Политика за поверителност

1. Администратор на данни и информация за контакт

1.1 Администратор на данни

Администраторът на данни по смисъла на Регламент (ЕС) 2016/679 (GDPR) е: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Виена, Австрия. Номер в търговския регистър: FN 618845t (Търговски съд на Виена). Идентификационен номер по ДДС: ATU80258169. Имейл: legal@hanc.ai. Уебсайт: hanc.ai

1.2 Контакт за защита на данните

За въпроси относно защитата на данните: datenschutz@hanc.ai. Поща: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Виена, Австрия.

1.3 Обхват

Настоящата Политика за поверителност се прилага за: (a) уебсайта hanc.ai, (b) платформата app.hanc.ai, (c) всички свързани услуги, API и интеграции.

1.4 Правна рамка

GDPR, австрийския DSG 2018, германския BDSG, германския TDDDG, швейцарския FADP, EU AI Act.

2. Обобщение на дейностите по обработка

Следното предоставя обобщен преглед на дейностите ни по обработка на данни. Подробна информация е предоставена в разделите по-долу.

Посещения на уебсайта: IP адрес (анонимизиран), браузър, посетени страници, референт. Правно основание: Легитимен интерес (чл. 6, ал. 1, буква „f“ GDPR). Съхранение: 90 дни.

Контактна форма / имейл: Име, имейл, компания, съдържание на съобщението. Правно основание: Договор (чл. 6, ал. 1, буква „b“) или легитимен интерес (чл. 6, ал. 1, буква „f“). Съхранение: 6 месеца след разрешаване.

Създаване на акаунт: Име, имейл, компания, бранш, адрес. Правно основание: Договор (чл. 6, ал. 1, буква „b“ GDPR). Съхранение: Продължителност на акаунта + 7 години.

Конфигурация на агента: Име на бизнеса, услуги, работно време, поздрави, бранш. Правно основание: Договор (чл. 6, ал. 1, буква „b“ GDPR). Съхранение: Продължителност на акаунта.

Гласови обаждания: Номер на обаждащия се, метаданни на обаждането, аудио (ако записът е активиран), транскрипции. Правно основание: Договор (чл. 6, ал. 1, буква „b“) + легитимен интерес (чл. 6, ал. 1, буква „f“). Съхранение: По подразбиране 30 дни (конфигурируемо от клиента).

Обработка на плащания: Начин на плащане (чрез Stripe), вид план, фактури. Правно основание: Договор (чл. 6, ал. 1, буква „b“ GDPR). Съхранение: 7 години (австрийски BAO § 132).

Анализи: Използване на функции, данни за сесии, показатели за производителност. Правно основание: Легитимен интерес (чл. 6, ал. 1, буква „f“ GDPR). Съхранение: 26 месеца.

Маркетинг / Бюлетин: Имейл, име, предпочитания. Правно основание: Съгласие (чл. 6, ал. 1, буква „a“ GDPR). Съхранение: До оттегляне на съгласието.

3. Принципи на обработка на данни

3.1 Минимизиране на данните

Събираме лични данни само до степента, необходима за описаните цели. Обработката е обвързана с конкретна цел (чл. 5, ал. 1, букви „б“ и „в“ GDPR).

3.2 Ограничение на съхранението

Личните данни се съхраняват само толкова дълго, колкото е необходимо, или колкото изискват законовите задължения за съхранение.

3.3 Сигурност на данните

Прилагаме подходящи технически и организационни мерки (чл. 32 GDPR).

4. Обработка при посещение на уебсайта

4.1 Лог файлове на сървъра

При посещение на нашия уебсайт събираме: IP адрес (анонимизиран), дата/час, URL, обем на данните, HTTP статус, браузър, операционна система, препращащ адрес. Правно основание: чл. 6, ал. 1, буква „е“ GDPR. Съхранение: 30 дни.

4.2 Контакт по имейл

Събирани данни: имейл адрес, име, компания, съдържание, дата/час. Правно основание: чл. 6, ал. 1, буква „б“ или „е“ GDPR. Съхранение: 6 месеца след разрешаване на запитването.

4.3 Форма за контакт

Същото като при имейл, плюс избор на тема и времеви печат на съгласието по GDPR. HubSpot като обработващ данните (има сключено споразумение за обработка на данни).

4.4 Бюлетин

Ако е приложимо: имейл, име, компания. Изисква се двойно потвърждение (double opt-in). Brevo (Sendinblue) като обработващ данните. Линк за отписване във всеки имейл. Правно основание: чл. 6, ал. 1, буква „а“ GDPR.

5. Обработка при използване на платформата

5.1 Регистрация

Събирани данни: имейл, парола (хеширана), име, наименование на компанията, бранш, бизнес адрес. Правно основание: чл. 6, ал. 1, буква „б“ GDPR.

5.2 Конфигурация на агент

Събирани данни: наименование на бизнеса, услуги, работно време, текст на приветствие, категория на бранша. Цел: създаване и работа на агента.

5.3 Фактуриране

Stripe като обработващ плащанията. Ние съхраняваме: вид план, период на фактуриране, история на фактурите. Stripe съхранява: данни за метода на плащане (PCI DSS Level 1). Правно основание: чл. 6, ал. 1, буква „б“ GDPR.

5.4 Анализ на употребата

PostHog за бизнес анализи. Данни: използване на функции, данни за сесии, показатели за представянето на агента. Правно основание: чл. 6, ал. 1, буква „е“ GDPR.

5.5 Услуга за демонстрационно обратно обаждане

Когато заявите демонстрационно обратно обаждане, обработваме телефонния ви номер единствено с цел иницииране на еднократно демонстрационно обаждане от нашия AI гласов агент. Правно основание: Вашето изрично съгласие (чл. 6, ал. 1, буква „а“ GDPR). Обработвани данни: телефонен номер във формат E.164. Съхранение: за срока на договорното отношение; изтриване при изтриване на акаунта. Получатели: категориите подизпълнители, описани по-горе; актуалният списък е достъпен при поискване на privacy@hanc.ai. Оповестяване за AI съгласно EU AI Act, чл. 50.

6. Обработка на гласови обаждания и AI взаимодействия

6.1 Данни за обажданията

Обработваме: телефонния номер на обаждащия се, времеви печат на обаждането, продължителност на обаждането, ID на агента, резултат от обаждането. Правно основание: чл. 6, ал. 1, буква „б“ GDPR (изпълнение на договор) и чл. 6, ал. 1, буква „е“ GDPR (легитимен интерес).

6.2 Гласови данни

Обработка на говор в текст (speech-to-text) в реално време чрез Azure (регион ЕС). Гласовото аудио се обработва в паметта и не се съхранява постоянно, освен ако записването на обаждания не е включено от клиента.

6.3 Записи на обаждания

По избор, контролирано от клиента. Съхраняват се криптирани в Azure EU. Срок на съхранение: за срока на договорното отношение; не се прилага автоматично изтичане; изтриване при изтриване на акаунта или при поискване. Клиентът носи отговорност за спазването на местните закони относно записването на обаждания.

6.4 Обработка чрез AI

Данните от разговорите се обработват от Azure OpenAI (регион ЕС). Няма обучение върху данни на клиенти. Данните се обработват съгласно споразумението за обработка на данни на Microsoft.

6.5 Транскрипти

Съхраняват се криптирани. Достъпни за клиента чрез таблото за управление. Срок на съхранение: за срока на договорното отношение; не се прилага автоматично изтичане; изтриване при изтриване на акаунта или при поискване.

6.6 EU AI Act (чл. 50)

Обаждащите се биват информирани, че разговарят с AI система в началото на всяко обаждане.

7. Бисквитки и подобни технологии

7.1 Основни бисквитки

Управление на сесията, автентикация, предпочитание за език. Не изисква съгласие (TDDDG, § 25, ал. 2).

7.2 Аналитични бисквитки

PostHog Cloud EU (Франкфурт). Изисква се съгласие (TDDDG, § 25, ал. 1). Банер за бисквитки с opt-in.

7.3 Маркетингови бисквитки

Не се използват към момента на стартиране. Ако бъдат добавени: ще се изисква съгласие, посочено в банера за бисквитки.

7.4 Банер за бисквитки

Платформа за управление на съгласието. Детайлен opt-in/opt-out. Съгласието се съхранява за 12 месеца. Оттегляне е възможно по всяко време.

7.5 Списък с бисквитки

hanc_session: Управление на сесията — поддържа състоянието на потребителската сесия. Продължителност: Сесия. Тип: Основна.

hanc_locale: Езиково предпочитание — съхранява избрания език на интерфейса. Продължителност: 1 година. Тип: Основна.

hanc_consent: Състояние на съгласие за бисквитки — записва избора за съгласие. Продължителност: 1 година. Тип: Основна.

_ph_*: Анализи на PostHog — проследява анонимизирани модели на употреба. Продължителност: 1 година. Тип: Аналитична.

_hs*: Проследяване на HubSpot — осигурява CRM интеграция. Продължителност: 13 месеца. Тип: Маркетингова.

stripe_*: Обработка на плащания — поддържа сигурни сесии на Stripe. Продължителност: Сесия. Тип: Основна.

8. Услуги на трети страни и трансфери на данни

Използваме доставчици на услуги в категориите хостинг, база данни, AI обработка, телефония, плащания, имейл и анализи. Подробният списък с подизпълнители е достъпен през нашия Trust Center: security.hanc.ai.

9. Вашите права като субект на данни

Съгласно GDPR имате следните права: право на достъп (чл. 15), право на коригиране (чл. 16), право на изтриване (чл. 17), право на ограничаване на обработването (чл. 18), право на преносимост на данните (чл. 20), право на възражение (чл. 21), право на оттегляне на съгласието (чл. 7, ал. 3) и право да подадете жалба до надзорен орган (чл. 77).

Контакт: datenschutz@hanc.ai

Надзорен орган: Австрийски орган за защита на данните (Datenschutzbehörde), Barichgasse 40-42, 1030 Виена, dsb@dsb.gv.at

10. Периоди на съхранение на данни

Лог файлове на сървъра: 30 дни (легитимен интерес).

Запитвания през контактна форма: 6 месеца след разрешаване (договор/легитимен интерес).

Данни за акаунта: Продължителност на договора + 7 години (договор + австрийски BAO § 132).

Фактуриране / фактури: 7 години (австрийски BAO § 132).

Записи на обаждания: срокът на договора, без автоматично изтичане (изпълнение на договора).

Транскрипции на обаждания: срокът на договора, без автоматично изтичане (изпълнение на договора).

Аналитични данни: 26 месеца (легитимен интерес).

Записи за съгласие с бисквитки: 12 месеца (TDDDG).

11. Международни трансфери на данни и съответствие

11.1 GDPR (ЕС/ЕИП)

Основна рамка за съответствие. Приложната и гласовата инфраструктура се хостват в Hetzner (Германия), основната база данни в MongoDB Atlas (Франкфурт), а услугите на Microsoft Azure работят в региони в ЕС; спомагателни AI задачи могат да се обработват извън ЕИП, като всяко предаване е документирано по доставчик в нашата документация за съответствие на security.hanc.ai.

11.2 Австрийски DSG 2018

Допълнителни национални разпоредби за Австрия.

11.3 Германски BDSG

Допълнителни разпоредби за германски потребители.

11.4 Швейцарски FADP

Съответствие за швейцарски потребители. Адекватността на данните е призната от ЕС.

11.5 EU AI Act

Задължения за прозрачност по чл. 50. Уведомяване на обаждащия се в началото на разговора.

12. Сигурност на данните

Криптиране: TLS 1.3 при пренос, AES-256 при съхранение.

Контрол на достъпа: Базиран на роли, многофакторна автентикация за административен достъп.

Инфраструктура: Hetzner (Германия) и региони на Microsoft Azure в ЕС.

Наблюдение: предотвратяване на прониквания на ниво сървър и наблюдението, осигурявано от нашите доставчици на инфраструктура.

Реакция при инциденти: Уведомяване в срок от 72 часа съгласно чл. 33 GDPR.

Сертификати: нашите доставчици на инфраструктура са сертифицирани (Hetzner: ISO 27001; Stripe: PCI DSS ниво 1). Самата Hanc.AI не притежава сертификация SOC 2 или ISO 27001.

13. Промени в тази Политика за поверителност

Възможно е периодично да актуализираме тази Политика за поверителност. Съществените промени ще бъдат съобщавани по имейл на регистрираните потребители, както и чрез видимо съобщение на нашия уебсайт. Датата на последната редакция е посочена в началото на тази политика.

Обработването от името на бизнес клиенти се урежда от нашето споразумение за обработка на данни (DPA), което е част от Общите условия, представя се при регистрация и е достъпно в клиентския акаунт и в нашия Trust Center: security.hanc.ai.