Політика конфіденційності

Хто ми

AltOrbit — незалежний проєкт, наразі без зареєстрованої юрособи. Юрособа (планується в ЄС) буде заснована до публічного запуску. Коли ця політика каже "ми", мається на увазі AltOrbit. Коли каже "ви" — це будь-хто, чиї дані ми обробляємо: зазвичай користувач воркспейсу AltOrbit або відвідувач altorbit.app.

Дві ролі — залежно від даних. Щодо того, що всередині воркспейсу, — час, оплата, відпустки, чат, файли, — контролером є ваша організація, а ми обробляємо ці дані від її імені згідно з нашою угодою про обробку даних (DPA); з питаннями про ці дані найкраще спершу звертатися до роботодавця. Щодо вашого акаунта, білінгу, цього сайту, списку раннього доступу та підтримки контролер — ми.

Що ми збираємо

Речі, які ви нам даєте; речі, які генерує ваш воркспейс; і речі, які ми вимірюємо, щоб сервіс працював.

Навіщо використовуємо

Кожна мета та правова підстава, на яку ми спираємося за GDPR:

• Щоб продукт працював — вхід, синхронізація, сповіщення, білінг. Підстава: наш договір із вами або вашою організацією (ст. 6(1)(b)).
• Щоб тримати його у безпеці — блокувати спроби підбору паролів (brute-force), виявляти скомпрометовані акаунти, вести аудит дій адміністраторів. Підстава: наш законний інтерес у безпеці сервісу та його користувачів (ст. 6(1)(f)).
• Щоб покращувати сайт і застосунки — псевдонімна аналітика через PostHog: які сторінки й екрани використовуються і де буксує онбординг. На сайті та у вебзастосунку це також може включати кліки й позиції прокручування (теплові карти), вимірювання швидкості сторінок, короткі опитування та записи того, як ви переходите сторінками (запис сесій); усе, що ви вводите в поля форм, приховується ще в браузері й не записується, а у вебзастосунку приховуються також увесь текст і зображення, тож запис показує лише розкладку й кліки, а не ваш вміст. Лише якщо ви погодилися на аналітику — у банері cookie на сайті або в запиті вебзастосунку чи мобільного застосунку (згода, ст. 6(1)(a)). Якщо ви погодилися і на сайті, і у вебзастосунку, ваші попередні відвідування сайту пов’язуються з акаунтом. Та анонімні показники швидкості сторінок через Vercel Speed Insights, який не використовує cookies (законний інтерес, ст. 6(1)(f)).
• Щоб розуміти, як використовується продукт — наші сервери фіксують ключові дії у вашому акаунті — реєстрацію, створення проєкту, закриття тікета, зміну тарифу — і надсилають їх до PostHog (ЄС) з ідентифікаторами акаунта та робочого простору: ніколи ім’я, email чи те, що ви пишете, і без IP-адреси. Це не використовує cookies і не залежить від вибору щодо аналітики вище. Підстава: наш законний інтерес розуміти, які частини продукту працюють (ст. 6(1)(f)). Заперечити можна будь-коли — напишіть на privacy@altorbit.app, і ми припинимо.
• Щоб говорити з вами — чеки, повідомлення про безпеку та листи щодо акаунта (договір); лист про запуск для списку раннього доступу й продуктові новини — лише якщо ви про них просили (згода).
• Щоб відповідати вам — запити в підтримку поштою, через форму чи в чаті. Підстава: наш договір із вами або наш законний інтерес допомагати відвідувачам (ст. 6(1)(b)/(f)).
• Щоб виконувати юридичні обов’язки — білінгові та податкові записи. Підстава: юридичний обов’язок (ст. 6(1)(c)).

Дані з підключених сервісів

Інтеграції вимкнені, доки хтось їх не ввімкне. Коли ви підключаєте календар або місце для резервних копій, AltOrbit читає чи записує лише те, що потрібно цій функції:

• Календарі (Google Calendar, Microsoft Outlook, CalDAV) — ми читаємо список ваших календарів (назву, колір і який із них основний), щоб ви обрали, які підключити. З обраних календарів ми читаємо в кожної події назву, час початку й завершення з часовим поясом, повторення, вашу відповідь на запрошення, кількість учасників, чи позначена вона як приватна або «вільний», посилання на неї в календарі та посилання на відеодзвінок. Щоб знайти посилання на відеодзвінок, ми також переглядаємо місце й опис події; їх ми не зберігаємо. Кожну зустріч ви позначаєте як робочу чи особисту; робочі можуть стати записами часу в проєкті. Ми створюємо окремий календар «AltOrbit» і пишемо лише в нього ваші блоки часу, погоджену відпустку та свята компанії. Ваші власні події ми ніколи не змінюємо й не видаляємо. Коли ви відкриваєте список гостей зустрічі, ми запитуємо його з вашого календаря в цей момент, щоб показати вам, і зіставляємо гостей з учасниками воркспейсу; сам список ми не зберігаємо.
• Резервні копії (Google Drive, OneDrive, Dropbox) — власник може надсилати копію воркспейсу у своє сховище. У Google Drive ми працюємо лише з файлами й папками, які створив AltOrbit; решта вмісту Drive нам не видна.
• Відключення зупиняє будь-яке читання й запис, видаляє збережені токени та всі зустрічі, імпортовані з цього акаунта, видаляє створений нами календар «AltOrbit» і відкликає наш доступ у провайдера. Те саме відбувається, коли видаляється ваш акаунт або воркспейс. Записи часу, які вже стали з робочих зустрічей, залишаються — це ваші власні записи. Відкликати наш доступ можна й будь-коли в акаунті Google, у розділі «Сторонні застосунки та сервіси».
• Дані з цих сервісів використовуються лише для підключених вами функцій — у тому вигляді, в якому ви бачите їх в AltOrbit. Ми їх не продаємо, не використовуємо для реклами й нікому не передаємо, окрім субпідрядників, на яких працюють ці функції, і працівники AltOrbit їх не читають — окрім випадків, коли ви самі просите про це в підтримці, або цього вимагають безпека чи закон.
• AI та машинне навчання — ми не використовуємо дані, отримані через API Google Workspace або з будь-якого іншого підключеного сервісу, для розробки, покращення чи навчання узагальнених або неперсоналізованих моделей AI та машинного навчання і не дозволяємо робити це нікому іншому. Такі дані може побачити лише одна AI-функція — чернетка стендапу, і лише коли ви самі її запитуєте: вона надсилає нашому AI-провайдеру, Anthropic, ваші власні записи часу за останні два дні, а в них можуть бути назви зустрічей, які ви врахували як робочі. Провайдер обробляє їх лише для того, щоб написати чернетку, на умовах, які виключають навчання на цих даних. Якщо ви самі підключите AI-застосунок, він може прочитати такий запис часу, як і будь-який інший видимий вам контент, — див. AI-застосунки, які ви підключаєте.

Використання та передавання в будь-які інші застосунки інформації, отриманої AltOrbit через API Google, відповідає вимогам Google API Services User Data Policy, зокрема вимогам Limited Use (обмеженого використання).

AI-застосунки, які ви підключаєте

Ви можете підключити до свого акаунта AltOrbit AI-застосунок на свій вибір — Claude, ChatGPT, Cursor або інший клієнт із підтримкою Model Context Protocol, — щоб він працював із вашим воркспейсом за вас (як це влаштовано). Поки ви не підтвердите підключення, нічого не підключено.

• Що отримує застосунок — лише те, що ви самі бачите в AltOrbit, в одному воркспейсі, до якого ви його підключили, у межах схвалених прав, і лише тоді, коли застосунок викликає наш інструмент на ваше прохання. Це можуть бути тікети й коментарі, дані проєктів, імена людей, з якими ви працюєте, ваші записи часу з нотатками (у записі, створеному із зустрічі календаря, це її назва), файли, прикріплені до тікетів (файл, який відкриває застосунок, приходить посиланням, що спливає за 15 хвилин), ваші сповіщення та звіти за проєктами. Самі ми йому нічого не надсилаємо.
• Провайдера обираєте ви — застосунок і AI-модель за ним обираєте ви. Те, що він отримав, далі обробляє цей провайдер за своїми умовами й політикою конфіденційності, а не за нашими, і він не входить до наших субобробників. Перевірте, чи може ваш провайдер навчати моделі на ваших розмовах, і налаштуйте це так, як вам потрібно. Підключений застосунок — не AI-функція AltOrbit: наші зобов’язання щодо AI вище стосуються провайдера, якого використовуємо ми, а не того, якого обираєте ви.
• Що ми зберігаємо — для кожного підключення: ім’я та сайт, які застосунок указує про себе, адресу, куди повертається його вхід, схвалені воркспейс і права, а також коли його створено, коли востаннє використано і коли спливає чи було відкликано. Токени зберігаються лише у вигляді ключових хешів; для персонального токена ми ще зберігаємо останні чотири символи, щоб ви могли його впізнати. Дії застосунку потрапляють у журнал аудиту, як і ваші власні, з позначкою цього підключення, а версії тікетів позначають зміни, зроблені через MCP.
• Скільки це триває і як зупинити — підключення працює, доки ви не відключите його в Налаштування › AI-агенти (це спрацьовує одразу), доки власник або адміністратор компанії не відкличе його, або доки воно не спливе: застосунок — через 30 днів без використання (не пізніше 365 днів), персональний токен — через 90 днів без використання (не пізніше 365 днів). Скидання пароля чи вихід з усіх інших сесій теж їх відключає. Поки організація тримає AI-підключення вимкненими, ваші підключення стоять на паузі, а не припиняються. Запис про підключення зберігається разом з акаунтом і видаляється разом із ним; записи аудиту зберігаються так, як описано в розділі Як довго зберігаємо.
• Рішення вашої організації — чи можуть AI-застосунки працювати з даними воркспейсу, вирішує ваша організація як контролер цих даних. Її власники та адміністратори компанії можуть вимкнути AI-підключення для всього воркспейсу (за замовчуванням їх увімкнено): тоді підключені застосунки й токени стоять на паузі й отримують відмову, а нові підключити не можна, доки підключення знову не ввімкнуть. Вони бачать усі застосунки й токени, підключені до воркспейсу, і можуть відкликати будь-який із них — власник підключення отримає сповіщення, — а також отримують сповіщення, коли учасник підключає AI-застосунок або створює токен.
• Правова підстава — наш договір із вами чи вашою організацією (ст. 6(1)(b)): застосунок працює з вашими даними, бо ви його про це попросили. Журнал аудиту воркспейсу показує, що змінили підключені застосунки.

Як ми захищаємо ваші дані

Ці заходи захищають усе, що ми зберігаємо, зокрема дані, які ви приносите з підключених сервісів на кшталт Google:

• Шифрування під час передавання — будь-яке з'єднання з сайтом, застосунками та API AltOrbit іде через HTTPS (TLS), з HSTS, щоб браузер ніколи не повертався до звичайного HTTP. З Google, Microsoft та іншими провайдерами ми спілкуємося лише через HTTPS.
• Шифрування під час зберігання — OAuth-токени доступу й оновлення зашифровані AES-256-GCM, кожен зі своїм випадковим nonce і прив'язкою до свого підключення. Ключ зберігається окремо від бази даних, у конфігурації сервера, і його можна замінити. Токени розшифровуються лише на наших серверах у момент, коли вони потрібні функції, і ніколи не потрапляють у ваш браузер чи на пристрій.
• Ізольоване зберігання — база даних працює на виділеному сервері у Франкфурті й не приймає підключень з інтернету. Рядки кожного воркспейсу розділені захистом на рівні рядків (row-level security) у самій базі, тож один воркспейс не може прочитати дані іншого.
• Хто це бачить — зустрічі, імпортовані з вашого календаря, бачите лише ви, а не власники чи адміністратори воркспейсу. Записом часу стає лише зустріч, яку ви позначили як робочу, — з її назвою в нотатці; такий запис бачать ті, хто й так бачить ваш час. Список гостей ми запитуємо, коли ви його відкриваєте, і не зберігаємо.
• Мінімальні права — у Google ми просимо доступ до ваших календарів лише на читання, пишемо лише в окремий календар «AltOrbit», який створюємо самі, а в Google Drive бачимо лише файли, створені AltOrbit. Імпортуємо зустрічі за 30 днів назад і на 180 днів уперед — саме той діапазон, який показує функція.
• Доступ працівників — доступ до робочих систем мають лише уповноважені працівники, яким він потрібен, і використовується лише щоб обслуговувати сервіс, допомогти вам на ваше прохання або коли цього вимагають безпека чи закон. Внутрішнього інструмента для перегляду даних користувачів немає.
• Логи та звіти про помилки — токени, паролі та інші секрети вичищаються до того, як будь-що потрапить у лог чи в систему відстеження помилок.
• Резервні копії — копії бази даних зберігаються в ЄС з обмеженим доступом і видаляються протягом 90 днів.
• Підключені AI-застосунки — щоб схвалити застосунок, треба підтвердити, що це ви; його токени зберігаються лише у вигляді ключових хешів, access-токен діє одну годину, а кожен виклик наново перевіряє ваш доступ, тож відключення, вимкнення AI-підключень власником чи адміністратором або втрата доступу в AltOrbit зупиняє його одразу.
• Якщо щось пішло не так — якщо витік ставить ваші дані під загрозу, ми повідомляємо наглядовий орган протягом 72 годин, а вас — без невиправданої затримки, як вимагає GDPR.

З ким ділимось

Короткий публічний список субпроцесорів. Використовуємо їх, бо власна реалізація була б гіршою для ваших даних, а не кращою.

• OVHcloud — сервери застосунку, база даних і бекапи (Франкфурт, Німеччина).
• Cloudflare — DNS, CDN, захист від DDoS, перевірка наших форм на ботів (Turnstile) і зберігання файлів (Західна Європа).
• Vercel — хостинг сайту та веб-застосунку й анонімне вимірювання швидкості сторінок (Speed Insights).
• Stripe — обробка платежів. Дані карток не торкаються наших серверів.
• Resend — транзакційний email (чеки, скидання пароля, запрошення).
• Sentry — відстеження помилок. Налаштовано з очищенням персональних даних (PII).
• Anthropic — AI-модель для AI-функцій та асистента чату підтримки (США).
• Expo — push-сповіщення в Android-застосунок, що доставляються через Google Firebase Cloud Messaging, та оновлення застосунку (США).
• PostHog — продуктова аналітика сайту й застосунків, зокрема теплові карти й записи сесій на сайті (поля форм приховані) і у вебзастосунку (приховані весь текст, введення й зображення), і статистика використання з наших серверів (ЄС; IP-адреси відкидаються).
• GIPHY — пошук GIF у чаті (США). Пошукові запити йдуть через наші сервери без жодних даних, що вас ідентифікують; Android-застосунок завантажує зображення GIF безпосередньо з GIPHY.

Повний список з актуальними адресами й DPA — на altorbit.app/subprocessors, оновлюється з кожною зміною — власникам (Owner) надсилаємо email за 30 днів до додавання будь-якого нового процесора.

Де живуть ваші дані

Дані воркспейсу, файли й бекапи зберігаються в ЄС — база даних у Франкфурті, файли в Західній Європі. Частина обробки відбувається поза ЄС: сервери веб-застосунку працюють на Vercel у США й бачать запити під час передачі, мережа Cloudflare глобальна, AI-функції звертаються до провайдера моделей у США, push-сповіщення в Android-застосунок ідуть через Expo (США), а платежі — через Stripe. Ці передачі покриті Стандартними договірними положеннями ЄС або Рамкою конфіденційності даних ЄС — США (EU-US Data Privacy Framework). Регіон у США — у планах, без фіксованої дати.

Ваші права

Якщо ви під GDPR (ЄС/Велика Британія), CCPA (Каліфорнія) або подібним регулюванням, ви маєте право:

• Доступ — отримати копію своїх даних. Самостійно в налаштуваннях або напишіть нам; дуже велика історія ділиться на кілька файлів.
• Виправлення — поправити неправильне. Більшість редагується з профілю.
• Видалення — видалити акаунт: персональні дані стираються одразу й зникають із бекапів протягом 90 днів. Контент, який ви створили у воркспейсі, лишається в цьому воркспейсі.
• Перенесення — завантажити свої персональні дані в JSON або CSV.
• Заперечення — відмова від неосновного використання: маркетингові листи, аналітика і статистика використання, яку фіксують наші сервери (напишіть нам, див. нижче).
• Обмеження — попросити нас призупинити використання ваших даних, поки перевіряється запит або спір.
• Відкликання згоди — для аналітики чи листів про запуск, будь-коли: скористайтеся «Налаштуваннями cookie» у футері сайту, перемикачем аналітики в налаштуваннях застосунку або відпишіться від розсилки. Обробка до відкликання згоди лишається законною.

Ми не ухвалюємо щодо вас рішень, що ґрунтуються виключно на автоматизованій обробці. Воркспейси можуть увімкнути сповіщення про овертайм: вони повідомляють лідам, коли хтось фіксує погоджений овертайм у більшість останніх днів; сповіщення інформує людину, але нічого не вирішує.

Пишіть на privacy@altorbit.app. Відповідаємо протягом 2 робочих днів і виконуємо запити протягом місяця, як вимагає GDPR.

Як довго зберігаємо

• Активні воркспейси — стільки, скільки існує воркспейс. Власники (Owner) можуть налаштувати автоматичне видалення старіших записів чату й часу через 12, 24 або 36 місяців.
• Неактивні Free-воркспейси — Free-воркспейс, яким ніхто не користується 12 місяців, може бути видалено. Кожен Owner отримує попереджувальний лист за 30 днів, і будь-яка активність скасовує видалення.
• Видалені воркспейси — доступ припиняється одразу, а Owner може відновити воркспейс протягом 30 днів; потім він видаляється з основного сховища й зникає з бекапів протягом 90 днів.
• Імпортовані зустрічі календаря — видаляються через 31 день після закінчення або одразу, коли ви відключаєте календар.
• Підключені AI-застосунки й токени — доки ви або власники чи адміністратори воркспейсу їх не відключите або вони не спливуть (30 днів без використання для застосунку, 90 — для токена, не більше року); запис про підключення видаляється разом з акаунтом.
• Журнали аудиту — 30 днів на Free, 365 днів на Pro, далі видаляємо.
• Білінгові записи — 7 років, бо так каже податкове законодавство.
• Список раннього доступу — доки ми не надішлемо лист про запуск. Попросіть — і ми видалимо вас раніше.
• Запити й чати підтримки — стільки, скільки потрібно, щоб відповісти вам і опрацювати подальші звернення.

Файли cookie

Використовуємо мінімум cookies, що дозволяє продукту працювати — session cookie, CSRF-токен, короткоживучі cookies для входу (двофакторна автентифікація, Google) і налаштування мови та теми. Чат підтримки зберігає ідентифікатор розмови в local storage браузера, щойно чат почався. На сайті та у вебзастосунку додатково працює аналітика PostHog (на сайті — зокрема теплові карти й записи сесій із прихованими полями форм) — вона вмикається лише після вашої згоди; змінити вибір можна будь-коли через «Налаштування cookie» у футері або в налаштуваннях застосунку. Vercel Speed Insights вимірює швидкість завантаження сторінок без cookies. Жодних рекламних чи ретаргетингових cookies.

Діти

AltOrbit не для дітей до 16 років. Якщо вважаєте, що дитина зареєструвалась — напишіть, видалимо акаунт негайно.

Зміни до цієї політики

Документ змінюємо, коли змінюються наші практики, а не заради розваги. Про суттєві зміни всім власникам (Owner) надсилаємо email за 30 днів. Косметичні (друкарські, формулювання) вносимо без окремого повідомлення.

Контакт

Контакт із питань приватності: Андрій Железко, засновник · privacy@altorbit.app. Уповноваженого із захисту даних (DPO) буде призначено після реєстрації юрособи AltOrbit.
Юридична адреса: публікується після реєстрації юрособи AltOrbit (планується в ЄС)
Представник у Великій Британії: буде призначений під час реєстрації юрособи

Ви можете будь-коли подати скаргу до органу із захисту даних — в ЄС зазвичай до того, що в країні, де ви живете або працюєте. Але будемо вдячні за шанс спершу все виправити — пишіть на адресу вище.