Політика конфіденційності

1. Контролер даних

2. Які персональні дані ми збираємо

Залежно від послуги, яку ви замовляєте, ми можемо збирати такі категорії персональних даних – безпосередньо від вас або, у відповідних випадках, від контрагента за правочином:

• Ідентифікаційні дані: повне ім’я, номер DNI / NIE / паспорта, громадянство, дата народження.
• Контактні дані: поштова адреса, номер(и) телефону, адреса електронної пошти.
• Фінансові дані та дані про платоспроможність: відомості про доходи, реквізити банківського рахунку та підтвердження наявності коштів, коли цього вимагає законодавство про запобігання відмиванню коштів або перевірка платоспроможності для оренди.
• Дані про об’єкти: адреса, кадастровий номер і характеристики об’єктів, якими ви володієте або які прагнете купити, продати чи орендувати.
• Дані про правочини: умови бронювання, продажу, купівлі чи оренди, записи про платежі та пов’язане листування.
• Дані про перегляд: IP-адреса, дані про пристрій і браузер та, за вашою згодою, аналітичні дані, зібрані за допомогою файлів cookie та подібних технологій (див. нашу Політику щодо файлів cookie, розділ 3).

Як правило, ми не збираємо особливих категорій персональних даних (стаття 9 GDPR). Якщо такі дані стають потрібними в конкретному випадку, ми запитуватимемо вашу явну згоду. Ми свідомо не збираємо даних осіб віком до 14 років (див. розділ 8).

3. Цілі, правові підстави та строки зберігання

a) Запити та звернення

Мета: опрацьовувати запити, надіслані через контактні форми, телефоном, електронною поштою чи в чаті, і відповідати на них.

Правова підстава: законний інтерес контролера (ст. 6(1)(f) GDPR) і, у відповідних випадках, ваша згода (ст. 6(1)(a) GDPR).

Строк зберігання: на час, потрібний для відповіді, а також протягом застосовного строку позовної давності за можливими правовими вимогами (як правило, 3 роки).

b) Управління переддоговірними та договірними відносинами

Мета: оформлювати та вести домовленості щодо продажу, купівлі, оренди й посередництва, зокрема перевірку особи, оцінку платоспроможності та перевірку придатності об’єкта.

Правова підстава: виконання договору або вжиття переддоговірних заходів на ваш запит (ст. 6(1)(b) GDPR).

Строк зберігання: протягом строку дії договірних відносин, а після цього – протягом строків давності, застосовних згідно з цивільним, комерційним і податковим законодавством (як правило, від 5 до 10 років залежно від обов’язку).

c) Дотримання юридичних обов’язків, зокрема AML/KYC

Мета: виконувати обов’язки згідно із законодавством про запобігання відмиванню коштів (Закон 10/2010 від 28 квітня та підзаконний акт до нього – Королівський декрет 304/2014), податковим законодавством, а також нотаріальними правилами й правилами земельного реєстру.

Правова підстава: виконання юридичного обов’язку, що поширюється на контролера (ст. 6(1)(c) GDPR).

Як регульований агент з нерухомості згідно із Законом 10/2010, SFERO зобов’язана за законом, перш ніж вступити у професійні відносини з клієнтом:

• ідентифікувати та перевірити особу клієнта, зокрема, у відповідних випадках, кінцевого бенефіціарного власника (UBO) клієнта-юридичної особи;
• збирати інформацію про мету й передбачуваний характер ділових відносин, а у відповідних випадках – про походження коштів;
• застосовувати посилену належну перевірку, коли цього вимагають чинники ризику (наприклад, політично значущі особи, складні структури власності чи високовартісні правочини);
• повідомляти про будь-який підозрілий правочин до SEPBLAC (підрозділ фінансової розвідки Іспанії), не інформуючи про це відповідного клієнта, як цього вимагає закон (заборона розголошення, «no tipping-off»).

Надання неправдивих, неповних чи оманливих ідентифікаційних або фінансових відомостей є кримінальним правопорушенням. SFERO зобов’язана за законом відмовити в дорученні, відкласти правочин або припинити професійні відносини, якщо не вдається отримати належні документи для ідентифікації та належної перевірки.

Строк зберігання: як вимагає кожен застосовний закон; як правило, десять (10) років для документації щодо запобігання відмиванню коштів, рахуючи від припинення ділових відносин.

d) Прямий маркетинг і комерційні повідомлення

Мета: надсилати електронними засобами (email, SMS, месенджери) інформацію про нові оголошення, акції чи пов’язані послуги, які можуть вас зацікавити.

Правова підстава: ваша попередня, явна та поінформована згода (ст. 6(1)(a) GDPR і ст. 21 LSSICE) або, якщо ви вже є клієнтом, наш законний інтерес у пропонуванні подібних товарів чи послуг (ст. 21(2) LSSICE).

У кожному комерційному повідомленні буде чітко зазначено SFERO як відправника та наведено простий безкоштовний спосіб відмовитися. Ви можете будь-коли відкликати згоду на отримання маркетингових повідомлень:

• натиснувши посилання для відписки, наявне в кожному маркетинговому листі;
• надіславши лист на [email protected] з темою «UNSUBSCRIBE»; або
• змінивши налаштування комунікацій у своєму обліковому записі, де це доступно.

Запити на відмову опрацьовуються протягом десяти (10) робочих днів. Зверніть увагу: операційні повідомлення щодо чинного договору або поточного запиту (наприклад, підтвердження переглядів, договірні документи чи квитанції про оплату) не є маркетинговими й надходитимуть незалежно від відмови від маркетингу.

Строк зберігання: доки ви не відкличете згоду або не заперечите проти обробки.

e) Поліпшення послуг та аналітика

Мета: аналізувати, як користувачі взаємодіють із Сайтом і нашими послугами, щоб поліпшувати вміст і, за наявності згоди, надавати персоналізовані рекомендації об’єктів.

Правова підстава: ваша згода (ст. 6(1)(a) GDPR і ст. 22(2) LSSICE); сторонні інструменти аналітики (Google Analytics 4 і Microsoft Clarity) вмикаються лише після того, як ви її надали.

Строк зберігання: протягом строку відносин із користувачем або до відкликання згоди, але не довше ніж 3 роки від останньої взаємодії.

f) Безпека Сайту та контактних форм

Мета: захищати контактні форми від спаму та зловживань і забезпечувати, щоб ваші запити до нас надходили. Щоб обмежити повторні надсилання (не більше 5 запитів з однієї адреси електронної пошти за 24 години та не більше 5 з однієї IP-адреси за 10 хвилин), сервер зберігає псевдонімізований код (хеш SHA-256) адреси електронної пошти та IP-адреси, з якої надіслано запит; безпосередньо прочитати з цього коду початкову адресу неможливо. Запити, які тимчасово не вдається передати до нашої системи управління клієнтами (CRM), можуть зберігатися виключно для повторної спроби доставки. Крім того, Cloudflare аналізує запити, що надходять на Сайт (IP-адреса та технічні дані браузера), щоб виявляти й блокувати автоматизований трафік і атаки, і для цього може встановлювати файли cookie __cf_bm і cf_clearance (див. Політику щодо файлів cookie). Сервер також фіксує час, коли ви приймаєте Політику конфіденційності та, у відповідних випадках, надаєте згоду на отримання комерційних повідомлень, разом із версією (датою) чинної Політики конфіденційності.

Правова підстава: законний інтерес контролера в запобіганні спаму та зловживанням (ст. 6(1)(f) GDPR), а щодо запису про прийняття та згоду – виконання юридичного обов’язку мати змогу довести надання згоди (ст. 6(1)(c) GDPR у поєднанні з його ст. 5(2) і 7(1)); тимчасове зберігання недоставлених запитів ґрунтується на тій самій правовій підставі, що й опрацювання вашого запиту (розділ 3(a)).

Строк зберігання: хеші адреси електронної пошти та IP-адреси – до 24 годин; недоставлені запити – до 7 днів, після чого вони автоматично видаляються; запис про прийняття та згоду – протягом усього строку обробки, якої він стосується, а після цього – протягом застосовного строку позовної давності за можливими правовими вимогами (як правило, 3 роки).

4. Одержувачі та передавання даних

Ми не продаємо персональних даних. Їх може бути розкрито третім особам лише в таких випадках:

• Державні органи: податкові органи, Земельний реєстр, нотаріуси, SEPBLAC (іспанський орган із запобігання відмиванню коштів) та інші органи, коли цього вимагає закон.
• Оператори (обробники даних): постачальники технологій і хостингу, юридичні та бухгалтерські консультанти й інші постачальники послуг, що діють від нашого імені, – усі зобов’язані договором про обробку даних згідно зі статтею 28 GDPR. Наш основний постачальник технологій – Cloudflare, Inc.: хостинг і доставлення вмісту Сайту, обробка контактних форм до їх передавання в нашу CRM, зберігання фотографій об’єктів і забезпечення безпеки Сайту. Крім того, за допомогою Cloudflare SFERO фіксує без файлів cookie та без ідентифікаторів вимірювання швидкості завантаження сторінок (адреса сторінки, мова, тип сторінки та тип пристрою) і кількість сканувань QR-кодів на наших банерах і візитках (адреса сторінки, мова, тип пристрою та країна). Правова підстава для цих вимірювань – наш законний інтерес у тому, щоб знати, як працює Сайт і наскільки ефективні наші банери та візитки (ст. 6(1)(f) GDPR). Ці записи зберігаються три місяці, після чого автоматично видаляються.
• Постачальники аналітики та реклами (лише за вашою згодою): Google Ireland Limited (Google Analytics 4), Microsoft Ireland Operations Limited (Microsoft Clarity: записи сесій і теплові карти), Meta Platforms Ireland Limited і TikTok Technology Limited (рекламні пікселі). Щодо Microsoft Clarity, під час збирання даних на Сайті та їх передавання Microsoft SFERO і Microsoft Ireland Operations Limited є спільними контролерами (ст. 26 GDPR; справа C-40/17, Fashion ID): SFERO відповідає за те, щоб поінформувати вас і отримати вашу згоду, а ви можете здійснювати свої права, звернувшись до будь-якого з них. Під час подальшої обробки Microsoft діє як самостійний контролер і відповідно до власних умов може використовувати ці дані також для поліпшення своїх продуктів і своєї реклами; дані зберігаються в центрах обробки даних Microsoft у Сполучених Штатах, а записи доступні SFERO протягом 30 днів. У пікселях Meta і TikTok увімкнено автоматичне розширене зіставлення: якщо ви прийняли маркетингові файли cookie і заповнюєте або надсилаєте форму на Сайті, сам піксель зчитує з форми вашу адресу електронної пошти, номер телефону та ім’я (а також може зчитувати місто й поштовий індекс), перетворює їх у вашому браузері на псевдонімізований код (хеш SHA-256) і надсилає цей код Meta або TikTok, які порівнюють його з даними облікових записів своїх користувачів, щоб оцінити ефективність реклами SFERO та показувати вам рекламу SFERO. Цей код залишається персональними даними саме тому, що дає змогу здійснити таке порівняння. Під час надсилання форми Сайт також повідомляє Meta і TikTok, що було надіслано заявку (подія конверсії). Правова підстава – ваша згода (ст. 6(1)(a) GDPR і ст. 22(2) LSSICE). Під час збирання та передавання Meta або TikTok даних, які збирають їхні пікселі (зокрема даних розширеного зіставлення), SFERO і Meta Platforms Ireland Limited або, відповідно, TikTok Technology Limited є спільними контролерами (ст. 26 GDPR; рішення Суду ЄС від 29 липня 2019 року у справі C-40/17, Fashion ID) згідно з угодами про спільний контроль, які ці компанії пропонують рекламодавцям: SFERO відповідає за те, щоб поінформувати вас і отримати вашу згоду, а Meta або TikTok – за забезпечення прав, які ви здійснюєте щодо отриманих ними даних. Ви можете здійснювати свої права, звернувшись до SFERO або до будь-якої з цих компаній. Подальша обробка з боку Meta або TikTok регулюється їхніми власними політиками конфіденційності. Ви можете будь-коли припинити цю обробку, відкликавши згоду на маркетингові файли cookie за допомогою кнопки «Налаштування cookie» (значок у вигляді печива в лівому нижньому куті екрана); пікселі перестануть завантажуватися починаючи з наступної сторінки, яку ви відкриєте.
• OpenStreetMap Foundation: під час відображення карт на сторінках об’єктів і на сторінці міст і районів ваш браузер запитує фрагменти карти з її серверів, які отримують вашу IP-адресу, технічні дані браузера та адресу Сайту, з якого надіслано запит (sfero.es). OpenStreetMap Foundation обробляє ці дані як самостійний контролер відповідно до власної політики конфіденційності. Правова підстава: наш законний інтерес у тому, щоб показати вам на карті приблизне розташування об’єктів, а також міст і районів (ст. 6(1)(f) GDPR).
• Фінансові установи: лише за вашою попередньою явною згодою – для скерування щодо іпотеки чи фінансування.
• Контрагенти за правочином: покупці, продавці, орендодавці чи орендарі, а також їхні нотаріуси чи законні представники – у межах, суворо необхідних для завершення правочину.
• Агенти-партнери: інші агенти з нерухомості чи субагенти, залучені до просування конкретного об’єкта, коли співпраця потрібна для завершення правочину, з дотриманням обов’язків щодо конфіденційності.

Міжнародні передавання: деякі постачальники (Cloudflare, Google, Microsoft, Meta і TikTok) можуть обробляти дані у Сполучених Штатах або інших третіх країнах. Такі передавання спираються на Імплементаційне рішення Комісії (ЄС) 2023/1795 від 10 липня 2023 року про адекватність рівня захисту щодо Рамкової угоди ЄС–США про конфіденційність даних (EU-U.S. Data Privacy Framework) – для сертифікованих компаній – або на Стандартні договірні положення Європейської Комісії (SCC). Фрагменти карт надає OpenStreetMap Foundation (Велика Британія, щодо якої діє рішення Європейської Комісії про адекватність) через мережу доставлення вмісту свого постачальника Fastly, Inc., у якій на кожен запит відповідає сервер, обраний мережею; він може перебувати за межами Європейського економічного простору (ЄЕП).

5. Ваші права як суб’єкта даних

Згідно зі статтями 15–22 GDPR і статтями 12–18 LOPDGDD ви можете будь-коли реалізувати такі права:

• Доступ: дізнатися, які персональні дані про вас ми зберігаємо.
• Виправлення: виправити неточні або неповні дані.
• Видалення: вимагати видалення, коли, серед інших підстав, дані більше не потрібні для мети, з якою їх зібрано.
• Заперечення: заперечувати проти обробки для певних цілей, зокрема прямого маркетингу.
• Обмеження: вимагати призупинення обробки за певних обставин.
• Перенесення: отримати ваші дані в структурованому, широковживаному, придатному для машинного зчитування форматі.
• Автоматизовані рішення: не бути об’єктом рішень, ухвалених виключно автоматизовано, зокрема профілювання, що мають суттєві правові чи подібні наслідки.
• Відкликання згоди: будь-коли, без впливу на правомірність обробки, здійсненої до відкликання.

Щоб реалізувати свої права, зверніться до нас письмово, додавши копію документа, що посвідчує особу, на адресу [email protected] або поштою за адресою Calle Guillem d’Anglesola, 6, escalera B, piso 2, puerta 6, 46022 Valencia, Іспанія, до уваги служби захисту даних. Ми відповімо протягом одного місяця з дня отримання; якщо запит складний, цей строк може бути продовжено ще на два місяці з попереднім повідомленням. Якщо ми відмовимо в запиті, ми пояснимо причину та поінформуємо вас про право подати скаргу.

Наглядовий орган: ви маєте право подати скаргу до Іспанського агентства із захисту даних (AEPD) – www.aepd.es – Calle Jorge Juan 6, 28001 Madrid, якщо вважаєте, що ваші персональні дані оброблялися всупереч застосовному законодавству. Однак ми будемо вдячні за можливість розглянути ваші зауваження безпосередньо, перш ніж ви звернетеся до AEPD.

6. Заходи безпеки

На виконання статті 32 GDPR SFERO запровадила технічні та організаційні заходи, відповідні ризику, зокрема:

• Шифрування даних під час передавання за протоколом HTTPS/TLS.
• Контроль доступу з багатофакторною автентифікацією для внутрішніх систем.
• Регулярне резервне копіювання та процедури аварійного відновлення.
• Навчання персоналу та підвищення обізнаності щодо захисту даних.
• Періодичне оцінювання ризиків і тестування вразливостей.
• Задокументовану процедуру виявлення, повідомлення та реагування на порушення захисту персональних даних, зокрема повідомлення AEPD упродовж 72 годин, коли цього вимагає стаття 33 GDPR.

7. Повідомлення про порушення захисту даних

У разі порушення захисту персональних даних, що ймовірно створює ризик для прав і свобод осіб, SFERO без невиправданої затримки й, за можливості, упродовж 72 годин із моменту, коли їй стало відомо про порушення, повідомить AEPD (стаття 33 GDPR). Якщо порушення ймовірно створює високий ризик, без невиправданої затримки буде також повідомлено суб’єктів даних, яких воно стосується (стаття 34 GDPR).

8. Неповнолітні

Сайт не призначений для осіб віком до 14 років. Відповідно до статті 8 GDPR і статті 7 LOPDGDD обробка даних осіб віком до 14 років потребує згоди того, хто має батьківські права або законне опікунство. Якщо нам стане відомо, що ми зібрали дані особи віком до 14 років без потрібної згоди, ми видалимо їх без затримки. Користувачі гарантують, що їм щонайменше 14 років або що вони отримали потрібну батьківську згоду.

9. Файли cookie

Використання файлів cookie та подібних технологій на Сайті регулюється нашою Політикою щодо файлів cookie, яка дає вам змогу налаштувати вподобання відповідно до критеріїв, опублікованих AEPD.

10. Повідомлення про прозорість штучного інтелекту

SFERO може використовувати інструменти на основі штучного інтелекту для підтримки окремих завдань – наприклад, автоматизованого добору чи оцінювання об’єктів, персоналізованих рекомендацій об’єктів або функцій підтримки клієнтів. Коли такі інструменти застосовуються, вони підлягають перевірці людиною, і SFERO не ухвалює рішень, що мають правові чи подібні суттєві наслідки для осіб, виключно на основі автоматизованої обробки (стаття 22 GDPR). Ви можете вимагати втручання людини щодо будь-якого процесу за участю ШІ, що вас стосується, висловити свою позицію та оскаржити будь-яке рішення, ухвалене за сприяння автоматизації, звернувшись на [email protected]. Це повідомлення оновлюватиметься з описом конкретних інструментів у міру їх упровадження.

11. Реєстр операцій з обробки (ROPA)

Відповідно до статті 30 GDPR SFERO веде внутрішній Реєстр операцій з обробки, що документує її операції з обробки персональних даних. Цей реєстр надається AEPD за запитом і періодично переглядається, а також щоразу, коли запроваджується нова операція з обробки або суттєво змінюється наявна.

12. Відповідальний за захист даних

Як зазначено в розділі 1, призначення відповідального за захист даних наразі не є обов’язковим для SFERO з огляду на масштаб і характер її діяльності з обробки, а питання щодо захисту даних можна надсилати на [email protected]. Якщо SFERO призначить відповідального за захист даних у майбутньому – добровільно чи через те, що це стане обов’язковим за законом згідно зі статтями 37–39 GDPR і статтею 34 LOPDGDD, – відомості про таке призначення та контактні дані відповідального буде опубліковано в цьому розділі.

13. Регламент про цифрові послуги (DSA)

Якщо Сайт функціонуватиме як онлайн-платформа в розумінні Регламенту (ЄС) 2022/2065 (Регламент про цифрові послуги) – наприклад, розміщуючи вміст, створений третіми особами, – SFERO забезпечить механізми прозорості та модерації вмісту, які вимагає цей Регламент, зокрема канал для повідомлення про протиправний вміст і механізм оскарження рішень щодо вмісту. Наразі Сайт працює як інформаційний і посередницький ресурс, а не як платформа, що розміщує вміст, створений третіми особами; цей розділ буде розширено, якщо ця сфера зміниться.

14. Зміни

SFERO може будь-коли змінювати цю Політику конфіденційності, щоб відобразити зміни в застосовному законодавстві, у своїй діяльності з обробки чи послугах. Застосовується та редакція, що опублікована на Сайті на момент кожного відвідування.

15. Застосовне право та підсудність

Ця Політика конфіденційності регулюється законодавством Іспанії. Будь-який спір, що виникає з її тлумачення або застосування, передається, з прямою відмовою від будь-якої іншої підсудності, до судів Валенсії, якщо імперативні норми застосовного права не встановлюють іншу компетентну юрисдикцію, зокрема для споживчих спорів.