Политика конфиденциальности

1.1 Оператор данных

Оператором данных в значении Регламента (ЕС) 2016/679 (GDPR) является: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienna, Austria. Номер в реестре компаний: FN 618845t (Коммерческий суд Вены). VAT ID: ATU80258169. Email: legal@hanc.ai. Web: hanc.ai

1.2 Контакт по вопросам конфиденциальности

По вопросам защиты данных: datenschutz@hanc.ai. Почта: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Vienna, Austria.

1.3 Сфера применения

Настоящая Политика конфиденциальности применяется к: (a) веб-сайту hanc.ai, (b) платформе app.hanc.ai, (c) всем связанным сервисам, API и интеграциям.

1.4 Правовая база

GDPR, австрийский DSG 2018, немецкий BDSG, немецкий TDDDG, швейцарский FADP, EU AI Act, CCPA/CPRA, PDPL ОАЭ.

Ниже приведён общий обзор наших операций по обработке данных. Подробная информация приведена в разделах ниже.

Посещения веб-сайта: IP-адрес (анонимизированный), браузер, посещённые страницы, реферер. Правовое основание: законный интерес (Art. 6(1)(f) GDPR). Хранение: 90 дней.

Контактная форма / email: имя, email, компания, содержание сообщения. Правовое основание: договор (Art. 6(1)(b)) или законный интерес (Art. 6(1)(f)). Хранение: 6 месяцев после разрешения.

Создание учётной записи: имя, email, компания, отрасль, адрес. Правовое основание: договор (Art. 6(1)(b) GDPR). Хранение: срок действия учётной записи + 7 лет.

Настройка агента: название компании, услуги, часы, приветствия, отрасль. Правовое основание: договор (Art. 6(1)(b) GDPR). Хранение: срок действия учётной записи.

Голосовые звонки: номер звонящего, метаданные звонка, аудио (если включена запись), транскрипты. Правовое основание: договор (Art. 6(1)(b)) + законный интерес (Art. 6(1)(f)). Хранение: 30 дней по умолчанию (настраивается клиентом).

Обработка платежей: способ оплаты (через Stripe), тип плана, счета. Правовое основание: договор (Art. 6(1)(b) GDPR). Хранение: 7 лет (австрийский BAO § 132).

Аналитика: использование функций, данные сессий, показатели производительности. Правовое основание: законный интерес (Art. 6(1)(f) GDPR). Хранение: 26 месяцев.

Маркетинг / Рассылка: email, имя, настройки. Правовое основание: согласие (Art. 6(1)(a) GDPR). Хранение: до отзыва согласия.

3.1 Минимизация данных

Мы собираем персональные данные только в объёме, необходимом для описанных целей. Обработка ограничена целью (ст. 5(1)(b) и (c) GDPR).

3.2 Ограничение хранения

Персональные данные хранятся только столько, сколько это необходимо, либо столько, сколько требуют законодательные обязательства по хранению.

3.3 Безопасность данных

Мы применяем соответствующие технические и организационные меры (ст. 32 GDPR).

4.1 Файлы журнала сервера

При посещении нашего веб-сайта мы собираем: IP-адрес (анонимизированный), дату/время, URL, объём данных, статус HTTP, браузер, ОС, реферер. Правовое основание: ст. 6(1)(f) GDPR. Срок хранения: 30 дней.

4.2 Связь по электронной почте

Собираемые данные: адрес электронной почты, имя, компания, содержание, дата/время. Правовое основание: ст. 6(1)(b) или (f) GDPR. Срок хранения: 6 месяцев после разрешения запроса.

4.3 Контактная форма

То же, что и для электронной почты, плюс выбор темы и отметка времени согласия по GDPR. HubSpot как обработчик (заключено DPA).

4.4 Рассылка

При необходимости: электронная почта, имя, компания. Обязательный двойной опт-ин. Brevo (Sendinblue) как обработчик. Ссылка для отписки в каждом письме. Правовое основание: ст. 6(1)(a) GDPR.

5.1 Регистрация

Собираемые данные: электронная почта, пароль (хешированный), имя, название компании, отрасль, адрес компании. Правовое основание: Art. 6(1)(b) GDPR.

5.2 Настройка агента

Собираемые данные: название компании, услуги, рабочие часы, текст приветствия, категория отрасли. Цель: создание и работа агента.

5.3 Выставление счетов

Stripe в качестве платёжного процессора. Мы храним: тип плана, расчётный цикл, историю счетов. Stripe хранит: данные способа оплаты (PCI DSS Level 1). Правовое основание: Art. 6(1)(b) GDPR.

5.4 Аналитика использования

PostHog для бизнес-аналитики. Данные: использование функций, данные сессий, показатели производительности агента. Правовое основание: Art. 6(1)(f) GDPR.

5.5 Служба демонстрационного обратного звонка

Когда вы запрашиваете демонстрационный обратный звонок, мы обрабатываем ваш номер телефона исключительно с целью инициирования одного демонстрационного звонка от нашего голосового AI-агента. Правовое основание: ваше явное согласие (Art. 6(1)(a) GDPR). Обрабатываемые данные: номер телефона в формате E.164. Хранение: автоматически удаляется в течение 24 часов. Субпроцессор: Twilio Inc. (US) в соответствии со Стандартными договорными положениями. Раскрытие информации об AI согласно EU AI Act Art. 50.

6.1 Данные о звонках

Мы обрабатываем: номер телефона абонента, временную метку звонка, длительность звонка, ID агента, результат звонка. Правовое основание: ст. 6(1)(b) GDPR (исполнение договора) и ст. 6(1)(f) GDPR (законный интерес).

6.2 Голосовые данные

Обработка речи в текст в реальном времени через Azure (регион ЕС). Аудио голоса обрабатывается в памяти и не хранится постоянно, если клиент не включил запись звонков.

6.3 Записи звонков

Опционально, контролируется клиентом. Хранятся в зашифрованном виде в Azure ЕС. Срок хранения: определяется клиентом (по умолчанию 90 дней). Клиент несёт ответственность за соблюдение местных законов о записи звонков.

6.4 Обработка ИИ

Данные разговоров обрабатываются Azure OpenAI (регион ЕС). Никакого обучения на данных клиентов. Данные обрабатываются в соответствии с Microsoft DPA.

6.5 Транскрипты

Хранятся в зашифрованном виде. Доступны клиенту через панель управления. Срок хранения: определяется клиентом.

6.6 EU AI Act (ст. 50)

Абоненты информируются о том, что они говорят с системой ИИ, в начале каждого звонка.

7.1 Необходимые файлы cookie

Управление сессией, аутентификация, языковые настройки. Согласие не требуется (TDDDG Section 25(2)).

7.2 Аналитические файлы cookie

PostHog (self-hosted / EU). Требуется согласие (TDDDG Section 25(1)). Баннер cookie с опцией opt-in.

7.3 Маркетинговые файлы cookie

На старте отсутствуют. В случае добавления: требуется согласие, указываются в баннере cookie.

7.4 Баннер cookie

Платформа управления согласием. Детальный opt-in/opt-out. Согласие хранится в течение 12 месяцев. Отзыв возможен в любое время.

7.5 Перечень файлов cookie

hanc_session: Управление сессией — поддерживает состояние сессии пользователя. Длительность: Сессия. Тип: Необходимый.

hanc_locale: Языковые настройки — хранит выбранный язык интерфейса. Длительность: 1 год. Тип: Необходимый.

hanc_consent: Состояние согласия на cookie — фиксирует выбор относительно согласия. Длительность: 1 год. Тип: Необходимый.

_ph_*: Аналитика PostHog — отслеживает анонимизированные паттерны использования. Длительность: 1 год. Тип: Аналитический.

_hs*: Отслеживание HubSpot — обеспечивает интеграцию с CRM. Длительность: 13 месяцев. Тип: Маркетинговый.

stripe_*: Обработка платежей — поддерживает защищённые сессии Stripe. Длительность: Сессия. Тип: Необходимый.

Мы используем следующих субподрядчиков по обработке:

Microsoft (Azure): облачный хостинг, LLM, STT, TTS. Расположение: Dublin, Ireland / USA. Цель: инфраструктура, обработка ИИ. Гарантии: хостинг в ЕС (Azure West Europe), Art. 28 DPA, EU-US DPF.

LiveKit Inc.: голос в реальном времени / WebRTC. Расположение: San Jose, USA. Цель: инфраструктура звонков. Гарантии: Art. 46(2)(c) SCCs, ретрансляторы в ЕС.

Twilio: телефония (SIP/PSTN). Расположение: Dublin, Ireland / USA. Цель: телефонные звонки. Гарантии: хостинг в ЕС, Art. 28 DPA, EU-US DPF.

ElevenLabs Inc.: TTS/STT (опционально). Расположение: New York, USA. Гарантии: Art. 46(2)(c) SCCs.

Cartesia AI, Inc.: TTS/STT (опционально). Расположение: San Francisco, USA. Гарантии: Art. 46(2)(c) SCCs.

PostHog Inc.: аналитика. Расположение: San Francisco, USA. Гарантии: вариант self-hosted в ЕС, Art. 46(2)(c) SCCs.

HubSpot Ireland Ltd: CRM. Расположение: Dublin, Ireland. Гарантии: хостинг в ЕС, Art. 28 DPA.

Brevo (Sendinblue SAS): электронная почта. Расположение: Paris, France. Гарантии: хостинг в ЕС, Art. 28 DPA.

Stripe Payments Europe Ltd: платежи. Расположение: Dublin, Ireland. Гарантии: PCI DSS Level 1, хостинг в ЕС.

Согласно GDPR вы обладаете следующими правами: право на доступ (ст. 15), право на исправление (ст. 16), право на удаление (ст. 17), право на ограничение обработки (ст. 18), право на переносимость данных (ст. 20), право на возражение (ст. 21), право отозвать согласие (ст. 7(3)) и право подать жалобу в надзорный орган (ст. 77).

Контакт: datenschutz@hanc.ai

Надзорный орган: Австрийский орган по защите данных (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienna, dsb@dsb.gv.at

Файлы журналов сервера: 30 дней (законный интерес).

Запросы через контактную форму: 6 месяцев после разрешения (договор / законный интерес).

Данные учётной записи: срок действия договора + 7 лет (договор + Austrian BAO § 132).

Выставление счетов / инвойсы: 7 лет (Austrian BAO § 132).

Записи звонков: определяется клиентом, по умолчанию 90 дней (исполнение договора).

Транскрипты звонков: определяется клиентом, по умолчанию 90 дней (исполнение договора).

Аналитические данные: 26 месяцев (законный интерес).

Записи о согласии на файлы cookie: 12 месяцев (TDDDG).

11.1 GDPR (EU/EEA)

Основная нормативная база соответствия. Все данные размещаются в ЕС (Azure West Europe).

11.2 Австрийский DSG 2018

Дополнительные национальные положения для Австрии.

11.3 Немецкий BDSG

Дополнительные положения для немецких пользователей.

11.4 Швейцарский FADP

Соответствие для швейцарских пользователей. Адекватность уровня защиты данных признана ЕС.

11.5 EU AI Act

Обязательства по прозрачности согласно ст. 50. Уведомление абонента в начале звонка.

11.6 CCPA/CPRA (Калифорния)

Никакой продажи персональной информации. Право знать, удалять, отказываться. Контакт: privacy@hanc.ai с темой "CCPA Request".

11.7 PDPL (ОАЭ/Саудовская Аравия)

Соответствие для пользователей региона Персидского залива. Уведомление на арабском языке предоставляется для локалей AR.

Шифрование: TLS 1.3 при передаче, AES-256 в состоянии покоя.

Контроль доступа: на основе ролей, многофакторная аутентификация для административного доступа.

Инфраструктура: Azure West Europe с геоизбыточностью.

Мониторинг: автоматизированное обнаружение угроз, системы обнаружения вторжений.

Реагирование на инциденты: уведомление в течение 72 часов согласно ст. 33 GDPR.

Сертификации в процессе: SOC 2 Type II, ISO 27001.

Мы можем время от времени обновлять настоящую Политику конфиденциальности. О существенных изменениях будет сообщено по электронной почте зарегистрированным пользователям и через заметное уведомление на нашем веб-сайте. Дата последней редакции указана в верхней части настоящей политики.