Політика конфіденційності для курʼєрів

Володільцем ваших персональних даних є субʼєкт господарювання, який веде заклад «Полігон» і з яким ви уклали договір про роботу курʼєром (трудовий або цивільно-правовий), далі: заклад. Його реквізити наведено в розділі 9.

Політика стосується лише роботи курʼєром: облікового запису, змін, доставок, геолокації, розрахунків і листування з гостями. Як заклад обробляє дані гостей, описано в окремому документі:

Політика конфіденційності

Залежно від того, чим ви користуєтеся в застосунку, обробляються такі дані:

• Обліковий запис: імʼя (і прізвище, якщо його вписав адміністратор), номер телефону, пароль, мова застосунку, точки закладу, на яких ви можете відкривати зміну, і чи активний обліковий запис; якщо заклад веде їх у системі, також ставка оплати, її вид і дата прийому на роботу. Обліковий запис створює адміністратор закладу: зареєструватися в застосунку самостійно не можна. Пароль сервер зберігає лише у вигляді хешу, тож прочитати його не може ніхто, зокрема персонал закладу.
• Зміни: точка, час початку й завершення зміни і час останнього сигналу застосунку. Поки зміна відкрита, застосунок раз на хвилину повідомляє серверу, що він на звʼязку; якщо сигналу немає 10 хвилин, сервер закриває зміну сам.
• Робота із замовленнями: які замовлення ви взяли, коли змінювали їхній статус, а якщо позначили «Не вручено», то причина й ваш коментар. Якщо гість оцінив доставку у відгуку, оцінка повʼязана із замовленням, яке ви доставили.
• Геолокація під час доставки: точні координати GPS, напрям і швидкість руху (розділ 3).
• Розрахунки: готівка, яку ви прийняли від гостей, здача каси закладу (дата, сума, замовлення), чайові за вашими замовленнями та їх виплати, виплати заробітної плати, якщо заклад записує їх у системі.
• Листування з гостем у чаті замовлення.
• Технічні дані: ідентифікатор телефона для push-сповіщень, а якщо застосунок аварійно завершився, звіт про збій (розділ 5).

Камерою, мікрофоном, контактами й фото на телефоні застосунок не користується.

Застосунок починає передавати вашу позицію, коли ви натискаєте «В дорозі», і зупиняється, коли у вас не лишається жодного замовлення в дорозі: ви позначили останнє «Доставлено» чи «Не вручено», менеджер передав його іншому курʼєру або замовлення скасували. Поки ви рухаєтеся, він кожні кілька секунд надсилає на сервер точні координати GPS, напрям і швидкість руху. Відкрита зміна сама по собі позиції не передає.

Про те, що замовлення зняли чи скасували, застосунок дізнається від сервера одразу, а якщо звʼязку немає, то щойно він відновиться; до того він може надіслати ще кілька точок. Сервер показує позицію гостю лише за замовленням, яке зараз у дорозі й закріплене за вами, тож такі точки на мапу гостя не потрапляють, а записуються як ваша остання відома позиція і в журнал маршруту без привʼязки до замовлення (розділ 6).

Щоб позиція передавалася й тоді, коли екран заблоковано або відкрито навігатор, застосунок просить доступ до геолокації у фоні. На Android він спершу пояснює це на окремому екрані, і фоновий доступ вмикається лише кнопкою «Увімкнути»; поки позиція передається у фоні, у панелі сповіщень видно сповіщення застосунку про доставку. На iPhone дозвіл запитує система, а під час передавання у фоні iPhone показує свій індикатор геолокації.

Якщо ви не дозволите фоновий доступ, застосунок працює далі й передає позицію, лише поки він відкритий на екрані. Без дозволу на геолокацію доставку теж можна виконати, але гість не бачитиме вас на мапі. Дозвіл можна змінити будь-коли в налаштуваннях телефона.

Поки замовлення в дорозі, застосунок раз на 45 секунд надсилає серверу закладу вашу поточну позицію й точку доставки, щоб показати на картці замовлення відстань і час до гостя. Кнопки «Маршрут» і «Навігація» відкривають Google Maps з адресою гостя; вашої позиції застосунок туди не передає, а навігацію далі веде Google за своїми правилами.

• Виконання договору з вами (п. 3 ч. 1 ст. 11 Закону № 2297-VI; ст. 6(1)(b) GDPR): обліковий запис і вхід, зміни, доставки, геолокація під час доставки (щоб гість бачив вас на мапі, а заклад стежив за доставкою), чат із гостем, розрахунки готівкою, чайові й виплати.
• Виконання обовʼязку закладу за законом (п. 5 ч. 1 ст. 11 Закону № 2297-VI; ст. 6(1)(c) GDPR): облік готівки, виплат і чайових, бухгалтерські й податкові записи.
• Законний інтерес закладу (п. 6 ч. 1 ст. 11 Закону № 2297-VI; ст. 6(1)(f) GDPR): захист облікових записів від стороннього входу, розбір збоїв застосунку, мапа курʼєрів з останньою відомою позицією, історія маршрутів для розбору скарг і спорів щодо доставки, показники роботи курʼєрів.

Ваші дані бачать і отримують:

• Гість замовлення, яке ви везете: ваше імʼя й номер телефону, поки замовлення готується і в дорозі, щоб він міг звʼязатися з вами; поки замовлення в дорозі, також вашу позицію на мапі й час прибуття. Після «Доставлено», скасування чи «Не вручено» гість на сторінці замовлення вже не бачить ні вашого імені й телефону, ні позиції. Повідомлення в чаті замовлення бачить цей гість.
• Персонал закладу, кожен у межах своєї ролі: власник і менеджери бачать ваш обліковий запис, зміни, замовлення, рух під час доставки, історію маршрутів, останню відому позицію на мапі курʼєрів, показники роботи, розрахунки й листування в чатах замовлень; офіціанти точки, з якої йде доставка, бачать ваш рух під час доставки і листування в чатах її замовлень; бухгалтер бачить зміни й розрахунки без геолокації.
• Розпорядник Complete solution s. r. o. (Словаччина, IČO 56 693 371), який обробляє дані за договором з володільцем: розміщує й обслуговує застосунок курʼєра, сайт, адміністративну панель і касу.
• Постачальники хостингу та інфраструктури, на серверах яких дані зберігаються або через які проходять: Railway Corp. (США): серверна частина й база даних PostgreSQL, планові завдання, нічна резервна копія і щотижнева перевірка, що вона відновлюється; Vercel Inc. (США): адміністративна панель, у якій персонал бачить ваші дані, і сайт; Cloudflare, Inc. (США): проксі й DNS, через які проходить зʼєднання із сервером, і сховище Cloudflare R2 для зашифрованих резервних копій бази. Передача за межі України: до держав з належним захистом (ч. 3 ст. 29 Закону № 2297-VI), в інших випадках за договірних гарантій володільця (п. 5 ч. 4 ст. 29).
• Сервіс Expo (США): доставка push-сповіщень про нові й зняті замовлення та повідомлення гостя (ідентифікатор телефона для сповіщень і текст сповіщення) і завантаження оновлень застосунку (сервер оновлень отримує технічні дані запиту, зокрема IP-адресу).
• Сервіс моніторингу помилок Sentry, якщо його підключено: технічні дані про збої застосунку й сервера та про частину запитів до сервера (модель і система телефона, версія застосунку, текст і стек помилки, адреса запиту) і внутрішній ідентифікатор вашого облікового запису, без імені й телефона. Перед надсиланням вирізаються паролі, токени, номери телефонів, координати й вміст запитів.
• Telegram: якщо гість користується ботом закладу в Telegram, ваші повідомлення в чаті замовлення доходять до нього через Telegram; позначка «Не вручено» з причиною, вашим коментарем і внутрішнім ідентифікатором облікового запису може надходити у службовий чат технічної підтримки платформи в Telegram.
• Anthropic PBC (США), постачальник мовної моделі Claude, якщо заклад підключив ШІ-помічника в адміністративній панелі: коли власник питає про роботу курʼєрів, моделі передаються ваше імʼя (без прізвища й телефона) і показники за період: кількість доставок, їхня сума, середній час доставки й чайові. Передача за межі України: до держав з належним захистом (ч. 3 ст. 29 Закону № 2297-VI), в інших випадках за договірних гарантій володільця (п. 5 ч. 4 ст. 29).
• Картографічний сервіс маршрутів, якщо заклад його підключив: ваша позиція й точка доставки, щоб розрахувати час прибуття.
• Сервіси, які заклад сам підключив до своєї системи через відкритий API (каса, облік, CRM), якщо заклад дав їм доступ до замовлень: ваше імʼя в даних замовлення, яке ви доставляєте.
• Google, лише коли ви відкриваєте маршрут кнопкою «Маршрут» чи «Навігація»: Google Maps отримує адресу гостя, а далі обробляє дані за своїми правилами.
• Державні органи, лише на підставі законних вимог.

Заклад не продає ваші персональні дані.

Строки зберігання:

• Журнал маршруту (точка раз на 30 секунд, поки застосунок передає позицію): 30 днів, потім точки видаляє щоденне завдання очищення бази.
• Остання відома позиція (координати й час): зберігається у вашому профілі курʼєра без строку. Її замінює позиція наступної доставки; ні завершення зміни, ні вихід із застосунку, ні вимкнення облікового запису її зараз не видаляють.
• Обліковий запис і профіль (імʼя, телефон, мова, точки, умови оплати): без строку, доки заклад не видалить обліковий запис. Вимкнення облікового запису даних не видаляє. Повністю видалити обліковий запис можна, лише якщо за ним немає змін, здачі каси, виплат і чайових; інакше він лишається вимкненим, бо ці записи заклад зберігає як облікові.
• Зміни, здача каси, чайові й виплати: без строку, як облікові документи закладу.
• Листування в чаті замовлення: 12 місяців або менше, якщо гість цього замовлення попросить видалити свої дані.
• Журнал дій (наприклад, позначка «Не вручено» з вашим коментарем): через 3 роки із запису видаляються дані про те, хто діяв, і подробиці; сам запис лишається.
• Службова статистика (коли замовлення знімали з вас і з якої причини замовлення не вручено) з ідентифікатором облікового запису: без строку.
• Ідентифікатор для push-сповіщень: до виходу з облікового запису на телефоні; вимкнення облікового запису його не видаляє.
• На телефоні дані входу й профіль лежать у захищеному сховищі системи і видаляються, коли ви виходите з облікового запису; вибрана мова лишається.

Зашифровані резервні копії бази зберігають дані ще до 30 днів (щоденні копії) і до 12 місяців (щомісячні), доки копію не буде видалено; копії потрібні лише для відновлення бази після збою.

Застосунок звʼязується із сервером лише шифрованим зʼєднанням (HTTPS і захищений WebSocket). Пароль сервер зберігає тільки у вигляді хешу, а дані входу на телефоні лежать у захищеному сховищі системи. Персонал бачить ваші дані лише в межах своєї ролі й точок закладу. Вихід з облікового запису видаляє дані входу з телефона і, якщо телефон на звʼязку, завершує сесію на сервері. Щоб завершити всі сесії, зокрема ту, з якої ви вийшли без звʼязку, попросіть адміністратора змінити пароль.

Відповідно до ст. 8 Закону України «Про захист персональних даних» ви маєте право знати, які ваші дані обробляються, звідки вони, де зберігаються й кому передаються; отримувати доступ до них; вимагати виправлення неточних даних і видалення тих, що обробляються незаконно або вже не потрібні; заперечувати проти обробки; звертатися зі скаргою до Уповноваженого Верховної Ради України з прав людини або до суду.

Виправити імʼя чи номер телефону, змінити пароль або вимкнути обліковий запис може адміністратор закладу. Мову ви змінюєте самі в застосунку, а доступ до геолокації в налаштуваннях телефона.

З будь-яким запитом щодо ваших даних звертайтеся до закладу на hello@poligon.vitrina.cafe або за іншими контактами з розділу 9. Записи, які заклад зобовʼязаний зберігати за законом (облік готівки, виплат і чайових), на запит не видаляються.

З питань обробки ваших персональних даних звертайтеся:

Нову редакцію політики заклад публікує на цій сторінці; дату останнього оновлення вказано вгорі.