Політика конфіденційності

Зміст

1. Загальна інформація та обов'язкові відомості

Загальна примітка

Ця Політика конфіденційності викладена як у докладній версії (чорний текст), так і (де це потрібно) у простішій версії, зрозумілішій для дітей та підлітків (зелений текст).

Якщо в дітей чи підлітків виникають запитання щодо цієї Політики конфіденційності, вони можуть звернутися до нас або до своїх батьків чи опікунів.

Наведені нижче відомості дають простий огляд того, що відбувається з вашими персональними даними, коли ви користуєтеся нашим застосунком. Персональні дані – це будь-які дані, за якими вас можна особисто ідентифікувати. Докладну інформацію про захист даних ви знайдете в Політиці конфіденційності, викладеній нижче.

У цьому розділі ти дізнаєшся, що відбувається з твоєю особистою інформацією (ім'я, адреса електронної пошти тощо), коли ти користуєшся нашим застосунком.

Хто відповідає за збір даних у застосунку?

Контролером є юридична особа, яка самостійно або спільно з іншими визначає цілі та засоби обробки персональних даних (наприклад, імен, адрес електронної пошти тощо). Обробку даних у застосунку здійснює:

спільно з:

Відповідальність за обробку твоїх даних (ім'я, адреса електронної пошти тощо) несе компанія PayCenter GmbH спільно з petaFuel GmbH.

Сфери відповідальності обох компаній:

PayCenter GmbH є установою електронних грошей, що випускає картки, і пропонує зареєстрованим користувачам передплачену картку Mastercard для використання в усіх електронно підключених точках приймання Mastercard.
Використання картки VIMpay ґрунтується на договірних відносинах між користувачем і PayCenter.

Картку Mastercard, яку ти отримуєш від VIMpay, надає PayCenter.

petaFuel GmbH є видавцем застосунку VIMpay і відповідає за технічну частину, розробку застосунку та ведення рахунків. Договірні відносини щодо використання картки VIMpay виникають виключно між власником картки та PayCenter.
petaFuel не є емітентом, безпосередньо уповноваженим Mastercard; вона лише передає дані клієнтів уповноваженим на це установам і виступає посередником між користувачем та ліцензованим емітентом (установою електронних грошей, що випускає картки).

За технічну частину картки відповідає компанія petaFuel.

Як ми збираємо ваші дані?

З одного боку, ваші дані збираються тоді, коли ви самі їх нам повідомляєте. Це можуть бути, наприклад, дані, які ви вводите під час реєстрації. Інші дані збираються нашими ІТ-системами автоматично під час користування застосунком. Це насамперед технічні дані (наприклад, версія застосунку, операційна система або час запуску застосунку). Збір цих даних відбувається автоматично, щойно ви запускаєте застосунок.

Є інформація, яку ти надаєш нам сам(а), наприклад під час реєстрації. Деякі технічні дані (наприклад, версію застосунку, час його відкриття) ми збираємо автоматично, щойно ти запускаєш застосунок.

Для яких цілей ми обробляємо ваші дані?

1. Якщо ви надали згоду на обробку даних, ми обробляємо ваші персональні дані на підставі ст. 6(1)(a) GDPR або ст. 9(2)(a) GDPR, якщо обробляються особливі категорії даних згідно зі ст. 9(1) GDPR. У разі прямої згоди на передачу персональних даних до третіх країн обробка даних додатково ґрунтується на ст. 49(1)(a) GDPR. Якщо ви надали згоду на збереження файлів cookie або на доступ до інформації на вашому кінцевому пристрої (наприклад, через device fingerprinting), обробка даних додатково ґрунтується на § 25 абз. 1 Закону Німеччини про захист даних у телекомунікаціях і цифрових службах (TDDDG). Згоду можна відкликати в будь-який час.
2. Якщо ваші дані потрібні для виконання договору або здійснення переддоговірних заходів, ми обробляємо їх на підставі ст. 6(1)(b) GDPR.
   Це стосується, зокрема, використання картки VIMpay та її функцій, як-от оплата смартфоном, оплата носимими пристроями, миттєве поповнення картки, P2P-чат, надсилання грошей у чаті.
   Усі функції картки VIMpay наведено на сторінці www.vimpay.de/features.
3. Крім того, ми обробляємо ваші дані, якщо це необхідно для виконання правового обов'язку, на підставі ст. 6(1)(c) GDPR.
   Як установа електронних грошей ми підпадаємо під різні правові обов'язки, тобто законодавчі вимоги (наприклад, Закон Німеччини про нагляд за платіжними послугами, Закон про кредитну справу, Закон про протидію відмиванню грошей, податкове законодавство), а також вимоги банківського нагляду (наприклад, Федерального відомства фінансового нагляду Німеччини, BaFin). До цілей обробки належать, серед іншого, перевірка особи та віку, запобігання шахрайству та відмиванню грошей, виконання податкових контрольних і звітних обов'язків, а також оцінка й управління ризиками в компанії.
4. Обробка даних може також здійснюватися на підставі нашого законного інтересу згідно зі ст. 6(1)(f) GDPR.
   Приклади:
   • захист миттєвих поповнень (передача вашої IP-адреси банку, що веде рахунок)
   • безпомилкове надання застосунку
   • пред'явлення правових вимог і захист у правових спорах
   • забезпечення ІТ-безпеки та ІТ-операцій
   • запобігання кримінальним правопорушенням
   • аналіз псевдонімізованих повідомлень чату підтримки для внутрішніх цілей (наприклад, навчання працівників, створення FAQ)

Про правові підстави, застосовні в кожному конкретному випадку, повідомляється в наступних розділах цієї Політики конфіденційності.

Інформацію, яку ми про тебе обробляємо, ми використовуємо для таких цілей:

• для виконання договору (користування карткою VIMpay)
• щоб покращувати наш застосунок
• для перевірки особи та віку, запобігання шахрайству та відмиванню грошей
• для анонімного аналізу того, як використовується наш застосунок

Хто отримує ваші дані?

Усередині компанії доступ до ваших даних отримують ті підрозділи, яким вони потрібні для виконання наших договірних і законодавчих обов'язків. Залучені нами постачальники послуг і виконавці також можуть отримувати дані для цих цілей, якщо вони дотримуються банківської таємниці та наших письмових вказівок щодо захисту даних. Це переважно компанії з категорій, наведених нижче.

Щодо передачі даних одержувачам за межами установи електронних грошей насамперед слід зазначити, що як установа електронних грошей ми зобов'язані зберігати таємницю щодо всіх фактів та оцінок, пов'язаних із клієнтами, про які нам стає відомо.

Ми можемо передавати інформацію про вас лише тоді, коли цього вимагають законодавчі положення, коли ви надали згоду, коли ми уповноважені надавати банківську довідку та/або коли залучені нами обробники так само гарантують дотримання банківської таємниці та вимог Загального регламенту захисту даних ЄС / Федерального закону Німеччини про захист даних. За цих умов одержувачами персональних даних можуть бути, наприклад:

• державні органи та установи (наприклад, Deutsche Bundesbank, Федеральне відомство фінансового нагляду Німеччини, Європейське банківське управління, Європейський центральний банк, податкові органи, Федеральне центральне податкове відомство) за наявності законодавчого чи адміністративного обов'язку;
• інші кредитні та фінансові установи, подібні організації та обробники (див. пункт 4 «Обробка за дорученням»), яким ми передаємо персональні дані для ведення ділових відносин із вами.
  Зокрема: опрацювання банківських довідок, підтримка/обслуговування ІТ-застосунків, архівування, опрацювання документів, комплаєнс-послуги, контролінг, скринінг даних для цілей протидії відмиванню грошей, знищення даних, стягнення заборгованості, обробка платіжних карток, адміністрування клієнтів, телефонія, відеоідентифікація, керування вебсайтом, платіжні операції.
  Іншими одержувачами даних можуть бути ті установи, щодо яких ви надали згоду на передачу даних або щодо яких ви звільнили нас від банківської таємниці за угодою чи згодою.

Ми передаємо твої дані лише тим установам чи особам, яким вони конче потрібні або які мають на це право.

Передача даних до третіх країн

Серед іншого, ми використовуємо інструменти та постачальників послуг, що розташовані за межами ЄЕЗ. Передача персональних даних до країн за межами Європейського Союзу (ЄС) або Європейської економічної зони (ЄЕЗ) (так званих третіх країн) здійснюється лише за виконання однієї з таких умов:

• Для виконання ваших доручень: це може бути, наприклад, у разі опрацювання платіжних доручень.
• На підставі законодавчих обов'язків: до них належать, наприклад, податкові звітні обов'язки.
• За вашою прямою згодою: вас заздалегідь окремо поінформують про ризики передачі даних.
• У межах обробки за дорученням: ми залучаємо постачальників послуг, розташованих у третіх країнах. У цих випадках ми забезпечуємо, щоб або (i) існувало рішення про адекватність згідно зі ст. 45 GDPR (наприклад, для одержувачів у США, сертифікованих за «EU-US Data Privacy Framework» (DPF)), або (ii) було погоджено належні гарантії згідно зі ст. 46 GDPR (наприклад, стандартні положення про захист даних – Standard Contractual Clauses (SCC)); за потреби ми проводимо оцінку наслідків передачі (Transfer Impact Assessment – TIA) та впроваджуємо додаткові захисні заходи.

Прикладом передачі даних до США є автоматичний обмін даними в межах Mastercard Automatic Billing Updater (ABU) для мінімізації відхилень карткових платежів у разі закінчення строку дії або зміни даних кредитної картки. Дані передаються такій установі:

• Mastercard Inc., 2000 Purchase Street, Purchase, NY 10577, USA.

Звертаємо вашу увагу, що в разі передачі даних до третіх країн без рішення про адекватність (ст. 45 GDPR) – зокрема одержувачам у США, які не сертифіковані за EU-US Data Privacy Framework (DPF), – рівень захисту даних, еквівалентний рівню Європейського Союзу, може бути гарантований не в усіх аспектах. Це стосується, зокрема, прав державних органів на доступ до ваших даних. Проте ми прагнемо забезпечити якомога вищий рівень захисту шляхом вибору належних постачальників і застосування належних гарантій (наприклад, SCC), а також – за потреби – додаткових захисних заходів (наприклад, оцінки наслідків передачі / TIA).

Частина твоїх даних передається компанії Mastercard у США.

Одержувачі персональних даних

У межах нашої господарської діяльності ми співпрацюємо з різними зовнішніми установами. Подекуди це вимагає також передачі персональних даних цим зовнішнім установам. Ми передаємо персональні дані зовнішнім установам лише тоді, коли це необхідно в межах виконання договору, коли ми зобов'язані до цього законом (наприклад, передача даних податковим органам), коли ми маємо законний інтерес у передачі згідно зі ст. 6(1)(f) GDPR або коли інша правова підстава дозволяє передачу даних. Залучаючи обробників, ми передаємо персональні дані наших клієнтів лише на підставі чинного договору про обробку за дорученням. У разі спільної обробки укладається договір про спільну обробку.

Аналітичні інструменти та інструменти сторонніх постачальників

Під час користування нашим застосунком ваша поведінка користувача може статистично аналізуватися. Це відбувається насамперед за допомогою так званих аналітичних програм. Аналіз за допомогою цих інструментів є анонімним; поведінку користувача неможливо відстежити до вас. Ви можете заперечити проти цього аналізу або запобігти йому, не використовуючи певні інструменти. Деталі наведено в цій Політиці конфіденційності в розділі «Аналітичні інструменти».

Ваші права стисло

1. Відкликання вашої згоди на обробку даних

   Багато операцій з обробки даних можливі лише за вашої прямої згоди. Ви можете в будь-який час відкликати вже надану згоду. Правомірність обробки даних, здійсненої до відкликання, залишається незмінною.

2. Право на заперечення проти збору даних в окремих випадках та проти прямого маркетингу (ст. 21 GDPR)

   Якщо обробка даних здійснюється на підставі ст. 6(1)(e) або (f) GDPR, ви маєте право в будь-який час заперечити проти обробки ваших персональних даних з підстав, пов'язаних із вашою особливою ситуацією. Це стосується також профілювання, що ґрунтується на цих положеннях. Відповідну правову підставу, на якій ґрунтується обробка, наведено в цій Політиці конфіденційності. Якщо ви заперечите, ми більше не оброблятимемо ваші відповідні персональні дані, крім випадків, коли ми можемо довести переконливі законні підстави для обробки, що переважають ваші інтереси, права і свободи, або коли обробка слугує пред'явленню, здійсненню чи захисту правових вимог (заперечення згідно зі ст. 21(1) GDPR).

   Якщо ваші персональні дані обробляються для цілей прямого маркетингу, ви маєте право в будь-який час заперечити проти обробки ваших персональних даних для цілей такого маркетингу. Це стосується також профілювання, наскільки воно пов'язане з таким прямим маркетингом. Якщо ви заперечите, ваші персональні дані надалі не використовуватимуться для цілей прямого маркетингу (заперечення згідно зі ст. 21(2) GDPR).

3. Право на подання скарги до компетентного наглядового органу

   У разі порушень GDPR суб'єкти даних мають право подати скаргу до наглядового органу, зокрема в державі-члені свого звичайного місця проживання, місця роботи або місця ймовірного порушення. Право на подання скарги існує без шкоди для інших адміністративних чи судових засобів правового захисту.

   Компетентним для нас наглядовим органом із питань захисту даних є:

   Bayerisches Landesamt für Datenschutzaufsicht
   (Баварське земельне відомство з нагляду за захистом даних)
   Postfach 1349
   91504 Ansbach, Німеччина
   Телефон: +49 981 180093-0
   Факс: +49 981 180093-800
   Ел. пошта: poststelle@lda.bayern.de
   Вебсайт: www.lda.bayern.de

   Якщо тобі здається, що твої дані не захищені належним чином, ти маєш право звернутися до цього органу.

4. Право на переносимість даних

   Ви маєте право отримати дані, які ми обробляємо автоматизовано на підставі вашої згоди або на виконання договору, у поширеному машинозчитуваному форматі – для себе або для передачі третій особі. Якщо ви вимагаєте прямої передачі даних іншому контролеру, це здійснюється лише настільки, наскільки це технічно можливо.

   Якщо ти хочеш, щоб ми передали твої дані тобі або іншій компанії, повідом нас.

5. Доступ, виправлення та видалення

   У межах чинних законодавчих положень ви маєте право в будь-який час безоплатно отримати інформацію про ваші збережені персональні дані, їх походження та одержувачів і мету обробки даних, а також, за наявності підстав, право на виправлення чи видалення цих даних. З цього приводу, а також з іншими питаннями щодо персональних даних ви можете звертатися до нас у будь-який час.

6. Право на обмеження обробки

   Ви маєте право вимагати обмеження обробки ваших персональних даних. Для цього ви можете звернутися до нас у будь-який час. Право на обмеження обробки існує в таких випадках:

   • Якщо ви оспорюєте точність ваших персональних даних, збережених у нас, нам, як правило, потрібен час для перевірки. На час перевірки ви маєте право вимагати обмеження обробки ваших персональних даних.
   • Якщо обробка ваших персональних даних була/є неправомірною, ви можете вимагати обмеження обробки даних замість видалення.
   • Якщо ваші персональні дані нам більше не потрібні, але потрібні вам для здійснення, захисту чи пред'явлення правових вимог, ви маєте право вимагати обмеження обробки ваших персональних даних замість видалення.
   • Якщо ви подали заперечення згідно зі ст. 21(1) GDPR, необхідно зважити ваші та наші інтереси. Доки не встановлено, чиї інтереси переважають, ви маєте право вимагати обмеження обробки ваших персональних даних.

   Якщо ви обмежили обробку ваших персональних даних, ці дані – окрім їх зберігання – можуть оброблятися лише за вашою згодою або для пред'явлення, здійснення чи захисту правових вимог, або для захисту прав іншої фізичної чи юридичної особи, або з міркувань важливого суспільного інтересу Європейського Союзу чи держави-члена.

   • Якщо хочеш, ми в будь-який час розповімо тобі, звідки в нас твої дані та що ми з ними робимо.
   • Якщо ти більше не хочеш, щоб ми використовували твої дані, просто повідом нас.

2. Уповноважений із захисту даних

Передбачений законом уповноважений із захисту даних

Ми призначили уповноваженого із захисту даних для кожної з наших компаній. З усіх питань щодо захисту даних ви можете скористатися такими контактами:

3. Обробка даних у застосунку

Обробка даних під час реєстрації та подальшого користування карткою

Користувачі можуть зареєструватися і створити при цьому обліковий запис. Дані, введені під час реєстрації, використовуються для цілей користування сервісом.

Ми збираємо, обробляємо та використовуємо персональні дані лише настільки, наскільки вони необхідні для встановлення, змістового оформлення або зміни правовідносин (основні дані). Це здійснюється на підставі ст. 6(1)(b) GDPR, яка дозволяє обробку даних для виконання договору чи переддоговірних заходів, а також на підставі ст. 6(1)(c) GDPR, яка дозволяє обробку настільки, наскільки вона необхідна для виконання правового обов'язку, що покладений на контролера. Персональні дані про користування нашим застосунком (дані про використання) ми збираємо, обробляємо та використовуємо лише настільки, наскільки це необхідно, щоб надати користувачеві можливість користуватися сервісом або виставити рахунок.

Зібрані дані клієнтів видаляються після завершення доручення або припинення ділових відносин. Користувачі самі відповідають за збереження своїх даних після подання заяви про розірвання до закінчення дії договору. Ми маємо право безповоротно видалити всі дані користувача, збережені протягом строку дії договору, якщо це не суперечить законодавчим строкам зберігання.
Законодавчі строки зберігання залишаються незмінними. До них належать обов'язки зберігання за торговельним і податковим правом: Торговельний кодекс Німеччини (HGB), Закон про кредитну справу (KWG) та Закон про протидію відмиванню грошей (GwG). Передбачені там строки становлять від двох до десяти років. Якщо дані утримуються як докази, вони підпадають під строки позовної давності Цивільного кодексу Німеччини (BGB), §§ 195 і наступні, і можуть зберігатися до 30 років, при цьому загальний строк позовної давності становить три роки.
IP-адреси видаляються щонайпізніше через 90 днів.

Ці дані принципово не передаються третім особам, окрім випадків, коли це необхідно для реалізації наших вимог або коли існує законодавчий обов'язок згідно зі ст. 6(1)(c) GDPR.

Також можливо, що під час ініціювання платежу (миттєве поповнення) ваша IP-адреса буде передана банку, що веде рахунок, для захисту та запобігання шахрайству. Це здійснюється на підставі нашого законного інтересу згідно зі ст. 6(1)(f) GDPR.

Якщо для реєстрації потрібна ідентифікація згідно з § 11 Закону Німеччини про протидію відмиванню грошей (GwG), персональні дані, зібрані під час ідентифікації, зберігаються ідентифікуючою компанією (Deutsche Post AG або IDnow GmbH) лише настільки, наскільки це необхідно для належного визначення, розрахунку та оцінки, а також для підтвердження правильності плати за послуги (дані про плату). Крім того, ми використовуємо дані, надані в межах процедури Postident, для звірки основних персональних даних, збережених у нашій базі даних, з метою передбаченої законом ідентифікації.

Дані, зібрані у твоєму обліковому записі, завжди належать тобі. Ми використовуємо твої дані лише за призначенням і конфіденційно та передаємо їх третім особам лише в межах послуг, які ти замовляєш.

Коли ти закриєш свій обліковий запис, ми видалимо твої дані – крім тих, які за законом мусимо зберігати ще певний час.

Якщо хочеш розірвати договір, збережи спочатку свої дані.
Інакше ми автоматично видалили б усі дані, які не зобов'язані зберігати за законом.

Щоб ви могли користуватися сервісом, ми за потреби збираємо від вас такі дані:

• назва компанії
• ім'я та прізвище
• адреса
• дата народження
• дані документа, що посвідчує особу
• адреса електронної пошти
• банківські реквізити
• номер мобільного телефону
• статус PEP (політично значуща особа)
• мандати на пряме списання
• IP-адреса на момент реєстрації
• IP-адреса під час входу
• дані доступу HBCI
• номери рахунків одержувачів
• операції за рахунком
• податковий ідентифікаційний номер
• комунікаційні дані для керування вашою карткою VIMpay через інтерфейс petaFuel GmbH
• тексти повідомлень під час користування функцією чату
• статус користувача під час користування функцією чату

Перевірка віку для операцій з віковими обмеженнями

Якщо ви хочете розрахуватися вашою карткою VIMpay Mastercard у точках приймання, де діють законодавчі вікові обмеження (наприклад, сигаретні автомати), ми проводимо автоматизовану перевірку віку. При цьому ми внутрішньо оцінюємо збережену в нас дату вашого народження і передаємо торговцю виключно результат – досягли ви повноліття чи ні. Сама дата вашого народження не передається.

Ця обробка здійснюється на підставі ст. 6(1)(f) GDPR. Наш законний інтерес полягає у виконанні наших договірних зобов'язань перед Mastercard як мережевим партнером, а також у підтримці передбаченого законом захисту молоді (§§ 9, 10 Закону Німеччини про захист молоді, JuSchG). Ви маєте право заперечити проти цієї обробки згідно зі ст. 21 GDPR; наслідком буде те, що ми більше не зможемо авторизувати платежі у відповідних точках приймання.

Файли журналів сервера

petaFuel GmbH автоматично збирає та зберігає інформацію із застосунку в так званих файлах журналів сервера. Застосунок передає нам таку інформацію:

• назва та версія застосунку
• використовувана операційна система
• модель пристрою
• URL-адреса переходу (referrer)
• ім'я хоста мобільного пристрою
• час запиту до сервера
• IP-адреса
• мова та регіон

Ці дані не поєднуються з іншими джерелами даних.

Підставою для обробки даних є ст. 6(1)(f) GDPR, яка дозволяє обробку даних для захисту законних інтересів. Ми використовуємо ці дані як для роботи та вдосконалення застосунку, так і для запобігання шахрайству.

Дані видаляються автоматично щонайпізніше через 90 днів.

Ми автоматично зберігаємо інформацію із застосунку. Ці дані не поєднуються з іншими джерелами даних.

Дозволи застосунку

Застосунок може запитувати наведені нижче дозволи, що класифікуються як критичні. Клієнт може налаштувати ці дозволи індивідуально та окремо.

1. iOS

   • Мережеві з'єднання
     Потрібні, щоб застосунок був повністю функціональним і міг передавати та отримувати дані.
   • Фонове оновлення
     Потрібне для Apple Services, зокрема для push-повідомлень.
   • Сповіщення
     Потрібні для отримання повідомлень, у цьому разі push-сповіщень.
   • Доступ до фото та камери
     Потрібен, щоб встановити зображення профілю в застосунку, створювати зображення карток (Picturecard та аватари карток), користуватися QR-сканером і для перевірки особи через відеоідентифікацію.
   • Контакти
     Потрібні для звірки, чи є контакт також користувачем VIMpay у чаті, та для поповнення рахунків передплачених мобільних тарифів.
   • Мікрофон
     Використовується для комунікації під час перевірки особи через відеоідентифікацію.

2. Android

   • Читання, зміна чи видалення вмісту сховища
     Потрібне для експорту PDF (наприклад, коли ти експортуєш свої операції як PDF).
   • Доступ до всіх мереж
     Потрібен, щоб застосунок був повністю функціональним і міг передавати та отримувати дані.
   • Вимкнення режиму сну
     Потрібне, щоб мати змогу отримувати push-повідомлення.
   • Контакти
     Потрібні для звірки, чи є контакт також користувачем VIMpay у чаті, та для поповнення рахунків передплачених мобільних тарифів.
   • Сповіщення
     Потрібні для отримання повідомлень, у цьому разі push-сповіщень.
   • Доступ до фото та камери
     Потрібен, щоб встановити зображення профілю в застосунку, створювати зображення карток (Picturecard та аватари карток), користуватися QR-сканером і для перевірки особи через відеоідентифікацію.
   • Мікрофон
     Використовується для комунікації під час перевірки особи через відеоідентифікацію.

Щоб забезпечити користування застосунком, він може, окрім наведених тут дозволів, запитувати також інші, некритичні дозволи.

Застосунок може запитувати ці дозволи. Ти можеш налаштувати їх індивідуально та окремо.

Звіти про помилки HBCI у застосунку

Якщо ви погоджуєтеся на збереження та передачу звіту про помилку в застосунку, ви заявляєте про свою згоду з тим, що ваші дані HBCI (наприклад, номер рахунку та операції) будуть у зашифрованому вигляді передані компанії petaFuel, щоб можна було проаналізувати та усунути помилки, що виникають у застосунку. Щоб захистити ваш вхід від несанкціонованого доступу, банківський пароль видаляється перед передачею. Автоматизована передача звітів про помилки з відповідними даними HBCI не здійснюється. Операції HBCI зберігаються виключно локально в застосунку. Разом із видаленням застосунку видаляються також локально збережені операції HBCI.

Передача та збереження здійснюються на підставі ст. 6(1)(a) GDPR (згода суб'єкта даних).

Якщо ти погоджуєшся на збереження та передачу звіту про помилку в застосунку, ти заявляєш про згоду з тим, що твої дані (наприклад, номер рахунку та операції) будуть у зашифрованому вигляді передані petaFuel, щоб визначити помилку.

Дані про твої операції зберігаються локально у твоєму застосунку. Якщо ти вирішиш видалити застосунок, будуть видалені й твої локально збережені дані.

4. Обробка за дорученням

Ми доручаємо зовнішнім постачальникам послуг в обмеженому обсязі надавати послуги від нашого імені. Ці постачальники послуг можуть обробляти персональні дані виключно для відповідної мети та зобов'язані дотримуватися конфіденційності. З усіма залученими обробниками ми уклали договори про обробку за дорученням згідно зі ст. 28 GDPR.

Ми залучаємо постачальників послуг у таких категоріях:

• Технічні постачальники послуг та ІТ-інфраструктура: робота, обслуговування та подальший розвиток застосунку, а також обробка карткових операцій.
• Постачальники послуг ідентифікації та легітимації: проведення передбачених законом перевірок особи, наприклад через відеоідентифікацію, PostIdent або eID. (Договірні партнери petaFuel GmbH)
• Постачальники послуг валідації адрес: перевірка та нормалізація адресних даних для забезпечення якості даних. (Договірні партнери PayCenter GmbH та petaFuel GmbH)
• Опрацювання чеків: автоматизоване опрацювання та керування чеками й касовими квитанціями в межах додаткової опціональної послуги опрацювання чеків. Правова підстава: ст. 6(1)(b) GDPR.

За потреби для надання наших послуг ми мусимо передавати твої дані стороннім постачальникам. Однак вони зобов'язані захищати твої дані.

5. Аналітичні інструменти

Matomo

Цей застосунок використовує вебаналітичний сервіс із відкритим кодом Matomo (лише у версії застосунку для iOS).

За допомогою Matomo ми можемо збирати та аналізувати дані про користування нашим застосунком його відвідувачами. Завдяки цьому ми можемо, серед іншого, дізнатися, коли які сторінки переглядалися і з якого регіону вони походять. Крім того, ми збираємо різні файли журналів (наприклад, IP-адресу, referrer, використовувані браузери та операційні системи) і можемо вимірювати, чи виконують відвідувачі нашого застосунку певні дії (наприклад, кліки, покупки тощо).

Використання цього аналітичного інструмента ґрунтується на ст. 6(1)(f) GDPR. Оператор застосунку має законний інтерес в аналізі поведінки користувачів для оптимізації свого застосунку. Якщо було запитано відповідну згоду, обробка здійснюється виключно на підставі ст. 6(1)(a) GDPR та § 25 абз. 1 TDDDG, наскільки згода охоплює збереження файлів cookie або доступ до інформації на кінцевому пристрої користувача (наприклад, device fingerprinting) у розумінні TDDDG. Згоду можна відкликати в будь-який час.

Анонімізація IP-адрес

Під час аналізу за допомогою Matomo ми застосовуємо анонімізацію IP-адрес. При цьому ваша IP-адреса скорочується перед аналізом, тож її більше неможливо однозначно пов'язати з вами.

Аналіз без файлів cookie

Ми налаштували Matomo так, що Matomo не зберігає жодних файлів cookie.

Matomo обробляє такі дані:

• анонімізовані IP-адреси з видаленими останніми 2 байтами (тобто 192.68.0.0 замість 192.68.100.54)
• приблизне місцеперебування (на основі анонімізованої IP-адреси)
• дата та час
• назва переглянутої сторінки
• URL-адреса переглянутої сторінки
• URL-адреса попередньої сторінки (якщо ця сторінка це дозволяє)
• роздільна здатність екрана
• місцевий час
• файли, на які натискали і які завантажували
• зовнішні посилання
• тривалість завантаження сторінки
• країна, регіон, місто (з низькою точністю на основі IP-адреси)
• основна мова пристрою
• user agent пристрою

Ви можете в будь-який час заперечити проти збереження та аналізу цих даних сервісом Matomo. Для цього перейдіть до пункту Безпека → Покращити застосунок.

6. Збір даних під час звернення до нас

Якщо ви звертаєтеся до нас електронною поштою, через контактну форму, телефоном або факсом, ваш запит, включно з усіма персональними даними, що з нього випливають (ім'я, запит), зберігається та обробляється нами для опрацювання вашого звернення. Ці дані ми не передаємо без вашої згоди.

Обробка цих даних здійснюється на підставі ст. 6(1)(b) GDPR, якщо ваш запит пов'язаний з виконанням договору або необхідний для здійснення переддоговірних заходів. В усіх інших випадках обробка ґрунтується на нашому законному інтересі в ефективному опрацюванні адресованих нам запитів (ст. 6(1)(f) GDPR) або на вашій згоді (ст. 6(1)(a) GDPR), якщо її було запитано; згоду можна відкликати в будь-який час.

Дані, надіслані нам через контактні запити, залишаються в нас, доки ви не вимагатимете їх видалення, не відкличете згоду на збереження або доки не зникне мета збереження даних (наприклад, після завершення опрацювання вашого звернення). Обов'язкові законодавчі положення – зокрема законодавчі строки зберігання – залишаються незмінними.

Стандартні автоматичні строки видалення:

• тікети від осіб, що не є клієнтами: 6 місяців
• тікети від клієнтів: 1 рік
• тікети, пов'язані із захистом даних: 3 роки

Коли ти звертаєшся до нас (наприклад, через контактну форму, електронну пошту, чат, телефоном або через соціальні мережі), твої контактні дані зберігаються для відповіді на запит. Однак ми також регулярно видаляємо ці дані. Для повідомлень у чаті підтримки діють строки видалення, наведені в розділі «Функція чату».

7. Функція чату

Застосунок VIMpay пропонує функцію чату, яка дає користувачеві змогу зв'язуватися як зі службою підтримки, так і з іншими користувачами VIMpay.
Крім того, через чат можна користуватися функціями картки VIMpay (наприклад, надсилати гроші).
Перелік усіх функцій картки VIMpay та чату наведено на сторінці www.vimpay.de/features (див. також розділ 1 – Для яких цілей ми обробляємо ваші дані).

Функція чату для спілкування зі службою підтримки активована постійно. Її неможливо вимкнути.

Функція чату для спілкування з іншими користувачами VIMpay за замовчуванням вимкнена. Для користування її спочатку потрібно активувати.

Під час активації та використання цієї функції чату обробляються такі дані:

• ваш поточний онлайн-статус відображається іншим користувачам,
• ваше збережене у VIMpay ім'я (ім'я та прізвище) відображається іншим користувачам,
• ваше зображення профілю відображається іншим користувачам,
• надіслані та отримані повідомлення зберігаються на сервері протягом обмеженого часу (завдяки цьому повідомлення можна відновити після повторного встановлення застосунку).

Повідомлення автоматично видаляються на сервері після певного строку:

• повідомлення з особистих або групових чатів – через 30 днів
• повідомлення з чату підтримки:
  • неавтентифіковані користувачі: через 90 днів
  • автентифіковані користувачі: через 10 років

Якщо користувач хоче знову вимкнути функцію чату після активації, у застосунку доступна можливість відмови (недоступно для функції чату зі службою підтримки!).

Після відмови всі повідомлення видаляються на сервері згідно з наведеними вище строками. Повідомлення на смартфоні користувача не видаляються – це має зробити сам користувач.

Збереження чат-повідомлень здійснюється на підставі ст. 6(1)(b) GDPR (обробка для виконання договору).

Коли ти користуєшся чатом, інші користувачі бачать, серед іншого, твоє ім'я, зображення профілю та онлайн-статус, а всі повідомлення зберігаються в нас. Якщо ти більше не хочеш користуватися чатом, можеш його вимкнути, але тоді всі повідомлення через певний час також будуть у нас видалені.

Аналіз повідомлень чату підтримки для внутрішніх цілей

Ми аналізуємо повідомлення з чату підтримки (спілкування зі службою підтримки) у псевдонімізованій формі для внутрішніх цілей. До них належать, зокрема, навчання наших працівників, створення та ведення FAQ, а також підвищення якості нашої служби підтримки. Повідомлення з особистих або групових чатів з іншими користувачами VIMpay, а також повідомлення чату підтримки від користувачів Scout (субрахунки для неповнолітніх, див. розділ «Картка VIMpay Scout») виключені з цього аналізу.

Перед аналізом повідомлення псевдонімізуються. Це означає, що відомості, які уможливлюють безпосередню ідентифікацію (наприклад, ім'я, адреса електронної пошти, номер телефону, дані картки), видаляються або замінюються. Інформація для зіставлення залишається в нас.

Контролером щодо цього аналізу є PayCenter GmbH; petaFuel GmbH діє в цій частині як обробник за дорученням PayCenter GmbH.

Правовою підставою цієї обробки є ст. 6(1)(f) GDPR. Наш законний інтерес полягає в покращенні нашої служби підтримки та ефективному наданні відповідей на часті запити клієнтів.

Ви можете в будь-який час заперечити проти цього аналізу з дією на майбутнє (ст. 21 GDPR). Для цього зверніться до нашої служби підтримки або на адресу datenschutz@petafuel.de чи datenschutz@paycenter.de. У разі заперечення ваші повідомлення чату підтримки більше не аналізуватимуться для зазначених цілей.

Повідомлення до нашої служби підтримки ми іноді використовуємо, щоб навчати нашу команду та краще відповідати на часті запитання. Перед цим ми видаляємо все, за чим можна впізнати відправника (наприклад, ім'я). Твої повідомлення сюди не входять: якщо в тебе картка Scout, ми не аналізуємо твої чати. Чати між користувачами VIMpay ми також ніколи не переглядаємо. Якщо в тебе є запитання, просто повідом нас.

Використання чат-ботів

Ми використовуємо чат-ботів для спілкування з вами. Чат-боти здатні реагувати на ваші запитання та інші введення без допомоги людини. Для цього чат-боти, крім ваших введень, аналізують інші дані, щоб надавати відповідні відповіді (наприклад, імена, адреси електронної пошти та інші контактні дані, номери клієнтів та інші ідентифікатори, а також історії чатів). Крім того, через чат-бот можуть збиратися ваша IP-адреса, файли журналів та інші метадані. Ці дані зберігаються на серверах постачальника чат-бота.

Дані, введені вами в межах комунікації, залишаються в нас або в оператора чат-бота, доки ви не вимагатимете їх видалення, не відкличете згоду на збереження або доки не зникне мета збереження даних (наприклад, після завершення опрацювання вашого запиту). Обов'язкові законодавчі положення – зокрема строки зберігання – залишаються незмінними.

Правовою підставою використання чат-ботів є ст. 6(1)(b) GDPR, якщо чат-бот використовується для ініціювання договору або в межах виконання договору. Якщо було запитано відповідну згоду, обробка здійснюється виключно на підставі ст. 6(1)(a) GDPR та § 25 абз. 1 TDDDG, наскільки згода охоплює збереження файлів cookie або доступ до інформації на кінцевому пристрої користувача (наприклад, device fingerprinting) у розумінні TDDDG. Згоду можна відкликати в будь-який час. В усіх інших випадках використання ґрунтується на нашому законному інтересі в якомога ефективнішій комунікації з клієнтами (ст. 6(1)(f) GDPR).

Коли ти пишеш нашій службі підтримки, іноді тобі відповідає чат-бот – комп'ютерна програма, яка автоматично відповідає на твої запитання.

Google Dialogflow

Для нашого чату ми використовуємо Dialogflow – сервіс компанії Google LLC («Google»), 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Google Dialogflow – це діалоговий інтерфейс для вебсайтів, мобільних застосунків, поширених комунікаційних платформ та IoT-пристроїв, який уможливлює взаємодію між користувачами та компаніями. Google Dialogflow є частиною платформи Google Cloud, яку пропонує Google. Ваші введення обробляються Google відповідно до політик конфіденційності Google, перш ніж пересилаються на наші сервери.

Dialogflow використовує машинне навчання, щоб «розуміти» введення та мати змогу на них відповідати. Введені діалогові запитання чи відомості зберігаються та використовуються без прив'язки до особи для цілей навчання і тренування та слугують удосконаленню чат-системи.

Для комунікації з Google Dialogflow ми використовуємо виключно нашу власну IP-адресу.
Відповідно, персональні дані передаються Google лише тоді, коли ви розкриваєте персональні дані в межах чату (= чат-повідомлення).

Обробка даних ґрунтується як на ст. 6(1)(f) GDPR (законний інтерес), так і на ст. 6(1)(a) GDPR (згода). Перед початком чату ви надаєте згоду на передачу ваших даних Google.

Під час передачі даних за межі ЄЕЗ Google спирається на стандартні договірні положення згідно зі ст. 46 GDPR.

Умови користування Google щодо журналювання даних Dialogflow наведено тут: Умови користування

Політику конфіденційності Google наведено тут: Політика конфіденційності

ChatGPT

Ми використовуємо ChatGPT для комунікації з клієнтами. Постачальником є OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Ірландія, https://openai.com.

Коли ви починаєте розмову з нами через наш застосунок і активується ChatGPT, ваші введення, включно з метаданими, передаються на сервери ChatGPT і там обробляються, щоб згенерувати відповідну відповідь.

Ми налаштували ChatGPT так, що введені персональні дані не використовуються для тренування алгоритму ChatGPT.

Наскільки в межах обробки персональні дані передаються до США, така передача ґрунтується на стандартних договірних положеннях Європейської комісії (ст. 46 GDPR). Деталі наведено тут: https://openai.com/policies/data-processing-addendum/.

Використання ChatGPT ґрунтується на ст. 6(1)(f) GDPR. Оператор застосунку має законний інтерес у якомога ефективнішій комунікації з клієнтами із застосуванням сучасних технічних рішень. Якщо було запитано відповідну згоду, обробка здійснюється виключно на підставі ст. 6(1)(a) GDPR та § 25 абз. 1 TDDDG. Згоду можна відкликати в будь-який час.

Додаткову інформацію наведено тут: https://openai.com/policies/privacy-policy.

Anthropic Claude

Для аналізу псевдонімізованих повідомлень чату підтримки (див. розділ «Аналіз повідомлень чату підтримки для внутрішніх цілей») ми використовуємо Claude – ШІ-сервіс компанії Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Ірландія, https://www.anthropic.com.

Компанії Anthropic передаються виключно попередньо псевдонімізовані повідомлення. Відомості, які уможливлюють безпосередню ідентифікацію (наприклад, ім'я, адреса електронної пошти, номер телефону, дані картки), видаляються або замінюються перед передачею. Інформація для зіставлення залишається в нас і не передається Anthropic.

Anthropic за договором зобов'язана не використовувати передані дані для тренування своїх ШІ-моделей.

Наскільки в межах обробки персональні дані передаються до США (обробка на інфраструктурі Anthropic, PBC, США, або її хмарних постачальників), така передача ґрунтується на стандартних договірних положеннях Європейської комісії (ст. 46 GDPR).

Правовою підставою є ст. 6(1)(f) GDPR (законний інтерес у покращенні нашої служби підтримки, див. вище). Ваше право на заперечення згідно зі ст. 21 GDPR поширюється і на цю обробку.

Додаткову інформацію наведено тут: https://www.anthropic.com/privacy.

Для аналізу ми використовуємо комп'ютерну програму Claude. Вона отримує повідомлення лише без тих відомостей, за якими можна впізнати відправника. Якщо в тебе картка Scout, твої чати повністю виключені з цього.

8. Wallet-сервіси та інші сервіси

Використання Apple Pay

Якщо ви активуєте та використовуєте віджет Apple Pay, ваші персональні дані передаються компанією Mastercard компанії Apple (Apple Distribution International, Holly Hill Industrial Estate, Cork, Ірландія) для обробки платежів.

Передаються такі дані: ім'я користувача, PAN, дата закінчення строку дії.

Ці дані передаються Apple у зашифрованому вигляді. Apple розшифровує дані, визначає платіжну мережу картки (Mastercard) і знову шифрує дані ключем, який може розшифрувати лише платіжна мережа. Apple зберігає анонімізовані дані про операції, зокрема приблизну суму покупки, назву розробника застосунку та застосунку, приблизні дату й час, а також відомість про те, чи була операція успішно завершена.

Передача ваших даних Apple ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Якщо ти обираєш Apple Pay, твої дані надсилаються Apple для обробки платежу.

Використання Google Pay

Якщо ви активуєте та використовуєте віджет Google Pay, ваші персональні дані передаються компанією Mastercard компанії Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, United States) для обробки платежів.

Передаються такі дані: ім'я, адреса, номер телефону, дані про операції (наприклад, назва торговця, місце, сума).

Передача ваших даних Google ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Якщо ти обираєш Google Pay, твої дані надсилаються Google для обробки платежу.

Використання Samsung Pay

Якщо ви активуєте та використовуєте віджет Samsung Pay, ваші персональні дані передаються компанією Mastercard компанії Samsung Electronics Co., Ltd. (416, Maetan 3-dong, Yeongtong-gu, Suwon-si, Gyeonggi-do 443-772, Корея) для обробки платежів.

Передаються такі дані: ім'я, номер картки, CVC, дані про операції (наприклад, назва торговця, місце, сума).

Передача ваших даних Samsung ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Якщо ти обираєш Samsung Pay, твої дані надсилаються Samsung для обробки платежу.

Використання Swatch Pay

Якщо ви активуєте та використовуєте віджет Swatch Pay, ваші персональні дані передаються компанією Mastercard компанії Fidesmo AB (Regeringsgatan 111, 111 39 Stockholm, Швеція) для обробки платежів.

Передаються такі дані: ім'я, адреса, номер телефону, дані про операції (наприклад, назва торговця, місце, сума).

Передача ваших даних Fidesmo AB ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Якщо ти обираєш Swatch Pay, твої дані надсилаються Fidesmo AB для обробки платежу.

Використання Fidesmo Pay

Якщо ви активуєте та використовуєте віджет Fidesmo Pay, ваші персональні дані передаються компанією Mastercard компанії Fidesmo AB (Regeringsgatan 111, 111 39 Stockholm, Швеція) для обробки платежів.

Передаються такі дані: ім'я, адреса, номер телефону, дані про операції (наприклад, назва торговця, місце, сума).

Передача ваших даних Fidesmo AB ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Якщо ти обираєш Fidesmo Pay, твої дані надсилаються Fidesmo AB для обробки платежу.

Використання Digiseq

Якщо ви активуєте та використовуєте віджет Digiseq, ваші персональні дані передаються компанією Mastercard компанії Digiseq Ltd. (International House, 64 Nile Street, London, N1 7SR, United Kingdom) для обробки платежів.

Передаються такі дані: ім'я, адреса, номер телефону, дані про операції (наприклад, назва торговця, місце, сума).

Передача ваших даних Digiseq ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Якщо ти обираєш Digiseq, твої дані надсилаються Digiseq для обробки платежу.

Використання Click to Pay

Якщо ви активуєте та використовуєте віджет Click to Pay, ваші персональні дані передаються компанії Mastercard (Mastercard Inc., 2000 Purchase Street, Purchase, NY 10577, USA), щоб уможливити обробку платежів.

Передаються такі дані: ім'я, адреса, номер телефону, номер картки (зашифрований).

Передача ваших даних Mastercard ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Додаткову інформацію про захист даних наведено в положеннях про конфіденційність Mastercard за адресою https://www.mastercard.com/global/click-to-pay/de-de/privacy-notice.html#dataTransfer.

Якщо ти обираєш Click to Pay, твої дані надсилаються Mastercard для обробки платежу.

Використання Garmin Pay

Якщо ви активуєте та використовуєте віджет Garmin Pay, ваші персональні дані передаються компанією Mastercard компанії Garmin (Garmin Deutschland GmbH, Parkring 35, 85748 Garching, Німеччина) для обробки платежів.

Передаються такі дані: ім'я, адреса, номер телефону, номер картки (зашифрований).

Передача ваших даних Garmin ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Додаткову інформацію про захист даних наведено в положеннях про конфіденційність Garmin за адресою https://www.garmin.com/de-DE/privacy/garminpay/.

Якщо ти обираєш Garmin Pay, твої дані надсилаються Garmin для обробки платежу.

Використання цифрових чеків

Якщо ви активуєте та використовуєте цифрові чеки, ми передаватимемо дані компанії Mastercard (Mastercard Inc., 2000 Purchase Street, Purchase, NY 10577, USA) для надання цифрових касових чеків.

Передаються такі дані: ім'я, номер картки (зашифрований), дата закінчення строку дії, CVC.

Передача ваших даних Mastercard ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Додаткову інформацію про захист даних наведено в положеннях про конфіденційність Mastercard за адресою https://mea.mastercard.com/en-region-mea/vision/privacy.html.

Якщо ти обираєш цифрові чеки, твої дані надсилаються Mastercard для обробки платежу.

Опрацювання чеків

Якщо ви хочете користуватися опціональною послугою опрацювання чеків, необхідні для цього дані про операції та чеки передаються компанії Privadsy UG як обробнику. Передача ґрунтується на ст. 6(1)(b) GDPR.

Якщо ти користуєшся послугою опрацювання чеків, дані твоїх чеків передаються Privadsy, щоб послуга працювала.

9. Поповнення передплаченого мобільного зв'язку

Для поповнення передплаченого мобільного зв'язку ми користуємося послугою нашого договірного партнера transact Elektronische Zahlungssysteme GmbH, Fraunhoferstr. 10, 82152 Martinsried, Німеччина. Якщо ви хочете скористатися цією послугою, ми передаємо ваш номер мобільного телефону компанії transact Elektronische Zahlungssysteme GmbH. Правовою підставою для цього є ст. 6(1)(b) GDPR (обробка з метою виконання договору).

10. Соціальні мережі

Ми ведемо загальнодоступні профілі в соціальних мережах. Конкретні соціальні мережі, якими ми користуємося, наведено нижче.

Соціальні мережі, як-от Facebook, X тощо, зазвичай можуть всебічно аналізувати вашу поведінку користувача, коли ви відвідуєте їхній вебсайт або вебсайт з інтегрованим контентом соціальних мереж (наприклад, кнопками «подобається» чи рекламними банерами). Відвідування наших сторінок у соціальних мережах запускає численні операції обробки, що стосуються захисту даних. Зокрема:

Якщо ви ввійшли до свого облікового запису в соціальній мережі та відвідуєте нашу сторінку в ній, оператор порталу соціальної мережі може пов'язати це відвідування з вашим обліковим записом. Однак ваші персональні дані за певних обставин можуть збиратися й тоді, коли ви не ввійшли до облікового запису або не маєте його у відповідній соціальній мережі. У цьому разі дані збираються, наприклад, через файли cookie, збережені на вашому кінцевому пристрої, або шляхом фіксації вашої IP-адреси.

За допомогою зібраних у такий спосіб даних оператори порталів соціальних мереж можуть створювати профілі користувачів, у яких зберігаються ваші вподобання та інтереси. Так вам може показуватися реклама на основі інтересів як усередині відповідної соціальної мережі, так і поза нею. Якщо ви маєте обліковий запис у відповідній соціальній мережі, реклама на основі інтересів може показуватися на всіх пристроях, на яких ви ввійшли або входили до облікового запису.

Зверніть також увагу, що ми не можемо відстежити всі операції обробки на порталах соціальних мереж. Тому, залежно від постачальника, оператори порталів соціальних мереж можуть здійснювати й інші операції обробки. Деталі наведено в умовах користування та політиках конфіденційності відповідних порталів соціальних мереж.

Правова підстава

Наші сторінки в соціальних мережах мають забезпечувати якомога ширшу присутність в інтернеті. Це є законним інтересом у розумінні ст. 6(1)(f) GDPR. Ініційовані соціальними мережами процеси аналізу можуть ґрунтуватися на інших правових підставах, які мають зазначати оператори соціальних мереж (наприклад, згода в розумінні ст. 6(1)(a) GDPR).

Контролер і реалізація прав

Коли ви відвідуєте одну з наших сторінок у соціальних мережах (наприклад, у Facebook), ми спільно з оператором платформи соціальної мережі відповідаємо за операції обробки даних, ініційовані цим відвідуванням. Свої права (доступ, виправлення, видалення, обмеження обробки, переносимість даних і скарга) ви можете за загальним правилом реалізувати як щодо нас, так і щодо оператора відповідного порталу соціальної мережі (наприклад, щодо Facebook).

Зверніть увагу, що, попри спільну відповідальність з операторами порталів соціальних мереж, ми не маємо повного впливу на операції обробки даних порталів соціальних мереж. Наші можливості значною мірою залежать від корпоративної політики відповідного постачальника.

Строк зберігання

Дані, зібрані безпосередньо нами через сторінку в соціальній мережі, видаляються з наших систем, щойно ви вимагаєте їх видалення, відкликаєте згоду на збереження або щойно зникає мета збереження даних. Збережені файли cookie залишаються на вашому кінцевому пристрої, доки ви їх не видалите. Обов'язкові законодавчі положення – зокрема строки зберігання – залишаються незмінними.

Ми не маємо впливу на строк зберігання ваших даних, які оператори соціальних мереж зберігають для власних цілей. Для деталей звертайтеся безпосередньо до операторів соціальних мереж (наприклад, через їхню політику конфіденційності, див. нижче).

Ваші права

Ви маєте право в будь-який час безоплатно отримати інформацію про походження, одержувачів і мету ваших збережених персональних даних. Ви також маєте право на заперечення, на переносимість даних і право на подання скарги до компетентного наглядового органу. Крім того, ви можете вимагати виправлення, видалення та, за певних обставин, обмеження обробки ваших персональних даних.

Соціальні мережі докладно

Facebook

Ми маємо профіль у Facebook. Постачальником цього сервісу є Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ірландія (далі – Meta). За інформацією Meta, зібрані дані передаються також до США та інших третіх країн.

Ми уклали з Meta угоду про спільну обробку (Controller Addendum). У цій угоді визначено, за які операції обробки даних відповідаємо ми, а за які – Meta, коли ви відвідуєте нашу сторінку у Facebook. Цю угоду можна переглянути за таким посиланням: https://www.facebook.com/legal/terms/page_controller_addendum.

Ви можете самостійно налаштувати параметри реклами у своєму обліковому записі. Для цього перейдіть за таким посиланням і ввійдіть: https://www.facebook.com/settings?tab=ads.

Передача даних до США ґрунтується на стандартних договірних положеннях Європейської комісії. Деталі наведено тут: https://www.facebook.com/legal/EU_data_transfer_addendum та https://de-de.facebook.com/help/566994660333381.

Деталі наведено в політиці конфіденційності Facebook: https://www.facebook.com/about/privacy/.

Компанія має сертифікацію за EU-US Data Privacy Framework (DPF). DPF – це домовленість між Європейським Союзом і США, покликана забезпечити дотримання європейських стандартів захисту даних під час обробки даних у США. Кожна сертифікована за DPF компанія зобов'язується дотримуватися цих стандартів захисту даних. Додаткову інформацію можна отримати в постачальника за таким посиланням: https://www.dataprivacyframework.gov/participant/4452

X (раніше Twitter)

Ми користуємося сервісом коротких повідомлень X (раніше Twitter). Постачальником є материнська компанія X Corp., 865 FM 1209, Building 2, Bastrop, TX 78602, USA. Контролером щодо обробки даних осіб, які проживають за межами США, є X Internet Unlimited Company (раніше Twitter International Unlimited Company), One Cumberland Place, Fenian Street, Dublin 2, D02 AX07, Ірландія.

Ви можете самостійно налаштувати параметри конфіденційності X у своєму обліковому записі. Для цього перейдіть за таким посиланням і ввійдіть: https://x.com/settings/account/personalization.

Передача даних до США ґрунтується на стандартних договірних положеннях Європейської комісії. Деталі наведено тут: https://gdpr.x.com/en/controller-to-controller-transfers.html.

Деталі наведено в політиці конфіденційності X (раніше Twitter): https://x.com/de/privacy.

Instagram

Ми маємо профіль в Instagram. Постачальником цього сервісу є Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ірландія.

Передача даних до США ґрунтується на стандартних договірних положеннях Європейської комісії. Деталі наведено тут: https://www.facebook.com/legal/EU_data_transfer_addendum та https://de-de.facebook.com/help/566994660333381.

Деталі щодо поводження з вашими персональними даними наведено в політиці конфіденційності Instagram: https://privacycenter.instagram.com/policy/.

Компанія має сертифікацію за EU-US Data Privacy Framework (DPF). DPF – це домовленість між Європейським Союзом і США, покликана забезпечити дотримання європейських стандартів захисту даних під час обробки даних у США. Кожна сертифікована за DPF компанія зобов'язується дотримуватися цих стандартів захисту даних. Додаткову інформацію можна отримати в постачальника за таким посиланням: https://www.dataprivacyframework.gov/participant/4452

YouTube

Ми маємо профіль на YouTube. Постачальником є Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ірландія. Деталі щодо поводження з вашими персональними даними наведено в політиці конфіденційності YouTube: https://policies.google.com/privacy?hl=uk.

Компанія має сертифікацію за EU-US Data Privacy Framework (DPF). DPF – це домовленість між Європейським Союзом і США, покликана забезпечити дотримання європейських стандартів захисту даних під час обробки даних у США. Кожна сертифікована за DPF компанія зобов'язується дотримуватися цих стандартів захисту даних. Додаткову інформацію можна отримати в постачальника за таким посиланням: https://www.dataprivacyframework.gov/participant/5780

TikTok

Ми маємо профіль у TikTok. Постачальником є TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Ірландія. Деталі щодо поводження з вашими персональними даними наведено в політиці конфіденційності TikTok: https://www.tiktok.com/legal/privacy-policy?lang=de.

TikTok передає дані до третіх країн, зокрема до Китайської Народної Республіки. У травні 2025 року ірландський наглядовий орган із захисту даних (DPC) вирішив, що ці передачі порушують ст. 46 GDPR, наклав штраф у розмірі 530 мільйонів євро та розпорядився призупинити передачі, якщо їх не буде вчасно приведено у відповідність до GDPR. TikTok оскаржив це рішення; у листопаді 2025 року Високий суд Ірландії призупинив виконання розпоряджень до ухвалення рішення в основному провадженні, за умови інформування користувачів про поточне провадження. Тому передачі даних до Китаю наразі тривають. Ми стежимо за розвитком подій і відповідно оновимо цей розділ.

11. Push-сповіщення

Під час користування нашим застосунком ми можемо звертатися до вас із push-сповіщеннями про нові акції, ваучери та персональні пропозиції від VIMpay. Для подальшого розвитку нашої пропозиції та для статистичних цілей ми фіксуємо, коли і як часто відкривається push-повідомлення. Цю інформацію ми збираємо в псевдонімізованій формі. Звісно, ви можете в будь-який час відмовитися від push-повідомлень у налаштуваннях застосунку. Надсилання push-сповіщень ґрунтується на нашому законному інтересі в розумінні ст. 6(1)(f) GDPR.

Ми іноді надсилаємо тобі сповіщення на телефон, наприклад про пропозиції. Ти можеш будь-коли вимкнути це в налаштуваннях застосунку.

12. Платіжні послуги

Styx Customer Frontend

Щоб клієнти, чий банк сам не пропонує вебінтерфейсу, могли ввійти (за потреби з двофакторною автентифікацією), вводити/отримувати операції чи інформацію про рахунок, PayCenter надає в застосунку VIMpay сервіс Styx Customer Frontend.

При цьому клієнт вводить дані для входу до свого банку. PayCenter обробляє ці дані та передає їх банку клієнта. Дані в жодному разі не зберігаються в PayCenter.

Передача ваших даних банку ґрунтується на ст. 6(1)(b) GDPR (обробка для виконання договору).

Якщо твій банк не має власної сторінки входу, ти можеш увійти через застосунок VIMpay. Твої банківські дані при цьому передаються безпосередньо твоєму банку і не зберігаються в нас.

13. Картка VIMpay Scout (субрахунок для неповнолітніх = користувачі Scout)

Наш застосунок призначений для власників основної картки (батьків/опікунів). Неповнолітні можуть користуватися ним у межах картки VIMpay Scout. Власник основної картки створює субрахунок і керує ним. Якщо ви підозрюєте, що дані неповнолітньої особи обробляються без дозволу, повідомте нас на адресу datenschutz@petafuel.de.

Про що йдеться?

Картка VIMpay Scout – це додаткова картка для користувача Scout, прив'язана до субрахунку власника основної картки (батьків або опікунів).
Контролерами є – як описано вище – PayCenter GmbH (установа електронних грошей, що випускає картки) та petaFuel GmbH (надання застосунку) як спільні контролери.
Загальні відомості (права, одержувачі, передачі до третіх країн, безпека тощо) застосовуються відповідно.
Користувач Scout не стає самостійною стороною договору, а є власником картки в межах договору з власником основної картки.

Які дані користувача Scout ми обробляємо?

• основні дані (ім'я, за наявності дата народження, родинний зв'язок із власником основної картки)
• дані про продукт/рахунок (ідентифікатор субрахунку, ідентифікатор картки, конфігурації, як-от ліміти, блокування MCC, дозволи для wallet)
• дані про використання/операції (час, сума, відомості про торговця, за потреби банкомат – як для карток загалом)
• технічні та комунікаційні дані, якщо користувач Scout користується власним виглядом застосунку (наприклад, ідентифікатор пристрою, версія застосунку, push-сповіщення)
• wallet-токени / платіжні дані під час користування Apple або Google Wallet (див. розділ «Wallet-сервіси»)

Звідки походять дані? (ст. 14 GDPR)

Як правило, ми отримуємо дані від власника основної картки під час оформлення картки Scout.
Якщо користувач Scout користується власним виглядом застосунку або сам надає відомості, застосовується ст. 13 GDPR (інформування в разі прямого збору).

Для яких цілей і на якій правовій підставі ми обробляємо дані?

• надання картки Scout і субрахунку (керування карткою, ліміти, блокування MCC, операції) – ст. 6(1)(b) GDPR (виконання договору з власником основної картки)
• виконання законодавчих обов'язків (наприклад, вимог щодо платіжних послуг, протидії відмиванню грошей чи наглядових вимог, запобігання шахрайству/зловживанням) – ст. 6(1)(c) GDPR
• безпека та запобігання зловживанням, ІТ-операції, журналювання – ст. 6(1)(f) GDPR (законний інтерес; зважування на користь захисту молоді / безпеки)
• користування wallet (наприклад, Apple Pay / Google Pay) – ст. 6(1)(b) GDPR; додатково діють умови відповідних постачальників wallet (див. розділ «Wallet-сервіси»).

Обробка понад це для аналітичних чи маркетингових цілей не здійснюється. Повідомлення чату підтримки від користувачів Scout виключені з аналізу за розділом «Функція чату».

Хто отримує дані?

Внутрішні підрозділи (робота з картками/застосунком), а також постачальники послуг і платіжні мережі (наприклад, Mastercard) та – за активованих wallet – Apple / Google / Samsung відповідно до чинних у них умов (див. розділ «Wallet-сервіси»).

Особливість: прозорість щодо користувачів Scout (ст. 12 GDPR)

Ми надаємо інформацію для користувачів Scout ясною, простою та відповідною до віку мовою – зокрема у спрощеній версії (зелений текст), доступній у застосунку VIMpay та на вебсайті.
Суб'єкти даних можуть реалізувати свої права щодо захисту даних самостійно або через власника основної картки.

Примітка – видимість для власників основної картки

Власник основної картки може переглядати та контролювати операції й налаштування субрахунку. Це зумовлено продуктом і слугує захисту молоді (§ 1626 Цивільного кодексу Німеччини, BGB).

Особливості wallet

Інтеграція у wallet-сервіси (наприклад, Apple Pay / Google Pay) залежить від політик постачальників і вікових вимог; функції можуть бути обмежені або призупинені.

Картка VIMpay Scout – це твоя власна картка, яка належить до рахунку твоїх батьків. Вони можуть керувати твоєю карткою та встановлювати ліміти.

Ми зберігаємо твоє ім'я, за наявності дату народження, налаштування твоєї картки та твої операції. Ці дані нам здебільшого надають твої батьки під час оформлення. Твої батьки можуть бачити твої операції та змінювати налаштування – це для твого захисту.

Ти (або твої батьки) можете будь-коли звернутися до нас, якщо маєте запитання або бажаєте отримати доступ, виправлення чи видалення.

14. Зміни до цієї Політики конфіденційності

Ми залишаємо за собою право в будь-який час змінювати цю Політику конфіденційності в межах, дозволених законом. Актуальну версію можна переглянути в застосунку в розділі «Правова інформація та захист даних».

Ми постійно працюємо над удосконаленнями, які можуть впливати й на цю Політику конфіденційності. Однак ми ніколи не змінюємо її, не повідомивши тебе про це.