Купуялык саясаты

FixVibe кызматын EGO HERO LLC башкарат (“биз”, “бизди”), ал ушул саясатта сүрөттөлгөн жеке маалыматтар үчүн маалымат контролдоочусу болуп саналат. Купуялык боюнча суроолор, анын ичинде GDPR, UK GDPR же CCPA алкагындагы маалымат субъектинин суроо-талаптары үчүн privacy@fixvibe.app дарегине кайрылыңыз. Башка бардык маселелер боюнча support@fixvibe.app дарегине жазыңыз.

• Аккаунт маалыматы

  Электрондук почта дареги, OAuth идентификатору (Google же GitHub аркылуу кирсеңиз) жана OAuth провайдериңизден алган ар кандай атыңыз. Бул сизди аутентификациялоо жана аккаунтуңуз жөнүндө байланышуу үчүн колдонулат. Аккаунтуңуз активдүү болуп турганда сакталат. Аккаунтуңузду өчүргөндө, бул маалымат 30 күндүн ичинде алынып салынат, аны сактоого милдеттүү болгон учурлардан тышкары (мисалы, салык мыйзамдары боюнча биллинг жазуулары).

  укуктук негиз · Келишимди аткаруу — Art. 6(1)(b) GDPR

• Сканерлөө максаттары жана табылгалар

  Сиз сканерлеген URL даректер, ошол URL даректерге биз жасаган сурамдар жана биз чыгарган табылгалар. Уюмуңузга байланыштырылып сакталат. Планыңыздын сактоо мөөнөтүнөн эски жазууларды автоматтык түрдө өчүрөбүз: 30 күн (Hobby), 90 күн (Pro), 365 күн (Unlimited). Сканерлөө тарыхыңызды каалаган убакта Аккаунт → Купуялык бөлүмүнөн экспорттой же өчүрө аласыз.

  укуктук негиз · Келишимди аткаруу — Art. 6(1)(b) GDPR

• Анонимдүү сканерлөө сессиялары

  Кирбей туруп сканерлөө жүргүзсөңүз, биз тунук эмес кокустук ID сактаган HMAC-signed cookie (fixvibe_anon_session, 24 сааттык мөөнөт) чыгарабыз. Талап кылынбаган анонимдүү сканерлөө жазууларын 24 сааттан кийин автоматтык түрдө өчүрөбүз. Эгер 24 сааттык терезенин ичинде катталсаңыз, сканерлөөңүз жаңы аккаунтуңузга көчөт. Анонимдүү колдонуучулар катталмайынча алардын ким экенин билбейбиз.

  укуктук негиз · Катуу зарыл — ePrivacy Art. 5(3) бошотуусу

• Биллинг маалыматы

  Stripe биздин төлөм процессорубуз. Алар картаңыздын маалыматтарын PCI-DSS инфраструктурасында сактайт; биз Stripe customer ID, жазылуу статусун, планды, мезгилдин башталышы/аягын жана webhook окуяларынын чакан idempotency жазуусун гана сактайбыз. Stripe купуялык билдирүүсүн stripe.com/privacy дарегинен караңыз.

  укуктук негиз · Келишимди аткаруу — Art. 6(1)(b) GDPR

• Сервер логдору жана аудит логдору

  Short-lived API request logs may include IP address, user-agent, method, path, status, duration, request ID, user/org context, and error strings so we can debug the service and detect abuse. These request logs are automatically pruned after 72 hours by our retention cron, with up to 24 hours of cron scheduling slop. Audit logs for security-relevant actions (including sign in, scan started, token created/revoked, plan change, account deletion, and admin/support actions) may include IP address, user-agent, and request metadata. Audit logs are automatically pruned after 18 months, except where a longer period is required to comply with legal process or to defend a legal claim.

  укуктук негиз · Мыйзамдуу кызыкчылык — Art. 6(1)(f) GDPR

• GitHub интеграциясы (милдеттүү эмес, Pro+ гана)

  Аккаунт → Интеграциялар бөлүмүнөн GitHub аккаунтун туташтырсаңыз, биз уюмуңуз үчүн шифрленген OAuth access token, GitHub login + сандык user ID жана берилген scopes сактайбыз. Token сиз сканерлөө баштаган repositories окуу үчүн гана колдонулат. Source code ар бир сканерлөөдө алынат, memory ичинде иштетилет жана жеке finding evidence гана сакталат (full source dumps сакталбайт). Ажыраткандан кийин 30 күндүн ичинде өчүрүлөт.

  укуктук негиз · Келишимди аткаруу / макулдук — Art. 6(1)(b) + 6(1)(a) GDPR

• API tokens + MCP server (милдеттүү эмес)

  Аккаунт → API tokens бөлүмүндө түзгөн tokens SHA-256 hash катары, идентификация үчүн биринчи 8 plaintext characters, сиз берген аталыш жана created/last-used/revoked timestamps менен сакталат. Plaintext түзүлгөн учурда сизге так бир жолу көрсөтүлөт жана эч качан сакталбайт. Tokens bearer credentials болуп саналат: мааниси бар ар бир адам сиз revoke кылмайынча сканерлөөлөрүңүздү окуп, жаңыларын баштай алат. /api/mcp дарегиндеги MCP server ошол эле tokens менен authenticated болот, dashboard көрсөткөн маалыматты эле ачат жана өзүнчө data category түзбөйт.

  укуктук негиз · Келишимди аткаруу — Art. 6(1)(b) GDPR

• Outbound webhooks (optional, paid plans)

  If you create webhook endpoints from Account → Webhooks, we store the endpoint URL, selected event types, delivery status, short response excerpts, and an encrypted signing secret. We send scan, finding, monitor-alert, and scheduled-run metadata to the endpoints you configure. Those endpoints are recipients chosen by your organization, not FixVibe sub-processors.

  укуктук негиз · Performance of contract — Art. 6(1)(b) GDPR

• Live threat detection (милдеттүү эмес, Unlimited гана)

  Эгер текшерилген доменде monitoring күйгүзүлгөн болсо, биз ошол домен үчүн certificate-transparency log entries, DNS records жана threat-intel listings (Spamhaus DBL, URLhaus) мезгил-мезгили менен тартып алабыз. Бул snapshots сиз бизге сканерлөөгө мурунтан уруксат берген hostnames жана public lookups ачык натыйжаларын камтыйт. End-users жеке маалыматы алынбайт. 7 күндөн эски snapshots автоматтык түрдө өчүрүлөт; ар бир signal type үчүн эң акыркы baseline сакталат.

  укуктук негиз · Келишимди аткаруу — Art. 6(1)(b) GDPR

• Пландалган кайра сканерлөөлөр (милдеттүү эмес, Pro+ гана)

  Текшерилген доменде scheduled scans күйгүзсөңүз, биз cadence, last run time, next run time жана schedule күйгүзгөн user маалыматтарын жазабыз. Ар бир cron-triggered scan домен биринчи жолу текшерилгенде берилген authorization-to-scan attestation мурастайт — ар бир run үчүн кайрадан attest кылбайсыз. Каалаган убакта Домендер → График бөлүмүнөн өчүрүңүз.

  укуктук негиз · Келишимди аткаруу — Art. 6(1)(b) GDPR

• Аналитика (милдеттүү эмес, consent-gated)

  Эгер analytics consent берсеңиз жана сиз колдонуп жаткан deployment үчүн analytics configured болсо, биз anonymous usage жазуу үчүн privacy-respecting product-analytics provider колдонобуз (өз доменибиз аркылуу proxied) — кайсы buttons басылат, адамдар кайсы checks иштетет, users funnel ичинде кайсы жерде drop off болот. Биз сиз сканерлеген URLs, evidence content же personal data analytics events ичине салбайбыз. Макулдукту каалаган убакта Cookie жөндөөлөрү аркылуу кайтарып алыңыз.

  укуктук негиз · Макулдук — Art. 6(1)(a) GDPR / ePrivacy Art. 5(3)

• Жарнамалык сунушту алуу

  Сиз промо кодду, чакыруу шилтемесин же шилтеме кредитин алганда, биз кампания кодун, биз берген планды жана узактыкты, сынактын башталган жана аяктаган убакыт белгилерин, сынакка чейин кармаган планды жана алуу учурундагы IP дарегиңиздин HMAC-SHA256 хэшин сактайбыз (биз эч качан чийки IPди сактабайбыз — хэш бир тармакка бир алуу чектерин аткаруу үчүн гана бар, ал эми негизги HMAC ачкычын айлантуу баардыктарын ачыкка чыгарбай сакталган бардык хэштерди жараксыз кылат). Кампаниянын мөөнөтү плюс эсеп жана алдамчылык-тергөө максаттары үчүн 18 ай сакталат, андан кийин кампания жазуусунун калганы менен жок кылынат.

  укуктук негиз · Мыйзамдуу кызыкчылык (алдамчылыктын алдын алуу, эсеп) — GDPRдин 6(1)(f) беренеси

• Конкурстар, лотереялар жана челленджтер

  Эгер сиз FixVibe Челленджине (мисалы, Коопсуздук текшерүү челленджи) катышсаңыз, биз тапшырган байланыш почтаңызды (уттургуңузда сизге кайрылуу үчүн талап кылынат), каалоо боюнча бергениңиз Reddit жана Product Hunt колдонуучу аттарыңызды, сканыңыздын ID жана тамыр доменин, өзүңүз билдирген долбоор түрүн, стекти жана каалоо боюнча бергениңиз бир-нерсе-үйрөндүм текстин, каалоо боюнча тандаганыңыз ачылыш каналынын маанисин жана сиз кабыл алган үч талап кылынган макулдук кутучаларын (уруксат, эрежелер, байланыш) сактайбыз. Эгерде сиз өзүнчө каалоо боюнча маркетингде көрсөтүлүү макулдугун белгилесеңиз, биз сиздин ачык баллыңызды, рейтингиңизди, стек, колдонуучу атыңызды жана тапшырган цитатаңызды FixVibe башкы баракчасында, челлендж баракчасында же кайталоо постунда көрсөтүшүбүз мүмкүн — эч качан башка талаа эмес жана эч качан ал opt-инсыз. Челленджке катышуулар Челленджин мөөнөтү плюс текшерүү жана талаш максаттары үчүн 18 ай сакталат. Сиз маркетингде көрсөтүлүү макулдугун каалаган учурда privacy@fixvibe.app дарегине почта жөнөтүү аркылуу кайтарып ала аласыз; кайтарып алуу кайтарып алуудан мурдагы мыйзамдуу иштетүүгө таасир этпейт.

  укуктук негиз · Келишимди аткаруу (Челленджди жүргүзүү) жана макулдук (көрсөтүү) — GDPRдин 6(1)(b) жана 6(1)(a) беренелери

• Биз маалыматыңызды эч качан сатпайбыз.
• Үчүнчү тараптын ad-tech, fingerprinting же session-replay scripts киргизбейбиз.
• Сканерлөө максаттарыңыздын URLs же finding evidence analytics properties ичине салынбайт — бул data row-level security менен чектелген database ичинде гана жашайт.
• Маалыматыңызды үчүнчү тараптардын өз marketing максаттары үчүн бөлүшпөйбүз.

FixVibe иштетүү үчүн төмөнкү суб-процессорлорго таянабыз:

• Vercel Inc. (USA) — application hosting жана edge network. Купуялык билдирүүсү: vercel.com/legal/privacy-policy.
• Supabase Inc. (USA) — Postgres database, authentication, file storage, Realtime. FixVibe production database AWS us-east-1 region ичинде. Купуялык билдирүүсү: supabase.com/privacy.
• Stripe Inc. (USA) — paid plans үчүн payment processing. Купуялык билдирүүсү: stripe.com/privacy.
• Upstash, Inc. (USA, Vercel Marketplace аркылуу) — Redis-backed rate limiting; кыска мөөнөттүү IP-based counters гана сактайт. Купуялык билдирүүсү: upstash.com/privacy.
• PostHog Inc. (USA) — product analytics, analytics consent бергенде гана жана сиз колдонуп жаткан deployment үчүн analytics configured болгондо гана. Купуялык билдирүүсү: posthog.com/privacy.
• GitHub, Inc. (USA) — optional GitHub integration туташтырсаңыз гана. Биз GitHub API аркылуу сиз сканерлөө баштаган repositories окуйбуз. Купуялык билдирүүсү: docs.github.com/site-policy/privacy-policies/github-general-privacy-statement.
• Resend, Inc. (USA) — transactional email delivery. Биз scan-completed, scheduled-scan, live-threat alert жана weekly-digest emails жөнөткөндө сиздин email address жана email body алат. Resend operational purposes үчүн delivery metadata (timestamps, status, bounce records) сактайт; биз Resend аркылуу эч качан marketing email жөнөтпөйбүз. Купуялык билдирүүсү: resend.com/legal/privacy-policy.

EEA/UK аймагынан тышкары personal data transfers European Commission’s Standard Contractual Clauses (же UK’s International Data Transfer Addendum) негизинде жүргүзүлөт жана төмөндөгү “Коопсуздук” бөлүмүндө сүрөттөлгөн encryption-in-transit жана encryption-at-rest чаралары менен толукталат.

We will update this list and notify customers in-app if we add a new sub-processor that processes personal data on our behalf. Customer-configured outbound webhook endpoints are customer-selected recipients, not FixVibe sub-processors.

GDPR, UK GDPR жана эквиваленттүү мыйзамдарга (CCPA/CPRA, LGPD, PIPEDA, Australian Privacy Act ж.б.) ылайык, сизде төмөнкү укуктар бар:

• маалыматыңыздын көчүрмөсүнө жетүү (муну Аккаунт → Купуялык бөлүмүнөн өз алдынча жасай аласыз);
• маалыматыңызды оңдотуу;
• маалыматыңызды өчүртүү (өз алдынча да болот);
• legitimate interests негизиндеги processing каршы чыгуу;
• analytics үчүн макулдукту каалаган убакта Cookie жөндөөлөрү аркылуу кайтарып алуу;
• data portability — экспортуңуз JSON форматында;
• жергиликтүү supervisory authority (EU/UK/EEA) же эквиваленттүү органга арыз берүү.

Биз verifiable rights requests суроо-талаптарына 30 күн ичинде жооп беребиз. Self-serve аркылуу канааттандыра албаган суроо-талаптар үчүн (ачпаган field оңдоо, processing чектөө, objection), support@fixvibe.app дарегине “Privacy request” темасы менен email жөнөтүңүз.

Биз сиздин personal information сатпайбыз. Cross-context behavioral advertising үчүн personal information бөлүшпөйбүз. PostHog аркылуу analytics cookie banner ичинде consent бергенден кийин гана иштейт; бул consent каалаган убакта Cookie жөндөөлөрү аркылуу же footer ичинде Сиздин купуялык тандоолоруңуз шилтемесин басып кайтарып ала аласыз.

Эгер California тургуну болсоңуз, сизде дагы төмөнкү укуктар бар:

• кандай personal information чогултарыбызды, булактарды, максаттарды жана аны бөлүшкөн third parties тууралуу билүү (баары жогоруда кеңири көрсөтүлгөн);
• personal information өчүрүүнү суроо (Аккаунт → Купуялык аркылуу self-serve же бизге email жөнөтүү менен);
• так эмес personal information оңдоо;
• sensitive personal information колдонуу жана disclosure чектөө — биз authentication credentials жана session metadata тышкары эч нерсе чогултпайбыз, экөө тең service көрсөтүү үчүн талап кылынат;
• sale же sharing баш тартуу — колдонулбайт, анткени биз экөөнү тең кылбайбыз;
• жогорудагы укуктардын кайсынысын болбосун колдонгонуңуз үчүн дискриминацияга кабылбоо.

Global Privacy Control (GPC) signals автоматтык түрдө урматтайбыз; GPC header жөнөтүү сиздин visit келечектеги analytics consent боюнча ачык opt out кылгандай каралат.

We force row-level security on every database table; users only see records belonging to organizations they are members of. Authenticated-scan headers, when supplied, are encrypted at rest with AES-256-GCM and purged after the scan completes. Stripe webhook payloads are HMAC-verified before processing, and customer outbound webhook signing secrets are encrypted at rest. The service-role database credential is held only on the server runtime and is never exposed to the browser. All traffic between you and FixVibe, and between FixVibe and our sub-processors, uses TLS 1.2 or higher.

Эч бир security program кемчиликсиз эмес. Эгер FixVibe ичинде vulnerability таптым деп эсептесеңиз, аны support@fixvibe.app дарегине кабарлаңыз.

Эгер материалдык өзгөртүүлөрдү киргизсек — жаңы sub-processors, жаңы data categories, жаңы retention periods — жогорудагы датаны жаңыртабыз жана сизге in-app билдиребиз. Майда wording fixes билдирүү жаратпайт.

privacy@fixvibe.app — жооптор адатта 5 иш күнүнүн ичинде келет, GDPR Art. 12(3) талап кылгандай эч качан 30 күндөн узак эмес.