Повідомлення про обробку персональних даних Elixaris
Повідомлення про обробку персональних даних
Elixaris
Дата публікації: ________ 2026 року
Вступ
Це Повідомлення про обробку персональних даних («Повідомлення») пояснює, як ми збираємо, використовуємо, обробляємо та зберігаємо персональні дані («Персональні дані», «дані» — будь-яка інформація, що стосується фізичної особи, яку ідентифіковано чи можна ідентифікувати за допомогою цієї інформації) фізичних осіб — відвідувачів та користувачів Сайту (__________, через який ми пропонуємо до продажу Товари та надаємо доступ до пов’язаного функціоналу (акаунт, анкета підбору продукції, підписка на розсилки тощо), — «Сайт»; кожен такий відвідувач та користувач Сайту — «Користувач»), покупців Товарів (продукції, що пропонується до продажу на Сайті відповідно до Умов використання Сайту та інформації, наведеної щодо відповідного Товару, — «Товар»), представників наших Комерційних клієнтів (клініка, аптека, лікар-партнер або інший суб’єкт господарювання, що співпрацює з Elixaris на підставі відповідного договору, в межах якого Elixaris обробляє персональні дані фізичних осіб — представників, контактних осіб такого суб’єкта та/або кінцевих отримувачів (пацієнтів) за його замовленнями, — «Комерційних клієнтів»), а також кінцевих отримувачів Товарів або пацієнтів, персональні дані яких можуть бути передані нам Комерційними клієнтами, у тій частині, в якій Elixaris виступає Контролером відповідної Обробки (будь-якої операції або низки операцій з персональними даними з використанням автоматизованих засобів або без них, зокрема збирання, реєстрація, зберігання, зміна, використання, розкриття, обмеження чи знищення, — «Обробка»).
Це Повідомлення має читатися разом з Умовами використання Сайту, Політикою використання файлів cookie та застосовується до Обробки персональних даних у зв’язку з використанням Сайту та придбанням Товарів, щодо якої Elixaris виступає Контролером.
Ми обробляємо персональні дані відповідно до Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI («Закон»), а у випадках, коли до відповідної Обробки застосовується Регламент (ЄС) 2016/679, зокрема у зв’язку з пропонуванням товарів або послуг особам, які перебувають у Європейському Союзі, або моніторингом їхньої поведінки в ЄС, — також відповідно до Регламенту Європейського Парламенту та Ради (ЄС) 2016/679 від 27.04.2016 про захист фізичних осіб у зв’язку з опрацюванням персональних даних («GDPR»).
Терміни «Товар», «Сайт», «Акаунт» та інші, написані з великої літери та не визначені в цьому Повідомленні окремо, вживаються в значенні, наведеному в Умовах використання Сайту.
Хто є Контролером ваших персональних даних
Контролером ваших персональних даних (тобто особою, яка визначає цілі та засоби Обробки персональних даних, а для цілей законодавства України — також володільцем персональних даних, — «Контролер»), щодо Обробки, описаної в цьому Повідомленні, є Elixaris, якщо прямо не зазначено інше:
Контролер персональних даних | |
|---|---|
Назва | |
Реєстраційний номер | |
Адреса реєстрації | |
Контактна електронна пошта з питань персональних даних | |
Відповідальна особа за обробку персональних даних |
Надалі по тексту компанія позначається як «Elixaris» або «ми».
До кого застосовується це Повідомлення
Це Повідомлення застосовується залежно від контексту до будь-якої фізичної особи, персональні дані якої обробляються відповідно до цього Повідомлення (кожна — «Ви»), зокрема:
- Споживачі (B2C) — відвідувачі Сайту та покупці Товарів для особистого споживання.
- Представники Комерційних клієнтів (B2B) — контактні особи клінік, аптек, лікарів-партнерів та інших Комерційних клієнтів, які створюють Акаунт на Сайті чи діють від імені Комерційного клієнта. Обробка персональних даних самих Комерційних клієнтів як юридичних осіб цим Повідомленням не регулюється, проте персональні дані фізичних осіб — представників, контактних осіб та кінцевих отримувачів (пацієнтів) — підпадають під дію цього Повідомлення. Персональні дані кінцевих отримувачів або пацієнтів підпадають під дію цього Повідомлення лише в тій частині, в якій Elixaris здійснює їх Обробку як самостійний Контролер.
Якщо щодо конкретної Обробки Комерційний клієнт визначає її цілі та основні засоби, а Elixaris обробляє відповідні персональні дані виключно від його імені та за його документованими інструкціями, така Обробка регулюється Угодою про обробку персональних даних (Data Processing Agreement) між Elixaris та відповідним Комерційним клієнтом.
Якщо Elixaris самостійно визначає цілі та основні засоби Обробки, зокрема для прийняття та виконання замовлення, організації доставки, бухгалтерського та податкового обліку, розгляду гарантійних питань і претензій, Elixaris виступає самостійним Контролером щодо такої Обробки, і до неї застосовується це Повідомлення.
Які персональні дані ми обробляємо
Обсяг персональних даних, які ми обробляємо, залежить від того, як саме ви взаємодієте з Сайтом.
Дані, які ви надаєте нам напряму
- Дані Акаунту: ім’я, прізвище, електронна пошта, номер телефону, дані автентифікації, включаючи пароль (у захищеному вигляді).
- Дані замовлення та доставки: адреса доставки, історія замовлень, вміст кошика, обрані способи оплати та доставки.
- Дані підписки на регулярну доставку та бонусної програми.
- Маркетингові дані: історія Згод/відмов на розсилки за кожним каналом (email, SMS, месенджери) окремо та історія взаємодії з розсилками.
- Відгуки та інший контент, розміщений вами на Сайті.
- Звернення до служби підтримки, зокрема пов’язані з поверненням, обміном чи рекламацією Товару (включно з фотофіксацією, наданою на підтвердження).
Дані оплати вводяться вами безпосередньо на стороні платіжного провайдера — ми не отримуємо і не зберігаємо повні реквізити платіжної картки.
Дані, які ми отримуємо автоматично
Технічні дані та дані про використання Сайту: IP-адреса, тип пристрою й браузера, сторінки перегляду, а також дані, що збираються через файли cookie та подібні технології. Детальний перелік та підстави наведені в окремій Політиці використання файлів cookie, розміщеній на Сайті.
Дані, які ми отримуємо від Комерційних клієнтів
Якщо Комерційний клієнт оформлює замовлення з доставкою безпосередньо кінцевому споживачу (пацієнту), ми отримуємо від Комерційного клієнта обмежений обсяг даних такого кінцевого отримувача, необхідний для виконання доставки, — див. розділ «Дані кінцевих отримувачів (пацієнтів)» нижче.
Дані анкети/тесту підбору продукції та Дані про здоров’я
У межах функціоналу підбору продукції ми можемо збирати відомості про ваші цілі, вік, спосіб життя, харчові звички та вподобання. Такі відомості не вважаються автоматично Даними про здоров’я (тобто персональними даними, що стосуються фізичного чи психічного здоров’я фізичної особи, зокрема надання їй медичних послуг, які розкривають інформацію про стан її здоров’я, та є особливою категорією персональних даних відповідно до ст. 7 Закону та ст. 9 GDPR); їх кваліфікація залежить від змісту та контексту відповідної інформації. Якщо в межах такого функціоналу збираються відомості, що можуть кваліфікуватися як дані про стан здоров’я (особлива категорія персональних даних за ст. 7 Закону та ст. 9 GDPR), ми обробляємо їх лише за наявності належної правової підстави та умови для Обробки спеціальних категорій персональних даних. До початку збирання та Обробки таких даних ми визначаємо належну правову підставу та відповідну умову, передбачену застосовним законодавством для Обробки таких даних. Якщо застосовується GDPR і Обробка здійснюється на підставі Згоди (тобто будь-якого вільно наданого, конкретного, поінформованого та однозначного волевиявлення суб’єкта персональних даних, яким він підтверджує згоду на Обробку своїх персональних даних шляхом вчинення чіткої ствердної дії, — «Згода»), ми отримуємо вашу окрему явну Згоду відповідно до ст. 6(1)(a) та 9(2)(a) GDPR. Якщо застосовується законодавство України та Обробка здійснюється на підставі Згоди, така Згода має відповідати вимогам ст. 7 Закону.
Згода на використання файлів cookie, персоналізацію, отримання маркетингових повідомлень або іншу Обробку персональних даних не означає Згоди на Обробку Даних про здоров’я.
Надання Згоди на Обробку Даних про здоров’я не є умовою використання основного функціоналу Сайту або придбання Товарів, для яких така інформація об’єктивно не є необхідною. Ви можете відкликати відповідну Згоду в будь-який момент без впливу на законність Обробки, здійсненої до її відкликання.
Доступ до Даних про здоров’я надається лише спеціально уповноваженим особам у межах, необхідних для відповідної мети Обробки. Ми не використовуємо такі дані для формування рекламних аудиторій та не передаємо їх рекламним або аналітичним платформам для цілей реклами, відстеження поведінки чи аналітики.
Ми також вживаємо заходів, щоб Дані про здоров’я не передавалися стороннім аналітичним або рекламним платформам опосередковано через адреси сторінок, параметри адрес, назви чи параметри подій, пошукові запити, назви або ідентифікатори Товарів, поля форм чи інші технічні параметри.
Дані представників Комерційних клієнтів
- Реєстраційні дані Комерційного клієнта (назва, країна діяльності) та дані контактної особи: ім’я, посада, електронна пошта, номер телефону.
- Документи, надані для перевірки Комерційного клієнта перед активацією Акаунта (ліцензії, професійні сертифікати, дозволи тощо), — у частині, в якій вони містять персональні дані.
- Дані про замовлення, оформлені Комерційним клієнтом.
Дані кінцевих отримувачів (пацієнтів) за замовленнями Комерційних клієнтів
Якщо Комерційний клієнт оформлює замовлення з доставкою безпосередньо кінцевому споживачу (пацієнту), ми отримуємо від Комерційного клієнта обмежений обсяг даних, необхідний для виконання доставки: ім’я та прізвище отримувача, номер телефону, електронну адресу, якщо вона необхідна для комунікації, адресу доставки та інформацію про замовлений Товар та його кількість, а також інформацію про Комерційного клієнта, який оформив відповідне замовлення.
Інформація про замовлений Товар не вважається автоматично Даними про здоров’я. Водночас, якщо з огляду на характер конкретного Товару, його призначення та контекст замовлення така інформація сама по собі або разом з іншими даними може розкривати чи дозволяти зробити висновок про стан здоров’я відповідного отримувача, до її Обробки застосовуються вимоги щодо Даних про здоров’я, передбачені цим Повідомленням та застосовним законодавством. Така інформація не включається до стандартного процесу передавання даних від Комерційного клієнта без попередньої оцінки належної правової підстави та необхідних заходів захисту.
Ми обробляємо ці дані в обсязі, необхідному для прийняття та виконання відповідного замовлення, організації доставки, комунікації щодо замовлення та, де це застосовно, розгляду повернень, рекламацій або гарантійних питань. Щодо Обробки, для якої Elixaris самостійно визначає відповідні цілі та засоби, Elixaris виступає самостійним Контролером. Якщо щодо окремого процесу Elixaris обробляє персональні дані виключно від імені та за документованими інструкціями Комерційного клієнта, умови такої Обробки регулюються відповідною Угодою про обробку персональних даних.
Звідки ми отримуємо персональні дані
Більшість Персональних даних ми отримуємо безпосередньо від вас під час використання Сайту, створення Акаунту, оформлення замовлення, заповнення анкети, звернення до служби підтримки або іншої взаємодії з Elixaris.
В окремих випадках ми можемо отримувати ваші Персональні дані від інших осіб. Зокрема, якщо клініка, аптека або інший Комерційний клієнт оформлює замовлення з доставкою безпосередньо вам, ми можемо отримати від такого Комерційного клієнта ваше ім’я та прізвище, контактні дані, адресу або пункт доставки, інформацію про замовлений Товар та інші дані, необхідні для виконання відповідного замовлення.
Якщо Elixaris отримує ваші Персональні дані не безпосередньо від вас та виступає щодо такої Обробки Контролером, ми надаємо вам інформацію про відповідну Обробку у строки, передбачені застосовним законодавством.
Якщо застосовується GDPR — у розумний строк після отримання даних, але не пізніше одного місяця, а якщо дані використовуються для комунікації з вами — не пізніше першої такої комунікації, або, якщо передбачається їх розкриття іншому одержувачу, — не пізніше першого такого розкриття.
Якщо застосовується законодавство України та дані отримані не безпосередньо від вас, відповідна інформація надається протягом 30 робочих днів з дня їх збирання, крім випадків, передбачених законом.
Які дані необхідно надати
Поля, позначені як обов’язкові під час створення Акаунту або оформлення замовлення, необхідні для надання відповідної функції або виконання договору. Якщо ви не надасте такі дані, ми можемо не мати можливості створити Акаунт, прийняти або виконати замовлення чи надати відповідну послугу.
Надання даних для необов’язкових функцій, зокрема маркетингових розсилок або окремих функцій персоналізації, є добровільним. Відмова від їх надання не обмежує доступ до основних функцій Сайту.
Мета та правові підстави Обробки
Мета обробки | Категорії даних | Правова підстава |
|---|---|---|
Реєстрація та ведення Акаунту, обробка й виконання замовлень, доставка, оплата, повернення/обмін Товару | дані Акаунту; дані замовлення та доставки | виконання договору з вами (ст. 6(1)(b) GDPR) / укладення чи виконання правочину (ст. 11 Закону) |
Перевірка Комерційних клієнтів перед активацією B2B-акаунта | дані представників Комерційних клієнтів; перевірочні документи | законний інтерес Elixaris та Комерційного клієнта у перевірці контрагента, організації та адмініструванні B2B-відносин, забезпеченні належної комунікації та безпеки співпраці — ст. 6(1)(f) GDPR, якщо він застосовується; виконання законодавчого обов’язку — у випадках, коли відповідна перевірка прямо вимагається законом |
Виконання замовлень з доставкою кінцевому пацієнту | дані кінцевих отримувачів (пацієнтів) | законний інтерес Elixaris та Комерційного клієнта у виконанні замовлення та організації доставки безпосередньо одержувачу — ст. 6(1)(f) GDPR, якщо він застосовується. Якщо одержувач сам є стороною відповідного договору з Elixaris — ст. 6(1)(b) GDPR. За законодавством України — укладення або виконання правочину, укладеного на користь суб’єкта персональних даних, якщо відповідні умови виконуються (п. 3 ч. 1 ст. 11 Закону), та/або необхідність захисту законних інтересів Elixaris або третьої особи відповідно до п. 6 ч. 1 ст. 11 Закону. Якщо інформація про замовлений Товар у конкретному контексті становить Дані про здоров’я, зазначені вище загальні правові підстави не замінюють необхідності окремо забезпечити виконання вимог ст. 9 GDPR та/або ст. 7 Закону. |
Обробка даних анкети/тесту підбору продукції, у тому числі Даних про здоров’я, якщо такі дані збираються | дані анкети/тесту підбору продукції | для звичайних Персональних даних — Згода відповідно до ст. 6(1)(a) GDPR та/або п. 1 ч. 1 ст. 11 Закону, якщо вона використовується як правова підстава. Для Даних про здоров’я — Згода відповідно до ст. 6(1)(a) GDPR та окрема явна Згода відповідно до ст. 9(2)(a) GDPR та/або однозначна Згода відповідно до п. 1 ч. 2 ст. 7 Закону, якщо не була окремо визначена інша належна умова, передбачена застосовним законодавством |
Надсилання маркетингових повідомлень електронною поштою, SMS та у месенджерах | контактні дані; інформація про надані та відкликані Згоди; дані про взаємодію з повідомленнями, якщо це дозволено застосовним законодавством | Згода — ст. 6(1)(a) GDPR / п. 1 ч. 1 ст. 11 Закону та застосовні правила щодо електронних маркетингових повідомлень. Згода та можливість відмови управляються окремо для кожного каналу комунікації. Якщо застосовне законодавство прямо дозволяє надсилання маркетингових повідомлень наявним клієнтам без окремої попередньої Згоди, такий виняток використовується лише за умови виконання всіх встановлених законом вимог, включаючи можливість легко і безкоштовно відмовитися від таких повідомлень |
Персоналізація контенту, пропозицій та рекомендацій на Сайті або в Акаунті | дані Акаунту, історія замовлень, обрані або збережені Товари та, за відповідною Згодою, дані про взаємодію із Сайтом | Згода — ст. 6(1)(a) GDPR та/або п. 1 ч. 1 ст. 11 Закону, якщо така персоналізація є необов’язковою та здійснюється на підставі Згоди. Якщо використовуються файли cookie або подібні технології, вони активуються відповідно до Політики використання файлів cookie. Дані про здоров’я не використовуються для такої персоналізації без окремої належної правової підстави та відповідної умови для Обробки спеціальних категорій даних |
Відповіді на звернення, розгляд рекламацій, ведення журналу рекламацій за номером партії | дані Акаунту; звернення до підтримки | виконання договору; законний інтерес у забезпеченні простежуваності та безпечності Товару |
Запобігання шахрайству, забезпечення безпеки Сайту та Акаунтів | технічні дані; дані Акаунту | законний інтерес Elixaris у запобіганні шахрайству, захисті Сайту, Акаунтів, користувачів та інформаційних систем від зловживань і загроз безпеці — ст. 6(1)(f) GDPR / п. 6 ч. 1 ст. 11 Закону |
Ведення бухгалтерського та податкового обліку | дані замовлення; платіжні метадані | виконання встановленого законодавством обов’язку |
Захист прав та законних інтересів у спорах | відповідні категорії даних у межах, необхідних для конкретної вимоги | законний інтерес Elixaris у встановленні, реалізації та захисті правових вимог — ст. 6(1)(f) GDPR / п. 6 ч. 1 ст. 11 Закону; виконання законодавчого обов’язку — якщо відповідна Обробка прямо вимагається законом |
Аналіз використання Сайту та вдосконалення його функціоналу | технічні дані, онлайн-ідентифікатори, дані про взаємодію із Сайтом | Згода — ст. 6(1)(a) GDPR, якщо відповідна Обробка здійснюється за допомогою необов’язкових cookie або інших технологій відстеження, що активуються на підставі Згоди відповідно до Політики використання файлів cookie |
Оцінка ефективності реклами, визначення джерела переходів і конверсій, повторний показ реклами та формування рекламних аудиторій | технічні дані, онлайн-ідентифікатори, дані про взаємодію із Сайтом, джерело переходу та дані про конверсії — залежно від фактично підключених технологій. Дані про здоров’я не використовуються | Згода — ст. 6(1)(a) GDPR та відповідні вимоги щодо використання файлів cookie і подібних технологій. Відповідні технології активуються лише відповідно до вибору користувача, зробленого через систему керування Згодами |
Кому ми можемо розкривати персональні дані
Ми можемо розкривати персональні дані наступним категоріям отримувачів, виключно в обсязі, необхідному для відповідної мети.
Провайдери хостингу та ІТ-інфраструктури. Постачальники хостингу, серверної інфраструктури, CRM та інших технічних систем, які можуть обробляти Персональні дані для забезпечення роботи відповідних сервісів. Їх правовий статус як Обробника (тобто особи, якій Контролером або законом надано право обробляти персональні дані від імені Контролера, а для цілей законодавства України — також розпорядника персональних даних, — «Обробник»), самостійного Контролера або, у відповідних випадках, спільного Контролера визначається відповідно до фактичної моделі Обробки та договірних умов.
Платіжні провайдери. Отримують дані, необхідні для проведення та захисту платіжної операції. Роль конкретного платіжного провайдера як Обробника або самостійного Контролера визначається відповідно до фактичної моделі його роботи та договірних умов.
Служби доставки. Національні та міжнародні перевізники й фулфілмент-оператори отримують дані, необхідні для доставки Товару.
Провайдери аналітики та реклами. Провайдери вебаналітики, рекламні платформи та рекламні пікселі, якщо і в обсязі, в якому відповідні сервіси фактично підключені до Сайту, — у межах, дозволених вашими налаштуваннями Згоди на cookie відповідно до Політики використання файлів cookie. Ми не передаємо таким постачальникам Дані про здоров’я для цілей аналітики, формування рекламних аудиторій, персоналізації чи показу реклами.
Провайдер платформи управління Згодою на cookie (CMP). Технічний провайдер, що забезпечує фіксацію та керування вашими налаштуваннями Згоди на cookie.
Професійні консультанти. Аудитори, юридичні та інші професійні консультанти — у межах, необхідних для надання відповідних послуг.
Органи влади та суди. На їхню обґрунтовану вимогу відповідно до застосовного законодавства.
Правонаступник за угодою. Інша сторона у випадку реорганізації, злиття чи продажу бізнесу — за умови збереження гарантій захисту персональних даних, передбачених цим Повідомленням.
Якщо відповідний постачальник діє як наш Обробник, ми забезпечуємо укладення з ним договору про обробку персональних даних та встановлення належних вимог щодо конфіденційності, безпеки, цілей і меж Обробки. Якщо постачальник діє як самостійний або спільний Контролер, правова підстава передавання даних, розподіл ролей та обов’язки сторін визначаються окремо відповідно до фактичної моделі Обробки та застосовного законодавства.