Редакція 1.1 — набирає чинності 12 жовтня 2026 року
Відомості у квадратних дужках, як-от [повне найменування компанії], — реєстраційні дані Студії; їх буде заповнено, щойно вони стануть остаточними.
Ця Політика пояснює, як EVA-X обробляє персональні дані, коли ви відвідуєте eva-x.org, користуєтеся кабінетом клієнта чи мобільним застосунком EVA-X, звертаєтеся до нас або працюєте з нами над проєктом. Ми обробляємо персональні дані відповідно до Закону України «Про захист персональних даних», а якщо до вас застосовується Загальний регламент ЄС про захист даних (GDPR), — також відповідно до нього. Терміни з великої літери мають значення, визначені в Умовах використання.
1. Хто відповідає за ваші дані
1.1. Володільцем ваших персональних даних є [повне найменування компанії], [організаційно-правова форма], зареєстроване відповідно до законодавства України, ідентифікаційний код (ЄДРПОУ) [код ЄДРПОУ / реєстраційний номер], місцезнаходження: [юридична адреса], офіс: вул. Симоненка, 33, Київ, Україна (далі — «Студія», «ми»). EVA-X — бренд Студії.
1.2. З усіх питань щодо персональних даних пишіть на privacy@eva-x.org або в «Підтримку» в кабінеті.
1.3. Ця Політика не поширюється на продукти, які ми створюємо для клієнтів. Якщо клієнт надає нам доступ до персональних даних своїх клієнтів, користувачів чи працівників для Проєкту, володільцем цих даних є клієнт, а ми обробляємо їх від його імені як розпорядник — за його вказівками й на підставі договору з ним. Якщо ви користувач продукту, який ми розробили, звертайтеся до компанії, яка ним керує.
2. Які дані ми збираємо
2.1. Дані, які ви надаєте самі:
- Акаунт: ім’я, пошта, пароль (ми зберігаємо лише його незворотний хеш), мова, часовий пояс, а також, якщо ви їх додали, номер телефону, компанія й фото профілю.
- Вхід через Google: ваше ім’я, пошта, фото профілю й ідентифікатор облікового запису Google, які ми отримуємо від Google, якщо ви обираєте такий вхід.
- Двоетапний вхід: ключ автентифікатора, який зберігається зашифрованим, і резервні коди, які зберігаються у вигляді хешів.
- Проєкти: описи продукту, посилання, файли, голосові повідомлення та їх розшифровки, повідомлення в чаті, коментарі, рішення щодо Прийняття й Запитів на зміну.
- Договори: реквізити, які ви вказуєте для підписання Договору, — повне ім’я, назва компанії та її реєстраційний номер, податковий номер, адреса, країна, місто, поштовий індекс, телефон і пошта, — а також докази підписання: підписаний текст і його хеш, час, IP-адреса й браузер під час підписання та підтвердження одноразового коду. Податковий номер і реєстраційний номер компанії зберігаються зашифрованими.
- Платежі: рахунки, суми, статуси й ідентифікатори платежів. Дані картки ви вводите на боці платіжного провайдера — повних номерів карток ми не отримуємо й не зберігаємо.
- Реферальна програма: ваш реферальний код, кого ви запросили чи хто запросив вас, винагороди й реквізити для виплат, які ви вказуєте (наприклад, IBAN, обліковий запис PayPal чи Wise або адреса гаманця).
- Звернення й підтримка: те, що ви надсилаєте через форму зв’язку, «Підтримку», чат або листом.
- Місцезнаходження: лише якщо ви самі вирішите поділитися ним у чаті застосунку; воно надсилається як посилання на карту у вашому повідомленні.
2.2. Дані, які ми збираємо автоматично:
- Технічні дані й журнали: IP-адреса, тип браузера й пристрою, операційна система, версія застосунку, сторінки й функції, якими ви користуєтеся, час запитів і звіти про помилки.
- Дані безпеки: входи й сесії, надіслані та перевірені одноразові коди, події двоетапного входу й обмеження повторних спроб.
- Push-сповіщення: push-токен вашого пристрою, якщо ви дозволили сповіщення в застосунку.
- Події продукту: наші власні записи про те, як використовуються оцінка й реєстрація (наприклад, «оцінку створено»).
- Аналітика сайту (лише з вашої згоди): якщо ви приймете аналітику в банері cookies, Google Analytics, Google Tag Manager, Meta Pixel і Microsoft Clarity можуть фіксувати, як ви користуєтеся сайтом, — переглянуті сторінки, натискання, пристрій і приблизне місцезнаходження, а також події на кшталт «оцінку розпочато» чи «заявку надіслано». Без вашої згоди жоден із них не завантажується. Змінити вибір можна будь-коли в налаштуваннях cookies — див. Політику cookies.
- Cookies та подібні технології: див. Політику cookies.
2.3. Дані від інших осіб: від Google, якщо ви входите через нього; від платіжних провайдерів (статус платежу, його ідентифікатор, сума, а залежно від провайдера — тип картки, її замаскований номер і країна); від клієнта, який запросив вас до реферальної програми; від вашої організації, якщо вона передає нам ваші контакти для Проєкту; з публічних реєстрів, якими ми перевіряємо контрагентів і санкції.
2.4. Дані Акаунта й Договору потрібні, щоб надавати Послуги й підписати Договір: без них ми не зможемо надавати Послуги. Інші дані ви надаєте за бажанням.
3. Навіщо ми використовуємо дані й на якій підставі
3.1. Ми використовуємо персональні дані для таких цілей:
| Мета | Дані | Правова підстава |
|---|---|---|
| Створення й ведення Акаунта, вхід, захист Акаунта | акаунт, вхід через Google, двоетапний вхід, дані безпеки й технічні дані | виконання договору з вами (Умов); наш законний інтерес у безпеці |
| Підготовка Оцінок, зокрема обробка за допомогою AI | описи, посилання, файли, голосові повідомлення | дії на ваш запит до укладення договору |
| Підготовка, підписання й зберігання Договорів і доказів підписання | дані договору, докази підписання | укладення й виконання Договору; обов’язки за законом; наш законний інтерес у підтвердженні Договору |
| Виконання Проєктів: спілкування, Передання на перевірку, Прийняття, підтримка | дані проєкту, чат, файли, голосові повідомлення | виконання Договору |
| Рахунки, платежі, повернення коштів, бухгалтерський і податковий облік | платіжні дані й дані договору | виконання Договору; обов’язки за законом |
| Реферальні винагороди й виплати | дані реферальної програми й реквізити для виплат | виконання договору з вами; обов’язки за законом (податки) |
| Службові листи й push-сповіщення | пошта, push-токен, мова | виконання договору з вами; наш законний інтерес тримати вас у курсі |
| Відповіді на звернення | контактні дані, ваше повідомлення | дії на ваш запит; наш законний інтерес |
| Безпека, запобігання шахрайству й зловживанням, перевірка санкцій | технічні дані, дані безпеки й договору | наш законний інтерес; обов’язки за законом |
| Удосконалення Платформи | події продукту, технічні дані, звіти про помилки | наш законний інтерес |
| Вимірювання й поліпшення сайту та нашої реклами | дані аналітики сайту | ваша згода (банер cookies), яку можна будь-коли відкликати |
| Захист від правових вимог, відповіді на законні запити органів влади | відповідні дані | обов’язки за законом; наш законний інтерес |
3.2. За статтею 11 Закону України «Про захист персональних даних» ці підстави відповідають укладенню й виконанню правочину, стороною якого ви є, виконанню обов’язку володільця, передбаченого законом, законному інтересу володільця, а також вашій згоді. За GDPR — пунктам (b), (c), (f) і (a) частини 1 статті 6.
3.3. Якщо обробка ґрунтується на вашій згоді (наприклад, коли ви ділитеся місцезнаходженням у чаті чи дозволяєте push-сповіщення), ви можете будь-коли її відкликати; це не впливає на обробку, що відбулася до відкликання.
3.4. Спираючись на свій законний інтерес, ми зважуємо його з вашими правами й інтересами. Ви можете запитати, як саме ми це зробили.
3.5. Ми не продаємо персональних даних і не використовуємо їх для сторонньої реклами. Ми не ухвалюємо щодо вас рішень лише на основі автоматизованої обробки, які мали б для вас правові чи подібні суттєві наслідки.
4. Обробка за допомогою штучного інтелекту
4.1. Щоб готувати Оцінки, розшифровувати голосові повідомлення й структурувати брифи, ми передаємо надані вами описи, посилання, вміст файлів і голосові записи нашому AI-провайдеру — зараз це OpenAI — через його бізнес-API.
4.2. За умовами провайдера для даних бізнес-API такі дані за замовчуванням не використовуються для навчання його моделей і зберігаються в провайдера лише обмежений час для контролю зловживань і безпеки.
4.3. Результати обробки за допомогою AI перевіряє наша команда, і вони не є обов’язковими рішеннями: Оцінка має орієнтовний характер, а Договір готують і підписують люди.
4.4. Будь ласка, не додавайте до описів персональних даних інших людей, паролів чи комерційної таємниці, якщо вони не потрібні для Оцінки.
5. Кому ми передаємо дані
5.1. Наша команда. Персональні дані доступні працівникам і залученим фахівцям Студії, яким вони потрібні для роботи й які пов’язані зобов’язаннями щодо конфіденційності. Доступ до реквізитів у Договорах обмежений, і кожне звернення до них фіксується.
5.2. Постачальники послуг, які обробляють персональні дані від нашого імені (розпорядники):
| Постачальник | Що робить для нас | Де обробляються дані |
|---|---|---|
| Vercel | хостинг сайту | США та глобальна мережа |
| Railway | хостинг наших серверів і бази даних (MongoDB) | США або ЄС залежно від регіону |
| Cloudflare | система доменних імен, маршрутизація пошти, захист мережі | глобальна мережа |
| Resend | надсилання листів | США та ЄС |
| OpenAI | обробка за допомогою AI для Оцінок, розшифровки й брифів | США |
| Expo | доставка push-сповіщень у застосунок | США |
| Apple, Google | доставка push-сповіщень на пристрої iOS та Android | США та глобальна мережа |
| Cloudinary (якщо використовується) | зберігання зображень і файлів | США та ЄС |
| Sentry (якщо використовується) | моніторинг помилок, налаштований так, щоб за можливості не передавати персональних даних | США або ЄС |
| Google (Analytics, Tag Manager) — лише з вашої згоди | аналітика сайту | США та ЄС |
| Meta Platforms Ireland (Pixel) — лише з вашої згоди | вимірювання відвідувань і реклами | ЄС та США |
| Microsoft (Clarity) — лише з вашої згоди | аналітика використання сайту й записи сеансів із прихованим введенням | США |
5.3. Самостійні володільці. Платіжні провайдери (WayForPay — Україна; Stripe — ЄС і США) обробляють дані карток і перевіряють платежі на шахрайство відповідно до власних політик конфіденційності. Google обробляє дані за власною політикою, коли ви входите через Google; Apple і Google — коли ви завантажуєте застосунок з App Store чи Google Play.
5.4. Інші особи: наші професійні радники, аудитори й банки — на умовах конфіденційності; державні органи й суди — коли цього вимагає закон (ми перевіряємо правову підставу кожного запиту й розкриваємо лише потрібне); правонаступник нашого бізнесу під час реорганізації чи продажу — він буде зобов’язаний дотримуватися цієї Політики.
6. Передання даних за кордон
6.1. Деякі постачальники обробляють дані за межами України та Європейської економічної зони, переважно в США.
6.2. Дані, на які поширюється GDPR, ми передаємо на підставі рішення Європейської комісії про адекватність (зокрема EU–US Data Privacy Framework для сертифікованих постачальників) або стандартних договірних положень, затверджених Європейською комісією.
6.3. Відповідно до статті 29 Закону України «Про захист персональних даних» ми передаємо дані до держав, які забезпечують належний захист персональних даних, а до інших держав — якщо це потрібно для укладення чи виконання договору з вами або якщо ви надали на це згоду.
7. Скільки ми зберігаємо дані
7.1. Ми зберігаємо персональні дані лише стільки, скільки потрібно для цілей, з якими їх зібрано, і скільки вимагає закон:
| Дані | Строк зберігання |
|---|---|
| Акаунт | поки Акаунт відкритий; після його видалення ми знеособлюємо ваше ім’я, пошту й фото, а дані, наведені нижче, зберігаємо протягом зазначених строків |
| Оцінки й описи, після яких Договір не укладено | до 24 місяців після вашої останньої активності |
| Проєкти: чат, файли, голосові повідомлення, записи про Передання на перевірку й Прийняття | строк Проєкту й три (3) роки після його завершення (загальна позовна давність) |
| Договори й докази підписання | строк дії Договору й три (3) роки після виконання всіх зобов’язань за ним |
| Рахунки, платежі, повернення коштів і виплати | строки, встановлені законодавством про бухгалтерський облік і податки, — щонайменше 1095 днів після закінчення звітного періоду |
| Звернення, після яких Проєкт не розпочато | до 12 місяців |
| Журнали безпеки й технічні журнали | до 12 місяців |
| Push-токени | доки ви не вийдете з акаунта, не видалите застосунок або доки токен не стане недійсним |
| Резервні копії | перезаписуються за графіком, як правило, протягом 30 днів |
7.2. Ми можемо зберігати дані довше, якщо це потрібно для вирішення спору, захисту від правових вимог чи на запит державного органу, — і лише з цією метою.
8. Безпека
8.1. Ми захищаємо персональні дані організаційними й технічними заходами, що відповідають ризикам: зашифровані з’єднання (HTTPS), незворотне хешування паролів, шифрування податкових і реєстраційних номерів, двоетапний вхід, обмежений строк дії сесій, обмеження повторних спроб, розмежування доступу за ролями та фіксація доступу до реквізитів, резервні копії, зобов’язання щодо конфіденційності нашої команди й постачальників.
8.2. Жодна система не є повністю захищеною. Якщо витік персональних даних може загрожувати вашим правам, ми повідомляємо вас і компетентний орган, як цього вимагає закон.
9. Ваші права
9.1. Відповідно до Закону України «Про захист персональних даних», а якщо він до вас застосовується, — і GDPR, ви маєте право:
- знати, які дані ми обробляємо, звідки вони, навіщо ми їх обробляємо і кому передаємо;
- отримати доступ до своїх даних і їх копію;
- вимагати виправити неточні чи неповні дані;
- вимагати видалити дані, коли для їх зберігання більше немає підстав;
- обмежити обробку у випадках, передбачених законом;
- заперечити проти обробки, що ґрунтується на нашому законному інтересі;
- отримати надані вами дані в структурованому машинозчитуваному форматі (перенесення даних);
- будь-коли відкликати згоду;
- подати скаргу до наглядового органу чи суду.
9.2. Як скористатися правами:
- Завантажити свої дані: у профілі, на вкладці «Дані», кнопка «Завантажити мої дані» — один файл із профілем, проєктами, рахунками, договорами й повідомленнями.
- Видалити Акаунт: у профілі, на вкладці «Дані», кнопка «Видалити мій акаунт»; видалення підтверджується кодом, надісланим на пошту.
- Усе інше (виправлення, копія реквізитів у ваших Договорах, обмеження обробки, заперечення, видалення реквізитів): пишіть на privacy@eva-x.org або в «Підтримку».
9.3. Ми відповідаємо протягом тридцяти (30) календарних днів. Перш ніж виконати запит, ми можемо попросити підтвердити вашу особу. Запити безоплатні, якщо вони не є явно необґрунтованими чи надмірними.
9.4. Деякі дані неможливо видалити на ваш запит, поки ми зобов’язані їх зберігати, — наприклад, підписані Договори, докази підписання та бухгалтерські документи (розділ 7). Такі дані ми зберігаємо лише для цієї мети й обмежуємо доступ до них.
9.5. Ви можете поскаржитися Уповноваженому Верховної Ради України з прав людини (ombudsman.gov.ua). Якщо ви перебуваєте в ЄС, ЄЕЗ чи Сполученому Королівстві, ви також можете звернутися до місцевого органу із захисту даних. Утім, будемо вдячні, якщо спершу ви дасте нам змогу розв’язати питання.
10. Листи й сповіщення
10.1. Ми надсилаємо службові листи щодо Акаунта, безпеки, Договорів, платежів і звернень до підтримки: вони потрібні для надання Послуг і надходять незалежно від ваших налаштувань.
10.2. Листи з новинами про проєкт можна вимкнути в профілі. Push-сповіщення можна вимкнути в налаштуваннях пристрою. Рекламних листів без вашої згоди ми не надсилаємо.
11. Діти
Платформа призначена для повнолітніх, які діють з підприємницькою метою. Ми свідомо не збираємо персональних даних осіб, молодших за 18 років. Якщо ви вважаєте, що дитина надала нам свої дані, напишіть на privacy@eva-x.org — і ми їх видалимо.
12. Зміни Політики
Ми можемо оновлювати цю Політику. Номер редакції й дата набрання чинності зазначені вгорі. Про суттєві зміни ми повідомляємо листом або в кабінеті до того, як вони наберуть чинності.
13. Контакти
[Повне найменування компанії], офіс: вул. Симоненка, 33, Київ, Україна. Персональні дані: privacy@eva-x.org. Загальні запитання: hello@eva-x.org.