Політика конфіденційності

1. Контролер даних

2. Які персональні дані ми збираємо

Залежно від послуги, яку ви замовляєте, ми можемо збирати такі категорії персональних даних – безпосередньо від вас або, у відповідних випадках, від контрагента за правочином:

• Ідентифікаційні дані: повне ім’я, номер DNI / NIE / паспорта, громадянство, дата народження.
• Контактні дані: поштова адреса, номер(и) телефону, адреса електронної пошти.
• Фінансові дані та дані про платоспроможність: відомості про доходи, реквізити банківського рахунку та підтвердження наявності коштів, коли цього вимагає законодавство про запобігання відмиванню коштів або перевірка платоспроможності для оренди.
• Дані про об’єкти: адреса, кадастровий номер і характеристики об’єктів, якими ви володієте або які прагнете купити, продати чи орендувати.
• Дані про правочини: умови бронювання, продажу, купівлі чи оренди, записи про платежі та пов’язане листування.
• Дані про перегляд: IP-адреса, ідентифікатори сесії та аналітичні дані, зібрані через файли cookie (див. нашу Політику щодо файлів cookie, розділ 4).

Як правило, ми не збираємо особливих категорій персональних даних (стаття 9 GDPR). Якщо такі дані стають потрібними в конкретному випадку, ми запитуватимемо вашу явну згоду. Ми свідомо не збираємо даних осіб віком до 14 років (див. розділ 8).

3. Цілі, правові підстави та строки зберігання

a) Запити та звернення

Мета: опрацьовувати запити, надіслані через контактні форми, телефоном, електронною поштою чи в чаті, і відповідати на них.

Правова підстава: законний інтерес контролера (ст. 6(1)(f) GDPR) і, у відповідних випадках, ваша згода (ст. 6(1)(a) GDPR).

Строк зберігання: на час, потрібний для відповіді, а також протягом застосовного строку позовної давності за можливими правовими вимогами (як правило, 3 роки).

b) Управління переддоговірними та договірними відносинами

Мета: оформлювати та вести домовленості щодо продажу, купівлі, оренди й посередництва, зокрема перевірку особи, оцінку платоспроможності та перевірку придатності об’єкта.

Правова підстава: виконання договору або вжиття переддоговірних заходів на ваш запит (ст. 6(1)(b) GDPR).

Строк зберігання: протягом строку дії договірних відносин, а після цього – протягом строків давності, застосовних згідно з цивільним, комерційним і податковим законодавством (як правило, від 5 до 10 років залежно від обов’язку).

c) Дотримання юридичних обов’язків, зокрема AML/KYC

Мета: виконувати обов’язки згідно із законодавством про запобігання відмиванню коштів (Закон 10/2010 від 28 квітня та підзаконний акт до нього – Королівський декрет 304/2014), податковим законодавством, а також нотаріальними правилами й правилами земельного реєстру.

Правова підстава: виконання юридичного обов’язку, що поширюється на контролера (ст. 6(1)(c) GDPR).

Як регульований агент з нерухомості згідно із Законом 10/2010, SFERO зобов’язана за законом, перш ніж вступити у професійні відносини з клієнтом:

• ідентифікувати та перевірити особу клієнта, зокрема, у відповідних випадках, кінцевого бенефіціарного власника (UBO) клієнта-юридичної особи;
• збирати інформацію про мету й передбачуваний характер ділових відносин, а у відповідних випадках – про походження коштів;
• застосовувати посилену належну перевірку, коли цього вимагають чинники ризику (наприклад, політично значущі особи, складні структури власності чи високовартісні правочини);
• повідомляти про будь-який підозрілий правочин до SEPBLAC (підрозділ фінансової розвідки Іспанії), не інформуючи про це відповідного клієнта, як цього вимагає закон (заборона розголошення, «no tipping-off»).

Надання неправдивих, неповних чи оманливих ідентифікаційних або фінансових відомостей є кримінальним правопорушенням. SFERO зобов’язана за законом відмовити в дорученні, відкласти правочин або припинити професійні відносини, якщо не вдається отримати належні документи для ідентифікації та належної перевірки.

Строк зберігання: як вимагає кожен застосовний закон; як правило, десять (10) років для документації щодо запобігання відмиванню коштів, рахуючи від припинення ділових відносин.

d) Прямий маркетинг і комерційні повідомлення

Мета: надсилати електронними засобами (email, SMS, месенджери) інформацію про нові оголошення, акції чи пов’язані послуги, які можуть вас зацікавити.

Правова підстава: ваша попередня, явна та поінформована згода (ст. 6(1)(a) GDPR і ст. 21 LSSICE) або, якщо ви вже є клієнтом, наш законний інтерес у пропонуванні подібних товарів чи послуг (ст. 21(2) LSSICE).

У кожному комерційному повідомленні буде чітко зазначено SFERO як відправника та наведено простий безкоштовний спосіб відмовитися. Ви можете будь-коли відкликати згоду на отримання маркетингових повідомлень:

• натиснувши посилання для відписки, наявне в кожному маркетинговому листі;
• надіславши лист на [email protected] з темою «UNSUBSCRIBE»; або
• змінивши налаштування комунікацій у своєму обліковому записі, де це доступно.

Запити на відмову опрацьовуються протягом десяти (10) робочих днів. Зверніть увагу: операційні повідомлення щодо чинного договору або поточного запиту (наприклад, підтвердження переглядів, договірні документи чи квитанції про оплату) не є маркетинговими й надходитимуть незалежно від відмови від маркетингу.

Строк зберігання: доки ви не відкличете згоду або не заперечите проти обробки.

e) Поліпшення послуг та аналітика

Мета: аналізувати, як користувачі взаємодіють із Сайтом і нашими послугами, щоб поліпшувати вміст і, за наявності згоди, надавати персоналізовані рекомендації об’єктів.

Правова підстава: згода (ст. 6(1)(a) GDPR) для будь-якого профілювання; законний інтерес (ст. 6(1)(f) GDPR) для узагальненої, знеособленої аналітики.

Строк зберігання: протягом строку відносин із користувачем або до відкликання згоди, але не довше ніж 3 роки від останньої взаємодії.

4. Одержувачі та передавання даних

Ми не продаємо персональних даних. Їх може бути розкрито третім особам лише в таких випадках:

• Державні органи: податкові органи, Земельний реєстр, нотаріуси, SEPBLAC (іспанський орган із запобігання відмиванню коштів) та інші органи, коли цього вимагає закон.
• Оператори (обробники даних): постачальники технологій і хостингу, юридичні та бухгалтерські консультанти й інші постачальники послуг, що діють від нашого імені, – усі зобов’язані договором про обробку даних згідно зі статтею 28 GDPR.
• Фінансові установи: лише за вашою попередньою явною згодою – для скерування щодо іпотеки чи фінансування.
• Контрагенти за правочином: покупці, продавці, орендодавці чи орендарі, а також їхні нотаріуси чи законні представники – у межах, суворо необхідних для завершення правочину.
• Агенти-партнери: інші агенти з нерухомості чи субагенти, залучені до просування конкретного об’єкта, коли співпраця потрібна для завершення правочину, з дотриманням обов’язків щодо конфіденційності.

Міжнародні передавання: як правило, ми не передаємо персональних даних за межі Європейського економічного простору (ЄЕП). Якщо оператор перебуває за межами ЄЕП, передавання здійснюється за належної гарантії, як-от Стандартні договірні положення Європейської Комісії (SCC) або рішення про адекватність.

5. Ваші права як суб’єкта даних

Згідно зі статтями 15–22 GDPR і статтями 12–18 LOPDGDD ви можете будь-коли реалізувати такі права:

• Доступ: дізнатися, які персональні дані про вас ми зберігаємо.
• Виправлення: виправити неточні або неповні дані.
• Видалення: вимагати видалення, коли, серед інших підстав, дані більше не потрібні для мети, з якою їх зібрано.
• Заперечення: заперечувати проти обробки для певних цілей, зокрема прямого маркетингу.
• Обмеження: вимагати призупинення обробки за певних обставин.
• Перенесення: отримати ваші дані в структурованому, широковживаному, придатному для машинного зчитування форматі.
• Автоматизовані рішення: не бути об’єктом рішень, ухвалених виключно автоматизовано, зокрема профілювання, що мають суттєві правові чи подібні наслідки.
• Відкликання згоди: будь-коли, без впливу на правомірність обробки, здійсненої до відкликання.

Щоб реалізувати свої права, зверніться до нас письмово, додавши копію документа, що посвідчує особу, на адресу [email protected] або поштою за адресою Calle Guillem d’Anglesola, 6, escalera B, piso 2, puerta 6, 46022 Valencia, Іспанія, до уваги служби захисту даних. Ми відповімо протягом одного місяця з дня отримання; якщо запит складний, цей строк може бути продовжено ще на два місяці з попереднім повідомленням. Якщо ми відмовимо в запиті, ми пояснимо причину та поінформуємо вас про право подати скаргу.

Наглядовий орган: ви маєте право подати скаргу до Іспанського агентства із захисту даних (AEPD) – www.aepd.es – Calle Jorge Juan 6, 28001 Madrid, якщо вважаєте, що ваші персональні дані оброблялися всупереч застосовному законодавству. Однак ми будемо вдячні за можливість розглянути ваші зауваження безпосередньо, перш ніж ви звернетеся до AEPD.

6. Заходи безпеки

На виконання статті 32 GDPR SFERO запровадила технічні та організаційні заходи, відповідні ризику, зокрема:

• Шифрування даних під час передавання за протоколом HTTPS/TLS.
• Контроль доступу з багатофакторною автентифікацією для внутрішніх систем.
• Регулярне резервне копіювання та процедури аварійного відновлення.
• Навчання персоналу та підвищення обізнаності щодо захисту даних.
• Періодичне оцінювання ризиків і тестування вразливостей.
• Задокументовану процедуру виявлення, повідомлення та реагування на порушення захисту персональних даних, зокрема повідомлення AEPD упродовж 72 годин, коли цього вимагає стаття 33 GDPR.

7. Повідомлення про порушення захисту даних

У разі порушення захисту персональних даних, що ймовірно створює ризик для прав і свобод осіб, SFERO без невиправданої затримки й, за можливості, упродовж 72 годин із моменту, коли їй стало відомо про порушення, повідомить AEPD (стаття 33 GDPR). Якщо порушення ймовірно створює високий ризик, без невиправданої затримки буде також повідомлено суб’єктів даних, яких воно стосується (стаття 34 GDPR).

8. Неповнолітні

Сайт не призначений для осіб віком до 14 років. Відповідно до статті 8 GDPR і статті 7 LOPDGDD обробка даних осіб віком до 14 років потребує згоди того, хто має батьківські права або законне опікунство. Якщо нам стане відомо, що ми зібрали дані особи віком до 14 років без потрібної згоди, ми видалимо їх без затримки. Користувачі гарантують, що їм щонайменше 14 років або що вони отримали потрібну батьківську згоду.

9. Файли cookie

Використання файлів cookie та подібних технологій на Сайті регулюється нашою Політикою щодо файлів cookie, яка дає вам змогу налаштувати вподобання відповідно до критеріїв, опублікованих AEPD.

10. Повідомлення про прозорість штучного інтелекту

SFERO може використовувати інструменти на основі штучного інтелекту для підтримки окремих завдань – наприклад, автоматизованого добору чи оцінювання об’єктів, персоналізованих рекомендацій об’єктів або функцій підтримки клієнтів. Коли такі інструменти застосовуються, вони підлягають перевірці людиною, і SFERO не ухвалює рішень, що мають правові чи подібні суттєві наслідки для осіб, виключно на основі автоматизованої обробки (стаття 22 GDPR). Ви можете вимагати втручання людини щодо будь-якого процесу за участю ШІ, що вас стосується, висловити свою позицію та оскаржити будь-яке рішення, ухвалене за сприяння автоматизації, звернувшись на [email protected]. Це повідомлення оновлюватиметься з описом конкретних інструментів у міру їх упровадження.

11. Реєстр операцій з обробки (ROPA)

Відповідно до статті 30 GDPR SFERO веде внутрішній Реєстр операцій з обробки, що документує її операції з обробки персональних даних. Цей реєстр надається AEPD за запитом і періодично переглядається, а також щоразу, коли запроваджується нова операція з обробки або суттєво змінюється наявна.

12. Відповідальний за захист даних

Як зазначено в розділі 1, призначення відповідального за захист даних наразі не є обов’язковим для SFERO з огляду на масштаб і характер її діяльності з обробки, а питання щодо захисту даних можна надсилати на [email protected]. Якщо SFERO призначить відповідального за захист даних у майбутньому – добровільно чи через те, що це стане обов’язковим за законом згідно зі статтями 37–39 GDPR і статтею 34 LOPDGDD, – відомості про таке призначення та контактні дані відповідального буде опубліковано в цьому розділі.

13. Регламент про цифрові послуги (DSA)

Якщо Сайт функціонуватиме як онлайн-платформа в розумінні Регламенту (ЄС) 2022/2065 (Регламент про цифрові послуги) – наприклад, розміщуючи вміст, створений третіми особами, – SFERO забезпечить механізми прозорості та модерації вмісту, які вимагає цей Регламент, зокрема канал для повідомлення про протиправний вміст і механізм оскарження рішень щодо вмісту. Наразі Сайт працює як інформаційний і посередницький ресурс, а не як платформа, що розміщує вміст, створений третіми особами; цей розділ буде розширено, якщо ця сфера зміниться.

14. Зміни

SFERO може будь-коли змінювати цю Політику конфіденційності, щоб відобразити зміни в застосовному законодавстві, у своїй діяльності з обробки чи послугах. Застосовується та редакція, що опублікована на Сайті на момент кожного відвідування.

15. Застосовне право та підсудність

Ця Політика конфіденційності регулюється законодавством Іспанії. Будь-який спір, що виникає з її тлумачення або застосування, передається, з прямою відмовою від будь-якої іншої підсудності, до судів Валенсії, якщо імперативні норми застосовного права не встановлюють іншу компетентну юрисдикцію, зокрема для споживчих спорів.