Загальні положення та визначення
Управління цим сайтом здійснюється ТОВ «АМІКУМ ФАРМА», код ЄДРПОУ 40866700, юридичною особою, яка зареєстрована і діє відповідно до вимог законодавства України (далі – «Компанія»).
Компанія з великою повагою ставиться до конфіденційної (персональної) інформації всіх без винятку осіб, які відвідали Сайт, а також тих, хто користується наданими Сайтом сервісами; в зв’язку з чим, Компанія прагне захищати конфіденційність персональних даних (відомостей чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована), тим самим створивши і забезпечивши максимально комфортні умови використання сервісів Сайту кожному користувачеві.
У цій Політиці конфіденційності та захисту персональних даних (далі – «Політика») встановлено порядок здійснення Компанією обробки персональних даних, види персональних даних, які збираються, цілі використання таких персональних даних, взаємодія Команії з третіми особами, заходи безпеки для захисту персональних даних, умови доступу до персональних даних, а також, контактна інформація для користувача щодо отримання доступу, внесення змін, блокування або видалення своїх персональних даних та звернення з будь‑якими питаннями, які можуть виникнути у Вас щодо практики захисту персональних даних. Політиа розроблена з урахуванням вимог Регламенту (ЄС) 2016/679 (далі- GDPR) та Закону «Про захист персональних даних» (далі – Закон).
Визначення:
Контролер (володілець даних) – ТОВ «АМІКУМ ФАРМА» (надалі – «Компанія»), що визначає мету та засоби обробки персональних даних.
Адреса та контактні дані Контролера: 04080, м. Київ, вул. Вікентія Хвойки, 21.
У разі необхідності Контролер призначає відповідальну особу (DPO), контактні дані якої також публікуються.
Розпорядник (процесор) – юридична особа, що обробляє персональні дані від імені Контролера (за дорученням). Якщо залучаються розпорядники, це фіксується договором відповідно до ст. 28 GDPR.
Персональні дані (ПД) – будь‑яка інформація, що стосується ідентифікованої або такої, що може бути ідентифікована, фізичної особи. Збір ПД здійснюється добровільно: від самого суб’єкта під час замовлення товарів, реєстрації або участі у розсилках, а також (у випадках, передбачених законом) з відкритих чи публічних джерел. Перед початком або під час збору даних Компанія інформує суб’єкта про мету та умови обробки (ст. 12 Закону).
Обробка персональних даних – будь‑які дії з даними: збір, зберігання, використання, передача, знеособлення тощо. Обробка здійснюється на законних підставах відповідно до GDPR і Закону. Зокрема, «згода суб’єкта ПД» розуміється як добровільне волевиявлення особи на обробку її даних (в письмовій або іншій форми).
Спеціальні (чутливі) дані (расові, релігійні, дані про здоров’я тощо) не обробляються без окремої явної згоди та з дотриманням додаткових вимог (Art. 9 GDPR).
Мета та правова основа обробки
Компанія обробляє персональні дані з такими основними цілями:
Виконання договорів (закупівля/продаж ліків, лікувального харчування, супутніх товарів): обробка ПД покупців необхідна для укладення та виконання угод (підстава – ст. 6(1)(b) GDPR, договір із суб’єктом даних).
Законодавчі/адміністративні обов’язки: зберігання платіжної та фінансової звітності для контролю (податки, бухоблік тощо). Обробка законодавчо необхідна (ст. 6(1)(c) GDPR, пункт (3) ст. 11 Закону).
Виконання легітимних інтересів: безпека інформації (запобігання шахрайству, несанкціонованому доступу), удосконалення веб‑сайту, аналітика (легітимний інтерес Компанії – покращення послуг). Таке обґрунтування регламентоване GDPR (ст. 6(1)(f)); однак Компанія виконує ретельне зваження інтересів і прав (Privacy Impact Assessment при потребі).
Маркетинг та комунікації: розсилка інформації про нові продукти, акції, новини Компанії тощо. Для B2B‑клієнтів (лікарів, аптек) застосовується ст. 6(1)(f) GDPR (легітимний інтерес); для комерційних розсилок широкого кола – ст. 6(1)(a) GDPR (згода). Суб’єкт може відписатися від розсилки або скористатися правом заперечення у будь‑який час (ст. 21 GDPR).
Інші цілі: наприклад, відповіді на запити клієнтів, реєстрація на сайті, участь у навчальних чи медичних ініціативах (за потреби).
Таким чином, відповідно до ст. 6 GDPR і ст. 11 Закону, кожна обробка опирається на чітку легальну підставу: згоду, контракт, закон, захист інтересів або легітимний інтерес. Компанія документує цілі та правові підстави обробки та інформує про них суб’єкта даних перед або під час збору даних.
Категорії персональних даних
Основні категорії даних суб’єктів, які обробляються:
Ідентифікаційні та контактні дані: ПІБ, дата народження, паспортні/інші посвідчувальні документи, адреса реєстрації/проживання, телефон, e‑mail.
Професійні дані: назва та реквізити компанії (при B2B), посада, сфера діяльності, спеціалізація (за наявності та необхідності для виконання договору).
Фінансові дані: банківські реквізити, платіжна історія (лише за необхідності для продажів та фінансової звітності).
Технічна інформація: IP‑адреса, cookie, дані про браузер та пристрій (для статистики і функціоналу сайту).
Медичні дані: Компанія не збирає і не обробляє спеціальні дані про здоров’я користувачів без окремої згоди. Якщо суб’єкт добровільно надає інформацію про стан здоров’я (наприклад, у рамках опитувань чи консультацій), обробка здійснюється з урахуванням вимог GDPR ст. 9 (тільки за наявності чіткої згоди і цілі, пов’язаної з обслуговуванням).
Усі оброблені дані суворо мінімізуються: Компанія запитує тільки ті відомості, що необхідні для вказаних цілей (принцип «зменшення даних» GDPR Art. 5(1)(c)).
Термін і місце зберігання даних
Персональні дані зберігаються лише протягом часу, необхідного для досягнення цілей обробки. Після цього дані видаляються або анонімізуються. Наприклад, дані клієнтів‑юридичних осіб зберігаються протягом строку дії договору та ще не менше 3 років після завершення фінансового року (для податкової звітності).
Дані користувачів для маркетингу видаляються або знеособлюються через 2–3 роки після останньої взаємодії, якщо суб’єкт не підтверджує подальшу зацікавленість.
Важливо, що ст. 15 Закону вимагає припиняти зберігання після завершення зазначеного періоду або за заявою суб’єкта. Зазначені терміни можуть уточнюватися внутрішніми політиками компанії з урахуванням чинних нормативів.
Персональні дані користувачів знаходяться в Україні. Персональні дані можуть передаватися до інших країн з метою надання послуг. Детальніше про передачу персональних даних можна ознайомитися у розділі Передача даних та міжнародна передача.
Передача даних та міжнародна передача
Дані можуть передаватися третім особам лише за умов дотримання вимог законодавства. До потенційних отримувачів даних належать підрядники (процесори): ІТ‑платформи, хостинг‑провайдери, сервіси e‑mail розсилок, аналітики сайту, бухгалтерські й правничі компанії, тощо. Усі вони зобов’язані захищати ПД і обробляти їх виключно за інструкцією Контролера (угоди з GDPR Art. 28). Ніякі дані не продаються чи передаються іншим особам для маркетингових цілей без явної згоди.
Міжнародна передача: Якщо дані передаються за межі України (наприклад, якщо використовується хмарний сервіс в іншій країні), ця передача здійснюється з дотриманням GDPR. Ми перевіряємо наявність «адекватного рівня захисту» (напр., рішення Єврокомісії про адекватність), стандартних договірних клауз (Art. 46 GDPR) або іншого дозволеного механізму. Відповідно до українського законодавства, передача за кордон можлива лише за умови захисту даних (ст. 29 Закону). У політиці зазначаються країни‑партнери або надається відомості про обрані стандартизовані контракти. Суб’єкт даних має бути проінформований про передачі за міжнародними механізмами (адреса документів на вимогу).
Права суб’єкта персональних даних
Суб’єкт персональних даних має наступні права (згідно ст. 8 Закону і ст. 15–22 GDPR):
Право на доступ: отримати підтвердження факту обробки його ПД, копію даних, інформацію про мету, підставу, категорії, час зберігання, одержувачів, а також джерело даних, якщо ПД були отримані не безпосередньо від нього.
Право на виправлення: вимагати виправлення неточностей в його даних.
Право на стирання (забуття): за відсутності законних підстав або за бажанням видалити свої дані, якщо більше немає необхідності для цілей обробки.
Право на обмеження обробки: обмежити обробку, якщо сумнівається в правильності даних чи оскаржує мету обробки (дані зберігаються, але не використовуються).
Право на перенесення: отримати надані дані у структурованому форматі та передати іншому контролеру (де застосовно).
Право заперечити: відмовитися від обробки своїх даних для конкретних цілей (зокрема, маркетингу).
Право відкликати згоду: якщо обробка ґрунтувалася на згоді, можна відкликати її будь‑коли без пояснень (контролер мусить зупинити обробку на майбутнє).
Право скаржитися: звернутися зі скаргою до національного органу (Уповноваженого ВР з прав людини – DPO) або судових органів у разі порушення прав на захист ПД.
Для реалізації своїх прав суб’єкт може надсилати запит Контролеру усно або письмово (зазвичай електронною поштою). Запит повинен містити дані, що ідентифікують суб’єкта (ПІБ та контакт), опис запитуваної інформації і бажаний спосіб відповіді. Компанія зобов’язана відповісти на запит протягом 30 календарних днів (відповідно до Закону). У разі відмови – обгрунтовує причину.
Зразок запиту суб’єкта даних:
До уваги Контролера ТОВ «Амікум Фарма» (compliance@amicum.com.ua)
від І. І. Іванова, контактний e‑mail: ivanov@_____
Тема: Запит на доступ до персональних даних
Прошу надати мені інформацію щодо моїх персональних даних, які обробляються Вами: мету обробки, правові підстави, категорії даних, одержувачів, терміни зберігання та копію моїх даних за період з (дата) по (дата) відповідно до ст. 12–16 Закону №2297‑VI.
Дата, підпис
(після отримання відповіді Контролер додатково надає роз’яснення, за потреби форму для доступу).
Захист інформації
Компанія реалізує технічні та організаційні заходи безпеки, щоб захистити персональні дані від несанкціонованого доступу, втрати, знищення чи пошкодження. Зокрема:
Використання захищених серверів (шифрування даних у базах і каналах зв’язку SSL/TLS).
працівники мають доступ лише до необхідних ПД (принцип «мінімум прав»), всі співробітники проходять навчання з безпеки.
Системи логування та контролю – ведуться журнали доступу і змін у даних, проводяться періодичні аудити.
Резервне копіювання для відновлення у разі збоїв та автентифікація користувачів.
Угоди з процесорами передбачають суворі вимоги щодо конфіденційності та безпеки (GDPR Art. 28).
Ці заходи відповідають вимогам ст. 24 Закону і ст. 32 GDPR: обидва передбачають реалізацію «відповідних технічних та організаційних заходів», пропорційних ризику.
Cookie‑політика
Наш веб‑сайт використовує cookie та подібні технології (локальне зберігання, пікселі) для забезпечення роботи сервісів, аналітики трафіку та персоналізації. Ми класифікуємо cookie як «строго необхідні», «функціональні», «аналітичні» тощо. Користувач може керувати налаштуваннями cookie через браузер (заборонити або видалити їх). Продовження користування сайтом свідчить про згоду на використання файлів cookie. Докладні відомості про cookie наведено в окремому документі «Політика Cookie».
Обробка даних дітей
Політика не розрахована на збір персональних даних дітей (особи віком до 18 років). Ми не збираємо і не запитуємо свідомо інформацію від осіб молодших 18 років без попередньої згоди батьків чи опікунів. Якщо стане відомо, що було зібрано дані дитини без дозволу, Компанія негайно знищує їх. Батьки чи опікуни можуть вимагати видалення даних дитини з наших систем та повідомити про це Контролеру через електронну пошту compliance@amicum.com.ua.
Відповідальна особа та контакти
Контролером персональних даних є ТОВ «Амікум Фарма».
Контактний email: compliance@amicum.com.ua
У разі питань щодо обробки ПД, ви можете зв’язатися із відповідальною особою (DPO) за:
E‑mail: compliance@amicum.com.ua
Адреса: 04080, м. Київ, вул. Вікентія Хвойки, 21
Також суб’єкт даних має право звернутися з скаргою на порушення його прав до Уповноваженого Верховної Ради України з прав людини (Національний орган із захисту даних).
Зміни до Політики
Ця Політика може переглядатися та оновлюватися. Актуальна версія позначається датою оновлення та публікується на сайті. У разі суттєвих змін, ми повідомимо зареєстрованих користувачів електронною поштою або іншим доступним способом. Старі версії Політики зберігаються у довідковому архіві компанії (за потреби надаються на запит).
Автоматизовані рішення
Компанія не використовує рішення, прийняті виключно автоматизованою обробкою даних (включно з профілюванням), що мають юридичні або суттєві наслідки для особи. Якщо у майбутньому такі процеси будуть запроваджені, суб’єкти будуть заздалегідь поінформовані про алгоритми, критерії прийняття рішення, а також будуть забезпечені права на запит роз’яснення та втручання людини. GDPR забороняє таке автоматичне прийняття рішень без законних підстав (ст. 22).
Обробка для маркетингу та розсилок
Для комунікації з клієнтами ми здійснюємо:
Електронні розсилки (новини, акції, аналітика): здійснюються на підставі згоди суб’єкта (GDPR Art. 6(a)). Під час реєстрації на розсилку або підписки на новини користувачу надається розбірлива форма для підтвердження згоди; повідомлення містить інструкцію щодо скасування підписки в будь‑який момент.
Рекламні повідомлення (SMS, дзвінки) до існуючих клієнтів: ґрунтуються на законному інтересі Компанії (забезпечення інформації про оновлення продуктів/послуг) або на згоді залежно від каналу. За нормативними роз’ясненнями, розсилка до старих клієнтів може вважатися збагаченням взаємин (Art. 6(f) GDPR), але кожному надається право відписатися (ст. 21 GDPR).
У будь‑якому випадку ми суворо дотримуємося прозорості інформації: зазначаємо підставу обробки та права суб’єкта згідно з GDPR Art. 13–14.
Субпідрядники / процесори
Для забезпечення роботи сайтів і сервісів Компанія залучає сторонніх підрядників (процесорів), зокрема:
Провайдерів хостингу та ІТ‑інфраструктури.
Сервіси аналітики (Google Analytics тощо).
Платіжні системи для обробки замовлень.
Платформи для email‑розсилок.
Підрядників із обробки поштових чи контактних даних.
Передача даних таким організаціям здійснюється виключно на підставі договорів, що відповідають вимогам ст. 28 GDPR. В договорах чітко прописані обмеження: обробляти дані лише за нашою інструкцією, гарантувати конфіденційність співробітників, застосовувати технічні заходи безпеки (шифрування, резервне копіювання тощо). Усі процесори підпадають під регулярний аудит безпеки. У разі залучення субпідрядників або зміни постачальників, ми інформуємо про це відповідно (за потреби – отримуємо додаткову згоду).
Ризики та мінімізація
Можливі ризики обробки ПД включають: витік чи злом баз даних, несанкціонований доступ співробітників, недбале знищення даних, неправомірне розголошення. Наслідками ризиків можуть бути матеріальні збитки, репутаційні втрати, штрафи контролюючих органів.
Щоб знизити ці ризики, Компанія:
Регулярно оновлює системи безпеки (антивірус, ОС), проводить тести та аудити.
Проводить навчання персоналу щодо захисту інформації та конфіденційності.
Використовує методи шифрування (SSL/TLS, баз даних) і анонімізації там, де це можливо.
Забезпечує резервне копіювання та план відновлення даних.
Перевіряє відповідність юридичних документів (угод з процесорами, політики) чинному законодавству.
Застосовує DPIA (оцінку впливу на захист даних) для нових високоризикових проектів (біостатистичні дослідження, застосунки з даними здоров’я тощо).
Такі заходи відповідають принципу безпеки за замовчуванням (Privacy by Design) та рекомендаціям GDPR ст. 32 щодо оцінки ризиків і впровадження адекватних заходів.