Чинна з: 17 жовтня 2026 · Стосується: вебпорталу для фахівців за адресою protilo.app та його тестового середовища.
Що змінилось у цій редакції (17 жовтня 2026). Додано Telegram-бот порталу (п. 2.7) — короткий шлях до раціонів, складу продуктів і підготовки до аналізів з телефона, лише для учасників закритої Telegram-групи фахівців. Бот нічого про вас не зберігає: ваш номер користувача в Telegram (не номер телефону) сервер тримає в памʼяті щонайбільше хвилину, щоб перевірити членство в групі, а текст повідомлень і натиснуті кнопки — лише на час відповіді. Рахуємо тільки знеособлені денні лічильники дій бота — як лічильники відвідуваності на вебі (п. 2.2). Сам чат із ботом зберігає Telegram — окрема від нас компанія поза ЄЕЗ (розділ 4). Для тих, хто ботом не користується, не змінилось нічого.
Попередня редакція (14 жовтня 2026). Нове в обробці одне: для фахівців, які увійшли в портал, — заявників і схвалених експертів — ми рахуємо, скільки разів і в які дні використано кожен інструмент порталу і кожну дію з нашого закритого переліку (п. 2.2, «Лічильники дій у порталі»). Ці лічильники привʼязані до вашого акаунта, і власник порталу бачить їх по кожному фахівцю — щоб розуміти, які інструменти справді допомагають у роботі, а які ні. Вмісту ваших розрахунків, назв продуктів чи аналізів, імен і даних ваших клієнтів та будь-якого тексту там немає; лічильники зберігаються до 13 місяців і видаляються разом з акаунтом. Для гостей без входу не змінилось нічого: їхні лічильники, як і раніше, не мають поля, куди покласти людину; уточнено лише, що подія несе категорію відвідувача — гість, заявник на перевірці чи схвалений експерт (п. 2.2).
Ще раніша редакція (13 жовтня 2026). Перелік у розділі 2 доповнено полями анкети й профілю, які портал збирав і раніше, але не називав (зокрема телефон і країна), а розділ 4 — сервісом звітів про аварії Sentry, який працював і раніше. Нового в обробці три пункти: портал перевіряє, чи має ваш обліковий запис акаунт у мобільному застосунку ProTilo (лише сам факт — щоб рішення щодо порталу не зачепило застосунок; з кожним рішенням щодо доступу цей факт записується в журнал рішень), і про нову заявку ми отримуємо лист із вашим імʼям і фахом. Третій — необовʼязкове питання «Звідки ви про нас дізналися?» у формі реєстрації й анкеті: лише вибір зі списку, без вільного тексту; відповідь лежить у заявці й видаляється разом із нею (п. 2.1). Уточнено три місця, де обробки стало не більше: що лишається в куці, коли доступ призупинено (п. 2.2), чиї дії не потрапляють у лічильники відвідуваності (п. 2.2), і що відбувається з вашим імʼям у копіях ваших продуктів після видалення акаунта (п. 2.4). Строк лічильників захисту названо точно: лічильник діє годину, а сам запис база стирає протягом 2 діб.
Контролером персональних даних у розумінні ст. 4(7) GDPR є:
Oleksandr Zayats — Empresário em Nome Individual
NIF 311513131 · Parede, Portugal
Пошта у справах приватності: privacy@protilo.com
Пошта у справах захисту даних: dpo@protilo.com
Юридичні питання: legal@protilo.com · Безпека: security@protilo.com
Наглядовий орган за місцем нашого заснування — Comissão Nacional de Proteção de Dados (CNPD), Португалія. Якщо ви в Україні, ви можете звернутись і до Уповноваженого Верховної Ради України з прав людини.
Нижче — повний перелік. Він відповідає тому, що фактично записує код порталу, а не тому, що зазвичай пишуть у таких документах.
| Дані | Звідки | Нащо |
|---|---|---|
| Імʼя та прізвище | форма реєстрації або ваш обліковий запис Google | звертання в порталі й у листах; під ним вас бачить людина, яка перевіряє заявку |
| Адреса електронної пошти | форма реєстрації або Google | вхід, лист із підтвердженням, лист із рішенням, відновлення пароля |
| Фах (напр. «нутриціолог») | форма реєстрації або анкета після входу через Google | перевірка кваліфікації живою людиною |
| Країна практики | форма реєстрації або анкета (обовʼязкове) | перевірка фаху: правила допуску до професії різняться країнами |
| Телефон або месенджер | форма реєстрації або анкета (обовʼязкове) | звʼязок щодо заявки, коли пошта не працює. Ми не дзвонимо без потреби й не передаємо номер нікому |
| Ліцензія або диплом (номер чи посилання на професійний профіль) | профіль (за бажанням) | те саме, що й фах, — підстава відкрити доступ до робочих інструментів |
| Місто | профіль (за бажанням) | уточнення до країни практики |
| Років практики | профіль (за бажанням) | картина вашого досвіду для того, хто перевіряє заявку |
| Підпис на ваших документах | профіль (за бажанням) | друкується під аркушами й листами, які ви робите для своїх клієнтів у порталі |
| Про себе | профіль (за бажанням) | кілька речень своїми словами — для майбутнього публічного профілю; сьогодні їх не бачить ніхто, крім вас і нас |
| Формат роботи · Мови консультацій · Показувати клієнтам контакт · Часовий пояс | профіль (за бажанням, вибір зі списку) | закладені наперед для майбутньої картки фахівця в кабінеті клієнта; сьогодні їх не бачить ніхто, крім вас і нас |
| «Звідки ви про нас дізналися?» | форма реєстрації або анкета (за бажанням, вибір зі списку) | щоб знати, який канал приводить до нас фахівців. Вільного тексту немає — лише варіант зі списку; на рішення щодо заявки відповідь не впливає. Лежить у заявці й видаляється разом із заявкою |
| Пароль | форма реєстрації | вхід. Ми не бачимо вашого пароля: його зберігає Firebase Authentication у вигляді криптографічного хешу, і портал не має до нього доступу. Якщо ви ввійшли через Google, пароля в нас немає взагалі |
| Дані | Скільки живе | Нащо |
|---|---|---|
Сесійна кука __session | щонайбільше 14 днів; менше, якщо ви вийшли. Якщо доступ до порталу призупинено, у тій самій куці замість сесії лишається підписана позначка (ідентифікатор акаунта — без пароля й без доступу до порталу), щоб сторінка входу сказала вам, що доступ призупинено: до 7 днів, якщо ви обрали «Не виходити 14 днів», інакше — до закриття браузера | тримає вас у системі між сторінками |
| Лічильник невдалих спроб входу | діє до 1 години; сам запис стирається автоматично протягом 2 діб | захист від перебору паролів (ст. 32 GDPR — безпека обробки). Ключем запису є хеш SHA-256 від адреси або IP, а не самі адреса чи IP: сховище лічильників не стає переліком «хто в нас зареєстрований» |
| IP-адреса запиту | у памʼяті на час обробки; у журналах Google Cloud — за налаштуваннями Cloud Logging | той самий захист від перебору |
Журнал рішень щодо доступу (portal_audit): що зроблено, ким і коли, а також чи рішення стосувалось акаунта, спільного з мобільним застосунком | поки живе акаунт | щоб зміну чужого доступу не можна було зробити безслідно |
| Час останнього входу і спосіб входу (пароль чи Google) | у вашому обліковому записі Firebase Authentication, поки він існує | людина, яка перевіряє заявки, бачить їх у панелі порталу поруч із вашою заявкою |
| Позначка, чи має той самий обліковий запис акаунт у мобільному застосунку ProTilo | перевіряється, коли власник порталу відкриває панель і коли ухвалює рішення щодо вашого доступу. З кожним таким рішенням у журнал рішень (portal_audit) записується, чи застосовано його до акаунта, спільного із застосунком, — і живе там стільки ж, скільки сам журнал | щоб призупинення чи видалення доступу до порталу не зачепило ваш акаунт у застосунку. Читається лише сам факт існування — жодного вмісту акаунта застосунку портал не читає |
| Обраний вигляд (світла/темна тема) | у вашому браузері (localStorage), доки ви його не очистите | памʼятає ваш вибір. На наші сервери не потрапляє ніколи |
| Звіт про технічну аварію: текст помилки, стек, адреса сторінки, метод запиту | за налаштуваннями журналів | щоб ми дізнавались про поломку від системи, а не від вас. Пошта, ідентифікатори й ключі вирізаються з тексту звіту автоматично — назовні їде технічний слід без персональних даних |
| Денні лічильники відвідуваності: скільки разів сталася подія з нашого закритого переліку (сторінку відкрито, розділ переглянуто, кнопку натиснуто, форму надіслано) | безстроково — але зберігати нічого: це самі числа | щоб бачити, чи сторінка зрозуміла і де люди зупиняються. Ані вашого імені, ані пошти, ані IP, ані ідентифікатора сесії в цих записах немає — вони фізично не мають поля, куди це покласти. Ми зберігаємо лише «подія X сталася N разів за добу», без часу, порядку і звʼязку між діями, тому відновити чиїсь дії з них неможливо. Подія несе лише категорію відвідувача: гість, заявник, чия заявка ще на перевірці, чи схвалений експерт. Дії власника порталу, тестових акаунтів і автоматів (за підписом браузера) в лічильники не потрапляють — лише в окреме число «не враховано»; спроби автоматів надіслати форму звʼязку рахуються як відмови форми. Лічильники наші власні, у нашій же базі в ЄС; жодного стороннього сервісу аналітики в порталі немає |
Лічильники дій у порталі (portal_usage) — лише для заявників і схвалених експертів, які увійшли: скільки разів за день ви відкрили кожен інструмент порталу і скільки разів зробили кожну дію з нашого закритого переліку (наприклад, «додали продукт у набір», «відкрили друк аркуша A4», «створили свій продукт»), разом з ідентифікатором вашого акаунта, датою (без часу) і тим, чи ви того дня були заявником чи схваленим експертом | до 13 місяців (400 днів), далі кожен день стирається автоматично; коли власник порталу видаляє акаунт (зокрема на ваше прохання на privacy@protilo.com), — одразу всі | щоб бачити, якими інструментами фахівці справді користуються, де зупиняються і що варто покращити, — і чи доходять нові експерти до першого результату. Чого там немає: вмісту ваших розрахунків, назв продуктів, аналізів чи ситуацій, імен і будь-яких даних ваших клієнтів, тексту, точного часу й порядку дій. Записує лише наш сервер — за вашою сесією, а не за тим, що надіслав браузер. Поіменно ці лічильники бачить лише власник порталу у своїй панелі; іншим фахівцям і будь-якому браузеру вони недоступні. На їх основі не ухвалюється жодного автоматичного рішення щодо вас. Дії власника порталу й тестових акаунтів не рахуються; сторонніх сервісів аналітики тут теж немає |
| Дані | Скільки живе | Нащо |
|---|---|---|
| Імʼя, яким ви підписались | у нашій поштовій скриньці, поки триває листування; далі — за політикою зберігання пошти | звертатись до вас на імʼя у відповіді |
| Адреса пошти | там само | відповісти вам і надіслати підтвердження, що лист дійшов |
| Тема (з переліку кнопок) і текст повідомлення | там само | власне звернення |
| Лічильники захисту: хеш адреси та IP | діють до 1 години, а після надісланого листа — 5 хвилин тиші; самі записи стираються автоматично протягом 2 діб | щоб форма не стала ретранслятором спаму. Ключем є хеш SHA-256, а не сама адреса |
Це звернення ніде в нас не зберігається як запис. Воно існує лише як лист у нашій поштовій скриньці — бази звернень у порталі немає.
Підтвердження вам. Щойно лист дійшов, ми надсилаємо вам коротку квитанцію на вказану адресу. У ній навмисно немає жодного слова з вашого повідомлення — лише тема з переліку: інакше форму можна було б використати, щоб надіслати довільний текст на чужу скриньку від нашого імені.
Не писали нам? Якщо квитанція прийшла вам помилково — просто проігноруйте її. Ваша адреса нікуди не потрапляє: ми не додаємо її до жодного переліку розсилки, бо такого переліку не існує.
Якщо ви додаєте власний продукт до каталогу («Мої продукти»), портал зберігає його на сервері — назву, порцію та числа складу, разом із ідентифікатором вашого акаунта як власника. Живе це стільки, скільки живе акаунт; ви можете видалити будь-який свій продукт самі, будь-коли.
Це дані про продукт, а не про людину: ані ваших клієнтів, ані показників здоровʼя там немає й бути не може — у записі просто немає таких полів. Позначивши продукт публічним, ви робите його видимим іншим схваленим фахівцям разом зі своїм імʼям як автора; це ваша окрема свідома дія, і її можна скасувати тим самим перемикачем. Після видалення акаунта імʼя автора в копіях, які колеги зробили з ваших продуктів, замінюється на «колишній учасник порталу».
Якщо людина лишає пошту у формі «Стати першим» на protilo.com і підтверджує її кнопкою в листі, цей запис зберігає сервер порталу в окремому сховищі waitlist_signups — без IP-адреси і без жодного звʼязку з акаунтами фахівців, а поруч, якщо людина відповіла на необовʼязкове питання «Звідки ви про нас дізналися?», — обраний варіант зі списку; мета (одне повідомлення про запуск застосунку), підстава (згода), підтвердження листом і строк (30 днів після того повідомлення або одразу, щойно людина натисне в ньому «Не надсилати мені більше»; непідтверджений запис — поки діє посилання, 48 годин) описані в політиці приватності protilo.com.
Бот — додатковий шлях до тих самих раціонів, складу продуктів і підготовки до аналізів, що й на порталі. Ним можуть користуватися лише учасники закритої Telegram-групи фахівців, яку веде власник порталу; щойно людину прибирають із групи, бот перестає їй відповідати.
| Дані | Скільки живе | Нащо |
|---|---|---|
| Ваш номер користувача в Telegram (не номер телефону — його бот не отримує) | лише в памʼяті сервера: до 1 хвилини — щоб перевірити, чи ви в групі, і щоб бота не засипали запитами. Потім стирається сам. На диск і в журнали не пишеться | дізнатися, чи ви учасник групи фахівців: без цього бот не відповідає нікому |
| Текст повідомлення боту, натиснута кнопка, пошук бота в іншому чаті через «@» | лише на час обробки | скласти відповідь. Ніде не зберігається. У журналах сервера — лише тривалість обробки, а якщо Telegram відмовив, — назва запиту й код відмови; звіт про аварію — як у п. 2.2 |
| Відповіді майстра «План аналізів за ситуацією»: стать, діапазон віку, вага і зріст (якщо ви їх написали), обрані ситуації й уточнення — без імені чи будь-якого ідентифікатора людини | у тексті й кнопках повідомлення з планом у вашому чаті з ботом, тобто в Telegram, поки ви не видалите повідомлення; наш сервер бачить їх лише на час відповіді. Вагу і зріст ви пишете окремим повідомленням — бот одразу прибирає з чату і його, і своє запитання; якщо Telegram не дасть його прибрати, видаліть повідомлення самі | скласти план тим самим рушієм, що й на порталі. Бот не має поля для імені клієнта і не просить його — не вписуйте імен клієнтів у чат |
| Повідомлення в самій групі фахівців і звістки, хто прийшов до групи чи вийшов з неї | лише на мить отримання | бот — адміністратор групи без жодних прав, тому Telegram пересилає йому все, що пишуть у групі. Сервер такі повідомлення відкидає одразу, не читаючи й нічого не записуючи; звістка про вихід лише скасовує доступ до бота |
| Денні лічильники дій бота | як денні лічильники відвідуваності (п. 2.2) | рід дії (наприклад, «показано план аналізів») і кількість за добу — без номера користувача, імені, тексту чи назв аналізів. Спроби людей поза групою рахуються як «спроба без доступу». Дії адміністраторів групи, зокрема власника порталу, не рахуються |
Чат із ботом — звичайний «хмарний» чат Telegram без наскрізного шифрування: ваші повідомлення й відповіді бота зберігає Telegram на своїх серверах за власною політикою приватності, і ми на це не впливаємо. До кожного повідомлення Telegram додає ваше імʼя, нікнейм і мову застосунку; бот їх не використовує й не зберігає. Довідку про аналізи й план аналізів бот надсилає з забороною пересилання: вони написані для фахівця. Усе інше — підготовку для клієнтки, картки раціонів, топи продуктів, процедури — бот надсилає звичайними повідомленнями; пересилати їх чи ні, вирішуєте ви.
| Обробка | Підстава (ст. 6 GDPR) |
|---|---|
| Створення й ведення акаунта, вхід, листи про стан заявки | п. 1(b) — виконання договору з вами (Умови користування порталом) |
| Перевірка фаху перед відкриттям робочих інструментів | п. 1(b) — це і є предмет договору: доступ отримує фахівець |
| Захист від перебору паролів, журнал рішень щодо доступу, звіти про аварії, перевірка, чи має обліковий запис акаунт у застосунку | п. 1(f) — законний інтерес у безпеці й працездатності сервісу і в тому, щоб рішення щодо порталу не зачепило ваш акаунт у застосунку. Ми зважили його проти ваших прав і мінімізували обробку: ключі хешуються, звіти зачищаються, з акаунта застосунку читається лише факт його існування |
| Поля профілю, які ви заповнюєте за бажанням (п. 2.1) | п. 1(b) — виконання договору: ними підписуються документи, які ви робите в порталі. Порожнє поле нічого не забирає з доступу |
| Відповідь на питання «Звідки ви про нас дізналися?» (п. 2.1) | п. 1(f) — законний інтерес: знати, які канали приводять фахівців. Обробку мінімізовано: питання необовʼязкове, відповідь — лише варіант зі списку, без вільного тексту, і на доступ вона не впливає; ви можете не відповідати або попросити її видалити |
| Сесійна кука | ст. 5(3) Директиви 2002/58/ЄС — виняток для строго необхідного: без неї вхід технічно неможливий, тому банер згоди не потрібен і його немає |
| Відповідь на звернення з форми звʼязку (п. 2.3) і квитанція про його отримання | п. 1(f) — законний інтерес: ви написали нам самі й очікуєте відповіді. Обробка мінімальна (лист і нічого крім), і ви можете будь-коли попросити видалити листування |
| Свої продукти фахівця (п. 2.4) | п. 1(b) — виконання договору: це ваш робочий інструмент у порталі |
| Перевірка, чи людина, що написала боту, — учасник групи фахівців, і відмова стороннім (п. 2.7) | п. 1(f) — законний інтерес: бот відповідає лише своїм. Обробку мінімізовано: лише номер користувача в Telegram, у памʼяті сервера, до 1 хвилини |
| Відповіді бота учасникам групи (п. 2.7) | п. 1(b) — виконання договору: бот — ще один шлях до інструментів порталу (Умови користування порталом, розділ 1) |
| Лічильники дій бота (п. 2.7) | п. 1(f) — законний інтерес, як і для лічильників відвідуваності: бачити, чи бот справді допомагає. Обробку мінімізовано: лише рід дії й кількість за добу, без номера користувача, імені й тексту |
| Лічильники дій у порталі (п. 2.2) | п. 1(f) — законний інтерес: розвивати портал, яким ви користуєтесь, і бачити, чи доходять нові експерти до першого результату. Ми зважили його проти ваших прав і мінімізували обробку: лише кількість дій із закритого переліку і дата, без вмісту, тексту й часу; строк — до 13 місяців; бачить лише власник порталу. Ви можете заперечити проти цієї обробки (розділ 6) |
Згода (п. 1(a)) як підстава в порталі не використовується — саме тому вам ніде не показують банера про куки. Позначка «розумію, що ProTilo — інструмент для розрахунків, а не медична система» — це умова договору, а не згода на обробку даних, і відкликати її окремо неможливо: без неї немає доступу.
Ми не продаємо й не передаємо дані третім сторонам для їхніх власних цілей. Дані бачать лише:
| Процесор | Що робить | Де зберігає |
|---|---|---|
| Google Cloud EMEA Ltd / Google Ireland Ltd | Firebase Authentication (акаунти), Cloud Firestore (заявки, журнал, лічильники), Cloud Run (сам портал), Cloud Logging (журнали) | Firestore — багаторегіон eur3 (Європа); Cloud Run — europe-west1 (Бельгія) |
| Google Workspace | доставка листів порталу з нашої робочої скриньки | Європа, за налаштуваннями Workspace |
| Functional Software, Inc. (Sentry) | звіти про технічні аварії сервера порталу (п. 2.2): текст помилки, стек, адреса сторінки, метод запиту. Пошта, ідентифікатори й ключі вирізаються з тексту до відправлення | за налаштуванням нашої організації в Sentry; сама компанія — у США |
Telegram (Telegram Messenger Inc., поза Європейською економічною зоною — ЄЕЗ: ЄС, Норвегія, Ісландія, Ліхтенштейн) — лише якщо ви користуєтесь ботом порталу (п. 2.7). Це не наш процесор, а платформа, якою ви користуєтесь за власною угодою з Telegram: ми не можемо давати Telegram вказівок щодо ваших даних. Повідомлення між вами й ботом проходять через її сервери й зберігаються там за її правилами.
Сторонніх сервісів розсилки, аналітики чи реклами портал не використовує — це свідоме рішення, а не збіг. Sentry — єдиний процесор поза Google, і він бачить лише технічний слід аварії, а не людину.
Передавання за межі ЄЕЗ. Дані зберігаються в європейських регіонах. Материнська компанія Google — у США, тож технічний доступ із-за меж ЄЕЗ можливий; він урегульований Стандартними договірними положеннями Європейської Комісії та участю Google у EU–US Data Privacy Framework. Те саме стосується Sentry: компанія — у США, тож звіти про аварії можуть оброблятися за межами ЄЕЗ; це урегульовано Стандартними договірними положеннями в її договорі про обробку даних. Telegram — компанія поза ЄЕЗ. Відповіді бота наш сервер передає Telegram лише тому, що ви самі просите їх у Telegram; договору зі стандартними положеннями з Telegram ми не маємо, тож підстава такого передавання — ст. 49(1)(b) GDPR (воно необхідне, щоб надати вам те, про що ви просите). Дані тих, хто зареєструвався в Telegram у ЄЕЗ чи Великій Британії, Telegram зберігає в дата-центрах Нідерландів; інших — там, де визначає Telegram.
За ст. 15–22 GDPR ви маєте право: отримати копію своїх даних · виправити неточні · вимагати видалення · обмежити обробку · заперечити проти обробки на підставі законного інтересу · отримати дані в машинозчитуваному форматі · подати скаргу до наглядового органу.
Як скористатись: напишіть на privacy@protilo.com з тієї адреси, на яку зареєстровано акаунт. Відповідаємо протягом 30 днів (ст. 12(3)).
Чому саме з тієї адреси. Це єдиний спосіб переконатись, що дані просить їхній власник, а не той, хто назвався ним. Якщо доступу до адреси більше немає — напишіть, ми домовимось про інший спосіб підтвердження.
HttpOnly) і не їде на чужі домени (SameSite).Порушення безпеки. Якщо станеться витік, що загрожує вашим правам, ми повідомимо наглядовий орган протягом 72 годин (ст. 33) і вас — без невиправданої затримки (ст. 34). Знайшли вразливість — напишіть на security@protilo.com.
ProTilo — інструмент для розрахунків і довідкової роботи фахівця. Він показує склад продуктів за відкритими офіційними джерелами (USDA FoodData Central, ANSES CIQUAL, BLS, CoFID, FSVO, FDA Daily Values) та впорядковує довідник аналізів за правилами, походження кожного з яких видно на екрані.
Портал не ставить діагнозів, не призначає лікування і не дає медичних висновків. Кожне рішення щодо конкретної людини ухвалює фахівець, який несе за нього відповідальність. Докладніше — в Умовах користування порталом.
Якщо політика зміниться суттєво, ми повідомимо листом на адресу акаунта щонайменше за 14 днів до набрання чинності. Дата вгорі документа завжди показує чинну редакцію.
Приватність: privacy@protilo.com · Захист даних: dpo@protilo.com · Юридичне: legal@protilo.com · Безпека: security@protilo.com · Підтримка: support@protilo.com