Політика Конфіденційності

1. Адміністратор Персональних Даних

Адміністратором ваших персональних даних є:

2. Обсяг Персональних Даних, що Збираються

У рамках надання послуг платформи Kiero OMS ми обробляємо такі категорії персональних даних:

• Ідентифікаційні та реєстраційні дані: ім'я, прізвище, адреса електронної пошти, зашифрований пароль (bcrypt), ідентифікатор користувача
• Дані компанії: назва організації, ідентифікаційний номер платника податків, REGON, KRS, адреса реєстрації, організаційно-правова форма діяльності
• Контактні дані: номер телефону, поштова адреса, контактні особи
• Технічні дані: IP-адреса, інформація про браузер та операційну систему, User Agent, часові мітки сесії, файли cookies та локальне сховище браузера
• Транзакційні та операційні дані: історія замовлень, дані клієнтів, товари, залишки на складі, документи (рахунки-фактури, накладні), етикетки для відправлень – внесені Користувачем у процесі використання платформи
• Платіжні дані: історія транзакцій, тарифний план підписки, історія рахунків-фактур – дані платіжних карток обробляються виключно PayU S.A. і не зберігаються Kiero OMS

3. Мета та Правова Підстава Обробки

Персональні дані ми обробляємо на таких правових підставах та з такими цілями:

4. Строки Зберігання Даних

• Дані акаунта та профілю користувача: протягом усього строку дії договору та 30 днів після видалення акаунта (строк утримання для можливого відновлення); після цього – назавжди видаляються
• Бухгалтерські документи (рахунки-фактури ПДВ, коригування): 5 років від кінця податкового року відповідно до Закону про бухгалтерський облік та Податкового кодексу
• Маркетингові дані (згоди, підписки на розсилку): до моменту відкликання згоди Користувачем або видалення акаунта
• Системні журнали, журнали подій та записи безпеки: 90 днів, після чого автоматично видаляються
• Резервні копії бази даних: автоматично створюються кожні 24 години, зберігаються протягом 30 днів, після чого назавжди видаляються

Після видалення акаунта всі операційні дані (замовлення, товари, клієнти) назавжди та незворотно видаляються з серверів Kiero OMS протягом 30 днів, за винятком даних, зберігання яких вимагається законодавством.

5. Передача та Доручення Обробки Персональних Даних

Персональні дані можуть передаватися або доручатися для обробки виключно таким категоріям одержувачів на підставі відповідних договорів про обробку даних:

• Інфраструктура та хостинг: Supabase Inc. (база даних PostgreSQL, зберігання файлів – сервери в регіоні ЄС), Cloudflare Inc. (CDN, захист від DDoS, управління DNS) – дані обробляються відповідно до Стандартних договірних клаузул ЄК
• Оператор платежів: PayU S.A. з головним офісом у Познані, Польща (KRS 0000274399) – виключно транзакційні дані, необхідні для обробки платежів; дані платіжних карток обробляються безпосередньо PayU у середовищі, сертифікованому за стандартом PCI-DSS
• Аналітичні сервіси та моніторинг: інструменти для моніторингу продуктивності системи та безпеки (дані анонімізовані або псевдонімізовані); постачальники послуг електронної пошти для транзакційних комунікацій
• Органи державної влади та суди: Податкова служба, ZUS (Управління соціального страхування), правоохоронні органи – виключно на підставі чинного законодавства, на письмовий запит уповноваженого органу

Усі обробники та субобробники зобов'язані договорами про обробку даних застосовувати належні технічні та організаційні заходи захисту даних відповідно до GDPR. Ми не продаємо персональні дані жодним третім сторонам у комерційних цілях.

6. Передача Даних за межі Європейського Економічного Простору (ЄЕП)

Деякі наші постачальники інфраструктури (Cloudflare) можуть обробляти дані в країнах за межами Європейського Економічного Простору. У кожному такому випадку ми застосовуємо відповідні гарантії, що забезпечують належний рівень захисту даних, зокрема: Стандартні договірні клаузули (SCC), затверджені Європейською Комісією (Рішення 2021/914/ЄС), рішення про адекватність захисту, видані Європейською Комісією. Supabase – наш провайдер бази даних – обробляє дані в регіоні ЄС (Франкфурт, eu-central-1).

7. Ваші Права у Сфері Захисту Персональних Даних

Відповідно до GDPR ви маєте такі права, які можете реалізувати, зв'язавшись з нами за адресою legal@ehub.studio:

• Право доступу (ст. 15 GDPR): право отримати підтвердження того, чи обробляємо ми ваші персональні дані, та отримати копію цих даних разом з інформацією про цілі та правові підстави обробки
• Право на виправлення (ст. 16 GDPR): право вимагати негайного виправлення неточних або доповнення неповних персональних даних
• Право на видалення / 'право бути забутим' (ст. 17 GDPR): право вимагати видалення персональних даних у випадках, передбачених GDPR; це не поширюється на дані, зберігання яких вимагається законодавством
• Право на обмеження обробки (ст. 18 GDPR): право вимагати обмеження обробки у разі оспорювання точності даних, відсутності правової підстави або подання заперечення проти обробки
• Право на перенесення даних (ст. 20 GDPR): право отримати свої дані в структурованому, широко використовуваному форматі (JSON/CSV) та передати їх іншому адміністратору; експорт доступний безпосередньо з панелі акаунта
• Право на заперечення (ст. 21 GDPR): право заперечити проти обробки на підставі законних інтересів адміністратора (ст. 6(1)(ф) GDPR), зокрема проти обробки з метою прямого маркетингу
• Право на відкликання згоди: право відкликати маркетингову згоду в будь-який час без шкоди для законності обробки, що здійснювалася до її відкликання
• Право на подання скарги: право подати скаргу до Голови Управління захисту персональних даних Польщі (UODO, вул. Ставки 2, 00-193 Варшава, uodo.gov.pl) або іншого компетентного наглядового органу держави-члена ЄС

Для реалізації вищезазначених прав просимо звертатись: legal@ehub.studio

8. Безпека Даних – Технічні та Організаційні Заходи

Ми застосовуємо багаторівневі заходи безпеки відповідно до ст. 32 GDPR та галузевих стандартів:

• Шифрування передачі: протокол TLS 1.2/1.3 (HTTPS) для всіх з'єднань між браузером і сервером; сертифікати SSL/TLS поновлюються автоматично
• Шифрування даних у стані спокою: база даних PostgreSQL (Supabase) з шифруванням AES-256 на рівні диска; чутливі поля (API-токени, ключі інтеграцій) додатково шифруються на рівні застосунку
• Контроль доступу: механізм Row Level Security (RLS) у базі даних, що забезпечує ізоляцію даних між організаціями; контроль доступу на основі ролей (RBAC); двофакторна автентифікація (2FA) доступна для акаунтів користувачів
• Резервні копії та безперервність роботи: автоматичні резервні копії бази даних кожні 24 години; реплікація даних; зберігання резервних копій протягом 30 днів; план відновлення після збоїв (Recovery Time Objective < 4 год)
• Моніторинг та виявлення загроз: реєстрація журналів подій безпеки; моніторинг аномалій та спроб несанкціонованого доступу; сповіщення про безпеку в режимі реального часу; регулярні перевірки безпеки
• Організаційні принципи: принцип мінімальних привілеїв (Principle of Least Privilege) при доступі до виробничих даних; політика управління вразливостями та оновленнями; процедура повідомлення про порушення захисту даних (сповіщення UODO протягом 72 годин після виявлення)

9. Файли Cookies та Технології Відстеження

Платформа Kiero OMS використовує файли cookies та подібні технології локального зберігання. Обов'язкові cookies (сесія користувача, автентифікація, мовні налаштування та тема оформлення) необхідні для належного функціонування сервісу і не потребують згоди. Аналітичні cookies (анонімні дані про спосіб використання платформи, продуктивність) можуть встановлюватися лише після надання згоди Користувачем. Ви можете керувати налаштуваннями cookies у параметрах акаунта або через налаштування браузера. Детальна інформація про використовувані файли cookies, строки їх зберігання та треті сторони, що мають до них доступ, міститься в Політиці Файлів Cookies, доступній у панелі налаштувань.

10. Зміни до цієї Політики Конфіденційності

Ця Політика Конфіденційності може оновлюватися у зв'язку зі змінами законодавства, рекомендаціями наглядових органів або розвитком послуг Kiero OMS. Про будь-які суттєві зміни Користувач буде повідомлений електронним листом на адресу, пов'язану з акаунтом, не менш ніж за 14 днів до набрання змін чинності. Актуальна версія Політики Конфіденційності завжди доступна за адресою kiero-oms.pl/uk/privacy. Дату останнього оновлення ви знайдете у верхній частині цього документа.

11. Контакт у Питаннях Захисту Даних