Політика конфіденційності

Чинна з: 20 жовтня 2026 року

Ця Політика конфіденційності описує, як мобільний застосунок Karbnote («застосунок», «ми», «нас») збирає, використовує, зберігає та захищає ваші персональні дані. Karbnote — це інструмент для майстрів: облік клієнтів і послуг, розклад записів та облік фінансів. Ми обробляємо персональні дані відповідно до Загального регламенту ЄС про захист даних (GDPR, Регламент (ЄС) 2016/679) та Закону України «Про захист персональних даних».

Політика охоплює й сайт онлайн-запису karbnote.com: публічні сторінки майстрів (karbnote.com/<адреса>), форму заявки, сторінку статусу заявки та розділ «Мої заявки».

1. Хто ми (контролер даних)

Контролером ваших персональних даних є Євген Кирюхін — фізична особа (Україна), яка визначає цілі та засоби обробки. З усіх питань щодо конфіденційності та реалізації ваших прав звертайтеся на support@karbnote.com.

2. Які дані ми збираємо

Ми обробляємо лише дані, потрібні для роботи застосунку:

Дані облікового запису: адреса електронної пошти та пароль (зберігається у захешованому вигляді постачальником автентифікації). У разі входу через Google або Apple ми отримуємо частину даних профілю від відповідного постачальника (див. розділ 3).
Профіль: ім'я, фото профілю (за бажанням) та налаштування застосунку (тема, мова, валюта, робочі години, нагадування).
Робочі дані, які ви вносите: клієнти (ім'я, фото, телефон, посилання на месенджери та соцмережі, нотатки), послуги, записи в розкладі та фінансові транзакції (доходи/витрати, суми, категорії).
Контакти пристрою: якщо ви скористаєтеся імпортом контактів, застосунок зчитує контакти на пристрої (ім'я, номери телефонів, фото), щоб показати їх вам для вибору. Список обробляється лише на пристрої і нікуди не передається; зберігаються — і синхронізуються з вашим обліковим записом — тільки контакти, які ви обрали для картки клієнта. Доступ запитується окремо.
Календар пристрою: якщо ви ввімкнете синхронізацію з календарем, застосунок додає ваші записи (час, ім'я клієнта, послугу, нотатку) у вибраний вами календар на пристрої та оновлює їх, коли запис змінюється. Для цього застосунок також бачить список календарів і події, які додав сам. Доступ запитується окремо. Ці дані не передаються на наші сервери. Якщо календар синхронізується з хмарним сервісом (наприклад, Google Календар або iCloud), події бачать ті, кому відкрито цей календар, згідно з налаштуваннями сервісу. Під час виходу з облікового запису застосунок видаляє додані ним події.
Фотографії: якщо ви додаєте фото клієнта, профілю або сторінки онлайн-запису, застосунок отримує доступ до обраного вами зображення. Фото сторінки онлайн-запису публічне — його бачить кожен, хто відкрив адресу сторінки.
Технічні дані про збої: у разі збою застосунку ми отримуємо технічний звіт (модель пристрою, версії ОС і застосунку, технічний опис помилки) — без ваших робочих даних.
Звернення до розробника: якщо ви надсилаєте повідомлення через форму «Зв'язатися з розробником» (вона доступна й до входу в обліковий запис), ми отримуємо текст і категорію повідомлення, адресу електронної пошти для відповіді (до входу — за бажанням; після входу — пошту облікового запису) та технічні дані пристрою: модель і виробника, версії ОС і застосунку, мову, часовий пояс і розмір екрана. Апаратні ідентифікатори пристрою ми не збираємо.
Дані про підписку Karbnote Premium: якщо ви оформите підписку, через сервіс RevenueCat ми отримуємо від магазину застосунків, у якому її оформлено (Google Play або App Store), дані про неї: ідентифікатор покупки, обраний план, дати оформлення, поновлення й завершення, ознаку пробного періоду, країну та валюту покупки. Підписка належить вашому обліковому запису Karbnote: для RevenueCat ідентифікатором покупця слугує внутрішній ідентифікатор вашого облікового запису (не email і не ім'я). SDK RevenueCat також передає технічні дані — версії застосунку та ОС, мову, країну та IP-адресу. Платіжні дані (номер картки тощо) обробляє Google Play або Apple — ми до них доступу не маємо.
Реклама в безкоштовній версії: якщо у вас немає підписки Karbnote Premium, застосунок показує в деяких списках (записи, клієнти, транзакції) нативну рекламу Google AdMob. Для показу реклами SDK Google отримує рекламний ідентифікатор пристрою (Android Advertising ID; на iPhone — IDFA, лише з вашого дозволу App Tracking Transparency), а також інші ідентифікатори пристрою й застосунку, які SDK збирає незалежно від дозволу ATT — на iPhone це IDFV (ідентифікатор постачальника), на обох платформах — app set ID (службовий ідентифікатор застосунку для ротації показів). Крім того — IP-адресу (з неї визначається приблизне місцезнаходження), технічні дані пристрою й застосунку та дані про взаємодію з рекламою (покази, натискання). Робочі дані — імена й телефони клієнтів, фото, записи, суми — до рекламного SDK ніколи не передаються і для підбору реклами не використовуються. З підпискою Karbnote Premium реклама не показується і не завантажується.

Онлайн-запис (сайт karbnote.com). Майстер із підпискою Premium може відкрити публічну сторінку запису, через яку клієнти надсилають заявки. Це стосується двох груп людей:

а) Майстер — сторінка запису: адреса сторінки, назва на сторінці (якщо порожня — ім'я профілю), короткий опис (до 500 символів), обрані для запису послуги (назва, опис, тривалість, категорія, піктограма; ціна — лише якщо ви її показуєте), правила запису (робочі години, вихідні дні, мінімальний час до запису, горизонт запису до 90 днів, строк очікування відповіді на заявку, часовий пояс) і ознака, ввімкнена сторінка чи ні. Усе, що показано на сторінці, публічне: його бачить кожен, хто відкрив її адресу. На сторінці показується фото сторінки: під час створення сторінки до неї копіюється фото профілю (якщо воно є), а в налаштуваннях сторінки ви можете замінити або видалити його. Фото публічне: його бачить кожен, хто відкрив адресу сторінки. Щоб ввімкнути сторінку, сервер також зберігає ознаку активної підписки Premium (дату завершення та ідентифікатор продукту).
а) Майстер — заявки та push-сповіщення: заявки клієнтів (див. нижче) доступні вам у застосунку. Коли ви приймаєте заявку, застосунок створює запис у розкладі (коментар клієнта копіюється в нотатку запису) й, за потреби, картку клієнта: ім'я, телефон, email (якщо вказано) та службовий ідентифікатор облікового запису клієнта на сайті (якщо він входив). Щоб повідомляти про заявки, ми зберігаємо токен Expo push вашого пристрою, його платформу (iOS чи Android) і час оновлення. Токен реєструється, лише якщо у вас є сторінка запису й ви дозволили сповіщення в системі пристрою; токен також реєструється, якщо на пристрої лишився не знятий токен попереднього користувача (навіть без сторінки запису), — щоб сповіщення попереднього власника не надходили на цей пристрій. Зберігається не більше 10 токенів на обліковий запис.
б) Клієнт майстра — заявка на сайті: ім'я (до 80 символів), телефон, email (необов'язково; якщо клієнт увійшов — береться email його облікового запису, а поле не показується), коментар (необов'язково, до 500 символів), обрана послуга з її тривалістю та ціною на момент заявки, бажаний час або проміжок, мова сайту (укр. чи англ.; нею надсилаються листи). Позначки згоди у формі немає: під кнопкою «Надіслати заявку» написано, що її натискання означає згоду передати ці дані майстру для запису. Сервер також створює випадкове посилання-токен, що відкриває сторінку статусу заявки, і зберігає статус, час подання та причину відхилення, якщо майстер її вказав.
б) Клієнт майстра — технічні дані й перевірка Turnstile: щоб захистити форму від спаму, ми використовуємо Cloudflare Turnstile: віджет завантажується з серверів Cloudflare лише на формі заявки, а наш сервер перевіряє результат у Cloudflare, передаючи туди IP-адресу. За Turnstile Privacy Addendum Cloudflare збирає IP-адресу, TLS-відбиток і User-Agent і частково обробляє їх як самостійний контролер (політика Turnstile). У заявці IP-адреса не зберігається: разом із нею записується лише її односторонній хеш (SHA-256 із секретною «сіллю»; для IPv6 — хеш мережевого префікса /64). Він потрібен лише для обмеження кількості заявок з одного підключення й зберігається не довше, ніж сама заявка (розділ 10). Оскільки така ознака може вважатися персональними даними, ми ставимося до неї відповідно. Для клієнта, який увійшов, сервіс автентифікації Supabase окремо зберігає IP-адресу та User-Agent у записах сесій і журналі аудиту.
б) Клієнт майстра — вхід на сайті (за бажанням): заявку можна надіслати й без входу. Увійшовши через Google, клієнт бачить усі свої заявки з будь-якого пристрою й отримує листи про їхній статус. Від провайдера ми отримуємо email, ідентифікатор облікового запису та — якщо провайдер їх передає — ім'я й посилання на фото (див. розділ 3). Ім'я з профілю ми підставляємо у форму заявки — його можна змінити перед надсиланням. Сесія входу зберігається в браузері (див. розділ 7).
Технічні звіти про збої сайту: на сайті можуть збиратися звіти про збої (Sentry): технічний опис помилки, дані браузера й ОС. Адреси сторінок очищаються від посилань-токенів заявок і кодів входу; дані форм, заголовки запитів, cookies, параметри адреси, запис сеансу та IP-адреса користувача до звітів не потрапляють (SDK налаштовано без збору даних користувача).

Ми не збираємо точне місцезнаходження і не продаємо ваші дані. Реклама в безкоштовній версії описана вище. У Європейському економічному просторі, Великій Британії та Швейцарії персоналізована реклама показується лише за вашою згодою, а на iPhone та iPad — лише якщо ви дозволили відстеження (App Tracking Transparency). В інших регіонах на Android Google може персоналізувати рекламу за рекламним ідентифікатором пристрою; вимкнути це можна в налаштуваннях Android (див. розділ 13). Ми не маємо на меті обробляти спеціальні категорії даних (ст. 9 GDPR) і просимо вас не вносити таку інформацію у вільні текстові поля (наприклад, у нотатки).

Підтримка в Telegram. Якщо ви звертаєтеся до підтримки в Telegram, ми зберігаємо у своїй базі даних ідентифікатор користувача Telegram, ваше ім'я в Telegram і мову інтерфейсу, а якщо ви відкрили чат із застосунку — ще й ідентифікатор вашого облікового запису, версію застосунку та платформу — доки переписку не буде видалено на ваш запит. Виняток: якщо підтримка заблокувала вас, ідентифікатор Telegram і позначка блокування лишаються й після видалення, щоб блокування продовжувало діяти.

3. Дані облікового запису Google та Apple

Вхід через Google або Apple необов'язковий — можна зареєструватися й за електронною поштою. У застосунку Apple доступна лише на iOS (Sign in with Apple); на сайті онлайн-запису вхід доступний лише через Google (див. нижче).

Якщо ви входите через Google, застосунок запитує лише базові дозволи (openid, email, profile) і отримує від Google:

адресу електронної пошти — щоб створити обліковий запис і входити в нього;
ідентифікатор облікового запису Google — щоб пов'язати його з вашим обліковим записом у застосунку;
ім'я та посилання на фото профілю — щоб заповнити ваш профіль у застосунку (ім'я можна змінити, а фото — змінити або видалити в налаштуваннях профілю). Якщо ви створите сторінку онлайн-запису, це фото (зокрема з облікового запису Google) копіюється у фото сторінки, яке бачать клієнти; його можна замінити або видалити в налаштуваннях сторінки.

Ми не отримуємо через API Google доступу до ваших контактів, листів Gmail, файлів на Google Диску, Google Календаря чи інших ваших даних у Google. Експорт записів у календар пристрою (розділ 2) працює через систему пристрою, а не через API Google.

Якщо ви входите через Apple (Sign in with Apple), застосунок запитує дозволи на ім'я та електронну пошту (full name, email) і отримує від Apple:

адресу електронної пошти — щоб створити обліковий запис і входити в нього. Це може бути ваша справжня адреса або згенерована Apple адреса-ретранслятор вигляду @privaterelay.appleid.com, якщо ви обрали приховати справжню пошту (лист усе одно доходить до вас — Apple його пересилає);
ідентифікатор облікового запису Apple — щоб пов'язати його з вашим обліковим записом у застосунку;
ім'я — Apple передає його лише під час першого входу (за наступних входів — ні), ми зберігаємо його у профілі; ім'я можна згодом змінити в налаштуваннях профілю. На відміну від Google, Apple не передає фото профілю.

Використання, передавання, зберігання та видалення даних, отриманих від Google і Apple, однакові:

Використання: дані, отримані від Google або Apple, потрібні лише для входу, ведення профілю, службових листів і відповідей на ваші звернення. Інші використання запускаєте ви: (1) якщо ви створюєте сторінку онлайн-запису, а в профілі є фото (зокрема з облікового запису Google), це фото копіюється у фото сторінки. Копія робиться один раз, під час створення сторінки, лише якщо в сторінки ще немає фото. Фото сторінки публічне: його бачить кожен, хто відкриє сторінку; його можна замінити або видалити в налаштуваннях сторінки. (2) Ім'я профілю (з Google чи Apple) показується на публічній сторінці, доки поле «Ім'я на сторінці» порожнє; щоб змінити це, заповніть поле. Ім'я з профілю також підставляється у форму заявки, яку ви надсилаєте на сайті як клієнт, і потрапляє до майстра. Ми не використовуємо ці дані для реклами, профілювання чи навчання моделей штучного інтелекту.
Передавання: ми не продаємо ці дані і не передаємо їх третім особам. Винятки: фото профілю, скопійоване у фото сторінки під час її створення, і ім'я профілю на сторінці, де немає власного імені, стають публічними; ім'я клієнта з форми заявки отримує майстер, якому ви пишете (див. вище); а також постачальники послуг із розділу 8 (зокрема Supabase — автентифікація й база даних, Resend — службові листи, Sentry — копія вашого звернення до розробника разом з адресою електронної пошти для відповіді), які обробляють їх лише від нашого імені, і випадки, коли цього вимагає закон.
Зберігання й захист: дані зберігаються, доки активний ваш обліковий запис, у базі даних Supabase (регіон ЄС), передаються шифрованим з'єднанням, доступ до них обмежено вашим обліковим записом — окрім фото й імені, які ви зробили публічними на сторінці онлайн-запису (див. вище). Якщо ви надсилаєте звернення до розробника, його копія з вашою адресою електронної пошти зберігається також у Sentry (розділ 10).
Видалення: видалення облікового запису в налаштуваннях застосунку безповоротно видаляє й дані, отримані від Google або Apple (розділ 10). Виняток — копії звернень до розробника в Sentry: про їх видалення йдеться там само.
Для Google відкликати доступ застосунку можна також на сторінці myaccount.google.com/connections.
Для Apple: під час видалення облікового запису застосунок автоматично відкликає зв'язок «Karbnote ↔ Apple ID» — показує системний запит Apple на пристрої, а отриманий код передає на наш сервер, який звертається до Apple, щоб анулювати доступ (сам код чи токен ми не зберігаємо). Відкликати доступ вручну можна також у налаштуваннях пристрою: «Параметри → [ваше ім'я] → Вхід і безпека → Вхід за допомогою Apple».
Відкликання доступу не видаляє вже отримані дані — для цього видаліть обліковий запис або напишіть на support@karbnote.com.

Використання та передавання застосунком інформації, отриманої через API Google, відповідає Політиці щодо даних користувачів служб Google API (Google API Services User Data Policy), зокрема вимогам щодо обмеженого використання (Limited Use).

Вхід клієнта на сайті онлайн-запису. На сайті karbnote.com клієнт може увійти через Google, щоб бачити свої заявки з будь-якого пристрою й отримувати листи про їхній статус. Ми отримуємо ті самі категорії даних, що описані вище (email, ідентифікатор облікового запису; ім'я та посилання на фото — якщо провайдер їх передає); профіль майстра за таким входом не створюється, а дані зберігаються в сховищі автентифікації Supabase. Використання й передавання — як вище (розділ 8), але з відмінністю: email вашого облікового запису потрапляє в заявку як контактний email і видимий майстру, а коли майстер приймає заявку, копіюється в картку клієнта в його застосунку. Після видалення вашого облікового запису email лишається в заявці до її видалення (розділ 10), а в картці клієнта майстра — доки майстер сам її не змінить чи не видалить; ми цим не керуємо. Видалення: у розділі «Мої заявки» (karbnote.com/b) кнопка «Видалити акаунт» безповоротно видаляє обліковий запис клієнта разом із даними, отриманими від Google (розділ 10). Вона не відкликає доступ у самому Google — це можна зробити вручну, як описано вище. Обліковий запис майстра на сайті видалити не можна — лише в застосунку.

4. Правові підстави обробки

Ми обробляємо ваші персональні дані на таких правових підставах (ст. 6 GDPR):

Виконання договору (ст. 6(1)(b)) — щоб створити й підтримувати ваш обліковий запис, надати функції застосунку, синхронізувати ваші дані, а також оформити й обслуговувати підписку Karbnote Premium, якщо ви її оберете, а на сайті онлайн-запису — для кроків перед укладенням договору між клієнтом і майстром на запит клієнта (прийняти заявку й передати її майстру; напис під кнопкою надсилання повідомляє про передачу даних майстру й посилається на цю Політику), а за входу клієнта вести його обліковий запис і надсилати листи про статус заявки.
Законний інтерес (ст. 6(1)(f)) — щоб забезпечити безпеку, цілісність і належну роботу сервісу, зокрема резервне копіювання та захист від зловживань, щоб відповідати на ваші звернення до розробника, а також для показу реклами Google AdMob у безкоштовній версії застосунку — вона фінансує безкоштовний доступ до основних функцій. У Європейському економічному просторі, Великій Британії та Швейцарії на цій підставі без згоди показується лише неперсоналізована реклама. На Android поза цими регіонами, де форма згоди не з'являється, на цій підставі показується персоналізована реклама за рекламним ідентифікатором пристрою (розділ 2) — заперечити проти цього можна скиданням або вимкненням рекламного ідентифікатора в налаштуваннях Android (розділ 13). На цій підставі ми також захищаємо форму онлайн-запису від зловживань (перевірка Turnstile, обмеження кількості заявок за хешем IP-адреси) і збираємо технічні звіти про збої сайту.
Виконання юридичних обов'язків (ст. 6(1)(c)) — коли цього вимагає законодавство (наприклад, відповідь на правомірні запити уповноважених органів).
Згода (ст. 6(1)(a)) — для дій, що потребують окремого дозволу (наприклад, доступ до контактів, календаря чи фотографій пристрою), а також для персоналізованої реклами Google AdMob у Європейському економічному просторі, Великій Британії та Швейцарії, де згоду на персоналізовану рекламу запитує форма Google під час першого відкриття списку з рекламою. Без згоди на цій підставі показується лише неперсоналізована реклама, описана вище. На iPhone та iPad, незалежно від регіону, персоналізація за рекламним ідентифікатором (IDFA) можлива лише після дозволу в системному запиті App Tracking Transparency — без нього на iPhone та iPad реклама неперсоналізована. Згоду на рекламу можна змінити або відкликати: Налаштування → «Налаштування конфіденційності реклами» (пункт з'являється, коли цього вимагає ваш регіон); на iPhone та iPad — також у Параметрах iOS → Конфіденційність і безпека → Відстеження.

5. Дані про третіх осіб (ваших клієнтів)

Щодо даних, які ви вносите про своїх клієнтів, контролером є ви, а ми виступаємо оператором (процесором) і обробляємо ці дані виключно за вашими вказівками та лише для надання вам функцій застосунку (умови обробки — розділ 6 Умов використання). Ви відповідаєте за наявність законних підстав для внесення таких даних і, за потреби, за інформування відповідних осіб або отримання їхньої згоди.

Те саме стосується заявок, які клієнти надсилають вам через сайт онлайн-запису: дані, що клієнт вводить у заявці (ім'я, телефон, email, коментар, обраний час), призначені майстру, до якого він записується, — контролером є майстер, а ми, як оператор, лише приймаємо, зберігаємо й передаємо їх майстру. Самостійним контролером ми є щодо даних, які потрібні для роботи самого сайту: перевірка Turnstile (де Cloudflare частково є самостійним контролером, розділ 8) й хеш IP-адреси для захисту від зловживань, обліковий запис клієнта на сайті (розділ 3), листи клієнту про статус заявки, технічні звіти про збої сайту, — а також щодо даних самого майстра (розділ 2).

6. Як ми використовуємо дані

надавати основні функції застосунку (облік клієнтів, послуг, розкладу та фінансів);
синхронізувати ваші дані між пристроями та зберігати резервну копію в хмарі;
надсилати транзакційні листи — код підтвердження пошти (OTP) та відновлення пароля. Ми не надсилаємо маркетингові розсилки;
діагностувати та виправляти збої застосунку;
відповідати на ваші звернення через форму зворотного зв'язку та розбиратися з описаними в них проблемами;
обслуговувати підписку Karbnote Premium, якщо ви її оформите: перевіряти її статус, відновлювати покупки й переносити підписку на ваш обліковий запис на іншому пристрої;
показувати рекламу Google AdMob у безкоштовній версії (без підписки Karbnote Premium);
онлайн-запис: приймати заявки клієнтів через сайт і передавати їх майстру, а майстру — надсилати push-сповіщення про нову заявку та про скасування заявки клієнтом;
надсилати клієнту, який увійшов на сайті, листи про статус заявки (підтверджено, відхилено, без відповіді, скасовано майстром чи системою) на email його облікового запису. На email, указаний у формі без входу, листів ми не надсилаємо — його бачить лише майстер;
захищати форму заявки від зловживань (Turnstile, обмеження кількості заявок).

7. Де зберігаються дані

Дані зберігаються локально на вашому пристрої (архітектура local-first) і синхронізуються до захищеної хмарної бази даних, що розміщена на серверах у Європейському Союзі. Доступ до ваших записів у хмарі обмежено на рівні рядків (Row-Level Security) — інші користувачі не мають доступу до ваших даних.

Сайт онлайн-запису і ваш браузер. Наш код сайту не встановлює cookies, а аналітики чи рекламних трекерів на сайті немає. Сайт використовує сховище браузера — лише на вашому пристрої:

localStorage — заявки на цьому пристрої: токени (посилання) заявок, надісланих без входу або відкритих за посиланням, — не більше 20 останніх, щоб показати їхній статус у «Мої заявки». Для клієнта, який увійшов, вони не зберігаються — крім заявки, надісланої без входу: її токен лишається на пристрої й після входу. Лишаються, доки ви не очистите дані сайту в браузері, не вийдете з облікового запису на сайті («Вийти» стирає їх) або доки заявку не видалить сервер чи майстер (тоді токен забувається, щойно ви відкриєте заявку чи «Мої заявки»). Окрему заявку можна прибрати з пристрою кнопкою «Прибрати з цього пристрою» на сторінці заявки: так вона зникає лише з цього пристрою, а на сервері лишається. Токен — це посилання-ключ: хто має доступ до вашого браузера, може відкрити статус заявки й скасувати її. Сторінка статусу показує послугу, час, ім'я майстра, ваш коментар, причину відхилення (якщо була) і ціну (якщо майстер показує ціни); вашого імені й телефону на ній немає.
localStorage — сесія входу: службові дані входу через Google (токени сесії Supabase; під час входу — тимчасові дані PKCE). Видаляються кнопкою «Вийти» або після видалення облікового запису.
localStorage — тема та мова: ваш вибір теми й мови сайту, щоб пам'ятати його між візитами; лишається, доки ви не очистите дані сайту.
sessionStorage — тимчасові дані форми: чернетка форми (ім'я, телефон, email, коментар, послуга, обраний час) зберігається, лише коли ви натискаєте вхід через Google, щоб форма не втратилась під час переходу; ключ повторної відправки разом із копією введених даних — на випадок збою мережі під час відправлення; адреса, куди повернути вас після входу; хеш токена заявки, яку ви прибрали з пристрою кнопкою на сторінці заявки, — щоб сторінка не додала її знову. Строк дії чернетки й ключа — 30 хвилин, дані зникають із закриттям вкладки, а чернетка й ключ видаляються після успішної відправки.

Цей сайт відображає шрифти зі свого домену, не з Google. Cloudflare Turnstile — сторонній віджет, який на формі заявки може використовувати власні технічні засоби браузера згідно з політикою конфіденційності Cloudflare.

Журнали серверів. Supabase зберігає журнали API та серверних функцій, що містять IP-адреси, до 7 днів (строк залежить від тарифу). Cloudflare як хостинг сайту обробляє IP-адресу кожного відвідувача, а не лише під час перевірки Turnstile, і зберігає журнали згідно з політикою Cloudflare.

8. Постачальники послуг (субпроцесори)

Ми залучаємо надійних постачальників для роботи сервісу:

Supabase — хостинг бази даних, автентифікація (зокрема вхід клієнтів на сайті), серверні функції приймання заявок і сповіщень та зберігання даних (база даних і серверні функції заявок і сповіщень — регіон ЄС);
Google — вхід через обліковий запис Google (OAuth) у застосунку й на сайті онлайн-запису та оплата підписки (Google Play);
Apple — вхід через Apple ID (Sign in with Apple): у застосунку лише на iOS, на сайті онлайн-запису його немає; оплата підписки (App Store);
Resend — доставка транзакційних електронних листів (зокрема листів клієнтам про статус заявки);
Sentry — збирання технічних звітів про збої застосунку та сайту, а також звернень, надісланих через форму «Зв'язатися з розробником»;
Cloudflare — хостинг сайту karbnote.com (Cloudflare Workers) і перевірка Turnstile на формі заявки. За Turnstile Privacy Addendum Cloudflare збирає IP-адресу, TLS-відбиток і User-Agent і частково обробляє їх як самостійний контролер (політика Turnstile);
Expo (сервіс Expo Push) — доставка push-сповіщень майстрам про заявки через Apple (APNs) і Google (Firebase Cloud Messaging). Expo отримує токен пристрою й текст сповіщення — назву послуги та час, без імені й телефону клієнта;
Expo (сервіс EAS Update) — доставка оновлень застосунку. Під час запуску застосунок звертається до серверів оновлень Expo (u.expo.dev) і передає IP-адресу, випадковий ідентифікатор встановлення (EAS-Client-ID), платформу та версію застосунку; даних про вас чи ваших клієнтів у цьому запиті немає;
RevenueCat — облік підписки Karbnote Premium, оформленої через Google Play (Android) або App Store (iPhone, iPad): покупки та статус підписки. Політика конфіденційності RevenueCat: revenuecat.com/privacy-policy.

Ці постачальники обробляють дані лише за нашими інструкціями на підставі договорів про обробку даних.

Окремо — Google AdMob, який показує рекламу в безкоштовній версії застосунку. На відміну від постачальників вище, у рекламі Google діє як самостійний контролер даних, а не за нашими інструкціями: він сам визначає цілі та засоби обробки рекламних даних, описаних у розділі 2. Як Google використовує дані застосунків-партнерів: policies.google.com/technologies/partner-sites.

Окремо — Telegram, якщо ви самі звертаєтеся до підтримки в Telegram (кнопки Telegram у застосунку й на сайті — у підвалі, довідці та «Що нового» — ведуть до бота @karbnote_support_bot). Це ваша ініціатива: ваші повідомлення в Telegram обробляє Telegram, а до приватної групи підтримки, у якій відповідаємо ми, потрапляють ім'я, username і мова інтерфейсу Telegram та тексти ваших звернень. Якщо ви відкрили чат із застосунку, у групу додатково потрапляють адреса електронної пошти, ідентифікатор облікового запису, версія застосунку, платформа та статус Premium. Відгуки, надіслані формою «Зв'язатися з розробником», у Telegram не передаються: у групу надходить лише сповіщення про новий відгук без його змісту. Telegram діє як самостійний контролер даних: telegram.org/privacy. Строки зберігання — у розділі 10.

9. Міжнародна передача даних

Основна база даних розміщена в ЄС, тому ваші робочі дані зберігаються в межах Європейського економічного простору (ЄЕП). Водночас окремі постачальники (зокрема Google, Apple, Resend, Sentry, RevenueCat, Cloudflare, Expo та Google AdMob) можуть обробляти обмежений обсяг даних (наприклад, вашу електронну пошту й ім'я, технічні звіти про збої, ідентифікатори покупок, рекламний ідентифікатор, токен push-сповіщень, IP-адресу відвідувача сайту) на серверах у США. Така передача здійснюється на підставі гарантій, передбачених GDPR, — Стандартних договірних положень (Standard Contractual Clauses) та/або сертифікації за програмою EU-US Data Privacy Framework. Серверні функції Supabase (приймання заявок і сповіщення) виконуються в тому самому регіоні ЄС, що й база даних.

Якщо ви звертаєтеся до підтримки в Telegram, повідомлення й дані з розділу 8 обробляє Telegram на власних серверах, зокрема поза ЄЕП. Telegram не підписував із нами Стандартних договірних положень і не сертифікований за Data Privacy Framework: ця передача відбувається з вашої ініціативи й потрібна, щоб відповісти на ваше звернення (ст. 49(1)(b) GDPR). Без передачі в Telegram можна написати формою в застосунку або на support@karbnote.com.

10. Строки зберігання та видалення

Ми зберігаємо ваші дані, доки активний ваш обліковий запис. Ви можете будь-коли видалити обліковий запис у налаштуваннях застосунку — це безповоротно видаляє ваш профіль та всі пов'язані дані (клієнти, послуги, записи, транзакції, фотографії) з активної бази даних. Копії, що могли потрапити до резервних архівів, видаляються автоматично в межах звичайного циклу ротації резервних копій (як правило, протягом 30 днів). Окремі дані ми можемо зберігати довше, лише якщо це прямо вимагається законодавством.

Винятком є дані про підписку Karbnote Premium. Оплату проводить магазин застосунків, у якому оформлено підписку, — Google Play (Android) або App Store (iPhone, iPad); облік покупок веде також RevenueCat. Видалення облікового запису Karbnote не скасовує підписку: скасуйте її в Google Play (розділ «Підписки») або на iPhone чи iPad у «Параметри → [ваше ім'я] → Підписки», інакше списання триватимуть. Після видалення облікового запису в RevenueCat лишається запис покупця з ідентифікатором вашого колишнього облікового запису та історією покупок (ідентифікатори транзакцій, плани, дати, країна й валюта); email та ім'я туди не передаються. Записи про транзакції лишаються й у Google або Apple: вони потрібні для бухгалтерського й податкового обліку, і ми не можемо їх видалити. Щоб видалити запис у RevenueCat, напишіть нам на support@karbnote.com — ми видалимо його за вашим запитом. Реквізити вашої картки ми не отримуємо і не зберігаємо.

Дані, які Google AdMob обробляє як самостійний контролер (розділ 8), видалення облікового запису Karbnote також не стосується. Керувати ними можна безпосередньо в акаунті Google: myaccount.google.com/data-and-privacy, а рекламним ідентифікатором пристрою — в налаштуваннях реклами Android.

Звернення до розробника, надіслані після входу, пов'язані з обліковим записом і видаляються разом із ним. Звернення, надіслані до входу, з обліковим записом не пов'язані: ми зберігаємо їх, доки вони потрібні для відповіді та покращення застосунку, і видаляємо на ваш запит на support@karbnote.com.

Копія кожного звернення (текст, категорія, адреса електронної пошти для відповіді та технічні дані про пристрій і версію застосунку) надходить також до Sentry, щоб ми вчасно його помітили. Разом з обліковим записом ця копія не видаляється: вона зникає автоматично зі спливом строку зберігання Sentry або раніше — на ваш запит на support@karbnote.com.

Звернення в Telegram. Якщо ви відкрили чат із підтримкою з застосунку, адреса електронної пошти, ідентифікатор облікового запису, версія застосунку, платформа та статус Premium показуються в картці вашої теми в групі підтримки. Під час видалення облікового запису ці картки видаляються з групи. Саму переписку (ваші повідомлення й наші відповіді) ми зберігаємо в групі, доки ви не попросите її видалити, — напишіть нам на support@karbnote.com або в чат із ботом.

Онлайн-запис. Заявки видаляються автоматично (чистка запускається щодоби): відхилені, прострочені та скасовані — через 90 днів після подання; прийняті — через 90 днів після запланованого часу візиту. Заявка без відповіді закривається через 24 години після подання або за 15 хвилин до візиту (для заявки на проміжок часу — за 15 хвилин до останнього можливого початку, коли послуга ще вміщується в проміжок) — залежно від того, що настане раніше. Майстер може видалити заявку й раніше — наприклад, на запит клієнта; тоді з неї одразу стираються ім'я, телефон, email, коментар, причина відхилення та хеш IP-адреси, а посилання на заявку показує, що її видалив майстер. Решта (послуга, час, прив'язка до облікового запису клієнта) видаляється за загальними правилами чистки вище. Під час чистки разом із заявкою видаляється й хеш IP-адреси. Запис у розкладі та картка клієнта, створені майстром на основі заявки, — це дані майстра (розділ 5); чистка заявок їх не видаляє. Вимкнення сторінки запису заявок не видаляє. Сторінка, її налаштування, заявки, токени push та копія статусу Premium видаляються разом із обліковим записом майстра; лише адреса сторінки разом зі службовим ідентифікатором облікового запису ще 30 днів зберігається в карантині (як і після зміни адреси), щоб старі посилання не вели до іншої людини. Токен push також знімається під час виходу з облікового запису в застосунку та коли Expo повідомляє, що він недійсний.

Видалення облікового запису клієнта на сайті («Мої заявки» → «Видалити акаунт») видаляє обліковий запис і дані, отримані від Google. Надіслані заявки при цьому не видаляються: вони лишаються в майстра з указаними в них іменем, телефоном і email (email вашого облікового запису теж потрапляє в заявку, а після її прийняття — у картку клієнта майстра, де лишається, доки майстер її не видалить) до закінчення строків вище, але від'єднуються від вашого облікового запису, і листи про них більше не надходять. Дані в браузері (розділ 7) ви можете стерти самі.

11. Безпека

Передавання даних відбувається шифрованим з'єднанням (HTTPS/TLS). Доступ до даних у хмарі захищено правилами безпеки на рівні рядків. Жоден метод передавання чи зберігання не є абсолютно безпечним, але ми вживаємо обґрунтованих технічних та організаційних заходів для захисту ваших даних.

12. Автоматизоване прийняття рішень

Ми не приймаємо рішень, що мають для вас юридичні чи інші суттєві наслідки, виключно на основі автоматизованої обробки, і не здійснюємо профілювання у розумінні ст. 22 GDPR.

13. Ваші права

Відповідно до GDPR та законодавства України ви маєте право:

отримати доступ до своїх даних та виправити неточні дані;
видалити свої дані («право бути забутим»);
обмежити обробку або заперечити проти неї;
отримати копію своїх даних у машинозчитуваному форматі (право на перенесення даних);
відкликати раніше надану згоду без впливу на законність попередньої обробки.

Рекламою можна керувати й окремо: «Налаштування конфіденційності реклами» в застосунку (якщо його вимагає ваш регіон), скидання або вимкнення рекламного ідентифікатора в налаштуваннях Android, заборона відстеження в налаштуваннях iOS. Повністю прибирає рекламу підписка Karbnote Premium.

Онлайн-запис. Клієнт на сайті може відкрити статус заявки за її посиланням або в розділі «Мої заявки» (karbnote.com/b), скасувати заявку на сторінці статусу, вийти з облікового запису та видалити акаунт («Мої заявки» → «Видалити акаунт»; що саме видаляється — розділ 10). Збережені в браузері посилання на заявки стирають очищення даних сайту та вихід з облікового запису («Вийти»); самі заявки при цьому не видаляються. Щоб виправити чи видалити дані заявки (ім'я, телефон, коментар), які вже передано майстру, напишіть майстру або нам на support@karbnote.com із посиланням на заявку — ми передамо запит майстру й видалимо заявку за його вказівкою.

Більшість цих дій доступні безпосередньо в застосунку. З інших питань пишіть на support@karbnote.com — ми відповімо у строки, передбачені законодавством. Якщо ви вважаєте, що ваші права порушено, ви маєте право подати скаргу до наглядового органу: в Україні — до Уповноваженого Верховної Ради України з прав людини, у ЄС — до органу нагляду за захистом даних вашої країни проживання.

14. Діти

Застосунок не призначений для осіб віком до 16 років, і ми свідомо не збираємо їхні дані. Якщо ви вважаєте, що ми могли зібрати дані дитини, повідомте нас — і ми їх видалимо.

15. Застосовне право

До цієї Політики застосовується законодавство України з урахуванням вимог GDPR щодо користувачів з Європейського економічного простору.

16. Зміни до політики

Ми можемо оновлювати цю Політику. Про суттєві зміни ми повідомимо в застосунку або електронною поштою. Дата набрання чинності вказана вгорі сторінки.

17. Контакти

З будь-яких питань щодо конфіденційності звертайтеся: support@karbnote.com.

Privacy Policy

Effective date: October 20, 2026

This Privacy Policy explains how the Karbnote mobile app ("the app", "we", "us") collects, uses, stores and protects your personal data. Karbnote is a tool for independent pros: client and service records, appointment scheduling, and finance tracking. We process personal data in accordance with the EU General Data Protection Regulation (GDPR, Regulation (EU) 2016/679) and the Law of Ukraine "On Personal Data Protection".

This Policy also covers the online booking website karbnote.com: the specialists' public pages (karbnote.com/<address>), the request form, the request status page and the "My requests" section.

1. Who we are (data controller)

The controller of your personal data is Yevhen Kyriukhin — an individual (Ukraine) who determines the purposes and means of the processing. For all privacy matters and to exercise your rights, contact us at support@karbnote.com.

2. What data we collect

We only process the data needed to run the app:

Account data: your email address and password (stored hashed by our authentication provider). If you sign in with Google or Apple, we receive part of your profile data from that provider (see section 3).
Profile: your name, optional profile photo, and app preferences (theme, language, currency, working hours, reminders).
Business data you enter: clients (name, photo, phone, messenger/social links, notes), services, appointments, and financial transactions (income/expenses, amounts, categories).
Device contacts: if you use contact import, the app reads the contacts on your device (name, phone numbers, photo) to show them to you for selection. The list is processed on the device only and is not transmitted anywhere; only the contacts you pick for a client record are saved and synced with your account. Access is requested separately.
Device calendar: if you turn on calendar sync, the app adds your appointments (time, client name, service, note) to the calendar you choose on your device and updates them when an appointment changes. To do so, the app also sees the list of calendars and the events it added itself. Access is requested separately. This data is not sent to our servers. If the calendar syncs with a cloud service (e.g. Google Calendar or iCloud), the events are visible to anyone that calendar is shared with, according to the service's settings. When you sign out, the app deletes the events it added.
Photos: if you add a client, profile or online booking page photo, the app accesses the image you choose. The booking page photo is public: anyone who opens the page address can see it.
Crash diagnostics: if the app crashes, we receive a technical report (device model, OS and app versions, a technical error description) — without your business data.
Messages to the developer: if you send a message via the "Contact developer" form (available even before you sign in), we receive the message text and category, an email address for our reply (optional before sign-in; your account email once signed in) and technical device data: model and manufacturer, OS and app versions, language, time zone and screen size. We do not collect hardware device identifiers.
Karbnote Premium subscription data: if you subscribe, we receive data about the subscription through RevenueCat from the app store you subscribed in (Google Play or the App Store): the purchase identifier, the chosen plan, the start, renewal and end dates, whether a free trial applies, and the country and currency of the purchase. The subscription belongs to your Karbnote account: RevenueCat identifies the customer by your account's internal identifier (not your email or name). The RevenueCat SDK also sends technical data — app and OS versions, language, country and IP address. Payment details (card number, etc.) are handled by Google Play or Apple — we never have access to them.
Ads in the free version: if you don't have a Karbnote Premium subscription, the app shows native Google AdMob ads in some lists (appointments, clients, transactions). To show ads, the Google SDK receives your device's advertising ID (Android Advertising ID; on iPhone the IDFA, only with your App Tracking Transparency permission), as well as other device and app identifiers the SDK collects regardless of ATT permission — on iPhone the IDFV (vendor identifier), and on both platforms the app set ID (a service identifier used to rotate ads). It also receives your IP address (used to estimate approximate location), technical device and app data, and ad interaction data (impressions, taps). Your work data — client names and phone numbers, photos, appointments, amounts — is never passed to the ad SDK and is never used to select ads. With Karbnote Premium no ads are shown or loaded.

Online booking (karbnote.com website). A specialist with a Premium subscription can open a public booking page through which clients send booking requests. This concerns two groups of people:

a) Specialist — booking page: the page address, the name shown on the page (your profile name if empty), a short description (up to 500 characters), the services selected for booking (name, description, duration, category, icon; the price only if you choose to show it), booking rules (working hours, days off, minimum notice, a booking horizon of up to 90 days, how long a request may wait for a reply, time zone) and whether the page is switched on. Everything shown on the page is public: anyone who opens its address can see it. The page shows a page photo: when the page is created, your profile photo is copied to it (if you have one), and you can replace or delete it in the page settings. The photo is public: anyone who opens the page address can see it. To switch the page on, the server also keeps a flag of an active Premium subscription (the end date and the product identifier).
a) Specialist — requests and push notifications: clients' requests (see below) are available to you in the app. When you accept a request, the app creates an appointment in your schedule (the client's comment is copied into the appointment note) and, if needed, a client record: name, phone, email (if given) and an internal identifier of the client's website account (if the client signed in). To notify you about requests, we store your device's Expo push token, its platform (iOS or Android) and the time it was updated. The token is registered only if you have a booking page and have allowed notifications in the device's system settings; a token is also registered if the device still holds an unremoved token of a previous user (even without a booking page), so that the previous owner's notifications do not arrive on this device. No more than 10 tokens are kept per account.
b) Specialist's client — a request on the website: name (up to 80 characters), phone, email (optional; if the client is signed in, the email of their account is used and the field is not shown), comment (optional, up to 500 characters), the chosen service with its duration and price at the time of the request, the preferred time or time range, and the site language (Ukrainian or English; emails are sent in it). The form has no consent checkbox: a note under the “Send request” button says that pressing it means agreeing to share these details with the specialist for the booking. The server also creates a random link token that opens the request status page, and stores the status, the submission time and the decline reason, if the specialist gave one.
b) Specialist's client — technical data and Turnstile check: to protect the form from spam we use Cloudflare Turnstile: the widget is loaded from Cloudflare's servers only on the request form, and our server checks the result with Cloudflare, passing the IP address to it. Under the Turnstile Privacy Addendum, Cloudflare collects the IP address, TLS fingerprint and User-Agent and partly processes them as an independent controller (Turnstile policy). The request does not store the IP address: only its one-way hash (SHA-256 with a secret salt; for IPv6, a hash of the /64 network prefix) is saved with the request. It is used only to limit how many requests come from one connection and is kept no longer than the request itself (section 10). Because such an identifier may count as personal data, we treat it accordingly. For a signed-in client, the Supabase authentication service separately stores the IP address and User-Agent in session records and the audit log.
b) Specialist's client — signing in on the website (optional): a request can be sent without signing in. After signing in with Google, the client sees all their requests from any device and receives status emails. From the provider we receive the email, the account ID and — if the provider supplies them — the name and a link to the profile photo (see section 3). We put the profile name into the request form — you can change it before sending. The sign-in session is kept in the browser (see section 7).
Website crash reports: the website may collect crash reports (Sentry): a technical error description and browser and OS data. Page addresses are stripped of request link tokens and sign-in codes; form data, request headers, cookies, address parameters, session recording and the user's IP address are not included in the reports (the SDK is configured not to collect user data).

We do not collect precise location and we don't sell your data. Ads in the free version are described above. In the European Economic Area, the UK and Switzerland, personalized ads are shown only with your consent, and on iPhone and iPad only if you've allowed tracking (App Tracking Transparency). In other regions, on Android, Google may personalize ads using your device's advertising ID; you can turn this off in Android settings (see section 13). We do not intend to process special categories of data (Art. 9 GDPR), and we ask you not to enter such information into free-text fields (e.g. notes).

Support in Telegram. If you contact support in Telegram, we store your Telegram user ID, your Telegram name and interface language in our database. If you opened the chat from the app, we also store your account ID, the app version and the platform. We keep this until the conversation is deleted at your request. Exception: if support has blocked you, your Telegram user ID and the block mark stay after deletion, so that the block keeps working.

3. Google and Apple account data

Signing in with Google or Apple is optional — you can also register with email. In the app, Apple is available on iOS only (Sign in with Apple); on the online booking website, only Google sign-in is available (see below).

If you sign in with Google, the app requests only the basic scopes (openid, email, profile) and receives from Google:

your email address — to create your account and sign you in;
your Google account ID — to link it to your Karbnote account;
your name and a link to your profile photo — to pre-fill your profile in the app (you can change your name and change or remove the photo in profile settings). If you create an online booking page, this photo (including one from your Google account) is copied to the page photo that clients see; you can replace or delete it in the page settings.

We do not use Google APIs to access your contacts, Gmail messages, Google Drive files, Google Calendar or any other data in your Google account. Exporting appointments to the device calendar (section 2) works through your device's system calendar, not through Google APIs.

If you sign in with Apple (Sign in with Apple), the app requests the name and email permissions (full name, email) and receives from Apple:

your email address — to create your account and sign you in. This may be your real address or an Apple-generated relay address such as @privaterelay.appleid.com if you chose to hide your real email (Apple still forwards the message to you);
your Apple account ID — to link it to your Karbnote account;
your name — Apple sends it only on the first sign-in (not on later sign-ins); we store it in your profile, and you can change it later in profile settings. Unlike Google, Apple does not provide a profile photo.

The use, sharing, storage and deletion of data received from Google and Apple are the same:

Use: data received from Google or Apple is used only to sign you in, maintain your profile, send service emails and reply to your support requests. Two other uses start with your action. (1) If you create an online booking page and your profile has a photo (including one from your Google account), the app copies this photo to the page photo. The copy is made once, when the page is created, and only if the page has no photo yet. The page photo is public: everyone who opens the page can see it. You can replace or delete it in the page settings. (2) The profile name (from Google or Apple) is shown on the public page while the "Name on the page" field is empty; fill in that field to change this. The profile name is also put into the request form that you send as a client on the website, and it reaches the specialist. We do not use this data for advertising, profiling or training AI models.
Sharing: we do not sell this data or share it with third parties. The exceptions are: the profile photo copied to the page photo when the page was created, and the profile name on a page that has no name of its own, become public; the client's name in a request form goes to the specialist you write to (see above); and the service providers listed in section 8 (Supabase for authentication and database, Resend for service emails, Sentry for a copy of a message you send to the developer, together with the reply email address), which process it only on our behalf, and where required by law.
Storage and protection: the data is kept while your account is active, in our Supabase database (EU region), transmitted over encrypted connections, and access is restricted to your account, except the photo and name that you made public on the online booking page (see above). If you send a message to the developer, a copy of it with your email address is also kept in Sentry (section 10).
Deletion: deleting your account in the app settings permanently deletes the data received from Google or Apple as well (section 10). The exception is copies of messages to the developer held in Sentry: their deletion is described there too.
For Google, you can also revoke the app's access at myaccount.google.com/connections.
For Apple: when you delete your account, the app automatically revokes the "Karbnote ↔ Apple ID" link — it shows Apple's system prompt on your device, and sends the code it receives to our server, which contacts Apple to revoke access (we do not store the code or any resulting token). You can also revoke access manually on your device: "Settings → [Your Name] → Sign-In & Security → Sign in with Apple".
Revoking access does not delete data already received — to do that, delete your account or email support@karbnote.com.

Karbnote's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Client sign-in on the online booking website. On karbnote.com a client can sign in with Google to see their requests from any device and receive emails about their status. We receive the same categories of data as described above (email, account ID; name and a link to the profile photo — if the provider supplies them); no specialist profile is created by such a sign-in, and the data is kept in Supabase's authentication storage. Use and sharing are as above (section 8), with one difference: the email of your account goes into the request as the contact email and is visible to the specialist, and when the specialist accepts the request it is copied into the client record in their app. After your account is deleted, the email stays in the request until the request is deleted (section 10), and in the specialist's client record until the specialist changes or deletes that record; we do not control this. Deletion: in "My requests" (karbnote.com/b) the "Delete account" button permanently deletes the client's account together with the data received from Google (section 10). It does not revoke access in Google itself — you can do that manually, as described above. A specialist's account cannot be deleted on the website — only in the app.

4. Legal bases for processing

We process your personal data on the following legal bases (Art. 6 GDPR):

Performance of a contract (Art. 6(1)(b)) — to create and maintain your account, provide the app's features, sync your data, and set up and maintain your Karbnote Premium subscription if you choose one and, on the online booking website, to take steps before a contract between the client and the specialist at the client's request (to accept the request and pass it to the specialist; the note under the send button tells the client that the details go to the specialist and links to this Policy), and — when the client signs in — to keep their account and send emails about the request status.
Legitimate interests (Art. 6(1)(f)) — to ensure the security, integrity and proper operation of the service, including backups and protection against abuse, to respond to your messages to the developer, and to show Google AdMob ads in the free version of the app — this funds free access to the app's core features. In the European Economic Area, the UK and Switzerland, only non-personalized ads are shown on this basis without consent. On Android outside those regions, where the consent form doesn't appear, personalized ads are shown on this basis using your device's advertising identifier (section 2) — you can object by resetting or deleting the advertising identifier in Android settings (section 13). On this basis we also protect the online booking form against abuse (the Turnstile check, limits on the number of requests per IP address hash) and collect technical crash reports of the website.
Legal obligations (Art. 6(1)(c)) — where required by law (e.g. responding to lawful requests from authorities).
Consent (Art. 6(1)(a)) — for actions that need a separate permission (e.g. access to device contacts, calendar or photos) and for personalized Google AdMob ads in the European Economic Area, the UK and Switzerland, where a Google form asks for consent to personalized ads the first time you open a list with ads. Without consent on this basis, only the non-personalized ads described above are shown. On iPhone and iPad, regardless of region, personalization by advertising identifier (IDFA) is only possible after you allow it in the system App Tracking Transparency prompt — without it, ads on iPhone and iPad are non-personalized. You can change or withdraw ad consent at any time: Settings → "Ad privacy settings" (this item appears when your region requires it); on iPhone and iPad also iOS Settings → Privacy & Security → Tracking.

5. Data about third parties (your clients)

For the data you enter about your clients, you are the controller and we act as a processor, processing that data solely on your instructions and only to provide the app's features to you (processing terms — section 6 of the Terms of Use). You are responsible for having a lawful basis to enter such data and, where required, for informing the individuals concerned or obtaining their consent.

The same applies to requests that clients send you through the online booking website: for the data the client enters in a request (name, phone, email, comment, chosen time), which is intended for the specialist they are booking with, the specialist is the controller, and we, as a processor, only receive, store and pass it on to the specialist. We are an independent controller for the data needed to run the website itself: the Turnstile check (where Cloudflare is partly an independent controller, section 8) and the IP address hash for abuse protection, the client's website account (section 3), emails to the client about the request status, the website's crash reports — and for the specialist's own data (section 2).

6. How we use data

to provide core features (client, service, schedule and finance tracking);
to sync your data across devices and keep a cloud backup;
to send transactional emails — email verification codes (OTP) and password recovery. We do not send marketing emails;
to diagnose and fix app crashes;
to respond to messages sent via the feedback form and look into the issues you report;
to maintain your Karbnote Premium subscription, if you subscribe: check its status, restore purchases and move the subscription to your account on another device;
to show Google AdMob ads in the free version (without a Karbnote Premium subscription);
online booking: to receive clients' requests through the website and pass them to the specialist, and to send the specialist push notifications about a new request and about a request cancelled by the client;
to send a client who is signed in on the website emails about the request status (confirmed, declined, unanswered, cancelled by the specialist or by the system) to the email of their account. We do not send emails to the address entered in the form without signing in — only the specialist sees it;
to protect the request form against abuse (Turnstile, limits on the number of requests).

7. Where data is stored

Data is stored locally on your device (local-first architecture) and synced to a secure cloud database hosted on servers in the European Union. Access to your cloud records is restricted at the row level (Row-Level Security) — other users cannot access your data.

The online booking website and your browser. The website's own code does not set cookies, and the website has no analytics or advertising trackers. It uses browser storage — on your device only:

localStorage — requests on this device: the tokens (links) of requests sent without signing in or opened by a link — the 20 most recent at most, to show their status in "My requests". They are not stored for a signed-in client — except a request sent without signing in: its token stays on the device after you sign in. They stay until you clear the site's data in the browser, sign out on the website ("Sign out" erases them), or the server or the specialist deletes the request (the token is then forgotten as soon as you open the request or "My requests"). You can also remove one request from the device with the "Remove from this device" button on the request page: it disappears only from this device and stays on the server. A token is a link-key: whoever has access to your browser can open the request status and cancel it. The status page shows the service, time, the specialist's name, your comment, the decline reason (if any) and the price (if the specialist shows prices); your name and phone are not on it.
localStorage — sign-in session: service data of a Google sign-in (Supabase session tokens; temporary PKCE data while signing in). Removed by the "Sign out" button or after the account is deleted.
localStorage — theme and language: your choice of the site's theme and language, to remember it between visits; it stays until you clear the site's data.
sessionStorage — temporary form data: a form draft (name, phone, email, comment, service, chosen time) is saved only when you press sign-in with Google, so the form is not lost during the redirect; a resubmission key together with a copy of the entered data, in case the network fails while submitting; the address to return you to after sign-in; a hash of the token of a request you removed from the device with the button on the request page, so the page does not add it again. The draft and the key are valid for 30 minutes. The data disappears when the tab is closed, and the draft and the key are deleted after a successful submission.

The website serves fonts from its own domain, not from Google. Cloudflare Turnstile is a third-party widget that, on the request form, may use its own browser technologies in line with Cloudflare's privacy policy.

Server logs. Supabase keeps API and server-function logs containing IP addresses for up to 7 days (the period depends on the plan). Cloudflare, as the website host, processes the IP address of every visitor, not only during the Turnstile check, and keeps logs in line with Cloudflare's policy.

8. Service providers (sub-processors)

We rely on trusted providers to operate the service:

Supabase — database hosting, authentication (including client sign-in on the website), server functions for receiving requests and notifications, and data storage (the database and the request and notification functions are in the EU region);
Google — sign-in with your Google account (OAuth) in the app and on the online booking website, and subscription payments (Google Play);
Apple — sign-in with Apple ID (Sign in with Apple): in the app on iOS only, not on the online booking website; subscription payments (App Store);
Resend — delivery of transactional emails (including emails to clients about the request status);
Sentry — collection of technical crash reports of the app and the website, and of messages sent via the "Contact developer" form;
Cloudflare — hosting of the karbnote.com website (Cloudflare Workers) and the Turnstile check on the request form. Under the Turnstile Privacy Addendum, Cloudflare collects the IP address, TLS fingerprint and User-Agent and partly processes them as an independent controller (Turnstile policy);
Expo (the Expo Push service) — delivery of push notifications about requests to specialists via Apple (APNs) and Google (Firebase Cloud Messaging). Expo receives the device token and the notification text — the service name and time, without the client's name or phone;
Expo (the EAS Update service) — delivery of app updates. When the app starts, it contacts the Expo update servers (u.expo.dev) and sends the IP address, a random install identifier (EAS-Client-ID), the platform and the app version. The request has no data about you or your clients;
RevenueCat — managing the Karbnote Premium subscription purchased via Google Play (Android) or the App Store (iPhone, iPad): purchases and subscription status. RevenueCat's privacy policy: revenuecat.com/privacy-policy.

These providers process data only on our instructions under data processing agreements.

Separately — Google AdMob, which shows ads in the free version of the app. Unlike the providers above, for advertising Google acts as an independent data controller, not on our instructions: it determines its own purposes and means for processing the ad data described in section 2. How Google uses data from partner apps: policies.google.com/technologies/partner-sites.

Separately — Telegram, if you contact support in Telegram yourself (the Telegram buttons in the app and on the website — in the footer, the help and "What's new" — open the @karbnote_support_bot bot). This is your own initiative: Telegram processes your messages in Telegram, and the private support group where we reply receives your Telegram name, username and interface language and the texts of your messages. If you opened the chat from the app, the group also receives your email address, account identifier, app version, platform and Premium status. Reviews sent via the "Contact developer" form are not passed to Telegram: the group only receives a notice of a new review without its content. Telegram acts as an independent data controller: telegram.org/privacy. Retention periods are in section 10.

9. International data transfers

The primary database is hosted in the EU, so your business data is stored within the European Economic Area (EEA). However, some providers (in particular Google, Apple, Resend, Sentry, RevenueCat, Cloudflare, Expo and Google AdMob) may process a limited amount of data (e.g. your email and name, technical crash reports, purchase identifiers, advertising ID, push token, IP address of a website visitor) on servers in the United States. Such transfers rely on safeguards permitted by the GDPR — Standard Contractual Clauses and/or certification under the EU-US Data Privacy Framework. Supabase server functions (receiving requests and notifications) run in the same EU region as the database.

If you contact support in Telegram, Telegram processes your messages and the data described in section 8 on its own servers, including outside the EEA. Telegram has not signed Standard Contractual Clauses with us and is not certified under the Data Privacy Framework: this transfer happens at your initiative and is necessary to reply to your message (Art. 49(1)(b) GDPR). To avoid a transfer to Telegram, you can write via the form in the app or at support@karbnote.com.

10. Retention and deletion

We retain your data while your account is active. You can delete your account at any time in the app settings — this permanently removes your profile and all related data (clients, services, appointments, transactions, photos) from the active database. Copies that may have reached backup archives are deleted automatically within our regular backup rotation cycle (typically within 30 days). We retain specific data longer only where the law requires it.

Karbnote Premium subscription data is an exception. Payment is processed by the app store where you subscribed — Google Play (Android) or the App Store (iPhone, iPad) — and purchases are also recorded by RevenueCat. Deleting your Karbnote account does not cancel the subscription: cancel it in Google Play (Subscriptions) or, on iPhone or iPad, in Settings → [your name] → Subscriptions, otherwise you will keep being charged. After your account is deleted, RevenueCat keeps a customer record with your former account identifier and purchase history (transaction identifiers, plans, dates, country and currency); your email and name are not sent there. Transaction records also remain with Google or Apple: they are needed for accounting and tax purposes, and we cannot delete them. To have the RevenueCat record deleted, write to support@karbnote.com and we will delete it at your request. We never receive or store your card details.

Data that Google AdMob processes as an independent controller (section 8) is not affected by deleting your Karbnote account either. You can manage it directly in your Google account: myaccount.google.com/data-and-privacy, and manage your device's advertising ID in Android ad settings.

Messages to the developer sent while signed in are linked to your account and deleted together with it. Messages sent before sign-in are not linked to any account: we keep them as long as needed to reply and improve the app, and delete them at your request via support@karbnote.com.

A copy of every message (its text, category, the reply email address and technical data about the device and app version) is also sent to Sentry so that we notice it in time. This copy is not deleted together with your account: it is removed automatically when Sentry's retention period expires, or earlier at your request via support@karbnote.com.

Messages in Telegram. If you opened the support chat from the app, your email address, account identifier, app version, platform and Premium status are shown in the card of your topic in the support group. When you delete your account, these cards are deleted from the group. We keep the conversation itself (your messages and our replies) in the group until you ask us to delete it — email support@karbnote.com or write in the bot chat.

Online booking. Requests are deleted automatically (the cleanup runs daily): declined, expired and cancelled ones — 90 days after submission; accepted ones — 90 days after the scheduled visit time. A request without a reply is closed 24 hours after it is submitted or 15 minutes before the visit (for a request for a time range — 15 minutes before the last possible start, when the service still fits into the range), whichever comes first. A specialist can also delete a request earlier — for example, at the client's request; the name, phone number, email, comment, decline reason and IP address hash are then erased from it immediately, and its link shows that the specialist deleted it. The rest (service, time, link to the client's account) is deleted under the regular cleanup rules above. The IP address hash is deleted together with the request during the cleanup. The appointment and the client record that a specialist created from a request are the specialist's data (section 5); the cleanup of requests does not delete them. Switching the booking page off does not delete requests. The page, its settings, requests, push tokens and the copy of the Premium status are deleted together with the specialist's account; only the page address together with an internal account identifier is kept in quarantine for another 30 days (as it is after an address change), so old links do not lead to someone else. The push token is also removed when you sign out of the app and when Expo reports that it is no longer valid.

Deleting a client's account on the website ("My requests" → "Delete account") deletes the account and the data received from Google. Requests already sent are not deleted: they stay with the specialist, with the name, phone and email given in them (the email of your account also goes into the request and, once it is accepted, into the specialist's client record, where it stays until the specialist deletes that record), until the periods above expire, but they are detached from your account, and no more emails about them are sent. You can erase the data in your browser (section 7) yourself.

11. Security

Data is transmitted over an encrypted connection (HTTPS/TLS). Access to cloud data is protected by row-level security rules. No method of transmission or storage is completely secure, but we take reasonable technical and organizational measures to protect your data.

12. Automated decision-making

We do not make decisions that produce legal or similarly significant effects on you based solely on automated processing, and we do not carry out profiling within the meaning of Art. 22 GDPR.

13. Your rights

Under the GDPR and the laws of Ukraine, you have the right to:

access your data and correct inaccurate data;
erase your data ("right to be forgotten");
restrict or object to processing;
obtain a copy of your data in a machine-readable format (data portability);
withdraw consent previously given, without affecting prior lawful processing.

You can also control ads separately: "Ad privacy settings" in the app (where your region requires it), resetting or deleting the advertising ID in Android settings, and turning off tracking in iOS settings. A Karbnote Premium subscription removes ads completely.

Online booking. On the website a client can open a request's status by its link or in "My requests" (karbnote.com/b), cancel a request on the status page, sign out and delete the account ("My requests" → "Delete account"; section 10 says what exactly is deleted). Clearing the site's data or signing out ("Sign out") erases the request links saved in the browser; the requests themselves are not deleted. To correct or delete the request details (name, phone, comment) already passed to a specialist, write to the specialist or to us at support@karbnote.com with a link to the request — we will pass the request to the specialist and delete the request on their instruction.

Most of these actions are available directly in the app. For other requests, email support@karbnote.com — we will respond within the time limits set by law. If you believe your rights have been infringed, you have the right to lodge a complaint with a supervisory authority: in Ukraine — the Ukrainian Parliament Commissioner for Human Rights; in the EU — the data protection authority of your country of residence.

14. Children

The app is not intended for individuals under 16, and we do not knowingly collect their data. If you believe we may have collected a child's data, please notify us and we will delete it.

15. Governing law

This Policy is governed by the laws of Ukraine, subject to the GDPR requirements applicable to users in the European Economic Area.

16. Changes to this policy

We may update this Policy. We will notify you of material changes in the app or by email. The effective date is shown at the top of this page.

17. Contact

For any privacy questions, contact us at support@karbnote.com.