Умови обробки персональних даних відвідувачів сайтів

Ці Умови є частиною Договору публічної оферти та регулюють обробку персональних даних відвідувачів, покупців і підписників сайтів, створених Користувачем у сервісі Saybuild («Дані відвідувачів»). Відповідно до статті 2 Закону України «Про захист персональних даних» Користувач є володільцем Даних відвідувачів (визначає мету й склад даних), а Виконавець — розпорядником, якому володілець доручив обробку. Для Користувачів, на яких поширюється GDPR, ці Умови є договором між контролером і процесором за статтею 28 GDPR.

1. Предмет, мета та склад обробки

2. Обов’язки Користувача як володільця

• мати законну підставу для збирання Даних відвідувачів (згода, виконання договору з покупцем тощо) і повідомляти відвідувачів про обробку — розмістити на сайті політику конфіденційності (Сервіс генерує типовий текст) із власними контактами;
• збирати лише ті дані, що потрібні для мети (не просити зайвого в формах), і не збирати дані особливих категорій без належної підстави;
• самостійно відповідати на запити суб’єктів даних (доступ, виправлення, видалення) — Сервіс дає для цього інструменти в кабінеті; за потреби Виконавець допомагає технічно;
• підключаючи рекламні системи, розсилки, вебхуки чи сторонні сервіси, забезпечити законність такої передачі (зокрема згоду на cookie й на рекламні розсилки);
• не надавати доступ до кабінету стороннім особам без належних повноважень;
• повідомляти Виконавця про інциденти з даними, що стались на боці Користувача (витік пароля, компрометація пошти чи Telegram).

3. Обов’язки Виконавця як розпорядника

• обробляти Дані відвідувачів лише за дорученням Користувача та в межах, визначених цими Умовами і функціями Сервісу (документованими дорученнями Користувача є ці Умови та налаштування, які він обирає в Сервісі), зокрема щодо транскордонної передачі, крім випадків, коли обробку вимагає закон (у такому разі Виконавець повідомляє Користувача, якщо закон цього не забороняє), не використовувати їх для власних цілей, зокрема для реклами чи навчання моделей штучного інтелекту;
• невідкладно повідомляти Користувача, якщо, на думку Виконавця, доручення порушує законодавство про захист персональних даних;
• забезпечувати захист даних заходами, описаними на сторінці Безпека (стаття 24 Закону, стаття 32 GDPR);
• допускати до даних лише працівників і підрядників, зобов’язаних зберігати конфіденційність;
• допомагати Користувачу виконувати запити суб’єктів даних і обов’язки щодо безпеки й повідомлення про інциденти;
• повідомляти Користувача про інцидент безпеки, що стосується його Даних відвідувачів, без невиправданої затримки й не пізніше ніж за 72 години з моменту виявлення, із зазначенням характеру інциденту, ймовірних наслідків і вжитих заходів;
• за запитом надавати інформацію, потрібну для підтвердження виконання цих Умов (опис заходів безпеки, перелік субпроцесорів, результати перевірок); інспекції на місці не проводяться з огляду на хмарну інфраструктуру, замість них надаються звіти постачальників;
• після припинення Договору видалити Дані відвідувачів у порядку розділу 7.

4. Субпроцесори

Користувач надає загальний дозвіл на залучення субпроцесорів, перелічених у розділі 5 Політики конфіденційності як субпроцесори (хостинг і база даних — Vercel, Turso; пошта — Resend; сповіщення — Telegram; оплата — WayForPay; доставка — Нова Пошта). Про додавання нового субпроцесора Виконавець повідомляє не менш як за 14 днів; Користувач може заперечити, припинивши користування відповідною функцією або Договором. Виконавець покладає на субпроцесорів зобов’язання щодо захисту даних, не менші за ці Умови, і відповідає за їхні дії перед Користувачем.

Рекламні та аналітичні сервіси (Meta, TikTok, Google), які Користувач підключає самостійно, не є субпроцесорами Виконавця. Користувач передає їм дані на підставі власних договорів із ними (зокрема умов Meta Business Tools, TikTok Business Products Terms, умов Google Analytics), а ці сервіси діють як окремі володільці або спільно з Користувачем. Виконавець забезпечує технічну передачу даних відповідно до налаштувань Користувача і лише після того, як відвідувач надав згоду через банер згоди, який Сервіс автоматично вмикає на сайті з підключеними рекламними чи аналітичними сервісами; Виконавець відповідає за належну роботу цього механізму, але не відповідає за подальшу обробку даних такими сервісами. Користувач відповідає за отримання згоди відвідувачів, наявність правової підстави для передачі, зміст повідомлення відвідувачам і власні договори з такими сервісами.

5. Транскордонна передача

Дані відвідувачів зберігаються на інфраструктурі Vercel і Turso (ЄС/США) та передаються постачальникам поза Україною відповідно до статті 29 Закону: до держав — учасниць ЄЕП та держав, що підписали Конвенцію Ради Європи про захист осіб у зв’язку з автоматизованою обробкою персональних даних, — як до держав із належним захистом; до інших — на підставах, передбачених статтею 29 Закону (необхідність виконання договору в інтересах суб’єкта даних, гарантії щодо невтручання в особисте життя, закріплені в договорах із постачальниками, а щодо додаткових функцій — згода суб’єкта даних). Користувач, що підлягає GDPR, доручає Виконавцю укладати такі договори від його імені в межах, потрібних для надання Сервісу.

6. Розподіл відповідальності

Користувач відповідає за законність збирання Даних відвідувачів, зміст форм і за власні дії з даними (експорт, пересилання, вебхуки на обрані ним адреси). Виконавець відповідає за обробку в межах Сервісу відповідно до цих Умов. Якщо до Виконавця звертаються суб’єкт даних чи орган нагляду щодо Даних відвідувачів, Виконавець спрямовує звернення Користувачу та надає необхідну технічну допомогу.

7. Видалення та повернення даних

Користувач у будь-який момент може експортувати Дані відвідувачів (заявки — у кабінеті, замовлення — в магазині, повний експорт — у «Акаунті») та видалити їх. При видаленні облікового запису всі Дані відвідувачів видаляються негайно; копії в зашифрованих резервних копіях перезаписуються протягом 30 днів. Листи, вже надіслані через Resend, та повідомлення в Telegram лишаються у відповідних сервісах згідно з їхніми політиками й можуть бути видалені Користувачем на його боці.

8. Строк дії та зміни

Ці Умови діють протягом дії Договору публічної оферти й змінюються в порядку його розділу 15. Чинна редакція — від 6 листопада 2026 року.