1. Мета, сфера дії та користувачі
1.1. ТОВАРИСТВО З ОБМЕЖЕНОЮ ВІДПОВІДАЛЬНІСТЮ «БЕРЕГ-ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ» (ТОВ «БЕРЕГ-ІТ», торговельна назва Bereg-IT; код ЄДРПОУ 40428558; юридична адреса: 04107, Україна, м. Київ, вул. Багговутівська, 17-21; далі — «ми») ухвалило цю Політику конфіденційності та забезпечує її дотримання. Політика встановлює основні принципи й правила, за якими ми збираємо, використовуємо та зберігаємо персональні дані, а також наші обов’язки під час такої обробки.
1.2. Політика поширюється на відвідувачів сайту www.beregit.com (далі — «Сайт»), людей, які звертаються до нас через форми на Сайті або електронною поштою, кандидатів на вакансії, а також контактних осіб наших клієнтів і партнерів. Вона не поширюється на персональні дані, які ми обробляємо за дорученням клієнтів під час надання послуг, — таку обробку регулюють Угода про обробку даних (DPA) і договір із клієнтом.
1.3. Ми обробляємо персональні дані відповідно до Закону України «Про захист персональних даних» (далі — «Закон»). Якщо до обробки застосовується Регламент (ЄС) 2016/679 (Загальний регламент про захист даних, далі — «GDPR»), зокрема коли ми пропонуємо послуги людям у Європейському Союзі, ми дотримуємося також GDPR.
1.4. Ми свідомо не збираємо персональних даних дітей: Сайт і наші послуги призначені для бізнесу. Якщо ви вважаєте, що дитина надіслала нам свої дані, повідомте нас — ми їх видалимо.
1.5. Захист приватності — постійний обов’язок. Ми переглядаємо цю Політику й оновлюємо її, коли змінюються наша обробка даних, послуги чи законодавство (розділ 15).
2. Правові підстави обробки
2.1. Ми обробляємо персональні дані лише за наявності правової підстави. Основні з них — згода, договір і законний інтерес; коли закон зобов’язує нас зберігати дані (наприклад, первинні бухгалтерські документи), підставою є виконання обов’язку, передбаченого законом. На запит ми пояснимо, яка підстава застосовується до ваших даних.
2.2. Згода — добровільне, конкретне, поінформоване й однозначне волевиявлення щодо обробки ваших даних для визначеної мети (ст. 6(1)(a) GDPR). Ми просимо згоду, коли ви надсилаєте форму на Сайті.
2.3. Договір — обробка, необхідна для укладення чи виконання договору з вами або для дій, яких ви просите до його укладення, наприклад для підготовки пропозиції (ст. 6(1)(b) GDPR).
2.4. Законний інтерес — обробка, необхідна для захисту наших законних інтересів або інтересів третьої особи, якщо над ними не переважають ваші права та інтереси (ст. 6(1)(f) GDPR), — наприклад захист Сайту від спаму й атак. Ви можете заперечити проти такої обробки (ст. 21 GDPR).
2.5. Обов’язок за законом — обробка, якої вимагає закон, наприклад зберігання бухгалтерських і податкових документів (ст. 6(1)(c) GDPR).
2.6. За законодавством України цим підставам відповідають підстави, визначені статтею 11 Закону: згода суб’єкта персональних даних, укладення та виконання правочину, необхідність виконання обов’язку володільця, передбаченого законом, і захист законних інтересів володільця або третьої особи.
3. Згода та її відкликання
3.1. Якщо ви надали згоду на обробку даних, ви можете будь-коли її відкликати, написавши на contact@beregit.com. Відкликання не впливає на законність обробки до цього моменту.
3.2. Якщо ви відкликали згоду і в нас немає іншої правової підстави, ми припиняємо обробку та видаляємо такі дані.
3.3. Якщо інша правова підстава є, ми можемо продовжити обробку з урахуванням ваших прав і законних інтересів. У певних випадках ви можете заперечити проти неї (ст. 21 GDPR).
4. Наша роль
4.1. Щодо даних відвідувачів Сайту, людей, які звертаються до нас, кандидатів, а також контактних осіб клієнтів і партнерів ми є володільцем (контролером) персональних даних і відповідаємо за їх обробку.
4.2. Коли ми обробляємо персональні дані за дорученням клієнта під час надання послуг (наприклад, адмініструємо його інфраструктуру чи здійснюємо моніторинг безпеки), володільцем є клієнт, а ми — розпорядником (обробником). Такі відносини регулює Угода про обробку даних (DPA) — див. розділ 14.
4.3. Ми не відповідаємо за обробку даних сторонніми сервісами, якими ви користуєтеся самостійно, — наприклад LinkedIn, коли ви надсилаєте посилання на свій профіль. Для них діють їхні власні політики.
5. Ваші обов’язки
5.1. Уважно ознайомтеся з цією Політикою та переконайтеся, що розумієте свої права.
5.2. Надавайте точні дані й лише ті, що потрібні для вашого запиту. Не надсилайте через форми даних особливих категорій (про здоров’я, релігійні чи політичні переконання тощо).
5.3. Якщо ви надсилаєте нам персональні дані інших людей (наприклад, колег), переконайтеся, що маєте для цього правову підставу і що ці люди поінформовані. Ми використовуємо такі дані лише для мети, з якою їх надано.
5.4. Дбайте про захист власних даних.
6. Які дані ми збираємо
6.1. Ми отримуємо дані, коли ви заповнюєте форму на Сайті, пишете нам, користуєтеся Сайтом або укладаєте з нами договір, а також коли ми вимірюємо відвідуваність Сайту.
6.2. Ми обробляємо такі категорії даних:
• Запит на консультацію: ім’я та прізвище, компанія, робоча пошта, телефон (за бажанням), напрям, що вас цікавить, текст повідомлення.
• Заявка кандидата: ім’я, прізвище, телефон, пошта, посилання на профіль LinkedIn, бажана посада або напрям.
• Факт згоди: дата й час надання згоди та версія цієї Політики.
• Листування: листи, які ви нам надсилаєте, і наші відповіді.
• Контактні особи клієнтів і партнерів: ім’я, посада, робочі контакти, а також дані, потрібні для укладення й виконання договору, виставлення рахунків і проведення розрахунків.
• Технічні дані: IP-адреса та службові заголовки запиту (браузер, операційна система). Їх обробляє Cloudflare, щоб доставляти сторінки Сайту, захищати його та проводити перевірку Turnstile. Для обмеження кількості заявок ми 24 години зберігаємо не саму IP-адресу, а її хеш із сіллю.
• Статистика відвідувань: Cloudflare Web Analytics рахує перегляди сторінок, сторінки переходу, тип браузера, операційної системи й пристрою, країну та швидкість завантаження сторінок — в агрегованому вигляді, без файлів cookie та без ідентифікації відвідувачів.
• Google Analytics — лише якщо ви натиснули «Прийняти» в банері: випадковий ідентифікатор браузера у файлах cookie _ga, переглянуті сторінки, джерело переходу, тип пристрою й браузера, мова, приблизне місцезнаходження (країна, місто) і дії на сайті. Google Analytics 4 не зберігає IP-адреси.
6.3. Ім’я, пошту, телефон чи текст повідомлення в технічні журнали ми не записуємо.
7. Цілі обробки
7.1. Відповідь на запит і підготовка пропозиції — ми зв’язуємося з вами, уточнюємо завдання та готуємо пропозицію. Підстава: дії на ваш запит до укладення договору; законний інтерес.
7.2. Розгляд кандидатури — оцінюємо заявку й зв’язуємося з кандидатом. Підстава: згода.
7.3. Надання послуг і виконання договорів — комунікація з контактними особами, підтримка, повідомлення про зміни в послугах, усунення несправностей. Підстава: договір; законний інтерес.
7.4. Робота та безпека Сайту — хостинг, доставка сторінок, захист від атак, спаму й зловживань формами (Turnstile, обмеження кількості заявок). Підстава: законний інтерес.
7.5. Покращення Сайту — аналіз агрегованої статистики відвідувань без файлів cookie (Cloudflare Web Analytics). Підстава: законний інтерес. Докладніша аналітика Google Analytics — лише за вашою згодою. Підстава: згода (ст. 6(1)(a) GDPR).
7.6. Бухгалтерський і податковий облік, інші обов’язки за законом. Підстава: обов’язок за законом.
7.7. Запобігання шахрайству, незаконній діяльності та порушенням цієї Політики — ми можемо обмежити доступ до Сайту, якщо цього вимагає закон, або в разі зловживань. Підстава: законний інтерес.
7.8. Ми не ухвалюємо щодо вас рішень виключно на основі автоматизованої обробки, не здійснюємо профілювання й не надсилаємо рекламних розсилок без вашої окремої згоди.
8. Хто має доступ до даних
8.1. У компанії — керівництво та працівники ТОВ «БЕРЕГ-ІТ», яким дані потрібні для виконання їхніх обов’язків. Вони зобов’язані не розголошувати персональні дані, які стали їм відомі у зв’язку з роботою.
8.2. Розпорядники (обробники), які діють за нашим дорученням на підставі договорів про обробку даних:
• Cloudflare, Inc. — хостинг Сайту, захист від атак, Turnstile, Web Analytics і зберігання заявок (Cloudflare D1);
• Microsoft — корпоративна пошта Microsoft 365, через яку команда отримує сповіщення про заявки та листується з вами;
• Google (Google Ireland Limited, Google LLC) — Google Analytics, лише за вашою згодою; рекламні функції та Google Signals вимкнені.
8.3. Органам державної влади дані надаються лише у випадках і в порядку, прямо передбачених законом.
8.4. Ми не продаємо персональні дані й не передаємо їх для реклами.
9. Місце обробки та передача за кордон
9.1. Ми обробляємо дані в нашому офісі в Києві, Україна, а також через розпорядників, зазначених у розділі 8. Їхні центри обробки даних можуть розташовуватися в Європейському Союзі, США та інших країнах.
9.2. Передача даних розпорядникам за кордон відбувається на підставі договорів, які містять стандартні договірні положення Європейської комісії, або інших механізмів, передбачених статтями 44–49 GDPR, з дотриманням статті 29 Закону.
9.3. Якщо ви перебуваєте в ЄС і надсилаєте нам дані, їх отримує компанія в Україні. Щодо України немає рішення Європейської комісії про адекватність рівня захисту (ст. 45 GDPR), тому ми застосовуємо до таких даних заходи захисту, описані в цій Політиці, і використовуємо їх лише в межах наших відносин із вами.
10. Строки зберігання
10.1. Ми зберігаємо персональні дані не довше, ніж цього вимагає мета обробки. Строк залежить від мети, строків, установлених законом, вимог договору, а також наявних чи можливих спорів.
10.2. Конкретні строки:
• заявки з форм у базі даних Сайту — 180 днів з моменту надходження, після чого вони видаляються автоматично;
• сповіщення про заявки та листування в корпоративній пошті — 3 роки, якщо між нами не укладено договір; після укладення договору — протягом строку його дії та строків, установлених законом;
• хеш IP-адреси для обмеження кількості заявок — 24 години;
• договори, бухгалтерські й податкові документи — протягом строків, установлених законодавством України;
• статистика Cloudflare Web Analytics — лише в агрегованому вигляді, без профілів відвідувачів;
• дані Google Analytics — не довше 14 місяців; файли cookie _ga — до 2 років або до відкликання згоди.
10.3. Ви можете попросити видалити дані раніше — див. розділ 12.
11. Файли cookie
11.1. Файли cookie — невеликі файли, які сайт зберігає у вашому браузері.
11.2. Сайт не встановлює власних файлів cookie. Cloudflare Web Analytics працює без файлів cookie.
11.3. Файли cookie Google Analytics (_ga, _ga_<ідентифікатор>) встановлюються лише після того, як ви натиснули «Прийняти» в банері. Доки ви не погодилися, Сайт не завантажує жодних скриптів Google. Ваш вибір зберігається в пам’яті браузера (localStorage), а не у файлі cookie.
11.4. Перевірка Cloudflare Turnstile працює у вбудованому вікні з домену challenges.cloudflare.com і збирає технічні сигнали браузера лише для того, щоб відрізнити людину від бота. Якщо для захисту Сайту від атак Cloudflare встановлює суто технічний файл cookie безпеки, він не використовується для аналітики чи реклами.
11.5. Змінити рішення можна будь-коли кнопкою «Налаштування cookie» внизу сторінки; після відмови ми видаляємо файли cookie Google Analytics.
11.6. Ви можете заблокувати або видалити файли cookie в налаштуваннях браузера. Сайт працюватиме, але перевірка у формах може не пройти.
12. Ваші права
12.1. Ви можете не надавати нам персональних даних. Переглядати Сайт можна й без цього, але без контактних даних ми не зможемо відповісти на запит.
12.2. Відповідно до статті 8 Закону та статей 15–22 GDPR ви маєте право:
• знати про джерела збирання та місцезнаходження своїх даних, мету їх обробки й отримувачів;
• отримати доступ до своїх даних: категорії даних, мета обробки, отримувачі, строк зберігання або критерії його визначення, ваші інші права;
• вимагати виправлення неточних або неповних даних;
• вимагати видалення даних («право на забуття»), якщо вони більше не потрібні, обробляються незаконно або ви відкликали згоду;
• вимагати обмеження обробки;
• заперечити проти обробки на підставі законного інтересу, а проти прямого маркетингу — будь-коли;
• отримати свої дані в структурованому машинозчитуваному форматі та передати їх іншому володільцю, а якщо це технічно можливо, — попросити нас передати їх напряму;
• відкликати згоду будь-коли;
• не бути об’єктом рішення, ухваленого виключно на основі автоматизованої обробки (ми таких рішень не ухвалюємо);
• подати скаргу до Уповноваженого Верховної Ради України з прав людини, а якщо ви перебуваєте в ЄС, — до наглядового органу із захисту даних у вашій країні (ст. 77 GDPR; перелік органів — на сайті Європейської ради із захисту даних, edpb.europa.eu), а також звернутися до суду.
12.3. Щоб скористатися правами, напишіть на contact@beregit.com або надішліть лист на нашу юридичну адресу. Ми можемо попросити підтвердити вашу особу. Відповідаємо не пізніше ніж через 30 календарних днів з дня отримання запиту; якщо закон дозволяє продовжити цей строк, ми повідомимо вас про це й про причини.
13. Безпека
13.1. Ми застосовуємо технічні й організаційні заходи захисту відповідно до статті 32 GDPR і статті 24 Закону. Обмін даними з Сайтом відбувається лише через HTTPS (TLS). Доступ до заявок мають лише уповноважені працівники. Сайт і корпоративна пошта працюють на інфраструктурі Cloudflare та Microsoft, системи управління інформаційною безпекою яких сертифіковані за ISO/IEC 27001.
13.2. Жоден спосіб передавання даних через інтернет не гарантує абсолютної безпеки, тому певний ризик залишається.
13.3. Якщо ви вважаєте, що ваші дані скомпрометовано, негайно напишіть нам. У разі порушення безпеки персональних даних ми повідомляємо наглядовий орган і осіб, яких це стосується, у випадках і строки, передбачені законом.
14. Дані клієнтів
14.1. Якщо ми обробляємо персональні дані за вашим дорученням у межах послуг, ми діємо як розпорядник (обробник) відповідно до Угоди про обробку даних (DPA), опублікованої на Сайті, і договору з вами.
14.2. Якщо ви як клієнт є володільцем персональних даних, ви відповідаєте за правову підставу їх обробки та за інформування суб’єктів даних. Ми допомагаємо вам виконувати ці обов’язки в межах DPA.
15. Зміни
15.1. Ми оновлюємо цю Політику, коли змінюються наша обробка даних, послуги чи законодавство. Актуальна редакція завжди доступна на цій сторінці; номер редакції та дата набрання чинності вказані вгорі.
16. Контакти
16.1. З питань щодо цієї Політики та обробки персональних даних звертайтеся до ТОВ «БЕРЕГ-ІТ»: 04107, Україна, м. Київ, вул. Багговутівська, 17-21; електронна пошта contact@beregit.com. Також можна скористатися формою на сторінці «Контакти».