Flowtly – Політика конфіденційності

1. Загальні положення

Ця Політика конфіденційності пояснює, як Flowtly Prosta Spółka Akcyjna («Flowtly», «ми», «наш», «нас») збирає, обробляє та захищає персональні дані, а також які права мають користувачі щодо своїх даних.

Політика відповідає Регламенту (ЄС) 2016/679 Європейського парламенту і Ради від 27 квітня 2016 року (Загальний регламент захисту даних, «GDPR») та іншим застосовним законам про захист даних. Ця Політика застосовується до всіх користувачів платформи Flowtly та осіб, чиї персональні дані обробляються у зв’язку з її роботою.

2. Контролер даних

Контролером даних є Flowtly Prosta Spółka Akcyjna (Flowtly PSA) з місцезнаходженням за адресою ul. Młynarska 8/12, 01-194 Warsaw, Poland, внесена до Реєстру підприємців під KRS 0001188143, NIP 5273180297, REGON 542625051, зі статутним капіталом 15 800 PLN.

Зв’язатися з нами можна:

• поштою за вказаною адресою,
• електронною поштою: business.support@flowtly.eu, або
• через контактну форму на платформі.

3. Категорії оброблюваних даних

Ми обробляємо такі категорії персональних даних:

• Дані реєстрації та підписки: ім’я, прізвище, email, пароль, назва організації, посада, платіжні дані (адреса, податковий номер), а також обсяг обраного плану підписки.
• Дані про зайнятість та HR: імена, PESEL або національні ідентифікаційні номери, email-адреси, дані про зайнятість, винагороду, робочий час, кваліфікації та облік відпусток.
• Дані контрагентів та інвойсингу: назва бізнесу, адреса, податковий номер, умови оплати, номери банківських рахунків, ідентифікатори рахунків, податкова інформація.
• Чутливі дані: лише якщо вони добровільно надані й потрібні для виконання договору (наприклад, дані про здоров’я в контексті лікарняних, членство в профспілці для внесків або демографічні дані для звітності про рівність).
• Технічні дані та інтеграції: дані, отримані через Kontomatik (історія банківських рахунків) для звірки та звітності, логи помилок Sentry (Functional Software Inc.), серверні логи, IP-адреси та cookie.
• Публічно доступні дані: дані з KRS, REGON, CEIDG та інших публічних реєстрів для перевірки контрагентів.
• Інші дані, надані користувачами: фото профілю, аватари, завантажені файли (наприклад, інвойси чи підтвердження оплат), а також зміст листування з нашою підтримкою.

4. Мети та правові підстави обробки

Flowtly обробляє дані для таких цілей:

• Надання послуг та управління акаунтами: реєстрація організацій, керування правами доступу, облік робочого часу, управління відпустками, інвойсинг, бюджетування проєктів і звітність.
• Виконання договору: виставлення рахунків, стягнення платежів за підписку, технічна підтримка та забезпечення доступності сервісу.
• Комунікація з користувачами: відповіді на запити, оновлення та повідомлення про зміни сервісу.
• Юридичні зобов’язання: бухгалтерський облік, податкові розрахунки та архівація документів.
• Законні інтереси Flowtly: забезпечення безпеки, запобігання шахрайству, покращення сервісів, а також захист або переслідування правових вимог.
• Вимірювання реклами: вимірювання того, які з наших рекламних кампаній приводять на наш вебсайт відвідувачів, що запускають демо або звертаються до нашого відділу продажів, лише за вашої згоди (див. розділ 11).

Персональні дані не обробляються для інших цілей, окрім зазначених вище, без попереднього повідомлення і, за необхідності, згоди користувача.

5. Автоматизована обробка та профілювання

За винятком описаної нижче автоматизованої перевірки нових організацій, Flowtly не приймає рішень, що мають юридичні наслідки для користувачів або суттєво впливають на них, виключно на основі автоматизованої обробки чи профілювання.

Деякі алгоритми можуть підтримувати внутрішні функції, такі як аналіз навантаження, розподіл ресурсів або прогноз бюджету, але фінальні рішення завжди ухвалюють уповноважені особи. Ми можемо використовувати агреговані, анонімізовані дані для аналітики та статистики, щоб покращувати сервіс.

Автоматизована перевірка нових організацій. Коли ви реєструєтеся на пробний період або створюєте нову організацію, автоматизована перевірка аналізує реєстрацію, щоб запобігти створенню шахрайських і зловмисних організацій, як-от фіктивних або тестових облікових записів, організацій, що видають себе за відомі установи, та реєстрацій з одноразових адрес електронної пошти. Перевірка використовує введену вами назву організації, вашу адресу електронної пошти, країну та мову реєстрації, вашу IP-адресу, а також відомості про те, чи було нещодавно відхилено реєстрацію з тією самою назвою організації, адресою електронної пошти або IP-адресою. Частину перевірки виконує модель штучного інтелекту, яку надає Anthropic PBC (див. розділ 6). Якщо перевірка доходить висновку, що реєстрація ймовірно є шахрайською або зловмисною, організацію не створюють, а реєстрацію відхиляють. Це рішення ухвалюється автоматизовано, без розгляду людиною. Якщо перевірка тимчасово недоступна, реєстрацію неможливо завершити в цей момент, її можна повторити пізніше.

Ця перевірка необхідна для укладення з вами договору, оскільки вона дає нам змогу безпечно створити вашу організацію (стаття 22(2)(a) GDPR). Якщо вашу реєстрацію відхилено, ви маєте право вимагати перегляду рішення людиною, висловити свою позицію та оскаржити рішення, написавши на адресу business.support@flowtly.eu.

6. Отримувачі даних

Персональні дані можуть передаватися:

• співробітникам Flowtly та уповноваженим підрядникам, які зобов’язані дотримуватися конфіденційності,
• Google Cloud (хостинг та інфраструктура, зокрема бази даних, зберігання файлів і сервіси Firebase),
• Anthropic PBC (функції ШІ — вміст документів, що передаються на аналіз, зокрема рахунків і договорів, а також текст, який вводиться у функціях, що використовують ШІ, наприклад описи роботи; а також дані перевірки реєстрацій, а саме назва організації, адреса електронної пошти, країна та мова реєстрації й IP-адреса, які використовуються для перевірки нових організацій на шахрайство та зловживання, як описано в розділі 5),
• Stripe (обробка платежів),
• Kontomatik (інтеграція банківських даних),
• Functional Software Inc. (Sentry) для моніторингу системних помилок,
• Postmark (ActiveCampaign, Inc.), постачальнику послуг транзакційної електронної пошти, для надсилання транзакційних листів із застосунку Flowtly, які містять імена, адреси електронної пошти та дані рахунків,
• зовнішнім бухгалтерам, юристам та IT-провайдерам у межах необхідності для виконання послуг, та
• державним органам — у випадках, передбачених законом.

Усі сторонні провайдери обробляють дані на підставі письмових угод про обробку даних і згідно з інструкціями Flowtly. Ми не продаємо персональні дані. Ми можемо публікувати лише агреговану, анонімізовану статистику.

Політики конфіденційності партнерів:

• Google Cloud
• Anthropic
• Stripe
• Kontomatik
• Sentry

7. Передача даних за межі ЄЕЗ

Сервери Flowtly розміщені в межах Європейської економічної зони. У деяких випадках дані можуть передаватися провайдерам за межами ЄЕЗ (наприклад, у США у випадку Stripe, Sentry або Postmark), а також до Anthropic, яка обробляє вміст, що передається до наших функцій ШІ. У таких ситуаціях ми забезпечуємо належні гарантії, зокрема Стандартні договірні положення або рішення про адекватність відповідно до GDPR.

8. Строки зберігання даних

Ми зберігаємо персональні дані лише стільки, скільки потрібно для досягнення цілей, для яких вони були зібрані, включно з юридичними або договірними зобов’язаннями. Після цього періоду дані видаляються або анонімізуються, якщо подальше зберігання не вимагається законом або для захисту законних інтересів Flowtly.

9. Права користувачів

Користувачі мають такі права відповідно до GDPR:

• Доступ до своїх персональних даних.
• Виправлення неточних даних.
• Видалення даних («право на забуття»).
• Обмеження обробки.
• Перенесення даних до іншого контролера.
• Заперечення проти обробки на підставі законного інтересу.
• Відкликання згоди (коли обробка базується на згоді).
• Подання скарги до Голови Управління захисту персональних даних (UODO).

Щоб реалізувати ці права, зв’яжіться з нами за адресою business.support@flowtly.eu або письмово за адресою нашого офісу.

10. Безпека даних

Ми застосовуємо організаційні та технічні заходи для захисту даних від несанкціонованого доступу, втрати, зміни або розкриття. Ми використовуємо шифровані з’єднання (HTTPS), регулярні резервні копії, механізми контролю доступу та актуальні процедури безпеки. Доступ до даних мають лише уповноважені співробітники або підрядники в межах необхідності для виконання своїх обов’язків.

11. Cookies і наш вебсайт

Платформа використовує обов’язкові cookie, необхідні для коректної роботи. Аналітичні cookie встановлюються лише за згодою користувача через cookie-банер; вони допомагають нам розуміти поведінку та покращувати сервіс. Платформа не використовує cookie для маркетингових або рекламних цілей. Користувачі можуть керувати своїми виборами в cookie-банері в будь-який час або блокувати cookie в браузері; відключення певних cookie може обмежити деякі функції платформи.

Наш вебсайт. Наш вебсайт (flowtly.eu та наші національні домени, як-от flowtly.pl, flowtly.de і flowtly.fr) не розміщує cookie і не використовує подібне сховище на вашому пристрої для аналітики чи захисту від спаму. Cookie для вимірювання реклами він розміщує, а скрипти Google і Meta, які їх встановлюють, завантажує лише тоді, коли ви приймаєте їх у банері cookie, а відео YouTube завантажує лише після того, як ви натиснете «відтворити», як описано нижче. Окрім цього, він не завантажує скрипти чи шрифти від третіх сторін, таких як Google.

Аналітика вебсайту (Umami). Ми вимірюємо використання вебсайту за допомогою Umami, аналітичного інструменту з відкритим кодом, який ми самостійно розміщуємо за адресою stats.flowtly.eu на нашій інфраструктурі Google Cloud у Європейському Союзі. Umami не використовує cookie і нічого не зберігає на вашому пристрої. Він фіксує адресу сторінки, яку ви відвідуєте, сторінку, з якої ви перейшли, ваш браузер, операційну систему, тип пристрою, розмір екрана й мову, ваше приблизне місцезнаходження (країну, регіон і місто), визначене за вашою IP-адресою, а також натискання деяких кнопок, наприклад тих, що ведуть до контактної форми. Щоб рахувати відвідування без cookie, Umami формує псевдонімний ідентифікатор на основі вашої IP-адреси та даних браузера в поєднанні зі значенням, яке змінюється щомісяця; сама ваша IP-адреса не зберігається. Ми використовуємо ці дані лише для того, щоб розуміти, які сторінки корисні, і покращувати вебсайт, на підставі нашого законного інтересу (стаття 6(1)(f) GDPR), і не передаємо їх третім сторонам для їхніх власних цілей.

Захист наших форм від спаму. Форма зв’язку з відділом продажів і форма стартап-програми захищені нашою власною перевіркою замість captcha сторонніх постачальників. Форма містить поле, приховане від людей, яке зазвичай заповнюють автоматизовані програми, форма повідомляє, скільки часу вона була відкрита до надсилання, а наш сервер підраховує, скільки форм було надіслано з кожної IP-адреси протягом 10-хвилинного періоду і скільки форм він отримує загалом, щоб зупинити повторне надсилання. Для цієї перевірки IP-адреса зберігається лише в оперативній пам’яті сервера, і перевірка ніде її не записує: через 10 хвилин вона перестає враховуватися і видаляється, коли сервер наступного разу обробляє форму після цього, або під час вимкнення сервера. Як і кожен запит до наших серверів, запит форми також фіксується в серверних логах нашого хостинг-провайдера (див. розділ 3). Приховане поле та час використовуються лише для того, щоб прийняти або відхилити заявку, і не зберігаються. На вашому пристрої нічого не зберігається. Правовою підставою є наш законний інтерес у захисті форм від зловживань (стаття 6(1)(f) GDPR).

Вимірювання реклами (Google Ads і піксель Meta). За вашої згоди ми завантажуємо відстеження конверсій Google Ads (тег Google), яке надає Google Ireland Limited, і піксель Meta, який надає Meta Platforms Ireland Limited, щоб вимірювати, які з наших рекламних кампаній приводять відвідувачів, що запускають демо або надсилають запит через форму зв’язку з відділом продажів. Ми використовуємо їх лише для вимірювання реклами: не для ремаркетингу, не для створення аудиторій і не для показу вам персоналізованої реклами. Після завантаження тегів ваш браузер передає Google і Meta вашу IP-адресу, інформацію про ваш браузер і пристрій, адресу сторінки, яку ви відвідуєте, ідентифікатори, збережені в їхніх cookie, а якщо ви перейшли з однієї з наших реклам — ідентифікатор цього кліку. Коли ви запускаєте демо або ваш запит до відділу продажів прийнято, теги повідомляють лише про те, що це сталося: жоден вміст форми, ім’я чи адреса електронної пошти не надсилаються до Google або Meta. У режимі згоди Google (Consent Mode) персоналізація реклами та використання ваших даних для реклами (ad_personalization і ad_user_data) залишаються відхиленими навіть після того, як ви приймете, а сигнали Google вимкнено. У пікселі Meta автоматичну конфігурацію та розширене зіставлення вимкнено, і ми не створюємо індивідуальних аудиторій із відвідувачів нашого вебсайту. Вимірювання конверсій на пристроях користувачів з боку Meta увімкнено, і воно використовується лише для того самого вимірювання. Ми та Meta Platforms Ireland Limited є спільними контролерами щодо збирання цих даних на нашому вебсайті та їх передавання до Meta (стаття 26 GDPR). Google і Meta обробляють отримані дані під власну відповідальність, як описано в Політиці конфіденційності Google та Політиці конфіденційності Meta, і можуть передавати їх до Google LLC і Meta Platforms, Inc. у Сполучених Штатах; ці передавання ґрунтуються на Рамковій програмі конфіденційності даних ЄС–США (Data Privacy Framework), за якою сертифіковано обидві компанії, та на стандартних договірних положеннях. Теги встановлюють на нашому домені такі cookie: _gcl_au та, після кліку на рекламу Google, _gcl_aw — на строк до 90 днів; _fbp та, після кліку на рекламу Meta, _fbc — на строк до 90 днів. Правовою підставою є ваша згода (стаття 6(1)(a) GDPR разом із національними положеннями, що імплементують статтю 5(3) Директиви 2002/58/ЄС щодо зберігання інформації на вашому пристрої).

Ваша згода та її відкликання. На кожній сторінці flowtly.eu і наших національних доменів банер cookie просить вас зробити вибір і має кнопки «Прийняти» та «Відхилити» однакового розміру. Доки ви не приймете, теги для вимірювання реклами не завантажуються і нічого не надсилається до Google або Meta; у режимі згоди Google усі типи згоди за замовчуванням відхилено. Якщо ви відхилите, нічого не завантажиться. Ви можете будь-коли змінити свій вибір або відкликати згоду за допомогою кнопки «Налаштування файлів cookie» в нижньому колонтитулі кожної сторінки. Після відкликання теги припиняють надсилати дані, перелічені вище cookie видаляються з нашого домену, і жодна наступна сторінка не завантажує теги; cookie, які Google або Meta встановили на власних доменах, ви можете видалити у своєму браузері. Ваш вибір зберігається в локальному сховищі (local storage) вашого браузера під назвою flowtly-marketing-consent, щоб ми могли його дотримуватися, і лише після того, як ви його зробите. Відкликання згоди не впливає на законність обробки до відкликання.

Відео YouTube. Наші сторінки з посібниками можуть показувати відео YouTube у режимі розширеної конфіденційності YouTube (youtube-nocookie.com). Нічого не завантажується з YouTube, доки ви не натиснете «відтворити» на відео. Коли ви натискаєте «відтворити», відео завантажується з YouTube — сервісу Google Ireland Limited, яка отримує вашу IP-адресу, інформацію про ваш браузер і пристрій та адресу сторінки і може зберігати інформацію на вашому пристрої. YouTube обробляє ці дані під власну відповідальність, як описано в Політиці конфіденційності Google, і може передавати їх до Google LLC у Сполучених Штатах на підставі Рамкової програми конфіденційності даних ЄС–США. Правовою підставою є ваша згода, яку ви надаєте, натискаючи «відтворити» (стаття 6(1)(a) GDPR).

12. Заключні положення

Ця Політика конфіденційності є невід’ємною частиною Умов та положень Flowtly. Вона може періодично оновлюватися; користувачів буде завчасно повідомлено про суттєві зміни. У разі розбіжностей між мовними версіями пріоритет має польська версія. Політика чинна з 29 жовтня 2026 року.