Політика конфіденційності

Розділ 1

Про цю Політику

DiLegal CRM — хмарна SaaS-платформа, що надає незалежний робочий простір («Практику») кожному зареєстрованому клієнту. Дані різних Практик логічно розділені між собою.
Ця Політика поширюється на всіх осіб, які отримують доступ до Платформи: Адміністраторів Практик, запрошених користувачів та відвідувачів публічних сторінок.
Ця Політика є невід'ємною частиною Умов використання. У разі суперечності між документами Умови використання мають пріоритет.
Ми дотримуємося вимог Закону України «Про захист персональних даних» (№ 2297-VI) та загальновизнаних міжнародних стандартів захисту персональних даних.

Розділ 2

Які дані ми збираємо

Платформа збирає два типи даних — дані рівня платформи (для забезпечення роботи сервісу) та дані рівня Практики (внесені самою Практикою).

Дані рівня Платформи

Ім'я, email та номер телефону Адміністратора при реєстрації.
Технічні дані сесій: IP-адреса, тип браузера, часова мітка входу/виходу.
Журнали дій (activity log) у системі для цілей безпеки та аудиту.
Метадані Практики: назва, налаштування, часовий пояс, тарифний план.

Дані рівня Практики

Клієнтська база: ПІБ, ЄДРПОУ/ІПН, контакти, адреси, нотатки.
Справи: назви, типи, статуси, деталі судових проваджень.
Завдання, засідання, документи та будь-які файли, завантажені в систему.
Фінансові дані: рахунки, платежі, комісії, звіти.

Розділ 3

Дані вашої Практики — ваша власність

Усі дані, внесені вашою Практикою, належать виключно вам. Ми не претендуємо на жодні права власності на ваш контент, не продаємо його і не використовуємо в комерційних цілях.

Ми виступаємо розпорядником даних (data processor) стосовно інформації Практики — тобто обробляємо її виключно за вашою інструкцією та в межах надання сервісу.
Ваша Практика є контролером даних (data controller) і несе відповідальність за законність обробки персональних даних своїх клієнтів відповідно до чинного законодавства.
Адміністратор Практики самостійно визначає склад команди, рівні доступу та обсяг даних, що вносяться до системи.
Ми не здійснюємо моніторингу або аналізу вмісту даних Практики, за винятком випадків, прямо передбачених цією Політикою або законом.

Розділ 4

Мета обробки даних

Дані рівня Платформи обробляються виключно для таких цілей:

Надання сервісу. Автентифікація, авторизація, налаштування Практики та забезпечення стабільної роботи всіх функцій.
Безпека та захист. Виявлення підозрілої активності, запобігання несанкціонованому доступу, розслідування інцидентів безпеки.
Технічна підтримка. Діагностика та усунення помилок, відповідь на запити користувачів.
Розвиток продукту. Агрегована та знеособлена аналітика використання функцій для покращення Платформи. Персональні дані при цьому не ідентифікуються.
Виконання правових зобов'язань. Обробка даних у випадках, передбачених законодавством України.

Розділ 5

Зберігання та ізоляція даних

Дані зберігаються на серверах, розташованих у відповідності до чинного законодавства про локалізацію даних.
Кожна Практика функціонує у логічно відокремленому просторі бази даних. Жоден користувач однієї Практики не може отримати доступ до даних іншої в штатному режимі роботи Платформи.
Резервне копіювання бази даних здійснюється на регулярній основі. Проте рекомендуємо додатково зберігати резервні копії критичних даних на стороні Практики — інструмент експорту доступний у налаштуваннях.
Завантажені файли зберігаються в ізольованих просторах хмарного файлового сховища із розмежуванням доступу за ідентифікатором Практики.

Повна фізична ізоляція між Практиками не є задекларованою характеристикою поточного технічного рівня Сервісу. Логічна ізоляція забезпечується архітектурою застосунку та контролем доступу.

Розділ 6

Передача даних третім сторонам

Ми не продаємо, не передаємо і не обмінюємо персональні дані або дані Практик третім особам у комерційних цілях.

Обмежена передача даних можлива лише у таких випадках:

Інфраструктурні партнери. Провайдери хостингу, хмарного сховища та доставки електронної пошти, які обробляють дані виключно для надання технічної послуги та зобов'язані дотримуватись конфіденційності.
Вимоги законодавства. На обґрунтований письмовий запит суду, прокуратури або інших уповноважених органів відповідно до законодавства України.
Захист прав. У разі необхідності розслідування зловживань, шахрайства або порушень цих документів.
Реорганізація. У випадку злиття, поглинання або передачі активів — Практики будуть повідомлені заздалегідь, і нові умови не будуть погіршувати захист даних.

Розділ 7

Безпека даних

Ми впроваджуємо такі технічні та організаційні заходи:

Шифрування передачі. Весь трафік між браузером і сервером захищений протоколом HTTPS / TLS.
Хешування паролів. Паролі зберігаються у вигляді незворотного криптографічного хешу — ми не маємо доступу до паролів у відкритому вигляді.
Контроль доступу. Рольова модель доступу обмежує видимість даних у межах Практики; між Практиками доступ закрито на рівні застосунку.
Аудит дій. Журнал активності фіксує ключові дії користувачів для виявлення аномалій та розслідування інцидентів.
Захищені запити до БД. Використання підготовлених SQL-виразів запобігає ін'єкціям.
Регулярні оновлення. Залежності та компоненти платформи регулярно оновлюються для усунення відомих вразливостей.

Жодна система не забезпечує абсолютного захисту. У разі виявлення інциденту безпеки, що стосується ваших даних, ми повідомимо Адміністратора Практики в розумні строки відповідно до чинного законодавства.

Розділ 8

Строки зберігання даних

Дані активної Практики зберігаються протягом усього терміну дії облікового запису.
Після видалення Практики дані переходять у технічний перехідний період (до 30 днів), після чого видаляються без можливості відновлення — якщо ви не звернулись за експортом завчасно.
Журнали безпеки та аудиту можуть зберігатися довше за функціональні дані — відповідно до вимог законодавства або внутрішніх регламентів безпеки.
Анонімізовані та агреговані дані (без прив'язки до конкретної Практики або особи) можуть зберігатися необмежено для статистичних цілей.

Розділ 9

Ваші права

Відповідно до законодавства України ви маєте такі права:

Доступ
Отримати інформацію про те, які ваші дані обробляються.

Виправлення
Виправити неточні або застарілі персональні дані.

Видалення
Вимагати видалення ваших даних («право бути забутим»).

Перенесення
Отримати дані у машиночитаному форматі для перенесення.

Обмеження
Обмежити обробку даних у спірних або перехідних ситуаціях.

Заперечення
Заперечити проти обробки даних у певних цілях.

Для реалізації прав щодо даних рівня Платформи звертайтеся на office@dilegal.ua. Для управління даними вашої Практики використовуйте відповідні розділи налаштувань або зверніться до Адміністратора вашої Практики.

Розділ 10

Cookies та LocalStorage

Сесійні cookie. Використовуються для підтримки авторизованої сесії та ідентифікації поточного користувача. Є технічно необхідними і видаляються при виході з системи.
LocalStorage браузера. Зберігає локальні налаштування інтерфейсу: стан бічної панелі, обрану тему, мовні преференції. Дані не передаються на сервер і залишаються лише у вашому браузері.
Аналітичні або рекламні cookie Платформою не використовуються.
Ви можете очистити cookie та дані LocalStorage у налаштуваннях вашого браузера — це призведе до виходу із системи та скидання налаштувань інтерфейсу.

Розділ 11

Зміни до Політики конфіденційності

Ми можемо оновлювати цю Політику відповідно до змін у законодавстві, технологіях або функціональності Платформи.
Актуальна версія завжди доступна на цій сторінці. Дата редакції вказана у заголовку документа.
Про суттєві зміни, що впливають на права Практик, ми повідомлятимемо через системні повідомлення або електронну пошту Адміністраторів.
Продовження використання Платформи після публікації нової редакції вважається прийняттям оновлених умов.

Розділ 12

Дані з Google (Google Calendar)

Інтеграція з Google Calendar необов'язкова. Кожен користувач вмикає її сам у налаштуваннях Google Calendar і може будь-коли відключити. Без підключення Платформа не отримує жодних даних з Google-акаунта.

Які дані ми отримуємо

Список календарів (дозвіл calendar.calendarlist.readonly): ідентифікатор, назва і колір кожного календаря та позначка основного календаря - щоб користувач міг вибрати, які з них показувати.
Події календарів (дозвіл calendar.events): у календарях, які користувач сам увімкнув, - назва, час початку і кінця, ознака «на весь день», місце та посилання на подію в Google Calendar, у вікні від 2 місяців назад до 12 місяців уперед. Опис події та відповідь користувача на запрошення читаються лише для фільтрації (не показувати власні події Платформи і відхилені запрошення) і не зберігаються.
Токени доступу OAuth, які Google видає після згоди користувача.

Ми не запитуємо доступ до пошти, контактів, файлів чи інших сервісів Google і не змінюємо налаштувань календарів чи прав доступу до них.

Як ми використовуємо ці дані

Показуємо події з Google Calendar у календарі Платформи лише тому користувачеві, який підключив свій акаунт. Їх не бачать інші користувачі Практики, зокрема адміністратори.
За вибором користувача створюємо, оновлюємо та видаляємо в його календарі події для судових засідань і завдань із Платформи. Події, створені не Платформою, ми не змінюємо і не видаляємо.
Дані з Google не використовуються для реклами, не продаються, не передаються брокерам даних і не використовуються для навчання моделей штучного інтелекту чи машинного навчання.
Працівники Платформи не переглядають ці дані, крім випадків, коли користувач прямо дав на це згоду (наприклад, у зверненні до підтримки), коли це потрібно для безпеки (розслідування зловживань) або вимагає закон.

Передача третім особам

Дані з Google не передаються третім особам, крім інфраструктурних провайдерів (хостинг серверів і баз даних), які обробляють їх лише для роботи Платформи, та випадків, прямо передбачених законом (Розділ 6).

Зберігання і захист

Токени, список календарів і події зберігаються в базі даних на серверах Платформи в ізольованому записі конкретного користувача; доступ до бази мають лише уповноважені адміністратори інфраструктури.
Обмін даними з Google відбувається лише через захищене з'єднання HTTPS (TLS).
Збережені події оновлюються кожні 10 хвилин: змінені в Google події оновлюються, видалені - видаляються і з Платформи.

Строки зберігання та видалення

Дані зберігаються, доки інтеграцію підключено. Після відключення Google Calendar у налаштуваннях ми одразу видаляємо токени, список календарів і всі збережені події з Google та відкликаємо доступ у Google.
Доступ також можна відкликати на сторінці myaccount.google.com/permissions.
Видалення облікового запису користувача або Практики видаляє всі пов'язані дані з Google.
Видалити дані можна також на запит на office@dilegal.ua - ми виконаємо його протягом 30 днів.
Події засідань і завдань, які Платформа створила у вашому Google Calendar, є вашими подіями і лишаються в календарі після відключення; їх можна видалити в Google Calendar.

Використання та передача Платформою інформації, отриманої з API Google, відповідають Google API Services User Data Policy, зокрема вимогам Limited Use (обмеженого використання).

Google user data (English summary)

The Google Calendar integration is optional; each user connects their own Google account in the Google Calendar settings and can disconnect it at any time.

Data accessed: the list of the user's calendars (ID, name, colour, primary flag) via calendar.calendarlist.readonly; and, via calendar.events, events in the calendars the user enabled (title, start and end time, all-day flag, location, event link), in a window from 2 months back to 12 months ahead. Event descriptions and the user's RSVP status are read only for filtering and are not stored. OAuth tokens issued by Google.
Data usage: Google events are shown only to the user who connected the account, inside their DiLegal calendar (not visible to other users, including administrators). At the user's choice, DiLegal creates, updates and deletes events for court hearings and tasks in the user's Google Calendar. Events not created by DiLegal are never modified or deleted.
Data sharing: Google user data is not sold, not used for advertising, not transferred to data brokers and not shared with third parties, except infrastructure providers (server and database hosting) that process it solely to operate the service, or when required by law.
AI/ML: Google user data is not used to develop, improve or train generalized or non-personalized AI and/or ML models.
Storage & protection: data is stored in the service database, isolated per user, access is limited to authorized infrastructure administrators, and all transfers to and from Google use HTTPS (TLS). Humans do not read this data except with the user's explicit consent, for security purposes, or to comply with law.
Retention & deletion: data is kept only while the integration is connected and is refreshed every 10 minutes (events deleted in Google are deleted here too). Disconnecting Google Calendar immediately deletes the tokens, the calendar list and all stored Google events and revokes access at Google. Access can also be revoked at myaccount.google.com/permissions, and deletion can be requested at office@dilegal.ua (completed within 30 days).
DiLegal's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Розділ 13

Контактна інформація

З питань конфіденційності та захисту даних:

Організація ТОВ «Софтингер»

Адреса 04071, м. Київ, пров. Ярославський, буд. 7/9, оф. 3

Email для запитів про дані office@dilegal.ua