УМОВИ КОНФІДЕНЦІЙНОСТІ

ТА ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

1. ЗАГАЛЬНІ ПОЛОЖЕННЯ

1.1. Ці Умови конфіденційності та обробки персональних даних (далі - «Умови») є публічним оголошенням від Товариства з обмеженою відповідальністю «Грід Лабс Софтвер» (далі - «Компанія») на адресу невизначеного кола суб'єктів персональних даних, які тим чи іншим чином вступають у відносини з Компанією про основні принципи, правила та застереження при обробці їх персональних даних Компанією.

1.2. Оголошенням цих Умов Компанія переслідує мету, на виконання вимог Конституції України, законодавства в галузі інформації загалом та зокрема Законів України (із змінами та доповненнями) «Про захист персональних даних», «Про інформацію», «Про захист інформації в інформаційно-телекомунікаційних системах» - забезпечити прозорість обробки персональних даних усіх осіб, що взаємодіють із Компанією та програмним комплексом «GridLab EMS».

1.3. Ці Умови описують практики збору та обробки персональних даних, наданих особами (далі - «Користувач») у зв'язку з доступом до програмного комплексу «GridLab EMS» (далі - «Програмний комплекс»), власником якого є Товариство з обмеженою відповідальністю «Грід Лабс Софтвер», код ЄДРПОУ 46270016.

1.4. Ці Умови є публічним документом та розміщуються на вебсайті Компанії https://gridlab.com.ua/. Умови можуть бути оновлені Компанією в порядку, визначеному Розділом 9 цих Умов.

2. ВИЗНАЧЕННЯ

2.1. Усі визначення, наведені в цих Умовах та не описані в цьому розділі, мають таке саме значення, як у Договорі про надання послуг з доступу до програмного комплексу «GridLab EMS», укладеному між Компанією та замовником послуг (далі - Договір).

У цих Умовах терміни вживаються у такому значенні:

2.2. База персональних даних - іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних. База персональних даних, в якій Компанія здійснює обробку персональних даних, має назву «GridLab EMS - Клієнти та Користувачі».

2.3. Володілець персональних даних - ТОВ «Грід Лабс Софтвер», яке на законних підставах отримує та обробляє персональні дані, надані Користувачами, та визначає мету обробки персональних даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом.

2.4. Згода суб'єкта персональних даних - добровільне волевиявлення фізичної особи щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки.

2.5. Обробка персональних даних - будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, які пов'язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу.

2.6. Персональні дані - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

2.7. Розпорядник персональних даних - особа, якій володільцем персональних даних або законом надано право обробляти ці дані від його імені.

Компанія - Товариство з обмеженою відповідальністю «Грід Лабс Софтвер» (код ЄДРПОУ 46270016, адреса місцезнаходження: Україна, 04053, м. Київ, пров. Киянівський, буд. 3-7, офіс 110 В, електронна адреса: office@gridlab.com.ua) - є володільцем персональних даних щодо цілей, визначених розділом 5 цих Умов, та розпорядником персональних даних щодо персональних даних уповноважених користувачів замовника послуг, які обробляються за дорученням такого замовника відповідно до укладеного з ним Договору.

2.8. Суб'єкт персональних даних - фізична особа, персональні дані якої обробляються, відповідно до цих Умов.

2.9. Програмний комплекс - програмний комплекс «GridLab EMS», розроблений Компанією, що включає серверне програмне забезпечення, мобільні додатки (iOS та Android), веб-інтерфейс, API та пов'язані компоненти.

2.10. Знеособлені дані - персональні дані, оброблені у такий спосіб, що унеможливлює їх прямий або опосередкований зв'язок з конкретною фізичною особою.

3. ЗАКОННІСТЬ ОБРОБКИ ТА ОСНОВНІ ПРИНЦИПИ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

3.1. Компанія обробляє персональні дані на підставі Згоди суб'єкта персональних даних, виконання договірних зобов'язань та законних інтересів Компанії відповідно до статті 11 Закону України «Про захист персональних даних».

3.2. Згода вважається наданою після того, як Користувач підписав відповідну Згоду на обробку персональних даних або поставив відповідну відмітку при реєстрації в Програмному комплексі чи на вебсайті Компанії.

3.3. Надаючи Згоду, Користувач підтверджує та приймає всі умови та положення, зазначені в цих Умовах.

3.4. Обробка персональних даних Компанією здійснюється на основі таких принципів:

законності цілей і способів обробки персональних даних;
сумлінності Компанії як володільця персональних даних - досягається шляхом виконання вимог законодавства України щодо обробки персональних даних;
досягнення конкретних, заздалегідь визначених цілей обробки персональних даних;
відповідності цілей обробки персональних даних цілям, заздалегідь визначеним і заявленим при зборі персональних даних;
відповідності переліку та обсягу оброблюваних персональних даних, а також способів їх обробки - заявленим цілям обробки;
достовірності персональних даних, їх достатності для цілей обробки, неприпустимості обробки персональних даних, надлишкових щодо цілей обробки;
зберігання персональних даних у формі, що дозволяє ідентифікувати суб'єкта персональних даних не довше, ніж цього вимагають цілі їх обробки;
знищення або знеособлення персональних даних після досягнення цілей обробки або у разі втрати необхідності в їх досягненні, якщо інше не передбачено законодавством України.

3.5. Компанія не здійснює обробку персональних даних, що стосуються расового чи етнічного походження, гендерних ознак, політичних, релігійних або світоглядних переконань, членства в політичних партіях та професійних спілках, засудження до кримінального покарання, а також даних, що стосуються стану здоров'я, статевого життя, біометричних і генетичних даних.

3.6. Компанія збирає та обробляє персональні дані для виконання своїх зобов'язань та реалізації законних інтересів, а саме:

здійснення ідентифікації та верифікації Користувача для надання доступу до Програмного комплексу;
укладення та виконання договорів про надання послуг доступу до Програмного комплексу;
надання технічної підтримки та вирішення спірних питань;
надсилання сервісних повідомлень;
інформування Користувачів про дії в Програмному комплексі, технічні перерви, оновлення та інші події, що впливають на взаємодію з Програмним комплексом;
дотримання вимог чинного законодавства України;
підвищення продуктивності та функціональності Програмного комплексу;
удосконалення алгоритмів Програмного комплексу на основі знеособлених телеметричних даних.

4. СКЛАД ПЕРСОНАЛЬНИХ ДАНИХ, ЯКІ ОБРОБЛЯЮТЬСЯ КОМПАНІЄЮ

4.1. Відомості про суб'єкта персональних даних, відображені у правочинах та інформаційних (автоматизованих) системах Компанії, є персональними даними, що обробляються у базі персональних даних «GridLab EMS - Клієнти та Користувачі».

4.2. У зазначеній базі обробляються такі персональні дані:

1) Особисті та контактні дані Користувача:

–прізвище та ім'я особи;
–номери контактних телефонів;
–адреса електронної пошти;
–посада та назва роботодавця (для представників юридичних осіб - Замовників).

2) Облікові дані в Програмному комплексі:

–логін (ім'я користувача) у Програмному комплексі;
–відмітка про двофакторну авторизацію.

3) Інформація про юридичну особу - Замовника, надана Користувачем:

–прізвище, ім'я та по батькові осіб, що мають право вчиняти правочини від імені Замовника;
–реєстраційний номер облікової картки платника податків підписувачів електронних документів;
–банківські реквізити Замовника (виключно для здійснення безготівкових розрахунків);
–дані щодо об'єктів нерухомості та енергетичного обладнання, що належать Замовнику або використовуються ним на законних підставах;
–умови укладених Замовником договорів з Компанією.

4) Технічні дані, що збираються автоматично:

Під час авторизації та використання Користувачем Програмного комплексу, а також у процесі комунікації з Користувачем Компанія отримує таку інформацію:
–IP-адреса Користувача;
–інформацію, отриману під час комунікації з Компанією - електронне листування;
–інформацію про пристрій, що використовується для доступу до Програмного комплексу, включаючи дані про програмне забезпечення та апаратні засоби;
–інформацію про активність Користувача в Програмному комплексі - дані про дії з зазначенням дати та часу.

5) Телеметричні дані обладнання:

Технічні параметри роботи енергетичного обладнання Замовника (потужність, напруга, струм, температура, стан систем, SoC тощо), що передаються через Програмний комплекс, є, як правило, технічними параметрами обладнання та не містять персональних даних. У разі якщо такі дані можуть бути пов'язані з конкретною фізичною особою, вони обробляються відповідно до цих Умов. Знеособлена телеметрія використовується Компанією для роботи Програмного комплексу та навчання ШІ-моделей.

5. МЕТА ТА ПРАВОВІ ПІДСТАВИ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

5.1. Компанія обробляє персональні дані виключно для законних, чітко визначених та легітимних цілей відповідно до статті 11 Закону України «Про захист персональних даних»:

укладення та виконання договору про надання послуг - на підставі виконання договору (ст. 11 Закону); обробляються ідентифікаційні, контактні та платіжні дані;
надання доступу до Програмного комплексу та автентифікація Користувача - на підставі виконання договору та згоди суб'єкта; обробляються облікові дані та дані про використання обладнання Користувача;
технічна підтримка та усунення несправностей - на підставі виконання договору; обробляються контактні дані, лог-файли та дані про використання обладнання Користувача;
забезпечення безпеки Програмного комплексу та запобігання несанкціонованому доступу - вимог законодавства; обробляються облікові дані, IP-адреса;
інформування про оновлення, технічні перерви та зміни у функціоналі - на підставі виконання договору; обробляються контактні дані та дані про обладнання Користувача;
удосконалення Програмного комплексу; обробляються виключно знеособлені телеметричні дані, що не ідентифікують особу.

5.2. Компанія не обробляє персональні дані з метою, несумісною із зазначеними вище цілями, без повідомлення Суб'єкта та/або отримання його додаткової згоди.

6. ПОРЯДОК ЗБЕРІГАННЯ ТА ЗАХИСТУ ПЕРСОНАЛЬНИХ ДАНИХ

6.1.Персональні дані зберігаються у базах даних Компанії, розміщених на хмарній інфраструктурі із застосуванням таких заходів захисту:

шифрування каналу передавання - TLS 1.2/1.3 для всього зовнішнього трафіку, обов'язкове перенаправлення на HTTPS, політика HSTS (2 роки, включно з субдоменами, preload);
хешування паролів - bcrypt із коефіцієнтом складності 12; паролі не зберігаються і не передаються у відкритому вигляді, відновленню не підлягають;
шифрування окремих категорій даних у базі - симетричне шифрування AES-128-CBC з контролем цілісності HMAC-SHA-256 (схема Fernet) для секретів двофакторної автентифікації, ключів доступу до зовнішніх систем та службових паролів інтеграцій; ключі шифрування зберігаються поза базою даних у змінних середовища з можливістю планової ротації;
токени сеансів - зберігаються виключно у вигляді необоротних хешів SHA-256, з обмеженим строком дії та можливістю дистанційного відкликання;

6.2.Строки зберігання персональних даних:

6.2.1. Дані договору та бухгалтерської документації - 3 роки після закінчення строку позовної давності або відповідно до вимог ПКУ;

6.2.2. Облікові дані та дані про використання Програмного комплексу - Протягом строку дії договору та додатково 30 днів після його припинення;

6.2.3. Телеметрія в оперативному доступі - Протягом усього строку дії договору без обмеження (без знеособлення);

6.2.4. Знеособлена телеметрія, що не ідентифікує особу – Безстроково.

6.3.Після закінчення строку зберігання персональні дані знищуються або знеособлюються відповідно до вимог статті 15 Закону України «Про захист персональних даних».

7. ПЕРЕДАЧА ПЕРСОНАЛЬНИХ ДАНИХ ТРЕТІМ ОСОБАМ

7.1.Компанія не передає персональні дані третім особам без відома Суб'єкта, крім таких випадків:

7.1.1.Підрядники та постачальники послуг (розпорядники персональних даних). Компанія може залучати третіх осіб для надання послуг хмарної інфраструктури, хостингу, аналітики, підтримки (далі - підрядники). Підрядники обробляють персональні дані виключно за дорученням та в інтересах Компанії, в обсязі та з метою, визначеними відповідними договорами, відповідно до статті 4 та 10 Закону України «Про захист персональних даних». Компанія зобов'язує підрядників дотримуватися вимог законодавства про захист персональних даних.

7.1.2.Виконання вимог законодавства. Персональні дані можуть бути надані державним органам на їх законну вимогу відповідно до чинного законодавства України.

7.2.Компанія не здійснює продаж персональних даних та не передає їх для використання в рекламних цілях третіх осіб.

8. ФАЙЛИ COOKIE ТА ТЕХНОЛОГІЇ ВІДСТЕЖЕННЯ

8.1.Вебсайт та Програмний комплекс Компанії можуть використовувати файли cookie та аналогічні технології для:

забезпечення роботи сервісу (обов'язкові cookie);
збереження налаштувань Користувача.

8.2.Користувач може керувати налаштуваннями cookie через браузер. Вимкнення обов'язкових cookie може вплинути на функціональність Програмного комплексу.

8.3. Сайт використовує виключно технічно необхідні файли cookie, потрібні для роботи автентифікації, підтримання сеансу користувача, двофакторної автентифікації та збереження обраної мови інтерфейсу. Автентифікаційні cookie встановлюються з атрибутами HttpOnly (недоступні для клієнтських скриптів), Secure (передаються лише захищеним з'єднанням HTTPS) та SameSite=Lax (не передаються на сторонні ресурси), зі строком дії до 7 днів. Компанія не використовує аналітичних, рекламних чи маркетингових cookie, не застосовує сторонніх систем відстеження та не передає дані про поведінку користувачів третім особам.

9. ЗМІНИ ДО УМОВ

9.1.Компанія має право вносити зміни до цих Умов. Про суттєві зміни Суб'єктів буде повідомлено:

шляхом розміщення нової редакції Умов на вебсайті Компанії;
шляхом надсилання повідомлення на електронну пошту (за наявності);
шляхом відображення повідомлення у Програмному комплексі.

9.2.Продовження використання Програмного комплексу після набрання чинності змінами вважається прийняттям нової редакції Умов. Якщо Суб'єкт не погоджується зі змінами, він має право припинити використання Програмного комплексу та звернутися до Компанії з вимогою про видалення персональних даних.

10. ПРАВА СУБ’ЄКТА ПЕРСОНАЛЬНИХ ДАНИХ

10.1. Права Суб’єкта персональних даних:

знати про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки, місцезнаходження або місце проживання (перебування) володільця чи розпорядника персональних даних або дати відповідне доручення щодо отримання цієї інформації уповноваженим ним особам, крім випадків, встановлених законом;
отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані;
на доступ до своїх персональних даних;
отримувати не пізніше як за тридцять календарних днів з дня надходження запиту, крім випадків, передбачених законом, відповідь про те, чи обробляються його персональні дані, а також отримувати зміст таких персональних даних;
пред’являти вмотивовану вимогу володільцю персональних даних із запереченням проти обробки своїх персональних даних;
пред'являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними;
на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв'язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;
звертатися із скаргами на обробку своїх персональних даних до Уповноваженого або до суду;
застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних;
вносити застереження стосовно обмеження права на обробку своїх персональних даних під час надання згоди;
відкликати згоду на обробку персональних даних;
знати механізм автоматичної обробки персональних даних;
на захист від автоматизованого рішення, яке має для нього правові наслідки.

11. КОНТАКТНА ІНФОРМАЦІЯ ТА ПРИКІНЦЕВІ ПОЛОЖЕННЯ

11.1.З питань обробки персональних даних та реалізації прав суб'єктів персональних даних просимо звертатися:

Відповідальна особа за захист персональних даних: директор ТОВ «Грід Лабс Софтвер»
Електронна пошта: office@gridlab.com.ua.
Адреса: 04053, м. Київ, пров. Киянівський, буд. 3-7, офіс 110 В.

11.2.Ці Умови набирають чинності з дати їх затвердження наказом Компанії та розміщення на вебсайті Компанії і є чинними до затвердження їх нової редакції.

11.3.У частині, що не врегульована цими Умовами, застосовуються норми Закону України «Про захист персональних даних» та іншого чинного законодавства України.