Політика приватності

1. Хто відповідає за дані

Сервісом tabhug керує його власник (далі — «ми»); саме ми відповідаємо за твої дані (ми — їх контролер). З усіх питань про дані пиши на [email protected] — це наш канал зв’язку.

Чинна редакція — від 4 жовтня 2026 р.

2. Які дані ми зберігаємо і навіщо

• Акаунт: адреса електронної пошти й час створення. Потрібна, щоб можна було ввійти з будь-якого пристрою і щоб у кімнати був організатор. Пароля немає: ми надсилаємо одноразовий код і зберігаємо лише його хеш.
• Входи: для кожного входу в акаунт або в кімнату без акаунта — хеш випадкового ключа, час створення й останнього відвідування, назва пристрою і браузера («iPhone · Safari»), а також IP-адреса й дані про браузер і пристрій (рядок User-Agent), з яких вхід створено і з яких ним востаннє користувалися. Адреса й дані про пристрій потрібні для безпеки й захисту від зловживань і зберігаються 90 днів. Самого ключа на сервері немає — він лежить лише у твоєму браузері.
• Кімната: назва, валюта, налаштування, імена учасників (їх вписує організатор кімнати), чеки (назва, дата, сума, позиції, хто платив і хто скільки з’їв чи купив), перекази між учасниками (хто, кому, скільки, коли, примітка), запити на перевірку чека.
• Реквізити для переказу: те, що учасник сам (або організатор за нього) написав у полі «куди переказувати» — номер картки, IBAN, телефон.
• Історія змін кімнати: хто, що і коли змінив. Вона зберігає попередні версії чеків та імен, щоб будь-яку помилку можна було скасувати, — доки кімнату не видалено.
• Фото чеків і те, що з них прочитала модель (див. розділ 5).
• Запрошення: хеш посилання, яке діє 10 хвилин.
• Посилання для перегляду: якщо організатор кімнати його створив — хеш посилання й дата створення. Кожен, хто має таке посилання, бачить чеки, баланси й реквізити кімнати, доки організатор його не вимкне; змінити за ним нічого не можна.
• Технічні дані: IP-адреса — у пам’яті сервера до години, щоб обмежувати зловживання (підбір кодів, масове створення кімнат), і в журналі доступу веб-сервера (14 днів).
• Службові записи про роботу сервісу: про кожне читання фото моделлю — ідентифікатор кімнати, час, модель і кількість токенів (без фото й без прочитаного); про кожну спробу входу — час, IP-адреса й чим вона закінчилась; коли відбулася чистка застарілих даних; що оператор зробив і що відкривав у службовій панелі. Імен, сум, адрес пошти й вмісту чеків у цих записах немає.
• Заблоковані адреси: якщо через зловживання ми заборонили вхід з адреси електронної пошти — сама адреса й дата.
• Загальні цифри про користування сервісом ми рахуємо з того, що вже зберігається: скільки за день з’явилося акаунтів, кімнат і чеків, скільки було входів, з яких пристроїв і якими мовами.

Ми не збираємо геолокацію, контакти, дані про пристрій понад сказане і не складаємо профілів.

3. На якій підставі

• Щоб надати сервіс, яким ти користуєшся (ст. 6(1)(b) GDPR — виконання договору): акаунт, входи, кімнати, чеки, перекази, реквізити, запрошення, розпізнавання фото, надісланого тобою.
• Наш законний інтерес (ст. 6(1)(f) GDPR): захист від зловживань і технічні журнали, зокрема IP-адреси й дані про пристрій при входах; перегляд вмісту кімнати оператором, коли це потрібно, щоб розібратися зі зверненням, зловживанням чи несправністю; збереження фото чеків разом із прочитаним, щоб вимірювати й покращувати розпізнавання; обробка імен людей, яких організатор вписав у кімнату (інтерес організатора й компанії — порахувати спільні витрати).
• Проти обробки на підставі законного інтересу ти можеш заперечити — див. розділ 12.

Згоди як підстави ми не використовуємо, бо нічого необов’язкового (реклами, розсилок, cookie для аналітики) у сервісі немає. Лічильник відвідувань публічних сторінок працює без cookie й спирається на наш законний інтерес знати, скільки людей приходить на сайт.

4. Якщо твоє ім’я додали в кімнату

Учасник кімнати — це ім’я, яке вписав організатор. Воно може з’явитися в кімнаті та в чеках ще до твого першого входу сюди — або якщо ти не зайдеш ніколи. Організатор кімнати відповідає за те, щоб попередити людей, яких вписує, і за те, що про них записано.

Ми бачимо тільки ім’я в тому вигляді, як його написали («Андрій», «Оля з роботи»), і не пов’язуємо його з жодною іншою інформацією про тебе, доки ти не зайдеш сюди.

Щоб тебе прибрали: попроси організатора кімнати змінити або видалити ім’я, або напиши нам на [email protected] — назви кімнату й ім’я. Ім’я з чеків та історії повністю зникає разом із кімнатою; на запит ми можемо замінити його на нейтральне («Учасник») в усій історії кімнати вручну.

5. Фото чеків і модель штучного інтелекту

Фотографувати чек не обов’язково — його завжди можна ввести вручну. Якщо ти робиш фото:

• Перед надсиланням браузер зменшує фото й перемальовує його, тож метадані (місце зйомки, модель телефона, час) не надсилаються. Сервер додатково вирізає їх, якщо вони все ж є.
• Сервер надсилає фото моделі штучного інтелекту на розпізнавання через посередника OpenRouter (США); модель надає Google. Ми вимагаємо, щоб запит ішов лише до постачальників, які не зберігають надіслане й не навчають на ньому свої моделі. Разом із фото не передається нічого про тебе чи кімнату.
• Фото і те, що прочитала модель, зберігаються на нашому сервері, доки фото не видалено. Фото, з якого чек так і не зберегли, видаляється само через добу. Фото бачать учасники кімнати. Пари «що прочитала модель — що було насправді» допомагають нам покращувати розпізнавання: ми вимірюємо, як часто прочитане доводиться виправляти, і перевіряємо на них інші моделі (тоді фото надсилається іншій моделі на тих самих умовах).

Якщо на чеку є щось, чим не хочеш ділитися, — прикрий це або введи чек вручну.

Видалити фото разом із прочитаним може той, хто його зробив, або організатор кімнати: відкрий фото в чеку й натисни «Видалити фото». Усі фото кімнати зникають разом із кімнатою.

6. Реквізити для переказу

Реквізити існують для того, щоб інші учасники могли тобі заплатити, тому їх бачать усі учасники кімнати. Це звичайний текст: ми його не перевіряємо й платежів не проводимо.

Пиши тільки те, що потрібно для переказу (номер картки або IBAN), і ніколи — термін дії картки, CVV, паролі чи коди з банку. Реквізити можна змінити чи стерти будь-коли: старі при цьому зникають, а в історії кімнати лишається тільки позначка, що їх змінено.

7. Хто ще має доступ до даних

Усередині кімнати: усі учасники бачать усе, що є в кімнаті, — чеки, фото, баланси, реквізити, історію. Організатор додатково бачить, зі скількох пристроїв зайшов кожен учасник, чи прив’язав він акаунт і коли був востаннє. Адреси електронної пошти учасників не бачить ніхто, крім нас.

Ми як оператор бачимо список акаунтів (адреса пошти, коли створено, останній вхід, IP-адреси й пристрої входів) і список кімнат. Вміст кімнати — імена, чеки, фото, реквізити, історію — ми можемо відкрити, коли розбираємося зі зверненням у підтримку, зі зловживанням чи з несправністю; кожен такий перегляд записується: що відкрито, коли і з якої адреси. На скаргу чи на твоє прохання ми можемо видалити кімнату, фото або акаунт, завершити входи й заборонити вхід з адреси пошти; кожну таку дію ми теж записуємо.

Ті, хто допомагає нам надавати сервіс (обробники):

• Хостинг-провайдер у Нідерландах (ЄС) — сервер, на якому лежать база даних і фото.
• Cloudflare — мережа, через яку проходять усі запити до сайту (захист від атак); бачить IP-адресу й технічні дані запиту.
• OpenRouter і Google як постачальник моделі — отримують фото чека для розпізнавання (розділ 5).
• Google (Gmail) — надсилає лист із кодом входу: отримує твою адресу електронної пошти й код.
• Google Fonts — із серверів Google твій браузер завантажує шрифт; Google при цьому бачить твою IP-адресу.
• Google Analytics — лічильник відвідувань, лише на публічних сторінках (головна, поради, правила) і без cookie: Google отримує адресу відкритої публічної сторінки, твою IP-адресу й загальні дані про браузер. У кімнатах, на сторінках входу, запрошення, перегляду за посиланням і акаунту лічильника немає, тож жодні дані з кімнат туди не потрапляють.

Ми можемо розкрити дані, якщо цього вимагає закон. Іншим третім сторонам дані не передаються.

8. Передача за межі ЄС та України

Cloudflare, OpenRouter і Google — американські компанії, тож IP-адреса, адреса пошти з кодом входу і фото чеків можуть оброблятися у США та інших країнах. Така передача спирається на рішення Європейської комісії про достатній рівень захисту (EU–US Data Privacy Framework) для компаній, які в ньому беруть участь, і на стандартні договірні положення в умовах цих постачальників.

База даних і фото зберігаються на сервері в Нідерландах (Європейський Союз).

9. Скільки ми зберігаємо

• Акаунт — доки ти його не видалиш.
• Кімната з усім вмістом (чеки, історія, реквізити, фото) — доки її не видалить організатор.
• Повідомлення, надіслане кнопкою «Повідомити про помилку»: твій текст, e-mail для відповіді, адреса сторінки, браузер, IP-адреса і цифри кімнати (скільки людей, чеків і валют, як вона налаштована — без імен, назв і сум) — 90 днів на сервері, потім видаляється саме; копія, що надійшла на нашу пошту, — доки потрібна, щоб розібратися й відповісти.
• Коди входу й запрошення — діють 10 хвилин, видаляються через добу після завершення строку.
• Входи в акаунт і в кімнату — доки ти ними користуєшся: вхід, яким не користувалися 90 днів, перестає діяти й видаляється.
• Відкликані входи — 30 днів, потім видаляються. Вхід, завершений тобою («Вийти з кімнати на цьому пристрої»), видаляється одразу.
• IP-адреси в лічильниках зловживань — до години; журнали веб-сервера — 14 днів.
• IP-адреси й дані про пристрій при входах — 90 днів.
• Службові записи (читання фото моделлю, спроби входу, чистки, дії оператора й перегляди ним кімнат) — 90 днів.
• Заблокована адреса пошти — доки блокування не знято.
• Резервні копії: щоночі робиться копія бази й фото, кожна зберігається 14 днів. Видалене зникає із сервісу одразу, а з резервних копій — протягом 14 днів.

10. Що зберігається у твоєму браузері

У сховищі браузера (localStorage) — ключ входу в акаунт і твоя адреса пошти, ключі входу в кімнати з цього пристрою з назвами кімнат, список твоїх кімнат, як його востаннє бачив акаунт (назви й твій баланс), обрана мова, остання валюта чека в кімнаті. Це потрібно, щоб не входити щоразу заново.

Два файли cookie: th_lang — обрана мова, щоб сторінка одразу відкривалась нею; th_in — позначка «у цьому браузері є кімнати» (без жодних даних про тебе), щоб після оновлення сторінки одразу показати твій список. Інших cookie, зокрема рекламних і аналітичних, немає: лічильник відвідувань працює в режимі без cookie й нічого не зберігає в браузері. Тому й банера про cookie немає.

«Вийти» та «Вийти з кімнати на цьому пристрої» стирають відповідні ключі з браузера.

11. Безпека

• Увесь обмін із сайтом іде через HTTPS.
• Ключі входу, коди й запрошення зберігаються на сервері лише у вигляді хешів: копія бази не дає увійти від чужого імені.
• Запрошення діє 10 хвилин; особисте — один раз. Організатор може завершити всі входи учасника, а вхід, яким не користувалися 90 днів, завершується сам.
• Фото віддаються тільки учасникам кімнати; оператор може відкрити фото лише у випадках, названих у розділі 7, і кожен такий перегляд записується.
• У журнали сервера не пишуться ключі, коди, адреси пошти, реквізити чи вміст чеків.

Усе, що є в кімнаті, бачать усі її учасники — записуй лише те, що готовий показати всій компанії.

12. Твої права і як ними скористатися

• Отримати копію даних: у кімнаті меню «⋯» → «Дані та приватність» → «Усі дані одним файлом» або «Чеки таблицею для Excel». Це ж і є право на перенесення даних.
• Виправити: чеки, перекази й реквізити редагуються в кімнаті; ім’я учасника змінює організатор.
• Видалити фото: у чеку, «Видалити фото».
• Піти з кімнати: «Дані та приватність» → «Вийти з кімнати на цьому пристрої». Твоє ім’я й чеки лишаються в кімнаті — вони частина спільного рахунку.
• Видалити кімнату з усім вмістом (організатор): «Дані та приватність» → «Видалити кімнату». Це остаточно й одразу; із резервних копій кімната зникає протягом 14 днів.
• Видалити акаунт: стартова сторінка → «Акаунт» → «Видалити акаунт». Спершу треба видалити кімнати, де ти організатор.
• Заперечити проти обробки, обмежити її чи попросити про щось, чого немає в інтерфейсі (наприклад, стерти твоє ім’я з історії кімнати) — напиши на [email protected]. Відповімо протягом місяця.

Якщо вважаєш, що ми порушуємо твої права, ти можеш поскаржитися до наглядового органу: у Польщі — Prezes Urzędu Ochrony Danych Osobowych (UODO), в іншій країні ЄС — до місцевого органу із захисту даних, в Україні — до Уповноваженого Верховної Ради України з прав людини.

13. Діти

Сервіс не призначений для дітей до 16 років. Якщо тобі менше — користуйся ним лише з дозволу батьків. Якщо ми дізнаємось, що акаунт створила молодша дитина без такого дозволу, ми його видалимо.

14. Зміни

Якщо зміниться те, що ми зберігаємо чи куди передаємо, ми оновимо цей текст і дату вгорі. Про суттєві зміни напишемо на стартовій сторінці заздалегідь.