Політика конфіденційності

1. Хто відповідає за ваші дані

ЦЕХО — хмарний сервіс обліку для кулінарних виробництв. Компанія, яка уклала договір з ЦЕХО й запросила вас (ваш роботодавець або постачальник вашого закладу), є володільцем ваших персональних даних: вона вирішує, навіщо й які дані вносити в систему.

Постачальник сервісу ЦЕХО — реквізити не заповнено (форма (ФОП / ТОВ)) реквізити не заповнено (повна назва), код реквізити не заповнено (ЄДРПОУ або РНОКПП), адреса: реквізити не заповнено (юридична адреса) — є розпорядником (обробником): обробляє дані лише за дорученням компанії-володільця й відповідно до Угоди про обробку персональних даних (DPA), що є додатком до публічної оферти.

Для облікового запису (e-mail, пароль, журнал входів, згоди) ЦЕХО діє як окремий володілець — у межах, потрібних для безпечного входу й виконання закону.

Звернення щодо персональних даних: реквізити не заповнено (e-mail щодо персональних даних); телефон: реквізити не заповнено (телефон).

2. Які дані ми обробляємо

• Обліковий запис: ім’я, робочий e-mail, хеш пароля (сам пароль не зберігається), стан запрошення, підтвердження пошти.
• Членство в компанії: компанія, ролі, області доступу (локація, склад, цех), стан (активний, заблокований), дата останнього входу.
• Дії в системі: журнал аудиту (хто, що й коли змінив у документах), записи про входи (адреса e-mail зберігається лише як хеш), сесії.
• Згоди: який документ і яку версію ви прийняли, у якій компанії й коли. IP-адреса для згод не зберігається.
• Для представників клієнтів: кав’ярня (заклад), точки, замовлення, документи й оплати, які ви бачите й створюєте в кабінеті.

ЦЕХО не збирає спеціальних категорій даних (здоров’я, біометрія тощо) і не призначений для них. Не вносьте такі дані в довільні поля.

3. Навіщо й на якій підставі

• Надання сервісу компанії, з якою ви працюєте, — виконання договору між компанією й ЦЕХО (ст. 11 Закону України «Про захист персональних даних»; для ЄС — ст. 6(1)(b) GDPR щодо компанії й 6(1)(f) — законний інтерес щодо її працівників).
• Безпека входу, захист від підбору пароля, розслідування інцидентів — законний інтерес і обов’язок забезпечити захист даних.
• Облік і аудит дій у документах — вимога компанії-володільця й законодавства про бухгалтерський облік.
• Службові листи (запрошення, відновлення пароля, повідомлення про зміну пароля) — виконання договору.
• Ваша згода — щодо ознайомлення з цією політикою й обробки даних у межах, описаних тут. Згоду можна відкликати (розділ 7).

ЦЕХО не продає персональні дані, не використовує їх для реклами й не надсилає маркетингових листів.

4. Кому передаються дані

Дані обробляються лише постачальниками, без яких сервіс не працює (субобробники), і лише в обсязі, потрібному для їхньої функції:

• Vercel Inc. — хостинг застосунку, регіон обробки Франкфурт (Німеччина, ЄС).
• Neon Inc. — база даних, регіон Франкфурт (Німеччина, ЄС).
• Resend — надсилання службових листів (адреса, тема, текст листа); регіон обробки — ЄС (Ірландія).
• Перевірка пароля на відомі витоки (сервіс Have I Been Pwned): передаються лише перші 5 символів хешу пароля, сам пароль і адреса — ні.

Дані також можуть бути надані державним органам лише у випадках, прямо передбачених законом.

5. Скільки зберігаємо

• Обліковий запис і членство — поки діє договір компанії з ЦЕХО й поки компанія не видалить вас із системи.
• Облікові документи й журнал аудиту — строк, який визначає компанія-володілець відповідно до законодавства про облік; проведені документи не змінюються й не видаляються вибірково.
• Записи про входи й скидання пароля — до реквізити не заповнено (строк зберігання журналу входів, міс.) місяців.
• Після закінчення договору — компанія може експортувати свої дані протягом 30 днів, після чого дані компанії видаляються (крім тих, що закон вимагає зберігати).

6. Як ми захищаємо дані

Шифрування з’єднання (HTTPS), зберігання паролів лише у вигляді хешу, обмеження спроб входу, автоматичне завершення сесії після 30 хвилин бездіяльності й не пізніше ніж через 12 годин, друга перевірка входу (код із застосунку) для адміністраторів компаній і платформи, права доступу за ролями й областями, ізоляція даних різних компаній, журнал аудиту.

7. Ваші права

Відповідно до ст. 8 Закону «Про захист персональних даних» (і, для осіб у ЄС, ст. 15–22 GDPR) ви маєте право:

• знати, які ваші дані обробляються, ким і навіщо; отримати їх копію;
• вимагати виправлення неточних даних;
• вимагати видалення або обмеження обробки, якщо для неї немає підстав;
• заперечити проти обробки на підставі законного інтересу;
• відкликати згоду (це не впливає на законність обробки до відкликання; без згоди доступ до робочого простору неможливий);
• поскаржитися Уповноваженому Верховної Ради України з прав людини або наглядовому органу країни ЄС.

Щодо даних у робочому просторі компанії звертайтеся спершу до її адміністратора (володільця даних); щодо облікового запису — на реквізити не заповнено (e-mail щодо персональних даних). Ми відповідаємо протягом 30 календарних днів.

8. Cookie

ЦЕХО використовує лише необхідні cookie (сесія входу) і місцеве сховище браузера для ваших налаштувань. Докладно — у Політиці cookie.

9. Зміни політики

Про нову версію політики ви дізнаєтеся під час наступного входу: система покаже вікно згоди з посиланням на чинну версію. Номер версії, дата редакції й дата набрання чинності — угорі цієї сторінки. Зміна лише контактних даних оператора (адреса, телефон, e-mail) оформлюється новою редакцією без повторної згоди.