Політика конфіденційності застосунку «Lokavi Home»

Версія 2.2.1 – опублікована 9 листопада 2026 р. Змінює версію 2.2 виключно щодо скарг на вміст, згенерований AI, поданих кнопкою «Поскаржитися» в Застосунку (розділ 2 – новий рядок, розділ 5d – новий абзац, розділ 6 – строк зберігання). Решта змісту без змін. Версія 2.2.1 застосовується з дня опублікування.

Контактні дані Оператора оновлено 7 листопада 2026 р. (редакційна зміна – решта тексту без змін).

1. Хто відповідає за дані

Застосунок «Lokavi Home» (далі: Застосунок) надає Sebastian Jabłoński spółka komandytowa з місцезнаходженням у Варшаві, ul. Bonifraterska 17, 00-203 Warszawa, внесене до реєстру підприємців KRS під номером 0000855880, NIP 5252833038, REGON 386820681 (далі: Оператор). Контакт із питань персональних даних: privacy@lokavi.pl.

Застосунок слугує для організації роботи в приватному домі: планування завдань для домашніх працівників, реєстрів, звітів, чату, харчування та термінових прохань «негайно». Кожен дім у Застосунку має адміністратора (особу, яка його створила). Щодо даних домашніх працівників та інших осіб, яких адміністратор дому вносить до Застосунку з цілями, що виходять за межі суто особистої або домашньої діяльності, контролером даних у розумінні ЗРЗД є адміністратор дому, а Оператор обробляє їх від його імені як обробник на підставі договору доручення обробки (Додаток 2 до регламенту). Коли адміністратор дому користується Застосунком виключно з особистою або домашньою метою, Оператор застосовує до цих даних ті самі правила та заходи захисту. Контролером даних є Оператор щодо: даних облікового запису (адреса e-mail, пароль, журнали входу), безпеки та журналів, балансу, абонементу й платежів, маркетингу (розділ 5a), повідомлень про вміст (розділ 5d), а також агента із закупівель, зчитування списку з фото чи диктування та вибору магазину для позицій списку покупок (розділ 5b).

2. Які дані обробляються

Застосунок не отримує геолокації, не читає контактів чи файлів із телефона й не вмикає камеру без дії користувача. Пропозиції та маркетингову інформацію Застосунок показує й надсилає виключно особам, які на це погодилися, а профілювання з метою добору пропозицій здійснюється виключно за згодою (розділ 5a). Дані платіжних карток у Застосунку не зберігаються – агент із закупівель використовує спосіб оплати, збережений в обліковому записі магазину адміністратора, а поповнення балансу агента й абонемент ШІ обслуговує Stripe (дані картки або BLIK вводяться виключно на сторінці оплати Stripe).

2a. Вхід через Apple і Google

До Застосунку можна увійти через «Увійти через Apple» або «Увійти через Google» (у застосунку на Android – лише Google). Це зручна альтернатива паролю – користування нею добровільне, а вхід за PIN-кодом, QR-кодом або адресою e-mail і паролем і далі працює.

• Які дані надходять. Після входу Apple або Google передає Застосунку: ідентифікатор облікового запису (постійний, присвоєний постачальником), адресу e-mail разом з інформацією, чи її підтверджено (Apple – також чи це замінна адреса), а також ім'я (якщо ви його надасте; у Google зазвичай ім'я та прізвище), яке Застосунок зберігає під час першого входу. Google, крім того, передає адресу фото профілю; вона зберігається разом із даними облікового запису, але Застосунок її не використовує й не показує. Входячи через Apple, ви можете приховати свою справжню адресу e-mail; тоді Apple передасть замінну адресу (зазвичай у вигляді …@privaterelay.appleid.com), а повідомлення, надіслані на цю адресу, Apple може пересилати на вашу скриньку. Застосунок не просить доступу до пошти, контактів, календаря чи файлів у вашому обліковому записі Apple або Google.
• Паролі. Застосунок ніколи не отримує пароля до облікового запису Apple чи Google – пароль ви вводите виключно в постачальника.
• Навіщо. Дані слугують для вашого входу в Застосунок і для поєднання облікового запису з вашою особою в домі. Адміністратор дому або координатор може внести для особи її адресу e-mail; якщо адреса, підтверджена Apple чи Google, така сама, обліковий запис поєднується з цією особою автоматично. Можна також поєднати обліковий запис самостійно: після входу за PIN-кодом або QR-кодом ви обираєте «Пов'язати», а потім входите через Apple або Google; якщо для вашої особи ще немає адреси e-mail, Застосунок зберігає туди підтверджену адресу цього облікового запису (також замінну адресу Apple).
• Правова підстава. Виконання договору про користування Застосунком (ст. 6 ч. 1 п. b ЗРЗД) – так само як і для інших даних облікового запису (розділ 3). Контролером цих даних є Оператор; адреса e-mail, внесена для особи адміністратором дому або координатором, обробляється у спосіб, описаний у розділі 1.
• Apple і Google як окремі контролери. Під час входу Apple і Google не діють від імені Оператора: вони надають власну послугу входу й самі визначають цілі та способи обробки даних, потрібних для неї, – відповідно до власних політик конфіденційності (Apple, Google). Постачальник може знати, що ви входите до Застосунку «Lokavi Home».
• Як від'єднати вхід. Обліковий запис Apple, Google або e-mail можна від'єднати від особи в домі в Застосунку: це робить адміністратор дому (Налаштування → Особи), координатор (для працівників і домочадців) або сама особа (Більше → Мій обліковий запис → «Від’єднати обліковий запис»). Від'єднати обліковий запис можна лише для особи, яка має встановлений PIN-код, – щоб ніхто не втратив доступу до дому. Після від'єднання сеанси входу цим обліковим записом для цієї особи видаляються, а вхід за PIN-кодом і QR-кодом і далі працює. Незалежно від цього ви будь-коли можете відкликати доступ Застосунку в налаштуваннях свого облікового запису Apple (Вхід через Apple) або Google (пов'язані сторонні застосунки). Відкликання доступу в постачальника не видаляє облікового запису в Застосунку. Обліковий запис разом зі збереженим ідентифікатором Apple/Google та адресою e-mail ви видаляєте у спосіб, описаний у розділі 7 (Видалення облікового запису); видалення облікового запису також очищує адресу e-mail, збережену для вашої особи в домі, а сам запис особи підлягає правилам зберігання з розділу 6.

3. Правові підстави

• виконання договору про користування Застосунком (ст. 6 ч. 1 п. b ЗРЗД) – обліковий запис, вхід, функції Застосунку;
• законний інтерес Оператора (ст. 6 ч. 1 п. f ЗРЗД) – безпека, запобігання зловживанням, технічна статистика;
• щодо даних працівників дому – підстави, зазначені адміністратором дому в інформаційному повідомленні, яке працівник приймає в Застосунку (виконання договору, законний інтерес адміністратора дому);
• згода (ст. 6 ч. 1 п. a ЗРЗД) – push-сповіщення; згоду можна відкликати в налаштуваннях телефона;
• виконання договору про послуги ШІ, укладеного з адміністратором дому (ст. 6 ч. 1 п. b ЗРЗД) – передавання даних постачальникові моделі ШІ та пошуковику пропозицій у межах агента із закупівель, зчитування списку та вибору магазину (розділ 5b); щодо інших осіб, чиї дані можуть бути видимі на знімках екрана магазину або на фото списку (напр. одержувач доставки, домочадці), – законний інтерес Оператора й адміністратора дому, що полягає у виконанні доручення щодо покупок (ст. 6 ч. 1 п. f ЗРЗД);
• переклад вмісту, внесеного в домі (розділ 5e), – виконання договору про користування Застосунком щодо осіб, які ним користуються (ст. 6 ч. 1 п. b ЗРЗД), а щодо авторів вмісту без облікового запису та осіб, про яких ідеться у вмісті, – законний інтерес Оператора й домочадців, що полягає в забезпеченні можливості порозумітися особам, які розмовляють різними мовами (ст. 6 ч. 1 п. f ЗРЗД); щодо даних працівників та інших осіб, контролером даних яких є адміністратор дому (розділ 1), – підстава, визначена адміністратором дому, а Оператор діє за його дорученням;
• виконання договору (ст. 6 ч. 1 п. b ЗРЗД) – баланс агента, поповнення, абонемент ШІ, плата за запуски та її повернення, відмова від договору й повернення внесених коштів, транзакційні e-mailи щодо балансу, підтвердження платежів і відмови;
• юридичний обов'язок Оператора (ст. 6 ч. 1 п. c ЗРЗД) – зберігання документації платежів, рахунків-фактур і обліку продажів, що вимагається податковим законодавством і законодавством про бухгалтерський облік, підтвердження укладення договору та прийняття відмови (Закон про права споживачів), розгляд повідомлень про вміст і оскаржень (Регламент про цифрові послуги);
• законний інтерес Оператора (ст. 6 ч. 1 п. f ЗРЗД) – запис про наданий стартовий подарунок (щоб подарунок надавався один раз на обліковий запис), зберігання заяв, зроблених перед оплатою, як доказу, а також встановлення й пред'явлення вимог, пов'язаних із платежами;
• маркетинг продуктів і послуг Оператора та партнерів, профілювання з метою добору пропозицій і передавання даних партнерам — згода (ст. 6 ч. 1 п. a ЗРЗД), окремо для кожної цілі та каналу зв'язку;
• згода адміністратора дому (ст. 6 ч. 1 п. а) GDPR) – сканування дому, тобто передавання зображень інтер’єрів моделі ШІ (розділ 5i); згоду можна відкликати в будь-який час, як описано в розділі 5i.
• віртуальний керуючий ШІ (розділ 5j) – щодо даних працівників та інших осіб, контролером яких є адміністратор дому (розділ 1), – підстава, визначена адміністратором дому (виконання договору, на підставі якого виконується робота, або його законний інтерес в організації роботи в домі), а Оператор діє за його дорученням; щодо даних адміністратора дому – виконання договору про користування Застосунком (ст. 6 ч. 1 п. b ЗРЗД).

4. Одержувачі даних

Копію стандартних договірних положень можна отримати, написавши Операторові. Дані не продаються. Окрім одержувачів, перелічених у цьому розділі, Оператор надає дані виключно партнерам Lokavi Home і лише дані тих осіб, які погодилися на передавання даних партнерам (розділ 5a), в обсязі цієї згоди: ім'я, адреса e-mail і – якщо його вказано – номер телефону. Дані можуть бути розкриті уповноваженим органам, якщо цього вимагає закон.

5. Хто бачить дані в домі

Адміністратор дому та особи з правами адміністратора бачать усі дані свого дому. Координатор бачить завдання, графік, реєстри та звіти. Працівник бачить свої завдання, реєстри, чат і те, що стосується його роботи. Домочадець бачить харчування, речі, покупки, термінові прохання «негайно» і чат. Дані одного дому не видно іншим домам.

5a. Маркетинг і згоди

Маркетингові згоди є добровільними, незалежними одна від одної і не є умовою створення облікового запису чи користування Застосунком. Оператор просить окремої згоди на кожну з наведених нижче цілей і каналів зв'язку.

• Пропозиції Lokavi Home – надсилання інформації про продукти й послуги Lokavi Home, зокрема про послуги прибирання, приготування їжі та водіїв.
• Пропозиції партнерів – представлення пропозицій партнерів Lokavi Home у категоріях: електроенергія і газ, страхування, побутові послуги, покупки й товари, сервіс техніки, догляд за тваринами, сезонні та святкові товари, рахунки, комунальні послуги й підписки, без передавання їм ваших даних.
• Передавання даних партнерам – надання вибраним партнерам із цих категорій вашого імені, адреси e-mail, а також, якщо ви його вкажете, номера телефону, щоб вони могли представити вам свої пропозиції; партнер тоді стає окремим контролером цих даних.
• Добір пропозицій для вашого дому – профілювання, тобто добір пропозицій на підставі даних про дім (описано нижче).
• Канал e-mail – отримання комерційної та маркетингової інформації на адресу e-mail.
• Канал SMS і телефон – зв'язок із маркетинговою метою через SMS і телефонні дзвінки на номер, який ви вкажете.
• Канал сповіщень – отримання комерційної та маркетингової інформації у сповіщеннях Застосунку на телефоні.

Профілювання. Якщо ви дасте згоду на добір пропозицій, Оператор добирає пропозиції для вашого дому на підставі: кількості домочадців, наявності та вікової групи дітей, домашніх тварин, розміру дому, а також користування функціями Застосунку. Для профілювання не використовуються дані про здоров'я, дані працівників, фото, чат чи плани дня. Профілювання слугує виключно добору пропозицій і не спричиняє для вас правових наслідків.

Для цілі добору пропозицій Оператор є контролером зазначених характеристик дому на підставі згоди адміністратора дому; в іншому обсязі дані, які дім вносить про своїх членів і працівників, Оператор обробляє від імені адміністратора дому.

5b. Агент із закупівель і моделі ШІ (зокрема зчитування списку та вибір магазину)

Агент із закупівель, зчитування списку покупок із фото чи диктування та вибір магазину для позицій списку покупок – це необов'язкові функції, що ґрунтуються на моделях штучного інтелекту (ШІ); їхні відповіді можуть містити помилки. Агент працює на серверах Оператора. Контролером даних, що обробляються в цих функціях, є Оператор.

Що потрапляє до моделі ШІ. Позиції списків покупок і доручень (назви, кількості, примітки, ліміти сум), відповіді користувачів дому на запитання агента, адреса дому (якщо адміністратор її вніс – для вибору доставки та перевірки її вартості), знімки екрана магазинів під час покупок (на них можуть бути видимі, зокрема, адреса доставки, ім'я та прізвище одержувача та історія замовлень), а під час зчитування списку – фото аркуша або текст із диктування. Розпізнавання мовлення виконує система телефона або браузер (напр. Apple, Google) на їхніх умовах; Застосунок отримує лише текст. Під час пошуку й порівняння пропозицій агент передає пошуковику пропозицій SerpApi назву шуканого товару та місто дому.

Мета. Виконання доручення: вибір товарів, порівняння пропозицій, оформлення замовлення, перетворення фото чи тексту на позиції списку, визначення магазину, в якому агент має шукати позицію. Оператор не використовує цих даних для маркетингу, профілювання чи навчання моделей. Списки покупок можуть опосередковано розкривати інформацію про здоров'я (напр. ліки); Оператор не робить із них таких висновків.

Постачальник моделі. У разі розрахунку з балансу або абонементу («наші токени»), а також завжди під час зчитування списку та вибору магазину Застосунок використовує моделі Anthropic PBC (США) на обліковому записі Оператора – Anthropic обробляє дані як обробник за дорученням Оператора. У разі власного API-ключа дому агент використовує обліковий запис дому в постачальника, обраного адміністратором серед запропонованих Оператором: Anthropic PBC, OpenAI або xAI (усі в США), – дані надходять постачальникові на умовах договору, який дім уклав із цим постачальником. Вибір магазину не використовує ключ дому (див. нижче).

Вибір магазину. У домі, в якому агента із закупівель увімкнено, а адміністратор дому надав дозвіл, описаний наприкінці цього розділу, Застосунок після додавання позиції до списку покупок визначає, в якому з магазинів дому агент має її шукати. Спершу він перевіряє попередні вибори магазину (виправлення магазину та покупки), збережені для власників дому і спільні для їхніх домів, – без моделі ШІ. Якщо такого вибору немає, до моделі ШІ надходять назва й кількість позиції (так, як їх внесено до списку), назви магазинів дому та вподобання дому щодо покупок; модель повертає магазин і категорію позиції. Вибір магазину завжди використовує модель Anthropic PBC (США) на обліковому записі Оператора – Anthropic обробляє дані як обробник за дорученням Оператора, – також у домі, який указав для агента власний API-ключ, зокрема тоді, коли агент цього дому використовує OpenAI або xAI; ключ дому при цьому не використовується, а назви позицій не надходять до постачальника, обраного домом. Біля позиції ми зберігаємо визначений магазин із позначкою, що його вказала модель ШІ, а окремо – модель, магазин, категорію, рівень упевненості, час і вартість кожної відповіді моделі (без назви позиції); назви позицій не потрапляють до журналів. Магазин, обраний вручну або визначений посиланням на товар, завжди має пріоритет.

Паролі до магазинів і API-ключ. Логін і пароль до облікового запису магазину, а також власний API-ключ постачальника моделі шифруються на телефоні адміністратора ключем його агента; у базі даних є виключно шифротекст (для API-ключа також назва постачальника й 4 останні символи). Розшифровуються вони виключно на сервері агента, автоматично й на час роботи агента; у цей час Оператор технічно має до них доступ. Паролі та ключ не передаються моделі ШІ (API-ключ потрапляє виключно до її постачальника як дані для входу), не зберігаються в журналах, результатах, сповіщеннях, e-mailах чи на знімках екрана.

Зберігання. Знімки екрана агента – 30 днів; фото списку й текст диктування – не зберігаються й не записуються до журналів після зчитування; доручення та результати запусків – упродовж існування дому.

Дозвіл у Застосунку. Перед першим використанням адміністратор дому підтверджує в Застосунку ознайомлення з цими правилами й дозволяє передавання даних постачальникові моделі (ми зберігаємо версію тексту, особу та час). Підставою обробки є договір (розділ 3), а не згода. Дозвіл можна відкликати будь-коли, написавши Операторові, – тоді агент, зчитування списку та вибір магазину за допомогою моделі ШІ перестають працювати. Вимкнення агента в Застосунку (вкладка «Агент») призупиняє приймання агентом нових доручень.

5c. Баланс агента та платежі

Баланс та історія. Кожен дім має платника – одного з власників дому з обліковим записом (регламент, розділ 6 п. 3). Оператор веде баланс агента платника, спільний для домів, за які він платить, та історію операцій (поповнення, плата за споживання ШІ із зазначенням назви дому, моделі та кількості токенів, стартовий подарунок, коригування, повернення). Платник бачить баланс та історію оплат у всіх домах, за які він платить. Інші власники та координатори дому бачать оплати свого дому, а суму балансу – лише коли баланс стосується одного дому. Після зміни платника попередній платник зберігає історію оплат за період, коли він платив; оплати дому, до якого він більше не має доступу, бачить як «інший дім», без опису. Баланс дому, на який вносив кошти інший власник, ніж платник, залишається окремим балансом цього дому, і його бачать усі власники дому. Підставою є виконання договору (ст. 6 ч. 1 п. b ЗРЗД). Запис про наданий подарунок містить ідентифікатор облікового запису власника дому – для того, щоб подарунок надавався один раз на обліковий запис.

Платежі. Поповнення та замовлення абонементу ШІ відбуваються на сторінці оплати Stripe, виключно в браузерній версії Застосунку. Ми приймаємо платежі від споживачів із платіжною адресою в Польщі або в іншій державі Європейського Союзу, а також від компаній із польським NIP і платіжною адресою в Польщі: Оператор перевіряє країну платіжної адреси та тип податкового номера, а платіж із платіжною адресою за межами Європейського Союзу або з податковим номером, іншим ніж польський NIP, автоматично повертається в повному обсязі. Під час платежу споживача з іншої держави Європейського Союзу Оператор додатково записує країну платіжної адреси, суму, дату та ідентифікатор платежу Stripe (розділ 5h). Stripe Payments Europe, Limited (Ірландія) обробляє дані платника (зокрема ім'я та прізвище або назву, адресу e-mail, дані картки чи BLIK, NIP – якщо платник його вкаже) з метою проведення платежу, а також – як окремий контролер – із власною метою, описаною в політиці конфіденційності Stripe (напр. запобігання шахрайству, юридичні обов'язки). Оператор отримує від Stripe підтвердження платежу (ідентифікатор, суму, валюту, статус) і має в панелі Stripe доступ до даних платника, потрібних для рахунку-фактури та повернення коштів; він не отримує повних даних картки.

E-mailи щодо балансу. Власники дому з адресою e-mail отримують транзакційні e-mailи щодо балансу агента (привітання, низький баланс, брак коштів, зміна правил розрахунків), що надсилаються через Resend Inc. з адреси agent@send.lokavi.pl. Це не маркетингові e-mailи, і вони не потребують маркетингової згоди. Після надсилання адреса e-mail видаляється з черги відправлення; залишається запис про те, що e-mail певного типу надіслано дому (щоб не надсилати його повторно).

Абонемент ШІ. У разі абонементу Оператор обробляє ідентифікатор клієнта й підписки Stripe, план, статус, розрахункові періоди, платежі та рахунки-фактури абонементу, а також використання в межах ліміту – з метою виконання договору (ст. 6 ч. 1 п. b ЗРЗД) і податкових обов'язків (ст. 6 ч. 1 п. c ЗРЗД).

Заяви перед оплатою. Перед кожним платежем власник дому позначає прийняття регламенту та вимогу почати надання послуги до спливу строку відмови. Ми зберігаємо їхній зміст (версію), версію регламенту, особу, час та ідентифікатор платежу – з метою доведення укладення договору та розрахунків (ст. 6 ч. 1 пп. b, c і f ЗРЗД) – і надсилаємо їх у e-mailі з підтвердженням платежу.

Відмова від договору. Заява, подана кнопкою «Відмовитися від договору», містить ім'я та прізвище, а також адресу e-mail, указані у вікні, договір і час подання. На цю адресу ми надсилаємо підтвердження, а Оператор отримує сповіщення, щоб здійснити повернення коштів у панелі Stripe.

5d. Повідомлення про вміст і оскарження

Повідомлення про вміст, визнаний незаконним, і оскарження рішень Оператора (розділ 4a регламенту) ми приймаємо e-mailом. Ми обробляємо дані заявника (ім'я та прізвище або назву, адресу e-mail – якщо тільки повідомлення не стосується злочинів проти статевої свободи та моральності щодо неповнолітніх), зміст повідомлення, зазначений вміст, рішення та його обґрунтування – з метою розгляду повідомлення чи оскарження та виконання обов'язків за Регламентом про цифрові послуги (ст. 6 ч. 1 п. c ЗРЗД). Про інформацію, що вказує на злочин, який загрожує життю чи безпеці осіб, Оператор повідомляє правоохоронні органи.

Повідомлення про вміст ШІ в Застосунку. Про вміст, згенерований функціями ШІ (агент із закупівель, віртуальний керуючий ШІ, вибір магазину, сканування дому, пропозиції), ви можете повідомити кнопкою «Поскаржитися», зазначивши причину і короткий опис (до 500 символів – без даних інших осіб). Ми записуємо дім, обліковий запис і особу, що повідомляє, вид та ідентифікатор вмісту (без його копії), причину, опис, час і статус повідомлення. Повідомлення слугують для перевірки вмісту ШІ, покращення роботи функцій ШІ та виконання правил магазинів застосунків (Apple, Google) – законний інтерес Оператора (ст. 6 ч. 1 п. f ЗРЗД). Таке повідомлення не замінює описаного вище повідомлення про незаконний вміст. Повідомлення бачить лише Оператор; кількість повідомлень з одного облікового запису обмежена на день.

5e. Переклад за допомогою ШІ

Тексти Застосунку. Написи Застосунку, системні повідомлення та документи мовами, відмінними від польської, перекладено заздалегідь із використанням моделі ШІ компанії Anthropic PBC. До цього перекладу не потрапляють дані користувачів.

Вміст, внесений користувачами. Коли Оператор зробить доступним переклад вмісту, внесеного в домі (напр. повідомлень чату, описів завдань і несправностей, харчування, інструкцій; без списку покупок), текст і цільова мова передаватимуться моделі ШІ Anthropic PBC (США, стандартні договірні положення) виключно з метою показу перекладу особам у домі, які користуються Застосунком іншою мовою. Переклад зберігається поруч з оригіналом, з позначкою, що його перекладено ШІ, і з можливістю показати оригінал, та видаляється разом з оригіналом. Anthropic діє як обробник за дорученням Оператора, а щодо даних працівників та інших осіб, контролером даних яких є адміністратор дому (розділ 1), – як подальший обробник; про ввімкнення цієї функції Оператор попереджає адміністраторів домів електронною поштою щонайменше за 14 днів (Додаток 2 до регламенту). Правові підстави наведено в розділі 3. Адміністратор дому може вимкнути переклад вмісту для всього дому. Кожна особа може заявити заперечення проти перекладу її вмісту – адміністраторові дому або Операторові (розділ 7). Постачальник не використовує цих даних для навчання моделей, а Оператор не використовує перекладений вміст для інших цілей, зокрема не робить на його основі висновків щодо здоров'я.

5f. Агент із закупівель в інших країнах

У країнах, де магазини вимагають підключення з адреси в цій країні, агент із закупівель може підключатися до магазинів через постачальника посередницьких послуг (проміжний сервер у країні магазину). Цей постачальник передає трафік браузера агента до магазину, зокрема дані, видимі на сторінках магазину (напр. адресу доставки, вміст кошика), і діє як обробник за дорученням Оператора. Назву постачальника Оператор зазначить у цій політиці до запуску агента в такій країні.

5g. Передавання даних за межі Європейського економічного простору

Дані Застосунку зберігаються в Європейському Союзі (Ірландія), також для користувачів поза Союзом. За межі Європейського економічного простору (ЄЕП) дані потрапляють лише до одержувачів, зазначених у розділі 4, на підставах, наведених там: рішень Європейської Комісії, що встановлюють належний рівень захисту (зокрема EU–US Data Privacy Framework, коли одержувач сертифікований у ньому), або стандартних договірних положень, затверджених Європейською Комісією. Користувач поза ЄЕП користується Застосунком на тих самих умовах – його дані обробляються в Європейському Союзі.

5h. Податки з платежів

Платежі споживачів з інших держав Європейського Союзу Оператор оподатковує польським ПДВ, доки загальна вартість таких продажів не перевищить поріг, установлений законодавством про ПДВ (10 000 євро на рік). Для цього він веде облік цих платежів (країна платіжної адреси, сума, дата, ідентифікатор платежу Stripe) – на підставі юридичного обов’язку (ст. 6 ч. 1 п. c ЗРЗД) – і зберігає його так само, як інші дані про платежі (розділ 6). Коли поріг буде перевищено або платежі стануть доступними за межами Європейського Союзу, для обчислення податку з внесених коштів (напр. ПДВ відповідно до країни платника) Оператор може використовувати послугу Stripe Tax: Stripe отримує країну та платіжну адресу платника, а також – якщо вказано – номер NIP або VAT з метою встановлення відповідної ставки та податкової документації.

5i. Сканування дому та облік речей

Сканування дому – необов’язкова функція модуля «Речі», за замовчуванням вимкнена. Адміністратор дому вмикає її власною дією та погоджується на передавання зображень інтер’єрів моделі ШІ (ми зберігаємо версію згоди, особу й дату); без цієї згоди сканування не працює. Сканування потребує також згоди на використання моделі ШІ, описаної в розділі 5b.

Хто сканує. Сканувати можуть адміністратори та мешканці дому. Персонал дому (працівники, координатори, кухарі) сканує лише тоді, коли адміністратор це дозволить або доручить їм сканування конкретного місця. Перед першим скануванням Застосунок просить, щоб у кадрі не було людей і відкритих документів.

Що потрапляє до моделі ШІ. Під час сканування телефон вибирає з зображення камери чіткі, різні кадри (або фотографії, зроблені користувачем) і передає їх моделі Anthropic PBC (США) разом із назвами місць і речей, уже внесених у скановане місце. Під час диктування до моделі потрапляє продиктований текст або текст, введений у картці місця. Модель повертає перелік розпізнаних речей і меблів. З кадрів сканування створюється також схематична модель кімнати: контур стін, двері, вікна та розташування меблів. Завантажений план дому передається моделі Anthropic для розпізнавання, щоб зчитати з нього приміщення. Дані використовуються виключно для розпізнавання речей і місць у домі; постачальник моделі обробляє їх як обробник за дорученням Оператора й не використовує для навчання моделей. Сканування завжди використовує обліковий запис Оператора в постачальника, також у домах, які для агента із закупівель указали власний API-ключ.

Що ми зберігаємо. Розпізнані речі потрапляють до списку «На перегляд» і стають частиною обліку лише після затвердження адміністратором або особою, яка сканувала. Ми зберігаємо: назви речей, місце, кількість, категорію, невелику вирізку зображення, на якій видно річ, хто і коли сканував, а також вартість сканування. Кадри сканування ми зберігаємо лише тоді, коли модель не розпізнала на них ні особу, ні документ із даними; кадри з людьми або документами не зберігаються взагалі (вони обробляються лише на час розпізнавання). Вирізок, на яких є особа або документ, ми не створюємо. План зберігається без обмеження в часі, доки ви його не видалите («Видалити план»).

Хто бачить. Кадри сканування бачать адміністратори дому та особа, яка сканувала. Речі та їхні вирізки бачать особи, які бачать місце, де вони лежать; речі, позначені як цінні, та місця, позначені як приватні, не видно персоналу дому.

Розрахунок. Сканування оплачується так само, як робота агента (розділ 5c): із залишку агента або з ліміту підписки дому; у домі, який указав для агента власний API-ключ, сканування безкоштовне. Перед скануванням Застосунок показує оцінку вартості, а під час сканування – лічильник. Плата за сканування діє з дня набрання чинності регламентом у версії 1.8 (6 грудня 2026 р.); до цієї дати сканування безкоштовне.

Відкликання згоди. Згоду можна відкликати в будь-який час – вимкнувши сканування в Застосунку (Речі → Налаштування сканування) або надіславши електронний лист Оператору; відкликання не впливає на законність обробки до відкликання. Затверджені речі залишаються в обліку, доки адміністратор або мешканець дому їх не видалить.

5j. Віртуальний керуючий ШІ

Віртуальний керуючий ШІ («Lokavi AI») – необов’язкова функція, за замовчуванням вимкнена, що ґрунтується на моделі штучного інтелекту (ШІ). Її вмикає адміністратор дому з роллю власника після ознайомлення з інформаційною карткою (ми зберігаємо версію картки, особу й час). Керуючий займається справами з ланцюжка ескалації: нагадує про завдання, передає їх особам на зміні, переносить терміни, закриває справи з причиною, зазначеною виконавцем, пише працівникам і передає справи адміністраторові; запити на покупку схвалює лише за правилами адміністратора. Він не оцінює працівників і не ухвалює рішень щодо умов їхньої роботи. Його повідомлення та дії можуть містити помилки.

Що потрапляє до моделі ШІ. Виключно дані одного дому, потрібні для поточних справ: назви, види й терміни відкритих звернень, імена виконавців, їхні мови та реакції у справі за останні 7 днів, причини пропуску завдань, інформація, чи є фото (без самого фото), сьогоднішній графік (хто, на якій посаді та в які години на зміні), до 10 останніх повідомлень із розмов працівників із керуючим ШІ за останні 48 годин, запити на покупку, що очікують схвалення, разом із правилами покупок, вказівки адміністратора для керуючого, часовий пояс і мова адміністратора. Не потрапляють: адреса дому, номери телефонів, адреси e-mail, баланс, фото, заяви, інші розмови в чаті чи дані інших домів.

Постачальник моделі. Anthropic PBC (США) на обліковому записі Оператора – також у домі з власним API-ключем. Щодо даних працівників та інших осіб, контролером яких є адміністратор дому, Anthropic діє як подальший обробник, а Оператор – як обробник на підставі Додатка 2 до регламенту; передавання до США здійснюється на підставі стандартних договірних положень (розділ 5g). Оператор не використовує цих даних для маркетингу, профілювання чи навчання моделей.

Працівники. У першому повідомленні конкретній особі керуючий ШІ представляється як штучний інтелект і повідомляє, що розмову бачить власник дому; його повідомлення позначено «Lokavi AI». Перед увімкненням керуючого адміністратор дому інформує працівників про цю функцію – Застосунок надає готову інформацію, яку працівники підтверджують. Працівник може з будь-якої справи написати безпосередньо адміністраторові дому, а заперечення проти опрацювання його справ керуючим ШІ заявляє адміністраторові дому або Операторові (розділ 7).

Журнал. Кожна дія керуючого ШІ (вид дії, справа, результат, коротке пояснення для адміністратора) і кожен його запуск (час, модель, кількість токенів, вартість) записується і є видимим для адміністратора дому в Застосунку та в щотижневому звіті. Технічні журнали не містять змісту повідомлень ані назв завдань.

Вимкнення. Адміністратор дому вимикає керуючого ШІ будь-коли однією кнопкою; від цієї миті керуючий не виконує жодних дій, а дані дому перестають потрапляти до моделі.

6. Як довго зберігаються дані

• фото з контрольних прохань – автоматично видаляються через 30 днів; інші фото – через 90 днів (адміністратор дому може скоротити ці строки);
• завдання, реєстри, звіти, чат – упродовж існування дому в Застосунку та до 12 місяців після видалення особи з дому;
• обліковий запис – до його видалення користувачем; після видалення облікового запису його дані видаляються протягом 30 днів, а записи в домах (напр. позначені завдання) залишаються без зв'язку з обліковим записом, а адреса e-mail, збережена для особи в домі, очищується;
• сеанси пристроїв, на яких виконано вхід, – видаляються після виходу, від'єднання пристрою або від'єднання облікового запису від особи; сеанс, не використовуваний протягом 120 днів, закінчується й автоматично видаляється;
• технічні журнали – до 12 місяців;
• історія балансу агента, абонементу та дані платежів – 5 років, рахуючи від кінця календарного року, в якому сплив строк сплати податку (ст. 70 § 1 і ст. 86 § 1 Податкового кодексу, ст. 112 Закону про ПДВ), також після видалення дому чи облікового запису – тоді без зв'язку з домом і особою; деталі запусків, що не є бухгалтерським документом, – до спливу строку позовної давності за вимогами;
• заяви, зроблені перед оплатою, і заяви про відмову від договору – до спливу строку позовної давності за вимогами з договору, також після видалення дому чи особи;
• знімки екрана агента – 30 днів; доручення та результати запусків – упродовж існування дому; фото списку й текст диктування – не зберігаються;
• попередні вибори магазину (спрощена назва позиції, магазин і категорія, збережені для облікового запису власника дому і спільні для його домів) – до видалення облікового запису власника (видаляються разом з обліковим записом), а коли обліковий запис перестане бути прив'язаним до будь-якої особи в домі, – не пізніше наступного дня; відповіді моделі під час вибору магазину (модель, магазин, категорія, рівень упевненості, час, вартість; без назви позиції) – упродовж існування дому;
• повідомлення про вміст і оскарження – до спливу строку позовної давності за вимогами, пов'язаними з рішенням;
• запис про наданий стартовий подарунок (ідентифікатор облікового запису) – також після видалення дому й облікового запису, виключно для того, щоб подарунок не було надано повторно;
• запис про надісланий e-mail щодо балансу (дім, тип, дата; без адреси) – упродовж існування дому;
• власний API-ключ постачальника моделі (шифротекст) – до його видалення чи зміни адміністратором дому або видалення дому;
• реєстр рішень щодо маркетингових згод – до відкликання згоди, а потім як доказ протягом строку позовної давності, також після видалення облікового запису (виняток із видалення даних облікового запису протягом 30 днів);
• кадри сканування дому – автоматично видаляються через 30 днів; кадри з людьми або документами не зберігаються;
• схематична модель кімнати (контур, двері, вікна, розташування меблів) – до зміни або видалення кімнати;
• завантажений план дому – без обмеження в часі, доки ви його не видалите («Видалити план»);
• облік речей і вирізки – до видалення речі адміністратором або мешканцем дому, щонайдовше протягом існування дому в Застосунку; позиції, відхилені в «На перегляд», позначаються як неактивні (щоб те саме сканування не додало їх знову) і видаляються разом із домом;
• повідомлення віртуального керуючого ШІ та відповіді працівників – як чат (упродовж існування дому в Застосунку та до 12 місяців після видалення особи з дому); журнал дій і запусків керуючого ШІ – упродовж існування дому в Застосунку.
• повідомлення про вміст ШІ – нерозглянуте повідомлення ми закриваємо не пізніше ніж через 3 місяці, а закриті видаляємо через 12 місяців після закриття; раніше – разом із домом.

7. Права користувача

Кожен має право на доступ до даних, їх виправлення, видалення, обмеження обробки, перенесення, заперечення проти обробки, що ґрунтується на законному інтересі, а також на подання скарги Голові Управління із захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). У питаннях даних, внесених у конкретному домі, найшвидше допоможе адміністратор цього дому; можна також написати Операторові.

Згоду можна відкликати будь-коли так само легко, як і надати її: Більше → Маркетингові згоди, сторінка облікового запису або e-mail Операторові; відкликання не впливає на законність попередньої обробки. Кожен має право заперечити проти профілювання.

Видалення облікового запису: на сторінці входу (старт) після входу – «Видалити обліковий запис» (із Застосунку: Більше → Мій обліковий запис → «Обліковий запис (Apple / Google / e-mail): згоди й видалення облікового запису») або e-mailом Операторові. Адміністратор дому може деактивувати особу в Налаштуваннях → Особи, а також видалити весь дім у Налаштуваннях → Дім.

8. Діти

Облікові записи e-mail/Apple/Google можуть створювати виключно повнолітні особи. Профіль дитини (домочадця) створює батько, мати або опікун, який є адміністратором дому; для такого профілю не потрібен обліковий запис чи адреса e-mail, а профіль повністю контролюється батьками. Діти входять за PIN-кодом або одноразовим QR-кодом, який адміністратор чи координатор показує на їхньому власному пристрої. Поєднання профілю з обліковим записом Apple чи Google призначене для дорослих осіб (Apple і Google не пропонують такого входу особам, молодшим за вік, що вимагається постачальниками), тому адміністратор не повинен вносити адресу e-mail дитини.

9. Безпека

З'єднання шифруються (HTTPS). Паролі та PIN-коди зберігаються виключно як криптографічні хеші. Доступ до даних у базі обмежує ізоляція між домами на рівні бази даних. Після 5 невдалих спроб введення PIN-коду обліковий запис тимчасово блокується. Агент із закупівель і зчитування списку позначені в Застосунку як системи штучного інтелекту (ШІ): повідомлення, запитання та сповіщення агента мають мітку «Агент AI».

10. Зміни

Про суттєві зміни цієї політики Оператор повідомить у Застосунку. Актуальна версія завжди доступна за адресою цієї сторінки. Правила балансу агента, абонементу та платежів описує регламент.

11. Мовні версії

Ця політика доступна кількома мовами. Оригінальним текстом є польська версія; версії іншими мовами є перекладами, підготовленими з використанням інструмента ШІ. Якщо версії відрізняються, Оператор застосовує ту, яка є більш сприятливою для особи, якої стосуються дані. Права, що випливають із ЗРЗД, надаються в однаковому обсязі незалежно від мовної версії.