Політика конфіденційності

FixVibe керує EGO HERO LLC (“ми”, “нас”), контролер даних для персональних даних, описаних у цій політиці. З питань конфіденційності, зокрема щодо запитів суб’єктів даних за GDPR, UK GDPR або CCPA, звертайся на privacy@fixvibe.app. З усіх інших питань пиши на support@fixvibe.app.

• Дані облікового запису

  Адреса електронної пошти, OAuth ідентифікатор, якщо ти входиш через Google або GitHub, і будь-яке ім’я, яке ми отримуємо від твого OAuth провайдера. Використовується для автентифікації тебе та зв’язку з тобою щодо облікового запису. Зберігається, доки твій обліковий запис активний. Коли ти видаляєш обліковий запис, ці дані видаляються протягом 30 днів, крім випадків, коли ми зобов’язані їх зберігати, наприклад облікові записи для цілей податкового законодавства.

  правова підстава · Виконання договору — Art. 6(1)(b) GDPR

• Цілі сканування та знахідки

  URL, які ти скануєш, запити, які ми надсилаємо до цих URL, і знахідки, які ми формуємо. Зберігаються в межах твоєї організації. Ми автоматично видаляємо записи, старші за вікно зберігання твого тарифу: 30 днів (Hobby), 90 днів (Pro), 365 днів (Unlimited). Ти можеш експортувати або видалити історію сканувань будь-коли в Обліковий запис → Конфіденційність.

  правова підстава · Виконання договору — Art. 6(1)(b) GDPR

• Анонімні сесії сканування

  Якщо ти запускаєш сканування без входу, ми видаємо cookie, підписаний HMAC, fixvibe_anon_session, зі строком дії 24 години, який містить непрозорий випадковий ID. Ми автоматично видаляємо незатребувані анонімні записи сканувань через 24 години. Якщо ти реєструєшся протягом 24-годинного вікна, твоє сканування переноситься в новий обліковий запис. Ми не знаємо, хто такі анонімні користувачі, якщо вони не реєструються.

  правова підстава · Строго необхідно — виняток ePrivacy Art. 5(3)

• Платіжні дані

  Stripe є нашим платіжним процесором. Вони зберігають дані твоєї картки в інфраструктурі PCI-DSS; ми зберігаємо лише Stripe ID клієнта, статус підписки, тариф, початок і кінець періоду та невеликий ідемпотентний запис webhook подій. Дивись повідомлення Stripe про конфіденційність на stripe.com/privacy.

  правова підстава · Виконання договору — Art. 6(1)(b) GDPR

• Серверні журнали та журнали аудиту

  Short-lived API request logs may include IP address, user-agent, method, path, status, duration, request ID, user/org context, and error strings so we can debug the service and detect abuse. These request logs are automatically pruned after 72 hours by our retention cron, with up to 24 hours of cron scheduling slop. Audit logs for security-relevant actions (including sign in, scan started, token created/revoked, plan change, account deletion, and admin/support actions) may include IP address, user-agent, and request metadata. Audit logs are automatically pruned after 18 months, except where a longer period is required to comply with legal process or to defend a legal claim.

  правова підстава · Законний інтерес — Art. 6(1)(f) GDPR

• Інтеграція GitHub, необов’язково, лише Pro+

  Якщо ти підключаєш обліковий запис GitHub у Обліковий запис → Інтеграції, ми зберігаємо зашифрований OAuth токен доступу для твоєї організації, твій GitHub логін і числовий ID користувача, а також надані scopes. Ми використовуємо токен виключно для читання репозиторіїв, для яких ти ініціюєш сканування. Вихідний код отримується для кожного сканування, обробляється в пам’яті, а зберігаються лише окремі докази знахідок, без повних дампів вихідного коду. Видаляється протягом 30 днів після відключення.

  правова підстава · Виконання договору / згода — Art. 6(1)(b) + 6(1)(a) GDPR

• API токени + MCP сервер, необов’язково

  Токени, які ти створюєш у Обліковий запис → API токени, зберігаються як SHA-256 hash, перші 8 символів відкритого тексту для ідентифікації, призначена тобою назва, а також часові мітки створення, останнього використання та відкликання. Відкритий текст показується тобі рівно один раз під час створення і ніколи не зберігається. Токени є bearer обліковими даними: будь-хто з цим значенням може читати твої сканування і запускати нові, доки ти його не відкличеш. MCP сервер на /api/mcp автентифікується тими самими токенами, показує ті самі дані, що й dashboard, і не створює окремої категорії даних.

  правова підстава · Виконання договору — Art. 6(1)(b) GDPR

• Outbound webhooks (optional, paid plans)

  If you create webhook endpoints from Account → Webhooks, we store the endpoint URL, selected event types, delivery status, short response excerpts, and an encrypted signing secret. We send scan, finding, monitor-alert, and scheduled-run metadata to the endpoints you configure. Those endpoints are recipients chosen by your organization, not FixVibe sub-processors.

  правова підстава · Performance of contract — Art. 6(1)(b) GDPR

• Живе виявлення загроз, необов’язково, лише Unlimited

  Якщо в тебе ввімкнено моніторинг для підтвердженого домену, ми періодично збираємо записи журналів certificate-transparency, DNS записи та threat-intel списки (Spamhaus DBL, URLhaus) для цього домену. Ці знімки містять hostnames, які ти вже дозволив нам сканувати, і публічні результати публічних перевірок. Персональні дані твоїх кінцевих користувачів не збираються. Знімки старші за 7 днів автоматично видаляються; найновіший базовий стан зберігається для кожного типу сигналу.

  правова підстава · Виконання договору — Art. 6(1)(b) GDPR

• Заплановані повторні сканування, необов’язково, лише Pro+

  Якщо ти вмикаєш заплановані сканування для підтвердженого домену, ми записуємо періодичність, час останнього запуску, час наступного запуску і користувача, який увімкнув розклад. Кожне сканування, запущене cron, успадковує засвідчення дозволу на сканування, зроблене під час першої перевірки домену — ти не підтверджуєш його повторно для кожного запуску. Вимкнути можна будь-коли в Домени → Розклад.

  правова підстава · Виконання договору — Art. 6(1)(b) GDPR

• Аналітика, необов’язково, за згодою

  Якщо ти надаєш згоду на аналітику і в нас налаштована аналітика для deployment, який ти використовуєш, ми застосовуємо постачальника продуктової аналітики, що поважає приватність і проксований через наш власний домен, для запису анонімного використання — які кнопки натискають, які перевірки запускають люди, де у воронці користувачі відпадають. Ми не додаємо URL, які ти скануєш, вміст доказів або персональні дані до аналітичних подій. Згоду можна відкликати будь-коли через Налаштування cookie.

  правова підстава · Згода — Art. 6(1)(a) GDPR / ePrivacy Art. 5(3)

• Використання рекламної пропозиції

  Коли Ви використовуєте промокод, запрошувальне посилання чи реферальний кредит, ми зберігаємо код кампанії, наданий план і тривалість, часові мітки початку та завершення пробного періоду, план, який Ви мали до пробного періоду, та хеш HMAC-SHA256 вашої IP-адреси на момент використання (ми ніколи не зберігаємо сирий IP — хеш існує лише для того, щоб ми могли забезпечити дотримання обмежень одного використання на мережу, а ротація базового HMAC-ключа знецінює всі збережені хеші без розкриття будь-кого). Зберігається протягом терміну дії кампанії плюс 18 місяців для бухгалтерських цілей та розслідування шахрайства, потім видаляється разом з рештою запису кампанії.

  правова підстава · Законний інтерес (запобігання шахрайству, бухгалтерія) — ст. 6(1)(f) GDPR

• Конкурси, лотереї та челенджі

  Якщо Ви подаєте заявку на FixVibe Челендж (наприклад, Security Preflight Challenge), ми зберігаємо контактний email, який Ви надсилаєте (необхідний, щоб ми могли зв'язатися з Вами в разі перемоги), імена користувачів Reddit та Product Hunt, які Ви за бажанням надаєте, ваш scan ID та кореневий домен, тип проєкту, стек і текст одного вивченого уроку, які Ви за бажанням повідомляєте про себе, значення каналу виявлення, яке Ви за бажанням обираєте, і три обов'язкові прапорці згоди, які Ви приймаєте (авторизація, правила, контакт). Якщо Ви окремо поставите позначку необов'язкової згоди висвітлення в маркетингу, ми можемо відображати Вашу публічну оцінку, рейтинг, стек, ім'я користувача та надіслану цитату на головній сторінці FixVibe, сторінці челенджу чи у підсумковому пості — ніколи не інше поле, і ніколи без цієї згоди. Заявки на челендж зберігаються протягом терміну дії Челенджу плюс 18 місяців для цілей перевірки та вирішення спорів. Ви можете відкликати згоду на висвітлення в маркетингу будь-коли, написавши на privacy@fixvibe.app; відкликання не впливає на законну обробку до моменту відкликання.

  правова підстава · Виконання договору (проведення Челенджу) та згода (висвітлення) — ст. 6(1)(b) та 6(1)(a) GDPR

• Ми ніколи не продаємо твої дані.
• Ми не вбудовуємо сторонні рекламні технології, fingerprinting або скрипти відтворення сесій.
• Ми не передаємо URL цілей сканування або докази знахідок в аналітичні властивості — ці дані живуть лише в нашій базі даних і захищені безпекою на рівні рядків.
• Ми не ділимося твоїми даними з третіми сторонами для їхнього власного маркетингу.

Для роботи FixVibe ми покладаємося на таких субобробників:

• Vercel Inc. (США) — хостинг застосунку та edge мережа. Повідомлення про конфіденційність: vercel.com/legal/privacy-policy.
• Supabase Inc. (США) — база даних Postgres, автентифікація, файлове сховище, Realtime. Продакшн база даних FixVibe розміщена в регіоні AWS us-east-1. Повідомлення про конфіденційність: supabase.com/privacy.
• Stripe Inc. (США) — обробка платежів для платних тарифів. Повідомлення про конфіденційність: stripe.com/privacy.
• Upstash, Inc. (США, через Vercel Marketplace) — обмеження частоти на основі Redis; зберігає лише короткоживучі лічильники на основі IP. Повідомлення про конфіденційність: upstash.com/privacy.
• PostHog Inc. (США) — продуктова аналітика, лише якщо ти надаєш згоду на аналітику і лише коли аналітика налаштована для deployment, який ти використовуєш. Повідомлення про конфіденційність: posthog.com/privacy.
• GitHub, Inc. (США) — лише якщо ти підключаєш необов’язкову інтеграцію GitHub. Ми використовуємо GitHub API для читання репозиторіїв, для яких ти ініціюєш сканування. Повідомлення про конфіденційність: docs.github.com/site-policy/privacy-policies/github-general-privacy-statement.
• Resend, Inc. (США) — доставка транзакційної електронної пошти. Отримує твою адресу електронної пошти і тіло листа, коли ми надсилаємо листи про завершене сканування, заплановане сканування, сповіщення про живі загрози і щотижневі дайджести. Resend зберігає метадані доставки, як-от часові мітки, статус і записи bounce, для операційних цілей; ми ніколи не надсилаємо маркетингові листи через Resend. Повідомлення про конфіденційність: resend.com/legal/privacy-policy.

Передавання персональних даних за межі ЄЕЗ/UK спирається на Стандартні договірні положення Європейської Комісії або UK International Data Transfer Addendum, доповнені заходами шифрування під час передавання і в стані спокою, описаними нижче в розділі “Безпека”.

We will update this list and notify customers in-app if we add a new sub-processor that processes personal data on our behalf. Customer-configured outbound webhook endpoints are customer-selected recipients, not FixVibe sub-processors.

За GDPR, UK GDPR та еквівалентними законами (CCPA/CPRA, LGPD, PIPEDA, Australian Privacy Act тощо) ти маєш право:

• отримати доступ до копії своїх даних (це можна зробити самостійно в Обліковий запис → Конфіденційність);
• виправити свої дані;
• видалити свої дані (також самостійно);
• заперечити проти обробки на підставі законних інтересів;
• відкликати згоду на аналітику будь-коли через Налаштування cookie;
• переносимість даних — твій експорт у JSON;
• подати скаргу до місцевого наглядового органу (EU/UK/ЄЕЗ) або еквівалентного органу.

Ми відповідаємо на перевірювані запити щодо прав протягом 30 днів. Для запитів, які ми не можемо виконати самостійно через інтерфейс, наприклад виправлення поля, яке ми не показуємо, обмеження обробки або заперечення, надішли лист на support@fixvibe.app з темою “Запит щодо конфіденційності”.

Ми не продаємо твою персональну інформацію. Ми не ділимося персональною інформацією для міжконтекстної поведінкової реклами. Аналітика через PostHog працює лише після того, як ти надаєш згоду в нашому cookie банері; ти можеш відкликати цю згоду будь-коли через Налаштування cookie або натиснувши Твої вибори щодо конфіденційності у футері.

Якщо ти житель Каліфорнії, ти також маєш право:

• знати, яку персональну інформацію ми збираємо, джерела, цілі та будь-які треті сторони, з якими ми її ділимося, усе детально наведено вище;
• попросити видалення твоєї персональної інформації, самостійно через Обліковий запис → Конфіденційність або написавши нам;
• виправити неточну персональну інформацію;
• обмежити використання і розкриття чутливої персональної інформації — ми не збираємо її, крім облікових даних автентифікації та метаданих сесій, які потрібні для надання сервісу;
• відмовитися від продажу або поширення — не застосовується, оскільки ми не робимо ні того, ні іншого;
• не зазнавати дискримінації за здійснення будь-якого з наведених вище прав.

Ми автоматично враховуємо сигнали Global Privacy Control (GPC); надсилання GPC header означає, що твій візит розглядається так, ніби ти явно відмовився від будь-якої майбутньої згоди на аналітику.

We force row-level security on every database table; users only see records belonging to organizations they are members of. Authenticated-scan headers, when supplied, are encrypted at rest with AES-256-GCM and purged after the scan completes. Stripe webhook payloads are HMAC-verified before processing, and customer outbound webhook signing secrets are encrypted at rest. The service-role database credential is held only on the server runtime and is never exposed to the browser. All traffic between you and FixVibe, and between FixVibe and our sub-processors, uses TLS 1.2 or higher.

Жодна програма безпеки не є ідеальною. Якщо ти вважаєш, що знайшов вразливість у FixVibe, повідом про неї на support@fixvibe.app.

Якщо ми внесемо суттєві зміни — нові субобробники, нові категорії даних або нові строки зберігання — ми оновимо дату вище і повідомимо тебе в застосунку. Незначні правки формулювань не спричиняють повідомлення.

privacy@fixvibe.app — відповіді зазвичай протягом 5 робочих днів і ніколи довше ніж 30 днів, як вимагає GDPR Art. 12(3).