Документи

Політика конфіденційності

ПРОЄКТ, редакція 2.0 від [дата]. Потребує перевірки юристом (LEGAL_REVIEW.md §9). Відповідає фактичній обробці даних на Платформі (SECURITY.md §7).

1. Володілець персональних даних

ФОП [ПІБ ФОП — заповніть у налаштуваннях], РНОКПП [РНОКПП], адреса [адреса], email для питань щодо персональних даних: [email].

2. Які дані ми обробляємо

Категорія	Дані	Джерело
Обліковий запис	ім'я, прізвище, email, номер телефону, хеш пароля (сам пароль не зберігається), дата згоди з документами	Користувач
Профіль	місто, опис, налаштування сповіщень, рейтинг і відгуки	Користувач, інші Користувачі
Обмін	предмети, фото предметів (метадані EXIF/GPS видаляються автоматично), пропозиції, листування в чаті, відправлення (перевізник, номер, дата), підтвердження, спори й докази	Користувач
Аванс	суми й дати внесення, резервування, списання, повернення; Акти; ідентифікатори платежів провайдера	Користувач, платіжний провайдер
Повернення	ПІБ отримувача та IBAN (зберігаються зашифрованими)	Користувач
Безпека	IP-адреса, User-Agent, журнал дій (аудит), ідентифікатори запитів; для співробітників — ознака 2FA	автоматично
Cookie	сесійна cookie авторизації (обов'язкова)	автоматично

Платформа не збирає адрес доставки, паспортних даних і реквізитів платіжних карток (карткові дані обробляє платіжний провайдер).

3. Мети й підстави обробки

Мета	Підстава
Реєстрація, надання Послуг, супровід Угод, сповіщення	виконання договору (Публічна оферта)
Облік Авансів, формування Актів, повернення Авансу, податковий облік	виконання договору; обов'язки, встановлені законом
Безпека, запобігання шахрайству, розгляд спорів і скарг	законний інтерес Володільця
Листи-сповіщення про події в обліковому записі	виконання договору (можна вимкнути необов'язкові сповіщення в профілі)
Інші цілі, якщо закон вимагає згоди	згода (окремий документ «Згода на обробку персональних даних»)

4. Кому передаються дані

4.1. Іншим Користувачам — лише публічний профіль (ім'я з першою літерою прізвища, місто, рейтинг, відгуки, Предмети для обміну й список «Шукаю» без межі доплати) і те, що Користувач сам пише в чаті Угоди. Контакти для доставки Користувачі передають один одному самостійно.

4.2. Обробникам, які допомагають надавати Послуги: хостинг [назва, країна]; email-сервіс Resend (США/ЄС); платіжний провайдер [назва]; [сховище файлів]. З обробниками укладаються договори з вимогами щодо захисту даних.

4.3. Державним органам — у випадках і порядку, визначених законом.

4.4. Дані не продаються й не передаються для реклами третіх осіб.

5. Строки зберігання

Дані	Строк
Обліковий запис і профіль	поки діє обліковий запис; після видалення — знеособлення
Операції з Авансом, Акти, Угоди	[строк, установлений законом для первинних документів, — уточнити юристу], далі знищення
Листування, спори, докази	[3] роки після завершення Угоди
Журнал безпеки й аудиту	[3] роки
Технічні логи сервера	30 днів
Невикористані завантажені фото	24 години

6. Cookie

Платформа використовує лише необхідну cookie сесії (authjs.session-token, HttpOnly, Secure, SameSite=Lax, строк — до 7 днів). Аналітичних і рекламних cookie немає; банер згоди не потрібен, доки їх не додано.

7. Захист даних

Шифрування з'єднань (HTTPS, HSTS); паролі — Argon2id; реквізити для повернення й секрети 2FA — шифрування AES-256-GCM; розмежування доступу співробітників за ролями з обов'язковою двофакторною автентифікацією для адміністраторів і фінансистів; незмінний журнал аудиту; резервне копіювання; видалення метаданих з фото.

8. Права Користувача

Відповідно до Закону України «Про захист персональних даних» Користувач має право: знати про обробку своїх даних, мету й отримувачів; отримати свої дані (у кабінеті: «Профіль → Мої дані» — завантаження у форматі JSON); вимагати виправлення неточних даних; заперечити проти обробки; вимагати видалення (з урахуванням строків обов'язкового зберігання фінансових документів); відкликати згоду; звернутися зі скаргою до Уповноваженого Верховної Ради України з прав людини або до суду.

9. Звернення

Запити щодо персональних даних — на [email]; відповідь — протягом 30 календарних днів (запит на доступ — у строки, визначені законом).

10. Зміни

Нова редакція публікується на Платформі із зазначенням дати; про суттєві зміни Користувачі повідомляються email.