Політика конфіденційності

Ця політика пояснює, які персональні дані збирає Dropslate, навіщо, як довго зберігає, хто обробляє їх від нашого імені та які у вас права. Вона охоплює dropslate.top, app.dropslate.top, api.dropslate.top, mcp.dropslate.top, media.dropslate.top і docs.dropslate.top (разом — «Сервіс»).

1. Хто відповідає за дані

Володілець персональних даних — Dropslate («Dropslate», «ми»). Dropslate керує фізична особа, резидент України. Дані про особу оператора надаються на запит на hello@dropslate.top. Контакт із питань захисту даних: dpo@dropslate.top. Загальні питання: hello@dropslate.top.

2. Що ми збираємо

Категорія	Дані	Джерело
Обліковий запис	ім’я, email, хеш пароля (або ідентифікатор, який повертає вхід через Google), мова, часовий пояс, секрет двофакторної автентифікації, якщо ввімкнена	ви
Workspace	назва, учасники та їхні ролі, підключені акаунти мереж (мережа, id акаунта, назва, URL аватара), групи, медіафайли, які ви завантажуєте, і їхні метадані (назва, розмір, тривалість, контрольна сума), пости та їхня історія, API-ключі (зберігаються як хеші)	ви, ваші учасники, ваші агенти
Токени мереж	OAuth-токени доступу й оновлення для кожного підключеного акаунта, зашифровані AES-256-GCM перед збереженням; розшифрований токен існує лише в пам’яті на час публікації, оновлення чи відключення	мережа, з вашого дозволу
Результати публікації	відповідь мережі на кожен пост: id, URL, статус, текст помилки	мережа
Оплата	id клієнта, id підписки, план, статус, кінець періоду, номери рахунків, останні чотири цифри та платіжна система картки. Повних номерів карток ми ніколи не отримуємо й не зберігаємо	Paddle або WayForPay — після відкриття платних планів (поки вони не продаються)
Технічні	IP-адреса та рядок браузера при діях, важливих для безпеки (зберігаються 90 днів, див. §7); журнали запитів із замаскованими email і видаленими секретами; звіти про помилки з тим самим маскуванням	ваш браузер або клієнт
Листування	листи, які ви нам надсилаєте; підписки на список очікування та матеріали	ви
Аналітика сайту	агрегована статистика сторінок без cookies (Cloudflare Web Analytics). Без ідентифікаторів і міжсайтового відстеження	ваш браузер

Ми не збираємо даних особливих категорій і не профілюємо вас.

3. Навіщо і на якій підставі

Мета	Правова підстава (GDPR ст. 6; Закон України «Про захист персональних даних», ст. 11)
Робота Сервісу: зберігання медіа, публікація постів у підключені мережі, дотримання лімітів плану, показ того, що сталося	договір
Оплата, рахунки, податковий облік	договір і законний обов’язок
Безпека: захист входу, запобігання зловживанням, журнал дій, резервні копії	законний інтерес — безпека Сервісу та ваших даних
Відповіді на звернення	договір або законний інтерес
Листи після підписки на матеріал чи список очікування: один одразу з посиланням на матеріал і один, коли матеріал зміниться або мережа запрацює	згода — відкликати можна будь-коли, відповівши на цей лист або написавши на hello@dropslate.top; після цього ми видаляємо вашу адресу
Покращення продукту за агрегованим використанням	законний інтерес; дані агреговані й не пов’язані з вами

Ми не продаємо персональних даних і не використовуємо їх для реклами.

4. Підключені мережі та їхні API

Щоб публікувати від вашого імені, ми використовуємо офіційний API кожної мережі через застосунок, зареєстрований і перевірений цією мережею. Ми просимо лише дозволи, потрібні для публікації (наприклад, завантаження й читання для YouTube; публікацію контенту для Instagram, Facebook і Threads; пряму публікацію для TikTok). Ми ніколи не просимо пароль від мережі.

YouTube. Dropslate використовує YouTube API Services. Підключаючи канал YouTube, ви погоджуєтесь з Умовами використання YouTube (https://www.youtube.com/t/terms). До обробки ваших даних Google застосовується політика конфіденційності Google: https://policies.google.com/privacy. Відкликати доступ Dropslate можна будь-коли на сторінці безпеки Google (https://security.google.com/settings/security/permissions) або відключивши акаунт у Settings — це також видаляє збережений токен.

Meta (Facebook, Instagram, Threads). Підключення — через Facebook Login for Business або вхід Threads. Ми зберігаємо id сторінки чи профілю, назву, URL аватара і зашифрований токен та видаляємо їх при відключенні або видаленні акаунта. Як запросити видалення даних: /uk/data-deletion.

TikTok. Підключення — через TikTok Login Kit; публікація — через Content Posting API. Поки TikTok не завершить аудит Dropslate, TikTok сам обмежує пости приватною видимістю; ми показуємо це в продукті.

Дані, отримані від мережі, використовуються лише для публікації, показу статусу та керування вашими акаунтами. Вони не передаються іншим мережам чи третім сторонам, не використовуються для профілювання і видаляються, коли ви відключаєте акаунт, видаляєте workspace або обліковий запис.

5. Хто обробляє дані для нас (субпроцесори)

Постачальник	Мета	Розташування
Хостинг-провайдер (VPS)	сервери, на яких працює Сервіс і зберігаються медіа й база даних	Україна
Cloudflare	DNS, захист мережі, цей сайт, аналітика без cookies, зашифровані резервні копії (R2), маршрутизація пошти на наші адреси	ЄС / США
Paddle	продавець (merchant of record) і обробка платежів для планів у USD — після відкриття платних планів	Велика Британія / США
WayForPay	обробка платежів для планів у UAH — після відкриття платних планів	Україна
Resend	транзакційні листи (посилання для входу, квитанції, зведення про помилки) і листи з форм сайту	США
Google (Gmail)	поштова скринька, куди надходять листи на наші адреси підтримки (hello@, support@, dpo@), зокрема підписки з форм сайту	США / ЄС
Sentry	звіти про помилки з маскуванням персональних даних до надсилання	ЄС
BetterStack	моніторинг доступності (без персональних даних)	ЄС
Google, Meta, TikTok	мережі, які ви підключаєте, — лише в обсязі, потрібному для публікації	див. їхні політики

З кожним постачальником укладено угоду про обробку даних. Ми оновимо цю таблицю до підключення нового постачальника, який обробляє персональні дані.

6. Міжнародна передача

Сервіс розміщено в Україні. Якщо ви перебуваєте в Європейській економічній зоні, Великій Британії чи Швейцарії, ваші дані передаються в Україну на підставі стандартних договірних умов Європейської комісії (і додатка для Великої Британії, де застосовно). Передача постачальникам у США спирається на EU-US Data Privacy Framework, якщо постачальник сертифікований, та на стандартні договірні умови в інших випадках.

7. Як довго зберігаємо

Дані	Строк
Обліковий запис і workspace	доки існує обліковий запис; видаляються протягом 30 днів після його видалення
Медіафайли після публікації поста	сам файл видаляється через 72 години після виходу поста, на всіх планах; запис у медіатеці (назва, розмір, тривалість) лишається; закріплений файл і файл, який ще використовує чернетка чи пост у черзі, не видаляються; неопубліковані файли — доки ви їх не видалите
Історія постів і результати публікації	доки існує workspace
Токени мереж	до відключення акаунта, видалення workspace чи облікового запису — потім негайно
Журнал дій	запис про дію лишається у workspace; IP-адреса та рядок браузера стираються через 90 днів
Журнали запитів і помилок	30 днів
Зашифровані резервні копії	30 днів, потім перезаписуються
Платіжні й податкові документи	стільки, скільки вимагає податкове законодавство України (наразі 3 роки після року операції)
Підписки на список очікування та матеріали	адреса пересилається на hello@dropslate.top (скринька в Gmail) лише для того, щоб надіслати обіцяний лист, і зберігається там, доки його не надіслано; видаляється протягом 30 днів після нього і в будь-якому разі не пізніше ніж через 12 місяців після підписки

8. Як ми захищаємо дані

Токени мереж зашифровані AES-256-GCM ключем, який ніколи не зберігається поруч із даними. Медіа віддається лише за підписаними посиланнями з обмеженим строком; каталоги ніколи не перелічуються. API-ключі зберігаються як хеші. Паролі хешуються сучасним алгоритмом. Увесь трафік — через TLS. Двофакторна автентифікація доступна кожному. Наш персонал отримує доступ до продакшену лише для підтримки чи реагування на інциденти, і кожен такий доступ записується. Дані карток не потрапляють у наші системи. Якщо витік торкнеться ваших даних, ми повідомимо вас і, де це вимагається, наглядовий орган протягом 72 годин після того, як дізнаємось.

9. Cookies

Лише функціональні cookies, жодне з яких не потребує згоди: сесія, CSRF-токен, тема, мова. Рекламних і відстежувальних cookies немає; банера згоди немає, бо він не потрібен. Аналітика сайту працює без cookies.

10. Ваші права

Де б ви не були, ви можете: отримати свої дані (експорт у JSON із Settings або через API), виправити їх, видалити обліковий запис (Settings, із підтвердженням листом; workspace з іншими учасниками спершу потребує передачі власника) і відкликати згоду на листи посиланням у будь-якому листі. Якщо ви в ЄЕЗ, Великій Британії чи Швейцарії, ви також маєте право на обмеження обробки, заперечення, перенесення даних і на скаргу до свого наглядового органу. Якщо ви в Україні, ви маєте права, визначені Законом України «Про захист персональних даних», зокрема право звернутися до Уповноваженого Верховної Ради України з прав людини. Пишіть на dpo@dropslate.top з будь-яким запитом. Ми відповідаємо протягом 30 днів і можемо попросити підтвердити особу через email вашого облікового запису.

11. Діти

Сервіс не призначений для осіб до 16 років (або до 18, де це встановлює місцеве законодавство). Ми свідомо не збираємо даних дітей; якщо ви вважаєте, що дитина створила обліковий запис, напишіть нам, і ми його видалимо.

12. Зміни

Зміни публікуються тут із новим номером версії та датою. Про суттєву зміну ми повідомимо власників облікових записів електронною поштою щонайменше за 14 днів до набрання чинності.

13. Контакти

Захист даних: dpo@dropslate.top · Підтримка: support@dropslate.top · Загальні питання: hello@dropslate.top