Політика конфіденційності

Загальні положення

Ця Політика конфіденційності стосується вебверсії та мобільної версії AKC Client Portal — приватного клієнтського порталу для взаємодії між Audit Consulting Center / АКЦ, клієнтськими організаціями та їхніми уповноваженими користувачами.

Портал не призначений для публічної реєстрації. Облікові записи створюються та надаються уповноваженими користувачами з роллю owner або admin для робочої взаємодії з клієнтами; користувач не може самостійно створити обліковий запис у застосунку.

Хто є оператором сервісу

Сервіс працює під назвою AKC Client Portal. Оператор і бренд, зазначений у порталі, — Audit Consulting Center / АКЦ.

З питань конфіденційності та обробки даних можна звернутися за адресою akc@audit-centr.com.ua.

Які дані ми обробляємо

Залежно від ролі користувача та використаних функцій портал може обробляти:

• дані облікового запису та профілю — ідентифікатор користувача, ім’я, електронну пошту, роль або тип облікового запису, посаду, телефон та аватар, якщо вони надані;
• інформацію про клієнта та робочі відносини — відомості про компанію, контактних осіб, систему оподаткування, проєкти, договірні реквізити, етапи, статуси, строки, запити, дії та коментарі;
• документи й файли — завантажені документи, назви файлів, тип, розмір, папку, статус перевірки, версії та пов’язані коментарі;
• комунікацію та інший користувацький вміст — текст повідомлень, вкладення, вибрані або зроблені користувачем зображення, відповіді, реакції та відмітки про прочитання;
• календарну та інформаційну взаємодію — події, нагадування, новини та оновлення, релевантні профілю клієнта;
• дані авторизації та сесії — технічні ідентифікатори користувача, сесійні токени та cookies, потрібні для входу, підтримання сесії та перевірки доступу;
• дані сповіщень — реєстраційний токен мобільного пристрою або дані Web Push-підписки, платформа, середовище застосунку, стан підписки та user-agent; ідентифікатор пристрою обробляється лише якщо його надає відповідна платформа;
• службові дані — час створення або оновлення записів, історія окремих дій у порталі та технічна інформація, потрібна для роботи, діагностики й безпеки сервісу.

Інфраструктурні постачальники можуть автоматично формувати технічні журнали запитів, які можуть містити IP-адресу, час запиту, user-agent та відомості про помилки. AKC Client Portal не використовує такі дані для рекламного профілювання.

Джерела даних

Дані можуть надходити:

• безпосередньо від користувача під час входу, редагування профілю або роботи в порталі;
• від клієнтської організації чи уповноважених працівників АКЦ, які створюють обліковий запис, ведуть клієнтську картку, проєкти та запити;
• від інших авторизованих учасників робочої взаємодії, наприклад у чаті або під час обміну документами;
• автоматично під час роботи застосунку та його інфраструктури, зокрема для підтримання сесії, доставки сповіщень і технічної безпеки.

Для чого ми використовуємо дані

Дані використовуються, щоб:

• авторизувати користувачів, підтримувати сесію та надавати доступ відповідно до ролі й клієнтського облікового запису;
• вести профілі, клієнтські картки, проєкти, етапи, статуси, строки, запити та пов’язані дії;
• забезпечувати завантаження, перегляд, перевірку, завантаження на пристрій і видалення документів у межах доступних функцій;
• забезпечувати чат, вкладення, реакції та іншу робочу комунікацію;
• показувати календарні події, нагадування, новини та оновлення;
• доставляти сповіщення, якщо користувач їх увімкнув;
• підтримувати безпеку, контролювати доступ, фіксувати значущі дії, діагностувати помилки та забезпечувати роботу сервісу;
• надавати користувацьку та технічну підтримку.

Правові підстави та умови обробки

Ми обробляємо персональні дані лише за наявності належної правової підстави відповідно до законодавства, яке застосовується до конкретної ситуації. Залежно від характеру взаємодії такою підставою може бути необхідність надання замовлених послуг, виконання договірних або законодавчих обов’язків, забезпечення безпеки та належної роботи сервісу, реалізація законних інтересів або згода користувача у випадках, коли така згода необхідна.

Позначка біля посилання на цю Політику на сторінці входу підтверджує, що користувачу було надано можливість ознайомитися з повідомленням про конфіденційність. Вона не є універсальною згодою на всі можливі операції з даними та не замінює іншу правову підставу, коли вона потрібна.

Авторизація та безпека

Авторизація виконується через Supabase Auth. Застосунок не зберігає пароль користувача у відкритому вигляді у власній прикладній базі даних. Доступ до розділів і даних обмежується за обліковим записом, роллю та зв’язком із відповідною клієнтською організацією.

Для зменшення ризиків використовуються технічні та організаційні заходи, призначені для контролю доступу, захисту сесій і обмеження доступу до файлів та записів. Водночас жодна система зберігання або передавання даних не може гарантувати абсолютну безпеку.

Біометричний вхід

На підтримуваних Android-пристроях користувач може окремо ввімкнути біометричний ярлик для відновлення сесії. Ця функція не зберігає пароль користувача. Якщо функцію ввімкнено, матеріали сесії, потрібні для її відновлення, зберігаються з використанням захищеного Android-сховища та механізмів, пов’язаних з Android Keystore і біометричною перевіркою.

Біометричні шаблони користувача обробляються операційною системою пристрою; AKC Client Portal не отримує та не зберігає сам відбиток пальця або інший біометричний шаблон.

Push-сповіщення

Для доставки push-сповіщень на Android використовується Google Firebase / Firebase Cloud Messaging (FCM). Реєстраційний токен пристрою використовується для маршрутизації сповіщень застосунку. Вебверсія також може використовувати Web Push-підписку, якщо користувач окремо надав дозвіл у браузері.

Для доставки push-сповіщень на iOS може використовуватися Apple Push Notification service (APNs). Для маршрутизації таких сповіщень обробляється токен пристрою та необхідна технічна інформація доставки.

Сповіщення можна вимкнути у налаштуваннях порталу, браузера або операційної системи, якщо відповідна можливість доступна. Після вимкнення збережена реєстрація позначається неактивною або видаляється залежно від типу підписки.

Документи, повідомлення та інший користувацький вміст

Документи, повідомлення, вкладення та інший клієнтський вміст доступні авторизованим користувачам відповідно до їхнього облікового запису, ролі та зв’язку з клієнтською організацією. Портал не заявляє про наскрізне шифрування цього вмісту.

Вміст документів і повідомлень визначається користувачем або відповідною клієнтською організацією. Користувачам не слід передавати через портал інформацію, яка не є необхідною для отримання відповідних послуг. Якщо користувач обирає файл, фото з галереї або робить фото через системний інтерфейс пристрою, портал обробляє вибраний результат для завантаження.

Постачальники послуг та передача даних

Для роботи AKC Client Portal використовуються такі основні постачальники:

• Supabase — авторизація, база даних, файлове сховище та функції обміну даними в реальному часі;
• Vercel — хостинг, доставка та серверна інфраструктура вебзастосунку;
• Google Firebase / Firebase Cloud Messaging — доставка push-сповіщень на Android;
• Apple Push Notification service (APNs) — доставка push-сповіщень на iOS, якщо цей канал налаштовано;
• OpenAI — формування відповідей адміністративного AI-помічника, якщо цю функцію ввімкнено. OpenAI може отримувати запит адміністратора та сформований порталом робочий контекст, зокрема дані клієнта й компанії, відомості про проєкти, запити, назви та статуси документів, фрагменти повідомлень, записи активності й календарні події. Вміст завантажених файлів документів цим модулем не передається.

Ці постачальники можуть обробляти дані, необхідні для роботи їхньої інфраструктури, відповідно до власних договірних умов і політик конфіденційності. Постачальники інфраструктури можуть обробляти дані в різних юрисдикціях відповідно до розміщення їхніх систем та умов надання послуг; ця Політика не стверджує, що всі дані зберігаються лише в Україні або в певному регіоні.

Audit Consulting Center / АКЦ не продає персональні дані користувачів і не передає їх третім особам для рекламних або маркетингових цілей. Зазначені вище постачальники можуть обробляти дані лише в обсязі, необхідному для роботи, безпеки та надання функцій AKC Client Portal, як описано в цій Політиці.

У перевіреній реалізації порталу не виявлено сторонніх рекламних, поведінково-аналітичних або рекламно-трекінгових SDK. Портал не показує сторонню рекламу та не використовує персональні дані для рекламного таргетингу або маркетингу.

Зберігання даних

Дані зберігаються протягом строку, необхідного для надання сервісу, ведення відповідних ділових відносин, забезпечення безпеки, розгляду звернень і виконання застосовних договірних або юридичних обов’язків. Конкретний строк залежить від категорії даних, характеру послуг та відповідних вимог.

Після втрати необхідності дані можуть бути видалені або анонімізовані. Окремі записи можуть зберігатися довше в обсязі, необхідному для виконання застосовних вимог, захисту прав або вирішення спорів. Архівація клієнтського профілю чи деактивація доступу сама по собі не обов’язково означає негайне видалення всієї пов’язаної історії.

Права користувачів

Користувач може звернутися до Audit Consulting Center / АКЦ, щоб:

• отримати інформацію про обробку своїх персональних даних або доступ до них;
• виправити неточні чи неповні дані;
• подати запит на видалення даних;
• подати запит на обмеження обробки або заперечити проти неї, де це передбачено застосовним законодавством;
• поставити запитання щодо цієї Політики або використання даних.

Для виконання запиту може знадобитися перевірка особи та зв’язку з відповідною клієнтською організацією. Можливість і обсяг виконання запиту залежать від застосовного законодавства, договірних обов’язків, прав інших осіб і вимог щодо зберігання окремих записів.

Видалення облікового запису та даних

Наразі AKC Client Portal не містить функції самостійного видалення облікового запису. Публічної самореєстрації також немає: облікові записи створюються уповноваженими користувачами з роллю owner або admin для відповідних клієнтських організацій.

Щоб подати запит на видалення облікового запису або пов’язаних персональних даних, зверніться за адресою akc@audit-centr.com.ua. Запит буде розглянуто після необхідної перевірки та виконано в обсязі, дозволеному застосовними договірними і юридичними вимогами. Окремі записи можуть бути збережені, якщо цього вимагає закон або вони необхідні для захисту прав і вирішення спорів.

Використання сервісу дітьми

AKC Client Portal призначений для повнолітніх (18+) бізнес- і професійних користувачів. Сервіс не розроблений і не спрямований на дітей.