Політика конфіденційності

1. Контролер даних і контактна інформація

1.1 Розпорядник даних

Розпорядником даних у значенні Регламенту (ЄС) 2016/679 (GDPR) є: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienna, Austria. Номер у реєстрі компаній: FN 618845t (Комерційний суд Відня). VAT ID: ATU80258169. Email: legal@hanc.ai. Web: hanc.ai

1.2 Контакт з питань конфіденційності

З питань захисту даних: datenschutz@hanc.ai. Пошта: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Vienna, Austria.

1.3 Сфера застосування

Ця Політика конфіденційності застосовується до: (a) вебсайту hanc.ai, (b) платформи app.hanc.ai, (c) усіх пов’язаних сервісів, API та інтеграцій.

1.4 Правова база

GDPR, австрійський DSG 2018, німецький BDSG, німецький TDDDG, швейцарський FADP, EU AI Act.

2. Зведення операцій з обробки

Нижче наведено загальний огляд наших операцій з обробки даних. Детальну інформацію наведено в розділах нижче.

Відвідування вебсайту: IP-адреса (анонімізована), браузер, відвідані сторінки, реферер. Правова підстава: законний інтерес (Art. 6(1)(f) GDPR). Зберігання: 90 днів.

Контактна форма / email: ім'я, email, компанія, зміст повідомлення. Правова підстава: договір (Art. 6(1)(b)) або законний інтерес (Art. 6(1)(f)). Зберігання: 6 місяців після вирішення.

Створення облікового запису: ім'я, email, компанія, галузь, адреса. Правова підстава: договір (Art. 6(1)(b) GDPR). Зберігання: строк дії облікового запису + 7 років.

Налаштування агента: назва компанії, послуги, години, привітання, галузь. Правова підстава: договір (Art. 6(1)(b) GDPR). Зберігання: строк дії облікового запису.

Голосові дзвінки: номер того, хто телефонує, метадані дзвінка, аудіо (якщо ввімкнено запис), транскрипти. Правова підстава: договір (Art. 6(1)(b)) + законний інтерес (Art. 6(1)(f)). Зберігання: 30 днів за замовчуванням (налаштовується клієнтом).

Обробка платежів: спосіб оплати (через Stripe), тип плану, рахунки. Правова підстава: договір (Art. 6(1)(b) GDPR). Зберігання: 7 років (австрійський BAO § 132).

Аналітика: використання функцій, дані сесій, показники продуктивності. Правова підстава: законний інтерес (Art. 6(1)(f) GDPR). Зберігання: 26 місяців.

Маркетинг / Розсилка: email, ім'я, налаштування. Правова підстава: згода (Art. 6(1)(a) GDPR). Зберігання: до відкликання згоди.

3. Принципи обробки даних

3.1 Мінімізація даних

Ми збираємо персональні дані лише в обсязі, необхідному для описаних цілей. Обробка обмежена метою (ст. 5(1)(b) і (c) GDPR).

3.2 Обмеження зберігання

Персональні дані зберігаються лише стільки, скільки це необхідно, або скільки вимагають законодавчі зобов’язання щодо зберігання.

3.3 Безпека даних

Ми впроваджуємо відповідні технічні та організаційні заходи (ст. 32 GDPR).

4. Обробка під час відвідування вебсайту

4.1 Файли журналу сервера

Під час відвідування нашого вебсайту ми збираємо: IP-адресу (анонімізовану), дату/час, URL, обсяг даних, статус HTTP, браузер, ОС, реферер. Правова підстава: ст. 6(1)(f) GDPR. Термін зберігання: 30 днів.

4.2 Зв’язок електронною поштою

Зібрані дані: адреса електронної пошти, ім’я, компанія, зміст, дата/час. Правова підстава: ст. 6(1)(b) або (f) GDPR. Термін зберігання: 6 місяців після вирішення запиту.

4.3 Контактна форма

Те саме, що й для електронної пошти, плюс вибір теми та позначка часу згоди за GDPR. HubSpot як обробник (укладено DPA).

4.4 Розсилка

За потреби: електронна пошта, ім’я, компанія. Обов’язковий подвійний опт-ін. Brevo (Sendinblue) як обробник. Посилання для відписки в кожному листі. Правова підстава: ст. 6(1)(a) GDPR.

5. Обробка під час використання Платформи

5.1 Реєстрація

Зібрані дані: електронна пошта, пароль (хешований), ім'я, назва компанії, галузь, адреса компанії. Правова підстава: Art. 6(1)(b) GDPR.

5.2 Налаштування агента

Зібрані дані: назва компанії, послуги, робочі години, текст привітання, категорія галузі. Мета: створення та робота агента.

5.3 Виставлення рахунків

Stripe як платіжний процесор. Ми зберігаємо: тип плану, розрахунковий цикл, історію рахунків. Stripe зберігає: дані способу оплати (PCI DSS Level 1). Правова підстава: Art. 6(1)(b) GDPR.

5.4 Аналітика використання

PostHog для бізнес-аналітики. Дані: використання функцій, дані сесій, показники продуктивності агента. Правова підстава: Art. 6(1)(f) GDPR.

5.5 Служба демонстраційного зворотного дзвінка

Коли ви запитуєте демонстраційний зворотний дзвінок, ми обробляємо ваш номер телефону виключно з метою ініціювання одного демонстраційного дзвінка від нашого голосового AI-агента. Правова підстава: ваша явна згода (Art. 6(1)(a) GDPR). Оброблювані дані: номер телефону у форматі E.164. Зберігання: протягом строку дії договірних відносин; видаляється при видаленні облікового запису. Отримувачі: категорії субпроцесорів, описані вище; актуальний список надається на запит на privacy@hanc.ai. Розкриття інформації про AI згідно з EU AI Act Art. 50.

6. Обробка голосових дзвінків і взаємодій з AI

6.1 Дані про дзвінки

Ми обробляємо: номер телефону абонента, часову позначку дзвінка, тривалість дзвінка, ID агента, результат дзвінка. Правова підстава: ст. 6(1)(b) GDPR (виконання договору) та ст. 6(1)(f) GDPR (законний інтерес).

6.2 Голосові дані

Обробка мовлення в текст у реальному часі через Azure (регіон ЄС). Аудіо голосу обробляється в пам'яті та не зберігається постійно, якщо клієнт не увімкнув запис дзвінків.

6.3 Записи дзвінків

Опціонально, контролюється клієнтом. Зберігаються в зашифрованому вигляді в Azure ЄС. Строк зберігання: на строк дії договору; автоматичне закінчення за часом не застосовується; видалення при видаленні акаунта або на запит. Клієнт відповідає за дотримання місцевих законів щодо запису дзвінків.

6.4 Обробка ШІ

Дані розмов обробляються Azure OpenAI (регіон ЄС). Жодного навчання на даних клієнтів. Дані обробляються відповідно до Microsoft DPA.

6.5 Транскрипти

Зберігаються в зашифрованому вигляді. Доступні клієнту через панель керування. Строк зберігання: на строк дії договору; автоматичне закінчення за часом не застосовується; видалення при видаленні акаунта або на запит.

6.6 EU AI Act (ст. 50)

Абоненти повідомляються про те, що вони спілкуються зі системою ШІ, на початку кожного дзвінка.

7. Файли cookie та подібні технології

7.1 Необхідні файли cookie

Керування сесією, автентифікація, мовні налаштування. Згода не потрібна (TDDDG Section 25(2)).

7.2 Аналітичні файли cookie

PostHog Cloud EU (Франкфурт). Потрібна згода (TDDDG Section 25(1)). Банер cookie з опцією opt-in.

7.3 Маркетингові файли cookie

На старті відсутні. У разі додавання: потрібна згода, зазначаються в банері cookie.

7.4 Банер cookie

Платформа керування згодою. Детальний opt-in/opt-out. Згода зберігається протягом 12 місяців. Відкликання можливе будь-коли.

7.5 Перелік файлів cookie

hanc_session: Керування сесією — підтримує стан сесії користувача. Тривалість: Сесія. Тип: Необхідний.

hanc_locale: Мовні налаштування — зберігає вибрану мову інтерфейсу. Тривалість: 1 рік. Тип: Необхідний.

hanc_consent: Стан згоди на cookie — фіксує вибір щодо згоди. Тривалість: 1 рік. Тип: Необхідний.

_ph_*: Аналітика PostHog — відстежує анонімізовані патерни використання. Тривалість: 1 рік. Тип: Аналітичний.

_hs*: Відстеження HubSpot — забезпечує інтеграцію з CRM. Тривалість: 13 місяців. Тип: Маркетинговий.

stripe_*: Обробка платежів — підтримує захищені сесії Stripe. Тривалість: Сесія. Тип: Необхідний.

8. Сторонні сервіси та передачі даних

Ми залучаємо постачальників послуг у категоріях хостингу, бази даних, ШІ-обробки, телефонії, платежів, електронної пошти та аналітики. Детальний перелік субпроцесорів доступний через наш Trust Center: security.hanc.ai.

9. Ваші права як суб'єкта даних

Згідно з GDPR ви маєте такі права: право на доступ (ст. 15), право на виправлення (ст. 16), право на видалення (ст. 17), право на обмеження обробки (ст. 18), право на перенесення даних (ст. 20), право на заперечення (ст. 21), право відкликати згоду (ст. 7(3)) і право подати скаргу до наглядового органу (ст. 77).

Контакт: datenschutz@hanc.ai

Наглядовий орган: Австрійський орган із захисту даних (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienna, dsb@dsb.gv.at

10. Терміни зберігання даних

Файли журналів сервера: 30 днів (законний інтерес).

Запити через контактну форму: 6 місяців після вирішення (договір / законний інтерес).

Дані облікового запису: строк дії договору + 7 років (договір + Austrian BAO § 132).

Виставлення рахунків / інвойси: 7 років (Austrian BAO § 132).

Записи дзвінків: строк дії договору, автовидалення немає (виконання договору).

Транскрипти дзвінків: строк дії договору, автовидалення немає (виконання договору).

Аналітичні дані: 26 місяців (законний інтерес).

Записи про згоду на файли cookie: 12 місяців (TDDDG).

11. Міжнародні передачі даних та відповідність нормам

11.1 GDPR (EU/EEA)

Основна нормативна база відповідності. Інфраструктура застосунку та голосового тракту розміщена в Hetzner (Німеччина), основна база даних — у MongoDB Atlas (Франкфурт), сервіси Microsoft Azure працюють у регіонах ЄС; допоміжні AI-навантаження можуть оброблятися за межами ЄЕЗ, і кожна передача задокументована за кожним постачальником у нашій документації про відповідність на security.hanc.ai.

11.2 Австрійський DSG 2018

Додаткові національні положення для Австрії.

11.3 Німецький BDSG

Додаткові положення для німецьких користувачів.

11.4 Швейцарський FADP

Відповідність для швейцарських користувачів. Адекватність рівня захисту даних визнана ЄС.

11.5 EU AI Act

Зобов'язання щодо прозорості за ст. 50. Повідомлення абонента на початку дзвінка.

12. Безпека даних

Шифрування: TLS 1.3 під час передавання, AES-256 у стані спокою.

Контроль доступу: на основі ролей, багатофакторна автентифікація для адміністративного доступу.

Інфраструктура: Hetzner (Німеччина) та регіони Microsoft Azure в ЄС.

Моніторинг: запобігання вторгненням на рівні сервера та моніторинг з боку наших постачальників інфраструктури.

Реагування на інциденти: сповіщення протягом 72 годин згідно зі ст. 33 GDPR.

Сертифікації: наші постачальники інфраструктури сертифіковані (Hetzner: ISO 27001; Stripe: PCI DSS Level 1). Сама Hanc.AI не має сертифікації SOC 2 або ISO 27001.

13. Зміни до цієї Політики конфіденційності

Ми можемо час від часу оновлювати цю Політику конфіденційності. Про суттєві зміни буде повідомлено електронною поштою зареєстрованим користувачам та через помітне повідомлення на нашому вебсайті. Дата останньої редакції зазначена у верхній частині цієї політики.

Обробка даних за дорученням бізнес-клієнтів регулюється нашою угодою про обробку даних (DPA), яка є частиною Умов надання послуг, надається під час реєстрації та доступна в особистому кабінеті й у нашому Trust Center: security.hanc.ai.

14. Дані користувача Google

Коли ви підключаєте акаунт Google до Hanc.AI, ми отримуємо доступ лише до тих даних користувача Google, які потрібні для увімкнених вами функцій. Ось дозволи Google (scopes), які ми запитуємо, і для чого ми їх використовуємо:

• Google Календар (calendar, calendar.readonly, calendar.events, calendar.calendarlist.readonly, calendar.freebusy): список ваших календарів, вільний і зайнятий час та події, щоб ваш AI-співробітник пропонував тим, хто телефонує, вільний час і записував, переносив або скасовував зустрічі у вибраному вами календарі.
• Google Tasks (tasks, tasks.readonly): ваші списки завдань і завдання, щоб ви бачили їх у Hanc.AI, а ваш AI-співробітник після дзвінка створював або оновлював завдання, наприклад зворотний дзвінок чи повторний контакт.
• Google Контакти, «Інші контакти» (contacts.other.readonly): імена, адреси електронної пошти та номери телефонів, які Google автоматично зберіг у вашому акаунті, щоб ваш AI-співробітник упізнавав того, хто телефонує, і доповнював його контактні дані. Ці дані ми лише читаємо і ніколи не змінюємо й не видаляємо ваші контакти.

Використання. Ми використовуємо дані користувача Google лише для роботи й покращення описаних вище функцій у вашому акаунті Hanc.AI. Ми не використовуємо їх для реклами, не продаємо їх і не використовуємо для розробки, покращення чи навчання універсальних моделей штучного інтелекту або машинного навчання.

Доступ людей. Наші працівники не читають ваші дані користувача Google, крім випадків, коли ви самі про це просите (наприклад, у зверненні до підтримки), це потрібно для безпеки, наприклад для розслідування зловживань, цього вимагає закон або дані агреговано й знеособлено для внутрішніх потреб.

Передавання. Ми не передаємо дані користувача Google третім особам, крім постачальників послуг, які обробляють їх за нашим дорученням для роботи цих функцій (хостинг і обробка ваших дзвінків за допомогою AI) за договорами про обробку даних, що зобов’язують їх дотримуватися тих самих обмежень, або коли цього вимагає закон.

Зберігання та видалення. Дані користувача Google передаються зашифрованими з’єднаннями і зберігаються лише стільки, скільки потрібно для увімкнених вами функцій. Коли ви відключаєте акаунт Google або видаляєте акаунт Hanc.AI, ми без невиправданої затримки видаляємо дані користувача Google, що зберігаються в нас, якщо закон не зобов’язує нас їх зберегти.

Ваш контроль. Ви можете будь-коли відключити акаунт Google у своєму акаунті Hanc.AI або на сторінці дозволів акаунта Google і попросити нас видалити ваші дані за контактами, зазначеними в цій політиці.

Limited Use. Використання та передавання в інші застосунки інформації, отриманої Hanc.AI через API Google, здійснюються відповідно до Google API Services User Data Policy, зокрема вимог щодо обмеженого використання (Limited Use).