Політика конфіденційності

1. Хто відповідає за ваші дані

Контролером персональних даних у розумінні GDPR є перевізник: його реєстраційні дані на сайті ще не опубліковані. Запит щодо ваших даних можна надіслати через будь-який канал зі сторінки контактів.

Ми не призначали окремого Data Protection Officer: обсяг і характер обробки не підпадають під ст. 37 GDPR — ми не ведемо систематичного масштабного моніторингу й не обробляємо особливих категорій даних.

2. Які дані ми збираємо

Рівно ті, без яких поїздка не відбудеться. Форма бронювання має чотири поля, і два з них необов’язкові.

Ім’я та прізвище

Обов’язково. Потрапляє до списку пасажирів рейсу, який перевізник подає на кордоні, і має збігатися з паспортом. Зберігається також тоді, коли бронювання так і не відбулось — див. сьомий рядок таблиці строків нижче.

Номер телефону

Обов’язково. Єдиний надійний спосіб знайти вас на посадці й попередити про зміну часу подачі. Зберігається у міжнародному форматі — зокрема й тоді, коли бронювання не відбулось.

Email

Необов’язково. Автоматичних листів ми не надсилаємо — підтвердженням є сторінка квитка, яка відкривається одразу після бронювання. Адресу зберігаємо для письмового звернення: рахунку на компанію чи запиту щодо ваших даних.

Номер авіарейсу

Необов’язково. Диспетчер бачить його й може вручну зсунути час подачі, якщо літак затримується; автоматичного відстеження статусу рейсів зараз немає. Не вказали — виїзд працює за розкладом.

Місце, маршрут, дата, код бронювання

Створюються самою системою. Без них квиток не існує як об’єкт.

Технічні журнали сервера

IP-адреса, час запиту й тип браузера — записуються автоматично, як на будь-якому сайті, і потрібні для діагностики збоїв та захисту від зловживань.

Ми не збираємо: дані платіжної картки (оплата відбувається у водія, на терміналі банку — реквізити картки не проходять через наш сайт узагалі), паспортні дані (їх ви показуєте прикордоннику особисто), дату народження, адресу проживання, геолокацію.

3. Навіщо і на якій правовій підставі

• Виконання договору перевезення — ст. 6(1)(b) GDPR. Ім’я, телефон, місце, маршрут і номер авіарейсу обробляються, щоб продати квиток, посадити вас в автобус, попередити про зміну часу подачі й зустріти в аеропорту. Без цих даних договір виконати неможливо. Та сама стаття накриває й ДІЇ ДО УКЛАДЕННЯ договору, вчинені на ваш запит: якщо ви натиснули «Підтвердити», а місце виявилось зайняте, ваш запит ми зберігаємо саме на цій підставі — договору ще немає.
• Виконання юридичного обов’язку — ст. 6(1)(c) GDPR. Список пасажирів міжнародного рейсу подається на вимогу прикордонних органів України та Румунії; документи про продаж зберігаються згідно з податковим законодавством.
• Законний інтерес — ст. 6(1)(f) GDPR. Технічні журнали сервера й тимчасове утримання місця потрібні, щоб сайт не продав одне місце двічі та щоб можна було розібрати збій. Інтерес обмежений безпекою й працездатністю сервісу.

4. Файли cookie

На сайті немає жодного рекламного чи аналітичного стороннього скрипта: ні Google Analytics, ні пікселя соцмережі, ні системи ретаргетингу. Тому й банера про згоду на cookie немає — усі cookie, які ми ставимо, є строго необхідними.

5. Кому ми передаємо дані

• Водієві вашого рейсу — ім’я, місце й телефон, щоб зателефонувати, якщо вас немає на посадці. Тільки на свій рейс і тільки в день виїзду.
• Прикордонним і митним органам України та Румунії — на їх вимогу, у складі списку пасажирів рейсу. Це юридичний обов’язок перевізника, і відмовитися від нього не можна.
• Постачальнику хостингу й бази даних — як процесору, за договором обробки. Він не має права використовувати дані у власних цілях.
• Банку-еквайру — при оплаті карткою у водія. Ця операція проходить повз наш сайт: ми бачимо тільки факт оплати й суму.

Ми не продаємо й не передаємо дані рекламодавцям, брокерам даних чи іншим перевізникам.

6. Скільки ми зберігаємо

7. Де обробляються дані

Сайт і база даних розміщені в дата-центрах на території Європейського Союзу, тобто передачі даних до третіх країн у розумінні глави V GDPR не відбувається. Конкретний постачальник і регіон: на сайті ще не вказані.

8. Ваші права

Як суб’єкт даних ви маєте право:

• знати й отримати копію даних, які ми про вас зберігаємо (ст. 15);
• виправити неточність — наприклад, помилку в написанні імені (ст. 16);
• вимагати видалення — коли дані більше не потрібні для поїздки й не утримуються законом (ст. 17);
• обмежити обробку, поки триває спір про точність або підставу (ст. 18);
• отримати дані у машиночитному форматі й передати їх іншому перевізникові (ст. 20);
• заперечити проти обробки на підставі законного інтересу (ст. 21);
• поскаржитися наглядовому органу — в Україні це Уповноважений Верховної Ради з прав людини, у Румунії — ANSPDCP.

Автоматизованих рішень, які мали б для вас юридичні наслідки, ми не ухвалюємо. Час подачі автобуса встановлює й змінює диспетчер.

9. Як вимагати видалення

Відкриті канали для такого запиту показано на сторінці контактів. У запиті вкажіть код бронювання та номер телефону, на який воно оформлене, — цього достатньо, щоб упевнитися, що запит справді ваш. Ми відповідаємо протягом 30 днів, як вимагає ст. 12(3) GDPR.

10. Безпека

Доступ до даних пасажирів мають лише працівники диспетчерської, і кожна зміна фіксується в журналі аудиту на рівні бази даних — запис веде тригер, і видалити його з інтерфейсу неможливо. Паролі співробітників зберігаються у вигляді scrypt-хешів. З’єднання із сайтом шифроване (HTTPS).

11. Діти

Ми не оформлюємо бронювання на дитину без дорослого й не звертаємося до дітей напряму. Дані дитини-пасажира (ім’я, вік для застосування дитячого тарифу) надає дорослий, який оформлює поїздку, і вони зберігаються за тими самими правилами, що й дані решти пасажирів.

12. Зміни політики

Якщо політика зміниться, ми опублікуємо нову редакцію тут і змінимо дату вгорі сторінки. Про зміни, які стосуються підстав обробки або строків зберігання, офіс окремо зателефонує чи напише — вручну, на номер із бронювання — тим, чиї бронювання на той момент будуть активними.