Политика за поверителност

1.1 Администратор на данни

Администраторът на данни по смисъла на Регламент (ЕС) 2016/679 (GDPR) е: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Виена, Австрия. Номер в търговския регистър: FN 618845t (Търговски съд на Виена). Идентификационен номер по ДДС: ATU80258169. Имейл: legal@hanc.ai. Уебсайт: hanc.ai

1.2 Контакт за защита на данните

За въпроси относно защитата на данните: datenschutz@hanc.ai. Поща: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Виена, Австрия.

1.3 Обхват

Настоящата Политика за поверителност се прилага за: (a) уебсайта hanc.ai, (b) платформата app.hanc.ai, (c) всички свързани услуги, API и интеграции.

1.4 Правна рамка

GDPR, австрийския DSG 2018, германския BDSG, германския TDDDG, швейцарския FADP, EU AI Act, CCPA/CPRA, UAE PDPL.

Следното предоставя обобщен преглед на дейностите ни по обработка на данни. Подробна информация е предоставена в разделите по-долу.

Посещения на уебсайта: IP адрес (анонимизиран), браузър, посетени страници, референт. Правно основание: Легитимен интерес (чл. 6, ал. 1, буква „f“ GDPR). Съхранение: 90 дни.

Контактна форма / имейл: Име, имейл, компания, съдържание на съобщението. Правно основание: Договор (чл. 6, ал. 1, буква „b“) или легитимен интерес (чл. 6, ал. 1, буква „f“). Съхранение: 6 месеца след разрешаване.

Създаване на акаунт: Име, имейл, компания, бранш, адрес. Правно основание: Договор (чл. 6, ал. 1, буква „b“ GDPR). Съхранение: Продължителност на акаунта + 7 години.

Конфигурация на агента: Име на бизнеса, услуги, работно време, поздрави, бранш. Правно основание: Договор (чл. 6, ал. 1, буква „b“ GDPR). Съхранение: Продължителност на акаунта.

Гласови обаждания: Номер на обаждащия се, метаданни на обаждането, аудио (ако записът е активиран), транскрипции. Правно основание: Договор (чл. 6, ал. 1, буква „b“) + легитимен интерес (чл. 6, ал. 1, буква „f“). Съхранение: По подразбиране 30 дни (конфигурируемо от клиента).

Обработка на плащания: Начин на плащане (чрез Stripe), вид план, фактури. Правно основание: Договор (чл. 6, ал. 1, буква „b“ GDPR). Съхранение: 7 години (австрийски BAO § 132).

Анализи: Използване на функции, данни за сесии, показатели за производителност. Правно основание: Легитимен интерес (чл. 6, ал. 1, буква „f“ GDPR). Съхранение: 26 месеца.

Маркетинг / Бюлетин: Имейл, име, предпочитания. Правно основание: Съгласие (чл. 6, ал. 1, буква „a“ GDPR). Съхранение: До оттегляне на съгласието.

3.1 Минимизиране на данните

Събираме лични данни само до степента, необходима за описаните цели. Обработката е обвързана с конкретна цел (чл. 5, ал. 1, букви „б“ и „в“ GDPR).

3.2 Ограничение на съхранението

Личните данни се съхраняват само толкова дълго, колкото е необходимо, или колкото изискват законовите задължения за съхранение.

3.3 Сигурност на данните

Прилагаме подходящи технически и организационни мерки (чл. 32 GDPR).

4.1 Лог файлове на сървъра

При посещение на нашия уебсайт събираме: IP адрес (анонимизиран), дата/час, URL, обем на данните, HTTP статус, браузър, операционна система, препращащ адрес. Правно основание: чл. 6, ал. 1, буква „е“ GDPR. Съхранение: 30 дни.

4.2 Контакт по имейл

Събирани данни: имейл адрес, име, компания, съдържание, дата/час. Правно основание: чл. 6, ал. 1, буква „б“ или „е“ GDPR. Съхранение: 6 месеца след разрешаване на запитването.

4.3 Форма за контакт

Същото като при имейл, плюс избор на тема и времеви печат на съгласието по GDPR. HubSpot като обработващ данните (има сключено споразумение за обработка на данни).

4.4 Бюлетин

Ако е приложимо: имейл, име, компания. Изисква се двойно потвърждение (double opt-in). Brevo (Sendinblue) като обработващ данните. Линк за отписване във всеки имейл. Правно основание: чл. 6, ал. 1, буква „а“ GDPR.

5.1 Регистрация

Събирани данни: имейл, парола (хеширана), име, наименование на компанията, бранш, бизнес адрес. Правно основание: чл. 6, ал. 1, буква „б“ GDPR.

5.2 Конфигурация на агент

Събирани данни: наименование на бизнеса, услуги, работно време, текст на приветствие, категория на бранша. Цел: създаване и работа на агента.

5.3 Фактуриране

Stripe като обработващ плащанията. Ние съхраняваме: вид план, период на фактуриране, история на фактурите. Stripe съхранява: данни за метода на плащане (PCI DSS Level 1). Правно основание: чл. 6, ал. 1, буква „б“ GDPR.

5.4 Анализ на употребата

PostHog за бизнес анализи. Данни: използване на функции, данни за сесии, показатели за представянето на агента. Правно основание: чл. 6, ал. 1, буква „е“ GDPR.

5.5 Услуга за демонстрационно обратно обаждане

Когато заявите демонстрационно обратно обаждане, обработваме телефонния ви номер единствено с цел иницииране на еднократно демонстрационно обаждане от нашия AI гласов агент. Правно основание: Вашето изрично съгласие (чл. 6, ал. 1, буква „а“ GDPR). Обработвани данни: телефонен номер във формат E.164. Съхранение: автоматично изтриване в рамките на 24 часа. Подобработващ: Twilio Inc. (САЩ), съгласно Стандартни договорни клаузи. Оповестяване за AI съгласно EU AI Act, чл. 50.

6.1 Данни за обажданията

Обработваме: телефонния номер на обаждащия се, времеви печат на обаждането, продължителност на обаждането, ID на агента, резултат от обаждането. Правно основание: чл. 6, ал. 1, буква „б“ GDPR (изпълнение на договор) и чл. 6, ал. 1, буква „е“ GDPR (легитимен интерес).

6.2 Гласови данни

Обработка на говор в текст (speech-to-text) в реално време чрез Azure (регион ЕС). Гласовото аудио се обработва в паметта и не се съхранява постоянно, освен ако записването на обаждания не е включено от клиента.

6.3 Записи на обаждания

По избор, контролирано от клиента. Съхраняват се криптирани в Azure EU. Съхранение: определено от клиента (по подразбиране 90 дни). Клиентът носи отговорност за спазването на местните закони относно записването на обаждания.

6.4 Обработка чрез AI

Данните от разговорите се обработват от Azure OpenAI (регион ЕС). Няма обучение върху данни на клиенти. Данните се обработват съгласно споразумението за обработка на данни на Microsoft.

6.5 Транскрипти

Съхраняват се криптирани. Достъпни за клиента чрез таблото за управление. Съхранение: определено от клиента.

6.6 EU AI Act (чл. 50)

Обаждащите се биват информирани, че разговарят с AI система в началото на всяко обаждане.

7.1 Основни бисквитки

Управление на сесията, автентикация, предпочитание за език. Не изисква съгласие (TDDDG, § 25, ал. 2).

7.2 Аналитични бисквитки

PostHog (собствен хостинг / ЕС). Изисква се съгласие (TDDDG, § 25, ал. 1). Банер за бисквитки с opt-in.

7.3 Маркетингови бисквитки

Не се използват към момента на стартиране. Ако бъдат добавени: ще се изисква съгласие, посочено в банера за бисквитки.

7.4 Банер за бисквитки

Платформа за управление на съгласието. Детайлен opt-in/opt-out. Съгласието се съхранява за 12 месеца. Оттегляне е възможно по всяко време.

7.5 Списък с бисквитки

hanc_session: Управление на сесията — поддържа състоянието на потребителската сесия. Продължителност: Сесия. Тип: Основна.

hanc_locale: Езиково предпочитание — съхранява избрания език на интерфейса. Продължителност: 1 година. Тип: Основна.

hanc_consent: Състояние на съгласие за бисквитки — записва избора за съгласие. Продължителност: 1 година. Тип: Основна.

_ph_*: Анализи на PostHog — проследява анонимизирани модели на употреба. Продължителност: 1 година. Тип: Аналитична.

_hs*: Проследяване на HubSpot — осигурява CRM интеграция. Продължителност: 13 месеца. Тип: Маркетингова.

stripe_*: Обработка на плащания — поддържа сигурни сесии на Stripe. Продължителност: Сесия. Тип: Основна.

Използваме следните подобработващи:

Microsoft (Azure): Облачен хостинг, LLM, STT, TTS. Локация: Дъблин, Ирландия / САЩ. Цел: Инфраструктура, обработка на AI. Гаранция: хостинг в ЕС (Azure West Europe), чл. 28 DPA, EU-US DPF.

LiveKit Inc.: Гласова връзка в реално време / WebRTC. Локация: Сан Хосе, САЩ. Цел: Инфраструктура за обаждания. Гаранция: чл. 46(2)(c) SCCs, релейни сървъри в ЕС.

Twilio: Телефония (SIP/PSTN). Локация: Дъблин, Ирландия / САЩ. Цел: Телефонни обаждания. Гаранция: хостинг в ЕС, чл. 28 DPA, EU-US DPF.

ElevenLabs Inc.: TTS/STT (по избор). Локация: Ню Йорк, САЩ. Гаранция: чл. 46(2)(c) SCCs.

Cartesia AI, Inc.: TTS/STT (по избор). Локация: Сан Франциско, САЩ. Гаранция: чл. 46(2)(c) SCCs.

PostHog Inc.: Анализи. Локация: Сан Франциско, САЩ. Гаранция: опция за самостоятелен хостинг в ЕС, чл. 46(2)(c) SCCs.

HubSpot Ireland Ltd: CRM. Локация: Дъблин, Ирландия. Гаранция: хостинг в ЕС, чл. 28 DPA.

Brevo (Sendinblue SAS): Имейл. Локация: Париж, Франция. Гаранция: хостинг в ЕС, чл. 28 DPA.

Stripe Payments Europe Ltd: Плащания. Локация: Дъблин, Ирландия. Гаранция: PCI DSS Level 1, хостинг в ЕС.

Съгласно GDPR имате следните права: право на достъп (чл. 15), право на коригиране (чл. 16), право на изтриване (чл. 17), право на ограничаване на обработването (чл. 18), право на преносимост на данните (чл. 20), право на възражение (чл. 21), право на оттегляне на съгласието (чл. 7, ал. 3) и право да подадете жалба до надзорен орган (чл. 77).

Контакт: datenschutz@hanc.ai

Надзорен орган: Австрийски орган за защита на данните (Datenschutzbehörde), Barichgasse 40-42, 1030 Виена, dsb@dsb.gv.at

Лог файлове на сървъра: 30 дни (легитимен интерес).

Запитвания през контактна форма: 6 месеца след разрешаване (договор/легитимен интерес).

Данни за акаунта: Продължителност на договора + 7 години (договор + австрийски BAO § 132).

Фактуриране / фактури: 7 години (австрийски BAO § 132).

Записи на обаждания: Определено от клиента, по подразбиране 90 дни (изпълнение на договора).

Транскрипции на обаждания: Определено от клиента, по подразбиране 90 дни (изпълнение на договора).

Аналитични данни: 26 месеца (легитимен интерес).

Записи за съгласие с бисквитки: 12 месеца (TDDDG).

11.1 GDPR (ЕС/ЕИП)

Основна рамка за съответствие. Всички данни се хостват в ЕС (Azure West Europe).

11.2 Австрийски DSG 2018

Допълнителни национални разпоредби за Австрия.

11.3 Германски BDSG

Допълнителни разпоредби за германски потребители.

11.4 Швейцарски FADP

Съответствие за швейцарски потребители. Адекватността на данните е призната от ЕС.

11.5 EU AI Act

Задължения за прозрачност по чл. 50. Уведомяване на обаждащия се в началото на разговора.

11.6 CCPA/CPRA (Калифорния)

Без продажба на лични данни. Право на информация, изтриване, отказ. Контакт: privacy@hanc.ai с тема „CCPA Request“.

11.7 PDPL (ОАЕ/Саудитска Арабия)

Съответствие за потребители от региона на Персийския залив. Уведомление на арабски език за AR локали.

Криптиране: TLS 1.3 при пренос, AES-256 при съхранение.

Контрол на достъпа: Базиран на роли, многофакторна автентикация за административен достъп.

Инфраструктура: Azure West Europe с геоизбыточност (geo-redundancy).

Наблюдение: Автоматизирано откриване на заплахи, системи за откриване на проникване.

Реакция при инциденти: Уведомяване в срок от 72 часа съгласно чл. 33 GDPR.

Предстоящи сертификации: SOC 2 Type II, ISO 27001.

Възможно е периодично да актуализираме тази Политика за поверителност. Съществените промени ще бъдат съобщавани по имейл на регистрираните потребители, както и чрез видимо съобщение на нашия уебсайт. Датата на последната редакция е посочена в началото на тази политика.