Политика конфиденциальности

Мы собираем персональные данные в одном месте — в форме заявки на этом сайте. Ниже написано, какие именно, зачем, сколько мы их храним и что вы можете с ними сделать. Рекламных пикселей, рассылок и личных кабинетов на сайте нет. Подробную статистику через Google Analytics мы включаем только с вашего согласия; простой счётчик посещений работает у всех, но он ничего не сохраняет в вашем браузере и никого не опознаёт.

Кто обрабатывает данные

Оператор (контролёр в терминах GDPR) — Wasp Systems SIA, регистрационный номер 40203763878, адрес: Anniņmuižas bulvāris 43 – 7A, Rīga, LV-1067.

По любым вопросам об этих данных пишите на hello@waspsystems.eu. Отдельного специалиста по защите данных (DPO) у нас нет: мы не обязаны его назначать по статье 37 GDPR — данные обрабатываются не систематически и не в больших объёмах, — поэтому запросы принимает эта же почта.

Какие данные мы получаем

Только те, что вы вводите сами, и минимальный технический след отправки.

• Имя — чтобы знать, как к вам обращаться.
• E-mail — чтобы ответить.
• Текст обращения — то, что вы напишете в поле задачи.
• Компания и телефон — необязательные поля. Форма отправится и без них.
• Технические сведения об отправке — IP-адрес, тип браузера и время. Они нужны, чтобы отличать людей от спам-ботов.

Мы не запрашиваем и не хотим получать особые категории данных из статьи 9 GDPR — о здоровье, взглядах, происхождении. Не пишите их в свободном поле: оно не для этого.

Зачем и на каком основании

Основания — из статьи 6 GDPR:

• Ответить на заявку и обсудить работу. Ваше согласие, статья 6(1)(a) — вы ставите галочку перед отправкой; а когда разговор доходит до условий, это уже действия перед заключением договора, статья 6(1)(b).
• Защитить форму от спама и злоупотреблений. Наш законный интерес, статья 6(1)(f): сайт должен оставаться работоспособным.
• Бухгалтерия и налоги — только если мы станем работать вместе. Это обязанность по закону, статья 6(1)(c).

Мы не используем эти данные для рассылок и не передаём их для рекламы. Если когда-нибудь захотим написать вам о чём-то, кроме вашего обращения, — сначала спросим отдельно.

Сколько храним

Сроков три, потому что целей три. Первый мы выбираем сами, два других за нас выбрал закон.

• Заявка, которая не стала проектом — 12 месяцев с последнего сообщения, после чего мы её удаляем.
• Переписка и договор по проекту — три года после его завершения. Это срок исковой давности по требованиям из коммерческих сделок.
• Бухгалтерские документы — пять лет, как требует закон о бухгалтерском учёте. Здесь у нас нет выбора.

Попросить удалить данные раньше можно всегда — как, в разделе 6. Мы удалим всё, кроме того, что закон прямо обязывает хранить: статья 17(3)(b) GDPR этот случай отдельно оговаривает, и обещать обратное было бы неправдой.

Кто ещё их видит

Мы не продаём данные и не передаём их третьим лицам для их собственных целей. Доступ есть у подрядчиков, без которых сайт и почта не работают, — в терминах GDPR это обработчики, и каждый связан договором по статье 28:

• Hetzner Online GmbH (Германия) — хостинг сайта и база данных
• Google Ireland Limited (Ирландия) — рабочая почта Google Workspace и статистика посещений Google Analytics

Сайт и его база данных находятся в Европейской экономической зоне. Почта — у ирландского юридического лица Google, но Google может обрабатывать письма и на серверах в США; такая передача идёт по главе V GDPR, на основании решения Еврокомиссии о достаточном уровне защиты (EU–US Data Privacy Framework) и стандартных договорных условий.

Отдельно: данные могут быть раскрыты по законному требованию государственного органа. Это не наше решение и не наш выбор, но умалчивать об этом было бы нечестно.

Ваши права

По статьям 15–22 GDPR вы можете:

• узнать, какие ваши данные у нас есть, и получить их копию;
• исправить неточные;
• потребовать удаления — в пределах, о которых сказано в разделе 4;
• ограничить обработку или возразить против неё;
• получить свои данные в машиночитаемом виде и перенести их;
• отозвать согласие в любой момент — по статье 7(3) это не делает незаконным то, что было обработано до отзыва.

Достаточно письма на hello@waspsystems.eu. Мы отвечаем в течение месяца — это срок из статьи 12(3); если запрос сложный, срок может быть продлён, и тогда мы сообщим об этом и объясним почему. Плату за это мы не берём.

Если ответ вас не устроил, вы вправе пожаловаться в надзорный орган. В Латвии это Государственная инспекция данных — Datu valsts inspekcija.

Счётчик посещений

Нам нужно знать, сколько людей приходит на сайт и что читает. Для этого не обязательно выяснять, кто эти люди, и не обязательно что-либо сохранять в их браузере. Поэтому мы не делаем ни того, ни другого.

Наш счётчик записывает только это:

• адрес открытой страницы и язык, на котором она была;
• откуда вы пришли — домен, без адреса конкретной страницы;
• метку рекламной кампании, если она была в ссылке;
• тип устройства: компьютер, телефон или планшет;
• часовой пояс, настроенный в вашем браузере, — по нему мы понимаем, из какой примерно части света вы читаете. Это не координаты и не город: «Europe/Riga» говорит ровно то, что написано;
• время и несколько действий на странице — какую вкладку открыли, дошли ли до формы;
• ваш ответ на вопрос о куках — сам ответ, а не то, кто его дал. По нему мы понимаем, какую долю посетителей видит Google Analytics: без этого его числа не с чем сравнивать.

Чтобы не посчитать одного человека, открывшего три страницы, за троих, мы вычисляем короткий отпечаток: IP-адрес и строка браузера вместе с секретным ключом прогоняются через хеш-функцию. Сам IP-адрес не сохраняется нигде. Ключ меняется раз в сутки, и вчерашний не хранится нигде — поэтому вчерашний отпечаток не сопоставить с сегодняшним даже нам. Обратить отпечаток в IP-адрес нельзя.

Мы считаем, что такие записи не являются персональными данными: по ним нельзя установить человека. Если бы являлись, основанием была бы статья 6(1)(f) GDPR — наш законный интерес знать посещаемость собственного сайта. Согласия по директиве ePrivacy счётчик тоже не требует: согласие там нужно для записи в вашем устройстве и чтения из него, а он туда ничего не пишет.

Если вы всё же не хотите попадать даже в этот счёт, включите в браузере Global Privacy Control или Do Not Track — счётчик увидит сигнал и не отправит ничего. Персонального отключения мы не предлагаем нарочно: чтобы помнить ваш отказ, пришлось бы сохранить запись в вашем браузере, то есть сделать ровно то, от чего счётчик и уклоняется.

Строки хранятся год, потом удаляются автоматически. Год — чтобы можно было сравнить месяц с тем же месяцем прошлого года.

Куки и хранилище браузера

Всё, что сайт сохраняет в вашем браузере, вынесено в отдельный документ — политике использования куки. Там перечислено, что именно, зачем, на какой срок и как изменить решение.

Коротко: обязательные записи нужны, чтобы работали сайт и форма, и согласия не требуют. Google Analytics до вашего согласия кук не ставит. Наш собственный счётчик не ставит их никогда — о нём в предыдущем разделе.

Автоматические решения

Мы не принимаем решений о вас автоматически и не занимаемся профилированием в смысле статьи 22 GDPR. Заявки читают люди.

Дети

Сайт адресован бизнесу и не предназначен для детей. Мы сознательно не собираем данные лиц младше 16 лет; если такие данные попали к нам по ошибке, напишите — удалим.

Изменения

Если политика поменяется, здесь изменится дата редакции наверху страницы. О существенных изменениях, затрагивающих уже собранные данные, мы сообщим отдельно тем, кого они касаются.