Политика конфиденциальности

1.Кто отвечает за обработку

Hournook предоставляет Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), индивидуальный предприниматель, ведущий деятельность под наименованием DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. Греческий налоговый номер (ΑΦΜ) 169481343, номер в Генеральном коммерческом реестре Греции (Γ.Ε.ΜΗ.) 186989906000 («мы»).

По любым вопросам конфиденциальности или для реализации своих прав пишите на адрес devtaskhub@devtaskhub.com. Мы не назначали инспектора по защите данных, поскольку закон не требует этого для нашей деятельности; запросы о конфиденциальности рассматривает непосредственно владелец бизнеса.

2.Две роли: контролёр и обработчик

Hournook пользуются две группы людей, и наша роль для каждой из них разная:

• Компании и сотрудники их команд, у которых есть учётная запись Hournook. В отношении их данных об учётной записи, оплате, поддержке и безопасности мы являемся контролёром. Настоящая политика описывает эту обработку.
• Клиенты этих компаний, которые записываются через страницу записи или которых компания добавляет сама. Компания решает, зачем и как используются эти данные, поэтому контролёром является компания, а мы выступаем её обработчиком на основании нашего Соглашения об обработке данных. К вам применяется уведомление о конфиденциальности самой компании.

Если вы записались в компанию и хотите просмотреть, исправить или удалить свои данные, обратитесь напрямую в компанию; она может сделать это в своей панели. Если вы напишете нам, мы передадим ваш запрос компании и поможем ей ответить.

3.Какие данные обрабатываются

Данные учётной записи (мы — контролёр)

• Имя, адрес электронной почты, подтверждён ли адрес, язык.
• Ваш пароль, хранящийся только в виде необратимого хеша с солью, поэтому мы не можем его прочитать.
• Когда и какую версию наших условий вы приняли при регистрации.
• Сеансы входа с IP-адресом и типом браузера — чтобы вы оставались в системе и ваша учётная запись была защищена.

Данные компании (в части оплаты мы — контролёр, в остальном — обработчик)

• Название, категория и адрес компании, контактные данные, которые вы решили опубликовать, часовой пояс, настройки страницы записи, логотипы и фотографии.
• Услуги, цены, часы работы, нерабочие дни, правила записи, сотрудники и их роли.

Данные клиентов и записей (мы — обработчик)

• Имя, адрес электронной почты и номер телефона записывающегося, добавленное им сообщение и личные заметки компании.
• Услуга, сотрудник, дата, время, продолжительность, цена, статус и история изменений (например, перенос или отмена и кем), а также способ бронирования (страница записи, встроенный виджет или QR-код и, если есть, ссылающийся сайт или метка кампании).

Платёжные данные (мы — контролёр)

• Статус подписки и идентификаторы клиента и подписки в Stripe. Данные карты вводятся на страницах Stripe; мы никогда не получаем и не храним полные номера карт.
• Счета и записи о платежах, требуемые налоговым и бухгалтерским законодательством.

Записи о безопасности и работе сервиса (мы — контролёр)

• Журнал аудита значимых действий (например, входов, изменений настроек, выгрузок и удалений) с IP-адресом и идентификатором запроса.
• Краткосрочные счётчики ограничения частоты запросов, блокирующие злоупотребления.
• Технические журналы серверов, которые ведёт наш хостинг-провайдер.
• Статистика страницы записи: количество шагов бронирования (например, «просмотр страницы» или «бронирование завершено») с источником трафика. Она собирается без файлов cookie и не содержит имён, контактных данных, IP-адресов или идентификаторов устройств.

Поддержка

• Письма, которые вы нам отправляете, и наши ответы.

Мы не покупаем персональные данные, не используем отслеживающие или рекламные файлы cookie и не пользуемся аналитическими сервисами, которые составляют профили посетителей.

4.Цели обработки и правовые основания

• Предоставление сервиса компаниям: учётные записи, страницы записи, календарь, списки клиентов, командные функции, выгрузки и служебные письма (подтверждение, сброс пароля, приглашения, уведомления об оплате): необходимо для исполнения нашего договора с вами (ст. 6(1)(b) GDPR).
• Обработка данных клиентов и записей: только по поручению компании в соответствии с Соглашением об обработке (ст. 28 GDPR). Компания отвечает за собственное правовое основание.
• Выставление счетов, оплата и бухгалтерский учёт: договор (ст. 6(1)(b)) и наши юридические обязанности по греческому налоговому и бухгалтерскому законодательству (ст. 6(1)(c)).
• Безопасность и предотвращение мошенничества и злоупотреблений: журналы аудита, ограничения частоты запросов и журналы серверов: наш законный интерес в обеспечении безопасности сервиса и его пользователей (ст. 6(1)(f)).
• Поддержка: ответы на ваши сообщения: договор или, если вы не клиент, наш законный интерес в ответе (ст. 6(1)(b) или (f)).
• Улучшение Hournook: использование обобщённой, не позволяющей установить личность информации о том, как используются функции: наш законный интерес (ст. 6(1)(f)).
• Правовые требования и запросы органов власти: когда это необходимо для предъявления, осуществления или защиты правовых требований или для соблюдения закона (ст. 6(1)(c) и (f)).

5.Никаких продаж, рекламы и автоматизированных решений

Мы не продаём и не сдаём в аренду персональные данные, не используем данные клиентов или учётных записей для рекламы и не отправляем маркетинговые письма без вашего согласия. Мы не принимаем решений, основанных исключительно на автоматизированной обработке, включая профилирование, которые порождают для вас юридические последствия или аналогичным образом существенно на вас влияют.

6.Кто получает данные

Персональные данные передаются только перечисленным ниже поставщикам, которые обрабатывают их по нашему поручению на основании соглашений об обработке данных и только в том объёме, который необходим каждому из них:

Stripe также обрабатывает платёжные данные как самостоятельный контролёр в соответствии со своей политикой конфиденциальности (например, для предотвращения мошенничества и соблюдения финансового регулирования). Мы также можем раскрывать данные органам власти, судам или профессиональным консультантам (например, нашему бухгалтеру или юристу), если этого требует или это допускает закон.

7.Передача данных за пределы ЕЭЗ

Некоторые наши поставщики находятся в США или могут получать доступ к данным оттуда. При передаче персональных данных за пределы Европейской экономической зоны мы опираемся на решение Европейской комиссии о достаточности защиты (для поставщиков, сертифицированных в рамках Рамочной программы ЕС–США по конфиденциальности данных) или на стандартные договорные положения Европейской комиссии вместе с дополнительными мерами защиты наших поставщиков, такими как шифрование при передаче и хранении. Вы можете запросить у нас дополнительную информацию об этих мерах.

8.Сроки хранения данных

• Данные учётной записи и компании: пока существует учётная запись. При удалении учётной записи компании или пользователя её данные сразу удаляются из наших рабочих систем, а из резервных копий нашего поставщика базы данных — в течение 30 дней.
• Данные клиентов и записей: пока их хранит компания, до удаления клиента компанией или до удаления компании.
• Сеансы входа: истекают после 30 дней бездействия и затем удаляются.
• Ссылки для подтверждения почты и сброса пароля: удаляются через 7 дней после истечения срока действия.
• Отправляемые нами письма: содержимое удаляется через 180 дней. Для писем о записях запись о доставке (получатель, тип, статус и дата) сохраняется вместе с записью; записи о письмах по учётной записи удаляются через 180 дней.
• Журнал аудита: IP-адреса удаляются через 180 дней, а записи — через два года.
• Счётчики ограничения частоты запросов: удаляются в течение часа после истечения срока действия.
• Статистика страницы записи (анонимная): удаляется примерно через 13 месяцев.
• Счета и документы об оплате: столько, сколько требует греческое налоговое и бухгалтерское законодательство: как правило, пять лет с конца налогового года, дольше, если закон продлевает этот срок.
• Письма в поддержку: столько, сколько нужно для рассмотрения вашего запроса, и до двух лет после этого, если для правового требования не нужен более длительный срок.

9.Ваши права

Согласно GDPR вы имеете право:

• на доступ к своим персональным данным и получение их копии;
• на исправление неточных данных;
• на удаление своих данных, если больше нет оснований для их хранения;
• на ограничение обработки в определённых случаях;
• на получение предоставленных вами данных в структурированном машиночитаемом формате (переносимость);
• в любое время возразить против обработки, основанной на наших законных интересах, по причинам, связанным с вашей конкретной ситуацией; и
• отозвать данное вами согласие без ущерба для обработки, осуществлённой до отзыва.

Компании могут сделать большую часть этого самостоятельно: изменить сведения в настройках, выгрузить данные из панели и удалить компанию или учётную запись пользователя в настройках. По всем остальным вопросам пишите на адрес devtaskhub@devtaskhub.com. Мы отвечаем в течение месяца (этот срок может быть продлён ещё на два месяца для сложных запросов — в таком случае мы объясним причину). Сначала мы можем попросить вас подтвердить свою личность.

Вы также вправе подать жалобу в надзорный орган, в частности в стране ЕС, где вы проживаете или работаете либо где произошло нарушение. В Греции это Управление по защите персональных данных Греции (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα), проспект Кифисиас, 1–3, 115 23 Афины, www.dpa.gr. Мы будем признательны, если вы сначала дадите нам возможность решить ваш вопрос.

10.Обязаны ли вы предоставлять нам свои данные?

Для создания учётной записи нам нужны ваше имя, адрес электронной почты и пароль; без них мы не можем предоставлять сервис. Всё остальное необязательно или представляет собой информацию, которую ваша компания решает добавить.

11.Безопасность

Мы используем зашифрованные соединения (HTTPS с HSTS), зашифрованные подключения к базе данных, стойкое необратимое хеширование паролей, файлы cookie входа, недоступные для скриптов страницы, строгое разделение данных каждой компании, ролевые права доступа для сотрудников, ограничение частоты чувствительных действий, политику безопасности контента и журнал аудита. Наши поставщики шифруют хранимые данные. Ни один онлайн-сервис не защищён полностью; в случае нарушения безопасности персональных данных мы уведомим надзорный орган в течение 72 часов, если это требуется, без неоправданной задержки проинформируем затронутые компании и сообщим непосредственно вам, если этого требует закон.

12.Файлы cookie

Мы используем только файлы cookie, строго необходимые для входа и защиты вашего сеанса, а также локальное хранилище браузера, чтобы запомнить выбранную вами светлую или тёмную тему. Мы не используем аналитические, рекламные файлы cookie и файлы cookie социальных сетей, поэтому не показываем баннер о cookie. Подробнее — в политике в отношении файлов cookie.

13.Дети

Учётные записи Hournook предназначены для компаний и могут создаваться только совершеннолетними. Мы сознательно не собираем данные детей для собственных целей. Компании, принимающие записи для детей (например, репетиторы), как контролёры отвечают за законный сбор их данных.

14.Изменение настоящей политики

Мы будем обновлять настоящую политику при изменении нашей обработки. Дата и версия в начале страницы показывают, когда она изменялась в последний раз; о существенных изменениях мы также заранее сообщаем владельцам учётных записей по электронной почте.

15.Контакты

Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), индивидуальный предприниматель, ведущий деятельность под наименованием DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. Греческий налоговый номер (ΑΦΜ) 169481343, номер в Генеральном коммерческом реестре Греции (Γ.Ε.ΜΗ.) 186989906000. Электронная почта: devtaskhub@devtaskhub.com.