Політика конфіденційності

1. Загальні положення

Ця Політика розроблена відповідно до Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI, Загального регламенту захисту даних Європейського Союзу (GDPR, Regulation (EU) 2016/679) та інших застосовних нормативно-правових актів у сфері захисту персональних даних.

Політика поширюється на всі персональні дані, які збираються через Сервіс, включаючи дані, що надаються Користувачами добровільно, а також дані, що збираються автоматично під час використання Сервісу.

Оператор залишає за собою право оновлювати цю Політику в будь-який час без попереднього повідомлення. Актуальна версія завжди доступна за адресою evidhuk.com.ua/privacy. Продовження використання Сервісу після внесення змін означає вашу згоду з оновленою Політикою.

2. Визначення термінів

У цій Політиці наведені нижче терміни використовуються в такому значенні:

• «Персональні дані» — будь-яка інформація, що стосується ідентифікованої або ідентифікованої фізичної особи (суб'єкта даних).
• «Обробка» — будь-яка операція або сукупність операцій, що здійснюються з персональними даними, включаючи збір, реєстрацію, організацію, зберігання, адаптацію, зміну, вилучення, використання, передачу, поширення, блокування та знищення.
• «Орендар» (Tenant) — організація або фізична особа-підприємець, що зареєструвалась у Сервісі для збору та аналізу відгуків своїх клієнтів.
• «Кінцевий користувач» — фізична особа, яка залишає відгук через форму, створену Орендарем за допомогою Сервісу.
• «Контролер даних» — суб'єкт, який визначає цілі та засоби обробки персональних даних. Оператор виступає Контролером даних стосовно даних Орендарів та Процесором даних стосовно даних Кінцевих користувачів.
• «Процесор даних» — суб'єкт, який обробляє персональні дані від імені Контролера даних.

3. Які дані ми збираємо

Ми збираємо та обробляємо наступні категорії персональних даних:

4. Мета збору та обробки даних

Ми обробляємо персональні дані виключно для наступних цілей:

• Надання, підтримка та покращення функціональності Сервісу
• Реєстрація акаунтів та автентифікація Користувачів
• Обробка платежів та виставлення рахунків (через сертифіковані платіжні системи)
• Надсилання службових повідомлень: сповіщення про нові відгуки, системні повідомлення, зміни в обслуговуванні
• Забезпечення безпеки Сервісу: виявлення шахрайства, захист від зловживань, моніторинг підозрілої активності
• Аналіз використання Сервісу для покращення продукту (в агрегованому та анонімізованому вигляді)
• Виконання юридичних зобов'язань, у тому числі вимог законодавства та запитів уповноважених органів
• Відповідь на запити Користувачів через форму зворотного зв'язку

5. Правові підстави обробки

Обробка персональних даних здійснюється на наступних правових підставах відповідно до ст. 6 GDPR та Закону України «Про захист персональних даних»:

• Згода суб'єкта даних (ст. 6(1)(a) GDPR) — при реєстрації в Сервісі, заповненні форми відгуку, підписці на сповіщення.
• Виконання договору (ст. 6(1)(b) GDPR) — для надання послуг відповідно до Умов використання Сервісу.
• Законний інтерес (ст. 6(1)(f) GDPR) — для забезпечення безпеки Сервісу, запобігання шахрайству, покращення продукту.
• Виконання юридичного зобов'язання (ст. 6(1)(c) GDPR) — для виконання вимог законодавства України та ЄС.

6. Передача даних третім особам

Ми не продаємо, не здаємо в оренду та не розкриваємо персональні дані третім особам, за винятком наступних випадків:

• Платіжні провайдери (Stripe, LiqPay, WayForPay) — виключно для обробки платежів. Ці провайдери мають власні політики конфіденційності та сертифіковані відповідно до стандартів PCI DSS.
• Хостинг-провайдери — для розміщення серверів та забезпечення роботи Сервісу (серверна інфраструктура розташована в Європейському Союзі).
• Сервіси електронної пошти — для надсилання службових повідомлень.
• Telegram Bot API — для надсилання сповіщень про нові відгуки (лише за налаштуваннями Орендаря).
• Google OAuth — при авторизації через Google (передаються тільки дані, необхідні для автентифікації).
• Правоохоронні та державні органи — у випадках, прямо передбачених законодавством України, або за наявності відповідного судового рішення.

Усі треті сторони, яким ми передаємо дані, зобов'язані забезпечувати належний рівень захисту персональних даних відповідно до чинного законодавства.

7. Файли cookie та технології відстеження

Сервіс використовує файли cookie та аналогічні технології для забезпечення належної роботи, аналітики та покращення користувацького досвіду.

Ви можете керувати файлами cookie через налаштування вашого браузера. Зверніть увагу, що вимкнення необхідних cookies може призвести до обмеження функціональності Сервісу.

Ми не використовуємо рекламні cookie та не відстежуємо Користувачів на інших сайтах.

8. Зберігання даних

Персональні дані зберігаються протягом періоду, необхідного для досягнення цілей їх збору, або протягом строку, визначеного чинним законодавством:

• Дані акаунтів Орендарів — протягом дії акаунту та 30 днів після його видалення (для можливості відновлення).
• Дані відгуків Кінцевих користувачів — протягом дії акаунту Орендаря, якому вони належать.
• Платіжна інформація (транзакції, інвойси) — протягом строку, передбаченого податковим законодавством (не менше 3 років).
• Технічні логи — не більше 90 днів.
• Дані форми зворотного зв'язку — не більше 12 місяців.
• Резервні копії бази даних — не більше 30 днів з моменту створення.

Після закінчення строку зберігання персональні дані знищуються або анонімізуються у спосіб, що унеможливлює їх відновлення.

9. Безпека даних

Ми вживаємо організаційних та технічних заходів для захисту персональних даних від несанкціонованого доступу, втрати, знищення, зміни та розповсюдження, зокрема:

• Шифрування даних при передачі (TLS/SSL) та при зберіганні
• Хешування паролів з використанням BCrypt (12 раундів)
• Розмежування доступу на основі ролей (RBAC)
• Захист від CSRF, XSS та інших типів атак на веб-додатки
• Регулярне резервне копіювання даних
• Моніторинг безпеки та журналювання подій доступу
• Обмеження кількості запитів (rate limiting) для захисту від DDoS-атак

Незважаючи на вжиті заходи безпеки, жодна система передачі та зберігання даних в Інтернеті не може гарантувати 100% безпеку. Ми докладаємо максимальних зусиль для захисту ваших даних, проте не можемо гарантувати абсолютну безпеку інформації, переданої через Інтернет.

10. Права користувачів

Відповідно до GDPR та Закону України «Про захист персональних даних», ви маєте наступні права щодо ваших персональних даних:

• Право на доступ — ви можете запитати копію ваших персональних даних, які ми обробляємо.
• Право на виправлення — ви можете вимагати виправлення неточних або неповних даних.
• Право на видалення («право бути забутим») — ви можете вимагати видалення ваших персональних даних, за винятком випадків, коли їх зберігання є обов'язковим за законом.
• Право на обмеження обробки — ви можете вимагати обмеження обробки ваших даних у визначених законом випадках.
• Право на перенесення даних — ви можете запитати ваші дані у структурованому, загальноприйнятому та машинозчитуваному форматі.
• Право на заперечення — ви можете заперечити проти обробки ваших даних на підставі законного інтересу.
• Право відкликати згоду — якщо обробка здійснюється на підставі вашої згоди, ви можете відкликати її в будь-який час.

Для реалізації будь-якого з цих прав зверніться до нас за контактними даними, зазначеними в Розділі 13. Ми відповімо на ваш запит протягом 30 календарних днів.

Якщо ви вважаєте, що ваші права порушені, ви маєте право подати скаргу до Уповноваженого Верховної Ради України з прав людини або до наглядового органу ЄС з питань захисту даних.

11. Міжнародна передача даних

Серверна інфраструктура Сервісу розташована в Європейському Союзі. У випадках, коли персональні дані передаються за межі ЄС/ЄЕП (наприклад, при використанні сторонніх сервісів), ми забезпечуємо належний рівень захисту через:

— Стандартні договірні положення (Standard Contractual Clauses), затверджені Європейською Комісією;

— Рішення про адекватність рівня захисту країни-отримувача;

— Сертифікацію Privacy Shield (де застосовно).

12. Агреговані та знеособлені дані

Оператор має право агрегувати, систематизувати та аналізувати отриману від Користувачів інформацію після її знеособлення (деперсоналізації) з метою:

— Покращення функціональності та якості Сервісу;

— Створення аналітичних та статистичних звітів;

— Дослідження ринку та тенденцій у сфері клієнтського досвіду;

— Розробки нових функцій та продуктів.

Знеособлені дані не є персональними даними та не дозволяють ідентифікувати конкретну фізичну особу. Власником виключних майнових прав на агреговані та знеособлені дані є Оператор.

13. Конфіденційність дітей

Сервіс не призначений для осіб, які не досягли 16 років. Ми свідомо не збираємо персональні дані дітей віком до 16 років. Якщо нам стане відомо, що ми зібрали дані дитини без належної згоди батьків або законних опікунів, ми вживемо заходів для негайного видалення таких даних.

14. Обмеження відповідальності

Оператор не несе відповідальності за:

— Дії Орендарів щодо збору та використання даних Кінцевих користувачів через форми, створені в Сервісі. Орендар є самостійним Контролером даних стосовно відгуків, зібраних через його форми, та несе повну відповідальність за законність їх збору та обробки;

— Зміст відгуків, залишених Кінцевими користувачами;

— Втрату або пошкодження даних, спричинені обставинами, що знаходяться поза розумним контролем Оператора (форс-мажор, дії третіх осіб, збої в роботі інтернету);

— Безпеку даних, переданих через Інтернет, до моменту їх отримання нашими серверами.

Ви використовуєте Сервіс на власний ризик та розумієте, що жодна технологія не може гарантувати абсолютний захист даних.

15. Контактна інформація

З усіх питань щодо цієї Політики конфіденційності, обробки персональних даних або реалізації ваших прав ви можете зв'язатися з нами:

Telegram: @evidhuk_ua

Поштова адреса: зазначена на сторінці контактів Сервісу.

Час обробки запитів: до 30 календарних днів з моменту отримання.