Політика приватності

Ця Політика описує, як сервіс Horyzont (далі - «Сервіс») збирає, обробляє та захищає персональні дані Користувачів. Документ підготовлено відповідно до Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI та Регламенту Європейського Парламенту 2016/679 (GDPR).

Сервіс доступний за адресою horyzont-event.com. Контролером персональних даних є команда Horyzont (Львів, Україна). З питань обробки даних можна звернутись на hello@horyzont-event.com.

Користуючись Сервісом, ви підтверджуєте, що ознайомились з цією Політикою та надаєте згоду на обробку персональних даних на умовах, викладених нижче.

Сервіс обробляє лише ті дані, що необхідні для виконання його функцій:

• Облікові дані: адреса електронної пошти, хеш пароля, відображуване імʼя. Використовуються виключно для автентифікації та доступу до облікового запису.
• Дані події: назва, дата, місто, орієнтовний бюджет, кількість запрошених. Видимі лише власнику облікового запису та запрошеному партнеру.
• Контакти гостей: імена, телефони, електронні адреси, нотатки - додаються Користувачем на власний розсуд. Доступ обмежений власником події.
• Відповіді RSVP: дані, які запрошені особи добровільно вказують у формі підтвердження участі (імʼя, статус, супутник, харчові обмеження, повідомлення парі).
• Профіль підрядника: для Користувачів, що публікують послуги у каталозі - назва, опис, фото, контакти, цінова категорія.
• Технічні дані: знеособлені звіти про помилки (Sentry) та події використання (PostHog) - тип пристрою, браузер, шлях навігації. PostHog активується лише після явної згоди у банері cookies.

Обробка персональних даних здійснюється на одній або кількох з таких підстав:

• Виконання договору (ст. 6(1)(b) GDPR) - надання Користувачу функціоналу Сервісу.
• Згода Користувача (ст. 6(1)(a) GDPR) - для необовʼязкової аналітики, маркетингових повідомлень, публікації профілю підрядника.
• Законні інтереси (ст. 6(1)(f) GDPR) - забезпечення безпеки сервісу, запобігання шахрайству, обробка знеособлених технічних логів.
• Юридичний обовʼязок (ст. 6(1)(c) GDPR) - відповідь на запити компетентних державних органів у межах чинного законодавства.

Персональні дані не продаються та не передаються третім особам у маркетингових цілях. Обробка здійснюється виключно через перевірених субпроцесорів, з якими укладено договори про обробку даних (DPA):

• Supabase Inc. - база даних, авторизація, файлове сховище. Регіон обробки: EU North.
• Vercel Inc. - хостинг та доставка контенту. Регіон обробки: Europe.
• Resend Inc. - доставка транзакційних електронних повідомлень (підтвердження реєстрації, запрошення співавтора, нагадування RSVP).
• Sentry GmbH - моніторинг помилок та продуктивності. Регіон обробки: ЄС. Персональні ідентифікатори у session replays автоматично маскуються.
• PostHog Inc. - продуктова аналітика, регіон ЄС. Активується лише після надання Користувачем явної згоди.

Усі субпроцесори обробляють дані відповідно до GDPR та стандартних договірних умов (Standard Contractual Clauses) для трансферу даних.

Облікові дані та дані події зберігаються протягом усього періоду активного використання Сервісу. У разі видалення облікового запису через налаштування або відповідного запиту, усі повʼязані дані видаляються протягом 30 календарних днів. Технічні логи зберігаються не довше 90 днів. Резервні копії з обмеженим строком до 30 днів використовуються виключно для відновлення Сервісу у разі збоїв.

Відповідно до Закону України «Про захист персональних даних» та GDPR, Користувач має право:

• отримати інформацію про обробку власних персональних даних;
• отримати копію персональних даних у структурованому форматі (право на портативність);
• вимагати виправлення неточних або неповних даних;
• вимагати видалення персональних даних («право бути забутим»);
• обмежити обробку або заперечити проти неї;
• відкликати раніше надану згоду на обробку;
• подати скаргу до Уповноваженого Верховної Ради України з прав людини або іншого компетентного наглядового органу.

Запити щодо реалізації цих прав надсилайте на hello@horyzont-event.com. Відповідь надається у строк до 30 календарних днів.

Необхідні: токен сесії, налаштування інтерфейсу (мова, валюта), запис згоди на cookies. Без цих даних коректна робота Сервісу неможлива.

Аналітичні: активуються лише після надання явної згоди у банері. Згоду можна відкликати у будь-який момент шляхом очищення локального сховища браузера або звернення на електронну пошту служби підтримки.

Сервіс застосовує організаційні та технічні заходи захисту персональних даних, зокрема: шифрування каналу звʼязку (TLS 1.3), ізоляцію даних на рівні строк (Postgres Row-Level Security), зберігання паролів у вигляді криптографічних хешів (bcrypt), обмежений адміністративний доступ до бекенду, журналювання запитів до бази даних, регулярне резервне копіювання.

Сервіс залишає за собою право вносити зміни до цієї Політики. Дата останнього оновлення вказана на початку документа. Про суттєві зміни Користувачі повідомляються електронною поштою або інформаційним банером на сайті щонайменше за 14 днів до набрання змін чинності.

З питань реалізації прав, видалення даних, отримання копії або інших звернень щодо обробки персональних даних: hello@horyzont-event.com.