Конфіденційність

Ця сторінка каже прямо, що Лілейка зберігає про людей, навіщо, скільки й хто це бачить. Вона стосується хмарної Лілейки, яку веде автор системи. Якщо курінь чи станиця поставили систему на власний сервер, за дані відповідає той, хто його тримає, а цей текст — зразок, який він може взяти.

Чинна редакція — від 23 жовтня 2026 року. Зміни описуються тут же, з датою. Той самий текст — на сторінці «Конфіденційність» у застосунку.

Хто відповідає за дані

Власник і розпорядник персональних даних хмарної Лілейки — Ростислав Муха, фізична особа, автор системи. Звʼязатися: через сайт rostyslav-mukha.dev або GitHub. Обробка ведеться за Законом України «Про захист персональних даних».

Які дані і навіщо

Лілейка зберігає лише те, що потрібно куреню для його роботи. Нічого не збирається «про запас».

Дані	Навіщо	Хто вносить
Прізвище, імʼя, по батькові, дата народження	реєстр куреня, вік для проб і ступенів	провід куреня або імпорт із таблиці куреня
Пошта і телефон	вхід у систему, запрошення, відновлення пароля, звʼязок у курені	провід куреня; сама людина може змінити
Адреса, школа	звʼязок з людиною й облік у курені, якщо край їх веде	провід куреня або сама людина
Контакти батьків: імена й телефони	звʼязок з батьками юнака	провід куреня або сама людина
Додаткові поля краю (наприклад, тип візи)	облік, якого вимагає край куреня	провід куреня або сама людина
Фото	картка учасника, сильветка гуртка	провід куреня або сама людина
Ступінь, історія ступенів, діловодства	реєстр, права в системі	провід куреня
Проба, вмілості, підписи	складання проб і здобуття вмілостей	впорядник, провід
Журнал дій: хто, що й коли змінив (без значень особистих полів)	провід куреня бачить, хто підписав пробу, дав відзначення чи змінив подію	система
Відзначення і перестороги	облік у курені	впорядник, провід
Вкладка: нарахування, внески, пільги з підставою, примітки	облік членських внесків	скарбники, впорядник, провід
Точкування: присутність на подіях, бали з причиною	змагання гуртків; приватні бали КВ	провід гуртка й куреня, КВ
Відповіді на події («Іду», «Можливо», «Не йду»)	хто прийде, черга на місця	сама людина
Членства: курені й гуртки, де людина стояла	історія членства	система
Заявка куреня: імʼя, пошта, телефон, станиця, край, число куреня	розгляд заявки адміністратором	Звʼязковий
Пароль (лише у вигляді хешу), налаштування двофакторного входу, резервні коди (хешовані)	безпека акаунта	сама людина
Сесії: пристрій, час входу, IP-адреса	окремий вихід з кожного пристрою, захист від підбору пароля	система
Сповіщення в застосунку	що сталося і що чекає на тебе	система
Підписка на сповіщення на телефон: адреса push-сервісу, ключі шифрування, назва браузера	доставити сповіщення на телефон	сама людина, вмикаючи їх
Повідомлення про проблему: текст, скриншот, сторінка, версія, роль, ідентифікатор акаунта, браузер	виправити збій	сама людина
Технічні логи запитів	пошук збоїв і атак	система

Лілейка не збирає геолокацію, не ставить рекламних чи аналітичних трекерів і не передає дані третім особам для реклами.

Діти

Більшість людей у реєстрі — юнацтво до 18 років. Їхні дані в систему вносить провід куреня на підставі згоди батьків або законних представників, яку курінь отримує при вступі дитини до Пласту. Подаючи заявку куреня, Звʼязковий підтверджує, що курінь має такі згоди і несе за них відповідальність. Якщо батьки не згодні, курінь не вносить дитину в систему або видаляє її картку.

Хто бачить дані

Права йдуть з ролей у курені, і сервер перевіряє їх при кожній дії:

сама людина бачить свою картку повністю і свою вкладку;
члени куреня бачать списки учасників і картки одне одного: імʼя, гурток, ступінь, ролі, день народження, проби й вмілості, відзначення і перестороги, а також відповіді на події, які їм видно. Не бачать чужої вкладки і приватних балів КВ;
впорядник бачить і редагує картки свого гуртка, веде реєстр, вкладку і точкування свого гуртка;
скарбники й судді бачать вкладку чи точкування свого гуртка або куреня;
Звʼязковий бачить увесь курінь;
адміністратор системи бачить усе, що потрібно для підтримки, і його дії пишуться в журнал.

Особисті дані — пошту, телефон, дату народження, адресу, школу, контакти батьків і додаткові поля краю — кожен курінь відкриває сам, у налаштуваннях «Права й видимість». Сервер віддає приховане порожнім, тож воно не потрапляє ні на картку, ні в список, ні у вивантаження. Якщо курінь нічого не міняв, діє таке:

Дані	Хто бачить, крім самої людини
Пошта й телефон	КВ, курінний і провід куреня — увесь курінь; гуртковий, провід гуртка й юнаки — лише свій гурток
Дата народження з роком	лише КВ (Звʼязковий, впорядники, інструктори)
День і місяць народження	усі члени куреня — для привітань
Адреса, школа, контакти батьків, поля краю	Звʼязковий і впорядник гуртка людини

Звʼязковий і адміністратор бачать усе в будь-якому разі. Які з цих полів курінь взагалі веде, вирішують край і курінь; якщо поле сховали, вже записане значення лишається в системі, але на картці й у формі не показується.

Журнал дій записує, хто, що й коли змінив: підпис проби, відзначення, пересторогу, подію, офіс, налаштування. Значень особистих полів у ньому немає — лише позначка «змінено». Бачать журнал ті, кому курінь дозволив; за замовчуванням — уся КВ.

Інші курені нічого не бачать. Людина, яка перейшла в інший курінь, забирає історію з собою; старий курінь бачить лише те, що було в його час.

Фото лежать у закритому сховищі. Лілейка показує їх за підписаними посиланнями, які діють до двох годин; браузер може тримати вже відкрите фото в кеші. Не завантажуй фото, яке не можна показати всьому куреню.

Повідомлення про проблему стає записом (issue) у публічному репозиторії Лілейки на GitHub. Імені й пошти там немає, але текст, скриншот і ідентифікатор акаунта видно всім. Посилання на скриншот діє рік. Не додавай скриншот, на якому видно чужі дані.

Скільки зберігаємо

Картка, проба, вмілості, історія — поки людина є в системі. Після виходу з куреня картка лишається з історією, щоб людина могла продовжити в іншому курені; видалити її повністю можна на запит (нижче).
Вкладка і точкування — поки існує курінь: це його облік, тому записи не видаляються, а лише позначаються скасованими.
Журнал дій (разом з історією підписів проб і вмілостей) — 365 днів, далі видаляється автоматично.
Заявки куренів і запрошення, які не завершились — 30 днів після відхилення, використання чи прострочення, далі видаляються автоматично.
Зроблені задачі — сходять в архів і видаляються з нього за налаштуваннями куреня (типово — через 30 днів в архів, ще через рік назавжди).
Сповіщення в застосунку — 7 днів після прочитання, непрочитані — 30 днів.
Сесії — до виходу або 7 днів без активності; запис про сесію видаляється ще через 30 днів. Довірений пристрій для двофакторного входу — 7 днів.
Посилання на календар (підписка в Google, Apple, Outlook) — поки ти його не вимкнеш чи не заміниш. Зберігаємо лише відбиток посилання, не саме посилання, і коли календар востаннє його оновлював. Вимкнене посилання ще 90 днів показує в календарі повідомлення, що воно не діє, далі запис видаляється.
Підписка на сповіщення на телефон — поки ти їх не вимкнеш, не вийдеш на телефоні або push-сервіс не скаже, що підписки більше немає.
Повідомлення про проблеми — на GitHub, поки їх не видалить автор.
Технічні логи — до 365 днів у сервісі моніторингу, з масковими чутливими полями.

Докладніше про строки — Що система зберігає і як довго.

Де зберігаємо

Хмарна Лілейка працює на Microsoft Azure за Cloudflare. Інші сервіси, яким іде частина даних:

Resend надсилає листи (запрошення, відновлення пароля): отримує адресу і текст листа;
Application Insights (Microsoft) — помилки і технічні логи;
GitHub — повідомлення про проблеми (див. вище);
push-сервіси Google, Apple, Mozilla чи Microsoft — залежно від браузера телефона — доставляють сповіщення. Вміст сповіщення зашифрований для твого пристрою, сервіс бачить лише, що воно було.

Раз на добу сервер надсилає на сервіс статусу автора системи анонімний пінг: випадковий ідентифікатор інсталяції, версію, коди країв і кількості — куренів, членів, користувачів, що входили за 7 і 30 днів, запитів і помилок. Персональних даних у ньому немає: ні імен, ні пошт, ні назв куренів, а IP-адресу сервіс не зберігає.

Інших сторонніх сервісів немає. Автор системи має технічний доступ до бази для підтримки і резервних копій. Резервні копії зберігаються в тій самій хмарі і живуть стільки ж, скільки дані.

Файли на твоєму пристрої

Лілейка ставить три cookie, усі лише для входу: сесія входу (7 днів), довірений пристрій для двофакторного входу (7 днів) і збережені акаунти, якщо ти тримаєш кілька акаунтів на одному пристрої. У сховищі браузера лишаються тема, стан входу (без пароля й токенів), останній курінь, розкладка плиток, вибрані колонки реєстру і вигляд календаря. Сторонніх cookie немає, тому банера «прийняти cookie» теж немає.

Твої права

Ти можеш:

подивитися все, що система про тебе зберігає: картка учасника і налаштування акаунта;
виправити контакти й пароль самостійно; імʼя, ступінь, гурток виправляє провід куреня на твоє прохання;
забрати свої дані: провід куреня експортує реєстр у таблицю або PDF-звіт;
видалити акаунт і картку повністю: напиши Звʼязковому куреня або авторові системи. Картку видаляє Звʼязковий або адміністратор, акаунт — адміністратор; журнал дій, який згадує тебе, лишає імʼя знімком до кінця свого строку;
відкликати згоду на обробку даних дитини: тоді картка видаляється так само.

Запит виконується протягом 30 днів. Якщо вважаєш, що з даними поводяться неправильно, напиши авторові; ти також маєш право звернутися до Уповноваженого Верховної Ради з прав людини.

Безпека

Паролі зберігаються лише хешем. Звʼязковому й адміністратору обовʼязковий двофакторний вхід. Кожен пристрій — окрема сесія, яку можна завершити. Спроби входу обмежуються. Сервер перевіряє права при кожній дії. Вразливості приймаються приватно — Політика безпеки.

Власний сервер

Якщо система стоїть на сервері куреня чи станиці, автор системи не має доступу до тих даних і не відповідає за них. Хто тримає сервер, той і власник даних; він може взяти цей текст за основу своєї політики. Анонімний щоденний пінг там теж увімкнений; вимикає його PROJECTK_TELEMETRY=false у .env — див. Телеметрія.