Політика конфіденційності

1. Хто ми

Платформою la12 керує товариство з обмеженою відповідальністю Societatea cu Răspundere Limitată „ICD SOFT DEV” («ICD SOFT DEV», «ми»), зареєстроване в Республіці Молдова.

2. Хто відповідає за дані

Ми обробляємо персональні дані відповідно до Закону Республіки Молдова № 195/2024 про захист персональних даних, узгодженого із Загальним регламентом ЄС про захист даних (Регламент (ЄС) 2016/679, «GDPR»). Для користувачів, які перебувають у Європейському Союзі, застосовується також GDPR.

Наша роль залежить від того, чиї це дані:

• Облікові записи працівників і офіс-менеджерів. Компанія вирішує, хто отримує обліковий запис і для чого використовуються дані (організація обідів в офісі). Оператором (контролером) даних є компанія, а ICD SOFT DEV обробляє їх від її імені як обробник і лише за її вказівками.
• Облікові записи адміністраторів компаній і постачальників, сайт. Щодо власних облікових записів адміністраторів компаній і постачальників (включно з їхніми кур’єрами), виставлення рахунків за абонемент і відвідувань сайту оператором даних є ICD SOFT DEV.

Якщо ви працівник і маєте запитання про те, як компанія використовує ваші дані, спершу зверніться до роботодавця. Ми також можемо допомогти: передамо ваш запит компанії та допоможемо їй відповісти.

3. Які дані ми обробляємо

Ми обробляємо лише ті дані, які потрібні для організації обідів в офісі:

• Дані облікового запису: ім’я, робоча адреса електронної пошти, номер телефону (якщо ви його вказали, наприклад для кур’єрів), роль на платформі, компанія та офіс, пароль (зберігається лише в незворотно зашифрованому вигляді) та, за бажанням, фотографія профілю.
• Псевдонім працівника: постачальник і кур’єр бачать лише псевдонім (username) працівника, а не його справжнє ім’я.
• Замовлення та присутність: обід, обраний на кожен день, історія замовлень, дні вашої відсутності (якщо ви їх позначаєте), компенсація, встановлена компанією, і доплата з вашого боку, а також місячні звіти.
• Харчові вподобання та алергени: лише якщо ви вказали їх самі. Відомості про алергію можуть розкривати дані про здоров’я, тому ми використовуємо їх виключно для позначення страв із цими алергенами. Примітка про продукти, які ви не їсте, передається на кухню разом із замовленням. Ви можете змінити або видалити їх у профілі будь-коли.
• Офіси та постачальники: адреси доставки офісів і контактні особи; для постачальників — назва, меню, ціни, зони доставки та завантажені фотографії (страви, обкладинки).
• Сповіщення: які сповіщення ви бажаєте отримувати та яким каналом (електронна пошта або Telegram). Якщо ви обрали Telegram, ми зберігаємо ідентифікатор, необхідний для надсилання вам повідомлень.
• Технічні дані: IP-адреса, тип браузера та пристрою, дата й час входу, журнали помилок, токени сеансу, завдяки яким ви залишаєтеся в системі, і журнал аудиту змін (хто, що і коли змінив).

Основні дані працівників (ім’я, пошту, офіс) зазвичай вносить компанія; решта додається в міру використання платформи.

4. Навіщо ми обробляємо дані та на якій підставі

• Надання сервісу: облікові записи, вибір обіду, передача замовлення постачальнику в момент закриття, доставка, звіти та місячні розрахунки. Підстава: виконання договору з компанією або постачальником; для даних працівників — вказівки компанії, яка є оператором.
• Позначення алергенів: лише на підставі вашої явної згоди, вираженої зазначенням алергенів у профілі. Ви можете відкликати її будь-коли, видаливши цю інформацію.
• Сповіщення та службові повідомлення (нагадування, підтвердження, зміни умов або цін). Підстава: виконання договору та наш законний інтерес тримати вас у курсі. Ми не надсилаємо рекламних повідомлень без вашої згоди.
• Безпека та запобігання зловживанням: технічні журнали, журнал аудиту, захист від атак. Підстава: наш законний інтерес у безпеці платформи.
• Статистика відвідувань сайту (Google Analytics) — лише на la12.md і лише якщо ви погодилися на неї в банері cookie-файлів. Підстава: ваша згода, яку можна відкликати будь-коли через «Налаштування cookie» в нижній частині сайту.
• Юридичні зобов’язання: бухгалтерський облік, виставлення рахунків за абонемент, відповіді на запити органів влади. Підстава: вимога закону.

Ми не продаємо персональні дані, не використовуємо рекламні трекери та не ухвалюємо автоматизованих рішень, що мають для вас юридичні наслідки.

5. Кому ми передаємо дані

Дані доступні лише тим, кому вони потрібні, щоб обід потрапив до офісу:

• Ваша компанія: адміністратори та офіс-менеджери бачать замовлення, відсутності та звіти працівників тих офісів, якими вони керують.
• Постачальник обідів, обраний компанією, отримує замовлення: псевдонім працівника, страви, примітку про продукти, яких слід уникати, офіс і адресу доставки. Кур’єри постачальника бачать адреси та список доставок на день. Постачальник використовує ці дані, щоб приготувати, промаркувати, доставити замовлення та виставити рахунок.
• Постачальники технічних послуг (обробники), зобов’язані за договором дотримуватися конфіденційності та безпеки даних: хостинг-провайдер — сервери в Європейському Союзі, і Cloudflare, Inc. (США) — доставка контенту, DNS і захист від атак; трафік до платформи проходить через Cloudflare.
• Google Ireland Limited (Ірландія) спільно з Google LLC (США) — статистика Google Analytics, лише якщо ви на неї погодилися.
• Telegram — лише якщо ви вирішили отримувати сповіщення там. Telegram — незалежний сервіс із власною політикою конфіденційності.
• Державні органи — лише коли цього вимагає закон.

Якщо діяльність платформи перейде до іншої компанії (наприклад, унаслідок реорганізації), дані перейдуть до неї з тими самими гарантіями, і ми заздалегідь повідомимо вас про це.

6. Де зберігаються дані

Ми зберігаємо дані платформи в Європейському Союзі, де діє GDPR.

Cloudflare може обробляти технічні дані (наприклад, IP-адреси) і за межами ЄС, зокрема в США. Такі передачі захищені стандартними договірними положеннями, затвердженими Європейською комісією, і сертифікацією Cloudflare в рамках EU-U.S. Data Privacy Framework.

Якщо ви погодилися на статистику, Google може передавати дані Google Analytics до США на підставі EU-U.S. Data Privacy Framework і стандартних договірних положень.

7. Cookie-файли та локальне сховище

Суворо необхідні. Без них платформа не може працювати, тому ваша згода на них не потрібна:

• Cookie-файл la12-locale запам’ятовує обрану мову на один рік.
• Дані для входу (токени сеансу) зберігаються в сховищі браузера, доки ви в системі, і видаляються під час виходу.
• Налаштування інтерфейсу, наприклад тема (світла чи темна) та останній відкритий офіс, зберігаються в локальному сховищі браузера.
• Ваш вибір щодо cookie-файлів зберігається в локальному сховищі браузера (ключ la12-consent), щоб не запитувати вас під час кожного відвідування.
• Захисні cookie-файли Cloudflare допомагають відрізняти справжніх відвідувачів від ботів.

Статистика (Google Analytics 4). Лише на сайті la12.md і лише якщо ви погодилися на неї в банері cookie-файлів:

• Постачальник: Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ірландія) спільно з Google LLC (США).
• Мета: анонімна статистика відвідуваності сайту (переглянуті сторінки, приблизне місцезнаходження на рівні міста або країни, пристрій і браузер, звідки прийшли відвідувачі), щоб покращувати сайт.
• Ми не використовуємо рекламні функції, Google Signals і персоналізацію реклами. Google Analytics 4 не зберігає повні IP-адреси.
• Cookie-файли: _ga і _ga_<ID> (власні cookie-файли сайту, діють не більше 14 місяців). Дані аналітики зберігаються в Google Analytics 14 місяців.
• Підстава: ваша згода. Доки ви її не надали, Google Analytics працює в режимі «згоду не надано» (Consent Mode v2) і не встановлює аналітичні cookie-файли.
• Ви можете будь-коли змінити або відкликати свій вибір за посиланням «Налаштування cookie» в нижній частині сайту.

Ми не використовуємо рекламні cookie-файли. Ви можете будь-коли видалити cookie-файли та локальне сховище в налаштуваннях браузера; після цього потрібно буде знову увійти в систему.

8. Як довго ми зберігаємо дані

• Дані облікового запису та замовлення: доки діють обліковий запис і договір компанії або постачальника. Після закриття облікового запису або припинення договору ми видаляємо або знеособлюємо їх не пізніше ніж через 90 днів.
• Бухгалтерські документи (рахунки та місячні звіти, використані для виставлення рахунків): протягом строку, встановленого бухгалтерським і податковим законодавством Республіки Молдова.
• Алергени та харчові вподобання: доки ви їх не видалите або до закриття облікового запису.
• Технічні журнали та журнал аудиту: не більше 12 місяців.
• Статистика Google Analytics (лише за вашою згодою): 14 місяців.
• Резервні копії: періодично перезаписуються; видалені дані зникають із них не пізніше ніж через 30 днів.

Ми можемо зберігати окремі дані довше, лише якщо вони потрібні для розслідування інциденту безпеки або для встановлення, здійснення чи захисту прав у суді.

9. Ваші права

Ви маєте право:

• дізнатися, чи обробляємо ми ваші дані, та отримати їхню копію (право на доступ);
• вимагати виправлення неточних даних (право на виправлення);
• вимагати видалення даних (право на видалення);
• вимагати обмеження обробки;
• заперечити проти обробки, що ґрунтується на законному інтересі;
• отримати свої дані в структурованому, загальновживаному форматі та передати їх іншому оператору (право на перенесення даних);
• будь-коли відкликати згоду, що не впливає на законність обробки до її відкликання;
• подати скаргу до Національного центру із захисту персональних даних (CNPDCP), datepersonale.md, а якщо ви перебуваєте в ЄС — також до наглядового органу своєї країни.

Щоб скористатися своїми правами, напишіть нам на [email protected]. Ми відповімо не пізніше ніж через 30 днів. Ми можемо запросити додаткову інформацію для підтвердження вашої особи.

Якщо ваші дані обробляються від імені компанії, запит розглядається спільно з компанією, яка є оператором. Багато даних ви можете переглянути та виправити безпосередньо в профілі.

10. Безпека даних

Ми захищаємо дані належними технічними та організаційними заходами: зашифровані з’єднання (HTTPS), паролі лише в незворотно зашифрованому вигляді, доступ за ролями (кожен бачить лише те, що йому потрібно), обмежений доступ наших працівників, резервні копії та журнал аудиту змін.

Жодна система не захищена повністю. Якщо станеться порушення безпеки персональних даних, що створює ризик для вас, ми повідомимо CNPDCP протягом 72 годин з моменту його виявлення, а в разі високого ризику без невиправданої затримки повідомимо й осіб, яких це стосується. Якщо ми обробляємо дані від імені компанії, ми без невиправданої затримки повідомляємо цю компанію.

11. Неповнолітні

la12 — сервіс для компаній та їхніх працівників, він не призначений для осіб, молодших 18 років. Ми свідомо не збираємо дані неповнолітніх; якщо ми дізнаємося, що це сталося, ми їх видалимо.

12. Зміни політики

Ми можемо оновлювати цю політику в разі зміни платформи або законодавства. Чинна версія публікується на цій сторінці з датою останнього оновлення. Про суттєві зміни ми повідомляємо електронною поштою або на платформі до набрання ними чинності.

13. Контакти

З будь-яких питань щодо персональних даних пишіть нам на [email protected] або поштою: MD-3100, mun. Bălți, str. Tudor Vladimirescu 8, of. 55, Republica Moldova.