Політика конфіденційності

Ця Політика конфіденційності (далі - «Політика») визначає порядок та умови збору, використання, обробки, зберігання, захисту, передачі та іншої обробки персональних даних Товариством з обмеженою відповідальністю «МАЧ ГРУП», код ЄДРПОУ 45164108, що здійснює діяльність під торговельною маркою CostCare AI (далі - «Компанія», «ми», «нас»), у зв’язку з:

• використанням вебсайту CostCare AI, доступного за адресою costcare.ai (далі - «Сайт»);
• використанням програмної платформи CostCare AI, доступної за адресою app.costcare.ai (далі - «Платформа»);
• створенням та використанням облікового запису на Платформі;
• придбанням, активацією та використанням підписки на Платформу;
• зверненням до Компанії та взаємодією з нею через доступні канали комунікації;
• участю в демонстраціях (demo), вебінарах, презентаціях та інших заходах, організованих Компанією;
• укладенням та виконанням договорів із Компанією;
• використанням інших продуктів, сервісів та технологічних рішень CostCare AI.

CostCare AI є торговельною маркою та/або комерційним позначенням, під яким Компанія пропонує свої продукти та послуги, зокрема програмне забезпечення на основі технологій штучного інтелекту, інструменти автоматизації, комунікаційні та інші технологічні рішення.

Для цілей цієї Політики термін «володілець персональних даних» у випадках застосування GDPR також охоплює поняття «контролер» (controller), а термін «розпорядник персональних даних» - поняття «процесор» (processor), якщо інше не випливає з відповідного законодавства або характеру конкретної обробки.

1.1. Статус Компанії щодо обробки персональних даних

Залежно від характеру та цілей конкретної обробки персональних даних Компанія може діяти як:

• володілець персональних даних (controller) - коли Компанія самостійно визначає мету та засоби обробки персональних даних, зокрема під час обробки звернень через Сайт, адміністрування власних клієнтських і договірних відносин, забезпечення функціонування облікових записів, здійснення маркетингових комунікацій та виконання власних юридичних обов’язків;
• розпорядник персональних даних (processor) - коли Компанія обробляє персональні дані від імені та за документованими інструкціями відповідного клієнта у зв’язку з наданням послуг Платформи.

Коли Компанія діє як розпорядник персональних даних, відповідний клієнт, який визначає мету та засоби обробки, несе відповідальність за наявність належної правової підстави для обробки та передачі персональних даних Компанії, виконання обов’язків щодо інформування суб’єктів персональних даних та дотримання інших вимог застосовного законодавства.

У випадках, коли до такої обробки застосовуються вимоги статті 28 Регламенту (ЄС) 2016/679 (GDPR) або аналогічні вимоги іншого застосовного законодавства, умови обробки персональних даних Компанією як розпорядником додатково регулюються відповідною Угодою про обробку персональних даних (Data Processing Agreement - DPA).

1.2. Сфера застосування Політики

Ця Політика застосовується до обробки персональних даних Компанією, зокрема у зв’язку з:

• відвідуванням та використанням Сайту;
• заповненням контактних форм та поданням запитів на демонстрацію Платформи;
• створенням, активацією та використанням облікового запису;
• використанням Платформи та її функціональних можливостей;
• активацією, оплатою, продовженням, зміною або припиненням підписки;
• комунікацією з представниками Компанії;
• участю у демонстраціях, вебінарах, презентаціях та інших заходах;
• укладенням та виконанням договорів;
• взаємодією з Компанією як клієнтом, потенційним клієнтом, постачальником, партнером або представником відповідної особи.

Ця Політика не регулює самостійну обробку персональних даних третіми особами через їхні вебсайти, сервіси або платформи, крім випадків, коли Компанія відповідно до застосовного законодавства несе відповідальність за відповідну обробку або бере участь у визначенні її цілей та засобів.

1.3. Принципи обробки персональних даних

Компанія обробляє персональні дані відповідно до принципів:

• законності, справедливості та прозорості;
• обмеження обробки визначеними, чіткими та законними цілями;
• мінімізації обсягу персональних даних;
• точності та, за необхідності, актуальності персональних даних;
• обмеження строків зберігання;
• цілісності та конфіденційності;
• забезпечення належного рівня безпеки персональних даних;
• підзвітності - у випадках та обсязі, передбачених застосовним законодавством.

1.4. Застосовне законодавство про захист персональних даних

Обробка персональних даних Компанією здійснюється відповідно до Закону України «Про захист персональних даних», інших застосовних нормативно-правових актів України та, у випадках, коли відповідна обробка підпадає під їх територіальну або матеріальну сферу застосування, відповідно до вимог іншого застосовного законодавства про захист персональних даних.

Зокрема, якщо до конкретної обробки персональних даних застосовується Регламент (ЄС) 2016/679 (General Data Protection Regulation - GDPR), Компанія здійснює таку обробку відповідно до застосовних вимог GDPR.

1.5. Ознайомлення з Політикою

Використовуючи Сайт та/або Платформу або іншим чином взаємодіючи з Компанією, користувач має можливість ознайомитися з цією Політикою та інформацією про обробку персональних даних, передбаченою нею.

Ознайомлення з цією Політикою саме по собі не означає надання згоди на всі види обробки персональних даних. У випадках, коли відповідно до застосовного законодавства для конкретної обробки необхідна згода суб’єкта персональних даних, Компанія отримує таку згоду окремо у належній формі.

Надання окремих персональних даних може бути необхідним для використання певних функцій Сайту або Платформи, створення облікового запису, надання послуг, виконання договору або здійснення інших запитаних користувачем дій.

1.6. Взаємозв’язок з іншими документами

Ця Політика застосовується разом із Публічною офертою, Умовами використання Сайту та Платформи, Політикою використання файлів cookie та, у відповідних випадках, DPA й іншими документами, що регулюють відносини між Компанією та відповідним клієнтом або користувачем.

У разі якщо Компанія обробляє персональні дані як розпорядник від імені клієнта, а положення відповідного DPA або іншого договору з клієнтом щодо такої обробки відрізняються від положень цієї Політики, у частині такої обробки застосовуються положення відповідного DPA або договору.

Обсяг персональних даних, які обробляє Компанія, залежить від характеру взаємодії користувача з Компанією, використання Сайту та/або Платформи, функціональних можливостей, якими користується відповідна особа, а також від того, чи діє Компанія як володілець або розпорядник персональних даних.

2.1. Дані, що збираються через Сайт

Під час використання Сайту, зокрема заповнення форм «Request demo», «Contact us» або інших форм, Компанія може обробляти:

• ім’я та прізвище;
• адресу електронної пошти;
• номер телефону, якщо він надається;
• назву компанії та/або посаду;
• вебсайт компанії;
• посилання на корпоративні або професійні профілі в соціальних мережах;
• інформацію про джерело, з якого користувач дізнався про Компанію;
• зміст звернення, запиту або повідомлення;
• інші дані, які користувач добровільно надає Компанії.

Такі дані можуть оброблятися для комунікації з користувачем, обробки запитів, організації демонстрації Платформи, надання запитуваної інформації та встановлення або розвитку потенційних ділових відносин.

2.2. Дані, що збираються автоматично

Під час використання Сайту та/або Платформи Компанія та/або залучені нею постачальники послуг можуть автоматично обробляти певні технічні дані залежно від відповідного ресурсу та фактично використовуваних технологій, зокрема:

• IP-адресу;
• тип, версію та мову браузера;
• тип пристрою та операційну систему;
• приблизне місцезнаходження, визначене, зокрема, на підставі IP-адреси;
• дату та час доступу;
• дані про авторизацію та сесії;
• інформацію про взаємодію із Сайтом та/або функціоналом Платформи;
• налаштування користувача;
• технічні ідентифікатори, діагностичну інформацію та інформацію про технічні події;
• ідентифікатори cookie та інформацію, отриману за допомогою аналогічних технологій;
• інші технічні дані, необхідні для забезпечення функціонування, безпеки та належної роботи Сайту і Платформи.

Такі дані можуть використовуватися для забезпечення роботи та безпеки Сайту і Платформи, автентифікації та авторизації користувачів, управління сесіями, збереження налаштувань, запобігання шахрайству та зловживанням, технічного моніторингу, діагностики помилок та забезпечення стабільності відповідного ресурсу.

На Сайті технічні дані також можуть оброблятися для аналітичних та маркетингових цілей у випадках та порядку, передбачених цією Політикою та Політикою використання файлів cookie.

На дату останнього оновлення цієї Політики сторонні аналітичні та маркетингові сервіси на Платформі не використовуються.

У випадках, коли використання відповідних технологій потребує попередньої згоди користувача відповідно до застосовного законодавства, така обробка здійснюється після отримання відповідної згоди.

Детальніша інформація про використання cookie та аналогічних технологій визначається Політикою використання файлів cookie Компанії.

2.3. Дані, що обробляються під час демо, вебінарів та інших заходів

У зв’язку з реєстрацією та участю у демонстраціях, вебінарах, презентаціях або інших заходах Компанія може обробляти:

• ім’я та прізвище;
• адресу електронної пошти;
• номер телефону;
• назву компанії та посаду;
• інформацію про компанію, зокрема кількість працівників;
• інформацію про CRM-систему або інші використовувані бізнес-системи;
• інформацію про інтереси та очікування щодо заходу;
• ім’я користувача в сервісі, через який проводиться захід;
• зміст запитань, повідомлень та іншої інформації, добровільно наданої під час заходу;
• зображення та голос - якщо відповідний захід передбачає відео- та/або аудіозапис.

Якщо Компанія здійснює запис заходу для подальшого використання або публікації та для цього відповідно до застосовного законодавства необхідна згода учасника, Компанія отримує таку згоду до здійснення відповідної обробки.

2.4. Дані клієнтів, потенційних клієнтів, постачальників, партнерів та їх представників

У межах ділових відносин Компанія може обробляти:

• ім’я та прізвище;
• посаду та/або роль;
• назву компанії;
• робочі контактні дані;
• інформацію, необхідну для укладення та виконання договорів;
• історію ділової комунікації;
• інші дані, необхідні для встановлення та підтримання відповідних ділових відносин.

Такі дані можуть оброблятися для ведення переговорів, укладення та виконання договорів, підтримання ділових відносин, здійснення розрахунків, виконання юридичних, бухгалтерських і податкових обов’язків, а також захисту прав та законних інтересів Компанії.

2.5. Дані користувачів Платформи CostCare AI

Для створення, активації, адміністрування та використання облікового запису на Платформі Компанія може обробляти:

• ім’я та прізвище користувача;
• адресу електронної пошти;
• номер телефону, якщо він надається;
• найменування юридичної особи або ПІБ фізичної особи-підприємця, з якою пов’язаний обліковий запис;
• посаду, роль та права доступу користувача;
• інформацію про направлення та прийняття запрошення до Платформи;
• дату створення та активації облікового запису;
• дані про авторизацію та сесії;
• інформацію про використання функціоналу Платформи;
• технічні ідентифікатори, діагностичну інформацію та інформацію про технічні події;
• інші дані, які користувач або відповідний клієнт надає для створення та адміністрування облікового запису.

Такі дані обробляються, зокрема, для ідентифікації та авторизації користувача, управління правами доступу, забезпечення функціонування та безпеки Платформи, надання підтримки та виконання зобов’язань Компанії перед відповідним клієнтом.

2.6. Дані про підписку та оплату

У зв’язку з активацією, використанням, продовженням, зміною або припиненням платної підписки Компанія може обробляти:

• інформацію про обраний тариф, пакет та/або підписку;
• статус підписки;
• дату її активації, продовження, зміни або припинення;
• суму та валюту платежу;
• дату та статус платежу;
• ідентифікатор транзакції або платежу;
• інформацію про придбання додаткових функцій, обсяги використання та/або AI-токени;
• іншу інформацію, необхідну для адміністрування підписки, підтвердження оплати, бухгалтерського та податкового обліку.

Оплата підписки та інших платних можливостей Платформи може здійснюватися через сторонніх платіжних провайдерів та/або Merchant of Record, зокрема PayPro Global.

Якщо платіжні дані вводяться безпосередньо у платіжному середовищі відповідного платіжного провайдера або Merchant of Record, такі дані обробляються відповідною третьою особою згідно з її власними умовами та політикою конфіденційності.

Компанія не отримує та не зберігає повний номер платіжної картки, CVV/CVC-код, ім’я держателя картки або інші повні платіжні реквізити, які користувач вводить безпосередньо у платіжному середовищі відповідного платіжного провайдера або Merchant of Record.

Компанія може отримувати інформацію, необхідну для підтвердження та адміністрування платежу і підписки, зокрема статус платежу, суму, валюту, дату платежу, ідентифікатор транзакції та іншу пов’язану інформацію.

2.7. Дані, що обробляються в межах функціоналу штучного інтелекту

Платформа CostCare AI використовує технології штучного інтелекту та пов’язані технології для забезпечення окремих функціональних можливостей, зокрема:

• аналізу текстових, голосових та інших даних;
• автоматизованої обробки запитів;
• генерації відповідей, резюме, рекомендацій або іншого контенту;
• класифікації, структурування та аналізу інформації;
• автоматизації та оптимізації комунікаційних і бізнес-процесів.

Для забезпечення AI-функціоналу Платформа може використовувати сторонніх AI-провайдерів, які підтримуються Платформою, зокрема OpenAI, Anthropic, Google Gemini та DeepSeek. Клієнт самостійно обирає відповідного AI-провайдера для відповідного AI-агента серед доступних у Платформі.

Для формування відповіді відповідному AI-провайдеру через API може передаватися інформація, необхідна для обробки конкретного запиту, зокрема зміст повідомлень, релевантна історія взаємодії, контекст, а також інформація з файлів, документів або інших джерел, до яких Клієнт надав доступ, якщо така інформація необхідна для формування відповіді.

Якщо така інформація містить персональні дані, вони обробляються відповідно до ролі Компанії у відповідній обробці, цієї Політики, Публічної оферти та, у відповідних випадках, DPA.

Компанія не використовує персональні дані, що обробляються від імені Клієнта, для навчання або донавчання власних моделей штучного інтелекту.

При залученні сторонніх AI-провайдерів Компанія використовує відповідні API та конфігурації на умовах, спрямованих на забезпечення обробки переданих даних без їх використання відповідними AI-провайдерами для навчання або донавчання їх моделей для власних цілей, у межах, передбачених умовами відповідного провайдера.

Умови обробки та зберігання інформації відповідним стороннім AI-провайдером визначаються умовами використання відповідного API, налаштуваннями, що застосовуються Компанією, та застосовним законодавством.

2.8. Автоматизоване прийняття рішень

Компанія не здійснює на підставі персональних даних виключно автоматизованого прийняття рішень, включаючи профілювання, яке створює для суб’єкта персональних даних юридичні наслідки або подібним чином істотно на нього впливає, крім випадків, коли така обробка допускається застосовним законодавством та здійснюється з дотриманням передбачених ним умов і гарантій.

Якщо такий вид обробки буде застосовуватися у випадках, на які поширюється стаття 22 GDPR або аналогічні вимоги іншого застосовного законодавства, суб’єкту персональних даних надається інформація та забезпечуються права і гарантії в обсязі, передбаченому таким законодавством.

2.9. Дані, що обробляються в межах комунікацій

Під час використання функціоналу Платформи, пов’язаного з телефонними дзвінками, повідомленнями або іншими формами комунікації, можуть оброблятися:

• номери телефонів та інші контактні дані;
• зміст текстових, голосових або інших комунікацій;
• аудіозаписи - якщо відповідний функціонал передбачає запис;
• транскрипції комунікацій;
• метадані комунікацій, зокрема дата, час, тривалість і статус;
• результати аналізу або обробки таких комунікацій за допомогою функціоналу Платформи.

Якщо Компанія надає відповідний функціонал клієнту та обробляє такі персональні дані від його імені, клієнт визначає цілі використання відповідного функціоналу та несе відповідальність за наявність належної правової підстави для здійснення комунікації, запису, транскрибування або іншої обробки персональних даних, а також за належне інформування відповідних осіб та отримання їхньої згоди, якщо така згода вимагається застосовним законодавством.

Компанія в такому випадку обробляє персональні дані відповідно до документованих інструкцій клієнта та умов відповідного договору і/або DPA.

2.10. Дані клієнтів, що обробляються Компанією як розпорядником

Під час надання послуг Платформи клієнт може передавати або іншим чином робити доступними через Платформу персональні дані третіх осіб.

Щодо таких персональних даних, коли Компанія діє як розпорядник:

• клієнт визначає цілі та засоби відповідної обробки;
• Компанія обробляє персональні дані від імені клієнта та відповідно до його документованих інструкцій;
• Компанія обробляє такі дані лише в обсязі, необхідному для надання Платформи та виконання договору;
• Компанія застосовує належні технічні та організаційні заходи захисту;
• доступ до таких даних надається лише особам, яким він необхідний для виконання відповідних функцій;
• залучення суброзпорядників здійснюється відповідно до умов договору, DPA та вимог застосовного законодавства.

Клієнт несе відповідальність за законність збору, використання та передачі таких персональних даних Компанії, наявність відповідних правових підстав та виконання обов’язків щодо інформування суб’єктів персональних даних.

Детальні умови такої обробки визначаються договором із клієнтом та, у випадках, коли це передбачено застосовним законодавством, Data Processing Agreement (DPA).

Компанія може отримувати персональні дані безпосередньо від суб’єкта персональних даних, від клієнтів, партнерів та інших третіх осіб, автоматично під час використання Сайту та/або Платформи, з відкритих джерел, а також через сторонні сервіси та інтеграції.

3.1. Безпосередньо від вас

Компанія отримує персональні дані, які ви надаєте, зокрема під час:

• заповнення форм на Сайті, зокрема «Contact us», «Request demo» та інших форм;
• звернення до Компанії електронною поштою, через месенджери або інші канали комунікації;
• реєстрації на демонстрації, вебінари, презентації або інші заходи;
• створення та/або активації облікового запису на Платформі;
• використання облікового запису та функціональних можливостей Платформи;
• активації, зміни, продовження або припинення підписки;
• здійснення оплати за використання Платформи або придбання додаткових платних функцій;
• укладення та виконання договорів із Компанією;
• надання Компанії іншої інформації в межах використання Сайту, Платформи або взаємодії з Компанією.

3.2. Від клієнтів, роботодавців, партнерів та інших третіх осіб

Компанія може отримувати персональні дані від:

• клієнтів Компанії, зокрема під час створення облікових записів користувачів та використання Платформи;
• роботодавців, контрагентів або інших осіб, яких ви представляєте;
• партнерів, постачальників та підрядників Компанії;
• інших третіх осіб, які мають належні правові підстави для передачі відповідних персональних даних.

Такі дані можуть передаватися Компанії, зокрема, для:

• створення та адміністрування облікового запису;
• надання доступу до Платформи;
• надання послуг відповідному клієнту;
• встановлення та підтримання ділових відносин;
• виконання договорів;
• здійснення комунікації;
• забезпечення роботи окремих функціональних можливостей Платформи.

Якщо Компанія отримує персональні дані від клієнта та обробляє їх як розпорядник, порядок такої обробки визначається відповідним договором із клієнтом та, у випадках, передбачених застосовним законодавством, DPA.

3.3. Автоматично під час використання Сайту та/або Платформи

Певні дані можуть збиратися автоматично під час використання Сайту та/або Платформи за допомогою файлів cookie, аналогічних технологій та інших технічних засобів, необхідних для забезпечення їх функціонування, безпеки та стабільності.

Залежно від відповідного ресурсу та фактично використовуваних технологій до таких даних можуть належати IP-адреса, інформація про браузер, пристрій та операційну систему, дата і час доступу, інформація про сесію, технічні ідентифікатори, діагностична інформація, технічні події та інформація про взаємодію користувача із Сайтом та/або Платформою.

На Сайті можуть використовуватися аналітичні та маркетингові технології відповідно до Політики використання файлів cookie Компанії та, у випадках, передбачених застосовним законодавством, після отримання необхідної згоди користувача.

На дату останнього оновлення цієї Політики сторонні аналітичні та маркетингові сервіси на Платформі не використовуються.

На Платформі можуть оброблятися технічні ідентифікатори та діагностична інформація, необхідні для автентифікації, авторизації, технічного моніторингу, діагностики помилок, забезпечення стабільності та безпеки Платформи.

Використання файлів cookie та аналогічних технологій додатково регулюється Політикою використання файлів cookie Компанії.

3.4. З відкритих джерел

Компанія може отримувати персональні дані із законно доступних відкритих джерел, зокрема:

• публічних реєстрів;
• корпоративних вебсайтів;
• професійних соціальних мереж;
• інших загальнодоступних ресурсів.

Такі дані можуть використовуватися, зокрема, для встановлення та підтримання ділових контактів, перевірки інформації про потенційних клієнтів, партнерів, постачальників або їх представників та інших законних ділових цілей відповідно до застосовного законодавства.

Наявність персональних даних у відкритому джерелі сама по собі не означає, що такі дані можуть використовуватися Компанією без будь-яких обмежень. Компанія обробляє такі дані лише за наявності належної правової підстави та з урахуванням прав і законних інтересів суб’єктів персональних даних.

3.5. Від сторонніх сервісів та інтеграцій

Компанія може отримувати персональні дані або іншу пов’язану інформацію через сторонні сервіси та інтеграції, які фактично використовуються для забезпечення діяльності Компанії та функціонування Сайту і Платформи, зокрема:

• CRM та інші бізнес-інструменти;
• аналітичні та маркетингові сервіси, що використовуються на Сайті;
• сервіси електронної пошти, комунікації та клієнтської підтримки;
• платформи для проведення демонстрацій, вебінарів та інших заходів;
• платіжних провайдерів та Merchant of Record;
• постачальників хмарної інфраструктури та баз даних;
• сервіси автентифікації та авторизації;
• сервіси технічного моніторингу та діагностики помилок;
• AI-провайдерів та API, якщо відповідна інтеграція передбачає отримання даних.

Обсяг отримуваних даних залежить від конкретного сервісу, характеру інтеграції, налаштувань та функціоналу, який фактично використовується.

На дату останнього оновлення цієї Політики сторонні аналітичні та маркетингові сервіси на Платформі не використовуються.

3.6. Персональні дані, надані іншою особою

Якщо клієнт, користувач або інша третя особа надає Компанії персональні дані іншої фізичної особи, така особа повинна мати належну правову підставу для їх передачі та, якщо це вимагається застосовним законодавством, належним чином повідомити відповідного суб’єкта персональних даних та/або отримати необхідну згоду.

Коли Компанія обробляє такі персональні дані як розпорядник від імені клієнта, відповідальність сторін щодо законності збору, передачі та подальшої обробки персональних даних визначається застосовним законодавством, договором із клієнтом та відповідним DPA.

3.7. Інформування у разі отримання персональних даних не від суб’єкта персональних даних

Якщо Компанія отримує персональні дані не безпосередньо від суб’єкта персональних даних та до відповідної обробки застосовується стаття 14 GDPR або аналогічні вимоги іншого застосовного законодавства, Компанія надає суб’єкту персональних даних передбачену законодавством інформацію у строки та порядку, встановлені таким законодавством, якщо відповідний обов’язок не підпадає під передбачений законом виняток.

Якщо Компанія обробляє такі персональні дані виключно як розпорядник (processor) від імені клієнта, виконання обов’язків щодо інформування суб’єктів персональних даних здійснюється відповідно до розподілу обов’язків між Компанією та клієнтом, установленого застосовним законодавством, договором та DPA.

Компанія обробляє персональні дані лише для визначених, чітких та законних цілей. Конкретна мета обробки залежить від характеру взаємодії з користувачем, клієнтом або іншою особою, а також від функціональних можливостей Сайту та/або Платформи, що використовуються.

4.1. Комунікація та обробка запитів

Персональні дані можуть оброблятися з метою:

• надання відповідей на запити та звернення;
• забезпечення зворотного зв’язку;
• обробки заявок на демонстрацію Платформи;
• надання інформації про продукти та послуги Компанії;
• ведення ділового листування;
• встановлення та підтримання комунікації з потенційними клієнтами, партнерами та іншими особами.

4.2. Організація та проведення демонстрацій, вебінарів та інших заходів

Персональні дані можуть оброблятися для:

• реєстрації учасників;
• створення та надання доступу до заходу;
• надсилання запрошень, нагадувань та пов’язаних матеріалів;
• забезпечення участі у заході;
• комунікації з учасниками;
• здійснення аудіо- та/або відеозапису заходу та подальшого використання відповідних матеріалів - за наявності належної правової підстави та, якщо це вимагається застосовним законодавством, відповідної згоди.

4.3. Встановлення, укладення та виконання договірних відносин

Компанія може обробляти персональні дані для:

• проведення переговорів та здійснення дій до укладення договору;
• укладення та виконання договорів;
• ідентифікації клієнтів, партнерів, постачальників та їх представників;
• комунікації в межах виконання договірних зобов’язань;
• надання послуг;
• здійснення розрахунків;
• ведення бухгалтерського, податкового та іншого обліку;
• виконання інших договірних та юридичних зобов’язань.

4.4. Надання та адміністрування доступу до Платформи CostCare AI

Персональні дані можуть оброблятися для:

• створення, активації та адміністрування облікового запису;
• ідентифікації та авторизації користувача;
• управління ролями та правами доступу;
• надання доступу до функціональних можливостей Платформи;
• забезпечення належної роботи Платформи;
• надання технічної та клієнтської підтримки;
• забезпечення безпеки облікового запису;
• виконання зобов’язань Компанії перед відповідним клієнтом.

4.5. Адміністрування підписки та платежів

Компанія може обробляти персональні дані та пов’язану з ними інформацію для:

• активації, продовження, зміни та припинення підписки;
• адміністрування тарифів, пакетів та додаткових платних можливостей;
• підтвердження статусу платежу;
• взаємодії з платіжними провайдерами та/або Merchant of Record;
• обліку придбаних додаткових функцій, обсягів використання та/або AI-токенів;
• ведення бухгалтерського та податкового обліку;
• виконання інших юридичних та договірних зобов’язань, пов’язаних із оплатою та підпискою.

4.6. Забезпечення AI-функціоналу Платформи

У випадках використання функціональних можливостей Платформи, що базуються на технологіях штучного інтелекту, дані можуть оброблятися для:

• аналізу інформації, наданої через Платформу;
• автоматизованої обробки запитів;
• генерації відповідей, резюме, рекомендацій та іншого контенту;
• транскрибування та аналізу комунікацій;
• класифікації та структурування інформації;
• автоматизації робочих та комунікаційних процесів;
• забезпечення інших AI-функцій, доступних у межах Платформи.

Якщо Компанія здійснює таку обробку як розпорядник від імені клієнта, цілі відповідної обробки визначаються клієнтом, а Компанія обробляє персональні дані відповідно до документованих інструкцій клієнта, договору та, у відповідних випадках, DPA.

4.7. Покращення продуктів, аналітика та розвиток функціональності

Компанія може обробляти персональні та технічні дані в обсязі, необхідному для:

• аналізу використання Сайту;
• оцінки роботи окремих функцій Сайту та Платформи;
• технічного моніторингу та діагностики помилок;
• забезпечення стабільності та належної роботи Сайту і Платформи;
• покращення користувацького досвіду;
• розвитку та оптимізації функціональності;
• проведення внутрішньої аналітики та формування статистики в межах даних, які Компанія законно обробляє.

Аналітичні та маркетингові технології можуть використовуватися на Сайті відповідно до цієї Політики та Політики використання файлів cookie.

На дату останнього оновлення цієї Політики сторонні аналітичні та маркетингові сервіси на Платформі не використовуються.

Якщо відповідна обробка здійснюється із застосуванням cookie або аналогічних технологій, для яких законодавство вимагає попередньої згоди, така обробка здійснюється після отримання відповідної згоди.

4.8. Маркетинг та просування

Персональні дані можуть оброблятися для:

• надсилання інформаційних та маркетингових повідомлень;
• інформування про продукти, послуги, оновлення та заходи Компанії;
• проведення маркетингових кампаній;
• оцінки ефективності маркетингових заходів;
• персоналізації маркетингових комунікацій - у межах, дозволених застосовним законодавством.

Маркетингові комунікації здійснюються на підставі згоди суб’єкта персональних даних або іншої належної правової підстави, передбаченої застосовним законодавством.

Користувач має право у будь-який момент відмовитися від отримання маркетингових повідомлень, зокрема шляхом використання функції «unsubscribe» у відповідному повідомленні або звернення до Компанії.

Відмова від маркетингових повідомлень не впливає на отримання сервісних, транзакційних, безпекових або інших повідомлень, необхідних для виконання договору, адміністрування облікового запису чи надання Платформи.

4.9. Забезпечення безпеки та запобігання зловживанням

Персональні дані та технічна інформація можуть оброблятися для:

• забезпечення інформаційної та кібербезпеки;
• захисту Сайту, Платформи, облікових записів та інформаційних систем;
• запобігання шахрайству, несанкціонованому доступу та іншим зловживанням;
• виявлення, аналізу та розслідування інцидентів безпеки;
• технічного моніторингу, діагностики помилок та аналізу технічних подій;
• забезпечення стабільності та належного функціонування Сайту і Платформи;
• захисту прав та законних інтересів Компанії, її клієнтів і користувачів.

4.10. Виконання вимог законодавства

Компанія може обробляти персональні дані для:

• виконання обов’язків, встановлених застосовним законодавством;
• ведення бухгалтерського, податкового та іншого обов’язкового обліку;
• виконання законних вимог компетентних державних органів;
• виконання судових рішень та інших обов’язкових вимог;
• зберігання документів та інформації протягом установлених законом строків.

4.11. Захист прав та законних інтересів

Персональні дані можуть оброблятися для:

• встановлення, здійснення та захисту правових вимог;
• врегулювання претензій та спорів;
• захисту прав та законних інтересів Компанії;
• забезпечення доказової бази;
• забезпечення виконання договорів;
• захисту Компанії, її клієнтів та користувачів від неправомірних дій.

4.12. Несумісне подальше використання

Компанія не здійснює подальшу обробку персональних даних для цілей, несумісних із цілями, для яких такі дані були первісно зібрані, якщо для такої подальшої обробки відсутня окрема належна правова підстава.

Якщо для нової мети обробки відповідно до застосовного законодавства необхідна згода суб’єкта персональних даних, Компанія отримує таку згоду до початку відповідної обробки.

Компанія обробляє персональні дані лише за наявності належної правової підстави відповідно до застосовного законодавства.

Правова підстава залежить від категорії персональних даних, мети та обставин їх обробки, характеру взаємодії із суб’єктом персональних даних, а також від того, чи діє Компанія як володілець персональних даних (controller) або як розпорядник персональних даних (processor).

У випадках, коли до відповідної обробки застосовується GDPR, Компанія здійснює обробку, зокрема, на підставах, передбачених статтею 6 GDPR.

5.1. Згода суб’єкта персональних даних

Компанія може обробляти персональні дані на підставі згоди суб’єкта персональних даних у випадках, коли така згода є необхідною відповідно до застосовного законодавства, зокрема для:

• надсилання окремих маркетингових та інформаційних повідомлень;
• використання аналітичних, маркетингових та інших необов’язкових cookie і подібних технологій;
• здійснення окремих видів аудіо- та/або відеозапису;
• використання матеріалів із зображенням або голосом особи;
• інших видів обробки, для яких застосовне законодавство вимагає отримання згоди.

Якщо обробка здійснюється на підставі згоди, така згода повинна бути добровільною, конкретною, поінформованою та однозначною у випадках і в обсязі, передбачених застосовним законодавством.

Суб’єкт персональних даних має право відкликати свою згоду в будь-який момент у спосіб, не складніший за спосіб її надання, якщо інше не випливає з характеру відповідної обробки.

Відкликання згоди не впливає на законність обробки, здійсненої на підставі згоди до моменту її відкликання.

5.2. Необхідність для укладення та виконання договору

Компанія може обробляти персональні дані, якщо така обробка необхідна для виконання договору, стороною якого є відповідна фізична особа, або для здійснення заходів на запит такої особи до укладення договору.

Зокрема, така обробка може здійснюватися для:

• обробки запиту на отримання послуг;
• створення та адміністрування облікового запису;
• надання доступу до Платформи;
• активації та адміністрування підписки;
• надання замовлених послуг;
• здійснення пов’язаної з договором комунікації;
• виконання інших договірних зобов’язань.

Якщо клієнтом Компанії є юридична особа, а персональні дані обробляються щодо її працівників, представників або інших користувачів Платформи, правова підстава такої обробки визначається залежно від конкретних обставин і може відрізнятися від необхідності виконання договору із суб’єктом персональних даних.

5.3. Виконання юридичного обов’язку

Компанія може обробляти персональні дані, якщо така обробка необхідна для виконання юридичного обов’язку, покладеного на Компанію відповідно до застосовного законодавства, зокрема для:

• ведення бухгалтерського та податкового обліку;
• зберігання документів протягом установлених законодавством строків;
• виконання законних вимог державних, контролюючих, правоохоронних та інших компетентних органів;
• виконання судових рішень та інших обов’язкових вимог;
• виконання інших обов’язків, установлених застосовним законодавством.

5.4. Законний інтерес

У випадках, передбачених застосовним законодавством, Компанія може обробляти персональні дані, якщо така обробка необхідна для реалізації законних інтересів Компанії або третьої особи та якщо над такими інтересами не переважають права, свободи та законні інтереси суб’єкта персональних даних.

До таких законних інтересів можуть належати:

• забезпечення безпеки Сайту, Платформи, інформаційних систем та облікових записів;
• запобігання шахрайству, зловживанням та несанкціонованому доступу;
• забезпечення належного функціонування та вдосконалення продуктів і сервісів;
• внутрішня аналітика, необхідна для ведення та розвитку діяльності Компанії;
• підтримання та розвиток ділових відносин;
• здійснення прямих маркетингових комунікацій у випадках та межах, дозволених застосовним законодавством;
• встановлення, здійснення та захист правових вимог;
• захист прав та законних інтересів Компанії, її клієнтів та користувачів.

У випадках, коли це вимагається застосовним законодавством, перед здійсненням обробки на підставі законного інтересу Компанія оцінює необхідність такої обробки та співвідношення відповідного інтересу з правами і свободами суб’єкта персональних даних.

5.5. Інші правові підстави

У випадках, передбачених застосовним законодавством, Компанія може здійснювати обробку персональних даних на інших правових підставах, зокрема якщо така обробка необхідна для захисту життєво важливих інтересів фізичної особи або виконання іншої передбаченої законом мети.

Компанія застосовує таку правову підставу лише за наявності відповідних фактичних та юридичних обставин.

5.6. Обробка Компанією як розпорядником персональних даних

Коли Компанія обробляє персональні дані від імені клієнта як розпорядник (processor), Компанія не визначає самостійно правову підставу для обробки, яку здійснює клієнт як володілець персональних даних (controller).

Відповідний клієнт несе відповідальність за визначення належної правової підстави для збору та обробки персональних даних, що передаються Компанії або обробляються за допомогою Платформи.

Компанія в такому випадку обробляє персональні дані відповідно до документованих інструкцій клієнта, договору та, у відповідних випадках, DPA.

5.7. Спеціальні категорії персональних даних

Компанія не має на меті збирати спеціальні категорії персональних даних, якщо така обробка не є необхідною для використання відповідного функціоналу Платформи або надання послуг та не має належної правової підстави.

Якщо до обробки застосовується GDPR та обробляються спеціальні категорії персональних даних у розумінні статті 9 GDPR, така обробка здійснюється лише за наявності однієї з передбачених GDPR підстав та з дотриманням відповідних гарантій.

Клієнт не повинен передавати через Платформу спеціальні категорії персональних даних, якщо це не є необхідним для законного використання відповідного функціоналу та не має належної правової підстави.

6.1. Використання cookie та аналогічних технологій

Компанія може використовувати файли cookie та аналогічні технології у зв’язку з функціонуванням Сайту та Платформи.

На Сайті такі технології можуть використовуватися для забезпечення належної та безпечної роботи Сайту, збереження налаштувань користувача, аналізу використання Сайту, покращення функціональності та користувацького досвіду, а також для аналітичних і маркетингових цілей у випадках, дозволених застосовним законодавством.

На Платформі файли cookie та аналогічні технології можуть використовуватися, зокрема, для забезпечення її роботи, автентифікації та авторизації користувачів, управління сесіями, збереження налаштувань та забезпечення безпеки.

На дату останнього оновлення цієї Політики сторонні аналітичні та маркетингові сервіси на Платформі не використовуються.

У зв’язку з використанням файлів cookie та аналогічних технологій можуть оброблятися, зокрема, IP-адреса, ідентифікатори cookie, інформація про браузер і пристрій, інформація про сесію та взаємодію користувача з відповідним ресурсом.

6.2. Аналітичні та маркетингові технології

Аналітичні та маркетингові технології можуть використовуватися на Сайті для аналізу його використання, оцінки ефективності, покращення користувацького досвіду, вимірювання конверсій та ефективності рекламних кампаній, а також для інших пов’язаних цілей відповідно до застосовного законодавства.

Якщо для використання таких технологій застосовне законодавство вимагає згоди користувача, вони не активуються до отримання відповідної згоди.

На дату останнього оновлення цієї Політики сторонні аналітичні та маркетингові сервіси на Платформі не використовуються.

6.3. Сторонні технології

Для забезпечення функціонування Сайту та/або Платформи, аналітики, маркетингу та інших пов’язаних цілей можуть використовуватися технології третіх осіб.

Залежно від конкретного сервісу та характеру обробки такі треті особи можуть діяти як розпорядники персональних даних, самостійні володільці персональних даних або, у передбачених застосовним законодавством випадках, спільні володільці персональних даних.

Обсяг даних, цілі та способи їх обробки відповідними третіми особами залежать від конкретного сервісу та характеру його використання.

6.4. Політика використання файлів cookie

Детальна інформація про категорії cookie та подібних технологій, цілі їх використання, залучені сторонні сервіси, порядок надання, зміни та відкликання згоди, а також способи управління cookie визначається окремою Політикою використання файлів cookie Компанії, доступною на Сайті та/або Платформі.

Компанія може передавати персональні дані або надавати доступ до них третім особам лише в обсязі, необхідному для досягнення цілей обробки, визначених цією Політикою, надання та забезпечення функціонування Сайту і Платформи, виконання договірних та юридичних зобов’язань Компанії, а також в інших випадках, передбачених застосовним законодавством.

Залежно від характеру конкретної обробки відповідні треті особи можуть діяти як розпорядники персональних даних (processors), суброзпорядники (sub-processors), самостійні володільці персональних даних (independent controllers) або, у передбачених застосовним законодавством випадках, спільні володільці персональних даних (joint controllers).

7.1. Категорії отримувачів персональних даних

Компанія може передавати персональні дані або надавати доступ до них таким категоріям отримувачів:

• постачальникам хостингових, хмарних та інших послуг технічної інфраструктури;
• постачальникам CRM та інших бізнес-інструментів;
• постачальникам сервісів електронної пошти, комунікації, клієнтської підтримки, проведення демонстрацій, вебінарів та інших заходів;
• постачальникам аналітичних та маркетингових сервісів;
• постачальникам AI-моделей, API та інших технологічних сервісів, необхідних для забезпечення відповідного функціоналу Платформи;
• платіжним провайдерам, Merchant of Record та іншим особам, залученим до здійснення й адміністрування платежів;
• професійним консультантам Компанії, зокрема юридичним, бухгалтерським, аудиторським та податковим радникам, якщо доступ до відповідних даних необхідний для надання їхніх послуг;
• державним, судовим, правоохоронним, контролюючим та іншим компетентним органам - у випадках і в обсязі, передбачених застосовним законодавством;
• іншим третім особам - за наявності належної правової підстави та з дотриманням вимог застосовного законодавства.

7.2. Платіжні провайдери та Merchant of Record

Для приймання та адміністрування платежів за використання Платформи Компанія використовує та/або може використовувати сторонніх платіжних провайдерів та Merchant of Record, зокрема PayPro Global.

Залежно від моделі відповідного сервісу платіжний провайдер або Merchant of Record може самостійно обробляти персональні та платіжні дані користувача відповідно до власних юридичних обов’язків, умов використання та політики конфіденційності.

Якщо користувач вводить платіжні реквізити безпосередньо у платіжному середовищі відповідного платіжного провайдера або Merchant of Record, Компанія не отримує та не зберігає повний номер платіжної картки, CVV/CVC-код, ім’я держателя картки або інші повні платіжні реквізити, які користувач вводить безпосередньо у відповідному платіжному середовищі.

Компанія може отримувати від відповідного провайдера інформацію, необхідну для підтвердження та адміністрування платежу і підписки, зокрема статус платежу, суму, валюту, дату платежу, ідентифікатор транзакції та іншу пов’язану інформацію.

7.3. Постачальники AI та технологічної інфраструктури

Для забезпечення функціонування Платформи та окремих її функціональних можливостей Компанія може залучати сторонніх постачальників AI-моделей, API, хмарної інфраструктури, баз даних, автентифікації та авторизації, технічного моніторингу, діагностики помилок та інших технологічних сервісів.

До таких постачальників можуть належати, зокрема, Amazon Web Services (AWS), MongoDB Atlas, PropelAuth, Sentry, OpenAI, Anthropic, Google Gemini та DeepSeek.

Конкретний склад постачальників, які залучаються до обробки даних конкретного Клієнта, залежить від функціоналу Платформи, налаштувань Клієнта, обраного AI-провайдера, підключених інтеграцій та інших сервісів, які фактично використовуються.

Якщо відповідний постачальник обробляє персональні дані від імені Компанії у зв’язку з обробкою персональних даних від імені Клієнта, його залучення здійснюється відповідно до DPA та актуального Переліку субпроцесорів (Subprocessor List).

Актуальний Перелік субпроцесорів підтримується Компанією в електронній формі та містить додаткову інформацію щодо відповідних постачальників і характеру їх залучення.

7.4. Дані, що обробляються від імені клієнтів

У межах використання Платформи клієнти можуть передавати Компанії або іншим способом робити доступними через Платформу персональні дані третіх осіб.

Коли щодо таких даних Компанія діє як розпорядник:

• клієнт є володільцем персональних даних або іншою особою, яка має законне право доручити Компанії їх обробку;
• Компанія обробляє відповідні персональні дані від імені клієнта та відповідно до його документованих інструкцій;
• передача таких даних суброзпорядникам здійснюється в межах, необхідних для надання послуг;
• порядок залучення суброзпорядників та відповідні гарантії визначаються договором, DPA та застосовним законодавством.

7.5. Розкриття даних відповідно до законодавства

Компанія може розкривати персональні дані державним органам, судам, правоохоронним, контролюючим та іншим компетентним органам, якщо таке розкриття необхідне для:

• виконання юридичного обов’язку;
• виконання законного та обов’язкового запиту компетентного органу;
• виконання судового рішення;
• встановлення, здійснення або захисту правових вимог;
• захисту прав, безпеки та законних інтересів Компанії, її клієнтів, користувачів або інших осіб - у випадках, передбачених застосовним законодавством.

7.6. Міжнародна передача персональних даних

У зв’язку з використанням Компанією міжнародних технологічних, хмарних, аналітичних, комунікаційних, платіжних та інших сервісів персональні дані можуть оброблятися або передаватися до держав, відмінних від держави перебування відповідного суб’єкта персональних даних.

Компанія здійснює міжнародну передачу персональних даних відповідно до вимог застосовного законодавства.

Якщо до відповідної передачі застосовується GDPR та персональні дані передаються за межі Європейської економічної зони до держави, щодо якої відсутнє чинне рішення Європейської Комісії про належний рівень захисту, Компанія застосовує належний механізм передачі відповідно до глави V GDPR, якщо інше не передбачено GDPR.

Такими механізмами можуть бути, зокрема, Стандартні договірні положення Європейської Комісії (Standard Contractual Clauses-SCCs) або інший передбачений застосовним законодавством механізм.

У випадках, коли це вимагається застосовним законодавством, Компанія також застосовує додаткові технічні, організаційні та/або договірні заходи захисту.

У випадках, передбачених застосовним законодавством, суб’єкт персональних даних може звернутися до Компанії за контактними даними, зазначеними в розділі 15 цієї Політики, для отримання додаткової інформації про застосовувані механізми та гарантії міжнародної передачі персональних даних, а також інформації про можливість отримання їх копії.

7.7. Принципи передачі персональних даних

Під час передачі персональних даних Компанія, залежно від характеру відповідної обробки та своєї ролі, вживає належних заходів для того, щоб:

• передавалися лише персональні дані, необхідні для відповідної мети;
• доступ до персональних даних мали лише особи, яким він необхідний;
• отримувачі обробляли персональні дані відповідно до визначеної мети та застосовних вимог;
• застосовувалися належні договірні, організаційні та технічні заходи захисту;
• міжнародні передачі здійснювалися із застосуванням необхідних правових механізмів.

7.8. Самостійна обробка третіми особами

Якщо третя особа отримує персональні дані та надалі обробляє їх як самостійний володілець персональних даних, така третя особа самостійно визначає цілі та засоби відповідної подальшої обробки та несе відповідальність за виконання власних обов’язків відповідно до застосовного законодавства.

У таких випадках відповідна обробка може додатково регулюватися умовами використання та політикою конфіденційності такої третьої особи.

Компанія може використовувати соціальні мережі та інші сторонні онлайн-платформи для комунікації з користувачами, поширення інформації про CostCare AI, проведення маркетингових заходів та забезпечення окремих функціональних можливостей Сайту.

8.1. Посилання та інтеграції із соціальними мережами

Сайт може містити посилання на сторінки Компанії у соціальних мережах та/або окремі елементи чи інтеграції сторонніх онлайн-платформ, які фактично використовуються Компанією.

При переході користувача на вебсайт, сервіс або платформу відповідної третьої особи подальша обробка персональних даних такою третьою особою здійснюється відповідно до її власних умов використання, політики конфіденційності та налаштувань користувача.

Якщо використання відповідного стороннього елемента або інтеграції на Сайті передбачає обробку персональних даних або використання файлів cookie чи аналогічних технологій, така обробка здійснюється відповідно до застосовного законодавства та, якщо це вимагається, після отримання попередньої згоди користувача.

8.2. Передача даних через інтегровані елементи

Якщо на Сайті використовуються вбудовані елементи, пікселі, віджети, відеоплеєри або інші технології сторонніх платформ, у зв’язку з їх використанням відповідній третій особі можуть передаватися певні технічні дані, зокрема IP-адреса, інформація про браузер і пристрій, ідентифікатори cookie та інформація про взаємодію із відповідним елементом.

Якщо відповідно до застосовного законодавства для завантаження або використання такої технології необхідна попередня згода користувача, відповідна технологія активується лише після отримання такої згоди.

Детальніша інформація про використання cookie та подібних технологій визначається Політикою використання файлів cookie Компанії.

8.3. Взаємодія з Компанією у соціальних мережах

Якщо користувач взаємодіє зі сторінкою або профілем Компанії у соціальній мережі, зокрема підписується на сторінку, надсилає повідомлення, залишає коментар, ставить реакцію або іншим способом взаємодіє з опублікованим контентом, Компанія може отримувати та обробляти інформацію, яку відповідна соціальна мережа робить доступною Компанії.

До такої інформації, залежно від платформи та налаштувань користувача, можуть належати:

• ім’я або ім’я профілю;
• фотографія профілю;
• зміст повідомлень, коментарів та інших звернень;
• інформація про реакції та іншу взаємодію з контентом;
• інша інформація, яку користувач зробив доступною через відповідну платформу.

Компанія обробляє такі дані для комунікації з користувачем, відповіді на його звернення, адміністрування сторінок Компанії, аналізу взаємодії з контентом та інших законних цілей, визначених цією Політикою.

8.4. Ролі Компанії та операторів соціальних мереж

Залежно від конкретного сервісу, функціоналу та характеру обробки Компанія й оператор відповідної соціальної мережі можуть діяти як самостійні володільці персональних даних або, у випадках, передбачених застосовним законодавством, як спільні володільці персональних даних (joint controllers).

Якщо Компанія та оператор відповідної платформи спільно визначають цілі та засоби певної обробки персональних даних, їхні обов’язки щодо такої обробки визначаються відповідно до застосовного законодавства та відповідних домовленостей між сторонами.

8.5. Самостійна обробка даних соціальними мережами

Оператори соціальних мереж та інших сторонніх платформ можуть самостійно обробляти персональні дані користувачів для власних цілей, зокрема відповідно до власних політик конфіденційності та налаштувань користувача.

Компанія не визначає цілі та засоби такої самостійної обробки третьою особою, якщо Компанія не бере участі у визначенні відповідних цілей та засобів.

Це не обмежує та не виключає обов’язків Компанії щодо тієї обробки персональних даних, за яку Компанія відповідно до застосовного законодавства виступає володільцем, розпорядником або спільним володільцем персональних даних.

Компанія зберігає персональні дані не довше, ніж це необхідно для досягнення цілей, для яких вони були зібрані або іншим чином обробляються, якщо більш тривалий строк зберігання не передбачений договором, необхідністю встановлення, здійснення або захисту правових вимог чи вимогами застосовного законодавства.

Під час визначення строку зберігання Компанія враховує, зокрема, характер та обсяг персональних даних, цілі їх обробки, тривалість відносин із відповідною особою або клієнтом, можливі ризики для прав і свобод суб’єктів персональних даних, строки позовної давності та обов’язкові строки зберігання документів.

9.1. Дані, отримані через Сайт та під час комунікації

Персональні дані, отримані через контактні форми, запити на демонстрацію, електронну пошту або інші канали комунікації, зберігаються протягом строку, необхідного для опрацювання відповідного запиту та подальшої комунікації, а також протягом додаткового строку, якщо це необхідно для підтвердження історії взаємодії, захисту прав та законних інтересів Компанії або виконання вимог законодавства.

9.2. Дані клієнтів, партнерів, постачальників та їх представників

Персональні дані, що обробляються у зв’язку з укладенням та виконанням договорів або підтриманням ділових відносин, можуть зберігатися протягом строку дії відповідних відносин, а після їх припинення - протягом строків, необхідних для виконання вимог бухгалтерського, податкового та іншого застосовного законодавства, а також для встановлення, здійснення або захисту правових вимог.

9.3. Дані користувачів Платформи

Дані облікового запису користувача зберігаються протягом строку існування відповідного облікового запису та/або строку дії договірних відносин із відповідним клієнтом.

Після припинення використання Платформи, деактивації або видалення облікового запису відповідні персональні дані видаляються, анонімізуються або зберігаються протягом додаткового строку, якщо це необхідно для виконання вимог застосовного законодавства, забезпечення безпеки, запобігання шахрайству, врегулювання спорів або захисту правових вимог.

9.4. Дані клієнта, що обробляються Компанією як розпорядником

Якщо Компанія обробляє персональні дані від імені клієнта як розпорядник (processor), строки зберігання, повернення та/або видалення таких даних визначаються документованими інструкціями клієнта, відповідним договором та DPA з урахуванням вимог застосовного законодавства.

Після отримання належного запиту на видалення даних Клієнта відповідні дані видаляються з основної бази даних без невиправданої затримки після завершення необхідних технічних операцій, якщо їх подальше зберігання не вимагається застосовним законодавством.

Дані, що містяться в резервних копіях, видаляються в межах стандартного циклу ротації резервних копій, який становить не більше 30 календарних днів, якщо інший строк не вимагається застосовним законодавством. До моменту видалення з резервних копій такі дані не використовуються для звичайних операційних цілей та зберігаються виключно в межах відповідних процедур резервного копіювання та відновлення.

9.5. Дані про підписку та платежі

Інформація, пов’язана з підпискою, платежами та розрахунками, зберігається протягом строку, необхідного для адміністрування відповідної підписки та виконання договору, а після припинення договірних відносин — протягом строків, передбачених бухгалтерським, податковим та іншим застосовним законодавством, а також протягом строків, необхідних для вирішення платіжних спорів та захисту правових вимог.

Платіжні дані, які самостійно обробляються платіжним провайдером або Merchant of Record, зберігаються відповідною третьою особою згідно з її власними строками зберігання та юридичними обов’язками.

9.6. Маркетингові дані

Персональні дані, що використовуються для маркетингових комунікацій, можуть зберігатися протягом строку існування відповідних ділових відносин та/або до моменту відкликання згоди, відмови від отримання маркетингових повідомлень чи реалізації права на заперечення проти відповідної обробки — залежно від правової підстави обробки.

Після отримання відмови від маркетингових комунікацій Компанія може зберігати мінімальний обсяг інформації, необхідний для забезпечення виконання такої відмови та недопущення повторного надсилання відповідних повідомлень.

9.7. Cookie та аналітичні дані

Строки зберігання даних, отриманих за допомогою cookie та подібних технологій, залежать від категорії відповідної технології та конкретного сервісу.

Детальна інформація про строки дії та зберігання відповідних cookie визначається Політикою використання файлів cookie та/або налаштуваннями відповідного механізму управління cookie.

Якщо обробка здійснюється на підставі згоди, її відкликання припиняє подальшу обробку на цій підставі, крім випадків, коли для подальшого зберігання відповідних даних існує інша належна правова підстава.

9.8. Дані, пов’язані з демонстраціями, вебінарами та іншими заходами

Персональні дані учасників демонстрацій, вебінарів, презентацій та інших заходів зберігаються протягом строку, необхідного для організації, проведення та супроводу відповідного заходу, а також протягом додаткового строку, якщо це необхідно для законних цілей Компанії та допускається застосовним законодавством.

Якщо здійснюється аудіо- або відеозапис заходу, строк його зберігання та використання визначається відповідною метою обробки, наданою інформацією та/або згодою суб’єкта персональних даних, якщо така згода є правовою підставою обробки.

9.9. Технічні журнали та дані безпеки

Технічні журнали, журнали авторизації, інформація про події безпеки та інші технічні дані можуть зберігатися протягом строку, необхідного для забезпечення безпеки Сайту та Платформи, діагностики технічних проблем, запобігання зловживанням, розслідування інцидентів та захисту прав Компанії і користувачів.

9.10. Видалення та анонімізація

Після закінчення відповідного строку зберігання персональні дані видаляються або анонімізуються, якщо їх подальше зберігання не вимагається застосовним законодавством або не ґрунтується на іншій належній правовій підставі.

Інформація, яка була належним чином анонімізована таким чином, що відповідна фізична особа більше не може бути ідентифікована, може зберігатися та використовуватися Компанією без обмежень, установлених законодавством для персональних даних.

Залежно від застосовного законодавства та характеру конкретної обробки суб’єкт персональних даних має права щодо своїх персональних даних, передбачені, зокрема, Законом України «Про захист персональних даних», а у випадках застосування GDPR — права, передбачені GDPR.

10.1. Право на інформацію та доступ

Суб’єкт персональних даних має право отримати інформацію про обробку своїх персональних даних, а у випадках, передбачених застосовним законодавством, — підтвердження того, чи обробляє Компанія його персональні дані, та доступ до таких даних.

Зокрема, особа може мати право отримати інформацію про:

• цілі обробки;
• категорії персональних даних;
• категорії отримувачів, яким дані були або можуть бути передані;
• строки зберігання або критерії їх визначення;
• джерело отримання персональних даних, якщо вони були отримані не безпосередньо від суб’єкта;
• наявність автоматизованого прийняття рішень - у випадках, передбачених застосовним законодавством;
• міжнародну передачу даних та застосовні гарантії - у випадках, передбачених законодавством.

10.2. Право на виправлення

Суб’єкт персональних даних має право вимагати виправлення неточних персональних даних, що стосуються його, а також, з урахуванням цілей обробки, доповнення неповних персональних даних у випадках, передбачених застосовним законодавством.

10.3. Право на видалення персональних даних

У випадках, передбачених застосовним законодавством, суб’єкт персональних даних може вимагати видалення своїх персональних даних, зокрема якщо:

• персональні дані більше не потрібні для цілей, для яких вони були зібрані;
• згоду, на якій ґрунтувалася обробка, відкликано та відсутня інша правова підстава для обробки;
• суб’єкт обґрунтовано заперечив проти обробки;
• персональні дані оброблялися неправомірно;
• видалення необхідне для виконання юридичного обов’язку.

Право на видалення не є абсолютним. Компанія може продовжувати зберігати відповідні персональні дані у випадках, коли це необхідно або дозволено застосовним законодавством, зокрема для виконання юридичного обов’язку або встановлення, здійснення чи захисту правових вимог.

10.4. Право на обмеження обробки

У випадках, передбачених застосовним законодавством, суб’єкт персональних даних має право вимагати обмеження обробки своїх персональних даних, зокрема на період перевірки їх точності, законності обробки або розгляду заперечення проти обробки.

10.5. Право на заперечення проти обробки

У випадках, передбачених застосовним законодавством, суб’єкт персональних даних має право заперечити проти обробки персональних даних, яка здійснюється на підставі законного інтересу Компанії або третьої особи.

Якщо персональні дані обробляються для цілей прямого маркетингу, суб’єкт персональних даних має право в будь-який момент заперечити проти такої обробки. Після отримання такого заперечення Компанія припиняє обробку персональних даних для відповідних цілей прямого маркетингу.

10.6. Право на відкликання згоди

Якщо обробка персональних даних здійснюється на підставі згоди, суб’єкт персональних даних має право відкликати свою згоду в будь-який момент.

Відкликання згоди не впливає на законність обробки, здійсненої до моменту її відкликання.

Після відкликання згоди Компанія припиняє відповідну обробку, якщо для її продовження відсутня інша належна правова підстава.

10.7. Право на перенесення даних

У випадках, коли застосовується GDPR та виконуються умови статті 20 GDPR, суб’єкт персональних даних має право отримати персональні дані, які він надав Компанії, у структурованому, загальновживаному та машинозчитуваному форматі, а також передати такі дані іншому контролеру або, якщо це технічно можливо, вимагати їх безпосередньої передачі іншому контролеру.

10.8. Права щодо автоматизованого прийняття рішень

У випадках, коли застосовується стаття 22 GDPR або аналогічні положення іншого застосовного законодавства, суб’єкт персональних даних має право не бути об’єктом рішення, що ґрунтується виключно на автоматизованій обробці, включаючи профілювання, якщо таке рішення створює для нього юридичні наслідки або подібним чином істотно на нього впливає, крім випадків, дозволених застосовним законодавством.

Якщо така обробка допускається законодавством, Компанія забезпечує передбачені законом гарантії, зокрема право на втручання людини, висловлення власної позиції та оскарження рішення - у випадках, коли відповідні гарантії застосовуються.

10.9. Право на подання скарги

Суб’єкт персональних даних має право звернутися зі скаргою щодо обробки своїх персональних даних до компетентного органу із захисту персональних даних.

В Україні суб’єкт персональних даних має право звернутися до Уповноваженого Верховної Ради України з прав людини та/або до суду відповідно до законодавства України.

Якщо до відповідної обробки застосовується GDPR, суб’єкт персональних даних також має право подати скаргу до компетентного наглядового органу відповідно до статті 77 GDPR.

10.10. Порядок реалізації прав

Для реалізації своїх прав суб’єкт персональних даних може звернутися до Компанії за контактними даними, зазначеними в розділі 15 цієї Політики.

Запит повинен містити інформацію, достатню для ідентифікації заявника та визначення персональних даних або обробки, яких стосується відповідний запит.

Для захисту персональних даних від несанкціонованого доступу Компанія може запросити додаткову інформацію, необхідну для підтвердження особи заявника. Обсяг такої інформації повинен бути пропорційним меті перевірки.

Компанія розглядає запити та надає відповіді у строки, встановлені застосовним законодавством.

Якщо до відповідного запиту застосовується GDPR, Компанія надає інформацію про вжиті заходи без невиправданої затримки та, як правило, протягом одного місяця з дня отримання запиту. Цей строк може бути продовжений у випадках та порядку, передбачених GDPR, з повідомленням суб’єкта персональних даних про таке продовження та його причини.

10.11. Запити щодо даних, які Компанія обробляє від імені клієнта

Якщо запит стосується персональних даних, які Компанія обробляє як розпорядник (processor) від імені клієнта, відповідний клієнт, як правило, є особою, відповідальною за розгляд такого запиту як володілець персональних даних (controller).

У такому випадку Компанія відповідно до застосовного законодавства, договору та DPA сприяє клієнту у виконанні його обов’язків щодо реалізації прав суб’єктів персональних даних та, за необхідності, передає отриманий запит відповідному клієнту.

Компанія вживає належних технічних та організаційних заходів для забезпечення рівня захисту персональних даних, що відповідає характеру обробки, категоріям персональних даних та ризикам для прав і свобод суб’єктів персональних даних.

11.1. Заходи захисту

Залежно від характеру та обставин конкретної обробки Компанія застосовує заходи, спрямовані на:

• запобігання несанкціонованому або неправомірному доступу до персональних даних;
• запобігання випадковому або неправомірному знищенню, втраті, зміні, розкриттю або іншій неправомірній обробці персональних даних;
• розмежування та контроль доступу до персональних даних;
• забезпечення конфіденційності персональних даних;
• захист інформаційних систем, Сайту та Платформи;
• виявлення, аналіз та реагування на інциденти інформаційної безпеки;
• регулярний перегляд та, за необхідності, удосконалення застосовуваних заходів захисту.

Доступ до персональних даних надається лише працівникам, підрядникам та іншим уповноваженим особам, яким такий доступ необхідний для виконання відповідних функцій і які зобов’язані дотримуватися вимог щодо конфіденційності та захисту персональних даних.

11.2. Захист даних під час залучення третіх осіб

Якщо Компанія залучає розпорядників, суброзпорядників або інших постачальників послуг до обробки персональних даних, Компанія вживає заходів, передбачених застосовним законодавством, для забезпечення належного рівня захисту відповідних персональних даних.

Якщо Компанія діє як розпорядник (processor) від імені клієнта, залучення суброзпорядників (sub-processors) здійснюється відповідно до договору, DPA та вимог застосовного законодавства.

11.3. Безпека облікового запису

Користувач зобов’язаний вживати розумних заходів для забезпечення безпеки свого облікового запису, зокрема не передавати облікові дані та засоби автентифікації неуповноваженим особам і невідкладно повідомляти Компанію про відомий або підозрюваний несанкціонований доступ до облікового запису.

Обов’язок користувача забезпечувати конфіденційність своїх облікових даних не обмежує власних обов’язків Компанії щодо забезпечення належного захисту персональних даних та Платформи.

11.4. Інциденти та порушення безпеки персональних даних

У разі виявлення порушення безпеки персональних даних Компанія здійснює оцінку характеру та можливих наслідків такого порушення та вживає належних заходів для його локалізації, усунення та мінімізації можливих негативних наслідків.

Якщо відповідно до застосовного законодавства Компанія зобов’язана повідомити про порушення компетентний орган та/або суб’єктів персональних даних, Компанія здійснює таке повідомлення у порядку та строки, встановлені відповідним законодавством.

Якщо Компанія діє як розпорядник (processor) та до відповідної обробки застосовується GDPR, у разі порушення безпеки персональних даних Компанія повідомляє відповідного клієнта-контролера без невиправданої затримки після того, як Компанії стало відомо про таке порушення, відповідно до статті 33 GDPR та умов DPA.

Якщо Компанія діє як контролер і до відповідного порушення застосовується GDPR, Компанія здійснює повідомлення компетентного наглядового органу та, у передбачених GDPR випадках, суб’єктів персональних даних у порядку та строки, встановлені статтями 33 та 34 GDPR.

11.5. Відсутність абсолютної гарантії безпеки

Незважаючи на вжиття Компанією належних заходів захисту, жоден спосіб передачі або зберігання інформації не може гарантувати абсолютну безпеку.

Це положення не обмежує та не виключає відповідальності Компанії за виконання обов’язків щодо захисту персональних даних, покладених на неї застосовним законодавством.

Сайт і Платформа CostCare AI призначені для використання у професійних та комерційних цілях і не призначені для осіб, які не досягли 18 років.

Компанія свідомо не збирає персональні дані осіб, які не досягли 18 років, без належної правової підстави.

Якщо Компанії стане відомо, що персональні дані особи, яка не досягла 18 років, були надані або отримані через Сайт чи Платформу без належної правової підстави, Компанія вживатиме належних заходів для припинення такої обробки та видалення відповідних персональних даних, якщо їх подальше зберігання не вимагається застосовним законодавством.

Якщо особа вважає, що Компанія обробляє персональні дані особи, яка не досягла 18 років, вона може повідомити про це Компанію за контактними даними, зазначеними в розділі 15 цієї Політики.

Сайт та/або Платформа можуть містити посилання на вебсайти, платформи, сервіси або інші онлайн-ресурси третіх осіб, які не належать Компанії та не перебувають під її контролем.

13.1. Перехід на сторонні ресурси

Після переходу користувача за посиланням на вебсайт, платформу або сервіс третьої особи така третя особа може самостійно здійснювати збір та іншу обробку персональних даних відповідно до власних умов використання, політики конфіденційності та інших документів.

Компанія рекомендує користувачам ознайомлюватися з політикою конфіденційності та іншими умовами відповідної третьої особи до надання їй персональних даних.

13.2. Самостійна обробка третіми особами

Якщо третя особа самостійно визначає цілі та засоби обробки персональних даних, така особа діє як самостійний володілець персональних даних (independent controller) та самостійно відповідає за дотримання вимог застосовного законодавства щодо відповідної обробки.

Компанія не визначає та не контролює цілі й засоби такої самостійної обробки третьою особою.

13.3. Відповідальність Компанії

Розміщення на Сайті та/або Платформі посилання на сторонній ресурс саме по собі не означає, що Компанія контролює, схвалює або несе відповідальність за політику конфіденційності, зміст чи самостійну діяльність відповідної третьої особи.

Водночас це положення не обмежує та не виключає обов’язків і відповідальності Компанії щодо обробки персональних даних, за яку Компанія відповідно до застосовного законодавства виступає володільцем (controller), розпорядником (processor) або спільним володільцем (joint controller).

13.4. Інтегровані сторонні сервіси

Якщо сторонній сервіс не лише доступний за зовнішнім посиланням, а інтегрований безпосередньо в Сайт або Платформу та використовується Компанією для надання відповідного функціоналу, обробка персональних даних у межах такої інтеграції здійснюється відповідно до положень цієї Політики, відповідних договірних умов та вимог застосовного законодавства.

14.1. Оновлення Політики

Компанія може періодично вносити зміни та доповнення до цієї Політики, зокрема у зв’язку зі змінами:

• застосовного законодавства;
• функціональних можливостей Сайту та/або Платформи;
• способів та цілей обробки персональних даних;
• переліку залучених постачальників та технологічних сервісів;
• організаційних або технічних процесів Компанії.

Актуальна редакція Політики розміщується на Сайті та/або Платформі із зазначенням номера редакції та дати останнього оновлення.

14.2. Істотні зміни

Якщо зміни до цієї Політики істотно впливають на характер обробки персональних даних, права суб’єктів персональних даних або іншу інформацію, щодо якої застосовне законодавство вимагає окремого повідомлення, Компанія повідомляє про такі зміни у спосіб, що відповідає характеру взаємодії з відповідною особою та вимогам застосовного законодавства.

Таке повідомлення може здійснюватися, зокрема, шляхом розміщення повідомлення на Сайті та/або Платформі, надсилання повідомлення на адресу електронної пошти або іншим належним способом.

14.3. Зміни, що потребують згоди

Якщо у зв’язку зі зміною цілей, способів або інших умов обробки персональних даних відповідно до застосовного законодавства необхідно отримати нову або додаткову згоду суб’єкта персональних даних, Компанія отримує таку згоду до початку відповідної обробки.

Сам факт продовження використання Сайту та/або Платформи не вважається згодою на нові види обробки персональних даних у випадках, коли застосовне законодавство вимагає окремої згоди.

14.4. Попередні редакції

Компанія може зберігати попередні редакції цієї Політики для підтвердження змісту правил обробки персональних даних, що діяли у відповідний період.

Дата останнього оновлення та номер чинної редакції зазначаються на початку цієї Політики.

14.5. Застосовне законодавство

Ця Політика застосовується з урахуванням законодавства України про захист персональних даних та іншого законодавства, що підлягає застосуванню до конкретної обробки персональних даних.

У випадках, коли відповідна обробка підпадає під дію GDPR, положення цієї Політики застосовуються з урахуванням обов’язкових вимог GDPR.

Якщо до конкретної обробки персональних даних застосовуються імперативні вимоги іншого законодавства, положення цієї Політики не можуть тлумачитися як такі, що обмежують права суб’єкта персональних даних або обов’язки Компанії, встановлені такими імперативними нормами.

Якщо у вас виникли запитання щодо цієї Політики, обробки ваших персональних даних або ви бажаєте реалізувати свої права як суб’єкта персональних даних, ви можете звернутися до Компанії за такими контактними даними:

Товариство з обмеженою відповідальністю «МАЧ ГРУП»
Код ЄДРПОУ: 45164108
Місцезнаходження: 03040, Україна, м. Київ, вул. Стельмаха, буд. 6/1, приміщення 1
Електронна пошта: wahtel@costcare.ai
Телефон: +380 67 565 27 27

15.1. Контактна особа з питань захисту персональних даних

З питань, пов’язаних із захистом персональних даних, реалізацією прав суб’єктів персональних даних, відкликанням згоди, запереченням проти обробки, виправленням або видаленням персональних даних, можна звертатися до:

Відповідальна особа за захист персональних даних:
Вахтель Пауль
Електронна пошта: wahtel@costcare.ai
Телефон: +380 67 565 27 27

15.2. Звернення щодо реалізації прав

У зверненні рекомендується зазначити інформацію, достатню для ідентифікації заявника та розуміння суті запиту, зокрема ім’я, контактні дані та опис права, яке особа бажає реалізувати.

Компанія може запросити додаткову інформацію виключно в обсязі, необхідному для належної ідентифікації заявника та захисту персональних даних від несанкціонованого доступу або розкриття.

Компанія розглядає звернення та надає відповіді у порядку і строки, передбачені застосовним законодавством.

Якщо запит стосується персональних даних, які Компанія обробляє як розпорядник (processor) від імені клієнта, Компанія може передати відповідний запит клієнту-контролеру та/або сприяти йому у розгляді такого запиту відповідно до застосовного законодавства, договору та DPA.