Политика за поверителност

1. Кои сме ние

Услугата и уебсайтът brainattic.ai се управляват от „ФИНИТ Софтуер Системс“ ЕООД („FSS“, „ние“, „нас“), доставчик на продукта brainattic.

• Седалище и адрес на управление: ул. „Гороцвет“ № 4, София, България
• ЕИК: 175276896 · ДДС №: BG175276896
• Контакт за поверителност: privacy@brainattic.ai
• Длъжностно лице по защита на данните: не е назначено (не се изисква при нашия мащаб); запитванията се обработват чрез посочения контакт.
• Надзорен орган: Комисия за защита на личните данни (КЗЛД), София, България — www.cpdp.bg

2. Обхват

Това уведомление обхваща (а) уебсайта brainattic.ai и публичните му форми за контакт и регистрация и (б) Услугата brainattic — уеб приложението за база знания и конектора, който я предоставя на AI клиенти чрез Model Context Protocol (MCP). brainattic е услуга за бизнес употреба от организации и техните оторизирани потребители на възраст 18 или повече години. Тя не е насочена към потребители по смисъла на потребителското законодателство или към деца.

3. Администратор и обработващ — кой взема решенията

Разграничението е важно, защото определя кой за кои данни отговаря:

• Клиентско съдържание и записи, създадени по нареждане на Клиента — документи, прикачени файлове, заявки за търсене, напомняния и одитни записи в продукта, създадени при използването на brainattic от вашата организация, включително личните данни, които решите да включите. Тук вашата организация е администраторът, а FSS е обработващ, който действа по документирани нареждания. Това обработване се урежда от нашето Споразумение за обработване на данни.
• Данни за профил, идентичност, удостоверяване, контрол на достъпа, приемане на договор, уебсайт, поддръжка, маркетинг и оперативна сигурност — описани по-долу. Тук FSS е администраторът, защото определя защо и как тези данни се използват за работа, защита, администриране и поддръжка на Услугата.

4. Какво обработваме

Данни за профил и идентичност (FSS като администратор). Име, служебен имейл, организация, сигурно хеширана парола, когато зададете такава, идентификатори на профила и твърдения за идентичност, върнати от доставчик на вход (например име, имейл и статус на потвърждение на имейла), членство и роля в работно пространство и OAuth/сесийни токени за удостоверяване и оторизация.

Клиентско съдържание (FSS като обработващ). Документи, прикачени файлове, векторни представяния, извлечени от съдържанието, заявки за търсене (за всяко търсене: текстът на заявката до 500 знака, идентификаторът на профила, който търси, режимът на търсене, броят резултати, приложените от вас филтри по проект или група и данни за времетраенето и начина, по който търсенето е обслужено), напомняния, чернови от сесии за редактиране (работно копие на документа, който вашият AI клиент редактира, съхранявано с идентификатора на редактиращия профил за кратък период след записване или отхвърляне на редакцията) и одитни записи в продукта, всеки от които съдържа идентификатора и ролята в работното пространство на действащия профил, идентификатора на OAuth клиента, през който действието е дошло по конектора, и идентификатора за корелация на заявката — както и личните данни, които организацията ви реши да включи. Когато свържете AI клиент, конекторът връща на този клиент съдържанието от базата знания, което го насочите да извлече — текстове на документи, пасажи, версии, документи с правила и прикачени файлове, имената и описанията на проектите и групите, които ги подреждат, разликите между две версии на документ и пасажа, който вашият клиент е поискал да бъде заменен, когато редакцията не може да бъде приложена — заедно с данните от отговора на конектора, описани по-долу.

Данни от отговора на конектора (FSS като обработващ). Наред със съдържанието отговорите на конектора съдържат: идентификатори на записите, с които работите (идентификатори на документ, версия, прикачен файл, сесия за редактиране, напомняне и график); имената, кратките имена (slug) и връзките, които посочват къде се намира съдържанието в работното пространство (кратки имена на работното пространство, проекта, групата и документа, постоянни връзки, номера на версии, позицията на извлечения пасаж в документа и дали върнатият откъс е съкратен изглед на документа, от който произхожда); времеви отметки за последна промяна, архивиране, дата на документа, падеж, изтичане, начало на график и следващо изпълнение, версия и доставка; данни за файла (име, тип, размер) при прикачени файлове; сигнали за релевантност при резултатите от търсене (относителна оценка, каналът на съвпадението и ниво на увереност при извличане на пасажи); броеве и размери (документи в проект или група, получатели на напомняне, общ брой съвпадения, размерът в байтове на версия и — при отказ — броят работни пространства, за които е оправомощен вашият токен, или ограничението, което извикването е надхвърлило); състоянието на записа след извикването (създаден, обновен, архивиран, прикачен, откачен, свързан, несвързан, отхвърлен, възобновен, изтрит, дали записът е променил нещо, дали графикът е активен, каналите за доставка, които напомнянето използва, статус на напомняне или доставка и — когато доставката е неуспешна — записаната причина за нея, ниво или обхват на правилото) и предпочитанията за показване, зададени в работното пространство за проект или група (закачен в менюто, скрит); краткотрайна връзка за изтегляне на прикачен файл — само когато вашият клиент я поиска; и когато извикването е неуспешно, код за справка за грешката, който можете да цитирате пред поддръжката, заедно с полето, инструмента или правото, посочени в отказа, а когато отказът е свързан с политиките — връзката към страницата за приемане, версиите на пакета и документите с политики и датата, от която влизат в сила.

Събития за достъп през MCP (FSS като обработващ; FSS като администратор за целите на сигурността). Всяко извикване през конектора, което засяга базата ви знания — включително четенията — и всяко четене на ресурс с правила записва името на инструмента или ресурса, проверяваното право, решението (разрешено, отказано или неуспешно), идентификатора на вашия профил, идентификатора на OAuth клиента на вашия AI клиент, идентификатора на използвания токен за достъп (не самия токен), идентификатора за корелация, подаден от вашия клиент, и времето. Администраторите на организацията ви могат да преглеждат тези събития, да изключат или стеснят записването, да зададат срок за съхранение в диапазона, посочен в §10, и по избор да съхраняват обхватите и твърденията на токена заедно с всяко събитие.

Данни за доставка на напомняния (FSS като обработващ). Съдържанието и адресът, необходими за канал, включен от организацията ви: имейл адрес, Slack идентификатор на член или мобилен телефонен номер.

Доказателства за договор и регистрация (FSS като администратор). Име на компанията/работното пространство, пакетът с политики, версиите и хешовете на съдържанието на документите, които са ви показани, езикът, времето и източникът на приемане и ограничени данни за заявката като IP адрес, потребителски агент и идентификатор на заявката/корелацията. Използваме тези доказателства, за да установим и администрираме отношенията с Клиента и да докажем какво е било прието.

Технически данни и данни за сигурност (FSS като администратор). IP адрес, времеви отметки, крайна точка/заявка и статус, идентификатор за корелация и основни данни за устройството/браузъра в оперативните журнали и журналите за сигурност. Използваме ги за надеждността на Услугата, разследване на злоупотреби и защита на работните пространства. Оперативните журнали могат да съдържат и код за справка за грешката, а при неочаквани грешки — и текста на грешката, който може да включва текст, изпратен от вашия клиент.

Данни от уебсайта, поддръжката и маркетинга (FSS като администратор). Информацията, която подавате чрез формата за пилот/контакт, процеса на регистрация или заявка за поддръжка, като служебен имейл, име на компанията/работното пространство, засегнат клиент и безопасното описание, което предоставяте.

Данни за придобиване и кампании (FSS като администратор). Ако дадете съгласие за незадължителното съхраняване на атрибуция за придобиване, можем да запишем първия разрешен източник на кампания, свързан с посещението и регистрацията ви: utm_source, utm_medium, utm_campaign, utm_content, utm_term, пътя на целевата страница без низа на заявката, източника на препращане (само схема и хост), идентификатор на клик на Meta, извлечен от fbclid, и идентификатор на клик за реклама от първа страна на LinkedIn, извлечен от li_fat_id, когато са налични. Не съхраняваме пълни или неограничени низове на заявката. Рекламни идентификатори на клик се събират само след съгласие. Запазваме първия източник, вместо да го заменяме при последващи посещения, и използваме записа за собствено измерване на придобиването и етапите на реализация.

Записи за етапите и търговските отношения (FSS като администратор). Записваме ограничен набор от продуктови и търговски етапи, включително регистрация, успешно MCP свързване и използване, активиране, търговско квалифициране, плащане и задържане за 7 или 30 дни, заедно със снимка на първия източник, търговския статус, контролиран от служители на FSS, и идентификатора на профила на потребителя, чието действие е породило етапа или записа за активност. Тези записи не съдържат Клиентско съдържание и се използват, за да разберем дали придобиването води до активирани или търговски отношения.

Данни за предаване на рекламни конверсии (FSS като администратор). Ако дадете отделно съгласие, можем да изпращаме ограничени данни за конверсии към Meta Platforms Ireland Limited и/или LinkedIn Ireland Unlimited Company според източника на кампанията и рекламната платформа, за която сте дали съгласие. Данните са ограничени до съответния платформен идентификатор на клик, името и времевата отметка на събитието и псевдонимен идентификатор за премахване на дублирани събития. Само за PaidWorkspace, когато е записана договорена стойност и предаването на стойност към платформата е включено, можем да изпратим и тази стойност и валутата ѝ. Единствените допустими събития са ActivatedWorkspace, CommerciallyQualifiedWorkspace, PaidWorkspace и, когато е включено, RetainedWorkspace30d. За тази цел не изпращаме имейл адрес, телефонен номер, име, име на компания, IP адрес, потребителски агент, Клиентско съдържание, документи, подкани, текст на търсене или неограничени вътрешни идентификатори.

Данни за сигурност от reCAPTCHA (FSS като администратор; Google като обработващ). Google reCAPTCHA защитава публичната форма за контакт и, когато е показана, публичната форма за саморегистрация от спам, измами и злоупотреби. Тя обработва IP адрес, сигнали от устройството/браузъра или приложението, сигнали за взаимодействие и краткотраен токен за проверка. Google Cloud EMEA Limited обработва тези данни от името на FSS. Това са контролирани от FSS данни за сигурността на уебсайта/профила, а не Лични данни на Клиента, обработвани по негово нареждане.

Бисквитки и технологии за сигурност. Използваме строго необходими сесийни и CSRF бисквитки и защитната бисквитка _GRECAPTCHA на Google reCAPTCHA. Ако дадете съгласие, използваме и незадължително съхранение от първа страна в браузъра, за да пренесем първия източник на придобиване и поддържаните рекламни идентификатори на клик през текущото посещение на публичния сайт и процеса на регистрация. Не инсталираме Meta Pixel, код на LinkedIn Insight Tag или друга технология на трета страна за реклама, анализ или поведенческо проследяване в сайта. Вижте Декларацията за бисквитките.

Какво не събираме. Не изискваме и не съхраняваме по-широкото съдържание на разговорите или подканите ви към AI. Когато използвате brainattic чрез AI клиент, конекторът получава само входните данни, необходими за поисканото действие, и връща резултат, ограничен до вашето работно пространство. Не получаваме останалата част от историята на чата, стенограмите или точното ви местоположение.

5. Как конекторът обработва данни

brainattic предоставя MCP инструменти, които четат и записват във вашата база знания по ваше нареждане. Всеки инструмент обработва само необходимите входни данни и връща поисканото съдържание заедно с данните от отговора на конектора, описани в §4. Резултатите се връщат на вашия AI клиент в две равностойни форми — като структурирани данни и като текстово представяне на същите данни — така че клиентите, които четат само едната форма, пак получават резултата. Всяко извикване, което засяга базата ви знания, записва едно събитие за достъп през MCP (§4); търсенето допълнително записва ред в журнала за търсения; записът допълнително създава одитен запис в продукта. Инструментите са защитени с права, ограничени са до работното пространство и използват странициране; действията за запис са изрични; връзките за изтегляне на прикачени файлове и текстовете на документите при потвържденията за запис се връщат само когато вашият клиент ги поиска. Оторизиран потребител, който не е приел изисквана съществена версия на политиките, получава отказ с грешка, която посочва страницата за приемане, и отказът не записва нищо.

6. Защо обработваме данните и на какво правно основание (чл. 6 ОРЗД)

Не продаваме лични данни, не използваме Клиентско съдържание за реклама, не изграждаме поведенчески рекламни профили в brainattic и не вземаме автоматизирани решения за допустимост. Ако дадете съгласие, ограничени събития за конверсия могат да бъдат изпращани към Meta и/или LinkedIn за атрибуция, измерване, персонализиране и оптимизиране на рекламите на FSS. Получателят може да съпоставя и използва събитията съгласно приложимите си условия за реклама и защита на данните. FSS не изпраща Клиентско съдържание, имейл адреси, телефонни номера, имена, имена на компании, IP адреси или потребителски агенти за тази цел.

7. AI модели и клиенти

brainattic не изпраща Клиентско съдържание към AI модели на трети страни. Избраният от вас AI клиент, например Claude, ChatGPT или Mistral, се свързва с brainattic като ваш клиент. Използването на този AI се урежда от отношенията ви с неговия доставчик. За тази цел доставчикът не е наш подизпълнител обработващ, нито ние сме негов. Клиентът може да получи съдържание, което сте наредили на brainattic да върне.

8. Кои други лица участват

Основната Услуга се хоства самостоятелно в контролирана от FSS инфраструктура в ЕС, включително съхранението на документи, търсенето и векторните представяния, имейлът и сървърът за оторизация на FSS. Може да участват следните външни лица:

Google Cloud EMEA Limited действа като наш обработващ за данните от reCAPTCHA, използвана за защита на публичните форми за контакт и саморегистрация. Това обработване е извън клиентското DPA и неговото Приложение III, защото FSS го контролира за собствените си цели по сигурността на уебсайта и профилите. Google, Meta и Apple действат като отделни администратори за незадължителните си услуги за вход и по тази различна причина също са извън Приложение III. Отделно ролята на Meta при обработването чрез Meta Conversions API след съгласие се определя от Условията за бизнес инструменти на Meta, както е описано по-горе. LinkedIn Ireland Unlimited Company действа като независим администратор за LinkedIn Marketing Solutions Conversion Tracking и Conversions API съгласно LinkedIn Independent Controller Addendum и може да използва данните за предоставяне, поддръжка и подобряване на тези продукти, включително конверсии, както и за собствен анализ на отчетността и представянето. Тези рекламни дейности, при които FSS е администратор, са извън клиентското DPA и Приложение III.

9. Международно предаване

FSS съхранява основните данни за Услугата в инфраструктура в България, Европейски съюз. Обработване извън ЕИП може да има, когато организацията ви включи доставка чрез Slack в Съединените щати, изберете доставчик на идентичност, чиито международни операции обработват взаимодействието при вход, Google обработва данни от reCAPTCHA в държава, в която Google или неговите подизпълнители обработващи поддържат съоръжения, или данни за рекламни конверсии, предадени след съгласие, се обработват чрез международните операции на Meta или LinkedIn. Ограничените предавания на данни от reCAPTCHA се основават на механизмите и гаранциите в Допълнението за обработване на данни на Google Cloud. Обработването на конверсии от Meta се урежда от Условията за бизнес инструменти на Meta, включените условия за обработване и приложимите гаранции. За описаните по-горе продукти на LinkedIn ограничените предавания на данни от ЕС използват Модул 1 на стандартните договорни клаузи между администратори съгласно LinkedIn Independent Controller Addendum. Другите получатели трябва да използват подходящ механизъм по Глава V от ОРЗД, когато това се изисква. Доставката на SMS чрез Yettel остава в ЕС.

10. Колко дълго пазим данните

През ограничения 90-дневен период след закриването работното пространство остава неактивно. Запазените записи са санирани и се използват само за разследване на сигурността, предотвратяване на злоупотреби, проверка на целостта на услугата, доказване на договора и установяване, упражняване или защита на правни претенции. Правната забрана за изтриване трябва да бъде изрична и документирана; тя не се прилага по подразбиране. Когато забраната или правното задължение приключи, изтриването продължава.

Посочените по-горе записи за придобиване, етапите на реализация, предаването на конверсии и търговските отношения са собствени търговски и маркетингови записи на FSS. Те се съхраняват отделно от Клиентското съдържание, остават използваеми без запазване на закритото работно пространство или неговото съдържание и могат да останат след закриването за посочените срокове. Те не запазват Клиентско съдържание. След изтичането на приложимия срок идентификаторите се изтриват или оставащата статистика се превръща в действително анонимна, освен ако документирано правно задължение или правна забрана за изтриване изисква по-дълго съхранение.

11. Как защитаваме данните

Използваме TLS криптиране при пренос, ролеви контрол на достъпа и администриране с най-малки необходими права, логическа изолация на клиентските работни пространства, мрежово сегментиране и физическа сигурност в центъра ни за данни. Практиките ни са съобразени с принципите на ISO/IEC 27001, ISO/IEC 20000 и ISO 9001; FSS е било сертифицирано по тези стандарти, но сертификатите не се поддържат понастоящем. Оперативните журнали не съдържат по-широки AI подкани и по правило не записват текстове на документи; когато бъде записан неочакван срив, текстът на грешката може да съдържа съдържание, изпратено от вашия клиент, както е описано в §4; текстът на търсенията се съхранява само в журнала за търсения, описан в §4 и §10. Не записваме и не съхраняваме токена от reCAPTCHA или необработения отговор за проверка на Google.

12. Вашите права

Съгласно ОРЗД може да имате право на достъп, коригиране, изтриване, ограничаване и преносимост, както и право на възражение срещу обработване въз основа на легитимен интерес. Когато обработването се основава на съгласие, можете да го оттеглите. За да упражните права относно данни, за които FSS е администратор, пишете на privacy@brainattic.ai; обичайно отговаряме в рамките на един месец.

Можете да възразите срещу собственото измерване от FSS на придобиването, етапите на реализация и търговските резултати, когато то се основава на легитимен интерес. Ако възражението бъде уважено, спираме бъдещото използване и бъдещото предаване към рекламни платформи, свързани с идентифицируемия запис. Можете да оттеглите съгласието за рекламни конверсии по всяко време чрез настройките за бисквитки на сайта или като пишете на privacy@brainattic.ai; оттеглянето спира бъдещото предаване към Meta и LinkedIn, но не отменя обработването, вече извършено от някой от получателите. Изтриваме идентификаторите, когато няма преобладаващо правно основание за съхранението им; действително анонимни обобщени данни за кампании могат да останат.

За данните за рекламни конверсии FSS остава първата ви точка за контакт относно събирането и предаването, контролирани от FSS, и ще координира със съответния получател, когато приложимото разпределение на ролите го изисква. Meta и LinkedIn могат да предоставят и собствени настройки за реклама и активност извън съответната платформа съгласно своите услуги.

За Клиентско съдържание, за което вашата организация е администратор, насочете искането си към нея; ние ще ѝ съдействаме като обработващ. За данни, обработвани самостоятелно от Google, Meta или Apple при вход, упражнете правата си пред съответния доставчик. За данните от reCAPTCHA FSS остава вашият контакт като администратор, а Google обработва данните от наше име.

Можете да подадете жалба до Комисията за защита на личните данни (КЗЛД), www.cpdp.bg, или до друг компетентен надзорен орган в ЕС.

13. Деца

brainattic е предназначен за бизнес потребители на възраст 18 или повече години. Не е насочен към деца и чрез публичния процес за регистрация не обработваме съзнателно лични данни на деца.

14. Промени в тази политика

Можем да актуализираме тази политика. Публикуваме всяка версия с дата на публикуване и дата на влизане в сила. При съществени промени обичайно даваме поне 14-дневно предизвестие и уведомяваме Клиентите чрез Услугата или по имейл. Можем да изискаме повторно приемане, преди да продължи достъпът до данни на работното пространство през уеб или MCP след датата на влизане в сила.

15. Контакт

Въпроси за поверителност и защита на данните: privacy@brainattic.ai. Продуктова поддръжка: brainattic.ai/support или hello@brainattic.ai.

„ФИНИТ Софтуер Системс“ ЕООД — ул. „Гороцвет“ № 4, София, България.