Якщо коротко: ми обробляємо лише ті персональні дані, які необхідні для роботи сервісу. Не продаємо, не передаємо для маркетингу, не зберігаємо довше, ніж потрібно. Ваші дані — ваші, і ви маєте право в будь-який момент їх отримати, виправити або вимагати видалення. Цей документ — повна версія для тих, кого цікавлять деталі.

1. Загальні положення

1.1. Ця Політика конфіденційності (далі — «Політика») визначає порядок обробки персональних даних під час користування сервісом «Passobus» — веб-застосунком, мобільною версією (PWA), Telegram-ботом і віджетом для вбудовування на сайти, доступним через домени passobus.com, app.passobus.com.

1.2. Політика розроблена відповідно до:

Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI;
Закону України «Про електронну комерцію» від 03.09.2015 № 675-VIII;
Закону України «Про електронні комунікації» в актуальній редакції;
Загального регламенту про захист даних ЄС (Regulation (EU) 2016/679, GDPR) — у частині, що поширюється на оброблення даних резидентів ЄС;
Конвенції Ради Європи № 108 про захист осіб у звʼязку з автоматизованою обробкою персональних даних (ратифікованої Україною).

1.3. Політика є невідʼємною частиною Ліцензійного договору і застосовується до всіх осіб, які користуються Сервісом, незалежно від статусу (Замовник, кінцевий користувач, відвідувач Сайту).

1.4. Користуючись Сервісом, ви підтверджуєте, що ознайомилися з цією Політикою, розумієте її положення та надаєте згоду на обробку персональних даних на її умовах. Якщо ви не погоджуєтеся з будь-якими положеннями цієї Політики — будь ласка, припиніть користування Сервісом.

2. Терміни та визначення

У цій Політиці терміни вживаються у значеннях, визначених Законом України «Про захист персональних даних» та GDPR:

Персональні дані — будь-яка інформація, що стосується ідентифікованої фізичної особи або фізичної особи, яка може бути ідентифікована (зокрема: імʼя, прізвище, номер телефону, адреса електронної пошти, IP-адреса, ідентифікатор cookie).
Володілець персональних даних (контролер за GDPR) — фізична або юридична особа, яка визначає мету обробки та засоби обробки персональних даних.
Розпорядник персональних даних (процесор за GDPR) — фізична або юридична особа, якій володілець доручає обробку персональних даних.
Субʼєкт персональних даних — фізична особа, до якої належать персональні дані.
Обробка персональних даних — будь-яка дія або сукупність дій з персональними даними: збір, реєстрація, накопичення, зберігання, адаптація, зміна, поновлення, використання, поширення, передача, знеособлення, знищення.
Згода субʼєкта — добровільне волевиявлення про надання дозволу на обробку його персональних даних відповідно до сформульованої мети.

3. Хто є володільцем даних

3.1. Володілець персональних даних відвідувачів Сайту, Замовників та користувачів Облікових записів — Passobus (контактна адреса: support@passobus.com). Володілець визначає мету та засоби обробки персональних даних, які отримуються безпосередньо від таких осіб.

3.2. Володільцем персональних даних кінцевих клієнтів (пасажирів, відправників і одержувачів посилок), яких Замовник вносить до Сервісу, є сам Замовник. У цій частині Passobus виступає розпорядником персональних даних, який обробляє дані виключно за дорученням Замовника на підставі Ліцензійного договору.

3.3. Розподіл ролей між сторонами:

Замовник (володілець): визначає, чиї дані вносити до Сервісу, отримує згоди від кінцевих клієнтів, відповідає за достовірність даних, призначає термін зберігання згідно зі своєю політикою.
Passobus (розпорядник): забезпечує технічну інфраструктуру, ізоляцію даних різних Замовників, шифрування, щоденне резервне копіювання, реалізацію прав субʼєктів за зверненням Замовника.

4. Категорії даних, які ми обробляємо

4.1. Дані, які ми отримуємо від Замовника при реєстрації:

прізвище, імʼя, по батькові уповноваженого представника;
назва компанії та її форма (ФОП, ТОВ, інше);
адреса електронної пошти;
номер контактного телефону;
веб-сайт компанії (за бажанням);
пароль (зберігається у вигляді криптографічного хешу bcrypt cost 12, ніколи у відкритому вигляді).

4.2. Дані користувачів Облікового запису:

імʼя, прізвище, адреса електронної пошти;
роль у системі (власник, адміністратор, диспетчер, водій);
хеш пароля;
дата і час останнього входу;
журнал дій (audit log) — для розслідування інцидентів безпеки.

4.3. Дані кінцевих клієнтів Замовника:

Замовник вносить до Сервісу персональні дані пасажирів і відправників / одержувачів посилок:

імʼя, прізвище;
номер мобільного телефону;
адреса електронної пошти (за наявності);
адреси посадки і висадки (місто, вулиця, дім);
історія поїздок і сум оплат у межах роботи з Замовником;
коментарі диспетчера;
у разі замовлення посилки — ваги, габаритів, опису вмісту, контактів відправника й одержувача.

4.4. Технічні дані, які збираються автоматично:

IP-адреса зʼєднання;
тип і версія браузера, операційної системи, пристрою;
ідентифікатор сесії, refresh-token (зберігається в httpOnly cookie з прапорцем SameSite=Strict);
дата, час і шлях запиту до сервера, код відповіді, обсяг переданих даних — для технічних логів;
ідентифікатор пристрою для Web Push-сповіщень (endpoint, p256dh, auth — стандарт WebPush API).

4.5. Платіжні дані:

Дані платіжних карток не зберігаються на серверах Passobus. Замовник вводить реквізити картки безпосередньо на захищеній сторінці платіжного провайдера «Plata by Mono» (АТ «Універсал Банк»). Ми отримуємо лише знеособлений токен (умовний ідентифікатор картки), який зберігається у зашифрованому вигляді (AES-256-GCM) і використовується виключно для рекурентних списань. У наших системах також зберігається довідкова інформація: останні 4 цифри номера картки, бренд (Visa / Mastercard), термін дії — для відображення в Особистому кабінеті.

4.6. Дані, що збираються через Telegram-бот і віджет:

Telegram-бот: ідентифікатор Telegram-користувача (chat_id), імʼя та username (за наявності), повідомлення, надіслані боту в межах сценарію бронювання.
Віджет на сайті Замовника: дані, які кінцевий клієнт самостійно вводить у форму бронювання (імʼя, телефон, маршрут, дата). IP-адреса і user-agent зберігаються у журналі для боротьби зі спамом.

5. Мета та правові підстави обробки

Наведена нижче таблиця показує, навіщо саме ми обробляємо ваші дані і на якій правовій підставі. Будь-яка обробка, що не охоплена цим переліком, не здійснюється.

5.1. Виконання Ліцензійного договору

Правова підстава: ст. 11, ч. 1, п. 2 Закону 2297-VI; ст. 6(1)(b) GDPR.

Дані обробляються для:

створення та обслуговування Облікового запису;
надання доступу до функцій Сервісу відповідно до обраного Тарифного плану;
виставлення рахунків, обліку оплат, формування квитанцій;
забезпечення технічної підтримки.

5.2. Виконання вимог законодавства

Правова підстава: ст. 11, ч. 1, п. 6 Закону 2297-VI; ст. 6(1)(c) GDPR.

Дані обробляються для:

виконання вимог податкового, бухгалтерського та антимонопольного законодавства;
відповіді на запити уповноважених державних органів у випадках, прямо передбачених законом.

5.3. Законний інтерес

Правова підстава: ст. 11, ч. 1, п. 5 Закону 2297-VI; ст. 6(1)(f) GDPR.

Дані обробляються для забезпечення безпеки Сервісу: запобігання несанкціонованому доступу, виявлення спроб шахрайства, захист від DDoS-атак, ведення журналу подій (audit log) для розслідування інцидентів. Технічні логи зберігаються 12 (дванадцять) місяців і доступні лише обмеженому колу інженерів Виконавця.

5.4. Згода субʼєкта

Правова підстава: ст. 11, ч. 1, п. 1 Закону 2297-VI; ст. 6(1)(a) GDPR.

На підставі окремої згоди ми:

надсилаємо Web Push-сповіщення про події у Сервісі (нове бронювання, нагадування про закінчення підписки) — згода надається при підключенні сповіщень у браузері;
надсилаємо інформаційні повідомлення (новини продукту, корисні поради) — згода надається при заповненні форми підписки на розсилку, відкликання — посиланням «Відписатися» в кожному листі.

6. Як ми отримуємо дані

6.1. Безпосередньо від субʼєкта. При заповненні форм реєстрації, оплати, технічної підтримки — на сторінках passobus.com / app.passobus.com / у Telegram-боті / у віджеті на сайті Замовника.

6.2. Через Замовника. Дані кінцевих клієнтів (пасажирів) Сервіс отримує від Замовника, який є їх володільцем.

6.3. Автоматично під час користування Сервісом. Технічні дані (IP, user-agent, час входу) фіксуються веб-сервером і зберігаються в логах.

6.4. Від платіжного провайдера. Інформація про результат платежу (статус, ідентифікатор операції, маска картки) надходить від «Plata by Mono» через захищений webhook, підписаний ECDSA P-256.

7. Cookies та технології відстеження

7.1. Сервіс використовує файли cookie у мінімально необхідному обсязі. Перелік:

Технічні (обовʼязкові): refresh-token (httpOnly, Secure, SameSite=Strict, тривалість 7 днів) — для відновлення сесії без повторного введення пароля; cookie-banner-state — для запамʼятовування вибору щодо банера cookies.
Функціональні: налаштування інтерфейсу користувача (мова, тема, останній відкритий розділ).
Аналітичні: на лендінгу passobus.com — анонімна статистика відвідуваності без передачі даних рекламним мережам.

7.2. Ми не використовуємо рекламних cookie, не інтегрували Google Analytics, Facebook Pixel чи аналогічні системи поведінкового відстеження для побудови рекламних профілів.

7.3. Ви можете заблокувати або видалити cookies у налаштуваннях браузера. Зверніть увагу, що блокування технічних cookies зробить неможливим вхід до Особистого кабінету. Деталі — у Cookie Policy.

8. Передача даних третім особам

8.1. Ми передаємо персональні дані тільки тим розпорядникам (підрядникам), які допомагають нам надавати Сервіс, і лише в обсязі, необхідному для виконання їхніх функцій. Усі розпорядники зобовʼязані забезпечити рівень захисту даних, що відповідає вимогам Закону 2297-VI та GDPR.

8.2. Перелік розпорядників (subprocessors):

Hetzner Online GmbH (Німеччина) — постачальник хмарної інфраструктури, де розгорнуто веб-застосунок і базу даних. Дата-центр у Фалькенштайні (Federal Republic of Germany), сертифікація ISO/IEC 27001.
АТ «Універсал Банк» / Plata by Mono (Україна) — обробка платежів, токенізація платіжних карток, виставлення рахунків.
SendPulse Inc. (Україна / США) — надсилання транзакційних листів: підтвердження адреси електронної пошти, відновлення пароля, повідомлення про закінчення підписки, квитанції про оплату.
Telegram FZ-LLC (ОАЕ) — служба обміну повідомленнями, до якої Замовник самостійно підключає бота через токен @BotFather. Передача даних здійснюється виключно за ініціативою Замовника.
Cloudflare Inc. (США / EU) — захист від DDoS-атак та оптимізація доставки контенту. Опрацьовує лише технічні дані зʼєднання (IP, заголовки HTTP).
Національний банк України — отримання щоденного офіційного курсу EUR/UAH через відкритий API НБУ. Передача персональних даних не здійснюється.

8.3. Ми не передаємо персональні дані рекламним мережам, агрегаторам даних, брокерам даних, маркетинговим компаніям з метою профілювання або таргетованої реклами.

8.4. Передача даних правоохоронним органам, суду або іншим уповноваженим державним органам здійснюється виключно у випадках, прямо передбачених законом, на підставі належним чином оформленого запиту або судового рішення.

9. Транскордонна передача

9.1. Основна частина даних обробляється на серверах у країні — члені ЄС (Hetzner, Німеччина), що забезпечує рівень захисту, відповідний Закону України «Про захист персональних даних» та GDPR. Транскордонна передача до країн ЄС здійснюється на підставі рішення Європейської Комісії про адекватність рівня захисту.

9.2. Передача даних розпорядникам, що знаходяться поза межами ЄС (Telegram, Cloudflare), здійснюється на підставі стандартних договірних положень (Standard Contractual Clauses), затверджених Європейською Комісією, або інших правових механізмів, що забезпечують належний рівень захисту.

10. Строки зберігання

10.1. Ми зберігаємо персональні дані лише стільки часу, скільки це необхідно для досягнення мети обробки, або протягом строку, встановленого законом.

10.2. Конкретні строки:

Дані Облікового запису і Тенанта — протягом усього строку дії Ліцензійного договору. Після припинення Договору — 90 (девʼяносто) календарних днів у режимі «тільки читання» для можливості експорту, після чого видаляються з активних систем.
Резервні копії — 90 днів з моменту створення відповідної копії; зберігаються у зашифрованому вигляді.
Журнал дій (audit log) — 24 (двадцять чотири) місяці. Після закінчення цього строку записи видаляються або знеособлюються.
Технічні логи (запити до сервера) — 30 (тридцять) календарних днів.
Журнал webhook-подій від платіжного провайдера — 36 (тридцять шість) місяців відповідно до вимог фінансового моніторингу.
Платіжні токени — до моменту відвʼязки картки Замовником або до закінчення терміну дії картки.
Бухгалтерські документи (рахунки, квитанції) — відповідно до строків, встановлених Податковим кодексом України та Законом «Про бухгалтерський облік та фінансову звітність в Україні» (зазвичай 3 роки після останнього звітного періоду).
Дані з форми зворотного звʼязку — 12 (дванадцять) місяців з моменту останнього звернення.

11. Заходи безпеки

11.1. Ми вживаємо технічних та організаційних заходів для захисту персональних даних від несанкціонованого доступу, зміни, розкриття або знищення:

шифрування каналу звʼязку (TLS 1.3) для всіх запитів між пристроєм користувача і серверами Сервісу;
шифрування чутливих полів у базі даних алгоритмом AES-256-GCM (токени Telegram-ботів, токени платіжних карток, ключі API);
зберігання паролів у вигляді криптографічного хешу bcrypt (cost 12) — пароль у відкритому вигляді не зберігається ніде в системі;
ізоляція даних різних Замовників на рівні бази даних (multi-tenancy — кожен запис містить ідентифікатор тенанта, кожен SQL-запит фільтрує за ним);
автоматичне щоденне резервне копіювання бази даних із зашифрованим зберіганням резервних копій;
обмеження доступу: тільки уповноважені працівники Виконавця мають доступ до серверів, кожен доступ фіксується;
багатофакторна автентифікація для адміністративного доступу до інфраструктури;
регулярний моніторинг безпеки, у тому числі сканування на вразливості (gosec, pnpm audit, Trivy) як частина процесу збірки;
обмеження частоти запитів (rate-limiting) на критичних точках (логін — 5 запитів за хвилину, віджет — 10 запитів за хвилину з IP).

11.2. Незважаючи на докладені зусилля, жодна система передачі або зберігання даних не гарантує абсолютної безпеки. У разі виявлення інциденту безпеки ми діємо відповідно до розділу 14 цієї Політики.

12. Права субʼєктів даних

12.1. Відповідно до Закону 2297-VI (ст. 8) і GDPR (ст. 15—22) ви маєте наступні права щодо своїх персональних даних:

Право на інформацію — отримати відомості про факт обробки, мету, склад персональних даних, джерела, термін зберігання та коло осіб, яким передаються дані.
Право на доступ — отримати копію персональних даних, які ми обробляємо щодо вас. Усі дані Тенанта доступні для експорту в форматі XLSX/CSV з Особистого кабінету. Інші дані надаються за письмовим запитом протягом 30 (тридцяти) календарних днів.
Право на виправлення — вимагати корекції неточних або неповних персональних даних.
Право на видалення («право бути забутим») — вимагати видалення персональних даних, якщо вони більше не потрібні для мети, для якої їх зібрано, або якщо ви відкликаєте згоду, на якій ґрунтується обробка. Виняток — дані, які ми зобовʼязані зберігати за законом (бухгалтерські документи, дані фінансового моніторингу).
Право на обмеження обробки — вимагати тимчасового припинення обробки даних, якщо їх точність оспорюється або обробка є незаконною.
Право на перенесення даних — отримати свої дані у структурованому, машиночитаному форматі (XLSX/CSV/JSON) для передачі іншому володільцю.
Право на заперечення — заперечити проти обробки, що ґрунтується на законному інтересі, у тому числі проти прямого маркетингу.
Право відкликати згоду — у будь-який момент відкликати раніше надану згоду на обробку. Відкликання не впливає на законність обробки до моменту відкликання.
Право на скаргу — звернутися зі скаргою до Уповноваженого Верховної Ради України з прав людини або до наглядового органу ЄС (для резидентів ЄС).

12.2. Як реалізувати свої права. Звертайтеся на адресу support@passobus.com із темою листа «Запит субʼєкта персональних даних». У зверненні вкажіть:

прізвище, імʼя, по батькові;
контактну адресу електронної пошти, на яку очікуєте відповідь;
яке саме право ви бажаєте реалізувати;
обставини, що дозволяють ідентифікувати вас як субʼєкта (наприклад, адреса електронної пошти Облікового запису, ідентифікатор тенанта).

Ми відповідаємо протягом 30 (тридцяти) календарних днів. У складних випадках цей строк може бути продовжений до 60 (шістдесяти) днів з відповідним повідомленням.

12.3. Якщо запит надходить від кінцевого клієнта Замовника (пасажира), ми перенаправляємо його до відповідного Замовника, який є володільцем цих даних, і повідомляємо субʼєкта про таке перенаправлення.

13. Дані неповнолітніх

13.1. Сервіс не призначений для самостійного використання особами, які не досягли 18 років. Ми не збираємо свідомо персональні дані неповнолітніх.

13.2. Якщо неповнолітній є пасажиром і Замовник вносить його дані до Сервісу, відповідальність за наявність належних правових підстав (згоди батьків або інших законних представників) лежить на Замовнику.

13.3. Якщо нам стане відомо про збір персональних даних неповнолітніх без належної правової підстави, такі дані будуть видалені у найкоротші строки.

14. Реагування на інциденти

14.1. У разі виявлення інциденту, що становить ризик для прав і свобод субʼєктів персональних даних (несанкціонований доступ, втрата, розкриття або зміна даних), ми:

негайно вживаємо технічних та організаційних заходів для локалізації інциденту;
проводимо внутрішнє розслідування із залученням ІТ-фахівців;
повідомляємо Замовників, дані яких потенційно можуть бути зачеплені, протягом 72 (сімдесяти двох) годин з моменту виявлення інциденту;
повідомляємо Уповноваженого Верховної Ради України з прав людини (для українських субʼєктів) і відповідний наглядовий орган ЄС (для резидентів ЄС) — якщо це передбачено законодавством;
фіксуємо інцидент у внутрішньому реєстрі з описом обставин, наслідків і вжитих заходів.

15. Зміни Політики

15.1. Ми залишаємо за собою право вносити зміни до цієї Політики у звʼязку з:

розширенням функціональних можливостей Сервісу;
залученням нових розпорядників (subprocessors) для надання Сервісу;
оновленням законодавства у сфері захисту персональних даних;
необхідністю уточнення формулювань для кращого розуміння субʼєктами.

15.2. Про істотні зміни (зокрема: розширення мети обробки, зміна складу розпорядників, зміна строків зберігання) ми повідомляємо Замовника не менше ніж за 30 (тридцять) календарних днів до набрання змін чинності — повідомленням на адресу електронної пошти та публікацією нової редакції на сторінці passobus.com/legal/privacy.

15.3. Незначні зміни (виправлення граматичних помилок, уточнення посилань) можуть набувати чинності з моменту публікації без додаткового повідомлення.

15.4. Дата останньої редакції зазначена у заголовку цієї Політики.

16. Контакти і скарги

16.1. Для будь-яких питань щодо обробки персональних даних, реалізації прав субʼєкта, повідомлення про інциденти безпеки — єдиний канал звернення: support@passobus.com. У темі листа вкажіть характер звернення («Запит субʼєкта персональних даних», «Інцидент безпеки», «Відкликання згоди» тощо), щоб ми скерували листа до відповідального працівника.

16.2. Якщо ви не задоволені нашою відповіддю або вважаєте, що ваші права субʼєкта персональних даних порушено, ви маєте право звернутися зі скаргою:

Уповноважений Верховної Ради України з прав людини
01008, м. Київ, вул. Інститутська, 21/8
Електронна пошта: hotline@ombudsman.gov.ua
Сайт: ombudsman.gov.ua
Для резидентів ЄС — наглядовий орган захисту даних у країні вашого проживання чи місця інциденту. Перелік: edpb.europa.eu/about-edpb/members.

16.3. Реквізити Володільця персональних даних і реєстраційні дані Виконавця наведено в розділі 18 «Реквізити» Ліцензійного договору.