ПОЛІТИКА ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

1.1. Персональні дані — будь-яка інформація, що стосується визначеної або такої, що може бути визначена, фізичної особи; фізична особа, яку можна визначити, — це особа, яку можна прямо чи опосередковано ідентифікувати, зокрема за такими ідентифікаторами, як ім’я, ідентифікаційний номер, дані про місцезнаходження, онлайн-ідентифікатор, або за одним чи кількома факторами, специфічними для фізичної, фізіологічної, генетичної, психічної, економічної, культурної чи соціальної ідентичності цієї фізичної особи (стаття 4(1) GDPR).

1.2. Контролер / Оператор — організація fotonapassport, яка самостійно або спільно з іншими особами визначає цілі та засоби обробки персональних даних (стаття 4(7) GDPR). У цій Політиці контролер іменується «Оператор».

1.3. Користувач / Суб’єкт персональних даних — фізична особа, яка досягла 18 років і використовує Сайт та/або Сервіс fotonapassport.

1.4. Сайт — сайт, розміщений у мережі Інтернет за адресою: https://fotonapassport.ru/.

1.5. Сервіс fotonapassport / Сервіс — програмно-технічний комплекс Оператора, призначений для автоматизованої підготовки цифрових зображень і PDF-файлів для друку фото на документи на основі фотографій, завантажених Користувачем.

1.6. Обробка персональних даних — будь-яка операція або сукупність операцій, які виконуються з персональними даними або наборами персональних даних, незалежно від того, чи здійснюються вони автоматизованими засобами, зокрема збирання, запис, організація, структурування, зберігання, адаптація або зміна, вилучення, консультування, використання, розкриття шляхом передачі, поширення чи іншого надання доступу, узгодження або комбінування, обмеження, видалення або знищення (стаття 4(2) GDPR).

1.7. Обробник — фізична або юридична особа, орган публічної влади, агентство чи інший орган, що обробляє персональні дані від імені Оператора (стаття 4(8) GDPR).

1.8. Зображення обличчя — фотографія, селфі, зображення або інший візуальний матеріал, завантажений Користувачем у Сервіс, а також зображення, створені або змінені в процесі надання послуги.

1.9. Підсумковий результат — файл або набір файлів, сформованих Сервісом після обробки фотографії Користувача, зокрема PDF, JPG та/або ZIP-архів.

1.10. Файли cookie (cookies) — невеликі фрагменти даних, які зберігаються на пристрої Користувача та використовуються для роботи Сайту, аналітики, збереження налаштувань, авторизації та з іншою метою.

1.11. Третя країна — держава за межами Європейської економічної зони (ЄЕЗ). Міжнародна передача персональних даних — передача персональних даних одержувачу, що перебуває в третій країні, або міжнародній організації (глава V GDPR).

1.12. Одержувач — фізична або юридична особа, орган публічної влади, агентство чи інший орган, якому розкриваються персональні дані, незалежно від того, чи є він третьою особою (стаття 4(9) GDPR).

2.1. Контролером персональних даних (Оператором) є:

Організація:

fotonapassport

Сайт:

https://fotonapassport.ru/

Email для звернень з питань персональних даних:

support@fotonapassport.ru

2.2. Оператор здійснює обробку персональних даних Користувачів у зв’язку з наданням послуг Сервісу fotonapassport, виконанням публічної оферти, обробкою замовлень, прийманням оплати, наданням результату, підтримкою Користувачів і виконанням юридичних обов’язків, застосовних до Оператора.

2.3. Оператор не призначав відповідальну за захист даних особу (DPO), оскільки це не є обов’язковим для Оператора за статтею 37 GDPR. Усі звернення та питання щодо обробки персональних даних і реалізації прав Користувача слід надсилати на адресу support@fotonapassport.ru.

3.1. Оператор обробляє персональні дані законно, справедливо та прозоро щодо Користувача.

3.2. Обробка персональних даних обмежується досягненням конкретних, заздалегідь визначених і законних цілей.

3.3. Не допускається обробка персональних даних, несумісна з цілями збирання персональних даних.

3.4. Обробляються лише ті персональні дані, які відповідають цілям їх обробки.

3.5. Зміст і обсяг оброблюваних персональних даних відповідають заявленим цілям обробки.

3.6. Оператор не обробляє персональні дані, надмірні щодо заявлених цілей обробки.

3.7. Оператор вживає необхідних правових, організаційних і технічних заходів для захисту персональних даних від неправомірного або випадкового доступу, знищення, зміни, блокування, копіювання, надання, поширення та інших неправомірних дій.

3.8. Оператор забезпечує точність персональних даних в обсязі, необхідному для цілей обробки.

3.9. Персональні дані зберігаються у формі, що дозволяє ідентифікувати Користувача, не довше, ніж це необхідно для цілей обробки, якщо довший строк зберігання не вимагається застосовним правом (зокрема чеським законодавством про бухгалтерський облік і оподаткування) або не є необхідним для встановлення, здійснення чи захисту правових вимог.

3.10. Оператор відповідає за дотримання принципів, викладених у цьому розділі, і має змогу продемонструвати їх дотримання (стаття 5(2) GDPR).

4.1. Оператор обробляє персональні дані таких категорій суб’єктів:

4.1.1. Користувачі Сайту;

4.1.2. Користувачі, які створюють акаунт або особистий кабінет;

4.1.3. Користувачі, які оформлюють Замовлення;

4.1.4. Користувачі, які оплачують послуги Сервісу;

4.1.5. Користувачі, які звертаються до служби підтримки;

4.1.6. Користувачі, які надали згоду на отримання рекламних та інформаційних повідомлень.

4.2. Сервіс призначений лише для осіб, які досягли 18 років.

4.3. Оператор не надає послуг неповнолітнім особам і не приймає до обробки фотографії дітей і неповнолітніх осіб.

4.4. Користувач зобов’язаний завантажувати лише власні фотографії. Завантаження фотографій третіх осіб, зокрема дітей і неповнолітніх осіб, заборонено.

5.1. Залежно від дій Користувача на Сайті та в Сервісі Оператор може обробляти такі персональні дані:

5.1.1. номер телефону, якщо його було зазначено Користувачем раніше;

5.1.2. адреса електронної пошти;

5.1.3. завантажені Користувачем фотографії;

5.1.4. зображення, створені або змінені в процесі обробки;

5.1.5. підсумкові файли, зокрема PDF, JPG і ZIP-архіви;

5.1.6. історія замовлень;

5.1.7. відомості про обраний тариф;

5.1.8. відомості про оплату, зокрема суму, дату та статус платежу;

5.1.9. платіжні ідентифікатори та технічні відомості, що отримуються від платіжного сервісу;

5.1.10. IP-адреса;

5.1.11. User-Agent;

5.1.12. дата й час відвідування Сайту;

5.1.13. відомості про дії на Сайті та в особистому кабінеті;

5.1.14. файли cookie та інші технічні ідентифікатори;

5.1.15. відомості про згоди Користувача;

5.1.16. зміст звернень до служби підтримки;

5.1.17. інші відомості, які Користувач самостійно надає Операторові під час використання Сервісу або звернення до служби підтримки.

5.2. Оператор не запитує в Користувача ім’я, по батькові, прізвище, паспортні дані, адресу реєстрації, дату народження, відомості про дітей, відомості про здоров’я, відомості про політичні погляди, релігійні переконання, інтимне життя та інші спеціальні категорії персональних даних.

5.3. Оператор не запитує в Користувача фотографій документів, що посвідчують особу.

5.4. Оператор не використовує зображення обличчя Користувача для встановлення особи, ідентифікації особи, порівняння з базами даних, перевірки особи, ухвалення юридично значущих рішень, надання доступу до прав або послуг третіх осіб.

5.5. Обробка зображення обличчя здійснюється виключно з метою підготовки фото для документів, формування зображення на тлі, що відповідає вимогам обраного документа, надання Користувачеві можливості самостійного припасування зображення під маску/овал і формування підсумкових файлів.

5.6. Зображення обличчя є персональними даними. Оператор не обробляє зображення обличчя як біометричні дані з метою однозначної ідентифікації фізичної особи у значенні статті 9 GDPR (преамбула 51 GDPR). Орієнтири обличчя (наприклад, положення очей, підборіддя та верхівки голови) визначаються лише для кадрування та позиціонування фотографії відповідно до вимог обраного документа і не використовуються для ідентифікації чи автентифікації Користувача.

5.7. Оператор отримує персональні дані безпосередньо від Користувача, за винятком технічних даних, що збираються автоматично під час використання Сайту (пункти 5.1.10–5.1.14), та платіжних ідентифікаторів, статусів платежів та іншої технічної інформації, що надходять від платіжних сервісів (пункт 5.1.9).

6.1. Оператор обробляє персональні дані Користувачів з такою метою:

6.1.1. забезпечення роботи Сайту та Сервісу;

6.1.2. реєстрація та авторизація Користувача;

6.1.3. створення (зокрема автоматичне під час оплати Замовлення) та обслуговування особистого кабінету;

6.1.4. приймання та обробка Замовлень;

6.1.5. зв’язок із Користувачем з питань Замовлення;

6.1.6. завантаження та обробка фотографій Користувача;

6.1.7. автоматизована та нейромережева обробка зображень;

6.1.8. підготовка фото на тлі, що відповідає вимогам обраного документа;

6.1.9. надання Користувачеві можливості самостійного припасування зображення під маску/овал;

6.1.10. формування PDF-файлів, JPG-файлів та/або ZIP-архівів;

6.1.11. надання Користувачеві доступу до результату;

6.1.12. приймання оплати за послуги;

6.1.13. формування та надсилання касового чека;

6.1.14. опрацювання повернень коштів;

6.1.15. розгляд звернень, претензій і запитів Користувачів;

6.1.16. забезпечення безпеки Сайту та Сервісу;

6.1.17. запобігання шахрайству, зловживанням і порушенням умов Сервісу;

6.1.18. ведення обліку згод Користувачів;

6.1.19. виконання юридичних обов’язків Оператора, зокрема обов’язків щодо бухгалтерського та податкового обліку;

6.1.20. захист прав і законних інтересів Оператора;

6.1.21. аналітика роботи Сайту та поліпшення якості Сервісу;

6.1.22. оцінювання ефективності реклами;

6.1.23. надсилання рекламних та інформаційних повідомлень за наявності окремої згоди Користувача.

6.2. Правова підстава обробки персональних даних для кожної з цілей, перелічених у пункті 6.1, викладена в розділі 7 цієї Політики. Оператор не обробляє персональні дані для цілей, відмінних від перелічених у пункті 6.1, без попереднього інформування Користувача.

7.1. Оператор обробляє персональні дані Користувачів на таких правових підставах за статтею 6(1) GDPR:

7.1.1. законні інтереси Оператора (стаття 6(1)(f) GDPR) у вимірюванні, вдосконаленні та просуванні Сервісу — для використання аналітичних cookies (Яндекс.Метрика, Webvisor та, у мовних версіях Сайту, відмінних від російської, Google Analytics 4) і маркетингових cookies (VK Pixel та, у мовних версіях Сайту, відмінних від російської, Google Ads) та для пов’язаної передачі відомостей про здійснену оплату до Яндекс.Метрики та Google, описаної в пункті 13.3 (цілі, зазначені в пунктах 6.1.21 і 6.1.22). Ці cookies використовуються за замовчуванням з першого візиту Користувача, доки Користувач не відмовиться від них; Користувач може відмовитися від них і заперечити проти цієї обробки в будь-який момент, безоплатно та з дією на майбутнє (стаття 21 GDPR), у cookie-банері («Налаштувати» → «Лише необхідні»), за посиланням «Налаштування cookies» у нижній частині сторінок Сайту або в налаштуваннях браузера, не зазначаючи причин, і відмова від них не обмежує користування Сервісом;

7.1.2. явна згода Користувача, надана в Згоді на обробку персональних даних і зображення обличчя (стаття 49(1)(a) GDPR), — для передачі персональних даних, зокрема зображення обличчя, до третіх країн, описаної в розділах 10 і 20 цієї Політики (крім передачі даних, зібраних за допомогою аналітичних і маркетингових cookies, пункт 20.5), тією мірою, якою передача не ґрунтується на іншій гарантії або підставі, зазначених у розділі 20;

7.1.3. виконання договору, укладеного шляхом акцепту Користувачем публічної оферти (стаття 6(1)(b) GDPR), — для створення та ведення акаунта, приймання й опрацювання Замовлень, завантаження та обробки фотографій, зокрема автоматизованої та нейромережевої генерації зображень, кадрування й підготовки тла, формування та надання підсумкових файлів, приймання оплати й опрацювання повернень коштів, підтримки Користувачів та надсилання сервісних і транзакційних повідомлень (посилання для входу, посилання на файли, відновлення пароля, нагадування про те, що файли оплаченого замовлення чекають на завантаження) (цілі, зазначені в пунктах 6.1.1–6.1.15);

7.1.4. вжиття заходів на запит Користувача до укладення договору (стаття 6(1)(b) GDPR) — для обробки фотографій і підготовки попередніх зображень до оплати Замовлення;

7.1.5. виконання юридичних обов’язків, які поширюються на Оператора (стаття 6(1)(c) GDPR), — для ведення бухгалтерського та податкового обліку й відповіді на запити органів публічної влади (ціль, зазначена в пункті 6.1.19);

7.1.6. законні інтереси Оператора (стаття 6(1)(f) GDPR) — для забезпечення безпеки Сайту та Сервісу, запобігання шахрайству й зловживанням, обмеження частоти запитів, ведення журналів помилок, ведення серверного журналу згод та встановлення, здійснення або захисту правових вимог (цілі, зазначені в пунктах 6.1.16–6.1.18 і 6.1.20). Законними інтересами Оператора є безпечна й безперебійна робота Сервісу, захист від зловживань та можливість довести виконання своїх обов’язків і захистити свої права; Оператор оцінив, що ці інтереси не переважаються інтересами чи основоположними правами і свободами Користувача;

7.1.7. окрема згода Користувача на отримання рекламних та інформаційних повідомлень (стаття 6(1)(a) GDPR разом із § 7 чеського Закону № 480/2004 Зб. про окремі послуги інформаційного суспільства), якщо такі повідомлення надсилаються (ціль, зазначена в пункті 6.1.23).

7.2. Якщо обробка ґрунтується на згоді, Користувач надає згоду шляхом чіткої активної дії, прямо передбаченої інтерфейсом Сайту, зокрема проставлення відповідної позначки. Оформлення Замовлення, завантаження фотографій, створення акаунта чи оплата послуги самі по собі не вважаються згодою, якщо обробка ґрунтується на іншій правовій підставі, зазначеній у пункті 7.1.

7.3. Користувач має право відкликати згоду в будь-який момент так само просто, як її було надано, у порядку, передбаченому цією Політикою. Відкликання згоди не впливає на законність обробки, що ґрунтувалася на згоді до її відкликання (стаття 7(3) GDPR).

7.4. Надання адреси електронної пошти та фотографій є вимогою, необхідною для укладення та виконання договору: без них Оператор не може надати послугу. Користувач не має законного обов’язку надавати персональні дані. Відмова від аналітичних і маркетингових cookies (пункт 7.1.1) та відмова від згоди на отримання рекламних та інформаційних повідомлень (пункт 7.1.7) не перешкоджають користуванню Сервісом.

8.1. Оператор може вчиняти з персональними даними такі дії:

8.1.1. збирання;

8.1.2. запис;

8.1.3. систематизація;

8.1.4. накопичення;

8.1.5. зберігання;

8.1.6. уточнення;

8.1.7. оновлення;

8.1.8. зміна;

8.1.9. вилучення;

8.1.10. використання;

8.1.11. передача;

8.1.12. надання;

8.1.13. доступ;

8.1.14. знеособлення;

8.1.15. блокування;

8.1.16. видалення;

8.1.17. знищення.

8.2. Обробка персональних даних може здійснюватися як із використанням засобів автоматизації, так і без використання таких засобів.

8.3. Основна обробка даних у Сервісі здійснюється автоматизованим способом.

8.4. Оператор не здійснює автоматизованого ухвалення рішень, зокрема профілювання, що породжує правові наслідки для Користувача або подібним чином істотно впливає на нього у значенні статті 22 GDPR. Автоматизована обробка в Сервісі використовується лише для підготовки зображення та підсумкових файлів, замовлених Користувачем.

9.1. Для надання послуги Оператор здійснює обробку фотографій і зображень Користувача.

9.2. Обробка зображень може включати:

9.2.1. завантаження фотографії;

9.2.2. зберігання фотографії протягом установленого строку;

9.2.3. автоматизовану обробку зображення;

9.2.4. нейромережеву обробку зображення;

9.2.5. формування зображення на тлі, що відповідає вимогам обраного документа;

9.2.6. поліпшення якості зображення;

9.2.7. підготовку зображення до самостійного припасування Користувачем;

9.2.8. формування PDF, JPG та/або ZIP-архіву;

9.2.9. надання результату Користувачеві;

9.2.10. видалення зображення після закінчення строку зберігання.

9.3. Оператор може використовувати сторонні сервіси автоматизованої та нейромережевої обробки зображень, зокрема розташовані за межами Європейської економічної зони (ЄЕЗ), зокрема в США. До таких сервісів належать Kie.ai, OpenAI API, Higgsfield / Higgsfield CLI і платформа OpenRouter (OpenRouter platform), якщо відповідного провайдера ввімкнено в технічному контурі Сервісу.

9.4. Для обробки до зовнішніх сервісів передається лише зображення Користувача, технічний запит на обробку, параметри генерації та технічні метадані запиту, необхідні для виконання обробки, без номера телефону, адреси електронної пошти, платіжних даних та інших контактних даних Користувача.

9.5. Оператор не передає стороннім сервісам обробки зображень номер телефону, email, платіжні дані або інші контактні дані Користувача, якщо це не потрібно для надання відповідної послуги та не передбачено окремою згодою Користувача.

9.6. Оператор вживає розумних заходів для мінімізації складу даних, що передаються третім особам, і не передає зовнішнім AI-провайдерам відомостей про тариф, оплату, історію замовлень, листування зі службою підтримки та повний профіль Користувача.

9.7. Користувач розуміє, що автоматизована та нейромережева обробка зображення може впливати на зовнішній вигляд результату, зокрема на тло, освітлення, якість, передавання кольорів, різкість та інші параметри зображення.

9.8. Видалення тла зображення (виділення силуету) виконується на власній інфраструктурі Оператора, розташованій у Російській Федерації (див. розділ 20), без передачі зображення зовнішнім сервісам.

10.1. У зв’язку з використанням Kie.ai, OpenAI API, Higgsfield / Higgsfield CLI, платформи OpenRouter (OpenRouter platform) та інших сторонніх сервісів автоматизованої та нейромережевої обробки зображень Оператор може передавати персональні дані одержувачам, що перебувають у третіх країнах за межами ЄЕЗ, зокрема в США.

10.2. Така передача може здійснюватися виключно з метою надання послуги Користувачеві, а саме для обробки зображення, підготовки результату та забезпечення роботи Сервісу.

10.3. Під час такої передачі до зовнішніх сервісів обробки зображень передається лише зображення Користувача, технічний запит на обробку, параметри генерації та технічні метадані запиту без номера телефону, адреси електронної пошти, платіжних даних та інших контактних даних.

10.4. Оператор не передає персональні дані до третіх країн з метою продажу даних, передачі рекламним партнерам, розміщення у відкритому доступі або використання зображень Користувачів у публічних матеріалах.

10.5. Передачі сервісам обробки зображень здійснюються на підставі стандартних договірних положень, ухвалених Європейською комісією (стаття 46(2)(c) GDPR), якщо такі положення укладено з відповідним одержувачем; в іншому разі передача необхідна для виконання договору між Користувачем і Оператором (стаття 49(1)(b) GDPR) та/або ґрунтується на явній згоді Користувача, наданій після інформування про можливі ризики такої передачі (стаття 49(1)(a) GDPR). Додаткова інформація про місце обробки, гарантії та ризики передач викладена в розділі 20 цієї Політики.

10.6. Користувач, надаючи Згоду на обробку персональних даних і зображення обличчя, явно погоджується на передачу зображення до третіх країн з метою надання послуги та підтверджує, що його поінформовано про можливі ризики такої передачі, описані в пункті 20.7 цієї Політики.

10.7. Якщо Користувач не згоден з можливою передачею зображення до третіх країн, Користувач зобов’язаний утриматися від використання Сервісу та завантаження фотографій.

11.1. Оператор може доручати обробку персональних даних обробникам лише на підставі договору, що відповідає вимогам статті 28(3) GDPR, який зобов’язує обробника обробляти персональні дані лише за задокументованими вказівками Оператора, забезпечувати конфіденційність і безпеку даних та залучати субобробників лише з дозволу Оператора.

11.2. До третіх осіб, які можуть брати участь в обробці персональних даних, належать:

11.2.1. хостинг-провайдери;

11.2.2. провайдери серверної інфраструктури;

11.2.3. платіжні сервіси та агрегатори;

11.2.4. оператори фіскальних даних і сервіси онлайн-каси;

11.2.5. сервіси авторизації та надсилання повідомлень;

11.2.6. сервіси автоматизованої та нейромережевої обробки зображень;

11.2.7. сервіси аналітики;

11.2.8. рекламні та аналітичні платформи;

11.2.9. технічні підрядники, які беруть участь у підтримці та розвитку Сервісу;

11.2.10. інші особи, якщо їхня участь необхідна для надання послуги, виконання закону або захисту прав Оператора.

11.3. Оператор використовує платіжні сервіси UnitPay (російські банківські картки та SBP) і Norelio (зарубіжні банківські картки) для приймання оплати та обробки платежів.

11.4. Оператор може використовувати Kie.ai, OpenAI API, Higgsfield / Higgsfield CLI і платформу OpenRouter (OpenRouter platform) для автоматизованої та нейромережевої обробки зображень з метою надання послуги.

11.5. Оператор може використовувати сервіси Яндекс.Метрика, Webvisor і VK Pixel та, у мовних версіях Сайту, відмінних від російської, Google Analytics 4 і Google Ads (тег Google) для аналітики роботи Сайту, оцінювання ефективності реклами та поліпшення Сервісу, якщо Користувач не відмовився від використання відповідних категорій файлів cookie.

11.6. Особи, які обробляють персональні дані за дорученням Оператора, зобов’язані дотримуватися конфіденційності персональних даних і забезпечувати їх захист.

11.7. Персональні дані можуть передаватися органам публічної влади, судам, правоохоронним органам, податковим органам та іншим уповноваженим особам, якщо Оператор зобов’язаний це зробити відповідно до застосовного права або якщо це необхідно для встановлення, здійснення чи захисту правових вимог.

11.8. Актуальний перелік конкретних одержувачів персональних даних наведено в Реєстрі обробників та одержувачів персональних даних, опублікованому на Сайті.

12.1. Оплата послуг Сервісу здійснюється з використанням платіжного сервісу UnitPay банківською карткою, через Систему швидких платежів (SBP) та/або іншими платіжними способами, доступними на Сайті. Оплата зарубіжною банківською карткою здійснюється через платіжний сервіс Norelio на його платіжній сторінці; у цьому разі Norelio отримує адресу електронної пошти покупця, суму платежу та номер замовлення з метою приймання оплати, можлива передача цих даних до третьої країни (див. розділ 20).

12.2. Оператор не зберігає повних даних банківських карток Користувачів, зокрема повного номера картки, строку дії, коду CVV/CVC та інших даних, що дають змогу самостійно здійснити платіж.

12.3. Обробка платіжних даних здійснюється платіжним сервісом та іншими учасниками розрахунків відповідно до їхніх правил і вимог законодавства.

12.4. Оператор може отримувати та зберігати відомості, необхідні для обліку оплати, виконання договору та опрацювання повернення коштів, зокрема:

12.4.1. дату й час платежу;

12.4.2. суму платежу;

12.4.3. статус платежу;

12.4.4. ідентифікатор платежу;

12.4.5. обраний тариф;

12.4.6. відомості про повернення коштів, якщо його було здійснено.

12.5. Відомості про платежі та замовлення можуть зберігатися Оператором протягом строків, необхідних для виконання чеського законодавства про бухгалтерський облік і оподаткування та іншого застосовного права, ведення обліку, розгляду претензій і захисту прав Оператора.

13.1. Сайт використовує файли cookie та аналогічні технології.

13.2. Файли cookie можуть використовуватися з такою метою:

13.2.1. забезпечення роботи Сайту;

13.2.2. авторизація Користувача;

13.2.3. збереження налаштувань;

13.2.4. забезпечення безпеки;

13.2.5. аналітика відвідуваності;

13.2.6. поліпшення якості Сервісу;

13.2.7. оцінювання ефективності реклами;

13.2.8. персоналізація інтерфейсу та рекламних повідомлень, якщо це застосовно.

13.3. На Сайті можуть використовуватися Яндекс.Метрика і Webvisor (якщо Користувач не відмовився від аналітичних файлів cookie) та VK Pixel (якщо Користувач не відмовився від маркетингових файлів cookie). Якщо Користувач не відмовився від аналітичних і маркетингових файлів cookie, Оператор може передавати до Яндекс.Метрики зі свого сервера відомості про здійснену оплату (номер замовлення, сума, час оплати, ідентифікатор рекламного переходу та ідентифікатор відвідувача Яндекс.Метрики) для оцінювання ефективності реклами; ім’я, адреса електронної пошти, телефон і фотографії Користувача при цьому не передаються. У мовних версіях Сайту, відмінних від російської, Сайт може також використовувати Google Analytics 4 і Google Ads через тег Google (gtag.js) із Google Consent Mode (версія 2): якщо Користувач зробив вибір, тег дотримується його; якщо Користувач не зробив вибір і, схоже, перебуває в ЄС/ЄЕЗ, Сполученому Королівстві чи Швейцарії, усе сховище Google має стан «denied», а тег надсилає лише сигнали без cookie; в інших місцях сховище Google за замовчуванням має стан «granted», доки Користувач не відмовиться. Для платежів у валюті, відмінній від російського рубля, здійснених у таких мовних версіях, тег Google і сервер Оператора можуть передавати до Google відомості про здійснену оплату (платіжний ідентифікатор, суму, валюту, час оплати та ідентифікатор рекламного кліку Google); серверна передача не здійснюється, якщо Користувач відмовився від маркетингових cookies, а для Користувачів у ЄС/ЄЕЗ, Сполученому Королівстві чи Швейцарії здійснюється лише якщо Користувач прийняв маркетингові cookies. Ім’я, адреса електронної пошти, телефон і фотографії Користувача до Google не передаються. Подробиці викладено в Політиці щодо файлів cookie.

13.4. Про використання файлів cookie Користувача повідомляють через cookie-банер на Сайті. Аналітичні та маркетингові файли cookie використовуються за замовчуванням з першого візиту Користувача, доки Користувач не відмовиться від них; Користувач може будь-коли відмовитися від необов’язкових файлів cookie або змінити свій вибір у cookie-банері («Налаштувати» → «Лише необхідні» або вимкнувши окремі категорії) чи за посиланням «Налаштування cookies» у нижній частині сторінок Сайту. Збережений вибір Користувача завжди має пріоритет і діє на майбутнє.

13.5. Користувач може обмежити або вимкнути використання файлів cookie в налаштуваннях браузера.

13.6. Вимкнення файлів cookie може призвести до некоректної роботи окремих функцій Сайту, особистого кабінету, авторизації, оформлення Замовлення та оплати.

13.7. Детальний порядок використання файлів cookie визначається Політикою щодо файлів cookie, розміщеною на Сайті.

13.8. Відомості про вибір Користувачем налаштувань файлів cookie можуть фіксуватися в серверному журналі згод, зокрема обрані категорії файлів cookie, дата й час вибору, IP-адреса, User-Agent, адреса сторінки, джерело переходу, а також анонімний або сесійний ідентифікатор. Такий журнал ведеться для підтвердження вибору Користувача, зокрема відмови, і його дотримання, забезпечення безпеки та захисту прав Оператора.

13.9. Необхідні файли cookie використовуються без згоди, оскільки вони є суворо необхідними для надання послуги, прямо запитаної Користувачем (§ 89(3) чеського Закону № 127/2005 Зб. про електронні комунікації), а пов’язана обробка ґрунтується на статті 6(1)(b) і (f) GDPR. Аналітичні та маркетингові файли cookie використовуються за замовчуванням, а пов’язана обробка ґрунтується на законному інтересі Оператора у вимірюванні, вдосконаленні та просуванні Сервісу (стаття 6(1)(f) GDPR); Користувач може відмовитися від них і заперечити проти цієї обробки в будь-який момент з дією на майбутнє (стаття 21 GDPR) у cookie-банері або за посиланням «Налаштування cookies» у нижній частині сторінок Сайту. Серверний журнал згод, зазначений у пункті 13.8, ведеться на підставі законного інтересу Оператора мати змогу довести вибір Користувача (стаття 6(1)(f) GDPR).

14.1. Оператор може надсилати Користувачеві сервісні та транзакційні повідомлення, необхідні для роботи Сервісу та виконання договору, зокрема:

14.1.1. посилання для входу до особистого кабінету та відновлення пароля;

14.1.2. повідомлення про статус Замовлення;

14.1.3. сповіщення про готовність результату;

14.1.4. посилання на завантаження результату;

14.1.5. повідомлення служби підтримки;

14.1.6. сповіщення про оплату та повернення коштів;

14.1.7. інші повідомлення, необхідні для надання послуги.

14.2. Сервісні та транзакційні повідомлення не є рекламними повідомленнями і надсилаються з метою виконання договору та забезпечення роботи Сервісу.

14.3. Рекламні та маркетингові повідомлення, зокрема повторні пропозиції, акції, знижки, промокоди та спеціальні пропозиції, надсилаються Користувачеві лише за наявності окремої згоди Користувача відповідно до § 7 чеського Закону № 480/2004 Зб. про окремі послуги інформаційного суспільства.

14.4. Рекламні повідомлення можуть надсилатися через email, SMS, телефоном, у Telegram та іншими каналами зв’язку, зазначеними у згоді Користувача.

14.5. Користувач має право в будь-який момент безоплатно заперечити проти обробки персональних даних для цілей прямого маркетингу та відмовитися від отримання рекламних повідомлень за посиланням для відписки, у налаштуваннях розсилки, шляхом звернення до служби підтримки або в інший спосіб, зазначений у повідомленні (стаття 21(2) і (3) GDPR).

14.6. Відмова від рекламних повідомлень не впливає на отримання сервісних і транзакційних повідомлень, необхідних для надання послуги.

15.1. Строки зберігання персональних даних визначаються цілями обробки, вимогами застосовного права (зокрема чеського законодавства про бухгалтерський облік і оподаткування), умовами публічної оферти та згодами Користувача.

15.2. Вихідні фотографії, згенеровані варіанти зображень, попередні зображення, проміжні оброблені зображення, тимчасові файли та кешовані копії — як за неоплаченими, так і за оплаченими заявками — зберігаються не довше 90 календарних днів: за неоплаченою заявкою — з моменту її створення, за оплаченою заявкою — з моменту оплати. Після закінчення цього строку неоплачена заявка видаляється повністю. Якщо на цей момент підсумкові файли за оплаченою заявкою ще не сформовано, зазначені дані зберігаються до їх формування, але не довше строку, встановленого пунктом 15.3 цієї Політики.

15.3. Підсумкові JPG/PDF/ZIP-файли оплаченого замовлення та пов’язані з ними посилання для завантаження (download links) зберігаються протягом 12 місяців з моменту оплати (якщо за замовленням здійснювалася доплата — з моменту останньої оплати), якщо триваліший строк не вимагається застосовним правом, бухгалтерським обліком, розглядом претензій або захистом прав Оператора. Після закінчення цього строку оплачена заявка видаляється повністю.

15.4. Після закінчення відповідного строку зберігання фотографії, попередні зображення, згенеровані зображення, тимчасові файли, посилання для завантаження (download links), EXIF-дані та кешовані копії видаляються без можливості відновлення.

15.5. Користувач може видалити фотографії, усі дані профілю або акаунт раніше зазначених строків через особистий кабінет або шляхом звернення до Оператора.

15.6. Користувач зобов’язаний самостійно завантажити та зберегти Підсумковий результат протягом строку зберігання файлів.

15.7. Якщо Користувач не завантажив результат протягом строку зберігання, і файли було видалено, Оператор не зобов’язаний відновлювати такі файли.

15.8. Дані акаунта Користувача зберігаються до видалення акаунта Користувачем через особистий кабінет, шляхом звернення до служби підтримки або до припинення роботи акаунта з інших підстав.

15.9. Історія замовлень, відомості про оплату, касові та бухгалтерські відомості, відомості про згоди, звернення Користувача та інші юридично значущі дані можуть зберігатися протягом строків, необхідних для виконання чеського законодавства про бухгалтерський облік і оподаткування та іншого застосовного права, розгляду претензій, захисту прав Оператора та підтвердження факту надання послуги.

15.10. Персональні дані, що обробляються для рекламних повідомлень, зберігаються до відкликання Користувачем згоди на отримання рекламних та інформаційних повідомлень або до припинення відповідної розсилки Оператором.

15.11. У разі досягнення цілей обробки персональні дані підлягають видаленню або анонімізації, якщо подальше зберігання не вимагається застосовним правом або не є необхідним для встановлення, здійснення чи захисту правових вимог.

16.1. Користувач має право звернутися до Оператора із запитом про видалення акаунта, видалення персональних даних або відкликання згоди на обробку персональних даних.

16.2. Запит надсилається на адресу електронної пошти support@fotonapassport.ru, через особистий кабінет, службу підтримки на Сайті або віджет зворотного зв’язку, якщо такий функціонал доступний.

16.3. У запиті Користувач повинен зазначити контактні дані, використані під час реєстрації або оформлення Замовлення, а також суть звернення.

16.4. Після отримання запиту Оператор має право запитати додаткову інформацію, необхідну для підтвердження належності акаунта або даних особі, яка звернулася.

16.5. У разі видалення акаунта Оператор видаляє фотографії, попередні зображення, згенеровані зображення, тимчасові файли, посилання для завантаження (download links), EXIF-дані, кешовані копії та сесійні дані (session data), якщо їх не було видалено раніше.

16.6. Після видалення акаунта Оператор має право продовжити зберігання окремих даних, якщо таке зберігання необхідне для:

16.6.1. виконання юридичного обов’язку, який поширюється на Оператора (стаття 17(3)(b) GDPR);

16.6.2. ведення бухгалтерського, податкового або касового обліку;

16.6.3. підтвердження факту надання послуги;

16.6.4. розгляду претензій і спорів, зокрема встановлення, здійснення чи захисту правових вимог (стаття 17(3)(e) GDPR);

16.6.5. захисту прав і законних інтересів Оператора;

16.6.6. виконання обов’язків перед державними органами.

16.7. Після видалення акаунта Оператор може зберігати мінімальні технічні дані з метою запобігання зловживанням, шахрайству та повторній реєстрації порушників, зокрема солоний хеш (salted hash) телефону та солоний хеш (salted hash) email, на підставі законного інтересу Оператора у запобіганні зловживанням (стаття 6(1)(f) GDPR). Такі дані не використовуються для відновлення видалених фотографій або історії генерацій.

16.8. Відкликання згоди на обробку персональних даних може унеможливити подальше використання Сервісу, надання послуги, доступ до акаунта або отримання результату.

16.9. Якщо Користувач відкликає згоду до завершення надання послуги, Оператор має право припинити надання послуги, якщо подальше надання неможливе без обробки персональних даних.

17.1. Відповідно до статей 15–22 GDPR Користувач має право:

17.1.1. отримати підтвердження того, чи обробляються персональні дані, що його стосуються, доступ до таких персональних даних та інформацію про їх обробку, а також копію персональних даних (право доступу, стаття 15 GDPR);

17.1.2. вимагати виправлення неточних або неповних персональних даних (стаття 16 GDPR) та видалення персональних даних, зокрема якщо вони більше не потрібні для цілей обробки, згоду відкликано або дані оброблялися незаконно (право на видалення, стаття 17 GDPR);

17.1.3. будь-коли відкликати згоду на обробку персональних даних, що не впливає на законність обробки, яка ґрунтувалася на згоді до її відкликання (стаття 7(3) GDPR);

17.1.4. відкликати згоду на отримання рекламних та інформаційних повідомлень і в будь-який момент заперечити проти обробки персональних даних для цілей прямого маркетингу, після чого персональні дані більше не оброблятимуться для таких цілей (стаття 21(2) і (3) GDPR);

17.1.5. вимагати обмеження обробки у випадках, передбачених статтею 18 GDPR, і заперечувати з підстав, пов’язаних з його конкретною ситуацією, проти обробки, що ґрунтується на законних інтересах Оператора (стаття 21(1) GDPR); у такому разі Оператор більше не обробляє персональні дані, якщо тільки він не доведе наявність переконливих законних підстав для обробки, які переважають інтереси, права і свободи Користувача, або для встановлення, здійснення чи захисту правових вимог;

17.1.6. подати скаргу до наглядового органу (стаття 77 GDPR), зокрема до Управління із захисту персональних даних (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, Чеська Республіка, www.uoou.cz, або до наглядового органу держави-члена ЄС/ЄЕЗ за місцем постійного проживання Користувача, місцем роботи або місцем імовірного порушення, а також на ефективний судовий захист (стаття 79 GDPR);

17.1.7. отримати персональні дані, які Користувач надав Операторові та які обробляються автоматизованими засобами на підставі згоди або договору, у структурованому, загальновживаному та машинозчитуваному форматі й передати ці дані іншому контролеру (право на переносимість даних, стаття 20 GDPR);

17.1.8. не підлягати рішенню, що ґрунтується виключно на автоматизованій обробці, зокрема профілюванні, яке породжує правові наслідки для Користувача або подібним чином істотно впливає на нього (стаття 22 GDPR); Оператор не ухвалює таких рішень (пункт 8.4).

17.2. Для реалізації своїх прав Користувач може надіслати звернення на адресу support@fotonapassport.ru.

17.3. Оператор відповідає на звернення Користувачів без необґрунтованої затримки і в будь-якому разі протягом одного місяця з дня отримання звернення. За потреби, з урахуванням складності та кількості звернень, цей строк може бути продовжено ще на два місяці; Оператор інформує Користувача про таке продовження разом із причинами затримки протягом одного місяця з дня отримання звернення (стаття 12(3) GDPR). Інформація та дії за зверненнями надаються безоплатно; якщо звернення є явно необґрунтованими чи надмірними, зокрема через їх повторюваний характер, Оператор може стягнути обґрунтовану плату або відмовитися діяти за зверненням (стаття 12(5) GDPR).

18.1. Користувач зобов’язаний надавати достовірні дані.

18.2. Користувач зобов’язаний завантажувати лише власні фотографії.

18.3. Користувачеві забороняється завантажувати фотографії дітей, неповнолітніх осіб, третіх осіб, а також фотографії, отримані незаконним шляхом.

18.4. Користувач зобов’язаний не використовувати Сервіс для порушення прав третіх осіб або застосовного права.

18.5. Користувач зобов’язаний самостійно забезпечувати доступ до адреси електронної пошти, що використовується для авторизації, отримання посилання для входу, касового чека та результату.

18.6. Користувач несе відповідальність за наслідки надання недостовірних даних, завантаження чужих фотографій або порушення цієї Політики, публічної оферти та застосовного права.

19.1. Оператор вживає належних технічних і організаційних заходів для забезпечення рівня безпеки персональних даних, що відповідає ризику (стаття 32 GDPR).

19.2. До таких заходів можуть належати:

19.2.1. визначення в Операторі особи, відповідальної за питання захисту персональних даних (Оператор не призначав відповідальну за захист даних особу, див. пункт 2.3);

19.2.2. обмеження доступу до персональних даних;

19.2.3. використання засобів авторизації та автентифікації;

19.2.4. розмежування прав доступу;

19.2.5. облік дій з персональними даними;

19.2.6. захист серверної інфраструктури;

19.2.7. використання захищеного з’єднання під час передачі даних;

19.2.8. резервне копіювання, якщо застосовно;

19.2.9. контроль доступу до адміністративних розділів;

19.2.10. видалення файлів після закінчення встановленого строку зберігання;

19.2.11. мінімізація складу даних, що передаються третім особам;

19.2.12. інші заходи, необхідні для захисту персональних даних.

19.3. Оператор вживає заходів для обмеження доступу до фотографій і результатів обробки лише тими особами та сервісами, яким такий доступ необхідний для надання послуги, технічної підтримки, виконання закону або захисту прав Оператора.

19.4. Оператор не розміщує фотографії Користувачів у відкритому доступі та не використовує їх у рекламних матеріалах, портфоліо, кейсах, соціальних мережах або публічних публікаціях без окремої згоди Користувача.

20.1. Персональні дані Користувачів обробляються не лише в Європейській економічній зоні, а й у третіх країнах. Така обробка передбачає передачу персональних даних до третіх країн у значенні глави V GDPR.

20.2. Основна інфраструктура Сервісу, зокрема хостинг, база даних, файлове сховище та власний сервіс Оператора для видалення тла, розміщується на території Російської Федерації. Російська Федерація є третьою країною, щодо якої Європейська комісія не ухвалила рішення про адекватність за статтею 45 GDPR.

20.3. Оператор використовує хостинг-провайдера Beget на території Російської Федерації.

20.4. Kie.ai, OpenAI API, Higgsfield / Higgsfield CLI, платформа OpenRouter (OpenRouter platform) та інші сторонні сервіси автоматизованої та нейромережевої обробки зображень можуть обробляти зображення за межами ЄЕЗ, зокрема в США. Їм передаються лише зображення Користувача, технічний запит на обробку, параметри генерації та технічні метадані запиту, без адреси електронної пошти, платіжних даних чи контактних даних Користувача (розділ 10).

20.5. Платіжні сервіси (UnitPay — російський платіжний сервіс, та Norelio) і сервіси аналітики та реклами (Яндекс.Метрика, Webvisor і VK Pixel — у Російській Федерації; Google Analytics 4 і Google Ads — за межами ЄЕЗ, зокрема в США) можуть обробляти дані, передані їм відповідно до розділів 12 і 13 цієї Політики, за межами ЄЕЗ. Передача даних, зібраних за допомогою аналітичних і маркетингових cookies, не ґрунтується на згоді Користувача: стандартні договірні положення застосовуються лише тоді, коли їх укладено з відповідним провайдером, а Оператор не стверджує, що такі положення або інші належні гарантії діють щодо цих передач. Користувач, який не бажає такої передачі даних, може відмовитися від аналітичних і маркетингових cookies, як описано в розділі 13.

20.6. За винятком випадків, зазначених у пункті 20.5 щодо даних, зібраних за допомогою аналітичних і маркетингових cookies, передачі персональних даних до третіх країн здійснюються на підставі стандартних договірних положень, ухвалених Європейською комісією (стаття 46(2)(c) GDPR), якщо такі положення укладено з відповідним одержувачем. В іншому разі передача здійснюється, оскільки вона необхідна для виконання договору між Користувачем і Оператором (стаття 49(1)(b) GDPR), та/або на підставі явної згоди Користувача, наданої після інформування про можливі ризики такої передачі (стаття 49(1)(a) GDPR), яка зафіксована в Згоді на обробку персональних даних і зображення обличчя. Користувач може запросити інформацію про гарантії, що застосовуються до конкретної передачі, за адресою support@fotonapassport.ru.

20.7. Користувача поінформовано, що в третіх країнах, щодо яких не ухвалено рішення про адекватність і немає належних гарантій, рівень захисту персональних даних може бути не рівнозначним рівню в ЄС/ЄЕЗ, органи публічної влади цих країн можуть мати доступ до персональних даних відповідно до місцевого права, а реалізація та захист прав Користувача можуть бути ускладненими.

20.8. Якщо Користувач не згоден з передачею персональних даних до третіх країн, описаною в цьому розділі, Користувач зобов’язаний утриматися від використання Сервісу та завантаження фотографій.

21.1. Ця Політика застосовується до обробки персональних даних усіх Користувачів незалежно від країни, в якій вони перебувають.

21.2. Оператор зареєстрований у Чеській Республіці. Обробка персональних даних за цією Політикою регулюється GDPR, чеським Законом № 110/2019 Зб. про обробку персональних даних, а щодо cookies та аналогічних технологій і рекламних повідомлень — § 89(3) чеського Закону № 127/2005 Зб. про електронні комунікації та § 7 чеського Закону № 480/2004 Зб. про окремі послуги інформаційного суспільства.

21.3. Ця Політика не обмежує жодних прав, які Користувач може мати за імперативними положеннями законодавства про захист даних, застосовного до Користувача.

21.4. Ця Політика регулюється правом Європейського Союзу та правом Чеської Республіки.

22.1. Оператор веде записи про діяльність з обробки відповідно до статті 30 GDPR. Опис основних операцій з обробки наведено в Реєстрі операцій з обробки персональних даних, опублікованому на Сайті.

22.2. У разі порушення безпеки персональних даних Оператор повідомляє Управління із захисту персональних даних (Úřad pro ochranu osobních údajů) без необґрунтованої затримки і, коли це можливо, не пізніше ніж за 72 години після того, як йому стало про нього відомо, якщо тільки порушення малоймовірно призведе до ризику для прав і свобод фізичних осіб (стаття 33 GDPR). Якщо порушення імовірно призведе до високого ризику для прав і свобод Користувачів, Оператор без необґрунтованої затримки інформує зачеплених Користувачів (стаття 34 GDPR). Оператор документує кожне порушення безпеки персональних даних, зокрема факти, що його стосуються, його наслідки та вжиті коригувальні заходи (стаття 33(5) GDPR).

23.1. Оператор та інші особи, які отримали доступ до персональних даних, зобов’язані не розкривати третім особам і не поширювати персональні дані без згоди Користувача або іншої правової підстави за GDPR, якщо інше не вимагається застосовним правом.

23.2. Оператор не продає персональні дані Користувачів третім особам.

23.3. Оператор не передає фотографії Користувачів рекламним партнерам для самостійного використання.

23.4. Оператор не використовує фотографії Користувачів для публікації відгуків, демонстрації прикладів, створення портфоліо, рекламних матеріалів або для соціальних мереж без окремої згоди Користувача.

24.1. Користувач може надіслати звернення з питань обробки персональних даних на адресу: support@fotonapassport.ru.

24.2. Звернення має містити відомості, що дають змогу ідентифікувати Користувача та його акаунт або Замовлення, а також опис суті звернення.

24.3. Оператор має право запитати додаткову інформацію для підтвердження належності даних особі, яка звернулася.

24.4. Оператор розглядає звернення у строки, зазначені в пункті 17.3 цієї Політики (стаття 12(3) GDPR).

24.5. Відповідь надсилається Користувачеві на адресу електронної пошти або іншим каналом зв’язку, використаним для звернення, якщо інший спосіб відповіді не погоджено з Користувачем.

25.1. Оператор має право змінювати цю Політику в односторонньому порядку.

25.2. Нова редакція Політики набирає чинності з моменту її публікації на Сайті, якщо інший строк не зазначено в новій редакції Політики.

25.3. Користувач зобов’язаний самостійно відстежувати зміни цієї Політики.

25.4. Продовження використання Сайту або Сервісу після публікації нової редакції Політики означає згоду Користувача з новою редакцією Політики.

25.5. Якщо Користувач не згоден з новою редакцією Політики, він зобов’язаний припинити використання Сайту та Сервісу.

Організація:

fotonapassport

Сайт:

https://fotonapassport.ru/

Електронна пошта:

support@fotonapassport.ru