Політика конфіденційності

Сервіс migrate.fi працює з міста Еспоо, Фінляндія, код підприємства (Y-tunnus) 3636874-7. Ми є контролером описаних тут персональних даних: ми вирішуємо, що збирається і навіщо, і ми за це відповідаємо.

З будь-якого питання з цього документа пишіть на support@migrate.fi. Запити щодо захисту даних — доступ, виправлення, видалення — надсилайте на ту саму адресу. Зазначте в темі листа «data request», і ми опрацюємо його саме як такий запит.

Список очікування: якщо ви записуєтесь до списку очікування на головній сторінці, ми зберігаємо вказану вами адресу пошти та мову, якою була відкрита сторінка. Це все — за цим немає ні облікового запису, ні профілю. Ми зберігаємо це, щоб повідомити вам про відкриття сервісу, і ні для чого іншого; ви можете будь-коли попросити видалити цей запис, написавши на support@migrate.fi.

Ваш обліковий запис: адреса електронної пошти, з якою ви зареєструвалися, пароль, що зберігається лише як bcrypt-хеш, і обрана вами мова інтерфейсу. Якщо ви входите через Google, а не за паролем, Google передає нам вашу адресу пошти, ім'я та фотографію профілю.

Те, що ви розповідаєте під час початкового налаштування: країна, з якої ви їдете, де ви зараз, тип дозволу, який ви маєте або хочете отримати, сімейний стан, вік дітей (тільки вік, ніколи не імена), місто у Фінляндії, куди ви переїжджаєте, дата приїзду, дата завершення чинного дозволу, на якому ви етапі та що вас турбує. Саме з цього будується ваш план.

Завантажені документи: сам файл і те, що з нього вичитав аналіз, — назва, вид документа, хто його надіслав, стислий зміст, чи потрібна відповідь, дата, до якої треба відповісти, і зазначена в документі дата завершення строку дії.

Переслана пошта: кожному обліковому запису може бути видана приватна адреса на inbox.migrate.fi. Усе, що надійде на неї, зберігається разом із вкладеннями і читається так само, як завантажений документ.

Ваші розмови: запитання, які ви ставите асистентові, і його відповіді — зберігаються, щоб листування було на місці, коли ви повернетеся.

Оплата: якщо ви купуєте Relocation Pass, ми зберігаємо запис про платіж і ідентифікатор клієнта, за яким вас упізнає Stripe. Номер картки вводиться на сторінці самого Stripe і до нас не потрапляє.

Нагадування: запис про те, яке нагадування про строк і якого дня вам було надіслано, щоб те саме не прийшло двічі.

Технічні журнали: робота сервісу створює серверні записи про запити та помилки. Вони видаляються автоматично через 30 днів.

Деякі з паперів, які сюди завантажують, кажуть про людину значно більше, ніж номер паспорта. Рішення щодо дозволу на проживання може розкрити стан здоров'я, заяву про притулок, релігію, політичні погляди, підставу для переслідування або те, що людина стала жертвою торгівлі людьми чи трудової експлуатації. Стаття 9 GDPR називає це особливими категоріями персональних даних і захищає їх суворіше за решту.

Цей продукт свідомо підтримує такі маршрути — шлях заяви про притулок є в плані, — тож ми не описуватимемо цей випадок як гіпотетичний.

Ніщо не зобов'язує вас завантажувати такий документ. Ви самі обираєте, які файли додати, і план із чатом працюють без жодного з них. Завантажуючи такий документ, ви даєте явну згоду на його зберігання та прочитання так, як описано в цьому документі, і саме ця згода є нашою правовою підставою.

Ви можете відкликати цю згоду, видаливши документ: запис, усе, що з нього вичитав аналіз, і сама збережена копія файлу зникають разом, в одне натискання, і більше ніщо тут його не читає. Під час видалення облікового запису так само стираються всі збережені файли. Єдиний виняток — файли настільки давні, що ми зберігали їх інакше, ніж сьогодні; такі зітре support@migrate.fi.

Кожен документ, що сюди потрапляє, аналізується автоматично: під час завантаження, а для пересланої пошти — під час надходження. Варіанта «зберегти, але не читати» немає. Якщо ви волієте, щоб конкретний папір не читала модель ШІ, не завантажуйте його. Ми краще скажемо це прямо, ніж натякнемо на вибір, якого не існує.

Робота сервісу — ваш обліковий запис, план, чат, документи, які ви попросили прочитати, нагадування, про які ви попросили, — спирається на виконання договору з вами (ст. 6(1)(b) GDPR).

Документи з названих вище особливих категорій спираються на вашу явну згоду, надану під час завантаження (ст. 9(2)(a)).

Аналітика спирається на вашу згоду і ні на що інше (ст. 6(1)(a)). Відмова нічого вам не коштує: будь-яка частина продукту працює в обох випадках.

Підтримання працездатності сервісу — обмеження частоти запитів, блокування зловживань, захист від використання облікового запису для атаки та звіти про помилки, з яких ми дізнаємося про поломку, — спирається на наш законний інтерес у тому, щоб сервіс залишався доступним, а поломки помічалися й усувалися (ст. 6(1)(f)).

Ми не продаємо персональні дані й не передаємо їх для чиєїсь реклами. Їх отримують п'ять компаній: чотири — щоб продукт узагалі міг працювати, і одна — щоб ми дізнавалися, коли він перестає працювати.

Ми вимагаємо від кожної з них використовувати ваші дані лише для тієї роботи, про яку ми попросили, і не використовувати їх для навчання чи вдосконалення власних продуктів. Це вказівка, яку ми даємо, і умова, якої ми тримаємося, обираючи обробника; це не обіцянка за те, що компанія робить поза нашими вказівками. Stripe відрізняється формою, а не правилом: він приймає платіж від власного імені та на умовах власної політики конфіденційності — інакше оплата карткою неможлива.

Google. Функції ШІ працюють на моделях Gemini від Google, і це найчутливіший із цих отримувачів. Під час аналізу документа сам файл надсилається до Google — скан паспорта, рішення щодо дозволу на проживання, лист із Migri, — бо модель читає файл напряму, без проміжного кроку. Туди ж надсилаються ваші запитання в чаті, відповіді під час початкового налаштування, ваш профіль і текст пересланих листів, щоб отримати відповіді, картки завдань і підказки. Якщо ви входите через Google, Google також обробляє цей вхід.

Amazon Web Services. AWS розміщує застосунок, зберігає ваші завантажені файли, обслуговує базу даних і передає пошту в обидва боки — нагадування, які ми вам надсилаємо, і листи, які ви пересилаєте нам.

Stripe. Stripe приймає оплату за Relocation Pass і зберігає для цього вашу адресу електронної пошти, платіжну адресу, яку ви вказуєте під час оплати, та запис про платіж. Дані вашої картки обробляє Stripe, ми їх не бачимо.

Cloudflare. Форма запису до списку очікування на головній сторінці захищена перевіркою на робота — Cloudflare Turnstile. Вона завантажується із серверів Cloudflare щоразу, коли ця сторінка відкривається, а під час надсилання форми ваша IP-адреса йде до Cloudflare разом із сигналами, які перевірка зчитує з вашого браузера, щоб визначити, чи ви людина. Ні дані облікового запису, ні документи, ні будь-що написане вами до Cloudflare не потрапляє.

Sentry. Коли щось у продукті ламається, звіт про цей збій вирушає до Sentry — щоб про зламану сторінку ми дізнавалися з панелі моніторингу, а не від вас. Звіт — це технічний опис помилки: що саме не спрацювало і в якому місці коду, а також адреса сторінки або маршруту, який був відкритий. Єдине, що в ньому може вказувати на вас, — ідентифікатор вашого облікового запису; ні імені, ні адреси електронної пошти там немає. Перш ніж звіт буде надіслано, ми прибираємо з нього те, без чого розібратися в помилці все одно можна: вміст запиту, файли cookie, вашу адресу електронної пошти, ідентифікатор документа, до якого був запит, і значення всіх параметрів в адресі — від них лишаються тільки назви. Ваші документи, переслані листи та розмови туди не надсилаються. Про одне обмеження краще сказати тут, а не у виносці: текст повідомлення про помилку пише та програма, яка дала збій, тож ми не можемо виключити, що всередину нього потрапить фрагмент ваших даних.

Ми також передаємо дані, коли цього вимагає закон, — за обов'язковим приписом установи або суду. Якщо такий припис до нас надійде, ми повідомимо про це людину, якої він стосується, якщо тільки нам не буде заборонено це робити.

Застосунок, ваші завантажені файли та база даних працюють у стокгольмському регіоні Amazon Web Services, у Європейському Союзі. Пошта надсилається й приймається через ірландський регіон, теж у Європейському Союзі.

Обробка засобами ШІ на боці Google може відбуватися за межами Європейської економічної зони; там само можуть зберігатися й описані вище звіти про помилки. Якщо обробник вивозить персональні дані за межі ЄЕЗ, така передача має бути покрита рішенням Європейської комісії про адекватність або стандартними договірними умовами Комісії; ми не користуємося обробником, для якого не діє ні те, ні інше.

Ми кажемо вам, де лежать дані, замість обіцянки, що жоден байт ніколи не покине ЄЕЗ, бо друге було б обіцянкою за чужу інфраструктуру.

Ми не видаляємо персональні дані за розкладом і не вигадуватимемо його в цьому документі. Ваш обліковий запис і все, що в ньому є, зберігаються стільки, скільки існує сам обліковий запис.

Запис у списку очікування — не обліковий запис і цьому правилу не підпорядковується. Це один рядок з адресою пошти та мовою, який зберігається, щоб ми могли повідомити вам про відкриття сервісу; один лист на support@migrate.fi його видаляє.

Коли ви видаляєте обліковий запис, видалення відбувається одразу: разом із ним зникають документи та результати їх аналізу, розмови, план і записи про платежі. Це не заявка, що чекає в черзі.

П'ять речей це переживають. Резервні копії в нашого хостинг-провайдера застарівають за власним циклом, тож видалений обліковий запис може зберігатися в копії до завершення її строку. Stripe зберігає власний запис про платіж за своїми правилами зберігання та своїми юридичними обов'язками — це поза нашим контролем, і видалити його за вас ми не можемо. Коли адміністратор виконує дію з обліковим записом — блокує його, надає доступ, видаляє його, — запис про цю дію зберігається, зокрема адреса пошти, якої вона стосувалася, щоб за зроблене з обліковим записом можна було відповісти й після його видалення. І це переживають ще два технічні записи: серверні журнали та звіти про помилки, надіслані до Sentry. Видалення облікового запису їх не торкається — кожен просто застаріває за власним циклом, у строки, зазначені в наступному абзаці.

Серверні журнали видаляються автоматично через 30 днів, а описані вище звіти про помилки застарівають за власним циклом Sentry.

Завантажені файли лежать у закритому сховищі, недоступному з публічного інтернету та зашифрованому під час зберігання. Вони видаються лише через маршрут, який спершу перевіряє, що файл належить обліковому запису, який його запитує.

Паролі зберігаються як bcrypt-хеші. Прочитати ваш пароль назад не може ніхто, зокрема й ми.

Ми не заявляємо ні про сертифікацію з безпеки, ні про зовнішній аудит, ні про стандарт ISO, бо нічого цього в нас немає. Політика конфіденційності — не те місце, де можна натякати на протилежне.

Ви маєте право отримати доступ до персональних даних, які ми про вас зберігаємо (ст. 15), виправити їх (ст. 16), вимагати їх видалення (ст. 17), обмежити їх використання (ст. 18), отримати їх у придатному для перенесення форматі (ст. 20) і заперечити проти обробки, що спирається на законний інтерес (ст. 21).

Там, де обробка спирається на згоду — документи особливих категорій, аналітика, — ви можете відкликати цю згоду будь-коли (ст. 7(3)). Відкликання не робить незаконним те, що сталося до нього, і не зачіпає того, що спирається на договір із вами.

Більшість цього ви можете зробити самі, всередині продукту: профіль редагується в налаштуваннях, документ видаляється на сторінці документів, а сам обліковий запис можна видалити в налаштуваннях. Там само завантажується копія даних вашого облікового запису, і сам файл перелічує те, що до нього не увійшло. З усього іншого пишіть на support@migrate.fi. Ми відповідаємо протягом місяця, як вимагає GDPR, і швидше, коли виходить. Якщо ви в списку очікування і облікового запису тут не маєте, ті самі права поширюються на цей запис, а скористатися ними можна через support@migrate.fi.

Ми не ухвалюємо автоматизованих рішень щодо вас, які породжують юридичні наслідки або в інший спосіб істотно на вас впливають (ст. 22). План, картки завдань і підказки створює модель, але це рекомендації, за якими дієте ви. Ніщо тут не вирішує нічого щодо вашого дозволу і ніщо звідси не подається до жодної установи.

Якщо ви вважаєте, що ми повелися з вашими даними неправильно, ви можете подати скаргу до фінського наглядового органу — Управління уповноваженого із захисту даних (Tietosuojavaltuutetun toimisto), tietosuoja.fi. Звертатися до них можна напряму, не питаючи нас.

Файл cookie входу є необхідним: саме він утримує вас у системі під час переходу між сторінками, і без нього продукт працювати не може. Він встановлюється під час входу і очищується під час виходу.

Аналітика — Google Analytics — вмикається, лише якщо ви на неї погодилися. Відмова нічого вам не коштує, усі функції працюють в обох випадках, і своє рішення можна змінити пізніше.

Рекламних cookie ми не використовуємо. Крім аналітики, сторонній код на сайті — це лише перевірка на робота від Cloudflare у формі списку очікування та описане вище надсилання звітів про помилки: перша потрібна, щоб до списку не потрапляли боти, друге — щоб ми дізнавалися про зламану сторінку, і жодне з них не для того, щоб за вами стежити.

Коли ми змінюємо тут щось істотне, ми змінюємо дату вгорі сторінки. Якщо зміна зачіпає долю вже збережених даних, ми повідомляємо про це власників облікових записів електронною поштою. Ми не станемо спершу змінювати те, що робимо, а описувати це потім.