Ця Політика конфіденційності та захисту персональних даних (надалі – «Політика») розроблена Громадською організацією “Інститут реформ та інновацій” (надалі – «Організація» або «Володілець») з метою встановлення порядку отримання, зберігання, обробки, використання та розкриття персональних даних користувачів (надалі – «Користувач» або «Суб’єкт даних») вебсайту Організації та пов’язаних з ним інформаційних систем, включаючи Telegram-бот (надалі спільно – «Платформа»), а також учасників заходів та досліджень Організації.
Обробка персональних даних здійснюється у суворій відповідності до вимог Закону України «Про захист персональних даних», а також з урахуванням положень Загального регламенту про захист даних Європейського Союзу (GDPR). Організація неухильно дотримується принципів мінімізації даних, законності, справедливості та прозорості їх обробки.
1. КАТЕГОРІЇ ПЕРСОНАЛЬНИХ ДАНИХ, ЩО ПІДЛЯГАЮТЬ ОБРОБЦІ
Обсяг персональних даних, що збираються Володільцем, обмежується виключно інформацією, об’єктивно необхідною для надання відповідних послуг та здійснення статутної діяльності. Залежно від характеру взаємодії Суб’єкта даних з Організацією, обробляються наступні категорії:
1.1. Дані користувачів навчальної платформи:
- Облікові (реєстраційні) дані: Адреса електронної пошти, прізвище та ім’я (включаючи дані, що автоматично передаються під час авторизації через обліковий запис Google).
- Професійні відомості: Найменування громадської, благодійної організації або установи, яку представляє Користувач.
- Академічні дані (результати навчання): Інформація про пройдений навчальний матеріал, результати тестувань, а також відомості про видані сертифікати ЄКТС.
1.2. Дані учасників онлайн та офлайн-заходів:
- Ідентифікаційні дані з реєстраційних форм: Прізвище, ім’я, контактні дані та інша інформація, необхідна для ідентифікації учасників та звітування перед донорами.
- Аудіовізуальні дані: Фотографії, відеозаписи (офлайн-зйомка) та записи екрану (під час онлайн-заходів).
- Результати оцінювання: Дані тестів та перевірки знань, що проводяться безпосередньо під час заходів.
1.3. Дані учасників опитувань та досліджень:
- Дослідницькі дані: Інформація, зібрана під час проведення опитувань та досліджень ринку з метою аналізу статистичних даних про потреби, проблеми, тенденції розвитку громадського сектору в Україні та освітні запити.
1.4. Дані для здійснення комунікації:
- Контактна інформація: Адреса електронної пошти.
- Ідентифікатори месенджерів: Унікальний ідентифікатор користувача (User ID) та ім’я користувача (Username) у месенджері Telegram (у разі використання чат-бота).
1.5. Дані претендентів на вакантні посади (Розділ «Вакансії»):
- Кадрова інформація: Прізвище, ім’я, по батькові, контактні дані, відомості про освіту, професійний досвід (CV) для працевлаштування або кадрового резерву.
1.6. Дані учасників тендерних процедур (Розділ «Закупівлі»):
- Комерційна та реєстраційна інформація: Відомості про ФОП або уповноважену особу юридичної особи, реєстраційні та кваліфікаційні документи.
1.7. Технічні та аналітичні дані:
- IP-адреса, інформація про браузер, ОС, часовий пояс, історія відвідувань Платформи.
2. ВІКОВІ ОБМЕЖЕННЯ ТА ЗГОДА
Цільовою аудиторією Платформи та навчальних матеріалів Організації є працівники та керівний склад громадських і благодійних організацій, благодійних фондів, а також незалежні активісти. Платформа не містить матеріалів з віковими обмеженнями.
Організація не вимагає обов’язкового документального підтвердження віку. Проте, шляхом реєстрації на Платформі, Користувач підтверджує, що він досяг 16-річного віку, або має відповідну згоду законних представників на обробку персональних даних. У разі виявлення факту обробки персональних даних особи, яка не досягла 16-річного віку без згоди законних представників, Організація зобов’язується невідкладно видалити такі дані.
3. ВИКОРИСТАННЯ ФАЙЛІВ COOKIE ТА ТЕХНОЛОГІЙ АНАЛІТИКИ
З метою забезпечення належного функціонування Платформи, оптимізації її інтерфейсу та проведення статистичного аналізу, Організація використовує файли cookie та аналітичні системи, включаючи, але не обмежуючись: Google Analytics, Meta Pixel, Hotjar та інші подібні інструменти.
Реалізація права на згоду: Використання маркетингових та аналітичних скриптів здійснюється виключно після отримання явної та добровільної згоди Користувача (шляхом взаємодії з Cookie Banner). Технічні файли cookie, які є критично важливими для авторизації та функціонування сайту, використовуються за замовчуванням (на підставі законного інтересу).
Знеособлений ідентифікатор у Google Analytics: якщо Користувач увійшов до свого облікового запису на Платформі та надав згоду на статистичні файли cookie, у Google Analytics разом зі статистикою передається знеособлений ідентифікатор — незворотний криптографічний хеш внутрішнього номера облікового запису. Він дозволяє об’єднувати статистику відвідувань одного Користувача з різних пристроїв і не містить адреси електронної пошти, імені чи інших даних, за якими Google може встановити особу Користувача. Детальніше — у Політиці використання файлів cookie.
4. МЕТА ТА ПРАВОВІ ПІДСТАВИ ОБРОБКИ
Обробка персональних даних здійснюється Організацією на наступних правових підставах та з такою метою:
- Надання освітніх послуг та адміністрування реєстру сертифікатів: Виконання умов договору публічної оферти (Art. 6(1)(b) GDPR) та законний інтерес щодо ведення обліку (Art. 6(1)(f) GDPR).
- Організація заходів та звітування перед донорами: Ідентифікація учасників заходів, проведення тестів знань та збір фото/відеоматеріалів для створення внутрішніх звітів. Правова підстава: Реалізація законного інтересу Організації щодо підтвердження діяльності перед донорами (Art. 6(1)(f) GDPR), а також окрема згода Суб’єкта даних на збір аудіовізуальних матеріалів для внутрішнього використання (Art. 6(1)(a) GDPR).
- Публікація медіаматеріалів (Комунікація та PR): Розміщення фото- та відеозаписів із заходів на сайті Організації, у соціальних мережах та друкованих матеріалах (без розкриття інших персональних даних учасників). Правова підстава: Надання окремої, чіткої згоди Суб’єктом даних на публічне використання матеріалів (Art. 6(1)(a) GDPR).
- Проведення опитувань та досліджень громадського сектору: Збір та аналіз статистичних даних про потреби та проблеми громадського сектору для розробки актуальних програм. Правова підстава: Згода Суб’єкта даних (Art. 6(1)(a) GDPR) або реалізація законного інтересу Організації (Art. 6(1)(f) GDPR).
- Вебаналітика та вдосконалення Платформи: Надання згоди Суб’єктом даних (Art. 6(1)(a) GDPR).
- Рекрутинг та формування кадрового резерву: Надання згоди Суб’єктом даних (Art. 6(1)(a) GDPR).
- Організація та проведення закупівель: Виконання юридичних зобов’язань (Art. 6(1)(c) GDPR).
- Забезпечення інформаційної безпеки: Реалізація законного інтересу Володільця щодо захисту Платформи (Art. 6(1)(f) GDPR).
5. МІСЦЕЗНАХОДЖЕННЯ, СТРОКИ ЗБЕРІГАННЯ ТА ПОРЯДОК ЗНИЩЕННЯ ДАНИХ
5.1. Локалізація даних: Персональні дані Суб’єктів зберігаються на захищених серверах хостинг-провайдера у Німеччині (ЄС). Внутрішня робоча документація (у тому числі дослідницькі дані, форми реєстрації, медіаматеріали) обробляється у захищеному корпоративному середовищі Google Workspace.
5.2. Строки зберігання: Організація дотримується принципу обмеження зберігання (storage limitation). Дані зберігаються виключно протягом строку, необхідного для досягнення цілей їх збору (наприклад, для грантового звітування або функціонування особистого кабінету), після чого підлягають знеособленню або остаточному видаленню.
5.3. Механізми видалення профілю: Користувач має право самостійно ініціювати видалення через налаштування профілю, обравши один із варіантів:
- Видалення зі збереженням сертифікатів: Знищення облікового запису та пов’язаної інформації, проте збереження даних про успішно здобуті сертифікати ЄКТС у публічному реєстрі (здійснюється на підставі законного інтересу Володільця для верифікації освітніх досягнень).
- Право «бути забутим»: Повне та безповоротне знищення всього масиву персональних даних, включаючи анулювання та видалення записів про всі отримані сертифікати.
5.4. Винятки щодо знищення даних: Облікові дані Користувачів, чий доступ до Платформи було заблоковано внаслідок порушення правил використання Платформи або інших політик Організації, зберігаються безстроково. Обробка таких даних здійснюється на підставі законного інтересу Володільця з метою запобігання повторній реєстрації порушників та захисту інформаційної безпеки Платформи.
6. ТРАНСКОРДОННА ПЕРЕДАЧА ТА ДОСТУП ТРЕТІХ ОСІБ
Організація не здійснює продаж або передачу персональних даних в оренду. Доступ до даних може надаватися третім особам виключно в межах, визначених цією Політикою:
- ІТ-провайдерам: Хостинг-провайдеру (Німеччина) та постачальнику хмарних послуг (Google Workspace).
- Платформам для збору даних: Провайдерам сервісів для проведення опитувань та збору реєстраційних форм (Google Forms, KoboToolbox, Typeform).
- Системам штучного інтелекту (ШІ): Організація може використовувати сервіси ШІ (зокрема, Gemini, ChatGPT, Claude або інші) для обробки, аналізу та систематизації масивів зібраної інформації. Звертаємо увагу: Передача даних до інструментів ШІ здійснюється виключно у деперсоналізованому (знеособленому) вигляді, що унеможливлює пряму чи опосередковану ідентифікацію Суб’єкта даних.
- Донорським організаціям та/або замовникам послуг: Виключно в рамках грантового звітування щодо проведених заходів (ідентифікаційні списки, аудіовізуальні матеріали, результати тестів).
- Провайдерам аналітики: Google Analytics, Meta Pixel, Hotjar тощо (виключно за умови отримання попередньої згоди Користувача).
У разі транскордонної передачі персональних даних у країни, що не входять до Європейського Економічного Простору (ЄЕП), наприклад, на сервери компаній у США, Організація застосовує відповідні гарантії, такі як Стандартні договірні умови (Standard Contractual Clauses – SCC), затверджені Європейською Комісією.
7. ПРАВА СУБ’ЄКТА ПЕРСОНАЛЬНИХ ДАНИХ
Суб’єкт даних має право:
- Отримувати інформацію про умови надання доступу до персональних даних та джерела їх збирання.
- Отримувати доступ до своїх персональних даних та вимагати надання їх копії.
- Вимагати виправлення неточних або застарілих даних.
- Вимагати знищення своїх персональних даних («право бути забутим»).
- Вимагати обмеження обробки персональних даних.
- Заперечувати проти обробки даних (зокрема, з метою профайлінгу).
- Реалізувати право на мобільність даних (перенесення даних до іншого володільця у структурованому вигляді).
- Відкликати згоду на обробку в будь-який час (включно із відкликанням згоди на публічне використання медіаматеріалів або використання аналітичних файлів cookie), що не впливає на законність обробки, здійсненої до такого відкликання.
- Звертатися із скаргами на обробку персональних даних до Уповноваженого Верховної Ради України з прав людини або до відповідного наглядового органу у сфері захисту даних у своїй юрисдикції.
8. КОНТАКТНА ІНФОРМАЦІЯ ВОЛОДІЛЬЦЯ
Для реалізації прав, відкликання згоди або подання запитів щодо обробки персональних даних, Користувач може звернутися до Організації за наступними контактами:
Громадська організація “Інститут реформ та інновацій” Офіційна адреса електронної пошти: admin@iri.dp.ua