Політика конфіден­ційності

1. Хто обробляє ваші дані

Володільцем персональних даних (за GDPR – контролером) є суб'єкт господарювання, що керує оздоровчим комплексом «Ужанські купелі»:

• Повне найменування: [ЮРИДИЧНА НАЗВА]
• Ідентифікаційний код: [ЄДРПОУ АБО РНОКПП]
• Місцезнаходження: [ЮРИДИЧНА АДРЕСА]
• Фактична адреса комплексу: с. Ужок, Великоберезнянський район, Закарпатська область, Україна
• Телефони: 099 043 53 95, 096 628 36 54
• Електронна пошта: [ЕЛЕКТРОННА ПОШТА]

Відповідальна за організацію роботи з персональними даними особа: [ПІБ ВІДПОВІДАЛЬНОЇ ОСОБИ].

Ми не призначали Data Protection Officer у розумінні статті 37 GDPR: обробка даних не є нашою основною діяльністю, ведеться в невеликому обсязі й не передбачає систематичного масштабного спостереження за людьми.

2. Які дані ми збираємо

2.1. Дані з форм заявки на бронювання

На сайті працюють форми заявки: швидка панель на головній сторінці, повна форма внизу головної сторінки та вікно бронювання, яке відкривається кнопками «Забронювати». Через них ми отримуємо:

• ім'я;
• номер телефону;
• адресу електронної пошти (необов'язково);
• дату заїзду та дату виїзду;
• кількість ночей і кількість гостей;
• побажання – довільний текст, який ви вписуєте самі;
• тему заявки – назву номера чи послуги, з картки якої ви натиснули кнопку. Це поле заповнює сайт, а не ви.

Обов'язкові поля – ім'я, телефон і дата заїзду; у швидкій панелі – дата заїзду та телефон. Решту ви вирішуєте вказувати чи ні. Просимо вас не писати в полі «Побажання» відомостей про стан здоров'я, релігійні переконання чи інші особливі категорії даних: для оформлення заявки вони нам не потрібні.

2.2. Технічні дані

Коли ви відкриваєте сторінку, наш хостинг-провайдер отримує дані, без яких сайт неможливо показати: IP-адресу, тип і версію браузера, операційну систему, адресу запитаної сторінки, дату й час запиту. Ці дані обробляються на боці провайдера у складі його службових журналів.

2.3. Дані у вашому браузері

Ваш вибір щодо файлів cookie зберігається у сховищі вашого ж браузера (localStorage) під ключом kupeli-consent і на наші сервери не передається. Докладно про це – у Політиці щодо файлів cookie.

2.4. Чого ми не збираємо

Ми не збираємо через сайт платіжних даних: оплата на сайті не приймається. Ми не просимо документів, що посвідчують особу, – їх пред'являють уже під час заселення в комплексі, і це окрема від сайту процедура.

Власної системи веб-аналітики на сайті зараз немає: ні Google Analytics, ні рекламних пікселів, ні лічильників відвідувань не встановлено. Категорії «Аналітика» та «Маркетинг» у налаштуваннях cookie заведені наперед – щоб такі інструменти не могли запрацювати без вашої згоди, якщо ми додамо їх у майбутньому.

3. Мета обробки та правова підстава

• 3.1.Опрацювання заявки на бронювання – зв'язатися з вами, підтвердити вільні дати, порахувати вартість і забронювати номер чи послугу. Підстава: вчинення дій на ваш запит перед укладенням договору та виконання договору (ст. 6(1)(b) GDPR; для України – згода суб'єкта даних і необхідність виконання правочину, ст. 11 Закону «Про захист персональних даних»).
• 3.2.Робота й безпека сайту – показати сторінки, зберегти ваш вибір щодо cookie, захистити форми від автоматичних розсилок. Підстава: наш законний інтерес у працездатному й захищеному сайті (ст. 6(1)(f) GDPR).
• 3.3.Показ вбудованої карти Google та стрічки Instagram – допомогти вам знайти дорогу й побачити свіжі знімки комплексу. Підстава: ваша згода (ст. 6(1)(a) GDPR). До згоди карта не завантажується взагалі.
• 3.4.Реклама й вимірювання її ефективності – ми плануємо запускати рекламу в Google та Meta. Коли рекламні інструменти з'являться на сайті, вони працюватимуть виключно після вашої згоди в категорії «Маркетинг», а вимірювання відвідувань – у категорії «Аналітика». Підстава: ваша згода (ст. 6(1)(a) GDPR).
• 3.5.Виконання вимог закону – зберігання документів, пов'язаних із наданням послуг, у строки, встановлені податковим і бухгалтерським законодавством. Підстава: виконання юридичного обов'язку (ст. 6(1)(c) GDPR).

Надання даних є добровільним, але без імені, телефону й дати заїзду ми не зможемо опрацювати заявку.

4. Кому ми передаємо дані

Ми не продаємо персональні дані й не передаємо їх третім особам для їхнього власного маркетингу. Дані отримують лише постачальники послуг, без яких сайт не працює, і кожен – тільки в тому обсязі, який потрібен для його ролі.

• 4.1.Netlify, Inc. (США) – хостинг сайту та сервіс приймання форм Netlify Forms. Тут зберігаються надіслані вами заявки, звідси ж надходить повідомлення про нову заявку. Netlify діє як оператор (процесор) на наше доручення.
• 4.2.Telegram Messenger – текст заявки автоматично дублюється в закритий робочий чат адміністраторів комплексу, щоб ми побачили її швидше. У чат ідуть саме ті поля, які ви заповнили у формі.
• 4.3.Google LLC / Google Ireland Limited – постачальник вбудованої карти на сторінці контактів і шрифтів, якими набраний сайт. Карта завантажується тільки після вашої згоди; про шрифти читайте пункт 4.5.
• 4.4.Meta Platforms – коли на головній сторінці показується стрічка Instagram, зображення для неї ваш браузер завантажує безпосередньо з мережі доставки контенту Instagram. Сам запит до Instagram робить наш сервер, а не ви, але при завантаженні картинок Meta бачить вашу IP-адресу.
• 4.5.Google Fonts. Шрифти сайту зараз підключені з серверів Google (fonts.googleapis.com, fonts.gstatic.com) і завантажуються ДО того, як ви зробили вибір щодо cookie. Файлів cookie вони не встановлюють, але ваша IP-адреса при цьому передається Google. Ми знаємо про цю проблему і плануємо перенести шрифти на власний домен, після чого такої передачі не буде.
• 4.6.Органи державної влади – на письмовий запит у випадках і порядку, прямо передбачених законом.

Якщо ми додамо рекламні інструменти Google Ads чи Meta, їхніми одержувачами стануть відповідно Google і Meta – але лише після вашої згоди в категорії «Маркетинг».

5. Передавання даних за кордон

Наші постачальники – американські та ірландські компанії, тому дані виходять за межі України та Європейського економічного простору, насамперед до Сполучених Штатів Америки.

Для передавання до США ми покладаємося на рішення Європейської Комісії від 10 липня 2023 року про належний рівень захисту в рамках Data Privacy Framework, а для одержувачів, які до нього не приєдналися, – на стандартні договірні положення Європейської Комісії, що містяться в умовах обробки даних відповідного постачальника.

Звертаємо увагу: рівень захисту персональних даних у США може відрізнятися від українського та європейського, зокрема щодо доступу державних органів до даних.

6. Скільки ми зберігаємо дані

• 6.1.Заявки, за якими бронювання не відбулося, – не довше 12 місяців з дня надходження, після чого видаляються з панелі Netlify Forms.
• 6.2.Дані гостей, які скористалися послугами, – протягом строку, встановленого податковим і бухгалтерським законодавством України для первинних документів, і додатково протягом строку позовної давності.
• 6.3.Повідомлення в робочому чаті Telegram – до 12 місяців, далі чат очищується.
• 6.4.Ваш вибір щодо cookie зберігається у вашому браузері, доки ви не зміните його або не очистите дані сайту. Ми рекомендуємо перепитувати згоду не рідше ніж раз на 12 місяців.
• 6.5.Службові журнали хостингу – у строки, встановлені постачальником хостингу.

Коли строк минає або мета обробки відпадає, дані видаляються.

7. Ваші права

Ви маєте право:

• знати, чи обробляємо ми ваші дані, і отримати їх копію (право доступу);
• вимагати виправлення неточних або доповнення неповних даних;
• вимагати видалення даних, якщо для їх зберігання більше немає підстав;
• вимагати обмеження обробки – наприклад, поки ми перевіряємо вашу скаргу;
• заперечувати проти обробки, що ґрунтується на нашому законному інтересі;
• отримати свої дані у структурованому машинозчитуваному форматі та передати їх іншому володільцю (право на перенесення) – щодо даних, які ви надали самі на підставі згоди чи договору;
• відкликати згоду в будь-який момент. Відкликання не впливає на законність обробки, яка відбулася до нього;
• подати скаргу до наглядового органу.

Наглядові органи: в Україні – Уповноважений Верховної Ради України з прав людини (вул. Інститутська, 21/8, м. Київ, 01008). Якщо ви перебуваєте в Європейському економічному просторі – наглядовий орган із захисту даних вашої країни проживання, місця роботи або місця ймовірного порушення.

8. Як скористатися своїми правами

Напишіть нам на [ЕЛЕКТРОННА ПОШТА] або зателефонуйте: 099 043 53 95, 096 628 36 54. Щоб ми знайшли ваші дані, вкажіть, будь ласка, ім'я й номер телефону, які ви залишали в заявці.

Ми відповідаємо протягом 30 календарних днів з дня отримання звернення. Якщо запит складний, цей строк може бути продовжений ще на два місяці – про продовження та його причину ми повідомимо вас окремо.

Ми можемо попросити додаткові відомості, якщо не можемо переконатися, що звернення надійшло саме від вас. Розгляд звернення безоплатний; за явно необґрунтовані або надмірні повторні запити ми залишаємо за собою право стягнути розумну плату або відмовити.

Змінити чи відкликати згоду на cookie можна самостійно, будь-якої миті – посиланням «Налаштування cookie» в підвалі сайту або на сторінці Політики щодо файлів cookie.

9. Автоматизовані рішення і профілювання

Ми не приймаємо рішень щодо вас винятково автоматизованими засобами і не складаємо профілів у розумінні статті 22 GDPR. Кожну заявку читає й опрацьовує адміністратор комплексу.

Якщо в майбутньому ми запустимо рекламу з націлюванням на аудиторію, це відбуватиметься лише після вашої згоди в категорії «Маркетинг», і ми оновимо цю Політику до того, як такі інструменти запрацюють.

10. Безпека

Сайт працює через захищене з'єднання HTTPS. Доступ до панелі заявок і до робочого чату мають лише уповноважені працівники комплексу. Токени доступу до сторонніх сервісів зберігаються на сервері й ніколи не потрапляють у код сторінки. Форми захищені прихованим полем-пасткою від автоматичних розсилок.

Водночас жоден спосіб передавання даних через інтернет не є абсолютно безпечним, тому гарантувати захист на сто відсотків неможливо. Якщо стався витік, що загрожує вашим правам і свободам, ми повідомимо наглядовий орган та, за потреби, вас – у строки, встановлені законодавством.

11. Дані дітей

Сайт не адресований дітям і не збирає їхніх даних свідомо. Заявку на бронювання може залишити лише повнолітня дієздатна особа. Кількість гостей у заявці – це число, а не відомості про конкретних дітей.

Якщо ви вважаєте, що дитина надіслала нам свої дані самостійно, повідомте нас за контактами з розділу 8 – ми видалимо їх.

12. Зміни до Політики

Ми можемо оновлювати цю Політику – наприклад, коли змінюється склад сервісів на сайті або вимоги законодавства. Чинна редакція завжди доступна за цією адресою, а дата останнього оновлення вказана нижче.

Якщо зміни суттєві – з'явиться новий одержувач даних або нова мета обробки, – ми повідомимо про це на сайті й, за потреби, запитаємо вашу згоду ще раз.