Политика конфиденциальности

1. На кого распространяется политика

1.1. Политика конфиденциальности объясняет, как Oden Grupp OÜ обрабатывает персональные данные в соответствии с Общим регламентом по защите данных (ЕС) 2016/679 (GDPR) и Законом о защите персональных данных Эстонии.

1.2. Политика распространяется на следующих лиц:

• посетителей сайта holdis.eu;
• лиц, которые связываются с нами (контактная форма, электронная почта);
• контактных лиц Клиентов при заключении договора и расчётах;
• Пользователей Дневникового центра: Управляющих, Владельцев и их Представителей (Minu Holdis), лиц, сканирующих Наклейку, и лиц, загружающих фото акта;
• лиц, указанных в Актах (например, выполнивших работу техников и подписантов).

1.3. В отношении данных, обрабатываемых в Экземпляре Клиента, мы являемся уполномоченным обработчиком (см. пункт 3).

1.4. Понятия (например, Клиент, Экземпляр, Дневниковый центр, Наклейка, Minu Holdis) используются в том же значении, что и в Общих условиях услуги Holdis (holdis.eu/tingimused).

2. Ответственный обработчик и контакты

2.1. Ответственным обработчиком является Oden Grupp OÜ, регистрационный код [REGISTRIKOOD], адрес [AADRESS], эл. почта info@holdis.eu.

2.2. С вопросами и запросами, касающимися персональных данных, обращайтесь по адресу info@holdis.eu. [ЮРИСТУ: подтвердить контактный адрес; оценить, обязательно ли назначение специалиста по защите данных (DPO) (GDPR ст. 37); если нет, указать это.]

3. Когда Holdis является уполномоченным обработчиком

3.1. Каждый Клиент (фирма по обслуживанию или выездным работам) получает собственный Экземпляр, в котором он обрабатывает данные своих клиентов, их контактных лиц, своих работников и объектов. Ответственным обработчиком этих данных является Клиент, а мы обрабатываем их от имени Клиента и по его указаниям на основании Договора об обработке данных (holdis.eu/andmetootlus).

3.2. Если ваши данные обрабатываются в Экземпляре какого-либо Клиента (например, вы работник или клиент обслуживающей фирмы), для осуществления своих прав обращайтесь в первую очередь к этой фирме. Если вы обратитесь к нам, мы незамедлительно передадим запрос Клиенту.

4. Посетители сайта

4.1. Сайт holdis.eu не использует cookie, трекеры и аналитику (см. пункт 14).

4.2. Веб-сервер обрабатывает технически необходимые данные (IP-адрес, время и адрес запроса, тип браузера), чтобы отдавать страницы и защищать сайт от злоупотреблений, в том числе для ограничения количества запросов. [ЮРИСТУ: подтвердить, ведёт ли веб-сервер журналы доступа и как долго они хранятся.]

4.3. Правовое основание: наш законный интерес в обеспечении работы и безопасности сайта (GDPR ст. 6 ч. 1 п. f).

5. Лица, направившие запрос

5.1. Если вы связываетесь с нами через контактную форму или по электронной почте, мы обрабатываем предоставленные вами данные: имя, адрес электронной почты, телефон, компанию и содержание сообщения.

5.2. Цель: ответ на запрос, согласование демонстрации и преддоговорные переговоры.

5.3. Правовое основание: принятие преддоговорных мер по вашему запросу (GDPR ст. 6 ч. 1 п. b) или наш законный интерес отвечать на направленные нам запросы (ст. 6 ч. 1 п. f). [ЮРИСТУ: выбрать основание в зависимости от вида запроса.]

5.4. Контактная форма в настоящее время отключена. Когда она будет включена, для защиты от ботов будет использоваться проверка Cloudflare Turnstile, а запрос будет передаваться в собственную систему приёма запросов Holdis. [ЮРИСТУ: Turnstile обрабатывает данные устройства и браузера пользователя; оценить правовое основание, передачу данных за пределы ЕЭЗ (Cloudflare, Inc.) и описать это до включения формы.]

6. Клиенты и их контактные лица

6.1. При заключении и исполнении договора мы обрабатываем данные представителей и контактных лиц Клиента: имя, должность, адрес электронной почты, телефон, данные о праве представительства и платёжные данные.

6.2. Цели и правовые основания:

• заключение и исполнение договора, управление учётными записями, расчёты (GDPR ст. 6 ч. 1 п. b);
• хранение бухгалтерских документов (ст. 6 ч. 1 п. c, Закон о бухгалтерском учёте);
• проверка права представительства по открытым данным коммерческого регистра (ст. 6 ч. 1 п. f: законный интерес убедиться, что договор заключается с управомоченным лицом);
• напоминания и уведомления о состоянии договора (ст. 6 ч. 1 п. b).

7. Пользователи Дневникового центра

7.1. Лица, сканирующие Наклейку

7.1.1. Лицо, сканирующее Наклейку, видит публичную карточку истории обслуживания Системы. Акты и счета никогда не являются публичными. [ЮРИСТУ: подтвердить, отображаются ли в карточке истории обслуживания персональные данные (например, имя техника); если да, описать основание.]

7.1.2. Для просмотра карточки идентификация не требуется. При сканировании Наклейки обрабатываются технически необходимые данные согласно пункту 4.2.

7.2. Лица, загружающие фото акта

7.2.1. Лицо, которое через Наклейку прикрепляет к Системе фото акта (в том числе если его работодатель не является Клиентом Holdis), указывает свой адрес электронной почты и требуемые данные (например, имя и фирму). Само фото может содержать персональные данные, например имена и подписи.

7.2.2. Цель: полнота истории обслуживания Системы и передача загрузки на решение Владельцу или Управляющему.

7.2.3. Правовое основание: наш законный интерес и законный интерес Владельца вести полную историю обслуживания Системы (GDPR ст. 6 ч. 1 п. f). [ЮРИСТУ: оценить, обязывает ли какой-либо правовой акт (например, Закон о пожарной безопасности и установленные на его основании требования) хранить документы обслуживания и является ли основанием ст. 6 ч. 1 п. c.]

7.3. Управляющие, Владельцы и Представители (Minu Holdis)

7.3.1. Мы обрабатываем: имя, личный код (при идентификации через e-ID), адрес электронной почты, телефон, связь с Владельцем или Управляющим (например, статус члена правления), предоставленные права и согласия, принятые решения и время их принятия, приглашения и скачивания.

7.3.2. Цели и правовые основания:

• предоставление Minu Holdis (учётная запись, просмотр прав, решения, скачивание ZIP-пакетов) (GDPR ст. 6 ч. 1 п. b);
• подтверждение и проверка прав, в том числе по открытым данным коммерческого регистра, чтобы доступ к Документам получали только управомоченные лица (ст. 6 ч. 1 п. f);
• хранение истории решений и прав, чтобы впоследствии можно было доказать, кто, что и когда решил (ст. 6 ч. 1 п. f).

7.3.3. Бывший Представитель по решению Владельца продолжает видеть то, что было его (исторический просмотр).

7.4. Лица, указанные в Актах

7.4.1. Акты содержат данные выполнивших работу техников, представителей клиента и подписантов (имя, подпись, дата, при необходимости контактные данные), а также фотографии.

7.4.2. Акты сохраняются в Дневниковом центре, и их видят только лица, имеющие на это право в Дневниковом центре (Владелец, с согласия Владельца Управляющий, обслуживающая Систему фирма в отношении составленных ею Актов).

7.4.3. Правовое основание: законный интерес Владельца и обслуживающей фирмы и возможная юридическая обязанность вести историю обслуживания Системы (GDPR ст. 6 ч. 1 п. f или c). [ЮРИСТУ: определить ответственного обработчика Дневникового центра в отношении Актов (Поставщик услуги, составившая Акт фирма, Владелец или совместная ответственность по ст. 26) и описать это здесь.]

8. Идентификация через e-ID

8.1. Основой доверия в Дневниковом центре является Владелец. Нового Представителя Владельца мы идентифицируем с помощью электронного удостоверения личности: сначала Smart-ID (SK ID Solutions AS), позднее также с помощью других решений eeID.

8.2. При идентификации мы получаем от поставщика услуги идентификации ваше имя и личный код. Личный код мы используем исключительно для однозначной идентификации лица и привязки прав. [ЮРИСТУ: подтвердить, сохраняется ли личный код, в зашифрованном виде или в виде хеша, и как долго он хранится; требования Закона о защите персональных данных к обработке личного кода.]

8.3. Правовое основание: GDPR ст. 6 ч. 1 п. f (предоставление доступа к Документам только лицу с подтверждённым правом) и п. b (использование Minu Holdis).

9. Получатели данных и уполномоченные обработчики

9.1. Мы не продаём персональные данные. Данные раскрываются только следующим получателям и только в необходимом объёме:

Получатель	Роль	Местонахождение
SK ID Solutions AS	идентификация Smart-ID (планируется)	Эстония
Zone Media OÜ (zone.ee)	система доменных имён (DNS); доступа к персональным данным не имеет	Эстония
[MAKSETEENUSE PAKKUJA]	обработка платежей	[ASUKOHT]
Cloudflare, Inc.	проверка от ботов Turnstile (если контактная форма будет включена)	[ASUKOHT]
[RUUMIDE / ANDMEKESKUSE PAKKUJA]	физическое размещение серверов	Эстония [ЮРИСТУ: подтвердить]
Управомоченные стороны Дневникового центра	Владелец, Управляющий, обслуживающая Систему фирма в соответствии с правами
Компетентные органы	на основании требования закона	Эстония

[ЮРИСТУ: проверить полноту перечня и роль каждого получателя (уполномоченный обработчик или самостоятельный ответственный обработчик); заключить необходимые договоры.]

9.2. Мы используем открытые данные коммерческого регистра, чтобы проверить, кто входит в правление компании. Это источник данных, а не получатель.

10. Местонахождение данных

10.1. Услуга размещается на собственных серверах Поставщика услуги (виртуализация Proxmox) в Эстонии. Резервные копии хранятся на собственных серверах, а дополнительная копия хранится на собственном сервере резервного копирования в другом месте. Электронные письма отправляются через собственный почтовый сервер Поставщика услуги. [ЮРИСТУ: подтвердить физическое местонахождение серверов и сервера резервного копирования.]

10.2. Мы не передаём персональные данные за пределы Европейской экономической зоны, за исключением случая, описанного в пункте 5.4, если контактная форма будет включена. [ЮРИСТУ: проверить.]

11. Сроки хранения

Данные	Срок хранения
Технические журналы веб-сервера	[X] дней [ЮРИСТУ]
Запросы и переписка	[12 месяцев] с последнего общения, если договор не заключён [ЮРИСТУ]
Данные, связанные с договором и расчётами	срок действия договора и 7 лет на основании Закона о бухгалтерском учёте
Данные учётной записи Minu Holdis	срок действия учётной записи и [X] месяцев после её закрытия [ЮРИСТУ]
История прав, согласий и решений	[X] лет [ЮРИСТУ: увязать со сроками исковой давности возможных требований]
Данные идентификации	[X] [ЮРИСТУ]
Акты и Документы Дневникового центра	в течение срока ведения журнала обслуживания Системы [ЮРИСТУ: определить срок; в Дневниковом центре никто не удаляет Документы, каждая сторона может только скрыть их в своём представлении]
Данные Экземпляра Клиента при приостановлении	3 месяца с момента приостановления, затем удаляются
Удалённые данные в резервных копиях	примерно 3 месяца после удаления

12. Ваши права

12.1. Вы вправе:

• ознакомиться со своими персональными данными и получить их копию (GDPR ст. 15);
• потребовать исправления неверных данных (ст. 16);
• потребовать удаления данных (ст. 17), если для этого есть основание;
• потребовать ограничения обработки (ст. 18);
• возразить против обработки на основании законного интереса (ст. 21);
• получить предоставленные вами данные в машиночитаемом виде и передать их другому ответственному обработчику (ст. 20), если обработка основана на договоре или согласии;
• в любое время отозвать согласие, если обработка основана на согласии;
• подать жалобу в Инспекцию по защите данных Эстонии (Andmekaitse Inspektsioon, www.aki.ee) или обратиться в суд.

12.2. Запрос можно направить по адресу info@holdis.eu. Мы отвечаем в течение одного месяца. Перед ответом мы можем попросить вас подтвердить свою личность.

12.3. Документы Дневникового центра относятся к истории обслуживания Системы здания и не удаляются по желанию одной стороны. Каждый запрос на удаление мы оцениваем отдельно с учётом прав других сторон и юридических обязанностей. [ЮРИСТУ: согласовать принцип «никто не удаляет» с исключениями ст. 17 (ч. 3) и правом на ограничение обработки.]

13. Безопасность

13.1. Мы защищаем персональные данные надлежащими техническими и организационными мерами, в том числе:

• у каждого Клиента есть отдельный Экземпляр с собственной виртуальной машиной и собственной базой данных, данные разных Клиентов не смешиваются;
• в Дневниковом центре Документы видит только лицо, имеющее на это право; Управляющий получает доступ только с согласия Владельца;
• новый Представитель Владельца идентифицируется с помощью электронного удостоверения личности;
• Документы не удаляются, что защищает историю обслуживания от случайной или злонамеренной потери;
• с данных делаются резервные копии, в том числе в другом месте;
• удаление данных подтверждает работник Поставщика услуги;
• демо-экземпляр ничего не отправляет наружу;
• передача данных зашифрована (TLS) [ЮРИСТУ: подтвердить].

14. Cookie и трекеры

14.1. На этом сайте нет ни cookie, ни трекеров. Мы не используем аналитику, рекламные пиксели и сторонние скрипты, следящие за вашим поведением, и не сохраняем на вашем устройстве ни одного cookie. Поэтому здесь нет и баннера о cookie: соглашаться просто не с чем.

14.2. Приложение Holdis и Minu Holdis используют строго необходимые сеансовые cookie для поддержания входа в систему, которые не требуют согласия. [ЮРИСТУ: подтвердить перечень и срок действия cookie приложения; подтвердить, что Turnstile при включении контактной формы не устанавливает cookie, которые опровергали бы предложение 14.1.]

15. Автоматизированные решения

15.1. Мы не принимаем в отношении лиц решений, основанных исключительно на автоматизированной обработке, которые имели бы для них юридические или аналогично значимые последствия. [ЮРИСТУ: подтвердить, особенно в отношении проверки права представительства по данным коммерческого регистра.]

16. Изменения

16.1. Мы можем изменять политику конфиденциальности. Действующая версия и её дата всегда опубликованы на сайте holdis.eu/privaatsus. О существенных изменениях мы уведомляем Клиентов и Пользователей Minu Holdis по электронной почте.