Політика конфіденційності та обробки персональних даних (GDPR) сервісу «Вчасно Підпис»

1. Загальні положення та правові підстави

1.1. Ця Політика конфіденційності та обробки персональних даних описує, як ТОВАРИСТВО З ОБМЕЖЕНОЮ ВІДПОВІДАЛЬНІСТЮ «ВЧАСНО СЕРВІС» (надалі — «ми», «Компанія», «Оператор») збирає, використовує, зберігає та передає персональні дані будь-якої особи, яка використовує онлайн-сервіс «Вчасно Підпис» (надалі — «Користувач» або «Суб’єкт даних»), доступного за адресою http://sign.vchasno.ua/eu-sign (надалі — «Сервіс»).

1.2. Шляхом використання Сервісу, реєстрації в системі або підписання документів із використанням інфраструктури Сервісу, Користувач надає згоду та підтверджує ознайомлення з умовами обробки його персональних даних відповідно до Закону України «Про захист персональних даних» та Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року (GDPR).

1.3. Основними правовими підставами обробки даних є:

• обробка необхідна для надання послуги підписання документів, надання послуг посередництва та верифікації особи підписанта;
• забезпечення криптографічної безпеки, юридичної значимості, доказової сили та тривалого зберігання підписаних документів;
• дотримання вимог законодавства України та ЄС у сфері електронних довірчих послуг, фінансового та податкового обліку;
• у випадках, окремо передбачених функціоналом Сервісу.

2. Категорії персональних даних

Для забезпечення функціонування Сервісу Оператор здійснює обробку таких категорій персональних даних Користувачів та їх представників:

• прізвище, ім'я, по батькові;
• посада (якщо зазначена);
• найменування суб'єкта господарювання/компанії (якщо зазначена);
• податковий номер (РНОКПП) або його аналог;
• адреса електронної пошти (якщо зазначена);
• IP-адреса, дата та час підписання, інформація про браузер та пристрій.

3. Обов'язкова транскордонна передача даних та залучення третіх осіб

Користувач розуміє та дає безумовну згоду на те, що для забезпечення процесу створення, відображення, перевірки та валідації електронних підписів за міжнародними стандартами європейського зразка (eIDAS), його персональні дані передаються та обробляються залученими міжнародними партнерами та процесорами Оператора (у тому числі з використанням технологічних потужностей та захищених серверів у межах Європейського Союзу):

• Хмарний постачальник інфраструктури (Amazon Web Services / AWS, ЄЕС, Ірландія): забезпечує зберігання даних та хостинг на підставі Угоди про обробку даних (DPA) відповідно до ст. 28 GDPR;
• Сервіс підписання та документообігу eID Easy (Республіка Естонія) забезпечує функціонал створення, відображення, передачі та зберігання електронних документів;
• Кваліфікований надавач довірчих послуг Certum (Республіка Польща) здійснює випуск, перевірку, ідентифікацію, автентифікацію та валідацію сертифікатів КЕП/eIDAS відповідно до вимог Регламенту eIDAS.

4. Цілі обробки даних

Персональні дані обробляються виключно з метою:

• забезпечення належного функціонування Сервісу та надання послуг посередництва при електронному підписанні договорів;
• перевірки повноважень та ідентифікації Підписувачів;
• забезпечення криптографічної цілісності документів та валідації КЕП/eIDAS;
• надсилання технічних повідомлень, підтверджень та сповіщень про статус підписання документів;
• виконання вимог законодавства України та ЄС у сфері довірчих послуг, фінансового, податкового та архівного обліку.

5. Права Суб’єкта даних

5.1. Відповідно до Розділу III Регламенту GDPR та Закону України «Про захист персональних даних», кожен Суб’єкт даних має право:

• на доступ до своїх персональних даних та отримання їх копії (ст. 15 GDPR);
• на виправлення неточних або доповнення неповних даних (ст. 16 GDPR);
• на видалення даних («право бути забутим») (ст. 17 GDPR), за винятком випадків, коли збереження даних вимагається законодавством про електронні довірчі послуги чи архівування;
• на обмеження обробки (ст. 18 GDPR) та право на переносність даних (ст. 20 GDPR);
• на заперечення проти обробки даних (ст. 21 GDPR);
• відкликати свою згоду в будь-який момент (якщо обробка здійснювалася на підставі згоди);
• подати скаргу до Офісу Уповноваженого Верховної Ради України з прав людини або до відповідного Наглядового органу з захисту даних (Data Protection Authority) у країнах ЄС (зокрема, Естонія, Польща).

5.2. Користувач має право подати запит на видалення своїх персональних даних або документів, завантажених у Сервіс. Для реалізації цього права є потреба надіслати письмовий запит на електронну адресу: [email protected].

При цьому, документи, підписані двома або більше сторонами, не підлягають односторонньому видаленню за запитом одного з підписантів, оскільки є спільним правочином і зберігаються для захисту юридичних інтересів та виконання вимог закону (ст. 17(3) GDPR). Видалення такого документа можливе лише за письмовою згодою всіх сторін, які його підписали, або за рішенням суду. За відсутності згоди всіх сторін Сервіс може встановити обмеження доступу до документа без його знищення.

5.3. Оператор підтримує внутрішній Реєстр діяльності з обробки (RoPA відповідно до ст. 30 GDPR), забезпечує регулярне оновлення Договорів про обробку даних (DPA) із третіми особами, впроваджує процедури блокування необов'язкової аналітики до моменту отримання згоди від користувача та застосовує внутрішні регламенти реагування на інциденти безпеки даних.

6. Строки зберігання та безпека даних

6.1. Персональні дані зберігаються протягом строку, необхідного для досягнення цілей їх обробки, але не менше строків, передбачених законодавством у сфері електронної ідентифікації, довірчих послуг, податкового та архівного законодавства України та ЄС.

Стандартний строк зберігання становить не менше 5 (п'яти) років після завершення використання Сервісу або закінчення строку дії підписаних договорів. Документи та дані, що підтверджують здійснення правочинів, юридичні претензії або підпадають під вимоги довгострокового архівного зберігання, можуть зберігатися від 10 до 25 років відповідно до вимог чинного законодавства.

Після закінчення визначених строків зберігання персональні дані підлягають безпечному видаленню або безповоротній анонімізації

6.2. Оператор та його міжнародні партнери (Естонія, Польща) застосовують належні технічні та організаційні заходи для захисту персональних даних від несанкціонованого або незаконного доступу, зміни, розкриття чи знищення (включаючи шифрування даних під час передачі SSL/TLS, шифрування at rest, псевдонімізацію та розмежування прав доступу).

7. Зміни до Політики

Компанія залишає за собою право вносити зміни до цієї Політики. Повідомлення про суттєві зміни публікуються в Сервісі або надсилаються на електронну пошту Користувача. Подальше використання Сервісу засвідчує прийняття Користувачем оновлених умов.

8. Контактна інформація

З питань обробки персональних даних, реалізації прав або взаємодії з відповідальними особами з питань захисту даних Користувач має право звернутися до ТОВ «ВЧАСНО СЕРВІС» за електронною адресою: [email protected].