Політика конфіденційності

01Хто ми та сфера дії

Ця Політика конфіденційності описує, як SalesFactory OÜ - оператор сервісу Jetsend на jetsend.eu, в особистому кабінеті клієнта та на Порталі повернень Jetsend - збирає, використовує, передає та захищає ваші персональні дані. Ми діємо як data controller для обробки, описаної нижче, відповідно до Загального регламенту ЄС про захист даних (GDPR) та застосовного національного законодавства про захист даних.

До кого застосовується ця політика

• Зареєстровані клієнти Jetsend (відправники та одержувачі посилок).
• Відвідувачі jetsend.eu та наших локалізованих підшляхів.
• Ділові контакти (партнери, журналісти, кандидати).

Окрема Політика cookies описує, як ми використовуємо cookies та подібні технології локального зберігання - для повної картини ознайомтеся з обома документами.

02Які дані ми збираємо

Ми обробляємо чотири основні категорії персональних даних. Більшість надходить безпосередньо від вас під час реєстрації, оформлення відправлення чи звернення до підтримки. Частина даних формується автоматично вашим браузером або перевізником, що обробляє посилку.

2.1. Дані облікового запису

2.2. Дані відправлення

2.3. Дані платежів

Ми ніколи не бачимо повний номер вашої картки. Дані картки вводяться безпосередньо у середовище PCI-DSS Level 1 компанії Stripe; ми отримуємо лише платіжний токен і останні чотири цифри.

2.4. Технічні дані

03Як ми використовуємо ваші дані

Ми обробляємо персональні дані лише за наявності однієї з шести правових підстав статті 6 GDPR. Таблиця нижче зіставляє ціль обробки з її правовою підставою.

Надання послуги доставкиСт. 6(1)(b) - виконання договору

Розрахунок, оформлення, етикетка, відстеження та доставка ваших посилок; ведення облікового запису; відповіді підтримки.

Дотримання правових обов'язківСт. 6(1)(c) - юридичний обов'язок

Виставлення рахунків, звітність із ПДВ/MOSS, митні декларації, перевірки AML, зберігання облікових документів.

Запобігання шахрайствуСт. 6(1)(f) - законний інтерес

Перевірка особи, блокування забороненого вмісту, виявлення шахрайства з платежами, обмеження зловживань. З урахуванням балансу прав і свобод.

Покращення продуктуСт. 6(1)(a) - згода (аналітичні cookies)

Агрегована продуктова аналітика з обрізаною IP через PostHog (ЄС). Вимкнено за замовчуванням; вмикається у банері cookies.

Маркетингові комунікаціїСт. 6(1)(a) - згода

Розсилка, анонси функцій, акції. Лише за згодою; посилання для відписки у кожному листі.

Захист правових вимогСт. 6(1)(f) - законний інтерес

Встановлення, здійснення та захист прав у спорах, чарджбеках, митних розслідуваннях та справах про відповідальність перевізника.

04Кому ми передаємо дані

Для роботи сервісу ми використовуємо невеликий перевірений перелік субобробників. Кожен пов'язаний письмовою угодою про обробку даних, обробляє дані лише за нашими інструкціями та перелічений нижче. Перевізники (DHL, GLS, UPS, InPost та інші) виступають незалежними контролерами після передачі посилки.

Packlink (Auctane S.L.U.)

Іспанія / ЄС

Агрегація перевізників, випуск етикеток, відстеження та митні документи.

Cloudflare, Inc.

Межа ЄС

CDN, захист від ботів та пом'якшення DDoS. Стандартні договірні положення ЄС.

Neon (Databricks Inc.)

ЄС (Франкфурт)

Керований хостинг PostgreSQL для панелі.

Stripe Payments Europe

Ірландія

Платежі карткою та SEPA. Stripe - незалежний контролер PCI-DSS Level 1 для антифрод-даних.

Resend (Resend Inc.)

ЄС / США

Доставка транзакційної пошти (вхід, чеки, оновлення відправлень). SCC укладено.

PostHog Inc.

ЄС (Франкфурт)

Продуктова аналітика. IP обрізається. Завантажується лише після згоди на аналітику.

Vercel Inc.

Межа ЄС

Хостинг фронтенду маркетингового сайту та панелі. Логи короткотривалі.

Photon / OpenDataSoft

Франція

Автодоповнення та геокодування адрес. Передається лише введений запит.

Google LLC

Ірландія (ЄС)

OAuth-вхід для користувачів, що обрали Google. Відстеження конверсій лише за маркетингової згоди.

4.1. Державні органи

Ми розкриваємо персональні дані податковим, митним, судовим або правоохоронним органам лише за дійсним правовим інструментом (ст. 6(1)(c) GDPR) та лише у мінімальному необхідному обсязі.

4.2. Корпоративні операції

Якщо Jetsend буде придбано або об'єднано з іншою компанією, ваші дані можуть бути передані набувачеві з тими ж гарантіями. Ми повідомимо заздалегідь через панель і електронною поштою.

05Міжнародні передачі

За замовчуванням ваші дані зберігаються в Європейському Союзі - переважно у Франкфурті (Neon, PostHog) і на європейській межі Cloudflare. Обмежені передачі за межі ЄЕЗ відбуваються лише коли материнська компанія субобробника знаходиться за кордоном (наприклад, Stripe US, Resend US).

У кожному такому випадку передача захищена однією або кількома з наступних гарантій:

• Рішення Європейської комісії про адекватність для Великої Британії та Швейцарії.
• Стандартні договірні положення ЄС (2021/914) з додатковими технічними заходами.
• EU-US Data Privacy Framework, коли одержувач сертифікований.

Копія SCC та зведення Transfer Impact Assessment доступні на запит за адресою dpo@jetsend.eu.

06Терміни зберігання

Терміни зберігання визначаються правовим обов'язком (переважно податковим та митним правом) та тим, що розумно необхідно для захисту правових вимог. Після закінчення зазначеного терміну дані безповоротно видаляються або анонімізуються.

07Ваші права

Згідно з GDPR ви маєте такі права щодо персональних даних. Скористатися ними можна, написавши на privacy@jetsend.eu; ми відповідаємо протягом одного місяця (з можливістю продовження ще на два місяці для складних запитів).

Доступ (ст. 15)

Отримати копію персональних даних, які ми зберігаємо про вас.

Виправлення (ст. 16)

Виправити неточні або неповні дані - більшість полів редагується у профілі.

Видалення (ст. 17)

Вимагати видалення даних, з урахуванням обов'язкових термінів зберігання.

Обмеження (ст. 18)

Призупинити обробку на час розслідування спору.

Переносимість (ст. 20)

Експортувати дані у машиночитаному форматі (JSON або CSV).

Заперечення (ст. 21)

Заперечити обробку на підставі законного інтересу, включно з профілюванням.

Відкликання згоди (ст. 7)

Відкликати згоду на аналітику чи маркетинг у будь-який момент без впливу на попередню обробку.

Скарга (ст. 77)

Подати скаргу до місцевого наглядового органу.

Перша копія ваших даних - безкоштовна. Ми можемо стягнути розумну плату або відмовити у явно необґрунтованих чи надмірних запитах згідно зі ст. 12(5) GDPR.

08Безпека та інциденти

Ми застосовуємо технічні та організаційні заходи, що відповідають ризику, включно з:

• TLS 1.3 під час передачі; AES-256 для бази даних та резервних копій у стані спокою.
• Апаратна 2FA на кожному адміністративному обліковому записі; SSO через Google Workspace.
• Доступ за принципом найменших привілеїв, переглядається щоквартально; доступ до продакшну логується.
• Пентести незалежною третьою стороною кожні 12 місяців.
• Відповідність PCI-DSS Level 1 для платіжного каналу (забезпечується Stripe).
• Програма розкриття вразливостей на security@jetsend.eu.

Якщо витік персональних даних може створити ризик для ваших прав і свобод, ми повідомляємо компетентний наглядовий орган протягом 72 годин, а за високого ризику - вас напряму без невиправданої затримки (ст. 33-34 GDPR).