GDPR-готовий астрологічний API для розробників ЄС

Перший астрологічний API з повною резидентністю в ЄС. Якщо ви розробляєте B2C-продукт для європейського ринку - питання відповідності GDPR виникає до того, як ви напишете перший рядок коду. AstroWay вирішує це за замовчуванням, без додаткових тарифів і юридичної гімнастики.

Чому це важливо

Решта астрологічних API (DivineAPI, AstrologyAPI, Prokerala) розміщені в США / Індії. Це означає:

Ваш birth.date, birth.time, birth.lat, birth.lon (=PII у GDPR-сенсі) йде через США/Індію.
Subprocessor disclosure для вашого privacy policy: треба перераховувати їх юрисдикцію.
DPA (Data Processing Agreement): або не доступна, або тільки на Enterprise за окремий контракт.
EU-EUR Data Protection Authority audit ризик: трансгранична передача без SCC = штрафи €10M+.

AstroWay на тарифі Pro ($59/міс) дає вам резидентність в ЄС за замовчуванням: усі дані зберігаються й обчислюються в Hetzner Nuremberg. Ми адмініструємо ці машини з України, і DPA покриває цей доступ Стандартними договірними положеннями, замість того щоб вдавати, ніби його немає.

Технічний стек

Шар	Локація / провайдер
Compute	Hetzner, Nuremberg (Німеччина)
База даних	EU-резидентна, у тому самому дата-центрі - дані не залишають Nuremberg
CDN / DNS	Cloudflare with EU-region cache rules (запити з EU обслуговуються EU edges)
Email transactional	Brevo (formerly Sendinblue), EU-based, GDPR-compliant SMTP
Файли звітів	Наша інфраструктура в Nuremberg: доступ лише за підписаним посиланням з обмеженим строком, без реплікації за межі ЄС
Аналітика	GA4 з anonymizeIp + жодних персональних даних у подіях (Plausible self-hosted у дорожній карті)
Logs	structured JSON, IP-hash only (no raw IPs), retention 30 days

За замовчуванням (для всіх Pro+ ключів)

✅ Потік даних тільки в межах ЄС: birth-data ніколи не залишає Nuremberg
✅ Дані лишаються в ЄС, і ми кажемо точно, що це означає: birth-data зберігається й обчислюється в Nuremberg і більше нікуди не копіюється. Адмініструємо ці системи ми з України, а глава V GDPR вважає передачею і віддалений доступ, навіть коли нічого не виїжджає, тож DPA покриває цей доступ Стандартними договірними положеннями
✅ Хешування IP: у логах зберігається лише солений SHA-256 хеш плюс перші 16 біт адреси, за якими видно мережу, але не вузол. Саму адресу ми не зберігаємо ніде: обмеження частоти запитів рахується в пам’яті процесу й адресу теж нікуди не пише
✅ Зберігання логів 30 днів: після цього логи автоматично видаляються
⚠️ Анонімізована аналітика (GA4): anonymize_ip + жодних персональних даних у подіях. Plausible self-hosted (без cookies) - у дорожній карті. До міграції рекомендуємо власний cookie-banner на B2C-фронтенді.
✅ Right to erasure: DELETE /v1/me/account (Bearer JWT, тіло {"confirmation": "DELETE"}) миттєво вимикає всі ключі акаунта й ставить видалення на 30 днів. У цей строк запит можна відкликати через POST /v1/me/account/cancel-deletion, після нього щоденне завдання стирає наші дані про вас. Вікно свідоме: видалення не має бути незворотним через одну помилкову команду

За запитом (Pro+ підписники)

📄 DPA (Data Processing Agreement): стандартний шаблон GDPR Art. 28. Читаєте повний текст, приймаєте кнопкою в дашборді, і одразу забираєте PDF, у якому надрукований запис про прийняття: акаунт, версія, дата. Стаття 28 п. 9 приймає договір «у письмовій формі, в тому числі електронній», тож чекати на підпис не треба. Паперову копію з підписом робимо за запитом на legal@astroway.info.
📋 Перелік sub-processor’ів: повний список (Hetzner, Cloudflare, наш SMTP-провайдер і платіжний провайдер) з документами відповідності кожного. Brevo як SMTP-вендор зазначений у DPA-додатку для клієнтів, що його підписали.
🗂️ Вхід у DPIA (Data Protection Impact Assessment): якщо ваша юрист-команда робить DPIA для свого продукту, ми надаємо технічну довідку з нашого боку.

Для клієнтів Enterprise (індивідуальний тариф)

🛡️ SOC 2 Type II: у дорожній карті (аудиторську фірму не зафіксовано, ETA TBD). Якщо це блокує вашу інтеграцію - пишіть на legal@astroway.info, готові розглянути окрему аудиторську співпрацю.
🇪🇺 Юридична особа в межах ЄС: поточна юр-форма український ФОП (Maxim Burkhan). Якщо ваш відділ закупівель вимагає EU GmbH (Німеччина / Естонія) - обговорюємо в індивідуальному порядку через legal@astroway.info, процес 4-8 тижнів.
🔐 Виділена інфраструктура за бажанням: окремий сервер у Nuremberg та ізольована база
📞 Прямий канал з безпеки: security@astroway.info для реагування на інциденти

Порівняння: AstroWay проти конкурентів з хостингом у США

Критично для розробника з ЄС	AstroWay Pro $59	DivineAPI	AstrologyAPI	Prokerala
Compute в ЄС	✅ Hetzner Nuremberg	❌ США	❌ США	❌ Індія
Стандартна DPA доступна	✅ на Pro+	❌ тільки Enterprise	❌ тільки Enterprise	❌ тільки Enterprise
GDPR-відповідність за замовчуванням	✅ на рівні інфраструктури	⚠️ через SCC	⚠️ через SCC	⚠️ через SCC
Аналітика без cookies	⚠️ GA4 анонімізовано (Plausible у дорожній карті)	❌ GA4	❌ GA4	❌ GA4
Гарантія потоку даних тільки в ЄС	✅ письмово	❌	❌	❌
Технічний вхід у DPIA	✅ надається	❌	❌	❌
Ендпоінт права на видалення	✅ `DELETE /v1/me/account`	❌ через тикет	❌ через тикет	❌ через тикет

Ціна

Резидентність в ЄС, DPA, GDPR на рівні інфраструктури - все включено в Pro $59/міс. Не окремий тариф, не звернення до продажів, не індивідуальне ціноутворення.

Це свідома стратегія: розміщення в Hetzner не коштує нам нічого додатково (наша інфраструктура і так у Nuremberg), а DPA - стандартний шаблон, що підписується раз через email. Не треба платити за приватність те, що мало бути за замовчуванням.

FAQ

Так - Free тариф має ту саму інфраструктуру (Hetzner Nuremberg), ту саму анонімізовану аналітику, той самий 30-day log retention. DPA на Free не доступна (це адміністративний overhead, який окуповується тільки на платному рівні), але технічно дані обробляються однаково.

Якщо ваш юрист вимагає підписаної DPA - Indie ($5/міс) теж не дає її. Найдешевший варіант з DPA = Pro $59.

Що з ECJ Schrems II? Ваш Cloudflare CDN: це US-компанія?

Cloudflare - US, але ми використовуємо EU-region cache rules (запит з EU IP обслуговується EU edge), а origin server (де дані реально обробляються) - Hetzner Nuremberg. PII (birth-data) проходить через Cloudflare edge у тому самому регіоні і не зберігається на edge - лише транзитом.

Для критично-чутливих сценаріїв використання (медичні застосунки, B2G) можна обійти Cloudflare через DNS-маршрутизацію на оригіналі - пишіть legal@astroway.info.

Як швидко я отримаю DPA після підписки на Pro?

Стандартна DPA (наш шаблон): одразу. Текст відкритий на /legal/dpa/, приймається в дашборді, PDF завантажується там же і містить запис про прийняття.
Індивідуальні правки від вашого юриста: розглядаємо, але строку не обіцяємо, бо юрист у нас не в штаті. Стандартні пункти Art. 28 ми не торгуємо: вони взяті з шаблону Єврокомісії саме для того, щоб їх не обговорювати.

Чи маю я підписувати DPA, якщо я B2B-розробник без власного PII?

Якщо ваш кінцевий продукт обробляє PII (а birth-data це PII) - то так, ваш юрист скоріше за все попросить підписану DPA з усіма sub-processors. Ми надаємо її стандартно. Якщо ваша інтеграція - внутрішня (тільки employees), ймовірно DPA не критична, але краще все одно підписати.

Що робить AstroWay якщо я зробив `DELETE /v1/me/account`?

API-ключі: м’яко видаляються (анти-abuse cooldown)
Зв’язок акаунт-ключ: обірваний; ключ не може бути перепризначений
Профіль користувача: помічений як видалений з міткою часу
Логи використання: IP-хеш уже не PII, лишається для аудиту білінгу
Історія замовлень: зберігається, бо цього вимагає податкове законодавство. Для ФОП це 1095 днів за п. 44.3 Податкового кодексу, тобто три роки, а не сім: GDPR Art. 17 §3(b) прямо лишає такі записи поза правом на видалення
Транзакційні email: авто-видаляються нашим SMTP-провайдером через 90 днів

Повний flow доступний за запитом через legal@astroway.info.

Контакти

Legal/DPA: legal@astroway.info
Security incidents: security@astroway.info
Subprocessor list / DPIA: hello@astroway.info

Корисно?

Запропонувати правку

Останнє оновлення: 20 вер. 2026 р.

// Назад

Вартість ендпоінтів

Далі //

Founders' Lifetime Deal