Политика конфиденциальности и обработки персональных данных

1. Сведения об операторе и контактные данные

Оператором персональных данных в значении ст. 4 Закона № 195/2024 является указанная ниже компания, которая определяет цели и средства обработки данных, описанной в настоящей политике.

Полное наименование

PROM AUTO GRUP S.R.L.

Организационно-правовая форма

Общество с ограниченной ответственностью, юридическое лицо частного права, Республика Молдова

Фискальный код / IDNO

1024600024382

Код НДС

0613525

Юридический адрес

мун. Кишинёв, бул. Москова 13/4, кв. 44, Республика Молдова

Веб-страница

promauto.md

Адрес электронной почты

promautomd@gmail.com

Контакт по вопросам защиты данных

promautomd@gmail.com — с пометкой «персональные данные» в теме сообщения

Оператор не назначил ответственного по защите данных, поскольку его основная деятельность не заключается в регулярном и систематическом мониторинге субъектов данных в крупных масштабах и не связана с масштабной обработкой особых категорий данных, то есть со случаями, когда такое назначение является обязательнымст. 37 ч. (1). Обращения по вопросам защиты данных рассматриваются руководством компании через указанный выше контакт.

2. Предмет, цель и сфера применения политики

Настоящая политика в сжатой, прозрачной, понятной и легкодоступной формест. 12 ч. (1) описывает категории обрабатываемых оператором персональных данных, цели и правовые основания обработки, получателей данных, сроки хранения, применяемые меры безопасности, а также права субъектов данных и порядок их реализации.

Политика применяется к обработке данных в следующих случаях:

• посещение и использование веб-страницы promauto.md, включая её версию на русском языке;
• заполнение и отправка любой из публичных форм сайта (заявка на автокредит или лизинг, trade-in, заказ автомобиля из-за рубежа, запрос предложения по автомобилю из каталога, запись на визит в рамках промоакций);
• последующее общение с субъектом данных по телефону, в мессенджерах или по электронной почте в связи с направленным обращением;
• преддоговорные и договорные этапы, осуществляемые в офисе компании, в той мере, в какой они вытекают из обращения, инициированного через сайт.

Политика не применяется к обработке, осуществляемой независимыми третьими операторами, на чьи веб-страницы могут вести гиперссылки, размещённые на сайте (социальные сети, площадки объявлений, финансовые учреждения). К такой обработке применяются собственные политики конфиденциальности соответствующих операторов.

3. Определения

Термины, используемые в настоящей политике, имеют значение, установленное ст. 4 Закона № 195/2024:

• персональные данные — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, прямо либо косвенно, в частности посредством имени, идентификационного номера, данных о местонахождении, сетевого идентификатора или одного либо нескольких признаков, характеризующих личность;
• обработка — любая операция с персональными данными, с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, хранение, ознакомление, использование, раскрытие, ограничение, удаление или уничтожение;
• оператор — физическое или юридическое лицо, определяющее цели и средства обработки персональных данных; в отношениях, описанных в настоящей политике, оператором является PROM AUTO GRUP S.R.L.;
• лицо, уполномоченное оператором — физическое или юридическое лицо, обрабатывающее данные от имени оператора на основании документированных указаний;
• субъект данных — физическое лицо, чьи данные обрабатываются, то есть посетитель сайта, лицо, запросившее предложение, клиент или потенциальный клиент;
• согласие — свободное, конкретное, информированное и однозначное волеизъявление субъекта данных, которым он посредством заявления или недвусмысленного действия принимает обработку своих данных;
• нарушение безопасности данных — нарушение безопасности, приводящее к случайному или незаконному уничтожению, утрате, изменению, несанкционированному раскрытию данных либо несанкционированному доступу к ним;
• Центр — Национальный центр по защите персональных данных, надзорный орган Республики Молдова.

4. Принципы обработки данных

Оператор обрабатывает персональные данные с соблюдением принципов, предусмотренных ст. 5 Закона № 195/2024, и способен подтвердить их соблюдение (принцип подотчётности):

• законность, справедливость и прозрачность — обработка всегда основывается на одном из правовых оснований, перечисленных в разделе 6, а субъект данных информируется настоящей политикой обо всех существенных элементах обработки;
• ограничение целью — данные собираются для определённых, явных и законных целей и не обрабатываются в дальнейшем способом, несовместимым с этими целями;
• минимизация данных — публичные формы сайта запрашивают исключительно данные, строго необходимые для связи с субъектом и ответа на его обращение; мы не запрашиваем дополнительные данные «на всякий случай»;
• точность — неточные данные исправляются или удаляются без промедления, в том числе по обращению субъекта данных;
• ограничение хранения — данные хранятся в форме, позволяющей идентифицировать субъекта, только в течение срока, необходимого для достижения целей, согласно срокам, указанным в разделе 11;
• целостность и конфиденциальность — данные обрабатываются с применением технических и организационных мер, описанных в разделе 12, которые обеспечивают защиту от несанкционированной или незаконной обработки, а также от случайной утраты, уничтожения или повреждения.

5. Категории обрабатываемых персональных данных

Оператор обрабатывает исключительно перечисленные ниже категории данных. Конкретный объём данных зависит от заполненной формы и от стадии отношений с субъектом данных.

5.1. Данные, собираемые через публичные формы сайта

Поля со свободным текстом заполняются полностью по усмотрению субъекта данных. Рекомендуем не включать в них сведения, которые вы не считаете необходимыми для рассмотрения обращения, в особенности данные о состоянии здоровья, семейном положении или иную чувствительную информацию.

5.2. Данные, обрабатываемые на преддоговорном и договорном этапе

Если обращение перерастает в договорные отношения, в офисе компании могут собираться, строго в объёме, необходимом для оформления документов:

• идентификационные данные из удостоверения личности, включая IDNP;
• место жительства или пребывания;
• данные автомобиля, участвующего в сделке: марка, модель, год выпуска, идентификационный номер (VIN), регистрационный номер, серия свидетельства о регистрации, пробег;
• данные, необходимые для составления актов приёма-передачи и бухгалтерских документов.

Эти данные не собираются через публичные формы сайта, а исключительно при непосредственном взаимодействии с субъектом данных в офисе компании, на этапе оформления договора купли-продажи, акта приёма-передачи или заявки на финансирование.

5.3. Технические данные

При посещении сайта автоматизированными средствами обрабатываются технические данные: IP-адрес, тип и версия браузера, операционная система, просмотренные страницы, дата и время доступа, а также идентификаторы, хранящиеся в файлах cookie. Обработка этих данных в целях аналитики и рекламы осуществляется исключительно на основании согласия, выраженного через баннер cookie, согласно разделу 17.

6. Цели и правовые основания обработки

Каждая операция обработки основывается как минимум на одном из правовых оснований, предусмотренных ст. 6 ч. (1) Закона № 195/2024:

Если оператор намерен обрабатывать данные в иной цели, чем та, для которой они были собраны, субъект данных предварительно информируется о такой вторичной цели в соответствии со ст. 6 ч. (5) и ст. 13 ч. (3) закона.

Регулярные коммерческие сообщения (рассылки, периодические предложения) направляются не на основании законного интереса, а исключительно на основании отдельного согласия, запрашиваемого дополнительно и отзываемого в любой момент.

7. Характер предоставления данных и последствия отказа

Предоставление данных через публичные формы сайта носит добровольный характер. Однако отказ предоставить имя и номер телефона делает невозможной связь с субъектом данных и, соответственно, рассмотрение обращения, поскольку эти данные необходимы для заявленной цели ст. 13 ч. (2) п. e).

На договорном этапе предоставление идентификационных данных, предусмотренных гражданским, бухгалтерским и налоговым законодательством, является обязательным; без них договор не может быть заключён надлежащим образом, а соответствующие документы не могут быть составлены.

8. Источники получения данных

Как правило, данные получены непосредственно от субъекта данных — путём заполнения форм на сайте, телефонного общения, электронной переписки либо в ходе встреч в офисе компании.

Если обращение поступает через площадку объявлений или социальную сеть, где разговор инициирован самим субъектом данных, данные происходят из соответствующего источника — в пределах информации, добровольно сообщённой субъектом. Оператор не приобретает базы контактов и не собирает данные из публичных источников в маркетинговых целях.

9. Получатели данных и системы учёта

Доступ к данным во внутренней системе предоставляется индивидуально, на основании именных учётных записей, исключительно сотрудникам, которым эти данные необходимы для выполнения служебных обязанностей, в пределах закреплённой за каждым роли. Все сотрудники с правом доступа проинструктированы и обязаны по договору соблюдать конфиденциальность данных и вправе обрабатывать их только по указанию оператораст. 32 ч. (4).

За пределами внутренней структуры данные могут передаваться только перечисленным ниже категориям получателей и строго в указанных целях:

Персональные данные не продаются, не сдаются в аренду и не обмениваются с третьими лицами в коммерческих целях. Отношения с каждым уполномоченным лицом урегулированы договором, возлагающим на него обязательства по конфиденциальности и безопасности не ниже принятых оператором ст. 28. Актуальный перечень уполномоченных лиц может быть запрошен по контактному адресу, указанному в разделе 1.

10. Передача данных в другие государства

Информационные системы оператора размещены на выделенном сервере, находящемся под исключительным контролем компании, в центре обработки данных на территории Европейского союза. Такое размещение не меняет правового режима обработки: данные остаются под контролем оператора, а поставщик услуг размещения действует исключительно как уполномоченное лицо, без права использования данных в собственных целях.

Любая передача данных получателю в другом государстве осуществляется только с соблюдением условий, предусмотренных ст. 44–49 Закона № 195/2024, — на основании решения о достаточном уровне защиты, при наличии надлежащих гарантий либо, при необходимости, на основании одного из исключений для отдельных ситуаций. Субъект данных вправе быть проинформированным о гарантиях, применимых к такой передачест. 15 ч. (2).

11. Сроки хранения данных

Данные хранятся только в течение срока, необходимого для достижения целей, ради которых они были собраны:

По истечении указанных сроков данные окончательно удаляются либо необратимо анонимизируются. Анонимизированные данные, которые более не позволяют идентифицировать физическое лицо, могут использоваться во внутренних статистических целях — такая обработка выходит за рамки законодательства о защите персональных данных.

12. Технические и организационные меры безопасности

С учётом современного уровня развития технологий, затрат на внедрение, а также характера, объёма, контекста и целей обработки оператор внедряет надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску ст. 32 ч. (1), в том числе:

12.1. Технические меры

• шифрование трафика между браузером пользователя и сервером посредством сертификата TLS/HTTPS, применяемое ко всем страницам и формам;
• размещение внутренней системы на выделенном сервере с административным доступом, ограниченным подключениями с криптографической аутентификацией;
• аутентификация пользователей внутренней системы по именным учётным записям, с хранением паролей исключительно в виде криптографического отпечатка и с сессиями ограниченной длительности;
• разграничение прав доступа в зависимости от роли пользователя, при котором каждый сотрудник видит только данные, необходимые для его обязанностей;
• регулярное резервное копирование баз данных, обеспечивающее своевременное восстановление доступности данных при физическом или техническом инцидентест. 32 ч. (1) п. c);
• журналирование операций над записями, позволяющее впоследствии установить автора каждого изменения;
• регулярное обновление используемых программных компонентов.

12.2. Организационные меры

• предоставление доступа к данным по принципу служебной необходимости и оперативный отзыв прав при прекращении трудовых отношений;
• договорные обязательства о конфиденциальности, принятые персоналом и уполномоченными лицами;
• обучение персонала правилам обработки персональных данных и порядку реагирования на инциденты;
• хранение документов на бумажном носителе в помещениях с ограниченным доступом, в офисе компании;
• периодическая переоценка эффективности внедрённых мерст. 32 ч. (1) п. d).

Вместе с тем ни один способ передачи или хранения информации не может дать абсолютной гарантии безопасности. Оператор принимает на себя обязательство применять меры, соответствующие риску, и действовать добросовестно при возникновении инцидента — в порядке, изложенном в следующем разделе.

13. Нарушение безопасности персональных данных

В случае нарушения безопасности персональных данных оператор уведомляет Национальный центр по защите персональных данных без неоправданной задержки и, по возможности, не позднее 72 часов с момента, когда ему стало известно о нарушении, за исключением случаев, когда нарушение вряд ли создаст риск для прав и свобод физических лиц ст. 33 ч. (1).

Если нарушение способно повлечь высокий риск для прав и свобод физических лиц, оператор также информирует субъекта данных без неоправданной задержки, ясным и простым языком, сообщая характер нарушения, его вероятные последствия и принятые либо предлагаемые меры по устранению ст. 34.

Оператор ведёт внутреннюю документацию по всем инцидентам безопасности, включая фактические обстоятельства, наступившие последствия и предпринятые мерыст. 33 ч. (5).

14. Права субъекта данных

В соответствии с главой III Закона № 195/2024 субъект данных обладает следующими правами:

• Право на доступ ст. 15 — право получить подтверждение того, обрабатываются ли его данные, а в случае положительного ответа — доступ к таким данным и к информации о целях обработки, категориях данных, получателях, сроке хранения, принадлежащих ему правах и источнике данных, а также копию обрабатываемых данных.
• Право на исправление ст. 16 — право без неоправданной задержки добиться исправления неточных данных и дополнения неполных данных, в том числе путём представления дополнительного заявления.
• Право на удаление данных («право быть забытым») ст. 17 — право добиться удаления данных, когда они более не нужны для целей обработки, когда согласие отозвано и отсутствует иное правовое основание, когда субъект возражает против обработки и отсутствуют преобладающие законные основания, либо когда данные обрабатывались незаконно. Право не может быть реализовано в той мере, в какой обработка необходима для исполнения правовой обязанности либо для установления, осуществления или защиты права в суде.
• Право на ограничение обработки ст. 18 — право добиться ограничения обработки на период проверки точности оспариваемых данных, когда обработка незаконна, но субъект возражает против удаления, либо при реализации права на возражение — до проверки законных оснований оператора.
• Право на переносимость данных ст. 20 — право получить предоставленные оператору данные в структурированном, широко используемом и машиночитаемом формате, а также передать их другому оператору, когда обработка основана на согласии или договоре и осуществляется автоматизированными средствами.
• Право на возражение ст. 21 — право возражать по личным мотивам против обработки, основанной на законном интересе оператора. В случае обработки в целях прямого маркетинга возражение может быть заявлено в любой момент и без обоснования, после чего данные более не обрабатываются в этих целях.
• Право не быть объектом автоматизированного решения ст. 22 — право не подпадать под действие решения, основанного исключительно на автоматизированной обработке, включая профилирование, которое порождает правовые последствия или существенно затрагивает субъекта данных.
• Право отозвать согласие ст. 7 ч. (3) — право в любой момент отозвать данное согласие, что не влияет на законность обработки, осуществлённой до отзыва.
• Право подать жалобу и обратиться в суд ст. 72–74 — подробно изложено в разделе 21.

Оператор сообщает каждому получателю, которому были раскрыты данные, о любом исправлении, удалении или ограничении обработки, за исключением случаев, когда это оказывается невозможным или требует несоразмерных усилийст. 19.

15. Порядок реализации прав. Сроки

Права, перечисленные в разделе 14, реализуются посредством обращения к оператору по адресу электронной почты promautomd@gmail.com либо в письменной форме по юридическому адресу, указанному в разделе 1. Обращение должно позволять идентифицировать субъекта данных и указывать заявляемое право, а также, по возможности, обработку, к которой оно относится.

Оператор отвечает на обращение без неоправданной задержки, но не позднее одного месяца с момента его получения. Срок может быть продлён не более чем на два месяца при необходимости, с учётом сложности и количества обращений; о продлении и его причинах субъект данных информируется в течение одного месяца с момента получения обращенияст. 12 ч. (3).

Если оператор не предпринимает мер по обращению, он информирует субъекта данных не позднее одного месяца о причинах отказа и о возможности подать жалобу в Центр либо исковое заявление в суд ст. 12 ч. (4).

Реализация прав является бесплатной. В случае явно необоснованных или чрезмерных обращений, в частности в силу их повторяющегося характера, оператор вправе взыскать разумную плату исходя из административных расходов либо отказать в рассмотрении обращения, при этом бремя доказывания явной необоснованности или чрезмерности лежит на операторе ст. 12 ч. (5).

При наличии обоснованных сомнений в личности заявителя оператор вправе запросить дополнительные сведения, необходимые для подтверждения личности субъекта данныхст. 12 ч. (6). Такие сведения используются исключительно в целях проверки и удаляются сразу после рассмотрения обращения.

16. Согласие и его отзыв

Когда обработка основана на согласии, оно запрашивается посредством отдельного флажка, не отмеченного по умолчанию, расположенного непосредственно рядом с кнопкой отправки формы и сопровождаемого ссылкой на настоящую политику. Форма не может быть отправлена без установки этого флажка, благодаря чему согласие следует из недвусмысленного действия субъекта данных, а сама просьба о согласии представлена в форме, чётко отличающейся от прочих вопросов, ясным и простым языкомст. 7 ч. (2).

Согласие может быть отозвано в любой момент, столь же просто, как оно было дано, посредством обращения по контактному адресу, указанному в разделе 1. Отзыв не влияет на законность обработки, осуществлённой на основании согласия до его отзываст. 7 ч. (3). После отзыва данные удаляются, если отсутствует иное правовое основание для их хранения, например исполняемый договор или обязанность архивного хранения.

Оператор ведёт учёт предоставленных согласий, чтобы иметь возможность подтвердить по запросу Центра факт выражения согласия субъектом данныхст. 7 ч. (1).

16.1. Формы, не основанные на согласии

Форма запроса предложения по конкретному автомобилю из каталога не содержит флажка, поскольку обработка основана не на согласии, а на преддоговорных мерах, принимаемых по просьбе субъекта данныхст. 6 ч. (1) п. b): лицо само запрашивает предложение по определённому товару, и контактные данные строго необходимы для ответа. В этом случае закон требует не отдельного согласия, а предварительного информирования субъекта данныхст. 13, которое отображается непосредственно в форме вместе со ссылкой на настоящую политику.

Для ясности оператор уточняет, что формулировка вида «отправляя форму, вы выражаете согласие» не используется в качестве замены согласия там, где оно необходимо, поскольку согласие предполагает недвусмысленное активное действие субъекта данных, а не молчаливое принятие.

17. Файлы cookie, аналитика и реклама

Файлы cookie — это небольшие файлы, сохраняемые в браузере пользователя и способные содержать сетевые идентификаторы. Сайт использует систему управления тегами (Google Tag Manager) для управления скриптами веб-аналитики (Google Analytics) и рекламы (Google Ads).

На сайте внедрён механизм Google Consent Mode v2. При первом посещении все категории хранения для аналитики и рекламы по умолчанию установлены в значение «отказано», и соответствующие скрипты не размещают файлы cookie и не передают идентификаторы. Баннер явно запрашивает выбор пользователя: «Принять всё» или «Только необходимые». Аналитические и рекламные категории активируются исключительно после предоставления согласия.

Сделанный выбор сохраняется локально в браузере и может быть изменён в любой момент путём очистки данных сайта в настройках браузера — в этом случае баннер будет показан снова при следующем посещении. Блокировка или удаление файлов cookie в браузере возможны в любое время и не ограничивают доступ к публичному содержанию сайта.

18. Обработка данных несовершеннолетних

Услуги, представленные на сайте, адресованы исключительно лицам, обладающим полной дееспособностью. Оператор заведомо не собирает персональные данные несовершеннолетних через публичные формы сайта.

В случае услуг информационного общества, предлагаемых непосредственно ребёнку, обработка на основании согласия является законной, если ребёнку исполнилось не менее 14 лет; для детей младше указанного возраста обработка законна только в той мере, в какой согласие дано или санкционировано законным представителем ребёнкаст. 8 ч. (1). При обнаружении факта сбора данных несовершеннолетнего без необходимого основания такие данные удаляются без промедления.

19. Автоматизированные решения и профилирование

Оператор не принимает решений, основанных исключительно на автоматизированной обработке, включая профилирование, которые порождали бы правовые последствия для субъекта данных или существенно затрагивали бы его аналогичным образомст. 22 ч. (1).

Калькуляторы платежей, доступные на сайте, носят исключительно информационный и ориентировочный характер. Отображаемые результаты не являются твёрдым предложением, не представляют собой решение об одобрении или отказе в финансировании и не порождают правовых последствий. Оценка любой заявки на финансирование производится компетентным финансовым учреждением с участием человека.

20. Особые категории данных

Оператор не запрашивает и не обрабатывает через публичные формы сайта особые категории персональных данных, а именно данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, генетические данные, биометрические данные для однозначной идентификации лица, данные о состоянии здоровья либо данные о половой жизни или сексуальной ориентации ст. 9 ч. (1).

Также не обрабатываются данные о судимости и правонарушенияхст. 10. Если такие сведения добровольно сообщены субъектом данных в поле свободного текста, они удаляются из записи сразу после того, как будут обнаружены.

21. Жалобы, средства правовой защиты и компенсации

Рекомендуем направлять любые претензии, связанные с обработкой данных, в первую очередь непосредственно нам, по контактам, указанным в разделе 1, — это позволит разрешить вопрос оперативно.

Независимо от этого субъект данных вправе подать жалобу в Национальный центр по защите персональных данных, если считает, что обработка его данных нарушает закон ст. 72. Срок давности для подачи жалобы составляет один год с даты, когда лицо могло узнать о предполагаемом нарушении, но не позднее 3 лет с даты предполагаемого нарушения.

Надзорный орган

Национальный центр по защите персональных данных

Адрес

мун. Кишинёв, ул. Сергей Лазо 48, MD-2004, Республика Молдова

Веб-страница

datepersonale.md

Актуальные контактные данные органа, а также типовой формуляр жалобы публикуются на его веб-странице ст. 79 ч. (3).

Субъект данных также вправе обратиться непосредственно в компетентный судст. 74 и требовать возмещения материального или морального вреда, причинённого обработкой, осуществлённой с нарушением законаст. 76.

22. Изменение политики

Оператор оставляет за собой право обновлять настоящую политику всякий раз, когда изменяются нормативная база, структура предоставляемых услуг или используемые технические средства. Действующей версией всегда является та, что опубликована на этой странице, вместе с номером версии и датой последнего обновления, указанными в шапке документа.

В случае существенных изменений, затрагивающих цели обработки или права субъектов данных, информирование осуществляется заметным образом на главной странице сайта, а там, где обработка основана на согласии, согласие запрашивается повторно.