Политика конфиденциальности

1. Кто отвечает за ваши данные

За ваши персональные данные отвечает компания WebWay OÜ (в терминах GDPR — контролёр данных), зарегистрированная в Эстонии (рег. код 17529905), с местонахождением в Таллине. С любыми вопросами о персональных данных пишите на info@webway.ee.

2. На что распространяется политика

Политика действует для сайта webway.ee, включая форму на странице контактов и ИИ-чат на демо-странице. Она также касается заявок и сообщений, которые приходят нам по электронной почте, по телефону или в мессенджерах. Политика не распространяется на другие сайты, на которые мы ссылаемся, и на сайт клиента, который загружается в одном демо из портфолио, если вы сами его откроете (раздел 13).

3. Какие персональные данные мы собираем

Мы собираем только те данные, которые нам нужны. В зависимости от того, как вы пользуетесь сайтом, это могут быть:

• Данные, которые вы даёте сами: имя, адрес эл. почты, номер телефона, название компании и текст вашего сообщения. Их можно отправить через форму на странице контактов или связаться с нами по почте, по телефону или в мессенджере. Форма спрашивает имя, адрес эл. почты и сообщение; телефон и название компании указывать необязательно. Сайт не хранит то, что собирает форма: он сразу передаёт ваше сообщение в наш почтовый ящик и в нашу систему учёта клиентов (CRM) и не оставляет себе копии (разделы 7 и 9). Калькулятор проекта сам ничего нам не отправляет. Его кнопка открывает ту же форму на странице контактов, где ваши ответы уже вписаны, и до нас ничего не доходит, пока вы сами не отправите эту форму. Сюда же относится всё, что вы пишете в ИИ-чат; что с этим происходит, описано в разделе 6.
• Технические данные, которые собираются автоматически. В наши журналы (логи) попадают язык страницы, время обработки запроса и метка, вычисленная из вашего IP-адреса (адреса вашего интернет-подключения), но не сам адрес. Метка — это хеш SHA-256 с солью. По этой же метке мы считаем запросы, чтобы один посетитель не мог завалить сайт запросами. Компания Vercel, на серверах которой работает наш сайт, записывает полные IP-адреса в свои журналы, как и любой хостинг. Какие страницы просматривают, мы считаем без cookie, как описано в следующем пункте. Google Analytics измеряет ваш визит, только если вы разрешили аналитические cookie.
• Подсчёт просмотров страниц без cookie. Каждая страница сайта загружает небольшой скрипт с этого же сайта. На каждую открытую вами страницу скрипт отправляет одно короткое сообщение в нашу систему учёта клиентов (CRM) по адресу webway-crm.vercel.app. В сообщении есть адрес страницы без всего, что идёт после «?», ширина вашего экрана, первые две буквы языка браузера и время. Кроме того, только с первой открытой страницей уходит домен сайта, по ссылке с которого вы пришли: только домен, и ничего, если ссылка была на этом сайте. Со следующими страницами он не уходит. Скрипт ничего не сохраняет на вашем устройстве: ни cookie, ни записей в локальном хранилище. Если ваш браузер передаёт сигнал «Do Not Track» или «Global Privacy Control», скрипт останавливается, ничего не отправив, и ваш браузер вообще не обращается к webway-crm.vercel.app. Как и любой запрос в интернете, сообщение приходит в CRM вместе с вашим IP-адресом и строкой user-agent (коротким текстом с названием вашего браузера и операционной системы), и CRM не сохраняет ни то, ни другое. Она использует их только для того, чтобы отсеять запросы ботов; отметить страну, из которой пришёл визит (её по IP-адресу определяет Vercel, на котором работает CRM); вести минутный счётчик по хешу IP-адреса, который не даёт одному адресу завалить CRM запросами; и вычислить дневную метку посетителя. Эта метка — код, вычисленный из вашего IP-адреса, user-agent и даты (хеш с секретным ключом, HMAC-SHA256), чтобы несколько страниц, просмотренных за один день, считались одним посетителем. Метка меняется каждый день. Что CRM хранит и как долго, описано в разделе 9.
• Настройки, сохранённые в браузере: выбранная цветовая тема (тёмная или светлая) и ваш ответ на вопрос о cookie. Язык мы не сохраняем: он входит в адрес страницы (/en, /et, /ru).

4. Зачем и на каком правовом основании мы обрабатываем данные

Мы используем персональные данные для следующих целей. У каждой есть правовое основание по статье 6 GDPR:

• Чтобы ответить на ваш запрос, подготовить смету и по вашей просьбе сделать нужные шаги до заключения договора. Правовое основание: исполнение договора или преддоговорные шаги (ст. 6(1)(b)). На этом же основании мы обрабатываем то, что вы отправляете через форму: вы отправляете это, чтобы получить от нас ответ.
• Чтобы сайт работал, был защищён и становился лучше, чтобы один посетитель не мог завалить его запросами и чтобы ответить вам, когда вы пишете в ИИ-чат. Правовое основание: наш законный интерес держать сайт в рабочем состоянии и показывать, что мы делаем (ст. 6(1)(f)). Пользоваться чатом или нет, решаете вы.
• Чтобы считать просмотры страниц без cookie, как описано в разделе 3: какие страницы читают, откуда приходят посетители, из каких стран и с каких устройств. Правовое основание: наш законный интерес понимать, как используется сайт, чтобы его улучшать (ст. 6(1)(f)). Вы вправе в любой момент возразить против этого (ст. 21 GDPR). Подсчёт никого не идентифицирует, поэтому если вы возразите по почте, нам не с чем будет сопоставить ваши визиты: мы не сможем ни найти их, ни перестать их считать. Поэтому возражение работает через ваш браузер. Сигнал «Do Not Track» или «Global Privacy Control» останавливает скрипт до какой-либо отправки, как и блокировщик контента (например, блокировщик рекламы), который не пропускает запросы к webway-crm.vercel.app. С вопросами о подсчёте пишите на info@webway.ee.
• Чтобы использовать Google Analytics 4 и Google Ads и отправлять вам информацию, которую вы запросили. Правовое основание: ваше согласие (ст. 6(1)(a)), которое можно отозвать в любой момент. До вашего согласия не загружаются ни Google Analytics, ни Google Ads. Единственное измерение, которое работает и без него, — описанный выше подсчёт просмотров без cookie, который ничего не сохраняет на вашем устройстве.
• Чтобы выполнять бухгалтерские и другие обязанности, установленные законом. Правовое основание: исполнение юридической обязанности (ст. 6(1)(c)).

5. Cookie и локальное хранилище

Собственных cookie наш сайт не ставит. В локальном хранилище браузера (небольшом хранилище внутри вашего браузера) он держит ровно два значения: webway-theme со значением «dark» или «light», которое записывается, только когда вы нажимаете кнопку темы, и webway-consent с вашим ответом на вопрос о cookie, которое записывается, только когда вы отвечаете. Срока действия у них нет: они хранятся, пока вы не очистите данные этого сайта в браузере. Язык мы не сохраняем: он входит в адрес страницы (/en, /et, /ru). Подсчёт просмотров из раздела 3 ничего к этому не добавляет: он не ставит cookie и ничего не записывает в хранилище браузера.

Единственные cookie, которые могут появиться, — это cookie Google: от Google Analytics 4 (статистика посещений) и Google Ads (оценка нашей рекламы и показ объявлений тем, кто уже был на сайте). Пока вы не разрешите, из Google не загружается ничего: ни скрипт Google, ни один запрос к серверам Google. При первом визите об этом спрашивает небольшая карточка в углу экрана. «Разрешить» и «Отказаться» — две кнопки одинакового размера рядом, каждая срабатывает с одного клика. Если вы откажетесь, из Google не загрузится ничего, и сайт будет работать точно так же.

Изменить ответ можно в любой момент по ссылке «Настройки cookie» внизу каждой страницы: она снова открывает тот же вопрос. Очистить или заблокировать cookie и локальное хранилище можно и в настройках браузера. Если вы сотрёте наши значения, сайт просто снова спросит про cookie и забудет выбранную тему.

6. ИИ-чат на демо-странице

На нашей демо-странице (/ai-demo после языковой части адреса, например /ru/ai-demo) есть ИИ-чат, в который можно писать. Пользоваться им необязательно: если вы его не откроете, ничего из описанного в этом разделе не произойдёт.

Когда вы отправляете сообщение, ваш текст (до 600 символов) и до восьми предыдущих сообщений той же беседы уходят на наш сервер. Оттуда они дословно передаются в Anthropic PBC (api.anthropic.com) в США, которая и пишет ответ. Значит, Anthropic получает всё, что вы туда напишете, и эти данные покидают Европейскую экономическую зону (ЕЭЗ).

Пожалуйста, не вводите в чат персональные и конфиденциальные данные: ни свои, ни чужие. Передаётся всё, что вы напишете, включая персональные данные, если вы их введёте. Если хотите сообщить нам что-то личное, напишите на info@webway.ee.

Переписку мы не сохраняем. Беседа есть только в вашем браузере и исчезает при перезагрузке страницы, а текст сообщений в наши журналы не пишется. В журналах остаются только метка вашего IP-адреса (хеш с солью), язык страницы и время обработки запроса.

7. Поставщики услуг, с которыми мы делимся данными

Мы не продаём ваши персональные данные. Если говорить о сайте, данные получают только эти поставщики, и каждый получает лишь то, что нужно для его работы. Vercel размещает сайт и выполняет его серверный код; он записывает запросы, включая полные IP-адреса, в свои журналы. Anthropic PBC пишет ответы ИИ-чата и получает текст, который вы туда вводите. Upstash хранит счётчики, ограничивающие число запросов; в них только хеш IP и число, больше ничего. Resend доставляет в наш почтовый ящик письмо с тем, что вы отправили через контактную форму. Google предоставляет Analytics 4 и Google Ads и получает данные о вашем визите только после того, как вы разрешили cookie. Шрифты загружаются с нашего домена, поэтому к Google Fonts запросов нет.

Подсчёт просмотров без cookie (раздел 3) идёт из вашего браузера прямо в нашу систему учёта клиентов (CRM) по адресу webway-crm.vercel.app, без промежуточных сервисов. Скрипт, который его отправляет, — файл этого сайта, и загружается он так же, как страницы. CRM тоже размещена на Vercel, поэтому журналы Vercel так же записывают эти запросы. Никому для собственных целей мы эти данные не передаём.

То, что вы отправили через форму, уходит в два места: в почтовый ящик, где мы читаем заявки и отвечаем на них, и в нашу систему учёта клиентов (CRM). Оба получают ваше имя, адрес эл. почты, номер телефона, название компании и сообщение, а также язык страницы, с которой вы писали, и метку вашего IP-адреса (хеш с солью), но не сам адрес. В ящик это приходит письмом, которое доставляет для нас Resend. Если ваш адрес эл. почты записан в обычном стандартном виде, он указан в письме как адрес для ответа; иначе он всё равно доходит до нас в тексте письма. Вам самим автоматически ничего не отправляется. Копия для CRM дополнительно содержит строку user-agent вашего браузера и уходит с подписью, чтобы получатель мог отличить наше сообщение от подделки. Сайт не оставляет себе копии ни того, ни другого. Последний шаг доставки в CRM может идти через сервис автоматизации. Такой сервис действует только по нашим инструкциям, а запись о передаче хранит столько, сколько предусматривают его собственные правила. Кроме поставщиков, названных в этом разделе, никому ваше сообщение не отправляется.

Мы также можем раскрыть данные, если этого требует закон или если это нужно для защиты наших прав.

8. Передача данных за пределы ЕС

Несколько из перечисленных выше получателей — компании из США. Anthropic PBC обрабатывает чат в США, поэтому всё, что вы пишете в ИИ-чат, покидает Европейскую экономическую зону (ЕЭЗ). Именно поэтому чат необязателен и поэтому мы просим не вводить в него персональные данные. Google — тоже компания из США, и после того как вы разрешили аналитические и рекламные cookie, данные о вашем визите могут обрабатываться там. Resend, который доставляет письмо с контактной формы в наш ящик, — тоже компания из США и обрабатывает его в США, поэтому отправленное через форму по пути к нам покидает ЕЭЗ. Где физически хранятся данные у Vercel и Upstash, зависит от серверных регионов, настроенных для наших проектов. Когда данные уходят за пределы ЕЭЗ, мы опираемся на меры защиты, которые поставщик предлагает для данных из ЕС: обычно на Стандартные договорные положения Европейской комиссии (SCC, типовые условия договора о защите данных) или на решение об адекватности (решение ЕС о том, что страна достаточно защищает данные). Если хотите узнать, что из этого действует у конкретного поставщика, напишите на info@webway.ee.

9. Сколько мы храним данные

Мы храним персональные данные только столько, сколько нужно для цели, ради которой их собрали. Заявки и переписку храним, пока длятся наши отношения, и разумный срок после этого. Данные, связанные с бухгалтерскими документами, храним 7 лет, как требует эстонский Закон о бухгалтерском учёте (Raamatupidamise seadus).

Сам сайт ничего из собранного формой не хранит: ваше сообщение передаётся в том виде, в каком пришло, и копия не записывается ни в хранилище сайта, ни в его журналы. Resend, доставляющий письмо в наш ящик, хранит свою запись о нём по своим правилам.

Счётчики, которые не дают одному посетителю завалить нас запросами, удаляются сами. Их два набора. У ИИ-чата минутный счётчик удаляется через 70 секунд, а суточный — в ближайшую полночь по UTC. У контактной формы один счётчик охватывает десять минут, другой — сутки. Оба скользящие: счётчик истекает через это время после запроса, с которого он начался, а не в определённый час. Ключом ко всем служит хеш с солью, а не ваш IP-адрес.

Переписку ИИ-чата мы нигде не храним: она есть только в вашем браузере и исчезает при перезагрузке страницы, а текст сообщений в наши журналы не пишется. Наш хостинг-провайдер хранит свои журналы по своим правилам.

Каждый просмотр из подсчёта без cookie хранится в нашей CRM одной записью: адрес страницы, домен ссылающегося сайта, страна, тип устройства (компьютер или мобильное), дневная метка посетителя и время поступления. Кроме того, он прибавляется к суточному итогу просмотров и посетителей. Срока автоматического удаления у этих записей сейчас нет: они хранятся, пока мы их не удалим. Ни в одной из них нет вашего IP-адреса или строки user-agent, а поскольку метка меняется каждый день, визиты в разные дни между собой не связываются. У CRM есть и свой минутный счётчик для подсчёта, привязанный к хешу вашего IP-адреса, который не даёт одному адресу завалить её запросами; он истекает, когда минута прошла, и удаляется при одной из следующих чисток.

Остальные данные удаляются или обезличиваются, когда перестают быть нужны.

10. Ваши права

Согласно GDPR вы имеете право:

• Узнать, какие ваши персональные данные у нас есть, и получить их копию.
• Исправить неточные данные и дополнить неполные.
• Потребовать удаления ваших данных («право быть забытым»), когда это допускает закон.
• Ограничить обработку или возразить против неё, а также получить свои данные в виде, который можно передать другому поставщику (переносимость данных).
• Отозвать согласие в любой момент. Обработка, проведённая до отзыва, остаётся законной.

11. Как реализовать права и подать жалобу

Чтобы воспользоваться любым из этих прав, напишите на info@webway.ee. Мы ответим в срок, установленный законом. Если вы считаете, что мы обрабатываем ваши данные незаконно, вы вправе подать жалобу в Инспекцию по защите данных Эстонии (Andmekaitse Inspektsioon, www.aki.ee).

12. Как мы защищаем ваши данные

Мы применяем надлежащие технические и организационные меры, чтобы защитить ваши данные от потери, неправомерного использования и несанкционированного доступа. Весь сайт работает через шифрованное соединение (HTTPS). С каждым ответом уходит заголовок Strict-Transport-Security, поэтому браузер откажется загружать сайт без шифрования. В каждом ответе есть и другие указания браузеру по безопасности (заголовки): Referrer-Policy со значением strict-origin-when-cross-origin, X-Content-Type-Options со значением nosniff, X-Frame-Options со значением SAMEORIGIN и Permissions-Policy, которая запрещает сайту доступ к камере, микрофону, геолокации, платежам и USB. Число запросов мы ограничиваем по хешу IP, поэтому сам адрес хранить не нужно. Заголовок Content-Security-Policy мы пока не отправляем. Ни один способ передачи данных через интернет не безопасен полностью, но мы стараемся сохранить ваши данные в безопасности.

13. Ссылки на другие сайты и встроенное демо

На нашем сайте есть ссылки на другие сайты. Кроме того, на одной странице портфолио (Noble Needle) можно открыть рабочий 3D-конфигуратор, который находится на собственном домене клиента nobleneedle.vercel.app. Пока вы не нажмёте кнопку, которая его загружает, к этому домену не уходит ни одного запроса. Когда нажмёте, этот домен, а также сервисы аналитики и шрифтов, которые использует сайт клиента, получат ваш IP-адрес и увидят запрос вашего браузера так же, как если бы вы открыли их страницу сами. Мы не отвечаем за содержание этих сайтов и за то, как они обращаются с данными, и советуем прочитать их политики конфиденциальности.

14. Изменения политики

Мы можем время от времени обновлять эту политику. Действующая версия с датой последнего обновления всегда находится на этой странице. О существенных изменениях мы сообщим на сайте.

15. Прямые B2B-обращения — если мы написали вашей компании первыми

Этот раздел касается вас, если ваша компания получила от нас одно ознакомительное письмо. Ваши данные мы получили не от вас. Мы используем деловые контакты, которые находятся в открытом доступе, из таких публичных источников:

• Публичные бизнес-реестры (например, äriregister, teatmik.ee, inforegister.ee и похожие реестры в Финляндии, Латвии и Литве).
• Сайт вашей компании и его открытые страницы с контактами.
• Публичные карты и бизнес-справочники (например, Google Maps).

На практике это только деловые контактные данные: название компании, рабочий e-mail, телефон, сайт, сфера деятельности, город и открытые данные из реестров. Мы не собираем особые категории персональных данных (например, о здоровье, религии или политических взглядах) и не составляем профили частных лиц.

Зачем мы их использовали: чтобы отправить вашей компании одно персональное письмо с предложением наших услуг веб-дизайна, например бесплатного макета современного сайта. Это единственная цель: мы не продаём ваши данные и не используем их ни для чего другого.

Наше правовое основание — законный интерес (ст. 6(1)(f) GDPR): прямое обращение к компаниям, чьи контакты общедоступны, в ограниченном, уместном и ненавязчивом виде. Поскольку мы получили данные не от вас, мы сообщаем вам об этом, как требует ст. 14 GDPR: уведомлением в письме и на этой странице. Вы можете возразить в любой момент (см. следующий раздел), и мы сразу прекратим.

При этих обращениях данные видят только WebWay и поставщики услуг, которые работают на нас по нашим инструкциям: Google (Gmail), через который мы отправляем и храним переписку, и наши хостинг и база данных (регион ЕС), где безопасно хранится список контактов. Мы никогда не продаём ваши данные и не передаём их для чужого маркетинга.

Мы храним эти данные, только пока обращение актуально. Если вы возразите или попросите удалить данные, мы их удалим и внесём ваш адрес в список «не писать» (список подавления). Это минимальная запись, которую мы храним только для того, чтобы больше никогда с вами не связываться.

Кроме прав из раздела 10, у вас есть безусловное право возразить против прямого маркетинга. Если вы считаете, что мы обработали ваши данные неправильно, мы будем рады, если сначала вы скажете об этом нам. Но вы также вправе подать жалобу в Инспекцию по защите данных Эстонии (Andmekaitse Inspektsioon, aki.ee) или в орган по защите данных своей страны.

Для этого раздела приоритет имеет английская версия; эстонская и русская даны для удобства.

Контакты

По любым вопросам об этой политике или ваших персональных данных свяжитесь с нами:

WebWay OÜ · Рег. код 17529905 · Sõpruse pst 209-23, 13419 Tallinn, Estonia
info@webway.ee