Политика конфиденциальности для курьеров

Владельцем ваших персональных данных является субъект хозяйствования, который ведёт заведение «Полігон» и с которым вы заключили договор о работе курьером (трудовой или гражданско-правовой), далее: заведение. Его реквизиты приведены в разделе 9.

Политика касается только работы курьером: учётной записи, смен, доставок, геолокации, расчётов и переписки с гостями. Как заведение обрабатывает данные гостей, описано в отдельном документе:

Политика конфиденциальности

В зависимости от того, чем вы пользуетесь в приложении, обрабатываются такие данные:

• Учётная запись: имя (и фамилия, если её вписал администратор), номер телефона, пароль, язык приложения, точки заведения, на которых вы можете открывать смену, и активна ли учётная запись; если заведение ведёт их в системе, также ставка оплаты, её вид и дата приёма на работу. Учётную запись создаёт администратор заведения: зарегистрироваться в приложении самостоятельно нельзя. Пароль сервер хранит только в виде хеша, поэтому прочитать его не может никто, в том числе персонал заведения.
• Смены: точка, время начала и окончания смены и время последнего сигнала приложения. Пока смена открыта, приложение раз в минуту сообщает серверу, что оно на связи; если сигнала нет 10 минут, сервер закрывает смену сам.
• Работа с заказами: какие заказы вы взяли, когда меняли их статус, а если отметили «Не вручено», то причина и ваш комментарий. Если гость оценил доставку в отзыве, оценка связана с заказом, который вы доставили.
• Геолокация во время доставки: точные координаты GPS, направление и скорость движения (раздел 3).
• Расчёты: наличные, которые вы приняли от гостей, сдача кассы заведения (дата, сумма, заказы), чаевые по вашим заказам и их выплаты, выплаты заработной платы, если заведение записывает их в системе.
• Переписка с гостем в чате заказа.
• Технические данные: идентификатор телефона для push-уведомлений, а если приложение аварийно завершилось, отчёт о сбое (раздел 5).

Камерой, микрофоном, контактами и фото на телефоне приложение не пользуется.

Приложение начинает передавать вашу позицию, когда вы нажимаете «В пути», и останавливается, когда у вас не остаётся ни одного заказа в пути: вы отметили последний «Доставлен» или «Не вручено», менеджер передал его другому курьеру или заказ отменили. Пока вы движетесь, оно каждые несколько секунд отправляет на сервер точные координаты GPS, направление и скорость движения. Открытая смена сама по себе позицию не передаёт.

О том, что заказ сняли или отменили, приложение узнаёт от сервера сразу, а если связи нет, то как только она восстановится; до этого оно может отправить ещё несколько точек. Сервер показывает позицию гостю только по заказу, который сейчас в пути и закреплён за вами, поэтому такие точки на карту гостя не попадают, а записываются как ваша последняя известная позиция и в журнал маршрута без привязки к заказу (раздел 6).

Чтобы позиция передавалась и тогда, когда экран заблокирован или открыт навигатор, приложение просит доступ к геолокации в фоне. На Android оно сначала объясняет это на отдельном экране, и фоновый доступ включается только кнопкой «Включить»; пока позиция передаётся в фоне, в панели уведомлений видно уведомление приложения о доставке. На iPhone разрешение запрашивает система, а во время передачи в фоне iPhone показывает свой индикатор геолокации.

Если вы не разрешите фоновый доступ, приложение продолжает работать и передаёт позицию, только пока оно открыто на экране. Без разрешения на геолокацию доставку тоже можно выполнить, но гость не будет видеть вас на карте. Разрешение можно изменить в любой момент в настройках телефона.

Пока заказ в пути, приложение раз в 45 секунд отправляет серверу заведения вашу текущую позицию и точку доставки, чтобы показать на карточке заказа расстояние и время до гостя. Кнопки «Маршрут» и «Навигация» открывают Google Maps с адресом гостя; вашу позицию приложение туда не передаёт, а навигацию дальше ведёт Google по своим правилам.

• Исполнение договора с вами (п. 3 ч. 1 ст. 11 Закона № 2297-VI; ст. 6(1)(b) GDPR): учётная запись и вход, смены, доставки, геолокация во время доставки (чтобы гость видел вас на карте, а заведение следило за доставкой), чат с гостем, расчёты наличными, чаевые и выплаты.
• Исполнение обязанности заведения по закону (п. 5 ч. 1 ст. 11 Закона № 2297-VI; ст. 6(1)(c) GDPR): учёт наличных, выплат и чаевых, бухгалтерские и налоговые записи.
• Законный интерес заведения (п. 6 ч. 1 ст. 11 Закона № 2297-VI; ст. 6(1)(f) GDPR): защита учётных записей от постороннего входа, разбор сбоев приложения, карта курьеров с последней известной позицией, история маршрутов для разбора жалоб и споров о доставке, показатели работы курьеров.

Ваши данные видят и получают:

• Гость заказа, который вы везёте: ваше имя и номер телефона, пока заказ готовится и в пути, чтобы он мог связаться с вами; пока заказ в пути, также вашу позицию на карте и время прибытия. После «Доставлен», отмены или «Не вручено» гость на странице заказа уже не видит ни вашего имени и телефона, ни позиции. Сообщения в чате заказа видит этот гость.
• Персонал заведения, каждый в пределах своей роли: владелец и менеджеры видят вашу учётную запись, смены, заказы, движение во время доставки, историю маршрутов, последнюю известную позицию на карте курьеров, показатели работы, расчёты и переписку в чатах заказов; официанты точки, с которой идёт доставка, видят ваше движение во время доставки и переписку в чатах её заказов; бухгалтер видит смены и расчёты без геолокации.
• Распорядитель Complete solution s. r. o. (Словакия, IČO 56 693 371), который обрабатывает данные по договору с владельцем: размещает и обслуживает приложение курьера, сайт, административную панель и кассу.
• Поставщики хостинга и инфраструктуры, на серверах которых данные хранятся или через которые проходят: Railway Corp. (США): серверная часть и база данных PostgreSQL, плановые задачи, ночная резервная копия и еженедельная проверка, что она восстанавливается; Vercel Inc. (США): административная панель, в которой персонал видит ваши данные, и сайт; Cloudflare, Inc. (США): прокси и DNS, через которые проходит соединение с сервером, и хранилище Cloudflare R2 для зашифрованных резервных копий базы. Передача за пределы Украины: в государства с надлежащей защитой (ч. 3 ст. 29 Закона № 2297-VI), в остальных случаях при договорных гарантиях владельца (п. 5 ч. 4 ст. 29).
• Сервис Expo (США): доставка push-уведомлений о новых и снятых заказах и о сообщениях гостя (идентификатор телефона для уведомлений и текст уведомления) и загрузка обновлений приложения (сервер обновлений получает технические данные запроса, в том числе IP-адрес).
• Сервис мониторинга ошибок Sentry, если он подключён: технические данные о сбоях приложения и сервера и о части запросов к серверу (модель и система телефона, версия приложения, текст и стек ошибки, адрес запроса) и внутренний идентификатор вашей учётной записи, без имени и телефона. Перед отправкой вырезаются пароли, токены, номера телефонов, координаты и содержимое запросов.
• Telegram: если гость пользуется ботом заведения в Telegram, ваши сообщения в чате заказа доходят до него через Telegram; отметка «Не вручено» с причиной, вашим комментарием и внутренним идентификатором учётной записи может поступать в служебный чат технической поддержки платформы в Telegram.
• Anthropic PBC (США), поставщик языковой модели Claude, если заведение подключило ИИ-помощника в административной панели: когда владелец спрашивает о работе курьеров, модели передаются ваше имя (без фамилии и телефона) и показатели за период: количество доставок, их сумма, среднее время доставки и чаевые. Передача за пределы Украины: в государства с надлежащей защитой (ч. 3 ст. 29 Закона № 2297-VI), в остальных случаях при договорных гарантиях владельца (п. 5 ч. 4 ст. 29).
• Картографический сервис маршрутов, если заведение его подключило: ваша позиция и точка доставки, чтобы рассчитать время прибытия.
• Сервисы, которые заведение само подключило к своей системе через открытый API (касса, учёт, CRM), если заведение дало им доступ к заказам: ваше имя в данных заказа, который вы доставляете.
• Google, только когда вы открываете маршрут кнопкой «Маршрут» или «Навигация»: Google Maps получает адрес гостя, а дальше обрабатывает данные по своим правилам.
• Государственные органы, только на основании законных требований.

Заведение не продаёт ваши персональные данные.

Сроки хранения:

• Журнал маршрута (точка раз в 30 секунд, пока приложение передаёт позицию): 30 дней, затем точки удаляет ежедневная задача очистки базы.
• Последняя известная позиция (координаты и время): хранится в вашем профиле курьера без срока. Её заменяет позиция следующей доставки; ни завершение смены, ни выход из приложения, ни отключение учётной записи её сейчас не удаляют.
• Учётная запись и профиль (имя, телефон, язык, точки, условия оплаты): без срока, пока заведение не удалит учётную запись. Отключение учётной записи данных не удаляет. Полностью удалить учётную запись можно, только если за ней нет смен, сдачи кассы, выплат и чаевых; иначе она остаётся отключённой, потому что эти записи заведение хранит как учётные.
• Смены, сдача кассы, чаевые и выплаты: без срока, как учётные документы заведения.
• Переписка в чате заказа: 12 месяцев или меньше, если гость этого заказа попросит удалить свои данные.
• Журнал действий (например, отметка «Не вручено» с вашим комментарием): через 3 года из записи удаляются данные о том, кто действовал, и подробности; сама запись остаётся.
• Служебная статистика (когда заказы снимали с вас и по какой причине заказ не вручён) с идентификатором учётной записи: без срока.
• Идентификатор для push-уведомлений: до выхода из учётной записи на телефоне; отключение учётной записи его не удаляет.
• На телефоне данные входа и профиль лежат в защищённом хранилище системы и удаляются, когда вы выходите из учётной записи; выбранный язык остаётся.

Зашифрованные резервные копии базы хранят данные ещё до 30 дней (ежедневные копии) и до 12 месяцев (ежемесячные), пока копия не будет удалена; копии нужны только для восстановления базы после сбоя.

Приложение связывается с сервером только по шифрованному соединению (HTTPS и защищённый WebSocket). Пароль сервер хранит только в виде хеша, а данные входа на телефоне лежат в защищённом хранилище системы. Персонал видит ваши данные только в пределах своей роли и точек заведения. Выход из учётной записи удаляет данные входа с телефона и, если телефон на связи, завершает сессию на сервере. Чтобы завершить все сессии, в том числе ту, из которой вы вышли без связи, попросите администратора сменить пароль.

В соответствии со ст. 8 Закона Украины «О защите персональных данных» вы имеете право знать, какие ваши данные обрабатываются, откуда они, где хранятся и кому передаются; получать доступ к ним; требовать исправления неточных данных и удаления тех, которые обрабатываются незаконно или уже не нужны; возражать против обработки; обращаться с жалобой к Уполномоченному Верховной Рады Украины по правам человека или в суд.

Исправить имя или номер телефона, сменить пароль или отключить учётную запись может администратор заведения. Язык вы меняете сами в приложении, а доступ к геолокации в настройках телефона.

С любым запросом о ваших данных обращайтесь в заведение по адресу hello@poligon.vitrina.cafe или по другим контактам из раздела 9. Записи, которые заведение обязано хранить по закону (учёт наличных, выплат и чаевых), по запросу не удаляются.

По вопросам обработки ваших персональных данных обращайтесь:

Новую редакцию политики заведение публикует на этой странице; дата последнего обновления указана вверху.