Polityka Prywatności
Data ostatniej aktualizacji: 24 czerwca 2026
Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych przez serwis SalonBot — platformę SaaS (Software as a Service) do zarządzania rezerwacjami w salonach piękności za pośrednictwem bota Telegram, panelu administracyjnego oraz powiązanych usług.
1. Administrator danych i Usługodawca
Usługodawcą platformy SalonBot jest:
Olena Shevchenko
prowadząca działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy z dnia 6 marca 2018 r. — Prawo przedsiębiorców (Dz.U. z 2024 r. poz. 236 ze zm.)
Adres do korespondencji: Trzciana 206E, 36-071 Trzciana, Polska
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
zwana dalej „Usługodawcą" lub „SalonBot".
SalonBot pełni rolę podmiotu przetwarzającego (procesora) w rozumieniu art. 28 RODO w odniesieniu do danych osobowych klientów salonów piękności. Administratorem danych osobowych klientów jest salon piękności (właściciel salonu lub specjalista), który korzysta z platformy SalonBot na podstawie odrębnej umowy (Umowa Subskrypcji SaaS) i powiązanej Umowy Powierzenia Przetwarzania Danych (DPA).
W odniesieniu do danych osobowych właścicieli salonów i specjalistów (użytkowników panelu administracyjnego i bota specjalisty), SalonBot pełni rolę administratora danych.
2. Definicje
- Klient — osoba fizyczna korzystająca z bota Telegram salonu w celu rezerwacji wizyt.
- Specjalista (Mistrz) — osoba fizyczna świadcząca usługi kosmetyczne w salonie, korzystająca z bota specjalisty Telegram i/lub panelu administracyjnego.
- Właściciel salonu — osoba fizyczna lub prawna zarządzająca salonem piękności, korzystająca z panelu administracyjnego SalonBot.
- Użytkownik — ogólne określenie dla Klienta, Specjalisty lub Właściciela salonu.
- Platforma — ogół usług SalonBot: boty Telegram (kliencki i specjalisty), panel administracyjny, API.
- RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
3. Zakres przetwarzanych danych
3.1. Dane klientów salonu
Przetwarzamy następujące dane klientów w imieniu salonu (administratora):
| Kategoria | Dane | Źródło |
|---|---|---|
| Identyfikacyjne | Imię i nazwisko | Profil Telegram |
| Kontaktowe | Telegram ID, numer telefonu (opcjonalnie) | Profil Telegram / udostępnione przez klienta |
| Preferencje | Kod języka | Profil Telegram |
| Historia wizyt | Data, godzina, specjalista, usługi, cena | Rezerwacje w systemie |
| Opinie | Ocena 1–5, komentarz | Po wizycie w bocie |
| Pytania | Treść pytań do specjalistów i odpowiedzi | Bot Telegram |
| Zgody | Data i czas wyrażenia zgody na przetwarzanie danych, data i czas wyrażenia zgody na komunikację marketingową | Bot Telegram |
3.2. Dane specjalistów (mistrzów)
| Kategoria | Dane | Źródło |
|---|---|---|
| Identyfikacyjne | Imię i nazwisko | Wprowadzone przez właściciela salonu |
| Kontaktowe | Telegram ID (bota specjalisty) | Konfiguracja salonu |
| Kalendarz | Adres e-mail Google (przy podłączeniu Google Calendar), refresh token OAuth 2.0 (zaszyfrowany) | Google OAuth 2.0 |
| Kalendarz — zdarzenia | Informacje o zajętości (freebusy), zdarzenia utworzone przez SalonBot w kalendarzu osobistym specjalisty | Google Calendar API |
3.3. Dane właścicieli salonów
| Kategoria | Dane | Źródło |
|---|---|---|
| Identyfikacyjne | Imię, nazwisko, nazwa salonu | Rejestracja |
| Kontaktowe | E-mail, telefon salonu, adres salonu | Rejestracja |
| Uwierzytelnianie | Hash hasła (bcrypt) | Panel administracyjny |
4. Cele i podstawa prawna przetwarzania
4.1. Dane klientów (SalonBot jako procesor, salon jako administrator)
| Cel | Podstawa prawna |
|---|---|
| Rezerwacja i obsługa wizyt | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) |
| Wysyłanie przypomnień o wizycie (24h, 2h przed) | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) |
| Łączenie historii klienta po numerze telefonu | Art. 6 ust. 1 lit. f RODO (uzasadniony interes) |
| Wysyłanie komunikatów marketingowych | Art. 6 ust. 1 lit. a RODO (odrębna zgoda) |
| Analityka salonu (statystyki, wykresy) | Art. 6 ust. 1 lit. f RODO (uzasadniony interes) — dane zagregowane |
4.2. Dane specjalistów i właścicieli (SalonBot jako administrator)
| Cel | Podstawa prawna |
|---|---|
| Świadczenie usługi SalonBot (obsługa konta, panel) | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) |
| Synchronizacja z Google Calendar specjalisty | Art. 6 ust. 1 lit. a RODO (zgoda — OAuth) |
| Monitorowanie działania platformy (logi błędów) | Art. 6 ust. 1 lit. f RODO (uzasadniony interes) |
| Wystawianie rachunków, dokumentacja księgowa | Art. 6 ust. 1 lit. c RODO (obowiązek prawny) |
5. Zgoda na komunikację marketingową
5.1. Klient może wyrazić odrębną, dobrowolną zgodę na otrzymywanie komunikatów marketingowych od salonu za pośrednictwem bota Telegram.
5.2. Zgoda na komunikację marketingową jest niezależna od zgody na przetwarzanie danych w celu rezerwacji wizyt.
5.3. Klient może wycofać zgodę marketingową w dowolnym momencie: komendą /unsubscribe w bocie, przyciskiem „Wypisz się" w wiadomości marketingowej, lub kontaktując się z salonem.
5.4. Odpowiedzialność za treść komunikatów marketingowych ponosi salon (administrator danych).
6. Odbiorcy danych
| Odbiorca | Zakres | Podstawa |
|---|---|---|
| Telegram Messenger Inc. (Dubaj/Londyn) | Dostarczanie wiadomości bota. Telegram działa jako niezależny administrator danych. Szczegóły: telegram.org/privacy | Dobrowolne korzystanie z Telegram |
| Google LLC (USA) | Synchronizacja kalendarza specjalisty — wyłącznie po wyrażeniu zgody | Zgoda (OAuth 2.0) |
| Railway Corp. (USA, serwery w UE) | Hosting aplikacji i bazy danych | Umowa powierzenia |
| Salon piękności (administrator) | Dostęp do danych swoich klientów via panel | Relacja administrator–procesor |
Nie sprzedajemy, nie wypożyczamy ani nie udostępniamy danych osobowych stronom trzecim w celach marketingowych.
7. Przekazywanie danych poza EOG
7.1. Baza danych i aplikacja SalonBot hostowane są na serwerach w Unii Europejskiej (Railway, region UE).
7.2. Google LLC (USA) — na podstawie EU-US Data Privacy Framework oraz SCC i Google Cloud DPA.
7.3. Telegram Messenger Inc. (Dubaj/Londyn) — dane mogą być przetwarzane poza EOG. Korzystanie z Telegram jest dobrowolną decyzją użytkownika. Szczegóły: telegram.org/privacy.
7.4. Procesor dokonuje okresowej oceny zgodności transferów danych poza EOG zgodnie z wytycznymi EDPB.
8. Bezpieczeństwo danych
- Szyfrowanie w transmisji: HTTPS/TLS (certyfikaty SSL automatycznie zarządzane przez Railway).
- Szyfrowanie w spoczynku: tokeny botów i OAuth zaszyfrowane algorytmem Fernet (AES-128-CBC + HMAC-SHA256).
- Haszowanie haseł: bcrypt.
- Izolacja danych (multi-tenancy): filtr
salon_idna poziomie zapytań do bazy danych. - Minimalizacja danych: zbieramy wyłącznie dane niezbędne do świadczenia usługi.
- Kontrola dostępu: JWT z ograniczonym czasem ważności.
- Logi diagnostyczne: adres IP, user agent, identyfikator użytkownika, data/czas, identyfikator salonu, komunikaty o błędach. Podstawa: art. 6 ust. 1 lit. f RODO.
9. Okres przechowywania danych
| Kategoria danych | Okres przechowywania |
|---|---|
| Dane klientów | Ustalany przez Administratora (Salon). Domyślnie 3 lata od ostatniej wizyty. Mogą być usunięte wcześniej na żądanie. |
| Historia wizyt | Jak wyżej; po usunięciu klienta — anonimizacja (zachowanie danych statystycznych) |
| Dane specjalistów | Okres umowy z salonem + 30 dni |
| Tokeny OAuth Google | Do momentu odłączenia Google Calendar |
| Logi błędów | 90 dni |
| Kopie zapasowe | Do 30 dni, automatycznie nadpisywane |
10. Prawa osób, których dane dotyczą
Na podstawie RODO przysługują Państwu następujące prawa:
- a) Prawo dostępu (art. 15)
- b) Prawo do sprostowania (art. 16)
- c) Prawo do usunięcia (art. 17) — Klienci: przez salon lub komendę
/delete_my_data. Specjaliści: odłączenie GCal lub żądanie do właściciela salonu. Właściciele: kontakt z Usługodawcą. - d) Prawo do ograniczenia przetwarzania (art. 18)
- e) Prawo do przenoszenia danych (art. 20) — eksport CSV w panelu
- f) Prawo do sprzeciwu (art. 21)
- g) Prawo do wycofania zgody (art. 7 ust. 3)
Jak zrealizować prawa: Klienci — kontakt z salonem lub /delete_my_data. Specjaliści i właściciele — salonbotpl@gmail.com lub @SalonBotAlerts.
Odpowiedź na żądanie — w terminie 30 dni.
Jeżeli Klient zwróci się bezpośrednio do Usługodawcy (poprzez kanały kontaktowe wskazane w Rozdziale 18), Usługodawca przekaże żądanie do właściwego Salonu w terminie 7 dni.
11. Prawo wniesienia skargi
Prezes Urzędu Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl
Każda osoba przebywająca na terenie EOG może wnieść skargę do organu nadzorczego właściwego dla jej miejsca zamieszkania.
Osoby przebywające na Ukrainie mogą zwrócić się do Уповноваженого Верховної Ради України з прав людини (ombudsman.gov.ua).
12. Korzystanie z usług Google API
Niniejsza sekcja spełnia wymagania Google API Services User Data Policy.
12.1. Jakie dane uzyskujemy z Google API
- Freebusy: okresy „zajętości" z kalendarza specjalisty — bez szczegółów wydarzenia.
- Zdarzenia utworzone przez SalonBot: SalonBot tworzy, aktualizuje i usuwa zdarzenia w kalendarzu osobistym specjalisty. Odczytuje wyłącznie zdarzenia, które sam utworzył.
12.2. Jak wykorzystujemy dane Google API
- Freebusy: sprawdzenie dostępności specjalisty — zapobiega podwójnym rezerwacjom.
- Zdarzenia: synchronizacja rezerwacji z kalendarzem — tworzenie, aktualizacja, usuwanie.
12.3. Jak przechowujemy dane Google API
- Refresh token: w PostgreSQL, zaszyfrowany Fernet (AES-128-CBC + HMAC-SHA256). Klucz — zmienna środowiskowa serwera.
- Freebusy: cache Redis 10 minut, potem automatycznie usuwane.
- Zdarzenia: w bazie przechowywany tylko event_id. Treść generowana z danych rezerwacji.
12.4. Udostępnianie danych Google API
Dane z Google API nie są udostępniane stronom trzecim. Nie wykorzystujemy ich do reklamy, marketingu, profilowania ani łączenia z innymi danymi.
12.5. Sztuczna inteligencja i uczenie maszynowe
Dane z Google API nie są wykorzystywane do opracowywania, doskonalenia ani trenowania modeli AI/ML.
12.6. Odwołanie dostępu
Specjalista może odwołać dostęp w dowolnym momencie: w panelu SalonBot lub na myaccount.google.com/permissions. Refresh token jest natychmiast usuwany.
13. Pliki cookie i technologie śledzenia
Panel administracyjny (admin.salonbot.pl) wykorzystuje:
| Nazwa | Cel | Typ | Okres ważności |
|---|---|---|---|
access_token | Uwierzytelnianie sesji (JWT) | Niezbędny | Do zamknięcia przeglądarki lub wygaśnięcia tokenu |
lang | Język interfejsu | Niezbędny (preferencje) | 1 rok |
SalonBot nie wykorzystuje plików cookie marketingowych, analitycznych ani śledzących. access_token: HttpOnly, Secure, SameSite=Lax. Pliki niezbędne nie wymagają zgody (Dyrektywa ePrivacy, art. 5 ust. 3).
14. Osoby niepełnoletnie
Poniżej 16 roku życia — wymagane zaangażowanie rodzica/opiekuna (art. 8 RODO). W praktyce: rezerwacja przez rodzica lub kontakt telefoniczny z salonem.
15. Naruszenie ochrony danych (data breach)
15.1. Usługodawca powiadomi salon (administratora) w ciągu 72 godzin od potwierdzenia naruszenia i podejmie natychmiastowe działania naprawcze.
15.2. W przypadku naruszenia danych specjalistów/właścicieli — Usługodawca zgłosi bezpośrednio do UODO.
16. Zautomatyzowane podejmowanie decyzji
Dane nie podlegają zautomatyzowanemu podejmowaniu decyzji ani profilowaniu (art. 22 RODO).
16a. Sztuczna inteligencja
Obecnie SalonBot nie wykorzystuje danych osobowych do trenowania modeli AI. W przypadku wdrożenia AI — Polityka zostanie zaktualizowana.
17. Zmiany Polityki Prywatności
O istotnych zmianach poinformujemy: właścicieli — e-mailem i w panelu; specjalistów — w bocie Telegram; klientów — w bocie przy następnej interakcji. Zmiany obowiązują od daty publikacji.
18. Kontakt
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
Strona: salonbot.pl
Odpowiadamy w ciągu 7 dni roboczych.
Niniejsza Polityka Prywatności wchodzi w życie z dniem 24 czerwca 2026.
Privacy Policy
Last updated: 24 June 2026
This Privacy Policy describes the principles of personal data processing by SalonBot — a SaaS platform for managing bookings in beauty salons via a Telegram bot, an administrative panel, and related services.
1. Data Controller and Service Provider
The Service Provider of the SalonBot platform is:
Olena Shevchenko
conducting unregistered business activity within the meaning of Art. 5(1) of the Entrepreneurs' Law (Polish: działalność nierejestrowana)
Correspondence address: Trzciana 206E, 36-071 Trzciana, Poland
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
SalonBot acts as a Data Processor (Art. 28 GDPR) with respect to salon client data. The Data Controller is the beauty salon using SalonBot under a SaaS Subscription Agreement and DPA.
For Salon Owner and Specialist data, SalonBot acts as the Data Controller.
2. Definitions
- Client — a person using the salon's Telegram bot for booking.
- Specialist (Master) — a person providing beauty services, using the specialist bot and/or admin panel.
- Salon Owner — a person managing a beauty salon, using the admin panel.
- User — a general term for a Client, Specialist, or Salon Owner.
- Platform — all SalonBot services: Telegram bots, admin panel, API.
- GDPR — Regulation (EU) 2016/679.
3. Scope of Processed Data
3.1. Salon client data
| Category | Data | Source |
|---|---|---|
| Identification | First and last name | Telegram profile |
| Contact | Telegram ID, phone number (optional) | Telegram profile / provided by client |
| Preferences | Language code | Telegram profile |
| Appointment history | Date, time, specialist, services, price | Bookings in the system |
| Reviews | Rating 1–5, comment | Post-appointment in the bot |
| Questions | Questions to specialists and responses | Telegram bot |
| Consents | Consent timestamps for data processing and marketing | Telegram bot |
3.2. Specialist (Master) data
| Category | Data | Source |
|---|---|---|
| Identification | First and last name | Entered by Salon Owner |
| Contact | Telegram ID (specialist bot) | Salon configuration |
| Calendar | Google email, OAuth 2.0 refresh token (encrypted) | Google OAuth 2.0 |
| Calendar — events | Freebusy info, events created by SalonBot | Google Calendar API |
3.3. Salon Owner data
| Category | Data | Source |
|---|---|---|
| Identification | First name, last name, salon name | Registration |
| Contact | E-mail, salon phone, salon address | Registration |
| Authentication | Password hash (bcrypt) | Admin panel |
4. Purposes and Legal Basis for Processing
4.1. Client data (SalonBot as Processor, salon as Controller)
| Purpose | Legal basis |
|---|---|
| Booking and managing appointments | Art. 6(1)(b) GDPR (contract) |
| Appointment reminders (24h, 2h before) | Art. 6(1)(b) GDPR |
| Merging client history by phone number | Art. 6(1)(f) GDPR (legitimate interest) |
| Marketing communications | Art. 6(1)(a) GDPR (separate consent) |
| Salon analytics (aggregated) | Art. 6(1)(f) GDPR |
4.2. Specialist and Salon Owner data (SalonBot as Controller)
| Purpose | Legal basis |
|---|---|
| Provision of SalonBot service | Art. 6(1)(b) GDPR (contract) |
| Google Calendar synchronisation | Art. 6(1)(a) GDPR (consent — OAuth) |
| Platform monitoring (error logs) | Art. 6(1)(f) GDPR |
| Invoicing and accounting | Art. 6(1)(c) GDPR (legal obligation) |
5. Consent to Marketing Communications
5.1. A Client may give separate, voluntary consent to receive marketing communications from the salon via the Telegram bot.
5.2. Marketing consent is independent of booking consent.
5.3. Withdrawal: /unsubscribe command, "Unsubscribe" button, or contacting the salon.
5.4. The salon is responsible for the content of marketing communications.
6. Data Recipients
| Recipient | Scope | Basis |
|---|---|---|
| Telegram Messenger Inc. | Bot message delivery. Independent controller. Privacy | Voluntary use |
| Google LLC (USA) | Calendar sync — only after specialist consent | Consent (OAuth 2.0) |
| Railway Corp. (USA, EU servers) | Application and database hosting | DPA |
| Beauty salon (Controller) | Access to own client data via panel | Controller–Processor relationship |
We do not sell, rent, or disclose personal data to third parties for marketing purposes.
7. Transfer of Data Outside the EEA
7.1. Database hosted in the EU (Railway).
7.2. Google LLC — EU-US DPF + SCC + Google Cloud DPA.
7.3. Telegram — data may be processed outside the EEA. Use is voluntary. Details: telegram.org/privacy.
7.4. Periodic compliance assessment per EDPB guidelines.
8. Data Security
- Encryption in transit: HTTPS/TLS.
- Encryption at rest: Fernet (AES-128-CBC + HMAC-SHA256) for bot tokens and OAuth tokens.
- Password hashing: bcrypt.
- Data isolation: multi-tenancy with
salon_idfilter. - Data minimisation: only necessary data collected.
- Access control: JWT authentication with limited validity.
- Diagnostic logs: IP, user agent, user ID, timestamps, salon ID, error messages. Basis: Art. 6(1)(f) GDPR.
9. Data Retention Period
| Data category | Retention period |
|---|---|
| Client data | Determined by the Salon (Controller). Default: 3 years from last appointment. |
| Appointment history | As above; upon client deletion — anonymisation |
| Specialist data | Duration of agreement + 30 days |
| Google OAuth tokens | Until disconnection of Google Calendar |
| Error logs | 90 days |
| Backups | Up to 30 days, automatically overwritten |
10. Rights of Data Subjects
- a) Right of access (Art. 15)
- b) Right to rectification (Art. 16)
- c) Right to erasure (Art. 17) — Clients: via salon or
/delete_my_data. Specialists: disconnect GCal or request to Salon Owner. Owners: contact the Service Provider. - d) Right to restriction (Art. 18)
- e) Right to data portability (Art. 20) — CSV export in the panel
- f) Right to object (Art. 21)
- g) Right to withdraw consent (Art. 7(3))
Response within 30 days. Contact: salonbotpl@gmail.com or @SalonBotAlerts.
11. Right to Lodge a Complaint
President of the Personal Data Protection Office (UODO)
ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl
Persons in Ukraine may contact the Ukrainian Parliament Commissioner for Human Rights (ombudsman.gov.ua).
12. Use of Google API Services
This section complies with the Google API Services User Data Policy.
12.1. What data we obtain
- Freebusy: busy/free intervals — no event details.
- Events created by SalonBot: booking events in the specialist's personal calendar.
12.2. How we use it
- Freebusy: availability check to prevent double bookings.
- Events: create, update, delete booking events.
12.3. How we store it
- Refresh token: Fernet-encrypted in PostgreSQL (EU).
- Freebusy: Redis cache, 10 min, then deleted.
- Events: only event_id stored; content generated from booking data.
12.4. Sharing
Google API data is not shared with third parties. Not used for advertising, marketing, or profiling.
12.5. AI and ML
Not used for developing, improving, or training AI/ML models.
12.6. Revocation
Via SalonBot admin panel or myaccount.google.com/permissions. Token is immediately deleted.
13. Cookies and Tracking Technologies
| Name | Purpose | Type | Validity |
|---|---|---|---|
access_token | Session authentication (JWT) | Strictly necessary | Until browser close or token expiry |
lang | Interface language | Strictly necessary (preferences) | 1 year |
No marketing, analytics, or tracking cookies. access_token: HttpOnly, Secure, SameSite=Lax.
14. Minors
Under 16 — parental involvement required (Art. 8 GDPR).
15. Personal Data Breach
15.1. Notification to salon within 72 hours of confirmed breach.
15.2. For specialist/owner data — direct report to UODO.
16. Automated Decision-Making
No automated decision-making or profiling (Art. 22 GDPR).
16a. Artificial Intelligence
SalonBot does not currently use personal data to train AI models.
17. Changes to the Privacy Policy
Material changes notified via e-mail, admin panel, and Telegram bot. Changes effective from publication date.
18. Contact
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
Website: salonbot.pl
Response within 7 business days.
This Privacy Policy enters into force on 24 June 2026.
Политика конфиденциальности
Дата последнего обновления: 24 июня 2026
Настоящая Политика конфиденциальности описывает правила обработки персональных данных сервисом SalonBot — платформой SaaS для управления записями в салонах красоты посредством Telegram-бота, административной панели и связанных услуг.
1. Администратор данных и Поставщик услуг
Olena Shevchenko
осуществляющая незарегистрированную деятельность (działalność nierejestrowana) в соответствии со ст. 5 ч. 1 Закона «Право предпринимателей»
Адрес для корреспонденции: Trzciana 206E, 36-071 Trzciana, Polska
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
SalonBot — обработчик данных (процессор) (ст. 28 GDPR) в отношении данных клиентов салонов. Администратор данных — салон красоты.
В отношении данных владельцев салонов и специалистов SalonBot — администратор данных.
2. Определения
- Клиент — физическое лицо, использующее бота для записи.
- Специалист (мастер) — лицо, оказывающее косметические услуги.
- Владелец салона — лицо, управляющее салоном.
- Пользователь — общее обозначение для всех категорий.
- Платформа — совокупность услуг SalonBot.
- GDPR — Регламент (ЕС) 2016/679.
3. Объём обрабатываемых данных
3.1. Данные клиентов
| Категория | Данные | Источник |
|---|---|---|
| Идентификационные | Имя и фамилия | Профиль Telegram |
| Контактные | Telegram ID, номер телефона (опц.) | Профиль Telegram / клиент |
| Предпочтения | Код языка | Профиль Telegram |
| История визитов | Дата, время, специалист, услуги, цена | Записи в системе |
| Отзывы | Оценка 1–5, комментарий | Бот после визита |
| Вопросы | Вопросы специалистам и ответы | Telegram-бот |
| Согласия | Дата/время согласия на обработку и маркетинг | Telegram-бот |
3.2. Данные специалистов
| Категория | Данные | Источник |
|---|---|---|
| Идентификационные | Имя и фамилия | Владелец салона |
| Контактные | Telegram ID | Конфигурация |
| Календарь | Email Google, refresh token (зашифр.) | Google OAuth |
| Календарь — события | Freebusy, события SalonBot | Google Calendar API |
3.3. Данные владельцев
| Категория | Данные | Источник |
|---|---|---|
| Идентификационные | Имя, фамилия, название салона | Регистрация |
| Контактные | E-mail, телефон, адрес | Регистрация |
| Аутентификация | Хеш пароля (bcrypt) | Админ-панель |
4. Цели и правовое основание обработки
4.1. Данные клиентов
| Цель | Основание |
|---|---|
| Запись и обслуживание визитов | Ст. 6(1)(b) GDPR (договор) |
| Напоминания (24ч, 2ч) | Ст. 6(1)(b) GDPR |
| Объединение истории по телефону | Ст. 6(1)(f) GDPR (законный интерес) |
| Маркетинговые сообщения | Ст. 6(1)(a) GDPR (согласие) |
| Аналитика (агрегированная) | Ст. 6(1)(f) GDPR |
4.2. Данные специалистов и владельцев
| Цель | Основание |
|---|---|
| Предоставление услуги SalonBot | Ст. 6(1)(b) GDPR |
| Синхронизация с Google Calendar | Ст. 6(1)(a) GDPR (согласие) |
| Мониторинг (журналы ошибок) | Ст. 6(1)(f) GDPR |
| Выставление счетов | Ст. 6(1)(c) GDPR (обязанность) |
5. Согласие на маркетинговые коммуникации
5.1. Клиент может дать отдельное, добровольное согласие на маркетинговые сообщения от салона.
5.2. Маркетинговое согласие не зависит от согласия на запись.
5.3. Отзыв: /unsubscribe, кнопка «Отписаться», или обращение в салон.
5.4. Ответственность за содержание несёт салон.
6. Получатели данных
| Получатель | Объём | Основание |
|---|---|---|
| Telegram Messenger Inc. | Доставка сообщений. Независимый контроллер. Политика | Добровольное использование |
| Google LLC (США) | Синхронизация календаря — только после согласия | Согласие (OAuth) |
| Railway Corp. (США, серверы в ЕС) | Хостинг | Договор поручения |
| Салон красоты | Доступ к данным своих клиентов | Отношение администратор–процессор |
Мы не продаём и не предоставляем данные третьим лицам в маркетинговых целях.
7. Передача данных за пределы ЕЭП
7.1. Серверы в ЕС (Railway). 7.2. Google LLC — EU-US DPF + SCC. 7.3. Telegram — данные могут обрабатываться вне ЕЭП. 7.4. Периодическая оценка соответствия по рекомендациям EDPB.
8. Безопасность данных
- Шифрование при передаче: HTTPS/TLS.
- Шифрование при хранении: Fernet (AES-128-CBC + HMAC-SHA256).
- Хеширование паролей: bcrypt.
- Изоляция данных: фильтр
salon_id. - Минимизация данных.
- Контроль доступа: JWT.
- Диагностические журналы: IP, user agent, идентификаторы, ошибки. Основание: ст. 6(1)(f) GDPR.
9. Сроки хранения данных
| Категория | Срок |
|---|---|
| Данные клиентов | Устанавливается Салоном. По умолчанию 3 года от последнего визита. |
| История визитов | После удаления клиента — анонимизация |
| Данные специалистов | Срок договора + 30 дней |
| Токены OAuth | До отключения Google Calendar |
| Журналы ошибок | 90 дней |
| Резервные копии | До 30 дней |
10. Права субъектов данных
- a) Право на доступ (ст. 15)
- b) Право на исправление (ст. 16)
- c) Право на удаление (ст. 17) — Клиенты: через салон или
/delete_my_data. Специалисты: отключение GCal. Владельцы: обращение к Поставщику услуг. - d) Право на ограничение (ст. 18)
- e) Право на переносимость (ст. 20) — экспорт CSV
- f) Право на возражение (ст. 21)
- g) Право на отзыв согласия (ст. 7(3))
Ответ в течение 30 дней. Контакт: salonbotpl@gmail.com.
11. Право на подачу жалобы
Председатель UODO
ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl
В Украине: Уполномоченный Верховной Рады Украины по правам человека (ombudsman.gov.ua).
12. Использование сервисов Google API
Соответствует Google API Services User Data Policy.
12.1. Какие данные
- Freebusy: периоды занятости — без деталей события.
- События SalonBot: создание, обновление, удаление в личном календаре.
12.2. Как используем
- Freebusy: проверка доступности для предотвращения двойных записей.
- События: синхронизация записей с календарём.
12.3. Как храним
- Refresh token: PostgreSQL, Fernet. Freebusy: Redis 10 мин. События: только event_id в базе.
12.4. Передача третьим лицам
Не передаются. Не для рекламы, маркетинга, профилирования.
12.5. ИИ и машинное обучение
Не используются для тренировки моделей AI/ML.
12.6. Отзыв доступа
Через панель SalonBot или myaccount.google.com/permissions. Токен удаляется немедленно.
13. Файлы cookie
| Название | Цель | Тип | Срок |
|---|---|---|---|
access_token | Аутентификация (JWT) | Необходимый | До закрытия браузера |
lang | Язык интерфейса | Необходимый | 1 год |
Маркетинговых, аналитических и отслеживающих cookie нет.
14. Несовершеннолетние
До 16 лет — участие родителя/опекуна (ст. 8 GDPR).
15. Нарушение защиты данных
Уведомление салона в течение 72 часов. Для данных специалистов/владельцев — прямое обращение в UODO.
16. Автоматизированное принятие решений
Не применяется (ст. 22 GDPR).
16a. Искусственный интеллект
SalonBot не использует данные для тренировки моделей ИИ.
17. Изменения Политики
Об изменениях уведомляем по e-mail, в панели и через бот Telegram.
18. Контакт
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
Сайт: salonbot.pl
Ответ в течение 7 рабочих дней.
Вступает в силу 24 июня 2026.
Політика конфіденційності
Дата останнього оновлення: 24 червня 2026
Ця Політика Конфіденційності описує правила обробки персональних даних сервісом SalonBot — платформою SaaS для управління бронюваннями в салонах краси через бота Telegram, адміністративну панель та пов'язані послуги.
1. Адміністратор даних та Постачальник послуг
Olena Shevchenko
що здійснює незареєстровану діяльність (działalność nierejestrowana) відповідно до ст. 5 ч. 1 Закону «Право підприємців»
Адреса для кореспонденції: Trzciana 206E, 36-071 Trzciana, Polska
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
SalonBot — обробник даних (процесор) (ст. 28 GDPR) щодо даних клієнтів салонів. Адміністратор даних — салон краси.
Щодо даних власників салонів і спеціалістів SalonBot — адміністратор даних.
2. Визначення
- Клієнт — фізична особа, яка користується ботом для бронювання.
- Спеціаліст (майстер) — особа, яка надає косметичні послуги.
- Власник салону — особа, яка управляє салоном.
- Користувач — загальне позначення.
- Платформа — сукупність послуг SalonBot.
- GDPR — Регламент (ЄС) 2016/679.
3. Обсяг оброблюваних даних
3.1. Дані клієнтів
| Категорія | Дані | Джерело |
|---|---|---|
| Ідентифікаційні | Ім'я та прізвище | Профіль Telegram |
| Контактні | Telegram ID, телефон (за бажанням) | Профіль Telegram / клієнт |
| Вподобання | Код мови | Профіль Telegram |
| Історія візитів | Дата, час, спеціаліст, послуги, ціна | Бронювання |
| Відгуки | Оцінка 1–5, коментар | Бот після візиту |
| Запитання | Запитання до спеціалістів та відповіді | Бот Telegram |
| Згоди | Дата/час згоди на обробку та маркетинг | Бот Telegram |
3.2. Дані спеціалістів
| Категорія | Дані | Джерело |
|---|---|---|
| Ідентифікаційні | Ім'я та прізвище | Власник салону |
| Контактні | Telegram ID | Конфігурація |
| Календар | Email Google, refresh token (зашифр.) | Google OAuth |
| Календар — події | Freebusy, події SalonBot | Google Calendar API |
3.3. Дані власників
| Категорія | Дані | Джерело |
|---|---|---|
| Ідентифікаційні | Ім'я, прізвище, назва салону | Реєстрація |
| Контактні | E-mail, телефон, адреса | Реєстрація |
| Автентифікація | Хеш пароля (bcrypt) | Адмін-панель |
4. Цілі та правова підстава обробки
4.1. Дані клієнтів
| Ціль | Підстава |
|---|---|
| Бронювання та обслуговування візитів | Ст. 6(1)(b) GDPR (договір) |
| Нагадування (24г, 2г) | Ст. 6(1)(b) GDPR |
| Об'єднання історії за телефоном | Ст. 6(1)(f) GDPR (законний інтерес) |
| Маркетингові повідомлення | Ст. 6(1)(a) GDPR (згода) |
| Аналітика (агрегована) | Ст. 6(1)(f) GDPR |
4.2. Дані спеціалістів і власників
| Ціль | Підстава |
|---|---|
| Надання послуги SalonBot | Ст. 6(1)(b) GDPR |
| Синхронізація з Google Calendar | Ст. 6(1)(a) GDPR (згода) |
| Моніторинг (логи помилок) | Ст. 6(1)(f) GDPR |
| Виставлення рахунків | Ст. 6(1)(c) GDPR |
5. Згода на маркетингову комунікацію
5.1. Клієнт може надати окрему, добровільну згоду на маркетингові повідомлення.
5.2. Маркетингова згода незалежна від згоди на бронювання.
5.3. Відкликання: /unsubscribe, кнопка «Відписатися», або звернення до салону.
5.4. Відповідальність за зміст несе салон.
6. Одержувачі даних
| Одержувач | Обсяг | Підстава |
|---|---|---|
| Telegram Messenger Inc. | Доставка повідомлень. Незалежний контролер. Політика | Добровільне використання |
| Google LLC (США) | Синхронізація календаря — після згоди | Згода (OAuth) |
| Railway Corp. (США, сервери в ЄС) | Хостинг | Договір доручення |
| Салон краси | Доступ до даних своїх клієнтів | Відносини адміністратор–процесор |
Ми не продаємо і не надаємо дані третім особам у маркетингових цілях.
7. Передача даних за межі ЄЕП
7.1. Сервери в ЄС (Railway). 7.2. Google LLC — EU-US DPF + SCC. 7.3. Telegram — дані можуть оброблятися поза ЄЕП. 7.4. Періодична оцінка відповідності за рекомендаціями EDPB.
8. Безпека даних
- Шифрування при передачі: HTTPS/TLS.
- Шифрування при зберіганні: Fernet (AES-128-CBC + HMAC-SHA256).
- Хешування паролів: bcrypt.
- Ізоляція даних: фільтр
salon_id. - Мінімізація даних.
- Контроль доступу: JWT.
- Діагностичні логи: IP, user agent, ідентифікатори, помилки. Підстава: ст. 6(1)(f) GDPR.
9. Строк зберігання даних
| Категорія | Строк |
|---|---|
| Дані клієнтів | Визначається Салоном. За замовчуванням 3 роки від останнього візиту. |
| Історія візитів | Після видалення клієнта — анонімізація |
| Дані спеціалістів | Строк договору + 30 днів |
| Токени OAuth | До відключення Google Calendar |
| Логи помилок | 90 днів |
| Резервні копії | До 30 днів |
10. Права суб'єктів даних
- a) Право на доступ (ст. 15)
- b) Право на виправлення (ст. 16)
- c) Право на видалення (ст. 17) — Клієнти: через салон або
/delete_my_data. Спеціалісти: відключення GCal. Власники: звернення до Постачальника. - d) Право на обмеження (ст. 18)
- e) Право на перенесення (ст. 20) — експорт CSV
- f) Право на заперечення (ст. 21)
- g) Право на відкликання згоди (ст. 7(3))
Відповідь протягом 30 днів. Контакт: salonbotpl@gmail.com.
11. Право на подання скарги
У Польщі: Prezes UODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl
В Україні: Уповноважений Верховної Ради України з прав людини, вул. Інститутська, 21/8, 01008, Київ, ombudsman.gov.ua
12. Використання послуг Google API
Відповідає Google API Services User Data Policy.
12.1. Які дані
- Freebusy: періоди зайнятості — без деталей події.
- Події SalonBot: створення, оновлення, видалення в особистому календарі.
12.2. Як використовуємо
- Freebusy: перевірка доступності для запобігання подвійним бронюванням.
- Події: синхронізація бронювань з календарем.
12.3. Як зберігаємо
- Refresh token: PostgreSQL, Fernet. Freebusy: Redis 10 хв. Події: тільки event_id в базі.
12.4. Передача третім особам
Не передаються. Не для реклами, маркетингу, профілювання.
12.5. ШІ та машинне навчання
Не використовуються для тренування моделей AI/ML.
12.6. Відкликання доступу
Через панель SalonBot або myaccount.google.com/permissions. Токен видаляється негайно.
13. Файли cookie
| Назва | Ціль | Тип | Строк |
|---|---|---|---|
access_token | Автентифікація (JWT) | Необхідний | До закриття браузера |
lang | Мова інтерфейсу | Необхідний | 1 рік |
Маркетингових, аналітичних та відстежувальних cookie немає.
14. Неповнолітні
До 16 років — участь батьків/опікуна (ст. 8 GDPR).
15. Порушення захисту даних
Повідомлення салону протягом 72 годин. Для даних спеціалістів/власників — пряме звернення до UODO.
16. Автоматизоване прийняття рішень
Не застосовується (ст. 22 GDPR).
16a. Штучний інтелект
SalonBot не використовує дані для тренування моделей ШІ.
17. Зміни Політики
Про зміни повідомляємо e-mail, в панелі та через бот Telegram.
18. Контакти
E-mail: salonbotpl@gmail.com
Telegram: @SalonBotAlerts
Вебсайт: salonbot.pl
Відповідаємо протягом 7 робочих днів.
Набирає чинності 24 червня 2026.