Повідомлення про конфіденційність

Переклад версії 2026-10-28; у разі розбіжностей перевагу має англійська версія. Переклад надано лише для зручності. Це не зачіпає імперативних норм щодо захисту прав споживачів країни, у якій ви проживаєте.

Останнє оновлення: 2026-10-28 (юрист схвалив повідомлення; примітки про те, що абзац очікує схвалення юриста, тепер зазначають, що він діє лише тоді, коли функцію увімкнено)

Хто відповідає

Jet.Guide (дані — у Правовій інформації) є контролером даних, описаних тут. Коли ви бронюєте, організатор вашого враження отримує дані, потрібні йому для його проведення, і є окремим контролером щодо того, що він із ними робить.

Контакт із будь-яких питань щодо ваших даних: legal@jet.guide. Ви також можете подати скаргу до болгарської Комісії із захисту персональних даних (Комисия за защита на личните данни, www.cpdp.bg) або до органу у вашій країні ЄС.

Що ми збираємо і навіщо

| Дані | Навіщо | Правова підстава (ст. 6 GDPR) | |---|---|---| | Імʼя, електронна пошта, телефон у бронюванні; відповіді на запитання організатора (наприклад, готель, харчові потреби); особливі побажання; адреса для трансферу | Щоб створити бронювання та забезпечити його виконання, надіслати вам ваучер і нагадування | Договір (6(1)(b)) | | Дані, що посвідчують особу, які організатор запитує для кожного учасника: номер ID-картки або паспорта, громадянство, дата народження, дата закінчення строку дії паспорта (лише в оголошеннях, організатор яких їх запитує, наприклад, місце, що продає іменні квитки, або човен, який веде список пасажирів) | Щоб організатор міг звіряти квитки з документом, що посвідчує особу, і дотримуватися вимог закону чи правил місця проведення; дата народження також дає змогу перевірити, чи відповідає тип квитка вікові в день заходу. Власник і менеджери організатора бачать номери повністю; його гіди та його щоденний лист бачать лише останні чотири символи. Ніколи не надсилаються ШІ-асистентам | Договір (6(1)(b)); юридичний обовʼязок організатора, якщо закон вимагає список (6(1)(c)) | | Обліковий запис: електронна пошта, імʼя, пароль (зберігається лише як хеш), мова та валюта, налаштування двофакторного входу | Щоб надати вам обліковий запис | Договір | | Оплата | Обробляє Stripe або, для деяких бронювань у Болгарії, ePay.bg (картка, мікрорахунок ePay або готівка в пункті EasyPay); ми ніколи не бачимо повного номера вашої картки | Договір; юридичний обовʼязок | | Відгуки, запитання, скарги, які ви надсилаєте | Щоб опублікувати їх / розглянути скаргу | Договір; юридичний обовʼязок (DSA) | | Збережені враження (список бажань) і спільні списки | Щоб ви могли планувати | Договір | | Безпека входу: кількість невдалих спроб входу (адреса електронної пошти зберігається лише як ключовий хеш), захищений від підробки журнал подій безпеки | Щоб захистити облікові записи та платформу | Законний інтерес (6(1)(f)) | | Сеанси входу: коли кожен сеанс розпочався і коли востаннє використовувався, браузер і операційна система, а також мережа, з якої він надійшов (перші три частини IP-адреси, ніколи не повна адреса) | Щоб ви могли бачити, де ви ввійшли, і виходити з пристрою, а також щоб завершувати сеанси, не використовувані 90 днів | Законний інтерес (6(1)(f)) | | IP-адреси | Зберігаються лише як ключові хеші для запобігання шахрайству та обмеження частоти запитів — крім як доказ для чарджбеку (наступний рядок) | Законний інтерес | | Докази для чарджбеку (лише коли ми це вмикаємо): мережева адреса (IP-адреса) і браузер, з яких було оплачено бронювання | Щоб відповісти на спір щодо картки (чарджбек) за цим бронюванням: надсилаються до Stripe разом з іншими доказами | Законний інтерес (6(1)(f)): захист від правової вимоги; зберігаються 180 днів | | Листи, які ми вам надсилаємо | Зберігаються як запис про доставку | Договір; законний інтерес | | Текстові повідомлення (SMS, WhatsApp) щодо бронювання: ваш номер телефону, текст, статус доставки та надіслане вами «STOP» | Лише якщо ви позначите «надсилати мені повідомлення щодо цього бронювання» (або, для організатора, увімкнете повідомлення): час трансферу, дані водія, зміни. Жодного маркетингу від нас; маркетингові повідомлення організатора — лише за окремою підтвердженою згодою, описаною нижче в розділі «Тексти організаторів, списки гостей і програми лояльності» | Згода (6(1)(a)) на надсилання; законний інтерес для виконання STOP | | Номер рейсу та дата прибуття, які ви вказуєте для трансферу з аеропорту | Щоб відстежувати рейс і переносити трансфер, якщо літак приземлиться раніше чи пізніше, а також повідомляти водія та організатора | Договір | | Відповіді щодо здоровʼя у відмові від претензій організатора (лише якщо організатор про це просить і лише якщо ви позначите окрему згоду) | Щоб організатор міг безпечно провести ризикований захід. Без згоди відмову від претензій однаково підписують, але без відповідей щодо здоровʼя | Явна згода (ст. 9(2)(a)) | | Харчові потреби кожного учасника (вегетаріанське, веганське, халяль, кошерне, без глютену, без лактози, алергія на горіхи, інше) і необовʼязкова примітка про алергію під час оформлення замовлення або пізніше в бронюванні — лише для оголошень, де подають їжу, і лише якщо ви позначите окрему згоду щодо харчування (не є частиною прийняття умов). Алергії та непереносимості є даними про здоровʼя; халяль чи кошерне може розкривати релігійні переконання | Щоб організатор міг приготувати відповідну їжу. Організатор цього бронювання бачить потреби та примітку у своєму маніфесті; його щоденний лист показує лише кількість («3 вегетаріанські»). Ніколи не показуються іншим мандрівникам, у посиланнях для поширення чи ШІ-асистентам. Ви можете будь-коли видалити їх на сторінці бронювання (відкликання згоди) | Явна згода (ст. 9(2)(a)) | | Поточне місцеперебування водія під час трансферу (лише водії, за їхньою згодою) | Щоб мандрівник, який чекає на трансфер, бачив, де автомобіль і коли він прибуде. Див. «Місцеперебування водія в реальному часі» нижче | Згода водія (6(1)(a)) | | «Хто їде» (лише якщо ви ввімкнете це для бронювання, в оголошеннях, організатор яких це пропонує): імʼя і, за вашим бажанням, країна, яку ви вирішите показати | Щоб показати це іншим мандрівникам того самого відправлення, які також вирішили показати свої. Вимкнено, доки ви не ввімкнете; вимкнення одразу все видаляє. Див. «Хто їде» нижче | Згода (6(1)(a)) | | «Рекомендовано для вас»: враження, які ви переглянули (надсилаються з цього браузера), зберегли та забронювали | Щоб пропонувати схожі враження. Обчислюється щоразу під час завантаження сторінки; профіль не зберігається. Ви можете це вимкнути — див. «Рекомендації» нижче | Законний інтерес (6(1)(f)) | | Сповіщення про ціну: оголошення, дати та цільова ціна, які ви встановили, ціна, яку ви бачили | Щоб один раз надіслати вам лист, коли ціна справді знизиться | Договір (ви про це попросили) | | Push-сповіщення: підписка, яку надає нам ваш браузер (адреса в push-сервісі вашого браузера та його ключі), обрані вами типи повідомлень, ваша мова | Щоб надсилати ввімкнені вами сповіщення (бронювання підтверджено, нагадування, час виходити, ваш водій, зміни) | Згода (6(1)(a)) | | Розсилка та маркетингові листи (лише якщо ви підписалися й підтвердили посилання, яке ми вам надіслали): ваша електронна пошта, мова, обрані теми, формулювання, з яким ви погодилися, і коли; якщо ви також погодилися на листи про переглянуті враження — оголошення, які ви переглядали, протягом до 30 днів. Передаються нашому постачальникові послуг електронної пошти (Brevo, Mailchimp або Klaviyo, залежно від того, яким ми користуємося) лише після підтвердження | Щоб надсилати листи, про які ви просили, зокрема до та після заброньованої вами поїздки. Відписатися можна з будь-якого листа або на сторінці налаштувань | Згода (6(1)(a)) | | Звідки прийшов візит: теги кампанії в посиланні (utm_*), сайт, що направив, і — лише за вашої згоди на рекламу — ідентифікатор кліку в рекламі чи партнерській мережі; у разі бронювання — канал, до якого його зараховано | Щоб знати, які канали приносять бронювання, і оплачувати партнерам і мережам. Без згоди на аналітику нічого про візит не зберігається, лише канал разом із бронюванням | Згода (6(1)(a)) на ідентифікатори кліків та ідентифікатор візиту; законний інтерес для каналу бронювання | | Серверні конверсії для Google і Meta (лише для бронювання, зробленого за вашої згоди на рекламу): номер бронювання, вартість і валюта, ідентифікатор кліку в рекламі та односторонній хеш вашої електронної пошти | Щоб вимірювати ефективність нашої реклами. Ніколи без цієї згоди, ніколи з увімкненим Global Privacy Control | Згода (6(1)(a)) | | Вхід через Google або Apple: ідентифікатор облікового запису в постачальника, ваша електронна пошта, чи підтвердив її постачальник, ваше імʼя | Щоб ви могли увійти. Ми ніколи не отримуємо ваш пароль від Google чи Apple | Договір | | Винагороди та запрошення (лише коли ввімкнено): нарахований кешбек, код запрошення, використання запрошень; солоні хеші мережі та випадкового ідентифікатора вашого браузера (tg_device) — ніколи не IP-адреса чи сам ідентифікатор | Щоб виплачувати кешбек і винагороди за запрошення та не допустити, щоб одна особа отримувала їх багато разів | Договір; законний інтерес (запобігання шахрайству) | | Перевірки бронювань на шахрайство: солоні хеші вашої електронної пошти, мережевої адреси, з якої ви бронювали, і відбитка вашої картки (ніколи не сама адреса, номер картки чи будь-що інше з картки, крім країни, яка її випустила), країна, з якої ви бронювали, власна оцінка ризику Stripe, а також обчислені нами оцінка та сигнали | Щоб захистити мандрівників, організаторів і нас від викрадених карток і фальшивих бронювань. Див. «Перевірки бронювань на шахрайство» нижче | Законний інтерес (6(1)(f); преамбула 47 GDPR: запобігання шахрайству) | | Відгуки після безкоштовного відвідування автором (лише автори) | Автор, якого Jet.Guide запросила на безкоштовне відвідування, пише відгук, як і будь-який мандрівник; його показують із позначкою «Перевірено партнером із подорожей (безкоштовне відвідування)» | Договір | | Гіди, що працюють на організатора (лише гіди): імʼя, електронна пошта, мови, навички, ліцензії, робочі години, відпустки та призначені вам відправлення | Щоб організатор міг планувати, хто з гідів веде яке відправлення, і надсилати вам призначення для підтвердження чи відхилення. Рішення про призначення ухвалює організатор; пропозиції ніколи не вирішують самі | Законний інтерес організатора і наш (6(1)(f)); організатор є контролером даних своїх працівників | | Абонементи та річні членства: імʼя власника і, якщо абонемент організатора цього вимагає, фото власника; електронна пошта покупця; код абонемента, його умови та платежі, згода на автоматичне поновлення, якщо її надано, і кожне сканування абонемента на вході | Щоб продавати й поновлювати абонемент і пропускати його власника: працівники організатора бачать імʼя та фото під час сканування, також без звʼязку — з офлайн-списку для входу на їхньому пристрої, у якому фото зберігається лише в зашифрованому вигляді й видаляється разом із цим списком. Фото ніколи не показується публічно чи іншим мандрівникам | Договір (6(1)(b)) | | Оплата праці гідів (лише гіди): відправлення, які ви вели, їхні години та гості, правила оплати організатора, доплати й чайові, які додає організатор, і ваші щомісячні розрахункові листи | Щоб організатор міг розрахувати й затвердити вашу оплату, а ви — переглянути затверджений розрахунковий лист за своїм посиланням або в розділі «Моя оплата». Організатор є контролером даних про оплату праці своїх працівників; ми зберігаємо їх для організатора | Законний інтерес організатора (6(1)(f)) і його договір із вами | | Власники та члени команди організатора: входи з нових пристроїв і зміни пароля чи налаштувань двоетапного входу з позначкою пристрою та мережі | Показуються власникові бізнесу як стрічка безпеки, щоб помітити вхід, який був не його. Зберігаються 180 днів | Законний інтерес (6(1)(f)) | | Оплата праці водіїв (лише водії): поїздки, які ви здійснили, їхні години та відстань, правила оплати перевізника, зараховані вам чайові та ваші щомісячні розрахункові листи | Щоб перевізник міг розрахувати й затвердити вашу оплату і, якщо він так вирішить, показувати вам вашу оплату за поїздку та місяць на сторінці водія. Перевізник є контролером даних про оплату праці своїх водіїв; ми зберігаємо їх для перевізника | Законний інтерес перевізника (6(1)(f)) і його договір із вами |

Ми не продаємо ваші дані і не використовуємо їх для рекламних профілів.

Рекомендації

«Рекомендовано для вас» на головній сторінці щоразу обчислюється на основі того, що ви переглянули (список, який зберігає цей браузер, tg_recent), зберегли та забронювали. З нашого боку нічого з цього не зберігається. Функція вимкнена, коли ваш браузер надсилає Global Privacy Control, коли ви відмовилися від «продажу чи передачі» на сторінці Ваш вибір щодо конфіденційності або коли ви її вимикаєте — кнопкою Вимкнути на стрічці або перемикачем Рекомендації на сторінці «Ваш вибір щодо конфіденційності». Вимкнення запамʼятовується в цьому браузері (tg_personalise), тому працює без облікового запису; поки функцію вимкнено, нам нічого не надсилається для рекомендацій. Як ранжуються пропозиції, описано на нашій сторінці прозорості.

Перевірки бронювань на шахрайство

Кожному бронюванню, зробленому на вебсайті, присвоюється оцінка ризику на основі кількох сигналів: скільки бронювань було розпочато з тієї самої електронної пошти чи мережі за останні години, неоплачені оформлення замовлень, одноразовий поштовий домен, картка, використана з кількома адресами електронної пошти, картка, випущена в іншій країні, ніж та, з якої ви бронювали, дороге бронювання з початком протягом доби, а також оцінка платежу системою Stripe Radar.

• До оплати дуже висока оцінка може зупинити онлайн-бронювання. Повідомлення радить вам звернутися до

нашої служби підтримки: людина розгляне ситуацію і може завершити бронювання разом із вами. Сторінка також пропонує «Попросити людину перевірити»: один клік відкриває звернення до служби підтримки з тим, що побачила перевірка, додає ваші пояснення, якщо ви їх напишете, і член нашої команди відповідає в межах нашого строку відповіді; він може дозволити вам забронювати. Так ви отримуєте втручання людини, висловлюєте свою позицію та оскаржуєте рішення (ст. 22(3) GDPR).

• Після оплати висока оцінка ніколи сама нічого не скасовує. Бронювання очікує — ваші кошти

утримуються, як і для будь-якого бронювання, — доки член нашої команди його не перегляне (зазвичай протягом кількох годин) і або дозволить його, або скасує з повним поверненням коштів. Вас повідомляють електронною поштою в будь-якому разі, і ви можете попросити, щоб рішення переглянула інша людина. Це наш перегляд людиною відповідно до ст. 22 GDPR: жодне рішення щодо вашого бронювання не ухвалюється лише на підставі оцінки.

• Ми зберігаємо лише наведені вище солоні хеші, країни, оцінку та назви сигналів, а не саму адресу

електронної пошти чи мережеву адресу (вони залишаються в бронюванні, як і для будь-якого бронювання). Хеші видаляються через 180 днів; оцінка залишається в записі бронювання. (Один виняток, лише коли ми його вмикаємо: докази для чарджбеку, наведені в таблиці вище.)

• Запам'ятовування підтвердженого шахрайства: коли про платіж повідомляють як

про шахрайство — чарджбек через шахрайство від банку картки, раннє попередження про шахрайство, передане Stripe, або підтвердження співробітником нашої команди — ми вносимо до списку відмов хеші з «сіллю» відбитка картки, електронної пошти, мережі (лише перші три частини адреси) і, якщо ваш браузер має випадковий ідентифікатор, описаний у tg_device, цього ідентифікатора з того бронювання, і зберігаємо їх 3 роки замість зазначених вище 180 днів. Пізніше бронювання, що з ними збігається, отримує високу оцінку й обробляється, як описано вище: рішення ухвалює людина, сам список нічого не скасовує. Запис видаляється, коли банк вирішує спір щодо шахрайства на нашу користь або коли наша команда виявляє помилку. Законний інтерес (6(1)(f); пункт 47 преамбули GDPR: запобігання шахрайству).

• Вітальні пропозиції: коли ви бронюєте з кодом, який ми фінансуємо для першого

бронювання або нового облікового запису, ми зберігаємо 3 роки солоні хеші номера телефону в бронюванні, випадкового ідентифікатора браузера, описаного в tg_device (якщо він є у вашому браузері), і, після оплати, відбитка картки. Інший обліковий запис, що збігається з одним із них, не може використати такий код; збіг, знайдений лише після оплати, перевіряє людина з нашої команди, і через нього нічого не скасовується. Законний інтерес (ст. 6(1)(f): одна вітальна пропозиція на людину).

• Зовнішній постачальник сигналів шахрайства (лише коли цю функцію увімкнено): коли ми це вмикаємо, перевірка платежу також один раз, під час оплати бронювання, запитує

оцінку ризику в SEON (SEON Technologies, ЄС) або Sift (Sift Science, Inc., США). Ми надсилаємо лише те, що потрібно для перевірки: до SEON — вашу адресу електронної пошти, її солоний хеш як ідентифікатор, номер бронювання, суму й валюту та солоний хеш картки; до Sift — той самий хеш, номер бронювання, суму й валюту та те, що це був платіж карткою через Stripe, — навіть не вашу електронну пошту. Ніколи не ваше імʼя, номер телефону, адресу, мережеву адресу чи номер картки. Постачальник діє як наш обробник за договором про обробку даних. Ми зберігаємо лише його оцінку та категорію ризику разом із перевіркою бронювання на шахрайство; вони враховуються так само, як інші сигнали вище, і все, що відбувається після оплати, однаково вирішує людина.

• Ви можете заперечити проти цієї обробки (ст. 21); оскільки вона захищає інших мандрівників і

організаторів від шахрайства, ми можемо продовжувати, якщо наш законний інтерес переважає ваш, і пояснимо вам чому.

Місцеперебування водія в реальному часі

Коли водій погодився ділитися своїм місцеперебуванням, його телефон надсилає його, поки водій їде до місця трансферу або чекає там, — і ніколи в інший час. Ми зберігаємо лише останнє місцеперебування (округлене приблизно до метра, з його точністю та часом) для кожного із завдань цього водія в такому стані, не частіше ніж раз на 10 секунд. Мандрівник цього бронювання та диспетчер організатора бачать його, поки воно не старше 10 хвилин. Воно видаляється, коли поїздка переходить до наступного етапу (пасажира забрано, неявка, завершено) або коли воно старше 30 хвилин (завдання перевіряє це кожні 10 хвилин), а також одразу для всіх завдань, коли водій відкликає згоду. Ми не зберігаємо історію маршрутів.

Поділитися поїздкою

Зі свого ваучера ви можете створити посилання на одне оплачене бронювання і надіслати його людині, якій довіряєте. Кожен, хто його відкриє, бачить захід, коли він починається й закінчується, де місце зустрічі (для трансферу — дві зони, а не вашу адресу) і чи він відбувається — для трансферу це статус, повідомлений водієм. Посилання ніколи не показує вашого імені, номера телефону, ціни чи номера бронювання. Посилання втрачає чинність через шість годин після завершення бронювання, і ви можете будь-коли його вимкнути; одночасно діють щонайбільше три посилання на бронювання. Ми рахуємо, скільки разів його відкривали. Посилання видаляється разом із вашим обліковим записом або даними бронювання.

Хто їде

У деяких багатоденних турах, круїзах і відправленнях невеликих груп організатор може пропонувати функцію «Хто їде». Вона вимкнена, доки ви її не ввімкнете для свого бронювання. Якщо ви це зробите, введене вами імʼя і, якщо ви її оберете, країна показуються іншим мандрівникам того самого відправлення — і лише тим, хто також вирішив показати свої. Прізвище, фото, контактні дані чи дані бронювання не показуються, і ніщо з цього не використовується для ранжування чи рекомендацій. Вимкніть функцію будь-коли на сторінці бронювання: те, чим ви поділилися, одразу видаляється. Дані також видаляються, коли бронювання скасовано, коли організатор перестає пропонувати функцію, і через 30 днів після відправлення.

ШІ-асистенти, консьєрж і відповіді ШІ від організаторів

Ці функції вимкнено, доки ми їх не ввімкнемо; кожна повідомляє, що вона є ШІ, перш ніж ви нею скористаєтеся.

• Підключення ШІ-асистента до вашого облікового запису (наприклад, асистента в ChatGPT або Claude).

Лише якщо ви дозволите це на нашій сторінці згоди. Тоді асистент отримує токен (ніколи не ваш пароль), який дає йому змогу робити те, що ви дозволили: готувати бронювання на ваше імʼя та вашу електронну пошту, переглядати ваші бронювання, скасовувати чи змінювати їх — скасування чи зміну лише після того, як він показав вам подробиці й ви погодилися. Він платить лише тоді, коли ми ввімкнули оплату через ШІ-асистентів (див. наступний абзац); інакше ви платите на нашому сайті. Ми фіксуємо, що він зробив (дію, номер бронювання та результат, а не вашу розмову з асистентом), і показуємо це вам у налаштуваннях безпеки, де ви можете одразу скасувати доступ. Постачальник асистента обробляє вашу розмову за власними умовами конфіденційності. Правова підстава: договір із вами, на ваш запит.

• Купівля через ШІ-платформу (проєкт; вимкнено, доки ми не ввімкнемо). Деякі ШІ-платформи дають змогу

забронювати в нас, не залишаючи їх: Google (Universal Commerce Protocol, UCP) і ChatGPT від OpenAI (Agentic Commerce Protocol, ACP). Платформа тоді надсилає нам те, що ви їй надали для бронювання: ваше імʼя, електронну пошту й номер телефону, враження, дату та квитки. Платформа є окремим контролером того, що ви їй повідомляєте, за власними умовами конфіденційності; ми надсилаємо їй стан бронювання (підтверджено, змінено, скасовано, кошти повернуто), щоб вона могла показати його вам. Ви платите платіжним токеном, який ваш гаманець на платформі передає Stripe лише для цього бронювання й у межах його суми: номера вашої картки ми ніколи не бачимо. Підключений асистент (див. вище) може так само оплатити бронювання, яке він підготував. Доки цю оплату не ввімкнено, платформа направляє вас оплатити на нашій власній сторінці оплати. Замовлення з вашими даними ми зберігаємо 30 днів після спливу його строку, якщо його не завершено, і 180 днів після завершення (саме бронювання — як описано в цьому повідомленні); нашу відповідь на кожен запит, яка може містити ваші дані, — 24 години, щоб повторний запит ніколи не забронював двічі; а повідомлення про стан, надіслані платформі, — 30 днів. Правова підстава: договір із вами, на ваш запит.

• Консьєрж на нашому сайті відповідає лише на основі наших оголошень і ваших бронювань. Те, що ви

пишете, і його відповіді зберігаються, щоб розмову можна було продовжити, протягом 30 днів після вашого останнього повідомлення, а потім видаляються; ви можете видалити їх раніше в чаті. Текст надсилається нашому постачальникові ШІ для написання відповіді (див. «Хто отримує ваші дані»); наші записи про використання зберігають лише кількість оброблених слів і вартість, ніколи не текст. Зміни бронювання потребують вашого натискання «Так» після входу.

• Відповіді ШІ від організаторів. Організатор може дозволити ШІ складати чернетки відповідей або

надсилати відповіді на ваші запитання на основі фактів свого оголошення та власних поширених запитань. Відповідь, надіслана таким чином, починається з позначки про те, що її написав ШІ для організатора. Модель отримує ваше повідомлення без вашого імені, електронної пошти, телефону чи номера бронювання. Запитання про гроші, повернення коштів, зміни, безпеку чи здоровʼя, а також скарги завжди передаються людині.

• Який ШІ-агент звертається. ШІ-агенти, що користуються нашими кінцевими точками для агентів, часто

повідомляють у запиті, хто вони (заголовки Signature-Agent, UCP-Agent та ідентифікатор ключа підпису, назва клієнта та його user agent). Ми фіксуємо їх для кожного агента разом із кількістю зроблених ним запитів і створених ним бронювань — для безпеки, для розпізнавання перевірених нами партнерів і для статистики. Коли агент підписує свої запити, ми перевіряємо підпис за ключами, які агент публікує на власному сайті. Це стосується агента, а не вас: це не використовується для профілювання мандрівників. Правова підстава: законний інтерес (6(1)(f)).

• Через асистента ми ніколи не запитуємо інформацію про здоровʼя, документи, що посвідчують особу, чи дані

картки: на такі запитання відповідають на нашому власному сайті.

Інструменти планування та бронювання

Ці функції вимкнено, доки ми їх не ввімкнемо, і кожна використовується лише за вашим вибором.

• Збережені мандрівники. У своєму обліковому записі ви можете зберігати людей, для яких бронюєте: імʼя,

дату народження (якщо ви її вкажете), звичайний тип квитка та примітку. Вони заповнюють форму бронювання, відмови від претензій чи трансферу лише тоді, коли ви їх там обираєте. Примітки щодо харчування (алергії, потреби) є інформацією про здоровʼя: ми зберігаємо їх лише за вашої явної згоди, наданої разом із ними (ст. 9(2)(a) GDPR), у зашифрованому вигляді, і ви можете будь-коли відкликати згоду, що їх видаляє. Дані дитини зберігаються лише в обліковому записі того з батьків, хто їх зберіг. Усе зберігається в зашифрованому вигляді, у вашому експорті даних, і видаляється разом із вашим обліковим записом. Правова підстава: ваша згода; договір, коли ви використовуєте їх для бронювання. ШІ-асистент, підключений до вашого облікового запису (див. вище), може читати ваших збережених мандрівників, лише якщо ви також дозволили «збережені мандрівники» на сторінці згоди, і тоді лише імена дорослих, вік і тип квитка кожного: ніколи імʼя дитини, дату народження, примітку чи примітки щодо харчування.

• Збережені картки. На сторінці оплати ви можете позначити «зберегти мою картку». Тоді картку зберігає

Stripe, наш платіжний провайдер, у записі клієнта вашого облікового запису; ми бачимо лише платіжну систему, останні чотири цифри та строк дії. Видалити картку можна в розділі «Обліковий запис → Збережені картки»; видалення облікового запису видаляє запис клієнта в Stripe з усіма збереженими картками.

• Спільне планування та груповий чат. Коли ви запрошуєте людей до спільного списку чи поїздки (за

посиланням або електронною поштою), учасники бачать лише імена одне одного та те, що кожен написав: примітки, голоси й повідомлення. Повідомлення між мандрівниками не змінюються й не маскуються, але повідомлення з проханням заплатити чи забронювати поза Jet.Guide відхиляється, і будь-який учасник може поскаржитися на повідомлення; наші модератори можуть його видалити й повідомити автора про причину (Акт про цифрові послуги). Учасники отримують лист про нові повідомлення не частіше ніж раз на годину. Ваші повідомлення, примітки та голоси видаляються, коли ви їх видаляєте, коли організатор припиняє спільний доступ або разом із вашим обліковим записом.

• Запити на зворотний дзвінок. Якщо ви просите нас передзвонити, ми зберігаємо ваше імʼя, електронну

пошту, телефон, тему, вашу примітку, часовий проміжок, наші спроби дзвінка та примітку нашого працівника і відкриваємо звернення до служби підтримки. Якщо ми телефонуємо через Twilio (Voice), Twilio отримує ваш номер для дзвінка; інакше наш працівник набирає номер вручну. Ми не записуємо дзвінки. Запит видаляється разом із вашим обліковим записом; звернення до служби підтримки зберігається без ваших даних.

• Поширення вашого відгуку. Ви можете поширити написаний вами відгук: посилання показує ваш відгук

так, як він виглядає в оголошенні (ваше публічне імʼя, зірки та слова), із зображенням попереднього перегляду, яке ми створюємо самі. Жоден скрипт соціальної мережі не завантажується на наших сторінках.

• Нещодавні пошуки зберігаються лише у вашому браузері (tg_recent_searches) і лише поки ввімкнено

«Рекомендовано для вас»; нам нічого про них не надсилається. «Популярні» пропозиції однакові для всіх у країні.

• Поруч зі мною. Список «Ще доступно сьогодні» і смуга «Поруч із вами» на головній сторінці запитують у вашого

браузера ваше місцеперебування лише тоді, коли ви натискаєте «Поруч зі мною», і ніколи під час відкриття сторінки. Місцеперебування надсилається разом із цим одним запитом, щоб знайти відправлення та враження поблизу, і не зберігається.

• План по днях. У «Мої поїздки» ви бачите план по днях із ваших бронювань і списку бажаного, складений за

правилами (без ШІ). Якщо ви переносите враження зі списку бажаного на інший день чи час або прибираєте його з плану, ми зберігаємо цей вибір (яке враження, день і час, прибране чи ні) у вашому обліковому записі, щоб наступного разу план виглядав так само. Час у дорозі між місцями оцінюється за відстанню й показаний як оцінка. Підстава: договір (6(1)(b)). Зберігається, доки ви не видалите обліковий запис.

Приблизне місцеперебування за IP-адресою

(Цей абзац діє лише тоді, коли його увімкнено: GEOIP_ENABLED.)

• Ваше приблизне місце. Щоб спершу показати вам найближчі враження й запропонувати видання для вашої країни, ми

шукаємо вашу IP-адресу у файлі бази даних, що зберігається на нашому власному сервері («IP to City Lite» від DB-IP; жоден зовнішній сервіс не запитується). Ми використовуємо лише країну, регіон і точку, округлену приблизно до 11 km, — на рівні міста, ніколи не вашу вулицю. Ні ваша IP-адреса, ні це місце не зберігаються й не записуються в наші журнали: вони використовуються для цієї однієї сторінки й потім забуваються, а сторінка, яка їх використала, позначається як приватна, щоб жоден спільний кеш її не зберігав. Правова підстава: наш законний інтерес показувати вам доречні враження (ст. 6(1)(f) GDPR). Ви можете заперечити будь-коли (див. «Ваші права»); місце — лише припущення, і ви завжди можете вибрати інший напрямок або натиснути «Поруч зі мною». IP-геолокація від DB-IP (CC BY 4.0).

Голосове введення

Якщо ваш браузер підтримує розпізнавання мовлення, кнопка мікрофона дає змогу промовити пошуковий запит або запитання консьєржу. Аудіо нам не надсилається: ваш браузер записує його, а мовленнєвий сервіс його виробника перетворює його на текст (наприклад, Google для Chrome, Apple для Safari; деякі браузери розпізнають мовлення на пристрої). Ми отримуємо лише текст, так ніби ви його надрукували. Браузер спочатку запитує дозвіл на використання мікрофона, і ви можете відкликати його в налаштуваннях браузера.

(Два наведені нижче абзаци діють лише тоді, коли їх увімкнено.)

• Відповіді вголос. Якщо ви ввімкнете «Читати відповіді вголос» у консьєржі або натиснете кнопку

динаміка біля відповіді чи плану поїздки, власний синтезатор мовлення вашого браузера прочитає її вголос. Нам нічого не надсилається; деякі браузери використовують онлайн-голоси свого виробника, які тоді отримують текст, що читається. Вибір зберігається лише у вашому браузері.

• Якщо ваш браузер не має розпізнавання мовлення (а також у нашому застосунку), кнопка мікрофона

записує фрагмент тривалістю щонайбільше 30 секунд і надсилає його нам; постачальник послуги перетворення мовлення на текст, що діє як наш обробник (OpenAI, OpenAI L.L.C., США, або інший сумісний постачальник, якого ми назвемо тут перед перемиканням), перетворює його на текст, який ми вставляємо в поле, щоб ви його прочитали й надіслали. Фрагмент і текст використовуються лише для цього і не зберігаються нами, а постачальник не може їх зберігати чи використовувати для навчання. Правова підстава: виконання вашого запиту (ст. 6(1)(b) GDPR).

Ключі доступу, пільгові квитки, оплата на нашій сторінці та посилання із соцмереж

(Кожна з цих функцій діє лише тоді, коли її увімкнено.)

• Ключі доступу (passkeys). Якщо ви додаєте ключ доступу в розділі «Вхід і безпека», ми зберігаємо

його відкритий ключ, ідентифікатор облікових даних, лічильник, спосіб, у який ваш пристрій до нього підключається, і дану вами назву, а також дати додавання та останнього використання. Закритий ключ і ваш відбиток пальця, обличчя чи блокування екрана ніколи не залишають ваш пристрій. Ми надсилаємо вам лист, коли ключ доступу додано або видалено. Підстава: договір (6(1)(b)); видаляється, коли ви видаляєте ключ доступу або закриваєте обліковий запис.

• Пільгові квитки. Студентський, пенсійний квиток чи квиток для людей з інвалідністю — це категорія

квитка у вашому бронюванні. У ваучері зазначено, який документ взяти з собою, і працівники організатора переглядають його на вході; ми ніколи не збираємо й не зберігаємо документ. Квиток для людей з інвалідністю може розкривати інформацію про здоровʼя: він зберігається разом із бронюванням, показується організаторові цього бронювання лише для перевірки на вході та видаляється чи анонімізується разом із бронюванням. Підстава: договір (6(1)(b)) і, для квитка для людей з інвалідністю, ваш явний вибір такого квитка (9(2)(a)).

• Оплата на нашій сторінці. Коли ми це вмикаємо, форма оплати на нашій сторінці оформлення

замовлення належить Stripe (Stripe Payments Europe Ltd): дані вашої картки надходять безпосередньо до Stripe, і ми ніколи не бачимо номера картки. Скрипт Stripe встановлює власні файли cookie (наприклад, __stripe_mid і __stripe_sid) для запобігання шахрайству лише на сторінці оплати. Apple Pay і Google Pay пропонує ваш пристрій через Stripe.

• Пропозиції за посиланням із соцмереж. Якщо ви вставите посилання на допис у TikTok, Instagram або

YouTube на сторінці свого збереженого списку, наш сервер надсилає це посилання (без його параметрів відстеження) платформі, з якої воно походить, — TikTok, Meta (Instagram) або Google (YouTube) — через публічний сервіс oEmbed платформи, щоб прочитати публічну назву допису та імʼя автора, і використовує цей текст лише для того, щоб запропонувати враження з нашого каталогу. Ми не зберігаємо посилання чи відповідь, окрім короткочасного кешу тривалістю до 10 хвилин у памʼяті сервера, і не привʼязуємо їх до вашого облікового запису. Підстава: ваш запит (6(1)(b)).

• Іменні квитки. Для деяких квитків організатор запитує імʼя для кожного квитка під час оформлення

замовлення. Імʼя зазначено на квитку, працівники на вході можуть звірити його з документом, що посвідчує особу, а квиток, який ви надсилаєте другові, отримує імʼя друга. Воно зберігається разом із бронюванням і видаляється разом із ним. Підстава: договір (6(1)(b)).

Поїздки, спільна оплата, чати та бронювання через Google

(Кожна з цих функцій, крім ваших власних елементів поїздки, діє лише тоді, коли її увімкнено.)

• Ваші власні елементи поїздки. У розділі «Мої поїздки» ви можете додати рейс, проживання, ресторан,

примітку чи щось інше: назву, час і часовий пояс, а за бажанням — місце, адресу, номер бронювання та примітки. Вони відображаються у вашій поїздці, у її файлі календаря та в копії, яку ваш браузер зберігає для офлайн-використання. Людина, з якою ви поділилися посиланням на поїздку, бачить лише назву, тип і час елемента — ніколи номер бронювання, примітки, місце чи адресу. Підстава: договір (6(1)(b)). Зберігаються, доки ви не видалите елемент або свій обліковий запис.

• Пересилання підтверджень до вашої поїздки. Ви можете створити персональну адресу (trips+…) і

пересилати на неї підтвердження бронювань. Ми читаємо такий лист, лише якщо він надходить із власної підтвердженої адреси вашого облікового запису, що підтверджують перевірки відправника (DMARC, DKIM, SPF) нашого постачальника вхідної пошти; усе інше відкидається непрочитаним. Спочатку ми зчитуємо структуровані дані бронювання, які містять багато підтверджень (рейси, проживання, столики в ресторанах). Якщо їх немає, наш постачальник моделі ШІ читає тему і до 8000 символів тексту, щоб знайти бронювання; елементи, знайдені таким чином, позначено як прочитані ШІ. Усе знайдене зберігається як чернетка, яку ви перевіряєте, а потім підтверджуєте або видаляєте. Сам лист не зберігається: підтвердження може називати людей, з якими ви подорожуєте, тож зберігається лише те, що потрапляє до елемента. Створення нової адреси одразу припиняє дію старої. Підстава: договір (6(1)(b)), на ваш запит.

• Спільна оплата (розподіл платежу). Після бронювання для групи ви можете розділити неоплачену ціну на

2–20 часток, кожну з яких сплачують за окремим посиланням до кінцевого строку. Якщо ви введете адреси електронної пошти своїх друзів, ми надішлемо їм їхні посилання. Кожну частку сплачують через Stripe; ми бачимо, що її сплачено, але ніколи не бачимо картку. Ми зберігаємо разом із бронюванням суми, відомості про те, чи сплачено кожну частку, і введені вами адреси. Якщо на кінцевий строк частки не сплачено, кожну сплачену частку повертають, а бронювання знімається — або, лише якщо ви погодилися на це на сторінці своєї частки, картка, якою ви сплатили свою частку, зберігається в Stripe і з неї списується неоплачений залишок; після завершення розподілу (сплачено, знято або списано залишок) цю картку видаляють у Stripe. Stripe отримує адресу, яку ви ввели для частки, разом із її платежем. Ми зберігаємо адреси ваших друзів протягом 30 днів після завершення розподілу для квитанцій і листів про результат, а потім видаляємо їх. Підстава: договір (6(1)(b)) із вами та з кожним другом щодо його частки; надсилання другові посилання, яке ви попросили нас надіслати: наш законний інтерес у виконанні вашого запиту (6(1)(f)).

• Чат відправлення. На деяких відправленнях мандрівники, які показують себе у функції «Хто їде», можуть

спілкуватися між собою та з командою організатора — від 48 годин до початку до 7 днів після завершення; потім чат доступний лише для читання. Інші бачать імʼя, яке ви обрали для «Хто їде». Номери телефонів, адреси електронної пошти та інші контактні дані в повідомленнях приховуються, а повідомлення з проханням заплатити чи забронювати поза Jet.Guide відхиляється. Ви можете поскаржитися на будь-яке повідомлення (Акт про цифрові послуги) і заблокувати мандрівника, повідомлень якого ви тоді більше не бачитимете. Ви можете видаляти власні повідомлення, а вимкнення «Хто їде» припиняє вашу участь у чаті. Повідомлення видаляються через 30 днів після завершення відправлення; повідомлення, на яке поскаржилися, зберігається разом зі скаргою. Чат не пропонується у Великій Британії. Підстава: ваша згода на «Хто їде» (6(1)(a)) і договір (6(1)(b)); розгляд скарг: юридичний обовʼязок (6(1)(c)).

• Бронювання через Google (Reserve with Google). Деякі організатори дають змогу бронювати їхні заняття

та велнес-сеанси в Google Картах або Google Пошуку. Тоді Google надсилає нам ваше імʼя, адресу електронної пошти та номер телефону, кількість осіб, обраний вами час і псевдонімний ідентифікатор Google для вас; ми створюємо бронювання в організатора як бронювання з оплатою на місці і на запит Google повідомляємо йому його статус із тими самими даними. Google є окремим контролером щодо того, що ви йому надаєте, відповідно до власної політики конфіденційності. Підстава: договір (6(1)(b)). Бронювання зберігається, як і будь-яке інше; ідентифікатор Google видаляється разом із персональними даними бронювання.

• Ціни для учасників. Організатор може пропонувати нижчу ціну лише учасникам, які ввійшли в обліковий

запис, або, поки діє наша програма лояльності, лише для її рівнів Gold чи Platinum. Коли ви ввійшли, ціна обчислюється з урахуванням вашого облікового запису: чи ви учасник і, для рівня, завершені вами бронювання. Нічого нового не зберігається; сплачена вами ціна залишається в бронюванні. Коли ви не ввійшли, ціна може показувати, скільки платять учасники. Підстава: договір (6(1)(b)).

• Чат зі службою підтримки. Якщо ви попросите консьєржа зʼєднати вас із людиною або натиснете

«Поговорити з людиною» в розділі «Довідка», ви спілкуєтеся з нашою службою підтримки. Ми зберігаємо ваше імʼя та адресу електронної пошти (як гість ви вводите їх і проходите перевірку на ботів), вашу мову, бронювання, якого стосується розмова, те, що ви й консьєрж уже сказали, повідомлення та час їх прочитання. Поза робочими годинами чату, коли ніхто не доступний, коли ніхто не приймає чат протягом кількох хвилин і коли чат завершується, розмова переходить у запит до служби підтримки, щоб ми могли відповісти електронною поштою. Чат видаляється через 90 днів після закриття; копія в запиті до служби підтримки зберігається так само, як запити до служби підтримки (див. «Як довго ми їх зберігаємо»). Підстава: договір і наш законний інтерес у тому, щоб вам відповісти (6(1)(b) і (f)).

Планувальник поїздок, вподобання щодо подорожей і консьєрж

(Кожна з цих функцій діє лише тоді, коли її увімкнено.)

• Планувальник поїздок. Ви описуєте поїздку: місця й дати, кількість дорослих, вік кожної дитини

(ніколи імʼя чи дату народження), інтереси, чого уникати, темп, бюджет і потреби щодо мобільності (без сходинок, дитячий візок, обмежена ходьба). Ми використовуємо це, щоб скласти план з оголошень із вільними місцями та памʼяток, відкритих у ці дні. Коли використовується наш постачальник моделі ШІ (див. «Хто отримує ваші дані»), він отримує цей опис і варіанти оголошень, обирає серед них і пише короткі пояснення з позначкою ШІ; інакше план складають правила. Потреби щодо мобільності можуть щось говорити про здоровʼя: вказуйте їх, лише якщо хочете, щоб їх врахували; вони використовуються лише для цього плану. Ви також можете почати зі знімка екрана, фото, PDF або вставленого тексту. Файл один раз читає постачальник моделі ШІ, щоб знайти назви місць і заходів (фото спочатку перекодовується, що видаляє дані про місцезнаходження та камеру), і він не зберігається; вставлений текст зіставляється без ШІ. План, який ви не зберегли, у нас не зберігається. Збережений план містить ваш опис і план: в обліковому записі — доки ви не видалите його або обліковий запис; без облікового запису — за приватним посиланням, від якого ми зберігаємо лише хеш, і видаляється через 30 днів після останньої зміни. Посилання для поширення показує план лише для читання і перестає працювати, коли ви скасовуєте спільний доступ. Ніщо з того, що ви вводите, завантажуєте чи плануєте, не записується в наші журнали. Підстава: ваш запит (6(1)(b)); для потреб щодо мобільності — ваш явний вибір їх надати (9(2)(a)).

• Вподобання щодо подорожей. У розділі «Обліковий запис → Вподобання щодо подорожей» ви можете дозволити

нам запамʼятати інтереси, темп, діапазон бюджету, чого уникати і вік ваших дітей: їх обирають із фіксованих переліків, ніколи не вільним текстом, і ніколи не виводять із ваших дій. Потреби щодо доступності (інвалідний візок, без сходинок, слух, зір тощо) можуть бути даними про здоровʼя: вони зберігаються лише за окремою явною згодою, наданою разом із ними, а її відкликання їх видаляє. Консьєрж використовує ваші вподобання для вибору пропозицій, а пошук може впорядковувати результати за збереженими вами інтересами. Вони не використовуються, поки ваш браузер надсилає Global Privacy Control або ви вимкнули рекомендації, ніколи не використовуються для цін, ніколи не показуються організаторам і ніколи не передаються асистентам, підключеним до вашого облікового запису. Вимкнення памʼяті одразу її видаляє. Підстава: згода (6(1)(a); для потреб щодо доступності — 9(2)(a)).

• Консьєрж і ваша поїздка. Лише якщо ви ввімкнете доступ до поїздки (у чаті або на сторінці

«Вподобання щодо подорожей»), консьєрж може читати ваші підтверджені бронювання, ваші власні елементи поїздки та план дня, ваш список бажань, ваші сповіщення про ціну та нові дати, а там, де цю функцію ввімкнено, — ваших збережених мандрівників, щоб відповідати на запитання про вашу поїздку. Він може запропонувати зберегти враження чи встановити сповіщення; зміну вносить лише ваше натискання кнопки підтвердження. Кожне читання та кожна зміна фіксуються, як і для підключених асистентів. Вимкнення доступу до поїздки одразу його припиняє.

• Більше для підключених асистентів. Асистент, підключений до вашого облікового запису (див. «ШІ-асистенти»

вище), може, лише якщо ви також дозволили «список бажань» на сторінці згоди, читати ваш список бажань і сповіщення та змінювати їх після вашої згоди в асистенті, а також зберегти для вас кошик: підписане посилання, яке діє 7 днів, якщо ми не встановимо інший строк (щонайбільше 30), і видаляється через день після закінчення строку дії. Його відкриття заново розраховує ціни на все; нічого не утримується і не списується.

• «Це неправильно». Якщо ви поскаржитеся на відповідь ШІ, ми зберігаємо, де вона зʼявилася, слова

відповіді, обрану вами причину, вашу примітку (без контактних даних), мову і, якщо ви ввійшли, ваш обліковий запис; ніколи вашу мережеву адресу чи імʼя. Наша команда використовує це для виправлення відповідей ШІ. Скарга зберігається 180 днів після того, як наша команда її закриє (щонайбільше рік, поки вона відкрита); видалення вашого облікового запису вилучає з неї ваш обліковий запис і примітку. Підстава: законний інтерес у правильних і безпечних відповідях ШІ (6(1)(f)).

Групове планування, звʼязки між гостями та групові бронювання

(Кожна з цих функцій діє лише тоді, коли її увімкнено. Групове планування та звʼязки між гостями не пропонуються у Великій Британії.)

• Групове планування. У групі поїздки (див. «Спільне планування та груповий чат» вище) учасники можуть

додавати враження до короткого списку, голосувати за них, пропонувати дати й відповідати на опитування щодо дат; учасники бачать імена, голоси та відповіді одне одного. Учасник може поставити ШІ-асистентові запитання від імені групи: асистент отримує запитання, а також дати групи, кількість учасників, короткий список і опитування — ніколи імʼя чи адресу учасника і ніколи чиїсь бронювання, — а його відповідь із позначкою ШІ залишається в групі. Запитання та відповіді видаляються через 30 днів, а весь план групи — через 30 днів після того, як група перестає бути спільною. Потім власник обирає відправлення і бронює його; ціну можна розділити між учасниками (див. «Спільна оплата»). Підстава: договір (6(1)(b)).

• Звʼязки між гостями. Якщо ви погодилися на це, вказавши імʼя, яке хочете показувати, і поставивши

окрему позначку, і показали себе у функції «Хто їде» на відправленні, то протягом 14 днів після його завершення ви бачите інших гостей цього відправлення, які зробили те саме, і можете запропонувати комусь із них залишатися на звʼязку. Інший гість отримує один лист лише з обраним вами імʼям і назвою враження і приймає або відхиляє пропозицію. Повʼязані гості можуть писати одне одному за правилами чату відправлення: повідомлення з проханням заплатити чи забронювати поза Jet.Guide відхиляється, і ви можете поскаржитися на повідомлення та заблокувати гостя. Ми зберігаємо вашу згоду з формулюванням, з яким ви погодилися, ваші звʼязки (хто, яке відправлення, коли) і повідомлення. Відмова від участі зупиняє нові запити; завершення звʼязку або видалення будь-якого з облікових записів видаляє його та його повідомлення для обох гостей. Підстава: згода (6(1)(a)); розгляд скарг: юридичний обовʼязок (6(1)(c)).

• Мапа подорожей. Якщо ви її ввімкнете, поставивши окрему позначку (ми зберігаємо формулювання, з яким

ви погодилися), ваші звʼязки з гостями, які також її ввімкнули, можуть бачити те, що ви оберете, кожну частину окремо: враження, у яких ви брали участь (місце оголошення, місяць і рік, ніколи день, склад групи чи ціну), списки, якими ви ділитеся по одному, і «рекомендує» з обраним вами імʼям на оголошенні, яке ви оцінили на 4 або 5 зірок чи додали до спільного списку, — останнє лише для звʼязків, які вирішили бачити рекомендації. Ніхто інший нічого з цього не бачить, і функція не пропонується у Великій Британії. Ви можете приховати враження; блокування чи завершення звʼязку приховує все від цієї особи. Ми зберігаємо ваш вибір, приховані вами враження та формулювання, з яким ви погодилися; вимкнення мапи або видалення облікового запису їх видаляє. Підстава: згода (6(1)(a)).

• Групові бронювання. Для групи, більшої за максимальну кількість для онлайн-бронювання в оголошенні,

організатор групи може надати організаторові враження імена мандрівників до встановленого ним строку, надати адреси електронної пошти учасників, щоб кожен сплатив свою частку за посиланням (ми зберігаємо лише хеш кожного посилання), і оформити квитанції на компанію (її назва, адреса, країна і, якщо вказано, номер платника ПДВ і реєстраційний номер, а також електронна пошта для рахунків). Організатор бачить імена, без адрес, у своєму порталі; список ніколи не надсилається електронною поштою. Частки сплачуються через Stripe. Імена та адреси учасників видаляються через 30 днів після заходу (див. «Як довго ми їх зберігаємо»). Підстава: договір з організатором групи (6(1)(b)); надсилання учасникові посилання, яке попросив надіслати організатор групи: законний інтерес (6(1)(f)).

Гарантія найкращої ціни, клуб та інші способи оплати

(Кожна з цих функцій діє лише тоді, коли її увімкнено.)

• Гарантія низької ціни. Якщо ви заявляєте, що те саме враження деінде дешевше, ми зберігаємо

заявку: ваш обліковий запис або адресу електронної пошти бронювання, посилання та ціну на іншому сайті, коли ви її бачили, вашу примітку, знімок екрана, якщо ви його додасте (зберігається разом із бронюванням; не включайте до нього дані інших людей), і рішення нашої команди. Ми не відкриваємо посилання автоматично; наша команда може переглянути сторінку. Схвалена заявка повертає різницю або надає кредит у магазині; її суми, дати та рішення залишаються у фінансовому записі бронювання, а видалення вилучає обліковий запис, адресу, примітку та знімок екрана. Заявки рахуються для кожного облікового запису та адреси електронної пошти для річного ліміту. Підстава: договір (6(1)(b)).

• Клуб Jet.Guide. Клуб — це членство, як абонементи та членства в таблиці вище (оплата та згода на

поновлення). Ранній доступ до відправлення надає вам код доступу, від якого ми зберігаємо лише хеш. Якщо ви користуєтеся покриттям скасування, ми зберігаємо бронювання та зараховану суму; цей кредит у магазині є бухгалтерським записом (10 років) і в разі видалення втрачає звʼязок із вашим обліковим записом. Клуб ніколи нікому не надає персональної ціни. Підстава: договір (6(1)(b)).

• Оплата частинами. Якщо ви обираєте оплату частинами, ви погоджуєтеся, що картку, якою ви сплачуєте

перший внесок, зберігає Stripe і з неї списують кошти в зазначені дати. Ми зберігаємо цю згоду (коли і з яким формулюванням), платіжну систему картки та останні чотири цифри, графік і кожен платіж. Картку видаляють у Stripe, щойно більше нічого не потрібно сплачувати. У разі видалення дані картки зникають; графік, суми та згода залишаються як фінансові записи. Підстава: договір (6(1)(b)).

• Інші способи оплати. Там, де їх пропонують, PayPal, Wero, Bizum, Satispay, Scalapay і Alma

оплачуються через сторінку оформлення замовлення Stripe: ви переходите до постачальника, який отримує потрібне для цього платежу відповідно до власних умов і повідомлення про конфіденційність; ми дізнаємося лише, чи платіж здійснено. Scalapay і Alma, які дають змогу сплатити пізніше, є окремими контролерами щодо домовленості, яку ви з ними укладаєте.

• Оплата пізніше («купуйте зараз, платіть пізніше»). Лише там, де ми вмикаємо її для ринку, на якому ви

бронюєте (BNPL_METHODS_ENABLED): Klarna, Afterpay/Clearpay, Scalapay або Alma кредитують вам ціну й сплачують нам усю суму. Якщо ви оберете одну з них, вона отримає ваше ім'я, адресу електронної пошти, суму й дату бронювання, щоб вирішити, чи надати кредит, і може перевірити вашу кредитоспроможність за власними умовами та повідомленням про конфіденційність. Вона є окремим контролером щодо кредиту, який укладається між вами й нею, а не з Jet.Guide чи організатором. Ми дізнаємося лише, чи пройшов платіж. Підстава: договір (6(1)(b)).

У день заходу та на вашому телефоні

(Кожна з цих функцій діє лише тоді, коли її увімкнено.)

• План Б. Коли заброньований день під загрозою (високий погодний ризик, закритий обʼєкт, скасоване

відправлення або ваша ще відкрита скарга), сторінка бронювання показує ваші варіанти та до трьох альтернатив із вільними місцями на цей день, обраних за місцем, типом і часом, ніколи за вашим профілем. Ми надсилаємо вам лист і push-сповіщення один раз для кожного бронювання та причини і фіксуємо, що зробили це. Підстава: договір (6(1)(b)).

• «Я на місці зустрічі». Від 30 хвилин до початку до 30 хвилин після нього ви можете повідомити

організаторові, що прибули. Лише за вашої згоди місцеперебування вашого браузера зчитується один раз, округлюється приблизно до 100 метрів і зберігається разом із реєстрацією прибуття; організатор бачить, хто прибув, і зафіксоване прибуття не дає позначити вас як неявку без перевірки людиною. Місцеперебування видаляється через 30 днів. Підстава: згода (6(1)(a)).

• Віджет застосунку та зворотний відлік на екрані блокування. У нашому застосунку для телефона з

увімкненими віджетами застосунок отримує токен лише для читання (ми зберігаємо лише його хеш, щонайбільше пʼять на обліковий запис, він відкликається, коли ви виходите) і показує назву, час, місце зустрічі та посилання на ваучер вашого наступного бронювання на головному екрані, а за 4 години до початку — на екрані блокування, де їх може прочитати будь-хто, хто бачить ваш телефон. Імʼя, номер телефону чи ціна не показуються. Щоб це припинити, видаліть віджет або вийдіть з облікового запису.

• Абонементи hop-on/hop-off. Коли починає діяти ваш абонемент і щоразу, коли ви сідаєте в транспорт, ми

фіксуємо зупинку, лінію та час разом із вашим бронюванням, щоб екіпаж міг перевірити абонемент, а ви бачили, як довго він ще діє. Офлайн-список екіпажу містить лише хешовані коди, без імен. Позиції транспорту на сторінці маршруту стосуються автобусів і човнів, а не вас. Ці записи залишаються з бронюванням і не вказують ні на кого після його анонімізації.

• Посилання з реклами та дописів. Наше посилання, яке відкриває оголошення або запитання для

асистента, лише рахує, скільки разів його відкривали: без ідентифікатора відвідувача, адреси чи файлу cookie. Запитання вписується в поле асистента, щоб ви його прочитали, змінили й надіслали самі.

• Таксі, якщо трансфер не приїхав. Коли ми схвалюємо замінне таксі з оплатою банківським переказом, наш лист

веде на сторінку, де ви вказуєте власника рахунку та IBAN (або, маючи акаунт, берете кредит на рахунок). IBAN бачить лише наш фінансовий відділ, щоб зробити переказ; ми видаляємо його після оплати й зберігаємо із заявкою лише останні чотири цифри. Підстава: договір (6(1)(b)).

• Тестування версій сторінок. Ми, а також організатори на своїй власній сторінці бронювання, можемо

тестувати версії сторінки: формулювання, запропоновану додаткову послугу або, для організатора, нижчу ціну для випадкової частки відвідувачів (ніколи вищу, ніколи на основі того, хто ви, і сторінка повідомляє, що ціни тестуються). Лише якщо ви дозволили аналітику в повідомленні про файли cookie, ваш випадковий ідентифікатор візиту (tg_vid) обирає вашу версію, щоразу ту саму; інакше ви бачите звичайну сторінку і не враховуєтеся. Ми рахуємо покази кожної версії за день без жодного ідентифікатора відвідувача, а також бронювання, зроблені з візитів у межах тесту. Підстава: згода (6(1)(a)).

Тексти організаторів, списки гостей і програми лояльності

(Кожна з цих функцій діє лише тоді, коли її увімкнено.)

• Повідомлення з власного номера організатора. Організатор може надсилати вам текстові повідомлення з

власного номера через Twilio, Vonage або MessageBird (залежно від того, яким ми користуємося). Повідомлення щодо вашого бронювання надходять лише на телефон, з якого просили надсилати повідомлення щодо цього бронювання. Маркетингові повідомлення від організатора, як-от нагадування про незавершене оформлення замовлення чи прохання залишити відгук, надходять лише після того, як ви про них попросили (на сторінці бронювання або на стійці організатора), і підтвердили це, відповівши YES або скориставшись посиланням в єдиному повідомленні з підтвердженням, яке ми надсилаємо (воно діє 48 годин). У кожному з них названо організатора і є посилання для відписки; відповідь STOP припиняє всі повідомлення від цього організатора на цей телефон, а STOP, надісланий на власний номер Jet.Guide, припиняє їх усі. Коли ви пишете на номер організатора, ваше повідомлення надходить до вхідних організатора, і він може відповідати протягом 30 днів. Ми зберігаємо згоду (номер, формулювання, з яким ви погодилися, коли), STOP і повідомлення (номер і текст); повідомлення видаляються через 90 днів після надсилання (OPERATOR_SMS_RETENTION_DAYS). Підстава: згода (6(1)(a)) для маркетингових повідомлень; договір для повідомлень щодо вашого бронювання.

• Власний інструмент розсилки організатора. Якщо ви підтвердили, що організатор може надсилати вам

листи зі своїми новинами (див. «Підтвердження листів організатора» нижче), і організатор підключає власний Mailchimp, Klaviyo або HubSpot, ми надсилаємо до цього інструмента вашу адресу електронної пошти, імʼя та мову як контакт; нікого без такої підтвердженої згоди не надсилаємо. Відкликання згоди в нас відписує вас там, а відписка там відкликає згоду тут. Ми зберігаємо лише солоний хеш адреси та те, чи вона підписана. Організатор є контролером власного інструмента.

• Програми лояльності та постійні гості. Організатор може вести картку відвідувань: ваші завершені

відвідування його оголошень рахуються за солоним хешем вашої адреси електронної пошти, і кожні кілька відвідувань дають одноразовий код, який надсилають вам лише тоді, коли ви погодилися на листи організатора. На своїй стійці організатор може розпізнати вас як постійного гостя за адресою електронної пошти чи номером телефону лише серед власних бронювань і може обʼєднувати гостей, які подорожують разом, у домогосподарство (йому можуть показувати гостей зі спільним номером телефону або з тим самим прізвищем на тому самому відправленні). Видалення стирає лічильники відвідувань і членство в домогосподарствах. Підстава: законний інтерес організатора (6(1)(f)); організатор є контролером.

• Власне вимірювання реклами організатора. На власній сторінці бронювання організатора (його сторінки

/o/ і віджет), якщо ви приймете повідомлення цієї сторінки, можуть завантажуватися власні теги Google Analytics, Google Tag Manager і Meta організатора, а після бронювання наш сервер може надіслати покупку до власних облікових записів Meta, Google Analytics і Google Ads організатора: вартість, валюту, номер події, який не є вашим номером бронювання, вашу адресу електронної пошти та номер телефону лише у вигляді односторонніх хешів (SHA-256) і, якщо ці теги їх установлюють, їхні ідентифікатори браузера (наприклад, _fbp) і рекламний клік, з якого ви прийшли. Для аналітики потрібна ваша згода на аналітику; для Meta і Google Ads — ваша згода на маркетинг; з увімкненим Global Privacy Control або після «Ні, дякую» нічого не надсилається, а пізніше «Ні, дякую» зупиняє те, що ще не надіслано. Ми зберігаємо ваш вибір і ці ідентифікатори 90 днів. Підстава: згода (6(1)(a)). Організатор є контролером своїх рекламних облікових записів.

ШІ-стійка реєстрації, телефонний ШІ-адміністратор і асистенти організаторів

(Кожна з цих функцій діє лише тоді, коли її увімкнено, і організатор використовує її, лише якщо сам так вирішить.)

• ШІ-стійка реєстрації. Організатор може дозволити ШІ відповідати вам у чаті на власному вебсайті, у

своїх вхідних (повідомлення на Jet.Guide, електронна пошта, WhatsApp, Instagram і текстові повідомлення) і по телефону. Кожна відповідь повідомляє, що її написав ШІ. ШІ відповідає лише на основі оголошень організатора, його поширених запитань і поточної доступності; повернення коштів, зміни, скарги, безпека та прохання зʼєднати з людиною передаються команді організатора. Наш постачальник моделі ШІ отримує ваші повідомлення без адрес електронної пошти, номерів телефонів і посилань. Якщо вам потрібні місця, ШІ може утримати їх на ваше імʼя та надіслати вам посилання для оплати, щойно ви вкажете своє імʼя та адресу електронної пошти. Ми зберігаємо розмову, відповіді та рішення ШІ (які перевіряє команда організатора), а для дзвінка — ваш номер телефону: усе це видаляється через 30 днів після останнього повідомлення. Підстава: законний інтерес організатора і наш у тому, щоб вам відповісти, і договір, коли ви бронюєте (6(1)(f) і (b)).

• Телефонний ШІ-адміністратор. Якщо ви телефонуєте на номер організатора, на який відповідає ШІ, ви

спочатку чуєте, що говорить автоматизований ШІ-асистент і що слово «людина» зʼєднає вас із працівником. Постачальник телефонії (Twilio або Vonage) забезпечує дзвінок, перетворює ваше мовлення на текст і зачитує відповіді. Дзвінки ніколи не записуються. Сказане зберігається, лише якщо організатор зберігає розшифровки і ви погоджуєтеся, коли вас про це запитують; інакше зберігається лише те, що ви телефонували, коли і як завершився дзвінок. Посилання для оплати надсилається текстовим повідомленням на номер, з якого ви телефонували.

• Асистенти, підключені організатором. Член команди організатора може підключити ШІ-асистента

(наприклад, у Claude або ChatGPT) до внутрішньої системи бізнесу на рівні, який дозволяє роль цього члена команди. Тоді асистент може читати відправлення та бронювання організатора, зокрема ваше імʼя та контактні дані, а на вищому рівні — утримувати, переносити чи скасовувати бронювання, скасування — лише після підтвердження. Постачальник асистента обробляє прочитане відповідно до домовленості організатора з ним, і за це відповідає організатор. Ми фіксуємо, який інструмент використано, коли і щодо якого бронювання чи відправлення, але ніколи ваші дані.

• Запитання до звітів. Організатори можуть ставити запитання про свої показники звичайними словами:

ШІ лише обирає один із наших фіксованих звітів, який розраховуємо ми. Саме запитання не зберігається, лише те, який звіт було сформовано.

Відмови від претензій, абонементи, перепродаж і канали продажу

(Кожна з цих функцій діє лише тоді, коли її увімкнено.)

• Раніше підписана відмова від претензій. Якщо організатор це дозволяє, відмова від претензій, яку ви

підписали для одного з його оголошень, знову зараховується для нового бронювання того самого оголошення протягом строку дії, встановленого організатором (щонайбільше два роки), якщо ваше імʼя та адреса електронної пошти збігаються, а формулювання відмови не змінилося. Нічого не копіюється; попередній підпис зберігається до закінчення строку зберігання для нового заходу.

• Відмови від претензій без бронювання. На стійці організатора ви можете відсканувати його QR-код і

підписати відмову від претензій на своєму телефоні без бронювання. Вона зберігається разом із вказаною вами адресою електронної пошти, щоб організатор міг привʼязати її до вашого бронювання під час реєстрації: 7 днів, якщо організатор не встановить від 1 до 30. Після привʼязки з нею поводяться як із будь-якою відмовою від претензій; якщо ні — її видаляють.

• Зріст, вага та розмір взуття. Оголошення може запитувати їх разом із відмовою від претензій — для

спорядження та обмежень безпеки. Організатор бачить їх разом із відмовою; вони видаляються разом з особистими полями відмови (див. «Як довго ми їх зберігаємо»).

• Міські картки та абонементи на памʼятки. Якщо ви входите з абонементом іншої компанії (Go City,

CityPASS, iVenture, Turbopass чи інший, який приймає організатор), сканер організатора перевіряє його в цієї компанії, яка отримує номер абонемента. Ми зберігаємо номер абонемента, хеш і останні чотири символи його коду, категорію та тариф, щоб організатор міг виставити рахунок компанії абонемента; ніколи не ваше імʼя чи контактні дані. Ваучери GetYourGuide, Viator та інших реселерів перевіряються за бронюванням, яке вони нам надіслали.

• Один організатор продає враження іншого. Організатор може продавати враження іншого організатора на

сторінці свого магазину, у своєму віджеті чи на своїй стійці; вам повідомляють, хто його продає і хто надає. Організатор-продавець отримує ваше імʼя та контактні дані і може надіслати вам посилання для оплати; організатор, який проводить враження, отримує ваше імʼя та бронювання. Кожен відповідає за те, що робить із ними.

• Бронювання з інших каналів продажу. Якщо ви бронюєте враження на GetYourGuide, Viator, Expedia,

Klook, Tiqets, Musement, Google Things to Do або в реселера OCTO, а його організатор керує цими каналами через Jet.Guide, канал надсилає нам бронювання з імʼям головного мандрівника та складом групи, і ми зберігаємо його для організатора; зміни та скасування передаються в обидва боки. Канал є окремим контролером відповідно до власного повідомлення про конфіденційність. Бронювання, яке неможливо розмістити автоматично, зберігає імʼя щонайбільше 30 днів (див. «Як довго ми їх зберігаємо»).

Фото після туру

(Кожна з цих функцій діє лише тоді, коли її увімкнено.)

• Фото після туру. Команда організатора може ділитися фото вашого відправлення з гостями цього

відправлення. У своєму бронюванні ви обираєте, чи можна ділитися фото, на яких ви є, з іншими гостями («ділитися»), чи ні («не показувати мене»); дитину в бронюванні не показують, якщо дорослий, який забронював, не обере «ділитися». Перш ніж альбом буде показано, член команди має підтвердити, що нікого з тих, кого не слід показувати, неможливо впізнати; ми зберігаємо, хто це підтвердив і коли. Альбом бачать лише гості цього відправлення через власне бронювання. Ви можете вимагати видалити будь-яке фото («Я є на цьому фото»): його одразу прибирають для всіх, а його файли видаляють; організатор бачить, що фото видалено, але не ким. З кожного фото видаляються дані про місцезнаходження та камеру. Фото та ваш вибір видаляються через 30 днів після відправлення (ми можемо встановити від 7 до 180 днів). Якщо організатор продає пакет фото, його купівля надає вам фото в повному розмірі; без неї ви бачите невеликі попередні перегляди. 30 днів відлічуються від завершення відправлення. Фотопакет, придбаний після туру, дає вам фотографії в повному розмірі до видалення альбому; в останні 48 годин альбому його не продають, а знята фотографія зникає й для покупців, тож завантажте ті, які хочете зберегти.

• «Надихніть мене». Відповіді на вікторину використовуються один раз — щоб запропонувати місця та

заповнити планувальник поїздок; ми нічого з них не зберігаємо.

Розпорядження органів і перевірка санкцій

(Перевірка санкцій діє лише тоді, коли її увімкнено.)

• Розпорядження органів. Суд, поліція, прокуратура чи інший орган може зобов'язати нас видалити контент,

надати йому інформацію про вас або надати чи зберегти дані (Акт про цифрові послуги, ст. 9 і 10; Регламент (ЄС) 2023/1543 про електронні докази). Наша юридична команда реєструє кожне розпорядження, перевіряє його й відповідає. Поки розпорядження вимагає зберегти дані, зазначені в ньому акаунти, бронювання й повідомлення не видаляються у звичайні строки, ми зберігаємо їхню запечатану копію, а ваш акаунт не можна видалити (ми повідомляємо лише, що цьому перешкоджає юридичний обов'язок). Ми повідомляємо вас про розпорядження, коли це дозволяють закон і саме розпорядження: хто його надіслав, що ми зробили і як його оскаржити. Підстава: юридичний обов'язок (ст. 6(1)(c)). Розпорядження зберігається 5 років після закриття; копія — лише до кінця збереження.

• Перевірка санкцій. Право ЄС забороняє платежі особам і компаніям із санкційних списків ЄС і продаж

туристичних послуг у Криму, Севастополі та на окупованих територіях України. Щоночі ми порівнюємо імена організаторів, їхніх власників і партнерів (афіліатів, авторів) зі списком, який публікує ЄС. За можливого збігу їхні виплати й схвалення затримуються, доки наша команда його не перевірить; збіг і рішення зберігаються як запис про дотримання вимог. Імена мандрівників не перевіряються. Підстава: юридичний обов'язок (ст. 6(1)(c)).

• Інциденти безпеки. Якщо інцидент безпеки стосується персональних даних (хтось без права бачить, змінює або

втрачає їх), ми вносимо його до нашого реєстру інцидентів: що сталося, яких даних і скількох людей це стосується, ризик для вас і що ми зробили. Ми зберігаємо цей запис і тоді, коли про інцидент не потрібно повідомляти. Ми повідомляємо наглядовий орган із захисту даних протягом 72 годин відтоді, як дізналися про інцидент, якщо тільки він навряд чи створить ризик для когось, а вас повідомляємо безпосередньо, вашою мовою, коли він імовірно створить високий ризик для вас: що сталося, що це може означати для вас і що ви можете зробити. Якщо це стосується гостей організатора, ми повідомляємо й організатора. Підстава: юридичний обов'язок (ст. 6(1)(c)). Запис зберігається 5 років після закриття інциденту.

Партнерська мережа

(Партнерська мережа діє лише тоді, коли її увімкнено: AFFILIATE_NETWORK_ENABLED.)

Партнерська мережа (лише для партнерів). Коли партнер подає заявку за посиланням або кодом запрошення іншого партнера, ми зберігаємо, хто його запросив (його спонсора), — його закріплюють під час схвалення заявки, — і кожне виправлення нашої команди з причиною. Щоб мережа залишалася чесною, ми порівнюємо партнера з партнерами над ним: домен підтвердженої корпоративної адреси електронної пошти, рахунок для виплат, податковий номер або номер платника ПДВ і солоні хеші мережевої адреси (та адреси разом із браузером), з якої подано заявку, — але ніколи саму адресу. У разі збігу відповідні мережеві комісії утримують, доки їх не перевірить працівник нашої команди; саме порівняння нічого не вирішує. Партнер бачить імена запрошених ним партнерів і лише підсумки для рівнів нижче; ніхто в мережі не бачить мандрівників. Підстава: договір із партнером (6(1)(b)) і наш законний інтерес у запобіганні шахрайству (6(1)(f)). Зберігається, доки партнерський акаунт відкритий; комісії — разом із документами про виплати (законодавство про бухгалтерський облік).

Ми також порівнюємо мережеву адресу, з якої партнер востаннє користувався нашим сайтом (солоний хеш), і — коли її повідомляє Stripe — солоний хеш банківського рахунку для виплат, а також перевіряємо, чи не купив бронювання, за яке нараховувалася б мережева комісія, партнер вище (той самий акаунт, адреса електронної пошти або картка); таку комісію теж утримують до перевірки. Солоні хеші із заявки видаляємо через 180 днів після заявки, решту — коли партнерський акаунт закрито й видалено. Підсумки продажів показуємо лише для рівнів, де щонайменше три партнери, щоб ніхто не міг побачити продажі окремого партнера.

Інструменти для партнерів

Список «Незабаром». Поки наша партнерська програма закрита, ви можете залишити свою адресу електронної пошти на сторінці програми (і, якщо бажаєте, який ви партнер, сайт і країну), щоб один раз отримати повідомлення про її відкриття. Спершу ми надсилаємо посилання для підтвердження; адресу, не підтверджену протягом 7 днів, видаляємо. Підтверджена адреса отримує один лист, коли програма відкриється, і видаляється через 30 днів, а будь-яка адреса — не пізніше ніж через 18 місяців. Ми зберігаємо слова, з якими ви погодилися, і солений хеш мережевої адреси, з якої надіслано форму (проти зловживань), але ніколи саму адресу. Адреса електронної пошти не використовується ні для чого іншого. Підстава: ваша згода (ст. 6(1)(a)), яку ви можете будь-коли відкликати за посиланням у нашому листі.

LinkSwitcher і панель партнера. Скрипт LinkSwitcher партнера на його власному сайті читає лише адреси посилань на наш сайт і перетворює їх на посилання партнера для відстеження; він не встановлює cookie, нічого не зберігає і нічого не надсилає про читача. Перехід за таким посиланням — це звичайний партнерський клік (tg_clid, нижче). Панель партнера на наших сторінках, яку бачать лише партнери, що увійшли в систему, пам'ятає в цьому браузері лише те, чи партнер її згорнув (tg_partner_bar).

Платіжні дані організаторів і партнерів

(Вибір виплати через банк або Revolut діє лише тоді, коли його увімкнено: PAYOUT_METHOD_CHOICE_ENABLED.)

Банківські дані для виплат (організатори й партнери). Організатор або партнер, який обирає виплати банківським переказом чи через наш рахунок Revolut Business, надає нам ім'я власника рахунку, IBAN і, за бажанням, BIC. Ми зберігаємо IBAN зашифрованим і показуємо лише останні чотири цифри, зокрема нашим працівникам; його розшифровують лише для здійснення платежу, а його хеш із сіллю порівнюють із хешами інших отримувачів, щоб виявити один рахунок за кількома бізнесами. Наші працівники перевіряють дані за листом або випискою з банку перед першим платежем. Зміну підтверджують паролем і повідомляють про неї електронною поштою, зокрема на адресу, з якої обліковий запис нещодавно перейшов. Для платежу через Revolut компанія Revolut отримує ім'я власника та IBAN. Підстава: договір з отримувачем (6(1)(b)) і наш законний інтерес у запобіганні шахрайству (6(1)(f)). Зберігаються, доки обліковий запис відкритий; під час видалення ім'я власника та IBAN видаляють, і в записах про виплати залишаються лише останні чотири цифри (законодавство про бухгалтерський облік).

Перевірка відгуків

(Порівняння хешів картки, мережі та пристрою з другого абзацу діє лише тоді, коли його увімкнено: REVIEW_FRAUD_LINKS_ENABLED. Автоматичне приховування з третього абзацу діє лише тоді, коли його увімкнено: REVIEW_FRAUD_AUTO_HIDE_ENABLED.)

Перевірка відгуків. Щоб відгуки були справжніми, ми перевіряємо нові й недавні відгуки на ознаки фальшивих відгуків: багато відгуків про одну пропозицію чи одного організатора за короткий час порівняно з їхнім звичайним темпом, той самий текст з іншого облікового запису, облікові записи, що ставлять однакову оцінку тим самим організаторам, лише 5 зірок одному організатору й 1 зірка його конкурентам у тому самому місті, а також автор, який є власником організатора, членом його команди або одним із його партнерів (той самий обліковий запис чи адреса електронної пошти). Ми використовуємо лише відгуки та дані облікового запису й бронювання, які вже маємо. Новий відгук із такою ознакою чекає, доки його перегляне працівник нашої команди; опублікований відгук залишається опублікованим, якщо людина не вирішить інакше. Нічого не видаляється і нічого не вирішується самою перевіркою (крім автоматичного приховування з останнього абзацу, коли його буде ввімкнено); якщо ми приховаємо відгук, його автор отримає пояснення причин і зможе оскаржити рішення. Підстава: наш законний інтерес, а також інтерес мандрівників і організаторів у відгуках, яким можна довіряти (ст. 6(1)(f)). Ознаки зберігаються разом із відгуком; текст відгуку також зберігається як односторонні хеші його частин, щоб знаходити копії, і видаляється разом із текстом відгуку.

Коли ми це ввімкнемо, перевірка також порівнюватиме солоні хеші, які вже зберігає перевірка шахрайства під час бронювань (картки та мережі, з яких бронювання було оплачене й зроблене), а для облікових записів, створених за запрошенням, — хеш пристрою: різні автори відгуків про одного організатора, які платять тією самою карткою, реєструються з того самого пристрою або, якщо їх троє чи більше, бронюють з тієї самої мережі. Ніколи сам номер картки, мережева адреса чи ідентифікатор пристрою. Хеші зберігаються не довше, ніж описано вище (180 днів для перевірки бронювань).

Автоматичне приховування. Коли ми його ввімкнемо, з оголошеної нами дати новий відгук із сильними ознаками фальшивого (наприклад, той самий текст, що й у відгуку іншого облікового запису, написаний з облікового запису команди організатора) одразу приховується перевіркою, без попереднього рішення людини. Це рішення, ухвалене виключно автоматизованими засобами. Його автор одразу отримує опис знайдених ознак простими словами й повідомлення, що рішення було автоматичним, і може його оскаржити; тоді його розглядає працівник нашої команди, який може опублікувати відгук. Відгуки з нижчою оцінкою й надалі чекають на людину. Підстава: як зазначено вище (ст. 6(1)(f)); ви маєте право на втручання людини, на висловлення своєї точки зору та на оскарження рішення (ст. 22(3)).

Файли cookie та сховище браузера

Теги аналітики та реклами — лише за вашої згоди. Коли ми їх вмикаємо, сайт може завантажувати Google Analytics 4 і Google Ads (Google Ireland Ltd / Google LLC) та піксель Meta (Meta Platforms Ireland Ltd). Вони завантажуються лише після того, як ви погодитеся в повідомленні про файли cookie, — у кожній країні, зокрема у США, — і ніколи, поки ввімкнено Global Privacy Control. Вони встановлюють власні файли cookie (наприклад, _ga, _gcl_au і _fbp) і отримують вашу IP-адресу, сторінки, які ви переглядаєте, а для бронювання, зробленого за вашої згоди на рекламу, — описану вище конверсію. Відмова або подальша зміна вашого рішення в розділі Налаштування файлів cookie в нижньому колонтитулі залишає їх вимкненими. (Модель відмови для відвідувачів зі США, US_TRACKING_OPT_OUT, діє лише тоді, коли її увімкнено.)

Вимірювання швидкодії — лише за вашою згодою на аналітику. Коли ми його ввімкнемо (RUM_ENABLED), ваш браузер вимірює, як швидко завантажується й реагує кожна сторінка (Core Web Vitals), і надсилає нам ці числа один раз на сторінку разом із версією сайту, типом сторінки, тим, чи це телефон, чи компʼютер, і країною, з якої йде ваше зʼєднання (як її бачить наш мережевий провайдер). Разом із ними не зберігається нічого, що ідентифікує вас або ваше відвідування: ні облікового запису, ні ідентифікатора відвідування, IP-адреси чи даних браузера. Ми зберігаємо виміри 35 днів, щоб бачити, наскільки швидкий сайт для всіх.

Підрахунок, звідки приходять відвідування, — анонімно, без розпізнавання будь-кого. Коли ми це ввімкнемо (TRAFFIC_SOURCES_ENABLED), перша сторінка, яку ви відкриваєте у вкладці, один раз надсилає нам свою адресу, адресу сторінки, з якої ви прийшли, і мітки кампанії в посиланні (наприклад, utm_source). Ми використовуємо їх лише для того, щоб додати одиницю до щоденного лічильника: тип джерела (пошукова система, AI-асистент, соціальна мережа, партнер, реклама, електронний лист, інший сайт або жодного), назва цієї пошукової системи, асистента, мережі чи сайту, тип сторінки, версія сайту, країна, з якої йде ваше з'єднання, і чи це телефон, планшет або комп'ютер. Ми не зберігаємо IP-адресу, дані браузера, ідентифікатор відвідування чи повну адресу сторінки, з якої ви прийшли, а лічильники не можуть відрізнити одного відвідувача від іншого. Вкладка зберігає тип джерела (tg_src), щоб бронювання, зроблене в ній, можна було зарахувати цьому джерелу. Якщо ви відмовитеся від аналітики в повідомленні про файли cookie або відмовитеся в «Ваших налаштуваннях конфіденційності», нічого не надсилається і не рахується.

Усе інше, наведене нижче, або суворо необхідне для послуги, про яку ви попросили, або є встановленим вами вподобанням. (Аудит від 2026-10-02, docs/22, етап 2; хвиля Y.)

| Назва | Де | Для чого | Як довго | |---|---|---|---| | tg_clid | власний файл cookie і localStorage | Коли ви приходите за посиланням або QR-кодом партнера, — випадковий ідентифікатор кліку, щоб партнерові можна було зарахувати ваше бронювання. Не містить персональних даних. | строк партнерської програми, зазвичай 30 днів | | tg_token | localStorage | підтримує ваш вхід в обліковий запис | доки ви не вийдете | | tg_seat_ctx | власний файл cookie (HttpOnly, надсилається лише до нашого API) | лише на відправленні з призначеними місцями: випадкове значення, що привʼязує утримувані вами місця до цього браузера, щоб ніхто інший не міг використати чи продовжити ваше утримання; ми зберігаємо лише його хеш, а також ключовий хеш вашої мережевої адреси до наступного дня після завершення утримання, щоб обмежити кількість місць, які може утримувати одна мережа | 4 години | | tg_locale, tg_currency, tg_market | localStorage | ваша мова, валюта та версія сайту (країна) | доки ви їх не зміните | | tg_wishlist | localStorage | збережені враження, поки ви не ввійшли | доки ви його не очистите | | tg_compare | localStorage | до чотирьох вражень, які ви обрали для порівняння (лише їхні ідентифікатори; нічого не надсилається, доки ви не відкриєте порівняння) | доки ви його не очистите | | tg_queue_pass | sessionStorage | лише в залі очікування для продажу з високим попитом: ваше місце в черзі (підписаний пропуск), щоб перезавантаження сторінки його зберігало | доки вкладку не закрито | | tg_play_code:<booking reference> | sessionStorage | код квитка, який відкрив самостійний тур, щоб плеєр залишався відкритим, поки ви йдете | доки вкладку не закрито | | tg_play_quests:<booking reference> | localStorage | завдання самостійного туру, виконані без зв’язку (зупинка й ваша відповідь, ніколи не фото), зберігаються лише до надсилання | доки знову не з’явиться зв’язок | | tg_cart | localStorage | кошик, поки його ввімкнено | доки ви не оформите замовлення або не очистите його | | tg_recent | localStorage | нещодавно переглянуті враження, які показуються лише вам | доки ви його не очистите | | tg_recent_searches | localStorage | ваші нещодавні пошуки, які показуються лише вам у полі пошуку і лише поки ввімкнено «Рекомендовано для вас» | доки ви їх не очистите або не вимкнете рекомендації | | tg_cookie_notice, tg_install_dismissed | localStorage | що ви закрили це повідомлення (або, з однорядковим повідомленням, перейшли на іншу сторінку, побачивши його) чи підказку «встановити застосунок» | доки ви його не очистите | | tg_theme | localStorage | обраний вами вигляд (світлий чи темний); нічого не зберігається, поки він відповідає налаштуванням вашого пристрою | доки ви його не зміните | | tg_app_review_asked | localStorage | лише в нашому застосунку для телефона: коли застосунок востаннє показував запит магазину на оцінку, щоб не показувати його частіше ніж раз на 120 днів | доки ви його не очистите | | tg_privacy_country, tg_privacy_optout | localStorage | країна, яку ви вказали на сторінці «Ваш вибір щодо конфіденційності», і ваш вибір «Не продавати й не передавати» | доки ви їх не зміните | | tg_oidc_key, токени посилань на бронювання | sessionStorage | одноразовий ключ для входу через Google або Apple; посилання для керування бронюванням, яке ви відкрили з листа | доки вкладку не закрито | | tg_personalise | localStorage | встановлюється на «0», коли ви вимикаєте «Рекомендовано для вас»; поки функцію ввімкнено, нічого не зберігається | доки ви знову не ввімкнете рекомендації | | tg_concierge | sessionStorage | ідентифікатор вашої розмови з нашим консьєржем, щоб ця вкладка могла її продовжити; саму розмову зберігаємо ми, як описано вище | доки вкладку не закрито | | tg_live_chat | sessionStorage | лише поки ви спілкуєтеся з нашою службою підтримки: номер чату та ключ, що відкриває його в цій вкладці; розмову зберігаємо ми, і після завершення чату вона потрапляє до вашого запиту до служби підтримки | доки вкладку не закрито | | tg_kiosk | localStorage | лише на планшеті кіоску самообслуговування організатора: токен пристрою кіоску, встановлений, коли організатор зʼєднує планшет; на планшеті не зберігаються імʼя, електронна пошта чи бронювання жодного гостя | доки організатор не видалить кіоск або не зʼєднає його повторно | | tg_promo | sessionStorage | промокод із посилання, за яким ви прийшли (?promo=), щоб ціни могли його показати | доки вкладку не закрито | | tg_family_mode | sessionStorage | лише коли ви вмикаєте сімейний режим у пошуку: що його ввімкнено, вік ваших дітей і чи потрібен вам доступ із дитячим візком; надсилається лише з вашими пошуками для їх фільтрування; ми нічого не зберігаємо у себе | доки вкладку не закрито | | tg_creator_code | sessionStorage | код автора зі сторінки автора, яку ви відкрили (/c/…), щоб поле коду під час оформлення замовлення починалося з нього; ви можете його там видалити | доки вкладку не закрито | | tg_partner_consent | localStorage | лише на сторінці трансферу готелю, авіакомпанії чи агента (/h/…): ваш вибір щодо власних тегів аналітики та реклами цього партнера. Вони завантажуються лише після вашої згоди, ніколи на сторінці, де ви вводите імʼя, електронну пошту чи телефон, і з вимкненим автоматичним збором даних форм | доки ви його не очистите | | tg_bt:<booking reference> | sessionStorage | підписане посилання для керування бронюванням, яке ви відкрили з листа, вилучене з адресного рядка | доки вкладку не закрито | | tg_ticket_link_<id> | sessionStorage | підписане посилання на квиток, який вам надіслав друг | доки вкладку не закрито | | tg_device | localStorage | випадковий ідентифікатор цього браузера, лише коли ви відкриваєте сторінку «запросити друга»; ми отримуємо лише його солоний хеш, щоб відрізнити друга, якого запросили, від того, хто запросив | доки ви його не очистите | | tg_supplier_account | localStorage | для організаторів із кількома бізнес-обліковими записами: від імені якого діє портал | доки його не змінять або ви не вийдете | | tg_supplier_all_tools | localStorage | для організаторів: що ви вирішили бачити всі інструменти на панелі керування до свого першого бронювання | доки його не змінять | | tg_oauth_nonce | файл cookie (HttpOnly) | лише для організаторів і наших працівників, які підключають Xero або QuickBooks: випадкове значення, що привʼязує згоду до браузера, який її розпочав, щоб посилання на згоду, надіслане комусь іншому, не могло підключити його облік; необхідний | 10 хвилин, видаляється після повернення згоди | | tg_consent | localStorage | ваш вибір щодо наших тегів аналітики та реклами (так чи ні для кожного та версія формулювання, яке ви бачили); необхідний, щоб запамʼятати ваш вибір | доки ви його не зміните або не зміниться формулювання | | tg_vid | localStorage | випадковий ідентифікатор візиту, щоб бронювання через кілька днів можна було зарахувати кампанії чи посиланню, з якого почався візит. Встановлюється лише за вашої згоди на аналітику; видаляється, коли ви її відкликаєте | 90 днів | | tg_touch | sessionStorage | кампанія, з якою прийшов візит (utm_* і, лише за згоди на рекламу, ідентифікатор рекламного кліку), що надсилається з бронюванням; встановлюється лише за вашої згоди на аналітику. Без неї кампанія зберігається в памʼяті сторінки і зникає після закриття вкладки | доки вкладку не закрито | | tg_src | sessionStorage | тип джерела, з якого прийшло ваше відвідування (одне слово, наприклад пошукова система чи соціальна мережа, нічого про вас), надсилається з бронюванням, зробленим у цій вкладці, щоб рахувати бронювання за джерелами; не встановлюється, якщо ви відмовилися від аналітики | доки вкладку не закрито | | tg_sub | localStorage | підписане посилання на ваші налаштування розсилки, яке зберігається лише тоді, коли ви погодилися на листи про переглянуті враження, щоб цей браузер міг повідомляти нам, які оголошення ви переглядали; ґрунтується на цій згоді | доки ви не відпишетеся, не вимкнете ці листи або не очистите його | | tg_pseudo | sessionStorage | перемикач тестової мови для наших розробників; ніколи не встановлюється на публічному сайті | доки вкладку не закрито | | tg_scan_sound, tg_scan_venue, tg_scan_auto | localStorage | налаштування сканера ваучерів організатора | доки їх не змінять | | tg_editor_preview | localStorage | чи показує редактор оголошень організатора попередній перегляд для мандрівника | доки його не змінять | | tg_trip_plans | localStorage | приватні посилання на плани поїздок, які ви зберегли без облікового запису (до 20, з їхніми назвами), щоб ви могли знову відкрити їх у цьому браузері; ми зберігаємо лише хеш кожного посилання | доки ви не видалите план або не очистите його | | tg_first_launch | localStorage | лише в нашому застосунку для телефона: коли застосунок уперше відкрили на цьому пристрої, щоб сторінка, яку ви обрали до встановлення (її короткий код, який Google Play передає застосунку як tg_link), відкрилася один раз, під час першого запуску. Так зберігається лише публічна сторінка (ніколи не посилання на бронювання, оплату чи вхід), лише з її параметрами кампанії та пошуку. На iPhone, де такого коду немає, і лише коли ми це ввімкнемо, сторінку, обрану дотиком до App Store, натомість зіставляють за ключовим хешем мережевої адреси, з якої надійшов дотик, щонайбільше 2 години і без параметрів афілійованого партнера. Код і сторінку ми видаляємо через 7 днів після дотику | доки ви не очистите дані застосунку | | tg_bdraft:<listing> | sessionStorage | те, що ви заповнили у формі бронювання, збережене під час переходу на сторінку оплати, щоб після скасованої оплати форма повернулася такою, якою ви її залишили, разом із бронюванням, яке тримає ваші місця; ніколи не надсилається нам; з питань організатора зберігаються лише ваші вибори (ніколи вільний текст, числа чи дати, як-от номер документа або дата народження) | доки бронювання не оплачено, ви не вийдете або вкладку не закрито (пропонується знову щонайбільше годину, потім видаляється) | | tg.r23p5.gift | sessionStorage | подарунок-враження, яким ви користуєтеся: його код, враження, група й додаткові послуги, щоб форма бронювання оголошення могла його забронювати; під час нового бронювання після скасування — і те, що було обрано в тому бронюванні (привід і побажання, додаткові послуги, мова гіда, трансфер; ваші особливі побажання та введена адреса трансферу — лише якщо ви увійшли в обліковий запис, який його зробив); ніколи не потрапляє в посилання | доки подарунок не заброньовано, доки ви не вирішите бронювати без нього або не закриєте вкладку | | tg_rvdraft:<booking reference> | sessionStorage | відгук, який ви пишете, щоб під час перезавантаження сторінки нічого не загубилося; надсилається лише тоді, коли ви його публікуєте | доки ви його не опублікуєте, не вийдете або вкладку не закрито | | tg_widget_token | localStorage | лише в нашому застосунку для телефона з увімкненими віджетами на головному екрані: токен лише для читання, що дає віджету змогу показувати ваше наступне бронювання (більше нічого він прочитати не може); відкликається, коли ви виходите | доки ви не вийдете | | квитки, які зберігає застосунок | власне сховище застосунку (iOS Keychain лише на цьому пристрої; Android — зашифровані ключем, який ніколи не залишає телефон) | лише в нашому застосунку для телефона, коли ви ввійшли: квитки ваших бронювань, які ви відкривали (назва, час, місце, код і штрихкод кожного квитка), щоб вони показувалися і без мережі; зберігаються лише для вашого акаунта, ніколи для посилання на бронювання, відкритого без входу, і забуваються, коли ви виходите, коли ваш сеанс завершується (наприклад, «вийти на всіх пристроях» після втрати телефона), коли входить інший акаунт і після перевстановлення застосунку | доти, а кожне бронювання — щонайбільше два дні після його початку | | tg_concierge_seed | sessionStorage | перше запитання для асистента з посилання, за яким ви перейшли; показується в полі асистента, щоб ви змінили чи надіслали його самі, і ніколи не надсилається за вас | доки асистент не відкриється або вкладку не закрито | | tg_voice_read_aloud | localStorage | що ви попросили консьєржа читати відповіді вголос («1»); більше нічого | доки ви його не вимкнете або не очистите дані браузера | | tg_hop_pack_<listing>, tg_hop_queue_<listing> | sessionStorage, localStorage | лише на телефоні екіпажу організатора hop-on/hop-off: підписаний список абонементів для сканування без звʼязку (хешовані коди абонементів і строк їхньої дії, без імен) і посадки, відскановані офлайн, до їх вивантаження | список: доки вкладку не закрито; посадки: до вивантаження | | push-підписка | push-сервіс браузера | лише якщо ви ввімкнете сповіщення: дає нам змогу надсилати вам обрані вами сповіщення | доки ви їх не вимкнете або браузер її не видалить | | офлайн-черга входу | IndexedDB | сканування ваучерів організатора, зроблені без звʼязку, до їх вивантаження | до вивантаження або виходу | | оболонка застосунку | кеш service worker | власні файли сайту, щоб він відкривався офлайн | замінюється з кожним випуском | | tg_ad_clicks | localStorage | лише після того, як ви відкрили пропозицію з картки з позначкою «Реклама»: підписаний запис цього кліку для цієї пропозиції (яка рекламна кампанія і яка пропозиція, нічого про вас), що надсилається з бронюванням цієї пропозиції, щоб організатор сплатив свою вищу рекламну комісію; ваша ціна однакова з ним і без нього | 7 днів | | tg_partner_bar | localStorage | лише для партнера, що увійшов у систему: що він згорнув панель партнера на наших сторінках («0»); більше нічого | доки він знову її не відкриє або не очистить | | tg_chunk_reload | sessionStorage | коли наша сторінка сама перезавантажилася, бо поки вона була відкрита, вийшла нова версія сайту, — так вона перезавантажується щонайбільше один раз, а потім показує повідомлення; більше нічого | доки вкладку не буде закрито |

Дві речі сторінка завантажує з інших джерел без файлів cookie: шрифти (Google Fonts) і фрагменти мапи (OpenStreetMap або постачальник, якого ми налаштуємо). Обидва бачать вашу IP-адресу, коли ваш браузер їх завантажує.

Перевірка безпеки (проєкт — додано в хвилі O): під час реєстрації, у формі відновлення пароля, у формі скарги на вміст, у запитах на цінову пропозицію та на сторінці бронювання трансферу партнера ми можемо завантажувати Cloudflare Turnstile (Cloudflare, Inc., США) — або натомість hCaptcha (Intuition Machines, Inc., США), — щоб відрізняти людей від ботів. Перевірка завантажується лише тоді, коли ви відкриваєте одну з цих форм, ніде більше на сайті, і здебільшого працює непомітно. Вона отримує вашу IP-адресу та характеристики вашого браузера і того, як використовується сторінка, і повідомляє нам лише, чи пройдено перевірку; ми нічого з неї не зберігаємо. Ми вважаємо її суворо необхідною для форми, яку ви попросили надіслати (виняток за ст. 5(3) Директиви ePrivacy; 6(1)(f) GDPR: захист сервісу від зловживань), тому згода не запитується. Turnstile не встановлює файлів cookie; hCaptcha може встановлювати власні.

Global Privacy Control враховується всюди: якщо ваш браузер надсилає цей сигнал, ми розглядаємо його як запит не продавати й не передавати ваші дані (ми не робимо ні того, ні іншого) і фіксуємо його у вашому обліковому записі, якщо ви ввійшли. На сторінці Ваш вибір щодо конфіденційності показано, що ми отримали.

Де ви проживаєте

Ці доповнення застосовуються на додачу до цього повідомлення залежно від того, де ви проживаєте (ми використовуємо країну вашого підключення або ту, яку ви оберете на сторінці Ваш вибір щодо конфіденційності):

• Велика Британія: Доповнення для Великої Британії — UK GDPR, ICO, наш представник у

Великій Британії.

• США (Каліфорнія та інші штати): Повідомлення для США під час збору даних —

категорії, «Не продавати й не передавати», Global Privacy Control, відповіді протягом 45 днів.

• Бразилія: Доповнення щодо LGPD — encarregado (DPO), ANPD, відповіді протягом 15 днів.

Хто отримує ваші дані

• Організатор заброньованого вами враження: ваше імʼя, контактні дані, учасники, відповіді, побажання

та трансфер з адреси — те, що йому потрібно для проведення враження. Організатор також може одночасно написати всім, хто заброньований на відправлення: ваші відповіді надходять лише організаторові, і мандрівники ніколи не бачать контактних даних одне одного. Ви можете вимкнути копії таких групових повідомлень електронною поштою для бронювання (посилання в кожному з них або у ваучері); повідомлення все одно відображається у вашому листуванні. Цей вибір зберігається разом із бронюванням і видаляється разом із ним. Якщо ми ввімкнемо статистику гостей, організатор також бачить показники щодо своїх гостей як групи (мови, країни за кодом номера телефону, типи груп, скільки повертаються), але ніколи для менше ніж 5 гостей.

• Постачальники послуг, що діють від нашого імені: Stripe (платежі), наш постачальник послуг

електронної пошти (Resend, Postmark, Mailgun або Amazon SES, залежно від того, яким ми користуємося), хостинг і DeepL (DeepL SE, Німеччина) для машинного перекладу. DeepL перекладає тексти оголошень і — лише коли ви чи організатор натискаєте Перекласти — текст повідомлення чи відгуку. Надсилається лише цей текст: ніколи ваше імʼя, електронна пошта чи дані бронювання. Щодо повідомлень DeepL діє як наш обробник за договором про обробку даних і не зберігає текст для навчання своїх моделей (умови DeepL API Pro). Переклад зберігається разом із повідомленням і видаляється разом із ним. Повідомлення та відгуки надсилаються лише до DeepL. Тексти оголошень натомість може перекладати Google Cloud Translation (Google Ireland Ltd / Google LLC), наприклад коли DeepL недоступний: Google отримує лише цей текст, діє як наш обробник згідно зі своїм Додатком щодо обробки даних у хмарі (Cloud Data Processing Addendum) і не використовує текст для навчання своїх моделей. Виняток із правила «лише коли ви натискаєте Перекласти»: повідомлення організатора вам (також повідомлення всім учасникам відправлення) машинно перекладається DeepL мовою вашого бронювання для листа, який ми вам надсилаємо, з позначкою машинного перекладу та оригіналом організатора під ним (надсилається лише текст повідомлення; MESSAGE_AUTO_TRANSLATE_ENABLED). Переклад зберігається разом із повідомленням і видаляється разом із ним.

• Коли організатор скасовує відправлення, написану ним причину може бути машинно перекладено DeepL мовою кожного мандрівника для листа та сторінки бронювання (лише текст причини; лише після того, як ми це ввімкнемо, CANCEL_REASON_TRANSLATION_ENABLED).
• Коли наша служба підтримки відповідає вам іншою мовою, відповідь може бути машинно перекладено DeepL вашою мовою (лише текст відповіді, який може містити те, що ви повідомили нам про звернення; оригінал зберігається зі зверненням, показується під перекладом і видаляється разом зі зверненням).
• Інші постачальники, які отримують персональні дані (кожен лише тоді, коли ми його вмикаємо): наш

сервіс маркетингових розсилок (Brevo, Mailchimp або Klaviyo — два останні в США) отримує електронну пошту, мову, країну та теми підписника розсилки; партнерські мережі Awin і Travelpayouts отримують для бронювання, яке надійшло за їхнім посиланням, номер бронювання, суму та ідентифікатор кліку мережі; наш сервіс звітів про помилки (Sentry або сумісний сервіс) отримує звіти про помилки, з яких видалено імена, адреси електронної пошти, токени та платіжні дані; а для бронювань у США калькулятор податку з продажу (Stripe Tax, TaxJar або Avalara) отримує суму та місця надання послуги — ніколи ваше імʼя чи контактні дані. Кожен діє як наш обробник.

• Постачальник моделі ШІ (docs/27-ai-features.md): Anthropic

(Anthropic PBC, США; або інший постачальник, якого ми назвемо тут перед перемиканням) генерує текст для функцій, позначених як створені ШІ: підсумки опублікованих відгуків, чернетки оголошень на основі власних нотаток чи вебсайту організатора, а також чернетки відповідей і повідомлень, які організатор редагує перед надсиланням. Для відгуків надсилаються лише текст відгуку та оцінка, ніколи імʼя автора. Для чернеток відповідей надсилаються лише кілька останніх повідомлень цього одного листування, із заміненими іменами та без адрес електронної пошти, номерів телефонів і посилань, а також публічні дані оголошення, дата бронювання та кількість учасників — ніколи ваша електронна пошта, телефон, номер бронювання чи платіжні дані; нічого не надсилається, доки організатор не натисне Запропонувати відповідь. Постачальник діє як наш обробник згідно зі своїми комерційними умовами та додатком щодо обробки даних, не навчає свої моделі на цих даних і зберігає їх лише недовго для моніторингу зловживань. Ми не зберігаємо копії надісланого чи отриманого для чернеток; ми фіксуємо лише те, що чернетку створено (функція, модель, обсяг, вартість). Підсумки відгуків зберігаються разом з оголошенням і містять перелік використаних відгуків. Той самий постачальник також знаходить теми в опублікованих відгуках (надсилаються лише речення відгуку, ніколи ім’я автора), перекладає й покращує тексти оголошень на прохання організатора (тоді текст оголошення може перекладати він замість DeepL чи Google) і читає сторінки власного сайту організатора, щоб запропонувати чернетки оголошень (імпорт каталогу, який завантажує їх як TheGuideBot).

• Текстові повідомлення (проєкт — додано в хвилі E): Twilio (Twilio Inc., США) передає SMS і

повідомлення WhatsApp; натомість SMS може передавати Vonage (Vonage, Велика Британія/США), залежно від наших налаштувань. Вони отримують ваш номер телефону та текст і повідомляють нам, чи доставлено повідомлення і чи ви відповіли STOP. Повідомлення WhatsApp також проходять через платформу WhatsApp Business компанії Meta. Текстові повідомлення видаляються з наших систем через 180 днів.

• Вхідні організаторів (проєкт — додано в хвилі I): організатор може отримувати в одному місці

повідомлення, які ви надсилаєте на його власний номер WhatsApp (через Twilio), обліковий запис Instagram (через систему повідомлень Instagram компанії Meta Platforms) або адресу електронної пошти для бронювань (через нашого постачальника вхідної пошти — Postmark, Resend, Mailgun або Amazon SES; з Amazon SES повідомлення також може недовго зберігатися в нашому власному сховищі в Amazon Web Services, перш ніж ми його прочитаємо). Ми зберігаємо повідомлення, номер, ідентифікатор у межах Instagram або адресу електронної пошти, з якої ви писали, і привʼязуємо його до вашого бронювання в цього організатора, якщо номер чи адреса збігається з оплаченим бронюванням. Повідомлення на наш власний номер WhatsApp надходять організаторові, лише якщо у вас є оплачене бронювання в нього. Ми не надсилаємо ці повідомлення нікому іншому, а запитання, яке ви поставили на Jet.Guide до бронювання, залишається замаскованим, як і раніше. Відповіді надходять тим самим каналом лише протягом 24 годин після вашого останнього повідомлення в WhatsApp чи Instagram і ніколи не мають маркетингового характеру. Ці листування видаляються через 365 днів після останнього повідомлення; ви можете попросити організатора або нас видалити листування раніше. Підставою є законний інтерес організатора і наш у тому, щоб вам відповісти (6(1)(f)), а для бронювання — договір.

• Запити на бронювання, складені за допомогою ШІ (проєкт — додано в хвилі I): організатор може

вставити ваше повідомлення, переслати ваш лист або завантажити його знімок екрана, щоб модель ШІ (наш постачальник ШІ, як вище) склала на його основі чернетку бронювання — ваше імʼя, контактні дані, дату та склад групи, як ви їх написали. Організатор перевіряє кожне поле і підтверджує; ШІ нічого не бронює. Знімки екрана не зберігаються; текст і чернетка видаляються через 30 днів після рішення організатора.

• Статус рейсу (проєкт): для трансферу з аеропорту один із сервісів AeroDataBox, Aviationstack або

FlightAware AeroAPI (залежно від наших налаштувань) отримує номер рейсу, дату прибуття та аеропорт — ніколи ваше імʼя, електронну пошту, телефон чи бронювання.

• Пошук готелів і адрес (проєкт): типово ми шукаємо лише серед власних місць (пункти трансферу, зони,

напрямки). Якщо ми ввімкнемо зовнішній геокодер — OpenStreetMap Nominatim, Google Places або Mapbox, — він отримує введений вами текст, мову і, якщо вона в нас є, найближчу точку для уточнення результатів; ніколи ваш обліковий запис чи бронювання. Відповіді Nominatim кешуються на 30 днів, Google — щонайбільше на добу, Mapbox — не зберігаються.

• Маршрути трансферу (проєкт): коли організатор планує збір туристів із готелів для відправлення, ми

оцінюємо час у дорозі на власному сервері. Якщо ми ввімкнемо сервіс маршрутизації — OSRM (на сервері, який ми обслуговуємо або орендуємо) чи Google Routes, — він отримує лише координати зупинок і точки відправлення, серед яких може бути розташування вказаної вами адреси для трансферу; ніколи ваше імʼя, текст адреси, контактні дані чи бронювання.

• Пошукова система (проєкт): якщо ми ввімкнемо Meilisearch (на власному сервері або Meilisearch Cloud,

залежно від наших налаштувань), вона містить наші оголошення й отримує слова, які ви шукаєте, і мову — не ваш обліковий запис і не будь-яке бронювання.

• Push-сповіщення (проєкт): якщо ви ввімкнете сповіщення, їх доставляє власний push-сервіс вашого

браузера — Google (Chrome, Android), Mozilla (Firefox), Apple (Safari) або Microsoft (Edge). Повідомлення наскрізно зашифроване (RFC 8291): push-сервіс бачить лише шифротекст, адресу, яку нам надав ваш браузер, і час надсилання. У нашому застосунку (Android та iOS) сповіщення передають Google Firebase Cloud Messaging (Android) і Apple Push Notification service (iOS): вони отримують push-токен пристрою та заголовок і текст сповіщення — наприклад, що бронювання підтверджено, нагадування чи дані вашого водія — і можуть їх читати; вони не зашифровані наскрізно.

• Картки для гаманця (проєкт): картка Apple Wallet — це файл, який ми створюємо самі; коли ваше

бронювання змінюється, push-сервіс Apple (APNs) повідомляє вашому пристрою завантажити нову картку від нас. Картка Google Wallet створюється в Google, коли ви натискаєте «Зберегти в Google Wallet», і оновлюється нами через Google Wallet API. Картка містить враження, дату, час, місце зустрічі чи трансферу, кількість учасників, номер бронювання та його код — ніколи ваше імʼя, електронну пошту, телефон чи відповіді.

• Вхід через Google або Apple (проєкт): лише якщо ви його оберете. Google або Apple повідомляє нам ваш

ідентифікатор облікового запису в цього постачальника, вашу електронну пошту, чи підтвердив він її, і ваше імʼя; ми повідомляємо йому лише те, що ви входите в Jet.Guide. Вони є окремими контролерами щодо вашого облікового запису в них.

• Страховик (проєкт — додано в хвилі I3, docs/37): лише якщо ви позначите необовʼязкове покриття

скасування під час оформлення замовлення. Для розрахунку пропозиції партнер страховика з розповсюдження отримує дату, тривалість, країну та вартість поїздки, кількість мандрівників і країну вашого проживання — не ваше імʼя чи контактні дані. Після оплати бронювання він отримує ваше імʼя та електронну пошту і номер бронювання, щоб оформити поліс. Страховик є окремим контролером щодо поліса та будь-якого страхового випадку відповідно до власного повідомлення про конфіденційність (посилання поруч із пропозицією). Ми зберігаємо пропозицію, ваш вибір і формулювання, яке ви бачили.

• Пропозиції партнерів (проєкт — додано в хвилі I3): посилання у ваучері на інші компанії (eSIM,

зберігання багажу, оренда авто, готелі) не передають нічого про вас чи ваше бронювання. Партнерський тег додається до посилання, лише якщо ви дозволили рекламні файли cookie; ми рахуємо лише загальну кількість кліків.

• Пропозиції з інших платформ (проєкт — додано в раунді R9): там, де в нас немає власного враження, ми

можемо показувати пропозиції, які продають інші платформи, — Viator, GetYourGuide, Tiqets, Musement, Klook, Civitatis, Kiwitaxi і GetTransfer, залежно від того, які з них увімкнено. Коли ви обираєте одну з них, наше посилання рахує клік і переводить вас на сайт партнера. Партнер отримує лише випадковий ідентифікатор кліку з нашим партнерським ідентифікатором — ніколи ваше імʼя, електронну пошту, обліковий запис, бронювання чи адресу — і лише якщо ви дозволили рекламу; без цієї згоди ви переходите до партнера без жодного нашого ідентифікатора. Ми зберігаємо клік (партнер, пропозиція, сторінка, на якій вона була, і код, що змінюється щодня, щоб подвійний клік рахувався один раз) без вашого облікового запису, мережевої адреси чи браузера протягом 13 місяців. Партнер повідомляє нам свій номер бронювання, статус і нашу комісію, але нічого про вас. Те, що ви там бронюєте, стосується вас і партнера відповідно до його умов і повідомлення про конфіденційність.

• Які пропозиції з інших платформ ви бачите (проєкт — додано в раунді R9): коли ви ввійшли і такі

пропозиції можуть бути показані, ми перевіряємо, чи бронювали ви одну з наших послуг за останні 24 години, — лише для того, щоб не показувати трансфер чи захід партнера, який міг би утворити з нею повʼязану туристичну послугу. Нічого про цю перевірку не зберігається і не надсилається партнерові, а те, які пропозиції ви бачите, не залежить від жодного вашого профілю.

• Трансфери від оптових постачальників (лише коли цю функцію увімкнено): там, де маршрут не обслуговує жоден із наших власних перевізників, ми можемо продати вам

трансфер від оптового постачальника — Mozio, Hoppa або Suntransfers, залежно від того, які з них увімкнено, — який виконує компанія, зазначена в пропозиції. Для пошуку постачальник отримує місця, час і кількість пасажирів і багажу, але нічого про вас. Коли ви бронюєте й оплачуєте, він отримує імʼя, електронну пошту та телефон головного пасажира, номер рейсу, якщо ви його вкажете (щоб водій міг відстежити пізнє приземлення), і вашу примітку для водія, щоб забронювати й виконати поїздку; він повідомляє нам імʼя, телефон і автомобіль водія. Ми зберігаємо бронювання так само довго, як інші бронювання (бухгалтерський облік). Постачальник і компанія, що виконує перевезення, є окремими контролерами щодо поїздки.

• Партнерські програми лояльності (лише коли цю функцію увімкнено): якщо ви додасте до свого облікового запису членство в програмі партнера (милі авіакомпанії, бали

банку), ми зберігаємо номер членства та вказане вами імʼя і надсилаємо партнерові для кожного бронювання, що відбулося, номер, імʼя, наш номер бронювання, дату, суму та нараховані бали — через його API або у файлі, який надсилають наші працівники. Перетворення балів на кредит у нас надсилає номер і бали для списання. Нічого іншого про ваші бронювання не надсилається. Ви можете будь-коли видалити членство: після цього більше нічого не надсилається. Коли ви додаєте номер, партнер спершу отримує його, щоб надіслати вам код, який підтверджує, що членство ваше; після введення коду партнер передає нам токен згоди, щоб ми могли показувати ваш баланс і перетворювати бали на кредит. Ми зберігаємо токен разом із членством, ніколи не включаємо його до завантаження ваших даних і видаляємо разом із членством. Один виняток із «більше нічого не надсилається»: про повернення коштів за бронювання, за яке вже нараховано бали, наші працівники все ж повідомляють партнера, щоб ці бали було списано.

• ePay.bg і EasyPay (лише коли цю функцію увімкнено): у Болгарії ви

можете оплатити бронювання через ePay.bg (ePay AD, Болгарія) — карткою чи зі свого мікрорахунку ePay на сторінці самого ePay або готівкою в пункті EasyPay за 10-значним кодом, який ми надсилаємо вам електронною поштою. ePay отримує від нас суму, номер платежу і короткий опис (номер бронювання і враження), ніколи ваше ім’я чи контактні дані; те, що ви вводите на його сторінці, ePay обробляє на власних умовах. Повернення коштів іде назад через ePay на картку чи мікрорахунок; для готівки, сплаченої в EasyPay, ми надсилаємо вам електронною поштою посилання на захищену форму, дійсне один раз і 14 днів, у якій ви вводите IBAN та ім’я власника рахунку, щоб зробити повернення банківським переказом (будь ласка, не надсилайте банківські реквізити електронною поштою). IBAN зберігаємо в зашифрованому вигляді й використовуємо лише для цього переказу; наш фінансовий відділ бачить його скороченим до країни, контрольних цифр і останніх чотирьох символів і відкриває повністю лише для переказу, що фіксується в журналі. Після повернення зберігаємо лише скорочений IBAN та ім’я разом із записом про повернення.

• Виплати організаторам банківським переказом (лише коли цю функцію увімкнено): перш ніж заплатити організатору чи партнеру банківським переказом, наш банк перевіряє, чи збігається

ім’я отримувача з IBAN (перевірка отримувача, Регламент (ЄС) 2024/886). Банк отримує ім’я, яке ми маємо, та IBAN; ми зберігаємо його відповідь, перевірене ім’я, ім’я, яке банк повернув у разі часткового збігу, і скорочений IBAN — країну, контрольні цифри та останні чотири символи — разом із записом про виплату. Це стосується організаторів і партнерів, зазвичай компаній.

• Відео (проєкт — додано в хвилі O): якщо відео ввімкнено, відео, яке організатор додає до оголошення

чи профілю гіда, або те, яке ви додаєте до свого відгуку, надходить до нашого постачальника відеопослуг — Mux (Mux, Inc., США) або Cloudflare Stream (Cloudflare, Inc., США), залежно від наших налаштувань, — або зберігається в нашому власному сховищі. Постачальник отримує файл, а коли хтось його переглядає, — IP-адресу та браузер глядача, як і будь-який відеохостинг; ніколи ваше імʼя чи бронювання. Відео до відгуку показується лише разом з опублікованим відгуком, може бути приховане нашими модераторами і видаляється разом із вашим відгуком або на ваш запит про видалення даних.

• Перевірка на віруси (проєкт — додано в хвилі O): коли її ввімкнено, кожен завантажений файл (фото,

PDF-вкладення, документи) перевіряє антивірусний сканер (ClamAV), що працює на наших власних серверах; нічого нікуди не надсилається. Файл, у якому виявлено вірус, відхиляється, і ми зберігаємо його відбиток (хеш), хто його завантажив і коли, як запис безпеки.

• Перевірка особи гідів і водіїв (проєкт — додано в хвилі O): організатор може попросити одного зі

своїх гідів чи водіїв підтвердити особу через Stripe Identity (Stripe). Гід або водій фотографує документ, що посвідчує особу, і, якщо потрібно, робить селфі, яке Stripe порівнює з ним. Stripe отримує ці зображення та дані, які зчитує з документа; ми зберігаємо лише результат (підтверджено чи ні та код причини Stripe) і час. Це стосується працівників організаторів, а не мандрівників.

• WhatsApp через Meta (проєкт — додано в хвилі O): замість Twilio ми можемо надсилати й отримувати

повідомлення WhatsApp безпосередньо через WhatsApp Business Cloud API компанії Meta (Meta Platforms Ireland Ltd.). Тоді Meta отримує ваш номер телефону та повідомлення і повідомляє нам, чи доставлено й прочитано його.

• Озвучення та телефонні дзвінки (проєкт — додано в хвилі P): Google Cloud Text-to-Speech або Microsoft

Azure AI Speech перетворюють тексти турів організатора на озвучення (без даних мандрівників); Twilio (Voice) зʼєднує дзвінок нашого працівника з вашим номером, коли ви попросили передзвонити.

• Власні інструменти організатора (проєкт — додано в хвилі Q): організатор може підключити до свого

облікового запису власні системи або сервіс автоматизації (наприклад, Zapier) за допомогою ключа API; тоді вони отримують його бронювання, зокрема ваше імʼя та контактні дані, так само як через вебхуки організатора. За ці інструменти відповідає організатор.

• Власний бухгалтерський облік організатора (проєкт — додано в хвилі R): організатор може підключити

власний облік у Xero або QuickBooks Online. Тоді ми надсилаємо туди продажі організатора (наш номер квитанції, номер бронювання, враження та суму), повернення коштів, наші рахунки за комісію та наші виплати — типово під одним контактом для всіх гостей; лише якщо організатор так обере — під вашим імʼям. Ніколи вашу електронну пошту, телефон чи адресу. Організатор вирішує щодо цієї передачі і є контролером свого обліку; ми діємо від його імені.

• Власні email-кампанії організатора (проєкт — додано в хвилі R): якщо під час оформлення замовлення

ви погодилися, що організатор може надсилати вам свої новини та пропозиції, цей організатор може надсилати вам email-кампанії через Jet.Guide. Організатор їх пише, обирає, хто їх отримає (наприклад, гості одного з його вражень), і є відправником і контролером цих листів; ми надсилаємо їх від його імені як його обробник. У кожному з них названо організатора і є відписка одним кліком, яка відкликає вашу згоду щодо цього організатора; скарга на такий лист має той самий наслідок. Ми зберігаємо, яку кампанію надіслано на вашу адресу і чи її доставлено чи повернуто, а також хешовану копію адреси, яка відписалася, щоб на неї більше не надсилали листів. Ми не відстежуємо відкриття чи кліки.

• Підтвердження листів організатора (подвійна згода) (проєкт — додано з виправленнями sec5): позначки

під час оформлення замовлення, яка дозволяє організаторові надсилати вам свої новини та пропозиції, самої по собі недостатньо. Після оплати бронювання ми надсилаємо на цю адресу один лист із посиланням для підтвердження, і організатор може надсилати вам листи лише після того, як ви ним скористаєтеся. До того нічого не надсилається і ваша адреса не передається організаторові для маркетингу; якщо ви проігноруєте посилання, нічого не надсилатиметься ніколи (воно діє 30 днів). Ми зберігаємо, коли було поставлено позначку, коли ми надіслали посилання і коли ви підтвердили, як запис вашої згоди. Попередня відписка від цього організатора залишається чинною, доки ви знову не підтвердите таким чином. Згоди, надані до запровадження цієї перевірки, очікують такого самого підтвердження.

• Переслані підтвердження, які читає ШІ (проєкт — додано в раунді C8): коли підтвердження, яке ви

переслали до своєї поїздки, не містить структурованих даних бронювання, його тема і до 8000 символів тексту надсилаються нашому постачальникові моделі ШІ (як вище), щоб знайти в ньому бронювання. Постачальник діє як наш обробник і не навчає на цьому свої моделі; ми не зберігаємо ні надісланого, ні відповіді — лише елементи, які ви потім бачите як чернетки, а наші записи про використання зберігають лише обсяг і вартість.

• Google (Reserve with Google) (проєкт — додано в раунді C8): коли організатор приймає бронювання через

Google, Google (Google Ireland Ltd / Google LLC) надсилає нам бронювання, які ви робите в Google Картах чи Пошуку, отримує у відповідь їхній статус і контактні дані в них, а також отримує у фідах назву бізнесу організатора, адресу та заняття, які він пропонує. Google є окремим контролером даних своїх користувачів.

• Органи влади, коли цього вимагає закон.

Деякі постачальники перебувають у США; передачі ґрунтуються на Рамковій програмі захисту даних ЄС — США (EU–US Data Privacy Framework) або стандартних договірних положеннях.

Як довго ми їх зберігаємо

| Дані | Строк зберігання | |---|---| | Обліковий запис | доки ви його не видалите | | Фінансовий запис бронювання (суми, дати, оплата, облікова книга) | 10 років, як вимагає болгарське законодавство про бухгалтерський облік (Закон про бухгалтерський облік, ст. 12) — без вашого імені та контактних даних після видалення облікового запису | | Контактні дані та відповіді в бронюванні | поки існує ваш обліковий запис; для бронювань гостей — (строк зберігання буде встановлено разом із юристом, пропозиція: 3 роки після враження) | | Відгуки | поки існує оголошення; після видалення показуються як «Колишній мандрівник» і більше не повʼязані з вами | | Машинні переклади повідомлення чи відгуку (створюються на запит або автоматично для повідомлення організатора, надісланого вам електронною поштою) | стільки ж, скільки саме повідомлення чи відгук; видаляються разом із ним | | Скарги за DSA | рішення та його обґрунтування зберігаються; дані особи, яка поскаржилася, видаляються, коли вона видаляє свій обліковий запис | | Журнал безпеки | зберігається; він захищений від підробки, не може бути відредагований і фіксує події облікового запису без вашої електронної пошти | | Сеанси входу | видаляються через 90 днів після завершення сеансу чи останнього використання та одразу, коли ви видаляєте обліковий запис | | Текстові повідомлення (SMS, WhatsApp) | 180 днів, потім видаляються | | «Хто їде» | доки ви не вимкнете функцію (видаляється одразу), бронювання не буде скасовано, організатор не перестане її пропонувати, або 30 днів після відправлення | | Місцеперебування водія в реальному часі | лише останнє місцеперебування; видаляється, коли поїздка переходить до наступного етапу, щонайпізніше через 30 хвилин і одразу, коли водій відкликає згоду | | Підписи відмов від претензій | особисті поля (і відповіді щодо здоровʼя) видаляються після заходу плюс строк зберігання організатора (90 днів, якщо організатор не встановить інший); одразу, якщо бронювання скасовано або ви видаляєте обліковий запис. Факт підписання, версія та хеші зберігаються | | Харчові потреби та примітки про алергію | видаляються через 7 днів після заходу; одразу, якщо бронювання скасовано, якщо ви видалите їх на сторінці бронювання або якщо ви видалите обліковий запис | | Дані, що посвідчують особу, які організатор запитує для кожного учасника (номер ID-картки або паспорта, громадянство, дата народження, дата закінчення строку дії паспорта) | видаляються через 7 днів після заходу; протягом години, якщо бронювання скасовано; одразу, якщо ви видалите обліковий запис. Інші ваші відповіді залишаються в бронюванні | | Сповіщення про ціну | доки сповіщення не завершиться (лист про зниження надіслано, минуло 180 днів або минули його дати), потім 30 днів; одразу після відписки чи видалення | | Рекомендації | не зберігаються | | Пошуки без результатів | лише слова в нижньому регістрі, підраховані за днем, ринком і мовою, — ніколи хто шукав (без облікового запису, адреси, пристрою чи сеансу); слова, схожі на адресу електронної пошти, номер телефону чи номер бронювання, взагалі не зберігаються; видаляються через 90 днів | | Розмови з консьєржем | 30 днів після вашого останнього повідомлення (CONCIERGE_RETENTION_DAYS), потім видаляються разом із непідтвердженими діями; одразу, коли ви видаляєте розмову | | Чати зі службою підтримки | 90 днів після закриття чату (LIVE_CHAT_RETENTION_DAYS), потім видаляються; розшифровка в запиті до служби підтримки зберігається так само, як запити до служби підтримки | | Ваші власні елементи поїздки та ваша адреса для пересилання | доки ви не видалите їх або обліковий запис; пересланий лист не зберігається, лише прочитані з нього елементи | | Спільна оплата | суми, платежі та повернення коштів залишаються у фінансовому записі бронювання; адреси електронної пошти ваших друзів видаляються через 30 днів після завершення розподілу або раніше, коли ви видаляєте обліковий запис чи про це просить друг; картка, збережена для списання залишку, видаляється в Stripe після завершення розподілу та одразу, коли ви видаляєте обліковий запис | | Чат відправлення | повідомлення видаляються через 30 днів після завершення відправлення (повідомлення, на яке поскаржилися, зберігається разом зі скаргою); заблоковані вами мандрівники — доки ви не скасуєте блокування або не видалите обліковий запис | | Бронювання через Google | як інші бронювання; ідентифікатор Google для вас видаляється разом із персональними даними бронювання | | Асистенти, підключені до вашого облікового запису | доки ви не скасуєте доступ або не видалите обліковий запис (тоді підключення та їхні токени видаляються); токени доступу діють годину, токени оновлення — 30 днів; перелік дій асистента залишається у вашому обліковому записі, а після видалення — без нього | | Перевірки бронювань на шахрайство | хеші вашої електронної пошти, мережі та картки: 180 днів або до видалення облікового запису, якщо це станеться раніше; оцінка та сигнали залишаються в записі бронювання | | Докази для чарджбеку (лише коли ввімкнено) | мережева адреса та браузер, з яких оплачено бронювання: 180 днів | | Повідомлення з організаторами та їхні вкладення | листування електронною поштою, у WhatsApp та Instagram — 365 днів після останнього повідомлення; кожне листування та його файли видаляються, коли ви видаляєте обліковий запис або ми виконуємо ваш перевірений запит | | Запити до служби підтримки | ваше імʼя, адреса, тема та повідомлення видаляються в разі видалення; категорія та дати залишаються для статистики нашого обслуговування | | Дані трансферу (адреси посадки й висадки, номер рейсу, імʼя на табличці, поточне місцеперебування) | видаляються в разі видалення; поїздка, її час і вартість залишаються у фінансовому записі бронювання | | Запити на групові та приватні цінові пропозиції | ваше імʼя, контактні дані, дані про групу та примітки видаляються в разі видалення; дати, суми та платежі залишаються | | Групові бронювання: список імен, учасники, яких просять сплатити частку, квитанції на компанію (лише коли увімкнено) | імена, які вказує організатор групи, та адреса електронної пошти учасника, якого просять сплатити частку: видаляються через 30 днів після заходу або в разі видалення організатором групи чи учасником; сума сплаченої частки та платіж залишаються у фінансовому записі бронювання. Дані компанії, які організатор групи надає для квитанцій: видаляються в разі видалення; уже видані квитанції залишаються такими, як їх видано | | Подарункові картки | картка, її баланс і її оплата: 10 років (бухгалтерський облік); імена та адреси покупця й отримувача та повідомлення видаляються в разі видалення (картка, куплена для когось і ще не доставлена, зберігає адресу отримувача до надсилання) | | Кредит у магазині та бали винагород | баланси та їхня облікова книга: 10 років (бухгалтерський облік), після видалення повʼязані лише з анонімним номером облікового запису. Ми не видаляємо обліковий запис із залишком кредиту в магазині, якщо ви не заявите, що відмовляєтеся від нього | | Рахунки та квитанції | 10 років у тому вигляді, у якому їх видано: виданий рахунок не можна змінювати (Закон про ПДВ, ст. 114, Закон про бухгалтерський облік, ст. 12) | | Туристичне страхування, придбане разом із бронюванням | запис про поліс залишається у фінансовому записі бронювання (облік у сфері страхового посередництва); страховик зберігає ваш поліс як окремий контролер | | Абонементи та членства | імʼя та фото власника, адреса покупця, збережена картка та згода на поновлення видаляються, коли ви видаляєте обліковий запис (тоді абонементом більше не можна користуватися); сплачені строки, повернення коштів і проходи на вході залишаються у фінансовому записі та записі організатора про відвідування. Офлайн-список для входу організатора містить фото лише в зашифрованому вигляді і видаляється разом із цим списком | | Розрахункові листи гідів | зберігаються для організатора як його запис про оплату праці, поки існує його обліковий запис | | Посвідчення шкіпера (оренда човнів) | скан видаляється через 19 днів після завершення оренди (після закінчення строку для вимог щодо застави), зберігаються лише останні три символи номера посвідчення; одразу, коли ви видаляєте обліковий запис; вимога щодо застави, її фото та рішення зберігаються як докази для правових вимог | | Розсилка та листи про переглянуті оголошення | доки ви не відпишетеся або не видалите обліковий запис; у разі видалення ми також видаляємо вас у нашого постачальника послуг електронної пошти | | Підтвердження згоди (текстові повідомлення, вибір щодо файлів cookie) | зберігається як доказ того, на що було надано згоду, без вашого номера телефону, облікового запису чи мережевої адреси після видалення облікового запису | | Списки «не контактувати» | номер, з якого відповіли STOP, або односторонній хеш адреси, що відмовилася, — зберігаються, щоб ми ніколи більше з ними не контактували | | Прийняті вами правові тексти | 5 років після вашого останнього бронювання як доказ погоджених умов | | Запити щодо конфіденційності | факт подання запиту, його тип і дати: зберігаються як доказ того, що ми відповіли; нотатки працівників про те, як вони перевіряли вашу особу: 3 роки після закриття запиту; посилання для завантаження діє 7 днів | | Кліки на пропозиції з інших платформ | партнер, пропозиція, сторінка та код, що змінюється щодня, без вашого облікового запису, мережевої адреси чи браузера: 13 місяців, потім видаляються | | Бронювання, надіслані каналом продажу організатора, які не вдалося забронювати автоматично (GetYourGuide, Viator, Expedia та інші) | імʼя головного мандрівника, надіслане каналом, поки організатор ухвалює рішення: щонайбільше 30 днів після надсилання каналом, потім видаляється; канал, його номер, склад групи та сума залишаються в записі організатора про продажі | | Плани поїздок | збережений план: в обліковому записі — доки ви не видалите його або обліковий запис; без облікового запису — 30 днів після останньої зміни. Файл, з якого ви почали, ніколи не зберігається | | Вподобання щодо подорожей | доки ви не вимкнете памʼять (видаляються одразу) або не видалите обліковий запис; потреби щодо доступності — доки ви не відкличете згоду на них | | Скарги на неправильну відповідь ШІ | 180 днів після того, як наша команда їх закриє (щонайбільше рік, поки вони відкриті); ваш обліковий запис і примітка видаляються в разі видалення | | Кошики, збережені асистентом | видаляються через день після закінчення строку дії посилання (7 днів, якщо ми не встановимо інший строк, щонайбільше 30) | | Групове планування | запитання до асистента та його відповіді: 30 днів; короткий список групи, голоси та опитування щодо дат: 30 днів після того, як група перестає бути спільною; ваші власні додавання та голоси — одразу в разі видалення | | Звʼязки між гостями | згода — доки ви від неї не відмовитеся; звʼязок і його повідомлення — доки будь-хто з гостей не завершить його або не видалить свій обліковий запис | | Заявки за гарантією найкращої ціни | суми, дати та рішення залишаються у фінансовому записі бронювання; ваш обліковий запис, адреса, примітка та знімок екрана видаляються в разі видалення | | Плани оплати частинами | графік, платежі та ваша згода залишаються у фінансовому записі бронювання; дані картки видаляються в разі видалення, а сама картка в Stripe — щойно більше нічого не потрібно сплачувати | | Текстові повідомлення організаторів | повідомлення (номер і текст): 90 днів після надсилання (OPERATOR_SMS_RETENTION_DAYS); згода — доки ви її не відкличете або не видалите обліковий запис; STOP зберігається, щоб організатор ніколи більше не надсилав повідомлень на цей номер | | Розмови з ШІ-стійкою реєстрації організатора та дзвінки до його ШІ-адміністратора | 30 днів після останнього повідомлення чи дзвінка; одразу, коли ви видаляєте обліковий запис | | Зріст, вага та розмір взуття у відмові від претензій; відмови без бронювання | виміри — разом з особистими полями відмови; відмова без бронювання, не привʼязана до бронювання, — через 7 днів (або встановлені організатором 1–30) | | Ваше місцеперебування на місці зустрічі | видаляється через 30 днів після реєстрації прибуття | | Входи членів команди організатора (стрічка безпеки) | 180 днів | | Розрахункові листи водіїв | зберігаються для перевізника як його запис про оплату праці, поки існує його обліковий запис | | Купівля через платформу ШІ | оформлення з вашими даними: 30 днів після завершення строку, якщо його не завершено, 180 днів після завершення; наша відповідь на кожен запит: 24 години; повідомлення про статус, надіслані платформі: 30 днів | | Власне вимірювання реклами організатора | ваш вибір і надіслані ідентифікатори: 90 днів | | Фотографії після туру | фотографії та ваш вибір: 30 днів після завершення відправлення (ми можемо встановити від 7 до 180 днів); знята фотографія: видаляється одразу; придбаний фотопакет: платіж залишається у фінансовому записі | | Членство в програмах лояльності партнерів | номер учасника, ім’я та токен згоди партнера: доки ви не видалите членство чи обліковий запис; бали, передані за кожне бронювання: у фінансовому записі бронювання, після видалення — без вашого облікового запису | | Трансфери від гуртових постачальників | як інші бронювання: ім’я, email, телефон, номер рейсу й примітка для водія основного пасажира видаляються під час видалення; поїздка та її ціна залишаються у фінансовому записі | | Мапа подорожей | ваші налаштування, приховані враження та текст вашої згоди: доки ви не вимкнете мапу чи не видалите обліковий запис | | Платежі через ePay.bg та EasyPay | платіж і повернення за ним: у фінансовому записі бронювання; IBAN, який ви ввели для повернення готівки: у зашифрованому вигляді до повернення, потім лише скорочений до країни, контрольних цифр і останніх чотирьох символів, з ім’ям власника рахунку, у фінансовому записі бронювання | | Перевірка отримувача (виплати організаторам і партнерам) | відповідь банку, перевірене ім’я та IBAN, скорочений до країни, контрольних цифр і останніх чотирьох символів: разом із записом про виплату |

Ваші права

Ви можете отримати доступ до своїх даних, виправити їх, завантажити, обмежити їх обробку чи заперечити проти неї, а також видалити їх.

• Завантаження (ст. 15 і 20): «Обліковий запис → Конфіденційність → Завантажити мої дані» надає вам усе,

що повʼязано з вашим обліковим записом, у вигляді файлу JSON або зручної для читання сторінки. Після підтвердження вашої адреси електронної пошти сюди також входить те, що ми зберігаємо за цією адресою, наприклад бронювання, які ви зробили як гість.

• Видалення (ст. 17): «Обліковий запис → Конфіденційність → Видалити мій обліковий запис». Ми запитуємо

ваш пароль, виходимо з усіх ваших сеансів і видаляємо ваше імʼя, електронну пошту, телефон, повідомлення, завантажені файли, збережені списки та дані для входу, як зазначено в таблиці вище. Фінансові записи ваших бронювань зберігаються без ваших персональних даних, як того вимагає закон. Ми не можемо видалити обліковий запис, поки в ньому є майбутнє оплачене бронювання (організаторові потрібні ваші дані для його проведення), поки ще розглядається вимога щодо одного з ваших бронювань або поки ви ведете обліковий запис організатора, партнера чи бізнес-клієнта — спершу звʼяжіться з нами, щоб закрити їх. Якщо залишився кредит у магазині, ми просимо вас підтвердити, що ви від нього відмовляєтеся.

• Маркетинг: «Обліковий запис → Маркетинг і згода» показує розсилку, листи про переглянуті оголошення,

вибір щодо аналітики та реклами на вашому пристрої та Global Privacy Control, кожне з перемикачем вимкнення, а також одну кнопку, що відкликає їх усі. Маркетингові текстові повідомлення організатора: відкличте згоду на сторінці бронювання або відповідайте STOP на будь-яке з них.

• Бронювання гостей, зроблені без облікового запису, чи будь-що інше: скористайтеся формою на сторінці

Ваш вибір щодо конфіденційності. Ми надсилаємо посилання на адресу, за якою зберігаються ваші дані, щоб перевірити, що запит ваш, перш ніж щось розкривати чи видаляти. Член нашої команди фіксує, як він перевірив, хто ви, а потім надсилає вам посилання на ваші дані (воно діє 7 днів) або видаляє їх за тими самими правилами, що й під час видалення облікового запису.

• Скарга до нас: та сама форма приймає скаргу на те, як ми використовуємо ваші дані. Ми одразу

підтверджуємо її отримання електронною поштою, розглядаємо її та повідомляємо вам результат. Ви також можете будь-коли поскаржитися до органу із захисту даних (див. вище).

Ми відповідаємо протягом одного місяця. Якщо нам потрібно більше часу, ми пояснимо причину протягом цього місяця; закон дозволяє продовжити строк ще до двох місяців.