Data Processing Agreement

Acord de prelucrare a datelor, versiunea 1

Efectiv 2026-09-20. AstroWay API, api.astroway.info.

1. Cine suntem și ce acoperă acest acord

Acordul este între voi, clientul, acționați ca controler de date, și Maksym Burkhan, antreprenor individual (ФОП), Ucraina, care operează api.astroway.info ca procesor de date pentru voi în conformitate cu Articolul 28 GDPR.

Se aplică timp cât contul vostru există și trimiteți cereri către API, și reglementează doar datele pe care le trimiteți prin API. Detaliile contului vostru sunt o problemă separată, unde noi suntem controlerul și politica de confidențialitate se aplică.

2. Ce prelucrăm și de ce

Subiect și scop. Trimiteți date de naștere către API: o dată, o oră, un fus orar sau un offset, și coordonate. Calculăm un rezultat astrologic și îl returnăm. Acesta este tot scopul, și apelul API este instrucțiunea voastră.

Categorii de subiecți de date. Utilizatorii voștri finali, sau oricine al cărui moment de naștere le trimiteți.

Tipuri de date. Dată și oră de naștere, coordonate, și câmpurile opționale name și city. name și city nu sunt stocate niciodată: sunt păstrate în memorie durant cererea și nu sunt scrise niciunde.

Durata. Pentru viața contului vostru, subordonată secțiunii 9.

Ce înregistrăm despre apel, nu despre persoana. Endpoint, metodă, status, latență, număr de octeți, un digest irreversibil sărat al adresei IP a apelantului și primii 16 biți ai acestei adrese, User-Agent-ul, originul, și o țară, oraș și operator de rețea aproximativi. Le păstrăm timp de 30 de zile.

3. Ce ne angajăm

• Prelucrăm datele voastre doar pe baza instrucțiunilor voastre documentate, care sunt apelurile API pe care le faceți și orice instrucțiune scrisă ne trimiteți, cu excepția cazului în care legea UE sau a statului membru o impune, în care caz vă informăm înainte de prelucrare, exceptând situația în care legea o interzice.
• Dacă o instrucțiune pare ilegală pentru noi, o anunțăm imediat în loc să o executăm tăcut.
• Serviciul este operat de o singură persoană, care este obligată la confidențialitate și este singura persoană umană cu acces administrativ.
• Păstrăm măsurile de securitate din secțiunea 5.
• Vă ajutăm să răspundeți cererii unui subiect de date și să îndepliniți obligațiile din Articolele 32-36, în măsura în care este posibil și luând în considerare ce deținem. Această calificare este propria legii, iar aici este concretă: nu stocăm niciun nume, niciun email și niciun identificator pentru utilizatorii voștri finali, deci de obicei nu putem găsi rândurile unei persoane pe partea noastră. Puteți, prin intermediul înregistrărilor voastre, și DELETE /v1/me/account șterge tot ce deținem pentru contul vostru.
• Nu utilizăm datele voastre pentru scopurile noastre, nu le vândem și nu le folosim pentru a antrena modele.

4. Subprocesori

Două, și ele sunt infrastructura:

Subprocesor	Rol	Locație
Hetzner Online GmbH	calcul, bază de date și stocare de fișiere	Nuremberg, Germany
Cloudflare, Inc.	CDN, DNS și protecție DDoS, cu reguli de cache pentru regiunea UE	companie SUA, muchiile UE servesc traficul UE

Aplicăm aceleași obligații de protecție a datelor lor ca și aici, și rămânem total responsabili față de voi pentru ce fac ei.

Dați o autorizare generală pentru aceste două. Vă vom notifica prin e-mail înainte de a adăuga sau înlocui una, și puteți objeta pe motive rezonabile de protecție a datelor; dacă nu putem rezolva objecția, puteți opri utilizarea serviciului și vă returnăm partea neutilizată a perioadei plătite.

Furnizorii noștri de plăți și e-mail sunt intenționat nu în acel tabel, deoarece nu vizualizează datele acoperite de acest acord. Brevo trimite poșta transactională către voi, Monobank preluă plățile cu card, iar LiqPay va fi adăugat în octombrie 2026. Ambele se referă la contul vostru, nu la utilizatorii voștri finali, deci sunt menționate în politica de confidențialitate în loc de aici.

5. Securitate

• Transportul este doar TLS, iar HTTP-ul simplu este redirecționat.
• Parolele sunt hashate cu bcrypt și cheile API sunt stocate hashate.
• Adresele IP sunt stocate doar ca un digest SHA-256 sărat, calculat la scrierea rândului. Sărarea locuiește în mediul serverului, niciodată în cod.
• Conturile de bază de date sunt separate per consumator, fiecare cu cel mai restricționat concediu care funcționează, iar baza de date ascultă doar pe loopback.
• Copiile de rezervă sunt criptate cu AES-256 înainte de a părăsi mașina.
• Accesul administrativ este prin cheie SSH, o singură persoană, fără credențiale partajate.

Ce nu avem, deoarece afirmarea ar fi mai rău decât să spunem: nu avem niciun raport SOC 2 și niciun certificat ISO 27001 propriu. Hetzner deține ISO/IEC 27001 pentru centrul de date unde se află serverele noastre.

6. Transferuri, enunțate clar

Datele voastre sunt preluate pe serverele din Nuremberg, Germania, și nu le replicăm în afara SPAE.

Totuși suntem constituți în Ucraina, care nu are o decizie de adecvație conform Articolului 45. Conform Ghidurilor EDPB 05/2021, acest lucru face singur transferul către un țară de terț, și de asemenea accesul administrativ din Ucraina către serverele germanе, deoarece accesul la distanță contează chiar și când nu se copiază nimic. Astfel nu vă spunem că nu există transfer transfrontalier; există unul, și acest acord îl acoperă.

Angajăm Clauzele Contractuale Standard ale Hotărârii de Implementare (UE) 2021/914, Modulul Doi (controler către procesor), care sunt incorporate în acest acord prin referință și prevalează peste el în caz de conflict. Secțiunile 2, 5 și 4 ale acestui acord sunt Anexele I, II și III, respectiv. O copie semnată care denumește ambele parti este disponibilă la cerere la adresa legal@astroway.info.

În practică, ce este transferat este accesul administrativ autentificat la sistemele din Germania, nu exportul unei baze de date.

7. Arătarea conformității

Vă oferim informațiile necesare pentru a demonstra conformitatea cu Articolul 28 prin intermediul acestui acord și a descrierii de securitate de mai sus, și vom completa un chestionar scris de securitate rezonabil în orice perioadă de douăsprezece luni fără taxă.

Dacă nu este suficient, puteți audita conformitatea cu acest acord o dată în orice perioadă de douăsprezece luni, cu un aviz scris de treizeci de zile, de la distanță, în intervalul de lucru, acoperind doar procesarea pe care o efectuăm pentru voi și niciodată datele altui client. Așumați costul auditului și al oricărui auditor pe care îl appointați. Aceste limite nu se aplică în cazul în care o autoritate de supraveghere cere o inspeție.

8. Dacă apare o încălcare

Vă notificăm fără întârziere nejustificată după ce devenim conștienți de o încălcare a datelor personale care afectează datele pe care le procesăm pentru voi, prin e-mail la adresa contului. Prima notificare poate fi incompletă, și urmarește după ce învățăm mai multe.

Nu deținem detalii de contact pentru utilizatorii voștri finali, deci notificarea lor conform Articolului 34 rămâne de făcut de către voi.

9. Încheierea

Când contul văs se încheie, ne spuneți dacă doriți să returnați sau să ștergeți datele pe care le deținem pentru voi, și le facem. Dacă nu ne spuneți nimic, le ștergem.

Excepția este ce ne impune legea fiscală să păstrăm: înregistrările de plăți, pentru 1095 de zile conform §44.3 al Codului Fiscal Ucrainean. Trei ani, nu șapte ani așa cum a presupus un draft anterior al acestui text. Articolul 17(3)(b) GDPR lasă în afara dreptului la ștergere înregistrările păstrate datorită unei obligații legale, de aceea o cerere de ștergere nu le ajunge.

10. Acceptarea acestui acord

L acceptați în panoul de control, și înregistrarea acelei acceptări menționează contul voastru, versiunea și momentul. Articolul 28(9) prevede că contractul trebuie să fie scris, „inclusiv în formă electronică”, deci această înregistrare este contractul și nu este nimic de așteptat. PDF-ul pe care îl puteți descărca conține aceleași inregistrări. O copie semnată pe hârtie este disponibilă la cerere.

Dacă modificăm acest text în mod semnificativ, devine o versiune nouă și vă rugăm să o acceptați; versiunea pe care ați acceptat-o rămâne cea la care ați acordat consimțământul.