Політика конфіденційності

Дата останнього оновлення: 29 червня 2026 року

Версія: 1.0

1. Загальні положення

Ця Політика конфіденційності (далі — «Політика») описує, які персональні дані збирає сервіс BL Blocklist (далі — «Сервіс»), на яких правових підставах вони обробляються, кому можуть передаватися, як зберігаються та які права належать суб’єктам цих даних.

Політику складено відповідно до:

Конституції України (стаття 32);
Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI (далі — «Закон про захист ПД»);
Закону України «Про інформацію» від 02.10.1992 № 2657-XII;
Закону України «Про електронну комерцію» від 03.09.2015 № 675-VIII;
Закону України «Про електронні комунікації» від 16.12.2020 № 1089-IX;
статей 270, 277, 297–302 Цивільного кодексу України;
Регламенту (ЄС) 2016/679 (GDPR) — у випадках, коли його дія поширюється на суб’єкта, який перебуває на території ЄС/ЄЕЗ;
Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого Верховної Ради України з прав людини від 08.01.2014 № 1/02-14.

Користуючись Сервісом, ви підтверджуєте, що ознайомлені з цією Політикою.

2. Володілець персональних даних

Володільцем (контролером) персональних даних, у розумінні статті 2 Закону про захист ПД та статті 4 Регламенту (ЄС) 2016/679, є:

Електронна пошта для запитів щодо персональних даних: privacy@ownerhub.com.ua
Відповідальна особа за організацію роботи із захистом персональних даних: [DPO_ПІБ]

Звернення з питань обробки ваших персональних даних розглядаються в порядку та строки, передбачені статтею 16 Закону про захист ПД, — не пізніше тридцяти календарних днів з дня отримання.

3. Категорії суб’єктів персональних даних

Сервіс розрізняє дві групи суб’єктів даних:

a) Власники (Owners) — верифіковані власники або менеджери короткотермінової оренди (квартири, будинки, готелі, глемпінг тощо), які зареєстрували обліковий запис у Сервісі та подають звіти про орендарів, з якими мали особистий досвід.

b) Суб’єкти звітів (Tenants) — особи, інформацію про яких внесено до Сервісу одним або кількома Власниками у формі звіту після реальної взаємодії в ролі орендодавця та орендаря. Суб’єкти звітів не мають облікового запису у Сервісі; їхні персональні дані потрапляють до Сервісу виключно через подання звіту верифікованим Власником.

3А. Дані неповнолітніх осіб

Сервіс не призначений для обробки персональних даних осіб, які не досягли 18 років.

Реєстрація неповнолітніх Власників не допускається. При підозрі, що особа, яка реєструється як Власник, є неповнолітньою, Володілець зупиняє реєстрацію до підтвердження повноліття.
Звіти про неповнолітніх Суб’єктів не приймаються. Подання звіту, який стосується або у якому згадується неповнолітня особа, є порушенням Умов користування Сервісом і підставою для негайної відмови у публікації або видалення вже опублікованого звіту.
Якщо Володільцю стане відомо, що до Сервісу потрапили персональні дані неповнолітнього без правової підстави, такі дані видаляються невідкладно — без процедурних обмежень розділу 14А.
Батьки, опікуни, інші законні представники, які виявили дані неповнолітнього у Сервісі, можуть звернутися до Володільця через форму апеляції за адресою /appeal/ або електронною поштою — звернення обробляється у спрощеному порядку, без вимоги доказів повноваження ad hoc.

Цей розділ відповідає вимогам статті 8 Регламенту (ЄС) 2016/679 та принципу найкращих інтересів дитини, закладеному в Конвенції ООН про права дитини та Сімейному кодексі України.

4. Категорії персональних даних, що обробляються

4.1. Дані Власників

адреса електронної пошти, відображуване ім’я, хеш пароля;
артефакти верифікації особи: 12-символьний код, надісланий через прямі повідомлення Instagram, та статус облікового запису (`зареєстровано → на розгляді → схвалено / відхилено`);
дані про зареєстровані об’єкти оренди: адреса, платформа розміщення, посилання на оголошення;
журнал активності: пошукові запити, перегляди звітів, записи журналу доступу (audit log), що фіксують, хто і коли переглянув конкретний звіт;
технічні відомості: IP-адреса (для обмеження частоти запитів і запобігання зловживанням), сесійні cookies, рядок User-Agent браузера.

4.2. Дані про Суб’єктів звітів

номер(и) телефону у форматі E.164 — зашифровані за алгоритмом libsodium secretbox; для пошуку індексуються окремо ключованими токенами HMAC-SHA-256;
ідентифікатори в соціальних платформах (Instagram, Telegram тощо) — зашифровані;
ім’я та прізвище — зашифровані;
вільний опис інциденту — зашифрований;
категорія інциденту та рівень серйозності, обрані Власником;
(необов’язково) фотографії або документи-підтвердження, завантажені Власником.

Сервіс не збирає та не обробляє цілеспрямовано персональні дані, віднесені статтею 7 Закону про захист ПД до категорій з особливими вимогами щодо захисту: расове, етнічне походження, політичні, релігійні чи світоглядні переконання, членство у профспілках, стан здоров’я, статеве життя, біометричні чи генетичні дані, дані про притягнення до адміністративної або кримінальної відповідальності.

Подання звітів, побудованих повністю або частково на даних особливого режиму, прямо заборонено Умовами користування Сервісом. Володілець здійснює попередню модерацію тексту звітів і відмовляє у публікації звітам, що містять такі дані, повертаючи звіт Власнику для виправлення або видаляючи його. Якщо дані особливого режиму виявлено після публікації, відповідний фрагмент звіту видаляється Володільцем самостійно або за зверненням будь-якої заінтересованої особи (Власника, Суб’єкта, його представника, Уповноваженого Верховної Ради України з прав людини). Власник, який подав звіт із порушенням цього обмеження, несе самостійну відповідальність відповідно до розділу 6А цієї Політики.

5. Цілі обробки

Персональні дані обробляються з такими цілями:

надання верифікованим Власникам можливості перевірити особу потенційного орендаря перед укладенням договору короткотермінового найму — з метою запобігання шахрайству, псуванню майна, неоплаті проживання, фальсифікації особи та іншим порушенням;
ведення облікового запису Власника та забезпечення автентифікації;
обробка апеляцій від Суб’єктів звітів і реалізація їхніх прав на заперечення проти обробки та видалення даних;
ведення журналу доступу для розслідування зловживань Сервісом і притягнення винних осіб до відповідальності;
виконання вимог законодавства, у тому числі відповідь на обґрунтовані запити уповноважених державних органів;
забезпечення інформаційної безпеки Сервісу: захист від атак, несанкціонованого автоматичного збору даних, спаму.

Сервіс не використовує персональні дані для рекламних цілей, поведінкового профілювання, продажу третім особам, обміну з рекламними мережами чи побудови маркетингових профілів.

6. Правові підстави обробки

6.1. Обробка даних Власників

Здійснюється на підставі пункту 3 частини першої статті 11 Закону про захист ПД — необхідність укладення та виконання правочину (Умов користування Сервісом), стороною якого є Власник. Аналогічна підстава у GDPR — стаття 6(1)(b).

Реєстрація облікового запису та подання кожного звіту означає, що Власник підтверджує:

(а) досвід, описаний у звіті, є його особистим документально підтверджуваним досвідом, отриманим у ролі орендодавця;
(б) усі факти, наведені у звіті, є достовірними станом на момент подання;
(в) звіт не містить даних, віднесених статтею 7 Закону про захист ПД до особливих категорій, а також образ, наклепницьких висловлювань або відомостей про третіх осіб без правової підстави;
(г) Власник погоджується відшкодувати Володільцю збитки, спричинені недостовірністю або незаконністю поданого звіту, на умовах, передбачених Умовами користування Сервісом.

Факт прийняття цих підтверджень фіксується у Сервісі (час, IP-адреса, версія Політики та Умов) і використовується як доказ у разі спору.

6.2. Обробка даних про Суб’єктів звітів

Здійснюється на підставі пункту 6 частини першої статті 11 Закону про захист ПД — необхідність захисту законних інтересів Володільця та третіх осіб (інших верифікованих Власників), за винятком випадків, коли потреби захисту прав і свобод Суб’єкта переважають такі інтереси. Аналогічна підстава у GDPR — стаття 6(1)(f) (legitimate interests).

6.3. Тест балансу інтересів

Володілець оцінив пропорційність обробки за такими критеріями:

– Законний інтерес. Власники короткотермінової оренди в Україні постійно стикаються з реальною шкодою з боку недобросовісних орендарів — псування майна, неоплата проживання, фальшиві дані, переслідування. Існує суспільний інтерес у можливості перевірки потенційних контрагентів за фактичним досвідом інших учасників ринку — за умови дотримання балансу з правами особи, дані якої обробляються.
– Необхідність. Менш інвазивні засоби (анонімні форуми, особисті чати між власниками, неперевірені групи в месенджерах) не забезпечують ані достовірності даних, ані верифікації осіб, які подають звіти, ані аудиту доступу. Без структурованого Сервісу шкода залишається безконтрольною.
– Балансування з правами Суб’єкта. Володілець мінімізує вплив такими запобіжниками:
- – доступ до звітів обмежений верифікованими Власниками; Сервіс не є публічним і не індексується пошуковими системами;
- – усі персональні дані Суб’єктів звітів зашифровані на рівні бази даних; пошук відбувається за окремо ключованими HMAC-токенами, що унеможливлює масову деанонімізацію навіть у разі витоку дампу бази;
- – Суб’єкт має право подати апеляцію через публічну форму та вимагати зняття звіту з пошуку;
- – кожен доступ до звіту фіксується у журналі, що дозволяє виявити та переслідувати зловживання Власниками;
- – Сервіс не приймає звітів, що базуються на захищених характеристиках особи (раса, етнічність, релігія, стан здоров’я тощо); такі звіти підлягають видаленню;
- – Володілець залишає за собою право та зобов’язання видаляти звіти, які мають ознаки неправдивих, наклепницьких чи поданих з метою помсти.
– Висновок. За умови дотримання вищенаведених запобіжників законний інтерес Володільця та третіх осіб переважає над потенційним обмеженням приватності Суб’єкта, оскільки альтернативою є нерегульована економічна та фізична шкода Власникам.

Володілець письмово фіксує цей тест балансу та переглядає його при суттєвих змінах у способі обробки.

6А. Розмежування ролей між Володільцем та Власниками-авторами звітів

6А.1. Володілець як оператор інфраструктури

Володілець визначає мету та засоби обробки персональних даних на рівні Сервісу: інфраструктуру зберігання, шифрування, контроль доступу, журналювання операцій, реалізацію прав суб’єктів та правову підставу обробки. У цій частині Володілець несе повну відповідальність за дотримання вимог Закону про захист ПД, GDPR та інших застосовних норм.

6А.2. Власник як самостійний суб’єкт обробки щодо змісту звіту

Кожен Власник, подаючи звіт, є самостійним суб’єктом обробки персональних даних у частині, що стосується змісту цього звіту. Така конструкція відповідає поняттю спільного контролю (joint controllers) у розумінні статті 26 Регламенту (ЄС) 2016/679 та принципу розмежування відповідальності, закладеного у статті 4 Закону про захист ПД.

Самостійна відповідальність Власника-автора охоплює:

достовірність фактів, викладених у звіті;
законність формулювань (відсутність наклепу, образи, дискримінаційних висловлювань);
правомірність використання персональних даних Суб’єкта (наявність у Власника власного документально підтверджуваного досвіду взаємодії);
утримання від внесення даних, віднесених статтею 7 Закону про захист ПД до особливих категорій.

6А.3. Цивільна, адміністративна та кримінальна відповідальність Власника-автора

Власник, який подав недостовірний або незаконний звіт, несе самостійну відповідальність:

цивільну — за статтями 270, 277, 297, 299, 1166 та 1167 Цивільного кодексу України (захист честі, гідності, ділової репутації, права на ім’я, спростування недостовірної інформації, відшкодування майнової та моральної шкоди);
адміністративну — за статтею 188-39 Кодексу України про адміністративні правопорушення (порушення законодавства про захист персональних даних);
кримінальну — за статтями 182 (незаконне збирання, зберігання, використання, знищення, поширення конфіденційної інформації про особу) та 358 (підроблення документів) Кримінального кодексу України, у разі наявності складу злочину.

6А.4. Обмеження відповідальності Володільця за зміст звітів

Володілець не верифікує фактологічну достовірність звітів і не може відповідати перед Суб’єктом за наслідки недостовірних або незаконних відомостей, поданих Власником, окрім випадків, коли:

Володільця було належно повідомлено про незаконний зміст у порядку, передбаченому розділом 14А цієї Політики, і він не вжив відповідних заходів у встановлені строки;
незаконний характер змісту був очевидним з тексту звіту і мав бути виявлений під час попередньої модерації;
Володілець не виконав рішення суду, що набрало законної сили, або обґрунтовану вимогу Уповноваженого Верховної Ради України з прав людини.

6А.5. Попередня модерація з боку Володільця

Володілець здійснює попередню модерацію звітів перед їх включенням до пошукової бази на предмет:

відсутності даних, віднесених статтею 7 Закону про захист ПД до особливих категорій;
відсутності очевидно образливих формулювань, погроз, нецензурної лексики;
відсутності ознак дискримінації за ознаками раси, етнічного походження, мови, статі, віку, релігії, стану здоров’я, інвалідності, сексуальної орієнтації;
відсутності даних про неповнолітніх осіб;
відсутності ознак комерційного злочину (звіти, поданих з метою недобросовісної конкуренції).

Володілець не модерує фактологічну достовірність звітів — встановлення достовірності лежить у сфері відповідальності Власника-автора, з можливістю подальшого оскарження Суб’єктом у порядку розділу 14А.

6А.6. Регресне право Володільця

Якщо до Володільця заявлено вимогу (адміністративним органом, судом або в позасудовому порядку), пов’язану з конкретним звітом, і вимогу задоволено за рахунок Володільця, Володілець має право регресу до Власника-автора звіту в обсязі сплачених штрафів, виплат, судових витрат і витрат на правовий захист, на умовах, передбачених Умовами користування Сервісом.

7. Джерела отримання даних

Дані Власників Володілець отримує безпосередньо від самого Власника під час реєстрації, проходження верифікації та використання Сервісу.
Дані про Суб’єктів звітів Володілець отримує від верифікованих Власників, які подають звіт після реальної взаємодії із Суб’єктом у ролі орендодавця. Власник, який подає звіт, своєю дією підтверджує достовірність наведених відомостей і несе відповідальність за поданий зміст.

7А. Повідомлення Суб’єкта про збір його даних

Володілець отримує персональні дані про Суб’єктів звітів не від самих Суб’єктів, а від третіх осіб (Власників). За загальним правилом, у такій ситуації стаття 12 Закону про захист ПД та стаття 14 Регламенту (ЄС) 2016/679 передбачають обов’язок активного повідомлення Суб’єкта про факт збору його даних.

7А.1. Володілець не надсилає індивідуальних повідомлень Суб’єктам звітів

Володілець не надсилає Суб’єктам індивідуальних повідомлень про те, що про них було подано звіт — на жодному з можливих каналів зв’язку (SMS, телефонний дзвінок, електронна пошта, повідомлення в соціальних мережах або месенджерах).

7А.2. Правове обґрунтування

Володілець користується винятками, прямо передбаченими статтею 14(5) Регламенту (ЄС) 2016/679, які мають аналоги в практиці застосування статті 12 Закону про захист ПД:

(а) Непропорційні зусилля (Art. 14(5)(b) GDPR). Індивідуальне повідомлення кожного Суб’єкта потребує спроб контакту через канали, надійність яких Володілець об’єктивно не може верифікувати: номер телефону, наданий Власником, може належати іншій особі; ідентифікатор у соціальній мережі може бути неправильно зчитаний; email Суб’єкта зазвичай взагалі відсутній у звіті. Спроба повідомлення сама по собі стала б додатковою обробкою непідтверджених даних, що порушує принцип мінімізації.
(б) Серйозна перешкода досягненню мет обробки (Art. 14(5)(b) GDPR). Попереднє повідомлення Суб’єкта дозволяє йому уникнути результатів пошуку через зміну номерів, ідентифікаторів або імен — що повністю руйнує функціональну мету Сервісу (захист Власників від повторних інцидентів з тим самим Суб’єктом). Це класичний приклад ситуації, у якій повідомлення «would render impossible or seriously impair the achievement of the objectives».
(в) Захист прав і свобод третіх осіб (Art. 14(5)(d) GDPR за аналогією). Попереднє повідомлення Суб’єкта створює ризик переслідування Власника-автора звіту — приватні погрози, помста, дії на шкоду майну. Захист Власників від такого тиску є самостійним legitimate interest, який зважується проти права Суб’єкта на повідомлення.

Володілець письмово фіксує застосування цих винятків у внутрішній документації обробки і готовий обґрунтувати кожне з трьох обмежень на запит наглядового органу.

7А.3. Альтернативний спосіб Суб’єкта дізнатися про обробку

Замість індивідуального повідомлення Володілець забезпечує публічну та активну доступність інформації про обробку:

ця Політика конфіденційності постійно публічно доступна за адресою сайту Сервісу і містить повний перелік категорій даних, цілей, строків зберігання, прав Суб’єкта та механізмів їх реалізації;
будь-яка особа, яка підозрює, що про неї міг бути поданий звіт, має право подати запит на доступ до своїх даних через форму апеляції за адресою /appeal/ або через електронну пошту privacy@ownerhub.com.ua;
Володілець відповідає на такий запит протягом 30 (тридцяти) календарних днів (стаття 16 Закону про захист ПД), повідомляючи про факт наявності або відсутності звіту і надаючи копію наявних даних (з обмеженнями для захисту особи Власника-автора згідно з пунктом 14А.7).

7А.4. Випадки, коли індивідуальне повідомлення все ж надсилається

Володілець надсилає Суб’єкту індивідуальне повідомлення у таких випадках:

у відповідь на письмове звернення Суб’єкта (за процедурою розділів 13–14А);
на виконання обґрунтованої вимоги Уповноваженого ВРУ з прав людини або рішення суду;
у разі інциденту з безпекою даних, що створює високий ризик для Суб’єкта — у строк, передбачений розділом 11 (7 днів);
після видалення звіту за результатом успішної апеляції — Суб’єкт повідомляється про факт видалення.

8. Передача персональних даних третім особам

Володілець не продає, не передає за плату та не надає рекламним мережам, брокерам даних чи іншим непов’язаним з метою обробки третім особам персональні дані, що обробляються в Сервісі.

Дані можуть стати доступними третім особам у таких обмежених випадках:

8.1. Інші верифіковані Власники Сервісу

Як результати пошуку та переглядів звітів, з обов’язковою фіксацією кожного перегляду в журналі доступу. Це основний канал використання звітів і прямо передбачена мета обробки.

8.2. Уповноважені державні органи України

На підставі обґрунтованої письмової вимоги, оформленої відповідно до законодавства: правоохоронні органи в межах кримінального провадження, суди в межах розгляду справ, Уповноважений Верховної Ради України з прав людини в межах перевірок дотримання законодавства про захист персональних даних. Володілець фіксує кожен такий випадок у внутрішньому реєстрі.

8.3. Що Володілець не робить з даними

Володілець не продає, не передає за плату, не надає і не обмінює персональні дані з рекламними мережами, брокерами даних, маркетинговими платформами, аналітичними провайдерами поведінкового профілювання чи будь-якими іншими третіми особами, не зазначеними в пунктах 8.1–8.4 вище.

Перелік третіх осіб, які отримують доступ до даних, переглядається не рідше ніж раз на 6 (шість) місяців. У разі зміни складу третіх осіб або характеру передачі цей розділ оновлюється; зареєстровані Власники отримують повідомлення про суттєві зміни електронною поштою.

9. Строки зберігання

Володілець керується принципом обмеження строку зберігання (storage limitation), закріпленим у пункті 5 частини першої статті 6 Закону про захист ПД та статті 5(1)(e) Регламенту (ЄС) 2016/679. Конкретні строки встановлено окремо для кожної категорії даних.

9.1. Дані Власників

Зберігаються протягом усього періоду існування облікового запису. Після видалення облікового запису основні поля профілю (email, відображуване ім’я, пароль) видаляються невідкладно. Раніше подані Власником звіти від’єднуються від його ідентифікатора у спосіб, який унеможливлює зворотне зіставлення; самі звіти залишаються у базі на загальних підставах розділу 10.2 (інші Власники могли покластися на ці звіти при ухваленні рішень).

9.2. Дані про Суб’єктів звітів — стандартний строк

Звіти про Суб’єктів зберігаються та залишаються доступними для пошуку протягом 5 (п’яти) років з дати інциденту, описаного у звіті. Цей строк обґрунтований:

середньою тривалістю циклу повторних порушень у короткотерміновій оренді (за внутрішнім моніторингом — типово 2–4 роки між інцидентами одного Суб’єкта);
розумною потребою Власників мати доступ до інформації про досвід інших учасників ринку;
балансом з принципом storage limitation: 5 років є типовим строком для бізнес-комерційних історій взаємодії в українській і європейській практиці.

9.3. Подовження строку при повторному звіті

Якщо протягом 5-річного строку зберігання конкретного звіту інший Власник подає новий звіт про того самого Суб’єкта, строк зберігання як нового, так і всіх попередніх звітів про цього Суб’єкта подовжується до 5 років з дати останнього звіту. Тобто:

одиничний інцидент → дані про Суб’єкта зберігаються 5 років;
систематичні інциденти → дані залишаються в пошуку довше, поки надходять нові звіти.

Це правило відповідає логіці пропорційності: суб’єкт, чия поведінка повторюється, обґрунтовано залишається в полі зору довше.

9.4. Архівування після спливу строку

По завершенні відповідного строку без нових звітів запис автоматично виводиться з пошукової бази: зашифровані поля персональних даних перезаписуються маркером видалення (tombstone). Технічно та юридично — це псевдонімізація у розумінні статті 4(5) Регламенту (ЄС) 2016/679: зворотне відновлення вихідних персональних даних з такого запису є неможливим без додаткової інформації, яка вже не зберігається у Сервісі.

9.5. Дострокове видалення за зверненням Суб’єкта

За зверненням Суб’єкта (через форму апеляції за адресою /appeal/ або через електронну пошту privacy@ownerhub.com.ua) Володілець розглядає вимогу про видалення звіту до спливу 5-річного строку. Розгляд відбувається у порядку розділу 14А цієї Політики, в строк, що не перевищує тридцяти календарних днів (стаття 16 Закону про захист ПД).

9.6. Журнал доступу (audit log)

Записи журналу, що фіксують, хто і коли переглянув конкретний звіт, мають окрему правову підставу і окремий строк зберігання:

Правова підстава — пункт 5 частини першої статті 11 Закону про захист ПД (виконання обов’язку Володільця у сфері інформаційної безпеки) та стаття 6(1)(c) Регламенту (ЄС) 2016/679. Журнал доступу необхідний для розслідування зловживань Сервісом, реалізації регресного права та відповіді на запити уповноважених органів.
Зміст — записи журналу містять лише ідентифікатор звіту, ідентифікатор Власника, дату і час доступу. Вихідні персональні дані Суб’єктів у журналі не зберігаються.
Строк — 3 (три) роки з дати створення запису, після чого записи автоматично знищуються.
Збереження після видалення основного звіту — журнал зберігається повний 3-річний строк навіть тоді, коли пов’язаний з ним звіт був видалений раніше за зверненням Суб’єкта. Це необхідно для забезпечення можливості розслідування зловживань щодо вже видаленого звіту.

10. Заходи захисту

Володілець вживає організаційних і технічних заходів, передбачених статтею 24 Закону про захист ПД та Типовим порядком обробки персональних даних:

Шифрування на рівні зберігання. Усі чутливі поля (телефони, ідентифікатори в соцмережах, імена, описи інцидентів, контактний email апеляції) зашифровані.
Шифрування на рівні передачі. Усі з’єднання з Сервісом проходять через TLS.
Контроль доступу. Доступ до даних має лише верифікований Власник через автентифіковану сесію.
Обмеження частоти запитів на критичних точках (вхід, реєстрація, пошук, подання звіту, подання апеляції) для запобігання масовому збору даних та брутфорс-атакам.
Журнал доступу.
Безпека завантажень. Файли проходять перевірку MIME-типу, обмеження розміру, очищення метаданих EXIF.
Періодичний аудит безпеки.

Незважаючи на вжиті заходи, жодна інформаційна система не є абсолютно непробивною. У випадку виявлення інциденту з безпекою персональних даних Володілець:

повідомляє Уповноваженого Верховної Ради України з прав людини не пізніше 72 (сімдесят двох) годин з моменту виявлення інциденту, якщо інцидент створює ризик для прав і свобод суб’єктів даних;
повідомляє постраждалих суб’єктів даних не пізніше 7 (семи) календарних днів з моменту виявлення інциденту, якщо він створює високий ризик для їхніх прав і свобод; повідомлення містить опис інциденту, ймовірні наслідки, вжиті заходи та контакт відповідальної особи;
документує всі інциденти у внутрішньому реєстрі, включно з тими, що не вимагали зовнішнього повідомлення — це є частиною accountability-режиму, передбаченого статтею 5(2) Регламенту (ЄС) 2016/679.

Зазначені строки відповідають принципам, закладеним у статтях 33–34 Регламенту (ЄС) 2016/679, та практиці Уповноваженого ВРУ з прав людини щодо невідкладного повідомлення про інциденти у сфері захисту персональних даних.

11. Cookies та подібні технології

Сервіс використовує лише функціональні cookies, необхідні для його роботи:

сесійні cookies автентифікації;
nonce-токени для захисту від CSRF-атак;
збереження вибраної мови інтерфейсу.

Браузерні налаштування дозволяють заблокувати cookies; у такому випадку базова автентифікація та частина функціональності Сервісу можуть бути недоступні.

12. Права суб’єкта персональних даних

Відповідно до статті 8 Закону про захист ПД (а для суб’єктів, що перебувають у ЄС/ЄЕЗ, — також статей 15–22 GDPR), ви маєте такі права:

Право знати джерела збору, місцезнаходження, цілі обробки та обсяг персональних даних, що вас стосуються.
Право на доступ до своїх персональних даних і отримання копії інформації про них.
Право на відповідь про факт і умови обробки протягом тридцяти календарних днів з дня надходження вашого запиту.
Право на виправлення неточних або неповних даних.
Право на знищення або обмеження обробки ваших даних, якщо вони обробляються незаконно або є недостовірними.
Право заперечити проти обробки ваших даних на підставі законних інтересів Володільця (пункт 6 частини першої статті 11 Закону).
Право відкликати раніше надану згоду для випадків, коли обробка ґрунтується на згоді.
Право на захист від автоматизованих рішень, які мають для вас правові або інші суттєві наслідки. Сервіс наразі не приймає таких рішень — див. розділ 16.
Право застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.
Право звертатися зі скаргами до наглядових органів та суду — див. розділ 15.
Право на переносимість даних (для суб’єктів з ЄС/ЄЕЗ, відповідно до статті 20 GDPR) — отримати свої дані в структурованому, машинозчитуваному форматі.

13. Як реалізувати свої права

Реалізувати будь-яке з прав, переважних у розділі 13, можна одним зі способів:

Через форму апеляції в Сервісі за адресою /appeal/ — рекомендований шлях для Суб’єктів звітів. Заповніть форму на сторінці апеляції, вкажіть свій контактний email, ідентифікатор спірного звіту (якщо відомий) та обґрунтування. Володілець підтверджує отримання апеляції протягом 24 годин.
Через електронну пошту privacy@ownerhub.com.ua — у вільній формі. Для Суб’єктів звітів спосіб підтвердження особи уточнюється індивідуально, аби запобігти зловживанням з боку третіх осіб, які можуть видавати себе за Суб’єкта.

Володілець відповідає на звернення в строк, що не перевищує тридцяти календарних днів з моменту отримання (стаття 16 Закону про захист ПД), і повідомляє про вжиті дії або обґрунтовану відмову.

Реалізація прав здійснюється безоплатно, окрім випадків явно безпідставних або надмірних запитів (повторюваних ідентичних звернень) — у таких випадках Володілець може стягнути розумну адміністративну плату відповідно до закону або відмовити у відповіді з обґрунтуванням.

13А. Повідомлення про незаконний зміст (notice-and-takedown)

14А.1. Хто може звернутися

Будь-яка особа, яка вважає, що конкретний звіт у Сервісі містить недостовірну, наклепницьку, дискримінаційну або іншим чином незаконну інформацію щодо неї, може звернутися до Володільця з вмотивованою заявою про видалення або спростування такого звіту. Право на звернення мають, зокрема:

сам Суб’єкт, дані якого фігурують у звіті;
законний представник Суб’єкта (для неповнолітніх, недієздатних або обмежено дієздатних осіб);
адвокат або інший представник Суб’єкта на підставі ордера чи довіреності;
уповноважені державні органи в межах своїх повноважень.

13А.2. Куди надсилати

Звернення подаються одним зі способів:

через публічну форму апеляції за адресою /appeal/ (рекомендований шлях — забезпечує найшвидшу обробку та автоматичну реєстрацію звернення);
електронною поштою на адресу privacy@ownerhub.com.ua у вільній формі;

13А.3. Що має містити звернення

Для оперативного розгляду звернення має містити:

ідентифікаційні дані заявника (ПІБ або найменування, контактна електронна пошта);
ідентифікатор спірного звіту (за можливості — посилання, що було надіслано Суб’єкту після подання апеляції) або один чи декілька ідентифікаторів, за якими спірний звіт можна знайти (номер телефону, ім’я, ідентифікатор у соціальних платформах);
обґрунтування — у чому полягає недостовірність, незаконність або порушення прав;
наявні докази (скріншоти, документи, посилання на судові рішення тощо), за наявності;
бажаний результат — повне видалення, публікація спростування поряд зі звітом, або інше.

13А.4. Строки розгляду

Володілець гарантує такі строки реагування:

24 години з моменту отримання звернення — підтвердження отримання та реєстрація;
72 години — попередній розгляд та тимчасове зняття звіту з пошуку на час перевірки (звіт залишається у базі, але стає невидимим для пошукових запитів інших Власників);
14 календарних днів — фінальне рішення з мотивуванням, у межах загального строку, передбаченого статтею 16 Закону про захист ПД.

13А.5. Можливі рішення Володільця

За результатами розгляду звернення Володілець ухвалює одне з таких рішень:

повне видалення звіту — зашифровані поля персональних даних звіту перезаписуються маркером видалення;
публікація спростування поряд зі звітом — реалізація права на спростування за статтею 277 Цивільного кодексу України; спростування зберігає той самий статус видимості, що й сам звіт, і доступне всім, хто бачить спірний звіт;
редагування звіту — видалення лише незаконної частини (наприклад, даних особливого режиму) зі збереженням законної основи звіту;
відмова з обґрунтуванням — якщо звернення є явно безпідставним, не містить достатніх відомостей для розгляду по суті або стосується звіту, законність якого не викликає сумніву.

Заявник інформується про ухвалене рішення письмово (через електронну пошту, зазначену у зверненні).

13А.6. Безумовне виконання рішень суду та вимог Уповноваженого

У разі надходження рішення суду, що набрало законної сили, або обґрунтованої письмової вимоги Уповноваженого Верховної Ради України з прав людини, Володілець видаляє звіт або публікує спростування невідкладно, без застосування процедури попереднього розгляду, передбаченої пунктами 14А.2–14А.5.

13А.7. Залучення Власника-автора звіту

Володілець інформує Власника-автора оспорюваного звіту про факт звернення (без розкриття особи заявника, якщо це не необхідне за законом) і надає йому можливість висловити позицію щодо звернення протягом 5 робочих днів. Відсутність відповіді Власника не зупиняє розгляд звернення.

13А.8. Право заявника на оскарження рішення Володільця

У разі незгоди з рішенням Володільця заявник зберігає всі права, передбачені розділом 15 цієї Політики, у тому числі право на звернення до Уповноваженого Верховної Ради України з прав людини та до суду.

14. Скарги

Якщо ви вважаєте, що обробка ваших персональних даних порушує законодавство, ви маєте право:

Звернутися до Уповноваженого Верховної Ради України з прав людини — наглядового органу у сфері захисту персональних даних в Україні:
- – адреса: вул. Інститутська, 21/8, м. Київ, 01008;
- – гаряча лінія: 0 800 50 17 20 (безкоштовно з усіх телефонів на території України);
- – електронна пошта: hotline@ombudsman.gov.ua;
- – сайт: ombudsman.gov.ua.
Звернутися до суду в порядку, передбаченому Цивільним процесуальним кодексом України, за захистом своїх прав, гарантованих статтями 270, 277, 297–302 Цивільного кодексу України та Законом про захист ПД.
Звернутися до наглядового органу країни вашого проживання в ЄС/ЄЕЗ — для резидентів ЄС/ЄЕЗ, відповідно до статті 77 GDPR.

Перш ніж звертатися до наглядового органу або суду, Володілець просить спершу спробувати вирішити питання безпосередньо — це зазвичай найшвидший шлях.

15. Автоматизоване прийняття рішень і профілювання

Сервіс не здійснює автоматизованого прийняття рішень, що мають для суб’єктів правові наслідки чи суттєво на них впливають у розумінні статті 22 GDPR. Результат пошуку у Сервісі є лише інформаційним сигналом для Власника; остаточне рішення про укладення договору оренди приймає Власник особисто, на основі повної ситуації.

Сервіс не здійснює маркетингового профілювання та не аналізує поведінку суб’єктів даних з метою прогнозування.

15.1. Штучний інтелект і машинне навчання

Володілець не використовує персональні дані Власників або Суб’єктів звітів для:

тренування моделей штучного інтелекту або машинного навчання (як власних, так і сторонніх);
передачі до сторонніх AI-сервісів (large language models, generative AI, аналітичних AI-платформ);
аналізу даних AI-методами з метою прийняття рішень про конкретного суб’єкта;
генерації автоматизованих оцінок, скорів чи рекомендацій щодо суб’єктів.

Якщо у майбутньому Володілець планує запровадити AI-функціональність, яка передбачає обробку персональних даних (наприклад, автоматизована модерація звітів, AI-асистований пошук, виявлення координованих атак), ця Політика буде попередньо оновлена з окремим повідомленням Власників і можливістю заперечити проти такої обробки до набрання чинності змін.

Цей принцип відповідає рекомендаціям Європейського комітету з захисту даних (EDPB Opinion 28/2024 від грудня 2024 року) щодо використання персональних даних для тренування AI-моделей, а також усталеним рекомендаціям Уповноваженого ВРУ з прав людини щодо прозорості автоматизованої обробки.

16. Зміни до Політики

Володілець може періодично оновлювати цю Політику. Суттєвими вважаються зміни, що стосуються цілей обробки, переліку третіх осіб, строків зберігання або правових підстав обробки.

Про суттєві зміни Володілець повідомляє:

через інформаційне повідомлення в особистому кабінеті Власника;
через електронну пошту, прив’язану до облікового запису;
через оновлення дати «Дата останнього оновлення» вгорі цієї сторінки.

Для Суб’єктів звітів, які не мають облікового запису, актуальна редакція Політики завжди доступна на цій сторінці.

16А. Пріоритет юридичних документів

Сервіс публікує комплект юридичних документів: Політику конфіденційності (/privacy/), Умови користування Сервісом (/terms/).

У разі суперечності між положеннями цих документів застосовуються такі правила:

у питаннях договірних відносин між Володільцем і Власником (платежі, припинення доступу, відповідальність, інтелектуальна власність) превалюють Умови користування Сервісом;
у разі неоднозначності документ, що містить більш конкретне положення, превалює над документом з більш загальним формулюванням.

17. Контакти

З будь-яких питань щодо обробки персональних даних або реалізації ваших прав:

Електронна пошта: privacy@ownerhub.com.ua
Повідомлення про вразливості безпеки (responsible disclosure): security@ownerhub.com.ua

18.1. Safe harbor для security-дослідників

Дослідник, який повідомляє Володільця про виявлену вразливість у форматі responsible disclosure (приватне повідомлення на security@ownerhub.com.ua, відсутність публічного розкриття до виправлення Володільцем, відсутність дій, що завдають шкоди користувачам або їхнім даним, відсутність ексфільтрації даних понад мінімум, необхідний для демонстрації вразливості), не несе цивільної чи кримінальної відповідальності з боку Володільця за факт дослідження безпеки Сервісу — незалежно від того, чи мав дослідник попередній письмовий дозвіл на тестування.

Це положення є публічним зобов’язанням Володільця у сенсі статті 627 Цивільного кодексу України; воно діє з дати публікації цієї редакції Політики і не може бути скасоване ретроактивно щодо вже здійсненого дослідження.