Політика конфіденційності

Дата набрання чинності: 5 серпня 2026 року

1. Контролер

Контролером, відповідальним за обробку Ваших персональних даних у розумінні Загального регламенту про захист даних (GDPR), є:

Andrii Lavus Hohenzollernstraße 70 66117 Saarbrücken Німеччина

Електронна пошта: support@triphaus.app

(Актуальні контактні дані наведено в Правових відомостях.)

2. Офіцер із захисту даних

Triphaus діє як фізична особа-підприємець (Einzelunternehmer). Німецьке законодавство не вимагає призначення офіцера із захисту даних для підприємств такого розміру (ст. 37 GDPR у поєднанні з § 38 BDSG). Офіцера із захисту даних не призначено.

3. Які дані ми обробляємо і чому

Під час використання застосунку Triphaus обробляються наведені нижче категорії персональних даних. Цей перелік відповідає Ярлику конфіденційності Apple (Privacy Nutrition Label) для Triphaus (задекларовано в PrivacyInfo.xcprivacy).

Надання даних облікового запису є обов’язковим для користування обліковим записом Triphaus (ст. 13(2)(e) GDPR); без них обліковий запис створити неможливо. Усе інше є необов’язковим.

3.1 Дані облікового запису (пов’язані з Вашою особою)

Дані	Мета	Правова підстава
Адреса електронної пошти	Створення облікового запису через Sign in with Apple; надсилання повідомлень, пов’язаних із сервісом	Виконання договору, ст. 6(1)(b) GDPR
Ім’я (необов’язкове відображуване ім’я від Apple)	Персоналізація досвіду в застосунку; відображається особам, з якими Ви ділитеся подорожжю (Розділ 3.4)	Виконання договору, ст. 6(1)(b) GDPR
Ідентифікатори користувача (внутрішній ID облікового запису; непрозорий ідентифікатор, виданий Apple)	Ідентифікація Вашого облікового запису на різних пристроях; захист викликів API; запобігання зловживанням	Виконання договору, ст. 6(1)(b) GDPR

Sign in with Apple — єдиний спосіб входу. Triphaus ніколи не отримує Ваш пароль Apple ID. Токени входу зберігаються лише в iOS Keychain на Вашому пристрої.

3.2 Дані підписки та покупок (пов’язані з Вашою особою)

Дані	Мета	Правова підстава
Ідентифікатори транзакцій App Store і статус підписки (без платіжних даних)	Застосування безкоштовної/платної квоти; відновлення Вашої підписки	Виконання договору, ст. 6(1)(b) GDPR; законодавчі обов’язки щодо зберігання, ст. 6(1)(c) GDPR

Оплату повністю обробляє Apple. Triphaus не отримує жодних платіжних чи білінгових даних — лише підписані ідентифікатори транзакцій і продуктів.

3.3 Вміст, який Ви надаєте (пов’язаний з Вашою особою)

Дані	Мета	Правова підстава
Документи про подорожі, підтвердження бронювань, фото, якими Ви ділитеся з функцією ШІ	Вилучення структурованих даних маршруту за допомогою моделі ШІ	Виконання договору, ст. 6(1)(b) GDPR
Маршрути та дані про подорожі, які Ви створюєте	Зберігання Ваших подорожей (локально на Вашому пристрої; на сервері — лише на час спільного доступу, Розділ 3.4)	Виконання договору, ст. 6(1)(b) GDPR

Ваші подорожі зберігаються локально на Вашому пристрої. Файли, завантажені для функції ШІ, сервер Triphaus утримує лише тимчасово в оперативній пам’яті та видаляє одразу після опрацювання Вашого запиту (див. Розділи 4 і 6).

Ваша відповідальність за завантажений вміст. Ви несете відповідальність за вміст, який завантажуєте у функцію ШІ. Ви не повинні завантажувати особливі категорії персональних даних у розумінні ст. 9 GDPR (дані, що розкривають расове чи етнічне походження, політичні погляди, релігійні чи світоглядні переконання або членство у профспілці; генетичні чи біометричні дані; дані про стан здоров’я; або дані про статеве життя чи сексуальну орієнтацію особи) чи іншу конфіденційну інформацію — ні власну, ні таку, що стосується третіх осіб — якщо це не є вкрай необхідним для бронювання, яке Ви оформлюєте, і якщо Ви не маєте на це законного дозволу. Ви зобов’язані забезпечити, щоб документи, фотографії та файли, які Ви завантажуєте, не містили таких конфіденційних даних, і — у межах, дозволених застосовним законодавством, — несете відповідальність за завантажений вміст, а також за права будь-яких третіх осіб, чиї дані можуть у ньому міститися.

3.4 Спільний доступ до подорожей (пов’язаний з Вашою особою)

Коли Ви ділитеся подорожжю з іншою особою, подорож (увесь створений Вами вміст подорожі) завантажується на сервер Triphaus і зберігається там, доки спільний доступ активний. Зміни в подорожі з активним спільним доступом синхронізуються із сервером. Одержувач бачить вміст подорожі та Ваше відображуване ім’я. Посилання-запрошення діють 14 днів, прив’язані до одного одержувача, і Ви можете відкликати їх у будь-який момент. Коли Ви завершуєте всі спільні доступи до подорожі, видаляєте подорож або видаляєте свій обліковий запис, серверна копія видаляється.

Правова підстава: виконання договору, ст. 6(1)(b) GDPR (спільний доступ активно ініціюєте Ви).

3.5 Дані взаємодії із застосунком (пов’язані з Вашою особою)

Дані	Мета	Правова підстава
Використання функцій (витрачена квота ШІ, лічильники квот)	Застосування квоти використання	Законні інтереси, ст. 6(1)(f) GDPR — інтерес: стале управління квотами та запобігання зловживанням
Кліки за партнерськими посиланнями (дата, відповідний крок подорожі, партнерська мережа — без цільової URL-адреси)	Атрибуція партнерських комісій (афілійована атрибуція)	Законні інтереси, ст. 6(1)(f) GDPR — інтерес: фінансування сервісу за рахунок партнерських комісій

3.6 Необов’язкові маркетингові та аналітичні згоди

Наведена нижче обробка відбувається лише якщо Ви надаєте згоду під час реєстрації або в Профіль → Комунікації та конфіденційність. Усі три згоди вимкнено за замовчуванням, вони є окремими та можуть бути відкликані в будь-який момент.

Згода	Що ми обробляємо	Правова підстава
Маркетингові листи	Ваша адреса електронної пошти для надсилання продуктових новин, порад і рекламних пропозицій	Згода, ст. 6(1)(a) GDPR
Маркетингові push-сповіщення	Зберігається Ваше налаштування; інфраструктури доставки push наразі не існує	Згода, ст. 6(1)(a) GDPR
Аналітика продукту	Події використання (відкриття застосунку, створені подорожі, взаємодії з функціями — без вмісту подорожей), що надсилаються на наш власний сервер; зберігаються 90 днів, далі — лише агреговані підрахунки	Згода, ст. 6(1)(a) GDPR

Щоб відкликати будь-яку згоду: відкрийте застосунок Triphaus → Профіль → Комунікації та конфіденційність і вимкніть відповідний перемикач. У застосунку відкликання діє негайно; для припинення email-розсилки може знадобитися до 48 годин. Відкликання не впливає на правомірність обробки до моменту відкликання (ст. 7(3) GDPR). Для підтвердження Вашої згоди ми зберігаємо прийняту версію та часову позначку (ст. 7(1) GDPR).

3.7 Листи до служби підтримки

Коли Ви звертаєтеся до нас через Зв’язатись з нами у застосунку, до тіла листа автоматично додається короткий діагностичний блок, який допомагає нам опрацювати Ваш запит:

Включені дані	Мета
ID користувача (ідентифікатор облікового запису з Вашого токена входу)	Ідентифікувати Ваш обліковий запис
Рівень плану (free / payg / annual)	Зрозуміти контекст Вашої підписки
Версія застосунку і номер збірки	Визначити точну збірку, якою Ви користуєтеся
Версія iOS	Виявити проблеми, специфічні для ОС
Модель пристрою (напр. iPhone16,2)	Виявити проблеми, специфічні для пристрою
Мова в застосунку	Відтворити мовно-специфічні проблеми

Діагностичний блок видимий Вам у вікні написання Mail до того, як Ви натиснете «Надіслати» — нічого не надсилається приховано. Правова підстава: законні інтереси, ст. 6(1)(f) GDPR — ефективна і точна обробка звернень до служби підтримки.

Що ми НЕ збираємо

• Жодних даних про місцезнаходження: застосунок не запитує дозвіл на геолокацію і не збирає дані про місцезнаходження.
• Жодного відстеження: без рекламних мереж, без сторонніх аналітичних SDK, без пікселів соціальних мереж, без міжзастосункового відстеження, без рекламного ідентифікатора (IDFA). NSPrivacyTracking задекларовано як false у Маніфесті конфіденційності Apple.
• Жодних платіжних даних: платежі повністю обробляє Apple.

4. Одержувачі та сторонні сервіси

OpenAI (функція ШІ)

Коли Ви використовуєте функцію імпорту ШІ, Triphaus надсилає поданий Вами вміст (текст підтвердження бронювання, зображення або текстовий вміст PDF, включно з назвою файлу) до OpenAI Ireland Ltd., Дублін, Ірландія, через API OpenAI. OpenAI обробляє ці дані для вилучення структурованої інформації про подорож і повертає результат до застосунку.

OpenAI не використовує дані запитів API для навчання своїх моделей. Крім того, Triphaus при кожному виклику вказує OpenAI не зберігати об’єкт відповіді (store=false). Проте OpenAI може зберігати вхідні та вихідні дані API до 30 днів для моніторингу зловживань і шахрайства, після чого вони видаляються (політика використання даних API OpenAI станом на дату цієї політики).

Сторона договору та міжнародна передача: для користувачів з Європейського економічного простору та Швейцарії OpenAI Ireland Ltd. є нашим обробником відповідно до ст. 28 GDPR на підставі Додатка OpenAI про обробку даних. Якщо OpenAI Ірландія передає дані пов’язаним компаніям або постачальникам послуг за межі ЄЕП для надання послуги — зокрема до OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, США — це відбувається на підставі Стандартних договірних положень ЄС (Імплементаційне рішення (ЄС) 2021/914) або рішення Європейської Комісії про адекватність відповідно до ст. 45 GDPR. Субобробники, залучені OpenAI, наведені за адресою https://platform.openai.com/subprocessors.

Apple Inc. (Sign in with Apple, App Store)

Apple обробляє потік автентифікації та платежів відповідно до власної політики конфіденційності. Triphaus отримує лише непрозорий ідентифікатор користувача та, при першому вході, адресу електронної пошти і необов’язкове ім’я, наданням яких керуєте Ви. Apple Inc. (США) сертифікована в межах Рамки конфіденційності даних ЄС–США.

Hetzner Online GmbH (хостинг і резервні копії)

Сервер Triphaus (api.triphaus.app) розміщено в Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Німеччина, у центрі обробки даних на території Німеччини (обробка згідно зі ст. 28 GDPR). Дані сервера щоденно дзеркалюються до резервного сховища Hetzner у межах ЄС; видалення поширюються на резервну копію не пізніше наступного щоденного запуску дзеркалювання.

Cloudflare, Inc. (доставка вебсайту)

Маркетинговий сайт (triphaus.app) доставляється через мережу доставки контенту Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, США. Cloudflare обробляє технічно необхідні дані з’єднання (зокрема Вашу IP-адресу) для доставки та захисту сайту. Правова підстава: законні інтереси, ст. 6(1)(f) GDPR — безпечна та продуктивна доставка. Cloudflare сертифікована в межах Рамки конфіденційності даних ЄС–США та додатково зв’язана Стандартними договірними положеннями ЄС.

Сервіси погоди та карт

Для відображення інформації про погоду та місця для пунктів призначення Вашої подорожі застосунок отримує дані безпосередньо з Вашого пристрою від Open-Meteo (api.open-meteo.com) та OpenStreetMap/Overpass (overpass-api.de). Передаються координати або назви пункту призначення і, технічно неминуче, IP-адреса Вашого пристрою — без ідентифікатора облікового запису і без Вашого власного місцезнаходження. Правова підстава: виконання договору, ст. 6(1)(b) GDPR.

Переходи на сайти бронювання та партнерів

Застосунок містить посилання на постачальників бронювань і активностей (напр. GetYourGuide, Booking.com, Airbnb, Omio, Rome2Rio, GetTransfer, Hostelworld). Коли Ви відкриваєте таке посилання, Ваш запит залишає Triphaus: постачальник отримує запитувану URL-адресу (включно з параметрами пункту призначення і, для партнерських посилань, партнерським ідентифікатором Triphaus) та Вашу IP-адресу; з цього моменту діє політика конфіденційності постачальника. Triphaus не передає постачальнику жодних даних облікового запису чи профілю; внутрішньо ми лише фіксуємо клік (Розділ 3.5).

Власна аналітика (лише за згодою)

Якщо Ви надаєте згоду, Triphaus записує власні (first-party) події використання на своєму сервері (Розділ 3.6). Жодних сторонніх аналітичних SDK, рекламних мереж або пікселів відстеження не використовується.

5. Вебсайт, файли cookie та журнали сервера

Маркетинговий сайт Triphaus (triphaus.app) не встановлює файлів cookie і не використовує вебаналітики, рекламних пікселів чи сторонніх скриптів; шрифти надаються локально. Тому банер згоди на файли cookie не потрібен.

Під час доступу до наших сервісів створюються технічно необхідні журнали доступу до сервера (IP-адреса, часова позначка, запитувана адреса, код статусу). Вони слугують для експлуатації, усунення несправностей і захисту від атак. Правова підстава: законні інтереси, ст. 6(1)(f) GDPR. Журнали безперервно перезаписуються (ротаційні файли) і зазвичай видаляються протягом днів або кількох тижнів; IP-адреси не зберігаються в базах даних.

Застосунок iOS не використовує файли cookie браузера. Для зберігання на пристрої використовуються UserDefaults Apple (для налаштувань, задекларовано під причиною CA92.1) та Keychain (для токенів автентифікації).

6. Строки зберігання

Категорія даних	Зберігання
Дані облікового запису та маршрутів	До видалення Вашого облікового запису (Розділ 8).
Серверні копії спільних подорожей	Доки Ви не завершите спільний доступ, не видалите подорож або не видалите свій обліковий запис. Посилання-запрошення спливають через 14 днів.
Вхідні дані ШІ (завантаження)	Triphaus утримує лише тимчасово на час запиту (без постійного зберігання). В OpenAI — до 30 днів (моніторинг зловживань), без навчання.
Історія покупок (ідентифікатори транзакцій)	Відповідно до вимог німецького комерційного та податкового законодавства — зазвичай 10 років (§ 147 AO).
Журнали доступу до сервера	Ротаційні, залежно від розміру — зазвичай від днів до кількох тижнів.
Псевдонімізована діагностика запитів (ідентифікатор облікового запису, шлях, затримка — без вмісту)	90 днів, потім автоматичне видалення.
Події аналітики (лише за згодою)	90 днів; далі залишаються лише агреговані підрахунки без особистої прив’язки.
Журнал кліків за партнерськими посиланнями	До видалення Вашого облікового запису.
Записи про згоди (версія, часова позначка)	Протягом існування облікового запису плюс законодавчі строки позовної давності.
Запис про видалення (Розділ 8)	Безстроково для запобігання зловживанням; необхідність регулярно переглядається.

7. Ваші права відповідно до GDPR

Як суб’єкт даних Ви маєте такі права:

• Право на доступ (ст. 15 GDPR): Ви можете запросити копію персональних даних, які ми зберігаємо про Вас.
• Право на виправлення (ст. 16 GDPR): Ви можете виправити неточні дані.
• Право на видалення (ст. 17 GDPR): Ви можете запросити видалення своїх даних з урахуванням законодавчих зобов’язань щодо зберігання.
• Право на обмеження обробки (ст. 18 GDPR).
• Право на портативність даних (ст. 20 GDPR): Ви можете отримати свої дані у структурованому машинозчитуваному форматі.
• Право на заперечення (ст. 21 GDPR): Ви можете в будь-який момент, з підстав, пов’язаних із Вашою особливою ситуацією, заперечити проти обробки на основі законних інтересів (ст. 6(1)(f) GDPR).
• Право на відкликання згоди (ст. 7(3) GDPR): Ви можете в будь-який момент відкликати згоди (маркетингові листи, маркетингові push, аналітика продукту) у Профіль → Комунікації та конфіденційність, не впливаючи на правомірність попередньої обробки.

Для здійснення будь-якого з цих прав зверніться до нас за адресою support@triphaus.app. Ми відповімо протягом 30 днів.

8. Видалення облікового запису

Щоб видалити свій обліковий запис, перейдіть до Профіль → Видалити обліковий запис у застосунку Triphaus або надішліть запит на support@triphaus.app. Видалення виконується оперативно, щонайпізніше протягом 30 днів, і охоплює Ваш обліковий запис, дані подорожей, спільного доступу, квот і кліків, а також ідентифікатори в діагностичних журналах.

Видаленню не підлягають: (a) ідентифікатори транзакцій, що підпадають під податково- та комерційно-правові обов’язки щодо зберігання (ст. 6(1)(c) GDPR), (b) мінімальний запис про видалення — ідентифікатор провайдера входу (без email, без імені) та часова позначка видалення — який ми зберігаємо, щоб запобігти повторному отриманню безкоштовних квот для нових клієнтів шляхом багаторазового повторного створення облікових записів (законні інтереси, ст. 6(1)(f) GDPR), і (c) агрегована статистика без особистої прив’язки.

9. Право на подання скарги

Ви маєте право подати скаргу до наглядового органу із захисту даних (ст. 77 GDPR) — зокрема в державі-члені Вашого звичайного місця проживання, Вашого місця роботи або місця ймовірного порушення. Для Triphaus компетентним є орган із захисту даних тієї федеральної землі Німеччини, в якій зареєстрований контролер (див. Розділ 1). Довідник усіх німецьких наглядових органів доступний у BfDI: https://www.bfdi.bund.de/DE/Service/Anschriften/anschriften_node.html

10. Автоматизоване прийняття рішень та профілювання

Triphaus не використовує автоматизоване прийняття рішень або профілювання, яке має юридичні або аналогічно значущі наслідки (ст. 22 GDPR). Функція ШІ вилучає дані про подорож із наданих Вами документів; результат завжди перевіряєте Ви, перш ніж будь-який маршрут буде збережено.

11. Діти

Triphaus не орієнтований на дітей до 16 років відповідно до вікового порогу згоди за ст. 8 GDPR у Німеччині. Ми свідомо не збираємо персональні дані дітей. Якщо Ви вважаєте, що дитина надала дані, зверніться до нас за адресою support@triphaus.app, і ми негайно їх видалимо.

12. Зміни цієї політики

Ми можемо оновлювати цю політику для відображення змін у наших практиках роботи з даними або в чинному законодавстві. Дата набрання чинності вгорі цієї сторінки вказує, коли було прийнято поточну версію. Про суттєві зміни буде повідомлено в застосунку.

13. Контакт

З питань конфіденційності пишіть на: support@triphaus.app