Політика конфіденційності

1. Хто ми та до чого застосовується Політика

Ця Політика пояснює, як БЛАГОДІЙНА ОРГАНІЗАЦІЯ «ФОНД СЕРГІЯ ТОКАРЄВА», код ЄДРПОУ 44349847 (далі — «Фонд»), обробляє персональні дані у зв’язку з вебсайтом https://www.tokarevfoundation.org, електронною поштою, соціальними мережами, партнерствами, заходами, дослідженнями, грантовою та іншою статутною діяльністю.

За законодавством України Фонд є володільцем персональних даних, коли сам визначає мету обробки, склад даних і процедури їх обробки. Якщо застосовується GDPR, UK GDPR або інше законодавство, Фонд може також виступати контролером, спільним контролером або розпорядником/процесором залежно від фактичної ролі. Ролі у спільних проєктах визначаються договором або іншою належною домовленістю.

Ця Політика не замінює окремі повідомлення для працівників, кандидатів, учасників конкретних програм, грантоотримувачів або інших груп, якщо характер обробки потребує більш конкретної інформації.

2. Правова рамка та міжнародна діяльність

Основною правовою рамкою для Фонду є Конституція України, Закон України «Про захист персональних даних» № 2297-VI у чинній редакції, Конвенція Ради Європи № 108 та ратифікований Україною Додатковий протокол до неї, а також інші застосовні норми України.

GDPR застосовується лише у випадках, що підпадають під його територіальну дію, зокрема коли обробка здійснюється в контексті установи в ЄС/ЄЕЗ або коли Фонд, не маючи установи в ЄС, пропонує товари чи послуги особам у ЄС або відстежує їхню поведінку в ЄС. Аналогічно UK GDPR та інші іноземні закони застосовуються лише тоді, коли виконані їхні критерії застосовності.

Якщо обов’язкове законодавство певної юрисдикції надає особі ширші права або встановлює суворіші вимоги, такі норми застосовуються додатково. За потреби Фонд публікує локальні або програмні privacy notices. Формулювання цієї Політики не є заявою про автоматичну застосовність законодавства кожної держави світу.

3. Поточні цифрові точки взаємодії

Станом на дату останнього перегляду вебсайт має переважно інформаційний характер і містить сторінки про Фонд, команду, напрями роботи, вплив, звіти та контакти, а також посилання на зовнішні соціальні мережі та ресурси. Звернення щодо співпраці приймаються на hey@tokarevfoundation.org. На сторінці Contact Us зазначено, що грантова діяльність наразі здійснюється на invitation-only basis і відкритого конкурсу заявок немає.

Якщо надалі на сайті з’являться форми, підписки, онлайн-пожертви, особисті кабінети, відкриті конкурси, нові трекери або інші функції, Фонд до запуску відповідної функції перегляне цю Політику, налаштування consent/cookies та, за потреби, надасть окреме повідомлення в момент збору даних.

4. Які дані ми обробляємо та звідки їх отримуємо

4.1. Відвідування вебсайту

• IP-адреса, дата і час запиту, URL, реферальна сторінка, тип браузера та пристрою, мова, операційна система, журнали помилок і безпеки;
• вибір cookies та схожих технологій, якщо вони використовуються;
• агреговані показники переглядів і взаємодії з контентом, якщо підключена аналітика.

4.2. Електронні звернення

• ім’я, прізвище, посада, організація, країна, email, телефон та інші контактні дані;
• зміст листування, вкладення, пропозиції щодо партнерства, підтримки, ідей або нових проєктів;
• службові примітки, історія комунікації, результати перевірок та рішення щодо подальшої взаємодії.

4.3. Партнери, донори, грантоотримувачі, заявники та виконавці

• ідентифікаційні та реєстраційні дані фізичних осіб і організацій, повноваження представників та професійний досвід;
• дані для due diligence: структура власності, кінцеві бенефіціарні власники, конфлікти інтересів, санкційні та репутаційні ризики, фінансова і програмна спроможність;
• банківські, податкові, договірні, закупівельні та звітні дані в обсязі, необхідному для законної співпраці.

4.4. Учасники програм і бенефіціари

• контактні, демографічні, освітні, професійні та соціальні дані, необхідні для участі, оцінювання, safeguarding та вимірювання впливу;
• дані про здоров’я, інвалідність, психологічний стан, переміщення, досвід війни, насильства чи іншу вразливість — лише якщо це необхідно для конкретної програми та існують належні правові підстави й гарантії;
• фото, відео, аудіо, цитати, біографічні відомості та історії впливу — відповідно до розділу 9.

4.5. Команда, кандидати, радники та постачальники

Ця Політика охоплює зовнішнє інформування про такі категорії. Детальна кадрова, договірна та внутрішня обробка повинна регулюватися окремими повідомленнями, договорами, політиками та правилами доступу.

4.6. Дані з інших джерел

Фонд може отримувати дані від партнерів, донорів, грантоотримувачів, рекомендаційних осіб, публічних державних реєстрів, санкційних списків, професійних джерел, медіа та інших законних відкритих джерел. Якщо дані отримані не безпосередньо від особи, Фонд надає належну інформацію про обробку у строки, передбачені застосовним правом, якщо не діє законний виняток. За законодавством України таке інформування, як правило, здійснюється протягом 30 робочих днів з дня збору;

4.7. Електронна розсилка

Якщо ви підписуєтеся на оновлення від Tokarev Foundation, ми збираємо вашу адресу електронної пошти та інформацію, що стосується вашої підписки, наприклад дату та час згоди та статус вашої підписки.

Ми використовуємо цю інформацію, щоб надсилати вам новини, історії, можливості та інші оновлення про Фонд та його роботу.

Якщо цього вимагає чинне законодавство, ми обробляємо цю інформацію на основі вашої згоди. Ви можете відкликати свою згоду в будь-який час, натиснувши посилання для скасування підписки, включене в кожен електронний лист, або зв’язавшись з нами за адресою hey@tokarevfoundation.org.

Відкликання згоди не впливає на законність обробки, здійсненої до відкликання.

5. Цілі та правові підстави обробки

6. Згода

Фонд не використовує згоду як універсальну правову підставу. Коли обробка ґрунтується на згоді, вона має бути добровільною, конкретною, поінформованою та однозначною, а для спеціальних категорій даних — відповідати підвищеним вимогам застосовного права. Фонд зберігає належні докази наданої згоди.

Згоду можна відкликати на майбутнє. Відкликання не впливає на законність обробки, здійсненої до відкликання, і не припиняє обробку, якщо після відкликання існує інша самостійна законна підстава. Відмова від медійної згоди сама по собі не повинна позбавляти особу благодійної допомоги або участі у програмі, якщо публічність не є об’єктивно необхідною умовою конкретної активності.

7. Спеціальні категорії та обробка підвищеного ризику

Фонд може в межах статутної діяльності стикатися з даними, що потребують посиленого захисту: інформацією про здоров’я, інвалідність, психологічний стан, насильство, місцеперебування, біометричними або генетичними даними, а також іншими категоріями, визначеними статтею 7 Закону України «Про захист персональних даних» або статтею 9 GDPR.

• такі дані збираються лише в мінімально необхідному обсязі;
• до початку обробки визначаються загальна правова підстава та, коли це потрібно, окрема умова для спеціальної категорії даних;
• доступ обмежується принципом need-to-know, застосовуються додаткові технічні й організаційні заходи;
• для високоризикових операцій проводиться документована оцінка ризику, а коли застосовується GDPR і виконані критерії статті 35 — DPIA;
• якщо обробка підлягає повідомленню Уповноваженого Верховної Ради України з прав людини як така, що становить особливий ризик, Фонд виконує відповідне повідомлення та організаційні вимоги законодавства України.

Жодне положення цієї Політики не означає, що наявність згоди сама по собі завжди робить обробку спеціальних категорій даних законною: застосовуються всі додаткові вимоги відповідного правового режиму.

8. Діти та вразливі особи

• Фонд застосовує принцип найкращих інтересів дитини, мінімізацію даних, зрозуміле інформування та посилений safeguarding;
• коли цього вимагає закон або характер програми, перевіряються повноваження батьків/опікуна/іншого законного представника; за можливості враховується також власна поінформована позиція дитини відповідно до її віку та зрілості;
• згода на участь у програмі не є автоматично згодою на фотографування, публікацію історії, маркетингове використання або передачу ідентифікованих даних донору;
• у звітності та дослідженнях перевага надається агрегуванню, анонімізації або псевдонімізації, коли ідентифікація не є необхідною;
• матеріали не повинні створювати ризик стигматизації, повторної травматизації, дискримінації, переслідування або фізичної небезпеки.

9. Фото, відео, біографії та історії впливу

Вебсайт публікує фотографії, біографічні відомості членів команди й радників, інформацію про партнерів, програми та вплив. Для кожної категорії Фонд документує правову підставу для обробки персональних даних та окремо перевіряє наявність необхідних авторських, ліцензійних чи інших прав на контент.

• для ідентифікованих бенефіціарів, дітей і вразливих осіб використовується окрема, конкретна та зрозуміла згода, якщо інша підстава не є належною і достатньою;
• у дозволі або іншій підставі, де це доречно, фіксуються канали використання, територія, строк, допустиме редагування, можливість відкликання та наслідки вже здійсненого законного поширення;
• контент проходить перевірку з точки зору гідності, безпеки, safeguarding, точності та мінімізації розкриття;
• донорська звітність не повинна автоматично включати ідентифіковані історії бенефіціарів, якщо мети можна досягти агрегованими або знеособленими даними.

10. Cookies, аналітика та сторонні технології

Необхідні технології можуть використовуватися для доставки сторінок, кібербезпеки, балансування навантаження, запобігання зловживанням та збереження налаштувань. Необов’язкова аналітика, рекламні або маркетингові пікселі, соціальні віджети та інші неістотні технології активуються лише після належного вибору користувача, коли цього вимагає застосовне законодавство.

Фактичний перелік cookies і трекерів має визначатися технічним скануванням робочої версії сайту. Якщо використовуються неістотні cookies або технології, для яких потрібна згода, Фонд впроваджує належний механізм керування згодою та Cookie Notice до або одночасно з їх активацією.

Зовнішні посилання на соціальні мережі, партнерські сайти та ресурси для завантаження звітів можуть вести до незалежних третіх осіб. Після переходу вони обробляють дані відповідно до власних правил, якщо інше прямо не погоджено з Фондом.

11. Кому ми передаємо дані та робота з розпорядниками/процесорами

• постачальникам хостингу, домену, кібербезпеки, електронної пошти, хмарного зберігання, CRM, аналітики та технічної підтримки;
• банкам, аудиторам, юридичним, бухгалтерським, страховим, перекладацьким та іншим професійним постачальникам;
• донорам, партнерам, дослідникам, грантоотримувачам і виконавцям — лише в мінімально необхідному обсязі та з належною правовою підставою;
• органам державної влади, судам, правоохоронним або іншим компетентним органам — коли цього вимагає закон або це необхідно для встановлення, здійснення чи захисту прав.

Коли постачальник обробляє дані від імені Фонду, його повноваження, мета, обсяг, конфіденційність, заходи безпеки, субпідрядники, повернення/видалення даних та інші необхідні умови визначаються письмовим договором відповідно до застосовного права. Фонд не продає персональні дані та не передає їх стороннім особам для їхнього незалежного маркетингу без окремої належної підстави.

12. Міжнародні передачі персональних даних

Статутна діяльність Фонду передбачає співпрацю в Україні та за її межами, тому персональні дані можуть передаватися міжнародним партнерам або оброблятися хмарними постачальниками в інших країнах.

Передача з України здійснюється відповідно до статті 29 Закону України «Про захист персональних даних»: зокрема, до держав, що забезпечують належний рівень захисту у розумінні українського законодавства, або на іншій прямо дозволеній законом підставі, включаючи однозначну згоду, необхідність для правочину, захист життєво важливих чи суспільних інтересів/правової вимоги або надання належних гарантій.

Коли застосовується GDPR, міжнародні передачі здійснюються відповідно до глави V GDPR, зокрема на підставі рішення про адекватність, стандартних договірних положень або іншого дозволеного механізму, із додатковими заходами та оцінкою трансферу, коли це потрібно. Коли застосовується UK GDPR, використовуються дозволені британські механізми та відповідний тест/оцінка захисту. Для інших юрисдикцій застосовуються їхні обов’язкові правила міжнародних передач.

Перед передачею Фонд оцінює одержувача, країну, мету, категорії та чутливість даних, строк, подальші передачі, права осіб і договірні, організаційні та технічні гарантії. Ідентифіковані дані дітей і вразливих бенефіціарів не передаються за кордон лише з міркувань зручності.

13. Безпека, підзвітність, інциденти та оцінка ризику

• рольовий доступ, принцип найменших привілеїв, багатофакторна автентифікація та регулярний перегляд доступів;
• шифрування під час передавання та, де пропорційно ризику, під час зберігання; резервне копіювання, журналювання та своєчасне оновлення систем;
• класифікація даних, правила зберігання, конфіденційність, навчання працівників і документування доступу до високоризикових даних;
• належна перевірка постачальників та письмові договори про обробку/конфіденційність;
• план реагування на інциденти, оцінка ризику для осіб, фіксація рішень і повідомлення компетентних органів та/або осіб у строки, встановлені застосовним правом.

Фонд підтримує пропорційні записи про операції обробки та проводить оцінювання ризику перед запуском нових технологій або програм, які можуть істотно впливати на права людей. Якщо законодавство України вимагає повідомлення про обробку особливого ризику або визначення відповідальної особи/підрозділу із захисту персональних даних, Фонд виконує ці вимоги. Якщо застосовується GDPR, виконуються відповідні вимоги щодо accountability, DPIA, DPO та повідомлення про порушення, коли вони застосовні до фактичної обробки.

14. Строки зберігання

Ці строки є робочими орієнтирами і можуть бути скорочені або продовжені, якщо цього вимагає конкретна програма, договір, донорська вимога, бухгалтерське/податкове законодавство, судовий спір, розслідування або інша законна причина. Остаточні строки визначаються внутрішнім Records Retention Schedule. Після завершення строку дані видаляються, безповоротно анонімізуються або законно архівуються з обмеженим доступом.

15. Права особи та порядок звернення

Залежно від застосовного законодавства особа може мати право:

• знати джерела збирання, місцезнаходження персональних даних, мету й умови їх обробки, категорії одержувачів та іншу передбачену законом інформацію;
• отримувати доступ до своїх персональних даних та копію даних у передбачених законом випадках;
• вимагати виправлення, оновлення, блокування, припинення обробки або видалення даних у випадках, передбачених законом;
• заперечувати проти обробки, що ґрунтується на законному інтересі, коли таке право передбачено відповідним правовим режимом;
• відкликати згоду на майбутнє;
• вимагати обмеження обробки та перенесення даних, коли такі права надаються GDPR, UK GDPR або іншим застосовним законом;
• не бути підданою виключно автоматизованому рішенню, яке має правові або аналогічно істотні наслідки, у випадках і межах, установлених законом;
• подати скаргу до Уповноваженого Верховної Ради України з прав людини, а якщо застосовується GDPR, UK GDPR чи інший режим — також до відповідного компетентного наглядового органу;
• звернутися до суду та використовувати інші засоби правового захисту, передбачені законом.

Запити можна надсилати на hey@tokarevfoundation.org із темою «Privacy request / Запит щодо персональних даних». Фонд може запитати лише ті додаткові відомості, які обґрунтовано необхідні для перевірки особи та захисту даних від неправомірного розкриття.

Фонд відповідає у строки, встановлені застосовним правом. За українським законодавством питання про задоволення запиту щодо доступу вивчається не довше 10 робочих днів, а запит задовольняється, як правило, протягом 30 календарних днів, якщо інше не передбачено законом. Коли застосовується GDPR, діє його строк відповіді, як правило, один місяць, з можливим продовженням у передбачених ним випадках.

16. Автоматизовані рішення, профілювання та ШІ

Публічний вебсайт наразі не заявляє про автоматизований відбір заявників або персоналізоване профілювання. Якщо Фонд використовуватиме ШІ або автоматизацію для класифікації звернень, аналізу проєктів, оцінювання ризиків чи вимірювання впливу, до запуску визначаються мета, правова підстава, категорії даних, постачальники, міжнародні передачі, необхідність DPIA/оцінки ризику, правила зберігання та механізми людського контролю.

Рішення, які мають правові або аналогічно істотні наслідки для особи, не повинні ґрунтуватися виключно на непрозорому автоматизованому результаті, якщо це не дозволено застосовним законом із належними гарантіями. Для даних дітей, здоров’я та інших високоризикових категорій застосовується підвищена обережність.

17. Зміни, мовні версії та контакти

Фонд переглядає Політику при зміні вебсайту, програм, постачальників, міжнародної діяльності або законодавства. Істотні зміни позначаються новою датою та, коли це доцільно або вимагається законом, доводяться до відома осіб додатковим повідомленням.

Українська та англійська версії цієї Політики мають однакову структуру й зміст. Англійська версія є перекладом української. Якщо між версіями виникне ненавмисна розбіжність, для відносин, що регулюються правом України, перевагу має українська версія; обов’язкові права особи за застосовним іноземним законодавством при цьому не обмежуються.

Володілець персональних даних / Controller: БО «ФОНД СЕРГІЯ ТОКАРЄВА» / CHARITABLE ORGANIZATION “SERGEY TOKAREV FOUNDATION”, код ЄДРПОУ 44349847. Вебсайт: https://www.tokarevfoundation.org. Email для звернень щодо приватності: hey@tokarevfoundation.org.