VIR Group — Політика конфіденційності
Версія: v2.0 · Дата редакції: 2026-04-25 · Дата набуття чинності: 2026-04-25
1. Преамбула й контролер даних
VIR Group (надалі — «Компанія», «ми», «нас») — український продукт у сфері соціальних і рекламних онлайн-сервісів. Юр. особа: ТОВ «VIR Group», зареєстроване в Україні, КВЕД 73.11 (рекламна діяльність) та 63.12 (вебпортали).
Контактна особа з захисту даних (DPO): information.prom@gmail.com
Цей документ описує, які персональні дані ми збираємо у застосунку та на наших вебсервісах, як їх використовуємо, кому передаємо (відповідь коротка: нікому не продаємо й не передаємо стороннім компаніям) та як ви можете реалізувати свої права.
2. Які дані ми збираємо
| Категорія | Конкретні поля | Звідки | Підстава |
|---|
| Акаунт | email, нікнейм, пароль (хеш bcrypt), Mastodon ID | реєстрація | договір |
| Профіль | аватар, обкладинка, біо, налаштування, мова інтерфейсу | користувач заповнює | згода |
| Контент | пости, коментарі, медіа, проєкти, рекламні оголошення | користувач створює | згода |
| Технічні | хеш IP-адреси, модель пристрою, OS, версія додатка | автоматично | легітимний інтерес (безпека, антифрод) |
| Поведінкові | взаємодії з рекламою (impressions, clicks), час сесій | автоматично | згода (opt-out → Premium) |
| Платіжні | receipt id Apple/Google, сума, валюта, дата, статус | при покупці | договір |
| Wallet (необов'язково) | публічний адреса VIR, mnemonic — тільки локально на пристрої | користувач генерує | згода + локальне зберігання |
Що ми НЕ збираємо
- Точна геолокація (GPS, NETWORK).
- AdID / IDFA / Android Advertising ID.
- Контакти телефонної книги.
- Браузерну історію поза додатком.
- Біометрія, голос, обличчя.
3. Як ми використовуємо дані
- Виключно для функціонування додатка. Запит постів, чат, публікація проєктів і реклами, показ нативних рекламних блоків без поведінкового таргетингу.
- Для покращення продукту. Анонімізована аналітика — кількість DAU, середня тривалість сесії, які екрани використовуються. Без особистої ідентифікації.
- Для безпеки. Виявлення спаму, фроду, абузу. Хеш IP зберігаємо до 30 днів.
- Для оплат. Перевірка receipt через Apple/Google API. Receipt не містить cardholder data — лише purchase id.
Чого ми ЯВНО НЕ робимо
- Поведінкового таргетингу реклами на основі ваших даних.
- Продажу даних будь-якій третій стороні.
- Тренування ML-моделей без вашої явної згоди.
- Передачі брокерам даних.
4. Передача третім сторонам — НЕ ПЕРЕДАЄМО І НЕ ПРОДАЄМО
Ми НЕ передаємо персональні дані стороннім компаніям, НЕ продаємо їх, НЕ обмінюємо.
Виключення (тільки technical processors з NDA + DPA):
| Процесор | Які дані | Навіщо | Юрисдикція |
|---|
| Supabase | акаунт + контент | хостинг БД | EU |
| Cloudflare | хешований трафік | CDN, DDoS | global |
| Apple / Google | receipt id | IAP-валідація | US |
| Sentry (опц.) | анонімізовані crash-logs | діагностика | EU |
| Matomo (self-hosted) | анонімні сесії | аналітика | наші сервери |
Жодного Google Analytics, Facebook SDK, AppsFlyer, Adjust, Branch, Mixpanel — ці SDK видалені й не використовуються.
5. Згода користувача — opt-in для всього
- При реєстрації показуємо checkbox «Я погоджуюсь з Privacy Policy» (обов'язковий).
- Окремий checkbox «Дозволяю показ реклами» (необов'язковий — за замовчуванням ON, можна вимкнути → потрібно купити Premium).
- Окремий checkbox «Дозволяю анонімну аналітику» (необов'язковий — за замовчуванням ON).
- При зміні політики — re-acceptance з diff-показом.
6. Права користувача (GDPR + CCPA + ЗУ «Про захист персональних даних»)
- Доступ. Кнопка «Скачати мої дані» в налаштуваннях → JSON-експорт за 24 години.
- Виправлення. Будь-яке поле редагується.
- Видалення. Кнопка «Видалити акаунт» → soft-delete на 30 днів → hard-delete з cascade.
- Перенесення. JSON-експорт сумісний з Mastodon (для контенту).
- Заперечення. Opt-out з реклами/аналітики в налаштуваннях.
- Скарга в наглядовий орган. Уповноважений ВРУ з прав людини (Україна), ICO (UK), CNIL (Франція), DPA (інші країни ЄС).
7. Зберігання й безпека
- Зашифроване at-rest (Supabase managed) + in-transit (TLS 1.3).
- Wallet mnemonic — ніколи не покидає пристрій, шифрується через
flutter_secure_storage (Keychain на iOS, EncryptedSharedPreferences / Keystore на Android).
- Паролі —
bcrypt + salt (Supabase Auth).
- Backup'и шифровані, retention 30 днів.
- Інциденти — 72-годинне повідомлення регулятору + публікація на нашому статус-сайті.
8. Діти — 12+
Додаток для віку 12+. Не збираємо дані осіб <13 свідомо. Якщо виявимо — видаляємо акаунт.
9. Реклама в додатку
- Що ми показуємо. Нативна реклама, сформована нашими рекламодавцями. Жодних зовнішніх adtech, жодних трекерів третіх сторін.
- Які дані ми збираємо при показі.
user_id (для frequency cap, не таргетингу), час показу, хеш IP (для антифроду), тип події. Не збираємо: геолокацію, AdID/IDFA, fingerprint пристрою.
- Наша роль — платформа. Ми лише надаємо майданчик. Відповідальність за зміст реклами несе рекламодавець. Ми не гарантуємо якість, достовірність або безпеку товарів і послуг.
- Модерація. Ми відмовляємо у публікації згідно з Ads Policy.
- Право на відмову. Користувач може придбати Premium для повного відключення реклами або позначити «Не цікаво» для конкретного оголошення.
- Права рекламодавця. Редагування, пауза, видалення — в advertiser cabinet.
- Знижка з відповідальності. Користувач, переходячи за рекламним посиланням, взаємодіє безпосередньо з рекламодавцем; ми не сторона угоди й не несемо відповідальність за товари або послуги.
10. Зміни в політиці
Ми можемо оновлювати цю політику. Дата редакції в шапці завжди показує поточну версію. При major-зміні — 30-денне повідомлення через push + email + in-app banner.
11. Контакти
← Повернутись на vir.group
VIR Group — Privacy Policy
Version: v2.0 · Revision date: 2026-04-25 · Effective date: 2026-04-25
1. Preamble and Data Controller
VIR Group (hereinafter — "the Company", "we", "us") is a Ukrainian product in the field of social and advertising online services. Legal entity: VIR Group LLC (Ukrainian LLC), registered in Ukraine, KVED 73.11 (advertising activities) and 63.12 (web portals).
Data Protection Officer (DPO) contact: information.prom@gmail.com
This document describes what personal data we collect within the application and on our web services, how we use it, to whom we transfer it (the short answer: we do not sell it and do not transfer it to any third-party companies) and how you may exercise your rights.
2. What Data We Collect
| Category | Specific Fields | Source | Legal Basis |
|---|
| Account | email, nickname, password (bcrypt hash), Mastodon ID | registration | contract |
| Profile | avatar, cover, bio, settings, interface language | filled in by the User | consent |
| Content | posts, comments, media, projects, advertisements | created by the User | consent |
| Technical | IP address hash, device model, OS, application version | automatically | legitimate interest (security, anti-fraud) |
| Behavioural | advertising interactions (impressions, clicks), session duration | automatically | consent (opt-out → Premium) |
| Payment | Apple/Google receipt id, amount, currency, date, status | upon purchase | contract |
| Wallet (optional) | public VIR address, mnemonic — stored solely locally on the device | generated by the User | consent + local storage |
What We DO NOT Collect
- Precise geolocation (GPS, NETWORK).
- AdID / IDFA / Android Advertising ID.
- Phone-book contacts.
- Browsing history outside the application.
- Biometrics, voice, or face data.
3. How We Use the Data
- Solely for the functioning of the application. Fetching posts, chat, publishing projects and advertisements, displaying native ad units without behavioural targeting.
- To improve the product. Anonymised analytics — number of DAU, average session duration, which screens are used. Without personal identification.
- For security. Detecting spam, fraud, and abuse. The IP hash is retained for up to 30 days.
- For payments. Receipt verification via the Apple/Google API. Receipts do not contain cardholder data — only the purchase id.
What We Expressly DO NOT Do
- Behavioural advertising targeting based on your data.
- Sale of data to any third party.
- Training of ML models without your explicit consent.
- Transfer to data brokers.
4. Transfer to Third Parties — WE DO NOT TRANSFER AND DO NOT SELL
We DO NOT transfer personal data to third-party companies, DO NOT sell it, DO NOT exchange it.
Exceptions (only technical processors under NDA + DPA):
| Processor | Which Data | Purpose | Jurisdiction |
|---|
| Supabase | account + content | database hosting | EU |
| Cloudflare | hashed traffic | CDN, DDoS | global |
| Apple / Google | receipt id | IAP validation | US |
| Sentry (opt.) | anonymised crash-logs | diagnostics | EU |
| Matomo (self-hosted) | anonymous sessions | analytics | our servers |
No Google Analytics, Facebook SDK, AppsFlyer, Adjust, Branch, or Mixpanel — these SDKs have been removed and are not used.
5. User Consent — Opt-In for Everything
- Upon registration we display a checkbox "I agree to the Privacy Policy" (mandatory).
- A separate checkbox "I allow the display of advertising" (optional — ON by default, may be disabled → requires the purchase of Premium).
- A separate checkbox "I allow anonymous analytics" (optional — ON by default).
- Upon a change of the policy — re-acceptance with a diff display.
6. User Rights (GDPR + CCPA + Ukrainian Law "On the Protection of Personal Data")
- Access. The "Download my data" button in settings → JSON export within 24 hours.
- Rectification. Any field may be edited.
- Erasure. The "Delete account" button → soft-delete for 30 days → hard-delete with cascade.
- Portability. The JSON export is compatible with Mastodon (for content).
- Objection. Opt-out from advertising/analytics in settings.
- Complaint to a supervisory authority. The Ukrainian Parliament Commissioner for Human Rights (Ukraine), ICO (UK), CNIL (France), DPA (other EU countries).
7. Storage and Security
- Encrypted at-rest (Supabase managed) + in-transit (TLS 1.3).
- The wallet mnemonic never leaves the device; it is encrypted via
flutter_secure_storage (Keychain on iOS, EncryptedSharedPreferences / Keystore on Android).
- Passwords —
bcrypt + salt (Supabase Auth).
- Backups are encrypted, with a retention period of 30 days.
- Incidents — 72-hour notification to the regulator + publication on our status site.
8. Children — 12+
The application is intended for ages 12+. We do not knowingly collect data of persons under 13. If we discover such data — we delete the account.
9. Advertising within the Application
- What we display. Native advertising created by our advertisers. No external adtech, no third-party trackers.
- What data we collect upon display.
user_id (for frequency capping, not targeting), display time, IP hash (for anti-fraud), event type. We do not collect: geolocation, AdID/IDFA, or device fingerprint.
- Our role — the platform. We merely provide the venue. Responsibility for the content of the advertising lies with the advertiser. We do not guarantee the quality, accuracy, or safety of goods and services.
- Moderation. We refuse publication in accordance with the Ads Policy.
- Right to refuse. The User may purchase Premium to fully disable advertising or mark "Not interested" for a specific ad.
- Advertiser rights. Editing, pausing, deletion — in the advertiser cabinet.
- Disclaimer of liability. By clicking on an advertising link, the User interacts directly with the advertiser; we are not a party to the transaction and shall not be liable for any goods or services.
10. Changes to the Policy
We may update this policy. The revision date in the header always reflects the current version. In the case of a major change — 30-day notice via push + email + in-app banner.
11. Contacts
← Back to vir.group