Політика конфіденційності

1. Хто ми

AstraNL (зареєстрований як O. Tatarskyi ZZP, KvK 88449335, BTW NL004604224B69). Інфраструктура координаційного інтелекту з Нідерландів. Контакт: hello@astranl.com.

Ця політика діє для astranl.com та всіх піддоменів.

2. Які персональні дані ми збираємо

3. Чому ми обробляємо ваші дані (правові підстави за GDPR ст. 6)

• Договір (ст. 6(1)(b)) — для надання координаційних послуг (акаунт, публікація, матчинг).
• Легітимний інтерес (ст. 6(1)(f)) — запобігання шахрайству (хеши IP), спостереження за сервісом.
• Законодавчий обов'язок (ст. 6(1)(c)) — голландський ZZP бухоблік (7 років фін звітів), податки.
• Згода (ст. 6(1)(a)) — наразі не використовується, бо ми не запускаємо аналітику або маркетингові cookie.

4. Як довго ми зберігаємо дані

• Серверні логи (з анонімною IP): 30 днів, потім автоматичне видалення.
• Дані акаунту: до моменту видалення вами.
• Форум-контент: до видалення вами (або запиту на забуття).
• Чат-повідомлення: 30 днів активного зберігання, далі архів, доступний тільки вам.
• Фінансові записи (рахунки, платежі): 7 років згідно з голландським законом (BW 2:10).
• Brain events (спостережність): тільки хешовані ID, чистяться після 90 днів.

5. Де знаходяться ваші дані

Всі персональні дані зберігаються на серверах у Амстердамі, Нідерланди (DigitalOcean AMS3). Дані не передаються за межі ЄС без вашої згоди. Резервні копії зашифровані.

6. Треті сторони, які ми використовуємо

Кожен обробник має підписану Угоду про обробку даних (DPA).

7. Ваші права (GDPR, Розділ III)

В будь-який момент ви можете:

• Отримати копію всіх ваших даних (ст. 15)
• Виправити невірну інформацію (ст. 16)
• Видалити акаунт та контент (ст. 17, право на забуття)
• Обмежити обробку під час спору (ст. 18)
• Перенести дані у форматі JSON (ст. 20)
• Заперечити обробці на підставі легітимного інтересу (ст. 21)
• Подати скаргу до Autoriteit Persoonsgegevens (голландський DPA)

Як скористатися: напишіть на hello@astranl.com. Відповідаємо протягом 30 днів (GDPR ст. 12(3)). Або використайте self-service:

• GET /api/user/export — миттєвий експорт даних (потрібен вхід)
• POST /api/user/delete — видалення акаунту та анонімізація контенту

8. Cookies

Ми використовуємо тільки суворо необхідні cookies, які не потребують згоди за ePrivacy Directive:

• astra_lang (1 рік) — пам'ятає мову інтерфейсу
• astra_session (30 днів, тільки для зареєстрованих) — тримає вас у системі

Ми НЕ використовуємо: Google Analytics, Facebook Pixel, рекламні трекери, запис сесій, heatmaps, або будь-яку аналітику від третіх сторін. Якщо це зміниться, додамо банер згоди перед тим.

9. Діти

AstraNL не призначений для користувачів до 16 років. Ми свідомо не збираємо дані дітей. Якщо ви вважаєте, що ми ненавмисно зібрали такі дані, негайно зв'яжіться з нами — ми видалимо.

10. Безпека

• TLS 1.3 для всіх з'єднань (Let's Encrypt, авто-оновлення)
• HMAC-SHA256 з серверним pepper для сесійних токенів
• SHA-256 хешування IP перед зберіганням
• База даних зашифрована у спокої (DigitalOcean)
• Секрети в файлах chmod 600, власник root
• Авто-оновлення безпеки на Ubuntu
• Ротація API-ключів кожні 90 днів

11. Повідомлення про витік

В разі витоку персональних даних, який створює ризик для ваших прав, ми повідомляємо Autoriteit Persoonsgegevens протягом 72 годин та контактуємо постраждалих користувачів (GDPR ст. 33-34).

12. Зміни у цій політиці

Повідомимо про суттєві зміни e-mail (якщо ви маєте акаунт) або банером на сайті мінімум за 30 днів до запуску.

13. Контакт з Відповідальним за захист даних

E-mail: hello@astranl.com
Поштова адреса: O. Tatarskyi (AstraNL), Нідерланди — на запит
Наглядовий орган: Autoriteit Persoonsgegevens