1. Загальні положення

1.1. Ця Політика конфіденційності та захисту даних (далі – «Політика») встановлює порядок обробки персональних даних та заходи із забезпечення їх безпеки в організації, відповідно до вимог Загального регламенту із захисту даних (GDPR) Європейського Союзу 2016/679 та Закону України «Про захист персональних даних».

1.2. Організація зобов'язується захищати конфіденційність та безпеку персональних даних усіх осіб, які співпрацюють з нами, є нашими бенефіціарами, працівниками, партнерами або будь-якими іншими зацікавленими сторонами.

2. Визначення

• Персональні дані – будь-яка інформація, що стосується ідентифікованої або такої, що може бути ідентифікована, фізичної особи («суб'єкт даних»). Ідентифікована фізична особа – це особа, яку можна прямо чи опосередковано ідентифікувати, зокрема, за посиланням на ідентифікатор, такий як ім'я, ідентифікаційний номер, дані про місцезнаходження, онлайн-ідентифікатор або на один чи декілька факторів, специфічних для фізичної, фізіологічної, генетичної, ментальної, економічної, культурної чи соціальної ідентичності цієї фізичної особи.
• Чутливі дані (особливі категорії персональних даних) – дані, що розкривають расове або етнічне походження, політичні погляди, релігійні чи філософські переконання, членство в профспілках, генетичні дані, біометричні дані, дані про здоров'я, дані про статеве життя або сексуальну орієнтацію фізичної особи.
• Обробка даних – будь-яка операція або сукупність операцій, що здійснюються з персональними даними або наборами персональних даних, незалежно від того, автоматизованими засобами чи ні, такі як збір, запис, організація, структурування, зберігання, адаптування чи зміна, вилучення, консультування, використання, розкриття шляхом передачі, розповсюдження чи іншим способом надання доступу, узгодження чи комбінування, обмеження, стирання чи знищення.
• Контролер даних – фізична або юридична особа, державний орган, установа чи інший орган, який самостійно або спільно з іншими визначає цілі та засоби обробки персональних даних. У контексті цієї Політики – організація.
• Процесор даних – фізична або юридична особа, державний орган, установа чи інший орган, який обробляє персональні дані від імені контролера.
• Згода суб'єкта даних – будь-яке вільно надане, конкретне, інформоване та однозначне зазначення бажань суб'єкта даних, за допомогою якого він або вона, заявою або чітким стверджувальним актом, виражає згоду на обробку персональних даних, що стосуються його або її.

3. Принципи обробки персональних даних

3.1. Організація дотримується таких принципів обробки персональних даних, передбачених GDPR:

• Законність, справедливість та прозорість – обробка здійснюється законно, справедливо та прозоро щодо суб'єкта даних.
• Обмеження цільового призначення – персональні дані збираються для конкретних, чітких та законних цілей і не обробляються надалі способом, що є несумісним з цими цілями.
• Мінімалізація даних — персональні дані є адекватними, релевантними та обмежуються тим, що є необхідним щодо цілей, для яких вони обробляються.
• Точність – персональні дані є точними та, за необхідності, оновлюються; вживаються всі розумні заходи для забезпечення того, щоб персональні дані, які є неточними, з огляду на цілі, для яких вони обробляються, були без затримки стерті або виправлені.
• Обмеження зберігання – персональні дані зберігаються у формі, яка дозволяє ідентифікацію суб'єктів даних не довше, ніж це необхідно для цілей, для яких обробляються персональні дані.
• Цілісність та конфіденційність – персональні дані обробляються способом, що забезпечує належну безпеку персональних даних, включаючи захист від несанкціонованої або незаконної обробки та від випадкової втрати, знищення або пошкодження, використовуючи відповідні технічні або організаційні заходи.
• Підзвітність – контролер даних несе відповідальність за дотримання вищезазначених принципів та повинен мати можливість це продемонструвати.

4. Правові підстави обробки

4.1. Обробка персональних даних є законною лише за наявності хоча б однієї з таких підстав:

• Згода – Суб'єкт даних дав згоду на обробку своїх персональних даних для однієї або декількох конкретних цілей.
• Виконання договору – Обробка необхідна для виконання договору, стороною якого є суб'єкт даних, або для здійснення заходів за запитом суб'єкта даних до укладення договору.
• Правове зобов'язання – Обробка необхідна для дотримання правового зобов'язання, яке покладається на контролера.
• Життєво важливі інтереси – Обробка необхідна для захисту життєво важливих інтересів суб'єкта даних або іншої фізичної особи.
• Публічний інтерес/Офіційні повноваження – Обробка необхідна для виконання завдання, що здійснюється в суспільних інтересах або при виконанні офіційних повноважень, покладених на контролера.
• Законні інтереси – Обробка необхідна для цілей законних інтересів, які переслідуються контролером або третьою стороною, крім випадків, коли такі інтереси переважають інтереси або основні права та свободи суб'єкта даних, які вимагають захисту персональних даних, зокрема, якщо суб'єкт даних є дитиною.

5. Права суб'єктів даних

5.1. Суб'єкти даних мають такі права відповідно до GDPR:

• Право на доступ – Право отримати від контролера підтвердження того, чи обробляються персональні дані, що стосуються їх, і, де це так, отримати доступ до таких персональних даних та певної інформації.
• Право на виправлення – Право вимагати від контролера без необґрунтованої затримки виправлення неточних персональних даних, що стосуються їх.
• Право на видалення («право на забуття») – Право вимагати від контролера без необґрунтованої затримки видалення персональних даних, що стосуються їх, за певних умов.
• Право на обмеження обробки - Право вимагати від контролера обмеження обробки за певних умов.
• Право на перенесення даних (портативність) – Право отримувати персональні дані, що стосуються їх, які вони надали контролеру, у структурованому, загальноприйнятому та машинозчитуваному форматі, а також право передавати ці дані іншому контролеру без перешкод.
• Право на заперечення – Право заперечувати, на підставах, пов'язаних з їх конкретною ситуацією, проти обробки персональних даних, що стосуються їх, яка здійснюється на підставі законних інтересів або для виконання завдання в суспільних інтересах.
• Права щодо автоматизованого прийняття рішень та профілювання – Право не підлягати рішенню, заснованому виключно на автоматизованій обробці, включаючи профілювання, яке породжує правові наслідки, що стосуються їх, або подібним чином суттєво впливає на них, за винятком передбачених законом випадків.

5.2. Організація забезпечує механізми для реалізації цих прав та обробляє запити суб'єктів даних без необґрунтованої затримки.

6. Згода на обробку персональних даних

6.1. Згода суб'єкта даних є ключовою підставою для обробки, якщо інша законна підстава не застосовується.

6.2. Особливі вимоги:

• Вимоги до згоди – Згода повинна бути вільно наданою, конкретною, інформованою та однозначною. Це може бути здійснено за допомогою заяви або чіткого стверджувального акту.
• Відкликання згоди – Суб'єкт даних має право відкликати свою згоду в будь-який час. Відкликання згоди не впливає на законність обробки, що базувалася на згоді до її відкликання.
• Згода дітей – У випадку надання інформаційних послуг безпосередньо дитині віком до 18 років, обробка персональних даних є законною лише у випадку та в тій мірі, в якій згода надана або дозволена одним із батьків (опікунів/піклувальників), який має батьківські повноваження над дитиною.

7. Заходи безпеки та захист даних

7.1. Організація вживає належні технічні та організаційні заходи для забезпечення рівня безпеки, що відповідає ризику, враховуючи стан техніки, вартість імплементації, характер, обсяг, контекст і цілі обробки, а також ризики різної ймовірності та серйозності для прав і свобод фізичних осіб.

7.2. Заходи включають, але не обмежуються:

• Псевдонімізація та шифрування персональних даних.
• Забезпечення постійної конфіденційності, цілісності, доступності та стійкості систем і послуг обробки.
• Спроможність своєчасно відновлювати доступність та доступ до персональних даних у разі фізичного або технічного інциденту.
• Процес регулярного тестування, оцінки та перегляду ефективності технічних та організаційних заходів для забезпечення безпеки обробки.
• Фізичний та програмний контроль доступу до систем, що містять персональні дані.
• Навчання персоналу з питань захисту даних.

7.3. Повідомлення про порушення безпеки персональних даних: у разі порушення безпеки персональних даних, яке може призвести до високого ризику для прав і свобод фізичних осіб, організація негайно повідомляє про це суб'єкта даних та відповідний наглядовий орган, якщо це вимагається GDPR.

8. Передача даних третім особам та транскордонна передача

8.1. Організація може передавати персональні дані третім особам (процесорам або іншим контролерам) лише за умови дотримання принципів та вимог GDPR, зокрема, на підставі відповідної правової підстави та за умови укладення договорів, що забезпечують належний захист даних.

8.2. Організація у випадку транскордонної передачі (передача даних за межі України), керується вимогами національного законодавства та стандартів ЄС. Передача персональних даних до країн, які не забезпечують адекватного рівня захисту даних (згідно з рішенням Європейської Комісії), здійснюється лише за наявності належних гарантій, таких як:

• Стандартні договірні положення, затверджені Європейською Комісією.
• Обов'язкові корпоративні правила.
• Сертифікація або кодекси поведінки.
• Явна згода суб'єкта даних, після інформування про можливі ризики.

9. Відповідальна особа за захист даних (Data Protection Officer - DPO)

9.1. Організація призначає відповідальну особу за захист даних (DPO), яка відповідає за моніторинг дотримання цієї Політики та GDPR, надання консультацій та співпрацю з наглядовими органами.

9.2. Контактні дані DPO:

Ім'я та Прізвище DPO: Габріелла Галамбош

Посада: Директор з програмної діяльності

Електронна пошта: office@as250.org

10. Заключні положення

10.1. Ця Політика може бути змінена та оновлена. Усі зміни публікуються на офіційному веб-ресурсі організації або доведені до відома суб'єктів даних іншим відповідним способом.