Політика конфіденційності

Чинна з: 15 липня 2026 року

Ця Політика конфіденційності описує, як мобільний застосунок Karbnote («застосунок», «ми», «нас») збирає, використовує, зберігає та захищає ваші персональні дані. Karbnote — це інструмент для самозайнятих фахівців: облік клієнтів і послуг, розклад записів та облік фінансів. Ми обробляємо персональні дані відповідно до Загального регламенту ЄС про захист даних (GDPR, Регламент (ЄС) 2016/679) та Закону України «Про захист персональних даних».

1. Хто ми (контролер даних)

Контролером ваших персональних даних є Євген Кирюхін — фізична особа (Україна), яка визначає цілі та засоби обробки. З усіх питань щодо конфіденційності та реалізації ваших прав звертайтеся на support@karbnote.com.

2. Які дані ми збираємо

Ми обробляємо лише дані, потрібні для роботи застосунку:

Дані облікового запису: адреса електронної пошти та пароль (зберігається у захешованому вигляді постачальником автентифікації). У разі входу через Google ми отримуємо вашу електронну пошту, ім'я та аватар через OAuth.
Профіль: ім'я, фото профілю (за бажанням) та налаштування застосунку (тема, мова, валюта, робочі години, нагадування).
Робочі дані, які ви вносите: клієнти (ім'я, фото, телефон, посилання на месенджери та соцмережі, нотатки), послуги, записи в розкладі та фінансові транзакції (доходи/витрати, суми, категорії).
Контакти пристрою: якщо ви скористаєтеся імпортом контактів, ми зчитуємо обрані вами контакти виключно для створення картки клієнта. Доступ запитується окремо.
Фотографії: якщо ви додаєте фото клієнта або профілю, застосунок отримує доступ до обраного вами зображення.
Технічні дані про збої: у разі збою застосунку ми отримуємо технічний звіт (модель пристрою, версії ОС і застосунку, технічний опис помилки) — без ваших робочих даних.
Дані про добровільні внески (донати): якщо ви вирішите підтримати розробку, ми отримуємо технічний ідентифікатор покупки від Google Play. Платіжні дані (номер картки тощо) обробляє Google Play — ми до них доступу не маємо.

Ми не збираємо дані про місцезнаходження, не показуємо рекламу, не відстежуємо вашу поведінку для третіх сторін та не продаємо ваші дані. Ми не маємо на меті обробляти спеціальні категорії даних (ст. 9 GDPR) і просимо вас не вносити таку інформацію у вільні текстові поля (наприклад, у нотатки).

3. Правові підстави обробки

Ми обробляємо ваші персональні дані на таких правових підставах (ст. 6 GDPR):

Виконання договору (ст. 6(1)(b)) — щоб створити й підтримувати ваш обліковий запис, надати функції застосунку та синхронізувати ваші дані.
Законний інтерес (ст. 6(1)(f)) — щоб забезпечити безпеку, цілісність і належну роботу сервісу, зокрема резервне копіювання та захист від зловживань.
Виконання юридичних обов'язків (ст. 6(1)(c)) — коли цього вимагає законодавство (наприклад, відповідь на правомірні запити уповноважених органів).
Згода (ст. 6(1)(a)) — для дій, що потребують окремого дозволу (наприклад, доступ до контактів чи фотографій пристрою). Згоду можна відкликати будь-коли.

4. Дані про третіх осіб (ваших клієнтів)

Щодо даних, які ви вносите про своїх клієнтів, контролером є ви, а ми виступаємо оператором (процесором) і обробляємо ці дані виключно за вашими вказівками та лише для надання вам функцій застосунку. Ви відповідаєте за наявність законних підстав для внесення таких даних і, за потреби, за інформування відповідних осіб або отримання їхньої згоди.

5. Як ми використовуємо дані

надавати основні функції застосунку (облік клієнтів, послуг, розкладу та фінансів);
синхронізувати ваші дані між пристроями та зберігати резервну копію в хмарі;
надсилати транзакційні листи — код підтвердження пошти (OTP) та відновлення пароля. Ми не надсилаємо маркетингові розсилки;
діагностувати та виправляти збої застосунку;
обробляти добровільні внески (донати), якщо ви вирішите підтримати розробку.

6. Де зберігаються дані

Дані зберігаються локально на вашому пристрої (архітектура local-first) і синхронізуються до захищеної хмарної бази даних, що розміщена на серверах у Європейському Союзі. Доступ до ваших записів у хмарі обмежено на рівні рядків (Row-Level Security) — інші користувачі не мають доступу до ваших даних.

7. Постачальники послуг (субпроцесори)

Ми залучаємо надійних постачальників для роботи сервісу:

Supabase — хостинг бази даних, автентифікація та зберігання даних (регіон ЄС);
Google — вхід через обліковий запис Google (OAuth);
Resend — доставка транзакційних електронних листів;
Sentry — збирання технічних звітів про збої застосунку;
RevenueCat — обробка добровільних внесків (донатів) через Google Play.

Ці постачальники обробляють дані лише за нашими інструкціями на підставі договорів про обробку даних.

8. Міжнародна передача даних

Основна база даних розміщена в ЄС, тому ваші робочі дані зберігаються в межах Європейського економічного простору (ЄЕП). Водночас окремі постачальники (зокрема Google, Resend, Sentry та RevenueCat) можуть обробляти обмежений обсяг даних (наприклад, вашу електронну пошту й ім'я, технічні звіти про збої, ідентифікатори покупок) на серверах у США. Така передача здійснюється на підставі гарантій, передбачених GDPR, — Стандартних договірних положень (Standard Contractual Clauses) та/або сертифікації за програмою EU-US Data Privacy Framework.

9. Строки зберігання та видалення

Ми зберігаємо ваші дані, доки активний ваш обліковий запис. Ви можете будь-коли видалити обліковий запис у налаштуваннях застосунку — це безповоротно видаляє ваш профіль та всі пов'язані дані (клієнти, послуги, записи, транзакції, фотографії) з активної бази даних. Копії, що могли потрапити до резервних архівів, видаляються автоматично в межах звичайного циклу ротації резервних копій (як правило, протягом 30 днів). Окремі дані ми можемо зберігати довше, лише якщо це прямо вимагається законодавством.

10. Безпека

Передавання даних відбувається шифрованим з'єднанням (HTTPS/TLS). Доступ до даних у хмарі захищено правилами безпеки на рівні рядків. Жоден метод передавання чи зберігання не є абсолютно безпечним, але ми вживаємо обґрунтованих технічних та організаційних заходів для захисту ваших даних.

11. Автоматизоване прийняття рішень

Ми не приймаємо рішень, що мають для вас юридичні чи інші суттєві наслідки, виключно на основі автоматизованої обробки, і не здійснюємо профілювання у розумінні ст. 22 GDPR.

12. Ваші права

Відповідно до GDPR та законодавства України ви маєте право:

отримати доступ до своїх даних та виправити неточні дані;
видалити свої дані («право бути забутим»);
обмежити обробку або заперечити проти неї;
отримати копію своїх даних у машинозчитуваному форматі (право на перенесення даних);
відкликати раніше надану згоду без впливу на законність попередньої обробки.

Більшість цих дій доступні безпосередньо в застосунку. З інших питань пишіть на support@karbnote.com — ми відповімо у строки, передбачені законодавством. Якщо ви вважаєте, що ваші права порушено, ви маєте право подати скаргу до наглядового органу: в Україні — до Уповноваженого Верховної Ради України з прав людини, у ЄС — до органу нагляду за захистом даних вашої країни проживання.

13. Діти

Застосунок не призначений для осіб віком до 16 років, і ми свідомо не збираємо їхні дані. Якщо ви вважаєте, що ми могли зібрати дані дитини, повідомте нас — і ми їх видалимо.

14. Застосовне право

До цієї Політики застосовується законодавство України з урахуванням вимог GDPR щодо користувачів з Європейського економічного простору.

15. Зміни до політики

Ми можемо оновлювати цю Політику. Про суттєві зміни ми повідомимо в застосунку або електронною поштою. Дата набрання чинності вказана вгорі сторінки.

16. Контакти

З будь-яких питань щодо конфіденційності звертайтеся: support@karbnote.com.

Privacy Policy

Effective date: July 15, 2026

This Privacy Policy explains how the Karbnote mobile app ("the app", "we", "us") collects, uses, stores and protects your personal data. Karbnote is a tool for self-employed professionals: client and service records, appointment scheduling, and finance tracking. We process personal data in accordance with the EU General Data Protection Regulation (GDPR, Regulation (EU) 2016/679) and the Law of Ukraine "On Personal Data Protection".

1. Who we are (data controller)

The controller of your personal data is Yevhen Kyriukhin — an individual (Ukraine) who determines the purposes and means of the processing. For all privacy matters and to exercise your rights, contact us at support@karbnote.com.

2. What data we collect

We only process the data needed to run the app:

Account data: your email address and password (stored hashed by our authentication provider). If you sign in with Google, we receive your email, name and avatar via OAuth.
Profile: your name, optional profile photo, and app preferences (theme, language, currency, working hours, reminders).
Business data you enter: clients (name, photo, phone, messenger/social links, notes), services, appointments, and financial transactions (income/expenses, amounts, categories).
Device contacts: if you use contact import, we read the contacts you select solely to create a client record. Access is requested separately.
Photos: if you add a client or profile photo, the app accesses the image you choose.
Crash diagnostics: if the app crashes, we receive a technical report (device model, OS and app versions, a technical error description) — without your business data.
Donation data: if you choose to support development, we receive a technical purchase identifier from Google Play. Payment details (card number, etc.) are handled by Google Play — we never have access to them.

We do not collect location data, show ads, track your behavior for third parties, or sell your data. We do not intend to process special categories of data (Art. 9 GDPR), and we ask you not to enter such information into free-text fields (e.g. notes).

3. Legal bases for processing

We process your personal data on the following legal bases (Art. 6 GDPR):

Performance of a contract (Art. 6(1)(b)) — to create and maintain your account, provide the app's features, and sync your data.
Legitimate interests (Art. 6(1)(f)) — to ensure the security, integrity and proper operation of the service, including backups and protection against abuse.
Legal obligations (Art. 6(1)(c)) — where required by law (e.g. responding to lawful requests from authorities).
Consent (Art. 6(1)(a)) — for actions that require separate permission (e.g. access to your device contacts or photos). You may withdraw consent at any time.

4. Data about third parties (your clients)

For the data you enter about your clients, you are the controller and we act as a processor, processing that data solely on your instructions and only to provide the app's features to you. You are responsible for having a lawful basis to enter such data and, where required, for informing the individuals concerned or obtaining their consent.

5. How we use data

to provide core features (client, service, schedule and finance tracking);
to sync your data across devices and keep a cloud backup;
to send transactional emails — email verification codes (OTP) and password recovery. We do not send marketing emails;
to diagnose and fix app crashes;
to process voluntary donations, if you choose to support development.

6. Where data is stored

Data is stored locally on your device (local-first architecture) and synced to a secure cloud database hosted on servers in the European Union. Access to your cloud records is restricted at the row level (Row-Level Security) — other users cannot access your data.

7. Service providers (sub-processors)

We rely on trusted providers to operate the service:

Supabase — database hosting, authentication and data storage (EU region);
Google — sign-in with your Google account (OAuth);
Resend — delivery of transactional emails;
Sentry — collection of technical crash reports;
RevenueCat — processing of voluntary donations via Google Play.

These providers process data only on our instructions under data processing agreements.

8. International data transfers

The primary database is hosted in the EU, so your business data is stored within the European Economic Area (EEA). However, some providers (in particular Google, Resend, Sentry and RevenueCat) may process a limited amount of data (e.g. your email and name, technical crash reports, purchase identifiers) on servers in the United States. Such transfers rely on safeguards permitted by the GDPR — Standard Contractual Clauses and/or certification under the EU-US Data Privacy Framework.

9. Retention and deletion

We retain your data while your account is active. You can delete your account at any time in the app settings — this permanently removes your profile and all related data (clients, services, appointments, transactions, photos) from the active database. Copies that may have reached backup archives are deleted automatically within our regular backup rotation cycle (typically within 30 days). We retain specific data longer only where the law requires it.

10. Security

Data is transmitted over an encrypted connection (HTTPS/TLS). Access to cloud data is protected by row-level security rules. No method of transmission or storage is completely secure, but we take reasonable technical and organizational measures to protect your data.

11. Automated decision-making

We do not make decisions that produce legal or similarly significant effects on you based solely on automated processing, and we do not carry out profiling within the meaning of Art. 22 GDPR.

12. Your rights

Under the GDPR and the laws of Ukraine, you have the right to:

access your data and correct inaccurate data;
erase your data ("right to be forgotten");
restrict or object to processing;
obtain a copy of your data in a machine-readable format (data portability);
withdraw consent previously given, without affecting prior lawful processing.

Most of these actions are available directly in the app. For other requests, email support@karbnote.com — we will respond within the time limits set by law. If you believe your rights have been infringed, you have the right to lodge a complaint with a supervisory authority: in Ukraine — the Ukrainian Parliament Commissioner for Human Rights; in the EU — the data protection authority of your country of residence.

13. Children

The app is not intended for individuals under 16, and we do not knowingly collect their data. If you believe we may have collected a child's data, please notify us and we will delete it.

14. Governing law

This Policy is governed by the laws of Ukraine, subject to the GDPR requirements applicable to users in the European Economic Area.

15. Changes to this policy

We may update this Policy. We will notify you of material changes in the app or by email. The effective date is shown at the top of this page.

16. Contact

For any privacy questions, contact us at support@karbnote.com.