Політика конфіденційності.

1. Загальні положення

Ця Політика конфіденційності (далі — Політика) визначає порядок збору, обробки, зберігання та захисту персональних даних осіб, які відвідують вебсайт redcatweb.com (далі — Сайт) та/або користуються його функціональними можливостями (далі — Користувач).

Використовуючи Сайт, Користувач підтверджує, що ознайомлений із цією Політикою та надає згоду на обробку своїх персональних даних відповідно до умов, викладених нижче. Якщо Користувач не погоджується з умовами цієї Політики, він повинен припинити використання Сайту.

Обробка персональних даних здійснюється відповідно до Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI, Закону України «Про електронну комерцію» від 03.09.2015 № 675-VIII, а також, у частині взаємодії з резидентами Європейського Союзу, — відповідно до Регламенту (ЄС) 2016/679 (GDPR).

Терміни. У цій Політиці «персональні дані» означають будь-яку інформацію, що стосується ідентифікованої або ідентифікованої фізичної особи. «Обробка» охоплює будь-яку дію з персональними даними, включаючи збір, запис, зберігання, використання, передачу та видалення.

2. Контролер персональних даних

Контролер є єдиною особою, відповідальною за прийняття рішень щодо цілей та засобів обробки персональних даних, зібраних через Сайт.

Структура надання послуг. ФОП Надарая К.Є. надає послуги клієнтам-резидентам України на підставі договору з компанією Red Cat Labs d.o.o. (Хорватія) та є контролером їхніх персональних даних. Для клієнтів з Європейського Союзу та інших країн контролером персональних даних виступає Red Cat Labs d.o.o.; відповідні умови викладені в англомовній версії цієї Політики.

Безоплатність звернень. Звернення Користувачів щодо реалізації прав, передбачених цією Політикою, приймаються та розглядаються безоплатно.

3. Які персональні дані ми збираємо

Обсяг даних залежить від способу взаємодії Користувача із Сайтом. Контролер збирає лише ті дані, які є необхідними для досягнення визначених цілей обробки (принцип мінімізації даних).

3.1. Дані, що надаються Користувачем добровільно

При заповненні форм на Сайті (бриф, калькулятор вартості та інші форми зворотного зв'язку) Користувач може надати:

• прізвище, ім'я;
• номер телефону;
• адресу електронної пошти;
• назву компанії та/або вебсайту;
• відомості про проєкт (тип сайту, бюджет, побажання до функціоналу);
• інші дані, які Користувач зазначає у вільній формі.

Відповідальність Користувача. Користувач самостійно несе відповідальність за достовірність, повноту та актуальність наданих ним персональних даних. Контролер не перевіряє достовірність наданих даних і не несе відповідальності за наслідки надання Користувачем неточної, неповної або неактуальної інформації. Якщо Користувач надає персональні дані третіх осіб, він гарантує, що отримав на це їхню згоду.

3.2. Дані, що збираються автоматично

При відвідуванні Сайту автоматично збираються:

• IP-адреса;
• тип та версія браузера, операційна система, розширення екрану;
• дата, час та тривалість відвідування;
• сторінки, які переглядав Користувач, та послідовність переходів;
• джерело переходу (referrer);
• геолокація на рівні країни/міста (на основі IP-адреси);
• дані про взаємодію з елементами Сайту (кліки, прокрутка, рух курсору) — через сервіс Hotjar.

3.3. Дані, які ми НЕ збираємо

Контролер свідомо не збирає та не обробляє: дані платіжних карток (обробляються виключно платіжним провайдером), біометричні дані, дані про стан здоров'я, расову чи етнічну приналежність, політичні погляди, релігійні переконання або інші спеціальні категорії персональних даних у розумінні ст. 9 GDPR.

4. Мета обробки персональних даних

Персональні дані обробляються виключно для таких цілей:

1. обробка запитів Користувача та комунікація щодо потенційного або поточного проєкту;
2. підготовка комерційних пропозицій та розрахунків вартості;
3. виконання договірних зобов'язань;
4. аналіз відвідуваності та поведінки користувачів на Сайті з метою покращення його функціональності та зручності;
5. забезпечення технічної працездатності та безпеки Сайту;
6. запобігання шахрайству, зловживанням та несанкціонованому доступу;
7. виконання вимог чинного законодавства.

Обмеження. Контролер не використовує персональні дані для автоматизованого прийняття рішень або профілювання, що мають правові наслідки для Користувача. Контролер не здійснює розсилку рекламних матеріалів без окремої та явної згоди Користувача.

5. Правова основа обробки

Обробка персональних даних здійснюється на підставі:

• згоди Користувача — при заповненні форм на Сайті та при наданні згоди на використання аналітичних cookie (ст. 6 п. 1(a) GDPR; ст. 11 Закону «Про захист персональних даних»);
• виконання договору або вжиття заходів на запит Користувача до укладення договору (ст. 6 п. 1(b) GDPR);
• законного інтересу Контролера — для забезпечення безпеки Сайту, запобігання шахрайству та покращення якості послуг (ст. 6 п. 1(f) GDPR);
• виконання юридичного обов'язку — зберігання даних, необхідних для дотримання податкового, бухгалтерського та іншого законодавства (ст. 6 п. 1(c) GDPR).

Оцінка законного інтересу. Контролер провів оцінку законного інтересу (Legitimate Interest Assessment) та встановив, що: (а) інтерес Контролера у забезпеченні працездатності, безпеки та покращенні Сайту є обґрунтованим та пропорційним; (б) обробка є необхідною для досягнення зазначених цілей і не може бути розумно замінена менш інтрузивними засобами; (в) права та свободи Користувачів не переважають законний інтерес Контролера, зважаючи на мінімальний обсяг оброблюваних даних та їх переважно знеособлений характер. Користувач може отримати копію оцінки, звернувшись до Контролера за адресою info@redcatweb.com.

6. Файли cookie

Сайт використовує файли cookie — невеликі текстові файли, що зберігаються у браузері Користувача.

6.1. Необхідні (технічні) cookie

Забезпечують базову функціональність Сайту: сесії WordPress, захист від CSRF-атак, запам'ятовування згоди на cookie. Встановлюються без згоди Користувача, оскільки є технічно необхідними. Строк дії: до закриття сесії або до 12 місяців.

6.2. Аналітичні cookie

Google Analytics 4 (GA4). Провайдер: Google LLC (США). Збирають знеособлену інформацію про відвідуваність. IP-адреси анонімізуються засобами GA4. На Сайті впроваджено Google Consent Mode v2: аналітичні cookie та збір даних GA4 активуються виключно після отримання явної згоди Користувача через банер cookie. До надання згоди жодні аналітичні дані не збираються та не передаються на сервери Google. Дані можуть передаватися на сервери Google у США на підставі EU–US Data Privacy Framework та/або стандартних договірних положень (SCC). Строк дії cookie: до 14 місяців.

Hotjar. Провайдер: Hotjar Ltd (Мальта, ЄС). Аналізує взаємодію з елементами Сайту (теплові карти, записи сесій). Hotjar автоматично маскує введення тексту у поля форм та виключає конфіденційну інформацію із записів сесій. IP-адреси Користувачів знеособлюються (IP masking). Дані зберігаються на серверах у ЄС. Строк дії cookie: до 12 місяців. Встановлюються лише після отримання згоди Користувача. Користувач може додатково відмовитися від збору даних Hotjar за посиланням hotjar.com/opt-out.

6.3. Управління cookie

При першому відвідуванні Сайту Користувачеві відображається банер із запитом на згоду щодо аналітичних cookie. Користувач може: надати або відхилити згоду; змінити налаштування у будь-який момент через банер cookie або налаштування браузера; видалити вже встановлені cookie через налаштування браузера. Відключення аналітичних cookie не впливає на базову функціональність Сайту. Сайт відстежує сигнал Do Not Track (DNT) браузера: якщо DNT увімкнено, аналітичні cookie не встановлюються.

Змінити налаштування cookie

7. Передача даних третім особам

Контролер може передавати персональні дані третім особам виключно в обсязі, необхідному для досягнення цілей, зазначених у розділі 4:

• Хостинг-провайдер — сервери розташовані в Європейському Союзі. Дані з форм обробляються на сервері та надсилаються на електронну пошту Контролера. Хостинг-провайдер має доступ до даних виключно в межах надання послуг хостингу та зобов'язаний дотримуватися вимог конфіденційності;
• Google LLC (Google Analytics) — аналітика відвідуваності. Google LLC є учасником EU–US Data Privacy Framework. Додатково передача забезпечується стандартними договірними положеннями (SCC);
• Hotjar Ltd (Мальта, ЄС) — аналітика поведінки. Дані не залишають межі ЄС;
• АТ «Універсал Банк» (monobank) — обробка онлайн-платежів (після підключення). Контролер не отримує, не зберігає та не обробляє дані платіжних карток Користувача. Усі платіжні операції здійснюються безпосередньо на захищеній платформі платіжного провайдера.

Обмеження передачі. Контролер не продає, не обмінює та не передає персональні дані для маркетингових цілей третіх осіб. Передача даних іншим третім особам можлива лише: (а) за наявності окремої згоди Користувача; (б) на підставі обов'язкового запиту уповноваженого державного органу відповідно до чинного законодавства; (в) для захисту законних прав та інтересів Контролера у судовому або іншому юридичному провадженні.

8. Міжнародна передача даних

Персональні дані, зібрані через Сайт, обробляються та зберігаються переважно на серверах у межах Європейського Союзу. У разі передачі даних за межі ЄС (зокрема, Google Analytics — США) Контролер забезпечує наявність належних гарантій захисту:

• EU–US Data Privacy Framework (DPF) — для передачі даних компаніям-учасникам DPF у США;
• стандартні договірні положення (SCC), затверджені Європейською Комісією — як додатковий або альтернативний механізм;
• рішення про адекватність рівня захисту даних країни-отримувача;
• інші механізми, передбачені ст. 46–49 GDPR.

Користувач може отримати копію відповідних гарантій або інформацію про конкретний механізм передачі, звернувшись до Контролера за адресою info@redcatweb.com.

9. Захист персональних даних

Контролер вживає організаційних та технічних заходів для захисту персональних даних від несанкціонованого доступу, зміни, розкриття або знищення:

• використання SSL/TLS-шифрування (HTTPS) для всіх з'єднань із Сайтом;
• обмеження доступу до персональних даних виключно уповноваженими особами Контролера;
• регулярне оновлення CMS WordPress, тем та плагінів;
• використання систем захисту від brute-force атак та несанкціонованого входу;
• регулярне резервне копіювання даних;
• використання складних паролів та двофакторної аутентифікації для адміністративного доступу.

Обмеження гарантій. Незважаючи на вжиття зазначених заходів, Контролер не може гарантувати абсолютну безпеку передачі та зберігання даних через мережу Інтернет, оскільки жодна система захисту не є непроникною. Контролер докладає максимальних зусиль, що відповідають сучасному стану технологій та характеру оброблюваних даних, для мінімізації ризиків.

Повідомлення про інцидент. У разі порушення безпеки персональних даних, яке може призвести до високого ризику для прав і свобод Користувачів, Контролер: (а) повідомить відповідний наглядовий орган протягом 72 годин з моменту виявлення інциденту (відповідно до ст. 33 GDPR); (б) повідомить постраждалих Користувачів без необґрунтованої затримки (відповідно до ст. 34 GDPR); (в) задокументує інцидент та вжиті заходи реагування.

10. Строки зберігання даних

Персональні дані зберігаються протягом строку, необхідного для досягнення мети обробки, але не менше строків, встановлених чинним законодавством:

• дані з форм за наявності укладеного договору: протягом дії договірних відносин та 3 (три) роки після їх завершення (строк позовної давності за ЦК України);
• дані з форм, якщо договір не було укладено: не більше 12 (дванадцяти) місяців з моменту останньої комунікації з Користувачем;
• дані, пов'язані з фінансовими операціями: 7 (сім) років відповідно до вимог податкового законодавства;
• аналітичні дані Google Analytics: до 14 місяців;
• дані Hotjar: до 12 місяців;
• технічні логи сервера: до 12 місяців;
• дані cookie: відповідно до строків, зазначених у розділі 6.

Після закінчення строку зберігання персональні дані видаляються або незворотно знеособлюються. Користувач може вимагати дострокового видалення даних відповідно до розділу 11 цієї Політики, за винятком випадків, коли зберігання є обов'язковим за законом.

11. Права Користувача

Відповідно до чинного законодавства Користувач має такі права:

1. Право на доступ — отримати підтвердження того, чи обробляються його персональні дані, та отримати копію таких даних;
2. Право на виправлення — вимагати виправлення неточних або доповнення неповних персональних даних;
3. Право на видалення — вимагати видалення персональних даних («право бути забутим»), якщо: дані більше не потрібні для цілей обробки; Користувач відкликає згоду; Користувач заперечує проти обробки; дані оброблялися незаконно;
4. Право на обмеження обробки — вимагати тимчасового обмеження обробки даних на час перевірки їх точності або законності обробки;
5. Право на переносимість — отримати свої дані у структурованому, загальновживаному, машиночитаному форматі та передати їх іншому контролеру;
6. Право на заперечення — заперечити проти обробки даних на підставі законного інтересу. Контролер припиняє обробку, якщо не доведе наявність переконливих законних підстав;
7. Право на відкликання згоди — відкликати раніше надану згоду у будь-який момент. Відкликання не впливає на законність обробки, здійсненої до моменту відкликання.

Порядок реалізації. Для реалізації своїх прав Користувач надсилає запит на адресу info@redcatweb.com з поміткою «Персональні дані» у темі листа. Контролер зобов'язується: (а) підтвердити отримання запиту протягом 3 робочих днів; (б) надати відповідь по суті протягом 30 календарних днів; (в) у випадку складності або великого обсягу запитів — повідомити про продовження строку ще на 60 днів із зазначенням причин. Реалізація прав здійснюється безоплатно.

Право на відмову. Контролер має право відмовити у задоволенні запиту, якщо: (а) неможливо ідентифікувати Користувача як суб'єкта даних; (б) запит є явно необґрунтованим або надмірним (зокрема, через систематичне повторення); (в) виконання запиту суперечить вимогам чинного законодавства. У разі відмови Контролер повідомить Користувача про причини та про право оскарження.

Користувач має право звернутися зі скаргою до Уповноваженого Верховної Ради України з прав людини або до відповідного наглядового органу в державі-члені ЄС за місцем свого проживання.

12. Посилання на сторонні ресурси

Сайт може містити посилання на зовнішні вебсайти, сервіси або ресурси, які не контролюються та не управляються Контролером. Контролер не несе відповідальності за зміст, політику конфіденційності, практики обробки даних або безпеку таких сторонніх ресурсів. Перехід за зовнішніми посиланнями здійснюється Користувачем на власний ризик.

13. Дані неповнолітніх

Сайт та послуги Контролера не призначені для осіб, які не досягли 16 років. Зазначений віковий поріг встановлено відповідно до ст. 8 GDPR та застосовується до всіх Користувачів Сайту незалежно від країни їхнього перебування. Контролер свідомо не збирає та не обробляє персональні дані неповнолітніх. Якщо Контролеру стане відомо, що було зібрано дані особи, яка не досягла 16 років, без згоди батьків або законних представників, такі дані будуть негайно видалені. Батьки або законні представники можуть звернутися до Контролера для видалення даних неповнолітнього.

14. Зміни до Політики

Контролер залишає за собою право вносити зміни до цієї Політики у будь-який час. Актуальна версія завжди доступна на Сайті.

Про суттєві зміни (розширення обсягу оброблюваних даних, нові цілі обробки, нові треті особи-отримувачі) Контролер повідомляє через банер на Сайті або електронною поштою, якщо Контролер має email-адресу Користувача та зміни стосуються його даних.

Продовження використання Сайту після публікації змін вважається прийняттям оновленої Політики. Якщо зміни вимагають повторної згоди Користувача, відповідний запит буде надано окремо.

15. Застосовне право та вирішення спорів

Ця Політика регулюється та тлумачиться відповідно до законодавства України. Для Користувачів, які є резидентами Європейського Союзу, додатково застосовується Регламент (ЄС) 2016/679 (GDPR) та відповідне національне законодавство держави-члена ЄС.

Усі спори, що виникають у зв'язку з цією Політикою, вирішуються шляхом переговорів. У разі неможливості досягти згоди спір передається на розгляд компетентного суду. Для Користувачів-резидентів ЄС, які є споживачами, підсудність визначається відповідно до обов'язкових норм Регламенту (ЄС) № 1215/2012 (Брюссель I bis), що може передбачати розгляд справи судом за місцем проживання Користувача. В інших випадках підсудність визначається за місцезнаходженням Контролера (Україна).

16. Відокремлюваність положень

Якщо будь-яке положення цієї Політики буде визнано недійсним, незаконним або таким, що не може бути виконаним, компетентним судом або уповноваженим органом, це не впливає на дійсність та виконуваність решти положень Політики. Недійсне положення замінюється найближчим за змістом дійсним положенням, що відповідає первинному наміру сторін.

17. Контактна інформація

З питань, пов'язаних із обробкою персональних даних, Користувач може звернутися за адресою електронної пошти: info@redcatweb.com.

Контролер приймає запити українською та англійською мовами. Усі звернення щодо реалізації прав суб'єктів даних розглядаються безоплатно.