Володілець персональних даних: ТОВАРИСТВО З ОБМЕЖЕНОЮ ВІДПОВІДАЛЬНІСТЮ «ТАЙСТРА ГРУП» Редакція: 1.0 · Чинна з: [П-03] · Опубліковано за адресою: https://legal.taistra.group/privacy
| Повне найменування | Товариство з обмеженою відповідальністю «ТАЙСТРА ГРУП» |
| Код ЄДРПОУ | 35837327 |
| Місцезнаходження | 58001, Україна, м. Чернівці, вул. Нагірна, 7Д |
| Електронна пошта для питань щодо персональних даних | privacy@taistra.ua |
| Телефон | [П-05] |
| Відповідальна особа за організацію захисту персональних даних | [П-09] |
ТОВ «Тайстра Груп» є володільцем ваших персональних даних у розумінні Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI (далі — Закон).
Ця Політика стосується мобільного застосунку Картка покупця (iOS та Android) і програми лояльності програма лояльності Тайстра. Вона не стосується сторонніх сайтів і сервісів, на які застосунок може посилатися.
Підстави обробки наведені за статтею 11 Закону. Там, де підставою є згода, ви можете не надавати її — і все одно користуватися застосунком та програмою лояльності.
| # | Дані | Для чого | Підстава (ст. 11 Закону) | Чи можна відмовитись |
|---|---|---|---|---|
| 1 | Номер мобільного телефону | ваш єдиний ідентифікатор; вхід; підтвердження дій одноразовим кодом (SMS) | п. 3 — укладення і виконання правочину (ви акцептуєте Правила програми) | ні — без нього акаунт неможливий |
| 2 | Ім'я (звертання) — за бажанням | звертання в застосунку і на касі | п. 3 | так, поле необов'язкове |
| 3 | Дата народження — за бажанням | вікове підтвердження та механіки до дня народження | п. 3 | так, поле необов'язкове |
| 4 | Електронна пошта — за бажанням | надсилання електронних чеків і відповідей на звернення | п. 3 | так, поле необов'язкове |
| 5 | Обраний магазин | показ цін і залишків саме вашого магазину | п. 3 | ні (можна змінити будь-коли) |
| 6 | Історія покупок за вашою карткою: дата, магазин, перелік товарів, суми, надані знижки, номер розрахункового документа | нарахування переваг програми; показ історії та електронних чеків; повернення товару | п. 3 | ні — це суть програми |
| 7 | Розрахункові (фіскальні) дані чеків | зберігання первинних документів | п. 5 — виконання обов'язку, покладеного законом (п. 44.3 ст. 44 Податкового кодексу України) | ні, вимога закону |
| 8 | Технічні дані: ідентифікатор встановлення застосунку, модель пристрою, версія ОС і застосунку, IP-адреса, час звернень | працездатність, діагностика збоїв, захист від зловживань і накрутки | п. 6 — законний інтерес володільця | ні |
| 9 | Журнал згод: яку згоду, коли, з якої версії документа, з якого пристрою/IP | доведення правомірності обробки | п. 5 і п. 6 | ні |
| 10 | Токен push-сповіщень | доставка сповіщень на пристрій | п. 3 (сервісні) / п. 1 — згода (рекламні) | так, для рекламних |
| 11 | Згода на маркетингові повідомлення (SMS, push, e-mail, Viber) | акції, персональні пропозиції | п. 1 — згода + ч. 2 ст. 10 Закону України «Про електронну комерцію» № 675-VIII | так, окрема галочка, вимкнена за замовчуванням |
| 12 | Згода на персональні пропозиції (профілювання) — аналіз історії покупок для добору пропозицій саме вам | персоналізація | п. 1 — згода | так, окрема галочка, вимкнена за замовчуванням |
Ми не купуємо бази контактів і не отримуємо ваші дані від рекламних брокерів.
Ми не продаємо персональні дані. Ми залучаємо розпорядників — компанії, які обробляють дані за нашим дорученням і лише в межах цього доручення (ст. 4, ст. 10 Закону).
| Кому | Що саме отримує | Для чого | Де розміщені сервери |
|---|---|---|---|
| [П-07] — оператор SMS-розсилки | номер телефону, текст повідомлення | доставка одноразових кодів і, за наявності вашої згоди, рекламних SMS | [П-07-країна] |
| Hetzner Online GmbH — хостинг-провайдер | усі дані, що зберігаються на сервері (у зашифрованому вигляді) | розміщення серверів | Німеччина (DE), дата-центр Falkenstein |
| Google LLC — Firebase Cloud Messaging | токен пристрою, заголовок сповіщення | доставка push-сповіщень | США / ЄС |
| [П-12] — сервіс діагностики збоїв (Sentry) | технічні дані про помилку, ідентифікатор встановлення; без номера телефону й імені | усунення несправностей застосунку | [П-12-країна] |
| Apple Inc. / Google LLC | факт встановлення застосунку, знеособлені дані магазину застосунків | розповсюдження застосунку | США |
🔴 Цей перелік — поіменний навмисно. Додавання нового сервісу, що отримує персональні дані, є зміною цієї Політики, а не технічним налаштуванням.
Крім того, дані можуть бути передані: - органам державної влади — у випадках і в порядку, прямо передбачених законом; - нашим представникам у спорі (адвокати, суд) — у межах захисту наших прав.
Частина зазначених сервісів розміщена у США. США не належать до держав, які за ч. 3 ст. 29 Закону визнаються такими, що забезпечують належний рівень захисту персональних даних.
Передача до них здійснюється на підставі ч. 4 ст. 29 Закону — як необхідна для виконання правочину між вами і нами (доставка сповіщень, робота застосунку) і за умови, що ми: - передаємо мінімально необхідний обсяг (для push — лише технічний токен і заголовок; текст сповіщення не містить ваших персональних даних); - вимикаємо збір персональних даних у сервісі діагностики збоїв; - уклали з провайдерами договори, що обмежують використання даних нашим дорученням.
Якщо ви не бажаєте такої передачі — не вмикайте push-сповіщення; решта функцій працюватиме.
| Категорія | Строк зберігання | Чому саме стільки |
|---|---|---|
| Профіль (телефон, ім'я, дата народження, e-mail), налаштування | весь час існування акаунта і 3 роки після його видалення | загальна позовна давність, ст. 257 Цивільного кодексу України |
| Бонусний рахунок і реєстр нарахувань (з моменту запуску бонусного модуля) | весь час існування акаунта + 3 роки | те саме |
| Історія покупок, привʼязана до особи | весь час існування акаунта; при видаленні акаунта — знеособлюється | після знеособлення це вже не персональні дані (ст. 2 Закону) |
| Розрахункові (фіскальні) дані чеків — знеособлено | 1095 днів з дати операції | п. 44.3 ст. 44 Податкового кодексу України |
| Журнал згод і відкликань | весь час обробки + 3 роки | доведення правомірності обробки |
| Технічні журнали (логи доступу) | 90 днів | розслідування інцидентів безпеки |
| Знеособлена аналітика поведінки | до 24 місяців, далі — тільки в агрегованому вигляді | мінімізація (ч. 3 ст. 6 Закону) |
| Геолокація | не зберігається взагалі | — |
Після спливу строку дані знищуються або знеособлюються.
Стаття 8 Закону дає вам право:
| Право | Найшвидший спосіб |
|---|---|
| Виправити ім'я, дату народження, e-mail | Профіль → Мої дані |
| Відкликати згоду на маркетинг чи персональні пропозиції | Профіль → Згоди → вимкнути перемикач (діє одразу, без листування) |
| Отримати копію своїх даних | Профіль → Мої дані → Запросити копію, або лист на privacy@taistra.ua |
| Видалити акаунт | Профіль → Видалити акаунт, або сторінка https://legal.taistra.group/account-deletion |
| Усе інше | лист на privacy@taistra.ua — відповідь протягом 30 календарних днів |
Відкликання згоди так само просте, як її надання — одним перемикачем у застосунку. Відкликання не впливає на законність обробки, що відбувалася до відкликання, і не позбавляє вас участі в програмі лояльності.
Скарга: Уповноважений Верховної Ради України з прав людини — ombudsman.gov.ua.
Ви можете видалити акаунт у самому застосунку (Профіль → Видалити акаунт) або на веб-сторінці https://legal.taistra.group/account-deletion, навіть якщо ви вже видалили застосунок із телефону.
Видалення ≠ стирання всього. Частина даних за законом має зберігатися, але вона відв'язується від вашої особи. Детальний перелік — у розділі 4 та на сторінці видалення.
Відповідно до ч. 1 ст. 24 Закону ми вживаємо, зокрема, таких заходів: - передача даних між застосунком і сервером — лише захищеним каналом (TLS); - шифрування чутливих полів у базі даних; - доступ працівників — за принципом мінімально необхідних повноважень, з журналюванням; - окремий технічний обліковий запис для застосунку, без доступу до інших систем компанії; - регулярне резервне копіювання і перевірка відновлення; - розмежування середовищ розробки й експлуатації; заборона використання реальних даних покупців у тестових середовищах; - внутрішній Порядок обробки персональних даних і призначена відповідальна особа.
Жодна система не дає абсолютної гарантії. Якщо станеться витік, що створює ризик для ваших прав, ми повідомимо вас доступними каналами.
Учасником програми і користувачем застосунку може бути особа, якій виповнилося [П-11] років. Ми свідомо не збираємо дані осіб молодшого віку. Якщо нам стане відомо про такий акаунт, він буде видалений. Якщо ви вважаєте, що ми обробляємо дані вашої дитини, напишіть на privacy@taistra.ua.
Ми можемо змінювати цю Політику. Нова редакція публікується за адресою https://legal.taistra.group/privacy із зазначенням дати набрання чинності; попередні редакції залишаються доступними за постійними посиланнями.
Про зміни, що стосуються мети обробки, переліку даних або переліку третіх осіб, ми повідомляємо вас у застосунку не пізніше ніж за 10 днів до набрання чинності. Якщо зміна мети є несумісною з попередньою, ми запитуємо нову згоду (абз. 3 ч. 1 ст. 6 Закону), а не вважаємо мовчання згодою.
До цієї Політики застосовується законодавство України, зокрема Закон України «Про захист персональних даних» № 2297-VI, Закон України «Про електронну комерцію» № 675-VIII, Закон України «Про захист прав споживачів» № 1023-XII, Цивільний і Податковий кодекси України.
Редакція 1.0 від [П-03]. Попередніх редакцій немає.