Назад до Uselist · SE/uk
Суб'єкт господарювання (імпресум): Roman Usov · Enskild firma (фізична особа-підприємець), зареєстрована у Швеції · Електронна пошта: [email protected]
Політика конфіденційності · Швеція
Дата набрання чинності: 2026-05-10 · Юрисдикція: Швеція (SE)
1. Контролер даних
Контролером персональних даних є Roman Usov, індивідуальний підприємець (Enskild firma), зареєстрований у Швеції, який здійснює управління Uselist («Сервіс»). Контактна адреса: [email protected].
Відповідно до статті 37 GDPR, ми не зобов'язані призначати інспектора із захисту даних (ми не здійснюємо масштабного систематичного моніторингу, не є органом публічної влади та не обробляємо спеціальні категорії даних у великих масштабах). Питання щодо конфіденційності розглядаються безпосередньо контролером за вказаним вище контактом.
2. Що ми обробляємо та з якою метою
| Дані | Мета | Правова підстава |
|---|---|---|
| Telegram ID, ім'я, необов'язкова URL-адреса фотографії | Ідентифікація облікового запису, вхід через Telegram Login Widget | Договір (ст. 6(1)(b)) |
| Email (необов'язково, для квитанцій) | Виставлення рахунків, комунікація зі службою підтримки | Договір (ст. 6(1)(b)) |
| Описи товарів, фотографії, ціни | Зберігання інвентарю; основна функція Сервісу | Договір (ст. 6(1)(b)) |
| Дані платіжної картки | Обробка платежів — здійснюється безпосередньо Stripe; ми ніколи не отримуємо доступ до повного номера картки | Договір (ст. 6(1)(b)) |
| Країна, мова, тарифний план | Локалізація, вибір торговельних майданчиків, розмежування функцій за тарифним планом | Договір (ст. 6(1)(b)) |
| IP-адреса (хешована під час реєстрації), цифровий відбиток браузера (fingerprint) | Запобігання зловживанням, протидія шахрайству, обмеження частоти запитів (rate limiting) | Законний інтерес (ст. 6(1)(f)) |
| Події аналітики продукту | Аналіз використання функцій для вдосконалення Сервісу | Згода (ст. 6(1)(a)) — opt-in через банер файлів cookie; opt-out через Налаштування → Конфіденційність |
| Листування зі службою підтримки | Вирішення ваших запитів до служби підтримки | Законний інтерес + Договір |
3. Субобробники
Ми залучаємо наступних субобробників. Кожен із них зв'язаний Угодою про обробку даних (DPA), що відповідає статті 28 GDPR.
| Обробник | Роль | Категорія даних | Регіон |
|---|---|---|---|
| Cloudflare, Inc. | CDN, WAF, DNS | HTTP-трафік, IP, метадані запитів | EU edge |
| Stripe Payments Europe, Ltd. | Обробка платежів | Дані картки, email, країна виставлення рахунку | Ірландія (EU) |
| Telegram Messenger LLP | Платформа для ботів, Login Widget | Telegram ID, ім'я, URL фотографії, необов'язкове ім'я користувача | Мультирегіональний |
| Google Ireland Ltd. (Gemini) | ШІ-генерація для оголошень | Назва товару + фотографія | EU + US (регіони варіюються) |
| Anthropic, PBC (Claude) | ШІ-розпізнавання зображень — виключно як резервний варіант | Фотографія товару | US |
| PostHog Inc. (Cloud EU) | Аналітика продукту — лише за згодою (opt-in) | Псевдонімізований Telegram ID, тарифний план, країна, мова | EU (Франкфурт + Гельсінкі) |
| Hetzner Online GmbH | Хостинг серверів | Усі збережені дані (data at rest) | Фінляндія / Німеччина |
| Cloudflare R2 | Сховище фотографій | Фотографії товарів, завантажені користувачами | EU |
4. Транскордонна передача даних
Більшість операцій з обробки здійснюється в межах EU/EEA. Три субобробники можуть передавати дані за межі EEA:
- Telegram — діє в кількох юрисдикціях і не бере на себе зобов'язань щодо розміщення інфраструктури чатів виключно в межах EU. Дані, які ми отримуємо від Telegram, обмежуються загальнодоступними полями профілю (ім'я, ID, необов'язковий URL фотографії), переданими через Login Widget; вміст чатів не потрапляє до наших систем.
- Google (Gemini) — обробка запитів ШІ може маршрутизуватися через регіони США (US). Передача ґрунтується на Стандартних договірних умовах (Рішення Комісії (EU) 2021/914) та Рамковій програмі із захисту конфіденційності даних між ЄС та США (EU-U.S. Data Privacy Framework), де це застосовно.
- Anthropic (Claude) — використовується лише як резервний варіант для розпізнавання зображень у разі недоступності Google Gemini. Обробка здійснюється в США (US) відповідно до Стандартних договірних умов (Рішення Комісії (EU) 2021/914). Передається лише фотографія товару.
5. Зберігання даних
- Дані облікового запису, товари, фотографії: зберігаються, доки ваш обліковий запис є активним. Видаляються протягом 30 днів після запиту на видалення облікового запису (через команду бота
/deleteaccount). Резервні копії остаточно видаляються протягом наступних 60 днів (загалом 90 днів). - Події аналітики: 90 днів у PostHog, після чого автоматично видаляються.
- Платіжна документація: зберігається протягом 7 років для дотримання вимог шведського Закону про бухгалтерський облік (Bokföringslagen 1999:1078). Ці записи зберігаються окремо від даних облікового запису та не підлягають видаленню під час видалення облікового запису.
- Журнали серверів: 30 днів на рівні edge (Cloudflare); ми не централізуємо вихідні журнали серверів понад те, що необхідно для розслідування інцидентів.
6. Ваші права (статті 15–22 GDPR)
- Право на доступ (ст. 15): запитати копію ваших даних — скористайтеся командою бота
/exportдля товарів або зверніться до служби підтримки щодо решти даних. - Право на виправлення (ст. 16): виправити неточні дані через панель керування або відредагувавши товари в боті.
- Право на видалення (ст. 17): видалити свій обліковий запис за допомогою
/deleteaccount. Це призводить до видалення всіх даних облікового запису з урахуванням винятків щодо зберігання, зазначених у розділі 5. - Право на обмеження обробки (ст. 18): вимагати призупинення обробки на час врегулювання спору — зверніться до служби підтримки.
- Право на мобільність даних (ст. 20): команда
/exportнадає дані вашого інвентарю у форматі CSV. - Право на заперечення (ст. 21): заперечити проти обробки на підставі законного інтересу — зверніться до служби підтримки; ми припинимо обробку, якщо не зможемо надати переконливих законних підстав для її продовження.
- Автоматизоване прийняття рішень (ст. 22): ми не приймаємо рішень, що ґрунтуються виключно на автоматизованій обробці, які створюють юридичні наслідки або подібним чином суттєво впливають на вас.
Ми відповідаємо на підтверджені запити протягом одного календарного місяця відповідно до ст. 12 із можливістю подовження строку ще на два місяці для складних запитів із завчасним повідомленням.
7. Файли cookie та аналогічні технології
Суворо необхідні файли cookie (згода, країна, мовні налаштування, захист від ботів) встановлюються без попередньої згоди, оскільки вони потрібні для надання безпосередньо запрошених вами функцій. Аналітичні файли cookie (PostHog) встановлюються лише після вашої згоди через банер cookie; ви можете відкликати згоду в будь-який час через Налаштування → Конфіденційність.
8. Безпека
Ми використовуємо протокол TLS для всього трафіку, шифруємо конфіденційні дані при зберіганні, не зберігаємо паролі у відкритому вигляді (використовується виключно автентифікація через Telegram) та здійснюємо регулярну ротацію токенів API. Доступ до робочих даних (production data) має виключно контролер. Ми повідомляємо постраждалих користувачів та наглядовий орган про порушення безпеки персональних даних, які можуть становити ризик для суб'єктів даних, відповідно до статей 33–34 GDPR.
9. Право на подання скарги
Ви маєте право подати скаргу до Шведського органу захисту конфіденційності:
Integritetsskyddsmyndigheten (IMY)
Box 8114, 104 20 Stockholm
[email protected] · imy.se
Ви також маєте право звернутися до наглядового органу за місцем вашого постійного проживання або місцем роботи.
10. Зміни
Ми можемо оновлювати цю Політику конфіденційності з метою відображення змін у продукті, законодавстві або регуляторних вимогах. Рядок «Дата набрання чинності» вгорі вказує на останню версію документа. Про суттєві зміни, що стосуються ваших даних, буде повідомлено електронною поштою або через додаток щонайменше за 30 днів до набрання ними чинності.
11. Контактна інформація
Питання конфіденційності, запити суб'єктів даних, повідомлення про вразливості системи безпеки: [email protected].