Перша Столиця · програма лояльності

Політика конфіденційності

Чинна редакція від 22 липня 2026 р.

1. Хто ми і що це за документ

Ця Політика конфіденційності описує, які персональні дані збирає мобільний застосунок «Перша Столиця» та програма лояльності мережі фірмових магазинів «Перша Столиця», для чого вони використовуються, кому можуть передаватися та які права ви маєте. Володілець (контролер) персональних даних — Фізична особа — підприємець Гриненко Станіслав Анатолійович («ми», «Оператор»), м. Харків, Україна.

Питання щодо цієї політики та персональних даних: support@stolytsiaref.com. Ця сторінка доступна публічно за адресою stolytsiaref.com/privacy, а також із застосунку (Профіль → Конфіденційність).

2. Які дані ми збираємо

Дані облікового запису: номер телефону (єдиний ідентифікатор входу), ім'я та прізвище, місто, дата народження (необов'язково — для привітань і бонусів до дня народження), номер картки лояльності, обрана мова та налаштування застосунку.
Дані програми лояльності: історія нарахування і списання балів, поточний баланс, суми чеків та перелік придбаних товарів у фірмових магазинах мережі при використанні картки.
Технічні дані: токен пристрою для push-сповіщень (лише якщо ви їх увімкнули), події користування застосунком (відкриття розділів, перегляди товарів і банерів), IP-адреса при запиті SMS-коду (захист від зловживань і шахрайства), технічні журнали сервера.
Дані реферальної програми: ваш персональний код запрошення та факт його використання іншими учасниками.

Чого ми НЕ збираємо: платіжні реквізити (номери банківських карток, CVV) — оплата відбувається на касі магазину і не проходить через застосунок; список контактів; фотографії та файли з вашого пристрою; точну геолокацію — функція «Поруч» визначає найближчий магазин безпосередньо на вашому пристрої, координати не передаються та не зберігаються на наших серверах.

3. Звідки дані надходять

безпосередньо від вас — під час реєстрації та користування застосунком;
з касової системи мережі — коли ви використовуєте картку лояльності при покупці (сума чека, склад покупки, нараховані/списані бали).

4. Для чого і на якій підставі ми обробляємо дані

участь у програмі лояльності (нарахування і списання балів, картка, історія покупок) — виконання умов програми, до якої ви приєдналися;
вхід у застосунок за одноразовим SMS-кодом — необхідність ідентифікації учасника;
сповіщення про бали, акції та новини — ваша згода; кожен тип сповіщень можна вимкнути в Налаштуваннях будь-коли;
реферальна програма «Запросіть друга» — умови програми;
аналітика користування застосунком і асортиментом — законний інтерес Оператора у покращенні сервісу; використовується в агрегованому вигляді;
безпека (обмеження частоти SMS-запитів, виявлення зловживань) — законний інтерес.

Обробка здійснюється відповідно до Закону України «Про захист персональних даних». Автоматизованих рішень, що мають для вас юридичні наслідки, ми не ухвалюємо.

5. Кому дані можуть передаватися

Ми не продаємо персональні дані та не передаємо їх третім особам для їхнього маркетингу. Обмежений обсяг даних обробляють лише підрядники, необхідні для роботи сервісу, кожен — у межах своєї функції:

касова/облікова система SM POS — номер картки, телефон, суми покупок (нарахування балів на касі);
TurboSMS (ТОВ «Мобілакс», Україна) — номер телефону, для доставки SMS-коду входу;
Expo Push Service та служби сповіщень Apple / Google — токен пристрою, для доставки push-сповіщень;
хостинг DigitalOcean (дата-центр у Франкфурті, Європейський Союз) — зберігання бази даних і резервних копій;
картографічний сервіс MapTiler (MapTiler AG, Швейцарія; дані мапи — © OpenStreetMap) — коли ви відкриваєте мапу магазинів, пристрій завантажує фрагменти мапи безпосередньо з їхніх серверів, тож їм технічно видно IP-адресу та переглянуту ділянку мапи. Ваша геолокація їм не передається.

Дані також можуть бути розкриті на законну вимогу уповноважених державних органів у випадках, прямо передбачених законом.

6. Транскордонна передача

Сервери розташовані в межах ЄС (Німеччина). Передача здійснюється захищеними каналами; до даних застосовуються ті самі гарантії, що описані в цій політиці.

7. Скільки ми зберігаємо дані

дані облікового запису — доки існує акаунт;
події аналітики — до 180 днів; прочитані сповіщення — до 90 днів; SMS-коди — до 30 днів (лише у захешованому вигляді);
історія покупок і балів — протягом дії програми лояльності (вимоги фінансової звітності);
резервні копії бази — 14 днів, після чого автоматично видаляються.

8. Ваші права

Щодо своїх персональних даних ви маєте право на:

доступ — дізнатися, які дані ми маємо, та отримати їх копію;
виправлення — змінити неточні дані (ім'я, прізвище, місто можна змінити самостійно: Профіль → Особисті дані);
видалення — видалити акаунт та персональні дані (див. розділ 9);
відкликання згоди — вимкнути сповіщення та згоди в Налаштуваннях;
заперечення проти окремих видів обробки;
скаргу до Уповноваженого Верховної Ради України з прав людини або до суду.

Для реалізації права на доступ або отримання копії даних напишіть на support@stolytsiaref.com з номера телефону, зазначеного в акаунті, або з проханням підтвердити особу. Ми відповідаємо протягом 30 днів.

9. Видалення акаунта

Видалити акаунт можна безпосередньо в застосунку: Профіль → Налаштування → «Видалити акаунт». Після підтвердження:

персональні дані (телефон, ім'я, дата народження) знеособлюються одразу;
усі сеанси входу припиняються, push-сповіщення зупиняються;
невикористані бали анулюються;
залишкові копії в резервних архівах зникають протягом 14 днів.

Якщо ви не можете скористатися застосунком, надішліть запит на видалення на support@stolytsiaref.com — ми виконаємо його в той самий спосіб.

10. Діти

Застосунок і програма лояльності не призначені для осіб молодших за 16 років, і ми свідомо не збираємо їхні дані. Якщо вам стало відомо, що дитина надала нам персональні дані, повідомте нас — ми їх видалимо.

11. Як ми захищаємо дані

усі з'єднання — лише захищеними каналами (HTTPS/TLS);
SMS-коди зберігаються виключно у вигляді криптографічних хешів;
токени доступу відкликаються при виході, зміні номера чи видаленні акаунта;
доступ до серверів обмежено, дії адміністраторів журналюються;
кількість запитів SMS обмежена на номер та на IP-адресу.

12. Сповіщення

Push-сповіщення надсилаються лише після вашого дозволу на пристрої. Вимкнути їх можна будь-коли: у Налаштуваннях застосунку (за типами) або в системних налаштуваннях телефона. Сервісні повідомлення (SMS-код входу) надсилаються лише у відповідь на вашу дію.

13. Зміни цієї політики

Оновлення публікуються на цій сторінці із зазначенням дати чинної редакції. Про суттєві зміни ми додатково повідомимо в застосунку до набрання ними чинності.

14. Контакти

Оператор: ФОП Гриненко Станіслав Анатолійович, м. Харків, Україна.
Ел. пошта з питань персональних даних: support@stolytsiaref.com.
Телефон підтримки: +38 (057) 765-46-41.

↑ Українська версія

Privacy Policy

Effective date: 22 July 2026. The Ukrainian version above is the governing text; this English translation is provided for convenience.

1. Who We Are and What This Document Is

This Privacy Policy describes what personal data is collected by the «Persha Stolytsia» mobile app and the loyalty program of the «Persha Stolytsia» chain of brand meat stores, why it is used, who it may be shared with, and what rights you have. The data controller is Individual entrepreneur (FOP) Hrynenko Stanislav Anatoliiovych ("we", the "Operator"), Kharkiv, Ukraine.

Questions about this policy and personal data: support@stolytsiaref.com. This page is publicly available at stolytsiaref.com/privacy and from inside the app (Profile → Privacy).

2. What Data We Collect

Account data: phone number (the sole sign-in identifier), first and last name, city, date of birth (optional — for birthday greetings and bonuses), loyalty card number, chosen language and app settings.
Loyalty program data: history of points earned and spent, current balance, receipt amounts and the list of purchased goods in the chain's brand stores when the card is used.
Technical data: a device token for push notifications (only if you enable them), app usage events (opening sections, viewing products and banners), the IP address when requesting an SMS code (abuse and fraud protection), server technical logs.
Referral program data: your personal invitation code and the fact of its use by other participants.

What we do NOT collect: payment details (bank card numbers, CVV) — payment happens at the store checkout and never passes through the app; your contact list; photos and files from your device; precise geolocation — the «Nearby» feature finds the closest store directly on your device, and coordinates are never transmitted or stored on our servers.

3. Where the Data Comes From

directly from you — during registration and while using the app;
from the chain's point-of-sale system — when you use the loyalty card at a purchase (receipt amount, purchased items, points earned/spent).

4. Why and on What Basis We Process Data

loyalty program participation (earning and spending points, the card, purchase history) — performance of the program terms you joined;
app sign-in with a one-time SMS code — the need to identify the participant;
notifications about points, promotions and news — your consent; every notification type can be turned off in Settings at any time;
the «Invite a friend» referral program — the program terms;
usage analytics for the app and assortment — the Operator's legitimate interest in improving the service; used in aggregate form;
security (SMS rate limiting, abuse detection) — legitimate interest.

Processing complies with the Law of Ukraine "On Personal Data Protection". We make no automated decisions with legal effects for you.

5. Who Data May Be Shared With

We do not sell personal data and do not share it with third parties for their marketing. A limited scope of data is processed only by contractors required to run the service, each within its own function:

the SM POS point-of-sale system — card number, phone, purchase amounts (crediting points at the till);
TurboSMS (Mobilax LLC, Ukraine) — phone number, for delivering the sign-in SMS code;
Expo Push Service and the Apple / Google notification services — device token, for delivering push notifications;
DigitalOcean hosting (Frankfurt data center, European Union) — storage of the database and backups;
the MapTiler map service (MapTiler AG, Switzerland; map data — © OpenStreetMap) — when you open the store map, the device loads map tiles directly from their servers, so they technically see the IP address and the viewed map area. Your geolocation is not sent to them.

Data may also be disclosed upon a lawful request of authorized state bodies in cases expressly provided by law.

6. Cross-Border Transfer

Servers are located within the EU (Germany). Transfers use secure channels; the data is subject to the same safeguards described in this policy.

7. How Long We Keep Data

account data — for as long as the account exists;
analytics events — up to 180 days; read notifications — up to 90 days; SMS codes — up to 30 days (hashed only);
purchase and points history — for the duration of the loyalty program (financial reporting requirements);
database backups — 14 days, then deleted automatically.

8. Your Rights

With regard to your personal data you have the right to:

access — learn what data we hold and receive a copy of it;
rectification — correct inaccurate data (name and city can be changed directly: Profile → Personal data);
erasure — delete the account and personal data (see section 9);
withdrawal of consent — turn off notifications and consents in Settings;
objection to particular kinds of processing;
complaint to the Ukrainian Parliament Commissioner for Human Rights or to a court.

To exercise the right of access or receive a copy of your data, write to support@stolytsiaref.com from the phone number linked to the account, or with a request to verify your identity. We respond within 30 days.

9. Account Deletion

You can delete the account directly in the app: Profile → Settings → "Delete account". After confirmation:

personal data (phone, name, date of birth) is anonymized immediately;
all sign-in sessions are terminated and push notifications stop;
unused points are forfeited;
residual copies in backup archives disappear within 14 days.

If you cannot use the app, send a deletion request to support@stolytsiaref.com — we will carry it out the same way.

10. Children

The app and the loyalty program are not intended for persons under 16, and we do not knowingly collect their data. If you become aware that a child has provided us personal data, let us know — we will delete it.

11. How We Protect Data

all connections use secure channels only (HTTPS/TLS);
SMS codes are stored exclusively as cryptographic hashes;
access tokens are revoked on sign-out, phone change or account deletion;
server access is restricted and administrator actions are logged;
SMS requests are rate-limited per phone number and per IP address.

12. Notifications

Push notifications are sent only after your permission on the device. You can turn them off at any time: in the app's Settings (per type) or in the phone's system settings. Service messages (the sign-in SMS code) are sent only in response to your action.

13. Changes to This Policy

Updates are published on this page with the effective date. We will additionally announce material changes in the app before they take effect.

14. Contact

Operator: FOP Hrynenko Stanislav Anatoliiovych, Kharkiv, Ukraine.
Email for personal data matters: support@stolytsiaref.com.
Support phone: +38 (057) 765-46-41.