Політика конфіденційності

1. Контролер даних

RZ.Torski OÜ (торгова марка VINParts) Kirsi tn 8-18, 10616 Tallinn, Естонська Республіка Реєстраційний код: 16910388 Email: info@vinparts.ee Телефон: +372 787 8822 Веб-сайт: www.vinparts.ee Ця політика конфіденційності пояснює, які персональні дані збирає RZ.Torski OÜ, з якими цілями та на яких правових підставах вони обробляються, кому передаються та якими правами ви маєте як суб'єкт даних. Політика відповідає Регламенту (ЄС) 2016/679 (GDPR) та Закону Естонії про захист персональних даних (IKS).

2. Категорії персональних даних, що збираються

Ідентифікаційні дані: ім'я та прізвище, адреса електронної пошти, номер телефону (правова підстава: GDPR ст. 6(1)(b) — виконання договору). Дані доставки: адреса доставки, місто, поштовий індекс, країна (правова підстава: GDPR ст. 6(1)(b)). Фінансові дані: посилання на платіжну транзакцію та її статус — онлайн-оплату ми зараз не приймаємо, тому платіжні дані не збираються. До підключення оплати ми доповнимо цей розділ назвою платіжного провайдера. Технічні дані: IP-адреса, тип та версія браузера, мовне налаштування браузера (лише щоб показати сайт зрозумілою мовою, не зберігається), дані пристрою, журнал відвідувань сторінок (правова підстава: GDPR ст. 6(1)(f) — законний інтерес — безпека та запобігання шахрайству). Поведінкові дані: вміст кошика, переглянуті товари, пошукові запити, кліки (правова підстава: GDPR ст. 6(1)(b) та 6(1)(a) — згода на аналітичні cookie). Дані транспортного засобу: VIN-код, марка, модель, рік випуску, номерний знак — лише для пошуку сумісних запчастин (правова підстава: GDPR ст. 6(1)(b)). Дані AI-чатів: вміст розмов з консультантом Отто — обробляються для надання послуги, зберігаються 90 днів (правова підстава: GDPR ст. 6(1)(b)). Голосові дані: телефонні розмови і голосові бесіди на сайті ми зберігаємо у вигляді текстової розшифровки, а не аудіозапису. Голос людини ми розглядаємо як персональні дані. Про це ми повідомляємо на початку дзвінка. Розшифровки зберігаємо лише стільки, скільки потрібно для мети. Ви маєте право отримати копію текстової розшифровки своєї розмови (правова підстава: GDPR ст. 6(1)(b)). Докладніше про використання штучного інтелекту: /ua/ai Дані перевірки особи (лише учасники партнерської програми, для виплат із певного рівня): ім'я та прізвище; перевірку документа й обличчя проводить Veriff, ми зберігаємо її результат (статус і дату), номер перевірки та причину відмови (правова підстава: GDPR ст. 6(1)(b) — виконання договору з партнером). Технічний запис голосового вікна Отто: поки ви користуєтесь голосовим вікном Отто, воно зчитує з вашого пристрою й надсилає на наш сервер кілька технічних ознак — тип браузера одним словом (ярлик на головному екрані, Safari, Chrome на iOS або інший), чи дозволено мікрофон, чи мікрофон передає звук, стан звукової системи браузера й чи вкладка видима — а також події зʼєднання з голосовим сервісом (відкриття, закриття, коди й короткі тексти помилок, спрацювання таймера тиші) разом із часом події. Мета — знаходити й усувати збої голосу. Ми не записуємо сирого опису браузера (userAgent), імені, акаунта чи постійного ідентифікатора, і запис не пов'язується з вами. Запис зберігається 30 днів.

3. Цілі обробки та правові підстави

Виконання замовлень (GDPR ст. 6(1)(b)): приймання та підтвердження замовлень, організація доставки, виставлення рахунків. Підтримка клієнтів (GDPR ст. 6(1)(b)): відповіді на запити, обробка претензій та повернень. Реферальна програма (GDPR ст. 6(1)(b)): відстеження реферальних посилань, розрахунок та виплата бонусів. Бухгалтерія (GDPR ст. 6(1)(c)): рахунки та бухгалтерські документи протягом 7 років згідно Закону про бухгалтерський облік. Аналітика (GDPR ст. 6(1)(a) — згода): аналіз використання сайту через Google Analytics GA4 в анонімному вигляді. Маркетинг (GDPR ст. 6(1)(a) — згода): розсилки та промо-повідомлення по email — лише з окремо наданої згоди. Безпека (GDPR ст. 6(1)(f) — законний інтерес): виявлення шахрайства, захист системи. VINParts Club / програма лояльності (GDPR Art. 6(1)(b)): управління VP Points, відстеження статусу лояльності, розрахунок і нарахування бонусів.

4. Правові підстави (GDPR ст. 6) — зведення

Ст. 6(1)(a) — згода: маркетингові листи, аналітичні cookie. Згоду можна відкликати будь-коли. Ст. 6(1)(b) — виконання договору: всі операції, пов'язані з процесом купівлі — замовлення, доставка, повернення, підтримка. Ст. 6(1)(c) — юридичне зобов'язання: зберігання бухгалтерських документів 7 років (Закон про бухоблік § 12), податкові зобов'язання. Ст. 6(1)(f) — законний інтерес: захист від шахрайства, безпека системи, анонімна статистика.

5. Терміни зберігання даних

Бухгалтерські документи (рахунки, платежі): 7 років від кінця фінансового року, у якому господарську операцію записано в бухгалтерський регістр — Закон про бухоблік § 12. Профільні дані клієнта: 3 роки після останнього замовлення або закриття акаунту — залежно від того, що настане раніше. Історія замовлень: 3 роки після останньої активності в акаунті (замовлення, кошик або чат з Отто) — для забезпечення гарантійних прав і претензій. Після цього адреса доставки, телефон і примітки в замовленнях стираються; виняток — акаунт із невитраченим бонусним балансом або відкритою виплатою. Рахунки оплачених замовлень (разом з іменем і контактами покупця) та платежі зберігаються як бухгалтерські документи (див. вище). Журнали AI-чатів (Отто): 90 днів — для покращення якості сервісу. Дані реферальної програми (непідтверджені партнери): 90 днів. Cookie: згідно таблиці cookie (розділ 11). Запити GDPR: 3 роки — для підтвердження відповідності вимогам. Технічний запис голосового вікна Отто: 30 днів — для пошуку збоїв голосу. Після закінчення терміну зберігання дані видаляються або анонімізуються.

6. Передача даних третім особам

7. Міжнародна передача даних (GDPR ст. 44–46)

Деякі з наших партнерів знаходяться за межами Європейського економічного простору (ЄЕП), насамперед у США. Така передача дозволена лише на умовах розділу V GDPR (ст. 44–49), тобто за умови забезпечення належного захисту (рішення Європейської комісії про адекватність або відповідні гарантії, наприклад стандартні договірні положення за ст. 46(2)(c)). Anthropic PBC (США) — ваші текстові розмови з AI Отто надсилаються на сервери Anthropic у США; так само — листи, які ви надсилаєте нам на пошту, коли наш менеджер перекладає їх, та фото документів (рахунки, чеки), які наш працівник завантажує в бухгалтерського помічника. OpenAI OpCo LLC (США) — голосова розмова Отто телефоном. Google LLC (США) — голосова розмова Отто на сайті (Gemini Live), памʼять про клієнта, розпізнавання зображень, Google Analytics (анонімізована), OAuth, резервний текстовий чат і переклад листів, службова електронна пошта info@vinparts.ee (Gmail / Google Workspace). Те, що ви говорите Отто вголос на сайті, зокрема VIN чи номер авто, також передається Google (Gemini Live) звуком для обробки розмови. Якщо голосовий сервіс OpenAI недоступний, голос телефонного дзвінка може обробляти замість нього Google (Gemini Live). Resend Inc (США) — транзакційні листи. Twilio Inc. (США) — SMS-коди верифікації та передача телефонних дзвінків (телефонна розмова Отто). National Highway Traffic Safety Administration (NHTSA, США) — розшифровка VIN авто, коли ви вводите VIN (VIN надсилається без ваших даних). Railway Corporation (США) — хостинг сайту і бази даних; сервери в ЄС (Нідерланди), але компанія — зі США, тож на випадок доступу зі США діє рамка захисту даних ЄС–США (Data Privacy Framework), якщо отримувач сертифікований, інакше — стандартні договірні положення ЄС (рішення Європейської комісії 2021/914). Про механізм захисту, що застосовується до конкретного одержувача, ви можете дізнатися, написавши на info@vinparts.ee.

8. Права суб'єктів даних (GDPR ст. 15–22)

Право доступу (ст. 15): право знати, які дані про вас обробляються, з якими цілями та кому передаються. Право на виправлення (ст. 16): право вимагати виправлення неточних даних. Право на видалення / Право бути забутим (ст. 17): право вимагати видалення даних, якщо більше немає правової підстави для обробки. Право на обмеження обробки (ст. 18): право вимагати призупинення використання даних у певних випадках. Право на портативність даних (ст. 20): право отримати свої дані у машинозчитуваному форматі та передати їх іншому постачальнику послуг. Право на заперечення (ст. 21): право заперечувати проти обробки на підставі законного інтересу. Право на відкликання згоди (ст. 7(3)): обробку на підставі згоди можна припинити будь-коли. Захист від автоматичних рішень (ст. 22): ми не приймаємо рішень, заснованих виключно на автоматизованій обробці, що суттєво вплинули б на вас.

9. Реалізація прав

Для реалізації своїх прав надішліть лист на info@vinparts.ee, вказавши: • Тип запиту (доступ / виправлення / видалення тощо) • Ваше ім'я та адресу електронної пошти • Короткий опис запиту Ми відповімо протягом 30 днів з моменту отримання запиту (GDPR ст. 12(3)). У складних випадках строк може бути продовжений до 2 місяців з повідомленням. Можемо запитати додаткове підтвердження особи перед наданням даних. У налаштуваннях профілю можна завантажити свої дані (портативність за GDPR) та видалити акаунт.

10. Скарга до Інспекції захисту даних (AKI)

Якщо ви вважаєте, що ми обробляємо ваші персональні дані незаконно, ви маєте право подати скаргу до наглядового органу: Естонська інспекція захисту даних (AKI) Tatari 39, 10134 Tallinn Email: info@aki.ee Телефон: +372 627 4135 Веб-сайт: www.aki.ee Рекомендуємо спочатку звернутися до нас для вирішення питання в прямому порядку.

11. Політика використання cookie

Таблиця cookie (усі cookie, які ставить наш сайт; HttpOnly означає, що скрипти не мають до них доступу): Обов'язкові cookie (ставляться завжди; згода не запитується, бо вони потрібні для послуги, яку ви прямо замовили — друге речення статті 5(3) Директиви 2002/58/ЄС; для персональних даних — GDPR ст. 6(1)(b)): • authjs.session-token (під HTTPS — __Secure-authjs.session-token) — сесія входу в акаунт; HttpOnly; 30 днів • authjs.csrf-token (під HTTPS — __Host-authjs.csrf-token) — захист форми входу від підроблених запитів; HttpOnly; до закриття браузера • authjs.callback-url — повернення на сторінку після входу; HttpOnly; до закриття браузера • authjs.pkce.code_verifier і authjs.state — захист входу через Google; HttpOnly; 15 хвилин • csrf_token — захист форм замовлення, контактів, реєстрації та виведення коштів від підроблених запитів; 1 година • VINPARTS_LANG_CHOICE — обрана вами мова (перемикач, смужка вибору мови або голосова команда Отто); містить лише код мови; 180 днів; лише ми, третім особам доступу немає • VINPARTS_LOCALE — мова сторінки в межах одного сеансу; до закриття браузера; лише ми Партнерське посилання: • affiliate_ref — ставиться лише коли ви відкриваєте посилання з параметром ?ref=; містить код партнера, за чиїм посиланням ви прийшли, щоб зарахувати йому винагороду за ваше замовлення; HttpOnly; 180 днів; лише ми. При відкритті посилання ми також записуємо IP-адресу, тип браузера й сторінку, з якої ви прийшли, — для захисту від накрутки кліків Автоматичний вибір мови: під час першого відвідування, якщо ви ще не обрали мову, ми показуємо сайт мовою з налаштувань вашого браузера (заголовок Accept-Language), якщо це естонська, російська, українська чи англійська, інакше — естонською. Це значення використовується лише для вибору мови відповіді, не зберігається і не поєднується з іншими даними. Мову можна змінити будь-коли перемикачем. Локальне сховище в браузері (localStorage і sessionStorage — це не cookie, але теж записи на вашому пристрої, які з нього не йдуть, за винятком запису згоди, описаного нижче): • vinparts_cookie_consent, vinparts_cookie_analytics, vinparts_cookie_marketing — ваш вибір щодо cookie; vinparts_cookie_anon — випадковий ідентифікатор. Вибір записується для доказу й на нашому сервері (ідентифікатор, вибір, мова і — якщо ви увійшли — ідентифікатор вашого акаунта; імені, пошти та IP-адреси туди не записуємо) • vinparts_cart — вміст кошика (стирається при виході з акаунта) • vinparts_wishlist, vinparts_compare_v1, vinparts_recently_viewed — список бажань, порівняння й нещодавно переглянуті товари • vinparts_selected_vehicle, regcheck_data, pending_garage_car — обране авто й дані пошуку за номером (до закриття вкладки; стираються при виході з акаунта) • victor_v10, victor_session_id, vinparts_conversation_state, victor_triggers_v1, otto_bubble_seen_v2 — стан розмови з Отто й налаштування вигляду • vinparts_notifications, vinparts_push_dismissed, vinparts_custom_avatar — сповіщення профілю й зображення (зображення стирається при виході з акаунта) • otto-live-open, vp-standalone-launch, vp-chunk-reload, vp_tg_webapp — технічні позначки (стан голосового вікна Отто, відкриття як застосунку, захист від зациклення перезавантаження, ознака Telegram Mini App); до закриття вкладки • _vsid — випадковий ідентифікатор візиту для внутрішньої статистики сайту (до закриття вкладки) Аналітичні cookie (лише за згодою, GDPR ст. 6(1)(a); сторонній скрипт вантажиться лише після згоди й лише якщо інструмент увімкнено на нашому сайті): • _ga — ідентифікатор користувача Google Analytics GA4 — 2 роки • _ga_XXXXXXXXXX — стан сесії Google Analytics GA4 — 2 роки • Hotjar: _hjSessionUser_XXXXXXX — 365 днів; _hjSession_XXXXXXX — 30 хвилин (продовжується з активністю); а також короткі технічні cookie (_hjCookieTest, _hjTLDTest та інші) і _hjHasCachedUserAttributes, _hjUserAttributesHash Маркетингові cookie (лише за згодою, GDPR ст. 6(1)(a)): • _fbp — Facebook Pixel (Meta); зазвичай до 90 днів, строк встановлює Meta Технічні cookie нашого закритого робочого середовища (CRM) ставляться лише співробітникам, відвідувачам сайту їх не ставимо. Налаштування cookie можна змінити будь-коли в банері cookie на сайті. Відмова від обов'язкових cookie впливає на роботу сайту. Правова підстава: стаття 5(3) Директиви 2002/58/ЄС (у редакції Директиви 2009/136/ЄС), а для персональних даних — Загальний регламент про захист даних (ЄС) 2016/679.

12. Зміни політики

Ми залишаємо за собою право змінювати цю політику конфіденційності. При суттєвих змінах зареєстровані користувачі будуть повідомлені по email не менш ніж за 14 днів. Актуальна версія завжди доступна на www.vinparts.ee/ua/privacy.