Політика конфіденційності Cifrela

ПРОЄКТ від 18.10.2026 (доповнено 20.10.2026, 23.10.2026, 27.10.2026 і 28.10.2026) — перед публічним запуском потребує перевірки юристом.
Версія документів: 2026-10-28.

1. Хто ми

Сервіс Cifrela (застосунок для Android та iOS і сервер доставки повідомлень) надає ТОВ «СОФТСОЛЕДЖ АЙТІ» (код ЄДРПОУ 45418214, 79035, м. Львів, вул. Зелена, 109, оф. 444; далі — «ми»). Ми — володілець персональних даних у значенні Закону України «Про захист персональних даних» і контролер (controller) у значенні Регламенту (ЄС) 2016/679 (Загальний регламент про захист даних, GDPR).

Звернення щодо персональних даних: office@softsoledgeit.com.

Сервіс перебуває на етапі тестування: функції й ця Політика можуть змінюватися (див. розділ 11).

2. Головне коротко

• Ми не бачимо змісту ваших повідомлень. Повідомлення шифруються на вашому пристрої (наскрізне шифрування за стандартом MLS, RFC 9420; за замовчуванням — із постквантовим захистом) і розшифровуються лише на пристроях співрозмовників. Ключів для розшифрування в нас немає. Так само наскрізно зашифровано вкладення (фото й документи), ваш профіль (ім'я, посада, аватарка) і звук та відео дзвінків: сервер зберігає й пересилає лише шифротекст. Виняток — картка працівника в акаунті компанії (ім'я й посада для каталогу колег, розділ 3).
• Ми зберігаємо мінімум даних, потрібний, щоб доставляти повідомлення й захищати сервіс від зловживань. Час на сервері округлюємо (до доби чи хвилини), журнали сервера повідомлень не містять імен, ідентифікаторів груп та IP-адрес (про технічні журнали дзвінків — розділ 3).
• Без реклами, без продажу даних, без трекерів і аналітики. Застосунок не використовує сервіси Google (Firebase) чи інших третіх сторін для сповіщень і статистики; сайт і сторінки завантаження не використовують cookie.
• Ваша телефонна книга не залишає телефона. Якщо ви самі відкриєте «Запросити з телефонної книги» й дасте дозвіл, застосунок покаже контакти лише на телефоні — на сервер список не надсилається й не зберігається. Знайти вас у сервісі може лише той, хто вже знає ваше точне ім'я або email, — і лише якщо ви цього не вимкнули (розділ 3).
• Ви можете видалити акаунт у застосунку будь-коли: «Налаштування → Дані → Знищити всі дані».
• Боти й ШІ-помічник — лише там, куди їх додали люди. Бот — учасник чату зі своїми ключами: він бачить лише чати, куди його додали, і не може написати першим тому, хто його не додавав. Повідомлення, адресовані ШІ-помічнику (згадка «@помічник» чи відповідь на його повідомлення), разом з останніми до 30 повідомленнями цього чату надсилаються постачальнику ШІ — Anthropic (США); у такому чаті завжди видно банер, а компанія може помічника заборонити.

3. Які дані ми обробляємо

Дані на вашому пристрої (ключі шифрування, історія переписки, контакти, звірені за QR-кодом, PIN, налаштування) зберігаються лише на ньому й нам не передаються. Файл даних зашифровано ключем, який зберігається в захищеному сховищі системи (Android Keystore, iOS Keychain). Резервне копіювання в хмару (Google, iCloud) для цих даних вимкнено, тож на новий пристрій вони не переносяться. Розблокування відбитком чи обличчям (якщо ви ввімкнули його в «Налаштування → Приватність і безпека») перевіряє система телефона: застосунок біометричних даних не отримує, а ключ розблокування зберігається в захищеному сховищі системи й перестає діяти, щойно на телефоні додають новий відбиток чи обличчя.

Сповіщення без Google. На Android сповіщення працюють без служб Google (Firebase): на телефоні працює служба застосунку, яка тримає з'єднання з нашим сервером окремим токеном, придатним лише для очікування нових подій (на сервері — тільки його хеш). Служба не має ключів шифрування й не бачить повідомлень: сервер повідомляє лише «є нове», а сповіщення показує загальний текст «Нове повідомлення». Ім'я відправника й текст з'являються, лише якщо ви ввімкнули це в «Налаштування → Сповіщення» і телефон розблоковано, — їх розшифровує сам застосунок на телефоні. Режими: «Миттєво» (постійне з'єднання), «Економно» (перевірка приблизно раз на 15 хвилин) і «Вимкнено». Відкритий застосунок так само чекає на нові події одним довгим запитом, а не опитує сервер щокілька секунд. Сервер при цьому бачить, що пристрій на зв'язку, і момент, коли його будить нова подія, але не записує цього ні на диск, ні в журнали (час останньої активності таке з'єднання не оновлює).

Пошук за точним іменем або email. Глобального каталогу користувачів і пошуку за частиною імені немає. Людина, яка вже знає ваше точне ім'я (без урахування регістру літер) або вашу адресу email, може знайти вас у «Контактах» і отримує у відповідь лише ваше ім'я та позначку «підтверджено / не підтверджено» — ні адреси, ні дат, ні відомостей про активність. Адреса порівнюється через ключовий хеш (HMAC): відкритих адрес для пошуку сервер не використовує. Типово обидва способи ввімкнено; вимкнути кожен можна будь-коли в «Налаштування → Приватність і безпека → Хто може мене знайти». Вимкнення ховає вас лише від пошуку: додати вас за QR-кодом, запрошенням чи в групу за точним іменем можна й далі. Пошукові запити не записуються ні на диск, ні в журнали; для обмеження частоти сервер тримає в оперативній пам'яті до доби, що шукали (ім'я або ключовий хеш адреси).

Запрошення на email. Якщо ви запрошуєте знайому людину листом, її адресу вводите ви (або вибираєте з контактів телефона, див. нижче). Сервер використовує адресу один раз — щоб надіслати через нашого поштового розпорядника (Brevo) лист фіксованого змісту з вашим іменем і посиланням-запрошенням — і відкрито її не зберігає: до надсилання адреса перебуває лише в оперативній пам'яті, у примітці запрошення залишається маска (a***@gmail.com), а для обмежень — ключовий хеш адреси в оперативній пам'яті до доби. Ліміти: не більше одного листа на ту саму скриньку на добу від усіх користувачів разом, а також ліміти на відправника, IP-адресу й увесь сервер. Якщо на цю адресу вже є акаунт, лист лише повідомляє, що вас кличуть, — без посилання. Надсилайте запрошення лише людям, яких знаєте; той, кому ви написали, може просто проігнорувати лист — більше листів без нового запрошення він не отримає.

Контакти телефона. Кнопка «Вибрати з контактів» відкриває системний список контактів (Android чи iOS) без дозволу на доступ до контактів: застосунок отримує лише той один номер чи email, який ви вибрали. Кнопка «Запросити з телефонної книги» — лише якщо ви її натиснете й дасте дозвіл (Android — «Контакти», iOS — повний або обмежений доступ до вибраних вами контактів) — показує в застосунку список ваших контактів з іменами, номерами й адресами email, щоб ви вибрали, кого запросити. Цей список обробляється лише на телефоні: застосунок не надсилає його на сервер, не зберігає (він існує лише в пам'яті, поки відкрито екран) і нікому не передає; дозвіл можна відкликати в налаштуваннях телефона. Номер залишається на телефоні: SMS чи повідомлення в іншому застосунку з посиланням-запрошенням надсилаєте ви самі. Email іде на сервер, лише якщо ви підтвердите надсилання листа-запрошення (як описано вище).

Вкладення, профіль і аватарка. Файл шифрує ваш телефон новим випадковим ключем; на сервер іде лише шифротекст, а ключ — усередині наскрізно зашифрованого повідомлення, тож прочитати файл можуть лише учасники чату. На сервері шифротекст зберігається до 30 днів (у чаті з таймером повідомлень — не довше за таймер), далі видаляється автоматично; «Видалити для всіх» видаляє й файл. Ім'я та прізвище, посаду й аватарку профілю застосунок розсилає у ваші чати так само наскрізно зашифрованими (аватарка — як вкладення). Виняток — акаунти компаній: щоб колеги бачили одне одного в «Контактах» і «Компанії» ще до спільного чату, ім'я та посада з профілю зберігаються на сервері в картці працівника, яку бачать колеги (якщо власник компанії ввімкнув каталог колег) і власник компанії; аватарка в картку не потрапляє. В особистих акаунтах картки немає.

Дзвінки. Дзвінок 1:1 типово йде лише через релей TURN нашого сервера, тож співрозмовник не бачить вашої IP-адреси; якщо вимкнути «Налаштування → Приватність і безпека → Приховувати мою IP-адресу в дзвінках», телефони з'єднуються напряму й бачать IP-адреси одне одного. Якщо релей на сервері недоступний, застосунок попереджає про це й пропонує подзвонити напряму: після вашої згоди телефони так само з'єднуються напряму, і співрозмовник бачить вашу IP-адресу. У груповому дзвінку телефони з'єднуються із сервером групових дзвінків, а не між собою, тож IP-адрес учасників одне одному не видно. Звук і відео шифруються на телефонах; ключі узгоджуються через наскрізно зашифрований чат, і ні сервер, ні релей їх не мають. Розмов ми не записуємо — це технічно неможливо.

Ми не збираємо: номер телефону, контакти з адресної книги (вони не залишають телефона), біометричні дані, геолокацію, рекламні ідентифікатори, вміст повідомлень, файлів і дзвінків (крім повідомлень, які ви самі адресуєте ботам чи ШІ-помічнику, — див. «Боти й ШІ-помічник»).

Боти й ШІ-помічник. Бот — такий самий учасник чату, як людина: у нього свої ключі шифрування й сертифікат з позначкою «бот», і він бачить лише чати, куди його додали люди, і лише повідомлення з моменту додавання. Застосунок скрізь позначає бота словом «бот». Ботів три види: системні (сповіщення з наших систем — WiTime CRM і ClinicKey), боти компаній (їх створює власник корпоративного акаунта для систем своєї компанії) і ШІ-помічник. Повідомлення, які ви пишете боту, розшифровує середовище ботів і передає в систему, якій належить бот: системного — у WiTime CRM чи ClinicKey, бота компанії — у систему цієї компанії. Щоб зв'язати акаунт у такій системі з Cifrela, ви самі пишете боту одноразовий код із неї («Підключити Cifrela»); система отримує цей код і ваше ім'я в Cifrela. Сервер пам'ятає, хто з людей додавав бота в чат, — лише цим людям бот може написати першим. ШІ-помічник відповідає лише тоді, коли до нього звернулися: згадкою «@помічник» або відповіддю на його повідомлення. Лише тоді постачальнику ШІ — Anthropic, PBC — надсилаються ваш запит, імена авторів і останні до 30 повідомлень цього чату з моменту, коли помічника додали; більше нічого (ні ключів, ні інших чатів, ні email). Додати помічника в чат може лише людина після попередження; у такому чаті постійно видно банер «У чаті є ШІ-помічник»; вилучити помічника з чату можна, як і будь-якого учасника. Щойно помічника додали, він сам першим повідомленням попереджає всіх учасників чату (зокрема тих, у кого старша версія застосунку без банера), що адресовані йому повідомлення передаються Anthropic. Відповіді помічника генерує модель штучного інтелекту — вони можуть бути неточними; рішень щодо вас на їх основі ми не ухвалюємо.

4. Підстави обробки

• Укладення й виконання договору (Договір публічної оферти) — дані, без яких сервіс не працює: ім'я, ключі, хеш токена, членство в групах, доставка повідомлень і вкладень, профіль і картка працівника компанії, квитанції доставки, дзвінки, запрошення, сповіщення, точний пошук; ст. 11 Закону, ст. 6(1)(b) GDPR.
• Ваша згода — email і реєстрація за ним; ст. 11 Закону, ст. 6(1)(a) GDPR. Згоду можна відкликати, видаливши акаунт або написавши нам; це не впливає на законність обробки до відкликання.
• Законні інтереси — безпека сервісу й захист від зловживань: обмеження частоти запитів, блокування порушників, резерв імен видалених акаунтів; а також один лист-запрошення на адресу, яку вказав користувач (його інтерес — запросити знайому людину; обробку обмежено: фіксований текст, адресу відкрито не зберігаємо, не більше одного листа на скриньку на добу); ст. 11 Закону, ст. 6(1)(f) GDPR. Пошук за вашим ім'ям чи email ви можете вимкнути в налаштуваннях у будь-який момент.
• Виконання вимог закону — якщо цього вимагає законодавство; ст. 6(1)(c) GDPR. Зміст повідомлень ми передати не можемо, бо не маємо до нього доступу.
• Боти й ШІ-помічник — договір (доставка повідомлень ботам, яких ви чи ваші колеги самі додали в чат) і ваша згода на передачу постачальнику ШІ: ви самі звертаєтеся до помічника в чаті, куди його додали після попередження й де видно банер; ст. 11 Закону, ст. 6(1)(a) і (b) GDPR. Захист від спаму (хто додавав бота) — законні інтереси.

5. Хто має доступ до даних і кому вони передаються

• Hetzner Online GmbH (Гунценгаузен, Німеччина) — хостинг сервера в дата-центрі в Німеччині (ЄС); розпорядник, який обробляє дані за нашим дорученням.
• Brevo (Sendinblue SAS, Франція, ЄС) — розпорядник, який лише надсилає листи з кодами підтвердження, службові листи й листи-запрошення на адреси, які вказали користувачі. Brevo отримує адресу одержувача й текст листа та зберігає журнали доставки відповідно до своїх умов обробки даних.
• Anthropic, PBC (Сан-Франциско, США) — розпорядник, постачальник моделі для ШІ-помічника (Messages API): отримує лише повідомлення, адресовані помічнику, і останні до 30 повідомлень того чату (з іменами авторів), обробляє їх, щоб згенерувати відповідь, і зберігає лише в межах строку й мети, визначених його умовами для комерційного API, без використання для навчання моделей. Передача до США — на умовах договору про обробку даних зі стандартними договірними умовами, затвердженими Європейською Комісією. Боти компаній передають адресовані їм повідомлення в системи компаній, які їх створили: для цих даних компанія — окремий володілець (контролер).
• Інші користувачі бачать лише:
  • співрозмовники в чатах і групах — ваше ім'я, відкритий ключ із сертифікатом і позначку «підтверджено / не підтверджено», а також ваш профіль (ім'я та прізвище, посада, аватарка), якщо ви його заповнили, і квитанції доставки, якщо ви їх не вимкнули;
  • співрозмовник у дзвінку 1:1 — вашу IP-адресу, лише якщо ви вимкнули «Приховувати мою IP-адресу в дзвінках» або якщо релей на сервері був недоступний і ви погодилися на запропонований застосунком дзвінок напряму;
  • той, хто знає ваше точне ім'я або email, — у результаті пошуку ваше ім'я й позначку «підтверджено / не підтверджено» (якщо ви не вимкнули пошук); вашої адреси йому не показуємо;
  • той, кого ви запросили листом, — ваше ім'я в листі;
  • той, хто вас запросив, і ті, кого запросили ви, — одне одного в контактах із датою реєстрації (з точністю до доби);
  • колеги в компанії — ваше ім'я користувача, ім'я та прізвище й посаду з картки працівника та роль у каталозі колег, якщо власник компанії його ввімкнув; власник компанії — також картку працівника, дату реєстрації й приблизну давність активності («за минулу добу», «цього тижня», «давно»).
• Наші уповноважені працівники (адміністратори сервісу) бачать службові дані з розділу 3 без змісту повідомлень, email — лише замаскованим. Адміністративна панель недоступна з інтернету, вхід до неї — лише через захищений канал. Дії адміністраторів (вхід, блокування й видалення акаунтів, зміни налаштувань тощо) записуються в журнал: хто, що, коли й над яким акаунтом — без змісту й без значень налаштувань; журнал бачить лише головний адміністратор.
• Органам державної влади — лише на підставах і в порядку, встановлених законом.
• Ми не продаємо й не передаємо дані рекламодавцям, брокерам даних чи для аналітики.

Сервер і дані розміщено в ЄС (Німеччина). Передача персональних даних з України до держав ЄС відповідає ст. 29 Закону: ці держави забезпечують належний захист персональних даних. Ми — компанія з України: ви надаєте дані безпосередньо нам, а наші уповноважені працівники адмініструють сервер дистанційно.

6. Скільки зберігаємо

• Дані акаунта (ім'я, ключі, сертифікат, хеш токена, email, статус, компанія й роль, запис про згоду) — доки ви не видалите акаунт або доки його не видалить власник компанії (для корпоративних акаунтів) чи ми — у випадках, передбачених Договором публічної оферти. Самостійно неактивні акаунти зараз не видаляються, а видалення застосунку з телефона акаунт на сервері не видаляє: якщо ви більше не користуєтеся сервісом, видаліть акаунт у застосунку або напишіть нам.
• Зашифровані повідомлення, службові записи груп і запрошення до груп — 30 днів із моменту надходження на сервер, потім видаляються автоматично. Сервер не відстежує, хто вже отримав повідомлення, тому зберігає їх 30 днів незалежно від доставки. Групу, у якій понад 30 днів не було жодного запису, видаляємо разом із переліком учасників.
• Зашифровані вкладення й аватарки — до 30 днів із моменту завантаження (у чаті з таймером повідомлень — не довше за таймер), потім видаляються автоматично; раніше — якщо автор видалить повідомлення для всіх або видалено групу чи акаунт автора.
• Картка працівника компанії — доки ви не зміните чи не приберете ім'я й посаду або доки не видалено акаунт.
• Канали компанії — доки канал не видалено (власником компанії чи тим, хто його створив) або доки не видалено компанію; прохання приєднатися — доки адміністратор не додасть вас, але не довше 7 днів.
• Дзвінки: службова позначка вхідного дзвінка — в оперативній пам'яті сервера до 60 секунд; сигнали дзвінка в чаті — як зашифровані повідомлення (до 30 днів); тимчасові паролі до релея й доступи до кімнати групового дзвінка сервер не зберігає (вони діють до 2 годин; для обмеження частоти — лічильники в оперативній пам'яті до години); технічні журнали релея й SFU (можуть містити IP-адреси, а журнали SFU — ще й модель телефона, версію ОС, тип мережі й версію бібліотеки LiveKit) — один файл до 1 МБ, нові записи витісняють старі.
• Після видалення акаунта:
  • запис акаунта, ключі, сертифікат, хеш токена, email, участь у групах і запис про згоду видаляються одразу, ваші активні запрошення відкликаються;
  • повідомлення, які ви вже надіслали в групи, лишаються в зашифрованому вигляді для інших учасників до спливу 30-денного строку, але ваше ім'я в них, у запрошеннях і в даних груп замінюється знеособленою позначкою;
  • рік зберігається лише ключовий хеш (HMAC) імені з датою видалення, щоб ніхто не зайняв ваше ім'я й не видавав себе за вас; на ваш запит ми можемо звільнити ім'я раніше;
  • якщо акаунт видалено разом із компанією чи власником компанії, 30 днів зберігається хеш токена доступу з причиною видалення, щоб застосунок на вашому пристрої дізнався про видалення й знищив локальні дані.
• Запрошення — до 30 днів після спливу строку дії.
• Код підтвердження email — 15 хвилин; технічні лічильники для обмеження кількості листів — до 1 години.
• Адреса, на яку ви надіслали запрошення, — лише в оперативній пам'яті до надсилання листа; лічильники листів-запрошень і пошуку (зокрема ключові хеші адрес) — в оперативній пам'яті до доби.
• Зашифровані резервні копії стану сервера — до 14 днів.
• Журнал дій адміністраторів — не довше року (не більше 5000 останніх записів).
• Боти: стан бота в середовищі ботів (його ключі й повідомлення чатів, куди його додали) — зашифрованим, доки бота не видалено; хто додавав бота в чат — доки бота чи ваш акаунт не видалено; лічильники запитів до ШІ-помічника — до кінця доби (UTC), без змісту. Що зберігає система, якій належить бот (WiTime CRM, ClinicKey, система компанії), — за її правилами; Anthropic — за його умовами для комерційного API.

7. Ваші права

Відповідно до ст. 8 Закону України «Про захист персональних даних» і ст. 15–22 GDPR ви маєте право:

• знати, які дані ми обробляємо, навіщо, звідки вони і де зберігаються, та отримати до них доступ;
• вимагати виправлення неточних даних;
• вимагати видалення даних: «Налаштування → Дані → Знищити всі дані» видаляє акаунт на сервері й усі дані на пристрої. Якщо пристрою вже немає або акаунт заблоковано, напишіть нам: оскільки без пристрою ми не можемо однозначно встановити власника акаунта, ми можемо попросити підтвердити запит (наприклад, листом з адреси, указаної під час реєстрації);
• обмежити обробку чи заперечити проти неї;
• отримати надані вами дані в структурованому машиночитному форматі (переносимість);
• відкликати згоду;
• подати скаргу до Уповноваженого Верховної Ради України з прав людини, до наглядового органу з захисту даних у державі ЄС, де ви проживаєте чи працюєте або де сталося порушення, чи до суду.

Запити надсилайте на office@softsoledgeit.com; відповідаємо протягом одного місяця (не пізніше ніж за 30 календарних днів). Зміст повідомлень ми надати не можемо — його в нас немає.

Ми не ухвалюємо рішень, що ґрунтуються виключно на автоматизованій обробці, і не здійснюємо профілювання.

8. Безпека

Наскрізне шифрування MLS, за замовчуванням — із постквантовим гібридом (ML-KEM-768 + X25519); регулярне автоматичне оновлення ключів у групах; вирівнювання розміру повідомлень і вкладень; шифрування вкладень на телефоні (XChaCha20-Poly1305) і медіа дзвінків (DTLS-SRTP, у групових дзвінках — ще й шифрування кадрів ключем групи); захищене з'єднання TLS (застосунок використовує TLS 1.3 і довіряє лише сертифікатам Let's Encrypt); шифрування даних на пристрої (ключ у системному сховищі ключів) і на сервері (стан сервера й резервні копії зашифровано); журнали сервера повідомлень без імен, ідентифікаторів груп, IP-адрес і вмісту; адміністративний доступ лише через захищений канал. Жодна система не дає абсолютного захисту. Про інциденти, що зачіпають ваші дані, ми повідомимо вас і відповідний орган із захисту даних у випадках і строки, встановлені законодавством (за GDPR — наглядовий орган протягом 72 годин).

9. Діти

Сервіс призначено для осіб, яким виповнилося 16 років. Якщо ви молодші — користуйтеся ним лише за згодою батьків або інших законних представників.

10. Корпоративні акаунти

Для акаунтів компаній власник корпоративного акаунта компанії створює запрошення для працівників, бачить їхній список (ім'я користувача, картка працівника — ім'я та прізвище й посада, роль, дата реєстрації, приблизна давність активності), може вказати ім'я й посаду працівника в запрошенні, вмикає чи вимикає каталог колег, може вилучити працівника (його акаунт видаляється) і видалити компанію разом з усіма її акаунтами. Зміст переписки працівників власник компанії, як і ми, не бачить. Для компаній можуть діяти окремі умови, зокрема договір про обробку персональних даних працівників.

Канали компанії. Власник компанії й призначені ним адміністратори каналів можуть створювати канали для оголошень у межах компанії: писати в канал можуть лише його адміністратори, працівники читають, реагують і голосують в опитуваннях. Назву каналу, його адміністраторів і прохання приєднатися сервер зберігає без наскрізного шифрування (як картку працівника) — їх бачать працівники компанії; зміст дописів, файлів і опитувань наскрізно зашифрований, і ні ми, ні власник компанії його не бачимо. Голоси в опитуваннях бачать учасники чату (у наскрізно зашифрованому чаті таємного голосування бути не може); сервер голосів не бачить.

Боти компанії й ШІ-помічник. Власник компанії може створювати ботів компанії (для інтеграції з системами компанії), вимикати й видаляти їх і заборонити ШІ-помічника в чатах компанії — тоді його не можна додати в чати компанії, а в чатах, де він уже є, він не відповідає людям компанії.

11. Зміни Політики

Про суттєві зміни повідомимо в застосунку заздалегідь; нова версія діє з дати, зазначеної вгорі. Коли змінюється редакція документів, застосунок показує нову редакцію й просить погодитися з нею; сервер записує версію й час нової згоди (за годинником пристрою, без IP-адреси), і цей запис замінює попередній. Поки ви не погодилися, сервіс працює, як і раніше, а застосунок нагадує про нову редакцію під час запуску. Якщо ви не згодні з новою редакцією — можете видалити акаунт.

Версія документів: 2026-10-28