# ДОДАТОК 4 # ПОЛІТИКА ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ до Публічного договору (оферти) про надання послуг хостингу ТОВ «ХОСТ ВДС» Редакція **1.0** від **17.09.2026** --- ## 1. Хто обробляє дані **Володілець персональних даних:** ТОВ «ХОСТ ВДС», ідентифікаційний код 37884379, 01021, м. Київ, вул. Мечникова, буд. 8, кімн. 22, Печерський район. **Контакт з питань персональних даних:** admin@zevshost.net. **Застосовне право:** Закон України «Про захист персональних даних» № 2297-VI. Для суб'єктів даних, які перебувають у Європейському Союзі, додатково застосовується Регламент (ЄС) 2016/679 (GDPR) на підставі статті 3(2) Регламенту. --- ## 2. Дві ролі Виконавця — ключове розмежування > Це найважливіший розділ цієї Політики. Він визначає, за що відповідає > Виконавець, а за що — Замовник. ### 2.1. Виконавець як **володілець** (контролер) Щодо персональних даних **самого Замовника** та його представників: реєстраційних, контактних, платіжних даних, звернень до підтримки, службових журналів доступу до Особистого кабінету. Виконавець самостійно визначає мету і засоби обробки цих даних, несе обов'язки володільця і відповідає перед суб'єктами даних. ### 2.2. Виконавець як **розпорядник** (процесор) Щодо персональних даних, які **Замовник самостійно розміщує, збирає або обробляє** з використанням наданих ресурсів: дані відвідувачів сайтів Замовника, клієнтські бази, вміст поштових скриньок, бази даних застосунків Замовника. Виконавець: - обробляє такі дані **виключно технічно** — зберігає, забезпечує доступність, передає в межах надання Послуги; - **не визначає** мету і засоби їх обробки; - **не має доступу** до їх змісту, крім випадків, зазначених у пункті 4.4; - діє виключно за дорученням Замовника, яким є сам факт розміщення даних на наданих ресурсах. **Замовник є володільцем цих даних** і самостійно: - забезпечує наявність правової підстави обробки; - виконує обов'язки щодо інформування суб'єктів даних; - реагує на запити суб'єктів даних; - повідомляє про порушення захисту даних, якщо це вимагається законом; - несе відповідальність перед суб'єктами даних і контролюючими органами. **2.3.** Умови цього Додатка щодо ролі розпорядника є дорученням на обробку персональних даних у розумінні **частини четвертої статті 4** Закону України «Про захист персональних даних» («Володілець персональних даних може доручити обробку персональних даних розпоряднику персональних даних відповідно до договору, укладеного в письмовій формі») і договором про обробку в розумінні статті 28 GDPR. Прийняття Договору в порядку розділу 3 Договору поширюється і на цей Додаток. Якщо Замовникові потрібен документ, що прирівнюється до укладеного **в письмовій формі** за правовими наслідками, Виконавець на запит укладає окремий договір про обробку персональних даних (DPA), підписаний у порядку статті 12 Закону України «Про електронну комерцію» — зокрема електронним підписом одноразовим ідентифікатором. Згідно з частиною дванадцятою статті 11 зазначеного Закону такий електронний договір «за правовими наслідками прирівнюється до договору, укладеного у письмовій формі». Запит — на admin@zevshost.net. --- ## 3. Дані Замовника: що, навіщо, на якій підставі | Категорія даних | Склад | Мета | Правова підстава | Строк зберігання | |---|---|---|---|---| | **Ідентифікаційні** | ПІБ або найменування, ідентифікаційний код, адреса | Укладення та виконання Договору; виконання обов'язку за ч. 1 ст. 57 Закону «Про авторське право і суміжні права» | Ст. 11 ЗУ 2297-VI (виконання договору; виконання обов'язку володільця); ст. 6(1)(b), 6(1)(c) GDPR | Строк дії Договору + 3 роки | | **Контактні** | Адреса електронної пошти, телефон | Комунікація, повідомлення, виконання ст. 56 Закону «Про авторське право і суміжні права» | Ті самі | Строк дії Договору + 3 роки | | **Платіжні** | Реквізити платежів, історія операцій, маскований номер картки | Розрахунки, бухгалтерський і податковий облік | Виконання договору; виконання податкового обов'язку | **1095 днів** (строк давності за ПКУ), для бухгалтерських документів — за законодавством про архівну справу | | **Перевірка відомостей** | **Запис про факт перевірки** (дата, підстава, вид документа, результат) і декларація призначення. **Копії документів за замовчуванням не зберігаються** — видаляються після перевірки (розділ 7 Додатка 3) | Перевірка достовірності відомостей за тригерами розділу 3 Додатка 3, запобігання протиправному використанню | Виконання договору; виконання обов'язку за ч. 1 ст. 57 Закону «Про авторське право і суміжні права»; законний інтерес | Запис — строк дії Договору + 3 роки. Копія документа — лише якщо її збереження вимагає закон або уповноважений орган, на строк такої вимоги | | **Технічні** | IP-адреси доступу до Особистого кабінету, час, тип пристрою, журнали дій | Безпека, розслідування інцидентів, доказування | Законний інтерес Виконавця (безпека послуги) | **12 місяців** | | **Службові журнали інфраструктури** | Журнали мережевих з'єднань, журнали гіпервізора | Забезпечення працездатності, розслідування інцидентів, реагування на звернення | Законний інтерес; виконання обов'язків за Додатком 2 | **12 місяців**; за пунктом 8.5 Договору — **90 днів** з моменту призупинення, а на вимогу уповноваженого органу — строк, зазначений у вимозі | | **Звернення до підтримки** | Текст тікетів, вкладення | Надання підтримки, доказування | Виконання договору | Строк дії Договору + 3 роки | | **Маркетингові** | Адреса електронної пошти | Інформування про послуги та акції | **Згода**, яку можна відкликати в будь-який момент | До відкликання згоди | **3.1.** Надання даних, зазначених у рядках 1–3, є необхідною умовою укладення Договору. Ненадання унеможливлює надання Послуг. **3.2.** Виконавець **не здійснює автоматизованого прийняття рішень**, що породжують юридичні наслідки для суб'єкта даних, без участі людини. Спрацювання ризик-індикаторів за Додатком 3 призводить лише до запиту письмового пояснення (декларації призначення), а не до автоматичного рішення; рішення приймає працівник Виконавця. **3.3.** Виконавець не обробляє особливі категорії персональних даних Замовників і не вимагає їх надання. --- ## 4. Кому передаються дані **4.1. Категорії одержувачів:** | Одержувач | Що передається | Підстава | |---|---|---| | Платіжні провайдери та банки | Платіжні дані, ім'я платника | Виконання договору | | Реєстратори доменних імен, реєстри | Дані реєстранта згідно з правилами реєстру | Виконання договору, правила реєстру | | **Оператори інфраструктури** (OVHcloud, Hetzner, Scaleway, WorldStream, MevSpace, myLoc (WIIT AG) та інші за переліком `/legal/infrastructure`) | Технічні дані, необхідні для розміщення обладнання; на вимогу Оператора при розгляді скарги — ідентифікаційні та контактні дані Замовника | Виконання договору; законний інтерес (протидія зловживанням) | | Постачальники послуг зв'язку | Мережеві дані | Виконання договору | | Постачальник системи біллінгу і підтримки | Реєстраційні, контактні, платіжні дані, тікети | Виконання договору, договір про обробку | | Аудитори, юридичні радники | За потреби, у мінімальному обсязі | Законний інтерес | | Державні органи | За розділом 16 Договору і Додатком 6 | Виконання вимоги закону | | Заявник за статтею 56 Закону «Про авторське право і суміжні права» | Контактні дані Замовника в обсязі ч. 12 ст. 56 | **Пряма вимога закону** | **4.2.** Виконавець не продає персональні дані і не передає їх третім особам для незалежних маркетингових цілей. **4.3. Транскордонна передача.** Значна частина Послуг надається з використанням обладнання Операторів інфраструктури, розташованого за межами України — насамперед у державах — членах Європейського Союзу (зокрема Німеччина, Франція, Нідерланди, Польща). Актуальний перелік Операторів і країн розміщення — `/legal/infrastructure`. **Підстава передачі.** Частина третя статті 29 Закону України «Про захист персональних даних» прямо встановлює: «Держави — учасниці Європейського економічного простору, а також держави, які підписали Конвенцію Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних, **визнаються такими, що забезпечують належний рівень захисту персональних даних**». Німеччина, Франція, Нідерланди, Польща і Фінляндія є державами — учасницями Європейського економічного простору, тому передача їм здійснюється **без додаткових умов**. До країн, які не визнані такими, що забезпечують належний рівень захисту, передача здійснюється на підставі гарантій, передбачених статтею 29 зазначеного Закону та главою V GDPR. Виконавець не розміщує обладнання в таких країнах без попереднього повідомлення Замовника в порядку пункту 5.11 Договору. Перелік країн розміщення інфраструктури публікується на веб-сайті та надається за запитом на admin@zevshost.net. **4.4. Доступ до Контенту Замовника.** Працівники Виконавця отримують доступ до Контенту виключно: 1) за прямим зверненням Замовника до технічної підтримки — в обсязі, необхідному для вирішення звернення; 2) для виконання обов'язків за статтею 56 Закону «Про авторське право і суміжні права» — в обсязі, зазначеному в заяві; 3) для перевірки звернення за Додатком 2 — в обсязі, необхідному для підтвердження або спростування порушення; 4) для усунення аварії, що загрожує інфраструктурі; 5) на виконання обов'язкового до виконання рішення уповноваженого органу. Кожен такий доступ реєструється із зазначенням працівника, часу, підстави та обсягу. Журнал доступу надається Замовнику на запит. --- ## 5. Права суб'єкта персональних даних **5.1.** Суб'єкт даних має право: | Право | Зміст | Строк відповіді | |---|---|---| | На інформацію | Знати про склад і зміст своїх даних, мету обробки, одержувачів | 30 календарних днів | | На доступ | Отримати копію своїх даних | 30 календарних днів | | На виправлення | Вимагати виправлення неточних даних | 10 робочих днів | | На видалення | Вимагати видалення даних за відсутності підстав для подальшої обробки | 10 робочих днів | | На обмеження обробки | Вимагати обмеження обробки на час перевірки заперечення | 10 робочих днів | | На заперечення | Заперечувати проти обробки на підставі законного інтересу | 30 календарних днів | | На відкликання згоди | Відкликати згоду на маркетингові розсилки | Негайно | | На перенесення даних (GDPR) | Отримати дані в структурованому машиночитному форматі | 30 календарних днів | | На скаргу | Звернутися до Уповноваженого Верховної Ради України з прав людини або до наглядового органу ЄС | — | **5.2.** Запити надсилаються на admin@zevshost.net. Виконавець перевіряє особу заявника перед наданням даних. **5.3.** Право на видалення не застосовується до даних, які Виконавець зобов'язаний зберігати за законом (податкові, бухгалтерські документи) або які необхідні для захисту в разі спору — до спливу відповідних строків. **5.4. Щодо даних, розміщених Замовником на наданих ресурсах**, суб'єкт даних звертається **безпосередньо до Замовника** як до володільця. Виконавець, отримавши такий запит, протягом 5 робочих днів перенаправляє його Замовнику і повідомляє про це заявника. --- ## 6. Безпека **6.1.** Виконавець вживає організаційних і технічних заходів захисту: - шифрування каналів передавання (TLS) для Особистого кабінету, пошти і тікет-системи; - шифрування сховища верифікаційних документів; - розмежування прав доступу за принципом мінімальних привілеїв; - обов'язкова двофакторна автентифікація для працівників, які мають доступ до персональних даних; - журналювання доступу до персональних даних; - регулярне оновлення програмного забезпечення та контроль вразливостей; - письмові зобов'язання працівників про нерозголошення; - резервне копіювання систем Виконавця з контролем відновлення. **6.2. Порушення захисту даних.** У разі порушення, що створює ризик для прав суб'єктів даних, Виконавець: 1) усуває причину і локалізує наслідки; 2) повідомляє Замовників, яких стосується порушення, — **протягом 72 годин** з моменту виявлення; 3) для суб'єктів у ЄС — повідомляє компетентний наглядовий орган у строк, встановлений статтею 33 GDPR; 4) фіксує обставини порушення, його наслідки та вжиті заходи. **6.3.** Якщо порушення сталося в зоні відповідальності Замовника (на його ресурсах), обов'язок повідомлення несе Замовник. Виконавець надає йому технічну інформацію, необхідну для розслідування. --- ## 7. Файли cookie **7.1.** Веб-сайт і Особистий кабінет використовують: | Категорія | Призначення | Підстава | |---|---|---| | Технічно необхідні | Сесія, автентифікація, безпека, вибір мови і валюти | Необхідність для надання послуги | | Аналітичні | Статистика відвідувань у знеособленому вигляді | Згода | | Маркетингові | Оцінка ефективності рекламних кампаній | Згода | **7.2.** Згода на аналітичні та маркетингові файли cookie запитується окремо і може бути відкликана в будь-який час у налаштуваннях на веб-сайті. --- ## 8. Діти **8.1.** Послуги не призначені для осіб, які не досягли 18 років. Виконавець не здійснює свідомого збирання даних таких осіб. У разі виявлення такі дані видаляються. --- ## 9. Зміни Політики **9.1.** Зміни публікуються і набирають чинності в порядку розділу 21 Договору. **9.2.** Про суттєві зміни (розширення цілей обробки, нові категорії одержувачів) Замовники повідомляються окремо не менше ніж за 30 календарних днів.