Політика приватності Tvarka
Цей український переклад подано для зручності. Якщо тексти відрізняються, перевагу має литовський текст. Литовський текст
Політика приватності Tvarka
Ця Політика пояснює, як Tvarka обробляє персональні дані.
Останнє оновлення: 2026-08-08
1. Контролери даних
1.1. Контролерами персональних даних відповідно до своїх функцій у Tvarka.pro є Advokato M. Kiškio kontora INVENT (надавач юридичних послуг) та Socialiniai algoritmai, UAB (оператор платформи). Їхні ролі й контакти наведено в розділі «Контакти».
1.2. Обробляючи персональні дані, ми дотримуємося Регламенту (ЄС) 2016/679 Європейського Парламенту й Ради від 27 квітня 2016 року (GDPR) та чинних законів Литовської Республіки.
2. На кого поширюється ця Політика
2.1. Політика приватності поширюється на відвідувачів і користувачів платформи Tvarka, а також на представників клієнтів, партнерів і надавачів послуг, коли вони спілкуються з нами або користуються Tvarka.
2.2. Послуги Tvarka надаються лише бізнесу. Tvarka не призначена для неповнолітніх. Якщо Вам ще немає 18 років, будь ласка, не користуйтеся платформою.
2.3. Якщо під час користування Tvarka Ви передаєте персональні дані інших людей, Ви відповідаєте за те, щоб повідомити їх про обробку даних і ознайомити з цією Політикою.
3. Які персональні дані ми обробляємо
Tvarka обробляє персональні дані настільки, наскільки це потрібно для надання й адміністрування платформи. Обсяг даних залежить від того, якими функціями Ви користуєтеся.
3.1. Дані для входу й підтвердження особи
Усі користувачі підтверджують особу через рішення Mitsoft TSP та/або державного підприємства Центр реєстрів (Registrų centras), використовуючи литовські засоби електронної ідентифікації (наприклад, Smart-ID, Mobile-ID, карту eID).
Від надавачів послуг підтвердження особи ми можемо отримувати й обробляти: особистий код (asmens kodas), ім’я, прізвище, код країни, дані сертифіката для журналу аудиту.
3.2. Дані облікового запису й ролей
Tvarka зберігає дані облікового запису й ролей користувачів конкретної юридичної особи: призначені ролі та права, дату призначення, особу, яка їх призначила, і записи про зміни ролей у журналі аудиту.
3.3. Дані юридичної особи й дій
Tvarka обробляє дані юридичної особи, якою керують на платформі, і дії користувача на ній, наприклад: код юридичної особи (код компанії), назву, тип (як-от UAB, MB), налаштування дотримання правил, записи реєстру учасників, події календаря, завдання й метадані документів.
У деяких випадках Tvarka може використовувати відкриті чи офіційні джерела (наприклад, дані реєстрів або платників податків), щоб перевірити чи попередньо заповнити дані юридичної особи, якщо платформа має таку функцію.
3.4. Документи й дані кваліфікованого електронного підписання
Якщо Ви зберігаєте, створюєте чи підписуєте документи, Tvarka обробляє завантажені документи, створені файли й технічні дані підписання (наприклад, час підписання, дані сертифіката, журнал підписання). Кваліфіковане підписання виконується через інфраструктуру Mitsoft TSP та/або державного підприємства Центр реєстрів.
3.5. Дані платежів і рахунків
Платежі за поповнення балансу, рахунки й інші платні дії обробляє обраний надавач платіжних послуг. Tvarka може отримувати стан платежу, баланс, дані рахунку й дату платежу, потрібні для надання доступу та обліку. Tvarka не зберігає повні дані платіжної картки чи банківського рахунку.
3.6. Технічні дані й файли cookie
Tvarka використовує необхідні файли cookie й подібні технології (наприклад, сеансові cookie, захист CSRF), щоб платформа працювала безпечно. Якщо використовуватимуться аналітичні чи маркетингові cookie, то лише з Вашої згоди.
4. Мета, правові підстави й строки зберігання даних
Нижче наведено головні цілі обробки. Конкретні строки можуть змінюватися з огляду на вимоги закону й фактичний характер надання послуг.
| Мета | Категорії даних | Правова підстава (GDPR) | Строк зберігання |
|---|---|---|---|
| Створення облікового запису й підтвердження особи | Дані eID (особистий код, ім’я, прізвище), ролі | Договір (стаття 6(1)(b) GDPR) / законний інтерес (стаття 6(1)(f) GDPR) | До видалення облікового запису; записи аудиту – відповідно до законного інтересу й потреб безпеки. |
| Надання послуг (реєстр, календар, робота з документами) | дані юридичної особи, записи дій, документи | Договір (6(1)(b)) | Поки надаються послуги й протягом розумного часу після їх завершення, наскільки це потрібно; бухгалтерські документи – 10 років. |
| Кваліфіковане підписання | журнал підписання, дані сертифіката | Договір (6(1)(b)) | Відповідно до строків зберігання документів і потреб аудиту. |
| Адміністрування платежів | стан платежу, баланс і дані рахунку | Договір (стаття 6(1)(b) GDPR) / юридичний обов’язок (стаття 6(1)(c) GDPR) | Бухгалтерські документи – 10 років. |
| Безпека, запобігання шахрайству, реагування на інциденти | технічні журнали, IP, дані пристрою / сеансу | Законний інтерес (стаття 6(1)(f) GDPR) | Зазвичай до 12 місяців, якщо через інцидент чи спір не потрібен довший строк. |
| Зв’язок і підтримка | електронна адреса, зміст звернення | Договір (стаття 6(1)(b) GDPR) / законний інтерес (стаття 6(1)(f) GDPR) | Зазвичай до 2 років від останнього контакту, якщо через спір не потрібен довший строк. |
5. Одержувачі даних (обробники та/або контролери)
Tvarka може передавати персональні дані третім особам лише настільки, наскільки це потрібно для надання послуг, безпеки чи виконання юридичних обов’язків.
Основні категорії одержувачів:
- надавачі ІТ-послуг і хостингу (наприклад, хмарної інфраструктури);
- Mitsoft TSP та/або державне підприємство Центр реєстрів – надавачі послуг підтвердження особи й кваліфікованого підписання;
- надавачі платіжних послуг (наприклад, Stripe або інший надавач, вказаний на платформі);
- професійні радники (наприклад, юристи, аудитори), якщо це потрібно для захисту законних інтересів або за законом;
- державні органи й суди – коли цього вимагає закон або для вирішення спору.
Ми укладаємо з обробниками даних договори, які забезпечують виконання вимог GDPR.
6. Файли cookie й інші технології
6.1. Необхідні файли cookie. Tvarka не використовує додаткові (аналітичні чи маркетингові) cookie. Для роботи й безпеки платформи можуть використовуватися лише необхідні cookie від надавачів інфраструктури чи послуг підтвердження особи (наприклад, для захисту від ботів, спрямування трафіку й підтримання сеансу під час підтвердження особи). Підстава обробки – наш законний інтерес (GDPR 6(1)(f)).
6.2. Необов’язкові файли cookie. Tvarka не використовує аналітичні чи маркетингові cookie й не запитує згоди на них.
6.3. Список файлів cookie
| Cookie | Надавач | Мета | Тривалість |
|---|---|---|---|
| __cf_bm | Cloudflare | Керування ботами / захист від зловживань (Cloudflare Bot Management / Bot Fight Mode). | До ~30 хв після відсутності активності |
| _cfuvid | Cloudflare | Обмеження частоти запитів / правила брандмауера вебзастосунку (WAF): допомагає розрізняти відвідувачів, коли кілька людей користуються однією IP-адресою (NAT). | За налаштуванням Cloudflare (зазвичай протягом сеансу) |
| cf_clearance | Cloudflare | Підтвердження успішного проходження перевірки безпеки Cloudflare. | За налаштуванням Cloudflare |
| __cflb | Cloudflare (якщо застосовується) | Прив’язка сеансу до того самого вихідного сервера (Cloudflare Load Balancer session affinity). | Від кількох секунд до 24 год (залежно від налаштувань) |
| X-Oracle-BMC-LBS-Route | OCI (Oracle Cloud Infrastructure) (якщо застосовується) | Прив’язка сеансу OCI Load Balancer до внутрішнього сервера (session stickiness). | За налаштуванням OCI |
| HCLBSTICKY | Hetzner (якщо застосовується) | Прив’язка сеансу Hetzner Cloud Load Balancer до внутрішнього сервера (session stickiness). | За налаштуванням Hetzner |
| sessionid | Mitsoft TSP (tsp.mitsoft.lt) (якщо застосовується) | Сеансовий cookie, потрібний, щоб користувач залишався в системі eID (підписання / підтвердження особи). | До закриття браузера (сеанс) |
| cookieyes-consent | LT ID (ltid.lt) (якщо застосовується) | Запам’ятовує вибір користувача щодо згоди на cookie на сайті LT ID. | 1 рік |
| _GRECAPTCHA | LT ID (ltid.lt) (якщо застосовується) | Захист від ботів і зловживань на сайті LT ID. | 6 місяців |
Примітка: «якщо застосовується» означає, що cookie встановлюється лише тоді, коли у відповідному середовищі використовується цей інфраструктурний сервіс або засіб підтвердження особи, з урахуванням налаштувань користувача.
7. Передавання даних до третіх країн
7.1. Tvarka може користуватися послугами надавачів, які обробляють персональні дані поза Європейською економічною зоною. У таких випадках ми забезпечуємо належні гарантії (наприклад, стандартні договірні положення Європейської комісії, рішення про належний рівень захисту або інші заходи, передбачені GDPR).
8. Безпека персональних даних
8.1. Ми застосовуємо технічні й організаційні заходи для захисту персональних даних від несанкціонованого доступу, втрати чи розголошення.
8.2. У Tvarka особистий код обробляється захищено: для індексування використовується хеш-ідентифікатор HMAC-SHA256, а зашифровані дані зберігаються окремо (ключами керують окремо), щоб зменшити ризик.
8.3. Хоча ми докладаємо розумних зусиль, жоден спосіб передавання чи зберігання даних не є на 100% безпечним.
9. Ваші права
Ви маєте права, передбачені GDPR: отримати доступ до своїх даних, виправити чи видалити їх, обмежити обробку, заперечити проти неї, перенести дані (коли це застосовується) і подати скаргу до наглядового органу.
Щоб скористатися правами, напишіть на електронну адресу з розділу 12. Ми відповімо не пізніше ніж за 1 місяць, якщо GDPR не дозволяє продовжити строк.
Наглядовий орган у Литві – Державна інспекція захисту даних (Valstybinė duomenų apsaugos inspekcija, VDAI), L. Sapiegos g. 17, 10312 Vilnius, електронна адреса [email protected].
10. Зміни Політики приватності
10.1. Ми можемо оновлювати цю Політику приватності. Оновлення публікуються на платформі. Про суттєві зміни ми можемо повідомити Вас окремо.
11. Відповідальність і безпека облікового запису
11.1. Користувачі Tvarka відповідають за безпеку своїх пристроїв, засобів електронної ідентифікації та дій на платформі. Радимо користуватися актуальними версіями програм і вживати належних заходів кібербезпеки.
12. Контролери даних і контакти
Проєкт Tvarka.pro ведуть Advokato M. Kiškio kontora INVENT та Socialiniai algoritmai, UAB. Їхні ролі, коди юридичних осіб, коди платників ПДВ і адреси наведено на сторінці «Про нас».
Загальні контакти Tvarka.pro і спосіб надіслати звернення наведено на сторінці «Контакти».
13. Безкоштовне особисте користування Tvarka Sign
13.1. Цей розділ застосовується, коли фізична особа користується безкоштовним особистим тарифом застосунку Tvarka Sign без облікового запису Tvarka. Як виняток із пункту 2.2, у цій частині послуга надається також для особистих (непідприємницьких) потреб. Контролер даних, обробку яких описано в цьому розділі, – оператор платформи Socialiniai algoritmai, UAB.
13.2. Обробляються такі дані:
- дані реєстрації пристрою: випадково створений ідентифікатор пристрою й токен доступу, технічні журнали та IP-адреса (для безпеки, обмеження частоти запитів і запобігання зловживанням);
- дані підписання: дані кваліфікованого сертифіката, прочитані з карти eID під час підписання (ім’я, прізвище, особистий код, дані сертифіката), і журнал підписання, як описано в розділі 3.4;
- запис обліку місячного ліміту: хеш (HMAC) особистого коду, отриманого із сертифіката, календарний місяць і кількість підписів. Для обліку ліміту особистий код не зберігається у відкритому вигляді;
- токен push-сповіщень, якщо сповіщення ввімкнено на пристрої.
13.3. PDF, який Ви підписуєте, завантажується на платформу лише для виконання підписання й не використовується з іншою метою. Документ і його підписану версію видаляють, щойно застосунок підтвердить завантаження підписаного документа, але в будь-якому разі не пізніше ніж через 48 годин після завантаження на платформу.
13.4. Правові підстави: надання послуги – договір (стаття 6(1)(b) GDPR); облік ліміту, обмеження частоти запитів і запобігання зловживанням – законний інтерес (стаття 6(1)(f) GDPR); маркетингові сповіщення в застосунку – лише окрема згода (стаття 6(1)(a) GDPR), за замовчуванням вимкнена; її можна будь-коли відкликати в налаштуваннях застосунку.
13.5. Одержувачі: надавачі кваліфікованих часових позначок у Європейському Союзі (наприклад, ACCV, Іспанія) – у запиті передається лише криптографічний відбиток (хеш), а не вміст документа; запити про чинність сертифіката (OCSP) надсилаються кваліфікованому надавачу довірчих послуг, який його видав; Google Firebase Cloud Messaging на Android і Apple Push Notification service (APNs) на iOS використовуються для доставки сповіщень, якщо їх увімкнено; також одержувачами є надавачі ІТ-послуг і хостингу, зазначені в розділі 5.
13.6. Після видалення документа зберігаються лише технічні та знеособлені записи. Тому, коли Ви користуєтеся правами за GDPR, ми можемо попросити додаткові відомості, щоб пов’язати записи з Вашою особою (стаття 11 GDPR). Щоб скористатися правами, зверніться за контактами з розділу 12. Реєстрацію пристрою можна будь-коли припинити, видаливши застосунок або подавши запит.
13.7. Запит на видалення даних Tvarka Sign
Якщо в застосунку вибрати «Налаштування» й «Очистити та почати знову», з телефона буде видалено активацію, дані пов’язаної карти й історію застосунку. Ця дія на телефоні не надсилає запит на видалення записів із сервера.
Щоб подати запит на видалення даних із сервера, напишіть на [email protected], вкажіть у темі листа «Tvarka Sign data deletion» і зазначте, що користувалися безкоштовним особистим тарифом. Якщо ідентифікатор пристрою ще видно в застосунку, додайте його до запиту. Ми можемо попросити додаткові відомості, щоб пов’язати Вашу особу з відповідними записами.
Отримавши обґрунтований запит, ми видаляємо або знеособлюємо вже не потрібні дані, пов’язані з реєстрацією пристрою. Документи та їхні підписані версії видаляються у строк, визначений пунктом 13.3. Технічні журнали безпеки зазвичай зберігаються до 12 місяців, звернення до підтримки – до 2 років, а дані, які ми маємо зберігати через юридичні обов’язки, безпеку, запобігання шахрайству чи спір, – лише протягом відповідного строку з розділу 4.