Довіра і обробка даних
Усе, що зазвичай питає перевірка безпеки або анкета закупівель, в одному місці. Кожна відповідь веде на документ, який робить її обов’язковою, тож ця сторінка підсумовує і не додає жодної власної обіцянки.
Де живуть дані
Section titled “Де живуть дані”| Що | Де |
|---|---|
| Обчислення, база даних, файли звітів | Hetzner, Нюрнберг (Німеччина) |
| Edge | Cloudflare з EU-region cache rules; дані народження проходять транзитом і там не зберігаються |
| Адміністрування | З України, через SSH з ключем. Глава V GDPR вважає це передачею, тому DPA покриває її Стандартними договірними положеннями |
Подробиці й обґрунтування: GDPR / резидентність в ЄС.
Хто їх обробляє
Section titled “Хто їх обробляє”| Сторона | Що отримує | Де названа |
|---|---|---|
| Hetzner Online GmbH | усе, що ми зберігаємо, як хостинг | DPA, розділ 4 |
| Cloudflare, Inc. | HTTP-запити на шляху до нашого сервера | DPA, розділ 4 |
| AI-провайдери | лише обчислену карту (знаки, доми, аспекти) на AI-ендпойнтах; без дати й часу народження, координат, імені чи місця | Політика конфіденційності, розділ 8 |
| Brevo | email вашого акаунта, щоб надсилати службові листи | Політика конфіденційності, розділ 8 |
| Monobank, LiqPay | платіжні дані власника акаунта; дані народження ніколи | Політика конфіденційності, розділ 8 |
У DPA лише перші дві, бо тільки вони торкаються даних ваших API-запитів. Решта обробляють дані акаунта, де контролер ми, а не ви.
Скільки ми їх зберігаємо
Section titled “Скільки ми їх зберігаємо”| Дані | Термін |
|---|---|
| Журнал запитів (без параметрів запиту) | 30 днів |
Файли PDF-звітів (/v1/reports/*), у яких те, що ви для них надіслали | 24 години або retain_days, який ви задали, до 90; можна видалити раніше |
| Журнал AI-запитів | 90 днів |
| Щоденні лічильники використання | 365 днів |
| Акаунт | доки ви його не видалите; видалення можна скасувати 30 днів, потім воно остаточне |
| Платіжні записи | 1095 днів, як вимагає податкове законодавство України |
| Зашифровані резервні копії | виходять з ротації протягом 90 днів |
Акаунт видаляєте самі: в дашборді або запитом DELETE /v1/me/account.
Джерело: Політика конфіденційності, розділ 5, і DPA, розділи 2 і 9.
Як вони захищені
Section titled “Як вони захищені”- Лише TLS; звичайний HTTP перенаправляється.
- Паролі хешуються bcrypt.
- API-ключі з 2026-10-15 зберігаються лише як SHA-256 хеш, тож ключ показується один раз, при створенні. Загубили, значить ротуєте; прочитати його назад не може ніхто, і ми теж.
- IP-адреси зберігаються як солений SHA-256, ніколи у відкритому вигляді.
- База даних слухає лише loopback, з окремим обліковим записом для кожного споживача.
- Резервні копії шифруються AES-256 до того, як залишають машину.
- Про витік, що зачіпає ваші дані, ми повідомляємо без невиправданої затримки.
Джерело: DPA, розділи 5 і 8.
Договір
Section titled “Договір”Угода про обробку даних за статтею 28 GDPR діє з будь-яким платним тарифом, від Indie. Ви читаєте її, приймаєте кнопкою в дашборді і завантажуєте PDF із записом про прийняття. Без дзвінка продажам і без паперу з підписом: стаття 28(9) приймає електронну форму.
Доступність
Section titled “Доступність”- Поточний стан і 90 днів історії: status.astroway.info, опис на сторінці Статус.
- Зобов’язання щодо uptime і компенсації за тарифами: SLA.
Контакти
Section titled “Контакти”- Інциденти безпеки: security@astroway.info
- DPA і юридичні питання: legal@astroway.info
- Ваші дані і ваші права: api@astroway.info