Політика конфіденційності

1. Хто ми

Ця політика пояснює, як ми обробляємо персональні дані на сайті culmentech.com (далі «сайт»). Сайтом володіє й керує ФОП Кормиш Роман Іванович, який провадить діяльність під комерційним найменуванням Culmentech (далі «Culmentech», «ми»).

Ми визначаємо мету й способи обробки ваших персональних даних, тож саме ми є їхнім володільцем (у термінах GDPR: контролером).

З будь-яких питань щодо ваших даних пишіть на info@culmentech.com або телефонуйте: +380 75 686 3849.

Ми не призначали відповідальну особу з питань захисту даних (DPO), бо закон не вимагає цього для нашої діяльності.

2. Що охоплює ця політика

Вона охоплює головну сторінку, сторінки пропозицій, сторінку розбору з формою заявки та правові сторінки сайту, англійською й українською мовами. Вона також охоплює повідомлення, які ви надсилаєте нам напряму: електронною поштою, телефоном, у WhatsApp або LinkedIn.

Роботу, яку ми виконуємо для клієнта, регулює письмовий договір, який ми з ним укладаємо.

3. Які дані ми збираємо й звідки

Ми збираємо лише те, що потрібно. Частину даних ви надаєте самі; решту автоматично передає ваш браузер або отримує наш сервер разом із вашим запитом.

Ви не зобов’язані надавати нам жодних даних. Але без імені та номера телефону ми не зможемо домовитися про розбір. Ми не запитуємо даних особливих категорій (наприклад, про стан здоров’я), тож, будь ласка, не надсилайте їх.

• Від вас, через форму запису на розбір: ім’я, прізвище й номер телефону з кодом країни. Поля для email у формі немає.
• Автоматично разом із формою: дата й час, сторінка й пропозиція, з яких ви її надіслали, мова сторінки. Також версія сторінки, яку ви бачили, сайт, з якого ви перейшли, і ваш вибір щодо cookie категорії «Маркетинг». Якщо ви дозволили категорію «Маркетинг», форма також передає рекламні мітки з посилання, за яким ви прийшли (UTM-мітки). Разом із ними форма передає ідентифікатор кліку Meta з цього посилання (fbclid, як значення _fbc). Вона також передає ідентифікатор браузера Meta (_fbp), якщо він є у вашому браузері.
• Разом із кожним запитом наш сервер отримує вашу IP-адресу та user agent браузера (короткий рядок, що вказує браузер і тип пристрою). Ми не записуємо їх до файлу заявок: із user agent ми зберігаємо разом із заявкою лише тип пристрою (телефон, планшет чи комп’ютер). Вони потрібні для подій Meta, описаних нижче, і для безпеки.
• Журнали сервера: як і більшість сайтів, наш вебсервер записує запити (IP-адресу, дату й час, запитану сторінку, сторінку, з якої ви перейшли, і user agent) для безпеки та усунення збоїв.
• Статистика відвідувань: Plausible Analytics рахує перегляди сторінок (з адресою сторінки, зокрема з рекламними мітками в посиланні), сайти, з яких до нас переходять, браузер, тип пристрою, країну, час, протягом якого сторінка відкрита, і глибину прокручування, а також кілька подій: натискання кнопки, що веде до форми, надсилання форми та зміну мови. Plausible не використовує cookie і не встановлює вашої особи: IP-адреса використовується лише короткочасно, щоб розрізнити відвідування й визначити країну, і ніколи не зберігається.
• Лише за вашою згодою, кожен у своїй категорії cookie: Microsoft Clarity («Статистика») і Meta Pixel («Маркетинг») фіксують, як ви користуєтеся сайтом (перегляди сторінок, зокрема сторінки розбору, сторінку, з якої ви прийшли, кліки, прокручування, надсилання форми), і пов’язують це з ідентифікаторами у своїх cookie. Meta Pixel надсилає лише ті події, які задає цей сайт (перегляд сторінки, натискання кнопки, що веде до форми, і надсилання форми); автоматичний збір тексту кнопок і назв полів форми вимкнено. Clarity також створює записи сеансів і теплові карти сторінок.
• Коли ви звертаєтеся до нас напряму: ваше ім’я, контактні дані та все, що ви вирішите нам повідомити.

4. Навіщо ми використовуємо дані й на якій правовій підставі

Ми використовуємо ваші дані лише для цілей, наведених нижче. Для кожної зазначаємо правову підставу за Загальним регламентом ЄС про захист даних (GDPR) і за UK GDPR. Підстави за законодавством України наведено в наступному розділі.

Коли ми спираємося на законний інтерес, ми заздалегідь зіставили його з вашими правами й очікуваннями. Ви можете попросити в нас подробиці цієї оцінки.

• Щоб відповісти на ваш запит про розбір: зателефонувати, домовитися про час, провести розбір і, якщо ви захочете, надіслати пропозицію. Сюди входить збереження заявки, її копія в нашій таблиці Google Sheets і сповіщення про неї, яке Роман отримує в Telegram. Правова підстава: вжиття заходів на ваш запит до укладення договору (стаття 6(1)(b) GDPR).
• Щоб захищати сайт і форму від зловживань і спаму: автоматична перевірка того, що надсилають, і журнали сервера. Правова підстава: наш законний інтерес у захисті сайту й систем (стаття 6(1)(f) GDPR).
• Щоб бачити, які оголошення й сторінки приносять заявки, лише якщо ви дозволили категорію «Маркетинг». Тоді наш сервер надсилає Meta подію «Lead», коли ви надсилаєте форму. Подію «cta_click» він надсилає, коли ви натискаєте кнопку, що веде до форми. Правова підстава: ваша згода (стаття 6(1)(a) GDPR). Ви можете будь-коли відкликати її в «Налаштуваннях cookie» внизу кожної сторінки.
• Щоб рахувати відвідування через Plausible, який не використовує cookie і не встановлює вашої особи. Правова підстава: наш законний інтерес у розумінні того, як користуються сайтом (стаття 6(1)(f) GDPR).
• Щоб бачити, як користуються сторінками, за допомогою Microsoft Clarity (категорія «Статистика») і щоб оцінювати рекламу за допомогою Meta Pixel та рекламних cookie Microsoft, які може встановити Clarity (категорія «Маркетинг»). Правова підстава: ваша згода (стаття 6(1)(a) GDPR, а також згода, якої вимагають правила ЄС і Великої Британії щодо cookie), яку ви надаєте чи не надаєте для кожної категорії окремо. Ви можете будь-коли її відкликати.
• Щоб відповідати на повідомлення, які ви надсилаєте нам напряму. Правова підстава: вжиття заходів на ваш запит до укладення договору (стаття 6(1)(b) GDPR) або наш законний інтерес у тому, щоб вам відповісти (стаття 6(1)(f) GDPR).
• Щоб виконувати обов’язки, які покладає на нас закон, а також заявляти правові вимоги, домагатися їх виконання чи захищатися від них. Правова підстава: юридичний обов’язок (стаття 6(1)(c) GDPR) і наш законний інтерес у захисті своїх прав (стаття 6(1)(f) GDPR).

5. Правові підстави за законодавством України

Ми зареєстровані в Україні, тому до обробки також застосовується Закон України «Про захист персональних даних». Відповідно до статті 11 цього Закону ми обробляємо ваші персональні дані на таких підставах:

• ваша згода як суб’єкта персональних даних на обробку ваших персональних даних для цілей, описаних у цій політиці. Ви надаєте її, надсилаючи форму (про це сказано поруч із кнопкою надсилання форми). Окрему згоду ви надаєте на «Статистику» (Microsoft Clarity) і на «Маркетинг» (Meta Pixel і події Meta, які надсилає наш сервер). Її ви надаєте кнопкою «Дозволити всі» в банері cookie або в «Налаштуваннях cookie»;
• здійснення заходів, що передують укладенню правочину, на вашу вимогу, як-от проведення розбору;
• необхідність захисту наших законних інтересів, як-от безпеки сайту й захисту від спаму. Ця підстава не діє, коли потреба захисту ваших основоположних прав і свобод переважає ці інтереси.
• Ви можете будь-коли відкликати свою згоду. Це не впливає на обробку, здійснену до відкликання.

6. Хто отримує ваші дані

Ми не продаємо ваші дані. Ми передаємо їх лише одержувачам, наведеним нижче, і лише так, як описано. Meta також використовує отримані дані для власних цілей, як пояснено нижче.

• Oracle (Oracle Cloud Infrastructure) надає хостинг нашого сервера: віртуальної машини, яку ми орендуємо в регіоні US West (San Jose), США. Усе, що отримує сайт, обробляється й зберігається там: форма, файл заявок, журнали сервера й наша статистика Plausible. Oracle обробляє ці дані за нашим дорученням як розпорядник персональних даних (у термінах GDPR: обробник).
• Plausible Analytics: програма з відкритим кодом, яку ми запускаємо самі на цьому сервері, тож дані про відвідування не потрапляють до її розробників.
• Telegram доставляє Роману сповіщення про кожну нову заявку. У ньому ваше ім’я, номер телефону, пропозиція, сторінка й мова, версія сторінки та звідки ви прийшли. Telegram зберігає повідомлення в чаті Романа відповідно до власних умов і політики конфіденційності.
• Записи заявок також зберігаються у власному бізнес-акаунті Culmentech (Google Sheets).
• Meta Platforms Ireland Ltd отримує події «Lead» і «cta_click» та дані Meta Pixel лише тоді, коли ви дозволили категорію «Маркетинг». Подія «Lead» містить ваш номер телефону, ім’я та прізвище в хешованому вигляді (їх кодує наш сервер алгоритмом SHA-256, тож відкриті значення не передаються), а також IP-адресу, user agent, адресу сторінки, ідентифікатори кліку й браузера Meta та кампанію, джерело й пропозицію, з яких ви прийшли. Подія «cta_click» містить IP-адресу, user agent, адресу сторінки та ідентифікатори кліку й браузера Meta. Хешовані дані Meta використовує, щоб зіставити події з обліковими записами Meta. Щодо збирання й передачі цих даних ми та Meta Platforms Ireland Ltd є спільними контролерами (спільними володільцями персональних даних); як Meta використовує дані після отримання, вирішує лише вона, як описано в її Політиці конфіденційності (facebook.com/privacy/policy). Домовленості між нами та Meta викладено в Додатку Meta щодо контролерів (Controller Addendum, facebook.com/legal/controller_addendum). Коротко: ми відповідаємо за те, щоб повідомити вас про збирання й передачу даних і запитати вашу згоду там, де вона потрібна; Meta відповідає за те, як використовує дані після отримання, і опрацьовує запити щодо цього. Ви можете скористатися своїми правами щодо кожного з нас.
• Microsoft отримує дані про використання сайту через Microsoft Clarity лише тоді, коли ви дозволили категорію «Статистика», і обробляє їх відповідно до Декларації про конфіденційність Microsoft (privacy.microsoft.com).
• Постачальник нашої службової електронної пошти отримує листи, які ви надсилаєте на нашу адресу.
• WhatsApp (компанія Meta) доставляє повідомлення, які ви надсилаєте нам у WhatsApp. LinkedIn доставляє ті, що ви надсилаєте нам там. Кожен із них діє відповідно до власних умов і політики конфіденційності.
• Державні органи й суди, коли цього вимагає закон, а також наші юристи та інші професійні консультанти, коли вони потрібні нам для захисту наших прав.

7. Транскордонна передача даних

Ми працюємо в Україні, а наш сервер розташований у США. Google, Meta, WhatsApp, Microsoft, LinkedIn і Telegram також обробляють дані в інших країнах, зокрема в США. Отже, ваші дані передаються за межі України, Великої Британії, ЄС і Європейської економічної зони (ЄЕЗ).

Коли закон вимагає гарантій для такої передачі, ми спираємося на ті, що надають наші постачальники: стандартні договірні умови Європейської комісії (з додатком Великої Британії для даних із Великої Британії). Якщо американський постачальник сертифікований за Рамковою програмою конфіденційності даних ЄС–США (EU–US Data Privacy Framework) і її розширенням для Великої Британії, ми спираємося й на неї. Відповідно до законодавства України ми передаємо дані за кордон на підставах, які воно передбачає, зокрема коли ми надаємо відповідні гарантії щодо невтручання у ваше особисте і сімейне життя або коли ви дали однозначну згоду на таку передачу.

Докладніше про ці гарантії можна запитати на info@culmentech.com.

8. Скільки ми зберігаємо дані

Ми зберігаємо ваші дані лише стільки, скільки вони потрібні для наведених цілей.

• Заявки на розбір: 24 місяці після того, як ви надіслали форму, потім видаляємо. Сервер автоматично видаляє кожну заявку з файлу заявок, щойно минає цей строк. Сповіщення в Telegram, рядок заявки в нашій таблиці Google Sheets і будь-яку копію, яку ми вивантажуємо для роботи із заявкою, Роман видаляє вручну в межах того самого строку. Ви можете попросити видалити їх раніше.
• Повідомлення, які ви надсилаєте нам напряму: до 24 місяців після нашого останнього контакту з вами, потім видаляємо.
• Якщо ви станете клієнтом, документи про нашу спільну роботу зберігаються стільки, скільки вимагають договір і закон.
• Журнали сервера: наш вебсервер зберігає журнали запитів 14 днів, потім автоматично їх видаляє. Власні журнали програми сайту містять лише помилки й службові повідомлення, без даних із форми; їх обмежено трьома файлами по 10 МБ, і найстаріші записи замінюються новими.
• Статистика Plausible: зберігається як записи про відвідування, за якими неможливо встановити вашу особу (код відвідувача в них змінюється щодня, тож стежити за однією людиною від дня до дня не вдасться).
• Дані, передані Meta і Microsoft: вони зберігають їх за власними правилами. Їхні cookie на цьому сайті діють стільки, скільки зазначено в таблиці cookie нижче.
• Довше ми зберігаємо дані лише тоді, коли цього вимагає закон або коли вони потрібні нам, щоб заявити правову вимогу, домогтися її виконання чи захиститися від неї.

9. Як ми захищаємо дані

Ми вживаємо організаційних і технічних заходів захисту, співмірних із ризиками для даних, які зберігаємо. Жоден спосіб зберігання чи передачі даних не є цілком безпечним, але ми робимо все можливе, щоб захистити ваші дані.

• Сайт працює лише через захищене з’єднання (HTTPS).
• Заявки зберігаються у файлі на нашому сервері, до якого немає публічного доступу і який відкривають лише серверна програма сайту та ми. Вивантаження заявок захищене логіном і паролем.
• Доступ до сервера маємо лише ми, і вхід потребує криптографічного ключа.
• Форма обмежує частоту надсилання, а автоматичні перевірки відхиляють заявки, схожі на створені програмою.
• Номер телефону й імена хешуються на нашому сервері, перш ніж щось надсилається до Meta.
• Ключі доступу до наших постачальників зберігаються лише на сервері й ніколи в коді сайту.
• Якщо порушення безпеки створить ризик для ваших даних, ми повідомимо про це наглядовий орган і вас, коли цього вимагає закон.

10. Ваші права

Залежно від того, де ви проживаєте, GDPR, UK GDPR і Закон України «Про захист персональних даних» надають вам такі права:

• Доступ: знати, чи обробляємо ми ваші дані, і отримати їх копію разом з інформацією про те, як ми їх використовуємо.
• Виправлення: вимагати виправити неточні або доповнити неповні дані.
• Видалення: вимагати видалити ваші дані, наприклад коли вони нам більше не потрібні або коли ви відкликали згоду.
• Обмеження: вимагати обмежити використання ваших даних, наприклад поки ми перевіряємо, чи вони точні.
• Перенесення: отримати надані вами дані в поширеному машинозчитуваному форматі або вимагати передати їх іншому контролерові, коли ми обробляємо їх автоматизовано на підставі вашої згоди чи заходів щодо укладення договору.
• Заперечення: будь-коли заперечити проти обробки на підставі наших законних інтересів.
• Відкликання згоди: будь-коли відкликати згоду через «Налаштування cookie» внизу кожної сторінки (для однієї категорії або для всіх одразу кнопкою «Відкликати згоду») або листом до нас. Це не впливає на обробку, здійснену раніше.
• Захист від суто автоматизованих рішень: ви маєте право на те, щоб щодо вас не ухвалювали рішень, які ґрунтуються лише на автоматизованій обробці й мають для вас юридичні чи подібні суттєві наслідки. Ми таких рішень не ухвалюємо. Єдиний автоматизований крок: перевірка форми на спам, яка лише блокує заявки, схожі на створені програмою. Якщо вона помилково заблокує вас, зв’яжіться з нами напряму.
• За законодавством України також: знати про джерела збирання ваших даних, їх місцезнаходження й мету обробки, а також про третіх осіб, яким їх передають; пред’являти нам вмотивовану вимогу із запереченням проти обробки ваших даних; на захист ваших даних від незаконної обробки, випадкової втрати, знищення чи пошкодження.

11. Як скористатися правами

Напишіть на info@culmentech.com. Це нічого вам не коштує. Ми відповімо протягом одного місяця з дня отримання запиту (а на запит, поданий відповідно до законодавства України, протягом 30 календарних днів). Якщо запит складний, нам може знадобитися більше часу в межах, які дозволяє закон (але не для запиту за законодавством України); тоді ми пояснимо причину протягом цього місяця.

Щоб захистити ваші дані, перш ніж виконати запит, ми можемо попросити підтвердити вашу особу, наприклад дзвінком на номер телефону, який ви вказали.

Змінити вибір щодо cookie можна будь-коли через «Налаштування cookie» внизу кожної сторінки.

12. Скарги

Якщо ви вважаєте, що ми неналежно обробили ваші дані, будь ласка, спершу повідомте нас на info@culmentech.com, щоб ми могли це виправити. Ми підтвердимо отримання вашої скарги протягом 30 днів і без невиправданої затримки повідомимо результат. Ви також маєте право подати скаргу до наглядового органу й звернутися до суду:

• в Україні: до Уповноваженого Верховної Ради України з прав людини (ombudsman.gov.ua);
• у Великій Британії: до Офісу Уповноваженого з питань інформації (Information Commissioner’s Office, ico.org.uk);
• у ЄС або ЄЕЗ: до органу із захисту даних країни, де ви проживаєте чи працюєте або де сталося порушення (перелік на edpb.europa.eu).

13. Cookie та подібні технології

Cookie називають невеликі файли, які сайт зберігає у вашому браузері. Сховище сеансу (session storage) працює схоже, але браузер очищує його, коли ви закриваєте вкладку. Локальне сховище (local storage) теж працює схоже, але дані в ньому лишаються, доки ви не очистите дані браузера. Ми використовуємо те, що наведено в таблиці нижче.

Нічого необов’язкового не завантажується, доки ви не зробите вибір. Банер cookie пропонує поруч три кнопки: «Дозволити всі», «Відхилити всі» і «Налаштування», тож відмовитися так само просто, як погодитися: одним натисканням. «Налаштування cookie» внизу кожної сторінки показують ваш поточний вибір для кожної категорії, дають змогу увімкнути чи вимкнути «Статистику» і «Маркетинг» та відкликати згоду для обох одразу. Коли ви вимикаєте категорію, її cookie та її записи в локальному сховищі на цьому сайті видаляються; якщо її сервіс працював під час цього ж відвідування, сторінка також перезавантажиться.

Коли працюють їхні сервіси, Microsoft Clarity, Microsoft і Meta також встановлюють cookie на власних доменах. Наприклад, CLID і MUID для Clarity й Microsoft та fr для Meta. На ці cookie поширюються їхні власні правила. Блокувати чи видаляти cookie можна й у налаштуваннях браузера.

Наші cookie поділено на три категорії, ті самі, що й у «Налаштуваннях cookie»:

• Необхідні, завжди увімкнені: cookie cmt_consent, який запам’ятовує ваш вибір, запис cmt_calc_v1 калькулятора витоків у локальному сховищі, який зберігає введені там числа у вашому браузері, і форма запису на розбір, яка нічого не зберігає у вашому браузері. Без них сайт не працює.
• Статистика, лише за вашою згодою: Microsoft Clarity, щоб бачити, як користуються сторінками (кліки, прокручування, записи сеансів і теплові карти). Cookie Clarity: _clck і _clsk. Plausible, наша статистика відвідувань, не встановлює cookie й нічого не зберігає у вашому браузері, тому не залежить від цього перемикача: він працює завжди.
• Маркетинг, лише за вашою згодою: Meta Pixel, щоб оцінювати, які оголошення приносять заявки (його cookie _fbp і _fbc та три записи в локальному сховищі), і рекламні cookie Microsoft, які Clarity може встановити, коли увімкнено й «Статистику» (_uetvid, _uetsid, _uetmsclkid). «Маркетинг» також дозволяє серверу надсилати події Meta і зберігає у сховищі сеансу, звідки ви прийшли (cmt_fbclid, cmt_utm). Вимкнений «Маркетинг» зупиняє і те, і те та видаляє ці записи.

14. Діти

Сайт призначений для власників бізнесу й не орієнтований на дітей. Ми не збираємо навмисно даних дітей. Якщо ви вважаєте, що дитина надіслала нам свої дані, напишіть нам, і ми їх видалимо.

15. Зміни до цієї політики

Ми можемо оновлювати цю політику, коли змінюється сайт або закон. Чинну редакцію визначає дата набрання чинності, зазначена вгорі. Якщо зміна суттєво вплине на те, як ми використовуємо вже надані вами дані, ми повідомимо вас до того, як вона почне діяти, якщо матимемо змогу з вами зв’язатися.