Політика конфіденційності

1. Контролер даних

Контролером у розумінні Загального регламенту про захист даних (GDPR) є:

Roman Zhuchenko
Phantom Lab
c/o Block Services
Stuttgarter Str. 106
70736 Fellbach
Німеччина
E-mail: kontakt@phantom-creator.com

Законодавчого обов'язку призначати уповноваженого із захисту даних немає.

2. Хостинг

Цей сайт працює і доставляється як так званий Worker у мережі Cloudflare. Постачальник: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, США; контактна особа в ЄЕЗ: Cloudflare Germany GmbH, Rosental 7, 80331 Мюнхен. Під час звернення до сайту Cloudflare обробляє технічні дані доступу (зокрема IP-адресу), щоб доставити вміст і забезпечити безпеку та стабільність сайту.

Правова підстава: ст. 6 абз. 1 літ. f GDPR (законний інтерес у безпечному, швидкому та безперебійному наданні сайту). З Cloudflare укладено договір про обробку даних згідно зі ст. 28 GDPR. Дані можуть передаватися до США; Cloudflare, Inc. сертифікована за EU-US Data Privacy Framework (рішення Європейської Комісії про адекватність від 10 липня 2023 року) і додатково спирається на Стандартні договірні положення ЄС.

Докладніше: cloudflare.com/privacypolicy.

3. Серверні журнали та IP-адреса

Під час звернення до сайту автоматично фіксується інформація, яку передає ваш браузер. Зокрема це:

• тип і версія браузера
• використана операційна система
• URL-джерело переходу (сторінка, відвідана перед цим)
• дата й час звернення
• запитаний файл або сторінка та обсяг переданих даних
• IP-адреса

Ці дані не об'єднуються з іншими джерелами даних і слугують виключно для технічно безпомилкової доставки, аналізу помилок і захисту від зловживань. Правова підстава: ст. 6 абз. 1 літ. f GDPR. Дані видаляються, щойно потреба в них для мети збирання зникає, як правило через кілька днів.

З вашої IP-адреси Cloudflare додатково визначає країну походження запиту (дволітерний код країни). Це значення використовується, щоб попередньо обрати мову сайту під час першого відвідування та показати версію правової інформації, відповідну для вашої країни. Воно не зберігається і не пов'язується з вашою особою; точніше визначення місцеперебування не здійснюється. Правова підстава: ст. 6 абз. 1 літ. f GDPR (законний інтерес у коректно локалізованому та юридично відповідному поданні).

4. Форма зворотного зв'язку

Якщо ви користуєтеся формою зворотного зв'язку на цьому сайті, обробляються введені вами дані: ваше ім'я, зазначений вами спосіб зв'язку (наприклад, адреса електронної пошти, номер телефону або нік у месенджері), обрані послуги, ваше повідомлення, а також встановлена мова сайту й визначена Cloudflare країна походження запиту. Мета обробки: виключно опрацювання вашого звернення та відповідь на нього.

Правова підстава для опрацювання звернення: ст. 6 абз. 1 літ. b GDPR (виконання переддоговірних заходів на ваш запит) або ст. 6 абз. 1 літ. f GDPR (законний інтерес у відповідях на звернення). Передавання вмісту форми до Telegram додатково відбувається на підставі вашої прямої згоди (див. розділ 5).

Захист від зловживань

Щоб протидіяти автоматизованим надсиланням, форма містить невидиме для вас перевірочне поле (так званий honeypot), обмежує обсяг переданих даних і обмежує кількість надсилань з однієї IP-адреси за хвилину (rate limiting). Додаткові персональні дані при цьому не збираються і файли cookie не встановлюються. Правова підстава: ст. 6 абз. 1 літ. f GDPR (законний інтерес у протидії спаму та зловживанням).

5. Спілкування через месенджери та передавання до третіх країн

Спілкування із зацікавленими особами та клієнтами відбувається (залежно від каналу, який ви оберете самі) електронною поштою, телефоном або через месенджери. Для кожного використаного сервісу нижче зазначено, хто ним керує, які дані обробляються та на якій правовій підставі відбувається обробка.

5.1 Telegram

Технічно вміст форми зворотного зв'язку доставляється не електронною поштою, а через інтерфейс бота месенджера Telegram до мого особистого акаунта Telegram. Ви також можете звернутися до мене напряму через Telegram.

Оператор сервісу: Telegram FZ-LLC, Business Central Towers, Tower A, Dubai Media City, Дубай, Об'єднані Арабські Емірати (для користувачів у ЄЕЗ додатково: Telegram Messenger Inc.). Обробляються: ваш нік у Telegram або номер телефону та ваш Telegram ID, вміст вашого повідомлення й зазначена у формі інформація, а також метадані (час, статус доставки, відомості про пристрій і з'єднання).

Правова підстава для змістовного опрацювання: ст. 6 абз. 1 літ. b GDPR (переддоговірні заходи або виконання договору); в іншому разі: ст. 6 абз. 1 літ. a GDPR (згода).

Передавання до третьої країни: щодо Об'єднаних Арабських Еміратів рішення про адекватність Європейської Комісії згідно зі ст. 45 GDPR відсутнє, і належні гарантії у розумінні ст. 46 GDPR мені недоступні. Тому передавання відбувається виключно на підставі вашої прямої згоди згідно зі ст. 49 абз. 1 літ. a GDPR, яку ви надаєте перед надсиланням форми, позначивши передбачене для цього поле. Без цієї згоди форму надіслати неможливо.

Ризики передавання: у країні призначення немає рівня захисту даних, рівноцінного праву Союзу. Зокрема, не можна виключати, що органи влади третьої країни отримають доступ до даних без вашого відома, що дані використовуватимуться там для інших цілей або передаватимуться третім особам і що ваші права суб'єкта даних (доступ, виправлення, видалення) та ефективні засоби правового захисту в судах чи наглядових органах не будуть придатними до примусового виконання або будуть придатними лише обмежено.

Повідомлення постачальника про конфіденційність: telegram.org/privacy.

5.2 WhatsApp

За запитом подальше спілкування відбувається через WhatsApp, наприклад, якщо ви вкажете свій мобільний номер у формі або самі звернетеся до мене через WhatsApp. Я використовую WhatsApp суто реактивно; реклама та розсилки цим каналом не надсилаються.

Постачальником для користувачів у ЄЕЗ є WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ірландія, компанія групи Meta (Meta Platforms Ireland Ltd.). Обробляються: ваш мобільний номер, ім'я та зображення профілю, вміст ваших повідомлень, а також метадані (час, статус доставки й прочитання, відомості про пристрій і з'єднання). Вміст повідомлень має наскрізне шифрування; метадані ні.

Правова підстава: ст. 6 абз. 1 літ. b GDPR (спілкування для започаткування або виконання договору), а також ст. 6 абз. 1 літ. a GDPR у тій частині, в якій ви погоджуєтеся на використання цього каналу, обираючи його самі.

Передавання до третьої країни: не можна виключати обробку материнською компанією у США Meta Platforms, Inc. Meta Platforms, Inc. сертифікована за EU-US Data Privacy Framework; у цій частині щодо США існує рішення Європейської Комісії про адекватність від 10 липня 2023 року, тож передавання до сертифікованих компаній США може ґрунтуватися на ст. 45 GDPR. Додатково застосовуються Стандартні договірні положення ЄС. Якщо передавання відбуватиметься до держав поза межами цієї рамки, я ґрунтую їх на вашій прямій згоді згідно зі ст. 49 абз. 1 літ. a GDPR із ризиками, описаними в розділі 5.1.

Повідомлення постачальника про конфіденційність: whatsapp.com/legal/privacy-policy-eea.

5.3 Інші обрані вами канали

Якщо ви зазначите у формі номер телефону, адресу електронної пошти або нік в іншому месенджері, я використаю для відповіді саме цей канал. Обробку ваших даних регулює політика конфіденційності відповідного постачальника; я не маю впливу на обсяг і мету такої обробки. Якщо відбувається передавання до країни без рішення про адекватність, відповідно застосовуються ризики, описані в розділі 5.1; підставою є ваша пряма згода згідно зі ст. 49 абз. 1 літ. a GDPR, яку ви надаєте, обираючи канал.

Альтернатива без передавання, що потребує згоди: ви можете будь-коли надіслати мені звернення просто електронною поштою на kontakt@phantom-creator.com. У цьому разі передавання до Telegram, WhatsApp чи будь-якого іншого месенджера не відбувається. Ваш лист доставляється через переадресацію пошти Cloudflare й обробляється у поштовій скриньці, яку надає Google; пов'язане з цим передавання до США охоплюється рішенням про адекватність щодо EU-US Data Privacy Framework і тому не потребує згоди. Подробиці у розділі 6.

Відкликання: ви можете будь-коли відкликати свою згоду з наслідками на майбутнє; правомірність обробки, здійсненої до відкликання, лишається незмінною. Достатньо повідомлення у вільній формі на зазначену вище адресу електронної пошти. Дані видаляються, щойно ваше звернення остаточно опрацьовано і цьому не перешкоджають законодавчі обов'язки щодо зберігання.

6. Звернення електронною поштою, переадресація та поштова скринька

Якщо ви пишете мені електронною поштою на kontakt@phantom-creator.com, обробляється інформація, що виникає при цьому: ваша адреса відправника й використане вами відображуване ім'я, тема, вміст повідомлення, будь-які вкладення, а також технічні метадані повідомлення (зокрема заголовки з мітками часу, задіяні поштові сервери та IP-адреси).

Мета обробки: опрацювання вашого звернення, відповідь на нього та подальше листування в межах започаткування й виконання договору. Правова підстава: ст. 6 абз. 1 літ. b GDPR (виконання переддоговірних заходів на ваш запит або виконання договору); для повідомлень без договірного контексту правовою підставою є ст. 6 абз. 1 літ. f GDPR (законний інтерес у відповідях на звернення та в зрозумілому діловому листуванні).

До поштового спілкування через цю адресу залучені постачальники послуг: вхідні повідомлення доставляються через переадресацію пошти Cloudflare (розділ 6.1) та зберігаються й обробляються у поштовій скриньці, яку надає Google (розділ 6.2). Для надсилання відповідей з цієї адреси я використовую сервіс доставки SMTP2GO (розділ 6.3).

6.1 Вхідні повідомлення: переадресація через Cloudflare

Для адреси kontakt@phantom-creator.com у домені phantom-creator.com власна поштова скринька не працює. MX-записи домену вказують на Cloudflare Email Routing: вхідні повідомлення приймають поштові сервери Cloudflare і за визначеним правилом переадресації доставляють їх напряму до моєї скриньки (див. розділ 6.2). При цьому повне повідомлення разом із адресою відправника, темою, вмістом і вкладеннями проходить через системи Cloudflare. Поштова скринька там не надається, тож постійного зберігання повідомлень у Cloudflare не відбувається; можуть виникати технічно необхідні короткочасні операції обробки, а також журнальні дані та дані доставки (зокрема час, адреси відправника й одержувача та статус доставки).

Постачальником цієї послуги є та сама компанія, що забезпечує й хостинг цього сайту. Щодо назви та місцезнаходження постачальника, наявного договору про обробку даних згідно зі ст. 28 GDPR і відомостей про передавання до США відповідно застосовується викладене в розділі 2. Мета обробки: виключно технічна доставка адресованих мені повідомлень. Правова підстава: ст. 6 абз. 1 літ. b GDPR у тій частині, в якій повідомлення слугує започаткуванню або виконанню договору, в іншому разі: ст. 6 абз. 1 літ. f GDPR (законний інтерес в утриманні робочої ділової поштової адреси).

6.2 Поштова скринька в Google

Поштову скриньку, в якій приймаються, зберігаються й опрацьовуються адресовані мені повідомлення, надає Google. Стороною договору та підрозділом постачальника, відповідальним за користувачів у Європейському економічному просторі, є Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ірландія. Там обробляються адреси відправника й одержувача, тема, вміст повідомлення, вкладення та метадані повідомлення. Повідомлення лишаються у скриньці, доки я їх не видалю; строк зберігання визначається відомостями в розділах 6.4 і 10.

Мета: отримання, опрацювання та відповідь на ваші повідомлення. Правова підстава: ст. 6 абз. 1 літ. b GDPR у тій частині, в якій повідомлення слугує започаткуванню або виконанню договору, в іншому разі: ст. 6 абз. 1 літ. f GDPR (законний інтерес у доступній діловій поштовій адресі). Які дані обробляє Google у межах надання послуги, викладено в політиці конфіденційності постачальника за посиланням нижче.

Передавання до третьої країни: Google Ireland Limited може залучати свою материнську компанію у США Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, США для надання послуги, тож передавання персональних даних до США можливе. Google LLC сертифікована за EU-US Data Privacy Framework; у цій частині щодо США існує рішення Європейської Комісії про адекватність від 10 липня 2023 року, тож передавання може ґрунтуватися на ст. 45 абз. 1 GDPR. Окрема згода згідно зі ст. 49 GDPR для цього (на відміну від описаного в розділі 5.1 передавання до Telegram) не потрібна.

Повідомлення постачальника про конфіденційність: policies.google.com/privacy.

6.3 Вихідні повідомлення: надсилання через SMTP2GO

Відповіді та подальше листування з адреси kontakt@phantom-creator.com я надсилаю через сервіс доставки SMTP2GO. При цьому цим сервісом обробляються адреса одержувача, тема, вміст повідомлення, будь-які вкладення, а також метадані надсилання (зокрема час, задіяні поштові сервери та статус доставки). Вхідних повідомлень сервіс не отримує.

Постачальник послуги: Sand Dune Mail Ltd (SMTP2GO), 96-106 Manchester Street, Christchurch 8011, Нова Зеландія. Використаний обліковий запис віднесено до регіону ЄС постачальника; за даними постачальника, повідомлення з таких облікових записів маршрутизуються через європейські поштові сервери й обробляються в центрі обробки даних в Амстердамі (Нідерланди), а персональні дані користувачів з Європейського економічного простору зберігаються в межах ЄЕЗ. З постачальником укладено договір про обробку даних згідно зі ст. 28 GDPR.

Мета обробки: відповідь на ваше звернення та спілкування в межах започаткування й виконання договору. Правова підстава: ст. 6 абз. 1 літ. b GDPR, доповнена ст. 6 абз. 1 літ. f GDPR (законний інтерес у надійному надсиланні ділового листування). Постійне зберігання вмісту повідомлень цим сервісом не передбачене; там на обмежений час можуть виникати технічно необхідне короткочасне проміжне зберігання (черга у разі проблем із доставкою), а також журнальні дані та дані доставки.

Згадка про третю країну: Sand Dune Mail Ltd розташована в Новій Зеландії. Щодо Нової Зеландії існує рішення Європейської Комісії про адекватність (Імплементаційне рішення 2013/65/ЄС від 19 грудня 2012 року), яке й далі застосовується згідно зі ст. 45 абз. 9 GDPR і яке Комісія підтвердила під час перегляду 15 січня 2024 року. Тому передавання до Нової Зеландії ґрунтується на ст. 45 GDPR; додаткові гарантії згідно зі ст. 46 GDPR або згода згідно зі ст. 49 GDPR для цього не потрібні.

Повідомлення постачальника про конфіденційність: smtp2go.com/privacy.

6.4 Строк зберігання та зауваження щодо шифрування передавання

Ваші повідомлення видаляються, щойно вони більше не потрібні для досягнення мети (звернення, які не призвели до договору, щонайпізніше через шість місяців після останнього контакту), і цьому не перешкоджають законодавчі обов'язки щодо зберігання. Додатково застосовуються загальні відомості про строк зберігання в розділі 10.

Електронні листи зазвичай передаються між задіяними поштовими серверами із шифруванням транспортного рівня (TLS) відповідно до сучасного рівня техніки. Проте наскрізного шифрування немає, тож конфіденційність на всьому шляху передавання гарантувати неможливо. Для передавання особливо конфіденційної інформації ви можете завчасно попросити в мене альтернативний спосіб передавання.

7. Локальне збереження ваших налаштувань

Цей сайт зберігає налаштування в локальному сховищі вашого браузера (localStorage або sessionStorage): обрану вами мову (ключ phantomlab-lang), обрану колірну схему світла/темна (phantomlab-theme) і позначку про те, що вступну анімацію вже показано в межах цієї сесії (phantomlab-visited).

Ця інформація лишається виключно на вашому пристрої, не передається мені чи третім особам і слугує лише для показу сайту в тому вигляді, який ви налаштували. Оскільки це функція, абсолютно необхідна для надання послуги, яку ви прямо запитали, згода на це згідно з § 25 абз. 2 п. 2 TDDDG не потрібна. Ви можете будь-коли видалити ці записи в налаштуваннях браузера.

8. Ні файлів cookie, ні відстеження, ні зовнішнього вмісту

Цей сайт не встановлює власних файлів cookie і не використовує аналітичних, трекінгових, рекламних чи маркетингових технологій (як-от Google Analytics). Профілювання та автоматизоване ухвалення рішень у розумінні ст. 22 GDPR не здійснюються.

Усі шрифти, скрипти й графіка завантажуються локально з власного сервера; це прямо стосується і використаних вебшрифтів, і бібліотеки анімацій GSAP. Унаслідок цього під час звернення до сайту з'єднання із серверами третіх осіб не встановлюються; зокрема, ваша IP-адреса не передається ні до Google Fonts, ні до стороннього CDN, ні до соціальної мережі. Плагіни соцмереж, карти, відео та вбудований сторонній вміст відсутні.

Ці відомості стосуються виключно звернення до сайту та його показу. Залучення постачальників послуг у подальшому спілкуванні, коли ви звертаєтеся до мене, лишається незмінним, зокрема месенджерів, описаних у розділі 5, і переадресації пошти, описаної в розділі 6, згаданої там поштової скриньки в Google та згаданого там сервісу доставки, що також може передбачати передавання до третіх країн.

Постачальник хостингу Cloudflare (див. розділ 2) може встановлювати технічно необхідні файли cookie для протидії автоматизованим зверненням і для забезпечення безпеки. Вони абсолютно необхідні для роботи сайту і тому не потребують згоди згідно з § 25 абз. 2 п. 2 TDDDG. З цих причин банер про файли cookie не потрібен.

9. Шифрування SSL/TLS

З міркувань безпеки та для захисту передавання конфіденційного вмісту цей сайт використовує шифрування SSL або TLS. Зашифроване з'єднання можна впізнати за тим, що адресний рядок браузера починається з «https://». За активного шифрування дані, які ви передаєте мені, не можуть бути прочитані третіми особами.

10. Строк зберігання

Якщо в цій політиці не зазначено конкретнішого строку зберігання, ваші персональні дані лишаються в мене, доки не відпаде мета обробки даних. Звернення, які не призвели до договору, видаляються щонайпізніше через шість місяців після останнього контакту. Якщо ви заявляєте запит про доступ чи видалення або відкликаєте згоду, ваші дані видаляються, якщо немає інших юридично допустимих підстав для зберігання, як-от строки зберігання за торговельним або податковим правом (§ 147 AO, § 257 HGB). В останньому випадку видалення відбувається після того, як ці підстави відпадуть.

11. Ваші права

У межах застосовних законодавчих положень ви маєте право будь-коли на:

• доступ до збережених персональних даних про вас (ст. 15 GDPR)
• виправлення неточних даних (ст. 16 GDPR)
• видалення ваших даних (ст. 17 GDPR)
• обмеження обробки (ст. 18 GDPR)
• перенесення даних (ст. 20 GDPR)
• заперечення проти обробки (ст. 21 GDPR)
• відкликання наданої згоди з наслідками на майбутнє (ст. 7 абз. 3 GDPR)

Для реалізації цих прав достатньо повідомлення у вільній формі на kontakt@phantom-creator.com.

12. Відвідувачі поза межами ЄС та ЄЕЗ

Цей сайт експлуатується з Німеччини, тож GDPR є стандартом, який застосовується до кожного відвідувача. Якщо право вашої країни проживання надає вам ширші або інакше названі права, ви можете покладатися й на них: описані нижче шляхи додаються до прав, перелічених у розділі 11, а не замінюють їх.

12.1 Сполучене Королівство

Для відвідувачів у Сполученому Королівстві та сама обробка регулюється UK GDPR разом із Data Protection Act 2018. Зазначені вище цілі, правові підстави та строки зберігання застосовуються без змін, а права з розділу 11 відповідають правам за UK GDPR. Ви можете подати скаргу до Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, Сполучене Королівство (ico.org.uk). Передавання даних за межі Сполученого Королівства ґрунтується на британських актах про адекватність або, якщо вони не охоплюють одержувача, на вашій прямій згоді, як описано в розділі 5.

12.2 Швейцарія

Для відвідувачів у Швейцарії обробка додатково регулюється переглянутим Федеральним законом про захист даних (FADP/DSG). Ви маєте права на інформацію, виправлення, видалення та перенесення даних, що відповідають розділу 11, і можете звернутися до Федерального уповноваженого із захисту даних та інформації (FDPIC), Feldeggweg 1, 3003 Берн, Швейцарія (edoeb.admin.ch).

12.3 США та всі інші країни

Хоч би де ви були і незалежно від того, чи надає вам ваша юрисдикція законодавче право на це, для цього сайту діє таке:

• Я не продаю персональні дані і не надаю до них спільного доступу для міжконтекстної поведінкової реклами в тому значенні, яке ці терміни мають у законах штатів США про приватність, як-от CCPA/CPRA. За ваші дані не отримується ні грошей, ні іншої винагороди.
• На цьому сайті немає ні реклами, ні відстеження, ні профілювання (див. розділ 8), тож у цій частині немає від чого відмовлятися.
• Персональні дані збираються лише там, де ви надаєте їх самі (через форму зворотного зв'язку, електронною поштою або через месенджер), плюс технічні дані доступу, описані в розділі 3.
• Запити щодо доступу, виправлення чи видалення ваших даних задовольняються на вимогу незалежно від країни вашого проживання, і до вас не ставитимуться інакше через таку вимогу.

У кожному разі достатньо звернення на kontakt@phantom-creator.com. Зверніть увагу, що цей сайт не спрямований на резидентів жодної конкретної країни поза межами Європейського Союзу і не пропонує автоматизованого ухвалення рішень, яке могло б мати для вас правові наслідки.

13. Дані дітей

Описані тут послуги адресовані підприємствам і повнолітнім особам, які діють у професійній якості. Цей сайт не спрямований на дітей, і я свідомо не збираю персональних даних дітей віком до 16 років (ст. 8 GDPR; у деяких країнах діє нижча вікова межа). Якщо ви вважаєте, що дитина надіслала мені персональні дані, повідомте мене на kontakt@phantom-creator.com, і я невідкладно їх видалю.

14. Право подати скаргу до наглядового органу

Без шкоди для будь-якого іншого засобу правового захисту ви маєте право подати скаргу до наглядового органу із захисту даних (ст. 77 GDPR), зокрема в державі-члені вашого місця проживання, місця роботи або місця ймовірного порушення. Відвідувачі у Сполученому Королівстві та Швейцарії можуть натомість звернутися до органів, названих у розділі 12. Наглядовий орган, відповідальний щодо мене:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de