Політика захисту персональних даних і конфіденційності
Володілець даних: ГО «Запорізький центр розслідувань», код ЄДРПОУ 41740262
Відповідальна особа: керівник організації
Версія: 1.0; перегляд — щонайменше раз на рік
Набрання чинності: з моменту оприлюднення на сайті
Коротко. ЗЦР збирає лише дані, потрібні для роботи сайту, розсилок, пожертв, опитувань, заходів, стажувань і практики; не продає персональні дані; надає доступ лише уповноваженим особам; дозволяє відкликати згоду та реалізувати права, передбачені законом.
1. Загальні положення
1.1. Ця Політика пояснює, які персональні дані збирає та обробляє ГО «Запорізький центр розслідувань» (далі — «ЗЦР», «Організація» або «ми»), з якою метою, на яких підставах, кому їх може передавати, як довго зберігає та як людина може реалізувати свої права.
1.2. Політика поширюється на: сайт incentre.zp.ua, електронні розсилки, онлайн-форми, опитування, реєстрацію на заходи, базу донаторів у WayForPay, а також заявки на стажування та виробничу практику.
1.3. Політика не регулює обробку інформації винятково з журналістською метою, зокрема роботу з редакційними матеріалами, конфіденційними джерелами та чутливими даними в редакційних проєктах. Такі процеси регулюються законодавством, редакційною політикою ЗЦР та правилами захисту джерел.
1.4. Володілець персональних даних: ГО «Запорізький центр розслідувань», код ЄДРПОУ 41740262. Відповідальна особа — керівник Організації. Запити щодо даних приймаються за адресою zpincenter@gmail.com.
1.5. Сам факт перегляду сайту не є згодою на будь-яку обробку персональних даних. Коли закон або обраний процес потребує згоди, ЗЦР отримує її окремою активною дією — наприклад, встановленням позначки у формі або вибором у банері cookie.
2. Правова основа і принципи
2.1. ЗЦР обробляє персональні дані відповідно до Закону України «Про захист персональних даних», інших застосовних норм українського законодавства та з урахуванням принципів GDPR як підвищеного стандарту прозорості, мінімізації та безпеки.
2.2. Основні принципи обробки:
- законність, добросовісність і прозорість;
- чітко визначена мета до початку збирання даних;
- мінімізація — збирання лише даних, необхідних для конкретної мети;
- точність і можливість виправлення;
- обмеження строку зберігання;
- обмеження доступу за службовою необхідністю;
- захист від випадкової втрати, знищення, незаконного доступу або розголошення.
2.3. Залежно від ситуації, правовими підставами є: згода людини; необхідність укладення або виконання договору; виконання обов’язку, встановленого законом; захист законних інтересів ЗЦР або третьої особи, якщо права та інтереси людини не переважають; інші підстави, прямо передбачені законом.
3. Які дані ми обробляємо
| Категорія осіб / процес | Дані та джерело |
|---|---|
| Відвідувачі сайту | Cookie та подібні ідентифікатори; IP-адреса; тип пристрою, операційної системи й браузера; мова; приблизне місцезнаходження; сторінки, джерело переходу, дата, час і тривалість перегляду. Дані надходять автоматично через сервер і дозволені інструменти аналітики. |
| Підписники | Електронна адреса та відомості про згоду, доставлення, відкриття листів, переходи за посиланнями й відписку, які обробляються через SendPulse. |
| Донатори | Номер телефону, електронна адреса; відомості про пожертву — сума, дата, статус та ідентифікатор транзакції, якщо вони доступні ЗЦР у WayForPay. ЗЦР не отримує і не зберігає повні реквізити платіжної картки. |
| Учасники опитувань і онлайн-форм | ПІБ, телефон, електронна адреса, адреса, зміст відповіді та інші дані, які людина добровільно вносить до конкретної форми. |
| Учасники заходів | ПІБ, телефон, електронна адреса, адреса — якщо вона обґрунтовано потрібна для конкретного заходу, а також організаційна інформація, зазначена у формі. |
| Стажери та практиканти | ПІБ, номер телефону, назва закладу вищої освіти. Дані можуть надходити від людини або від навчального закладу на підставі договору. |
| Представники грантодавців | Загальна електронна адреса організації, оприлюднена нею у відкритому доступі. ЗЦР не формує масову базу адрес конкретних працівників для такої комунікації. |
| Особи, які звертаються до ЗЦР | Електронна адреса, ім’я або інший ідентифікатор, зміст повідомлення, вкладення та інші дані, добровільно надані у зверненні. |
3.2. Поля, позначені у формі як обов’язкові, потрібні для виконання зазначеної у формі мети. Інші поля є добровільними. ЗЦР не просить надавати чутливі або надмірні дані через публічні форми, якщо це не обґрунтовано окремим проєктом і належно не пояснено людині.
4. Мета та підстави обробки
| Мета | Основна підстава |
|---|---|
| Робота, адміністрування та захист сайту; діагностика помилок; протидія зловживанням | Законний інтерес ЗЦР у стабільній і безпечній роботі сайту; для необхідних cookie — технічна необхідність. |
| Вимірювання аудиторії та поліпшення сайту за допомогою Google Analytics | Згода на аналітичні cookie, надана через інструмент керування cookie. |
| Відображення вбудованого контенту YouTube або Google Maps | Згода на відповідні сторонні cookie та запити до сервісу, якщо вони не є суворо необхідними. |
| Приймання і документування пожертв | Укладення та виконання договору пожертви; виконання бухгалтерських, податкових та інших законних обов’язків. |
| Надсилання новин донаторам та іншим підписникам | Окрема добровільна згода. Донат або участь в іншому процесі не залежать від надання такої згоди. |
| Проведення опитувань, обробка онлайн-форм і реєстрація на заходи | Згода; в окремих випадках — дії на запит людини до укладення договору або виконання домовленості. |
| Організація стажування та виробничої практики | Договір із закладом вищої освіти, виконання пов’язаних організаційних обов’язків та законний інтерес у проведенні відбору й комунікації. |
| Вибіркове надсилання новин ЗЦР на загальні адреси грантодавчих організацій | Законний інтерес у релевантній інституційній комунікації. Кожен лист надсилається обмеженому колу організацій, має стосуватися їхньої діяльності та містить можливість відмовитися від наступних листів. |
| Відповіді на звернення, захист прав ЗЦР і виконання вимог закону | Згода або ініціатива особи; законний інтерес; виконання правового обов’язку — залежно від ситуації. |
5. Електронні розсилки
5.1. ЗЦР надсилає новини донаторам лише після окремої згоди на розсилку. Чекбокс згоди не є попередньо позначеним, а відмова від розсилки не перешкоджає здійсненню пожертви.
5.2. Кожен лист через SendPulse містить кнопку або посилання «Відписатися». Відкликання згоди не впливає на законність повідомлень, надісланих до її відкликання, і не припиняє обробку даних, які ЗЦР зобов’язаний зберігати з інших законних підстав.
5.3. Для інформування грантодавчих організацій ЗЦР може використовувати лише їхні загальні адреси, оприлюднені у відкритому доступі. Такі листи не є автоматичною масовою розсилкою: ЗЦР добирає кілька організацій, для яких конкретна новина обґрунтовано релевантна, чітко називає відправника і надає простий спосіб відмовитися від подальших листів.
5.4. Після відписки ЗЦР може зберегти адресу у списку відмов лише в обсязі, необхідному для того, щоб випадково не поновити розсилку.
6. Cookie та дані про користування сайтом
6.1. Cookie — це невеликі файли або ідентифікатори, які сайт чи сторонній сервіс зберігає або читає на пристрої користувача.
| Категорія | Для чого використовується | Умова |
|---|---|---|
| Необхідні | Безпека, базова робота WordPress, збереження технічних налаштувань і виконання запиту користувача. | Можуть працювати без окремої згоди, якщо без них сайт або запитана функція не працює. |
| Аналітичні | Google Analytics: статистика відвідувань, джерела переходів, популярність матеріалів, технічні характеристики пристроїв. | Активуються після згоди через банер cookie. |
| Сторонній контент | YouTube і Google Maps можуть отримувати IP-адресу, технічні дані та встановлювати власні cookie під час завантаження вбудованого контенту. | Завантажуються після згоди, якщо не є суворо необхідними для запитаної функції. |
6.2. Користувач може прийняти всі, відхилити необов’язкові або налаштувати категорії cookie у банері. Згоду можна змінити або відкликати так само легко, як надати. Додатково cookie можна видалити або заблокувати у браузері, але це може вплинути на роботу окремих функцій.
6.3. Строк дії cookie залежить від їхнього призначення та налаштувань відповідного сервісу: сесійні видаляються після завершення сеансу, постійні — після закінчення заданого строку або ручного видалення.
6.4. Докладніше про обробку даних Google: як Google використовує інформацію із сайтів і застосунків партнерів.
7. Сервіси, одержувачі та передавання даних
7.1. ЗЦР не продає персональні дані та не передає їх третім особам для їхнього самостійного несумісного маркетингу.
| Сервіс / категорія | Роль і можливі дані |
|---|---|
| DigitalOcean | Хостинг сайту; може обробляти серверні журнали, IP-адреси та технічні дані. |
| Google: Analytics, Gmail, Forms, Drive, YouTube, Maps | Аналітика, електронна пошта, форми, зберігання файлів і вбудований контент; склад даних залежить від конкретної функції. |
| SendPulse | Керування підписниками та розсилками: електронні адреси, відомості про згоду, доставлення, взаємодію з листами і відписку. |
| WayForPay | Опрацювання пожертв: телефон, електронна адреса, дані транзакції та інші відомості, необхідні платіжному сервісу. Повні дані платіжної картки ЗЦР не зберігає. |
| Професійні консультанти й уповноважені органи | Бухгалтери, аудитори, юристи, банки або державні органи — лише коли це необхідно для законної мети чи прямо вимагається законом. |
7.2. Доступ усередині ЗЦР надається лише уповноваженим працівникам і підрядникам відповідно до службових завдань. Зокрема, адміністратор сайту має технічний доступ до WordPress; керівник і редакторка — до робочої пошти; визначені члени команди — до відповідних папок Google Drive; керівник, менеджерка спільноти та фінансова менеджерка — до WayForPay; менеджерка спільноти — до SendPulse. Конкретний рівень доступу має відповідати принципу необхідності знати.
7.3. Частина постачальників може зберігати або обробляти дані за межами України. У такому разі ЗЦР використовує їхні договірні умови, налаштування конфіденційності та доступні механізми захисту для транскордонної обробки, а також передає лише дані, необхідні для конкретної послуги.
7.4. ЗЦР може розкрити дані на обґрунтовану законну вимогу суду чи уповноваженого державного органу або коли це необхідно для захисту прав, безпеки та законних інтересів ЗЦР чи інших осіб.
8. Використання інструментів штучного інтелекту
8.1. У робочих процесах ЗЦР можуть використовуватися зовнішні інструменти штучного інтелекту. Перед передаванням матеріалів до таких сервісів персональні дані знеособлюються: прямі ідентифікатори та інші відомості, за якими можна встановити особу, видаляються або замінюються.
8.2. ЗЦР не використовує персональні дані з публічних форм для ухвалення рішень, які створюють для людини правові чи подібні істотні наслідки, виключно автоматизованим способом. Результати роботи ШІ перевіряє людина.
9. Стажування, практика та дані неповнолітніх
9.1. Стажування і виробнича практика проводяться на підставі договору із закладом вищої освіти. У межах цього процесу ЗЦР обробляє ПІБ, номер телефону та назву закладу освіти лише для організації відбору, комунікації та проходження практики або стажування.
9.2. Участь можлива з першого курсу, тому окремі учасники можуть бути неповнолітніми. Заклад освіти має забезпечити правові підстави для передавання даних і, коли це необхідно, отримати згоду батьків або законного представника. Незалежно від цього ЗЦР самостійно відповідає за законність, мінімізацію та безпеку подальшої обробки отриманих даних.
9.3. Якщо ЗЦР дізнається, що дані неповнолітньої особи отримані без необхідної правової підстави, Організація припиняє таку обробку та видаляє дані, якщо їх подальше зберігання не вимагається законом.
10. Строки зберігання
| Категорія | Строк або критерій |
|---|---|
| Дані підписників | До відписки або відкликання згоди. |
| Список відмов від розсилки | Доки це необхідно, щоб не поновити розсилку помилково; зберігається мінімальний обсяг даних. |
| Дані про пожертви | Протягом строку, необхідного для договору пожертви, бухгалтерського й податкового обліку, вирішення спорів та інших вимог закону. |
| Реєстрація на заходи | До 6 місяців після завершення заходу. |
| Опитування та онлайн-форми | До 12 місяців після завершення проєкту; належно знеособлені результати можуть зберігатися без обмеження. |
| Невідібрані заявки на стажування або практику | До 6 місяців після завершення відбору. |
| Дані відібраних стажерів і практикантів | Протягом участі та до 3 років після її завершення, якщо закон чи договір не вимагає довшого строку. |
| Звернення електронною поштою | До 3 років після завершення комунікації, якщо немає підстав для довшого зберігання. |
| Технічні журнали сайту | До 12 місяців, якщо довший строк не потрібний для розслідування інциденту або захисту прав. |
| Cookie та аналітичні ідентифікатори | Відповідно до строку, зазначеного у налаштуваннях конкретного cookie або сервісу. |
| Загальні адреси грантодавчих організацій | До заперечення або втрати актуальності; перелік переглядається щонайменше раз на рік. |
10.2. Після закінчення строку дані видаляються, знищуються або знеособлюються так, щоб особу неможливо було відновити, крім випадків, коли подальше зберігання потрібне за законом, для захисту прав або для чинного спору.
11. Захист даних
11.1. ЗЦР застосовує організаційні й технічні заходи, співмірні з характером даних і ризиками: розмежування доступів, унікальні облікові записи, надійні паролі та багатофакторну автентифікацію там, де вона доступна, резервне копіювання, оновлення програмного забезпечення, захист пристроїв, контроль підрядників і періодичний перегляд доступів.
11.2. Особи з доступом до даних зобов’язані дотримуватися конфіденційності та використовувати дані лише для службових завдань. Після зміни ролі або припинення співпраці доступ має бути без зволікань переглянутий або припинений.
11.3. У разі порушення безпеки ЗЦР обмежує його наслідки, зберігає необхідні відомості про інцидент, відновлює захищену роботу систем та інформує уповноважені органи й постраждалих осіб, якщо цього вимагає закон або рівень ризику.
11.4. Жоден спосіб передавання чи зберігання даних не гарантує абсолютної безпеки. Це не звільняє ЗЦР від обов’язку вживати належних заходів захисту.
12. Права людини щодо персональних даних
12.1. У межах, передбачених законом, людина має право:
- знати джерела збирання, місцезнаходження, мету обробки своїх даних та місцезнаходження володільця або розпорядника;
- отримувати інформацію про умови доступу та третіх осіб, яким передаються дані;
- отримувати доступ до своїх даних і відповідь про те, чи обробляються вони;
- вимагати виправлення або знищення незаконно оброблюваних чи недостовірних даних;
- заперечувати проти обробки, що ґрунтується на законному інтересі;
- відкликати згоду, якщо обробка ґрунтується на згоді;
- знати механізм автоматичної обробки та бути захищеною від рішення з істотними наслідками, ухваленого виключно автоматично;
- звертатися зі скаргою до Уповноваженого Верховної Ради України з прав людини або до суду;
- застосовувати інші засоби правового захисту, передбачені законом.
12.2. Для реалізації прав надішліть запит на zpincenter@gmail.com. Укажіть ПІБ, суть вимоги, спосіб отримання відповіді та достатні відомості для ідентифікації відповідних даних. ЗЦР може попросити розумне підтвердження особи, щоб не розкрити дані сторонній людині.
12.3. ЗЦР протягом 10 робочих днів повідомляє, чи буде запит задоволено, а задовольняє його протягом 30 календарних днів від отримання, якщо інший строк не встановлений законом. У разі відмови або відстрочення ЗЦР надає мотивоване пояснення та інформацію про порядок оскарження.
12.4. Скаргу можна подати до Уповноваженого Верховної Ради України з прав людини або до суду.
13. Зовнішні посилання
13.1. Сайт може містити посилання на сторонні ресурси. Після переходу на них діють правила відповідного власника, а ця Політика не визначає його обробку даних.
13.2. Політики основних постачальників:
14. Зміни та перегляд Політики
14.1. Керівник ГО «Запорізький центр розслідувань» переглядає Політику щонайменше раз на рік, а також після суттєвої зміни сервісів, категорій даних, мети, способів обробки або законодавства.
14.2. Нова редакція набирає чинності з моменту оприлюднення на сайті, якщо в ній не зазначено інше. Якщо зміна істотно впливає на вже зібрані дані або потребує нової згоди, ЗЦР повідомляє відповідних осіб і, за потреби, отримує нову згоду.
14.3. Актуальна редакція завжди доступна на сайті ЗЦР.
15. Контакт
Відповідальна особа: керівник ГО «Запорізький центр розслідувань». Електронна адреса: zpincenter@gmail.com
Обговорення