Політика конфіденційності

• Дані облікового запису — email, ім'я, роль, належність до організації, налаштування двофакторної автентифікації.
• Робочі дані — інформація про клієнтів, сесії, нотатки, тести та матеріали, яку спеціаліст вносить у систему. Чутливі поля (нотатки, дані клієнтів) зберігаються в зашифрованому вигляді.
• Технічні дані — журнали подій безпеки (аудит-лог), IP-адреса та user-agent для захисту від зловживань, дані про помилки.
• Дані Google — лише якщо ви добровільно підключаєте інтеграцію з Google Calendar (див. розділ 2).

Інтеграція з Google Calendar є опціональною і вмикається спеціалістом вручну в налаштуваннях. Її мета — переносити сесії з Кушетки у ваш Google-календар, щоб уникнути накладок у розкладі. Ми запитуємо мінімально необхідний набір дозволів:

• Електронна пошта акаунта — щоб показати, який Google-акаунт підключено, і не допустити дублювання підключень.
• Список календарів (лише читання) — ми читаємо лише назви та кольори ваших календарів, щоб ви могли обрати, у який із них записувати події. Вміст самих подій ми при цьому не читаємо.
• Події у власних календарях — створення, оновлення та видалення подій у календарях, якими ви володієте, виключно для відображення сесій Кушетки.

Технічні назви дозволів: openid, userinfo.email, calendar.calendarlist.readonly, calendar.events.owned.

Як ми використовуємо ці дані

• Створюємо подію в календарі, коли ви створюєте сесію в Кушетці.
• Оновлюємо подію, коли змінюється час сесії.
• Видаляємо подію, коли сесію скасовано.
• Показуємо наявні події з обраних вами календарів у дашборді, щоб ви бачили зайнятість і не створювали накладок.

Чого ми НЕ робимо

• Не зберігаємо вміст ваших Google-подій у нашій базі даних.
• Не передаємо дані Google третім особам.
• Не використовуємо дані Google для реклами чи навчання моделей штучного інтелекту.
• Не передаємо у Google жодної медичної інформації, діагнозів чи нотаток.

Два режими назв подій

• Нейтральний (за замовчуванням) — у Google потрапляє лише текст «Сесія · Кушетка» та час. Жодних персональних даних клієнта.
• Повне ім'я (за вибором) — спеціаліст може увімкнути додавання імені клієнта в назву події. Це вимикач, вимкнений за замовчуванням, доступний лише після явного підтвердження згоди, що дані залишать територію ЄС і що спеціаліст має поінформовану згоду клієнта на таку передачу.

Зберігання токенів і відкликання доступу

Токени, що дають доступ до вашого календаря, зберігаються в зашифрованому вигляді та ніколи не передаються у браузер. Ви можете будь-коли відкликати доступ:

• у налаштуваннях Кушетки («Відключити Google Calendar»);
• на сторінці myaccount.google.com/permissions.

Дані використовуються виключно для надання сервісу: ведення клієнтів, сесій, нотаток і тестів, синхронізації календаря (за вашим вибором), забезпечення безпеки облікового запису та відправлення транзакційних листів (підтвердження, скидання пароля). Ми не продаємо персональні дані та не використовуємо їх для реклами.

Правові підстави. Дані облікового запису ми обробляємо для виконання договору між вами та Оператором — ним є прийняті вами Умови використання (договір приєднання, ст. 634 Цивільного кодексу України; ст. 6(1)(b) GDPR). Журнали безпеки, аудит-лог, IP-адресу та user-agent ми обробляємо на підставі законного інтересу в захисті платформи від зловживань (ст. 6(1)(f) GDPR). Транзакційні листи (підтвердження, скидання пароля) — для виконання того самого договору. Дані про клієнтів ми обробляємо виключно як обробник за інструкціями спеціаліста-володільця; правовою підставою обробки даних про стан здоров'я (особлива категорія, ст. 9 GDPR) є явна згода клієнта, отримання якої забезпечує спеціаліст.

Ми застосовуємо технічні та організаційні заходи, співмірні з чутливістю даних, які обробляє платформа:

• Шифрування — чутливі дані (нотатки, інформація про клієнтів, токени інтеграцій) шифруються алгоритмом AES-256-GCM. Для кожної організації використовується окремий ключ шифрування, тож дані різних організацій криптографічно ізольовані одні від одних.
• Ізоляція на рівні БД — доступ до рядків бази даних обмежений політиками row-level security: кожна організація бачить лише власні дані.
• Аудит-лог — зміни чутливих даних фіксуються в журналі на рівні бази даних, який неможливо обійти з боку застосунку.
• Контроль доступу — двофакторна автентифікація (TOTP), тайм-аут сесії за неактивності, одноразові refresh-токени.
• Резиденція даних — інфраструктура розташована в ЄС (Франкфурт, Німеччина).

Докладніше про наш підхід до безпеки — на сторінці Безпека.

Cookies. Ми використовуємо лише технічно необхідні cookies для автентифікації та безпеки сесії (зокрема одноразові refresh-токени, згадані вище). Рекламних чи трекінгових cookies немає, і згода на них не потрібна.

Попри вжиті заходи, жодна система не захищена абсолютно. Якщо станеться порушення захисту персональних даних, яке ймовірно спричинить ризик для прав і свобод осіб (зокрема, загрозу недоторканності приватного життя), ми:

• повідомимо відповідних користувачів (а щодо даних клієнтів — вас як володільця) упродовж 72 годин з моменту підтвердження (верифікації) факту інциденту;
• опишемо характер порушення, орієнтовний обсяг зачеплених даних, ужиті та рекомендовані заходи із пом'якшення наслідків;
• щодо даних облікового запису, де ми є володільцем, — виконаємо обов'язки щодо повідомлення наглядового органу у строки, передбачені застосовним законодавством; щодо даних клієнтів ми повідомляємо про це вас як володільця, щоб ви могли вчасно виконати власні обов'язки перед наглядовим органом.

Звернення до правоохоронних органів. У разі виявлення ознак кримінального правопорушення (кібератаки, несанкціонованого доступу) ми залишаємо за собою право звернутися до уповноважених правоохоронних органів (зокрема, кіберполіції) для фіксації інциденту та захисту інтересів компанії та наших користувачів.

Ми не продаємо ваші дані. Для роботи сервісу ми залучаємо надійних постачальників, які діють як субобробники за нашими інструкціями:

• Supabase — база даних, автентифікація, сховище файлів (регіон ЄС).
• Vercel — хостинг застосунку.
• Resend — доставка транзакційних листів.
• Sentry — моніторинг помилок (з фільтрацією чутливих полів).
• Google — лише за умови підключення інтеграції з Google Calendar (див. розділ 2).

Зміна складу субобробників. Про намір залучити нового субобробника ми повідомимо щонайменше за 14 днів — електронною поштою або повідомленням у застосунку. Протягом цього строку ви маєте право заперечити з обґрунтованих підстав захисту даних. Якщо ми не зможемо усунути ваше заперечення, ви можете закрити акаунт і експортувати дані до залучення нового субобробника.

Міжнародні передачі. За замовчуванням персональні дані зберігаються та обробляються в межах ЄЕЗ. Якщо окремий субобробник обробляє дані поза межами ЄЕЗ, така передача здійснюється на підставі Стандартних договірних положень ЄС (SCC) та/або сертифікації постачальника за EU-U.S. Data Privacy Framework (DPF). Передача імені клієнта до Google у режимі «повне ім'я» (розділ 2) здійснюється лише за окремою підтвердженою згодою спеціаліста і спирається на DPF-сертифікацію Google LLC.

Персональні дані зберігаються та обробляються в межах Європейського Союзу (Франкфурт, Німеччина). За замовчуванням персональні дані не залишають територію ЄС. Єдиний виняток — добровільне увімкнення режиму «повне ім'я» в інтеграції з Google Calendar (розділ 2), яке вимагає окремої підтвердженої згоди.

Відповідно до GDPR і Закону України «Про захист персональних даних» ви маєте право на доступ до своїх даних, їх виправлення, видалення, обмеження обробки, перенесення (експорт у машиночитаному форматі) та заперечення проти передачі за межі ЄС. Видалення реалізується знеособленням персональних полів зі збереженням мінімального аудит-сліду, необхідного за законом.

Ви також маєте право будь-коли відкликати надану згоду (це не впливає на законність обробки до відкликання) і право подати скаргу до наглядового органу з питань захисту персональних даних.

Якщо клієнт спеціаліста — неповнолітній, законність обробки його даних і отримання необхідної згоди батьків чи опікунів забезпечує спеціаліст як володілець цих даних.

Ми зберігаємо дані стільки, скільки активний ваш обліковий запис або цього вимагає закон. Конкретні строки:

• Після закриття акаунта — дані залишаються доступними для експорту протягом 30 днів, після чого персональні поля знеособлюються (PII обнуляється).
• Аудит-лог — зберігається до 12 місяців для цілей безпеки та виконання вимог закону, після чого видаляється або знеособлюється.
• Знеособлені записи не стираються повністю, щоб зберегти цілісність аудит-журналу.

З питань конфіденційності та реалізації ваших прав пишіть на privacy@kushetka.work. Усі питання обробки та захисту персональних даних — на цю ж адресу; функції відповідальної особи з питань захисту даних виконує Оператор сервісу.