# ПРИЛОЖЕНИЕ 4 # ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ к Публичному договору (оферте) о предоставлении услуг хостинга ООО «ХОСТ ВДС» Редакция **1.0** от **17.09.2026** --- > **Это перевод.** Аутентичной является украиноязычная редакция > (). При расхождениях преимущественную силу имеет украиноязычный текст. ## 1. Кто обрабатывает данные **Владелец персональных данных:** ООО «ХОСТ ВДС», идентификационный код 37884379, 01021, м. Київ, вул. Мечникова, буд. 8, кімн. 22, Печерський район. **Контакт по вопросам персональных данных:** admin@zevshost.net. **Применимое право:** Закон Украины «О защите персональных данных» № 2297-VI. Для субъектов данных, находящихся в Европейском Союзе, дополнительно применяется Регламент (ЕС) 2016/679 (GDPR) на основании статьи 3(2) Регламента. --- ## 2. Две роли Исполнителя — ключевое разграничение > Это важнейший раздел настоящей Политики. Он определяет, за что отвечает > Исполнитель, а за что — Заказчик. ### 2.1. Исполнитель как **владелец** (контролёр) В отношении персональных данных **самого Заказчика** и его представителей: регистрационных, контактных, платёжных данных, обращений в поддержку, служебных журналов доступа к Личному кабинету. Исполнитель самостоятельно определяет цель и средства обработки этих данных, несёт обязанности владельца и отвечает перед субъектами данных. ### 2.2. Исполнитель как **распорядитель** (процессор) В отношении персональных данных, которые **Заказчик самостоятельно размещает, собирает или обрабатывает** с использованием предоставленных ресурсов: данные посетителей сайтов Заказчика, клиентские базы, содержимое почтовых ящиков, базы данных приложений Заказчика. Исполнитель: - обрабатывает такие данные **исключительно технически** — хранит, обеспечивает доступность, передаёт в рамках предоставления Услуги; - **не определяет** цель и средства их обработки; - **не имеет доступа** к их содержанию, кроме случаев, указанных в пункте 4.4; - действует исключительно по поручению Заказчика, которым является сам факт размещения данных на предоставленных ресурсах. **Заказчик является владельцем этих данных** и самостоятельно: - обеспечивает наличие правового основания обработки; - выполняет обязанности по информированию субъектов данных; - реагирует на запросы субъектов данных; - уведомляет о нарушениях защиты данных, если это требуется законом; - несёт ответственность перед субъектами данных и контролирующими органами. **2.3.** Условия настоящего Приложения в части роли распорядителя являются поручением на обработку персональных данных в понимании **части четвёртой статьи 4** Закона Украины «О защите персональных данных» («Володілець персональних даних може доручити обробку персональних даних розпоряднику персональних даних відповідно до договору, укладеного в письмовій формі») и договором об обработке в понимании статьи 28 GDPR. Принятие Договора в порядке раздела 3 Договора распространяется и на настоящее Приложение. Если Заказчику нужен документ, приравненный по правовым последствиям к заключённому **в письменной форме**, Исполнитель по запросу заключает отдельный договор об обработке персональных данных (DPA), подписанный в порядке статьи 12 Закона Украины «Об электронной коммерции» — в частности электронной подписью одноразовым идентификатором. Согласно части двенадцатой статьи 11 указанного Закона такой электронный договор «за правовими наслідками прирівнюється до договору, укладеного у письмовій формі». Запрос — на admin@zevshost.net. --- ## 3. Данные Заказчика: что, зачем, на каком основании | Категория данных | Состав | Цель | Правовое основание | Срок хранения | |---|---|---|---|---| | **Идентификационные** | ФИО или наименование, идентификационный код, адрес | Заключение и исполнение Договора; исполнение обязанности по ч. 1 ст. 57 Закона «Об авторском праве и смежных правах» | Ст. 11 ЗУ 2297-VI (исполнение договора; исполнение обязанности владельца); ст. 6(1)(b), 6(1)(c) GDPR | Срок действия Договора + 3 года | | **Контактные** | Адрес электронной почты, телефон | Коммуникация, уведомления, исполнение ст. 56 Закона «Об авторском праве и смежных правах» | Те же | Срок действия Договора + 3 года | | **Платёжные** | Реквизиты платежей, история операций, маскированный номер карты | Расчёты, бухгалтерский и налоговый учёт | Исполнение договора; исполнение налоговой обязанности | **1095 дней** (срок давности по НКУ), для бухгалтерских документов — по законодательству об архивном деле | | **Проверка сведений** | **Запись о факте проверки** (дата, основание, вид документа, результат) и декларация назначения. **Копии документов по умолчанию не хранятся** — удаляются после проверки (раздел 7 Приложения 3) | Проверка достоверности сведений по триггерам раздела 3 Приложения 3, предотвращение противоправного использования | Исполнение договора; исполнение обязанности по ч. 1 ст. 57 Закона «Об авторском праве и смежных правах»; законный интерес | Запись — срок действия Договора + 3 года. Копия документа — только если её сохранение требует закон или уполномоченный орган, на срок такого требования | | **Технические** | IP-адреса доступа к Личному кабинету, время, тип устройства, журналы действий | Безопасность, расследование инцидентов, доказывание | Законный интерес Исполнителя (безопасность услуги) | **12 месяцев** | | **Служебные журналы инфраструктуры** | Журналы сетевых соединений, журналы гипервизора | Обеспечение работоспособности, расследование инцидентов, реагирование на обращения | Законный интерес; исполнение обязанностей по Приложению 2 | **12 месяцев**; по пункту 8.5 Договора — **90 дней** с момента приостановки, а по требованию уполномоченного органа — срок, указанный в требовании | | **Обращения в поддержку** | Текст тикетов, вложения | Оказание поддержки, доказывание | Исполнение договора | Срок действия Договора + 3 года | | **Маркетинговые** | Адрес электронной почты | Информирование об услугах и акциях | **Согласие**, которое можно отозвать в любой момент | До отзыва согласия | **3.1.** Предоставление данных, указанных в строках 1–3, является необходимым условием заключения Договора. Непредоставление делает предоставление Услуг невозможным. **3.2.** Исполнитель **не осуществляет автоматизированного принятия решений**, порождающих юридические последствия для субъекта данных, без участия человека. Срабатывание риск-индикаторов по Приложению 3 приводит лишь к запросу письменного объяснения (декларации назначения), а не к автоматическому решению; решение принимает работник Исполнителя. **3.3.** Исполнитель не обрабатывает особые категории персональных данных Заказчиков и не требует их предоставления. --- ## 4. Кому передаются данные **4.1. Категории получателей:** | Получатель | Что передаётся | Основание | |---|---|---| | Платёжные провайдеры и банки | Платёжные данные, имя плательщика | Исполнение договора | | Регистраторы доменных имён, реестры | Данные регистранта согласно правилам реестра | Исполнение договора, правила реестра | | **Операторы инфраструктуры** (OVHcloud, Hetzner, Scaleway, WorldStream, MevSpace, myLoc (WIIT AG) и другие по перечню `/legal/infrastructure`) | Технические данные, необходимые для размещения оборудования; по требованию Оператора при рассмотрении жалобы — идентификационные и контактные данные Заказчика | Исполнение договора; законный интерес (противодействие злоупотреблениям) | | Поставщики услуг связи | Сетевые данные | Исполнение договора | | Поставщик системы биллинга и поддержки | Регистрационные, контактные, платёжные данные, тикеты | Исполнение договора, договор об обработке | | Аудиторы, юридические советники | При необходимости, в минимальном объёме | Законный интерес | | Государственные органы | По разделу 16 Договора и Приложению 6 | Исполнение требования закона | | Заявитель по статье 56 Закона «Об авторском праве и смежных правах» | Контактные данные Заказчика в объёме ч. 12 ст. 56 | **Прямое требование закона** | **4.2.** Исполнитель не продаёт персональные данные и не передаёт их третьим лицам для независимых маркетинговых целей. **4.3. Трансграничная передача.** Значительная часть Услуг оказывается с использованием оборудования Операторов инфраструктуры, расположенного за пределами Украины — прежде всего в государствах — членах Европейского Союза (в частности Германия, Франция, Нидерланды, Польша). Актуальный перечень Операторов и стран размещения — `/legal/infrastructure`. **Основание передачи.** Часть третья статьи 29 Закона Украины «О защите персональных данных» прямо устанавливает: «Держави — учасниці Європейського економічного простору, а також держави, які підписали Конвенцію Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних, **визнаються такими, що забезпечують належний рівень захисту персональних даних**». Германия, Франция, Нидерланды, Польша и Финляндия являются государствами — участницами Европейского экономического пространства, поэтому передача им осуществляется **без дополнительных условий**. В страны, не признанные обеспечивающими надлежащий уровень защиты, передача осуществляется на основании гарантий, предусмотренных статьёй 29 указанного Закона и главой V GDPR. Исполнитель не размещает оборудование в таких странах без предварительного уведомления Заказчика в порядке пункта 5.11 Договора. Перечень стран размещения инфраструктуры публикуется на веб-сайте и предоставляется по запросу на admin@zevshost.net. **4.4. Доступ к Контенту Заказчика.** Работники Исполнителя получают доступ к Контенту исключительно: 1) по прямому обращению Заказчика в техническую поддержку — в объёме, необходимом для решения обращения; 2) для исполнения обязанностей по статье 56 Закона «Об авторском праве и смежных правах» — в объёме, указанном в заявлении; 3) для проверки обращения по Приложению 2 — в объёме, необходимом для подтверждения или опровержения нарушения; 4) для устранения аварии, угрожающей инфраструктуре; 5) во исполнение обязательного к исполнению решения уполномоченного органа. Каждый такой доступ регистрируется с указанием работника, времени, основания и объёма. Журнал доступа предоставляется Заказчику по запросу. --- ## 5. Права субъекта персональных данных **5.1.** Субъект данных имеет право: | Право | Содержание | Срок ответа | |---|---|---| | На информацию | Знать о составе и содержании своих данных, цели обработки, получателях | 30 календарных дней | | На доступ | Получить копию своих данных | 30 календарных дней | | На исправление | Требовать исправления неточных данных | 10 рабочих дней | | На удаление | Требовать удаления данных при отсутствии оснований для дальнейшей обработки | 10 рабочих дней | | На ограничение обработки | Требовать ограничения обработки на время проверки возражения | 10 рабочих дней | | На возражение | Возражать против обработки на основании законного интереса | 30 календарных дней | | На отзыв согласия | Отозвать согласие на маркетинговые рассылки | Немедленно | | На перенос данных (GDPR) | Получить данные в структурированном машиночитаемом формате | 30 календарных дней | | На жалобу | Обратиться к Уполномоченному Верховной Рады Украины по правам человека или в надзорный орган ЕС | — | **5.2.** Запросы направляются на admin@zevshost.net. Исполнитель проверяет личность заявителя перед предоставлением данных. **5.3.** Право на удаление не применяется к данным, которые Исполнитель обязан хранить по закону (налоговые, бухгалтерские документы) или которые необходимы для защиты в случае спора — до истечения соответствующих сроков. **5.4. В отношении данных, размещённых Заказчиком на предоставленных ресурсах**, субъект данных обращается **непосредственно к Заказчику** как к владельцу. Исполнитель, получив такой запрос, в течение 5 рабочих дней перенаправляет его Заказчику и уведомляет об этом заявителя. --- ## 6. Безопасность **6.1.** Исполнитель принимает организационные и технические меры защиты: - шифрование каналов передачи (TLS) для Личного кабинета, почты и тикет-системы; - шифрование хранилища верификационных документов; - разграничение прав доступа по принципу минимальных привилегий; - обязательная двухфакторная аутентификация для работников, имеющих доступ к персональным данным; - журналирование доступа к персональным данным; - регулярное обновление программного обеспечения и контроль уязвимостей; - письменные обязательства работников о неразглашении; - резервное копирование систем Исполнителя с контролем восстановления. **6.2. Нарушение защиты данных.** При нарушении, создающем риск для прав субъектов данных, Исполнитель: 1) устраняет причину и локализует последствия; 2) уведомляет Заказчиков, которых касается нарушение, — **в течение 72 часов** с момента выявления; 3) для субъектов в ЕС — уведомляет компетентный надзорный орган в срок, установленный статьёй 33 GDPR; 4) фиксирует обстоятельства нарушения, его последствия и принятые меры. **6.3.** Если нарушение произошло в зоне ответственности Заказчика (на его ресурсах), обязанность уведомления несёт Заказчик. Исполнитель предоставляет ему техническую информацию, необходимую для расследования. --- ## 7. Файлы cookie **7.1.** Веб-сайт и Личный кабинет используют: | Категория | Назначение | Основание | |---|---|---| | Технически необходимые | Сессия, аутентификация, безопасность, выбор языка и валюты | Необходимость для предоставления услуги | | Аналитические | Статистика посещений в обезличенном виде | Согласие | | Маркетинговые | Оценка эффективности рекламных кампаний | Согласие | **7.2.** Согласие на аналитические и маркетинговые файлы cookie запрашивается отдельно и может быть отозвано в любое время в настройках на веб-сайте. --- ## 8. Дети **8.1.** Услуги не предназначены для лиц, не достигших 18 лет. Исполнитель не осуществляет сознательного сбора данных таких лиц. При выявлении такие данные удаляются. --- ## 9. Изменения Политики **9.1.** Изменения публикуются и вступают в силу в порядке раздела 21 Договора. **9.2.** О существенных изменениях (расширение целей обработки, новые категории получателей) Заказчики уведомляются отдельно не менее чем за 30 календарных дней.