Редакція від {{ДАТА}}. Ця версія українською мовою є основною та юридично застосовною.
AI STEP — вебсервіс навчання заробітку за допомогою штучного інтелекту за підпискою. Ця Політика простою мовою описує, які персональні дані ми збираємо, чому саме ці, кому їх передаємо, скільки зберігаємо і що ви можете з цим зробити.
1.1. Володільцем (контролером) ваших персональних даних є {{ФОП/ТОВ, ІПН/ЄДРПОУ, адреса}} — далі «ми», «AI STEP».
1.2. Контакт з усіх питань щодо персональних даних: {{EMAIL}}, телефон {{ТЕЛЕФОН}}. Окрему службу захисту даних (DPO) ми не призначали — запити опрацьовує безпосередньо власник сервісу.
1.3. Ця Політика застосовується до вебсервісу AI STEP, лендінгу, лід-форм, квіза, кабінету користувача, AI-Наставника та AI-інструментів.
1.4. Ми діємо за правом України, зокрема відповідно до Закону України «Про захист персональних даних», Закону України «Про електронну комерцію», Закону України «Про захист прав споживачів» та Закону України «Про авторське право і суміжні права». Якщо ви перебуваєте в Європейському економічному просторі або у Великій Британії, до обробки ваших даних додатково застосовується GDPR (та UK GDPR відповідно) — ваші права з розділу 9 діють у повному обсязі.
1.5. Сервіс призначений для осіб, яким виповнилося 18 років (див. розділ 12).
2.1. Ми збираємо мінімум, потрібний для роботи сервісу. Нижче — повний перелік.
| Дані | Коли збираються | Для чого | Правова підстава |
|---|---|---|---|
| Відповіді квіза: мета, досвід роботи з ШІ, доступний час, дохідні орієнтири | Коли ви проходите квіз (до реєстрації або після) | Підібрати програму навчання та порядок курсів, показати релевантний план | Згода (ст. 6(1)(a) GDPR); після реєстрації — виконання договору (ст. 6(1)(b)) |
| Лід-форма після квіза; реєстрація акаунта | Створення та відновлення доступу, сервісні листи (чек, статус підписки, зміни умов); за окремою згодою — розсилка | Виконання договору; для розсилки — згода | |
| Ім'я (якщо ви його вказали) | Реєстрація або редагування профілю | Персональне звертання в інтерфейсі та листах | Виконання договору; поле необов'язкове |
| Дані акаунта: внутрішній ідентифікатор, дата створення, хеш пароля | Реєстрація та кожен вхід | Автентифікація й захист доступу до акаунта. Пароль зберігається лише у вигляді необоротного хешу, ним керує Supabase Auth — ми не бачимо ваш пароль | Виконання договору; законний інтерес у безпеці (ст. 6(1)(f)) |
| Прогрес навчання та стрик: пройдені уроки, результати квізів до уроків, серія днів, отримані бейджі-сертифікати | Під час навчання | Зберігати прогрес між сесіями, продовжувати з місця зупинки, видавати сертифікат про проходження курсу | Виконання договору |
| Статус підписки та історія платежів: дата, сума, план, статус операції, ознака автопродовження — без реквізитів картки | Під час оплати та кожного автопродовження | Відкриття доступу, облік оплаченого періоду, бухгалтерія і податки, опрацювання повернень і спорів | Виконання договору; виконання юридичного обов'язку (ст. 6(1)(c)) |
| Тексти ваших запитів до AI-Наставника та AI-інструментів | Коли ви пишете в чат або запускаєте інструмент (пост, лист, контент-план тощо) | Сформувати відповідь; технічна діагностика збоїв | Виконання договору |
| Мова інтерфейсу | Автоматично при виборі мови | Показувати контент і відповіді ШІ вашою мовою | Виконання договору |
| Події використання продукту: відкриття уроку, завершення уроку, старт квіза, перегляд екрана оплати, застосована скидка тощо | Автоматично під час користування | Розуміти, де користувачі застрягають, і виправляти продукт; внутрішня статистика | Законний інтерес у поліпшенні сервісу (ст. 6(1)(f)) |
| Технічні логи: IP-адреса, тип браузера, час звернення | Автоматично, на стороні Supabase/хостингу | Безпека, захист від зловживань і атак, розслідування збоїв | Законний інтерес у безпеці (ст. 6(1)(f)) |
2.2. Аналітика в AI STEP власна: події зберігаються у нашій базі даних у Supabase. Ми не підключаємо сторонні рекламні чи трекінгові системи.
2.3. Про сертифікати. Бейдж про проходження курсу формується автоматично на основі вашого прогресу і зберігається у вашому акаунті. Це внутрішнє підтвердження проходження курсу в AI STEP, а не документ про освіту державного зразка.
2.4. Про платежі, автопродовження і повернення (пояснюємо тут, бо це прямо стосується даних, які ми зберігаємо):
2.4.1. Оплата проходить напряму через WayForPay (український еквайринг, картки Visa/Mastercard), а не через App Store чи Google Play. Тому всі питання оплати, скасування і повернення вирішуємо ми самі, а не платформа-посередник.
2.4.2. Ціна, період і те, що підписка продовжується автоматично, показуються вам до підтвердження оплати. Валюта — гривня (₴). Плани: річний ₴2999 за акцією / ₴5999 без акції; місячний ₴1349 / ₴1899; тижневий ₴499 / ₴699. Пробний доступ — ₴149 на 3 дні, після чого підписка автоматично продовжується за тарифом, який ви бачили при оформленні.
2.4.3. Скасувати автопродовження можна в один тап у розділі «Підписка». Дзвонити, писати листи чи пояснювати причини не потрібно. Доступ зберігається до кінця вже оплаченого періоду.
2.4.4. Повернення коштів: протягом 14 днів з моменту платежу ми повертаємо гроші за вашим зверненням без з'ясування причин, якщо ви не використали суттєву частину контенту. Після цього строку повернення відбувається на підставах, передбачених законодавством України. Кошти повертаємо тим самим способом, яким ви платили; строк — до 14 днів, зазвичай швидше. Ми відкрито радимо: звернутися напряму до нас за адресою {{EMAIL}} швидше і простіше, ніж відкривати спір (chargeback) у банку.
2.4.5. Знижки в AI STEP реальні: акційний строк має справжній дедлайн, колесо знижки використовує справжню випадковість у діапазоні 5–30 % і застосовує отриманий відсоток до фактичної ціни, фінальна пропозиція при спробі виходу теж діє. Факт застосування знижки ми фіксуємо в історії платежів — щоб потім не було спорів про ціну.
3.1. Ми обробляємо персональні дані на підставах, визначених ст. 11 Закону України «Про захист персональних даних», а для користувачів з ЄЕЗ та Великої Британії — на підставах ст. 6 GDPR:
3.1.1. Виконання договору (ст. 6(1)(b) GDPR) — надання доступу до програм, курсів і уроків, збереження прогресу, робота AI-Наставника та AI-інструментів, облік підписки, підтримка. Без цих даних сервіс технічно не може працювати.
3.1.2. Законний інтерес (ст. 6(1)(f) GDPR) — безпека акаунтів і сервісу, захист від зловживань і автоматизованих атак, продуктова аналітика для виправлення проблемних місць у навчанні. Ми обмежуємо цю обробку тим, що справді потрібно, і не використовуємо її для профілювання з юридичними наслідками для вас.
3.1.3. Згода (ст. 6(1)(a) GDPR) — маркетингова розсилка та передача даних квіза до моменту реєстрації. Згоду можна відкликати будь-коли: посиланням «відписатися» в листі або листом на {{EMAIL}}. Відкликання не впливає на законність обробки, що відбулася до нього, і не позбавляє вас доступу до оплаченого періоду.
3.1.4. Виконання юридичного обов'язку (ст. 6(1)(c) GDPR) — зберігання платіжних і розрахункових записів згідно з бухгалтерським та податковим законодавством України, відповіді на законні запити державних органів.
3.2. Ми не приймаємо щодо вас рішень виключно автоматизованими засобами, які мали б юридичні наслідки. Підбір програми за результатами квіза — це рекомендація, а не оцінка вас як особи.
4.1. Реквізити платіжної картки. Ми не отримуємо і не зберігаємо номер картки, строк дії, CVV/CVC і код 3-D Secure. Ці дані ви вводите на стороні WayForPay, який є сертифікованим платіжним сервісом. До нас повертається лише результат операції та службовий ідентифікатор платежу.
4.2. «Чутливі» категорії даних (стан здоров'я, релігійні чи політичні переконання, етнічне походження, сексуальне життя, біометрія, дані про судимість). Ми не запитуємо їх, не збираємо і не маємо для них полів.
4.3. Точну геолокацію ми не збираємо і не запитуємо доступ до неї.
4.4. Прохання щодо AI-чату. AI-Наставник — це інструмент навчання, а не захищений медичний, юридичний чи фінансовий канал. Будь ласка, не надсилайте в чат ШІ:
Якщо ви все ж введете такі дані, вони стануть частиною тексту запиту й будуть передані постачальнику LLM (розділ 5) — саме тому ми просимо цього не робити.
4.5. Ще раз про суть інструмента: відповіді ШІ генеруються автоматично і можуть містити помилки або вигадані факти, включно з вигаданими посиланнями, цифрами й цитатами. ШІ не замінює лікаря, юриста, бухгалтера чи фінансового консультанта. Перевіряйте важливе перед тим, як діяти.
5.1. Ми залучаємо обмежене коло постачальників (розпорядників), без яких сервіс не працює. Повний перелік:
| Отримувач | Які дані отримує | Для чого | Де обробляє |
|---|---|---|---|
| Supabase (Postgres, Auth, Edge Functions) | Акаунт, e-mail, хеш пароля, прогрес і стрик, статус підписки та історія платежів, ліди з квіза, події аналітики, технічні логи | Хостинг бази даних, автентифікація, серверна логіка сервісу | Регіон ЄС (Франкфурт, Німеччина) |
| WayForPay | Дані, потрібні для платежу: сума, план, ідентифікатор замовлення, e-mail для чека; реквізити картки ви вводите безпосередньо на його стороні | Приймання оплати, автопродовження підписки, повернення коштів | Україна |
| OpenAI (зараз) та/або Anthropic — постачальник LLM для AI-Наставника та AI-інструментів | Тільки текст вашого запиту та код мови інтерфейсу. Без імені, e-mail, платіжних даних, ідентифікаторів пристрою та геолокації | Генерація відповіді AI-Наставника і результатів AI-інструментів | Поза ЄЕЗ (див. розділ 7) |
| Google CDN (доставка CanvasKit — рендерингового рушія інтерфейсу) | Технічний запит на завантаження файлу рушія: IP-адреса, тип браузера — стандартні дані будь-якого HTTP-запиту | Коректне відображення інтерфейсу в браузері | Глобальна мережа CDN |
5.2. Google Fonts у рантаймі не використовується — шрифти постачаються локально разом із застосунком, тому звернень до шрифтових серверів під час вашої роботи в сервісі не відбувається.
5.3. Прямо і без застережень:
5.3.1. Ми не продаємо персональні дані і не передаємо їх рекламним брокерам, дата-брокерам чи будь-кому для перепродажу.
5.3.2. Ми не передаємо ваші переписки з AI-Наставником для навчання моделей штучного інтелекту та не публікуємо їх.
5.3.3. Ми не передаємо дані третім особам поза цим переліком, окрім двох випадків: (а) на законний запит уповноваженого державного органу України в межах його повноважень; (б) якщо це необхідно для захисту наших прав у спорі, у мінімально потрібному обсязі.
5.4. З постачальниками ми працюємо на підставі їхніх публічних умов обробки даних; вони мають обробляти дані лише за нашими інструкціями і в межах наданої мети.
6.1. Акаунт, e-mail, ім'я, прогрес, стрик, бейджі-сертифікати — поки ваш акаунт активний. Після запиту на видалення акаунта — видаляємо в порядку розділу 10.
6.2. Записи про платежі та підписку (дата, сума, план, статус) — протягом строків, встановлених бухгалтерським і податковим законодавством України. Ці записи ми зобов'язані зберігати навіть після видалення акаунта, тому знеособлюємо їх, наскільки це дозволяє закон.
6.3. Ліди з квіза й лід-форми (e-mail та відповіді квіза без реєстрації) — до відкликання згоди або до вашого запиту на видалення.
6.4. Події аналітики — у знеособленому або агрегованому вигляді ми можемо зберігати їх довше, бо після знеособлення вони більше не є персональними даними.
6.5. Технічні логи — короткостроково, у межах налаштувань і політик Supabase як хостинг-провайдера.
6.6. Тексти запитів до ШІ — на нашій стороні ми зберігаємо історію чату, поки існує ваш акаунт, щоб ви бачили свої попередні діалоги. На стороні постачальника LLM строк зберігання визначається його власною політикою, і ми не можемо його змінити. Тому наша порада з п. 4.4 має практичний сенс.
6.7. Якщо конкретний строк не встановлений законом, ми керуємося принципом: дані видаляємо, коли зникла мета, для якої їх збирали.
7.1. Основне сховище — Supabase, регіон ЄС (Франкфурт). Для користувачів з України це передача за кордон, для користувачів з ЄЕЗ — обробка в межах ЄЕЗ.
7.2. Постачальники LLM (OpenAI та/або Anthropic) можуть обробляти запити поза межами ЄЕЗ, зокрема у США. Для таких передач ми спираємося на механізми, передбачені GDPR: стандартні договірні положення (SCC) у складі умов постачальника та/або рішення про адекватність рівня захисту, якщо воно застосовне до конкретного постачальника.
7.3. Незалежно від країни обробки ми застосовуємо три захисні заходи: мінімізація (передаємо лише текст запиту й код мови), шифрування в транзиті (TLS) і відсутність ідентифікаторів — постачальник LLM не отримує від нас вашого імені, e-mail, платіжних даних чи ідентифікатора пристрою.
8.1. Що ми робимо технічно:
8.1.1. Row Level Security (RLS) на рівні бази даних: політики доступу побудовані так, що запит від вашого акаунта повертає лише ваші власні записи — прогрес, підписку, історію чату.
8.1.2. Приватні ключі та секрети — лише на сервері (в Edge Functions і серверних змінних середовища). Клієнтський застосунок не містить ключів доступу до LLM-провайдера чи адміністративних ключів бази.
8.1.3. Шифрування в транзиті (TLS) для всіх з'єднань між вашим браузером, нашим сервером і постачальниками.
8.1.4. Хешування пароля засобами Supabase Auth: у базі зберігається необоротний хеш, а не пароль.
8.1.5. Обмеження доступу: доступ до продакшн-даних мають лише особи, яким він потрібен для роботи сервісу та підтримки, у мінімально необхідному обсязі.
8.2. Що можете зробити ви: використовувати унікальний пароль, не передавати доступ до акаунта третім особам і одразу повідомити нас на {{EMAIL}}, якщо помітили підозрілу активність.
8.3. Чесно: абсолютної безпеки не існує. Жоден сервіс в інтернеті не може гарантувати стовідсоткову захищеність даних. Ми зобов'язуємося застосовувати розумні технічні й організаційні заходи та повідомити вас, якщо станеться інцидент, що створює суттєвий ризик для ваших прав, — без затягування і без спроб приховати факт.
9.1. Ви маєте право:
9.1.1. Знати і отримати доступ — які саме ваші дані ми обробляємо, з якою метою і кому передаємо.
9.1.2. Виправити неточні або неповні дані (наприклад, змінити ім'я чи e-mail).
9.1.3. Видалити дані («право бути забутим») — з урахуванням обмежень п. 6.2 і розділу 10.
9.1.4. Обмежити обробку — попросити тимчасово припинити обробку, поки з'ясовується спірне питання.
9.1.5. Отримати дані у переносному вигляді (портативність) — ми надамо ваші дані у структурованому машиночитаному форматі.
9.1.6. Заперечити проти обробки, що ґрунтується на законному інтересі, зокрема проти продуктової аналітики.
9.1.7. Відкликати згоду на маркетингову розсилку — будь-коли, одним посиланням у листі або листом до нас.
9.1.8. Не отримувати рекламних листів, продовжуючи користуватися сервісом: відписка від розсилки не впливає на ваш доступ до навчання.
9.2. Як скористатися. Надішліть запит на {{EMAIL}} з адреси, зареєстрованої в AI STEP. Якщо запит надійшов з іншої адреси, ми можемо попросити підтвердити, що акаунт належить вам, — це захист від видалення чужих даних сторонньою особою. Плату за розгляд запиту ми не беремо.
9.3. Строк відповіді. Ми відповідаємо протягом 30 днів з дня отримання запиту (Закон України «Про захист персональних даних»). Для користувачів з ЄЕЗ і Великої Британії — протягом 1 місяця, з можливістю продовження ще до 2 місяців для складних запитів; про продовження і його причину ми повідомимо в межах першого місяця.
9.4. Скарга до наглядового органу. Якщо вважаєте, що ми порушили ваші права, ви можете звернутися:
9.4.1. в Україні — до Уповноваженого Верховної Ради України з прав людини;
9.4.2. в ЄЕЗ — до наглядового органу із захисту даних (DPA) вашої країни проживання;
9.4.3. у Великій Британії — до Information Commissioner's Office (ICO).
9.5. Ми будемо вдячні, якщо спершу напишете нам — більшість питань вирішується швидше напряму. Але звернення до нас не є обов'язковою умовою для скарги: ви можете звернутися до наглядового органу або до суду одразу.
10.1. Щоб видалити акаунт, надішліть запит на {{EMAIL}} з темою «Видалення акаунта» з e-mail, на який зареєстровано акаунт.
10.2. Що видаляється: профіль (e-mail, ім'я), дані автентифікації разом із хешем пароля, відповіді квіза, прогрес навчання і стрик, отримані бейджі-сертифікати, історія ваших запитів до AI-Наставника, збережена на нашій стороні, ваші події аналітики у формі, привʼязаній до особи.
10.3. Що залишається: записи про здійснені платежі (дата, сума, план, статус, ідентифікатор операції) — ми зобов'язані зберігати їх згідно з бухгалтерським і податковим законодавством України. Такі записи ми відокремлюємо від профілю і не використовуємо для звернень до вас.
10.4. Що ми не контролюємо: дані, які постачальник LLM зберігає на своїй стороні за власною політикою (п. 6.6).
10.5. Видалення акаунта не є автоматичним поверненням коштів і навпаки: повернення коштів не видаляє акаунт. Це два окремі запити — ви можете подати будь-який з них або обидва. Умови повернення — у п. 2.4.4.
10.6. Якщо на момент видалення у вас активна підписка, спершу скасуйте автопродовження в розділі «Підписка» (один тап) або попросіть нас зробити це в тому ж листі — щоб наступне списання не відбулося.
11.1. AI STEP не використовує cookie для рекламного таргетингу і не підключає сторонні рекламні пікселі. Те, що ми зберігаємо у вашому браузері, потрібне для роботи сервісу.
11.2. Що саме зберігається локально (у localStorage / сховищі браузера):
11.2.1. Дані сесії авторизації (токен Supabase Auth) — щоб ви не вводили пароль на кожній сторінці. Строго необхідне.
11.2.2. Відповіді квіза — щоб не втратити їх при перезавантаженні сторінки і показати підібрану програму.
11.2.3. Прогрес навчання — щоб інтерфейс миттєво показував, де ви зупинилися, навіть до синхронізації з сервером.
11.2.4. Мова інтерфейсу — щоб не вибирати її щоразу.
11.2.5. Статус показу пропозицій — позначки про те, що акційний блок, колесо знижки чи фінальна пропозиція вам уже показувалися. Це потрібно, щоб не показувати те саме повторно і щоб отримана вами знижка не «злітала» при перезаході.
11.3. Як очистити. Видаліть дані сайту в налаштуваннях вашого браузера (розділ про cookie і дані сайтів) або скористайтеся приватним вікном. Після очищення ви вийдете з акаунта і локальні позначки скинуться; ваш прогрес і підписка залишаються збереженими на сервері та відновляться після входу.
11.4. Оскільки все локальне сховище або строго необхідне, або службове для виконання договору, ми не показуємо вам банер згоди на трекінгові cookie — просто тому, що трекінгових cookie у нас немає.
12.1. AI STEP — платний продукт про заробіток, і сервіс призначений виключно для осіб, яким виповнилося 18 років.
12.2. Ми свідомо не збираємо дані неповнолітніх і не спрямовуємо на них маркетинг.
12.3. Якщо ви батько, мати або опікун і вважаєте, що дитина зареєструвалася в AI STEP і передала нам свої дані, напишіть на {{EMAIL}} — ми перевіримо і видалимо такий акаунт разом із даними.
13.1. Ми можемо оновлювати цю Політику — наприклад, якщо змінюється склад постачальників, з'являються нові функції або змінюється законодавство.
13.2. Актуальна редакція завжди доступна в сервісі; дата редакції зазначена на початку документа.
13.3. Про суттєві зміни (новий отримувач даних, нова мета обробки, зміна строків зберігання, зміна володільця даних) ми повідомимо заздалегідь — листом на ваш e-mail та/або повідомленням у сервісі.
13.4. Несуттєві правки (уточнення формулювань, виправлення описок, структурні зміни без впливу на обсяг обробки) набирають чинності з моменту публікації.
13.5. Якщо ви не погоджуєтеся з новою редакцією, ви можете скасувати підписку в один тап і/або запросити видалення акаунта. Уже оплачений період при цьому зберігається до його закінчення, а право на повернення коштів за п. 2.4.4 не зникає через зміну Політики.
14.1. Володілець персональних даних: {{ФОП/ТОВ, ІПН/ЄДРПОУ, адреса}}.
14.2. E-mail для будь-яких запитів щодо персональних даних, доступу, виправлення, видалення, відкликання згоди, а також щодо підписки й повернення коштів: {{EMAIL}}.
14.3. Телефон: {{ТЕЛЕФОН}}.
14.4. У листі вкажіть, будь ласка, e-mail вашого акаунта і суть запиту — так ми відповімо швидше і без додаткових уточнень.
Редакція цієї Політики конфіденційності: {{ДАТА}}.