Політика конфіденційності та захисту персональних даних платформи Velora

1Вступ, визначення термінів та законодавча база

У сучасному високотехнологічному екосередовищі професійного планування та клінічного бронювання цифрова суверенність та прозорість є не просто юридичною вимогою, а фундаментальною угодою про довіру між платформою та користувачем. Ця Політика конфіденційності (далі — «Політика») визначає стратегічні засади управління даними на платформі Velora, забезпечуючи правовий захист, цільове використання та непорушність прав кожного суб’єкта в межах глобальної та локальної правових систем.

Володільцем персональних даних (Controller) згідно з цією Політикою є компанія Datasirpi FZC-LLC, зареєстрована за адресою: Business Centre, Sharjah Publishing City Free Zone, Sharjah, United Arab Emirates (Об’єднані Арабські Емірати).

Velora впроваджує синтезовану матрицю відповідності найсуворішим регуляторним режимам. Регуляторною базою для обробки персональних даних є:

• Стаття 32 Конституції України (право на невтручання в особисте життя).
• Закон України № 2297-VI «Про захист персональних даних».
• Федеральний декрет-закон ОАЕ № 45 від 2021 року «Про захист персональних даних» (UAE PDPL).
• Типовий порядок обробки персональних даних (Наказ Уповноваженого ВРУ з прав людини № 1/02-14).
• Загальний регламент про захист даних (GDPR) у частині використання Стандартних договірних умов (SCCs).

Згідно зі Статтею 2 Закону № 2297-VI, терміни вживаються у такому значенні:

• Персональні дані: відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.
• Обробка персональних даних: будь-яка дія або сукупність дій (збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання, поширення, знищення), у тому числі з використанням автоматизованих систем.
• Суб’єкт персональних даних: фізична особа, персональні дані якої обробляються.

Velora застосовує модель «Clickwrap» згоди: доступ до функціоналу надається виключно після активного та добровільного підтвердження згоди користувачем. Платформа категорично забороняє використання попередньо проставлених відміток (pre-checked boxes), забезпечуючи повну відповідність принципу інформованої та вільної згоди.

2Склад та категорії персональних даних, що обробляються

Керуючись принципом мінімізації даних (data minimization), Velora обмежує збір інформації елементами, що є критично необхідними для функціонування сервісу, гарантуючи відповідність стандартам безпеки App Store та Google Play.

Privacy Nutrition Label & Data Inventory

Технологічний бар’єр: 2-way Calendar Sync

Velora впроваджує інтелектуальну синхронізацію з календарями (Google, Outlook, iCloud) через жорстко закодований механізм ізоляції («Privacy Guardrail»). На архітектурному рівні система налаштована на читання виключно метаданих про статус зайнятості (free/busy metadata). Velora технологічно унеможливлює доступ, збирання або зберігання заголовків ваших приватних зустрічей, описів подій чи списків учасників. Це не просто декларативна заява, а заздалегідь визначене технічне обмеження, що гарантує відокремленість професійного графіка від особистого життя.

3Правові підстави та мета обробки

Дотримання принципу «обмеження мети» (purpose limitation) забезпечує використання даних виключно в межах високоінтегрованого середовища планування.

Правові підстави обробки (ст. 11 Закону № 2297-VI та UAE PDPL):

• Для власників бізнесу: Обробка є необхідною для укладення та виконання правочину щодо управління інстанцією платформи, філіями та розрахунками.
• Для персоналу (Specialists & Fellows): Обробка базується на виконанні договору (управління графіком) та явній згоді для доступу до системних ресурсів пристрою (камера для сканування документів, GPS).
• Для клієнтів (Client Bookers): Обробка ґрунтується виключно на Явній згоді (Explicit Consent) та необхідності виконання замовлення на послугу.

Мета обробки:

• Автоматизація сповіщень: Надсилання SMS-нагадувань за 2 години до прийому для досягнення 97-99% рівня охоплення та мінімізації фінансових втрат від неявок.
• Клінічна безпека: Точне планування ресурсів (наприклад, підготовка операційної зали або катетеризаційної лабораторії) на основі наданих клінічних метаданих.
• Дотримання закону: Зберігання фінансових записів для податкового аудиту ОАЕ.

4Права суб’єктів персональних даних

Velora забезпечує повноту прав користувачів відповідно до ст. 8 Закону України «Про захист персональних даних». Кожен суб’єкт має право:

• Знати: про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки, місцезнаходження володільця або розпорядника.
• Отримувати інформацію: про умови надання доступу до персональних даних, зокрема про третіх осіб, яким передаються дані.
• На доступ: до своїх персональних даних.
• Отримувати відповідь: про те, чи обробляються його персональні дані, а також отримувати зміст таких даних (не пізніш як за 30 календарних днів з дня запиту).
• Пред’являти вмотивовану вимогу: володільцю із запереченням проти обробки своїх персональних даних.
• Пред’являти вмотивовану вимогу щодо зміни або знищення: своїх персональних даних, якщо вони обробляються незаконно чи є недостовірними.
• На захист: своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження, а також на захист від надання недостовірних відомостей.
• Звертатися із скаргами: на обробку своїх даних до Уповноваженого Верховної Ради України з прав людини або до суду.
• Застосовувати засоби правового захисту: в разі порушення законодавства.
• Вносити застереження: стосовно обмеження права на обробку своїх даних під час надання згоди.
• Відкликати згоду: на обробку персональних даних.
• Знати механізм автоматичної обробки: персональних даних.
• На захист від автоматизованого рішення: яке має для нього правові наслідки.

Процедура ректифікації внутрішніх тегів

Користувачі мають право через звернення до DPO вимагати виправлення або видалення внутрішніх тегів (наприклад, «VIP» або тегів безпеки), якщо вони містять недостовірну інформацію або впливають на можливість отримання послуг.

5Безпека, шифрування та транскордонна передача

Архітектура Velora реалізує стратегію «Privacy by Design», передаючи фінансові ризики сертифікованим глобальним операторам.

• Криптографічний захист: Дані під час передачі захищені протоколом TLS 1.3, а у стані спокою (at rest) — стандартом AES-256.
• Екосистема Stripe/Connect: Платформа використовує шифровані server-to-server кінцеві точки. Повні реквізити платіжних карток ніколи не проходять через сервери Velora в нешифрованому вигляді, що гарантує PCI-DSS відповідність.
• Транскордонна передача: Оскільки Datasirpi FZC-LLC є суб’єктом ОАЕ (юрисдикція, що забезпечує належний рівень захисту згідно з UAE PDPL), передача даних за межі України здійснюється на підставі Стандартних договірних умов (SCCs).
• Обмеження SDK: Стороннім SDK (Firebase, Stripe тощо) суворо заборонено використовувати дані Velora для «cross-context behavioral advertising» (крос-контекстної поведінкової реклами), передавати дані дата-брокерам або використовувати їх для будь-яких цілей, крім забезпечення функціональності застосунку.

6Строки зберігання та автоматичне видалення (Data Purging)

Ми забезпечуємо баланс між правом бути забутим та вимогами фінансового законодавства.

• Протокол автоматичного очищення: Протягом 45 днів після ініціації видалення облікового запису всі персональні дані та пов’язані з ними метадані безповоротно видаляються з виробничих серверів.
• Фінансові винятки (Retention Carve-outs): Відповідно до вимог податкового аудиту ОАЕ, транзакційні записи (інвойси, звіти про виплати) зберігаються в архівованому, ізольованому від операційної діяльності стані протягом терміну, визначеного законодавством. Ці дані не підлягають подальшій обробці в маркетингових чи функціональних цілях.

7Порядок оновлення політики та контактна інформація

Ця Політика є динамічним документом, що еволюціонує разом із технологічним стеком, не обмежуючи цифрову суверенність користувача.

• Правило «No-Silent Updates»: Про будь-які суттєві зміни користувачі повідомляються щонайменше за 30 днів через ін-ап банери або електронну пошту.
• Механізм Click-to-Accept: У разі змін, що розширюють обсяг збору даних або знижують рівень захисту, Velora впроваджує примусове повторне отримання згоди. Продовження користування без активного прийняття нових умов не вважається згодою.

Контактна інформація

З питань реалізації прав (DSAR) або для зв’язку з Відповідальною особою за захист даних (DPO):

Velora підтверджує свою непохитну відданість захисту цифрових прав громадян України та забезпеченню найвищого рівня відповідності міжнародним стандартам кібербезпеки.