Політика конфіденційності HES SPACE

1. Мета та сфера застосування

Ця Політика конфіденційності пояснює, як HES SPACE, що діє під брендом HES Space («HES SPACE», «ми», «нас» або «наш»), збирає, використовує, зберігає, захищає, розкриває та іншим чином обробляє Персональні дані у зв'язку з вебсайтом HES SPACE, адміністративним порталом, мобільним застосунком і пов'язаними сервісами (разом — «Платформа»).

HES SPACE — це B2B SaaS-платформа, призначена для підтримки управління охороною праці, включно з працівниками, локаціями, документами, електронними підтвердженнями ознайомлення та підписами, навчанням і сертифікатами, Матрицею навчання (Training Matrix), інцидентами, Можливостями з безпеки (Safety Opportunities), Щоденними оцінками небезпек (Daily Hazard Assessments), Інструктажами (Toolbox Talks), перевірками, аудитами, спостереженнями, коригувальними діями, звітністю та пов'язаними процесами.

Ця Політика застосовується до Персональних даних, які HES SPACE обробляє під час надання Платформи. Окремі Клієнти можуть також мати власні повідомлення про конфіденційність або внутрішні політики, що регулюють Персональні дані їхніх працівників та інших користувачів.

2. Ролі HES Space, Клієнта та Користувачів

2.1. Бізнес-акаунти

HES SPACE надається насамперед організаціям («Клієнти»). Якщо ваш обліковий запис HES SPACE створений або наданий вашим роботодавцем чи іншою організацією, така організація може адмініструвати цей обліковий запис і, в межах своїх повноважень і застосовного законодавства, переглядати, створювати, змінювати, експортувати, зберігати або видаляти пов'язані з ним записи.

Доступ у межах Платформи визначається ролями, правами доступу, відділами, локаціями та іншими налаштуваннями, встановленими Клієнтом. Адміністратори компанії, фахівці з охорони праці, керівники, супервайзери та інші уповноважені особи можуть мати різні рівні доступу.

2.2. Дані, керовані Клієнтом

Щодо інформації, внесеної, завантаженої або створеної в Платформі Клієнтом чи його користувачами для бізнес-процесів Клієнта («Дані, керовані Клієнтом»), HES Space, як правило, обробляє таку інформацію від імені Клієнта та відповідно до його вказівок, угоди з Клієнтом, цієї Політики та застосовного законодавства.

Клієнт відповідає за забезпечення того, що він має належні повноваження, повідомлення, згоди чи інші законні підстави для збирання й використання Персональних даних, які він надає HES Space.

2.3. Інформація, якою HES SPACE керує безпосередньо

HES SPACE може самостійно визначати цілі обробки певної інформації, необхідної для роботи власного сервісу та бізнесу, як-от дані бізнес-акаунтів, платіжна та контактна інформація, комунікації зі службою підтримки, журнали безпеки, аналітика сервісу та інформація про використання вебсайту HES SPACE.

3. Інформація, яку ми обробляємо

3.1. Дані облікового запису Клієнта

• ім'я та ділові контактні дані представників Клієнта;
• назва компанії, посада, відділ і роль;
• інформація про підписку, виставлення рахунків і платежі, де застосовно;
• запити до служби підтримки та ділові комунікації.

3.2. Дані Користувачів і працівників

• ім'я, адреса електронної пошти, номер телефону та ідентифікатор працівника;
• посада, тип зайнятості, відділ, локація та безпосередній керівник;
• системна роль, права доступу, статус облікового запису та інша інформація профілю.

3.3. Інформація з охорони праці та про інциденти

Залежно від модулів, які використовує Клієнт, Платформа може містити Щоденні оцінки небезпек, Інструктажі, перевірки, аудити, спостереження, Можливості з безпеки, небезпеки, потенційно небезпечні події, коригувальні дії, звіти про інциденти, інформацію про свідків, матеріали розслідувань, відомості про травми, травмовані частини тіла, інформацію про лікування, інформацію щодо повернення до роботи, коментарі, фотографії, відео та вкладення.

Частина цієї інформації, включно з даними про травми чи здоров'я, може бути чутливою. Клієнтам і Користувачам слід вносити лише інформацію, обґрунтовано необхідну для відповідного процесу охорони праці, комплаєнсу чи бізнес-процесу.

3.4. Дані про навчання та сертифікацію

• призначені навчання, прогрес у курсах, результати тестів і статус завершення;
• сертифікати, номери сертифікатів, дати видачі та закінчення терміну дії, завантажені сертифікати;
• інформація Матриці навчання, статус поновлення та інша інформація про компетентність чи відповідність вимогам.

3.5. Документи та електронні підтвердження ознайомлення

• документи та файли, завантажені Клієнтом;
• Користувачі, призначені для перегляду чи підписання документа;
• статус підтвердження ознайомлення чи підпису, ім'я підписанта, дата й час;
• версія документа та пов'язані записи журналу аудиту.

3.6. Технічні та системні дані

• IP-адреса, браузер, тип пристрою, операційна система та версія застосунку;
• інформація про вхід і сесії, часові мітки, журнали помилок і збоїв, події безпеки;
• інформація про взаємодію з Платформою, необхідна для роботи, підтримки, безпеки та вдосконалення сервісу.

3.7. Журнали активності та аудиту

HES Space може вести журнали активності щодо доступу до облікових записів і дій, виконаних у Платформі, включно зі створенням чи зміною записів, адміністративними змінами, підтвердженнями ознайомлення з документами та підписами, навчальною активністю й іншими відповідними системними подіями. Ці записи можуть використовуватися для безпеки, усунення несправностей, підзвітності, аудиту, комплаєнсу та вирішення спорів.

3.8. Фото, відео, файли та метадані

Файли, завантажені до Платформи, можуть містити вбудовані метадані, включно з датою створення, інформацією про пристрій чи даними про місцезнаходження. Користувачам слід уникати завантаження зайвих Персональних даних або геолокаційної інформації, що не потрібна для відповідної мети.

3.9. Дані про місцезнаходження

HES Space не збирає точних даних про місцезнаходження пристрою, якщо тільки конкретна функція Платформи не потребує доступу до геолокації й таку функціональність не було належним чином увімкнено. Якщо HES Space запровадить функції, що використовують точні дані про місцезнаходження, відповідне повідомлення та, де це вимагається, згода будуть надані до моменту збирання або в момент збирання.

4. Як ми отримуємо інформацію

• безпосередньо від Користувача, коли Користувач взаємодіє з Платформою;
• від Клієнта, коли Адміністратор компанії чи інша уповноважена особа створює обліковий запис, імпортує дані працівників, завантажує документи чи сертифікати або призначає ролі, локації чи навчання;
• автоматично під час використання Платформи;
• через авторизовані інтеграції та постачальників послуг, де застосовно.

5. Як ми використовуємо Персональні дані

• створення, автентифікація, підтримка та адміністрування облікових записів;
• управління працівниками, ролями, відділами та локаціями;
• підтримка звітування про інциденти, перевірок, аудитів, Щоденних оцінок небезпек, Інструктажів, спостережень і коригувальних дій;
• управління навчанням, сертифікатами, поновленнями та Матрицею навчання;
• управління документами, підтвердженнями ознайомлення, підписами та журналами аудиту;
• надсилання сервісних сповіщень, повідомлень про активацію облікового запису та скидання пароля, нагадувань про навчання й сертифікати, а також документів, що потребують дій;
• генерація PDF, дашбордів, звітів та іншої функціональності на запит Клієнта;
• надання підтримки клієнтам, усунення несправностей, моніторинг роботи сервісу та вдосконалення продукту;
• захист Платформи та запобігання несанкціонованому доступу, шахрайству, зловживанням та інцидентам безпеки;
• виконання договірних і правових зобов'язань, вирішення спорів і захист законних прав.

Ми прагнемо не використовувати Персональні дані для суттєво нової та несумісної мети без належної законної підстави та, де це вимагається, додаткового повідомлення чи згоди.

6. Обов'язкова інформація

Певні Персональні дані можуть бути обов'язковими для створення облікового запису або використання окремих функцій HES Space. Якщо обов'язкову інформацію не надано, відповідна функція може бути недоступною. Наприклад, адреса електронної пошти може бути потрібна для активації облікового запису чи відновлення пароля, а певні дані про працівника — для призначення навчання, сертифікатів, документів чи інших записів.

7. Згода та інші законні підстави

Якщо застосовне законодавство вимагає згоди, HES Space або відповідний Клієнт отримуватиме форму згоди, що відповідає характеру та чутливості інформації, меті обробки й розумним очікуванням особи. Для чутливої інформації може вимагатися більш явна згода.

За певних обставин обробка може бути дозволена або необхідна без згоди, зокрема для виконання угоди, дотримання правового зобов'язання, захисту безпеки або в інших випадках, дозволених законодавством.

8. Як ми розкриваємо Персональні дані

8.1. Клієнти та Авторизовані користувачі

Інформація може бути доступна Клієнту та його Авторизованим користувачам відповідно до ролей, прав доступу та організаційної структури, налаштованих Клієнтом.

8.2. Постачальники послуг і субпідрядники з обробки

HES Space може залучати постачальників послуг для хостингу, зберігання даних, доставлення електронної пошти, автентифікації, сповіщень, аналітики, моніторингу, підтримки клієнтів, обробки платежів, кібербезпеки та інших функцій, необхідних для надання Платформи.

Ми прагнемо обмежувати доступ постачальників послуг тим, що необхідно для відповідної функції, та застосовувати належні договірні гарантії, гарантії конфіденційності й безпеки.

8.3. Правові вимоги та захист прав

Ми можемо розкривати інформацію, коли це вимагається чи дозволяється законом, зокрема для відповіді на законний запит суду чи державного органу, дотримання регуляторних вимог, розслідування шахрайства чи проблем безпеки або захисту прав, власності чи безпеки HES Space, Клієнтів, Користувачів чи інших осіб.

8.4. Ділові операції

Якщо HES Space бере участь у злитті, поглинанні, фінансуванні, реорганізації, продажу активів чи подібній корпоративній операції, Персональні дані можуть бути розкриті або передані в межах такої операції з дотриманням застосовного законодавства та належних гарантій конфіденційності.

8.5. Продаж Персональних даних

HES Space не продає Персональні дані за грошову винагороду. Якщо наші практики суттєво зміняться, ця Політика та будь-які необхідні механізми контролю конфіденційності будуть оновлені відповідно до застосовного законодавства.

9. Міжнародне передання даних

Деякі постачальники послуг можуть обробляти чи зберігати інформацію за межами провінції або за межами Канади. У таких випадках інформація може бути доступна компетентним органам відповідно до законодавства юрисдикції, в якій вона обробляється.

HES Space прагне застосовувати належні договірні, організаційні та технічні гарантії до транскордонної обробки відповідно до застосовного законодавства.

10. Зберігання та видалення даних

HES Space зберігає Персональні дані лише стільки, скільки обґрунтовано необхідно для визначених цілей, надання Платформи, виконання угод, законних потреб бізнесу та застосовних правових чи регуляторних вимог.

Строки зберігання можуть відрізнятися для записів облікових записів, записів про навчання, сертифікатів, звітів про інциденти, підписаних документів, перевірок, журналів аудиту, журналів безпеки та платіжних записів. HES Space може встановлювати окремі графіки зберігання, а зберігання Даних, керованих Клієнтом, може також залежати від законних вказівок Клієнта.

Деактивація чи скасування доступу Користувача не обов'язково призводить до негайного видалення всіх пов'язаних записів.

10.1. Коли видалення може бути обмежене

HES Space або Клієнт можуть бути не в змозі видалити певну інформацію, якщо її зберігання обґрунтовано необхідне для:

• дотримання правових чи регуляторних зобов'язань;
• ведення записів з охорони праці, навчання та компетентності;
• збереження підписаних документів, підтверджень ознайомлення та журналів аудиту;
• ведення записів про інциденти, розслідування, перевірки чи аудити;
• підтримки безпеки, запобігання шахрайству, налагодження чи цілісності системи;
• встановлення, реалізації чи захисту правових вимог;
• вирішення спорів чи забезпечення виконання угод;
• інших законних цілей ведення записів.

Після закінчення застосовного строку зберігання інформація має бути видалена, безпечно знищена або, де це доречно, знеособлена відповідно до застосовних процедур.

11. Безпека та конфіденційність

HES Space застосовує або прагне застосовувати розумні адміністративні, технічні та організаційні заходи захисту, пропорційні характеру, обсягу та чутливості інформації, а також відповідним ризикам.

Ці заходи можуть включати рольовий контроль доступу, автентифікацію, захищені комунікації, ведення журналів, моніторинг, заходи резервного копіювання та відновлення, контрольований адміністративний доступ та інші належні заходи захисту.

Доступ до Персональних даних персоналу HES Space та постачальників послуг має бути обмежений особами, яким такий доступ обґрунтовано потрібен для виконання їхніх обов'язків, і може підпорядковуватися зобов'язанням щодо конфіденційності та безпеки.

Жодна система не може гарантувати абсолютної безпеки. HES Space не гарантує, що інцидент безпеки чи несанкціонований доступ ніколи не станеться.

12. Порушення конфіденційності та безпеки

Якщо HES Space дізнається про порушення заходів безпеки, ми оцінюємо характер інформації, обставини події, ймовірність зловживання та потенційний ризик для осіб. Якщо застосовне законодавство вимагає повідомлення регулятора, Клієнта, постраждалої особи чи іншої сторони, HES Space вживе необхідних заходів у застосовні строки.

HES Space може вести облік порушень конфіденційності та безпеки відповідно до застосовних правових вимог і внутрішніх процедур управління інцидентами.

13. Сповіщення та комунікації

HES Space може надсилати операційні чи сервісні повідомлення, необхідні для роботи Платформи, включно з активацією облікового запису, підтвердженням електронної пошти, скиданням пароля, сповіщеннями безпеки, призначенням навчання, нагадуваннями про закінчення терміну дії сертифікатів, документами, що потребують перегляду чи підписання, призначеними формами та системними повідомленнями.

Для цих процесів HES Space може обробляти адреси електронної пошти, ідентифікатори облікових записів, токени безпеки та пов'язану технічну інформацію.

Маркетингові комунікації, якщо вони використовуються, здійснюватимуться з належною згодою та механізмами відмови, як цього вимагає застосовне законодавство. Відмова від маркетингових комунікацій не обов'язково припиняє сервісні повідомлення чи повідомлення безпеки.

14. Файли cookie та подібні технології

Вебсайт і вебзастосунок HES Space можуть використовувати файли cookie та подібні технології. Залежно від фактичної конфігурації вони можуть включати:

• обов'язкові cookie — автентифікація, керування сесіями та безпека;
• cookie налаштувань — мова, відображення та збережені параметри;
• аналітичні cookie — розуміння використання та продуктивності сервісу, якщо такі інструменти ввімкнено.

Вимкнення обов'язкових cookie може унеможливити вхід або коректну роботу інших автентифікованих функцій. Якщо для необов'язкових cookie вимагається згода, HES Space надасть відповідний механізм.

15. Сторонній контент, посилання та інтеграції

Платформа може містити посилання, інтеграції чи вбудований контент третіх сторін, включно з навчальними матеріалами чи іншими сервісами. Такі треті сторони можуть обробляти інформацію відповідно до власних практик конфіденційності. HES Space не контролює незалежні практики конфіденційності третіх сторін.

Цей розділ застосовується лише до сторонніх функцій та інтеграцій, фактично доступних через Платформу.

16. Агреговані та знеособлені дані

HES Space може створювати й використовувати агреговану чи знеособлену інформацію для аналітики продукту, аналізу продуктивності, безпеки, бенчмаркінгу, розробки функцій і покращення користувацького досвіду за умови, що така інформація не використовується для ідентифікації конкретної особи у спосіб, заборонений законом.

17. Права осіб щодо конфіденційності

Залежно від застосовного законодавства особа може мати право дізнатися, чи обробляються її Персональні дані, запитати доступ до них, вимагати виправлення неточностей, а за певних обставин — вимагати видалення, копію інформації чи інші дії, передбачені законом.

17.1. Підтвердження особи

Перед виконанням запиту на доступ, виправлення, експорт чи видалення HES Space або відповідний Клієнт можуть вживати розумних заходів для перевірки особи та повноважень заявника й можуть запитувати додаткову інформацію, обґрунтовано необхідну для знаходження відповідних записів.

17.2. Запити працівників щодо Даних, керованих Клієнтом

Якщо запит стосується інформації, контрольованої роботодавцем чи іншим Клієнтом, HES Space може спрямувати заявника до такого Клієнта або діяти за законними вказівками Клієнта. Це може стосуватися записів про працівників, сертифікатів, навчання, інцидентів, документів та інших Даних, керованих Клієнтом.

17.3. Обмеження

Права щодо конфіденційності не є абсолютними. Доступ, виправлення, експорт чи видалення можуть бути обмежені, якщо це дозволено чи вимагається законом, необхідно для захисту прав інших осіб або несумісно з належним зберіганням правових, комплаєнс-записів, записів безпеки чи записів з охорони праці.

18. Конфіденційність дітей

HES Space — це корпоративна платформа, не призначена для використання дітьми як споживчий сервіс. Ми не прагнемо свідомо збирати Персональні дані дітей без законної підстави та будь-якого необхідного дозволу. Якщо нам стане відомо, що така інформація була надана незаконно, ми можемо вжити заходів для її видалення або обмеження її обробки.

19. Зміни до цієї Політики конфіденційності

Ми можемо оновлювати цю Політику, щоб відобразити зміни в Платформі, постачальниках послуг, бізнес-практиках чи застосовному законодавстві. Чинна версія повинна містити свій номер версії та дату набрання чинності.

Якщо зміни є істотними, HES Space може надати більш помітне повідомлення через Платформу, електронною поштою чи іншим відповідним каналом. Якщо нова практика потребує додаткової згоди, згода буде отримана, де цього вимагає закон.

HES Space може зберігати попередні версії цієї Політики для цілей аудиту та прозорості.

20. Управління конфіденційністю та скарги

HES Space призначає особу або роль, відповідальну за дотримання вимог щодо конфіденційності. Користувачі можуть звертатися до нас із питаннями, запитами щодо доступу чи виправлення або скаргами на наші практики конфіденційності.

Ми прагнемо розглядати запити та скарги щодо конфіденційності в розумний строк і відповідно до застосовного законодавства.

21. Застосовне законодавство про захист даних

HES Space обробляє Персональні дані відповідно до законодавства про захист персональних даних, застосовного до конкретної діяльності, інформації, організації та юрисдикції. У Канаді це може включати Закон про захист персональної інформації та електронні документи (PIPEDA) та інші застосовні федеральні чи провінційні вимоги щодо конфіденційності.

Застосування конкретного закону про захист даних, зокрема до інформації про працівників, залежить від юрисдикції, характеру організації та обставин обробки. Цю Політику не слід тлумачити як твердження, що той самий закон про захист даних застосовується до кожного Клієнта чи кожного типу записів про працівників.

22. Історія версій

Версія 1.0 — дата набрання чинності 12.08.2026 — початкова редакція Політики конфіденційності.