Політика конфіденційності та обробки персональних даних

1. Загальні положення

1.1. Ця Політика конфіденційності та обробки персональних даних (далі по тексту — «Політика») розроблена відповідно до міжнародного та локального законодавства у сфері захисту персональних даних.

1.2. Ця Політика визначає принципи, цілі та умови збору, обробки і захисту персональних даних у межах функціонування веб-сайту virtualsb.tech (далі - Сайт) та Платформи аналітичної верифікації (далі - Платформа, Оператор).

1.3. Сайт є інформаційним ресурсом для ознайомлення із сервісом. Безпосереднє проходження верифікації здійснюється на Платформі - технічному продовженні цього сервісу, що функціонує як особистий кабінет користувача.

1.4. Ця Політика поширюється на: (а) B2B-клієнтів Платформи; (б) фізичних осіб-респондентів, яких тестують B2B-клієнти; (в) відвідувачів вебсайту Платформи.

1.5. Платформа надає B2B-сервіс автоматизованої діагностики респондентів (кандидатів) через тестування та AI-аналіз. Платформа виступає виключно як технічний обробник даних – Оператор (Data Processor) відповідно до ст. 4(8) GDPR.

1.6. Оператор діє виключно в межах, визначених цією Політикою, та не використовує персональні дані для будь-яких інших цілей.

1.7. Контролером даних (Data Controller) є виключно клієнт-організація (B2B-клієнт), яка визначає мету та способи обробки персональних даних респондентів.

1.8. Натискаючи на відмітку підтвердження (чекбокс) перед початком верифікації, Ви підтверджуєте, що ознайомились із цією Політикою та надаєте згоду на обробку персональних даних на умовах, викладених нижче.

2. Визначення

2.1. Оператор даних (Платформа) - особа, що організовує та здійснює технічну обробку персональних даних у межах сеансу верифікації.

2.2. Контролер даних (B2B-клієнт) - юридична або фізична особа-підприємець, яка уклала договір (прийняла публічну оферту) з Платформою.

2.3. Суб'єкт даних (Респондент) - фізична особа, яка проходить тестування за направленням Контролера даних (B2B-клієнта).

2.4. Сайт - інформаційна веб-сторінка virtualsb.tech для ознайомлення із сервісом.

2.5. Суб’єкт даних - фізична особа, яка проходить процедуру верифікації на Платформі.

2.6. Верифікація - сукупність дій з отримання, аналізу та узагальнення відповідей, реакцій та загальнодоступних відомостей про суб’єкта даних у межах активного сеансу.

2.7. Біометричні дані - персональні дані, отримані внаслідок специфічної технічної обробки, що стосуються фізичних або поведінкових характеристик фізичної особи (ст. 4(14) GDPR).

2.8. OSINT (Open Source Intelligence) - збір та аналіз інформації з відкритих джерел.

2.9. Аналітичний звіт - підсумковий документ рекомендаційного характеру, що формується за результатами верифікації. Звіт передається особі, яка ініціювала верифікацію – замовнику (ініціатору).

2.10. Сеанс - проміжок часу від початку верифікації до автоматичного знищення оброблених даних після формування звіту.

2.11. Обробка персональних даних - будь-яка дія або сукупність дій: збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання, поширення, знеособлення, знищення персональних даних, що здійснюються за допомогою програмних засобів.

2.12. Cookies - невеликі текстові файли, що зберігаються на пристрої користувача браузером для забезпечення коректної роботи Сайту.

3. Категорії персональних даних та цілі обробки

3.1. Категорії персональних даних:

3.1.1. Дані, що зберігаються постійно:

ідентифікаційні дані B2B-клієнта: email, телефон, найменування компанії, контактні дані;

базові дані респондента: ПІБ, e-mail, телефон, посада.

технічні дані: IP-адреси, системні журнали (логи), дата та час сесій.

3.1.2. Дані, що обробляються тимчасово (обробляються виключно для генерації звітів та видаляються після завершення обробки):

відповіді респондента на запитання тестування;

поведінкові дані під час проходження тесту (паттерни, час відповідей, латеральні рухи очей);

паспортні дані та ІПН (податкові номери) — виключно для транзитного запиту до системи YouControl;

фото респондента — для OSINT-аналізу та аналізу емоцій (зберігається лише у звіті від OSINT-системи).

3.1.3. Біометричні дані (обробка здійснюється виключно для генерації аналітичного звіту та не використовується для ідентифікації особи):

виразу обличчя та емоцій за фотографією;

мімічних патернів;

фізіогномічних характеристик (рекомендаційний аналіз);

голосових характеристик;

жестів та поведінкових патернів під час відеосесії.

3.1.4. Дані, що не збираються:

медичні дані та дані про стан здоров'я респондентів;

дані про політичні переконання;

дані про релігійні чи світоглядні переконання;

генетичні дані;

дані про судимість (крім інформації з відкритих реєстрів YouControl).

3.2. На Сайті (virtualsb.tech) обробка даних відбувається наступним чином:

Сайт не вимагає реєстрації.

Автоматично можуть збиратися технічні дані: тип і версія браузера, IP-адреса, приблизне місцезнаходження, переглянуті сторінки, тривалість сесії та джерело переходу. Ці дані збираються в агрегованому вигляді і не дозволяють прямо ідентифікувати особу.

Якщо на Сайті розміщена контактна форма - надсилаючи через неї запит, Ви надаєте згоду на обробку зазначених вами даних з метою відповіді на ваш запит протягом строку необхідного для опрацювання такого запиту.

3.3. На Платформі обробка даних відбувається шляхом верифікації респондента:

У межах верифікації можуть оброблятися: прізвище, ім’я, по батькові, дата народження, номер телефону, фото- та відеозображення, а також інша інформація і дані, надані суб’єктом під час проходження онлайн-верифікації (відповіді, реакції, завантажені матеріали).

Конкретний перелік даних, що запитуються, визначається типом верифікації та може відрізнятися в різних процедурах.

У передбачених випадках може використовуватись інформація із загальнодоступних джерел. Усі зазначені дані обробляються виключно в межах сеансу та знищуються після передачі аналітичного звіту ініціатору.

Платформа НЕ формує та НЕ зберігає біометричні шаблони (слєпки).

4. Мета обробки персональних даних

4.1. Персональні дані обробляються виключно для:

проведення онлайн-верифікації та аналітичного оцінювання в межах конкретного сеансу;

формування аналітичного звіту та висновків та їх передачі особі, яка ініціювала верифікацію;

забезпечення технічного функціонування Платформи під час активного сеансу;

обробки звернень, надісланих через контактну форму або електронну пошту (стосовно Сайту).

4.2. Використання даних для маркетингу, реклами, профілювання поза межами конкретної верифікації або будь-яких інших цілей є забороненим.

5. Підстава для обробки та згода субʼєкта даних

5.1. Правовою підставою обробки персональних даних є попередня, явна та добровільна згода суб’єкта даних.

5.2. Згода підтверджується шляхом проставлення позначки (“Так”) поруч із текстом про надання згоди перед початком верифікації. Таке підтвердження прирівнюється до власноручного підпису під згодою на обробку персональних даних і є умовою доступу до Платформи.

5.3. Додатковим підтвердженням згоди є сам факт добровільного початку та проходження верифікації після ознайомлення з цією Політикою. Оскільки суб’єкт даних направляється на верифікацію безпосередньо ініціатором, цим також підтверджується, що суб’єкту відомо, хто є ініціатором верифікації, і він погоджується на передачу аналітичного звіту такій особі.

5.4. Правові підстави обробки даних:

5.4.1. Для респондентів (суб'єктів даних):

явна згода (відповідно до ст. 6(1)(a) GDPR / ст. 9(2)(a) GDPR для спеціальних категорій) - форма згоди надається респонденту перед початком тестування;

законний інтерес Контролера (B2B-клієнта) (згідно ст. 6(1)(f) GDPR) - у межах, визначених Контролером).

5.4.2. Для Контролерів даних (B2B-клієнтів):

виконання договору (відповідно до ст. 6(1)(b) GDPR);

дотримання юридичних зобов'язань (згдіно ст. 6(1)(c) GDPR).

5.4.3. Особливі умови для біометричних даних:

обробка даних, що кваліфікуються як біометричні, здійснюється виключно за наявності явної, конкретної, інформованої та однозначної згоди суб'єкта даних у письмовій формі (відповідно до ст. 9(2)(a) GDPR);

відкликання згоди можливе у будь-який момент до початку тестування.

5.5. Суб’єкт даних ознайомлений зі своїми правами відповідно до розділу 8 цієї Політики до моменту надання згоди.

5.6. Згода надана суб’єктом даних свідомо, за власним волевиявленням та особисто, без будь-якого примусу, з повним усвідомленням її предмету та юридичних наслідків.

6. Ініціатор верифікації та передача звіту. Передача даних третім сторонам

6.1. Верифікація здійснюється за запитом В2В клієнта, який направив суб’єкта даних (респондента) на проходження процедури (далі - ініціатор). Аналітичний звіт передається виключно ініціатору верифікації.

6.2. Ініціатор самостійно несе відповідальність за правомірність ініціювання верифікації, дотримання трудового законодавства, законодавства про рівність та недискримінацію, а також за будь-які рішення, прийняті на підставі аналітичного звіту.

6.3. Суб’єкту даних (респонденту) завжди відомо, хто є ініціатором верифікації, оскільки запит здійснюється через пряме направлення респондента. Якщо суб’єкту з будь-якої причини невідомо, хто є ініціатором верифікації, він зобов’язаний відмовитися від проходження верифікації та припинити використання Платформи.

6.4. Надані персональні дані в межах мети обробки можуть бути передані ініціатором верифікації юридичним або фізичним особам (Контролерам даних), з якими суб’єкт даних (респондент) на дату проходження верифікації перебуває у трудових відносинах або в процесі працевлаштування (чи їх афілійованим особам), або іншій формі співпраці. Цим суб’єкт даних (респондент) також надає згоду на отримання від усіх зазначених осіб будь-яких повідомлень, пов’язаних із результатами верифікації. Поширення та передача даних ініціатору у межах цієї Політики не потребують отримання від суб’єкта окремої згоди.

6.5. Для надання повного функціоналу Платформа може передавати персональні дані респондентів наступним субобробникам (субоператорам):

YouControl (Україна) - паспортні дані та ІПН для перевірки публічних реєстрів;

IRBIS та інші OSINT-сервіси - фото, email, телефон для OSINT-аналізу;

Google LLC (Google Drive) - завантаження готових звітів через OAuth клієнта або сервісні акаунти;

AI API-провайдери - аналіз відповідей та поведінкових даних; моделі НЕ навчаються на даних клієнтів та респондентів.

6.6. Платформа транслює дані, отримані від YouControl, IRBIS та інших OSINT-сервісів, у незміненому вигляді. Платформа не верифікує та не може гарантувати 100% достовірність таких даних. Відповідальність за зміст та актуальність даних з відкритих джерел несуть відповідні треті сторони.

6.7. Передача даних з України до ЄС здійснюється відповідно до ст. 44-46 GDPR з урахуванням наявності рішення Єврокомісії про адекватний рівень захисту або на підставі стандартних договірних положень (SCC).

7. Характер аналітичного звіту

7.1. Аналітичний звіт, що формується за результатами верифікації:

містить узагальнені висновки рекомендаційного характеру на основі даних сеансу;

не є експертним, психологічним, медичним або юридичним висновком;

передається виключно ініціатору верифікації;

не зберігається Оператором після передачі.

8. Права та обов'язки сторін

8.1. Відповідно до застосовного законодавства суб’єкт даних (респондент) має право на:

доступ до своїх персональних даних;

виправлення неточних або неповних даних;

видалення даних;

обмеження обробки;

заперечення проти обробки;

отримання даних у структурованому форматі (портабельність).

8.2. З огляду на те, що Оператор даних не зберігає персональні дані після завершення сеансу, реалізація прав щодо вже переданих даних здійснюється через ініціатора верифікації, який може мати власні підстави і строки зберігання. Запити щодо аналітичного звіту або рішень, прийнятих на його основі, суб’єкт даних адресує безпосередньо ініціатору верифікації.

8.3. Звернення стосовно обробки персональних даних в межах поточного сеансу направляються Оператору даних через контактну форму або електронну пошту, зазначені в розділі «Контактна інформація».

8.4. Суб’єкт даних (респондент) також має право відкликати згоду та відмовитися від верифікації в будь-який момент до її завершення. Після передачі звіту та знищення даних відкликання згоди не впливає на вже здійснену обробку, що є допустимим відповідно до застосовного законодавства. Відкликання під час сеансу оформляється письмовим повідомленням на адресу Оператора даних.

8.5. Оператор даних (Платформа) зобов'язується:

забезпечити стабільний доступ до Платформи;

надати доступ респонденту до акаунту протягом 24 годин після підтвердження оплати В2В клієнтом (Контролером даних);

генерувати Звіти у строк, визначений Тарифним планом та/або Угодою з В2В кліентом;

зберігати конфіденційність даних респондента та В2В клієнта (Контролера даних) відповідно до Політики конфіденційності та DPA;

повідомляти В2В клієнта про планові технічні роботи за 24 години до їх початку.

В2В клієнт (Контролер даних) зобов'язується:

надавати Оператору достовірні дані при реєстрації та оплаті;

самостійно і в повному обсязі відповідати за зміст запитань, що включаються до тестування респондентів;

отримати належну згоду респондентів на обробку їхніх персональних даних перед направленням їх на тестування;

не передавати доступ до акаунту третім особам без попередньої письмової згоди Платформи;

використовувати AI-звіти та маркери ризику виключно як допоміжний інструмент, а не як підставу для автоматичного прийняття кадрових або інших рішень;

дотримуватись санкційних гарантій, передбачених цією Політикою;

негайно (протягом 24 годин) повідомляти Оператора даних (Платформу) про будь-які порушення безпеки, що стали відомі В2В клієнту.

8.6. Права Оператора даних (Платформи):

призупиняти або припиняти надання послуг у разі порушення В2В клієнтом умов цієї Політики та інших домовленостей;

вносити зміни до функціоналу Платформи, попередньо повідомивши В2В клієнта за 7 днів;

відмовити в реєстрації або заблокувати Акаунт без пояснення причин у разі підозри в порушенні санкційних вимог.

УВАГА: Оскільки Платформа є Обробником (Оператором), а не Контролером даних респондентів, запити суб'єктів даних щодо доступу, виправлення або видалення їхніх даних мають спрямовуватись насамперед до B2B-клієнта (Контролера), який направив їх на тестування. Платформа надає технічну підтримку у реалізації таких запитів протягом 72 годин після отримання підтвердженого запиту від Контролера.

8.7. Порядок подання запиту:

8.7.1. Направте запит на email: support@virtualsb.tech

8.7.2. Вкажіть: ПІБ, дату проходження тестування, B2B-клієнта, що направив вас;

8.7.3. Ми підтвердимо отримання запиту протягом 72 годин;

8.7.4. Відповідь або виконання запиту — протягом 30 календарних днів (60 днів у разі складності запиту).

9. Безпека та строки зберігання даних

9.1. Оператор даних застосовує організаційні та технічні заходи захисту, що включають:

шифрування каналів зв’язку;

контроль доступу до інфраструктури;

мінімізацію обсягу даних, що обробляються.

9.2. Відсутність тривалого зберігання персональних даних є основною архітектурною гарантією безпеки - ризик витоку накопичених даних є структурно виключеним. У разі виявлення порушення безпеки Оператор даних вживає заходів відповідно до вимог застосовного законодавства.

9.3. Усі дані передаються виключно через захищений протокол HTTPS/TLS.

9.4. Платформа як Оператор даних застосовує технічні та організаційні заходи відповідно до ст. 32 GDPR.

9.5. У разі виявлення витоку даних Платформа повідомляє Контролера протягом 72 годин (ст. 33 GDPR).

9.6. Строки зберігання даних:

Базові дані B2B-клієнта: протягом дії договору + 3 роки (з урахуванням позовної давності);

Базові дані респондента: протягом дії договору з B2B-клієнтом + 1 рік після його закінчення (окрім Self-Check моделі – до відкликання згоди респондента або 1 рік після тестування);

Звіти на Google Drive клієнта: зберігаються виключно на стороні В2В клієнта (Контролера даних). Платформа зберігає OAuth-доступ до папки Google Drive Контролера протягом дії договору для завантаження Звітів. Після припинення договору Платформа відкликає доступ протягом 30 днів;

Тимчасові дані (відповіді, фото, паспортні дані):

Відповіді респондента, AI-висновок (маркери ризику), ПІБ, контакти — зберігаються протягом дії договору з B2B-клієнтом + 12 місяців;

Фото респондента — видаляється одразу після генерації звіту;

Паспортні дані та ІПН — видаляються одразу після транзитного запиту до YouControl

Технічні логи: 90 днів;

Журнали транзакцій: 3 років (відповідно до вимог фінансового законодавства України, ЕС, США тощо).

10. Cookies та технології відстеження

10.1. Ми використовуємо файли cookie та піксельні теги для збору Інформації про використання.

10.2. Сайт використовує виключно технічно необхідні cookies для забезпечення коректної роботи та навігації. Такі cookies не потребують окремої згоди. Збір або обробка будь-яких інших даних через cookies на Сайті не здійснюється.

10.3. Файл cookie також може передавати інформацію про те, як Користувач використовує Сервіс (наприклад, переглянуті сторінки, натиснуті посилання та інші дії, здійснені під час використання Сервісів), і дозволяє рекламній платформі або її бізнес-партнерам відстежувати використання Сервісів відповідним Користувачем.

10.4. Постійний файл cookie залишається на жорсткому диску Користувача після закриття браузера. Постійні файли cookie можуть використовуватися браузером під час наступних відвідувань Сайту. Постійні файли cookie можна видалити, дотримуючись інструкцій веб-браузера. Сесійний файл cookie є тимчасовим і зникає після закриття браузера. Ви можете налаштувати свій веб-браузер так, щоб він відхиляв усі файли cookie або повідомляв про надсилання файлу cookie. Однак деякі функції Сервісу можуть працювати некоректно, якщо можливість приймати файли cookie вимкнена.

10.5. Ми використовуємо файли cookie для унікальної ідентифікації браузера, що дає рекламодавцям можливість показувати цільову рекламу, яка є релевантною для відповідного Користувача.

Від використання cookies можна відмовитися через налаштування браузера, однак це може вплинути на коректність роботи Сайту.

11. Зміни Політики

11.1. Оператор має право вносити зміни до цієї Політики. Актуальна версія із датою редакції завжди доступна на Сайті за адресою virtualsb.tech.

11.2. Продовження використання Сайту або Платформи після набрання змін чинності означає прийняття нової редакції.

12. Право на скаргу

12.1. Суб’єкт даних має право подати скаргу до уповноваженого органу із захисту персональних даних відповідно до застосовного законодавства.

12.2. Ви маєте право звернутись до органів, визначених за окремими посиланнями для резидентів окремих юрисдикцій (Додатки)

13. Санкційна відповідність

13.1. Відповідальність за вибірку респондентів несе виключно B2B-клієнт (Контролер даних). Клієнт, укладаючи договір з Оператором даних (Платформою), підтверджує та гарантує, що не буде використовувати Платформу для тестування осіб з підсанкційних юрисдикцій.

13.2. При встановленні факту порушення санкційних вимог Платформа, як Оператор даних, має право негайно призупинити або припинити надання послуг без відшкодування сплачених коштів.

САНКЦІЙНЕ ЗАСТЕРЕЖЕННЯ: Платформа (Оператор даних) не надає послуги особам, компаніям або урядам, що підпадають під санкції США (OFAC), ЄС, ООН або Великобританії, включаючи, але не обмежуючись, резидентами та представниками Російської Федерації, Республіки Білорусь, Ісламської Республіки Іран та КНДР.

14. Відмова від відповідальності щодо AI-звітів

14.1. Аналітичні звіти, що генеруються AI-системою Платформи, носять виключно рекомендаційний та інформаційний характер.

14.2. Платформа, як Оператор даних, не несе відповідальності за будь-які кадрові, бізнесові або інші рішення, прийняті B2B-клієнтом на підставі AI-звітів щодо респондентів.

14.3. «Маркери ризику» є аналітичними індикаторами та не є юридичними висновками, медичними діагнозами або офіційними характеристиками особи респондента.

14.4. В2В клієнт зобов'язаний самостійно верифікувати будь-які висновки перед прийняттям рішень, що можуть вплинути на права та інтереси третіх осіб.

15. Контактна інформація

15.1. Оператор: ТОВ "ВІ ЕС БІ ЕКСПЕРТ"

15.2. Контактна електронна пошта: support@virtualsb.tech

15.3. Запити суб’єктів даних щодо поточних сеансів приймаються виключно через зазначену електронну пошту або контактну форму на веб-сайті Платформи.