Конфіденційність і безпека

Ця політика пояснює, як Fintable обробляє персональні дані відвідувачів сайтів, користувачів сервісу та осіб, які звертаються до нас. Публічний реєстр субобробників, доступний англійською мовою, містить постачальників, цілі та відомі місця обробки. Документи з безпеки та відповідності описують нашу програму безпеки.

1. Хто ми

Сервіс надає ТОВ «ФІНТЕЙБЛ» (Fintable LLC), Україна, код ЄДРПОУ 45534002. Із питань конфіденційності та для реалізації прав звертайтеся на [email protected].

Ми є контролером (володільцем) даних щодо відносин із клієнтами, розрахунків, підтримки, безпеки та роботи сайту, цілі яких визначаємо самі. Коли організація доручає нам обробку даних, ми є обробником (розпорядником) або субобробником, якщо вона сама є обробником. Організація визначає цілі та інструкції щодо даних своїх клієнтів. Ця політика не замінює угоду про обробку даних і не дозволяє нові способи їх використання.

2. Дані та їх джерела

• Обліковий запис і Workspace: ім’я, електронна адреса, організація, ідентифікатори, дані автентифікації, налаштування, учасники та права доступу, надані вами або адміністратором Workspace.
• Фінансові дані: назви й ідентифікатори рахунків, залишки, операції, описи, контрагенти, категорії та інвестиційні активи, які надає підключений банк або постачальник фінансових даних. Описи можуть містити відомості про інших осіб або чутливі обставини.
• Інтеграції: ідентифікатори підключень, токени доступу й оновлення, API-ключі, обрані сервіси призначення, ідентифікатори таблиць і баз даних, зіставлення полів та результати синхронізації. Джерела — ви й авторизовані сервіси. Банківська авторизація зазвичай відбувається у банку або постачальника підключення; ми зберігаємо токени, потрібні для його роботи.
• Розрахунки: підписки, замовлення, статуси платежів, суми, валюта, контакти платника, ідентифікатори провайдера й обмежені реквізити способу оплати. Повні карткові дані збирають платіжні провайдери у своїх платіжних формах; ми не зберігаємо повні номери карток.
• Підтримка: повідомлення, вкладення, знімки екрана та доречні дані облікового запису, фінансів і сервісів призначення для дослідження звернення.
• Технічні дані: IP-адреси, браузер, пристрій, час, відвідані сторінки, джерела переходів, cookie-ідентифікатори, активність і діагностичні журнали. Журнали API та інтеграцій можуть містити запити й відповіді з приховуванням секретів та обмеженнями розміру.

Контактні дані й автентифікація потрібні для створення та захисту облікового запису; підключення й дозволені фінансові дані — для синхронізації; платіжні дані — для платної підписки. Без них відповідна послуга недоступна. Участь у маркетингових заходах добровільна.

3. Цілі та правові підстави

Коли ми є контролером і застосовується GDPR:

• Послуги й переддоговірні запити: виконання договору або дії на ваш запит до укладення договору. Щодо представників організацій наш законний інтерес — підтримання ділових відносин.
• Розрахунки, облік і законні вимоги: виконання договору та застосовних бухгалтерських, податкових й інших правових обов’язків.
• Підтримка, усунення проблем і безпека: законний інтерес у вирішенні проблем, запобіганні зловживанням і надійній роботі. Щодо даних, які обробляємо за дорученням клієнта, дотримуємося його інструкцій та застосовних умов обробки.
• Аналіз використання та вдосконалення: законний інтерес у розумінні продуктивності й зручності сервісу. Для cookie та подібного відстеження потрібна згода, якщо цього вимагає закон.
• Маркетинг і вимірювання реклами: згода, коли вона обов’язкова, або дозволений законний інтерес у повідомленні чинним клієнтам доречних пропозицій. Проти прямого маркетингу можна заперечити будь-коли.

Наші інтереси не переважають ваші права. Політика не є загальною згодою на використання даних ваших клієнтів для наших власних цілей.

4. Одержувачі та штучний інтелект

Уповноважені працівники й постачальники мереж доставки, резервного копіювання, пошти, ШІ, аналітики та платежів можуть отримувати доречні дані для роботи, захисту й підтримки сервісу. Їхні функції описано в реєстрі субобробників.

Адміністратори й уповноважені учасники Workspace мають доступ відповідно до своїх дозволів. Банки й постачальники обмінюються даними для авторизованих підключень. Обрані Airtable, Google Sheets, Notion та інші сервіси отримують дані для синхронізації й обробляють свої копії за власними умовами. Радники та органи влади можуть отримувати інформацію, необхідну для виконання закону або встановлення, здійснення чи захисту правових вимог.

ШІ, який використовує Fintable, допомагає досліджувати звернення, шукати подібні запити, аналізувати вкладення, готувати відповіді та виконувати інженерні й безпекові завдання. Він може обробляти листування, знімки екрана, журнали та доречні персональні або фінансові дані. Допомога зі створенням правил категоризації може обробляти ваш запит і приклад операції. Реєстр містить основних і резервних постачальників; умови зберігання та навчання моделей залежать від постачальника й облікового запису.

ШІ-асистенти, які підключаєте ви, через MCP можуть запитувати відомості профілю, Workspace, підключень, рахунків, операцій, активів, категорій та інтеграцій у межах дозволів і виконувати доступні авторизовані дії. Результати інструментів не містять паролів або токенів провайдерів. Обраний постачальник отримує результати за власними умовами й може зберігати їх незалежно. Щоб припинити майбутній доступ, відключіть застосунок у Security → API tokens & connected apps; це не видалить уже отримані копії. Це окремо від використання ШІ самою Fintable.

Безпекові дослідження: Fintable бере участь у Cyber Verification Program Anthropic. Інженерні матеріали та безпекові дослідження можуть підлягати моніторингу Anthropic. Діагностичні матеріали можуть містити персональні або фінансові дані клієнтів.

5. Місця обробки та міжнародні передачі

Сервери Fintable розміщені в Україні, крім випадків, коли інше вимагає договір або закон. Наприклад, дані з підключень Akoya розміщуються у США.

Зашифровані резервні копії зберігаються в Україні та окремо у Франкфурті, Німеччина. Контрольовані середовища підтримки, розробки й відновлення також можуть містити копії виробничих даних. Повний перелік їхніх країн і місць віддаленого доступу ще перевіряється.

Постачальники можуть обробляти дані в інших країнах, зокрема США та, для налаштованого резервного ШІ-сервісу DeepSeek, Китаї. Місце реєстрації постачальника не визначає місце обробки. Відомі місця й непідтверджені деталі наведені в реєстрі. Політика не гарантує обробку виключно в ЄС.

Коли застосовуються правила GDPR про передачі, потрібне застосовне рішення про належний рівень захисту або інший законний механізм, наприклад відповідні стандартні договірні положення та необхідні додаткові заходи. Ми ще не завершили перевірку договірних гарантій для всіх шляхів обробки. Ми не стверджуємо, що положення підписані з кожним постачальником або що його публічні умови самі собою поширюються на Fintable. Запитуйте застосовні до запропонованої домовленості гарантії та їх копії через [email protected]; можливе необхідне приховування окремих відомостей.

6. Строки зберігання

• Облікові й фінансові дані: зберігаються для роботи облікового запису, підключень, історії та API. Відключення банку або видалення облікового запису запускає відповідне очищення фінансових даних. Видалення асинхронне; залишається запис для можливого відновлення облікового запису. Усі персональні дані не зникають миттєво; для видалення решти зверніться до нас.
• Файли журналів застосунку, API та MCP: налаштована ротація через 30 днів; докладних вихідних HTTP-журналів провайдерів — через 2 дні. Ці строки не поширюються на всі записи підтримки, події чи резервні копії.
• Підтримка й дослідження: залежно від потреби вирішувати запити, зберігати доречну історію, розслідувати інциденти та врегульовувати спори.
• Платіжні й правові записи: залежно від бухгалтерських і податкових обов’язків та потреби встановлювати, здійснювати чи захищати правові вимоги.
• Резервні й дослідницькі копії: видалення з робочого сервісу не означає миттєве видалення всіх копій. Строк залежить від ротації, потреб відновлення та подальшого дослідження. Єдиний перевірений максимальний строк для всіх копій ще не встановлений.
• Маркетинг: відмови й заперечення можуть зберігатися, щоб ми їх дотримувалися. Інші строки залежать від цілі, налаштувань постачальника й закону.

Банки, сервіси призначення та самостійно обрані постачальники ШІ застосовують власні строки. Відключення не видаляє їхні копії.

7. Ваші права

Залежно від закону й обставин ви можете вимагати доступу, виправлення, видалення, обмеження обробки або переносної копії даних. Згоду можна відкликати будь-коли без впливу на законність попередньої обробки.

Ви можете заперечити проти обробки на підставі законного інтересу та будь-коли — проти прямого маркетингу. Скористайтеся посиланням для відписки або напишіть на [email protected]. Необхідні повідомлення про обліковий запис і послуги можуть надходити й надалі.

Надсилайте запити щодо прав на цю ж адресу. Ми можемо попросити інформацію, обґрунтовано потрібну для перевірки особи. Коли застосовується GDPR, відповідаємо без невиправданої затримки, зазвичай протягом місяця, та пояснюємо дозволене продовження в межах цього місяця. За потреби пояснимо законні винятки. Якщо обробляємо дані для організації, допомагаємо їй відповісти.

Ви можете звернутися до органу захисту даних за місцем проживання, роботи або ймовірного порушення. Зокрема, це Уповноважений Верховної Ради України з прав людини, наглядовий орган вашої країни ЄС/ЄЕЗ та ICO у Великій Британії.

8. Cookie та реклама

Cookie й подібні технології потрібні для входу, безпеки, налаштувань і визначення джерел переходів. Google Analytics може отримувати події перегляду, використання й купівлі підписки, ідентифікатори cookie та облікових записів. Якщо вимірювання реклами OpenAI увімкнене, воно отримує рекламні ідентифікатори, дані браузера й IP, події реєстрації та оформлення замовлень, хешовані адреси електронної пошти або ідентифікатори облікових записів. Хешування не робить їх анонімними. Ці рекламні події не містять операцій із підключених банків.

Керуйте cookie в браузері та повідомляйте нам про заперечення щодо маркетингу або реклами. Блокування cookie може вплинути на вхід та інші функції. Ця політика не отримує згоду та не замінює обов’язковий вибір користувача.

9. Безпека, інциденти й зміни

Ми використовуємо контроль доступу, шифрування з’єднань і облікових даних інтеграцій, резервні копії та моніторинг. Абсолютної безпеки не гарантує жодна система. Про підозрілі інциденти повідомляйте на [email protected].

Як обробник, ми повідомляємо відповідного контролера про порушення захисту персональних даних без невиправданої затримки після того, як дізнаємося про нього. Як контролер, повідомляємо органи й постраждалих осіб у випадках, передбачених законом. Ці зобов’язання щодо повідомлення замінюють довші строки в попередніх документах із безпеки; суворіші законні або договірні строки мають перевагу.

Ми оновлюємо політику й реєстр зі зміною практик. Дата вгорі позначає версію. Публікація не замінює додаткових повідомлень або згоди, якщо вони обов’язкові за законом.