Політика конфіденційності

1. Дві різні ролі

Ця відмінність важлива, тому вона перша. Коли ресторан використовує Shiftly для управління персоналом, саме ресторан вирішує, які дані про працівників збираються і навіщо, — він є володільцем даних. Ми зберігаємо й обробляємо ці дані за дорученням ресторану, як розпорядник.

Щодо власного акаунта ресторану — особи, яка реєструється, її пошти та даних оплати — володільцем є ми.

На практиці: якщо ви працівник і хочете виправити або видалити свої дані, спершу зверніться до роботодавця. Ми діятимемо за його дорученням. Якщо він більше не існує — пишіть нам напряму.

2. Які дані ми зберігаємо

Дані акаунта та працівників: ім'я та прізвище, електронна пошта, номер телефону, обрана мова та пароль, який зберігається лише як scrypt-хеш.

Домашня адреса, зокрема приблизні координати, якщо працівник її вказує. Це необов'язково і потрібно, щоб враховувати дорогу до локації під час складання графіка.

Дані про роботу: ресторан і локація, роль, грейд оплати та погодинна ставка, заплановані зміни, заявки на відпустку та обміни змінами.

Платіжні дані: тариф, сума, замаскований номер картки та статус платежу. Повні дані картки передаються безпосередньо WayForPay і до нас не потрапляють.

Технічні дані: IP-адреса, з якої надійшов запит, — використовується для обмеження частоти звернень до публічних форм.

3. Навіщо ми їх зберігаємо

Щоб надавати послугу, яку ви замовили: складати графіки, показувати людям їхні зміни та надсилати одноразові коди для входу.

Щоб приймати оплату та надсилати квитанції й повідомлення щодо оплати.

Щоб забезпечувати безпеку сервісу та запобігати зловживанням публічними формами.

Ми не продаємо персональні дані, не передаємо їх для реклами і не здійснюємо профілювання.

4. Хто ще їх бачить

Ми користуємося невеликою кількістю постачальників, кожен — для однієї задачі: Neon для бази даних, Fly.io для серверів, Vercel для вебсайтів, Resend для електронної пошти, Київстар для SMS з одноразовими кодами, WayForPay для карткових платежів і Google Places, коли хтось шукає адресу.

Кожен отримує лише те, що потрібно для його задачі. Київстар отримує номер телефону і код; WayForPay — суму, електронну пошту та дані картки, які ви вводите на його сторінці; Google Places — текст адреси, яку шукають.

В інших випадках ми не розкриваємо персональні дані, окрім випадків, передбачених законом.

5. Де зберігаються дані

Бази даних і сервери розміщені у Франкфурті, Німеччина. Деякі із зазначених вище постачальників працюють міжнародно і можуть обробляти дані за межами України та ЄС відповідно до власних гарантій захисту.

6. Як довго ми їх зберігаємо

Коди для входу діють десять хвилин. Сесії входу — тридцять днів. Посилання-запрошення — сімдесят дві години.

Дані про працівників і графіки зберігаються, доки акаунт активний. Неопубліковані чернетки графіків видаляються автоматично, щойно втрачають актуальність.

Після закриття акаунта ми видаляємо або знеособлюємо персональні дані, окрім записів, які зобов'язані зберігати для бухгалтерського обліку.

7. Як вони захищені

Паролі хешуються алгоритмом scrypt і ніколи не зберігаються у придатному для читання вигляді. Одноразові коди та токени сесій зберігаються лише як SHA-256-хеші, тож база не містить нічого, що можна було б повторно використати для доступу до акаунта.

Трафік шифрується під час передавання. Браузерні сесії використовують httpOnly-кукі, тому скрипт на сторінці не може прочитати токен.

Жодна система не є абсолютно захищеною. Якщо витік торкнеться ваших даних, ми повідомимо вас і наглядовий орган відповідно до вимог закону.

8. Ваші права

Згідно із Законом України «Про захист персональних даних» ви можете дізнатися, які дані про вас ми зберігаємо, вимагати їх виправлення чи видалення або заперечити проти їх використання.

Пишіть на support@shiftly.com.ua. Ми відповімо протягом тридцяти днів. Якщо ви працівник бізнесу, який користується Shiftly, дивіться розділ 1 — зазвичай запит має надіслати ваш роботодавець.

9. Зміни

Будь-яку нову редакцію ми опублікуємо тут із новою датою набуття чинності та повідомимо власників акаунтів електронною поштою до набуття чинності суттєвими змінами.