Privacy

1. Загальні положення

1. Ця Політика конфіденційності (далі - «Політика») регулює порядок збору, обробки, зберігання та захисту персональних даних фізичних осіб (далі - «Користувач», «Клієнт», «Суб'єкт даних»), які виникають у зв'язку з використанням сервісу чат-віджету aioreply.com (далі - «Сервіс», «Віджет»).
2. Оператором Сервісу є [повна юридична назва компанії], зареєстрована в Україні, ідентифікаційний код [ЄДРПОУ/номер], адреса: [адреса], електронна пошта для звернень з питань персональних даних: pd@aioreply.com (далі - «Оператор», «ми»).
3. Політика розроблена відповідно до:
   • Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI;
   • Регламенту (ЄС) 2016/679 (GDPR) - у частині, що стосується обробки даних користувачів з Європейського Союзу та Європейської економічної зони;
   • інших застосовних норм законодавства країни перебування Користувача, якщо це прямо не суперечить законодавству України.
4. Оператор не веде діяльності на території Російської Федерації, не має представництв, серверів чи домовленостей із суб'єктами РФ, і ця Політика не поширюється на осіб, які отримують доступ до Сервісу з території РФ в обхід технічних обмежень - обробка їхніх даних не гарантується та не регулюється положеннями, спрямованими на захист прав суб'єктів персональних даних за законодавством ЄС/України.
5. Використовуючи Віджет (надсилаючи повідомлення, залишаючи ім'я та номер телефону), Користувач підтверджує ознайомлення з цією Політикою та надає згоду на обробку своїх персональних даних на визначених нижче умовах. Якщо Користувач не згоден з Політикою - він повинен утриматись від використання Сервісу.

2. Роль Оператора та Партнерів

1. Сервіс aioreply.com надається компаніям та фізичним особам-підприємцям (далі - «Партнер»), які встановлюють Віджет на власному сайті або підключають месенджери для комунікації зі своїми клієнтами.
2. Персональні дані, що надходять через Віджет, обробляються:
   • Партнером (власником сайту/сторінки) - як особою, що визначає мету звернення та використовує отримані контакти для комунікації зі своїм клієнтом;
   • Оператором (aioreply) - як технічним постачальником, що забезпечує зберігання, передачу та відображення повідомлень в адміністративній панелі Партнера.
3. Оператор не використовує отримані через Віджет персональні дані для власних маркетингових цілей і не поєднує їх з базами інших Партнерів без окремої правової підстави.

3. Які дані ми збираємо

1. Дані, що вводяться Користувачем безпосередньо:
   • ім'я;
   • номер телефону;
   • текст повідомлень у чаті (історія переписки).
2. Технічні та ідентифікаційні дані, що формуються автоматично:
   • унікальний ідентифікатор Клієнта (Client ID), який прив'язується до конкретного сайту (сайтів), на якому встановлено Віджет;
   • дата та час звернень;
   • сторінка сайту, з якої розпочато діалог;
   • IP-адреса, тип пристрою та браузера (технічні cookies-файли - за окремою Політикою щодо cookie).
3. Дані, що надходять через підключений месенджер Telegram:
   • публічний ідентифікатор/юзернейм облікового запису Користувача в Telegram;
   • ім'я профілю (якщо надане самим Telegram);
   • текст повідомлень, надісланих через цей канал.

   Підключення інших каналів (Instagram, Facebook Messenger, X, Viber) наразі не реалізовано технічно. З моменту їх фактичного запуску цей пункт буде доповнено переліком даних, що надходять через відповідний канал.

4. Ми не запитуємо і свідомо не обробляємо спеціальні категорії персональних даних (стан здоров'я, релігійні чи політичні погляди, біометрію тощо), якщо Користувач добровільно не вкаже таку інформацію в тексті повідомлення на власний розсуд.

4. Мета обробки персональних даних

Дані обробляються виключно для:

• ідентифікації Користувача при зверненні через Віджет;
• забезпечення можливості Партнера (та операторів/адміністраторів Партнера) відповісти на звернення в тому каналі, звідки воно надійшло, або в адмін-панелі;
• ведення історії переписки для якісного та послідовного обслуговування Користувача при повторних зверненнях;
• технічної підтримки роботи Сервісу, запобігання зловживанням та шахрайству.

Дані не використовуються для автоматизованого прийняття рішень, що породжують юридичні наслідки для Користувача.

5. Правові підстави обробки

Залежно від застосовного права, обробка здійснюється на підставі:

• згоди Користувача, наданої шляхом здійснення дії - відправлення повідомлення через Віджет із зазначенням імені та телефону (конклюдентна дія);
• законного інтересу Оператора та Партнера в забезпеченні комунікації з особою, яка сама ініціювала звернення;
• виконання договору - якщо звернення пов'язане з наданням послуг/товарів Партнера Користувачу.

Для Користувачів з ЄС/ЄЕЗ додатково застосовуються положення GDPR щодо правових підстав (ст. 6 GDPR), зокрема згода (п. 1(a)) та законний інтерес (п. 1(f)).

6. Місце та строк зберігання даних

1. Персональні дані зберігаються на серверах, розташованих у Німеччині (Європейський Союз).
2. Оскільки сервери фізично знаходяться в межах ЄС, транскордонна передача даних за межі ЄЕЗ у звичайному режимі не здійснюється. У разі залучення субпідрядників (хостинг, поштові сервіси тощо) за межами ЄЕЗ ми забезпечуємо застосування належних механізмів захисту (наприклад, Стандартних договірних застережень ЄС).
3. Історія переписки та контактні дані зберігаються протягом строку, необхідного для досягнення мети обробки, а саме:
   • протягом строку дії облікового запису/договору Партнера із Сервісом;
   • додатково - до 3 років після останнього звернення Користувача, для можливості відновлення історії при повторному зверненні;
   • дані видаляються або знеособлюються протягом 30 днів після втрати підстави для їх зберігання (відкликання згоди, завершення співпраці Партнера з Оператором тощо), якщо законодавство не вимагає іншого строку.

7. Кому передаються дані

1. Доступ до історії переписки та контактних даних Користувача мають:
   • оператори та адміністратори Партнера, на сайті/сторінці якого відбулося звернення;
   • уповноважені технічні співробітники Оператора (aioreply) - виключно в обсязі, необхідному для технічної підтримки та забезпечення роботи Сервісу.
2. На поточний момент Оператор не передає персональні дані Користувачів стороннім сервісам чи особам, окрім випадків, прямо описаних у цій Політиці, а саме передачі повідомлень через підключені месенджери (п. 7.3) та вимог законодавства (п. 7.4).
3. При підключенні Партнером каналу Telegram повідомлення технічно проходять через інфраструктуру Telegram згідно з його власною політикою конфіденційності: https://telegram.org/privacy. Ми рекомендуємо Користувачам ознайомитись із цією політикою окремо, оскільки Оператор не контролює обробку даних на стороні цієї платформи.

   Аналогічні положення щодо Instagram, Facebook, X та Viber будуть додані до цієї Політики з моменту фактичного технічного підключення відповідних каналів - до того часу дані через них не обробляються.

4. Дані можуть бути розкриті без згоди Користувача на обґрунтовану вимогу компетентних державних органів у порядку, передбаченому законодавством України.
5. У разі змін у цій практиці (наприклад, підключення нових інтеграцій чи аналітичних сервісів) Політика буде оновлена завчасно з повідомленням Партнерів та/або Користувачів.

8. Права Користувача

1. Незалежно від країни перебування, Користувач має право:
   • отримати підтвердження факту обробки своїх даних та ознайомитись з їх змістом;
   • вимагати виправлення неточних або застарілих даних;
   • вимагати видалення даних («право бути забутим»), крім випадків, коли зберігання вимагається законом;
   • відкликати надану згоду в будь-який момент;
   • заперечити проти обробки, здійснюваної на підставі законного інтересу.
2. Для Користувачів з ЄС/ЄЕЗ додатково гарантуються права, передбачені GDPR: право на обмеження обробки, право на перенесення даних (data portability), а також право подати скаргу до наглядового органу з захисту даних своєї країни.
3. Для реалізації будь-якого з цих прав Користувач може звернутись на електронну адресу: pd@aioreply.com. Запит буде розглянуто протягом строку, встановленого застосовним законодавством (як правило, не більше 30 днів).

9. Заходи захисту даних

1. Оператор вживає організаційних і технічних заходів, спрямованих на захист персональних даних від несанкціонованого доступу, втрати, зміни чи розголошення, зокрема:
   • передача даних між браузером Користувача та Сервісом здійснюється захищеним з'єднанням (HTTPS/TLS);
   • паролі операторів та адміністраторів зберігаються виключно у хешованому вигляді з використанням стійких криптографічних алгоритмів (не у відкритому вигляді);
   • доступ до історії переписки розмежовано за ролями: оператор Партнера бачить лише звернення, що стосуються його сайту/діалогів, адміністратор Партнера - ширше, в межах свого облікового запису;
   • запроваджено обмеження частоти запитів (rate limiting) для протидії автоматизованим зловживанням та підбору паролів;
   • доступ до внутрішньої інфраструктури та бази даних обмежено і не є публічно доступним із мережі Інтернет.
2. Абсолютна безпека даних не може бути гарантована жодною інформаційною системою. Незважаючи на вжиті заходи, Оператор не виключає ризику несанкціонованого доступу до даних внаслідок дій третіх осіб (кібератак), обставин непереборної сили або порушення Партнером чи Користувачем власних правил безпеки (розголошення паролів, ключів доступу до Віджета тощо).
3. У разі виявлення інциденту безпеки, що спричинив або міг спричинити несанкціонований доступ до персональних даних:
   • Оператор вживає невідкладних заходів для усунення причини інциденту та мінімізації наслідків;
   • за наявності ризику для прав і свобод Користувачів Оператор повідомляє про інцидент компетентний наглядовий орган у строки, встановлені застосовним законодавством (зокрема, для Користувачів з ЄС/ЄЕЗ - не пізніше 72 годин з моменту виявлення, відповідно до ст. 33 GDPR);
   • за наявності високого ризику для прав Користувачів Оператор інформує безпосередньо затронутих Користувачів та/або відповідного Партнера.
4. Обмеження відповідальності. У межах, що допускаються застосовним законодавством, Оператор не несе відповідальності за:
   • непрямі, побічні чи опосередковані збитки (упущену вигоду, втрату ділової репутації, втрату даних як такої) незалежно від причини їх виникнення;
   • наслідки, спричинені діями та/або бездіяльністю третіх осіб, включно з несанкціонованим доступом (кібератаками), збоями чи витоками на стороні платформ-месенджерів (Telegram тощо), провайдерів хостингу або каналів зв'язку, що не перебувають під прямим контролем Оператора;
   • наслідки розголошення Партнером або Користувачем власних облікових даних, ключа Віджета (widget key), паролів чи інших засобів доступу, а також передачі доступу до адміністративної панелі особам без належних повноважень;
   • обставини непереборної сили (форс-мажор), включно з воєнними діями, актами органів влади, збоями в роботі мереж зв'язку чи енергопостачання.

   Сукупна відповідальність Оператора перед Партнером за будь-якими вимогами, що виникають у зв'язку з використанням Сервісу, обмежується сумою, сплаченою Партнером Оператору за Сервіс протягом 12 місяців, що передували події, яка стала підставою для вимоги (якщо інше не встановлено окремим договором між Оператором та Партнером).

   Оператор постійно вдосконалює технічні та організаційні заходи захисту персональних даних і докладає розумних зусиль для запобігання інцидентам безпеки, однак не гарантує повної відсутності вразливостей чи абсолютної захищеності Сервісу.

   Це положення не обмежує та не скасовує права Користувача, гарантовані імперативними нормами законодавства України та/або GDPR, а також не обмежує відповідальність Оператора у випадках, коли таке обмеження прямо заборонено застосовним законодавством (зокрема, у разі умисних дій чи грубої недбалості Оператора, якщо це визначено імперативними нормами права).

5. Партнер, який використовує Сервіс, зобов'язаний самостійно забезпечувати конфіденційність своїх облікових даних та ключа Віджета, а також не передавати доступ до адміністративної панелі особам, що не мають на це повноважень.

10. Файли cookie

Використання Віджета може супроводжуватись встановленням технічних cookie-файлів, необхідних для коректної роботи чату (збереження ідентифікатора сесії/клієнта). Окрема Політика щодо файлів cookie буде опублікована додатково.

11. Зміни до Політики

Оператор має право вносити зміни до цієї Політики. Актуальна редакція завжди доступна за адресою: https://aioreply.com/privacy. У разі суттєвих змін Партнери будуть повідомлені окремо.

12. Контакти

З питань обробки персональних даних, реалізації прав Користувача, а також відкликання згоди звертайтесь:

• Email: pd@aioreply.com
• Юридична адреса: [адреса]