Володілець персональних даних: ТОВ «ХОСТ ВДС», ідентифікаційний код 37884379, 01021, м. Київ, вул. Мечникова, буд. 8, кімн. 22, Печерський район.
Контакт з питань персональних даних: admin@zevshost.net.
Застосовне право: Закон України «Про захист персональних даних» № 2297-VI. Для суб'єктів даних, які перебувають у Європейському Союзі, додатково застосовується Регламент (ЄС) 2016/679 (GDPR) на підставі статті 3(2) Регламенту.
Це найважливіший розділ цієї Політики. Він визначає, за що відповідає Виконавець, а за що — Замовник.
Щодо персональних даних самого Замовника та його представників: реєстраційних, контактних, платіжних даних, звернень до підтримки, службових журналів доступу до Особистого кабінету.
Виконавець самостійно визначає мету і засоби обробки цих даних, несе обов'язки володільця і відповідає перед суб'єктами даних.
Щодо персональних даних, які Замовник самостійно розміщує, збирає або обробляє з використанням наданих ресурсів: дані відвідувачів сайтів Замовника, клієнтські бази, вміст поштових скриньок, бази даних застосунків Замовника.
Виконавець: - обробляє такі дані виключно технічно — зберігає, забезпечує доступність, передає в межах надання Послуги; - не визначає мету і засоби їх обробки; - не має доступу до їх змісту, крім випадків, зазначених у пункті 4.4; - діє виключно за дорученням Замовника, яким є сам факт розміщення даних на наданих ресурсах.
Замовник є володільцем цих даних і самостійно: - забезпечує наявність правової підстави обробки; - виконує обов'язки щодо інформування суб'єктів даних; - реагує на запити суб'єктів даних; - повідомляє про порушення захисту даних, якщо це вимагається законом; - несе відповідальність перед суб'єктами даних і контролюючими органами.
2.3. Умови цього Додатка щодо ролі розпорядника є дорученням на обробку персональних даних у розумінні частини четвертої статті 4 Закону України «Про захист персональних даних» («Володілець персональних даних може доручити обробку персональних даних розпоряднику персональних даних відповідно до договору, укладеного в письмовій формі») і договором про обробку в розумінні статті 28 GDPR.
Прийняття Договору в порядку розділу 3 Договору поширюється і на цей Додаток. Якщо Замовникові потрібен документ, що прирівнюється до укладеного в письмовій формі за правовими наслідками, Виконавець на запит укладає окремий договір про обробку персональних даних (DPA), підписаний у порядку статті 12 Закону України «Про електронну комерцію» — зокрема електронним підписом одноразовим ідентифікатором. Згідно з частиною дванадцятою статті 11 зазначеного Закону такий електронний договір «за правовими наслідками прирівнюється до договору, укладеного у письмовій формі». Запит — на admin@zevshost.net.
| Категорія даних | Склад | Мета | Правова підстава | Строк зберігання |
|---|---|---|---|---|
| Ідентифікаційні | ПІБ або найменування, ідентифікаційний код, адреса | Укладення та виконання Договору; виконання обов'язку за ч. 1 ст. 57 Закону «Про авторське право і суміжні права» | Ст. 11 ЗУ 2297-VI (виконання договору; виконання обов'язку володільця); ст. 6(1)(b), 6(1)(c) GDPR | Строк дії Договору + 3 роки |
| Контактні | Адреса електронної пошти, телефон | Комунікація, повідомлення, виконання ст. 56 Закону «Про авторське право і суміжні права» | Ті самі | Строк дії Договору + 3 роки |
| Платіжні | Реквізити платежів, історія операцій, маскований номер картки | Розрахунки, бухгалтерський і податковий облік | Виконання договору; виконання податкового обов'язку | 1095 днів (строк давності за ПКУ), для бухгалтерських документів — за законодавством про архівну справу |
| Перевірка відомостей | Запис про факт перевірки (дата, підстава, вид документа, результат) і декларація призначення. Копії документів за замовчуванням не зберігаються — видаляються після перевірки (розділ 7 Додатка 3) | Перевірка достовірності відомостей за тригерами розділу 3 Додатка 3, запобігання протиправному використанню | Виконання договору; виконання обов'язку за ч. 1 ст. 57 Закону «Про авторське право і суміжні права»; законний інтерес | Запис — строк дії Договору + 3 роки. Копія документа — лише якщо її збереження вимагає закон або уповноважений орган, на строк такої вимоги |
| Технічні | IP-адреси доступу до Особистого кабінету, час, тип пристрою, журнали дій | Безпека, розслідування інцидентів, доказування | Законний інтерес Виконавця (безпека послуги) | 12 місяців |
| Службові журнали інфраструктури | Журнали мережевих з'єднань, журнали гіпервізора | Забезпечення працездатності, розслідування інцидентів, реагування на звернення | Законний інтерес; виконання обов'язків за Додатком 2 | 12 місяців; за пунктом 8.5 Договору — 90 днів з моменту призупинення, а на вимогу уповноваженого органу — строк, зазначений у вимозі |
| Звернення до підтримки | Текст тікетів, вкладення | Надання підтримки, доказування | Виконання договору | Строк дії Договору + 3 роки |
| Маркетингові | Адреса електронної пошти | Інформування про послуги та акції | Згода, яку можна відкликати в будь-який момент | До відкликання згоди |
3.1. Надання даних, зазначених у рядках 1–3, є необхідною умовою укладення Договору. Ненадання унеможливлює надання Послуг.
3.2. Виконавець не здійснює автоматизованого прийняття рішень, що породжують юридичні наслідки для суб'єкта даних, без участі людини. Спрацювання ризик-індикаторів за Додатком 3 призводить лише до запиту письмового пояснення (декларації призначення), а не до автоматичного рішення; рішення приймає працівник Виконавця.
3.3. Виконавець не обробляє особливі категорії персональних даних Замовників і не вимагає їх надання.
4.1. Категорії одержувачів:
| Одержувач | Що передається | Підстава |
|---|---|---|
| Платіжні провайдери та банки | Платіжні дані, ім'я платника | Виконання договору |
| Реєстратори доменних імен, реєстри | Дані реєстранта згідно з правилами реєстру | Виконання договору, правила реєстру |
Оператори інфраструктури (OVHcloud, Hetzner, Scaleway, WorldStream, MevSpace, myLoc (WIIT AG) та інші за переліком /legal/infrastructure) |
Технічні дані, необхідні для розміщення обладнання; на вимогу Оператора при розгляді скарги — ідентифікаційні та контактні дані Замовника | Виконання договору; законний інтерес (протидія зловживанням) |
| Постачальники послуг зв'язку | Мережеві дані | Виконання договору |
| Постачальник системи біллінгу і підтримки | Реєстраційні, контактні, платіжні дані, тікети | Виконання договору, договір про обробку |
| Аудитори, юридичні радники | За потреби, у мінімальному обсязі | Законний інтерес |
| Державні органи | За розділом 16 Договору і Додатком 6 | Виконання вимоги закону |
| Заявник за статтею 56 Закону «Про авторське право і суміжні права» | Контактні дані Замовника в обсязі ч. 12 ст. 56 | Пряма вимога закону |
4.2. Виконавець не продає персональні дані і не передає їх третім особам для незалежних маркетингових цілей.
4.3. Транскордонна передача. Значна частина Послуг надається з використанням
обладнання Операторів інфраструктури, розташованого за межами України —
насамперед у державах — членах Європейського Союзу (зокрема Німеччина, Франція,
Нідерланди, Польща). Актуальний перелік Операторів і країн розміщення —
/legal/infrastructure.
Підстава передачі. Частина третя статті 29 Закону України «Про захист персональних даних» прямо встановлює: «Держави — учасниці Європейського економічного простору, а також держави, які підписали Конвенцію Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних, визнаються такими, що забезпечують належний рівень захисту персональних даних». Німеччина, Франція, Нідерланди, Польща і Фінляндія є державами — учасницями Європейського економічного простору, тому передача їм здійснюється без додаткових умов.
До країн, які не визнані такими, що забезпечують належний рівень захисту, передача здійснюється на підставі гарантій, передбачених статтею 29 зазначеного Закону та главою V GDPR. Виконавець не розміщує обладнання в таких країнах без попереднього повідомлення Замовника в порядку пункту 5.11 Договору. Перелік країн розміщення інфраструктури публікується на веб-сайті та надається за запитом на admin@zevshost.net.
4.4. Доступ до Контенту Замовника. Працівники Виконавця отримують доступ до
Контенту виключно:
1) за прямим зверненням Замовника до технічної підтримки — в обсязі, необхідному
для вирішення звернення;
2) для виконання обов'язків за статтею 56 Закону «Про авторське право і суміжні
права» — в обсязі, зазначеному в заяві;
3) для перевірки звернення за Додатком 2 — в обсязі, необхідному для
підтвердження або спростування порушення;
4) для усунення аварії, що загрожує інфраструктурі;
5) на виконання обов'язкового до виконання рішення уповноваженого органу.
Кожен такий доступ реєструється із зазначенням працівника, часу, підстави та обсягу. Журнал доступу надається Замовнику на запит.
5.1. Суб'єкт даних має право:
| Право | Зміст | Строк відповіді |
|---|---|---|
| На інформацію | Знати про склад і зміст своїх даних, мету обробки, одержувачів | 30 календарних днів |
| На доступ | Отримати копію своїх даних | 30 календарних днів |
| На виправлення | Вимагати виправлення неточних даних | 10 робочих днів |
| На видалення | Вимагати видалення даних за відсутності підстав для подальшої обробки | 10 робочих днів |
| На обмеження обробки | Вимагати обмеження обробки на час перевірки заперечення | 10 робочих днів |
| На заперечення | Заперечувати проти обробки на підставі законного інтересу | 30 календарних днів |
| На відкликання згоди | Відкликати згоду на маркетингові розсилки | Негайно |
| На перенесення даних (GDPR) | Отримати дані в структурованому машиночитному форматі | 30 календарних днів |
| На скаргу | Звернутися до Уповноваженого Верховної Ради України з прав людини або до наглядового органу ЄС | — |
5.2. Запити надсилаються на admin@zevshost.net. Виконавець перевіряє особу заявника перед наданням даних.
5.3. Право на видалення не застосовується до даних, які Виконавець зобов'язаний зберігати за законом (податкові, бухгалтерські документи) або які необхідні для захисту в разі спору — до спливу відповідних строків.
5.4. Щодо даних, розміщених Замовником на наданих ресурсах, суб'єкт даних звертається безпосередньо до Замовника як до володільця. Виконавець, отримавши такий запит, протягом 5 робочих днів перенаправляє його Замовнику і повідомляє про це заявника.
6.1. Виконавець вживає організаційних і технічних заходів захисту:
6.2. Порушення захисту даних. У разі порушення, що створює ризик для прав
суб'єктів даних, Виконавець:
1) усуває причину і локалізує наслідки;
2) повідомляє Замовників, яких стосується порушення, — протягом 72 годин з
моменту виявлення;
3) для суб'єктів у ЄС — повідомляє компетентний наглядовий орган у строк,
встановлений статтею 33 GDPR;
4) фіксує обставини порушення, його наслідки та вжиті заходи.
6.3. Якщо порушення сталося в зоні відповідальності Замовника (на його ресурсах), обов'язок повідомлення несе Замовник. Виконавець надає йому технічну інформацію, необхідну для розслідування.
7.1. Веб-сайт і Особистий кабінет використовують:
| Категорія | Призначення | Підстава |
|---|---|---|
| Технічно необхідні | Сесія, автентифікація, безпека, вибір мови і валюти | Необхідність для надання послуги |
| Аналітичні | Статистика відвідувань у знеособленому вигляді | Згода |
| Маркетингові | Оцінка ефективності рекламних кампаній | Згода |
7.2. Згода на аналітичні та маркетингові файли cookie запитується окремо і може бути відкликана в будь-який час у налаштуваннях на веб-сайті.
8.1. Послуги не призначені для осіб, які не досягли 18 років. Виконавець не здійснює свідомого збирання даних таких осіб. У разі виявлення такі дані видаляються.
9.1. Зміни публікуються і набирають чинності в порядку розділу 21 Договору.
9.2. Про суттєві зміни (розширення цілей обробки, нові категорії одержувачів) Замовники повідомляються окремо не менше ніж за 30 календарних днів.