Політика конфіденційності

Версія 2.0 · Чинна з 9 серпня 2026 року · ← На головну

ПОРУЧ («ми», «нам», «наш») — платформа підтримки військовослужбовців, ветеранів і їхніх родин. Ми серйозно ставимось до вашої приватності. Ця Політика пояснює, які дані ми збираємо, чому і як їх захищаємо.

1. Які дані ми збираємо

• Ідентифікаційні: ім'я, прізвище, телефон, email, аватар (опційно).
• Аутентифікаційні: OAuth-ідентифікатори (Google, Apple), хешовані токени доступу. Паролі ми не зберігаємо у відкритому вигляді.
• Профільні: дата народження, стать, регіон (область, місто), адреса реєстрації, статус військовослужбовця/ветерана, родина (члени родини з їх згоди), група інвалідності (добровільно, лише для ветеранів).
• З документів через Дія.Шеринг: тип і номер документа, строк дії, РНОКПП, фото — див. окремий розділ нижче.
• Діяльність у додатку: ваші заявки на допомогу, записи на консультації, відгуки, чат-повідомлення з AI-асистентом, взаємодія з партнерами.
• Технічні: тип пристрою, push-токен, IP-адреса (у логах серверу), мова.

2. Навіщо ми це збираємо

• Надання послуг: з'єднання вас з партнерами, обробка заявок, резервування консультацій.
• Верифікація статусу УБД: генерація QR-картки для підтвердження у партнерів.
• Безпека: захист від шахрайства, ідентифікація, контроль спаму.
• Покращення продукту: аналітика використання (агрегована, деідентифікована).
• Комунікація: сповіщення про статус заявки, нові події громади.

3. Дані, отримані через Дія.Шеринг

Для підтвердження статусу ви можете поділитися документом у застосунку Дія. Це завжди ваша явна дія: ви бачите в Дії, який документ і кому передаєте, і підтверджуєте передачу самі — це і є ваша згода на обробку.

• Що отримуємо і зберігаємо: тип документа та його номер, строк дії, ПІБ, дату народження, стать, адресу реєстрації, РНОКПП, фото з документа (стає фото профілю — можна замінити будь-коли).
• Що НЕ зберігаємо: копії документів. Файл документа видаляється одразу після обробки — лишаються тільки дані та факт підтвердження.
• Навіщо: підтвердження права на пільгові й безкоштовні послуги, заповнення профілю без ручного вводу, оформлення послуг партнерами (РНОКПП — лише коли конкретна послуга його вимагає).
• Строк: до видалення акаунта або відкликання згоди. При видаленні акаунта дані з документів (включно з номерами та РНОКПП) видаляються разом з рештою.
• Група інвалідності (для ветеранів) — добровільна самодекларація на формі профілю; це дані про здоров'я, які ми обробляємо лише за вашою явною згодою. Можна не вказувати — базовий доступ це не обмежує.

4. Кому ми передаємо ваші дані

Ми НЕ продаємо дані третім сторонам. Обмеженим чином ми передаємо дані:

• Партнерам-виконавцям (юристам, психологам тощо) — лише після того, як ви подали запит на послугу до конкретного партнера. Партнер отримує ваші ім'я, телефон, email і опис запиту.
• Адміністраторам військового формування/громади — для координації соціальної роботи в межах підрозділу, до якого ви належите.
• Обробникам даних: Google (Sign-In), Apple (Sign in with Apple), Postmark (email), TurboSMS (OTP), Cloudflare (CDN та сховище файлів), GigaCloud (хостинг, Україна), Hetzner (резервний хостинг, ЄС). Усі — з відповідними Data Processing Agreements.
• ДП «ДІЯ» — не отримувач, а джерело: документи надходять від Дії за вашою згодою; ми нічого не передаємо в Дію, крім технічного запиту.
• Платіжним провайдерам: Monobank, LiqPay — лише для обробки добровільних пожертв.
• За вимогою закону: правоохоронним органам за судовим рішенням.

5. Зберігання і безпека

• Персональні дані (ім'я, прізвище, email) зберігаються у зашифрованому вигляді (AES-256) на рівні бази даних.
• Паролі — хеш bcrypt (cost 12). Паролі у відкритому вигляді не логуємо і не передаємо.
• Транзит даних — завжди через HTTPS / WSS (TLS 1.3).
• JWT access tokens живуть 15 хв. Refresh tokens — 7 днів, з ротацією.
• Медіа-файли (аватари, фото) — Cloudflare R2 з шифруванням at-rest.
• Доступ до production-серверів має обмежена команда з 2FA-аутентифікацією.

6. Ваші права (GDPR + Закон України про захист персональних даних)

Ви маєте право:

• Переглянути всі свої дані — через Profile у додатку або надіславши запит на [email protected].
• Виправити неточні дані — через Profile → Edit.
• Видалити акаунт — Profile → Settings → Delete account. Після цього ми видаляємо ваші дані протягом 30 днів, залишаючи лише агреговану аналітику без вашої ідентифікації.
• Експортувати дані (право на перенесення) — запит на [email protected].
• Заперечити проти обробки — прямо у додатку або листом.
• Подати скаргу до Уповноваженого Верховної Ради з прав людини.

7. Діти

Додаток призначений для користувачів віком 18+. Якщо ми випадково отримаємо дані неповнолітнього — видалимо їх негайно. Якщо ви батько/опікун і підозрюєте що ваша дитина створила акаунт — пишіть на [email protected].

8. Cookies і аналітика

Ми НЕ використовуємо рекламні cookies і не відстежуємо вас по інших сайтах. Внутрішня аналітика — агрегована, без ідентифікаторів користувачів у відкритому вигляді. Помилки серверу збираються у Sentry з маскуванням PII.

9. Термін зберігання

• Активний акаунт: дані зберігаються поки ви користуєтесь додатком.
• Видалений акаунт: 30 днів grace period → повне видалення, крім обов'язкового аудит-логу (7 років для фінансових операцій за українським законодавством).
• Токени: JWT — 15 хв/7 днів. OTP-коди — 5 хв. Магік-посилання — 15 хв.

10. Зміни у цій Політиці

Ми можемо оновлювати цю Політику. Про суттєві зміни повідомимо у додатку (banner на головній) і на email.

11. Контакти

Контролер персональних даних: ГРОМАДСЬКА ОРГАНІЗАЦІЯ «ПОРУЧ ПРОСТІР ПІДТРИМКИ» ("PORUCH BY YOUR SIDE")
Код ЄДРПОУ: 46403743
Юридична адреса: Україна, 57217, Миколаївська обл., Миколаївський р-н, селище Полігон, вул. Мирна, буд. 19
Скарги і запити щодо даних: [email protected]
Загальна підтримка: [email protected]
Веб-сайт: poruch.center