Политика конфиденциальности
Версия: v1.0.0
Настоящая Политика конфиденциальности описывает, каким образом Dream Car Ltd (зарегистрированный офис: Лимассол, Кипр) как контролёр персональных данных по смыслу Регламента (ЕС) 2016/679 (GDPR) и Закона Кипра о защите физических лиц в отношении обработки персональных данных 125(I)/2018, обрабатывает персональные данные Пользователей Платформы dreamcarcy.com.
1. Контролёр данных и контакты
Контролёром персональных данных является Dream Car Ltd. По вопросам обработки персональных данных, а также для реализации прав, предусмотренных настоящей Политикой, Пользователь вправе обратиться по адресу электронной почты privacy@dreamcarcy.com. При превышении установленных законодательством порогов обработки специальных категорий данных (биометрия) Оператор назначает ответственное за защиту данных лицо (DPO), контакты которого публикуются дополнительно.
2. Какие данные мы собираем
Идентификационные данные: имя, фамилия, дата рождения, гражданство, номер и скан документа, удостоверяющего личность (для Verified User и выше);
Биометрические данные: фотография/видео лица для прохождения liveness-проверки (специальная категория данных);
Контактные данные: номер телефона, адрес электронной почты, почтовый/фактический адрес;
Геолокационные данные: координаты съёмки фотографий автомобиля (для проверки нахождения на территории Кипра), геолокация при сканировании QR-кода;
Данные об автомобиле и фотоматериалы: VIN, показания одометра, фотографии и видео транспортного средства, данные толщиномера, коды бортовой диагностики (OBD);
Голосовые данные: аудиозаписи комментариев Инспектора, преобразуемые в текст средствами распознавания речи;
Финансовые данные: сведения о произведённых платежах, статусе Депозита (полные реквизиты банковских карт Оператором не хранятся и обрабатываются исключительно платёжным провайдером);
Данные об использовании Платформы: журналы действий, история ставок, IP-адрес, идентификатор устройства, данные cookie и аналогичных технологий;
Данные, связанные с заключением сделок: содержание электронных договоров, история переписки в рамках бронирования, аудиторский след (audit trail) ставок и подписания соглашений.
3. Правовые основания обработки
исполнение договора с Пользователем или принятие мер по его просьбе до заключения договора — ст. 6(1)(b) GDPR (регистрация, бронирование, участие в аукционе, оказание услуги инспекции);
выполнение юридических обязательств Оператора — ст. 6(1)(c) GDPR (налоговый и бухгалтерский учёт, законодательство о противодействии отмыванию денег, хранение электронных договоров);
законный интерес Оператора — ст. 6(1)(f) GDPR (обеспечение безопасности Платформы, предотвращение мошенничества, улучшение AI Estimation Engine на обезличенных данных, защита правовых требований);
явно выраженное согласие Пользователя — ст. 6(1)(a) и ст. 9(2)(a) GDPR (обработка биометрических данных при liveness-проверке, маркетинговые коммуникации).
4. Специальные категории данных: биометрия
Проверка подлинности личности методом liveness-check предполагает обработку биометрических данных, представляющих специальную категорию персональных данных согласно ст. 9 GDPR. Указанная обработка осуществляется исключительно на основании явно выраженного, отдельного согласия Пользователя, полученного до прохождения проверки, с возможностью отзыва согласия в любой момент (с одновременным ограничением доступа к функциям, требующим статуса Verified User и выше).
5. Цели обработки
Данные обрабатываются в целях: регистрации и верификации Пользователей; организации бронирования и осмотра автомобилей; формирования Отчётов об инспекции и расчёта оценочных показателей (Dream Car Verified Score, Auction Estimate); проведения аукционов и фиксации обязывающих ставок; сопровождения защищённой сделки и формирования электронного договора; приёма платежей и расчёта комиссий; обеспечения безопасности Платформы и предотвращения мошенничества; исполнения юридических обязательств Оператора; направления сервисных и, при наличии согласия, маркетинговых уведомлений.
6. Автоматизированная обработка и профилирование
AI Estimation Engine осуществляет автоматизированный расчёт рыночной стоимости, ориентировочной цены закрытия аукциона (Auction Estimate), показателя ликвидности (Liquidity Score) и оценки стоимости ремонта на основании введённых данных инспекции. Указанные результаты носят рекомендательный характер и не влекут автоматического принятия юридически значимых решений в отношении Пользователя без участия человека по смыслу ст. 22 GDPR: решение о цене и условиях сделки принимается Пользователями самостоятельно.
7. Получатели данных и обработчики
Для оказания услуг Платформы Оператор привлекает следующие категории обработчиков персональных данных, действующих на основании договоров, соответствующих требованиям ст. 28 GDPR: провайдеры облачного распознавания изображений и текста (в частности, для распознавания VIN, показаний одометра и кодов OBD); провайдер преобразования речи в текст; поставщик услуг проверки личности и liveness-проверки (KYC-провайдер); провайдер SMS-верификации; платёжный провайдер PayPal; провайдер услуг усиленной электронной подписи (при использовании); поставщики облачного хранения фотоматериалов и резервного копирования; провайдер AI-модели для обработки текстовых запросов поиска и формирования отчётов.
Дилеры, СТО и Подборщики получают доступ к данным Пользователей в объёме, необходимом для исполнения соответствующей функции (бронирование осмотра, проведение инспекции), и обязаны соблюдать конфиденциальность полученных данных в соответствии с заключёнными с Оператором договорами.
8. Международная передача данных
В случае, если обработчики персональных данных, указанные в разделе 7, располагаются за пределами Европейской экономической зоны, передача данных осуществляется с применением надлежащих гарантий, предусмотренных Главой V GDPR, в частности — Стандартных договорных условий (Standard Contractual Clauses), утверждённых Европейской комиссией, либо на основании решений об адекватности защиты данных.
9. Сроки хранения данных
9.1. Персональные данные хранятся в течение срока, необходимого для достижения целей их обработки, после чего подлежат удалению либо анонимизации, за исключением случаев, предусмотренных пунктом 9.2 настоящей Политики.
9.2. Данные, связанные с завершённой сделкой купли-продажи, участием в Аукционе, электронным договором, а также аудиторский след (audit trail) ставок, подписаний и платежей сохраняются Оператором в течение следующих сроков независимо от последующего удаления учётной записи Пользователя:
не менее шести (6) лет — в силу требований бухгалтерского и налогового законодательства Республики Кипр (в т. ч. законодательства об НДС), обязывающих хранить финансовые записи, относящиеся к сделкам, оформленным при посредничестве Платформы;
в течение срока исковой давности, установленного Законом Кипра об исковой давности (Cap. 15) — как правило, шесть (6) лет с даты заключения договора или возникновения основания для предъявления требования, — в целях установления, осуществления либо защиты правовых требований, вытекающих из гарантийных обязательств, споров о качестве автомобиля или содержании Отчёта об инспекции;
в течение пяти (5) лет после прекращения деловых отношений — в отношении данных идентификации Пользователя, собранных в рамках процедур надлежащей проверки клиента (customer due diligence), в соответствии с законодательством Республики Кипр о противодействии отмыванию денег и финансированию терроризма.
9.3. Указанное хранение осуществляется на основании ст. 17(3)(b) и 17(3)(e) GDPR, прямо предусматривающих, что право на удаление данных не применяется в той мере, в какой обработка необходима для выполнения юридического обязательства контролёра либо для установления, осуществления или защиты правовых требований. В течение указанных сроков доступ к сохранённым данным ограничивается целями, перечисленными в настоящем пункте (режим ограниченной обработки, ст. 18 GDPR), без использования данных для иных целей, включая маркетинг.
10. Права субъекта данных
Пользователь вправе: получить доступ к своим персональным данным и их копии; требовать исправления неточных данных; требовать удаления данных («право на забвение») — с учётом ограничений, указанных в разделе 9.2 настоящей Политики; требовать ограничения обработки; получить свои данные в структурированном машиночитаемом формате (право на переносимость данных) в части, обрабатываемой на основании договора или согласия; возражать против обработки, осуществляемой на основании законного интереса Оператора; отозвать ранее данное согласие без влияния на законность обработки, произведённой до момента отзыва.
Запросы рассматриваются Оператором в срок, не превышающий одного (1) месяца с момента получения, с возможностью продления на два дополнительных месяца в случае сложности запроса, с обязательным уведомлением Пользователя о причинах продления.
11. Право на обращение в надзорный орган
Пользователь вправе обратиться с жалобой в Комиссариат по защите персональных данных Республики Кипр (Office of the Commissioner for Personal Data Protection), а также в надзорный орган государства своего постоянного проживания или места предполагаемого нарушения.
12. Файлы cookie и аналогичные технологии
Платформа использует строго необходимые файлы cookie для обеспечения функционирования PWA и Service Worker (офлайн-режим, кэширование), а также, при наличии согласия Пользователя, аналитические и функциональные cookie. Подробная информация о категориях используемых cookie и порядке управления ими доступна в отдельном Уведомлении об использовании cookie на Платформе.
13. Безопасность данных
Оператор применяет технические и организационные меры защиты персональных данных, соответствующие уровню риска обработки, включая шифрование данных при хранении и передаче, ограничение доступа по ролевому принципу, ведение журналов аудита действий с чувствительными данными и регулярное резервное копирование.
14. Данные несовершеннолетних
Платформа не предназначена для лиц младше 18 лет и не осуществляет целенаправленный сбор данных таких лиц. При установлении факта регистрации несовершеннолетнего Оператор незамедлительно удаляет соответствующую учётную запись и данные, за исключением случаев, когда их сохранение требуется для защиты законных интересов Оператора или иных лиц.
15. Изменения Политики конфиденциальности
Оператор вправе вносить изменения в настоящую Политику, уведомляя Пользователей путём публикации новой редакции на Платформе не позднее чем за 14 дней до её вступления в силу. Дата последнего обновления указывается в начале документа.
16. Контакты
По всем вопросам, связанным с обработкой персональных данных: Dream Car Ltd, Лимассол, Кипр, электронная почта: privacy@dreamcarcy.com.
1. Контролёр данных и контакты
Контролёром персональных данных является Dream Car Ltd. По вопросам обработки персональных данных, а также для реализации прав, предусмотренных настоящей Политикой, Пользователь вправе обратиться по адресу электронной почты privacy@dreamcarcy.com. При превышении установленных законодательством порогов обработки специальных категорий данных (биометрия) Оператор назначает ответственное за защиту данных лицо (DPO), контакты которого публикуются дополнительно.
2. Какие данные мы собираем
Идентификационные данные: имя, фамилия, дата рождения, гражданство, номер и скан документа, удостоверяющего личность (для Verified User и выше);
Биометрические данные: фотография/видео лица для прохождения liveness-проверки (специальная категория данных);
Контактные данные: номер телефона, адрес электронной почты, почтовый/фактический адрес;
Геолокационные данные: координаты съёмки фотографий автомобиля (для проверки нахождения на территории Кипра), геолокация при сканировании QR-кода;
Данные об автомобиле и фотоматериалы: VIN, показания одометра, фотографии и видео транспортного средства, данные толщиномера, коды бортовой диагностики (OBD);
Голосовые данные: аудиозаписи комментариев Инспектора, преобразуемые в текст средствами распознавания речи;
Финансовые данные: сведения о произведённых платежах, статусе Депозита (полные реквизиты банковских карт Оператором не хранятся и обрабатываются исключительно платёжным провайдером);
Данные об использовании Платформы: журналы действий, история ставок, IP-адрес, идентификатор устройства, данные cookie и аналогичных технологий;
Данные, связанные с заключением сделок: содержание электронных договоров, история переписки в рамках бронирования, аудиторский след (audit trail) ставок и подписания соглашений.
3. Правовые основания обработки
исполнение договора с Пользователем или принятие мер по его просьбе до заключения договора — ст. 6(1)(b) GDPR (регистрация, бронирование, участие в аукционе, оказание услуги инспекции);
выполнение юридических обязательств Оператора — ст. 6(1)(c) GDPR (налоговый и бухгалтерский учёт, законодательство о противодействии отмыванию денег, хранение электронных договоров);
законный интерес Оператора — ст. 6(1)(f) GDPR (обеспечение безопасности Платформы, предотвращение мошенничества, улучшение AI Estimation Engine на обезличенных данных, защита правовых требований);
явно выраженное согласие Пользователя — ст. 6(1)(a) и ст. 9(2)(a) GDPR (обработка биометрических данных при liveness-проверке, маркетинговые коммуникации).
4. Специальные категории данных: биометрия
Проверка подлинности личности методом liveness-check предполагает обработку биометрических данных, представляющих специальную категорию персональных данных согласно ст. 9 GDPR. Указанная обработка осуществляется исключительно на основании явно выраженного, отдельного согласия Пользователя, полученного до прохождения проверки, с возможностью отзыва согласия в любой момент (с одновременным ограничением доступа к функциям, требующим статуса Verified User и выше).
5. Цели обработки
Данные обрабатываются в целях: регистрации и верификации Пользователей; организации бронирования и осмотра автомобилей; формирования Отчётов об инспекции и расчёта оценочных показателей (Dream Car Verified Score, Auction Estimate); проведения аукционов и фиксации обязывающих ставок; сопровождения защищённой сделки и формирования электронного договора; приёма платежей и расчёта комиссий; обеспечения безопасности Платформы и предотвращения мошенничества; исполнения юридических обязательств Оператора; направления сервисных и, при наличии согласия, маркетинговых уведомлений.
6. Автоматизированная обработка и профилирование
AI Estimation Engine осуществляет автоматизированный расчёт рыночной стоимости, ориентировочной цены закрытия аукциона (Auction Estimate), показателя ликвидности (Liquidity Score) и оценки стоимости ремонта на основании введённых данных инспекции. Указанные результаты носят рекомендательный характер и не влекут автоматического принятия юридически значимых решений в отношении Пользователя без участия человека по смыслу ст. 22 GDPR: решение о цене и условиях сделки принимается Пользователями самостоятельно.
7. Получатели данных и обработчики
Для оказания услуг Платформы Оператор привлекает следующие категории обработчиков персональных данных, действующих на основании договоров, соответствующих требованиям ст. 28 GDPR: провайдеры облачного распознавания изображений и текста (в частности, для распознавания VIN, показаний одометра и кодов OBD); провайдер преобразования речи в текст; поставщик услуг проверки личности и liveness-проверки (KYC-провайдер); провайдер SMS-верификации; платёжный провайдер PayPal; провайдер услуг усиленной электронной подписи (при использовании); поставщики облачного хранения фотоматериалов и резервного копирования; провайдер AI-модели для обработки текстовых запросов поиска и формирования отчётов.
Дилеры, СТО и Подборщики получают доступ к данным Пользователей в объёме, необходимом для исполнения соответствующей функции (бронирование осмотра, проведение инспекции), и обязаны соблюдать конфиденциальность полученных данных в соответствии с заключёнными с Оператором договорами.
8. Международная передача данных
В случае, если обработчики персональных данных, указанные в разделе 7, располагаются за пределами Европейской экономической зоны, передача данных осуществляется с применением надлежащих гарантий, предусмотренных Главой V GDPR, в частности — Стандартных договорных условий (Standard Contractual Clauses), утверждённых Европейской комиссией, либо на основании решений об адекватности защиты данных.
9. Сроки хранения данных
9.1. Персональные данные хранятся в течение срока, необходимого для достижения целей их обработки, после чего подлежат удалению либо анонимизации, за исключением случаев, предусмотренных пунктом 9.2 настоящей Политики.
9.2. Данные, связанные с завершённой сделкой купли-продажи, участием в Аукционе, электронным договором, а также аудиторский след (audit trail) ставок, подписаний и платежей сохраняются Оператором в течение следующих сроков независимо от последующего удаления учётной записи Пользователя:
не менее шести (6) лет — в силу требований бухгалтерского и налогового законодательства Республики Кипр (в т. ч. законодательства об НДС), обязывающих хранить финансовые записи, относящиеся к сделкам, оформленным при посредничестве Платформы;
в течение срока исковой давности, установленного Законом Кипра об исковой давности (Cap. 15) — как правило, шесть (6) лет с даты заключения договора или возникновения основания для предъявления требования, — в целях установления, осуществления либо защиты правовых требований, вытекающих из гарантийных обязательств, споров о качестве автомобиля или содержании Отчёта об инспекции;
в течение пяти (5) лет после прекращения деловых отношений — в отношении данных идентификации Пользователя, собранных в рамках процедур надлежащей проверки клиента (customer due diligence), в соответствии с законодательством Республики Кипр о противодействии отмыванию денег и финансированию терроризма.
9.3. Указанное хранение осуществляется на основании ст. 17(3)(b) и 17(3)(e) GDPR, прямо предусматривающих, что право на удаление данных не применяется в той мере, в какой обработка необходима для выполнения юридического обязательства контролёра либо для установления, осуществления или защиты правовых требований. В течение указанных сроков доступ к сохранённым данным ограничивается целями, перечисленными в настоящем пункте (режим ограниченной обработки, ст. 18 GDPR), без использования данных для иных целей, включая маркетинг.
10. Права субъекта данных
Пользователь вправе: получить доступ к своим персональным данным и их копии; требовать исправления неточных данных; требовать удаления данных («право на забвение») — с учётом ограничений, указанных в разделе 9.2 настоящей Политики; требовать ограничения обработки; получить свои данные в структурированном машиночитаемом формате (право на переносимость данных) в части, обрабатываемой на основании договора или согласия; возражать против обработки, осуществляемой на основании законного интереса Оператора; отозвать ранее данное согласие без влияния на законность обработки, произведённой до момента отзыва.
Запросы рассматриваются Оператором в срок, не превышающий одного (1) месяца с момента получения, с возможностью продления на два дополнительных месяца в случае сложности запроса, с обязательным уведомлением Пользователя о причинах продления.
11. Право на обращение в надзорный орган
Пользователь вправе обратиться с жалобой в Комиссариат по защите персональных данных Республики Кипр (Office of the Commissioner for Personal Data Protection), а также в надзорный орган государства своего постоянного проживания или места предполагаемого нарушения.
12. Файлы cookie и аналогичные технологии
Платформа использует строго необходимые файлы cookie для обеспечения функционирования PWA и Service Worker (офлайн-режим, кэширование), а также, при наличии согласия Пользователя, аналитические и функциональные cookie. Подробная информация о категориях используемых cookie и порядке управления ими доступна в отдельном Уведомлении об использовании cookie на Платформе.
13. Безопасность данных
Оператор применяет технические и организационные меры защиты персональных данных, соответствующие уровню риска обработки, включая шифрование данных при хранении и передаче, ограничение доступа по ролевому принципу, ведение журналов аудита действий с чувствительными данными и регулярное резервное копирование.
14. Данные несовершеннолетних
Платформа не предназначена для лиц младше 18 лет и не осуществляет целенаправленный сбор данных таких лиц. При установлении факта регистрации несовершеннолетнего Оператор незамедлительно удаляет соответствующую учётную запись и данные, за исключением случаев, когда их сохранение требуется для защиты законных интересов Оператора или иных лиц.
15. Изменения Политики конфиденциальности
Оператор вправе вносить изменения в настоящую Политику, уведомляя Пользователей путём публикации новой редакции на Платформе не позднее чем за 14 дней до её вступления в силу. Дата последнего обновления указывается в начале документа.
16. Контакты
По всем вопросам, связанным с обработкой персональных данных: Dream Car Ltd, Лимассол, Кипр, электронная почта: privacy@dreamcarcy.com.