Політика конфіденційності

Ця Політика застосовується до публічного сайту Master Show, особистого кабінету, форм замовлення подарунків і сертифікатів, заявок на букінг та інших функцій, описаних нижче.

Обробка даних здійснюється відповідно до Закону України «Про захист персональних даних» та інших застосовних вимог законодавства.

Залежно від використаної функції сайт фактично обробляє:

• Обліковий запис: ім’я, email, номер телефону, роль, дата підтвердження email, дати створення й оновлення акаунта.
• Вхід у кабінет: email, hash одноразового Magic Link, hash IP-адреси запиту та ідентифікатор сесії в cookie. Сам одноразовий token у базі не зберігається.
• Профіль: ім’я та телефон. Для особистого кабінету пароль не використовується.
• Обране: зв’язок між акаунтом і збереженими подіями.
• Пошук компанії на подію: Instagram-ім’я, коротке повідомлення, обрана подія та акаунт користувача.
• Заявка на букінг: ім’я, email або телефон, бажані способи зв’язку, артист, місто, бажана дата й коментар.
• Подарунковий квиток: email покупця, імена дарувальника й отримувача, текст привітання, подія, тип подарунка та дані замовлення.
• Доставка друкованого подарунка: телефон, місто, відділення/поштомат або адреса доставки.
• Подарунковий сертифікат: імена дарувальника й отримувача, email отримувача, привітання, номінал, дата запланованого надсилання та дані замовлення.
• Доставка друкованого сертифіката: ПІБ і телефон отримувача, область, населений пункт, відділення або поштомат та службові ідентифікатори Нової пошти.
• Оплата й виконання замовлення: номер, сума, валюта, статус, службовий ідентифікатор та URL платежу, дати оплати/створення, PDF- і QR-посилання.
• Технічні дані: сервер та провайдер хостингу можуть обробляти IP-адресу, дату й час запиту, URL, тип браузера та діагностичні журнали.

Якщо покупець надає дані іншої особи — наприклад, отримувача подарунка — він має переконатися, що має право передати ці дані для оформлення та доставки замовлення.

Форма підписки у футері зараз технічна: вона не надсилає введений email і не створює підписку. Google Analytics, Meta Pixel та інші рекламні трекери у коді не підключені.

• створення акаунта, автентифікація та робота особистого кабінету;
• збереження обраних подій та даних профілю;
• обробка заявок на букінг і зв’язок із заявником;
• оформлення, оплата, створення PDF/QR та доставка подарунків і сертифікатів;
• надсилання сервісних листів, пов’язаних із заявкою або замовленням;
• відображення пропозицій пошуку компанії на подію;
• безпека акаунтів, запобігання зловживанням і технічна підтримка;
• виконання законних обов’язків щодо обліку та розгляду звернень.

Дані не використовуються для автоматизованого оцінювання або прийняття рішень щодо користувача.

• Укладення та виконання правочину: замовлення, доставка, сервісні повідомлення та дії перед укладенням договору.
• Згода: добровільне надання даних у формах та функціях, де користувач сам вирішує опублікувати або передати інформацію.
• Виконання вимог закону: облік операцій, відповіді на законні запити та збереження документів у встановлених випадках.
• Законний інтерес: захист сайту й акаунтів, діагностика помилок та запобігання зловживанням, якщо права користувача не переважають такий інтерес.

Сайт використовує необхідний cookie master_show_session для входу в акаунт. Він містить підписаний ідентифікатор користувача, роль і строк дії, недоступний JavaScript-коду сторінки (HttpOnly), має режим SameSite=Lax і в production передається лише через HTTPS. Строк дії — 7 днів.

Власні аналітичні або рекламні cookies у проєкті не виявлені. Вбудований контент Google Maps, YouTube або Spotify може встановлювати власні cookies чи використовувати подібні технології відповідно до правил цих сервісів.

• Нова пошта: API використовується для пошуку населених пунктів, відділень і поштоматів. Пошуковий запит та службові ідентифікатори передаються API Нової пошти.
• Google Workspace SMTP Relay: через корпоративну пошту Master Show надсилаються Magic Link, заявки на букінг, запрошення адміністраторів та подарункові сертифікати.
• Ticketservice: після підтвердження email сайт запитує замовлення та квитки, пов’язані з цією адресою, щоб показати їх в особистому кабінеті.
• Google Maps: карта місця проведення може завантажуватися як вбудований контент і отримувати технічні дані браузера.
• YouTube та Spotify: на сторінках подій/артистів можуть завантажуватися вбудовані відео й аудіо.
• Google Fonts: браузер завантажує шрифт Montserrat із серверів Google.
• Google Calendar: перехід для додавання події відбувається за дією користувача на сайт Google.
• Зовнішні продавці квитків: сторінки подій можуть містити зовнішні посилання. Купівля на такому сайті регулюється політикою відповідного продавця.

Google Analytics і Meta Pixel не інтегровані. Реальний платіжний сервіс також не підключений: поточний сценарій використовує лише тестовий mock-provider і не збирає реквізити платіжних карток. Синхронізація квитків у кабінеті має заглушку без підключеного зовнішнього провайдера.

Доступ або передача можливі лише настільки, наскільки це потрібно для конкретної мети:

• уповноваженим адміністраторам і працівникам Master Show;
• провайдерам хостингу, бази даних та SMTP-пошти;
• службі доставки для виконання замовлення;
• платіжному або квитковому провайдеру після їх фактичного підключення;
• державним органам, якщо передача прямо вимагається законом.

Master Show не продає персональні дані.

Сесійний cookie зберігається до 7 днів або видаляється під час виходу. Інші дані мають зберігатися лише протягом строку, потрібного для мети обробки, виконання договору, законних обов’язків або захисту прав за можливими вимогами.

У поточній реалізації застосовуються такі технічні заходи:

• одноразові Magic Link мають строк дії, після використання анулюються, а в базі зберігається лише hash token;
• сесійний cookie підписаний, має HttpOnly і SameSite=Lax, а в production — Secure;
• адміністративні операції перевіряють роль користувача;
• токени запрошень адміністраторів зберігаються як hash та мають строк дії;
• вхідні дані основних форм проходять серверну перевірку.

Жоден спосіб захисту не гарантує абсолютної безпеки. У разі інциденту вживаються дії, передбачені застосовним законодавством.

У межах, передбачених законодавством, користувач має право:

• знати джерела, місцезнаходження, мету та умови обробки своїх даних;
• отримати доступ до своїх персональних даних;
• вимагати виправлення неточних або застарілих даних;
• заперечити проти обробки у випадках, передбачених законом;
• відкликати згоду, якщо обробка ґрунтується на згоді;
• вимагати видалення або знищення даних за наявності законних підстав;
• звернутися до Уповноваженого Верховної Ради України з прав людини або до суду.

Для виконання запиту може знадобитися перевірка особи заявника. Деякі дані не можуть бути негайно видалені, якщо закон вимагає їх зберігання або вони потрібні для захисту законних вимог.

Запити щодо доступу, виправлення, видалення даних або інші питання про конфіденційність слід надсилати володільцю персональних даних.

Загальні контакти Master Show доступні на сторінці «Контакти».

Політика оновлюється, коли змінюється функціональність сайту, склад даних, сторонні сервіси або вимоги законодавства. Актуальна редакція публікується на цій сторінці із зазначенням дати оновлення. Якщо зміни істотно впливають на права користувачів, Master Show повідомить про них доречним способом.