Політика конфіденційності

1. Дві різні ролі, які не варто плутати

TallerIQ — це платформа, яку автомайстерні беруть за підпискою, щоб вести свою роботу. Це означає, що ми обробляємо персональні дані у двох різних правових позиціях, і ваші права реалізуються в кожній із них по-різному.

Ми є КОНТРОЛЕРОМ даних, які збираємо самостійно: запити на макет сайту, надіслані з цього сайту, облікові записи людей, які користуються платформою, та технічні журнали безпеки. Саме про це ця політика.

Ми є ОПЕРАТОРОМ (обробником) щодо даних клієнтів кожної майстерні: їхніх автомобілів, замовлень на ремонт, рахунків і записів на візит, зроблених із сайту майстерні. Там контролером є майстерня, а не ми. Ми обробляємо ці дані виключно за її вказівками та на підставі договору про обробку. Якщо ви клієнт майстерні й хочете реалізувати свої права, зверніться до майстерні.

2. Що ми обробляємо як контролер

Запити на макет сайту. Коли майстерня замовляє макет свого майбутнього сайту, ми зберігаємо назву бізнесу, адресу, телефон, чинний сайт (якщо він є), фірмові кольори та завантажений логотип чи зображення. Правовою підставою є згода (ст. 6.1.a GDPR), яка фіксується з датою і точним текстом, що був прийнятий, і яку можна відкликати будь-коли.

Облікові записи. Для тих, хто користується платформою, ми обробляємо електронну пошту, ім’я та роль у майстерні. Правова підстава — виконання договору підписки (ст. 6.1.b GDPR).

Персонал майстерні. Коли власник майстерні реєструє людину, яка там працює, — незалежно від того, є в неї акаунт на платформі чи ні, — ми обробляємо її ім'я, посаду та дати початку й закінчення роботи. Якщо майстерня вирішує це вказати, також її NIE або DNI (іспанський документ, що посвідчує особу), поштову адресу, телефон, електронну пошту та внутрішні нотатки роботодавця. Правова підстава — законний інтерес майстерні в управлінні власним персоналом (ст. 6.1.f GDPR), а також виконання трудових і податкових обов'язків, які застосовуються до неї як роботодавця, коли вони існують (ст. 6.1.c GDPR). NIE або DNI, адреса та нотатки роботодавця доступні лише власнику майстерні та тому, хто адмініструє команду; решта персоналу бачить лише ім'я та посаду. Ці дані зберігаються, поки триває стосунок із майстернею та обов'язки, що з нього випливають, а не безстроково за замовчуванням.

Технічні журнали. Ми зберігаємо запис про значущі дії на платформі, включно з IP-адресою. Правова підстава — наш законний інтерес у безпеці сервісу та можливості розслідувати неправомірний доступ (ст. 6.1.f GDPR).

Виставлення рахунків за підписку. Податкові дані, потрібні для виставлення вам рахунка, обробляються на виконання юридичного обов’язку (ст. 6.1.c GDPR).

Вимірювання відвідувань, без файлів cookie. Ми рахуємо відвідування публічних сторінок на боці сервера. Про кожне відвідування зберігаємо чотири речі: маршрут сторінки, мову, якою її було показано, домен, з якого прийшов відвідувач — лише домен, ніколи повну адресу і ніколи те, що шукали, — і чи є пристрій телефоном, планшетом або комп’ютером. Час округлюється до години. Ми не зберігаємо IP-адресу, браузер, жодного ідентифікатора та нічого, що дозволило б поєднати два відвідування як такі, що належать одній людині. Ми нічого не записуємо на ваш пристрій: ні файлів cookie, ні локального сховища, ні скриптів. Саме тому це вимірювання не запитує вашої згоди: стаття 5(3) Директиви про приватність в електронних комунікаціях регулює те, що зберігається на вашому обладнанні або зчитується з нього, а тут нічого не зберігається і не зчитується; а те, що ми записуємо, не дозволяє вас ідентифікувати, тож це не персональні дані. Ці записи видаляються самі через 90 днів.

3. Скільки ми зберігаємо кожен вид даних

Наведені строки — це те, що система справді виконує, а не намір: вони реалізовані у функції зберігання в базі даних і виконуються за розкладом.

Запити на макет: 24 місяці з моменту надсилання, після чого видаляються.

Записи на візит, отримані через сайт майстерні: 24 місяці, якщо майстерня як контролер не вкаже інший строк.

IP-адреси в технічних журналах: 90 днів, після чого вони стираються, і в журналі лишається тільки дія та її дата.

Рахунки, виставлені через платформу: зберігаються протягом строків, які вимагає іспанське податкове законодавство. Крім того — і це важливо — вони утворюють зчеплений незмінний ланцюг, якого вимагає режим верифікованого виставлення рахунків (VeriFactu, Королівський декрет 1007/2023). Виставлений рахунок не можна видалити чи змінити, навіть на вимогу суб’єкта даних чи самого контролера; помилка виправляється коригувальним рахунком. Таке зберігання ґрунтується на ст. 17.3.b GDPR.

Записи відвідувань, описані вище: 90 днів, і вони видаляються самі.

4. Хто ще обробляє ці дані

Ми не продаємо персональні дані й не передаємо їх для реклами. Ми справді залучаємо постачальників, які обробляють їх від нашого імені, кожен на підставі договору про обробку:

Supabase — база даних, зберігання файлів та автентифікація. Дані розміщені в регіоні eu-west-1 (Ірландія), у межах Європейського Союзу. Перевірено 24 серпня 2026 року на реальному проєкті, а не припущено.

Netlify — хостинг сайту та виконання серверних функцій.

Stripe — обробка платежів за підписку. Повні дані картки вводяться в системах Stripe; TallerIQ їх не отримує і не зберігає.

Anthropic — асистент і орієнтовний калькулятор вартості надсилають текст до його програмного інтерфейсу, щоб отримати відповідь. У калькуляторі це вільний опис, який пише відвідувач; в асистенті — нотатки майстерні, які можуть містити дані клієнтів.

Постачальника електронної пошти ще не залучено. Коли це станеться, цей перелік буде оновлено до надсилання будь-якого листа.

Немає й підключеної служби відстеження помилок. Код готовий надсилати серверні помилки до такої служби, але її вимкнено: нічого не надсилається. Якщо її увімкнуть, постачальник з’явиться в цьому переліку до першої надісланої події, проєкт буде в Європейському Союзі, і буде підписано договір про обробку. Помилки, які надсилалися б, не містять даних клієнтів.

5. Передавання за межі Європейського Союзу

База даних розміщена в Ірландії, у межах ЄС. Однак деякі із зазначених вище постачальників є американськими компаніями або обробляють дані поза межами Європейського економічного простору — зокрема Anthropic і Netlify.

Такі передавання здійснюються на підставі гарантій розділу V GDPR: стандартних договірних положень, затверджених Європейською Комісією, а якщо постачальник сертифікований — Рамкової угоди ЄС–США щодо конфіденційності даних. Ви можете запросити в нас копію гарантій щодо конкретного постачальника.

6. Автоматизовані рішення

Калькулятор вартості на сайті підказує, які послуги можуть бути пов’язані з несправністю, що її описує відвідувач, і показує орієнтовний діапазон ціни. Це не кошторис, і він не створює жодних правових наслідків: жодне рішення не ухвалюється автоматично. Кошторис, який отримує клієнт, складає і затверджує людина в майстерні.

Отже, автоматизованого ухвалення індивідуальних рішень у розумінні ст. 22 GDPR немає. Це сказано прямо, щоб цього не доводилося виводити самостійно.

7. Ваші права

Ви можете вимагати доступу до своїх даних, їх виправлення чи видалення, обмеження обробки, перенесення даних, а також заперечити проти обробки на підставі законного інтересу. Якщо обробка ґрунтується на вашій згоді, ви можете відкликати її будь-коли — це не впливає на законність обробки, здійсненої до відкликання.

Щоб скористатися ними, напишіть нам через зазначений вище канал зв’язку, достатньо себе ідентифікувавши. Ми відповімо протягом одного місяця.

Є один виняток, про який варто знати заздалегідь: уже виставлені рахунки не можуть бути видалені з юридичної причини, описаної в розділі 3.

Якщо ви вважаєте, що ми неналежно розглянули ваш запит, ви можете подати скаргу до Іспанського агентства із захисту даних (www.aepd.es), що не позбавляє вас інших засобів правового захисту.

8. Зміни до цієї політики

Якщо ми змінимо цю політику, зміниться й дата вгорі. Попередні версії зберігаються в історії вихідного коду платформи, тож завжди можна встановити, що ця сторінка містила на певну дату.