обращайтесь к предприятию. То же относится к лицам, которые не являются Клиентами, но пишут SMS-сообщения на номер SMS-шлюза предприятия или получают с него сообщения: такие сообщения предприятие обрабатывает как контролёр данных (пункт 14.7 Условий). Если такой запрос направлен нам и из него можно установить, какому предприятию он адресован, мы без неоправданной задержки пересылаем его предприятию и просим вас обратиться к предприятию (пункт 3.3 Условий).

2.3. Мы являемся самостоятельным контролёром данных в отношении следующих данных: 1) данных аккаунтов, входа в систему и расчётов Заказчиков, Пользователей и плательщиков; 2) данных Профиля DEK; 3) общего Показателя надёжности по нескольким предприятиям; 4) данных о защите от злоупотреблений, включая базу данных M Blacklist; 5) технических журналов и журналов безопасности; 6) записей о принятии Условий и СОД и записей о входе Оператора в Учётные записи; 7) согласий на использование cookie и данных аналитики посетителей сайта и Страниц записи; 8) обобщённой статистики и показателей использования Сервиса Заказчиками; 9) данных обращений, списка ожидания, программы рекомендаций и демонстрационной учётной записи (пункты 3.7, 17.4, 17.5, 21.2, 21.4, 21.5 и 21.6 Условий).

2.4. Одна и та же функция Сервиса может использоваться как от имени предприятия, так и в наших собственных целях; в таком случае для каждой цели действует указанная для неё роль. Например, Показатель надёжности Клиента в Учётной записи одного предприятия мы рассчитываем от имени этого предприятия, а общий показатель по нескольким предприятиям обрабатываем как самостоятельный контролёр данных.

2.5. Привлекаемые нами Субобработчики указаны в СОД. Календарные сервисы, в которых Члены команды подписываются на Ссылки на календарь, и иные выбранные Заказчиком сервисы, которыми он пользуется по отдельным договорам с их поставщиками, получают данные по указанию Заказчика и обрабатывают их согласно своим условиям; их поставщики не являются нашими Субобработчиками (пункты 7.4 и 18.2 Условий). Услугу SMS-шлюза asms.lt мы предоставляем сами по отдельному договору с Заказчиком (пункты 7.8 и 14.2 Условий): данные, находящиеся в аккаунте asms.lt Заказчика, мы обрабатываем от имени Заказчика, а Сервис использует этот аккаунт только по указанию Заказчика.

3. Данные Заказчиков, Пользователей и плательщиков

3.1. Создание Учётной записи и Договор. Когда вы создаёте Учётную запись, мы обрабатываем название предприятия, ваше имя, адрес электронной почты, номер телефона, если вы его указываете, и хеш-значение пароля (сам пароль мы не храним). На основе этих данных в Учётной записи также создаётся запись Владельца как Члена команды. По умолчанию указанный номер телефона записывается также как номер телефона предприятия и его филиала, а номер телефона предприятия публично отображается на Странице записи; ваше имя отображается на Странице записи как имя Члена команды, к которому можно записаться на визит. Вы можете изменить или скрыть эти данные в настройках Сервиса. Когда это необходимо для исполнения Договора или выставления счёта, мы обрабатываем также юридическое наименование Заказчика, государство учреждения, код юридического лица либо номер справки об индивидуальной деятельности или бизнес-лицензии, код плательщика НДС, если он присвоен, и адрес (пункт 4.4 Условий). Цели: заключить и исполнять Договор, идентифицировать Заказчика и его представителя, при необходимости проверить, не распространяются ли на Заказчика ограничения, указанные в пункте 4.7 Условий. Основания: заключение и исполнение договора, если Заказчик является физическим лицом (пункт b части 1 статьи 6 GDPR); если Учётная запись создаётся от имени юридического лица, законный интерес в заключении и исполнении Договора с Заказчиком и во взаимодействии с его представителем (пункт f части 1 статьи 6 GDPR); в части соблюдения санкций правовая обязанность (пункт c части 1 статьи 6 GDPR). Данные предоставляете вы; данные Заказчика мы можем проверить в публичных реестрах. Указать название предприятия, имя, адрес электронной почты и пароль обязательно: без них Учётную запись создать невозможно. Номер телефона указывать не обязательно. Данные, указанные в пункте 4.4 Условий, Заказчик обязан предоставить по Договору; если они не предоставлены, мы можем не допустить заказ платного Плана, ограничить Сервис или расторгнуть Договор.

3.2. Доступы Пользователей для входа. Доступы для входа других Пользователей (например, с ролью Менеджера, Регистратуры или Сотрудника) создаёт Заказчик: его Пользователь вводит имя лица, адрес электронной почты, пароль, роль и, если применимо, филиал. Поэтому источником этих данных является Заказчик, а не сам Пользователь. Мы также обрабатываем язык Пользователя, начальную страницу, настройку уведомлений о новых бронированиях и время последнего входа (оно обновляется и тогда, когда уполномоченное Оператором лицо входит в систему с правами этого Пользователя). Цель: предоставить заказанные Заказчиком доступы и обеспечить их работу. Основание: законный интерес в предоставлении Заказчику заказанного им Сервиса и доступов его Пользователей (пункт f части 1 статьи 6 GDPR).

3.3. Вход в систему и безопасность Учётных записей. Мы обрабатываем сессии входа, токены функции «Оставаться в системе» (храним только их хеш-значения), запросы на восстановление пароля (адрес электронной почты и хеш-значение ссылки), количество неудачных попыток по IP-адресу и хеш-значению адреса электронной почты, а также записи журнала безопасности о входах, выходах, неудачных попытках, блокировках и восстановлении пароля, в которых указывается IP-адрес, а в некоторых и адрес электронной почты. После 5 неудачных попыток в течение 15 минут вход временно блокируется. Основание: законный интерес в обеспечении безопасности Сервиса, Учётных записей и находящихся в них данных (пункт f части 1 статьи 6 GDPR). Ко входу в систему также применяются меры защиты, описанные в пунктах 4.12 и 4.13.

3.4. Расчёты через Stripe. При заказе платного Плана мы передаём Stripe адрес электронной почты Владельца, название предприятия, идентификатор Учётной записи, План и количество Тарифицируемых единиц. Данные платёжной карты вы вводите только на страницах Stripe; мы их не получаем и не храним (пункт 9.2 Условий). От Stripe мы получаем уведомления о платежах и статусе подписки; в них могут содержаться имя или наименование плательщика, адрес электронной почты, номер телефона, адрес и код плательщика НДС, если они предоставлены Stripe. Если платёж не прошёл, мы сообщаем об этом Владельцу по электронной почте. Основания: заключение и исполнение договора, если Заказчик или плательщик является физическим лицом (пункт b части 1 статьи 6 GDPR); в иных случаях законный интерес в исполнении Договора с Заказчиком; хранение уведомлений Stripe основано на законном интересе в проверке платежей и разрешении споров по ним (пункт f части 1 статьи 6 GDPR).

3.5. Счета. Когда мы выставляем счёт (например, по отдельному соглашению), мы указываем в нём наименование или имя покупателя, код, код плательщика НДС, адрес, государство и адрес электронной почты. Основание: правовая обязанность составлять и хранить бухгалтерские документы (пункт c части 1 статьи 6 GDPR; Закон Литовской Республики о финансовом учёте и Закон Литовской Республики о документах и архивах). Без этих данных мы не можем выставить счёт.

3.6. Рекомендации. Ссылка «Работает на DEK» внизу Страниц записи указывает, со страницы какого предприятия вы пришли. Если пришедшее по ней лицо записывается в список ожидания, мы отмечаем, какое предприятие его рекомендовало; если позднее на тот же адрес электронной почты создаётся Учётная запись, эта отметка переносится в Учётную запись, чтобы при первом заказе платного Плана новым Заказчиком рекомендовавшее предприятие получило бесплатные дни Сервиса. Если Учётная запись создана напрямую, без предшествующей записи в список ожидания, рекомендовавшее предприятие не отмечается. Основание: законный интерес в осуществлении программы рекомендаций (пункт f части 1 статьи 6 GDPR).

3.7. Уведомления Владельцам и Пользователям. Мы отправляем уведомления, связанные с Сервисом и Договором: ссылки для восстановления пароля, предупреждения о неудавшемся платеже, уведомления о входе Оператора в Учётную запись и об изменениях Условий, ежедневные, еженедельные и ежемесячные сводки Владельцу и уведомления о новых бронированиях тем Пользователям с ролью Регистратуры, которые их включили. От уведомлений, связанных с исполнением Договора, отказаться нельзя (пункт 32.1 Условий); сводки и уведомления о новых бронированиях можно отключить в настройках Сервиса. Основания: исполнение договора, если Заказчик является физическим лицом (пункт b части 1 статьи 6 GDPR); в иных случаях, а также когда уведомления отправляются Пользователям, законный интерес в информировании о работе Сервиса и исполнении Договора (пункт f части 1 статьи 6 GDPR). Данные Клиентов, содержащиеся в сводках и уведомлениях о новых бронированиях, мы обрабатываем от имени предприятия согласно СОД.

3.8. Доступ Оператора и администрирование. Уполномоченные Оператором лица могут входить в Учётную запись с правами Пользователя в целях, указанных в пункте 21.5 Условий. Данные Клиентов, находящиеся в Учётной записи, они в таком случае обрабатывают от имени предприятия согласно СОД, а описанные в настоящем пункте записи мы обрабатываем как контролёр данных. О каждом входе создаётся запись: цель и пояснение, с правами какого Пользователя выполнен вход, выполнен ли вход по запросу Заказчика, время начала входа, время последнего действия и, если администратор завершает вход или выходит из системы, время окончания входа, использованный аккаунт администратора Оператора, IP-адрес и данные браузера вошедшего администратора. О входе, выполненном не по запросу Заказчика, Владельцу сообщается по электронной почте, за исключением случаев, указанных в пункте 21.5 Условий. Для исполнения Договора и в иных целях, указанных в пункте 21.5 Условий, уполномоченные Оператором лица могут обрабатывать данные Учётной записи с помощью средств администрирования или непосредственно в базе данных, не входя в Учётную запись; такие действия не фиксируются способом, указанным в настоящем пункте, и о них не сообщается. Администрируя Договор, мы также обрабатываем План, ограничения, причины приостановления и внутренние заметки о Заказчике. Основания: исполнение договора, когда поддержка оказывается по запросу Заказчика; законный интерес в исправлении ошибок, обеспечении безопасности и подтверждении того, как использовался доступ; правовая обязанность, когда вход необходим для выполнения требований законодательства (пункты b, c и f части 1 статьи 6 GDPR).

3.9. Записи о принятии Условий и СОД. Когда создаётся Учётная запись или Владелец подтверждает Условия в Сервисе, мы фиксируем, кто принял Условия и СОД (имя и адрес электронной почты), когда, какие их версии, на каком языке, контрольные значения их текстов, способ принятия, IP-адрес и данные браузера. Основание: законный интерес в подтверждении заключения Договора и его условий, а также в защите правовых требований (пункт f части 1 статьи 6 GDPR; пункт 1.5 Условий).

3.10. Статистика и показатели использования. Мы составляем обобщённую статистику (например, общее количество предприятий, Клиентов, визитов и отправленных напоминаний) и можем публиковать её на сайте. Для каждого Заказчика мы без cookie и IP-адресов подсчитываем просмотры Страницы записи, начатые и завершённые бронирования за день, а также используем время последнего входа и сведения о том, какие функции включены. Эти показатели являются персональными данными в той мере, в какой они связаны с Заказчиком, являющимся физическим лицом, а время последнего входа всегда является персональными данными Пользователя. Основание: законный интерес в предоставлении, поддержке и совершенствовании Сервиса (пункт f части 1 статьи 6 GDPR; пункт 21.4 Условий).

3.11. Список ожидания. Когда регистрация в Сервисе закрыта, на сайте можно записаться в список ожидания. В этом случае мы обрабатываем адрес электронной почты, имя, название и тип предприятия, номер телефона, язык, сведения о том, откуда вы пришли (включая рекомендовавшее предприятие), и IP-адрес. Основание: законный интерес в том, чтобы связаться с лицами, которые пожелали пользоваться Сервисом (пункт f части 1 статьи 6 GDPR).

4. Данные Клиентов, которые мы обрабатываем сами

4.1. В настоящем разделе описано, какие данные Клиентов мы обрабатываем как самостоятельный контролёр данных. Иные ваши данные, включая визиты и карточку клиента, обрабатывает предприятие (раздел 2). Ссылка на настоящую политику размещена внизу каждой Страницы записи и учётной записи DEK.

4.2. Бронирование онлайн. В форме бронирования обязательно указать имя и номер телефона или адрес электронной почты (что именно из них, зависит от того, по какому каналу предприятие отправляет уведомления); эти данные получает предприятие, которое является их контролёром. Когда вы бронируете визит онлайн, выбираете на странице управления визитом язык уведомлений, отказываетесь от электронных писем по ссылке в письме, связываете или удаляете Профиль DEK, в нашем журнале безопасности фиксируются это действие и ваш IP-адрес. При бронировании ваш IP-адрес и адрес электронной почты также проверяются мерами защиты, описанными в пунктах 4.12 и 4.13. Основание: законный интерес в обеспечении безопасности Сервиса и расследовании инцидентов (пункт f части 1 статьи 6 GDPR).

4.3. Профиль DEK. Профиль DEK является вашим личным аккаунтом в Сервисе, в котором вы видите свои визиты у предприятий, у которых ваша карточка клиента связана с вашим Профилем DEK. Его можно создать на странице управления визитом, нажав «Создать учётную запись» и введя одноразовый код, который отправляется на адрес электронной почты, указанный в карточке клиента у предприятия, а если его нет, на номер телефона. Если в карточке клиента у другого предприятия указан тот же контакт и там вы также подтверждаете его кодом, эта карточка связывается с тем же Профилем DEK. Профиль DEK не является обязательным: бронировать визиты и управлять ими можно и без него.

4.4. Данные Профиля DEK. Мы обрабатываем имя и фамилию (изначально взятые из карточки клиента у предприятия), один подтверждённый контакт (адрес электронной почты или номер телефона) и время его подтверждения, язык, фотографию, если вы её загружаете, и связи с карточками клиента у предприятий. Источником контакта является предприятие, у которого вы забронировали визит (предприятие ввело или импортировало контакт либо вы указали его при бронировании), а в дальнейшем вы сами. Цель: создать и вести ваш Профиль DEK, подтвердить ваш контакт и связать Профиль DEK с карточками клиента у предприятий. Основание: заключение и исполнение договора о бесплатном Профиле DEK, заключаемого вами при создании Профиля DEK (пункт b части 1 статьи 6 GDPR). Визиты, которые вы видите в Профиле DEK, остаются данными предприятия, которое их внесло: мы показываем их вам от имени этого предприятия (раздел 2). Без подтверждения контакта кодом Профиль DEK создать невозможно; фотография не является обязательной.

4.5. Одноразовые коды. Коды для создания Профиля DEK и входа в него мы отправляем от своего имени: по электронной почте через почтовые серверы Сервиса или SMS-сообщением от отправителя «DEK» через поставщика SMS-услуг SIA VERTEX LV (пункт 6.11), а пока в Сервисе не настроен ключ VertexSMS, через наш собственный аккаунт asms.lt (пункт 6.3). Поставщик SMS-услуг получает номер телефона, текст сообщения с кодом, имя отправителя и время отправки и возвращает нам отчёт о доставке (доставлено, не доставлено или истёк срок, с кодом сети мобильной связи). Код действует 10 минут, его можно ввести не более 5 раз, а в базе данных Сервиса хранится только его хеш-значение; текст кода, отправленного SMS-сообщением, и номер телефона остаются в системах поставщика согласно его условиям: SIA VERTEX LV согласно своей политике конфиденциальности хранит данные коммуникаций по умолчанию два месяца, а в нашем аккаунте asms.lt и на устройстве отправки SMS они хранятся в течение срока, указанного в пункте 8.6. Для каждого кода мы фиксируем контакт, на который он отправлен, IP-адрес и время, а о каждом SMS-сообщении, отправленном от нашего имени, храним запись, описанную в пункте 8.6, без текста сообщения. Запись о коде создаётся, а код отправляется и тогда, когда на странице входа код запрашивается для контакта, для которого Профиля DEK нет: так страница не раскрывает, создан ли для этого контакта Профиль DEK, однако, пока Профиля DEK нет, войти с таким кодом нельзя. Основания: заключение и исполнение договора о Профиле DEK в части отправки кода (пункт b части 1 статьи 6 GDPR), а если код отправляется контакту, для которого Профиля DEK нет, законный интерес в том, чтобы не раскрывать, для кого создан Профиль DEK (пункт f части 1 статьи 6 GDPR), и законный интерес в защите аккаунтов от захвата и отправки кодов от злоупотреблений, а также в расчётах с предприятиями за сообщения, отправленные по их указанию, в части хранения записей (пункт f части 1 статьи 6 GDPR). Такие же коды мы отправляем по указанию предприятия (пункт 21.3 Условий) для подтверждения номера телефона на его Странице записи, когда предприятие требует номер мобильного телефона, подтверждённый SMS-кодом (с номером стационарного телефона на такой странице записаться нельзя, а подтверждённый номер запоминается в сессии вашего браузера на 24 часа), в карточке клиента, а также для номера самого предприятия и его Члена команды; уполномоченное Оператором лицо (например, когда поставщик SMS-услуг не работает) может подтвердить номер вручную или на срок до 7 дней разрешить запись с этим номером без кода, и в каждой такой записи указывается, кто его подтвердил. Эти коды, записи о подтверждении и отметку в карточке клиента о том, что номер подтверждён, мы обрабатываем как обработчик данных предприятия согласно СОД, а предприятие сообщает об этом в своём уведомлении о конфиденциальности (пункт 11.4 Условий).

4.6. Что получают предприятия. После связывания вашей карточки клиента с Профилем DEK адрес электронной почты или номер телефона в этой карточке у предприятия обновляется по вашему подтверждённому контакту в момент связывания и каждый раз, когда вы сохраняете данные своего профиля; имя записывается только тогда, когда в карточке его нет (пункт 17.3 Условий). Контакт в карточке клиента мы обновляем от имени этого предприятия (пункт 21.3 Условий), а ваш подтверждённый контакт передаём предприятию, исполняя договор о Профиле DEK (пункт b части 1 статьи 6 GDPR). Предприятиям мы не передаём вашу фотографию, названия других предприятий и визиты у них; единственной связанной с другими предприятиями информацией, которую предприятие может видеть, является общий Показатель надёжности, указанный в пункте 4.10. Предприятие не может само создать связь или искать Профили DEK, однако предприятие на платном Плане, которое делится числами, может по отображению общего показателя в карточке клиента понять, что карточка связана с Профилем DEK; заметки, согласия и иные данные одного предприятия другим предприятиям не передаются.

4.7. Удаление Профиля DEK. Вы можете в любое время удалить Профиль DEK в своей учётной записи DEK. В этом случае удаляются его имя, фамилия, контакт и фотография, устраняются связи с карточками клиента у предприятий, и общий Показатель надёжности больше не рассчитывается. Карточки клиента и визиты у предприятий не удаляются, поскольку их контролёрами являются предприятия. Записи об одноразовых кодах и записи журнала безопасности удаляются в сроки, установленные для них в разделе 8.

4.8. Общий Показатель надёжности. Показатель надёжности показывает, какую долю в сумме состоявшихся визитов, неявок и поздних изменений составляют состоявшиеся визиты (пункт 2.18 Условий). Каждое предприятие рассчитывает показатель своих Клиентов в своей Учётной записи; это данные, обрабатываемые предприятием. Если у вас есть Профиль DEK, мы как самостоятельный контролёр данных рассчитываем также общий Показатель надёжности по нескольким предприятиям (пункт 17.4 Условий).

4.9. Какие данные используются и откуда они поступают. Для общего показателя используются только три числа каждой связанной карточки клиента: количество состоявшихся визитов, неявок и поздних изменений (ваших отмен или переносов менее чем за 24 часа до визита и отмен, которые предприятие отметило как произошедшие по вине Клиента). Эти числа мы получаем от предприятий, у которых ваша карточка клиента связана с Профилем DEK и которые не отключили в настройках Сервиса возможность делиться ими; по умолчанию эта возможность включена. Числа удалённых Учётных записей и удалённых карточек клиента не учитываются. Числа изменяются в соответствии с отмеченными предприятием статусами визитов, вашими действиями (например, отменой по ссылке или ответом SMS-сообщением) и автоматически: визит, который по истечении более 2 часов после его окончания всё ещё отмечен как забронированный или подтверждённый, отмечается как состоявшийся. Даты визитов, услуги, заметки, названия предприятий и иные данные для этой цели не используются. Показатель вычисляется при каждом его отображении и отдельно не хранится.

4.10. Кто видит общий показатель. Вы видите его в своей учётной записи DEK как процент вместе с количеством состоявшихся и всех учитываемых визитов. Предприятие на платном Плане, которое само делится числами, видит в вашей карточке клиента только один обобщённый процент; названия предприятий и числа каждого предприятия по отдельности не отображаются. Поскольку общий показатель включает и числа предприятия, которое его видит, предприятие, сравнив его со своим показателем, может приблизительно оценить вашу посещаемость у других предприятий в совокупности. Предприятие, отключившее возможность делиться числами, общего показателя не видит.

4.11. Основание и право на возражение. Общий показатель мы обрабатываем на основании законного интереса (пункт f части 1 статьи 6 GDPR): участвующие предприятия могут лучше планировать своё время и сокращать количество несостоявшихся забронированных визитов, а вы видите свою надёжность у всех связанных предприятий. Общий показатель является профилированием (пункт 4 статьи 4 GDPR), поскольку с его помощью оценивается, насколько надёжно вы приходите на забронированные визиты. Мы считаем, что ваши интересы, права и свободы не преобладают над этим интересом, поскольку показатель рассчитывается только для лиц, создавших Профиль DEK, используются только три числа, предприятиям показывается только один процент без названий предприятий, предприятие может не делиться числами, показатель сам по себе не отклоняет и не изменяет бронирования, а предприятие не может отказать вам в обслуживании, основываясь исключительно на показателе (пункт 17.2 Условий). Поскольку у предприятий возможность делиться числами по умолчанию включена, а вы сами отключить её не можете, мы чётко информируем об этой обработке в настоящей политике. Вы можете в любое время возразить против расчёта общего показателя, написав на pagalba@majevski.com. Если у нас нет убедительных законных оснований продолжать обработку, мы прекращаем её, устраняя связи вашего Профиля DEK с карточками клиента у предприятий. В Сервисе нет настройки, которая отключала бы только общий показатель, поэтому после этого вы больше не будете видеть в своей учётной записи DEK визиты у этих предприятий, а если вы снова свяжете карточки, общий показатель снова будет рассчитываться. После удаления Профиля DEK общий показатель сразу перестаёт рассчитываться.

4.12. Защита от злоупотреблений. Чтобы защитить Сервис, его пользователей и общую инфраструктуру отправки уведомлений от подбора паролей, фиктивных Учётных записей, фиктивных бронирований и спама, мы обрабатываем IP-адреса, хеш-значения адресов электронной почты (SHA-256) и домены электронной почты, количество запросов с одного IP-адреса или контакта за определённое время, результаты проверок защиты форм от роботов и информацию о подозрительных действиях (категорию, например подбор паролей, фиктивную учётную запись или спам, и место, где действие было замечено). Эти меры применяются ко всем, а не только к Клиентам: при входе в систему, создании Учётной записи, запросе восстановления пароля или одноразового кода, бронировании визита, использовании ссылок визита и ссылок для отказа от писем и при записи в список ожидания.

4.13. M Blacklist. M Blacklist (black.majevski.com) является нашей собственной базой данных угроз. Когда превышено допустимое количество запросов, вход блокируется после неудачных попыток или срабатывает защита форм, в M Blacklist может передаваться IP-адрес, а в случае срабатывания защиты форм и хеш-значение адреса электронной почты, вместе с категорией, местом, где действие было замечено, и результатом проверки защиты форм. Сервис получает из M Blacklist перечень подтверждённых угроз (IP-адреса и их диапазоны, хеш-значения адресов электронной почты и домены электронной почты) и сравнивает с ним проверяемый IP-адрес, хеш-значение адреса электронной почты и домен электронной почты; пока копия перечня в Сервисе не подготовлена, эти данные для проверки отправляются в M Blacklist. Сообщения в M Blacklist направляют сайты, зарегистрированные и подтверждённые её администратором, а запись попадает в перечень подтверждённых угроз только тогда, когда её подтверждают несколько независимых сайтов или сайт, который администратор M Blacklist отметил как доверенный. Перечень подтверждённых угроз (без имён и адресов электронной почты) M Blacklist публикует через открытый программный интерфейс и функцию копирования перечня, которыми без аккаунта может пользоваться любой сайт или иное лицо, желающее защитить свои сервисы от злоупотреблений, включая другие связанные с Оператором сервисы (пункт 21.6 Условий); информацию об этих сервисах мы предоставляем по запросу, направленному по электронной почте pagalba@majevski.com.

4.14. Источник данных о защите и основание. Данные о защите мы получаем из запросов с вашего устройства и из M Blacklist, в которую сообщения направляют и другие сайты. Основание: законный интерес в обеспечении безопасности Сервиса, его пользователей и общей инфраструктуры отправки и в предотвращении злоупотреблений (пункт f части 1 статьи 6 и пункт 49 преамбулы GDPR). Мы считаем, что ваши интересы, права и свободы не преобладают над этим интересом, поскольку в публикуемом перечне нет имён и адресов электронной почты, запись публикуется только после её подтверждения несколькими независимыми сайтами или сайтом, отмеченным как доверенный, и удаляется по истечении 90 дней с последнего подтверждения, а необоснованно внесённые данные мы удаляем, получив ваше обращение (пункт 9.3). Из Сервиса в M Blacklist поступают IP-адреса, хеш-значения адресов электронной почты и краткая информация о событии (категория, место, где оно было замечено, и результат проверки защиты форм), а пока копия перечня в Сервисе не подготовлена, также проверяемые домены электронной почты; в перечне подтверждённых угроз содержатся только IP-адреса и их диапазоны, хеш-значения и домены, поэтому мы не можем индивидуально информировать лиц, о которых сообщили другие сайты; эту информацию мы публикуем в настоящей политике (пункт b части 5 статьи 14 GDPR). Автоматизированные решения и их пересмотр описаны в разделе 9.

5. Посетители сайта и Страниц записи

5.1. Необходимые cookie. На сайте и на Страницах записи мы используем необходимые cookie: сессии (dek_s), выбора в отношении cookie (dek_consent), языка (dek_lang), защиты форм (dek_pub) и, если при входе вы отмечаете «Оставаться в системе», запоминания входа (dek_r). Согласие на них не требуется, поскольку они необходимы для предоставления запрошенной вами услуги (часть 4 статьи 73 Закона Литовской Республики об электронных коммуникациях). Основание: законный интерес в обеспечении работы и безопасности сайта (пункт f части 1 статьи 6 GDPR). Полный перечень и сроки действия приведены в Политике cookie.

5.2. Реестр согласий. Когда вы выбираете, какие cookie разрешаете, мы фиксируем случайный идентификатор устройства, ваш выбор и его время, версию Политики cookie, язык, усечённый IP-адрес и данные браузера. Основание: правовая обязанность подтвердить получение согласия (пункт c части 1 статьи 6 и часть 1 статьи 7 GDPR).

5.3. Аналитика. С вашего согласия на аналитические cookie мы используем Google Analytics и собственную систему аналитики nda.lt, чтобы понимать, как посетители пользуются сайтом и Страницами записи, и совершенствовать Сервис; на каких страницах и на каких условиях работают эти средства, указано в пункте 5.4. Эти средства обрабатывают случайный идентификатор посетителя, хранящийся в cookie (Google Analytics: _ga и _ga_ с идентификатором ресурса) или в памяти браузера (nda.lt: visitor_uuid), посещённые страницы и их названия, сведения о том, откуда вы пришли, время посещения, а также, в зависимости от средства, клики, прокрутку и факт отправки формы (без введённых в форму данных), размер экрана, тип устройства, браузер, часовой пояс и IP-адрес, который сервер аналитики получает при установлении соединения. nda.lt также получает полный адрес страницы с параметрами запроса, а на сайте (не на Страницах записи) получает также место клика и текст элемента, по которому выполнен клик, длиной до 61 символа (например, надпись на кнопке или ссылке) и может получать адреса и надписи ссылок, по которым выполнен переход. Основание: ваше согласие (пункт a части 1 статьи 6 GDPR; часть 4 статьи 73 Закона Литовской Республики об электронных коммуникациях). Если вы не даёте согласия, аналитика не включается, а сайт и Страницы записи работают так же.

5.4. Где работает аналитика и чего она не получает. Аналитика может работать на сайте и на Страницах записи, за исключением Страниц записи тех предприятий, Владелец которых не принял сам Условия версии 2.1 или более поздней версии ни при создании Учётной записи, ни в Сервисе; одного уведомления о новой версии Условий для этого недостаточно. Это условие не применяется к Странице записи демонстрационной учётной записи (пункт 5.9). Она никогда не работает на страницах, адрес которых содержит персональную ссылку или ключ доступа, например на страницах управления визитом, отказа от писем, учётной записи DEK и восстановления пароля, а эти страницы не передают свой адрес следующей открываемой странице. Аналитика также не используется в рабочей среде Сервиса, предназначенной для вошедших в систему Пользователей. В Google Analytics адреса страницы и ссылающейся страницы передаются без параметров запроса, а на Страницах записи функция Google signals и персонализация рекламы отключены. Если вы соглашаетесь и с маркетинговыми cookie, на сайте (не на Страницах записи) данные Google Analytics могут использоваться и для рекламных функций Google, а Google может устанавливать дополнительные cookie. На Страницах записи, помимо Google Analytics, может работать только такое средство аналитики, которое мы отметили как разрешённое для использования там, а такую отметку мы присваиваем только средству, настроенному так, чтобы не фиксировать место клика, текст элементов, по которым выполнен клик, и ссылки, по которым выполнен переход (их адреса и надписи), не записывать сеансы и не создавать тепловые карты. Если nda.lt работает на Странице записи, эта система может получать там данные, указанные в пункте 5.3, включая полный адрес страницы с параметрами запроса (персональных ссылок или ключей доступа в нём нет), но не получает место клика, текст элементов, по которым выполнен клик, а также адреса и надписи ссылок, по которым выполнен переход. Средства аналитики не получают данные, которые вы вводите или выбираете в форме бронирования. На Страницах записи данные аналитики мы обрабатываем как самостоятельный контролёр данных, а не от имени предприятия (пункт 21.6 Условий).

5.5. Meta Pixel. С вашего согласия на маркетинговые cookie мы используем на сайте Meta Pixel, чтобы измерять эффективность своей рекламы и иметь возможность показывать рекламу на платформах Meta. Meta Pixel обрабатывает идентификаторы, хранящиеся в cookie (_fbp, а если вы пришли по ссылке, нажатой на платформе Meta, и _fbc), адреса посещённых страниц и страницы, с которой вы пришли, действия на сайте, данные браузера и устройства и IP-адрес. Если вы пришли на сайт, нажав ссылку на Странице записи предприятия, Meta может получить и адрес этой страницы, по которому можно определить предприятие. Основание: ваше согласие (пункт a части 1 статьи 6 GDPR; часть 4 статьи 73 Закона Литовской Республики об электронных коммуникациях). На Страницах записи Meta Pixel и иные рекламные средства (например, Google Ads) не работают; если бы предприятие в письменной форме попросило установить их на его Странице записи (пункт 21.6 Условий), мы бы до этого обновили настоящую политику. В отношении сбора данных на сайте и их передачи Meta Platforms Ireland Limited мы и Meta Platforms Ireland Limited являемся совместными контролёрами данных (статья 26 GDPR). Мы отвечаем за то, чтобы данные собирались только с вашего согласия и чтобы вы получили настоящую информацию; свои права в отношении данных, которые Meta Platforms Ireland Limited хранит после их получения, вы можете реализовать и непосредственно в отношении этой компании. Полученные данные Meta Platforms Ireland Limited обрабатывает как самостоятельный контролёр данных согласно своей политике конфиденциальности. В отношении совместной обработки вы можете реализовать свои права как в отношении нас, так и в отношении Meta Platforms Ireland Limited.

5.6. Отзыв согласия. Используемые в настоящее время средства аналитики и маркетинга указаны в Политике cookie. Там же вы можете в любое время изменить или отозвать согласие; со Страницы записи Политику cookie можно открыть по ссылке на Политику конфиденциальности внизу страницы. Ваш выбор сохраняется в cookie dek_consent и действует для всего сайта https://dek.lt, включая Страницы записи всех предприятий, в этом браузере 180 дней, если вы не измените его раньше и не изменится версия Политики cookie; в таком случае мы снова попросим вас сделать выбор. После отзыва согласия средства аналитики и маркетинга в этом браузере больше не загружаются. Отзыв не влияет на законность обработки, осуществлённой до него.

5.7. Журналы сервера. Сервер Сервиса записывает в журнал ошибки, события безопасности, предупреждения и некоторые иные технические события (например, когда не удалось отправить письмо или отправка на несуществующий адрес отключена): адрес запроса (в нём может содержаться и персональная ссылка), метод запроса, IP-адрес и обстоятельства события, например идентификатор Учётной записи или записи клиента либо адрес электронной почты получателя, если письмо отправить не удалось. Поставщик хостинга может обрабатывать журналы доступа к серверу по своим правилам и в установленные в них сроки. Основание: законный интерес в обеспечении работы и безопасности Сервиса, выявлении и исправлении ошибок (пункт f части 1 статьи 6 GDPR).

5.8. Обращения. Когда вы пишете нам по поводу поддержки, жалобы, сообщения о незаконном контенте (раздел 20 Условий), своих прав или по иному вопросу, мы обрабатываем ваше имя, контакты, содержание обращения и наши ответы. Основания: правовая обязанность, когда обращение связано с вашими правами по GDPR или с уведомлением согласно Регламенту (ЕС) 2022/2065 (пункт c части 1 статьи 6 GDPR); исполнение договора, когда обращается Заказчик, являющийся физическим лицом (пункт b части 1 статьи 6 GDPR); в иных случаях законный интерес в ответе на обращение и защите правовых требований (пункт f части 1 статьи 6 GDPR).

5.9. Демонстрационная учётная запись. Визиты и клиенты, введённые посетителями в демонстрационной учётной записи, удаляются каждую ночь, а до этого их видят другие посетители, поэтому вводить в неё реальные персональные данные запрещается (пункт 6.7 Условий). Если на демонстрационной странице управления визитом вы всё же создаёте Профиль DEK, код отправляется на указанный реальный контакт и создаётся реальный Профиль DEK, который ночью не удаляется; вы можете удалить его в своей учётной записи DEK. Основание: законный интерес в предоставлении возможности ознакомиться с Сервисом (пункт f части 1 статьи 6 GDPR); к Профилю DEK, созданному на демонстрационной странице, применяется основание, указанное в пункте 4.4.

6. Получатели данных

6.1. Мы не продаём персональные данные. Данные мы раскрываем только получателям, указанным в настоящем разделе, и только в той мере, в какой это необходимо для целей, указанных в настоящей политике. Обработчики данных обрабатывают данные от нашего имени согласно заключённым с ними условиям обработки данных. Заказчики (предприятия) получают из данных, контролёром которых являемся мы, подтверждённый контакт связанного Клиента (пункт 4.6), общий Показатель надёжности (пункт 4.10) и уведомления о входах Оператора в их Учётную запись (пункт 3.8). Перечень подтверждённых угроз M Blacklist публикуется в открытом доступе (пункт 6.7).

6.2. UAB „Interneto vizija“ (код юридического лица 126350731, J. Kubiliaus g. 6, 08234 Vilnius, Литва), обработчик данных: услуги хостинга серверов, базы данных, файлов и резервных копий Сервиса и M Blacklist, почтовых серверов Сервиса (отправки писем, получения отклонённых писем и ответов) и почтового ящика, на который поступают обращения по адресу pagalba@majevski.com. Серверы находятся в Литве (в Европейском союзе).

6.3. Hostinger International Limited (61 Lordou Vironos str., 6023 Larnaca, Кипр), обработчик данных: услуги хостинга наших систем asms.lt (через эту систему отправляются SMS-коды, если в Сервисе не настроен ключ VertexSMS), 1e.lt и nda.lt на серверах в Европейском союзе. nda.lt обрабатывает данные аналитики, указанные в пункте 5.3, а через 1e.lt отправляются кампании предприятий; данные этих кампаний мы обрабатываем согласно СОД.

6.4. Stripe Payments Europe, Limited (The One Building, 1 Grand Canal Street Lower, Dublin D02 H210, Ирландия), поставщик платёжных услуг. Платежи Заказчиков за Сервис Stripe обрабатывает как наш обработчик данных, а в собственных целях, например для предотвращения мошенничества и отмывания денег и исполнения иных правовых обязанностей, как самостоятельный контролёр данных согласно своей политике конфиденциальности. Данные Клиентов Stripe не получает.

6.5. Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ирландия), поставщик услуги Google Analytics и обработчик данных согласно условиям обработки данных рекламных сервисов Google (Google Ads Data Processing Terms), получает данные аналитики, указанные в пункте 5.3.

6.6. Meta Platforms Ireland Limited (Block J, Serpentine Avenue, Dublin 4, Ирландия) получает данные Meta Pixel, указанные в пункте 5.5, как совместный контролёр данных в отношении их сбора и передачи, а в дальнейшем обрабатывает их как самостоятельный контролёр данных.

6.7. M Blacklist и другие наши сервисы. Сервисами M Blacklist, asms.lt, 1e.lt и nda.lt управляем мы сами, поэтому они не являются отдельными получателями данных; их поставщики хостинга указаны в пунктах 6.2 и 6.3. Получателями перечня подтверждённых угроз M Blacklist являются все, кто пользуется общедоступным программным интерфейсом M Blacklist или копией перечня для защиты своих сервисов, включая другие связанные с Оператором сервисы (пункт 4.13).

6.8. Поставщики услуг связи и электронной почты. SMS-код доставляет вам оператор мобильной связи, а электронные письма ваш поставщик услуг электронной почты (например, Gmail или Outlook). Они действуют как поставщики услуг электронных коммуникаций или электронной почты согласно своим условиям, а не как наши обработчики данных.

6.9. Сервисы, выбранные Заказчиком или вами. Когда Член команды подписывается на Ссылку на календарь в Google, Apple, Microsoft или ином календарном сервисе, поставщик этого сервиса по указанию Заказчика получает данные о визитах, включая имена и номера телефонов Клиентов и заметки (пункты 18.1 и 18.2 Условий). Когда на странице управления визитом вы нажимаете ссылку для добавления визита в Google Календарь, Google получает время визита, услуги, название и адрес предприятия или ссылку на онлайн-встречу. Эти поставщики не являются нашими обработчиками данных.

6.10. Государственные органы, консультанты и правопреемник. Данные мы предоставляем судам, правоохранительным и иным государственным органам, когда этого требует законодательство или законное указание органа (пункт 20.7 Условий). В необходимой мере мы можем раскрывать данные поставщикам бухгалтерских, юридических и иных профессиональных услуг, а также банкам, через которые поступают платежи. В случае передачи бизнеса Сервиса или его части данные передаются приобретателю или правопреемнику (пункт 33.2 Условий).

6.11. SIA VERTEX LV (регистрационный номер 50003866501, Mihoelsa iela 66-10, Daugavpils, LV-5401, Латвия; контакт по вопросам защиты данных dp-lv@vertexsms.com), поставщик услуги VertexSMS и обработчик данных: отправка SMS-сообщений от отправителя «DEK», то есть одноразовых кодов Профиля DEK (пункт 4.5) и отправляемых по указанию предприятий кодов для подтверждения номеров телефона на Страницах записи и в карточках клиента. Поставщик получает номер телефона, текст сообщения с кодом, отправителя и время отправки, а нам возвращает отчёт о доставке с кодом сети мобильной связи. Поставщик учреждён в Латвии (в Европейском союзе); телекоммуникационные партнёры, которых он привлекает для доставки сообщения, могут обрабатывать номер и текст сообщения и за пределами Европейской экономической зоны (пункт 7.7).

7. Передача данных за пределы Европейской экономической зоны

7.1. База данных и файлы Сервиса, а также их резервные копии хранятся на серверах в Европейском союзе (пункт 7.7 Условий). За пределы Европейской экономической зоны (ЕЭЗ) данные могут передаваться в случаях, указанных в настоящем разделе. UAB „Interneto vizija“ в перечне субобработчиков своего соглашения об обработке данных указывает и компании, учреждённые за пределами ЕЭЗ (в Соединённых Штатах Америки, Соединённом Королевстве, Канаде, Сингапуре и Пакистане), однако не указывает, какие из них могут получить доступ к данным нашего сервера. Этот перечень и известную нам информацию о применяемых мерах защиты мы предоставляем по запросу (пункт 7.6). Если компании, привлечённые этой компанией или иными нашими обработчиками данных, получат доступ к данным за пределами ЕЭЗ, это допускается только с применением мер защиты, предусмотренных главой V GDPR.

7.2. Stripe. Stripe передаёт данные компании Stripe, LLC (Соединённые Штаты Америки) и может передавать их другим компаниям своей группы или поставщикам услуг в других государствах, например в Индии. Stripe, LLC сертифицирована по рамочной программе конфиденциальности данных ЕС–США, в отношении которой Европейская комиссия приняла решение о достаточности защиты (Исполнительное решение Комиссии (ЕС) 2023/1795); кроме того, в соглашении Stripe об обработке данных и приложении о передаче данных предусмотрены стандартные договорные условия, утверждённые Исполнительным решением Комиссии (ЕС) 2021/914.

7.3. Google. Google Ireland Limited может передавать данные Google Analytics компании Google LLC (Соединённые Штаты Америки) и другим компаниям группы Google. Google указывает, что при таких передачах опирается на рамочную программу конфиденциальности данных ЕС–США, по которой сертифицирована Google LLC, а там, где она не применялась бы, на стандартные договорные условия, предусмотренные условиями обработки данных рекламных сервисов Google (Исполнительное решение Комиссии (ЕС) 2021/914).

7.4. Meta. Meta Platforms Ireland Limited может передавать полученные данные Meta Platforms, Inc. (Соединённые Штаты Америки), которая сертифицирована по рамочной программе конфиденциальности данных ЕС–США. Дальнейшую передачу Meta осуществляет как самостоятельный контролёр данных согласно своей политике конфиденциальности.

7.5. Календари. Поставщики календарных сервисов, получающие данные Ссылок на календарь по указанию Заказчика, и Google, когда вы сами добавляете визит в Google Календарь, могут обрабатывать данные за пределами ЕЭЗ согласно своим условиям (пункт 18.2 Условий).

7.6. Копии документов о мерах защиты. Копию стандартных договорных условий и иных применяемых мер защиты или информацию о том, где их найти, мы предоставляем по запросу, направленному по электронной почте pagalba@majevski.com. Stripe, Google и Meta публикуют эти документы и на своих сайтах.

7.7. Поставщик SMS-услуг. SIA VERTEX LV учреждена в Латвии, однако для доставки SMS-сообщения привлекает телекоммуникационных партнёров, которые могут находиться и за пределами ЕЭЗ, поэтому номер телефона и текст сообщения с кодом могут обрабатываться за пределами ЕЭЗ; конкретные государства поставщик не указывает. В своей политике конфиденциальности (https://vertexsms.com/en/privacy) поставщик заявляет, что передаёт данные за пределы ЕЭЗ только с применением надлежащих механизмов трансграничной передачи данных и согласованных с партнёрами в договорах обязательств по защите данных. Опубликованную поставщиком и известную нам информацию об этих мерах защиты мы предоставляем по запросу (пункт 7.6).

8. Сроки хранения

8.1. Мы храним данные не дольше, чем это необходимо для целей, в которых они обрабатываются. Указанные ниже сроки исчисляются с момента создания записи, если не указано иное. По истечении срока данные удаляются или обезличиваются.

8.2. Договор и аккаунты. Данные аккаунтов Заказчика, Владельца и Пользователей, данные Плана, подписки и администрирования Договора (включая внутренние заметки о Заказчике) и показатели использования Сервиса Заказчиком хранятся в течение срока действия Договора. Если Заказчик удаляет Члена команды, связанный с ним доступ Пользователя для входа отключается, однако его данные хранятся до прекращения Договора; доступ для входа Пользователя с ролью Регистратуры удаляется сразу (пункт 30.9 Условий). После прекращения Договора применяется раздел 30 Условий: по истечении 30-дневного периода получения данных данные удаляются из активных систем не позднее чем через 60 дней. Обобщённая обезличенная статистика может храниться и далее.

8.3. Доказательства и бухгалтерский учёт. Записи о принятии Условий и СОД (включая IP-адрес и данные браузера) хранятся до 10 лет после прекращения Договора (общий срок исковой давности составляет 10 лет; пункт 30.8 Условий). Выставленные нами счета хранятся 10 лет (пункт 3.15 Указателя сроков хранения документов внутреннего администрирования). Уведомления Stripe о платежах хранятся в Сервисе 3 месяца; записи о плательщике в нашем аккаунте Stripe (адрес электронной почты Владельца и название предприятия), а также записи о платежах и счетах хранятся столько же, сколько счета, а данные, которые Stripe обрабатывает в собственных целях, Stripe хранит по своим правилам. Записи о входах Оператора в Учётные записи и уведомления о них хранятся 13 месяцев.

8.4. Безопасность и технические данные. Записи журнала безопасности (с IP-адресами, а в некоторых записях, например о входах, восстановлении пароля и отклонённом создании Учётной записи, и с адресами электронной почты) хранятся 90 дней, файлы журнала сервера 30 дней, данные сессий не более 2 дней после последнего действия в сессии. Запросы на восстановление пароля удаляются по истечении 7 дней после окончания срока действия ссылки (ссылка действует 60 минут), токены функции «Оставаться в системе» через 30 дней, записи об ограничении частоты запросов по истечении 1 дня после окончания периода ограничения, записи о неудавшихся фоновых задачах по истечении 90 дней после сбоя.

8.5. Уведомления. Записи об отправке уведомлений (получатель и статус, без содержания письма) хранятся 12 месяцев, события доставки электронных писем (отклонённые письма и переходы по ссылкам Сервиса) 90 дней, журнал доставки с маскированными адресами 14 дней. Сообщения об отклонённых письмах и ответы на приглашения календаря поступают в предназначенную для этого папку почтового ящика Сервиса. Выполняемая ежечасно задача Сервиса автоматически удаляет из этой папки письма, с момента получения которых прошло более 90 дней; конкретный момент удаления мы не гарантируем. Поставщик хостинга почтовых серверов хранит создаваемые им копии и журналы по своим правилам.

8.6. Профиль DEK и защита. Данные Профиля DEK хранятся, пока вы не удалите Профиль DEK; они не удаляются вместе с данными предприятия (пункт 30.9 Условий). Записи об одноразовых кодах хранятся 90 дней. Записи об SMS-сообщениях, отправленных от нашего имени (пункт 4.5), в которых указаны номер получателя, цель, поставщик, число частей сообщения, статус из отчёта о доставке, цена поставщика и цена, взимаемая с предприятия, время и IP-адрес запроса на отправку, но не текст сообщения, а также записи о подтверждении номера телефона (номер, время, способ, IP-адрес и данные браузера, а если номер подтверждён вручную, и кто его подтвердил) хранятся 12 месяцев. Тексты кодов, отправленных SMS-сообщениями, и номера телефонов SIA VERTEX LV хранит согласно своим условиям (согласно её политике конфиденциальности по умолчанию два месяца), а в нашем аккаунте asms.lt и на устройстве отправки SMS они удаляются не позднее чем через 90 дней. Записи о сообщениях, отправляемых в M Blacklist, хранятся в Сервисе 90 дней с момента отправки сообщения, а запись о неотправленном сообщении хранится 90 дней с момента её создания. Записи M Blacklist хранятся 90 дней с последнего подтвердившего их сообщения; находящаяся в Сервисе их копия периодически обновляется, а утратившие силу записи удаляются из неё по завершении обновления и при выполнении ежедневной задачи Сервиса. Пока в Сервисе ещё не подготовлена копия перечня, результат проверки (включая результат о том, что угроза не обнаружена) вместе с проверенным IP-адресом, хеш-значением адреса электронной почты или доменом используется 10 минут и удаляется при первом выполнении ежедневной задачи Сервиса после истечения этих 10 минут или раньше, когда копия подготавливается впервые.

8.7. Посетители. Записи реестра согласий на использование cookie хранятся в течение срока действия согласия (180 дней) и ещё 1 год. Данные событий и данные уровня пользователя Google Analytics, связанные с идентификатором посетителя, хранятся не более 14 месяцев с последнего посещения, данные аналитики nda.lt не более 14 месяцев с момента их сбора; обобщённые отчёты, по которым невозможно установить личность, могут храниться дольше. Данные, собранные Meta Pixel, компания Meta Platforms Ireland Limited хранит по своим правилам. Сроки действия cookie указаны в Политике cookie. Записи списка ожидания хранятся 12 месяцев. Визиты и клиенты, введённые в демонстрационной учётной записи, удаляются в следующую ночь.

8.8. Обращения. Переписка и документы рассмотрения обращений хранятся, пока обращение рассматривается, а после этого только в той мере, в какой это необходимо для подтверждения ответа и защиты возможных правовых требований в связи с ним.

8.9. Резервные копии. В резервных копиях, создаваемых поставщиком хостинга, данные сохраняются до обычной перезаписи копий с установленной им периодичностью (пункт 24.3 Условий). Для расследования ошибки, технического обслуживания или предоставления данных, указанных в пункте 30.4 Условий, уполномоченные Оператором лица могут создать копию базы данных Сервиса или её части на устройстве Оператора; такая копия используется только для этой цели и удаляется, когда она больше не нужна, но не позднее чем через 14 дней после её создания. После прекращения Договора к данным Учётной записи, включая Данные Клиентов, применяется пункт 30.7 Условий: в резервных копиях они сохраняются не более 90 дней с момента удаления из активных систем.

8.10. Более длительное хранение. Мы храним данные дольше только в той мере, в какой этого требует законодательство или в какой они необходимы для предъявления или защиты правовых требований, например до завершения спора или разбирательства, связанного с нарушением (пункт 30.8 Условий).

9. Автоматизированные решения

9.1. Что проверяется и что решается. Средства защиты от злоупотреблений принимают решения автоматически, без участия человека. Если ваш IP-адрес отмечен в M Blacklist как подтверждённая угроза, а его оценка достигает установленного нами порога, Сервис отклоняет вход, создание Учётной записи, отправку письма для восстановления пароля, отправку одноразового кода, бронирование на Странице записи или запись в список ожидания. Если так отмечены хеш-значение введённого адреса электронной почты или домен электронной почты, а их оценка достигает этого порога, Сервис отклоняет создание Учётной записи, бронирование, запись в список ожидания или отправку одноразового кода по электронной почте на странице входа в учётную запись DEK. Если IP-адрес отмечен, но оценка порога не достигает, для входа Пользователя допускается меньше попыток. При превышении лимитов запросов (например, после 5 неудачных попыток входа в течение 15 минут) действие временно блокируется.

9.2. Последствия. Из-за отклонения вы можете не иметь возможности забронировать визит онлайн, войти в систему, создать Учётную запись или получить код. Чтобы лица, допускающие злоупотребления, не могли обойти защиту, отклонение может отображаться как общее сообщение (например, «Слишком много попыток»), как обычное подтверждение, хотя код или письмо не отправляются, или, при создании Учётной записи, как перенаправление на страницу входа без пояснения. Одним и тем же IP-адресом могут пользоваться несколько лиц (например, в сети мобильной связи), поэтому средство может сработать и ошибочно. Ваша карточка клиента, визиты и Показатель надёжности из-за отклонения не изменяются. Эти решения принимаются только в целях защиты от злоупотреблений и действуют ограниченное время, а Клиент по вопросу визита может обратиться к предприятию напрямую. Поэтому мы считаем, что они, как правило, не влекут для вас правовых последствий и не оказывают на вас аналогичного существенного воздействия, как указано в части 1 статьи 22 GDPR, однако в любом случае мы обеспечиваем меры защиты, указанные в пункте 9.3.

9.3. Пересмотр человеком. Вы имеете право требовать, чтобы решение пересмотрел человек, выразить свою точку зрения и оспорить решение. Напишите на pagalba@majevski.com, указав, когда и какое действие вы пытались выполнить. Обращение без неоправданной задержки, не позднее чем в течение одного месяца, рассматривает ответственное лицо Оператора (пункт 11.3; пункт 17.7 Условий), а необоснованно внесённые данные мы удаляем из M Blacklist.

9.4. Что не является автоматизированным решением. Показатель надёжности сам по себе не отклоняет и не изменяет бронирования и не принимает в отношении вас никаких иных решений. Иные автоматические действия Сервиса, например изменение статуса визита по ответу Клиента SMS-сообщением или отметка визита как состоявшегося после его окончания, выполняются от имени предприятий согласно Условиям и СОД. Также от имени предприятий, в целях защиты общей инфраструктуры отправки: если почтовый сервер получателя уже при отправке отказывается принять письмо, поскольку адрес не существует, отправка электронных писем на этот адрес отключается в карточке клиента этого предприятия, а если сообщение о том, что адрес не существует, поступает в почтовый ящик Сервиса, отправка отключается в карточках клиента всех предприятий с этим адресом, независимо от того, чьё письмо было отклонено (пункт 15.3 Условий).

10. Безопасность

10.1. Мы применяем, в частности, следующие технические и организационные меры: данные передаются по зашифрованному соединению HTTPS; пароли хранятся только в виде хеш-значений; одноразовые коды, ссылки для восстановления пароля и токены функции «Оставаться в системе» хранятся в виде хеш-значений и действуют ограниченное время; API-ключи asms.lt Заказчиков хранятся в зашифрованном виде; доступные Пользователям функции Учётной записи зависят от роли, назначенной Заказчиком; применяются ограничение частоты запросов и защита от злоупотреблений; важные действия фиксируются в журнале безопасности; каждый вход Оператора в Учётную запись с правами Пользователя фиксируется; данные платёжных карт вводятся только на страницах Stripe.

10.2. Уполномоченные Оператором лица, имеющие доступ к персональным данным, обязаны соблюдать их конфиденциальность.

10.3. Ни одна система не может обеспечить полную безопасность, поэтому мы не гарантируем, что нарушений безопасности не будет. Если произойдёт нарушение безопасности персональных данных, связанное с данными, контролёром которых мы являемся, в случаях, установленных законодательством, мы без неоправданной задержки уведомим о нём Государственную инспекцию по защите данных, а если нарушение может создать высокий риск для ваших прав и свобод, то и вас. О нарушениях, связанных с Данными Клиентов, мы уведомляем предприятия согласно СОД.

10.4. Вы также способствуете безопасности: не передавайте другим данные для входа, ссылки на визит и Ссылки на календарь, а о подозрении на несанкционированный доступ незамедлительно сообщайте на pagalba@majevski.com.

11. Ваши права

11.1. В отношении данных, контролёром которых мы являемся, вы имеете право: 1) получить доступ к своим данным и их копию (статья 15 GDPR); 2) требовать исправления неточных данных (статья 16 GDPR); 3) требовать удаления данных (статья 17 GDPR); 4) требовать ограничения их обработки (статья 18 GDPR); 5) получить предоставленные вами данные в структурированном, общепринятом и машиночитаемом формате и передать их другому контролёру, если обработка основана на согласии или договоре и осуществляется автоматизированными средствами (статья 20 GDPR); 6) в любое время отозвать согласие; 7) возразить против обработки (статья 21 GDPR); 8) требовать, чтобы автоматически принятое решение средств защиты пересмотрел человек, выразить свою точку зрения и оспорить решение (раздел 9). Эти права не являются абсолютными: например, мы не можем удалить данные, которые обязаны хранить в соответствии с законодательством или которые необходимы для защиты правовых требований.

11.2. Право на возражение. Когда мы обрабатываем данные на основании законного интереса (например, в целях общего Показателя надёжности, защиты от злоупотреблений, ведения журналов или статистики), вы можете по причинам, связанным с вашей конкретной ситуацией, в любое время возразить против такой обработки. В таком случае мы прекращаем обработку, если не докажем, что у нас есть убедительные законные основания, которые преобладают над вашими интересами, правами и свободами, или что данные необходимы для предъявления, осуществления или защиты правовых требований. По запросу, направленному по электронной почте pagalba@majevski.com, вы получите разъяснение, почему мы считаем, что ваши интересы, права и свободы не перевешивают наши законные интересы.

11.3. Как реализовать права. Пишите на pagalba@majevski.com. Чтобы не раскрыть данные другому лицу, мы можем попросить подтвердить личность, например написать с адреса электронной почты, указанного в Сервисе, или предоставить дополнительную информацию. Мы отвечаем без неоправданной задержки, не позднее чем в течение одного месяца с момента получения запроса. С учётом сложности и количества запросов мы можем продлить этот срок ещё на два месяца, сообщив об этом и о причинах в течение первого месяца (часть 3 статьи 12 GDPR). Права реализуются безвозмездно, за исключением случаев, указанных в части 5 статьи 12 GDPR.

11.4. Что вы можете сделать сами. Клиент в своей учётной записи DEK может просматривать визиты у связанных предприятий и свой общий Показатель надёжности, изменять имя, фамилию и фотографию и удалить Профиль DEK; адрес электронной почты или номер телефона можно изменить, только написав на pagalba@majevski.com. От писем можно отказаться по ссылке в письме, а язык уведомлений выбрать на странице управления визитом. Пользователь может изменить в Сервисе своё имя, язык и пароль; иными данными Пользователя и доступом распоряжается Заказчик. Согласие на использование cookie можно изменить на странице Политики cookie.

11.5. Данные, контролёром которых является предприятие. По вопросам данных, которые предприятие обрабатывает о вас как контролёр (карточка клиента, визиты, заметки, SMS-сообщения, согласия на получение уведомлений), обращайтесь к предприятию. Как обработчик данных мы помогаем предприятию обеспечивать реализацию ваших прав согласно СОД, а направленный нам запрос без неоправданной задержки пересылаем предприятию (пункт 2.2).

11.6. Жалоба. Если вы считаете, что ваши данные обрабатываются с нарушением законодательства, предлагаем сначала обратиться к нам. Вы также имеете право подать жалобу в Государственную инспекцию по защите данных (L. Sapiegos g. 17, 10312 Vilnius, электронная почта ada@ada.lt, vdai.lrv.lt) или в надзорный орган государства-члена ЕС, в котором вы проживаете, работаете или в котором совершено предполагаемое нарушение. Если жалоба касается прав, указанных в статьях 15–22 GDPR, Государственная инспекция по защите данных просит указать, как вы сначала обращались к нам, и не рассматривает жалобу, поданную до истечения одномесячного срока для ответа (статьи 24 и 27 Закона Литовской Республики о правовой защите персональных данных).

12. Дети

12.1. Сервис предназначен для бизнеса. Профиль DEK не предназначен для лиц младше 14 лет; возраст мы не проверяем.

12.2. Если Профиль DEK без согласия родителей или иных законных представителей создало лицо младше 14 лет, его родители или иные законные представители могут попросить удалить этот Профиль DEK, написав на pagalba@majevski.com. Такой Профиль DEK мы удаляем, получив запрос или узнав об этом самостоятельно.

12.3. Данные несовершеннолетних Клиентов, которые вводит предприятие (например, бронируя визит ребёнка), обрабатывает предприятие как контролёр, и оно отвечает за соблюдение применимых к ним требований (пункт 12.6 Условий).

13. Изменения политики

13.1. Мы обновляем настоящую политику, когда изменяются функции Сервиса, обработка данных или законодательство. Изменения политики не являются изменениями Договора (пункт 21.2 Условий).

13.2. О существенных изменениях, например о новых целях обработки, новых категориях получателей данных или новой передаче за пределы ЕЭЗ, мы не менее чем за 14 дней сообщаем на сайте, а Заказчикам также по электронной почте или уведомлением в Сервисе, за исключением случаев, когда изменение необходимо немедленно в силу требований законодательства или по соображениям безопасности. Если для новой обработки требуется согласие, мы его запросим.

13.3. Действующая версия с номером версии и датой обновления публикуется по адресу https://dek.lt/konfidencialnost. Предыдущие версии остаются доступными на сайте и предоставляются по запросу, направленному по электронной почте pagalba@majevski.com.

13.4. Политика составлена на литовском языке и публикуется на литовском, английском, польском и русском языках. В случае расхождения между языковыми версиями применяется текст на литовском языке.