Політика конфіденційності — Sklado

Ця Політика описує, які дані ми збираємо, як використовуємо і захищаємо, а також які права є у Користувача щодо своїх даних. Документ підготовлено відповідно до Закону України «Про захист персональних даних» №2297-VI та з урахуванням принципів GDPR (Регламент ЄС 2016/679).

1. Розпорядник даних

Розпорядником персональних даних є власник сервісу Sklado.
Контакт: sklado.com.ua@gmail.com

2. Які дані ми збираємо

2.1. Дані реєстрації

email Користувача;
ім’я і прізвище;
назва компанії або ФОП;
хешований пароль (ми ніколи не бачимо пароль у відкритому вигляді).

2.2. Дані, внесені Користувачем у CRM

товари, ціни, залишки;
контрагенти (клієнти, постачальники), у тому числі їхні контактні дані;
документи (рахунки, видаткові, накладні, чеки);
дані касових операцій;
повідомлення з маркетплейсів (через інтеграції).

Ці дані Користувач вносить самостійно. Користувач несе відповідальність за наявність правових підстав для обробки персональних даних третіх осіб (наприклад, своїх клієнтів) і повинен мати їх згоду або іншу законну підставу згідно зі ст. 11 Закону №2297-VI / ст. 6 GDPR.

2.3. Дані використання (телеметрія)

IP-адреса;
тип браузера і пристрою (User-Agent);
відвідані сторінки в Сервісі, час сесій;
дані про помилки і збої.

2.4. Платіжні дані

метадані транзакцій (сума, дата, статус);
номери карток ми не зберігаємо і не бачимо — їх обробляє платіжний процесор WayForPay (PCI DSS Level 1).

3. Цілі обробки

надання послуг Сервісу;
білінг і виставлення рахунків;
підтримка користувачів;
безпека (виявлення шахрайства, несанкціонованого доступу);
виконання вимог законодавства;
покращення Сервісу (на основі агрегованих анонімних даних).

4. Передача даних третім особам

Ми не продаємо і не передаємо персональні дані третім особам, окрім випадків, необхідних для надання Сервісу:

Hetzner Online GmbH (Німеччина, ЄС) — хостинг серверів і бекапів. GDPR-compliant.
WayForPay — обробка платежів (PCI DSS).
Anthropic, PBC (США) — обробка повідомлень підтримки через AI Claude. Активується лише коли Користувач пише в чат підтримки. Дані Anthropic не використовує для тренування моделей (zero data retention для API за замовчуванням). Користувач може відмовитися від AI-підтримки, не користуючись чатом — електронна пошта залишається доступною.
Google LLC — SMTP для надсилання email-повідомлень (підтвердження, нагадування).
Telegram Messenger Inc. — лише якщо Користувач сам обирає отримувати повідомлення/ескалації через Telegram-бота.
Державні органи — на офіційний письмовий запит згідно з законодавством України.

5. AI-обробка (Anthropic Claude)

Коли Користувач пише повідомлення у чаті підтримки, текст повідомлення передається на сервери Anthropic у США через захищене API-з’єднання (HTTPS/TLS). Anthropic обробляє запит і повертає відповідь. AI-модель не зберігає дані поза межами обробки конкретного запиту (zero retention за домовленістю API).

Користувач має право в будь-який момент припинити користування AI-чатом і використовувати стандартний email-канал підтримки замість нього.

6. Зберігання даних (retention)

Активний акаунт — дані зберігаються весь час, поки акаунт активний.
Видалення акаунта — після ініціювання видалення дані переводяться у режим «м’якого видалення» (soft delete) на 30 днів. Користувач може відновити акаунт упродовж цього періоду, написавши на email підтримки.
Через 30 днів — повне видалення персональних даних з продакшен-серверів. Анонімізовані агреговані статистики (без можливості ідентифікації Користувача) можуть зберігатися довше для аналітики Сервісу.
Бекапи — резервні копії зберігаються до 90 днів і періодично перезаписуються. Дані з видалених акаунтів зникають з бекапів природно протягом 90 днів.
Бухгалтерські записи (рахунки, акти, дані для податкового обліку) — зберігаються згідно з законодавством України (мінімум 3 роки).

7. Права Користувача (GDPR-style)

Користувач має право:

на доступ — отримати копію своїх персональних даних;
на виправлення — оновити неточні дані;
на видалення — попросити повне видалення (виконуємо за 30 днів);
на експорт (portability) — отримати дані у машиночитаному форматі (CSV/XLSX/JSON);
на обмеження обробки — призупинити певні види обробки;
на заперечення — заперечити проти обробки на основі легітимних інтересів;
відкликати згоду — у будь-який момент;
подати скаргу — Уповноваженому Верховної Ради України з прав людини (омбудсмен).

Запити направляти на sklado.com.ua@gmail.com. Відповідь протягом 30 днів.

8. Безпека

HTTPS/TLS для всіх з’єднань;
паролі зберігаються у вигляді bcrypt-хешів;
JWT-токени з обмеженим терміном дії;
міжтенантна ізоляція на рівні застосунку (запити фільтруються за tenantId);
UFW firewall, fail2ban, регулярні security-оновлення Ubuntu;
щоденні автоматичні бекапи бази даних;
обмежений доступ до серверів — лише для адміністраторів через SSH-ключі.

9. Файли cookies

Sklado використовує лише необхідні (essential) cookies для авторизації (session/refresh-токени). Маркетингових і трекінгових cookies за замовчуванням немає. Якщо ми колись додамо аналітику, для цього буде окремий банер згоди (consent banner) згідно зі ст. 9 Закону №3024-IX «Про електронні комунікації».

10. Діти

Сервіс не призначений для осіб віком до 18 років. Ми не приймаємо реєстрацію неповнолітніх. Якщо ми дізнаємося, що отримали дані від особи молодше 18 років, ми негайно видалимо такі дані.

11. Транскордонна передача даних

Передача даних в Anthropic (США) здійснюється на підставі Стандартних договірних положень (Standard Contractual Clauses) Європейської Комісії. Користуючись AI-чатом, Користувач погоджується з такою передачею.

12. Зміни до Політики

Ми можемо оновлювати цю Політику. Про істотні зміни Користувач буде повідомлений email-розсилкою або через банер у Сервісі. Дата останнього оновлення вказана нагорі сторінки.

13. Контакт

З питань конфіденційності і запитів за GDPR/Законом №2297-VI:
sklado.com.ua@gmail.com