Політика конфіденційності BandRoom

Редакція 1.0 від 13.10.2026

1. Загальні положення

Ця Політика конфіденційності пояснює, які персональні дані обробляються під час використання сервісу BandRoom, для чого і на якій підставі, кому вони передаються, скільки зберігаються і які права ви маєте.

BandRoom (далі Сервіс) - сервіс онлайн-бронювання репетиційних точок і студій звукозапису в Сербії. Сервіс працює на сайті bandroom.rs, як застосунок, який можна встановити на екран телефона, і в Telegram: бот @bandroom_bot і мініастосунок. Музиканти знаходять точку, бачать вільний час і ціни та надсилають заявку; власники точок і їхні помічники приймають заявки та ведуть розклад у кабінеті.

Оператором персональних даних є адміністрація сервісу BandRoom (далі Оператор). Адреса для будь-яких питань щодо персональних даних: info@bandroom.rs.

Документ підготовлено з урахуванням Закону Республіки Сербія про захист персональних даних (Zakon o zaštiti podataka o ličnosti, "Službeni glasnik RS", br. 87/2018), і він застосовується в тій частині, в якій обробка персональних даних здійснюється у зв'язку з роботою Сервісу в Сербії.

Обліковий запис BandRoom ведеться в спільній системі облікових записів Оператора. Якщо ви вже зареєстровані в іншому сервісі Оператора з тією самою поштою, акаунтом Google, Яндекс ID або Telegram, вхід у BandRoom відкриє той самий обліковий запис.

2. Оператор і власники точок

Оператор визначає цілі та способи обробки даних у Сервісі: облікові записи, каталог, заявки й бронювання, сповіщення, журнали, аналітика.
Власник точки та призначені ним помічники (далі команда точки) отримують дані ваших заявок до цієї точки, щоб ухвалити рішення щодо заявки, зв'язатися з вами і провести заняття. Використовуючи ці дані для власної послуги (оренда залу, запис), команда точки діє як самостійний оператор і сама відповідає за таке використання, зокрема поза Сервісом (наприклад, коли телефонує вам або переносить бронювання у свій календар).

3. Які дані ми обробляємо

Обліковий запис. Ім'я, яке ви вказуєте або яке передає провайдер входу; адреса електронної пошти та позначка про її підтвердження; пароль у вигляді хешу (алгоритм bcrypt), якщо ви реєструєтеся через пошту; мова інтерфейсу; дати реєстрації та останнього входу; позначки про прийняття документів та їхні версії; сесії входу (тип пристрою і строк дії).

Вхід через Google: ідентифікатор акаунта Google, ім'я, адреса пошти та позначка про її підтвердження, посилання на фото профілю.
Вхід через Яндекс ID: ідентифікатор, ім'я, адреса пошти, посилання на фото профілю.
Вхід через Telegram (віджет на сайті, бот @bandroom_bot або мініастосунок): Telegram ID, ім'я користувача (username), ім'я, посилання на фото профілю, мова Telegram.

Заявки та бронювання. Точка і зал, дата і час, повторення щотижня, обране обладнання, мета заняття (категорія та/або коментар), ціна за прайсом точки на момент заявки, статус (очікує, підтверджено, відхилено, скасовано, перенесення, неявка), хто і коли скасував бронювання, позначка пізнього скасування, історія перенесень. Номер телефону, якщо ви вказуєте його в заявці: без прив'язаного Telegram він обов'язковий, щоб точка могла з вами зв'язатися. Якщо в профілі номера ще немає, цей номер зберігається і в профілі.

Інші дії музиканта. Записи в листі очікування (зал і час, на які ви чекаєте), обрані точки, відписки від промоповідомлень точок, відгуки та оцінки, пропозиції нових точок для каталогу (назва, адреса, контакт, коментар).

Відомості про вас від команди точки. Рішення щодо заявок і перенесень, позначки про неявку, закриття бронювання конкретної точки для вас, а також нотатки про клієнта (до 500 знаків), які команда точки, де ви бронювали, може залишити для себе. Нотатки бачить лише команда цієї точки.

Зведена статистика бронювань. За вашими бронюваннями в Сервісі автоматично рахується, скільки занять відбулося, скільки бронювань ви скасували, зокрема пізно (після строку безкоштовного скасування точки), і скільки було неявок. Це зведення бачить команда точки, до якої ви надсилаєте заявку (розділ 6).

Власники та помічники. Дані картки точки: назва, адреса й координати, контакти (телефон, пошта, сайт, Instagram, Telegram), фото, опис, зали, обладнання, ціни та пакети, години роботи, правила скасування. Склад команди та права помічників, запрошення помічникам. Посилання на календар точки та отримані за ним події; налаштування запису бронювань у Google Calendar. Журнал дій у кабінеті: хто, коли і що змінив у налаштуваннях, цінах, бронюваннях і складі команди. Облік плати за розміщення точки, якщо її запроваджено: період, сума, спосіб і дата оплати.

Сповіщення. Підписки на push-сповіщення: адреса підписки, яку видає служба push вашого браузера, ключі шифрування, тип браузера. Журнал доставки: кому, щодо якої події і яким каналом (Telegram, push, пошта) надіслано сповіщення і чи було його доставлено. Текст повідомлень у журнал не записується.

Технічні дані. IP-адреса, тип пристрою та браузера, операційна система, мова браузера, адреса відкритої сторінки, джерело переходу та мітки UTM (зокрема перехід за QR-кодом із плаката точки), дата і час, ідентифікатори cookie та локального сховища браузера, показники швидкості завантаження сторінок.

Чого ми не обробляємо. BandRoom не запитує геолокацію пристрою. Сервіс не приймає платежі, тому не отримує номерів банківських карток та інших платіжних даних музикантів. Ми не просимо відомостей про здоров'я, політичні погляди та інших даних особливих категорій; будь ласка, не вказуйте їх у коментарях і нотатках.

4. Цілі обробки та правові підстави

Ми обробляємо персональні дані лише за наявності правової підстави і в обсязі, необхідному для конкретної мети:

Виконання договору (Угоди користувача) та дії на ваш запит до його укладення: реєстрація і вхід, каталог і пошук вільного часу, передача заявки команді точки, підтвердження, скасування і перенесення, лист очікування, нагадування за 24 години та за 1 годину до заняття й інші сервісні сповіщення, кабінет власника та помічників, запрошення помічникам, підключення точки за посиланням-запрошенням, запис бронювань у календар власника за його налаштуванням.
Законний інтерес Оператора та власників точок: безпека Сервісу і захист від зловживань (обмеження частоти запитів, перевірка на формах входу); журнали дій і доставки для розгляду скарг і спорів; зведена статистика бронювань і нотатки команди точки (захист точок від неявок і пізніх скасувань); промоповідомлення точок своїм клієнтам із можливістю відписатися; наповнення каталогу відомостями про точки з відкритих джерел і одне звернення до власника точки за її публічними контактами з пропозицією підключитися; власна статистика відвідувань і поліпшення Сервісу. Ви маєте право заперечити проти такої обробки (розділ 13).
Згода: необов'язкові аналітичні cookie та сервіси (розділ 5), push-сповіщення браузера (ви вмикаєте їх самі), прив'язка Telegram для сповіщень, необов'язкові дані, які ви вказуєте за власним бажанням. Згоду можна відкликати будь-коли; це не впливає на законність обробки до відкликання.
Дотримання юридичних обов'язків: відповіді на законні запити державних органів, облік розрахунків із власниками точок за розміщення (якщо плату запроваджено) відповідно до вимог бухгалтерського та податкового законодавства.

Сервіс використовує cookie та локальне сховище браузера:

Необхідні: дані входу (токени сесії зберігаються в локальному сховищі браузера), мова інтерфейсу, службові cookie на час входу через Google або Яндекс ID (захист від підробки запиту), ідентифікатори візиту для власної статистики. Без них Сервіс не працює.
Захист форм: на формах входу і реєстрації через пошту працює Cloudflare Turnstile, який перевіряє, що форму заповнює людина, а не програма.
Аналітичні (необов'язкові): Google Analytics та Яндекс Метрика (зокрема карта кліків). Вони показують, які сторінки відкривають і де інтерфейс незручний. Ми не передаємо цим сервісам ідентифікатор вашого облікового запису і не пов'язуємо їхні дані з вашим профілем. Запис дій на сторінці (Вебвізор Яндекс Метрики, Microsoft Clarity) у Сервісі не ведеться. На сторінці персонального посилання-запрошення власника ці скрипти не завантажуються.

Продовжуючи користуватися Сервісом після ознайомлення з цією Політикою, ви погоджуєтеся на використання аналітичних cookie. Відмовитися можна будь-коли: видалити або заблокувати cookie в налаштуваннях браузера, увімкнути захист від стеження або блокувальник, встановити додаток для вимкнення Google Analytics (tools.google.com/dlpage/gaoptout). Відмова від аналітики не заважає бронюванню. Якщо ж вимкнути всі cookie та сховище браузера, вхід і частина функцій перестануть працювати.

6. Кому ми передаємо дані

Ми не продаємо персональні дані і не передаємо їх третім особам для їхньої власної реклами. Дані передаються лише в обсязі, необхідному для цілей із розділу 4.

Команді точки, до якої ви надіслали заявку: ваше ім'я, посилання на ваш профіль Telegram (якщо його прив'язано), телефон із заявки, дата, час, зал, обладнання і мета заняття, ваші бронювання в цій точці, зведена статистика ваших бронювань у Сервісі та нотатки команди цієї точки. Якщо власник увімкнув показ подробиць відвідувачам, інші відвідувачі бачать біля зайнятого часу лише категорію заняття. Ваше ім'я, телефон і коментар у будь-якому разі бачить лише команда точки.

Іншим користувачам: ваш відгук про точку публікується після модерації разом з ім'ям із профілю. Відомості картки точки (назва, адреса, контакти, фото, ціни) публічні.

Обробникам і стороннім сервісам:

netcup GmbH (Німеччина) - хостинг серверів і бази даних Сервісу.
Brevo (Франція) - листи для входу: код підтвердження пошти, посилання для входу, підтвердження зміни адреси.
Google (Google Ireland Limited і Google LLC) - поштовий сервіс Google Workspace, через який надсилаються листи про заявки та бронювання; вхід через Google; Google Calendar API для запису бронювань у календар власника з його дозволу; Google Analytics; шрифти Google Fonts; служба push-сповіщень браузера Chrome (Firebase Cloud Messaging).
Яндекс (Росія) - вхід через Яндекс ID, якщо ви його обираєте; Яндекс Метрика.
Cloudflare, Inc. (США) - Turnstile на формах входу та реєстрації.
Telegram - бот @bandroom_bot, вхід через Telegram, мініастосунок, сповіщення та промоповідомлення точок у Telegram. На сторінках Сервісу завантажується скрипт Telegram, потрібний для роботи мініастосунку.
Служби push-сповіщень браузерів (Google, Mozilla, Apple, Microsoft) - доставка push. Вміст сповіщення передається їм у зашифрованому вигляді.
OpenStreetMap (OpenStreetMap Foundation, Велика Британія) - фрагменти карти на сторінці точки, якщо ви розгортаєте карту.
Сервіси машинного перекладу та мовні моделі сторонніх постачальників - переклад текстів карток точок (описи, назви залів, обладнання і пакетів) мовами Сервісу. Дані музикантів (заявки, коментарі, контакти, відгуки) на переклад не надсилаються.

Державним органам, судам і правоохоронним органам - за наявності законної вимоги.

Якщо сповіщення про заявку або перенесення не дійшло до команди точки, адміністратор Сервісу отримує про це повідомлення, щоб допомогти зв'язатися з точкою.

7. Дані акаунта Google

Під час входу через Google BandRoom запитує лише базові дозволи: адресу електронної пошти та основні відомості профілю (email, profile). Ми отримуємо ідентифікатор акаунта Google, ім'я, адресу пошти та позначку про її підтвердження, посилання на фото профілю.
Ці дані використовуються лише для того, щоб створити ваш обліковий запис або увійти в нього, показати ваше ім'я в профілі та в заявках, які ви надсилаєте точкам, і надсилати сервісні сповіщення на цю пошту.
Токен доступу Google використовується один раз, щоб отримати дані профілю, і не зберігається. Через вхід Google ми не отримуємо доступу до вашої пошти Gmail, календаря, контактів або файлів.
Ми не продаємо дані, отримані від Google, не використовуємо їх для реклами і не передаємо третім особам, крім випадків із розділу 6 (наприклад, команда точки бачить ваше ім'я в заявці) та вимог закону. Ми не використовуємо ці дані для навчання моделей штучного інтелекту.
Інтеграція з Google Calendar для власників точок влаштована окремо і не пов'язана із входом через Google (розділ 8).
Використання і передача інформації, отриманої через API Google, відповідають Політиці щодо даних користувачів сервісів Google API (Google API Services User Data Policy), зокрема вимогам обмеженого використання (Limited Use).
Відкликати доступ BandRoom до акаунта Google можна на сторінці myaccount.google.com/permissions. Видалити отримані дані можна, видаливши обліковий запис BandRoom або написавши нам.

8. Календар власника точки

Читання. Власник може вказати в кабінеті посилання на календар точки (наприклад, секретну адресу iCal календаря Google або сторінку розкладу). Сервіс кожні кілька хвилин читає його, щоб показувати зайнятість залів, і зберігає час, назву та опис подій. Відвідувачі бачать лише зайнятість. Назви подій показуються їм, лише якщо власник сам увімкнув показ подробиць або позначив подію як публічний захід.
Запис. Якщо власник сам надав сервісному акаунту BandRoom доступ до свого календаря Google із правом змінювати події, Сервіс створює, змінює і видаляє в цьому календарі лише події своїх бронювань. У подію записуються точка і зал, час, ім'я клієнта, мета заняття і посилання на кабінет; телефон і нік клієнта в Telegram не записуються, подія створюється як приватна. Власник може відкликати доступ у налаштуваннях доступу до календаря будь-коли, після цього запис припиняється.
Музикант може сам додати своє бронювання в особистий календар (Google Calendar або файл .ics) кнопкою в розділі "Мої броні".

9. Джерела даних

Ви самі: під час реєстрації, у заявках, профілі та кабінеті.
Провайдери входу (Google, Яндекс ID, Telegram), якщо ви обрали такий спосіб входу.
Команда точки: рішення щодо заявок, позначки неявки, нотатки; власник може додати вас помічником за вашою поштою або ніком у Telegram.
Власники точок: відомості про точку та події календаря точки.
Відкриті джерела: відомості про точки в каталозі (назва, адреса, телефон, сайт, сторінки в соцмережах, фото, години роботи) можуть бути зібрані із сайтів і сторінок самих точок та з відкритих карт (OpenStreetMap, Google Maps). Якщо ви власник точки і відомості неточні або ви не хочете, щоб точка була в каталозі, напишіть нам або підключіть точку та виправте картку.
Автоматично: технічні дані та журнали.

10. Транскордонна передача даних

Сервери і база даних Сервісу розташовані в Німеччині (Європейський союз). Частина постачальників розташована за межами Республіки Сербія:

Європейський союз - netcup (Німеччина), Brevo (Франція), Google Ireland (Ірландія).
Велика Британія - OpenStreetMap.
США - Google LLC, Cloudflare, Inc. (передача здійснюється на підставі EU-US Data Privacy Framework), а також служби push-сповіщень браузерів.
Росія - Яндекс: вхід через Яндекс ID (за вашим вибором) і Яндекс Метрика.
Telegram - сервери в різних країнах, за правилами Telegram; передача відбувається, коли ви самі користуєтеся Telegram для входу або сповіщень.

Передача до країн, які Республіка Сербія не визнає такими, що забезпечують належний рівень захисту, відбувається лише за наявності підстав, передбачених законом: стандартних договірних положень, вашої згоди або необхідності виконати договір із вами за вашим вибором (наприклад, під час входу через Яндекс ID або Telegram).

11. Строки зберігання

Дані облікового запису - доки існує акаунт. Під час видалення акаунта ім'я, пошта, телефон, фото та прив'язки входу (Google, Яндекс ID, Telegram) одразу знімаються з профілю, телефон стирається з ваших заявок, сесії та push-підписки видаляються, ви перестаєте бути помічником точок, записи в листі очікування видаляються. Службова копія цих ідентифікаторів зберігається до 30 днів на випадок помилкового видалення та для розгляду спорів, потім безповоротно видаляється.
Історія бронювань - доки існує акаунт. Після видалення акаунта бронювання залишаються в обліку точки без вашого імені та контактів, щоб у точки збереглася історія занять.
Сесії входу - доки діють (до 30 днів), потім видаляються протягом тижня.
Журнал доставки сповіщень і журнал дій у кабінеті - до 12 місяців.
Підписка на push - доки ви її не вимкнете або доки служба push браузера не повідомить, що підписка недійсна.
Журнали вебсервера (IP-адреса, час, адреса запиту, тип браузера) - близько 10 днів.
Записи власної статистики відвідувань (IP-адреса зберігається лише у вигляді хешу) - до 24 місяців; агрегована статистика без прив'язки до людини - безстроково.
Відгуки - доки ви їх не видалите. Після видалення акаунта відгуки залишаються без вашого імені.
Відомості картки точки - доки точка є в каталозі. На запит власника картку знімають із публікації.
Облік розрахунків із власниками точок за розміщення - 5 років (вимога податкового законодавства).
Листування зі службою підтримки - до 24 місяців.
Коди підтвердження, посилання для входу та посилання-запрошення - до завершення строку дії (від 10 хвилин до 60 днів).
Дані в аналітичних сервісах (розділ 5) зберігаються за правилами цих сервісів.

12. Заходи захисту

Ми вживаємо розумних технічних, організаційних і кадрових заходів для захисту даних від несанкціонованого доступу, розкриття, зміни, втрати та знищення:

З'єднання захищені TLS/HTTPS.
Паролі хешуються алгоритмом bcrypt і не зберігаються у відкритому вигляді.
Доступ до бази даних обмежено, регулярно створюються резервні копії.
Дані клієнта в заявці бачить лише команда точки; права помічників задає власник; дії в кабінеті записуються в журнал.
Посилання для входу, запрошення та посилання для рішення щодо заявок підписані й обмежені за строком або одноразові.
Обмеження частоти запитів і перевірка Turnstile захищають від автоматизованих зловживань.
Договірні зобов'язання обробників щодо захисту даних (DPA) і внутрішні процедури реагування на інциденти.

13. Ваші права

Ви маєте право:

Отримати доступ до своїх даних (зокрема в профілі та в розділі "Мої броні").
Вимагати виправлення, доповнення або видалення даних.
Вимагати обмеження обробки.
Отримати свої дані в машинозчитуваному форматі (перенесення даних).
Заперечити проти обробки, заснованої на законному інтересі, зокрема проти обліку зведеної статистики бронювань і промоповідомлень точок.
Відкликати раніше надану згоду.
Не підпадати під рішення, засноване виключно на автоматизованій обробці. Рішення щодо заявок ухвалює команда точки, а не алгоритм; зведена статистика бронювань має довідковий характер.

Багато що можна зробити самостійно: змінити ім'я та контакти в профілі; видалити обліковий запис у профілі (кнопка "Видалити профіль"); відписатися від промоповідомлень точки за посиланням у повідомленні; вимкнути push-сповіщення в налаштуваннях браузера або пристрою; зупинити бота @bandroom_bot у Telegram; відкликати доступ до акаунта Google.

Обліковий запис спільний із SerbiaHub (serbiahub.com), тому кнопка "Видалити профіль" видаляє його і там: ваші оголошення та картка фахівця на SerbiaHub знімаються з публікації, підписки вимикаються. Власник точки, яка є в каталозі, може видалити обліковий запис лише після того, як точку передано іншому власникові або закрито: напишіть на info@bandroom.rs, і ми допоможемо передати або закрити точку.

Для іншого надішліть запит на info@bandroom.rs. Ми відповідаємо протягом 30 днів; у складних випадках закон дозволяє продовжити строк, і ми про це повідомимо. Ми маємо право запросити додаткову інформацію для підтвердження вашої особи. Запити щодо даних, які команда точки використовує поза Сервісом, надсилайте також самій точці.

14. Дані дітей

Сервіс не призначений для осіб, молодших за 15 років. Якщо обробка ґрунтується на згоді у зв'язку з використанням послуг інформаційного суспільства, особа, яка досягла 15 років, може самостійно надати згоду; за особу, молодшу за 15 років, таку згоду має надати батько, мати або інший законний представник.

Якщо ви вважаєте, що дитина передала нам дані без належної згоди, будь ласка, зв'яжіться з нами: info@bandroom.rs. Ми видалимо такі дані.

15. Сторонні сайти та сервіси

Сервіс містить посилання на сайти і сторінки точок, їхні профілі в Instagram і Telegram, карти та інші сервіси третіх осіб. Ми не контролюємо їхній вміст і правила обробки даних і радимо самостійно ознайомлюватися з їхніми політиками конфіденційності.

16. Зміна Політики

Ми можемо періодично оновлювати цю Політику. Актуальна редакція розміщується на https://bandroom.rs із зазначенням дати оновлення. Про суттєві зміни ми додатково повідомляємо користувачів через інтерфейс Сервісу або електронною поштою не менше ніж за 14 днів до набрання змінами чинності.

17. Контакти та скарги

З питань обробки персональних даних пишіть на info@bandroom.rs.

Якщо ви вважаєте, що обробка ваших персональних даних порушує закон, ви маєте право звернутися зі скаргою до Уповноваженого з інформації суспільного значення та захисту персональних даних Республіки Сербія (Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, poverenik.rs).

BandRoom — репетиційні точки та студії в Сербії