Політика конфіденційності
Ця Політика конфіденційності пояснює, як Marko Omelyash VARSOFIA (оператор sign.yt) обробляє персональні дані. Ми діємо як контролер даних щодо даних відвідувачів та облікових записів операторів і як обробник (процесор) щодо вмісту документів і даних підписантів, які завантажують організації-клієнти. Обробка даних документів Клієнта додатково регулюється окремою Угодою про обробку даних (DPA).
1. Контролер даних
Marko Omelyash VARSOFIA, фізична особа-підприємець, зареєстрована у Польщі, NIP 7011036703. Контакт з усіх питань конфіденційності та захисту даних: support@sign.yt.
2. Обсяг та роль
Ми є контролером щодо: аналітики відвідувачів, облікових даних користувачів-операторів, платіжних даних та телеметрії безпеки. Ми є обробником щодо: вмісту документів, завантажених організаціями-клієнтами, персональних даних одержувачів у цих документах та записів журналу аудиту, що виникають з робочих процесів, ініційованих клієнтами. Організації-клієнти є контролерами цих даних і дають нам вказівки через Сервіс і DPA.
3. Категорії даних
Обліковий запис: email, ім'я, хеш пароля, секрети MFA (зашифровані), ідентифікатори SSO. Дані документів: завантажені файли (зашифровані у спокої), імена, email-адреси та номери телефонів одержувачів, а також докази підпису. Телеметрія: IP-адреса, user-agent, мітки часу та referrer для безпеки та виявлення зловживань. Cookies: суворо необхідні токени сесії та CSRF, налаштування мови та теми. Ми не використовуємо за замовчуванням аналітичні, рекламні чи сторонні відстежувальні cookies.
4. Правова підстава (ст. 6 GDPR/РОДО)
Виконання договору — для надання Сервісу, керування обліковим записом, виставлення рахунків. Законний інтерес — для безпеки, запобігання шахрайству, адміністрування системи та прямої комунікації з наявними клієнтами (з можливістю заперечення). Юридичний обов'язок — для податкового, бухгалтерського обліку та зберігання журналу аудиту. Згода — для будь-яких необов'язкових cookies, маркетингових повідомлень особам, які не є клієнтами, та для опціональних функцій ШІ.
5. Субобробники
Ми залучаємо субобробників для хостингу інфраструктури, доставки email та SMS, обробки платежів і — лише коли це активує клієнт — забезпечення опціональних функцій ШІ. Актуальний перелік субобробників ведеться онлайн і періодично оновлюється; клієнти можуть ознайомитися з ним у будь-який час та з обґрунтованих причин заперечити проти нового субобробника. Кожен субобробник залучений на основі відповідних договірних умов (додатків про обробку даних, бізнес- або API-умов) та з гарантіями міжнародних передач, описаними в розділі 6. Актуальний перелік опубліковано за адресою sign.yt/subprocessors.
6. Міжнародні передачі
За замовчуванням дані документів Клієнта обробляються в межах Європейського економічного простору. Якщо персональні дані передаються за межі ЄЕП — наприклад, через окремих платіжних, поштових або ШІ-субобробників, розташованих у Сполучених Штатах, — ми спираємося на Стандартні договірні положення Європейської Комісії (Рішення 2021/914) та на технічні й організаційні заходи, узгоджені з рішенням Schrems II, зокрема шифрування під час передачі та у спокої, суворий контроль доступу та прозорість щодо будь-яких законних запитів державних органів, отриманих відповідним субобробником.
7. Терміни зберігання
Дані документів Клієнта зберігаються відповідно до налаштування строку зберігання, обраного клієнтом для його організації, або, якщо налаштування не встановлено, протягом стандартного архівного періоду в десять (10) років після завершення — як функція збереження доказів Сервісу (а не як юридичний обов'язок з нашого боку). Дані облікового запису зберігаються протягом активного періоду використання та до 24 місяців після його закриття. Журнали аудиту зберігаються протягом того ж строку, що й пов'язані з ними дані документів. Резервні копії підлягають 90-денній ротації. Запити (prompts) ШІ не зберігаються після виклику інференсу.
8. Ваші права
Згідно зі статтями 15-22 GDPR/РОДО Ви маєте право на доступ, виправлення, видалення, обмеження, перенесення та заперечення проти обробки Ваших персональних даних, а також на відкликання будь-якої наданої згоди. Щоб скористатися цими правами, напишіть на support@sign.yt або скористайтеся вбудованим процесом /rodo-request. Ми відповідаємо протягом 30 днів. Якщо Ваші персональні дані були завантажені організацією-клієнтом, ми перешлемо Ваш запит цьому клієнту (контролеру) та допоможемо йому з відповіддю. Ви також можете подати скаргу до Голови Управління захисту персональних даних (Prezes UODO, ul. Stawki 2, 00-193 Warszawa, Польща) або до місцевого наглядового органу.
9. Безпека
Ми застосовуємо технічні та організаційні заходи, відповідні ризику, згідно зі статтею 32 GDPR/РОДО, зокрема TLS під час передачі, шифрування у спокої для блобів документів та польове шифрування для чутливих облікових даних, сучасне хешування паролів, підтримку багатофакторної автентифікації, рольову модель доступу, журнал аудиту лише на додавання з ланцюгом хешів та процес повідомлення про порушення протягом 72 годин відповідно до статті 33. Додатково ми покладаємося на сторонній периметральний захист (термінація TLS, захист від DDoS, WAF), що надається авторитетними постачальниками.
10. Обробка ШІ
Функції ШІ (наприклад, автовизначення полів або перегляд договорів) є опціональними та активуються на рівні організації. Якщо їх увімкнено, текст документів передається постачальнику ШІ, обраному клієнтом (Anthropic, OpenAI, Google або інший підтримуваний постачальник), виключно для інференсу. У межах, передбачених бізнес- або API-умовами обраного постачальника, вміст клієнта не використовується для тренування моделей; ми не можемо гарантувати договірних умов кожного стороннього постачальника, тому клієнту слід ознайомитися з ними перед увімкненням функцій ШІ. Клієнт може у будь-який момент вимкнути обробку ШІ в налаштуваннях своєї організації.
11. Файли cookie
Ми використовуємо лише суворо необхідні cookies — сесійні cookies для автентифікації, cookie з токеном CSRF та налаштування мови/теми. За замовчуванням ми не використовуємо аналітичні, рекламні чи сторонні відстежувальні cookies. Якщо в майбутньому ми введемо будь-які необов'язкові cookies, ми попередньо запитаємо інформовану згоду відповідно до Директиви про електронну приватність 2002/58/EC та польських правил електронних комунікацій, що її імплементують. На сторінках входу, реєстрації та публічних форм підпису ми використовуємо Cloudflare Turnstile (Cloudflare, Inc.) для блокування автоматизованих зловживань. Сервіс обробляє вашу IP-адресу та технічні сигнали браузера і може зберегти в браузері короткочасний токен безпеки; він використовується лише для безпеки (ст. 6(1)(f) GDPR), а не для відстеження чи реклами.
12. Діти
Сервіс не призначений для дітей віком до 16 років. Ми свідомо не збираємо персональних даних дітей. Організації-клієнти гарантують, що мають належну правову підставу щоразу, коли Сервіс використовується для обробки персональних даних неповнолітніх.
13. Зміни цієї політики
Ми можемо періодично змінювати цю політику. Про істотні зміни ми повідомимо щонайменше за 30 днів електронною поштою та через банер у продукті. Поточна версія та дата набрання чинності зазначені вище.
14. Контакт
З усіх питань або щодо реалізації будь-якого з прав за цією політикою, будь ласка, звертайтеся до контролера за адресою support@sign.yt. Угода про обробку даних, що регулює обробку даних документів Клієнта, доступна за адресою /dpa.