Політика конфіденційності.

1. Відповідальна особа

Відповідальна особа в розумінні Загального регламенту про захист даних (DSGVO) є:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Німеччина
E-Mail: info@lushly.world
Телефон: +49 152 0677 7974

2. Загальне щодо обробки даних

Lushly – це онлайн-майданчик, який поєднує кінцевих споживачів з незалежними салонами краси та велнесу. Ми обробляємо персональні дані наших користувачів виключно в тій мірі, в якій це необхідно для надання функціонального веб-сайту, а також нашого контенту та послуг.

Обробка персональних даних наших користувачів зазвичай відбувається лише за згодою користувача або для виконання договору. Виняток становлять випадки, коли попереднє отримання згоди з фактичних причин неможливе, а обробка даних дозволена законодавчими нормами.

Правовими основами є ст. 6, абз. 1, літ. а (згода), літ. b (виконання договору), літ. c (правове зобов'язання) та літ. f DSGVO (законний інтерес).

3. Які дані ми збираємо

3.1 При реєстрації як клієнт

• Ім'я та прізвище
• Адреса електронної пошти
• Номер телефону (необов'язково)
• Пароль (зберігається зашифрованим за допомогою bcrypt)
• Фото профілю (необов'язково, завантажене користувачем або через Google/Facebook під час входу за OAuth)
• Мовні налаштування

3.2 При реєстрації як салон / майстер

• Назва компанії, адреса, телефон, електронна адреса
• Опис, фотографії, ціни, послуги, години роботи
• При активації Stripe: банківські реквізити та податково-релевантні дані — зберігаються виключно у Stripe, не у нас
• Профілі майстрів (Ім'я, фото, мови, досвід, портфоліо) — налаштовується власником салону

3.3 При бронюванні

• Ім'я, електронна адреса, номер телефону клієнта, який бронює
• Обрана послуга, дата, час, ціна, тривалість
• Для запитів на консультацію (наприклад, татуювання): опис ідеї, розміри/місце на тілі, за можливості референсні фото
• При онлайн-оплаті: ми не зберігаємо дані картки — обробка здійснюється виключно через Stripe (сертифікований PCI-DSS Level 1)
• При платному абонементі для салону: Ім'я, електронна адреса та платіжна адреса для виставлення рахунків, а також ідентифікатор клієнта та абонемента від Stripe. Платіжні засоби (картка, SEPA-мандат) зберігаються виключно в Stripe
• Відгуки (1–5 зірок) та коментарі після завершеного бронювання
• Повідомлення чату між клієнтом та салоном (через функцію обміну повідомленнями всередині платформи)

3.4 Автоматично зібрані дані (журнали сервера)

• IP-адреса (анонімізується через 7 днів)
• Тип та версія браузера, операційна система
• Дата та час доступу
• Реферер-URL (сторінка, яку відвідали раніше)
• Географічний регіон (приблизно, на рівні міста, на основі IP)
• ID сесії для власної аналітики платформи (без особистого зв'язку)

Ці дані використовуються для безпеки та власного аналізу платформи (показник відмов, джерела трафіку, продуктивність). Передача зовнішнім службам, таким як Google Analytics або Meta, відбувається лише за умови, що користувач надав явну згоду в банері файлів cookie (аналітичні файли cookie для Google Analytics або маркетингові файли cookie для Meta Pixel).

3.5 Дані про місцезнаходження (Геолокація)

За прямою згодою користувача (Дозвіл браузера "Знайти поблизу") використовується приблизне місцезнаходження для відображення салонів поблизу. Місцезнаходження обробляється виключно на стороні клієнта і не зберігається в нашій базі даних.

4. Мета та правова підстава обробки

5. Передача третім сторонам (обробникам)

Ми передаємо дані виключно в таких випадках та на підставі відповідних договорів про обробку даних (AV-Verträge) згідно зі ст. 28 GDPR.:

• IONOS SE (Montabaur, Deutschland) — Хостинг платформи. Сервери розташовані в Німеччині. Відповідає GDPR.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Обробка платежів. Сертифіковано за PCI-DSS Level 1, відповідає GDPR. Stripe Конфіденційність
• Салон, що бронює — отримує ім'я, контактні дані та деталі бронювання для виконання договору. Салони є самостійними контролерами даних відповідно до GDPR.
• Google Ireland Limited (Gemini API) — автоматичні переклади текстів інтерфейсу користувача та описів салонів. Передаються виключно публічні матеріали (наприклад, описи салонів), без особистих даних кінцевих клієнтів. Google Захист даних
• Groq, Inc. (USA) — Аналітика ШІ для власників салонів. Передаються виключно агреговані та анонімізовані статистичні дані. Стандартні договірні положення відповідно до ст. 46 DSGVO забезпечують захист даних.
• Meta Platforms Ireland Limited (Meta Pixel) — лише після явної згоди у банері файлів cookie. Використовується виключно для маркетингових кампаній. Конфіденційність Meta
• Google Ireland Limited (Google Analytics 4) — лише після прямої згоди у банері файлів cookie (аналітичні файли cookie). Служить для анонімізованого аналізу охоплення та використання; IP-адреси скорочуються/анонімізуються. Передача даних до США на основі Рамкової програми конфіденційності даних ЄС-США та/або стандартних договірних положень ЄС. Google Захист даних
• SMTP-провайдер (постачальник WP Mail SMTP) — Надсилання транзакційних електронних листів (підтвердження бронювань, нагадування, скидання пароля).
• n8n (self-hosted, EU) — Робочі процеси автоматизації. Сервери в ЄС.

Подальша передача третім сторонам не відбувається. Зокрема, ми не продаємо дані.

5a. Застосування ШІ (Штучний Інтелект)

Ми використовуємо штучний інтелект (ШІ) у двох сферах:

1. Переклади: Для багатомовного надання нашого контенту ми використовуємо систему ШІ Google Gemini (Google Ireland Limited). Переклади ненімецького контенту можуть бути створені машиною; вирішальною завжди є німецька оригінальна версія.

2. Чат підтримки ШІ: Наш чат підтримки (у месенджері та на сторінці довідки) відповідає за допомогою ШІ-асистента (чат-бота). На початку чату вас буде чітко попереджено, що ви спілкуєтеся з системою ШІ (ст. 50 Регламенту про ШІ). Для особистої допомоги ви можете будь-коли звернутися на info@lushly.world.

Правова основа: ст. 6, п. 1, літ. b DSGVO (виконання договору) та літ. f DSGVO (законний інтерес в ефективній підтримці та багатомовному наданні послуг).

6. Файли cookie та подібні технології

Ми використовуємо лише технічно необхідні файли cookie (сесії входу, безпека, статус згоди на файли cookie, вибір мови). Ці файли cookie необхідні для роботи платформи та встановлюються відповідно до § 25 абз. 2 TDDDG без згоди.

Маркетингові файли cookie (Meta Pixel) встановлюються виключно після отримання чіткої згоди через наш банер cookie. Згоду можна відкликати в будь-який час.

Для власного аналізу платформи ми додатково зберігаємо анонімні дані у нашій власній базі даних (first-party).

Google Analytics 4. З вашою чіткою згодою (аналітичні файли cookie в банері cookie) ми використовуємо Google Analytics 4 (постачальник: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ірландія). Google Analytics використовує файли cookie для оцінки використання вебсайту — наприклад, переглядів сторінок, часу перебування, використаних пристроїв та приблизного географічного походження. IP-адреси при цьому обробляються анонімно або скорочено. Дані можуть передаватися на сервери Google – також у США; передача здійснюється на основі Рамок конфіденційності даних ЄС-США та/або стандартних договірних положень ЄС згідно зі ст. 46 GDPR. Правовою підставою є ваша згода згідно зі ст. 6, абз. 1, літ. a GDPR. Ви можете відкликати свою згоду в будь-який час з дією на майбутнє через налаштування файлів cookie. Google Політика конфіденційності

7. Термін зберігання

• Обліковий запис клієнта: до видалення користувачем
• Дані бронювання: 10 років (податково-правовий обов'язок зберігання згідно з § 147 Податкового кодексу)
• Відгуки: постійно, доки користувач не видалить (можлива псевдонімізація)
• Аналітичні сесії: 12 місяців
• Журнали сервера: 30 днів
• IP-адреси: 7 днів, потім анонімізація
• Повідомлення чату: до видалення облікового запису
• Згода на email-маркетинг: до відкликання

8. Ваші права як суб'єкта даних

Як суб'єкт даних, ви завжди маєте право на:

• Інформація (Art. 15 DSGVO) — які дані ми обробляємо про вас
• Виправлення (Art. 16 DSGVO) — Виправлення неправильних даних
• Видалення (Art. 17 DSGVO) — "Право на забуття"
• Обмеження обробки (Art. 18 DSGVO)
• Портованість даних (Art. 20 DSGVO) — Дані у машиночитному форматі
• Заперечення (Art. 21 DSGVO) — проти обробки на підставі законного інтересу
• Відкликання згоди (Art. 7 Abs. 3 DSGVO) — з дією на майбутнє

Видалення облікового запису можливе в будь-який час за посиланням: Mein Konto → Налаштування
Запити щодо прав на захист даних надсилайте, будь ласка, електронною поштою на адресу: info@lushly.world

9. Право на скаргу до наглядового органу

Ви маєте право, згідно зі статтею 77 Загального регламенту про захист даних (DSGVO), подати скаргу до наглядового органу із захисту даних — зокрема, у державі-члені вашого проживання, місця роботи або місця ймовірного порушення.

За нас відповідає:
Уповноважена особа федеральної землі Бранденбург із захисту даних та права на ознайомлення з документами
Stahnsdorfer Damm 77
14532 Kleinmachnow
Телефон: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Безпека даних

Ми використовуємо SSL/TLS-шифрування (HTTPS) для всієї передачі даних. Паролі хешуються за допомогою bcrypt і ніколи не зберігаються у відкритому вигляді. Платіжні дані обробляються виключно Stripe (PCI-DSS Рівень 1). Резервні копії зберігаються в зашифрованому вигляді.

11. Передача до третьої країни

Якщо дані передаються до третіх країн (зокрема до США) — наприклад, через Groq, Meta-Pixel або Google Analytics — це відбувається на підставі стандартних договірних положень ЄС згідно зі ст. 46 GDPR та/або рішення про адекватність згідно зі ст. 45 GDPR (наприклад, EU-US Data Privacy Framework). Ми ретельно перевіряємо отримувачів.

12. Автоматизовані рішення, профайлінг

Ми не використовуємо повністю автоматизовані процеси прийняття рішень з юридичними наслідками. Автоматично згенеровані тижневі звіти для власників салонів призначені виключно для інформації та не є юридично обов'язковим рішенням.

13. Push-сповіщення (PWA)

Lushly – це прогресивний веб-додаток (PWA). Пуш-сповіщення надсилаються лише за явною згодою користувача (дозвіл браузера). Згоду можна відкликати в будь-який час у налаштуваннях браузера.

14. Вхід через соціальні мережі (Google / Facebook OAuth)

При реєстрації через Google або Facebook нам передаються такі дані: ім'я, адреса електронної пошти та фото профілю. Інші дані вашого профілю Google/Facebook не завантажуються. Додатково застосовуються положення про захист даних Google та Meta.

15. Зміни до цієї Політики конфіденційності

Ми залишаємо за собою право періодично оновлювати цю Політику конфіденційності для її приведення у відповідність до поточних правових вимог або для впровадження змін у наших послугах. Актуальна версія завжди доступна на цій сторінці. Про суттєві зміни зареєстровані користувачі будуть проінформовані електронною поштою.