سیاست حفظ حریم خصوصی

زامینور ("زامینور"، "ما"، "خود ما" یا "مالکیت ما")، مستقر در لاهه و ثبت‌شده در اتاق بازرگانی هلند (KvK) با شماره 42076823، مسئول پردازش اطلاعات شخصی شما در مفهوم ماده 4، بند 7، آیین‌نامه عمومی حفاظت از داده‌ها (EU) 2016/679 ("GDPR") است.

ما متعهد به حفاظت از حریم خصوصی شما هستیم و اطمینان می‌دهیم که اطلاعات شخصی شما مطابق با GDPR، قانون اجرایی هلند آیین‌نامه عمومی حفاظت از داده‌ها ("UAVG") و تمام سایر قوانین قابل اعمال مربوط به حفاظت از داده‌ها پردازش می‌شود.

این سیاست حفظ حریم خصوصی توضیح می‌دهد که چگونه اطلاعات شخصی شما را هنگام استفاده از پلتفرم، وب‌سایت، اپلیکیشن موبایل و خدمات واسطه‌گری ما (مجموعاً "خدمات") جمع‌آوری، استفاده، ذخیره، اشتراک و محافظت می‌کنیم. این سیاست برای تمام اطلاعات شخصی که در ارتباط با خدمات ما پردازش می‌شود قابل اعمال است، صرف نظر از اینکه مستقیماً از شما جمع‌آوری شده یا از منابع خارجی دریافت شده باشد.

با بازدید یا استفاده از زامینور، شما تایید می‌کنید که این سیاست را خوانده و درک کرده‌اید. این سیاست هیچ حق قراردادی یا حقوقی دیگری برای هیچ طرفی ایجاد نمی‌کند. برای تعهدات قراردادی، به شرایط و ضوابط عمومی ما مراجعه می‌کنیم.

برای سوالات در مورد پردازش اطلاعات شخصی شما یا اعمال حقوق خود، می‌توانید با ما تماس بگیرید:

**تماس حفظ حریم خصوصی** ایمیل: hello@zaminor.com آدرس پستی: Zaminor، به توجه تماس حفظ حریم خصوصی، هلند

شما همچنین حق دارید شکایتی نزد Autoriteit Persoonsgegevens، Bezuidenhoutseweg 30، 2594 AV Den Haag، هلند (autoriteitpersoonsgegevens.nl) ارائه دهید.

ما دسته‌های زیر از اطلاعات شخصی را، بسته به نحوه تعامل شما با خدمات ما، جمع‌آوری و پردازش می‌کنیم:

**3.1 اطلاعات حساب کاربری.** هنگامی که یک حساب کاربری ایجاد می‌کنید، ما اطلاعات زیر را جمع‌آوری می‌کنیم: نام کامل، آدرس ایمیل، شماره تلفن، تاریخ تولد، ملیت و آدرس محل سکونت. این اطلاعات برای ایجاد و نگهداری حساب کاربری شما و ارائه خدمات اصلی واسطه‌گری ما ضروری هستند.

**3.2 اطلاعات تایید هویت.** برای تایید هویت شما و تضمین امنیت تمام طرف‌های درگیر، ما اطلاعات زیر را جمع‌آوری می‌کنیم: کپی‌هایی از اسناد هویتی صادر شده توسط دولت (گذرنامه، کارت شناسایی ملی یا مجوز اقامت)، عکس‌های سلفی برای تایید زنده بودن، اسناد اثبات آدرس (قبوض انرژی، صورتحساب‌های بانکی یا مکاتبات رسمی که بیش از 3 ماه قدمت نداشته باشد)، مستندات مربوط به منشاء وجوه (گواهی‌های درآمد، قراردادهای کار، اظهارنامه‌های مالیاتی، خلاصه‌های سرمایه‌گذاری، اعلامیه‌های هبه)، و تخمین‌های دارایی خالص.

**3.3 شماره خدمات شهروندی (BSN).** برای ساکنان هلند، ما BSN را به عنوان بخشی از تایید هویت جمع‌آوری می‌کنیم. BSN برای اهداف تایید هویت همانطور که تحت قانون هلند مجاز است، در ارتباط با ماده 53، بند 3، قانون عمومی مالیات‌های دولتی (AWR) پردازش می‌شود. BSN در سطح ستون در پایگاه داده ما با استفاده از pgcrypto رمزگذاری شده و هرگز برای اهداف غیر از تعهدات شناسایی قانونی استفاده نمی‌شود. پردازش BSN بر اساس ماده 46 UAVG که پردازش را زمانی که قانوناً الزامی است اجازه می‌دهد، مجاز است.

**3.4 اطلاعات پروفایل مالی.** برای انجام پیش‌بررسی‌های وام مسکن و ارزیابی‌های مالی، ما اطلاعات زیر را جمع‌آوری می‌کنیم: اطلاعات درآمد ناخالص و خالص، اطلاعات و تاریخچه شغلی، هزینه‌های ماهانه و تعهدات مالی موجود، خلاصه‌های پس‌انداز و پرتفوی سرمایه‌گذاری، اطلاعات وام مسکن یا وام موجود، اطلاعات حساب بانکی و تاریخچه تراکنش‌ها (از طریق اتصال PSD2 open banking از طریق Enable Banking یا آپلود دستی) و خلاصه‌های تاریخچه اعتبار که به صورت داوطلبانه ارائه شده است.

**۳.۵ ترجیحات املاک.** به عنوان بخشی از خدمات تطبیق ما، اطلاعات زیر را جمع‌آوری می‌کنیم: معیارهای جستجو (موقعیت، نوع مسکن، محدوده بودجه، نیازهای مساحت)، املاک ذخیره شده و علامت‌گذاری شده به عنوان مورد علاقه، تاریخچه بازدید املاک، ترجیحات بازار (اسپانیا، دبی یا هر دو) و درخواست‌های قرار ملاقات.

**۳.۶ داده‌های ارتباطی.** ما ثبت موارد زیر را جمع‌آوری می‌کنیم: پیام‌های مبادله شده از طریق سیستم پیام‌رسانی پلتفرم ما، مکاتبات ایمیلی با تیم ما، ضبط مکالمات با مشاوران (با اطلاع قبلی و رضایت در صورت لزوم)، تیکت‌های پشتیبانی و تاریخچه رسیدگی آنها، و تبادل اسناد در ارتباط با معاملات املاک.

**۳.۷ داده‌های فنی و داده‌های استفاده.** ما به صورت خودکار موارد زیر را جمع‌آوری می‌کنیم: آدرس IP (ناشناس شده برای تحلیل‌ها)، نوع مرورگر، نسخه و تنظیمات زبان، نوع دستگاه، سیستم عامل و وضوح صفحه، صفحات بازدید شده، داده‌های جریان کلیک و مدت جلسه، منبع ارجاع و جستجوها، گزارش‌های خطا و داده‌های عملکرد، و رویدادهای احراز هویت و گزارش‌های امنیتی.

**۳.۸ داده‌های بیومتریک (موقت).** در طول تأیید زنده بودن به عنوان بخشی از کنترل‌های هویت، ارائه‌دهنده تأیید هویت ما (Didit) داده‌های بیومتریک چهره را پردازش می‌کند. این داده‌ها منحصراً برای تأیید این که فردی که سند هویت ارائه می‌دهد همان شخص تصویر شده در آن سند است، استفاده می‌شود. الگوهای بیومتریک بلافاصله پس از تکمیل کنترل تأیید حذف می‌شوند. زامینور هیچ الگوی بیومتریک ذخیره نمی‌کند. مبنای حقوقی این پردازش، رضایت صریح شما (ماده ۹، بند ۲، الف، AVG) برای پردازش داده‌های بیومتریک به عنوان دسته ویژه است.

ما داده‌های شخصی شما را تنها زمانی پردازش می‌کنیم که مبنای حقوقی معتبری بر اساس ماده ۶، بند ۱، AVG داشته باشیم. جدول زیر فعالیت‌های پردازش ما، اهداف آنها و مبنای حقوقی قابل اعمال را شرح می‌دهد:

**۴.۱ اجرای قرارداد -- ماده ۶، بند ۱، ب، AVG.** اهداف: ایجاد و مدیریت حساب کاربری شما؛ ارائه تطبیق املاک و قابلیت جستجو؛ انجام پیش‌بررسی وام مسکن و ارزیابی‌های مالی؛ تسهیل ارتباط بین شما و مشاورین املاک؛ مدیریت پرونده‌های معاملات املاک و تبادل اسناد؛ پردازش کمیسیون‌های میانجی‌گری؛ ارائه پشتیبانی مشتری. این مبنا به دلیل ضروری بودن پردازش برای اجرای تعهدات قراردادی ما نسبت به شما بر اساس شرایط عمومی و در صورت اعمال، قرارداد میانجی‌گری، اعمال می‌شود.

**۴.۲ تعهد قانونی -- ماده ۶، بند ۱، ج، AVG.** اهداف: رعایت تعهدات بر اساس قانون هلند، از جمله تکلیف نگهداری اسناد مالیاتی (AWR ماده ۵۲)؛ انجام تأیید هویت؛ پردازش BSN برای اهداف شناسایی (AWR ماده ۵۳، بند ۳)؛ نگهداری اسناد مالیاتی به مدت ۷ سال (AWR ماده ۵۲)؛ و پاسخ به درخواست‌های قانونی مقامات، از جمله سازمان مالیاتی هلند (Belastingdienst) و مجری قانون در صورت لزوم بر اساس حکم قضایی. این مبنای حقوقی نمی‌تواند توسط حق حذف یا اعتراض ذی‌نفع در طول دوره‌های نگهداری قانونی نقض شود.

**۴.۳ منافع مشروع -- ماده ۶، بند ۱، و، AVG.** اهداف: پیشگیری و تشخیص کلاهبرداری؛ امنیت پلتفرم، جلوگیری از سوءاستفاده و تشخیص دسترسی غیرمجاز؛ تحلیل‌های تجمیعی برای بهبود ارائه خدمات ما (با داده‌های ناشناس)؛ حفظ مسیرهای حسابرسی برای یکپارچگی عملیاتی؛ امنیت شبکه و اطلاعات؛ دفاع حقوقی. ما برای هر یک از این اهداف ارزیابی منافع قانونی (LIA) انجام داده‌ایم و نتیجه گرفته‌ایم که منافع ما بر حقوق اساسی و آزادی‌های شما سنگین‌تر نیستند. شما می‌توانید نسخه‌ای از LIA ما را از FG درخواست کنید.

**۴.۴ رضایت -- ماده ۶، بند ۱، الف، AVG.** اهداف: ارسال ارتباطات بازاریابی و خبرنامه‌ها؛ قرار دادن کوکی‌های غیر ضروری (تحلیلی، بازاریابی)؛ به اشتراک گذاری ترجیحات املاک با شرکای خارجی منتخب برای اهداف تبلیغاتی؛ پردازش داده‌های بیومتریک برای تأیید زنده بودن (ماده ۹، بند ۲، الف، AVG به عنوان دسته ویژه). شما می‌توانید رضایت خود را در هر زمان از طریق تماس با hello@zaminor.com، استفاده از لینک لغو عضویت در ایمیل‌های بازاریابی یا تنظیم ترجیحات کوکی خود پس بگیرید. پس گرفتن رضایت بر قانونی بودن پردازش‌هایی که قبل از پس گیری انجام شده است تأثیری ندارد.

**۴.۵ منافع حیاتی -- ماده ۶، بند ۱، د، AVG.** در شرایط استثنایی، ما ممکن است داده‌های شخصی را برای حفاظت از منافع حیاتی ذی‌نفع یا شخص طبیعی دیگری پردازش کنیم. این مبنا تنها در موقعیت‌های اضطراری واقعی مورد استناد قرار می‌گیرد.

**۴.۶ دسته‌های ویژه داده‌ها.** داده‌های بیومتریک (تصاویر چهره برای تأیید زنده بودن) دسته ویژه‌ای بر اساس ماده ۹ AVG محسوب می‌شوند. ما این داده‌ها را بر اساس رضایت صریح شما (ماده ۹، بند ۲، الف، AVG) پردازش می‌کنیم.

ما از داده‌های شخصی شما برای اهداف خاص زیر استفاده می‌کنیم:

**ارائه خدمات:** تحویل و نگهداری خدمات میانجی‌گری املاک ما، شامل مدیریت حساب، تطبیق املاک، پیش‌بررسی وام مسکن، هماهنگی مشاورین املاک، پشتیبانی معاملات و مدیریت اسناد.

**تأیید هویت:** تأیید هویت شما به عنوان بخشی از فرآیند پذیرش مشتری ما برای امنیت همه طرف‌های درگیر؛ حفظ اسناد طبق الزام قانون هلند.

**ارزیابی مالی:** تحلیل پروفایل مالی شما با استفاده از الگوریتم پیش‌بررسی وام مسکن ما برای تعیین ظرفیت وام راهنما برای بازار املاک اسپانیا و دبی؛ تولید مقایسه‌های سناریو؛ ارائه برآورد هزینه برای معاملات املاک.

**ارتباطات:** تسهیل تبادل پیام‌های امن بین شما، تیم ما و مشاورین املاک تحت قرارداد؛ ارسال اطلاع‌رسانی‌های مربوط به خدمات (به‌روزرسانی‌های معاملات، درخواست‌های اسناد، تغییرات وضعیت KYC، یادآوری قرارهای ملاقات)؛ پاسخ به سؤالات پشتیبانی.

**بهبود پلتفرم:** تحلیل الگوهای استفاده تجمیعی و ناشناس برای بهبود قابلیت پلتفرم، تجربه کاربری و کیفیت خدمات؛ انجام تست‌های A/B؛ شناسایی و حل مشکلات فنی.

**امنیت:** تشخیص و جلوگیری از دسترسی غیرمجاز و سایر خطرات امنیتی؛ حفظ یکپارچگی سیستم.

**بازاریابی (صرفاً بر مبنای رضایت):** ارسال خبرنامه‌ها، هشدارهای املاک متناسب با ترجیحات شما، به‌روزرسانی‌های بازار و پیشنهادهای تبلیغاتی، صرفاً با رضایت صریح و پیشین شما.

مطابق با ماده 13(2)(f)، ماده 14(2)(g) و ماده 22 GDPR، شما را در مورد فرآیندهای تصمیم‌گیری خودکار زیر آگاه می‌سازیم:

**6.1 الگوریتم پیش‌بررسی وام مسکن.** ما از یک الگوریتم خودکار برای محاسبه ظرفیت شاخصی وام‌گیری شما بر اساس داده‌های پروفایل مالی شما (درآمد، هزینه‌ها، تعهدات موجود، پس‌انداز) و قوانین وام‌دهی خاص هر بازار (LTV حداکثر 70٪ برای غیرمقیمان اسپانیا، LTV حداکثر 60٪ برای غیرمقیمان دبی، بافرهای استرس قابل اعمال) استفاده می‌کنیم. این الگوریتم تصمیمات قانوناً الزام‌آور تولید نمی‌کند. نتایج صرفاً جنبه شاخصی دارند و به‌منزله پیشنهاد وام مسکن، مشاوره مالی یا تضمین تأمین مالی نیستند. منطق آن شامل محاسبات استاندارد نسبت بدهی به درآمد، ارزیابی‌های loan-to-value و بررسی‌های استرس‌سنجی‌شدهٔ تطبیق‌پذیری بر مبنای قوانین بازار در دسترس عموم است.

**6.2 حقوق شما در خصوص تصمیمات خودکار.** هیچ تصمیمی که پیامدهای حقوقی یا آثار قابل‌توجه مشابه بر شما داشته باشد، صرفاً بر پایه پردازش خودکار اتخاذ نمی‌شود. تمامی پیامدهای خودکار توصیف‌شده در بالا مشمول نظارت انسانی هستند. شما حق دارید: (الف) در هر ارزیابی خودکار مداخله انسانی درخواست کنید؛ (ب) دیدگاه خود را در مورد هر پیامد خودکار بیان کنید؛ (ج) هر تصمیمی را که تحت تأثیر پردازش خودکار قرار گرفته است، به چالش بکشید. برای اعمال این حقوق، از طریق hello@zaminor.com با مسئول حفاظت از داده‌ها (DPO) تماس بگیرید.

Zaminor از هوش مصنوعی (AI) در بخش‌های مختلف پلتفرم استفاده می‌کند. در راستای انطباق با مقررات (EU) 2024/1689 (قانون هوش مصنوعی اتحادیه اروپا / EU AI Act)، در ادامه توضیح می‌دهیم که از چه سامانه‌های AI استفاده می‌کنیم و حقوق شما به‌عنوان کاربر چیست.

**احراز هویت (سامانه AI با ریسک بالا).** تأمین‌کننده احراز هویت ما، Didit، در جریان فرآیند KYC از هوش مصنوعی برای تشخیص مدارک، تشخیص liveness و تطبیق بیومتریک چهره استفاده می‌کند. بر اساس ماده 6 و پیوست III قانون هوش مصنوعی، این یک سامانه AI با ریسک بالا محسوب می‌شود. هر خروجی که توسط AI علامت‌گذاری شود، پیش از آنکه هرگونه تصمیمی حساب شما را متأثر سازد، توسط یک افسر انطباق (compliance officer) انسانی بازبینی می‌شود. بر اساس ماده 26(11) قانون هوش مصنوعی و ماده 22 GDPR، شما حق دارید برای هر تصمیم KYC که در آن AI دخیل باشد، بازبینی انسانی درخواست کنید.

**دستیار AI (ریسک محدود، تعهد شفافیت).** دستیار مشتری‌محور ما با نام Donna یک سامانه AI است که بر روی مدل‌های زبانی بزرگ شخص ثالث (Anthropic Claude) اجرا می‌شود. بر اساس ماده 50(1) قانون هوش مصنوعی، Donna در ابتدای هر گفت‌وگو ماهیت AI بودن خود را اعلام می‌کند و یک نشان دائمی AI را نمایش می‌دهد. شما در هر زمان می‌توانید درخواست ارتباط با یک مشاور املاک انسانی را مطرح کنید. Donna صرفاً برای ارائه اطلاعات طراحی شده است؛ او مشاوره مالی، حقوقی یا مالیاتی ارائه نمی‌دهد و پاسخ‌های او برای Zaminor الزام‌آور نیستند. عامل‌های بازبینی داخلی اضافی تنها در چرخه تولید محتوای ما فعالیت می‌کنند و به‌طور مستقیم با شما در تماس نیستند؛ خروجی آن‌ها فقط از طریق Donna یا از طریق محتوایی که توسط تیم تحریریه ما بازبینی و منتشر شده است، به شما می‌رسد.

**محتوای تولیدشده با کمک AI (استثنای تحریریه در ماده 50(2)).** برخی از مقالات وبلاگ، مدخل‌های واژه‌نامه، راهنماهای بازار و توصیف‌های ملک در پلتفرم ما با کمک هوش مصنوعی تهیه و پیش از انتشار توسط تیم تحریریه ما بازبینی می‌شوند. مسئولیت نهایی تحریریه بر عهده Milad Ahmadi است. در مواردی که Zaminor به استثنای تحریریه موضوع بند چهارم ماده 50(2) قانون هوش مصنوعی استناد می‌کند، این موضوع در فراداده مقاله ثبت می‌شود.

**عدم استفاده از رویه‌های ممنوعهٔ AI.** Zaminor از هوش مصنوعی برای هیچ‌یک از رویه‌های ممنوع تحت ماده 5 قانون هوش مصنوعی استفاده نمی‌کند؛ از جمله دستکاری subliminal، بهره‌برداری از آسیب‌پذیری‌ها، امتیازدهی اجتماعی، شناسایی بیومتریک بلادرنگ در فضاهای عمومی، پیش‌بینی جرم، تشخیص احساسات در محل کار یا جمع‌آوری بدون هدف تصاویر چهره.

**حقوق شما در حوزه AI.** شما حق دارید: (الف) هنگام تعامل با یک سامانه AI مطلع شوید؛ (ب) برای هر تصمیم مؤثر بر شما که AI در آن دخیل است، بازبینی انسانی درخواست کنید؛ (ج) بر اساس ماده 22 GDPR در برابر تصمیم‌گیری تماماً خودکار اعتراض کنید؛ (د) نزد مقام نظارت بر بازار هلند شکایت ثبت کنید (مقام حفاظت از داده‌های هلند (Autoriteit Persoonsgegevens) برای مواردی که AI در آن‌ها با داده‌های شخصی سروکار دارد؛ Rijksinspectie Digitale Infrastructuur برای سایر موضوعات AI پس از تعیین رسمی).

ما داده‌های شخصی شما را تنها زمانی که برای اهداف توصیف‌شده در این سیاست ضروری باشد و با تدابیر حقوقی مناسب به اشتراک می‌گذاریم. ما داده‌های شخصی شما را به اشخاص ثالث نمی‌فروشیم. دسته‌های زیر از گیرندگان ممکن است داده‌های شما را دریافت کنند:

**7.1 تأمین‌کننده احراز هویت (Didit).** Didit (شخصیت حقوقی در انتظار DPA) داده‌های احراز هویت (اسکن مدارک هویت، تصاویر سلفی، داده‌های بررسی liveness) را به‌عنوان پردازش‌کننده از جانب ما و بر پایه یک قرارداد پردازش داده (DPA) پردازش می‌کند. پردازش محدود به احراز هویت و بررسی‌های liveness است. Didit داده‌ها را در داخل اتحادیه اروپا / منطقه اقتصادی اروپا (EU/EEA) پردازش می‌کند، اما ممکن است از زیرپردازش‌کنندگانی خارج از EEA بهره ببرد که با بندهای قراردادی استاندارد (SCCs) و تدابیر تکمیلی محافظت می‌شوند.

**7.2 مشاوران املاک.** هنگامی که به یک ملک خاص علاقه نشان می‌دهید یا درخواست واسطه‌گری از سوی مشاور املاک می‌کنید، ما داده‌های مرتبط (نام، اطلاعات تماس، ترجیحات ملکی، خلاصهٔ ظرفیت مالی) را با مشاوران املاک محلی مجاز در اسپانیا و/یا دبی به اشتراک می‌گذاریم. مشاوران در اسپانیا مستقیماً تحت GDPR فعالیت می‌کنند. مشاوران در دبی داده‌ها را با محافظت SCCs دریافت می‌کنند. اشتراک داده با مشاوران بر مبنای اجرای قرارداد (ماده 6(1)(b) GDPR) صورت می‌گیرد و پیش از هرگونه اشتراک‌گذاری به شما اطلاع داده می‌شود.

**7.3 تأمین‌کننده داده‌های املاک (Casafari).** Casafari داده‌های فهرست املاک را از طریق API خود به پلتفرم ما ارائه می‌دهد. ما داده‌های ملکی را از Casafari دریافت می‌کنیم؛ داده‌های شخصی شما را با Casafari به اشتراک نمی‌گذاریم. Casafari به‌عنوان یک کنترل‌کنندهٔ مستقل برای داده‌هایی که از طریق خدمات خود جمع‌آوری می‌کند عمل می‌کند.

**7.4 پردازش‌کنندهٔ پرداخت (Stripe).** Stripe Payments Europe, Ltd. (ایرلند) داده‌های پرداخت (نام، ایمیل، اطلاعات کارت پرداخت یا حساب بانکی iDEAL) را برای تراکنش‌های کارمزد واسطه‌گری پردازش می‌کند. Stripe در چارچوب سیاست حریم خصوصی خود به‌عنوان کنترل‌کنندهٔ مستقل برای پردازش پرداخت و بر اساس DPA میان ما برای برخی داده‌ها به‌عنوان پردازش‌کننده عمل می‌کند. Stripe تحت چارچوب EU-US Data Privacy Framework (DPF) دارای گواهی است.

**7.5 میزبانی و زیرساخت.** بک‌اند پلتفرم ما بر روی Render.com (Render Services, Inc.) در منطقهٔ EU آن‌ها (فرانکفورت، آلمان) میزبانی می‌شود. داده‌های اپلیکیشن، از جمله پایگاه‌های دادهٔ رمزنگاری‌شده، در داخل اتحادیهٔ اروپا ذخیره می‌شوند. Render تحت EU-US Data Privacy Framework (DPF) و ISO/IEC 27001:2022 دارای گواهی است و ما با Render یک قرارداد پردازش داده (DPA) منعقد کرده‌ایم. احراز هویت توسط Laravel Sanctum با نشست‌های مبتنی بر توکن رمزنگاری‌شده انجام می‌شود. میزبانی پایگاه داده بر عهدهٔ Render.com است (PostgreSQL، مرکز دادهٔ فرانکفورت، منطقهٔ EU).

**7.6 شرکای وام مسکن و مؤسسات مالی.** هنگامی که درخواست رسمی وام مسکن ارائه می‌دهید (فراتر از پیش‌بررسی شاخصی)، ما داده‌های پروفایل مالی را با ارائه‌دهندگان وام مسکن در حوزهٔ قضایی مربوطه به اشتراک می‌گذاریم. این اشتراک نیازمند رضایت صریح و آگاهانهٔ شما است و مطابق یک قرارداد واسطه‌گری جداگانه اداره می‌شود.

**7.7 مشاوران حقوقی، دفاتر اسناد رسمی و کارگزاران escrow.** داده‌های مرتبط با پرونده ممکن است با دفاتر اسناد رسمی، مشاوران حقوقی و کارگزاران escrow در هلند، اسپانیا یا دبی برای تسهیل معاملات ملکی به اشتراک گذاشته شود. این اشتراک بر مبنای اجرای قرارداد صورت می‌گیرد و در چارچوب معاملهٔ فعال شما انجام می‌شود.

**7.8 مراجع نظارتی و قضایی.** ما ممکن است داده‌های شخصی را به شکل مقتضی و طبق قانون به سازمان مالیاتی هلند (Belastingdienst) و در صورت الزام دستور قضایی به مراجع مجری قانون افشا کنیم. همچنین ممکن است بر اساس درخواست قانونی، داده‌ها را به مقام حفاظت از داده‌های هلند (Autoriteit Persoonsgegevens) و به سایر مراجع نظارتی صلاحیت‌دار در اتحادیه اروپا / منطقه اقتصادی اروپا (EU/EEA) ارائه دهیم.

**7.9 تأمین‌کنندگان تحلیل.** Google Analytics 4 (GA4) و Google Tag Manager (GTM) برای تحلیل وب‌سایت و مدیریت رضایت (consent) به کار می‌روند. GA4 بازدیدهای صفحهٔ ناشناس‌شده، تعاملات کاربر، اطلاعات دستگاه/مرورگر و آدرس IP (که به‌طور خودکار ناشناس می‌شود) را جمع‌آوری می‌کند. کوکی‌های تحلیلی (_ga، _gid) تنها پس از دریافت رضایت صریح کاربر از طریق بنر رضایت کوکی ما (Google Consent Mode v2) قرار داده می‌شوند. Google LLC تحت EU-US Data Privacy Framework (DPF) دارای گواهی است؛ بندهای قراردادی استاندارد (SCCs) به‌عنوان مکانیزم پشتیبان حفظ می‌شوند. یک قرارداد پردازش داده (Google Ads Data Processing Terms) منعقد شده است. برای جزئیات به سیاست کوکی ما مراجعه کنید.

**7.10 تأمین‌کنندهٔ تحویل ایمیل (Resend).** Resend Inc. (سان‌فرانسیسکو، ایالات متحده) خدمات تحویل ایمیل‌های تراکنشی و بازاریابی را ارائه می‌دهد. Resend آدرس‌های ایمیل، محتوای ایمیل و فراداده تحویل را پردازش می‌کند. انتقال داده به ایالات متحده با بندهای قراردادی استاندارد (SCCs) و تدابیر فنی تکمیلی محافظت می‌شود. یک قرارداد پردازش داده (Resend DPA) منعقد شده است.

**7.11 تأمین‌کنندهٔ خدمات AI (Anthropic).** Anthropic PBC (سان‌فرانسیسکو، ایالات متحده) API مدل زبانی هوش مصنوعی را که برای تولید محتوای خودکار (به‌عنوان مثال توصیف‌های ملک، محتوای خبرنامه) و هماهنگی داخلی عامل‌ها استفاده می‌شود، فراهم می‌کند. تنها زمینهٔ ناشناس‌شدهٔ کاربر به اشتراک گذاشته می‌شود: نام کوچک، ترجیح زبانی و کشور — بدون هیچ داده شخصی، بدون مدارک هویت، بدون داده‌های مالی. آمار تجمعی پلتفرم و پیام‌های اداری مدیرعامل (CEO) نیز ممکن است پردازش شوند. انتقال به ایالات متحده با بندهای قراردادی استاندارد (SCCs) و تدابیر فنی تکمیلی محافظت می‌شود. یک قرارداد پردازش داده (Anthropic DPA) منعقد شده است.

**7.12 تأمین‌کنندهٔ مرتبط‌سازی جستجو (Voyage AI).** Voyage AI Innovations, Inc. (ایالات متحده، بخشی از MongoDB, Inc.) API تعبیه (embedding) پشتیبان کارکرد جستجوی وب‌سایت ما را ارائه می‌دهد. تنها متن پرس‌وجوی جستجوی شما و بخش‌هایی از محتوای منتشرشدهٔ ما برای تولید بردارهای عددی مرتبط‌بودن ارسال می‌شود؛ هیچ نام، اطلاعات حساب یا اطلاعات تماس به اشتراک گذاشته نمی‌شود و پرس‌وجوهای جستجو به هویت شما پیوند داده نمی‌شوند. انتقال به ایالات متحده توسط EU-US Data Privacy Framework (Voyage AI به‌عنوان بخشی از گروه MongoDB دارای گواهی DPF است) و یک قرارداد پردازش داده (DPA) محافظت می‌شود.

به‌عنوان یک پلتفرم واسطه‌گری املاک فرامرزی که در هلند، اسپانیا و دبی فعالیت می‌کند، برخی انتقال‌های داده‌های شخصی به خارج از منطقه اقتصادی اروپا (EEA) اجتناب‌ناپذیر است. ما اطمینان می‌دهیم که همهٔ چنین انتقال‌هایی مطابق فصل V از GDPR (مواد 44 تا 49) انجام می‌شود.

**8.1 انتقال‌ها در داخل EEA.** بخش عمدهٔ داده‌های شما در داخل EEA پردازش می‌شود. میزبانی اصلی ما (Render.com فرانکفورت) و عملیات اصلی ما مستقر در اتحادیه اروپا هستند. انتقال به مشاوران املاک مستقر در اسپانیا نیازی به تدابیر اضافی ندارد چراکه اسپانیا در داخل EEA قرار دارد.

**8.2 انتقال‌ها به ایالات متحده.** برخی از زیرپردازش‌کنندگان (Stripe، شرکت مادر Render، Google LLC، Resend Inc.، Anthropic PBC، Voyage AI Innovations, Inc.) شرکت‌هایی مستقر در ایالات متحده هستند. این انتقال‌ها با موارد زیر محافظت می‌شوند: (الف) تصمیم کفایت EU-US Data Privacy Framework (DPF) مورخ 10 ژوئیه 2023، در مواردی که گیرنده دارای گواهی DPF باشد (Render، Stripe، Google و Voyage AI دارای گواهی DPF هستند)؛ و (ب) بندهای قراردادی استاندارد (SCCs) تصویب‌شده به موجب تصمیم اجرایی (EU) 2021/914 کمیسیون اروپا، که به‌عنوان تدبیر تکمیلی در کنار گواهی DPF حفظ می‌شود. برای Resend و Anthropic، SCCs به همراه تدابیر فنی تکمیلی به‌عنوان مکانیزم انتقال اصلی عمل می‌کند. توجه داشته باشید که تصمیم کفایت DPF در سپتامبر 2025 توسط دیوان عمومی مورد تأیید قرار گرفت؛ با این حال، در اکتبر 2025 توسط NOYB نزد دیوان دادگستری اتحادیه اروپا (CJEU) درخواست تجدیدنظر ثبت شده است. در صورتی که DPF فاقد اعتبار اعلام شود، SCCs ما و تدابیر فنی تکمیلی (رمزنگاری در حین انتقال و در حالت سکون، pseudonymization، حداقل‌سازی داده) به‌عنوان مکانیزم انتقال اصلی برای تمامی زیرپردازش‌کنندگان مستقر در ایالات متحده عمل خواهند کرد.

**8.3 انتقال‌ها به امارات متحده عربی (دبی).** هنگامی که شما با بازار املاک دبی سروکار دارید، داده‌های تراکنشی مرتبط با مشاوران مستقر در دبی و ارائه‌دهندگان خدمات محلی به اشتراک گذاشته می‌شود. امارات فاقد تصمیم کفایت اتحادیه اروپا است. تمامی انتقال‌ها با موارد زیر محافظت می‌شوند: (الف) بندهای قراردادی استاندارد (SCCs) منعقدشده با هر گیرندهٔ مستقر در دبی؛ (ب) تدابیر فنی تکمیلی شامل رمزنگاری end-to-end دادهٔ در حال انتقال، رمزنگاری AES-256 در حالت سکون و حداقل‌سازی داده (فقط داده‌هایی که برای معامله کاملاً ضروری هستند منتقل می‌شوند)؛ و (ج) یک Transfer Impact Assessment (TIA) که برای هر جریان داده به امارات انجام می‌شود و در آن چارچوب حقوقی، مخاطرات دسترسی دولت و اثربخشی تدابیر تکمیلی ارزیابی می‌شود.

**8.4 Transfer Impact Assessments.** ما برای همهٔ جریان‌های دادهٔ فرامرزی خارج از EEA، Transfer Impact Assessments (TIAs) انجام می‌دهیم و مطابق توصیه‌های EDPB 01/2020 نگهداری می‌کنیم. TIAها به‌صورت سالانه یا در صورت تغییر اساسی در چارچوب حقوقی کشور گیرنده بازبینی می‌شوند. نسخه‌هایی از TIAهای ما به‌درخواست از طریق مسئول حفاظت از داده‌ها (DPO) در دسترس هستند.

زیرپردازش‌کنندگان زیر داده‌های شخصی را از جانب ما بر اساس یک قرارداد پردازش داده (DPA) پردازش می‌کنند. ما یک ثبت به‌روز از زیرپردازش‌کنندگان نگهداری می‌کنیم و در مورد تغییرات اساسی حداقل 30 روز پیش از اعمال به شما اطلاع خواهیم داد:

| زیرپردازش‌کننده | هدف | داده‌های پردازش‌شده | مکان | مکانیزم انتقال | | --- | --- | --- | --- | --- | | Render Services, Inc. | میزبانی اپلیکیشن، پایگاه داده | تمامی داده‌های پلتفرم | EU (فرانکفورت) | SCCs | | Didit (legal entity pending DPA) | احراز هویت، بررسی liveness | مدارک هویت، سلفی‌ها، داده‌های بیومتریک (موقت) | EU (زیرپردازش‌کنندگان ممکن است خارج از EEA باشند) | SCCs + تدابیر تکمیلی | | Stripe Payments Europe, Ltd. | پردازش پرداخت (کارمزد واسطه‌گری) | نام، ایمیل، اطلاعات پرداخت | ایرلند (EU)؛ شرکت مادر ایالات متحده | DPF + SCCs | | Enable Banking Oy | تجمیع داده‌های open banking بر اساس PSD2 | اطلاعات حساب بانکی، تاریخچهٔ تراکنش | فنلاند (EU) | داخل EEA | | Google LLC | Google Analytics 4 (GA4) و Google Tag Manager (GTM) برای تحلیل وب‌سایت و مدیریت رضایت | بازدیدهای صفحهٔ ناشناس‌شده، تعاملات کاربر، اطلاعات دستگاه/مرورگر، آدرس IP (ناشناس‌شده) | مانتین ویو، کالیفرنیا، ایالات متحده | EU-US Data Privacy Framework (DPF)، SCCs به‌عنوان پشتیبان؛ DPA: Google Ads Data Processing Terms | | Resend Inc. | تحویل ایمیل‌های تراکنشی و بازاریابی | آدرس‌های ایمیل، محتوای ایمیل، فراداده تحویل | سان‌فرانسیسکو، کالیفرنیا، ایالات متحده | SCCs + تدابیر فنی تکمیلی؛ DPA: Resend Data Processing Agreement | | Anthropic PBC | API مدل زبانی هوش مصنوعی برای تولید محتوای خودکار و هماهنگی داخلی عامل‌ها | زمینهٔ ناشناس‌شدهٔ کاربر (فقط نام کوچک، زبان، کشور — بدون داده‌های شخصی)، آمار تجمعی پلتفرم، پیام‌های اداری مدیرعامل | سان‌فرانسیسکو، کالیفرنیا، ایالات متحده | SCCs + تدابیر فنی تکمیلی؛ DPA: Anthropic Data Processing Agreement | | Voyage AI Innovations, Inc. | تعبیه‌های جستجو برای کارکرد جستجوی وب‌سایت | متن پرس‌وجوی جستجو، بخش‌هایی از محتوای منتشرشده (بدون داده‌های حساب، بدون شناسه) | سان‌فرانسیسکو، کالیفرنیا، ایالات متحده (گروه MongoDB, Inc.) | EU-US Data Privacy Framework (DPF) + DPA | | ~~Umami (self-hosted)~~ | ~~تحلیل وب (ناشناس‌شده)~~ | ~~داده‌های استفادهٔ ناشناس‌شده~~ | ~~EU (فرانکفورت)~~ | **منسوخ — جایگزین‌شده با Google Analytics 4 (GA4)** |

تغییرات این فهرست زیرپردازش‌کنندگان از طریق اعلان ایمیلی به کاربران ثبت‌نام‌شده اطلاع‌رسانی می‌شود. در صورت اعتراض به یک زیرپردازش‌کنندهٔ جدید، شما می‌توانید حساب خود را مطابق ماده 10 شرایط و ضوابط ما خاتمه دهید.

ما داده‌های شخصی شما را تنها تا زمانی نگهداری می‌کنیم که برای اهدافی که داده‌ها برای آن جمع‌آوری شده‌اند ضروری باشد، یا تا زمانی که قوانین قابل اجرا الزام می‌کنند. مدت‌های نگهداری زیر اعمال می‌شود:

**10.1 داده‌های تأیید هویت** (کپی اسناد هویتی، نتایج تأیید سلفی، مدرک نشانی، مستندات منشأ وجوه): **5 سال** پس از پایان رابطه تجاری یا تاریخ آخرین تراکنش، هرکدام که دیرتر باشد. مبنای حقوقی: قانون هلند. این داده‌ها در طول مدت نگهداری قانونی به درخواست شما قابل حذف نیستند.

**10.2 BSN (شماره خدمات شهروندی هلند):** **5 سال** پس از پایان رابطه تجاری. مبنای حقوقی: قانون هلند در ارتباط با ماده 53، بند 3، AWR. رمزگذاری‌شده در سطح ستون. در طول مدت نگهداری به درخواست شما قابل حذف نیست.

**10.3 داده‌های پروفایل مالی** (اطلاعات درآمد، صورت‌حساب‌های بانکی، ورودی و خروجی پیش‌بررسی وام مسکن): **5 سال** پس از پایان رابطه تجاری. مبنای حقوقی: قانون هلند. داده‌هایی که صرفاً برای اهداف پیش‌بررسی وام مسکن استفاده شده‌اند، هنگام بستن حساب حذف می‌شوند.

**10.4 سوابق تراکنش و مالیاتی** (فاکتورهای کارمزد واسطه‌گری، اطلاعات پرداخت، مکاتبات تراکنش، سوابق مالیات بر ارزش افزوده): **7 سال** پس از پایان سال مالی که تراکنش در آن انجام شده است. مبنای حقوقی: ماده 52 AWR (تکلیف نگهداری اسناد مالیاتی هلند). برای سوابقی که به‌طور خاص به املاک و مستغلات مربوط می‌شود: **10 سال** (ماده 52، بند 4، AWR).

**10.5 داده‌های حساب** (نام، ایمیل، تلفن، نشانی، ترجیحات): مدت فعال بودن حساب **به‌علاوه 2 سال** پس از بستن یا خاتمه حساب. دوره 2 ساله پس از بستن حساب برای رسیدگی به اختلافات جاری، برگشت وجوه یا ادعاهای حقوقی احتمالی است. پس از 2 سال داده‌ها حذف می‌شوند، مگر آنکه بر اساس دسته دیگری مدت نگهداری طولانی‌تری اعمال شود.

**10.6 داده‌های ارتباطی** (پیام‌های پلتفرم، مکاتبات ایمیلی، تیکت‌های پشتیبانی): **3 سال** پس از آخرین تعامل یا بستن حساب، هرکدام که دیرتر باشد. ضبط مکالمات (در صورت اخذ رضایت) به مدت 2 سال نگهداری می‌شود.

**10.7 داده‌های بازاریابی و رضایت** (ترجیحات ایمیل، سوابق رضایت، اشتراک خبرنامه): ترجیحات بازاریابی بلافاصله پس از پس‌گرفتن رضایت حذف می‌شوند. سوابق رضایت (مدرک اعطا یا پس‌گرفتن رضایت) به مدت **5 سال** به‌عنوان مدرک رعایت ماده 7، بند 1، GDPR نگهداری می‌شوند.

**10.8 داده‌های استفاده و تحلیلی:** ظرف **26 ماه** پس از جمع‌آوری ناشناس‌سازی می‌شوند. داده‌های ناشناس و تجمیع‌شده (که دیگر داده شخصی محسوب نمی‌شوند) می‌توانند برای مدت نامحدود برای اهداف آماری و پژوهشی نگهداری شوند.

**10.9 داده‌های بیومتریک** (الگوهای تأیید زنده‌بودن): **بلافاصله** پس از تکمیل بررسی تأیید هویت حذف می‌شوند. ما هیچ الگوی بیومتریکی ذخیره نمی‌کنیم. Didit، ارائه‌دهنده تأیید هویت ما، داده‌های بیومتریک را مطابق با قرارداد پردازش داده و سیاست نگهداری خود حذف می‌کند.

**10.10 گزارش‌های امنیتی** (رویدادهای احراز هویت، گزارش‌های دسترسی، ردپای حسابرسی): **2 سال** از تاریخ رویداد، برای اهداف پایش امنیتی و بررسی رخدادها.

پس از انقضای مدت نگهداری قابل اجرا، داده‌های شخصی با روش‌های متعارف (پاک‌سازی رمزنگارانه برای داده‌های رمزگذاری‌شده، بازنویسی ایمن برای داده‌های رمزگذاری‌نشده) به‌طور ایمن حذف یا به‌شکل برگشت‌ناپذیر ناشناس می‌شوند. ما به‌صورت دوره‌ای حسابرسی مدت‌های نگهداری انجام می‌دهیم تا از رعایت این جدول‌ها اطمینان حاصل کنیم.

بر اساس GDPR و UAVG، شما حقوق زیر را در مورد داده‌های شخصی خود دارید. می‌توانید این حقوق را با رعایت محدودیت‌های توصیف‌شده در ادامه، به‌طور رایگان اعمال کنید:

**11.1 حق دسترسی (ماده 15 GDPR).** شما حق دارید تأیید کنید که آیا داده‌های شخصی شما در حال پردازش است یا خیر و در صورت مثبت بودن پاسخ، یک نسخه از آن داده‌ها را همراه با اطلاعاتی درباره اهداف پردازش، دسته‌های داده، گیرندگان، مدت‌های نگهداری و منبع داده‌ها دریافت کنید. ما اطلاعات را در قالبی الکترونیکی رایج (PDF یا JSON) ظرف 30 روز از درخواست شما ارائه می‌دهیم.

**11.2 حق اصلاح (ماده 16 GDPR).** شما حق دارید بدون تأخیر ناموجه، اصلاح داده‌های شخصی نادرست یا تکمیل داده‌های ناقص را درخواست کنید. برای داده‌های احراز هویت، اصلاح ممکن است مستلزم ارائه مدارک هویتی به‌روزشده برای تضمین صحت باشد.

**11.3 حق حذف (ماده 17 GDPR).** شما حق دارید حذف داده‌های شخصی خود را در مواردی که: (الف) داده‌ها دیگر برای هدفی که برای آن جمع‌آوری شده‌اند ضروری نیستند؛ (ب) شما رضایت خود را پس می‌گیرید و هیچ مبنای قانونی دیگری وجود ندارد؛ (ج) شما به پردازش اعتراض می‌کنید و هیچ دلیل موجه مسلطی وجود ندارد؛ (د) داده‌ها به‌طور غیرقانونی پردازش شده‌اند؛ یا (ه) حذف طبق قانون الزامی است، درخواست کنید. **محدودیت مهم:** ما نمی‌توانیم داده‌های احراز هویت، داده‌های BSN، سوابق تراکنش یا سوابق مالیاتی را در طول مدت‌های نگهداری قانونی مقرر توسط AWR (ماده 52) و سایر قوانین قابل اعمال هلند حذف کنیم. در صورتی که در این دوره‌ها درخواست حذف کنید، ما پردازش را به حداقل مقرر قانونی محدود می‌کنیم و داده‌ها را به‌محض انقضای مدت نگهداری حذف خواهیم کرد.

**11.4 حق محدودسازی پردازش (ماده 18 GDPR).** شما حق دارید محدودسازی پردازش را در مواردی که: (الف) صحت داده‌ها را به چالش می‌کشید (در طول دوره راستی‌آزمایی)؛ (ب) پردازش غیرقانونی است اما شما با حذف مخالفید؛ (ج) ما دیگر به داده‌ها نیاز نداریم اما شما برای اثبات، اعمال یا دفاع از یک ادعای حقوقی به آن‌ها نیاز دارید؛ یا (د) شما در انتظار راستی‌آزمایی دلایل موجه ما به پردازش اعتراض کرده‌اید، درخواست کنید.

**11.5 حق انتقال‌پذیری داده (ماده 20 GDPR).** شما حق دارید داده‌های شخصی‌ای را که به ما ارائه کرده‌اید در قالبی ساختاریافته، رایج و قابل‌خواندن توسط ماشین (JSON یا CSV) دریافت کنید و آن داده‌ها را بدون مانع به یک کنترل‌کنندهٔ دیگر منتقل کنید. این حق در مورد داده‌هایی اعمال می‌شود که بر پایه رضایت یا اجرای قرارداد و به‌شیوهٔ خودکار پردازش می‌شوند. داده‌های احراز هویت که بر مبنای تعهد قانونی پردازش می‌شوند، از انتقال‌پذیری مستثنی هستند.

**11.6 حق اعتراض (ماده 21 GDPR).** شما حق دارید در هر زمان و بر اساس دلایل مرتبط با وضعیت خاص خود، به پردازش مبتنی بر منافع مشروع (ماده 6(1)(f)) اعتراض کنید. ما پردازش را متوقف خواهیم کرد، مگر آنکه دلایل موجه مسلطی را که بر منافع شما ارجحیت دارند اثبات کنیم. شما حق مطلقی دارید که در هر زمان و بدون نیاز به ارائه دلیل، به پردازش برای اهداف بازاریابی مستقیم اعتراض کنید.

**11.7 حق پس‌گرفتن رضایت (ماده 7(3) GDPR).** در مواردی که پردازش بر پایه رضایت انجام می‌شود، می‌توانید آن رضایت را در هر زمان پس بگیرید. پس‌گرفتن رضایت بر قانونی‌بودن پردازش‌های انجام‌شده پیش از پس‌گرفتن تأثیری ندارد.

**11.8 حق عدم قرارگیری در معرض تصمیم‌گیری خودکار (ماده 22 GDPR).** شما حق دارید تحت تصمیمی که صرفاً بر پایه پردازش خودکار اتخاذ شده و پیامدهای حقوقی یا آثار قابل‌توجه مشابه دارد قرار نگیرید. همان‌طور که در بخش 6 توصیف شد، همهٔ فرآیندهای خودکار ما تحت نظارت انسانی هستند. شما می‌توانید مداخله انسانی درخواست کنید، دیدگاه خود را بیان کنید و هر پیامد خودکار را به چالش بکشید.

**11.9 حق ثبت شکایت.** شما حق دارید در صورتی که معتقدید پردازش داده‌های شخصی شما GDPR یا UAVG را نقض می‌کند، نزد مقام حفاظت از داده‌های هلند (Autoriteit Persoonsgegevens) شکایت ثبت کنید. اطلاعات تماس: Autoriteit Persoonsgegevens, Bezuidenhoutseweg 30, 2594 AV Den Haag, هلند (autoriteitpersoonsgegevens.nl).

**اعمال حقوق شما.** برای اعمال هر یک از این حقوق، از طریق hello@zaminor.com با ما تماس بگیرید یا به نشانی Zaminor, t.a.v. Privacy, Nederland مکاتبه کنید. پیش از پردازش هر درخواست، هویت شما را راستی‌آزمایی خواهیم کرد. ما ظرف 30 روز پاسخ خواهیم داد. در صورتی که درخواست شما پیچیده باشد یا تعداد زیادی درخواست دریافت کنیم، ممکن است این مهلت را حداکثر 60 روز اضافی (در مجموع 90 روز) تمدید کنیم و در طول مهلت اولیه 30 روزه دربارهٔ هرگونه تمدید به شما اطلاع خواهیم داد. درخواست‌ها رایگان هستند، مگر آنکه به‌طور آشکار بی‌اساس یا افراطی باشند (ماده 12(5) GDPR).

زامینور تدابیر فنی و سازمانی مناسبی را پیاده‌سازی می‌کند تا سطح امنیتی متناسب با خطر را تضمین کند، مطابق با ماده 32 GDPR. تدابیر امنیتی شامل موارد زیر است:

**تدابیر فنی:** رمزگذاری TLS 1.3 برای تمام داده‌های در حال انتقال؛ رمزگذاری AES-256 در حالت استراحت برای تمام داده‌های ذخیره شده؛ رمزگذاری سطح ستون با pgcrypto برای داده‌های شخصی بسیار حساس (BSN، شماره‌های حساب بانکی، URL های اسناد هویت، URL های سلفی)؛ مدیریت ایمن کلید با چرخش کلید؛ کنترل دسترسی مبتنی بر نقش (RBAC) با اصل کمترین امتیاز؛ احراز هویت چند عاملی (MFA) برای تمام کارمندان و دسترسی مدیریت؛ فایروال برنامه وب (WAF) و حفاظت از DDoS؛ اسکن خودکار آسیب‌پذیری و تست‌های نفوذ منظم؛ چرخه حیات توسعه نرم‌افزار امن (SSDLC) با بررسی‌های کد امنیتی.

**تدابیر سازمانی:** ارزیابی تأثیر حفاظت از داده‌ها (DPIA) برای فعالیت‌های پردازش پرخطر (پردازش تأیید هویت، انتقال فرامرزی، تصمیم‌گیری خودکار)؛ آموزش حفاظت از داده‌ها و توافقنامه‌های محرمانگی برای کارمندان؛ سیاست میز تمیز و صفحه تمیز برای کارمندانی که داده‌های شخصی را پردازش می‌کنند؛ ارزیابی‌های امنیتی تأمین‌کنندگان و بررسی توافقنامه‌های پردازش‌کننده برای تمام زیرپردازش‌کنندگان؛ رویه‌های پاسخ به حادثه هماهنگ با الزامات گزارش مواد 33/34 GDPR؛ ممیزی‌های امنیتی منظم داخلی و خارجی؛ ثبت و نظارت دسترسی با تشخیص ناهنجاری؛ رویه‌های مستند طبقه‌بندی و پردازش داده‌ها.

**شبه ناشناس‌سازی:** در موارد امکان‌پذیر فنی، زامینور شبه ناشناس‌سازی را برای کاهش خطرات پردازش داده‌های شخصی اعمال می‌کند. تحلیل‌های داخلی از مجموعه داده‌های شبه ناشناس یا ناشناس استفاده می‌کنند. داده‌های تولید هرگز در محیط‌های تست یا توسعه استفاده نمی‌شوند.

در صورت نقض مرتبط با داده‌های شخصی طبق تعریف ماده 4، بند 12، GDPR، زامینور از رویه مستند پاسخ به حادثه پیروی می‌کند:

**گزارش به مرجع نظارتی (ماده 33 GDPR).** زامینور نقض را به سازمان محافظت از داده‌های شخصی بدون تأخیر غیرمعقول و در صورت امکان، ظرف 72 ساعت پس از اطلاع از نقضی که احتمالاً خطری برای حقوق و آزادی‌های اشخاص حقیقی به همراه دارد، گزارش می‌کند. گزارش شامل ماهیت نقض، دسته‌ها و تعداد تخمینی افراد و سوابق داده‌ای آسیب‌دیده، پیامدهای احتمالی، و تدابیر اتخاذ شده یا پیشنهادی برای رسیدگی به نقض است.

**گزارش به صاحبان داده (ماده 34 GDPR).** اگر نقض احتمالاً خطر بالایی برای حقوق و آزادی‌های شما داشته باشد، زامینور بدون تأخیر غیرمعقول شما را به زبان واضح و قابل فهم در جریان قرار می‌دهد، با توضیح ماهیت نقض، پیامدهای احتمالی، تدابیر اتخاذ شده توسط زامینور و نحوه کاهش پیامدهای منفی احتمالی.

**ثبت نقض‌ها.** زامینور ثبتی از تمام نقض‌های مرتبط با داده‌های شخصی نگهداری می‌کند، صرف‌نظر از اینکه به آستانه گزارش برسند یا خیر، مطابق با ماده 33، بند 5، GDPR.

زامینور از کوکی‌ها و فناوری‌های مشابه در پلتفرم خود استفاده می‌کند. استفاده زامینور از کوکی‌ها تحت قانون مخابرات هلند (ماده 11.7a) که اجرای دستورالعمل e-Privacy (2002/58/EG به همراه اصلاحیه 2009/136/EG) و GDPR برای مدیریت رضایت است، اداره می‌شود.

برای اطلاعات تفصیلی درباره کوکی‌هایی که زامینور استفاده می‌کند، اهداف آنها، دوره نگهداری و نحوه مدیریت تنظیمات شما، به سیاست کوکی که از طریق پاورقی هر صفحه در پلتفرم در دسترس است، مراجعه کنید.

خدمات زامینور منحصراً برای اشخاص 18 سال به بالا طراحی شده است. زامینور آگاهانه داده‌های شخصی کودکان زیر 18 سال را جمع‌آوری یا پردازش نمی‌کند. خدمات واسطه‌گری املاک که زامینور ارائه می‌دهد ذاتاً نیازمند آن است که کاربران اهلیت قانونی برای انجام معاملات املاک داشته باشند.

اگر زامینور متوجه شود که ناخواسته داده‌های شخصی فردی زیر 18 سال را جمع‌آوری کرده است، فوراً اقدامات لازم برای حذف آن داده‌ها و خاتمه حساب مربوطه انجام می‌دهد. اگر فکر می‌کنید زامینور داده‌های یک نابالغ را جمع‌آوری کرده است، لطفاً از طریق hello@zaminor.com با زامینور تماس بگیرید.

مطابق با ماده 35 GDPR، زامینور ارزیابی تأثیر حفاظت از داده‌ها (DPIA) را برای فعالیت‌های پردازش پرخطر زیر انجام داده است:

- پردازش تأیید هویت (شامل بررسی‌های زنده بودن بیومتریک) - پروفایل‌سازی مالی خودکار و محاسبات پیش‌بررسی وام مسکن - انتقال فرامرزی داده‌ها به امارات متحده عربی (شبکه مشاوران املاک دبی) - تجمیع داده‌های بانکداری باز PSD2 و تحلیل مالی

DPIA ها سالانه بررسی و به‌روزرسانی می‌شوند یا زمانی که تغییر قابل توجهی در فعالیت پردازش رخ دهد. خلاصه‌هایی از DPIA های زامینور در صورت درخواست از FG در دسترس هستند.

ما ممکن است این سیاست حریم خصوصی را از زمان به زمان به‌روزرسانی کنیم تا تغییرات در فعالیت‌های پردازش ما، قوانین قابل اجرا یا راهنماهای نظارتی را منعکس کند. ما حقوق شما تحت این سیاست را بدون موافقت صریح شما محدود نخواهیم کرد.

**تغییرات اساسی** (تغییرات در مبنای قانونی، دسته‌بندی‌های جدید داده‌ها، گیرندگان جدید، تغییرات در دوره‌های نگهداری یا تغییراتی که بر حقوق شما تأثیر می‌گذارد) حداقل 30 روز قبل از اجرایی شدن از طریق ایمیل به آدرس ایمیل ثبت شده شما و از طریق اعلان پلتفرم ارتباط داده می‌شود. این اعلان به وضوح تغییرات و پیامدهای آنها را شرح می‌دهد.

**تغییرات غیر اساسی** (روشن‌سازی‌ها، قالب‌بندی، اطلاعات تماس به‌روزرسانی شده) ممکن است در هر زمان اعمال شود و تاریخ "آخرین به‌روزرسانی" بر این اساس تجدیدنظر می‌شود.

اگر با تغییر اساسی موافق نیستید، می‌توانید حق حذف خود را اعمال کنید (با رعایت تعهدات قانونی نگهداری) و حساب کاربری خود را قبل از تاریخ اجرای تغییر خاتمه دهید. ادامه استفاده از خدمات پس از تاریخ اجرا به معنای پذیرش سیاست تجدیدنظر شده است.

این سیاست حریم خصوصی تحت قوانین هلند اجرا می‌شود. اختلافاتی که از این سیاست ناشی می‌شود یا با آن مرتبط است به صلاحیت انحصاری دادگاه‌های صالح لاهه، هلند ارجاع می‌شود، بدون خدشه در حق شما برای ثبت شکایت نزد Autoriteit Persoonsgegevens یا استناد به صلاحیت دادگاه در محل اقامت عادی خود اگر مصرف‌کننده اتحادیه اروپا هستید (ماده 79، بند 2، AVG).

برای سؤالات، نگرانی‌ها یا درخواست‌هایی که به این سیاست حریم خصوصی یا شیوه‌های پردازش داده‌های ما مربوط می‌شود:

**تماس حریم خصوصی** ایمیل: hello@zaminor.com پست: Zaminor، به توجه Privacy، هلند

**سؤالات عمومی** ایمیل: hello@zaminor.com وب‌سایت: zaminor.com/contact

**مقام نظارتی** Autoriteit Persoonsgegevens Bezuidenhoutseweg 30, 2594 AV Den Haag, هلند تلفن: +31 70 888 8500 وب‌سایت: autoriteitpersoonsgegevens.nl