ПОЛІТИКА КОНФІДЕНЦІЙНОСТІ
Сервіс Photofy
Редакція від: 13 червня 2026 року
Чинна з: 13 червня 2026 року
---
1. ХТО МИ
Володільцем та розпорядником персональних даних є Фізична особа-підприємець Івченко Марія Євгеніївна (далі — «Photofy», «ми», «нас»), РНОКПП 3187415368, що надає послуги через Telegram-бота @PhotofyProBot та Mini App.
Контактний email для питань конфіденційності: privacy@photofy.bot
---
2. НА ЯКИХ ПІДСТАВАХ МИ ОБРОБЛЯЄМО ВАШІ ДАНІ
Ми обробляємо персональні дані Користувачів на підставі:
- Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI;
- General Data Protection Regulation (Regulation (EU) 2016/679, GDPR) — для користувачів з ЄС;
- Згоди Користувача, яка надається шляхом запуску бота `/start` та підтвердження ознайомлення з цією Політикою.
---
3. ЯКІ ДАНІ МИ ЗБИРАЄМО
3.1. Дані, що надає Telegram при запуску бота:
- Telegram ID (унікальний цифровий ідентифікатор)
- Username (`@username`), за наявності
- Ім'я та прізвище (як вказано у профілі Telegram)
- Мова інтерфейсу
3.2. Дані, що Користувач надає сам:
- Зображення товарів (вантажуються для обробки AI)
- Текстові підписи, назви брендів, slogans
- Логотип бренду (опціонально)
- URL магазину (опціонально, для квестів)
3.3. Дані, що збираються автоматично:
- Історія генерацій (тип сценарію, дата, баланс Photon)
- Історія платежів (сума, дата, тариф, статус)
- IP-адреса при доступі до Mini App
- User-Agent браузера / клієнта Telegram
- Дані про сесію та активність (для аналітики продукту)
3.4. Дані, що **НЕ збираються**:
- Номер банківської картки (обробляється виключно платіжним сервісом Monobank/WayForPay)
- CVV, PIN, термін дії картки
- Список контактів Telegram
- Геолокація (окрім IP-адреси)
- Дані з інших Telegram-чатів
---
4. НАВІЩО МИ ОБРОБЛЯЄМО ВАШІ ДАНІ
| Мета | Підстава | Період зберігання |
|---|---|---|
| Надання послуг генерації | Виконання договору | Весь період дії облікового запису |
| Обробка платежів | Виконання договору | 3 роки (вимога податкового обліку) |
| Підтримка клієнтів | Згода користувача | 1 рік після останнього звернення |
| Аналітика продукту | Законний інтерес | 2 роки в знеособленому вигляді |
| Антифрод (запобігання шахрайству) | Законний інтерес | 1 рік |
| Маркетингові комунікації | Згода (opt-in) | До відкликання згоди |
---
5. КОМУ МИ ПЕРЕДАЄМО ВАШІ ДАНІ
Ми можемо передавати ваші дані наступним третім особам виключно у необхідному обсязі:
5.1. AI-провайдери (для генерації зображень):
- OpenAI Inc. (США) — GPT Image 2 (modular API). Передаються лише завантажені зображення без прив'язки до Telegram ID.
- Google LLC (США) — Gemini 3 Pro, Gemini Flash 2.5. Передаються зображення та текстові промпти.
5.2. Платіжні сервіси:
- Monobank (АТ «УНІВЕРСАЛ БАНК», Україна) — обробка платежів через Acquiring API.
- WayForPay (ТОВ «ВейФорПей», Україна) — резервний платіжний сервіс.
Платіжним сервісам передаються: сума, валюта, номер замовлення (без вмісту). Дані карток обробляють платіжні сервіси самостійно.
5.3. Інфраструктурні постачальники:
- Hetzner Online GmbH (Німеччина) — хостинг VPS, на якому розміщено сервіс.
- Telegram Messenger LLP (Велика Британія) — платформа для роботи бота та Mini App.
5.4. Державні органи:
- Лише за обґрунтованим запитом, оформленим відповідно до законодавства України.
---
6. ВАШІ ПРАВА (GDPR + ЗУ «Про захист персональних даних»)
Ви маєте право:
- знати, які дані ми обробляємо (команда `/my_data` у боті);
- отримати копію ваших даних у машинно-читаному форматі (JSON);
- виправити неточні дані через підтримку;
- видалити усі дані (команда `/delete_account` у боті);
- обмежити обробку — призупинити сервіс зі збереженням даних;
- відкликати згоду на маркетингові комунікації одним натисканням;
- подати скаргу до Уповноваженого Верховної Ради України з прав людини (за порушення ЗУ) або до національного органу нагляду ЄС (за порушення GDPR).
Усі запити обробляємо протягом 30 днів.
---
7. ЯК МИ ЗАХИЩАЄМО ВАШІ ДАНІ
7.1. Технічні засоби:
- HTTPS (TLS 1.3) на всіх з'єднаннях;
- Шифрування паролів та токенів у БД (bcrypt, AES-256);
- HMAC-MD5/SHA-256 верифікація webhook-сигналів від платіжних сервісів;
- SSRF-захист при завантаженні URL;
- Rate-limiting (60 req/хв на API, обмеження на бота);
- Регулярні бекапи з шифруванням;
- Системи моніторингу та сповіщень про підозрілу активність.
7.2. Організаційні засоби:
- Доступ до БД мають лише адміністратори за принципом найменших привілеїв;
- Логи доступу зберігаються 90 днів;
- Регулярні аудити безпеки (CloudWeb QA, raunds R1-R6+);
- NDA з усіма підрядниками, що мають доступ до даних.
7.3. У випадку витоку даних:
- Сповіщаємо вас протягом 72 годин з моменту виявлення інциденту;
- Повідомляємо Уповноваженого ВРУ з прав людини відповідно до ст. 24 ЗУ № 2297-VI;
- Публікуємо звіт про інцидент у Telegram-каналі сервісу.
---
8. ТЕРМІНИ ЗБЕРІГАННЯ ДАНИХ
| Категорія даних | Період |
|---|---|
| Завантажені вхідні зображення | 30 днів, потім видаляються автоматично |
| Згенеровані зображення | До 90 днів у кеші, потім лише посилання |
| Telegram ID, username, ім'я | Весь період дії облікового запису + 30 днів після видалення |
| Історія платежів | 3 роки (вимога податкового обліку ФОП) |
| Логи доступу | 90 днів |
| Балансові операції (леджер Photon) | 3 роки |
---
9. ВИКОРИСТАННЯ ДАНИХ ДЛЯ AI
9.1. Ваші вхідні зображення передаються AI-моделям (OpenAI, Google) лише для виконання запиту. Ми отримуємо письмові гарантії від провайдерів, що ці дані не використовуються для навчання моделей (Zero Data Retention для OpenAI Enterprise API, аналогічно для Google).
9.2. Згенеровані зображення залишаються у вашій власності. Ми можемо використовувати знеособлені метадані (тип сценарію, час генерації, оцінка якості) для покращення внутрішніх AI-промптів.
9.3. Текстові підписи, slogans, brand info — обробляються виключно для генерації запитаного контенту і не передаються стороннім особам поза AI-провайдерами.
---
10. ТРАНСКОРДОННА ПЕРЕДАЧА ДАНИХ
10.1. Деякі дані (зображення, промпти) передаються за межі України (США, Німеччина).
10.2. Передача здійснюється на підставі:
- Стандартних договірних положень (Standard Contractual Clauses) — для США та країн без рішення про адекватність;
- Рішення про адекватний рівень захисту Європейської Комісії — для країн ЄС/ЄЕЗ.
---
11. ДІТИ
11.1. Сервіс не призначений для осіб молодше 16 років.
11.2. Ми свідомо не збираємо дані осіб молодше 16 років. Якщо ви виявили, що ваша дитина користується сервісом — звертайтесь до `privacy@photofy.bot` для видалення даних.
---
12. ЗМІНИ ДО ПОЛІТИКИ
12.1. Ми можемо оновлювати цю Політику. Дата останньої редакції завжди вказана на початку документа.
12.2. Про суттєві зміни ми сповіщаємо:
- повідомленням у боті при наступному `/start`;
- кнопкою «Ознайомитись з оновленням» у головному меню.
12.3. Продовження використання Сервісу після оновлення Політики вважається погодженням з новою редакцією.
---
13. КОНТАКТИ
З питань конфіденційності: privacy@photofy.bot
Загальна підтримка: support@photofy.bot
Telegram: @PhotofyProBot
Володілець даних:
ФОП Івченко Марія Євгеніївна
РНОКПП: 3187415368
Уповноважений з прав людини в Україні:
вул. Інститутська, 21/8, Київ, 01008