Версія 2.0 — оновлено 22 травня 2026
MiVi (далі — «ми», «MiVi» або «додаток») — маркетплейс б'юті-послуг, що з'єднує клієнтів з майстрами краси. Контролер даних: ФОП Олег Кошик, Україна, контакт [email protected]. Ця політика пояснює, які дані ми збираємо, на яких правових підставах, кому передаємо та як ви можете реалізувати свої права згідно з GDPR (Регламент ЄС 2016/679) та Законом України «Про захист персональних даних».
Ми ніколи не продаємо ваші дані. Передаємо лише обраним процесорам:
| Процесор | Мета | Юрисдикція |
|---|---|---|
| Hetzner Online GmbH | Хостинг сервера, БД | Німеччина (ЄС) |
| Cloudflare R2 / Cloudflare Inc. | Зберігання фото, CDN, DNS | США (SCC + DPF) |
| OneSignal Inc. | Доставка push-сповіщень | США (SCC + DPF) |
| Telegram FZ-LLC | OAuth, повідомлення бота, нотифікації | ОАЕ / Велика Британія |
| Sentry (Functional Software Inc.) | Збір збоїв і помилок для діагностики | США (SCC + DPF) |
| OpenAI L.L.C. | AI-розпізнавання послуг/товарів за фото (за вашою ініціативою) | США (SCC + DPF) |
| Apple Inc., Google LLC | Доставка додатку, Sign in with Apple/Google | США (SCC + DPF) |
| Expo / EAS | Push-доставка через APNs/FCM, OTA-оновлення | США (SCC + DPF) |
Деякі процесори (OneSignal, Sentry, OpenAI, Cloudflare, Apple, Google, Expo) розташовані в США. Передачі здійснюються на підставі Standard Contractual Clauses (SCC) та програми EU-US Data Privacy Framework (для сертифікованих учасників). Telegram — на підставі SCC. Жодні дані не передаються до країн без належного рівня захисту.
Коли майстер натискає «Розпізнати послуги за фото прайс-листа» або «Розпізнати товар», зображення передається до OpenAI (модель GPT-4 Vision) для отримання структурованих даних. OpenAI обробляє запит згідно з API DPA (data processing addendum) і не використовує його для навчання моделей. Якщо ви не використовуєте AI-функції — дані до OpenAI не передаються.
Для прискореної доставки сповіщень користувачам, що не мають додатку, MiVi використовує Telegram-userbot (MTProto-сесія). Userbot працює від імені сервісного акаунту MiVi і пише лише користувачам, які самостійно надали свій Telegram ID через OAuth-вхід або кнопку «Підписатись на нагадування». Якщо ви не хочете отримувати повідомлення — заблокуйте бот або вимкніть Telegram-сповіщення в профілі.
| Категорія даних | Строк зберігання |
|---|---|
| Обліковий запис, фото, інтереси | До видалення акаунту |
| Записи (bookings), відгуки | 3 роки після завершення (для статистики майстра) |
| Сесії веб-входу | 30 днів неактивності |
| Push-токени | До скасування користувачем / 180 днів неактивності |
| Telegram-OAuth токени | 15 хв (одноразові) / постійні — до відкликання |
| Логи помилок (Sentry) | 90 днів |
| Запити правоохоронних органів | Згідно з законодавством України |
Дані хостяться на серверах у Німеччині (Hetzner). Паролі — bcrypt cost 10. Передача — HTTPS. Сесійні куки — HTTPOnly + Secure + SameSite=Lax. Доступ до прод-БД — лише з whitelisted IP по SSH-ключу.
Мобільний додаток не використовує cookies, але використовує device identifiers (push-token, OneSignal player ID, Expo install ID) і повідомляє Sentry про збої. Веб-сайт (mivi.uk, admin.mivi.uk, cabinet.mivi.uk) використовує лише сесійні cookies для входу — без third-party аналітики / трекерів / реклами.
Ми застосовуємо: HTTPS на всіх endpoints, Helmet CSP, rate-limiting, CSRF-захист, session regeneration після логіну, helmet/CORS, щоденні DB backups, моніторинг Sentry, ізольований Redis для сесій. Інциденти безпеки повідомляємо протягом 72 годин (GDPR Art. 33).
Сервіс розрахований на осіб 16 років або старше. Ми не збираємо свідомо дані осіб молодше 16. Якщо ви опікун і вважаєте, що ваша дитина зареєструвалась — напишіть на [email protected], видалимо акаунт протягом 7 днів.
При суттєвих змінах ми попередимо: push-сповіщенням, банером у додатку, або листом на email. Користування сервісом після оновлення = згода з новою редакцією.