Редакція від «12» жовтня 2026 року. Набирає чинності з дати публікації.
Попередня редакція — від «01» жовтня 2026 року.
1. Загальні положення
1.1. Ця Політика конфіденційності (далі — «Політика») пояснює, які персональні дані збираються під час користування мобільним застосунком WordCraft (iOS та Android), вебсайтом https://surdo.org.ua, вебкабінетами відповідальних осіб організацій, віджетом WordCraft на вебсайтах організацій, сторінками виклику персоналу та повʼязаними вебсторінками на доменах surdo.org.ua і word-craft.surdo.org.ua (далі разом — «Сервіс»). Вона також пояснює, з якою метою й на яких підставах ці дані обробляються, кому передаються та які права має користувач.
1.2. Володільцем персональних даних та оператором Сервісу є ТОВ «ВОРДКРАФТ», код ЄДРПОУ 43677030, місцезнаходження: Україна, 65017, Одеська обл., м. Одеса, вул. Квітнева, буд. 22 (далі — «Компанія», «ми»). Контакти з питань персональних даних: e-mail wordcraft@surdo.org.ua, тел. +380505405411. Компанія офіційно зареєстрована як надавач соціальної послуги перекладу жестовою мовою (Реєстр надавачів та отримувачів соціальних послуг, рішення № 2501521 від 30.07.2025); Сервіс побудовано за вимогами Державного стандарту соціальної послуги перекладу жестовою мовою до дистанційного перекладу (наказ Мінсоцполітики України від 06.05.2021 № 220).
1.3. Політика поширюється на всіх користувачів Сервісу:
— зареєстрованих користувачів (зокрема працівників організацій-партнерів);
— перекладачів жестової мови;
— відповідальних осіб організацій;
— працівників організацій, які отримують виклики персоналу;
— відвідувачів, які користуються гостьовим доступом або кнопкою виклику персоналу без реєстрації.
Політика також поширюється на відвідувачів вебсайту і на представників організацій, яким Компанія надсилає листи про свої послуги (пункт 3.14).
1.4. Обробка персональних даних здійснюється відповідно до Закону України «Про захист персональних даних» №2297-VI. Щодо користувачів, які перебувають у Європейській економічній зоні, — з урахуванням принципів Регламенту (ЄС) 2016/679 (GDPR).
1.5. Користуючись Сервісом, ви підтверджуєте ознайомлення з цією Політикою. Згода на обробку персональних даних надається окремо: під час реєстрації (позначення відповідних згод) або, для гостьового доступу, шляхом початку користування ним. Згода на запис Зустрічі чи Виклику із сайту надається окремо і кожного разу (розділ 4). Якщо ви не згодні з Політикою — будь ласка, не користуйтеся Сервісом.
1.6. Ми можемо оновлювати Політику. Нова редакція публікується на цій сторінці із зазначенням дати; про суттєві зміни ми додатково повідомляємо у застосунку або електронною поштою. Продовження користування Сервісом після набрання чинності новою редакцією означає ознайомлення з нею.
1.7. Окрема категорія даних — дані про осіб, яких організація запрошує на Зустріч і вносить до Сервісу самостійно (пункт 3.10). Щодо цих даних Володільцем є організація: саме вона визначає мету та правову підставу їх обробки і відповідає за правомірність їх внесення. Роль Компанії щодо цих даних залежить від того, ким є організація:
— якщо організація є юридичною особою приватного права, Компанія діє як Розпорядник — обробляє ці дані за дорученням та в інтересах організації на підставі договору, укладеного в письмовій формі (частина четверта статті 4 Закону України «Про захист персональних даних»);
— якщо організацією є орган державної влади, інший державний орган або орган місцевого самоврядування, Компанія Розпорядником не виступає. Частиною третьою статті 4 зазначеного Закону встановлено, що розпорядником персональних даних, володільцем яких є орган державної влади чи орган місцевого самоврядування, крім цих органів, може бути лише підприємство державної або комунальної форми власності. У таких відносинах Компанія є Одержувачем цих даних і обробляє їх виключно в обсязі, необхідному для надсилання запрошення та проведення Зустрічі. Розмежування відповідальності сторін визначається договором з такою організацією.
2. Терміни
— Персональні дані — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.
— Обробка — будь-яка дія або сукупність дій з персональними даними: збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання, поширення, знеособлення, знищення.
— Володілець — особа, яка визначає мету обробки персональних даних, встановлює склад цих даних та процедури їх обробки (стаття 2 Закону України «Про захист персональних даних»); у розумінні GDPR — контролер, тобто особа, яка визначає мету і засоби обробки.
— Розпорядник (процесор) — особа, якій Володілець доручив обробку персональних даних від його імені (перелік — у розділі 8).
— Одержувач — особа, якій надаються персональні дані, у тому числі третя особа (стаття 2 Закону України «Про захист персональних даних»). Терміни «Володілець» і «Розпорядник» у цій Політиці стосуються виключно обробки персональних даних. Вони не повʼязані з поняттями володільця та розпорядника інформаційно-комунікаційної системи в законодавстві про захист інформації в інформаційно-комунікаційних системах.
— Користувач — фізична особа, що користується Сервісом: зареєстрований користувач, перекладач, відповідальна особа, працівник, який отримує виклики персоналу, або гість.
— Гість — особа, яка користується Сервісом без створення облікового запису: викликає перекладача за гостьовим доступом, бере участь у Зустрічі за персональним посиланням-запрошенням або кличе працівника організації кнопкою виклику персоналу.
— Організація — юридична особа, що уклала з Компанією договір про надання послуг перекладу жестовою мовою для своїх працівників і відвідувачів.
— Відповідальна особа — працівник Організації, уповноважений нею проводити Зустрічі та/або приймати Виклики із сайту і користуватися Вебкабінетом.
— Зустріч — заздалегідь запланована відеозустріч за участю відповідальної особи Організації, перекладача жестової мови та запрошеної особи (гостя).
— Виклик із сайту — відеовиклик перекладача жестової мови, який особа здійснює через віджет на вебсайті організації, її посилання або QR-код. До такого виклику разом із перекладачем приєднується відповідальна особа організації — у Вебкабінеті викликів або в застосунку. Виклик за табличкою організації, призначеною лише для звʼязку з перекладачем, Викликом із сайту не є.
— Вебкабінет — вебсторінки Сервісу для відповідальних осіб. Їх два:
— Вебкабінет зустрічей — для планування й проведення Зустрічей і доступу до Записів зустрічей;
— Вебкабінет викликів — для прийому Викликів із сайту, ведення журналу викликів і доступу до Записів викликів.
— Запис — відео- та аудіозапис Зустрічі («Запис зустрічі») або Виклику із сайту («Запис виклику»), створений засобами Сервісу виключно за згодою всіх учасників.
— Виклик персоналу — функція, за якою відвідувач, відсканувавши QR-код або NFC-мітку біля входу до приміщення організації, кличе працівника цієї організації. Відеозвʼязку при цьому немає.
— Жива картка — сповіщення на екрані блокування пристрою, що показує стан виклику персоналу або запланованого перекладу: на iPhone — Live Activity, на Android — закріплене сповіщення.
— Двостороннє шифрування — шифрування даних на всіх ділянках передавання: від пристрою до сервера і від сервера до пристрою. Для службових даних застосовується протокол TLS (версії 1.2 та 1.3), для аудіо- та відеопотоку — DTLS-SRTP відповідно до вимог стандарту WebRTC.
3. Які дані ми збираємо
3.1. Дані реєстрації. При реєстрації облікового запису ми збираємо:
— імʼя та прізвище;
— адресу електронної пошти (підтверджується одноразовим кодом);
— номер телефону;
— пароль. Він зберігається виключно в захищеному (хешованому) вигляді; ми не маємо доступу до вашого пароля у відкритому вигляді.
3.2. Дані профілю. За вашим бажанням ви можете додати фотографію профілю (аватар). Її бачать інші учасники ваших дзвінків і Зустрічей та колеги в організації. Фотографію можна будь-коли змінити або видалити в профілі.
3.3. Дані про організацію. Для працівників організацій ми обробляємо:
— належність до організації;
— роль у Сервісі (користувач, перекладач);
— ознаку відповідальної особи організації, зокрема роль «Дзвінки з QR» — прийом Викликів із сайту;
— ознаку доступу до Вебкабінету;
— для працівників, які отримують виклики персоналу, — локації, за якими вони закріплені (пункт 3.17).
Ці дані зʼявляються після доєднання до організації (сканування наданого організацією QR-коду) і потрібні для надання послуг за договором з організацією.
Службові контактні дані відповідальної особи (службова електронна пошта, службовий телефон) вносяться до Сервісу за поданням організації. Щодо таких даних кожна сторона є володільцем у своїй частині:
— організація — як роботодавець, який визначає коло своїх відповідальних осіб і відповідає за актуальність переліку та за своєчасне повідомлення Компанії про припинення повноважень працівника;
— Компанія — у частині, необхідній для надання доступу до Вебкабінету та ведення обліку Зустрічей і Викликів із сайту.
3.4. Дані про користування. Ми обробляємо службову інформацію про користування Сервісом:
— метадані дзвінків: час початку, прийняття та завершення, учасники, статус дзвінка;
— заявки на планування перекладу: дата, час, коментар до заявки, учасники, статуси;
— метадані Зустрічей: запланований час, склад учасників, статус, час приєднання та виходу кожного учасника;
— журнал Викликів із сайту (пункт 3.15);
— добровільні оцінки якості дзвінка: оцінка 1–5, причина в разі низької оцінки, коментар. Відповідальна особа може так само оцінити Виклик із сайту, але абоненту ця оцінка не надходить;
— стрічку сповіщень у застосунку.
3.5. Гостьовий виклик перекладача. Під час гостьового виклику перекладача (без реєстрації) ми обробляємо:
— імʼя, яке гість вказує в застосунку самостійно;
— технічний ідентифікатор пристрою, який надає операційна система (пункт 3.6);
— тимчасовий випадковий ідентифікатор гостя для відеозвʼязку, який створюється для кожного дзвінка;
— дату, час і тривалість дзвінка.
Ідентифікатор пристрою потрібен для трьох речей:
— для обліку безкоштовної добової квоти перекладу (25 хвилин на добу на пристрій);
— для статистики використання точок доступу організації (пункт 3.6);
— щоб автоматично скасувати попередній незавершений виклик із того самого пристрою.
Імʼя гостя відображається перекладачу під час дзвінка. У Виклику із сайту його також бачать відповідальні особи організації (пункт 3.15). Імʼя зберігається у службовому записі про дзвінок.
Обліковий запис для гостя не створюється, електронна пошта і телефон не запитуються. Участь гостя у запланованій Зустрічі описана в пункті 3.8.
3.6. Технічні дані. Деякі дані ми отримуємо автоматично:
— Токени сповіщень. Це push-токени пристрою (Firebase, Apple, VoIP) — для доставки сповіщень і вхідних дзвінків — та токени живих карток на iPhone (пункт 3.18).
— Відомості про пристрій і застосунок. Це технічний ідентифікатор пристрою, який надає операційна система (на iOS — ідентифікатор постачальника застосунку, на Android — системний ідентифікатор), тип платформи (iOS чи Android), стан каналів сповіщень на пристрої і версія застосунку. Вони потрібні для доставки сповіщень, обліку гостьової квоти і для перевірки, чи підтримує застосунок учасника запит згоди на запис.
— Службові журнали серверів. Вони містять IP-адресу, час запиту, адресу запитаної сторінки, відомості про браузер чи застосунок (User-Agent) і технічні коди відповідей. Адреса сторінки може містити токени посилань-запрошень, QR-кодів і посилань організацій. Журнали серверної частини також можуть фіксувати заголовки надісланих сповіщень (вони можуть містити імʼя співрозмовника) і технічні ідентифікатори пристроїв. Ці дані потрібні для безпеки та діагностики.
— Дані про якість зʼєднання. Модель пристрою, версію операційної системи, застосунку чи браузера та стан мережі отримує інфраструктура відеозвʼязку (пункт 8.1) — для забезпечення якості дзвінка. У разі збою застосунку ці дані отримує також сервіс звітів про збої (пункт 3.20). Модель пристрою на сервери Компанії не передається.
Коли ви переходите за смарт-посиланням організації (посилання, QR-код або NFC-мітка), фіксується подія переходу. Вона потрібна для статистики використання точок доступу й обліку квоти і містить:
— час, організацію і тип події;
— тип платформи (iOS, Android або інша);
— ознаку чинного договору організації;
— тривалість гостьового дзвінка;
— технічний ідентифікатор пристрою, якщо застосунок його передав.
Ці записи не містять вашого імені, номера телефону чи адреси електронної пошти.
3.7. Вебсайт. На вебсайті https://surdo.org.ua ми обробляємо такі дані.
Дані з форм. Ви вказуєте їх добровільно:
— «Форма договору»: імʼя, офіційна електронна пошта закладу, телефон, код ЄДРПОУ, посада й ПІБ керівника, рахунок IBAN, обраний тариф і промокод;
— «Консультація»: імʼя, електронна пошта, телефон;
— форма «Видалення акаунту» на сторінці https://surdo.org.ua/deleteaccount: електронна пошта облікового запису.
Дані з форм зберігаються на платформі вебсайту (Webflow, пункт 8.1). Вони надходять до Компанії для укладення договору, консультації чи виконання запиту на видалення.
Аналітика. Вебсайт використовує Google Analytics 4 (Google). Під час відвідування встановлюються файли cookie _ga і _ga_<ідентифікатор> строком до 2 років. Google отримує відомості про переглянуті сторінки, джерело переходу, тип пристрою і браузера та приблизне місцезнаходження, визначене за IP-адресою. Ми використовуємо ці відомості лише в узагальненому вигляді — щоб розуміти, які сторінки корисні відвідувачам. Заборонити ці cookie можна в налаштуваннях браузера або за допомогою доповнення Google Analytics Opt-out.
Сторонні ресурси. Вебсайт завантажує:
— шрифти Google Fonts;
— бібліотеки з мереж доставки контенту (Webflow, Cloudflare cdnjs);
— програвач YouTube (Google) — лише якщо ви натиснете на відео.
Ці сервіси отримують IP-адресу та відомості про браузер, а YouTube може встановити власні cookie.
Карта покриття. Публічна карта на вебсайті показує адреси й координати місць, де організації-партнери з чинним договором надають послугу, зокрема їхні юридичні адреси. Адресу показано так, як її зазначено в договорі, тож вона може містити номер квартири чи приміщення — наприклад, у фізичних осіб-підприємців. Назв організацій карта не показує.
Рекламних cookie та рекламних трекерів на вебсайті немає.
3.8. Участь у Зустрічі як гість, без реєстрації. Взяти участь у запланованій Зустрічі можна без створення облікового запису — за персональним посиланням-запрошенням, яке надсилає організація. При цьому ми обробляємо:
— імʼя, яке ви вводите самі в застосунку перед входом у Зустріч — воно показується іншим учасникам Зустрічі та зберігається на вашому пристрої, щоб не вводити його повторно;
— технічні дані зʼєднання, потрібні для передавання відео та звуку;
— факт і час приєднання до Зустрічі та виходу з неї.
Ми не просимо гостя надавати номер телефону, адресу електронної пошти, документи або створювати пароль. Безкоштовна добова квота (пункт 3.5) до участі у запланованій Зустрічі не застосовується. Посилання-запрошення персональне: кожен, хто ним скористається, потрапить до вашої Зустрічі. Воно діє до завершення Зустрічі та ще одну годину після нього, після чого стає недійсним.
3.9. Дані, повʼязані із записом. Якщо під час Зустрічі або Виклику із сайту запитувалась згода на запис, ми зберігаємо для кожного учасника:
— його рішення (згода або відмова);
— роль;
— імʼя, показане під час розмови (наприклад, «Гість: Олена»);
— технічний ідентифікатор учасника;
— ознаку пізнього приєднання;
— час запиту та час рішення.
Для Викликів із сайту ми також фіксуємо, що застосунок учасника підтримує запит згоди: версію застосунку та час звернення. Ці відомості потрібні, щоб у будь-який момент підтвердити правомірність запису, і зберігаються незалежно від того, чи запис зрештою відбувся. Сам Запис описаний у розділі 4.
На кожен запис Сервіс формує протокол зафіксованих згод у форматі PDF. Протокол містить:
— назву організації;
— імʼя, службову електронну пошту й телефон відповідальної особи;
— імена, ролі та номери телефонів учасників, які мають обліковий запис (зокрема перекладача);
— для Зустрічі — номер телефону запрошеної особи, якщо його внесла організація;
— час приєднання й виходу учасників, а для Виклику із сайту — час початку, прийняття й завершення виклику;
— відомості, перелічені на початку цього пункту, результат запису та його ідентифікатор.
Через 30 днів імʼя гостя у протоколі Виклику із сайту замінюється словом «гість».
Протокол Зустрічі долучається до листа з посиланням на Запис зустрічі, який надсилається відповідальній особі. Протокол Виклику із сайту формується на запит відповідальної особи, яка вела виклик, у Вебкабінеті викликів і в Сервісі не зберігається. Протокол слугує підтвердженням правомірності запису.
3.10. Дані про запрошених осіб, які вносить організація. Плануючи Зустріч, відповідальна особа організації може внести до Сервісу номер телефону, адресу електронної пошти та службову примітку щодо запрошеної особи — щоб надіслати їй запрошення та підготувати Зустріч. Щодо цих даних володільцем є організація, а роль Компанії визначається пунктом 1.7 і залежить від того, ким є організація. У будь-якому разі ми обробляємо ці дані лише в обсязі, потрібному для надсилання запрошення та проведення Зустрічі, і не використовуємо їх для власних цілей. Строк зберігання — пункт 9.3. Організація може в будь-який час звернутися до нас із вимогою видалити внесені нею дані щодо конкретної Зустрічі.
Відповідальна особа може також надіслати картку Зустрічі на вказану нею адресу електронної пошти. Картка містить учасників, час, посилання на Записи й протоколи згод. Адресу одержувача ми фіксуємо в журналі дій Вебкабінету.
3.11. Вхід до Вебкабінету та сеанс у ньому. Відповідальна особа входить до Вебкабінету, відсканувавши застосунком QR-код з екрана компʼютера. Якщо їй доступні обидва Вебкабінети, вона обирає, куди увійти.
Через QR-код передається лише одноразовий ідентифікатор сеансу входу — логін і пароль ним не передаються. Підтвердження входу відбувається у застосунку, де ви вже авторизовані. Для захисту від підміни вхід привʼязується до випадкового ідентифікатора браузера, який Вебкабінет зберігає у сховищі браузера; у базі даних зберігається лише його хеш.
Про сеанс ми зберігаємо:
— вид Вебкабінету;
— час створення та останньої активності;
— IP-адресу створення й останнього запиту;
— відомості про браузер (User-Agent);
— причину завершення сеансу.
Зміну IP-адреси під час сеансу ми фіксуємо в журналі безпеки (попередня й нова адреса). Сесійний токен у базі не зберігається, зберігається лише його хеш. Ці дані потрібні для безпеки — щоб виявити й розслідувати сторонній вхід. Про кожен вхід до Вебкабінету викликів на ваш телефон надходить сповіщення — щоб ви одразу помітили, якщо увійшов хтось інший.
3.12. Відновлення посилання після встановлення застосунку. Буває, що ви перейшли за посиланням-запрошенням чи посиланням організації, але застосунок ще не встановлений. Тоді ми допомагаємо не втратити контекст переходу — щоб після встановлення ви одразу потрапили туди, куди прямували, а не на порожній стартовий екран:
— на пристроях Android сервіс Google Play передає застосунку технічну мітку переходу. Застосунок звертається по неї після встановлення, доки не отримає мітку або доки ви не увійдете до облікового запису;
— на пристроях iOS сторінка переходу записує власну технічну мітку в буфер обміну, а застосунок одноразово, при першому запуску після встановлення, перевіряє текст у буфері обміну. Якщо там наша мітка відомого формату, застосунок використовує її й очищує буфер. Будь-який інший вміст застосунок не зберігає, не передає й не використовує, а буфер у такому разі не змінює. Повторних звернень до буфера обміну застосунок не робить.
Мітка містить лише параметри посилання, за яким ви прийшли (ідентифікатор організації та код її точки доступу), і не містить відомостей про вас.
3.13. Дані перекладачів. Для перекладачів жестової мови ми додатково обробляємо:
— графік роботи та доступність;
— статус зайнятості під час дзвінків;
— показники навантаження та якості перекладу;
— відомості, необхідні для оформлення відносин із Компанією відповідно до законодавства.
Імʼя перекладача бачать користувачі й відповідальні особи організації (зокрема в журналі Викликів із сайту). Номер телефону перекладача містить протокол згод на запис (пункт 3.9).
Перекладач, своєю чергою, бачить імʼя, фото профілю, організацію та номер телефону зареєстрованого користувача, з яким розмовляє або для якого виконує заявку.
3.14. Дані для розсилок. Надсилаючи представникам організацій листи про послуги WordCraft, ми обробляємо:
— робочу адресу електронної пошти;
— якщо вони відомі, імʼя, посаду й назву організації;
— джерело, з якого отримано адресу, і дату її внесення до списку розсилки;
— відомості про згоду на отримання листів: коли й у який спосіб її надано.
Сервіс розсилок фіксує доставлення листа, його відкриття, переходи за посиланнями, відписку й скаргу на спам.
3.15. Виклики із сайту та Вебкабінет викликів. Коли особа телефонує через віджет, посилання чи QR-код організації, до виклику, крім перекладача, приєднується відповідальна особа організації. Для цього ми обробляємо такі дані.
Про абонента:
— імʼя гостя (пункт 3.5) або, якщо телефонує зареєстрований користувач, його імʼя та фото профілю;
— ознаку, що абонент працює в цій організації;
— технічний ідентифікатор абонента у відеозвʼязку;
— хешований ідентифікатор пристрою абонента.
Журнал виклику:
— час надходження виклику;
— хто з відповідальних осіб і де (у Вебкабінеті чи в застосунку) отримав і прийняв виклик;
— хто з перекладачів приєднався;
— час очікування й розмови;
— результат (прийнято, пропущено, скасовано);
— хронологію подій.
Про відповідальну особу у Вебкабінеті викликів:
— стан прийому викликів: «на чергуванні», пауза, завершення та причина;
— регулярні технічні сигнали присутності сторінки (приблизно раз на 15 секунд). Вони показують, чи надано браузеру дозвіл на мікрофон і сповіщення, чи ввімкнено звук, чи відкрита вкладка, стан зʼєднання та ідентифікатор активного виклику.
Ці сигнали потрібні, щоб виклик дзвонив там, де людина справді може відповісти. Якщо сторінка не на звʼязку, виклик надходить на телефон.
Псевдонім у розмові. У розмові з компʼютера відповідальна особа бере участь під окремим технічним профілем (псевдонімом). Співрозмовники бачать її імʼя, фото профілю та назву організації. Після закінчення роботи псевдонім замінюється, а його профіль в інфраструктурі відеозвʼязку перезаписується нейтральним «Відповідальна особа».
Хто що бачить:
— Відповідальні особи організації бачать у журналі всі Виклики із сайту своєї організації (можна показати лише власні): дату й час, абонента («Гість: імʼя» або «Користувач: імʼя»), хто відповів, результат, час очікування й розмови та імʼя перекладача. Імʼя гостя в журналі показується 30 днів, далі — лише «Гість». Номер телефону, адресу електронної пошти, IP-адресу та ідентифікатор пристрою абонента журнал не показує.
— Адміністратори Компанії бачать, хто з відповідальних осіб організацій перебуває на чергуванні, і технічні сигнали, описані вище, — для підтримки.
Сповіщення. За вашим дозволом браузер показує у Вебкабінеті викликів системні сповіщення про вхідний виклик. Ні вони, ні push-сповіщення на телефон про виклики й стан Вебкабінету імені абонента не містять.
Сховище браузера. Вебкабінет зберігає в ньому лише технічні налаштування (зокрема вибрані камеру, мікрофон і динамік) та випадковий ідентифікатор браузера (пункт 3.11).
3.16. Запис Виклику із сайту. Виклик із сайту, який відповідальна особа веде у Вебкабінеті викликів, може бути записаний — лише за згодою всіх учасників і за правилами розділу 4. Дані про згоду — пункт 3.9.
3.17. Виклик персоналу. Відвідувач, відсканувавши QR-код або NFC-мітку біля входу до приміщення організації, відкриває в браузері сторінку виклику персоналу й може покликати працівника. Реєстрація, імʼя, номер телефону, камера, мікрофон чи геолокація для цього не потрібні.
Про відвідувача ми обробляємо:
— номер входу, час виклику та його статуси (прийнято, скасовано, завершено, без відповіді);
— ідентифікатор сеансу сторінки (діє 15 хвилин);
— хешований ідентифікатор браузера.
Ідентифікатор браузера сторінка створює випадково й зберігає у сховищі браузера. Ми використовуємо його хеш, щоб обмежити кількість викликів з одного пристрою (не більше 5 на годину). IP-адреса відвідувача обробляється сервером для захисту від зловживань і потрапляє до службових журналів (пункт 3.6). У сховищі браузера сторінка також зберігає останню відскановану локацію (назва, адреса, вхід) і налаштування мови та доступності.
Про працівників, які отримують виклики, ми обробляємо:
— імʼя та фото профілю;
— локації, за якими працівник закріплений, і хто його закріпив;
— прийняття виклику, відмову з причиною («зайнятий», «не на локації», «інше») і завершення;
— журнал подій локації з іменами виконавців.
Колеги на локації бачать імена, фото й доступність одне одного, а також хто прийняв виклик. Працівник бачить адресу електронної пошти власника облікового запису організації. Якщо виклик довго лишається без відповіді або всі працівники недоступні, повідомлення отримує власник облікового запису організації: push-сповіщенням або, якщо застосунку на телефоні в нього немає, листом.
Про локації ми обробляємо адреси, координати локації та входів, графік роботи, логотип, коди входів (QR/NFC) і відомості про те, хто їх створив.
Сторінка виклику персоналу показує відвідувачу назву організації та локації, адресу, вхід, логотип і графік роботи. Імена працівників відвідувачу не показуються.
3.18. Сповіщення та живі картки на екрані блокування. Push-сповіщення застосунку можуть містити службові відомості. Наприклад:
— імʼя співрозмовника;
— номер заявки й час перекладу;
— адресу локації та номер входу;
— імʼя колеги, який прийняв виклик персоналу.
Під час виклику персоналу і перед запланованим перекладом застосунок показує на екрані блокування живу картку:
— для виклику персоналу — адресу, вхід і імʼя працівника, який прийняв виклик;
— для запланованого перекладу — імʼя співрозмовника (клієнта чи перекладача), коментар до заявки та час.
Ці відомості видно на екрані блокування без розблокування пристрою. Кнопки «Прийняти» та «Відхилити» на картці виклику персоналу діють без відкриття застосунку. Показ сповіщень на екрані блокування і живі картки можна вимкнути в налаштуваннях пристрою.
Для живих карток на iPhone ми зберігаємо токени, які видає Apple, і надсилаємо оновлення карток безпосередньо через службу Apple Push Notification service. На Android картки надходять через Firebase Cloud Messaging.
3.19. Геолокація. Застосунок запитує доступ до точного місцезнаходження лише в розділі виклику персоналу — коли працівник, налаштовуючи локацію чи вхід, натискає на карті «Моя позиція». Отримані координати потрібні лише для того, щоб показати ваше розташування на карті. На сервер передається тільки точка, яку ви самі підтвердили як місце локації чи входу. Постійного чи фонового відстеження місцезнаходження застосунок не здійснює. Карти завантажуються з картографічних сервісів (пункт 8.1), які бачать IP-адресу і ділянку карти, що переглядається.
3.20. Звіти про збої. Якщо застосунок аварійно завершує роботу або не вдається встановити дзвінок, він надсилає звіт до сервісу Firebase Crashlytics (Google). Звіт містить:
— модель пристрою, версію операційної системи й застосунку;
— технічний опис помилки;
— для збоїв дзвінка — до 150 останніх рядків технічного журналу застосунку.
Ці рядки можуть містити внутрішні ідентифікатори користувачів, адреси запитів до сервера (зокрема текст пошуку адреси) і посилання на фото профілю, а на iPhone — імʼя співрозмовника. Звіти використовуються лише для виправлення помилок.
3.21. Дані на вашому пристрої. Щоб вам не доводилося входити щоразу, застосунок зберігає на пристрої:
— токени доступу;
— кеш профілю, організації та історії;
— технічний журнал останніх подій (до 250 рядків).
На Android ці дані можуть потрапляти до резервної копії пристрою у вашому обліковому записі Google, якщо резервне копіювання ввімкнено.
На iPhone дзвінки WordCraft потрапляють до журналу «Недавні» системного застосунку «Телефон» з іменем співрозмовника — це стандартна поведінка iOS для дзвінків. Цим журналом керує iOS, і він може синхронізуватися з iCloud відповідно до ваших налаштувань.
Чого ми НЕ збираємо:
— дату народження;
— контакти з телефонної книги;
— дані платіжних карток. Розрахунки з організаціями здійснюються за договором поза застосунком. Реквізити організацій (назва, ЄДРПОУ, рахунок IBAN, ПІБ і посада керівника) обробляються для укладення й виконання договору;
— фонову геолокацію.
У застосунку немає реклами, рекламного ідентифікатора та рекламних чи маркетингових аналітичних трекерів третіх сторін. Звіти про збої описано в пункті 3.20, дані про якість зʼєднання — у пункті 3.6.
4. Запис змісту дзвінків, Зустрічей і Викликів із сайту
4.1. Звичайні дзвінки з перекладачем не записуються. Відео- та аудіозміст дзвінків з перекладачем НЕ записується і НЕ зберігається Компанією. Це стосується миттєвих, запланованих і гостьових дзвінків, зокрема за табличками «лише перекладач». Засобами Сервісу можна записати лише заплановану Зустріч або Виклик із сайту, прийнятий відповідальною особою у Вебкабінеті викликів, — і лише за згодою всіх учасників (пункт 4.2).
Медіапотоки передаються в реальному часі в зашифрованому вигляді (двостороннє шифрування у значенні розділу 2) через спеціалізовану інфраструктуру відеозвʼязку. Якщо запис не ведеться, вони не зберігаються після завершення дзвінка. Для Сервісу на рівні цієї інфраструктури встановлено обмеження за географічною ознакою: маршрутизація медіапотоку дзвінків, Зустрічей і Викликів із сайту здійснюється виключно через вузли, розташовані в межах Європейського Союзу.
4.2. Зустрічі та Виклики із сайту можуть записуватися — лише за згодою всіх учасників.
4.2.1. Запис ніколи не вмикається автоматично і не є умовою користування Сервісом. Зустріч чи виклик без запису відбувається у звичайному режимі та в повному обсязі.
4.2.2. Розпочати запис може виключно відповідальна особа організації, яка проводить Зустріч або веде Виклик із сайту у Вебкабінеті викликів. Перекладач, гість чи інший абонент запис не вмикають. Виклик із сайту, який відповідальна особа прийняла в застосунку на телефоні, записати неможливо.
4.2.3. Після запиту на запис кожен учасник, присутній у розмові, отримує запит на згоду. У Виклику із сайту запит надходить у застосунку WordCraft, а відповідальна особа, яка ініціює запис, окремого запиту не отримує.
Запис розпочинається лише тоді, коли згоду надали всі присутні:
— якщо хоча б один учасник відмовив — запис не розпочинається, а якщо вже тривав, зупиняється; ініціатор та інші учасники бачать, хто саме відмовив;
— якщо застосунок когось з учасників Виклику із сайту не підтримує запит згоди (застаріла версія), запис неможливий, і запит не надсилається нікому;
— якщо на момент запиту інших учасників ще немає, запитувати згоду немає в кого, і запис розпочинається одразу; у кожного, хто приєднається згодом, Сервіс запитує згоду окремо (пункт 4.2.4).
Щоб запис почався без затримки, технічний засіб запису може приєднатися до розмови вже в момент запиту згоди. До отримання згоди всіх учасників він нічого не записує.
4.2.4. Учасник, який приєднався після початку запису, одразу отримує окремий запит на згоду з повідомленням, що розмова записується. Поки він не відповів, запис триває; на відповідь відводиться до 40 секунд. Запис зупиняється автоматично, якщо такий учасник:
— відмовляє;
— не відповідає у цей строк;
— користується застосунком, який не підтримує запит згоди.
Склад учасників активних записів безперервно перевіряється серверною частиною Сервісу. Фрагмент, записаний до такої зупинки, зберігається у файлі запису на загальних умовах (пункт 4.2.8). Запис Виклику із сайту також зупиняється, якщо відповідальна особа виходить з розмови.
4.2.5. Запис видимий. Поки йде запис, учасники бачать на екрані індикатор запису; про зупинення запису учасники так само повідомляються. Учасник, який приєднується під час запису, одразу отримує запит на згоду з повідомленням, що розмова записується. Прихований запис засобами Сервісу технічно неможливий: у Сервісі немає іншого способу розпочати запис, ніж через процедуру отримання згоди.
4.2.6. Відмова у згоді не позбавляє права взяти участь у Зустрічі чи Виклику із сайту та не впливає на якість чи обсяг послуги.
4.2.7. Що записується. Записується відео- та аудіопотік розмови — зображення й голос усіх учасників, включно з жестовою мовою та мовленням перекладача. Під зображенням кожного учасника на записі показуються його імʼя та роль, як у розмові.
4.2.8. Де і скільки зберігається. Записи зберігаються в зашифрованому вигляді у хмарному обʼєктному сховищі Amazon S3 у регіоні Європейського Союзу (Франкфурт). Для зменшення розміру файлу запис додатково обробляється сервісом AWS Elemental MediaConvert у тому самому регіоні, а стиснена копія зберігається поруч з оригіналом.
Строк зберігання — 30 днів з моменту готовності запису. Після цього оригінал і стиснена копія видаляються автоматично, без потреби у зверненні; видалення виконує правило сховища, зазвичай протягом доби після спливу строку. Імена учасників, які показуються на записі, передаються інфраструктурі відеозвʼязку разом із налаштуваннями запису.
4.2.9. Хто має доступ. Запис зустрічі доступний відповідальній особі організації, яка проводила Зустріч, — через Вебкабінет зустрічей. Запис виклику доступний лише тій відповідальній особі, яка вела виклик, — через Вебкабінет викликів; колеги в організації його не бачать.
Посилання для перегляду чи завантаження створюється персонально під конкретний перехід і діє 60 хвилин; постійної адреси файл не має. За 3 дні до видалення запису відповідальна особа отримує нагадування на телефон. Передавання посилання третім особам заборонено Правилами користування.
4.2.10. Ваші права щодо запису викладені в пункті 10.5.
4.3. Метадані. Незалежно від наявності запису ми зберігаємо метадані дзвінка, Зустрічі чи Виклику із сайту (пункти 3.4, 3.15): хто, коли і як довго спілкувався, та добровільну оцінку якості. Якщо запис не вівся, зміст розмови залишається виключно між її учасниками.
4.4. Субтитри. Функція субтитрів доступна в застосунку для iOS та Android. Субтитри (перетворення мовлення на текст) вимкнені за замовчуванням і вмикаються виключно вами під час дзвінка або Зустрічі; після вимкнення обробка звуку припиняється повністю. Розпізнається лише мовлення співрозмовників, яке ви чуєте, — ваш власний голос для субтитрів не обробляється.
Звук існує лише в оперативній памʼяті пристрою короткими фрагментами, у файл не записується, Компанії не передається і на серверах Компанії не обробляється. Текст субтитрів ніде не зберігається.
— На iPhone розпізнавання виконує штатний засіб iOS. Залежно від моделі пристрою, версії iOS і наявності офлайнової мовної моделі розпізнавання виконується або повністю на пристрої, або із залученням служби розпізнавання мовлення Apple. У другому випадку таку обробку здійснює Apple на власних умовах і поза контролем Компанії.
— На Android розпізнавання виконується повністю на пристрої за допомогою відкритої мовної моделі Vosk. Під час першого ввімкнення субтитрів застосунок одноразово завантажує цю модель (близько 133 МБ) із сервера її розробника (alphacephei.com); звук при цьому нікуди не передається.
Якщо ви не бажаєте жодної обробки звуку для субтитрів — не вмикайте цю функцію. У Вебкабінеті субтитрів немає.
4.5. QR-коди та NFC-мітки зчитуються локально на пристрої.
Частина QR-кодів побудована на коротких посиланнях сервісу динамічних QR-кодів Pageloot (pglt.me). Такий код застосунок відкриває у вбудованому прихованому браузері, щоб отримати кінцеву адресу виклику. Pageloot при цьому отримує IP-адресу та технічні відомості запиту — так само, як під час сканування камерою телефона.
Компанії передається лише запит на дзвінок, якщо ви його ініціюєте, або одноразовий ідентифікатор сеансу входу до Вебкабінету (пункт 3.11).
5. Чутливі дані
5.1. Ми усвідомлюємо, що сам факт користування сервісом перекладу жестовою мовою може опосередковано свідчити про порушення слуху користувача, тобто про стан здоровʼя — особливу категорію персональних даних (стаття 7 Закону України «Про захист персональних даних»).
5.2. Підставою такої обробки є ваша окрема згода, надана при реєстрації чи початку користування гостьовим доступом, а також необхідність надання соціальної послуги перекладу жестовою мовою відповідно до законодавства про соціальні послуги.
5.3. Ми не використовуємо ці відомості для маркетингу чи профілювання і застосовуємо до них підвищені заходи захисту. Ми не передаємо їх третім особам, окрім:
— організації — в обсязі пунктів 3.9, 3.15, 3.17 і 8.3;
— технічних процесорів з розділу 8 — виключно в обсязі, необхідному для роботи Сервісу.
5.4. Запис містить зображення та голос учасників, зокрема жестове мовлення, і тому також належить до відомостей підвищеної чутливості. Підставою його створення є окрема, конкретна та поінформована згода кожного присутнього учасника, надана безпосередньо перед початком запису або одразу після приєднання до розмови, що записується (пункт 4.2). Записи не використовуються для маркетингу, профілювання чи навчання систем автоматизованого розпізнавання. Їх не передають нікому, крім організації, яка проводила Зустріч чи Виклик із сайту, та технічних процесорів з розділу 8.
6. Мета та правові підстави обробки
Нижче для кожної мети вказано, які дані ми обробляємо і на якій підставі.
— Надання послуг. Мета — надання послуг Сервісу: виклики перекладача, планування, гостьовий доступ, проведення Зустрічей, Виклики із сайту, виклик персоналу. Підстава — виконання договору з організацією та надання послуги, ініційованої користувачем.
— Обліковий запис. Мета — створення та обслуговування облікового запису, підтвердження пошти, відновлення пароля. Підстава — згода користувача та надання послуги.
— Сповіщення та живі картки. Мета — доставка сповіщень і живих карток про дзвінки, заявки, Зустрічі, Виклики із сайту, виклики персоналу та службові події. Підстава — надання послуги. Сповіщення і живі картки можна вимкнути в налаштуваннях пристрою.
— Виклики із сайту. Мета — спрямування виклику до відповідальної особи, ведення журналу викликів і показ його відповідальним особам організації. Підстава — виконання договору з організацією. Технічні сигнали присутності сторінки Вебкабінету викликів обробляються на підставі законного інтересу Компанії та організації: щоб виклик не губився.
— Виклик персоналу. Мета — передача виклику відвідувача працівникам організації і передача його власнику облікового запису організації, якщо ніхто не відповів. Підстава — виконання договору з організацією. Обмеження частоти викликів за хешем ідентифікатора браузера здійснюється на підставі законного інтересу — запобігання зловживанням.
— Безпека та квоти. Мета — облік безкоштовної гостьової квоти (25 хв/добу), запобігання зловживанням, захист від шахрайства, безпека й діагностика, ведення відомостей про сеанси Вебкабінетів. Підстава — законний інтерес Компанії у стабільній та безпечній роботі Сервісу.
— Записи. Мета — створення, зберігання та надання Запису організації, яка проводила Зустріч чи Виклик із сайту. Підстава — окрема згода кожного учасника (для користувачів у ЄЕЗ — ст. 6(1)(a) та ст. 9(2)(a) GDPR). Ведення обліку наданих згод — законний інтерес і необхідність підтвердити правомірність обробки.
— Планування Зустрічей. Мета — обробка даних про запрошених осіб, внесених організацією (пункт 3.10). Підстава — виконання договору з організацією (пункт 3 частини першої статті 11 Закону). Правову підставу внесення таких даних до Сервісу визначає сама організація як їх володілець; для органів державної влади та органів місцевого самоврядування — це дозвіл на обробку, наданий законом для здійснення повноважень (пункт 2 частини першої статті 11 Закону). Роль Компанії щодо цих даних визначено пунктом 1.7.
— Вебкабінет. Мета — авторизація відповідальної особи за QR-кодом, підтримання сеансу та сповіщення про вхід. Підстава — надання послуги та безпека.
— Перекладачі. Мета — обробка даних перекладачів жестової мови. Підстава — виконання договору з перекладачем та виконання обовʼязку, покладеного на Компанію законом як на надавача соціальної послуги (пункти 3 і 5 частини першої статті 11 Закону). Володільцем цих даних є Компанія.
— Якість і стабільність. Мета — контроль якості перекладу (оцінки після дзвінка), статистика користування за договорами з організаціями, звіти про збої та дані про якість зʼєднання. Підстава — законний інтерес і виконання договору.
— Облік і розрахунки. Мета — передача відомостей про користувачів, організації, дзвінки й заявки до внутрішньої облікової системи Компанії (пункт 8.1). Підстава — виконання договорів з організаціями та законний інтерес у веденні обліку й розрахунків.
— Вебсайт. Мета — обробка заявок із форм. Підстава — дії на ваш запит перед укладенням договору та виконання запиту. Аналітика відвідувань провадиться на підставі законного інтересу в покращенні вебсайту. Карта покриття (пункт 3.7) показує, де діє послуга, — на підставі законного інтересу Компанії та організацій-партнерів повідомити людей, куди можна звернутися.
— Розсилки. Мета — надсилання представникам організацій інформації про послуги WordCraft, зокрема комерційних пропозицій, і облік відписок. Підстава — згода особи (пункт 1 частини першої статті 11 Закону), яку можна відкликати будь-коли (пункт 10.7).
— Законодавство. Мета — виконання вимог законодавства України (зокрема щодо соціальних послуг, бухгалтерського обліку). Підстава — юридичний обовʼязок.
7. Дозволи застосунку
7.1. Застосунок запитує лише ті системні дозволи, що необхідні для конкретних функцій:
— Камера — відеодзвінок з перекладачем, участь у Зустрічі чи Виклику із сайту, сканування QR-кодів, знімок для фото профілю чи логотипа локації. Без камери відеопереклад неможливий.
— Мікрофон — передача вашого голосу співрозмовнику під час дзвінка або Зустрічі.
— NFC — зчитування NFC-мітки організації (лише при відкритому екрані сканування).
— Сповіщення — вхідні дзвінки, нагадування про заплановані переклади та Зустрічі, виклики персоналу, службові повідомлення.
— Bluetooth (Android) — підключення бездротових гарнітур під час дзвінка.
— Фото/галерея — вибір зображення для фото профілю або логотипа локації. На сучасних версіях Android використовується системний вибір фото без доступу до всієї галереї.
— Розпізнавання мовлення (iOS) — виключно для роботи субтитрів (пункт 4.4). Без цього дозволу решта Сервісу працює в повному обсязі.
— Місцезнаходження — лише кнопка «Моя позиція» на карті під час налаштування локації чи входу для виклику персоналу (пункт 3.19).
— Живі картки (iOS) — показ живих карток на екрані блокування (пункт 3.18).
— Повноекранні сповіщення та робота дзвінка у фоні (Android) — показ вхідного дзвінка на весь екран і продовження дзвінка, коли застосунок згорнуто.
Коли саме застосунок запитує дозволи:
— сповіщення — під час запуску застосунку;
— камеру, мікрофон і Bluetooth — одразу після першого входу, щоб системне вікно дозволу не зірвало вхідний дзвінок посеред розмови;
— розпізнавання мовлення і місцезнаходження — лише тоді, коли ви вперше вмикаєте субтитри або натискаєте «Моя позиція»;
— решту — у момент першого використання відповідної функції.
7.2. Кожен дозвіл можна відкликати в налаштуваннях операційної системи; це обмежить лише відповідну функцію, а не Сервіс загалом.
7.3. Версія 2.1.0 додала два системні дозволи: доступ до місцезнаходження (пункт 3.19) і живі картки на iPhone (пункт 3.18). Версія 2.1.1 нових дозволів не додавала.
Застосунок не читає буфер обміну під час звичайної роботи. Єдиний виняток — одноразова перевірка власної технічної мітки при першому запуску після встановлення (пункт 3.12). Записує текст у буфер обміну застосунок лише за вашою дією, наприклад коли ви копіюєте текст запрошення.
7.4. Чого застосунок не робить.
— Застосунок не захоплює зображення екрана вашого пристрою і не містить такої функції. Системний дозвіл, який технічно уможливив би захоплення екрана на Android, свідомо виключено зі складу дозволів застосунку.
— Камера використовується лише під час відеодзвінка, Зустрічі чи Виклику із сайту, для сканування QR-кодів і для знімка за вашою дією. Автоматичного чи фонового фотографування немає.
— Доступ до галереї використовується виключно для фото профілю та логотипа локації за вашою дією.
— Функцій запису аудіо або відео у файл застосунок не містить. Запис Зустрічей і Викликів із сайту (розділ 4) ведеться на сервері, а не на пристрої.
8. Кому передаються дані (вичерпний перелік)
8.1. Ми залучаємо обмежене коло технічних підрядників (розпорядників/процесорів), які обробляють дані від нашого імені та за нашими інструкціями:
— Amazon Web Services EMEA SARL — хмарний хостинг серверної частини та бази даних (регіон Франкфурт, Європейський Союз); обʼєктне сховище S3 для Записів зустрічей і Записів викликів (регіон Франкфурт); сервіс AWS Elemental MediaConvert для стиснення Записів (той самий регіон).
— Akenes SA (Exoscale), Швейцарія — обʼєктне сховище файлів у зоні Софія (Болгарія, Європейський Союз) для фото профілю та логотипів локацій. Перелік файлів у сховищі закритий; кожен файл доступний за прямим посиланням із непередбачуваним ідентифікатором.
— Stream.io, Inc. (GetStream), США — спеціалізована інфраструктура відеодзвінків реального часу та каналу доставки вхідних дзвінків. Обробляє:
— ідентифікатори користувачів, імена, фото профілю та назву організації учасників, зокрема псевдонімний профіль відповідальної особи у Вебкабінеті викликів (пункт 3.15);
— push-токени для вхідних дзвінків;
— дані про якість зʼєднання (пункт 3.6);
— медіапотоки в реальному часі.
Медіа не зберігається, крім випадку запису: якщо учасники надали згоду, Stream.io формує файл запису і передає його безпосередньо до нашого сховища S3 у Європейському Союзі, а імена учасників для показу на записі отримує разом із налаштуваннями запису. Маршрутизація медіапотоку обмежена вузлами в межах Європейського Союзу (пункт 4.1). Постачальник є активним учасником Європейсько-Американської рамкової програми захисту даних (EU-U.S. Data Privacy Framework). Передача даних до США здійснюється на підставі участі в цій програмі та договірних гарантій захисту, передбачених Додатком про обробку даних (Data Processing Addendum).
— Google LLC (Firebase Cloud Messaging) та Apple Inc. (Apple Push Notification service) — доставка push-сповіщень і живих карток на пристрої Android та iOS. Вони обробляють push-токен пристрою і текст сповіщення, який може містити відомості з пункту 3.18.
— Google LLC (Firebase Crashlytics) — звіти про збої застосунку (пункт 3.20).
— Google LLC (Google Play) та Apple Inc. (App Store) — розповсюдження застосунку. На Android Google Play додатково передає застосунку технічну мітку переходу (пункт 3.12).
— ТОВ «СендПульс» (сервіс SendPulse), Україна — надсилання всіх електронних листів Компанії. Обробляє адресу електронної пошти одержувача, зміст листа і дані з пункту 3.14. Це:
— службові листи Сервісу: коди підтвердження, відновлення пароля, запрошення на Зустріч, картка Зустрічі, посилання на Записи й протоколи згод, листи про доступ до Вебкабінетів, матеріали для встановлення віджета, повідомлення про виклик персоналу без відповіді, лист про видалення облікового запису;
— розсилки про послуги WordCraft (пункт 3.14) з обліком доставлення, відкриттів, переходів за посиланнями й відписок.
— Google (сервіс Google Workspace) — корпоративна поштова скринька wordcraft@surdo.org.ua, через яку ми листуємося з вами, зокрема щодо реалізації ваших прав.
— Webflow, Inc., США — хостинг вебсайту surdo.org.ua і зберігання заявок із форм вебсайту (пункт 3.7).
— Google LLC (Google Analytics 4, Google Fonts, YouTube) — статистика відвідувань вебсайту, шрифти вебсайту, Вебкабінету й листів, програвач відео (пункт 3.7).
— Railway Corporation, США — хостинг внутрішньої облікової системи Компанії (облік договорів, рахунків і оплат). Сервіс автоматично передає до неї відомості про:
— користувачів: імʼя, електронна пошта, телефон, фото профілю, роль, належність до організації, номер і строк дії договору;
— організації: реквізити, зокрема ЄДРПОУ, IBAN, ПІБ і посада керівника, код точки доступу;
— дзвінки й заявки: час, учасники, тривалість, статус, коментарі (зокрема імʼя гостя), оцінки якості.
— Pageloot — сервіс динамічних QR-кодів. Виконує переадресацію коротких посилань pglt.me, на яких побудовано частину QR-кодів, і веде статистику сканувань: IP-адреса, тип пристрою, час (пункт 4.5).
— Картографічні сервіси — показ карти під час налаштування локацій. Отримують IP-адресу і ділянку карти, що переглядається:
— у застосунку — VersaTiles (картографічна основа) і Overture Maps на інфраструктурі Amazon S3 (контури будівель);
— у панелі адміністратора — OpenFreeMap, OpenStreetMap та Esri.
— Сервіси геокодування — OpenStreetMap Foundation (Nominatim), а також сервіси Visicom і «Нова Пошта» (Україна). Визначають координати й уточнюють адреси локацій організацій; отримують лише адресу локації.
8.2. Наведений перелік охоплює всіх процесорів, яких Компанія залучає до обробки персональних даних осіб, на яких поширюється ця Політика (пункт 1.3). У разі залучення нового процесора ми оновимо Політику до початку передачі йому даних.
Деякі листи Сервісу містять зображення і шрифти. Поштова програма одержувача завантажує їх із файлових сховищ Компанії та сервісу Google Fonts і при цьому передає їм IP-адресу. Обробка звуку службою розпізнавання мовлення Apple (пункт 4.4) здійснюється поза Сервісом, на власних умовах Apple, і передаванням даних Компанією не є.
8.3. Запис передається організації, яка проводила Зустріч чи Виклик із сайту, — через Вебкабінет її відповідальної особи. Відповідальним особам організації також доступні:
— журнал Викликів із сайту (пункт 3.15);
— протоколи згод (пункт 3.9);
— відомості про виклики персоналу (пункт 3.17).
Компанія є володільцем примірника Запису, що зберігається у Сервісі. Підстава — окрема згода кожного учасника, надана безпосередньо Компанії під час розмови. Організація з моменту отримання свого примірника є самостійним володільцем цього примірника. Виконання вимог встановленого режиму захисту забезпечує Компанія — до моменту передачі за персональним посиланням, та організація — з моменту отримання (частини третя і четверта статті 14 Закону України «Про захист персональних даних»). Це не є наданням даних третій особі в розумінні пункту 8.4.
8.4. Державним органам дані надаються виключно на законній підставі — за належно оформленим запитом чи рішенням суду, в межах, визначених законодавством України.
8.5. Ми НЕ продаємо персональні дані і не передаємо їх рекламним мережам, брокерам даних чи «партнерам для маркетингових кампаній». Записи не передаються нікому поза межами пунктів 8.1 та 8.3. Сервіс розсилок (пункт 8.1) обробляє адреси лише для надсилання листів Компанії та за її інструкціями.
8.6. Транскордонна передача (стаття 29 Закону №2297-VI) відбувається лише до процесорів, зазначених у пункті 8.1:
— до США — Stream.io, Google, Apple, Webflow і Railway;
— до Швейцарії — Akenes SA (Exoscale); дані при цьому зберігаються в Європейському Союзі (Болгарія).
Інші дані, зокрема Записи й база даних, зберігаються в ЄС. Картографічні сервіси, сервіс Pageloot і сервіси геокодування отримують лише IP-адресу, ділянку карти чи адресу локації — за місцем свого розташування.
Підставами такої передачі є:
— ваша однозначна згода;
— виконання договору на вашу користь;
— гарантії належного захисту: участь постачальників у Європейсько-Американській рамковій програмі захисту даних і договірні зобовʼязання, зокрема стандартні договірні положення (пункти 1, 2 і 5 частини четвертої статті 29 зазначеного Закону).
За штатних умов роботи Сервісу медіапотік сеансів звʼязку до Сполучених Штатів Америки не передається — його маршрутизація обмежена територією Європейського Союзу (пункт 4.1).
9. Строки зберігання
9.1. Обліковий запис і профіль — до видалення облікового запису користувачем (розділ 10) або за його запитом.
9.2. Метадані дзвінків, Зустрічей і заявок — протягом строку дії договору з відповідною організацією та до 3 років після його завершення (звітність і вирішення спорів). Сюди належать також імʼя гостя у службовому записі про дзвінок, оцінки й коментарі, коментарі до заявок, стрічка сповіщень у застосунку та відомості в обліковій системі Компанії (пункт 8.1).
9.3. Дані про запрошених осіб, внесені організацією (пункт 3.10), — зберігаються у складі запису про Зустріч протягом строку, зазначеного в пункті 9.2. Журнал дій у Вебкабінеті, який може містити адресу електронної пошти запрошеної особи або одержувача картки Зустрічі, видаляється через 24 місяці.
9.4. Записи обліку гостьової квоти та події переходів за смарт-посиланнями (пункт 3.6) — до 1 року. Знеособлена статистика може зберігатися довше.
9.5. Службові журнали серверів — не довше 90 днів. Додатково обсяг журналів обмежено, тому фактичний строк зберігання може бути меншим.
9.6. Одноразові коди підтвердження діють 1 годину; після використання або спливу строку код недійсний.
9.7. Записи — 30 днів з моменту готовності запису; після цього видаляються автоматично.
9.8. Облік згоди на запис (рішення, роль, імʼя, показане в розмові, час) — 3 роки і для Зустрічей, і для Викликів із сайту; для Виклику із сайту — разом із журналом виклику.
9.9. Персональне посилання на перегляд або завантаження Запису — 60 хвилин з моменту створення.
9.10. Посилання-запрошення гостя на Зустріч — до завершення Зустрічі та 1 година після нього.
9.11. QR-код входу до Вебкабінету — 2 хвилини з моменту показу. Вибір Вебкабінету після підтвердження входу — до 5 хвилин.
9.12. Сеанс Вебкабінету — до виходу користувача, закриття сторінки Вебкабінету викликів або автоматичного завершення після 8 годин без дій. Файл cookie сеансу діє не довше 30 днів від останньої активності.
9.13. Технічна мітка переходу в буфері обміну (iOS) — до першого запуску застосунку, після чого буфер очищується.
9.14. Дані, збереження яких вимагає закон, — протягом строків, встановлених законодавством України.
9.15. Дані для розсилок (пункт 3.14) — до відписки (відкликання згоди) або протягом 3 років від останньої взаємодії з листами Компанії (відкриття, перехід за посиланням, відповідь), залежно від того, що настане раніше. Після відписки адреса зберігається лише в списку відписок, щоб більше не надсилати на неї листів.
9.16. Виклики із сайту. Журнал Викликів із сайту (пункт 3.15) разом із відомостями про згоду на запис зберігається 3 роки. Відомості про чергування, сеанси Вебкабінетів з IP-адресами та журнал безпеки — 24 місяці. Імʼя гостя в журналі відповідальні особи бачать 30 днів.
9.17. Виклик персоналу. Журнал подій локації (з іменами працівників) і записи про виклики та відмови (час, вхід, хеш ідентифікатора браузера) зберігаються 12 місяців. Відомості про локації, входи та коди зберігаються протягом строку дії договору з організацією.
9.18. Токени сповіщень і живих карток. Токен окремої живої картки зберігається до її завершення, але не довше 1 доби. Push-токени та токени для запуску живих карток — до виходу з облікового запису на пристрої, видалення облікового запису або заміни токена.
9.19. Заявки з форм вебсайту (пункт 3.7) — до укладення договору або до 1 року від надходження, якщо договір не укладено. Дані укладених договорів зберігаються за пунктом 9.14.
9.20. Звіти про збої (пункт 3.20) — 90 днів. Дані аналітики вебсайту — відповідно до налаштувань Google Analytics, але не довше 14 місяців.
10. Ваші права та як ними скористатися
10.1. Відповідно до статті 8 Закону України «Про захист персональних даних» ви маєте право:
— знати про обробку своїх даних;
— отримувати доступ до них;
— вимагати виправлення неточних даних;
— вимагати видалення чи знищення даних;
— заперечувати проти обробки;
— відкликати згоду в будь-який момент (без впливу на законність обробки до відкликання);
— на захист від автоматизованого рішення, що має для вас правові наслідки.
10.2. Видалення облікового запису. Видалити обліковий запис можна трьома способами:
— у застосунку: Профіль → «Видалити обліковий запис», з підтвердженням паролем;
— через форму на сторінці https://surdo.org.ua/deleteaccount;
— листом на wordcraft@surdo.org.ua.
Видалення в застосунку виконується одразу. Ми стираємо імʼя, адресу електронної пошти, номер телефону, фото профілю, пароль і токени входу. Пристрої знімаються з доставки сповіщень, привʼязки до організацій і сеанси Вебкабінетів припиняються, а на адресу пошти надходить лист-підтвердження. Запит через форму чи лист ми виконуємо у строк до 30 днів.
Після видалення в Сервісі зберігаються знеособлені записи про дзвінки, заявки та Зустрічі — без вашого імені та контактів. Вони потрібні для звітності перед організаціями та розрахунків. Також зберігаються відомості, які стосуються вас, але є частиною записів інших осіб чи організацій:
— імʼя, показане в розмові, у відомостях про згоду на запис (пункт 9.8);
— Записи — до спливу їх строку (пункт 9.7);
— коментарі до спільних заявок;
— журнал подій виклику персоналу (пункт 9.17);
— сеанси Вебкабінетів (пункт 9.16);
— дані, збереження яких вимагає закон (пункт 9.14).
Ці відомості видаляються після спливу зазначених строків. Облікові записи власників організацій і адміністраторів видаляє адміністратор Сервісу на запит.
10.3. Для реалізації будь-якого права напишіть нам на wordcraft@surdo.org.ua з адреси, вказаної у вашому обліковому записі (для підтвердження особи). Ми відповідаємо у строк до 30 календарних днів.
10.4. Якщо ви вважаєте, що ваші права порушено, ви маєте право звернутися зі скаргою до Уповноваженого Верховної Ради України з прав людини або до суду.
10.5. Права щодо Запису. Ви маєте право не надавати згоду на запис — розмова в такому разі відбувається у звичайному режимі, без запису.
Запис ініціює відповідальна особа організації, і організація самостійно розпоряджається отриманим нею примірником. Тому щодо доступу до завантаженого організацією примірника, отримання його копії чи його видалення слід звертатися до неї.
Примірник запису, що зберігається у Сервісі, Компанія обробляє як його володілець — на підставі окремої згоди, наданої кожним учасником безпосередньо Компанії під час розмови (пункт 4.2). Цей примірник видаляється автоматично через 30 днів, і щодо нього ви можете звернутися до нас на wordcraft@surdo.org.ua. Якщо організація не відповідає або звʼязатися з нею неможливо — напишіть нам, і ми повідомимо організацію та сприятимемо розгляду вашого звернення.
10.6. Права щодо даних, внесених організацією. Запити щодо підстави обробки, виправлення або видалення даних, які про вас внесла організація (пункт 3.10), адресуються насамперед цій організації як їх володільцю. Отримавши таке звернення, ми невідкладно повідомимо організацію та сприятимемо його виконанню. У частині обробки, яку здійснює безпосередньо Компанія (зберігання даних у Сервісі, надсилання запрошення), ми розглянемо звернення самостійно в порядку статті 8 Закону України «Про захист персональних даних», у строк до 30 календарних днів (пункт 10.3).
10.7. Відмова від розсилок. Від листів про послуги WordCraft можна відмовитися будь-коли: за посиланням «Відписатися» в кожному листі або листом на wordcraft@surdo.org.ua. Відмова безкоштовна, не потребує пояснень і діє не пізніше ніж через 2 робочі дні. Відмова від розсилок означає й відкликання згоди на обробку ваших даних для розсилок (стаття 8 Закону України «Про захист персональних даних»).
10.8. Права гостей. Гість не має облікового запису, тож його дані не привʼязані до особи в Сервісі. Щоб скористатися правами щодо імені, вказаного під час дзвінка, Запису чи відомостей про згоду, напишіть нам на wordcraft@surdo.org.ua. Зазначте організацію, дату й приблизний час дзвінка — так ми зможемо знайти потрібні записи.
11. Безпека даних
11.1. Ми застосовуємо технічні та організаційні заходи захисту:
— шифрування зʼєднань між пристроями користувачів і Сервісом за протоколом TLS версій 1.2 і 1.3 (застарілі версії протоколу вимкнено) та шифрування медіапотоків за стандартом DTLS-SRTP — двостороннє шифрування у значенні розділу 2;
— шифрування даних у стані спокою за алгоритмом AES-256 для бази даних і сховища Записів;
— зберігання даних у захищених дата-центрах на території ЄС;
— розмежування доступу персоналу за ролями та за принципом мінімальної необхідності;
— хешування паролів і токенів сеансів;
— цілодобовий моніторинг інфраструктури.
11.2. Записи зберігаються в закритому обʼєктному сховищі в зашифрованому вигляді. Постійного публічного посилання на файл не існує: доступ надається лише персональним посиланням обмеженого строку дії (пункт 4.2.9), яке видається уповноваженій особі організації після перевірки її прав.
11.3. У разі інциденту безпеки, що створює ризик для ваших прав, ми повідомимо вас та компетентні органи відповідно до законодавства. Якщо інцидент стосується даних, які обробляються у звʼязку з обслуговуванням організації, ми невідкладно з моменту виявлення повідомляємо про нього також цю організацію — щоб вона могла виконати власні обовʼязки як володілець відповідних даних.
11.4. У Компанії наказом визначено уповноважену особу, що організовує роботу, повʼязану із захистом персональних даних при їх обробці (частина друга статті 24 Закону №2297-VI). Відомості про неї подано Уповноваженому Верховної Ради України з прав людини. Обробку персональних даних користувачів Сервісу Компанія самостійно кваліфікувала як таку, що становить особливий ризик для прав і свобод субʼєктів персональних даних, і подала відповідне повідомлення Уповноваженому в порядку статті 9 зазначеного Закону.
12. Діти
12.1. Самостійне користування Сервісом дозволене особам, які досягли 16 років. Особи молодшого віку можуть користуватися Сервісом за згодою та під наглядом батьків або законних представників. Сервіс не призначений для цілеспрямованого збору даних дітей; якщо нам стане відомо про створення облікового запису дитиною без згоди представників — ми його видалимо.
12.2. Якщо на Зустріч запрошено особу, яка не досягла 16 років, згоду на запис Зустрічі за неї надає її батько, мати або законний представник, присутній на Зустрічі. Організація, яка планує таку Зустріч, відповідає за наявність такої присутності. Якщо до Виклику із сайту, вочевидь, звернулася особа, яка не досягла 16 років, відповідальній особі організації не слід ініціювати запис без участі її законного представника.
13. Користувачі в Європейській економічній зоні
13.1. Якщо ви перебуваєте в ЄЕЗ, обробка ваших даних ґрунтується на:
— виконанні договору (ст. 6(1)(b) GDPR);
— вашій згоді (ст. 6(1)(a) GDPR; для даних, що можуть свідчити про стан здоровʼя, і для Записів — ст. 9(2)(a));
— законних інтересах (ст. 6(1)(f) GDPR) — безпека, запобігання зловживанням, стабільність Сервісу.
Вам належать права, передбачені главою III GDPR, включно з правом на перенесення даних; реалізуються вони в порядку розділу 10.
13.2. Щодо даних про запрошених осіб, внесених організацією (пункт 3.10), контролером є організація. У випадках, коли за пунктом 1.7 Компанія виступає Розпорядником, вона діє як процесор у розумінні ст. 4(8) та ст. 28 GDPR; в інших випадках — як одержувач даних у розумінні ст. 4(9) GDPR.
14. Прикінцеві положення
14.1. Ця Політика є невідʼємною частиною Правил та умов користування Сервісом. У разі розбіжностей щодо обробки персональних даних пріоритет має Політика.
14.2. Питання щодо Політики: wordcraft@surdo.org.ua, тел. +380505405411. Поштова адреса: Україна, 65017, Одеська обл., м. Одеса, вул. Квітнева, буд. 22.