Политика конфиденциальности

1. Ответственный за обработку данных

2. Какие персональные данные мы собираем

В зависимости от запрашиваемой услуги мы можем собирать следующие категории персональных данных – непосредственно от вас или, в соответствующих случаях, от контрагента по сделке:

• Идентификационные данные: полное имя, номер DNI / NIE / паспорта, гражданство, дата рождения.
• Контактные данные: почтовый адрес, номер(а) телефона, адрес электронной почты.
• Финансовые данные и данные о платежеспособности: сведения о доходах, банковские реквизиты и подтверждение наличия средств, когда это требуется законодательством о противодействии отмыванию денег или для проверки платежеспособности при аренде.
• Данные об объекте: адрес, кадастровый номер и характеристики объектов, которыми вы владеете, которые намерены купить, продать или сдать либо снять в аренду.
• Данные о сделках: условия бронирования, купли-продажи или аренды, записи о платежах и связанная переписка.
• Данные о просмотре сайта: IP-адрес, данные об устройстве и браузере и, с вашего согласия, аналитические данные, собираемые с помощью файлов cookie и аналогичных технологий (см. нашу Политику использования файлов cookie, раздел 3).

Как правило, мы не собираем особые категории персональных данных (статья 9 GDPR). Если такие данные становятся необходимыми в конкретном случае, мы запросим ваше явное согласие. Мы сознательно не собираем данные лиц младше 14 лет (см. раздел 8).

3. Цели, правовые основания и сроки хранения

a) Обращения и запросы на связь

Цель: обработка обращений и ответы на них, поступивших через контактные формы, по телефону, электронной почте или в чате.

Правовое основание: законный интерес ответственного за обработку (ст. 6(1)(f) GDPR) и, при необходимости, ваше согласие (ст. 6(1)(a) GDPR).

Срок хранения: в течение времени, необходимого для ответа, а также применимого срока исковой давности по возможным правовым требованиям (как правило, 3 года).

b) Управление преддоговорными и договорными отношениями

Цель: оформление и ведение сделок купли-продажи, аренды и посреднических договоров, включая проверку личности, оценку платежеспособности и проверку соответствия по объекту.

Правовое основание: исполнение договора или преддоговорных мер, принимаемых по вашему запросу (ст. 6(1)(b) GDPR).

Срок хранения: в течение срока действия договорных отношений и далее в течение сроков давности, применимых по гражданскому, торговому и налоговому праву (как правило, от 5 до 10 лет в зависимости от обязательства).

c) Соблюдение юридических обязанностей, включая ПОД/KYC

Цель: соблюдение обязанностей по законодательству о противодействии отмыванию денег (Закон 10/2010 от 28 апреля и Регламент к нему – Королевский декрет 304/2014), налоговому праву, а также нотариальным и регистрационным правилам.

Правовое основание: соблюдение юридической обязанности, применимой к ответственному за обработку (ст. 6(1)(c) GDPR).

Как агент по недвижимости, подпадающий под регулирование Закона 10/2010, SFERO по закону обязана до вступления в профессиональные отношения с клиентом:

• идентифицировать и подтвердить личность клиента, включая, при необходимости, конечного бенефициарного владельца (UBO) клиента – юридического лица;
• собрать сведения о цели и предполагаемом характере деловых отношений и, где это уместно, о происхождении средств;
• применять усиленную проверку (enhanced due diligence), когда этого требуют факторы риска (например, публичные должностные лица, сложные структуры собственности или сделки на крупные суммы);
• сообщать о любой подозрительной операции в SEPBLAC (Подразделение финансовой разведки Испании), не информируя об этом самого клиента, как того требует закон (обязанность не разглашать, no tipping-off).

Предоставление ложной, неполной или вводящей в заблуждение идентификационной либо финансовой информации является уголовно наказуемым деянием. SFERO по закону обязана отказать в поручении, отложить сделку или прекратить профессиональные отношения, если не удается получить надлежащие документы для идентификации и должной проверки.

Срок хранения: в соответствии с каждым применимым законом; как правило, десять (10) лет для документации по противодействию отмыванию денег, считая с момента прекращения деловых отношений.

d) Прямой маркетинг и коммерческие сообщения

Цель: направление информации электронными средствами (по электронной почте, SMS, через мессенджеры) о новых объектах, акциях или сопутствующих услугах, которые могут вас заинтересовать.

Правовое основание: ваше предварительное, явное и информированное согласие (ст. 6(1)(a) GDPR и ст. 21 LSSICE) либо, если вы являетесь действующим клиентом, наш законный интерес в предложении аналогичных товаров или услуг (ст. 21(2) LSSICE).

В каждом коммерческом сообщении SFERO будет четко указана как отправитель, и в нем будет предусмотрен простой и бесплатный способ отказа. Вы можете в любой момент отозвать свое согласие на получение маркетинговых сообщений следующими способами:

• перейдя по ссылке отписки, включенной в каждое маркетинговое письмо;
• направив письмо на [email protected] с темой «UNSUBSCRIBE»; или
• изменив настройки коммуникаций в своем аккаунте, где это применимо.

Запросы об отказе обрабатываются в течение десяти (10) рабочих дней. Обратите внимание, что служебные сообщения, связанные с действующим договором или текущим обращением (например, подтверждения просмотров, договорные документы или квитанции об оплате), не являются маркетинговыми и продолжат направляться независимо от отказа от маркетинга.

Срок хранения: до отзыва вами согласия или до возражения против обработки.

e) Улучшение сервиса и аналитика

Цель: анализ того, как пользователи взаимодействуют с Сайтом и нашими услугами, для улучшения контента и, при наличии согласия, для персонализированных рекомендаций объектов.

Правовое основание: ваше согласие (ст. 6(1)(a) GDPR и ст. 22(2) LSSICE); сторонние инструменты аналитики (Google Analytics 4 и Microsoft Clarity) включаются только после того, как вы его дали.

Срок хранения: в течение срока отношений с пользователем или до отзыва согласия, но не более 3 лет с момента последнего взаимодействия.

f) Безопасность Сайта и контактных форм

Цель: защита контактных форм от спама и злоупотреблений и обеспечение того, чтобы ваши обращения до нас доходили. Чтобы ограничить повторные отправки (не более 5 обращений с одного адреса электронной почты за 24 часа и не более 5 с одного IP-адреса за 10 минут), сервер хранит псевдонимизированный код (хеш SHA-256) адреса электронной почты и IP-адреса, с которого было отправлено обращение; напрямую прочитать по этому коду исходный адрес нельзя. Обращения, которые временно не удается передать в нашу систему управления клиентами (CRM), могут храниться исключительно для повторной попытки доставки. Кроме того, Cloudflare анализирует запросы, поступающие на Сайт (IP-адрес и технические данные браузера), чтобы выявлять и блокировать автоматизированный трафик и атаки, и для этого может устанавливать файлы cookie __cf_bm и cf_clearance (см. Политику использования файлов cookie). Сервер также фиксирует момент, когда вы принимаете Политику конфиденциальности и, если применимо, даете согласие на получение коммерческих сообщений, вместе с версией (датой) действующей Политики конфиденциальности.

Правовое основание: законный интерес ответственного за обработку в предотвращении спама и злоупотреблений (ст. 6(1)(f) GDPR), а в отношении записи о принятии и согласии – выполнение юридической обязанности иметь возможность доказать наличие согласия (ст. 6(1)(c) GDPR во взаимосвязи с его ст. 5(2) и 7(1)); временное хранение недоставленных обращений опирается на то же правовое основание, что и обработка вашего обращения (раздел 3(a)).

Срок хранения: хеши адреса электронной почты и IP-адреса – до 24 часов; недоставленные обращения – до 7 дней, после чего они удаляются автоматически; запись о принятии и согласии – в течение всего срока обработки, к которой она относится, а затем в течение применимого срока исковой давности по возможным правовым требованиям (как правило, 3 года).

4. Получатели и передача данных

Мы не продаем персональные данные. Они могут раскрываться третьим лицам только в следующих случаях:

• Государственные органы: налоговые органы, Реестр недвижимости, нотариусы, SEPBLAC (испанский орган по противодействию отмыванию денег) и иные органы, когда это требуется по закону.
• Обработчики данных: поставщики технологий и хостинга, юридические и бухгалтерские консультанты, а также иные подрядчики, действующие от нашего имени; все они связаны договором об обработке данных согласно статье 28 GDPR. Наш основной поставщик технологий – Cloudflare, Inc., который обеспечивает хостинг и доставку контента Сайта, обработку контактных форм до их передачи в нашу CRM, хранение фотографий объектов и безопасность Сайта. Кроме того, с помощью Cloudflare SFERO фиксирует без файлов cookie и без идентификаторов замеры скорости загрузки страниц (адрес страницы, язык, тип страницы и тип устройства) и число сканирований QR-кодов на наших баннерах и визитках (адрес страницы, язык, тип устройства и страна). Правовое основание для этих замеров – наш законный интерес в том, чтобы знать, как работает Сайт и насколько эффективны наши баннеры и визитки (ст. 6(1)(f) GDPR). Эти записи хранятся три месяца, после чего автоматически удаляются.
• Поставщики аналитики и рекламы (только с вашего согласия): Google Ireland Limited (Google Analytics 4), Microsoft Ireland Operations Limited (Microsoft Clarity: записи сессий и тепловые карты), Meta Platforms Ireland Limited и TikTok Technology Limited (рекламные пиксели). В отношении Microsoft Clarity при сборе данных на Сайте и их передаче Microsoft компании SFERO и Microsoft Ireland Operations Limited являются совместно ответственными за обработку (ст. 26 GDPR; дело C-40/17, Fashion ID): SFERO отвечает за информирование вас и получение вашего согласия, а вы можете осуществлять свои права, обратившись к любой из них. При дальнейшей обработке Microsoft выступает самостоятельным ответственным за обработку и в соответствии со своими условиями может использовать эти данные также для улучшения своих продуктов и своей рекламы; данные хранятся в центрах обработки данных Microsoft в США, а записи доступны SFERO в течение 30 дней. В пикселях Meta и TikTok включено автоматическое расширенное сопоставление: если вы приняли маркетинговые файлы cookie и заполняете или отправляете форму на Сайте, сам пиксель считывает из формы ваш адрес электронной почты, номер телефона и имя (а также может считывать город и почтовый индекс), преобразует их в вашем браузере в псевдонимизированный код (хеш SHA-256) и передает этот код Meta или TikTok, которые сравнивают его с данными аккаунтов своих пользователей, чтобы оценить эффективность рекламы SFERO и показывать вам рекламу SFERO. Этот код остается персональными данными именно потому, что позволяет провести такое сравнение. При отправке формы Сайт также сообщает Meta и TikTok, что была отправлена заявка (событие конверсии). Правовое основание – ваше согласие (ст. 6(1)(a) GDPR и ст. 22(2) LSSICE). При сборе и передаче Meta или TikTok данных, которые собирают их пиксели (включая данные расширенного сопоставления), SFERO и Meta Platforms Ireland Limited или, соответственно, TikTok Technology Limited являются совместно ответственными за обработку (ст. 26 GDPR; решение Суда ЕС от 29 июля 2019 года по делу C-40/17, Fashion ID) в соответствии с соглашениями о совместной ответственности, которые эти компании предлагают рекламодателям: SFERO отвечает за информирование вас и получение вашего согласия, а Meta или TikTok – за обеспечение прав, которые вы осуществляете в отношении полученных ими данных. Вы можете осуществлять свои права, обратившись в SFERO или в любую из этих компаний. Дальнейшая обработка со стороны Meta или TikTok регулируется их собственными политиками конфиденциальности. Вы можете в любой момент прекратить эту обработку, отозвав согласие на маркетинговые файлы cookie с помощью кнопки «Настройки cookie» (значок в виде печенья в левом нижнем углу экрана); пиксели перестанут загружаться начиная со следующей страницы, которую вы откроете.
• OpenStreetMap Foundation: при отображении карт на страницах объектов и на странице городов и районов ваш браузер запрашивает фрагменты карты с ее серверов, которые получают ваш IP-адрес, технические данные браузера и адрес Сайта, с которого отправлен запрос (sfero.es). OpenStreetMap Foundation обрабатывает эти данные как самостоятельный ответственный за обработку в соответствии со своей политикой конфиденциальности. Правовое основание: наш законный интерес в том, чтобы показать вам на карте примерное расположение объектов, а также городов и районов (ст. 6(1)(f) GDPR).
• Финансовые организации: только с вашего явного предварительного согласия – для направления заявок на ипотеку или финансирование.
• Контрагенты по сделке: покупатели, продавцы, арендодатели или арендаторы, а также их нотариусы либо законные представители – в объеме, строго необходимом для завершения сделки.
• Сотрудничающие агенты: другие агенты по недвижимости или субагенты, участвующие в продвижении конкретного объекта, когда сотрудничество необходимо для завершения сделки, при условии соблюдения обязанностей конфиденциальности.

Международная передача: некоторые поставщики (Cloudflare, Google, Microsoft, Meta и TikTok) могут обрабатывать данные в США или других третьих странах. Такая передача опирается на Имплементационное решение Комиссии (ЕС) 2023/1795 от 10 июля 2023 года об адекватности уровня защиты применительно к Рамочному соглашению ЕС–США о конфиденциальности данных (EU-U.S. Data Privacy Framework) – для сертифицированных компаний – либо на Стандартные договорные положения (SCC) Европейской комиссии. Фрагменты карт предоставляет OpenStreetMap Foundation (Великобритания, в отношении которой действует решение Европейской комиссии об адекватности) через сеть доставки контента своего поставщика Fastly, Inc., в которой на каждый запрос отвечает сервер, выбранный сетью; он может находиться за пределами Европейского экономического пространства (ЕЭП).

5. Ваши права как субъекта данных

Согласно статьям 15–22 GDPR и статьям 12–18 LOPDGDD вы можете в любой момент реализовать следующие права:

• Доступ: узнать, какими вашими персональными данными мы располагаем.
• Исправление: исправить неточные или неполные данные.
• Удаление: потребовать удаления, в частности когда данные больше не нужны для цели, ради которой были собраны.
• Возражение: возразить против обработки для определенных целей, включая прямой маркетинг.
• Ограничение: потребовать приостановления обработки в определенных случаях.
• Переносимость: получить свои данные в структурированном, широко используемом машиночитаемом формате.
• Автоматизированные решения: не быть объектом решений, основанных исключительно на автоматизированной обработке, включая профилирование, которые влекут юридические или иные существенные последствия.
• Отзыв согласия: в любой момент, без ущерба для правомерности обработки, осуществленной до отзыва.

Чтобы реализовать свои права, обратитесь к нам письменно, приложив копию документа, удостоверяющего личность, по адресу [email protected] или по почте: Calle Guillem d'Anglesola, 6, escalera B, piso 2, puerta 6, 46022 Valencia, Испания, с пометкой «Защита данных» (Data Protection). Мы ответим в течение одного месяца с момента получения; если запрос сложный, этот срок может быть продлен еще на два месяца с предварительным уведомлением. Если мы отклоняем запрос, мы объясним причину и сообщим о вашем праве подать жалобу.

Надзорный орган: вы вправе подать жалобу в Испанское агентство по защите данных (AEPD) – www.aepd.es – Calle Jorge Juan 6, 28001 Madrid, если считаете, что ваши персональные данные обрабатывались с нарушением применимого права. Тем не менее мы будем признательны за возможность урегулировать ваши вопросы напрямую, прежде чем вы обратитесь в AEPD.

6. Меры безопасности

Во исполнение статьи 32 GDPR SFERO внедрила технические и организационные меры, соразмерные риску, в том числе:

• Шифрование данных при передаче по протоколу HTTPS/TLS.
• Контроль доступа с многофакторной аутентификацией для внутренних систем.
• Регулярное резервное копирование и процедуры аварийного восстановления.
• Обучение персонала и повышение осведомленности в области защиты данных.
• Периодическая оценка рисков и тестирование на уязвимости.
• Документированная процедура выявления, регистрации и реагирования на нарушения безопасности персональных данных, включая уведомление AEPD в течение 72 часов, когда этого требует статья 33 GDPR.

7. Уведомление о нарушении безопасности данных

В случае нарушения безопасности персональных данных, способного повлечь риск для прав и свобод физических лиц, SFERO уведомит AEPD без неоправданной задержки и, по возможности, в течение 72 часов с момента, когда ей стало известно о нарушении (статья 33 GDPR). Если нарушение способно повлечь высокий риск, затронутые субъекты данных также будут уведомлены без неоправданной задержки (статья 34 GDPR).

8. Несовершеннолетние

Сайт не предназначен для лиц младше 14 лет. В соответствии со статьей 8 GDPR и статьей 7 LOPDGDD обработка данных лиц младше 14 лет требует согласия лица, обладающего родительскими правами или законным опекунством. Если нам станет известно, что мы собрали данные лица младше 14 лет без необходимого согласия, мы удалим их без промедления. Пользователи подтверждают, что им исполнилось не менее 14 лет либо что получено необходимое согласие родителей.

9. Файлы cookie

Использование файлов cookie и аналогичных технологий на Сайте регулируется нашей Политикой использования файлов cookie, которая позволяет настроить ваши предпочтения в соответствии с критериями, опубликованными AEPD.

10. Уведомление о прозрачности использования искусственного интеллекта

SFERO может использовать инструменты на базе ИИ для поддержки отдельных процессов, например для автоматического подбора объектов или оценочных расчетов стоимости, персонализированных рекомендаций объектов либо функций клиентской поддержки. Если такие инструменты применяются, они подлежат проверке человеком, и SFERO не принимает решений, влекущих юридические или аналогичные существенные последствия для физических лиц, исключительно на основе автоматизированной обработки (статья 22 GDPR). Вы можете запросить участие человека в любом связанном с вами процессе, где задействован ИИ, выразить свою точку зрения и оспорить любое решение, принятое с использованием автоматизации, обратившись по адресу [email protected]. Настоящее уведомление будет обновляться по мере внедрения конкретных инструментов с их описанием.

11. Реестр операций по обработке (ROPA)

В соответствии со статьей 30 GDPR SFERO ведет внутренний Реестр операций по обработке, документирующий операции с персональными данными. Этот реестр предоставляется AEPD по запросу и периодически пересматривается, а также всякий раз, когда вводится новая операция обработки или существенно изменяется существующая.

12. Ответственный за защиту данных

Как указано в разделе 1, назначение ответственного за защиту данных в настоящее время не является обязательным для SFERO с учетом масштаба и характера ее деятельности по обработке, и вопросы по защите данных можно направлять на [email protected]. Если в будущем SFERO назначит ответственного за защиту данных – добровольно или в связи с возникновением такой обязанности по статьям 37–39 GDPR и статье 34 LOPDGDD, – такое назначение и контактные данные DPO будут опубликованы в настоящем разделе.

13. Закон о цифровых услугах (DSA)

В той мере, в какой Сайт функционировал бы как онлайн-платформа в значении Регламента (ЕС) 2022/2065 (Закон о цифровых услугах) – например, размещая контент, создаваемый третьими лицами, – SFERO обеспечила бы механизмы прозрачности и модерации контента, требуемые этим Регламентом, включая канал для сообщений о незаконном контенте и механизм обжалования решений по контенту. В настоящее время Сайт функционирует как информационный и посреднический ресурс, а не как платформа, размещающая создаваемый третьими лицами контент; настоящий раздел будет дополнен, если это положение изменится.

14. Изменения

SFERO может в любой момент вносить изменения в настоящую Политику конфиденциальности, чтобы отразить изменения в применимом праве, своей деятельности по обработке или своих услугах. Применяется версия, опубликованная на Сайте на момент каждого посещения.

15. Применимое право и подсудность

Настоящая Политика конфиденциальности регулируется законодательством Испании. Любой спор, вытекающий из ее толкования или применения, передается, с прямым отказом от любой иной подсудности, на рассмотрение судов Валенсии, если только императивные нормы применимого права не устанавливают иной компетентный орган, в частности по спорам с потребителями.