Політика конфіденційності Finomo

1. Хто обробляє дані і в якій ролі

Finomo — бренд Євгенія Устінова (Evgenii Ustinov), NIF Z2074293C, адреса: Juan Caturla Gosalvez 2, 03005 Alicante, Іспанія. Захист даних: gdpr@finomo.es. Підтримка: support@finomo.es. У Finomo немає призначеного уповноваженого із захисту даних (DPO); звернення з цих питань розглядаються за адресою gdpr@finomo.es.

Finomo виступає контролером (відповідальним за обробку) щодо ідентифікаційних даних, даних про оформлення, виставлення рахунків, оплату та безпеку своїх користувачів і клієнтів, включно з копією документа, що посвідчує особу, завантаженою власником акаунта, і результатом перевірки того, що він є довірителем за довіреністю в AEAT.

Finomo виступає обробником щодо даних третіх осіб (покупців, постачальників, працівників та інших), які клієнт надає або створює на платформі в ході своєї економічної діяльності, а також щодо автоматичної підготовки декларацій за цією діяльністю та їхньої передачі до AEAT або видачі файлу для подання відповідно до вказівок клієнта. Ця обробка регулюється Угодою про доручення обробки; клієнт є контролером і обробляє запити своїх суб’єктів даних за сприяння Finomo. Затвердження декларації або довіреність в AEAT не змінюють цього розподілу.

2. Які дані ми обробляємо і звідки вони надходять

Залежно від використовуваних функцій ми обробляємо: ідентифікаційні дані, NIF і контакти; копію документа, що посвідчує особу (DNI, NIE або TIE), завантажену власником акаунта для реєстрації та використання довіреності, і результат її перевірки; дані акаунта і діяльності; податкові налаштування; рахунки і витрати; дані про платежі та банківські рахунки, зазначені в рахунках; декларації та історію; документи і підтвердження; довіреності, затвердження і згоди; листування з підтримкою; та платіжні дані самої підписки.

Під час внутрішньоєвропейських операцій обробляються найменування і номер NIF-IVA контрагентів і результат їхньої перевірки в системі VIES. Журнали доступу включають дату, ідентифікатор сесії, IP-адресу і технічні дані браузера, потрібні для безпеки і для запису про оформлення.

Дані надходять від вас, з документів і вказівок, які ви реєструєте, і — лише за наявності робочого каналу і достатнього дозволу — від AEAT. Імпортований документ зберігає своє походження. Finomo не запитує паролів Cl@ve, електронних сертифікатів чи закритих ключів.

3. Для чого ми використовуємо дані і на якій підставі

Створення і ведення вашого акаунта, надання замовленої послуги та підтримка: Finomo виступає контролером; підстава — виконання договору або переддоговірні заходи (стаття 6(1)(b) GDPR).

Фіксація оформлення, згод і затверджень: контролер; підстава — договір, законний обов’язок підтверджувати електронне укладення договору і законний інтерес у захисті від претензій (статті 6(1)(b), 6(1)(c) і 6(1)(f)).

Виставлення й отримання оплати рахунків Finomo і зберігання бухгалтерської документації: контролер; підстава — договір і податкові та бухгалтерські обов’язки (статті 6(1)(b) і 6(1)(c)).

Перевірка того, що власник акаунта є довірителем, за копією його DNI, NIE або TIE для реєстрації та використання довіреності в AEAT: контролер; підстава — виконання договору і наданого представництва (стаття 6(1)(b)); після припинення договору зберігання обмежується підтвердженням перевірки (стаття 6(1)(f)). Не ґрунтується на згоді; жодні перевірки, крім перевірки особи, не проводяться.

Ведення книг, рахунків і документів за дорученням клієнта: обробник; відповідно до вказівок клієнта-контролера, який визначає підставу для даних своїх третіх осіб.

Автоматична підготовка проєктів декларацій за діяльністю клієнта та їхніх виправлень, передача до AEAT затверджених клієнтом декларацій або видача йому файлу: обробник; відповідно до документованих вказівок клієнта, з окремою довіреністю та окремим затвердженням.

Перевірка NIF-IVA внутрішньоєвропейських контрагентів у VIES: обробник; вказівки клієнта і податковий обов’язок клієнта.

Передача до AEAT облікових записів про рахунки в разі активації клієнтом режиму VERI*FACTU: обробник; документовані вказівки клієнта та окрема активація.

Захист акаунтів і розслідування несанкціонованого доступу: контролер; законний інтерес у забезпеченні безпеки (стаття 6(1)(f)) з мінімізацією і документованою оцінкою балансу інтересів; ви можете заперечити.

Обробка запитів про права, скарг та інцидентів: контролер; законний обов’язок і захист від претензій (статті 6(1)(c) і 6(1)(f)).

Розсилка новин продукту і податкового календаря тим, хто дав згоду: контролер; згода (стаття 6(1)(a)), яку можна відкликати в будь-який момент у розділі «Налаштування» → «Сповіщення», без впливу на законність попередніх розсилок.

Finomo не використовує досьє повторно для реклами, продажу даних чи навчання систем штучного інтелекту. Якщо ви не завантажите копію документа, що посвідчує особу, або перевірку не буде завершено, Finomo не використовує довіреність, і платформа видає вам файл затвердженої декларації для самостійного подання. Інформація про конфіденційність, прийняття договору, авторизації списань і кожна згода — окремі рішення.

4. Провайдери, отримувачі та місцезнаходження

Нині операційний доступ до даних має лише власник Finomo; персоналу і призначеного заступника немає. Finomo не консультується із зовнішніми фахівцями щодо випадку клієнта і не передає їм його дані з цією метою. Власник отримує доступ до даних клієнтів лише через VPN-з’єднання, у тому числі в поїздках і за межами Європейської економічної зони; окремого режиму для поїздок не існує. Такий доступ самого оператора не є передачею третім особам.

Хостинг: сервер платформи — віртуальний сервер (VPS), орендований в IONOS і розташований в Іспанії. На ньому зберігаються база даних, документи і локальні резервні копії.

Електронна пошта: поштові скриньки Finomo (support@finomo.es, gdpr@finomo.es та адреси для надсилання повідомлень) обслуговуються IONOS. IONOS SE зі штаб-квартирою в Німеччині та компанії його групи виступають обробниками Finomo для хостингу і пошти. Finomo не стверджує, що весь ланцюжок IONOS (технічна підтримка, фільтрація пошти, копії провайдера) здійснюється виключно в Іспанії; Finomo спирається на угоду про обробку даних з IONOS та його гарантії в межах Європейської економічної зони.

Зовнішня резервна копія (запланована, не в експлуатації): Finomo обрав IONOS Object Storage у регіоні Берлін (Німеччина, у межах ЄЕЗ) як місце майбутньої щоденної зашифрованої копії зі зберіганням тридцять днів і блокуванням, що перешкоджає видаленню в цей строк. Ця зовнішня копія не введена в експлуатацію: її оформлення і тест відновлення ще не виконані. Нині резервні копії виконуються лише в інфраструктурі сервера в Іспанії. Ця політика буде оновлена, коли зовнішня копія запрацює.

Платежі: коли списання активні, платіжним провайдером є Stripe Payments Europe, Limited (Ірландія). Stripe отримує дані, потрібні для обробки платежу (сума, платіжний засіб, e-mail для рахунку), і обробляє дані картки як самостійний контролер для запобігання шахрайству згідно з власною політикою конфіденційності. Finomo не зберігає повних номерів карток. Stripe може залучати компанії своєї групи за межами ЄЕЗ з гарантіями глави V GDPR, передбаченими його договором.

Державне агентство податкової адміністрації (AEAT): отримує дані лише за реально дозволеними діями (передача затверджених декларацій за довіреністю, передача облікових записів про рахунки в разі активації та перевірка NIF-IVA у VIES). AEAT виступає як орган-отримувач, а не як обробник Finomo.

Finomo не продає дані, не передає їх третім особам у рекламних цілях і не планує власних міжнародних передач. Про додавання або заміну провайдерів, які обробляють дані за дорученням клієнта, повідомляється не менше ніж за п’ятнадцять днів відповідно до Угоди про доручення обробки.

5. Зберігання та архів після закриття

Після фактичного завершення послуги клієнт безкоштовно зберігає можливість переглядати і завантажувати своє досьє протягом шести календарних місяців, якщо не зафіксовано повного отримання архіву. Коли підтверджено перше повне завантаження після закриття, доступ припиняється через три календарні місяці, навіть якщо ця дата настає пізніше за початкову шестимісячну межу. Finomo повідомляє конкретну дату закінчення доступу і запланованого видалення й оновлює її після підтвердження завантаження. Подальші завантаження не перезапускають строк; неповна або дефектна видача з вини Finomo виправляється і не скорочує права доступу.

Під час закриття надсилається перше повідомлення; потім нагадування кожні чотирнадцять днів у перші три місяці та кожні сім днів після цього; в останній календарний місяць до запланованої дати видалення — кожні три дні. В усіх листах зазначена конкретна дата. Закриття відбувається після фактичного завершення послуги; скасування продовження його не наближає. Місяці розраховуються за часовим поясом Europe/Madrid, і доступ діє до кінця повідомленого дня. Для перегляду, завантаження або здійснення прав не вимагається погашати заборгованість, продовжувати підписку чи відкликати довіреність.

Після закінчення доступу видаляються дані, які більше не повинні зберігатися. Докази, потрібні за законом або для врегулювання відповідальності, розділяються за категорією, метою, доступом і строком з обмеженням і блокуванням, коли це потрібно. Усе досьє без розбору не зберігається. Резервні копії йдуть за власним циклом, і під час відновлення видалення та обмеження застосовуються повторно до повторного увімкнення даних.

Строки за категоріями. Архів для перегляду і завантаження: шість місяців без повного завантаження або три місяці з першого повного отримання. Власні рахунки Finomo і бухгалтерська документація: більший із двох строків — установлений податковим законодавством або шість років з останнього запису згідно з Торговим кодексом. Запис про оформлення, довіреності, затвердження і докази за деклараціями: протягом строку дії договору і строку давності за вимогами, що з нього випливають, з розділенням кожної категорії за метою; єдиний строк до всього досьє не застосовується. Копія документа довірителя і результат перевірки: протягом строку дії договору і п’ять років після його припинення, лише для підтвердження цієї перевірки. Листування з підтримкою: дванадцять місяців після закриття звернення, крім випадків, коли частина є необхідним доказом і виділяється на власній підставі. Технічні діагностичні дані: дев’яносто днів. Тимчасовий ZIP-архів експорту: сім днів, з можливістю повторного створення у вікні архіву. Незавершені завантаження: двадцять чотири години. Звичайні чернетки форм у браузері: сім днів бездіяльності. Звичайні журнали безпеки: шість місяців; пов’язані з розслідуванням — доки воно триває і документується. Зовнішні резервні копії, коли будуть введені в експлуатацію: зберігання тридцять днів.

Строк перегляду — не період мовчання, що дозволяє видалити те, що повинно зберігатися. Під час обробки за дорученням клієнта враховується його вибір між поверненням і видаленням відповідно до Угоди про доручення. На запит вам повідомляють про категорії, що зберігаються, їхню підставу і строк; права залишаються доступними і після архіву.

6. Ваші права і як їх здійснити

Ви можете запросити доступ, виправлення, видалення, обмеження, заперечення і перенесення; відкликати згоду без впливу на законність попередньої обробки; та здійснювати права, пов’язані з автоматизованими рішеннями, якщо такі є. Це можна зробити з акаунта Finomo або написавши на gdpr@finomo.es. Активна підписка чи погашення заборгованості не потрібні.

Якщо запит подано з автентифікованого акаунта, використовується це підтвердження і зайві документи не запитуються. За обґрунтованих сумнівів щодо особи чи повноважень перевірка проводиться пропорційно; повна копія DNI не вимагається в усіх випадках, і досьє іншої особи не видається через автентифікований акаунт. Ми відповідаємо без невиправданої затримки і, як правило, протягом місяця; якщо через складність або кількість запитів потрібне продовження, вас повідомляють протягом першого місяця із зазначенням причин і нової дати, щонайбільше на два додаткові місяці.

Треті особи, чиї дані Finomo обробляє за дорученням клієнта (покупці, постачальники, працівники), мають звертатися до цього клієнта, який є контролером; Finomo пересилає йому отримані запити щонайбільше протягом двох робочих днів. Експорт робочого простору — функція повернення і доступу; законне перенесення має власну сферу. Видалення, виправлення та обмеження виконуються в базі даних, у подальших експортах, у журналах і — через реєстр видалень — у відновлених резервних копіях.

Ви можете подати скаргу до Іспанського агентства із захисту даних (www.aepd.es) і скористатися судовим захистом.

7. Автоматизація та рішення

Платформа автоматично готує проєкти декларацій та їхніх виправлень на основі даних і документів клієнта, застосовуючи закладені правила і перевірки узгодженості. До надання проєкту клієнту Finomo може перевірити коректність роботи системи; така перевірка — контроль якості програмного забезпечення, а не перевірка податкової ситуації клієнта, і вона ніколи не змінює його даних.

Автоматичні попередження про відсутню, суперечливу або блокувальну інформацію формуються за однаковими для всіх клієнтів правилами і дають загальне пояснення застосованого правила; вони не вказують, які дані клієнтові вносити в його випадку.

Клієнт перевіряє і затверджує кожну декларацію; без його явного та індивідуального затвердження жодна декларація не передається і файл не видається. Тому Finomo не ухвалює рішень, заснованих виключно на автоматизованій обробці, які породжують для вас юридичні наслідки або аналогічно істотно на вас впливають (стаття 22 GDPR). Finomo не отримує, не відстежує і не читає повідомлень і сповіщень AEAT, адресованих клієнтові.

Впровадження аналітики, реклами чи функцій на основі штучного інтелекту потребує попередньої оцінки та інформування; ця політика їх не дозволяє, за винятком розсилки новин за згодою, передбаченої розділом 3.

8. Безпека та інциденти

Finomo застосовує технічні й організаційні заходи, пропорційні ризику: мінімальний доступ та індивідуальні облікові дані, ізоляція між клієнтами, шифрування комунікацій, захист облікових даних та електронного сертифіката, відновлювані резервні копії, журналювання операцій та управління інцидентами. Заходи описані в Угоді про доручення обробки і періодично переглядаються. У Finomo немає сторонніх сертифікатів безпеки, і Finomo на них не посилається.

Коли Finomo є контролером щодо порушення безпеки, він повідомляє Іспанське агентство із захисту даних без невиправданої затримки і, якщо можливо, протягом 72 годин з моменту, коли йому стало відомо, за винятком випадків, коли ризик для людей малоймовірний, документуючи рішення. За високого ризику він повідомляє вам без затримки. Як обробник Finomo інформує клієнта-контролера без невиправданої затримки і співпрацює з ним, не чекаючи завершення розслідування. Технічний інцидент не дорівнює автоматично порушенню, що підлягає повідомленню; він оцінюється і документується.

9. Cookies і сховище браузера

Finomo використовує лише cookies і сховище браузера, суворо необхідні для сесії, безпеки і відновлення форм, які ви почали заповнювати; згода на них не потрібна. Рекламні, відстежувальні або сторонні cookies для власних цілей третіх осіб не використовуються. Активної аналітики немає; якщо в майбутньому її буде увімкнено, у вас запитають згоду з однаково помітними варіантами «прийняти» і «відхилити», і відмова не перешкодить користуватися послугою.

Під час оплати компоненти Stripe, вбудовані в сторінку оплати, можуть встановлювати cookies, потрібні для завершення операції і запобігання шахрайству, згідно з політикою Stripe.

Очищення сховища браузера може призвести до втрати очікуваного локального відновлення форми; воно не видаляє документів, уже збережених на сервері. Браузер може зберігати тимчасові копії переглянутих документів. Пов’язана Політика cookies детально описує кожен елемент, його призначення і строк.

10. Версії та контакти

Кожна версія цієї політики позначається редакцією і датою, а попередня версія зберігається. Про зміни, що зачіпають ваші права, повідомляється до їхнього застосування. Оригінал складено іспанською; переклади мають інформаційний характер і вказують свою версію та джерело.

З будь-яких питань щодо цієї політики або ваших даних: gdpr@finomo.es.