— Документи

Політика конфіденційності

Оновлено: 26 серпня 2026 р.

1. Загальні положення

ТОВ «Ментеліті» (далі — «Ментеліті», «ми», «нас») цінує вашу довіру та розуміє, наскільки особиста інформація важлива у сфері ментального здоров'я. Ця Політика пояснює, які дані ми збираємо, навіщо та як ми їх захищаємо під час користування сайтом mentality-platform.com і нашими послугами.

Коротко: ми збираємо мінімум необхідних даних, не передаємо їх третім особам без вашої згоди та даємо вам повний контроль над вашою інформацією.

2. Які дані ми збираємо

Дані, які ви надаєте самостійно

  • Реєстраційні дані:ім'я, email, номер телефону
  • Платіжні дані: обробляються виключно платіжним провайдером Monobank; ми зберігаємо лише номер замовлення, суму та чотири останні цифри картки
  • Дані про сесії: дата, час, обраний спеціаліст, формат зустрічі
  • Результати тестів: відповіді на психологічні опитувальники (PHQ-9, GAD-7 та інші), які ви проходите добровільно
  • Повідомлення в чаті: переписка зі спеціалістом, документи, які ви завантажуєте

Дані, які збираються автоматично

  • IP-адреса, тип браузера та пристрою, операційна система
  • Історія відвідувань сторінок сайту, UTM-мітки, джерело переходу
  • Cookie-файли та ідентифікатори сесії

3. Мета обробки

Ми обробляємо ваші дані виключно для:

  • Надання послуг психологічних консультацій
  • Зв'язку з вами щодо сесій, нагадувань та важливих змін
  • Обробки платежів та формування фіскальних чеків
  • Покращення сайту та сервісу (знеособлена аналітика)
  • Виконання юридичних обов'язків (податкові, фінансові)

5. Передача третім особам

Ми не продаємо та не передаємо ваші персональні дані третім особам без вашої згоди. Винятки становлять:

  • Спеціалісти, до яких ви записуєтесь — бачать вашу картку: ім'я, контакти, нотатки сесій, документи й результати тестів, якими ви поділилися. Фахівець, до якого ви не записані, доступу не має
  • monobank(Україна) — обробка платежів: ім'я, email, сума, тип послуги. Медичних даних банк не отримує
  • Google Firebase / Firestore (Google LLC) — зберігання повідомлень захищеного чату між вами та фахівцем. Регіон бази — europe-west1 (Бельгія, ЄС); стандартні договірні положення GDPR
  • Google Calendar / Google Meet— створення події сесії та посилання на відеозустріч у календарі фахівця: ваше ім'я, контакти й назва послуги. Зміст сесії та нотатки туди не потрапляють
  • Brevo (Brevo SAS, Франція, ЄС) — доставка сервісних листів: коди входу, підтвердження записів, нагадування. Листи містять вашу адресу, дату й час запису; зміст сесій, нотатки, назви послуг і результати тестів у листи не потрапляють. Резервний канал на випадок збою — Mailgun (Sinch, США; стандартні договірні положення GDPR)
  • Cloudflare — захист і доставка сайту. Обробляє трафік у зашифрованому вигляді, вмісту вашого кабінету не зберігає
  • Власний сервер платформи (Іспанія, ЄС) — тут працює сайт і зберігаються ваш кабінет, записи, документи й результати тестів. Сервер доступний лише через захищений тунель Cloudflare. Hetzner(Німеччина, ЄС) отримує лише резервні копії, зашифровані нашим ключем до відправлення: провайдер бачить лише зашифровані архіви
  • Anthropic — помічник-навігатор на сайті (чат-віджет у кутку). Обробляє текст, який ви самі пишете помічнику; доступу до вашого кабінету, історії сесій чи результатів тестів він не має. Не пишіть у віджет діагнозів і особистих подробиць — для цього є захищений чат із фахівцем
  • Sentry— технічні звіти про збої мобільного застосунку; персональні дані (ім'я, email, вміст повідомлень, результати тестів) вирізаються до відправлення
  • Apple та Google — якщо ви входите через Sign in with Apple / Google або дозволили push-сповіщення (технічний токен пристрою); медичних даних ми їм не передаємо
  • Expo — доставлення push-сповіщень мобільного застосунку: лише токен пристрою й текст сповіщення без медичних деталей
  • Державні органи — виключно на підставі законної вимоги (рішення суду)

Перелік субпроцесорів переглядається при кожній новій інтеграції. Актуальну версію завжди можна побачити на цій сторінці; про суттєві зміни ми повідомляємо листом.

Усі партнери підписали угоди про нерозголошення та відповідність вимогам GDPR.

Мобільний застосунок MENTALITY обробляє ті самі категорії даних, що й сайт. Додатково: щоденник настрою та відповіді на тести зберігаються на наших серверах і видимі лише вам та вашому фахівцю; дані Face ID / Touch ID ніколи не залишають ваш пристрій (застосунок отримує лише результат перевірки від системи); видалити акаунт разом з усіма даними (записи настрою, результати тестів, документи, переписка) можна безпосередньо в застосунку: Кабінет → Налаштування → Видалити акаунт.

6. Зберігання та захист

Ми застосовуємо сучасні технічні й організаційні заходи для захисту ваших даних:

  • Шифрування каналу зв'язку (TLS 1.3) між браузером та сервером
  • Шифрування переписки в чаті при передаванні (TLS) та у стані спокою на серверах Google Cloud у межах ЄС
  • Зберігання даних у межах ЄС: власний сервер платформи (Іспанія), чат — Google Cloud (Бельгія), резервні копії — Hetzner (Німеччина)
  • Регулярний аудит безпеки, журнал доступу до карток клієнтів і щоденне зашифроване резервне копіювання
  • Доступ співробітників до даних — лише за службової необхідності

Захист платформи побудовано за HIPAA Security Rule — стандартом США для цифрової медицини, який вважається світовим орієнтиром, — та за вимогами GDPR. Це не сертифікація (її для HIPAA не існує), а набір вимог, за якими ми проєктували доступи, журналювання, шифрування й резервне копіювання.

Скільки зберігаються різні дані:

  • Клінічні нотатки сесій — 5 років після вашої останньої сесії. Поки ви в терапії, вся історія лишається доступною вам і вашому фахівцю
  • Документи й файли в чаті — 90 днів, після чого видаляються автоматично
  • Журнал доступів (хто звертався до ваших даних) — 3 роки; містить лише факт доступу, без змісту
  • Обліковий запис і листування — до видалення акаунта або 3 роки з моменту останньої активності
  • Платіжні документи — 7 років згідно з вимогами податкового законодавства (видалити раніше ми не маємо права)

Якщо станеться витік даних, який може загрожувати вашим правам, ми повідомимо вас і Уповноваженого Верховної Ради з прав людини протягом 72 годин з моменту виявлення — у нас є письмова процедура на цей випадок.

7. Ваші права

Відповідно до GDPR та українського законодавства, ви маєте право:

  • Отримати копію всіх персональних даних, які ми про вас зберігаємо
  • Виправити неточні або неповні дані
  • Видалитиваш акаунт та всі пов'язані дані (право бути забутим)
  • Обмежити обробку— тимчасово «заморозити» використання ваших даних
  • Забрати згоду на обробку даних у будь-який момент
  • Заперечити проти обробки для маркетингових цілей
  • Подати скаргу до Уповноваженого Верховної Ради України з прав людини

Для реалізації ваших прав — напишіть нам на privacy@mentality-platform.com. Ми відповідаємо протягом 30 днів.

8. Cookie та аналітика

Ми використовуємо лише необхідні cookie — вони забезпечують вхід у кабінет і роботу сайту, вимкнути їх не можна. Аналітичних систем (Google Analytics тощо) і маркетингових cookie на сайті немає: ми не відстежуємо вашу поведінку для реклами. Докладніше — у Політиці cookie.

9. Неповнолітні

Наш сервіс призначений виключно для повнолітніх — осіб віком від 18 років. Ми не надаємо послуг неповнолітнім і свідомо не збираємо їхніх персональних даних. Якщо ми дізнаємось, що обліковий запис створила особа молодша 18 років, ми видалимо його разом із даними.

10. Зміни політики

Ми можемо оновлювати цю Політику — наприклад, коли змінюються закони, з'являються нові функції сервісу чи партнери. Про суттєві зміни ми повідомимо вас email-листом не менше ніж за 14 днів до набрання чинності.

11. Контакти

Якщо у вас є питання щодо цієї Політики або обробки ваших даних:

Ми завжди на зв'язку щодо питань приватності. Відповідаємо протягом 72 годин у робочі дні.