# Довіра і обробка даних Усе, що зазвичай питає перевірка безпеки або анкета закупівель, в одному місці. Кожна відповідь веде на документ, який робить її обов'язковою, тож ця сторінка підсумовує і не додає жодної власної обіцянки. ## Де живуть дані | Що | Де | |---|---| | Обчислення, база даних, файли звітів | Hetzner, Нюрнберг (Німеччина) | | Edge | Cloudflare з EU-region cache rules; дані народження проходять транзитом і там не зберігаються | | Адміністрування | З України, через SSH з ключем. Глава V GDPR вважає це передачею, тому DPA покриває її Стандартними договірними положеннями | Подробиці й обґрунтування: [GDPR / резидентність в ЄС](/eu/). ## Хто їх обробляє | Сторона | Що отримує | Де названа | |---|---|---| | Hetzner Online GmbH | усе, що ми зберігаємо, як хостинг | [DPA](/legal/dpa/), розділ 4 | | Cloudflare, Inc. | HTTP-запити на шляху до нашого сервера | [DPA](/legal/dpa/), розділ 4 | | AI-провайдери | лише обчислену карту (знаки, доми, аспекти) на AI-ендпойнтах; без дати й часу народження, координат, імені чи місця | [Політика конфіденційності](/privacy/), розділ 8 | | Brevo | email вашого акаунта, щоб надсилати службові листи | [Політика конфіденційності](/privacy/), розділ 8 | | Monobank, LiqPay | платіжні дані власника акаунта; дані народження ніколи | [Політика конфіденційності](/privacy/), розділ 8 | У DPA лише перші дві, бо тільки вони торкаються даних ваших API-запитів. Решта обробляють дані акаунта, де контролер ми, а не ви. ## Скільки ми їх зберігаємо | Дані | Термін | |---|---| | Журнал запитів (без параметрів запиту) | 30 днів | | Файли PDF-звітів (`/v1/reports/*`), у яких те, що ви для них надіслали | 24 години або `retain_days`, який ви задали, до 90; можна видалити раніше | | Журнал AI-запитів | 90 днів | | Щоденні лічильники використання | 365 днів | | Акаунт | доки ви його не видалите; видалення можна скасувати 30 днів, потім воно остаточне | | Платіжні записи | 1095 днів, як вимагає податкове законодавство України | | Зашифровані резервні копії | виходять з ротації протягом 90 днів | Акаунт видаляєте самі: в дашборді або запитом `DELETE /v1/me/account`. Джерело: [Політика конфіденційності](/privacy/), розділ 5, і [DPA](/legal/dpa/), розділи 2 і 9. ## Як вони захищені - Лише TLS; звичайний HTTP перенаправляється. - Паролі хешуються bcrypt. - API-ключі з 2026-10-15 зберігаються лише як SHA-256 хеш, тож ключ показується один раз, при створенні. Загубили, значить ротуєте; прочитати його назад не може ніхто, і ми теж. - IP-адреси зберігаються як солений SHA-256, ніколи у відкритому вигляді. - База даних слухає лише loopback, з окремим обліковим записом для кожного споживача. - Резервні копії шифруються AES-256 до того, як залишають машину. - Про витік, що зачіпає ваші дані, ми повідомляємо без невиправданої затримки. Джерело: [DPA](/legal/dpa/), розділи 5 і 8. ## Договір [Угода про обробку даних](/legal/dpa/) за статтею 28 GDPR діє з будь-яким платним тарифом, від Indie. Ви читаєте її, приймаєте кнопкою в дашборді і завантажуєте PDF із записом про прийняття. Без дзвінка продажам і без паперу з підписом: стаття 28(9) приймає електронну форму. ## Доступність - Поточний стан і 90 днів історії: [status.astroway.info](https://status.astroway.info/), опис на сторінці [Статус](/status/). - Зобов'язання щодо uptime і компенсації за тарифами: [SLA](/sla/). ## Контакти - Інциденти безпеки: [security@astroway.info](mailto:security@astroway.info) - DPA і юридичні питання: [legal@astroway.info](mailto:legal@astroway.info) - Ваші дані і ваші права: [api@astroway.info](mailto:api@astroway.info)