Політика конфіденційності

1.1 Розпорядник даних

Розпорядником даних у значенні Регламенту (ЄС) 2016/679 (GDPR) є: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienna, Austria. Номер у реєстрі компаній: FN 618845t (Комерційний суд Відня). VAT ID: ATU80258169. Email: legal@hanc.ai. Web: hanc.ai

1.2 Контакт з питань конфіденційності

З питань захисту даних: datenschutz@hanc.ai. Пошта: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Vienna, Austria.

1.3 Сфера застосування

Ця Політика конфіденційності застосовується до: (a) вебсайту hanc.ai, (b) платформи app.hanc.ai, (c) усіх пов’язаних сервісів, API та інтеграцій.

1.4 Правова база

GDPR, австрійський DSG 2018, німецький BDSG, німецький TDDDG, швейцарський FADP, EU AI Act, CCPA/CPRA, PDPL ОАЕ.

Нижче наведено загальний огляд наших операцій з обробки даних. Детальну інформацію наведено в розділах нижче.

Відвідування вебсайту: IP-адреса (анонімізована), браузер, відвідані сторінки, реферер. Правова підстава: законний інтерес (Art. 6(1)(f) GDPR). Зберігання: 90 днів.

Контактна форма / email: ім'я, email, компанія, зміст повідомлення. Правова підстава: договір (Art. 6(1)(b)) або законний інтерес (Art. 6(1)(f)). Зберігання: 6 місяців після вирішення.

Створення облікового запису: ім'я, email, компанія, галузь, адреса. Правова підстава: договір (Art. 6(1)(b) GDPR). Зберігання: строк дії облікового запису + 7 років.

Налаштування агента: назва компанії, послуги, години, привітання, галузь. Правова підстава: договір (Art. 6(1)(b) GDPR). Зберігання: строк дії облікового запису.

Голосові дзвінки: номер того, хто телефонує, метадані дзвінка, аудіо (якщо ввімкнено запис), транскрипти. Правова підстава: договір (Art. 6(1)(b)) + законний інтерес (Art. 6(1)(f)). Зберігання: 30 днів за замовчуванням (налаштовується клієнтом).

Обробка платежів: спосіб оплати (через Stripe), тип плану, рахунки. Правова підстава: договір (Art. 6(1)(b) GDPR). Зберігання: 7 років (австрійський BAO § 132).

Аналітика: використання функцій, дані сесій, показники продуктивності. Правова підстава: законний інтерес (Art. 6(1)(f) GDPR). Зберігання: 26 місяців.

Маркетинг / Розсилка: email, ім'я, налаштування. Правова підстава: згода (Art. 6(1)(a) GDPR). Зберігання: до відкликання згоди.

3.1 Мінімізація даних

Ми збираємо персональні дані лише в обсязі, необхідному для описаних цілей. Обробка обмежена метою (ст. 5(1)(b) і (c) GDPR).

3.2 Обмеження зберігання

Персональні дані зберігаються лише стільки, скільки це необхідно, або скільки вимагають законодавчі зобов’язання щодо зберігання.

3.3 Безпека даних

Ми впроваджуємо відповідні технічні та організаційні заходи (ст. 32 GDPR).

4.1 Файли журналу сервера

Під час відвідування нашого вебсайту ми збираємо: IP-адресу (анонімізовану), дату/час, URL, обсяг даних, статус HTTP, браузер, ОС, реферер. Правова підстава: ст. 6(1)(f) GDPR. Термін зберігання: 30 днів.

4.2 Зв’язок електронною поштою

Зібрані дані: адреса електронної пошти, ім’я, компанія, зміст, дата/час. Правова підстава: ст. 6(1)(b) або (f) GDPR. Термін зберігання: 6 місяців після вирішення запиту.

4.3 Контактна форма

Те саме, що й для електронної пошти, плюс вибір теми та позначка часу згоди за GDPR. HubSpot як обробник (укладено DPA).

4.4 Розсилка

За потреби: електронна пошта, ім’я, компанія. Обов’язковий подвійний опт-ін. Brevo (Sendinblue) як обробник. Посилання для відписки в кожному листі. Правова підстава: ст. 6(1)(a) GDPR.

5.1 Реєстрація

Зібрані дані: електронна пошта, пароль (хешований), ім'я, назва компанії, галузь, адреса компанії. Правова підстава: Art. 6(1)(b) GDPR.

5.2 Налаштування агента

Зібрані дані: назва компанії, послуги, робочі години, текст привітання, категорія галузі. Мета: створення та робота агента.

5.3 Виставлення рахунків

Stripe як платіжний процесор. Ми зберігаємо: тип плану, розрахунковий цикл, історію рахунків. Stripe зберігає: дані способу оплати (PCI DSS Level 1). Правова підстава: Art. 6(1)(b) GDPR.

5.4 Аналітика використання

PostHog для бізнес-аналітики. Дані: використання функцій, дані сесій, показники продуктивності агента. Правова підстава: Art. 6(1)(f) GDPR.

5.5 Служба демонстраційного зворотного дзвінка

Коли ви запитуєте демонстраційний зворотний дзвінок, ми обробляємо ваш номер телефону виключно з метою ініціювання одного демонстраційного дзвінка від нашого голосового AI-агента. Правова підстава: ваша явна згода (Art. 6(1)(a) GDPR). Оброблювані дані: номер телефону у форматі E.164. Зберігання: автоматично видаляється протягом 24 годин. Субпроцесор: Twilio Inc. (US) відповідно до Стандартних договірних положень. Розкриття інформації про AI згідно з EU AI Act Art. 50.

6.1 Дані про дзвінки

Ми обробляємо: номер телефону абонента, часову позначку дзвінка, тривалість дзвінка, ID агента, результат дзвінка. Правова підстава: ст. 6(1)(b) GDPR (виконання договору) та ст. 6(1)(f) GDPR (законний інтерес).

6.2 Голосові дані

Обробка мовлення в текст у реальному часі через Azure (регіон ЄС). Аудіо голосу обробляється в пам'яті та не зберігається постійно, якщо клієнт не увімкнув запис дзвінків.

6.3 Записи дзвінків

Опціонально, контролюється клієнтом. Зберігаються в зашифрованому вигляді в Azure ЄС. Термін зберігання: визначається клієнтом (за замовчуванням 90 днів). Клієнт відповідає за дотримання місцевих законів щодо запису дзвінків.

6.4 Обробка ШІ

Дані розмов обробляються Azure OpenAI (регіон ЄС). Жодного навчання на даних клієнтів. Дані обробляються відповідно до Microsoft DPA.

6.5 Транскрипти

Зберігаються в зашифрованому вигляді. Доступні клієнту через панель керування. Термін зберігання: визначається клієнтом.

6.6 EU AI Act (ст. 50)

Абоненти повідомляються про те, що вони спілкуються зі системою ШІ, на початку кожного дзвінка.

7.1 Необхідні файли cookie

Керування сесією, автентифікація, мовні налаштування. Згода не потрібна (TDDDG Section 25(2)).

7.2 Аналітичні файли cookie

PostHog (self-hosted / EU). Потрібна згода (TDDDG Section 25(1)). Банер cookie з опцією opt-in.

7.3 Маркетингові файли cookie

На старті відсутні. У разі додавання: потрібна згода, зазначаються в банері cookie.

7.4 Банер cookie

Платформа керування згодою. Детальний opt-in/opt-out. Згода зберігається протягом 12 місяців. Відкликання можливе будь-коли.

7.5 Перелік файлів cookie

hanc_session: Керування сесією — підтримує стан сесії користувача. Тривалість: Сесія. Тип: Необхідний.

hanc_locale: Мовні налаштування — зберігає вибрану мову інтерфейсу. Тривалість: 1 рік. Тип: Необхідний.

hanc_consent: Стан згоди на cookie — фіксує вибір щодо згоди. Тривалість: 1 рік. Тип: Необхідний.

_ph_*: Аналітика PostHog — відстежує анонімізовані патерни використання. Тривалість: 1 рік. Тип: Аналітичний.

_hs*: Відстеження HubSpot — забезпечує інтеграцію з CRM. Тривалість: 13 місяців. Тип: Маркетинговий.

stripe_*: Обробка платежів — підтримує захищені сесії Stripe. Тривалість: Сесія. Тип: Необхідний.

Ми використовуємо таких субпідрядників з обробки:

Microsoft (Azure): хмарний хостинг, LLM, STT, TTS. Розташування: Dublin, Ireland / USA. Мета: інфраструктура, обробка ШІ. Гарантії: хостинг у ЄС (Azure West Europe), Art. 28 DPA, EU-US DPF.

LiveKit Inc.: голос у реальному часі / WebRTC. Розташування: San Jose, USA. Мета: інфраструктура дзвінків. Гарантії: Art. 46(2)(c) SCCs, ретранслятори в ЄС.

Twilio: телефонія (SIP/PSTN). Розташування: Dublin, Ireland / USA. Мета: телефонні дзвінки. Гарантії: хостинг у ЄС, Art. 28 DPA, EU-US DPF.

ElevenLabs Inc.: TTS/STT (опційно). Розташування: New York, USA. Гарантії: Art. 46(2)(c) SCCs.

Cartesia AI, Inc.: TTS/STT (опційно). Розташування: San Francisco, USA. Гарантії: Art. 46(2)(c) SCCs.

PostHog Inc.: аналітика. Розташування: San Francisco, USA. Гарантії: варіант self-hosted у ЄС, Art. 46(2)(c) SCCs.

HubSpot Ireland Ltd: CRM. Розташування: Dublin, Ireland. Гарантії: хостинг у ЄС, Art. 28 DPA.

Brevo (Sendinblue SAS): електронна пошта. Розташування: Paris, France. Гарантії: хостинг у ЄС, Art. 28 DPA.

Stripe Payments Europe Ltd: платежі. Розташування: Dublin, Ireland. Гарантії: PCI DSS Level 1, хостинг у ЄС.

Згідно з GDPR ви маєте такі права: право на доступ (ст. 15), право на виправлення (ст. 16), право на видалення (ст. 17), право на обмеження обробки (ст. 18), право на перенесення даних (ст. 20), право на заперечення (ст. 21), право відкликати згоду (ст. 7(3)) і право подати скаргу до наглядового органу (ст. 77).

Контакт: datenschutz@hanc.ai

Наглядовий орган: Австрійський орган із захисту даних (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienna, dsb@dsb.gv.at

Файли журналів сервера: 30 днів (законний інтерес).

Запити через контактну форму: 6 місяців після вирішення (договір / законний інтерес).

Дані облікового запису: строк дії договору + 7 років (договір + Austrian BAO § 132).

Виставлення рахунків / інвойси: 7 років (Austrian BAO § 132).

Записи дзвінків: визначається клієнтом, за замовчуванням 90 днів (виконання договору).

Транскрипти дзвінків: визначається клієнтом, за замовчуванням 90 днів (виконання договору).

Аналітичні дані: 26 місяців (законний інтерес).

Записи про згоду на файли cookie: 12 місяців (TDDDG).

11.1 GDPR (EU/EEA)

Основна нормативна база відповідності. Усі дані розміщуються в ЄС (Azure West Europe).

11.2 Австрійський DSG 2018

Додаткові національні положення для Австрії.

11.3 Німецький BDSG

Додаткові положення для німецьких користувачів.

11.4 Швейцарський FADP

Відповідність для швейцарських користувачів. Адекватність рівня захисту даних визнана ЄС.

11.5 EU AI Act

Зобов'язання щодо прозорості за ст. 50. Повідомлення абонента на початку дзвінка.

11.6 CCPA/CPRA (Каліфорнія)

Жодного продажу персональної інформації. Право знати, видаляти, відмовлятися. Контакт: privacy@hanc.ai з темою "CCPA Request".

11.7 PDPL (ОАЕ/Саудівська Аравія)

Відповідність для користувачів регіону Перської затоки. Повідомлення арабською мовою надається для локалей AR.

Шифрування: TLS 1.3 під час передавання, AES-256 у стані спокою.

Контроль доступу: на основі ролей, багатофакторна автентифікація для адміністративного доступу.

Інфраструктура: Azure West Europe з геонадлишковістю.

Моніторинг: автоматизоване виявлення загроз, системи виявлення вторгнень.

Реагування на інциденти: сповіщення протягом 72 годин згідно зі ст. 33 GDPR.

Сертифікації в процесі: SOC 2 Type II, ISO 27001.

Ми можемо час від часу оновлювати цю Політику конфіденційності. Про суттєві зміни буде повідомлено електронною поштою зареєстрованим користувачам та через помітне повідомлення на нашому вебсайті. Дата останньої редакції зазначена у верхній частині цієї політики.