← На головну · Як видалити акаунт
Політика приватності MigrantApp
Це чернетка від 21.10.2026. Текст ще перевіряє юрист, тому він може змінитися. Поля в [квадратних дужках] заповнимо перед запуском.
Сайт і лист очікування
- Сайт не використовує cookies, аналітику, сторонні шрифти чи скрипти. Хостинг-провайдер сайту ([GitHub Pages / Cloudflare Pages / наш сервер]) може короткий час зберігати технічні журнали (IP-адреса, час запиту) для безпеки.
- Якщо ти записуєшся в лист очікування, ми обробляємо: e-mail, місто (якщо вкажеш), мову листів, мову сторінки, а також час і версію тексту згоди.
- Навіщо: написати тобі про запуск MigrantApp і, можливо, запросити в бета-тест. Рекламу чи розсилки на інші теми не надсилаємо.
- Правова підстава: твоя згода (ст. 6(1)(a) RODO/GDPR). Без галочки згоди форма нічого не надсилає.
- Хто обробляє: [СЕРВІС ФОРМ — напр. Formspree, Inc. (США) / Google Ireland (Google Forms) / наш сервер у ЄС] як обробник за нашим дорученням.
- Скільки зберігаємо: до запуску застосунку і ще [6] місяців після нього або доки ти не відкличеш згоду. Після відкликання видаляємо протягом 30 днів.
- Як відкликати згоду чи видалити дані: відповідай на будь-який наш лист або напиши на privacy@migrantapp.eu. Відкликання не впливає на законність обробки до нього.
- Адміністратор даних і твої права — як у розділах 2 і 12 нижче.
Нижче — політика приватності самого застосунку MigrantApp.
Набирає чинності: [ДАТА] Версія: 0.2
1. Коротко (головне за 30 секунд)
- Твої дані й документи зберігаються на твоєму телефоні. Застосунок працює без акаунта і без інтернету.
- Акаунт і синхронізація — за бажанням. Якщо ти їх вмикаєш, дані шифруються на телефоні ще до відправлення. Ключ є лише в тебе: ми не можемо прочитати ні твій профіль, ні профілі твоєї сім’ї.
- Сканування документів відбувається на телефоні. Фото й розпізнаний текст нікуди не надсилаються.
- Ми не продаємо дані, не показуємо рекламу і не стежимо за тобою в інших застосунках.
- Ти можеш будь-коли експортувати або видалити свої дані прямо в застосунку.
- MigrantApp — не державний сервіс і не пов’язаний з урядом Польщі чи України.
2. Хто відповідає за твої дані (адміністратор)
Адміністратор (контролер) даних у розумінні RODO/GDPR: [НАЗВА ФІРМИ], [АДРЕСА], [РЕЄСТРАЦІЙНІ ДАНІ: KRS / NIP / REGON або відповідник]. Зв’язок щодо приватності: privacy@migrantapp.eu.
[ЯКЩО ФІРМА ЗАРЕЄСТРОВАНА ПОЗА ЄС:] Наш представник у Європейському Союзі за ст. 27 RODO: [НАЗВА ПРЕДСТАВНИКА], [АДРЕСА В ЄС], [EMAIL ПРЕДСТАВНИКА].
[ЯКЩО ПРИЗНАЧЕНО:] Інспектор із захисту даних (IOD/DPO): [ІМ’Я], [EMAIL].
3. Дані, які лишаються лише на твоєму телефоні
| Дані | Навіщо | Де зберігаються |
|---|---|---|
| Профіль: ім’я, прізвище, дата й місце народження, громадянство, дані паспорта й інших документів, PESEL, адреси, телефон, e-mail, сімейний стан, освіта, робота тощо | Автоматично заповнювати бланки | Зашифроване сховище системи (iOS Keychain / Android Keystore) |
| Профілі людей, яких ти додаєш (до 10 у сім’ї: дорослі, діти) | Заповнювати бланки за них або разом з ними | Те саме |
| Відповіді в заявах, твої строки й нагадування | Список справ і нагадування | Те саме |
| Фото документів — лише якщо ти сам поставив галочку «Зберегти фото документа» | Мати фото документа під рукою | Приватна тека застосунку (інші застосунки й галерея її не бачать) |
| Згенеровані PDF бланків | Надрукувати, надіслати, подати | Тимчасово на телефоні; далі — куди ти сам їх збережеш чи надішлеш |
| Налаштування, мова, регіон, недавні пошуки | Зручність | Звичайне сховище застосунку |
Ці дані не передаються нам, поки ти сам не ввімкнеш синхронізацію (розділ 5) або не надішлеш файл комусь (наприклад, PDF поштою — тоді діють правила того сервісу).
3.1 Сканування документів
- Розпізнавання тексту (рядки «<<<», кирилиця) виконується на телефоні. Фото й розпізнаний текст не покидають телефон; після сканування фото одразу видаляється, якщо ти не вирішив його зберегти.
- Для розпізнавання ми використовуємо вбудовану в застосунок бібліотеку Google ML Kit. Вона не надсилає Google ні фото, ні текст, але надсилає Google технічні метрики про роботу й використання бібліотеки (модель телефона, версія системи й застосунку, час обробки, тип події й коди помилок, а також випадковий ідентифікатор встановлення, який не призначений для визначення людини чи пристрою) — без фото, тексту і твоїх даних із профілю. Детальніше — в умовах ML Kit (developers.google.com/ml-kit/terms).
- Кирилиця на Android. Щоб читати кириличні документи, застосунок один раз завантажує мовну модель Tesseract (≈ 4 МБ) з публічного репозиторію на GitHub (raw.githubusercontent.com, GitHub, Inc., США) — лише після того, як ти натиснеш «Завантажити». Це звичайне завантаження файлу: GitHub бачить твою IP-адресу й технічні дані запиту, як і під час відкриття будь-якого сайту, але ніяких твоїх даних, фото чи тексту ми не надсилаємо. На iPhone кирилицю читає вбудований Apple Vision — нічого не завантажується.
3.2 Нагадування
Нагадування про строки — локальні: їх планує сам телефон. Ми не використовуємо push-сервери і не збираємо push-токенів. Текст нагадування — без імен і номерів документів, бо його видно на заблокованому екрані.
3.3 Фото й штучний інтелект (помічник ШІ)
Фото ми ніколи не надсилаємо сервісам штучного інтелекту. Ми не змінюємо риси обличчя на фото і не використовуємо фото для розпізнавання особи.
[КОЛИ ЗАПРАЦЮЄ ПОМІЧНИК ШІ:] У застосунку може бути необов’язковий помічник ШІ: «Пояснити з ШІ» (лист з urzędu), «Перекласти польською (ШІ)» (вільний текст у полі бланка) і «Запитай помічника» (питання про процедури). Він працює лише з акаунтом і лише після окремої згоди, яку застосунок питає перед першим використанням.
- Що надсилаємо: тільки текст, який ти сам вибереш (текст листа після розпізнавання на телефоні, текст поля або питання) і мову інтерфейсу. Перед відправкою сервер прибирає PESEL, номери документів, рахунків, телефони, e-mail та імена після «Pan/Pani». Інші дані з тексту (наприклад, адреса чи сума) можуть лишитися.
- Кому: через наш сервер у Німеччині — моделі ШІ компанії Anthropic PBC (США) як нашому обробнику (розділ 8). Anthropic не використовує ці дані для навчання моделей і зберігає запити лише обмежений час для захисту від зловживань [СТРОК — ПЕРЕВІРИТИ].
- Що зберігаємо ми: ні питань, ні відповідей — лише лічильник запитів на місяць для твого акаунта (щоб рахувати ліміти); він видаляється разом з акаунтом.
- Правова підстава: твоя згода (ст. 6 ust. 1 lit. a RODO). Відкликати її можна будь-коли: Налаштування → Помічник ШІ; це не впливає на законність попередніх запитів. Без згоди всі інші функції працюють.
- Відповіді ШІ можуть містити помилки, це не юридична консультація і не автоматизоване рішення щодо тебе (ст. 22).
4. Акаунт (за бажанням)
Акаунт потрібен лише для резервної копії, кількох телефонів і сімейного доступу. Його створюють у Налаштування → Акаунт і синхронізація після окремого екрана згоди.
| Дані | Навіщо | Правова підстава |
|---|---|---|
| Спосіб входу: e-mail, номер телефону, ідентифікатор Apple чи Google (технічний номер акаунта і e-mail, який передає Apple/Google, зокрема прихований e-mail Apple) і дата підтвердження | Вхід, прив’язка кількох способів входу до одного акаунта, зв’язок щодо сервісу | Виконання договору (ст. 6 ust. 1 lit. b RODO) |
| Хеш для входу (пароль не надходить на сервер — телефон робить з нього ключ і надсилає лише похідне значення, яке ми ще раз хешуємо Argon2id), хеш коду відновлення | Безпечний вхід і відновлення | Виконання договору |
| Одноразові коди з e-mail чи SMS (зберігаємо лише хеш) | Підтвердження e-mail чи телефону, вхід без пароля | Виконання договору |
| Сесії (токени входу), час створення | Тримати тебе в акаунті, вийти з усіх пристроїв | Виконання договору |
| Публічний ключ і зашифрований приватний ключ | Наскрізне шифрування (розділ 5) | Виконання договору |
| Сім’я: хто голова, хто учасник, керовані профілі, доступи «не бачить / бачить / редагує», запрошення (код зберігаємо лише як хеш), кількість місць | Сімейний доступ (розділ 6) | Виконання договору |
| [КОЛИ ЗАПРАЦЮЮТЬ ПЛАТНІ ТАРИФИ:] Статус підписки (тариф, дати, ідентифікатор транзакції) — без даних картки | Надати оплачений доступ | Виконання договору |
| Технічні журнали сервера (IP-адреса, час, адреса запиту, User-Agent) | Безпека, захист від зловживань (наприклад, масових запитів SMS-кодів), виправлення помилок | Законний інтерес (ст. 6 ust. 1 lit. f) |
Вхід через Apple чи Google відбувається на їхніх сторінках за їхніми правилами; нам вони передають лише підтверджений ідентифікатор і (за твоїм вибором) e-mail.
5. Синхронізація з наскрізним шифруванням
- Профілі, відповіді й строки шифруються на телефоні (XChaCha20-Poly1305) ключами, які мають лише телефони учасників. На сервер потрапляє тільки шифротекст.
- Сервер бачить: способи входу, хто з ким у сім’ї і хто кому що дозволив, публічні ключі, кількість, розмір, версії й час зміни зашифрованих записів.
- Сервер не бачить: пароля, коду відновлення, приватних ключів, імен людей, полів профілю, документів.
- Код відновлення ми показуємо один раз. Якщо ти втратиш і код, і всі телефони з ключем, ніхто не зможе розшифрувати дані на сервері — ні ти, ні ми.
- Новий телефон отримує ключ кодом відновлення або через QR зі старого телефона; сервер лише передає зашифрований ключ (запит живе 10 хвилин).
- Сервер — у Німеччині (ЄС), у постачальника Contabo GmbH (розділ 8).
- Правова підстава: виконання договору (ст. 6 ust. 1 lit. b). Синхронізацію вмикаєш ти сам; вийти й видалити акаунт з усіма даними на сервері можна будь-коли.
6. Сім’я і дані інших людей
- Сім’я — до 10 людей: учасники з власними акаунтами і керовані профілі (наприклад, дитина без телефона, яку веде мама чи тато).
- Голова сім’ї вирішує, хто чий профіль бачить і хто може редагувати. Новий учасник за замовчуванням нікого не бачить. Кожен бачить ці налаштування.
- Коли доступ забирають або людина виходить із сім’ї, ключ профілю змінюється, і нові дані вона вже прочитати не може. Те, що вона встигла побачити раніше, могло лишитися на її телефоні.
- Дорослі мають власний акаунт і самі приймають запрошення. Якщо ти вносиш дані дорослого без акаунта (наприклад, для бланка meldunek), роби це лише з його відома.
- Діти. MigrantApp не призначений для самостійного використання дітьми до 16 років. Дані дитини вносить і веде батько, мати чи опікун у своєму акаунті; окремих акаунтів для дітей ми не створюємо.
7. Перевірка оновлень (лише APK поза магазином)
Якщо ти встановив MigrantApp з файлу APK з нашого сайту (не з Google Play), застосунок не частіше ніж раз на 6 годин запитує з нашого сервера файл про найновішу версію і, якщо ти погодишся, завантажує новий APK. Ми нічого не надсилаємо про тебе: сервер бачить лише звичайні дані запиту (IP-адреса, час, User-Agent), які потрапляють у журнали (розділ 10). У версіях з App Store і Google Play оновлює магазин.
8. Хто ще обробляє дані
Постачальники, які обробляють дані за нашим дорученням і за договором про обробку даних (DPA):
| Постачальник | Що робить | Які дані | Де |
|---|---|---|---|
| Contabo GmbH (Мюнхен) — DPA укладено 21.10.2026 | Сервер акаунтів і синхронізації, резервні копії | Шифротекст, дані акаунта (розділ 4), журнали | Німеччина (ЄС) |
| [ПРОВАЙДЕР E-MAIL, напр. Brevo (Sendinblue SAS, Франція) / Amazon SES eu-central-1] — коли запрацює | Надсилання листів з кодами | E-mail, текст листа з кодом | ЄС |
| [SMS-ПРОВАЙДЕР, напр. SMSAPI.pl (LINK Mobility Poland sp. z o.o.)] — коли запрацює | SMS з кодами входу | Номер телефону, текст SMS з кодом | ЄС (Польща) |
| [RevenueCat, Inc.] — коли запрацюють платні тарифи | Облік підписок | Технічний ID акаунта (без імені й e-mail), дані транзакцій | США |
| [Anthropic PBC] — коли запрацює помічник ШІ (розділ 3.3) | Модель ШІ для помічника | Текст, який ти сам надіслав помічнику (без PESEL, номерів документів, контактів) | США |
Самостійні адміністратори (діють за власними правилами приватності, не за нашим дорученням):
| Хто | Коли | Які дані |
|---|---|---|
| Apple / Google | Вхід через Apple чи Google; покупка підписки в App Store / Google Play | Дані акаунта Apple/Google, платіжні дані — у них, не в нас |
| Google (ML Kit) | Сканування документів | Технічні метрики без фото й тексту (розділ 3.1) |
| GitHub, Inc. | Одноразове завантаження моделі кирилиці на Android після твого натискання | IP-адреса й дані запиту |
Збірку застосунку виконує Expo (650 Industries, Inc., США), але під час роботи застосунок не надсилає Expo твоїх даних: ми не використовуємо push-сервіс Expo і віддалені оновлення.
Оплату підписки обробляє Apple або Google як продавець; ми не отримуємо даних твоєї картки.
9. Передача даних за межі ЄЕЗ
Наш сервер і резервні копії — в ЄС (Німеччина). Деякі постачальники розташовані в США ([RevenueCat], [Anthropic — помічник ШІ], Apple, Google, GitHub). Ми передаємо дані лише за наявності законної підстави: рішення Європейської комісії про адекватність (зокрема EU-US Data Privacy Framework для сертифікованих компаній) або стандартні договірні положення (SCC). Копію гарантій можна запросити на privacy@migrantapp.eu.
10. Скільки ми зберігаємо дані
| Дані | Строк |
|---|---|
| Дані на телефоні | Поки ти їх не видалиш (Налаштування → Видалити всі дані) або не видалиш застосунок |
| Акаунт і зашифровані дані на сервері | Поки існує акаунт. Після видалення акаунта — одразу з бази, з резервних копій — протягом 35 днів |
| Акаунт без активності (жодного входу чи синхронізації) і без підписки | Видаляємо разом з усіма даними на сервері через 24 місяці; щонайменше за 30 днів попереджаємо на e-mail акаунта, якщо він є. Будь-який вхід скасовує видалення. Якщо ти голова сім’ї — сім’ю буде розпущено, учасники збережуть свої акаунти |
| Одноразові коди з e-mail/SMS | Діють 10 хвилин; стираємо через 1 добу після закінчення |
| Запрошення в сім’ю | Діють 48 годин; стираємо через 7 днів після закінчення |
| Запит на перенесення ключа (QR) | 10 хвилин |
| Незавершена реєстрація (код так і не введено) | 1 доба |
| Відкликані сесії | 7 днів (щоб розпізнати повторне використання вкраденого токена) |
| Технічні журнали сервера | До 30 днів |
| [Ідентифікатори подій оплати RevenueCat] | 90 днів |
| Бухгалтерські дані про платежі | Стільки, скільки вимагає податкове право ([5] років) |
11. Безпека
- Зашифроване сховище на телефоні (Keychain / Keystore).
- Наскрізне шифрування для синхронізації; TLS під час передачі.
- Сервер: вхід лише за SSH-ключем, фаєрвол, автоматичні оновлення безпеки, обмеження кількості запитів; у журналах маскуються паролі, коди й токени.
- Резервні копії — щоночі, зашифровані (AES-256), в ЄС.
- Нагадування без персональних даних.
Якщо станеться витік, що створює ризик для тебе, ми повідомимо наглядовий орган протягом 72 годин, а тебе — без зайвої затримки, якщо ризик високий.
12. Твої права
Ти маєш право: - знати, які дані ми маємо, і отримати копію (ст. 15); - виправити неточні дані (ст. 16); - видалити дані («право бути забутим», ст. 17); - обмежити обробку (ст. 18); - отримати дані у зручному форматі й передати іншому сервісу (ст. 20); - заперечити проти обробки на підставі законного інтересу (ст. 21); - відкликати згоду будь-коли — це не впливає на законність обробки до відкликання; - подати скаргу до наглядового органу: у Польщі — Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl; або до органу в країні, де ти живеш чи працюєш.
Як скористатися: - Дані на телефоні: Налаштування → Експортувати дані (файл JSON для всієї сім’ї) і Налаштування → Видалити всі дані. - Акаунт: Налаштування → Акаунт і синхронізація → Видалити акаунт — стирає все на сервері (дані на телефоні лишаються). Без доступу до застосунку — напиши на privacy@migrantapp.eu з e-mail акаунта (або вкажи номер телефону акаунта — підтвердимо кодом). Інструкція: https://migrantapp.eu/delete-account.html. - Email: privacy@migrantapp.eu. Відповідаємо протягом 1 місяця (у складних випадках — до 3 місяців, з повідомленням).
Більшість даних лежить на твоєму телефоні або зашифрована, тож ми фізично не маємо до них доступу. Такі дані ти експортуєш і видаляєш сам у застосунку.
13. Дозволи застосунку
| Дозвіл | Навіщо | Обов’язковий? |
|---|---|---|
| Камера | Сфотографувати документ; відсканувати QR (запрошення в сім’ю, перенесення на новий телефон) | Ні |
| Фото / галерея | Вибрати готове фото документа | Ні |
| Сповіщення | Нагадування про строки | Ні |
| Інтернет | Акаунт і синхронізація, завантаження моделі кирилиці, перевірка оновлень APK | Ні — без мережі все інше працює |
Геолокацію, контакти й рекламний ідентифікатор ми не запитуємо.
14. Чого ми НЕ робимо
- Не показуємо рекламу і не передаємо дані рекламним мережам.
- Не відстежуємо тебе в інших застосунках і на сайтах; не використовуємо аналітику поведінки.
- Не продаємо дані.
- Не передаємо дані державним органам — бланки подаєш ти сам. Виняток — якщо цього вимагає закон (наприклад, обов’язкове рішення суду); тоді ми передамо лише те, що маємо, а зашифрованих даних прочитати не можемо.
- Не ухвалюємо щодо тебе автоматизованих рішень з юридичними наслідками (ст. 22).
- Не просимо даних про расове чи етнічне походження, релігію, політичні погляди, здоров’я, сексуальну орієнтацію, генетичних чи біометричних даних. Якщо якийсь бланк питатиме про здоров’я чи інвалідність, ми попросимо окрему явну згоду (ст. 9 ust. 2 lit. a), а ці дані лишатимуться лише на телефоні.
15. MigrantApp — не державний сервіс
MigrantApp — незалежний застосунок [НАЗВА ФІРМИ]. Ми не пов’язані з урядом Польщі, України чи будь-якими державними органами і не подаємо документи за тебе. Офіційну інформацію шукай на gov.pl і сайтах відповідних урядів (urzędów).
16. Зміни політики
Про суттєві зміни повідомимо в застосунку щонайменше за 14 днів до набрання чинності. Якщо зміна потребує твоєї згоди, ми її попросимо. Попередні версії: [URL АРХІВУ].
17. Контакти
[НАЗВА ФІРМИ] [АДРЕСА] Email: privacy@migrantapp.eu [ПРЕДСТАВНИК У ЄС: ...]