Политика конфиденциальности

1. Контролёр данных и контактная информация

1.1 Оператор данных

Оператором данных в значении Регламента (ЕС) 2016/679 (GDPR) является: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienna, Austria. Номер в реестре компаний: FN 618845t (Коммерческий суд Вены). VAT ID: ATU80258169. Email: legal@hanc.ai. Web: hanc.ai

1.2 Контакт по вопросам конфиденциальности

По вопросам защиты данных: datenschutz@hanc.ai. Почта: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Vienna, Austria.

1.3 Сфера применения

Настоящая Политика конфиденциальности применяется к: (a) веб-сайту hanc.ai, (b) платформе app.hanc.ai, (c) всем связанным сервисам, API и интеграциям.

1.4 Правовая база

GDPR, австрийский DSG 2018, немецкий BDSG, немецкий TDDDG, швейцарский FADP, EU AI Act.

2. Сводка операций по обработке

Ниже приведён общий обзор наших операций по обработке данных. Подробная информация приведена в разделах ниже.

Посещения веб-сайта: IP-адрес (анонимизированный), браузер, посещённые страницы, реферер. Правовое основание: законный интерес (Art. 6(1)(f) GDPR). Хранение: 90 дней.

Контактная форма / email: имя, email, компания, содержание сообщения. Правовое основание: договор (Art. 6(1)(b)) или законный интерес (Art. 6(1)(f)). Хранение: 6 месяцев после разрешения.

Создание учётной записи: имя, email, компания, отрасль, адрес. Правовое основание: договор (Art. 6(1)(b) GDPR). Хранение: срок действия учётной записи + 7 лет.

Настройка агента: название компании, услуги, часы, приветствия, отрасль. Правовое основание: договор (Art. 6(1)(b) GDPR). Хранение: срок действия учётной записи.

Голосовые звонки: номер звонящего, метаданные звонка, аудио (если включена запись), транскрипты. Правовое основание: договор (Art. 6(1)(b)) + законный интерес (Art. 6(1)(f)). Хранение: 30 дней по умолчанию (настраивается клиентом).

Обработка платежей: способ оплаты (через Stripe), тип плана, счета. Правовое основание: договор (Art. 6(1)(b) GDPR). Хранение: 7 лет (австрийский BAO § 132).

Аналитика: использование функций, данные сессий, показатели производительности. Правовое основание: законный интерес (Art. 6(1)(f) GDPR). Хранение: 26 месяцев.

Маркетинг / Рассылка: email, имя, настройки. Правовое основание: согласие (Art. 6(1)(a) GDPR). Хранение: до отзыва согласия.

3. Принципы обработки данных

3.1 Минимизация данных

Мы собираем персональные данные только в объёме, необходимом для описанных целей. Обработка ограничена целью (ст. 5(1)(b) и (c) GDPR).

3.2 Ограничение хранения

Персональные данные хранятся только столько, сколько это необходимо, либо столько, сколько требуют законодательные обязательства по хранению.

3.3 Безопасность данных

Мы применяем соответствующие технические и организационные меры (ст. 32 GDPR).

4. Обработка при посещении веб-сайта

4.1 Файлы журнала сервера

При посещении нашего веб-сайта мы собираем: IP-адрес (анонимизированный), дату/время, URL, объём данных, статус HTTP, браузер, ОС, реферер. Правовое основание: ст. 6(1)(f) GDPR. Срок хранения: 30 дней.

4.2 Связь по электронной почте

Собираемые данные: адрес электронной почты, имя, компания, содержание, дата/время. Правовое основание: ст. 6(1)(b) или (f) GDPR. Срок хранения: 6 месяцев после разрешения запроса.

4.3 Контактная форма

То же, что и для электронной почты, плюс выбор темы и отметка времени согласия по GDPR. HubSpot как обработчик (заключено DPA).

4.4 Рассылка

При необходимости: электронная почта, имя, компания. Обязательный двойной опт-ин. Brevo (Sendinblue) как обработчик. Ссылка для отписки в каждом письме. Правовое основание: ст. 6(1)(a) GDPR.

5. Обработка при использовании Платформы

5.1 Регистрация

Собираемые данные: электронная почта, пароль (хешированный), имя, название компании, отрасль, адрес компании. Правовое основание: Art. 6(1)(b) GDPR.

5.2 Настройка агента

Собираемые данные: название компании, услуги, рабочие часы, текст приветствия, категория отрасли. Цель: создание и работа агента.

5.3 Выставление счетов

Stripe в качестве платёжного процессора. Мы храним: тип плана, расчётный цикл, историю счетов. Stripe хранит: данные способа оплаты (PCI DSS Level 1). Правовое основание: Art. 6(1)(b) GDPR.

5.4 Аналитика использования

PostHog для бизнес-аналитики. Данные: использование функций, данные сессий, показатели производительности агента. Правовое основание: Art. 6(1)(f) GDPR.

5.5 Служба демонстрационного обратного звонка

Когда вы запрашиваете демонстрационный обратный звонок, мы обрабатываем ваш номер телефона исключительно с целью инициирования одного демонстрационного звонка от нашего голосового AI-агента. Правовое основание: ваше явное согласие (Art. 6(1)(a) GDPR). Обрабатываемые данные: номер телефона в формате E.164. Хранение: в течение срока действия договорных отношений; удаляется при удалении аккаунта. Получатели: категории субпроцессоров, описанные выше; актуальный список предоставляется по запросу на privacy@hanc.ai. Раскрытие информации об AI согласно EU AI Act Art. 50.

6. Обработка голосовых звонков и взаимодействий с AI

6.1 Данные о звонках

Мы обрабатываем: номер телефона абонента, временную метку звонка, длительность звонка, ID агента, результат звонка. Правовое основание: ст. 6(1)(b) GDPR (исполнение договора) и ст. 6(1)(f) GDPR (законный интерес).

6.2 Голосовые данные

Обработка речи в текст в реальном времени через Azure (регион ЕС). Аудио голоса обрабатывается в памяти и не хранится постоянно, если клиент не включил запись звонков.

6.3 Записи звонков

Опционально, контролируется клиентом. Хранятся в зашифрованном виде в Azure ЕС. Срок хранения: на срок действия договора; автоматическое истечение по времени не применяется; удаление при удалении аккаунта или по запросу. Клиент несёт ответственность за соблюдение местных законов о записи звонков.

6.4 Обработка ИИ

Данные разговоров обрабатываются Azure OpenAI (регион ЕС). Никакого обучения на данных клиентов. Данные обрабатываются в соответствии с Microsoft DPA.

6.5 Транскрипты

Хранятся в зашифрованном виде. Доступны клиенту через панель управления. Срок хранения: на срок действия договора; автоматическое истечение по времени не применяется; удаление при удалении аккаунта или по запросу.

6.6 EU AI Act (ст. 50)

Абоненты информируются о том, что они говорят с системой ИИ, в начале каждого звонка.

7. Файлы cookie и подобные технологии

7.1 Необходимые файлы cookie

Управление сессией, аутентификация, языковые настройки. Согласие не требуется (TDDDG Section 25(2)).

7.2 Аналитические файлы cookie

PostHog Cloud EU (Франкфурт). Требуется согласие (TDDDG Section 25(1)). Баннер cookie с опцией opt-in.

7.3 Маркетинговые файлы cookie

На старте отсутствуют. В случае добавления: требуется согласие, указываются в баннере cookie.

7.4 Баннер cookie

Платформа управления согласием. Детальный opt-in/opt-out. Согласие хранится в течение 12 месяцев. Отзыв возможен в любое время.

7.5 Перечень файлов cookie

hanc_session: Управление сессией — поддерживает состояние сессии пользователя. Длительность: Сессия. Тип: Необходимый.

hanc_locale: Языковые настройки — хранит выбранный язык интерфейса. Длительность: 1 год. Тип: Необходимый.

hanc_consent: Состояние согласия на cookie — фиксирует выбор относительно согласия. Длительность: 1 год. Тип: Необходимый.

_ph_*: Аналитика PostHog — отслеживает анонимизированные паттерны использования. Длительность: 1 год. Тип: Аналитический.

_hs*: Отслеживание HubSpot — обеспечивает интеграцию с CRM. Длительность: 13 месяцев. Тип: Маркетинговый.

stripe_*: Обработка платежей — поддерживает защищённые сессии Stripe. Длительность: Сессия. Тип: Необходимый.

8. Сторонние сервисы и передачи данных

Мы привлекаем поставщиков услуг в категориях хостинга, базы данных, ИИ-обработки, телефонии, платежей, электронной почты и аналитики. Подробный перечень субпроцессоров доступен через наш Trust Center: security.hanc.ai.

9. Ваши права как субъекта данных

Согласно GDPR вы обладаете следующими правами: право на доступ (ст. 15), право на исправление (ст. 16), право на удаление (ст. 17), право на ограничение обработки (ст. 18), право на переносимость данных (ст. 20), право на возражение (ст. 21), право отозвать согласие (ст. 7(3)) и право подать жалобу в надзорный орган (ст. 77).

Контакт: datenschutz@hanc.ai

Надзорный орган: Австрийский орган по защите данных (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienna, dsb@dsb.gv.at

10. Сроки хранения данных

Файлы журналов сервера: 30 дней (законный интерес).

Запросы через контактную форму: 6 месяцев после разрешения (договор / законный интерес).

Данные учётной записи: срок действия договора + 7 лет (договор + Austrian BAO § 132).

Выставление счетов / инвойсы: 7 лет (Austrian BAO § 132).

Записи звонков: срок действия договора, автоудаления нет (исполнение договора).

Транскрипты звонков: срок действия договора, автоудаления нет (исполнение договора).

Аналитические данные: 26 месяцев (законный интерес).

Записи о согласии на файлы cookie: 12 месяцев (TDDDG).

11. Международные передачи данных и соответствие нормам

11.1 GDPR (EU/EEA)

Основная нормативная база соответствия. Инфраструктура приложения и голосового тракта размещена в Hetzner (Германия), основная база данных — в MongoDB Atlas (Франкфурт), сервисы Microsoft Azure работают в регионах ЕС; вспомогательные AI-нагрузки могут обрабатываться за пределами ЕЭЗ, и каждая передача документирована по каждому поставщику в нашей документации о соответствии на security.hanc.ai.

11.2 Австрийский DSG 2018

Дополнительные национальные положения для Австрии.

11.3 Немецкий BDSG

Дополнительные положения для немецких пользователей.

11.4 Швейцарский FADP

Соответствие для швейцарских пользователей. Адекватность уровня защиты данных признана ЕС.

11.5 EU AI Act

Обязательства по прозрачности согласно ст. 50. Уведомление абонента в начале звонка.

12. Безопасность данных

Шифрование: TLS 1.3 при передаче, AES-256 в состоянии покоя.

Контроль доступа: на основе ролей, многофакторная аутентификация для административного доступа.

Инфраструктура: Hetzner (Германия) и регионы Microsoft Azure в ЕС.

Мониторинг: предотвращение вторжений на уровне сервера и мониторинг со стороны наших поставщиков инфраструктуры.

Реагирование на инциденты: уведомление в течение 72 часов согласно ст. 33 GDPR.

Сертификации: наши поставщики инфраструктуры сертифицированы (Hetzner: ISO 27001; Stripe: PCI DSS Level 1). Сама Hanc.AI не имеет сертификации SOC 2 или ISO 27001.

13. Изменения в настоящей Политике конфиденциальности

Мы можем время от времени обновлять настоящую Политику конфиденциальности. О существенных изменениях будет сообщено по электронной почте зарегистрированным пользователям и через заметное уведомление на нашем веб-сайте. Дата последней редакции указана в верхней части настоящей политики.

Обработка данных по поручению бизнес-клиентов регулируется нашим соглашением об обработке данных (DPA), которое является частью Условий предоставления услуг, предъявляется при регистрации и доступно в личном кабинете и в нашем Trust Center: security.hanc.ai.

14. Пользовательские данные Google

Когда вы подключаете аккаунт Google к Hanc.AI, мы получаем доступ только к тем пользовательским данным Google, которые нужны для включённых вами функций. Вот разрешения Google (scopes), которые мы запрашиваем, и для чего мы их используем:

• Google Календарь (calendar, calendar.readonly, calendar.events, calendar.calendarlist.readonly, calendar.freebusy): список ваших календарей, свободное и занятое время и события, чтобы ваш AI-сотрудник предлагал звонящим свободное время и записывал, переносил или отменял встречи в выбранном вами календаре.
• Google Tasks (tasks, tasks.readonly): ваши списки задач и задачи, чтобы вы видели их в Hanc.AI, а ваш AI-сотрудник после звонка создавал или обновлял задачи, например обратный звонок или повторный контакт.
• Google Контакты, «Другие контакты» (contacts.other.readonly): имена, адреса электронной почты и номера телефонов, которые Google автоматически сохранил в вашем аккаунте, чтобы ваш AI-сотрудник узнавал звонящего и дополнял его контактные данные. Эти данные мы только читаем и никогда не изменяем и не удаляем ваши контакты.

Использование. Мы используем пользовательские данные Google только для работы и улучшения описанных выше функций в вашем аккаунте Hanc.AI. Мы не используем их для рекламы, не продаём их и не используем для разработки, улучшения или обучения универсальных моделей искусственного интеллекта или машинного обучения.

Доступ людей. Наши сотрудники не читают ваши пользовательские данные Google, кроме случаев, когда вы сами об этом просите (например, в обращении в поддержку), это нужно для безопасности, например для расследования злоупотреблений, этого требует закон или данные агрегированы и обезличены для внутренних задач.

Передача. Мы не передаём пользовательские данные Google третьим лицам, кроме поставщиков услуг, которые обрабатывают их по нашему поручению для работы этих функций (хостинг и обработка ваших звонков с помощью AI) по договорам об обработке данных, обязывающим их соблюдать те же ограничения, или когда этого требует закон.

Хранение и удаление. Пользовательские данные Google передаются по зашифрованным соединениям и хранятся только столько, сколько нужно для включённых вами функций. Когда вы отключаете аккаунт Google или удаляете аккаунт Hanc.AI, мы без неоправданной задержки удаляем хранящиеся у нас пользовательские данные Google, если закон не обязывает нас их сохранить.

Ваш контроль. Вы можете в любой момент отключить аккаунт Google в своём аккаунте Hanc.AI или на странице разрешений аккаунта Google и попросить нас удалить ваши данные по контактам, указанным в этой политике.

Limited Use. Использование и передача в другие приложения информации, полученной Hanc.AI через API Google, осуществляются в соответствии с Google API Services User Data Policy, включая требования об ограниченном использовании (Limited Use).