Захист персональних даних

1. Загальні положення

• Ця Політика визначає порядок обробки та захисту персональних даних у діяльності Громадської організації «Градієнт Центр» (далі — Організація).
• Політику розроблено відповідно до Закону України «Про захист персональних даних», Статуту (пункт 8.6) та з урахуванням підходів Загального регламенту ЄС про захист даних (GDPR).
• Володільцем персональних даних є Організація. Контакт з питань захисту даних: hello@gradientcenter.org.

2. Дані, що обробляються

• Через форму заявки на вебсайті: ім'я, контакт (електронна пошта або месенджер), обрана роль, а також відомості, які особа зазначає добровільно — місто, фах, організація, кількість годин, короткий опис про себе.
• Через форму підписки: електронна адреса.
• Щодо учасників, менторів і працівників: дані, необхідні для укладення та виконання договору й для звітності перед донорами.
• Організація не збирає навмисно чутливі дані (стан здоров'я, релігійні чи політичні переконання). Якщо особа повідомляє їх з власної ініціативи у вільному полі, вони обробляються лише в межах мети звернення.

3. Мета та правові підстави

• Метою обробки є зв'язок щодо участі, адміністрування проєктів, виконання договорів і звітність перед донорами.
• Правовими підставами обробки є згода суб'єкта, виконання договору, виконання обов'язку за законом та законні інтереси Організації.

4. Строки зберігання

• Дані із заявок, за якими не відбулося подальшої співпраці, зберігаються 24 місяці з моменту останнього контакту, після чого видаляються.
• Дані підписників зберігаються до відкликання згоди.
• Дані учасників, менторів і працівників зберігаються протягом строку дії договору та далі — протягом строку, встановленого законодавством про бухгалтерський облік і вимогами донорів.

5. Доступ і передача третім особам

• Доступ до персональних даних мають лише уповноважені особи, яким він потрібен для виконання обов'язків.
• Технічну обробку звернень і роботу вебсайту забезпечують сервіс-партнери (оператор форм і хмарний провайдер), які діють за дорученням Організації та не мають права використовувати дані для власних цілей.
• Оскільки такі сервіси розташовані за межами України, передача даних відбувається до країн, що забезпечують належний рівень захисту, або на підставі стандартних договірних умов.
• Організація не продає персональні дані та не передає їх третім сторонам для їхніх власних цілей.

6. Права суб'єктів даних

• Суб'єкт має право на доступ до своїх даних, їх виправлення, видалення, обмеження обробки, заперечення проти обробки та відкликання згоди.
• Звернення надсилається на hello@gradientcenter.org. Організація відповідає протягом 30 календарних днів.
• Відкликання згоди не впливає на законність обробки, здійсненої до такого відкликання.

7. Безпека

• Організація вживає технічних та організаційних заходів захисту: обмеження доступу за принципом мінімальної необхідності, двофакторна автентифікація для облікових записів з доступом до даних, резервне копіювання, за потреби — шифрування.

8. Реагування на інциденти

• У разі витоку або іншого порушення захисту даних Організація невідкладно вживає заходів реагування, документує інцидент і повідомляє суб'єктів даних та компетентні органи відповідно до закону.
• Повідомити про порушення можна на hello@gradientcenter.org із темою «Інцидент із персональними даними» або особисто Голові Правління. Повідомлення приймаються також анонімно. Особа, яка добросовісно повідомила про порушення, не може бути покарана, звільнена, виключена чи іншим чином утиснена у зв'язку з таким повідомленням. Правління розглядає повідомлення протягом 10 робочих днів і письмово інформує заявника про результат, якщо він залишив контакти.

9. Відповідальність за виконання

• Відповідальним за впровадження та дотримання цієї Політики є Голова Правління. До призначення окремої відповідальної особи її функції виконує Голова Правління.
• Ознайомлення з Політикою є обов'язковою умовою допуску до проєктів Організації та фіксується у договорі або окремою розпискою.

10. Перегляд і чинність

• Політика затверджується Правлінням і набирає чинності з дня затвердження.
• Політика переглядається не рідше ніж один раз на рік, а також невідкладно — у разі зміни законодавства, вимог донорів або виявлення суттєвого порушення.
• Чинна редакція Політики оприлюднюється на вебсайті Організації.