Робочі сервери — виділені машини Hetzner Online GmbH у Фалькенштайні (Німеччина). Репліки бази даних, файлове сховище та резервні копії також залишаються в межах ЄС. Клієнтський застосунок не містить рекламних трекерів.
1. Хто ми
cloudGPS («cloudGPS», «ми») — платформа телематики автопарків: GPS-моніторинг, контроль палива, геозони, технічне обслуговування та управління водіями. Її розробляє й обслуговує українсько-естонська команда, а робоча інфраструктура повністю розміщена в Європейському Союзі.
Оператор платформи та сторона договору:
Олександр Олійник, фізична особа — підприємець, зареєстрований в Україні, що діє під торговельною назвою cloudGPS.
Електронна пошта: info@cloudgps.online — з усіх питань конфіденційності, запитів суб'єктів даних і підписання DPA.
Повні реєстраційні дані та поштова адреса надаються за запитом і зазначаються в підписаних договорах.
2. Наші ролі за GDPR
cloudGPS виступає у двох різних ролях:
- Як оператор обробки — щодо телематичних даних автопарку (положення транспорту, маршрути, паливо, ідентифікація водіїв та інші дані з розділу 4). Наш клієнт — власник автопарку, дилер або партнер, якому належить обліковий запис, — є контролером цих даних і визначає, навіщо та як вони обробляються. Обробка регулюється нашим Договором про обробку даних (DPA).
- Як контролер — щодо даних облікового запису та рахунків, спілкування з підтримкою, журналів безпеки й даних, надісланих через наші сайти.
Портали партнерів під власним брендом. Платформу також пропонують наші партнери під власним брендом і доменом. Якщо ви користуєтеся порталом під брендом партнера, ваш договір укладено з партнером, зазначеним у вашій угоді, а cloudGPS обробляє ваші дані на рівні платформи — з тими самими зобов'язаннями щодо розміщення в ЄС і безпеки, що описані в цій політиці, та на підставі договору субобробки з партнером (див. DPA, пункт 2.3). Партнер може публікувати власне повідомлення про конфіденційність на додаток до цього та надсилати сповіщення через свого поштового провайдера.
3. Де зберігаються ваші дані
- Усі робочі дані — телеметрія, дані водіїв, облікових записів і рахунків — зберігаються на виділених серверах Hetzner Online GmbH у Фалькенштайні (Німеччина, ЄС), у центрах обробки даних із сертифікацією ISO 27001.
- База даних працює як реплікований кластер із трьох вузлів, усі — у німецьких центрах обробки даних.
- Файлові вкладення (наприклад, фотографії водіїв, PDF-рахунки) та резервні копії зберігаються у сховищі Hetzner у межах ЄС.
- Моніторинг помилок застосунку (Sentry) використовує регіон даних ЄС — звіти про помилки приймаються та зберігаються в Німеччині.
- Ми не використовуємо хмарні сервіси за межами Європейського Союзу для зберігання даних клієнтів.
4. Які дані ми обробляємо
Як оператор обробки (дані автопарку, за дорученням клієнтів)
- Дані про місцезнаходження транспорту: GPS-координати, швидкість, курс, маршрути, пробіг, мотогодини;
- Телеметрія та показання давачів: запалювання, рівень палива, температура, CAN-шина та інші входи трекерів;
- Ідентифікатори пристроїв: IMEI, серійні номери, ідентифікатори SIM;
- Події ідентифікації водіїв: ідентифікатори ключів iButton / RFID і призначення водіїв на їх основі;
- Дані, внесені клієнтом: імена водіїв, номери телефонів, фотографії, державні номери транспорту, геозони, нотатки;
- Звіти та сповіщення, сформовані на основі перелічених даних.
Як контролер
- Дані облікового запису: ім'я, логін, електронна пошта, телефон, компанія, мова та налаштування інтерфейсу;
- Платіжні дані: рахунки, записи про оплати, реквізити компанії;
- Спілкування з підтримкою: звернення, повідомлення в чаті та пов'язаний контекст;
- Технічні журнали та журнали безпеки: IP-адреси, історія входів, відомості про браузер і пристрій — зберігаються для захисту облікових записів і розслідування зловживань;
- Звернення з сайту: ім'я, електронна пошта, телефон, компанія та повідомлення, надіслані через форми на cloudgps.online.
5. Цілі та правові підстави
| Мета | Правова підстава (GDPR) |
|---|---|
| Надання платформи та її функцій клієнтам | Виконання договору — ст. 6(1)(b) |
| Виставлення рахунків, оплати та бухгалтерський облік | Юридичний обов'язок — ст. 6(1)(c); договір — ст. 6(1)(b) |
| Безпека облікових записів: запобігання шахрайству, захист від підбору паролів і підстановки викрадених облікових даних, розслідування зловживань | Законний інтерес — ст. 6(1)(f) |
| Відповіді на звернення та запити до підтримки | Договір — ст. 6(1)(b); законний інтерес — ст. 6(1)(f) |
| Покращення сервісу на основі узагальненої знеособленої статистики використання | Законний інтерес — ст. 6(1)(f) |
| Статистика відвідувань маркетингового сайту | Згода / законний інтерес — див. Cookie |
6. Інформація для водіїв і працівників
Якщо ваш роботодавець або замовник використовує cloudGPS для моніторингу своїх транспортних засобів, саме роботодавець є контролером даних моніторингу. Він вирішує, які автомобілі відстежуються, з якою метою та як довго зберігаються дані. Запити щодо ваших даних (доступ, виправлення, видалення) спершу надсилайте роботодавцю — ми допомагаємо йому виконувати такі запити відповідно до DPA.
Ми вимагаємо від клієнтів інформувати водіїв про моніторинг транспорту згідно з чинним трудовим законодавством і законодавством про захист даних.
7. Субпроцесори та треті сторони
Ми ніколи не продаємо персональні дані й не передаємо їх рекламним мережам. Ми залучаємо невелику кількість постачальників послуг:
| Постачальник | Призначення | Розташування |
|---|---|---|
| Hetzner Online GmbH | Виділені сервери, сховище та резервні копії для всіх робочих даних | Німеччина (ЄС) |
| Hetzner Online GmbH | Надсилання та отримання транзакційної пошти (службові сповіщення, звернення з сайту) | Німеччина (ЄС) |
| Functional Software, Inc. (Sentry) | Моніторинг помилок застосунку | Регіон даних ЄС (Німеччина) |
| Anthropic | ШІ-асистент підтримки: обробляє текст звернення та відповідний контекст пристроїв, коли ви користуєтеся чатом підтримки; дані API не використовуються для навчання моделей | США (гарантії DPF / SCC) |
| Google Ireland Ltd (Google Analytics) | Статистика відвідувань лише маркетингового сайту cloudgps.online — не використовується всередині клієнтського застосунку | ЄС / США (DPF) |
| Cloudflare, Inc. | DNS для наших доменів; трафік застосунку через Cloudflare не проходить | Глобально (DPF / SCC) |
Картографічні зображення (наприклад, HERE) завантажуються й кешуються нашими власними серверами в ЄС; постачальники карт не отримують даних вашого облікового запису чи ідентифікаторів користувачів.
Актуальний перелік субпроцесорів для клієнтів за DPA міститься в Додатку III до DPA. Ми повідомляємо клієнтів щонайменше за 30 днів до додавання або заміни субпроцесора. Партнери, що працюють під власним брендом, можуть налаштувати власний SMTP-сервер для сповіщень своїм клієнтам — у такому разі пошту доставляє обраний партнером постачальник.
8. Міжнародна передача даних
Усі дані клієнтів у стані спокою залишаються в Європейському Союзі (розділ 3). Наша команда розробки та підтримки працює з ЄС (Естонія) та України. Віддалений адміністративний доступ з України захищено Стандартними договірними положеннями ЄС (Імплементаційне рішення Комісії (ЄС) 2021/914) разом із суворими технічними заходами: багатофакторна автентифікація, доступ по SSH лише за ключами, рольове розмежування доступу та журналювання дій.
Передача даних субпроцесорам за межі ЄС/ЄЕЗ (див. розділ 7) захищена Рамковою угодою ЄС–США про конфіденційність даних (DPF) та/або Стандартними договірними положеннями.
9. Строки зберігання
- Телеметрія автопарку та дані водіїв — зберігаються протягом дії договору про надання послуг, щоб клієнти мали доступ до історії маршрутів і звітів. Після припинення договору дані видаляються або повертаються відповідно до DPA, не пізніше ніж через 90 днів, якщо клієнт не попросить видалити їх раніше.
- Дані облікового запису — протягом існування облікового запису та до 90 днів після його закриття.
- Платіжні та бухгалтерські записи — протягом строку, встановленого законодавством (зазвичай 3 роки).
- Журнали безпеки та доступу — до 12 місяців, якщо довший строк не потрібен для поточного розслідування.
10. Безпека
- Шифрування TLS для всього веб-, мобільного та API-трафіку;
- Інфраструктура лише в ЄС, на виділених (не спільних) серверах у центрах обробки даних із сертифікацією ISO 27001;
- Сегментація мережі, брандмауери та ізоляція серверів застосунку за виділеними балансувальниками навантаження;
- Доступ по SSH виключно за криптографічними ключами; багатофакторна автентифікація для адміністративного доступу;
- Рольове розмежування доступу та ізоляція даних кожного орендаря;
- Автоматичний захист від підбору паролів і атак підстановки викрадених облікових даних;
- Реплікований кластер бази даних із трьох вузлів, регулярні резервні копії та цілодобовий моніторинг;
- Журналювання адміністративних операцій і визначений процес реагування на інциденти.
У разі порушення захисту персональних даних ми без невиправданої затримки повідомляємо клієнтів, яких це стосується, і допомагаємо їм виконати обов'язки за статтями 33–34 GDPR.
11. Ваші права
За GDPR ви маєте право на доступ до своїх персональних даних, їх виправлення та видалення, на обмеження обробки чи заперечення проти неї, а також на перенесення даних. Якщо обробка ґрунтується на згоді, ви можете відкликати її будь-коли.
Щоб скористатися цими правами, напишіть на info@cloudgps.online. Якщо ваші дані внесено до платформи роботодавцем (власником автопарку), ми можемо переадресувати ваш запит йому як контролеру — див. розділ 6.
Ви також маєте право подати скаргу до наглядового органу країни ЄС за місцем проживання або роботи.
12. Файли cookie та аналітика
Маркетинговий сайт (cloudgps.online)
Сайт використовує Google Analytics для вимірювання узагальненої статистики відвідувань і сховище браузера, щоб запам'ятати вибір мови. Ви можете відмовитися від Google Analytics за допомогою розширення для відмови від Google Analytics або заблокувавши аналітичні cookie в браузері.
Кабінет клієнта (client.cloudgps.online і партнерські портали)
Клієнтський застосунок не використовує рекламних cookie та сторонньої аналітики. Він зберігає у вашому браузері лише функціональні дані: токени сесії, мову та налаштування інтерфейсу. Звіти про помилки (Sentry, регіон ЄС) надсилаються тільки в разі помилки застосунку.
13. Зміни до цієї політики
Ми можемо оновлювати цю політику в міру розвитку сервісу. Чинна версія із зазначенням дати набрання чинності завжди опублікована за адресою cloudgps.online/uk/privacy/. Про суттєві зміни, що стосуються клієнтів за DPA, ми повідомляємо заздалегідь.
14. Контакти
Питання конфіденційності, запити суб'єктів даних, підписання DPA: info@cloudgps.online.
Поштова адреса надається за запитом.