Це повідомлення за статтею 13 Загального регламенту про захист даних (GDPR). Воно розповідає, хто відповідає за ваші дані, які саме дані обробляє Квіт, на якій правовій підставі, кому вони передаються, як довго зберігаються і як ви можете ними розпорядитися. Тут є і те, що для нас незручне: ця політика описує застосунок таким, який він є сьогодні, а не таким, яким нам хотілося б його показати.
1. ХТО ВІДПОВІДАЄ ЗА ВАШІ ДАНІ
Контролер ваших даних — тобто той, хто вирішує, як і для чого вони обробляються, — видавець застосунку Квіт. Реєстраційні дані видавця вказані на сторінці застосунку в App Store та Google Play, де він зазначений як продавець.
Питання про приватність, запити щодо ваших прав і скарги надсилайте на contact@kvitcare.com. Ми відповідаємо не пізніше ніж за один місяць — цей строк встановлює стаття 12(3) GDPR. Окремої форми заповнювати не потрібно: достатньо листа.
2. ЩО КВІТ ОБРОБЛЯЄ І НА ЯКІЙ ПІДСТАВІ
2.1. Дані про здоров’я — особлива категорія (стаття 9 GDPR).
Це дати менструацій та їх інтенсивність, симптоми, настрій, нотатки, позначки статевої активності та її захищеності, дати вагітності й передбачувана дата народження, вага, записи та фото щоденника вагітності, показники лічильника поштовхів і таймера перейм, післяпологові записи.
Правова підстава — ваша явна згода (стаття 9(2)(a) GDPR). Ви даєте її під час знайомства, коли позначаєте згоду з цією політикою, і можете відкликати будь-коли (розділ 7).
Мета рівно одна: показувати вам ваші ж записи, календар і прогнози на їх основі. Ці дані не використовуються для реклами, не продаються і не передаються нікому для його власних цілей.
2.2. Обліковий запис (необов’язковий).
Квіт працює без входу. Якщо ви входите через Google або Apple, ми отримуємо від них ідентифікатор вашого акаунта та адресу електронної пошти — щоб привʼязати до вас хмарну копію й дати доступ до неї з іншого пристрою. Паролів ми не бачимо і не зберігаємо: вхід відбувається лише через Google або Apple, окремої реєстрації з паролем у Квіт немає.
Правова підстава — виконання договору з вами (стаття 6(1)(b) GDPR).
2.3. Підписка Квіт+.
Оплату обробляє App Store або Google Play — даних вашої банківської картки ми не бачимо і не зберігаємо ніколи. Щоб знати, чи активна у вас підписка, ми користуємося сервісом Qonversion (обробник). Він отримує рівно три речі: історію покупок у сторі, ідентифікатор вашого застосунку та пристрою і технічні дані пристрою (модель, версія системи, роздільність екрана).
Ці дані потрібні винятково для того, щоб відкрити вам Квіт+ і бачити стан підписки. Рекламних ідентифікаторів ми не збираємо і для рекламного відслідковування ці дані не використовуємо. Даних про здоров’я в цей контур не потрапляє нічого.
Правова підстава — виконання договору (стаття 6(1)(b) GDPR).
2.4. Дата народження (необов’язково).
Ви можете вказати її під час знайомства або в Профілі. Вона потрібна нам для двох речей: щоб підказки про цикл враховували ваш вік (норми циклу залежать від нього) і щоб привітати вас у ваш день. Більше ні для чого: вона нічого не відкриває й нічого не обмежує в застосунку. Зберігається на вашому пристрої, а в хмарну копію (якщо вона увімкнена) потрапляє лише як шифротекст — ми її не бачимо. Змінити або прибрати можна будь-коли: Профіль → Дата народження → «Не вказувати». Правова підстава — ваша згода (стаття 6(1)(a) GDPR).
2.5. Відгук у застосунку.
Якщо ви надсилаєте відгук, на наш сервер потрапляють: оцінка від 1 до 5, ваш текст у відкритому вигляді, позначка про те, чи можна вам відповісти, і технічні дані — версія та номер збірки застосунку, платформа, версія системи, мова інтерфейсу. Ваш текст читає команда Квіт — на відміну від ваших записів, він не зашифрований.
Форма свідомо не збирає ні режим застосунку, ні екран, з якого ви пишете: «вагітність» — це вже факт про ваше здоров’я. З тієї ж причини ми просимо не писати у відгук даних про здоров’я, і повторюємо це прохання тут.
Окремої копії вашої електронної адреси у відгуку не зберігається — якщо ви дозволили відповісти, ми напишемо на адресу вашого облікового запису.
Правова підстава — ваша згода, яку ви даєте самою відправкою (стаття 6(1)(a) GDPR). Відгуки автоматично видаляються через 90 днів.
2.6. Перевірка версії застосунку.
При запуску Квіт читає з нашого сервера три речі — мінімальну й рекомендовану версію збірки та посилання на сторінку застосунку в сторі — щоб показати вам банер про оновлення. Це читання в один бік: застосунок не надсилає при цьому жодних даних про вас і жодного ідентифікатора, а якщо сервер недоступний, банер просто не показується.
Правова підстава — наш законний інтерес у тому, щоб ви не залишалися на збірці з відомою помилкою (стаття 6(1)(f) GDPR).
2.7. Технічні ідентифікатори платформи (Google Firebase).
У застосунку злінкована бібліотека Google Firebase — вона потрібна для сповіщень спільноти, коли ті працюватимуть. Автоматичний збір даних цією бібліотекою вимкнений на обох платформах, тому в цій версії Квіт вона не повинна надсилати Google ідентифікатор встановлення застосунку.
Коли спільнота увімкнеться і ви дозволите сповіщення, Google отримає технічний ідентифікатор вашого встановлення та токен пристрою — щоб доставити сповіщення. Даних про здоров’я в них немає й не буде.
2.8. Запрошення подруги.
Якщо ви користуєтеся реферальною програмою, на сервері зберігаються ваш код запрошення, факт його використання іншим обліковим записом і нарахований бонус. Це ідентифікатори облікових записів без будь-яких даних про здоров’я. Кому саме належить код, інша учасниця не бачить.
Правова підстава — виконання договору (стаття 6(1)(b) GDPR).
2.9. Спільнота.
У цій версії застосунку спільноти немає: розділ вимкнений, дописів і коментарів не існує, і жодні ваші дані для спільноти не обробляються. Коли спільнота з’явиться, ми оновимо цю політику й попросимо окрему згоду до вашої першої публікації.
2.10. Аналітика використання (необов’язково, за окремою згодою).
Якщо ви дозволите аналітику, застосунок надсилатиме в Google Analytics знеособлену статистику того, як ви ним користуєтесь: які екрани відкриваєте і які дії робите (наприклад, «позначила початок менструації» — сам факт дії, без дати). Це потрібно нам, щоб бачити, які функції справді працюють, а які ніхто не знаходить.
Що туди НЕ потрапляє ніколи: дати, симптоми, настрій, нотатки, вага, тиждень вагітності, передбачувана дата пологів — нічого зі змісту ваших записів. Не передаємо ми й вашу адресу електронної пошти чи будь-який наш ідентифікатор облікового запису; Google бачить лише знеособлений ідентифікатор встановлення, який створює сам.
Чесно про наслідок: серед екранів, які ви відкриваєте, є «Вагітність», «Таймер перейм» і «Після пологів» — тож із самого факту їх відкриття видно, що ви ведете вагітність. Саме тому ми питаємо про це окремо, а не разом із рештою згод.
Правова підстава — ваша явна згода (стаття 9(2)(a) GDPR). До згоди збір вимкнений у конфігурації самого застосунку, яку читає бібліотека Google ще до свого запуску, — а не лише перевіркою в коді. Відкликати можна будь-коли: «Ще» → «Приватність і дані» → «Аналітика»; після відкликання ідентифікатор встановлення стирається.
2.11. Звіти про збої (необов’язково, тією самою згодою, що й аналітика).
Якщо ви дозволили аналітику, застосунок надсилає в Google Crashlytics звіт, коли він падає: місце в коді, де стався збій, назву екрана, на якому ви були, модель пристрою й версію системи. Це потрібно, щоб полагодити те, що ламається, — інакше ми дізнаємось про падіння лише з відгуку в сторі.
Що туди НЕ потрапляє: дати, симптоми, настрій, нотатки, вага, тиждень вагітності — нічого зі змісту ваших записів. Звіт не містить тексту з полів, які ви заповнюєте, і не містить вашого імені чи адреси електронної пошти.
Чесно про наслідок: назва екрана у звіті — така сама вказівка на стан, як і в аналітиці. Якщо застосунок упав на «Таймері перейм», зі звіту видно, що ви ведете вагітність. Саме тому обидва — і аналітика, і звіти про збої — покриті ОДНІЄЮ згодою, а не різними: розділяти їх означало б вдавати, ніби одне безпечніше за інше.
Правова підстава — ваша явна згода (стаття 9(2)(a) GDPR). До згоди збір вимкнений у конфігурації самого застосунку, яку читає бібліотека Google ще до свого запуску. Відкликати можна там само: «Ще» → «Приватність і дані» → «Аналітика та звіти про збої»; після відкликання ще не надіслані звіти видаляються з пристрою.
3. ДЕ ЦІ ДАНІ ЛЕЖАТЬ І ЩО САМЕ ЗАШИФРОВАНО
3.1. На вашому телефоні.
Усі записи створюються і залишаються на пристрої. Файл бази даних зашифрований повністю (AES-256, ключ зберігається в захищеному сховищі системи — Keychain на iOS, Keystore на Android). Це стосується всіх записів у ній: дат менструацій та їх інтенсивності, позначок статевої активності й захищеності, дат вагітності та режиму застосунку.
Частина полів — нотатки, настрій, симптоми, власні симптоми, записи й фото щоденника вагітності, медичні записи — має ДОДАТКОВЕ власне шифрування поверх цього: саме в такому вигляді вони їдуть у хмарну копію, тож сервер їх прочитати не може.
Ключ не залишає ваш пристрій і не відомий нам.
Додатково до шифрування: вхід за PIN-кодом або біометрією, якщо ви його увімкнете. І база не потрапляє в системні резервні копії — на iOS файли бази позначені як виключені з iCloud, на Android застосунок не бере участі в резервному копіюванні взагалі.
3.2. Хмарна копія (необов’язкова).
Хмарна копія з’являється, коли ви входите в обліковий запис. Вона існує для того, щоб на новому пристрої ваші записи повернулися одразу після входу — зберігати щось наперед або вводити якийсь код для цього не потрібно.
Записи шифруються на телефоні (AES-256-GCM) до вивантаження, і на сервер потрапляє рядок виду «ідентифікатор запису, ваш ідентифікатор, шифротекст, час зміни». Ключ до цього шифротексту зберігаємо ми — саме тому відновлення працює без вашої участі. Це означає, що технічний доступ до ваших записів у нас є, і ми не будемо вдавати інакше.
На локальну базу на телефоні це не поширюється: ключ від неї пристрій не покидає і нам не відомий (розділ 3.1). Записи, які існують лише там, недоступні нам у жодному вигляді.
Що на сервері все ж видно у відкритому вигляді, і ми не будемо вдавати інакше: час останньої зміни кожного запису, їх кількість і те, чи ви увімкнули PIN-код. Наявність файлу у сховищі фото щоденника показує сам факт, що ви ведете щоденник вагітності, — його вміст лишається шифротекстом.
4. КОМУ МИ ПЕРЕДАЄМО ДАНІ
Власних серверів Квіт не має, тож ми користуємося постачальниками. Називаємо їх поіменно:
- Supabase — база даних, файлове сховище та авторизація. Проєкт розміщений у Європейському Союзі, регіон Ірландія. Supabase бачить лише те, що описано в розділі 3.2, і діє як обробник за нашим дорученням.
- Qonversion — визначає, чи активна у вас підписка Квіт+. Отримує технічні ідентифікатори та дані про покупку (розділ 2.3). Даних про здоров’я не отримує.
- Apple (App Store) і Google (Google Play) — проводять оплату й керують підпискою. Щодо цих операцій вони діють як самостійні контролери за власними політиками приватності.
- Google (Firebase) — технічні ідентифікатори встановлення й доставка сповіщень, коли вони увімкнені (розділ 2.7).
- Google і Apple — якщо ви входите через них, вони обробляють сам вхід за власними політиками.
- Cloudflare — розміщення сайту kvitcare.com і знеособлений лічильник відвідувань (Cloudflare Web Analytics). Отримує вашу IP-адресу та технічні дані запиту, коли ви відкриваєте сторінки сайту, і нічого з застосунку. Лічильник не ставить файлів cookie, нічого не зберігає у вашому браузері й не впізнає вас на інших сайтах.
- Google (Google Analytics 4) — статистика використання, і на сайті, і в застосунку, у кожному випадку лише після вашої окремої згоди.
На сайті kvitcare.com: відвідування лендінга й матеріалів Квітотеки; до згоди інструмент не завантажується взагалі; ставить файли cookie `_ga`; сторінки політики, умов користування та видалення акаунта його не завантажують ніколи.
У застосунку: які екрани ви відкриваєте і які дії робите (розділ 2.10), а також звіти про збої — місце в коді, назва екрана, модель пристрою (розділ 2.11). Із ваших записів туди не потрапляє нічого — ні дат, ні симптомів, ні настрою, ні нотаток, ні ваги, ні тижня вагітності.
Ключа до ваших записів немає ні в кого з них. Рекламним мережам і брокерам даних ми не передаємо нічого — у Квіт їх просто немає.
5. ПЕРЕДАЧА ЗА МЕЖІ ЄВРОПЕЙСЬКОГО СОЮЗУ
Дані хмарної копії зберігаються в ЄС — регіон Ірландія. Постачальники з розділу 4 — компанії зі США, тому адміністрування й технічна підтримка можуть відбуватися з-за меж Європейського економічного простору. Такі передачі ми покриваємо стандартними договірними положеннями Європейської Комісії (стаття 46(2)(c) GDPR) та угодами про обробку даних із кожним постачальником.
Практично важливо ось що: ваші записи їдуть шифротекстом, тож доступ до їх змісту при такій передачі неможливий незалежно від договорів.
6. СКІЛЬКИ МИ ЗБЕРІГАЄМО
- Записи на телефоні — поки ви їх не видалите або не видалите застосунок.
- Хмарна копія — поки існує ваш обліковий запис. Видалений запис одразу зникає із застосунку, а з сервера остаточно стирається не пізніше ніж за 90 днів (цей строк потрібен, щоб видалення дійшло до ваших інших пристроїв).
- Відгук — 90 днів, потім видаляється автоматично.
- Реферальні дані — поки існує обліковий запис; видаляються разом із ним.
- Обліковий запис — поки ви його не видалите.
Строків «на всяк випадок» ми не тримаємо: даних, які більше не потрібні для описаної тут мети, ми не зберігаємо.
7. ВАШІ ПРАВА І ЯК НИМИ СКОРИСТАТИСЯ
Ви маєте право: дізнатися, які ваші дані ми обробляємо, і отримати їх копію (стаття 15); виправити неточні дані (стаття 16); видалити їх (стаття 17); обмежити обробку (стаття 18); отримати дані у машиночитному вигляді й перенести їх (стаття 20); заперечити проти обробки (стаття 21); відкликати згоду будь-коли (стаття 7(3)) — відкликання не робить незаконною обробку, що відбулася до нього.
Більшість цих прав ви реалізуєте самі, без звернення до нас: записи редагуються й видаляються там, де ви їх створили; «Ще» → «Приватність і дані» → «Видалити всі дані» стирає все (розділ 8); звіт для лікаря формує копію ваших записів. Для решти напишіть на contact@kvitcare.com.
Про одну межу варто знати заздалегідь: ми не можемо прочитати ваші записи про здоров’я, тому не можемо ні надіслати вам їх копію зі свого боку, ні виправити їх на ваше прохання. Доступ до них має лише ваш телефон — саме тому ці права реалізуються в застосунку, а не через нас. У читабельному вигляді ми маємо лише ваш обліковий запис, стан підписки і ваші відгуки — щодо них звертайтеся до нас.
Якщо ви вважаєте, що ми порушили ваші права, ви можете подати скаргу до наглядового органу із захисту даних у країні свого проживання (перелік органів — на сайті Європейської ради із захисту даних, edpb.europa.eu). Ми будемо вдячні, якщо спершу напишете нам — так швидше.
8. ЯК ВИДАЛИТИ ВСЕ
«Ще» → «Приватність і дані» → «Видалити всі дані». Одна дія: стирає локальну базу застосунку і, якщо ви входили в обліковий запис, видаляє сам запис разом із хмарною копією, вашими відгуками та реферальними даними. Це і є спосіб відкликати згоду на обробку даних про здоров’я повністю.
Дія незворотна: скасувати її ми не можемо, бо після неї в нас не залишається нічого, що можна було б відновити. Видалення застосунку з телефона прибирає локальні дані, але не видаляє обліковий запис — для цього скористайтеся кнопкою вище до видалення застосунку.
9. ЧОГО КВІТ НЕ РОБИТЬ
- Не збирає аналітики вашої поведінки й не надсилає звітів про збої без вашої згоди. І аналітика, і звіти про збої в застосунку є (розділи 2.10 і 2.11), але обидва вимкнені, доки ви окремо їх не дозволите одним рішенням, і вимикаються назад у будь-який момент.
- Не показує рекламу і не містить рекламних бібліотек.
- Не продає ваші дані й не передає їх брокерам даних.
- Не відслідковує вас між застосунками та сайтами.
- Не ухвалює щодо вас автоматизованих рішень із юридичними наслідками (стаття 22 GDPR). Прогнози циклу — це інформація для вас, а не рішення про вас, і подаються з рівнем впевненості.
- Не є медичним засобом, не ставить діагнозів і не є засобом контрацепції — див. медичний дисклеймер.
10. ВІК
Квіт призначений для осіб від 16 років — це ви підтверджуєте під час знайомства. Ми свідомо не обробляємо дані дітей молодшого віку. Якщо ви вважаєте, що дитина скористалася застосунком, напишіть на contact@kvitcare.com, і ми видалимо дані.
11. ЗМІНИ ДО ЦІЄЇ ПОЛІТИКИ
Якщо ми змінимо політику, нова редакція з’явиться в застосунку з новою датою редакції на початку. Про суттєві зміни, що стосуються ваших даних про здоров’я, ми повідомимо в застосунку й попросимо згоду знову — а не вважатимемо, що ви погодилися мовчки.
12. МОВА ЦІЄЇ ПОЛІТИКИ
Цю політику та Умови користування ми публікуємо українською, англійською та польською мовами. У разі будь-якої розбіжності між версіями переважну силу має українська версія — вона є оригіналом, а решта є перекладами. Це не обмежує вашого права звертатися до нас будь-якою з цих трьох мов: ми відповімо тією, якою ви написали.