Хто відповідає за дані
Контролером персональних даних у FluxRadar є ФОП Павленко Андрій Володимирович, який працює під комерційним найменуванням FluxLab. З питань приватності, реалізації прав або видалення акаунта звертайтеся за наведеними нижче контактами.
ФОП Павленко Андрій Володимировичпрацює під комерційним найменуванням FluxLabРНОКПП: 3650600237Номер запису в ЄДР: 2010350000000049793Не зареєстрований платником ПДВУкраїна, Київська область, м. Бровари, вул. Володимира Великого, буд. 8, кв. 64, 07400+380 93 360 20 73support@fluxradar.netЯкі дані ми обробляємо
- Акаунт і підтримка: email, hash пароля, записи верифікації та відновлення, сесії входу, доставка сервісних листів і ваші звернення. Ми надсилаємо лише операційні повідомлення про акаунт і безпеку — без маркетингових розсилок.
- Профілі й аудити: домен, назва, галузь, опис, товари чи послуги, регіон, мови, аудиторія, назви конкурентів, конфігурація crawl, завантажені публічні сторінки й технічні сигнали, знахідки, оцінки, докази, AI‑запити та відповіді й експорт звіту. Назви конкурентів звіряються з AI-відповідями цього акаунта лише на наших серверах; вони ніколи не надсилаються AI-провайдеру.
- Інтеграції: зашифровані Google або Bing access/refresh tokens, дозволи, вибрані ресурси та дані, прочитані для запитаної функції. Google може надати URL, пошукові запити, clicks, impressions, CTR, positions і агреговані Analytics metrics.
- Покупки: Creem checkout, order і customer identifiers, товар, сума, валюта, податок, знижка, статус платежу, повернення чи спору. Webhook може містити ім’я, email, країну та інші дані покупця. Номер платіжної картки вводиться на сторінці checkout Creem і не зберігається FluxRadar.
- Безпека й робота сервісу: IP‑адреса, request/error data та rate‑limit записи для захисту акаунтів, запобігання повторному використанню безкоштовної перевірки й діагностики несправностей.
- Аналітика сайту — лише з вашого дозволу: переглянуті сторінки fluxradar.net (без query string та ідентифікаторів перевірок), сайт, з якого ви перейшли, приблизне місцезнаходження, яке Google визначає за IP‑адресою, тип пристрою й браузера та кроки в продукті — реєстрація та вхід, запуск перевірки, завершена перевірка, перегляд звіту, вибір або зміна тарифу, початок оплати, завершена покупка (тариф і ціна). Google Analytics зберігає випадковий ідентифікатор у cookies
_ga.
Публічна сторінка або введений контекст можуть містити персональні дані. Не додавайте паролі, конфіденційну інформацію, спеціальні категорії даних або чужі персональні дані, якщо не маєте законної підстави їх передавати й обробляти.
Дані підключеного Google‑акаунта
Підключення Google надає FluxRadar read‑only доступ до Search Console та Google Analytics у межах дозволів webmasters.readonly і analytics.readonly. Ми використовуємо вибрані property data лише для функцій аудиту й звіту, не продаємо їх, не використовуємо для реклами, кредитних рішень або навчання загальних AI‑моделей. Використання Google API data підпорядковується Google API Services User Data Policy, включно з Limited Use requirements.
Дані Search Console та Analytics показуються у ваших звітах і налаштуваннях інтеграцій та не передаються AI‑провайдеру; Google OAuth tokens також ніколи не передаються AI‑провайдеру. Прочитані дані зберігаються разом зі звітом, для якого їх отримано, протягом описаного нижче строку зберігання звітів. Відключення Google видаляє збережені tokens.
Як ми захищаємо дані користувача Google
- Шифрування під час передавання: сайт і API FluxRadar працюють лише через HTTPS з HSTS, а до Google API FluxRadar звертається лише через HTTPS.
- Зашифровані tokens: Google OAuth access і refresh tokens зберігаються зашифрованими за AES‑256‑GCM окремим ключем, який зберігається в серверних секретах, а не в базі даних. Tokens ніколи не передаються у ваш браузер або AI‑провайдеру.
- Мінімальні дозволи: FluxRadar запитує лише read‑only дозволи
webmasters.readonlyіanalytics.readonlyта не може нічого змінити чи видалити у вашому Google‑акаунті. З Google Analytics читаються список доступних вам properties і агреговані показники вибраного property — users, sessions, page views, events і key events; дані про окремих відвідувачів не читаються. - Контроль доступу: дані Google доступні лише акаунту, який підключив Google, і кожен запит перевіряється щодо цього акаунта. Сесійні cookies мають атрибути HttpOnly і Secure; у базі зберігаються лише SHA‑256 hash сесійного token і bcrypt hash пароля. OAuth flow захищено одноразовим state з обмеженим строком дії.
- Інфраструктура: база даних недоступна з Інтернету, файли звітів зберігаються в приватному bucket, а резервні копії бази шифруються за AES‑256‑GCM ще до того, як залишають сервер. Адміністративний доступ до production‑систем має лише оператор.
Якщо інцидент безпеки зачепить дані користувача Google, ми локалізуємо його, замінимо скомпрометовані облікові дані й повідомимо зачеплених користувачів, а також компетентні органи, якщо цього вимагає закон. Відкликати доступ FluxRadar можна будь‑коли у FluxRadar або в розділі підключень Google‑акаунта.
Навіщо й на якій підставі ми використовуємо дані
Дані акаунта, профілю, аудиту, покупки та інтеграції потрібні для автентифікації, виконання вибраної перевірки, формування приватного звіту, сервісних повідомлень і підтримки. Правовою підставою обробки, об’єктивно необхідної для вибраної основної функції, є виконання договору. Безпека, запобігання зловживанням і захист прав є нашими законними інтересами з урахуванням прав користувача; окремі записи зберігаються через правовий обов’язок. Необов’язкове browser storage й аналітика сайту ґрунтуються на вашій згоді, яку ви надаєте й відкликаєте в налаштуваннях cookies; аналітику ми використовуємо лише щоб розуміти, які сторінки й кроки допомагають відвідувачам і де вони зупиняються.
Платні аудити включають застосовний AI‑аналіз: Basic — AI SEO / GEO, Complete — AI SEO / GEO та UX/Conversion. До оплати й запуску помітний дисклеймер називає активних провайдерів та пояснює передачу публічних сторінок і введеного контексту. На дату цієї Політики запитання про видимість отримують Anthropic і OpenAI: на discovery questions кожен відповідає з увімкненим власним вебпошуком, а прямі запитання з назвою або доменом ставляться «із закритою книгою» — без вебпошуку та інших інструментів. UX/Conversion і AI‑план дій отримує лише Anthropic. Google (Gemini) і Perplexity доступні як необовʼязковий вибір перед оплатою: вони не отримують нічого, доки ви не оберете їх для конкретної перевірки, і цей вибір зберігається разом із нею. Дані акаунта, оплати, повний номер картки та Google/Bing tokens не входять до AI‑запиту.
AI‑план дій (Basic і Complete) надсилає до Anthropic лише метадані правил цього звіту: ідентифікатор і назву правила, розділ, найвищу відкриту серйозність, кількість відкритих знахідок, до трьох адрес сторінок без параметрів запиту й фрагментів, рекомендації правила й статуси розділів. Уривки доказів, знімки екрана та будь‑що з розділу «Аналітика» (дані Google) не надсилаються.
У Basic і Complete GEO може надсилати нейтралізований контекст для створення discovery questions без назви й домену, а потім окремо ставити прямі питання із назвою або доменом. За повідомленням core-ai-processing-notice-v5 кожну отриману відповідь — незалежно від того, який провайдер її дав — додатково перевіряють окремим запитом до Anthropic: єдиним оцінювачем завжди є Anthropic. У цьому запиті передають саму відповідь і обмежений набір доказів цієї перевірки — збережені поля профілю та уривки тексту з публічних сторінок, які обійшов сканер. Тому відповідь OpenAI, Gemini чи Perplexity для такої перевірки передається до Anthropic. Перевірка, куплена за попереднім повідомленням, цього запиту не робить. У Complete UX/Conversion може включати обмежені публічні докази: URL, titles, headings, calls to action, links і form information. Автоматичне приховування секретів не гарантує видалення всіх персональних даних. Уже надісланий провайдеру запит неможливо відкликати.
У звіті Basic або Complete власник може також попросити AI‑план дій: короткий упорядкований список змін, який Claude від Anthropic складає за цим звітом. Нічого не надсилається, доки власник не натисне кнопку. Натискання кнопки надсилає до Anthropic домен сайту, статус, оцінку й покриття кожного розділу, а для кожного правила з відкритими проблемами надсилаються його назва, серйозність, кількість відкритих проблем, до трьох адрес сторінок без параметрів запиту й фрагментів і рекомендації правила. Уривки доказів, знімки екрана й трасування не надсилаються, як і будь‑що з розділу «Аналітика» (дані Google Search Console і GA4). План зберігається разом зі звітом і видаляється з ним; до експорту JSON чи CSV він не входить.
Ми не продаємо персональні дані й не передаємо їх рекламним партнерам. Дозволено використовувати лише знеособлені й агреговані результати аудитів для покращення правил і якості сервісу без публікації окремого сайту або звіту.
Провайдери та міжнародна обробка
- Hetzner Online GmbH — production application, PostgreSQL, приватне object storage і backups на інфраструктурі в Німеччині.
- Google і Microsoft/Bing — read‑only integration requests; Google PageSpeed Insights і CrUX отримують публічний URL або origin для performance check у Complete без підключення користувацького Google‑акаунта.
- Anthropic — AI‑провайдер для описаних вище AI‑запитів. Його discovery questions виконуються з увімкненим вебпошуком провайдера, прямі запитання — «із закритою книгою», і він додатково оцінює кожну відповідь про видимість, зокрема отримані від інших провайдерів, разом з описаними вище обмеженими доказами. Retention і processing залежать від чинних API terms та налаштувань; ми не обіцяємо zero retention у провайдера. Див. інформацію Anthropic про зберігання комерційних даних.
- OpenAI — активний AI‑провайдер для запитань про видимість. Кожен запит надсилається з
store: false; за замовчуванням дані API не використовуються для навчання, копія може зберігатися до 30 днів для моніторингу зловживань, і ми не обіцяємо zero retention (вебпошук не підпадає під ZDR). Див. OpenAI API data controls і Privacy Policy OpenAI. - Google (Gemini) і Perplexity — необовʼязкові отримувачі. Вони не отримують нічого, доки ви явно не оберете їх перед оплатою; тоді вони отримують ті самі запитання про видимість, що й активні провайдери, і жодних доказів зі сторінок, а їхні відповіді так само перевіряє Anthropic. Див. Gemini API Terms і Privacy Policy Perplexity.
- Creem (Armitage Labs OÜ, Rotermanni 14, Tallinn 10111, Естонія) — merchant of record і checkout provider. Коли ви починаєте платну покупку, FluxRadar передає Creem email вашого акаунта (для попереднього заповнення checkout і квитанції), обраний товар і наш checkout reference; решту даних, зокрема дані картки, ви вводите на сайті Creem. Див. Creem Privacy Notice.
- Resend — коли transactional email увімкнено, отримує email і вміст сервісного листа. Див. Resend Privacy Policy.
- Google (Google Analytics 4) — лише після вашого дозволу аналітики обробляє описані вище дані аналітики сайту як наш обробник. Google Signals, ads personalization і remarketing вимкнені; user та event data зберігаються 2 місяці. Див. як Google використовує дані сайтів, що користуються його сервісами.
Окремі провайдери можуть обробляти дані за межами вашої країни, зокрема у США, за власними умовами й застосовними механізмами передачі. Зверніться до support@fluxradar.net, якщо потрібна інформація про домовленості, застосовні до конкретної обробки.
Зберігання та видалення
- Free і Basic reports — 30 днів від створення scan; Complete reports — 365 днів.
- Профілі, конфігурації й інтеграції зберігаються до видалення користувачем або акаунта, якщо коротший строк не встановлено для конкретного report artifact.
- Звичайні application і security logs — до 30 днів. Записи конкретного security incident, fraud investigation, legal obligation або спору можуть зберігатися до його завершення.
- Незв’язані або відхилені payment events можуть видалятися через 30 днів. Пов’язані purchase records зберігаються стільки, скільки потрібно для договору, бухгалтерських, податкових, fraud і dispute obligations.
Після підтвердженого запиту на видалення акаунта ми видаляємо пов’язані профілі, токени, активні сесії, звіти та AI records протягом 30 днів, крім мінімальних записів, які необхідні за законом або для fraud/dispute defense. Backups у Hetzner перезаписуються або видаляються протягом 30 днів. Дані в Creem, email‑провайдера чи іншого незалежного провайдера підпорядковуються його власним строкам і правовим обов’язкам.
Доступ, виправлення, заперечення та видалення
Ви можете від’єднати інтеграцію, видалити browser preferences або звернутися до support@fluxradar.net щодо доступу, виправлення, portable copy, обмеження, заперечення чи видалення даних. Ми можемо перевірити, що запит стосується вашого акаунта. Залежно від застосовного закону ви також можете відкликати згоду там, де вона є правовою підставою, та подати скаргу до компетентного органу із захисту даних.
Ми оновлюємо цю Політику й дату набрання чинності, коли змінюється обробка, та надаємо повідомлення про суттєві зміни, якщо це потрібно. Українська версія є юридично пріоритетною; переклади надаються для зручності.