Политика конфиденциальности

Настоящая Политика конфиденциальности описывает, как мы обрабатываем и защищаем персональные данные пользователей сервиса TargetFlow, размещённого на сайте target-flow.com (далее — «Сервис»). Контролёром данных является компания, указанная в блоке «Контролёр данных» в начале страницы (далее — «Компания», «мы»).

Мы обрабатываем персональные данные в соответствии с Регламентом (ЕС) 2016/679 (Общий регламент по защите данных, «GDPR»), кипрским Законом о защите физических лиц при обработке персональных данных (Law 125(I)/2018) и иным применимым правом ЕС и Республики Кипр.

Используя Сервис, вы подтверждаете, что ознакомились с настоящей Политикой. Если для отдельной операции мы опираемся на ваше согласие, мы запрашиваем его отдельно, и вы можете отозвать его в любой момент (раздел 11).

1. Термины

Персональные данные — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу («субъект данных»).

Обработка — любая операция с персональными данными (сбор, запись, хранение, использование, раскрытие, удаление и т.д.).

Контролёр — сторона, определяющая цели и средства обработки. Обработчик (процессор) — сторона, обрабатывающая данные по поручению и по инструкциям контролёра.

2. Кто мы и как с нами связаться

Компания является контролёром персональных данных, которые мы обрабатываем для работы Сервиса, как описано в настоящей Политике. Реквизиты — в блоке «Контролёр данных» в начале страницы.

По любым вопросам конфиденциальности и для реализации прав пишите на privacy@target-flow.com.

3. Какие персональные данные мы обрабатываем

Мы обрабатываем следующие категории данных:

• Учётные данные: адрес электронной почты; пароль (хранится только в виде криптографического хэша Argon2id — никогда в открытом виде); выбранный язык; секрет двухфакторной аутентификации (в зашифрованном виде).
• Технические данные сессий: IP-адрес; сведения об устройстве и браузере (User-Agent); хэши токенов сессий; журналы входов.
• Данные подключённых рекламных кабинетов: токены доступа (OAuth) к рекламным системам (Яндекс Директ, VK Ads, Avito, Google Ads и др.) — хранятся в зашифрованном виде (AES-256-GCM); идентификаторы и настройки.
• Данные систем веб-аналитики: ключи/токены доступа к системам аналитики (Яндекс Метрика, Google Analytics 4, Umami, Top@Mail.ru) — в зашифрованном виде.
• Платёжные сведения: адрес эл. почты, сумма, статус и идентификатор транзакции. Реквизиты банковских карт мы НЕ собираем и не храним — платежи проводит платёжный провайдер.
• Содержимое встроенного AI-чата и функции «Автопилот»: ваши запросы и ответы, а также указанные вами параметры проектов (домены, целевые показатели/KPI, бюджеты).
• Обращения в поддержку: содержание тикетов и переписки.
• Данные административного аудита: записи о действиях в системе и IP-адрес (для учётных записей с правами администратора).

Мы не стремимся обрабатывать специальные категории персональных данных (ст. 9 GDPR) и данные о судимостях. Сервис не предназначен для детей (раздел 13).

4. Цели и правовые основания

Мы обрабатываем персональные данные на следующих правовых основаниях (ст. 6 GDPR):

• Исполнение договора (ст. 6(1)(b)) — регистрация и аутентификация, предоставление Сервиса по вашему тарифу, управление рекламой через AI-ассистента и протокол MCP, выставление счетов и обработка платежей, поддержка.
• Исполнение юридической обязанности (ст. 6(1)(c)) — например, бухгалтерский, налоговый и НДС-учёт.
• Наши законные интересы (ст. 6(1)(f)) — обеспечение безопасности, предотвращение мошенничества и злоупотреблений, расследование инцидентов, улучшение и аналитика Сервиса — с учётом ваших прав.
• Ваше согласие (ст. 6(1)(a)) — для маркетинговых сообщений, для неообязательных (аналитических) cookie и, при необходимости, для передачи содержимого AI-чата/«Автопилота» нашему AI-провайдеру за пределы ЕЭЗ. Согласие можно отозвать в любой момент.

5. Данные из подключаемых вами аккаунтов

Подключая рекламный или аналитический аккаунт, мы по вашему поручению и по вашим инструкциям читаем и (если вы это разрешили) изменяем данные в этом аккаунте, используя предоставленные вами токены доступа. В отношении данных внутри ваших собственных рекламных/аналитических аккаунтов вы, как правило, являетесь контролёром, а мы — вашим обработчиком; мы используем эти данные только для оказания Сервиса и не продаём их.

Вы можете отключить любой аккаунт в настройках Сервиса в любой момент — тогда соответствующие токены отзываются и удаляются.

6. Получатели и обработчики

Мы не продаём персональные данные. Мы передаём минимально необходимый объём данных обработчикам и получателям, помогающим в работе Сервиса, по договорам, требующим конфиденциальности и мер защиты в соответствии с GDPR (ст. 28):

• Платёжный(е) провайдер(ы) — приём и обработка платежей, противодействие мошенничеству.
• Поставщик хостинга/инфраструктуры — основная база данных и приложение размещены на серверах в Европейском союзе (Германия).
• Поставщик AI-технологии — обработка содержимого запросов AI-чата и «Автопилота», формирование ответов и рекомендаций.
• Сервис доставки электронной почты — транзакционные и (при согласии) маркетинговые сообщения.
• Рекламные и аналитические платформы, которые вы подключаете сами, — обработка по вашим инструкциям с использованием ваших токенов.

Мы также можем раскрывать данные, если это требуется по закону либо для установления, осуществления или защиты правовых требований.

7. Международная передача данных

Персональные данные хранятся преимущественно в пределах Европейского союза (Германия). Часть обработки — в частности поставщик AI-технологии и отдельные подключаемые вами рекламные/аналитические платформы (например, Google) — может предполагать передачу за пределы Европейской экономической зоны (ЕЭЗ), в том числе в США.

При передаче данных за пределы ЕЭЗ мы используем надлежащую гарантию по Главе V GDPR — решение Еврокомиссии об адекватности, если оно применимо, либо Стандартные договорные положения ЕС (и при необходимости дополнительные меры) — или, для отдельных операций, ваше явное согласие (ст. 49(1)(a)). Копию применимых гарантий можно запросить на privacy@target-flow.com.

8. Сроки хранения

Мы храним персональные данные не дольше, чем это необходимо для указанных целей, если иной срок не требуется законом:

• Учётные и проектные данные — на срок действия учётной записи и подписки. После удаления действует 14-дневное окно «мягкого удаления» для восстановления, после чего данные стираются.
• Токены доступа к рекламным и аналитическим системам — отзываются и удаляются немедленно при отключении соответствующего аккаунта.
• Платёжные и бухгалтерские записи — на срок, требуемый налоговым/НДС и бухгалтерским законодательством Кипра (как правило, 6 лет).
• Содержимое AI-чата и обращения в поддержку — на срок действия учётной записи, удаляются вместе с ней; мы можем установить более короткий срок.
• Журналы аудита — на срок, необходимый для безопасности и соблюдения закона.
• Резервные копии — до 30 дней.

9. Как мы защищаем данные

Мы применяем надлежащие технические и организационные меры (ст. 32 GDPR), включая:

• шифрование токенов доступа и секретов (AES-256-GCM);
• хранение паролей только в виде криптографических хэшей (Argon2id);
• изоляцию данных арендаторов на уровне базы данных (PostgreSQL Row-Level Security);
• шифрование канала передачи (TLS/HTTPS);
• разграничение доступа, журналирование и аудит;
• процедуру реагирования на утечки и регулярное резервное копирование.

10. Утечки персональных данных

При нарушении безопасности персональных данных мы уведомим Уполномоченного по защите персональных данных без неоправданной задержки и, по возможности, в течение 72 часов с момента, как нам стало известно (ст. 33 GDPR), а также проинформируем затронутых субъектов данных, если нарушение может повлечь высокий риск для их прав и свобод (ст. 34 GDPR).

11. Ваши права

С учётом условий GDPR вы имеете право:

• на доступ к своим персональным данным и получение их копии;
• на исправление неточных или неполных данных;
• на удаление данных («право быть забытым»);
• на ограничение обработки;
• на переносимость данных (получение в структурированном машиночитаемом формате);
• возражать против обработки на основании наших законных интересов и против прямого маркетинга;
• отозвать согласие в любой момент без влияния на обработку до отзыва;
• не быть объектом решения, основанного исключительно на автоматизированной обработке и порождающего юридические или иные существенные последствия (раздел 12).

Для реализации права напишите на privacy@target-flow.com. Мы отвечаем в течение одного месяца, который может быть продлён ещё до двух месяцев для сложных запросов (ст. 12 GDPR). Вы также вправе подать жалобу в орган: Уполномоченный по защите персональных данных Республики Кипр (Office of the Commissioner for Personal Data Protection), 1 Iasonos Street, 1082 Nicosia, Cyprus (commissioner@dataprotection.gov.cy, www.dataprotection.gov.cy).

12. AI-ассистент, «Автопилот» и автоматизированные решения

AI-ассистент и функция «Автопилот» формируют аналитику и рекомендации и, только если вы явно подключили это на платном тарифе и в пределах заданных вами лимитов, могут применять заранее определённые «безопасные» оптимизации ваших рекламных кампаний. Вы сохраняете контроль: «Автопилот» можно отключить в любой момент, деструктивные действия требуют вашего подтверждения, лимиты бюджета задаёте и контролируете вы, изменения можно откатить.

Такая обработка не является решением, порождающим юридические или иные существенные последствия для вас по смыслу ст. 22 GDPR. По вопросам о том, как сформирована рекомендация или изменение, пишите на privacy@target-flow.com.

13. Файлы cookie и аналогичные технологии

Мы используем строго необходимые cookie (для аутентификации и корректной работы сайта) — на основании исполнения договора / нашего законного интереса; они не требуют согласия. Аналитические cookie (например, Яндекс Метрика, Google Analytics 4, наш self-hosted Umami) мы используем только с вашего согласия, которое вы даёте и можете отозвать через баннер согласия на cookie.

14. Дети

Сервис предназначен для бизнеса и специалистов и не адресован детям. Мы сознательно не собираем персональные данные детей младше возраста, применимого по ст. 8 GDPR / праву Кипра. Если вы считаете, что ребёнок предоставил нам данные, напишите на privacy@target-flow.com.

15. Изменения Политики

Мы можем периодически обновлять настоящую Политику. Актуальная редакция публикуется на этой странице с датой последнего обновления; о существенных изменениях мы сообщим надлежащим образом.

16. Контакты и надзорный орган

Вопросы и запросы по конфиденциальности: privacy@target-flow.com. Вопросы по работе Сервиса: support@target-flow.com.

Надзорный орган: Уполномоченный по защите персональных данных Республики Кипр (Office of the Commissioner for Personal Data Protection), 1 Iasonos Street, 1082 Nicosia, Cyprus (commissioner@dataprotection.gov.cy, www.dataprotection.gov.cy).