Політика конфіденційності

1. Розпорядник

Розпорядником обробки ваших персональних даних на цьому веб-сайті є:

Entrio sp. z o.o.
ul. Zagórna 28, 37-420 Kopki, Польща
Email: help@tollentrio.com
Телефон: +48 880 685 468

З питань щодо захисту даних звертайтеся на вказану e-mail-адресу.

1.2. Ми не призначили відповідальну особу (DPO), оскільки це не вимагається ст. 37 GDPR. Усі запити надсилайте на help@tollentrio.com.

2. Дані, які ми збираємо

Ми збираємо лише ті персональні дані, які необхідні для цілей, описаних у цій політиці.

2.1. Дані, які ви надаєте при оформленні замовлення

• Ім'я та прізвище
• Email-адреса
• Номер телефону
• Платіжна адреса (вулиця, місто, поштовий індекс, країна)
• Реєстраційний номер транспортного засобу
• Країна реєстрації транспортного засобу
• Тип/категорія транспортного засобу

2.2. Дані, що збираються автоматично

• IP-адреса
• Тип і версія браузера
• Операційна система
• Дата і час доступу
• Відвідані сторінки та URL переходу
• Інформація про пристрій

2.3. Платіжні дані

Платіжна інформація (номери карток, банківські реквізити) обробляється виключно нашими постачальниками платіжних послуг і ніколи не зберігається на наших серверах.

3. Мета та правова основа

Ми обробляємо ваші персональні дані з такими цілями та на таких правових підставах (GDPR):

3.2. Якщо обробка ґрунтується на законному інтересі (ст. 6(1)(f) GDPR), такий інтерес включає забезпечення безпеки сайту, запобігання шахрайству, покращення послуг та ефективну підтримку клієнтів. Ми оцінили, що ці інтереси не переважають над основними правами і свободами користувачів.

4. Одержувачі даних

Ваші дані можуть передаватися наступним категоріям одержувачів виключно з вищезгаданих цілей:

• Національні органи стягнення плати за проїзд — реєстраційні дані транспортного засобу передаються відповідному органу країни призначення для реєстрації е-віньєтки;
• Постачальники платіжних послуг — платіжні дані передаються нашому захищеному процесору для обробки транзакції;
• Постачальники email/SMS — ваші контактні дані передаються нашому комунікаційному постачальнику для доставки підтвердження;
• Хостинг-провайдери — дані зберігаються на серверах нашого хостинг-провайдера;
• Податкові консультанти/бухгалтери — дані про замовлення та рахунки можуть передаватися для виконання законних обов'язків.

Ми не продаємо, не здаємо в оренду і не передаємо ваші персональні дані третім сторонам для маркетингових цілей.

5. Термін зберігання

Ми зберігаємо ваші персональні дані лише стільки, скільки це необхідно для цілей, з якими вони були зібрані:

• Дані про замовлення: зберігаються протягом терміну, передбаченого податковими та комерційними правилами (зазвичай 5–10 років);
• Кореспонденція підтримки: до 3 років з останньої взаємодії;
• Аналітичні дані: анонімізовані або видалені через 26 місяців;
• Cookies: див. розділ 8 нижче.

6. Ваші права (GDPR)

Відповідно до GDPR ви маєте такі права:

• Право на доступ (ст. 15 GDPR) — можете запросити копію ваших персональних даних;
• Право на виправлення (ст. 16 GDPR) — можете вимагати виправлення неточних даних;
• Право на видалення (ст. 17 GDPR) — можете вимагати видалення ваших даних з урахуванням законних обов'язків зберігання;
• Право на обмеження обробки (ст. 18 GDPR);
• Право на переносність даних (ст. 20 GDPR);
• Право заперечувати (ст. 21 GDPR) — можете заперечувати проти обробки на основі законного інтересу;
• Право відкликати згоду (ст. 7 ч. 3 GDPR) — можете відкликати згоду в будь-який час без впливу на законність попередньої обробки.

Для реалізації прав напишіть нам на help@tollentrio.com. Відповідаємо протягом 30 днів. Ви також маєте право подати скаргу до відповідного наглядового органу.

6.2. Ми не використовуємо автоматизоване прийняття рішень чи профілювання у значенні ст. 22 GDPR, що мало б правові наслідки чи значно вплинуло на вас.

7. Безпека даних

Ми застосовуємо відповідні технічні та організаційні заходи для захисту ваших персональних даних, зокрема:

• SSL/TLS шифрування для всіх даних, що передаються між браузером і нашими серверами;
• Шифроване зберігання в базі даних;
• Контроль доступу та аутентифікація для внутрішніх систем;
• Регулярні аудити безпеки та оновлення.

8. Cookies

Наш сайт використовує cookies — маленькі текстові файли, що зберігаються на вашому пристрої — для забезпечення належного функціонування та покращення користувацького досвіду.

8.1. Необхідні cookies

Ці cookies необхідні для функціонування сайту (керування сесією, кошик). Не вимагають згоди.

8.2. Аналітичні cookies

Ми можемо використовувати аналітичні інструменти (наприклад, Google Analytics) для розуміння використання сайту. Встановлюються лише з вашою згодою.

8.3. Маркетингові cookies

Ми можемо використовувати маркетингові cookies третіх сторін (наприклад, Google Ads, Facebook) для показу релевантної реклами. Встановлюються лише з вашою явною згодою. Вимкнення cookies може вплинути на функціональність сайту.

8.4. Керування згодою (CookieYes)

Ми використовуємо CookieYes від Adzapier LLC для керування налаштуваннями cookies відповідно до GDPR і директиви ePrivacy. При першому відвідуванні з'являється банер згоди, через який ви можете прийняти, відхилити або налаштувати необов'язкові cookies. Згоду можна змінити або відкликати в будь-який час через значок cookies у куті сторінки. Більше: cookieyes.com. Відкликання згоди не впливає на законність обробки до відкликання.

9. Server-логи

При доступі до нашого сайту ваш браузер автоматично передає технічну інформацію, яку ми зберігаємо у так званих server-логах. Сюди входять:

• Тип і версія браузера;
• Операційна система;
• URL переходу;
• Дата і час запиту до сервера;
• IP-адреса вашого пристрою (анонімізована за технічної можливості).

Об'єднання цих даних з іншими персональними даними зазвичай не здійснюється. Обробка ґрунтується на ст. 6 ч. 1 п. f GDPR — захист нашого законного інтересу щодо стабільності, безпеки та функціональності сайту. Логи автоматично видаляються через 30 днів, якщо не потрібні для розслідування інциденту безпеки.

10. Хостинг та інфраструктура

10.1. Supabase (база даних та автентифікація)

Backend на Supabase, Inc., 970 Toa Payoh North #07-04, Сінгапур 318992. Дані зберігаються на серверах у ЄС (eu-central). Обробка згідно з договором про обробку за ст. 28 GDPR. Більше: supabase.com/privacy.

10.2. Cloudflare (CDN, захист від DDoS)

Використовуємо Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, США як CDN та для захисту від DDoS. Cloudflare обробляє технічні дані, такі як IP-адреси, у server-логах. Cloudflare може обробляти дані на серверах поза ЄС, включно зі США. Правова основа: ст. 6 ч. 1 п. f GDPR. Міжнародні передачі захищено стандартними договірними положеннями ЄС. Політика: cloudflare.com/privacypolicy.

11. Веб-аналітика та рекламні інструменти

11.1. Google Analytics 4

Наш сайт використовує Google Analytics 4 від Google Ireland Ltd, Gordon House, Barrow Street, Dublin 4, Ірландія. Google Analytics використовує cookies, що дозволяють аналіз використання сайту. Інформація, створена cookies, зазвичай передається на сервер Google і там зберігається.

Анонімізація IP: ми активували анонімізацію IP. Ваша IP-адреса скорочується в межах ЄС/ЄЕЗ до передачі. Лише у виняткових випадках повна IP передається на сервер у США та там скорочується.

Термін зберігання: дані, пов'язані з cookies, ID користувачів чи рекламними ID, анонімізуються або видаляються через 14 місяців.

Правова основа: ваша згода через банер (ст. 6 ч. 1 п. a GDPR). Згоду можна відкликати в будь-який час через значок cookies. Більше: policies.google.com/privacy.

11.2. Google Tag Manager

Використовуємо Google Tag Manager для керування маркетинговими та аналітичними тегами. Сам по собі не встановлює cookies і не збирає персональні дані — лише запускає інші теги. Якщо ви відмовили у згоді на рівні cookies або домену, це поширюється на всі теги, керовані через GTM.

11.3. Google Ads та відстеження конверсій

Використовуємо Google Ads (Google Ireland Ltd) включно з відстеженням конверсій. При натисканні на рекламу на вашому пристрої встановлюється cookie (термін дії 30 днів). Cookie не служить для особистої ідентифікації. Ми отримуємо лише сукупну кількість користувачів, які натиснули на рекламу та перейшли на сторінку з тегом конверсії. Правова основа: згода (ст. 6 ч. 1 п. a GDPR). Інформація: policies.google.com/technologies/ads.

11.4. Meta Pixel (Facebook)

Ми можемо використовувати Meta Pixel (Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Ірландія) для вимірювання ефективності реклами на Facebook та Instagram і показу інтересам користувачів реклами (ретаргетинг). Pixel може передавати дані на сервери Meta у США. Правова основа: згода (ст. 6 ч. 1 п. a GDPR). Більше: facebook.com/privacy/policy.

11.5. Microsoft Advertising (Bing Ads)

Ми можемо використовувати Microsoft Advertising (Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, США) для реклами та відстеження конверсій. Категорії даних можуть включати: мову браузера, кліки, IP, Microsoft Click ID, заголовок сторінки, URL переходу та інформацію про пристрій. Правова основа: згода (ст. 6 ч. 1 п. a GDPR).

11.6. У відповідних випадках ми можемо діяти як спільний контролер з певними постачальниками (наприклад, Meta Platforms Ireland Ltd.) згідно зі ст. 26 GDPR щодо даних, зібраних через технології відстеження. Подробиці — у відповідних політиках постачальників.

12. Постачальники платіжних послуг

12.1. Stripe

Для платежів картою та гаманцями використовуємо Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ірландія). При оплаті карткою ваші платіжні дані (номер картки, CVC, термін дії, платіжні дані) збирає та обробляє виключно Stripe — ми ніколи не бачимо та не зберігаємо повний номер вашої картки. Правова основа: ст. 6 ч. 1 п. b GDPR. Політика: stripe.com/privacy.

12.2. Локальні платіжні шлюзи

Для регіональних методів оплати (наприклад, BLIK, Apple Pay, Google Pay) транзакція може проходити через додаткових сертифікованих постачальників. У будь-якому випадку платіжні дані обробляє виключно постачальник, не ми. Ми отримуємо лише підтвердження транзакції (успіх/помилка, сума, ID транзакції).

13. Обробка замовлень та національні органи стягнення

Для реєстрації вашої е-віньєтки ми передаємо необхідні дані — реєстраційний номер, країну реєстрації, категорію та період дії — відповідному національному органу стягнення країни призначення. Одержувачі за країнами:

• Угорщина: Nemzeti Mobilfizetési Zrt., Kapás utca 6–12, 1027 Будапешт;
• Чехія: Státní fond dopravní infrastruktury (SFDI), Sokolovská 1955/278, 190 00 Прага 9;
• Словаччина: Národná diaľničná spoločnosť, a. s. (NDS), Dúbravská cesta 14, 841 04 Братислава;
• Словенія: DARS d. d., Ulica XIV. divizije 4, 3000 Целє;
• Болгарія: Національний митний комітет (Toll BG), Софія;
• Румунія: Compania Națională de Administrare a Infrastructurii Rutiere (CNAIR), Bd. Dinicu Golescu 38, Бухарест;
• Швейцарія: Bundesamt für Zoll und Grenzsicherheit (BAZG), Берн;
• Молдова: Vama Moldovei, Кишинів.

Правова основа: ст. 6 ч. 1 п. b GDPR. Без цієї передачі е-віньєтку зареєструвати неможливо.

14. Email та SMS

14.1. Транзакційні email

Підтвердження замовлень та PDF-файли е-віньєток надсилаються через транзакційний email-сервіс (Resend / Supabase SMTP). Ваша email-адреса та дані замовлення обробляються виключно з метою доставки. Правова основа: ст. 6 ч. 1 п. b GDPR.

14.2. SMS-сповіщення

Якщо ви обрали доставку SMS (додаткова плата), ваш номер телефону та зміст повідомлення передаються нашому постачальнику SMS. Постачальник може обробити та маршрутизувати повідомлення через партнерських операторів по всьому світу. Правова основа: ст. 6 ч. 1 п. a GDPR (ваша явна згода на checkout). Номер телефону зберігається лише стільки, скільки потрібно для обробки замовлення та законних термінів.

15. CRM та внутрішні інструменти

Використовуємо Zoho CRM (Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Утрехт, Нідерланди) для керування замовленнями, кореспонденцією підтримки та бухгалтерськими процесами. Збережені дані: ім'я, email, телефон, платіжні дані, огляд замовлень. ЄС-резиденція даних. Правова основа: ст. 6 ч. 1 п. b і f GDPR. Політика: zoho.com/privacy. Внутрішні операційні сповіщення надсилаються через захищені внутрішні інструменти і не містять повних персональних даних — лише ID замовлення, країну та статус транзакції.

16. Дані про обмінні курси (NBP)

Для конвертації цін у вашу локальну валюту ми отримуємо і курси через публічний API Національного банку Польщі (NBP). До NBP не передаються жодні персональні дані — лише анонімний запит на актуальну таблицю курсів. Кеш: 4 години.

17. Міжнародні передачі даних

Ваші дані можуть бути передані за межі ЄЕЗ до країн, де розташовані наші постачальники (наприклад, США: Stripe, Google, Meta, Microsoft, Cloudflare). У всіх випадках ми спираємося на одне з таких заходів захисту:

• Стандартні договірні положення ЄС (SCCs) Європейської Комісії;
• Рішення про адекватність Європейської Комісії (наприклад, EU–U.S. Data Privacy Framework);
• Обов'язкові корпоративні правила (BCR) одержувача.

Незважаючи на ці заходи, ми не можемо повністю виключити доступ органів країни-одержувача до переданих даних без ефективних правових засобів. Згодою на необов'язкові cookies ви також погоджуєтеся з цими передачами у значенні ст. 49 ч. 1 п. a GDPR.

18. Сповіщення про порушення захисту даних

У разі порушення захисту даних, що ймовірно становить ризик для ваших прав і свобод, ми повідомимо відповідний наглядовий орган протягом 72 годин і за потреби без зайвої затримки інформуємо постраждалих осіб.

19. Зміни цієї політики

Ми можемо час від часу оновлювати цю політику. Оновлена версія публікується на цій сторінці з датою останнього перегляду.

20. Контакт

З питань щодо захисту даних звертайтеся на help@tollentrio.com.