Політика конфіденційності

1. Інформація, яку ми збираємо

Ми збираємо такі категорії даних:

• Інформація облікового запису: ім'я, адреса електронної пошти, хеш пароля, роль (студент, рекрутер, адміністратор), фото профілю, якщо ви його завантажуєте.
• Дані заявки та академічна інформація: інформація, яку ви подаєте через наші форми заявок та анкети, наприклад ваше ім'я, адреса електронної пошти, номер телефону, країна походження, цільові країни, бажаний рівень освіти, інтереси щодо програм, результати тестів (TOEFL/IELTS/GRE/GMAT тощо), GPA, попередній заклад, бюджет та семестр вступу. Ви можете подати заявку без створення облікового запису.
• Документи, які ви завантажуєте: виписки, мотиваційні листи, рекомендаційні листи, копії паспортів, візові документи та інші матеріали заявки.
• Комунікації: повідомлення, які ви надсилаєте консультантам, звернення до підтримки, подані відгуки.
• Реферальна інформація: якщо ви приєднуєтеся до нашої реферальної чи рекрутерської програми або реєструєтеся за чужим реферальним кодом чи посиланням, ми фіксуємо реферальний код та утворений зв'язок між обліковими записами, щоб адмініструвати програму.
• Платіжна інформація: ми не зберігаємо номери карток; платежі обробляє Stripe, який отримує дані картки безпосередньо з вашого браузера. Ми зберігаємо ідентифікатор платежу Stripe, списану суму та статус купівлі.
• Інформація про використання та пристрій: IP-адреса, рядок user-agent, шлях запиту та позначка часу, що записуються в серверних журналах та у нашого edge-постачальника (Cloudflare). Використовується лише для безпеки, запобігання зловживанням та усунення несправностей. Ми не використовуємо клієнтську аналітику чи рекламні трекери.
• Записи про згоду: коли ви подаєте заявку, реєструєтеся або підписуєтеся на маркетингові листи, ми зберігаємо запис про надану вами згоду (який прапорець, на якій сторінці, версія політики, ваша IP-адреса та ваш user-agent на той момент), щоб ми могли підтвердити згоду, якщо її згодом оскаржать.
• Постачальники автентифікації: якщо ви входите через Google, ми отримуємо ваше ім'я, електронну пошту та фото профілю від Google за вашою згодою.

2. Чому ми обробляємо ці дані (правові підстави)

Для користувачів у ЄС, Великій Британії та ЄЕП ми покладаємося на такі правові підстави згідно з GDPR:

• Договір (ст. 6(1)(b)): для створення та керування вашим обліковим записом, відповідей на ваші заявки, відображення відповідних переліків університетів і стипендій, оброблення платежів, надання придбаних послуг, забезпечення підтримки консультантів та адміністрування реферальної програми.
• Законний інтерес (ст. 6(1)(f)): для роботи та захисту Сервісу, запобігання шахрайству та зловживанням, аналізу сукупного використання для покращення якості продукту та відповідей на ваші заявки.
• Юридичне зобов'язання (ст. 6(1)(c)): для дотримання податкових, бухгалтерських та регуляторних вимог.
• Згода (ст. 6(1)(a)): для необов'язкових маркетингових комунікацій.

3. Як ми надаємо доступ до інформації

Ми не продаємо ваші персональні дані. Ми не надаємо доступ до ваших персональних даних університетам чи надавачам стипендій; переліки в Сервісі впорядковані з публічних джерел, і ми не є рекрутинговим агентом жодного закладу. Ми надаємо доступ до даних:

• Постачальники послуг, які допомагають нам керувати Сервісом:
  • Stripe, Inc. (обробка платежів, США), політика конфіденційності.
  • Hetzner Online GmbH (хостинг серверів, Німеччина), політика конфіденційності.
  • Cloudflare, Inc. (DNS, CDN, TLS, безпека на межі мережі та об’єктне сховище R2 для завантажених документів, як-от копії паспорта та візи, США), політика конфіденційності.
  • Neon, Inc. (керована база даних Postgres, регіон: AWS Frankfurt, Німеччина), політика конфіденційності.
  • Resend, Inc. (транзакційна електронна пошта, США), політика конфіденційності.
  • Google LLC (вхід через OAuth, США), політика конфіденційності.
  За договором ці постачальники зобов'язані використовувати ваші дані лише в обсязі, необхідному для надання нам послуг.
• Органи влади: коли цього вимагає закон, судовий припис, або для захисту наших прав і безпеки.
• Бізнес-передачі: у зв'язку зі злиттям, придбанням або продажем активів (з повідомленням вас).

4. Міжнародні передачі даних

Наші сервери та основна база даних розташовані в Німеччині (ЄС). Деякі з наших постачальників послуг (Stripe, Resend, Cloudflare, Google) базуються у Сполучених Штатах. Коли дані передаються за межі ЄС/ЄЕП, ми покладаємося на Стандартні договірні положення (SCC), затверджені Європейською Комісією, та на сертифікацію кожного постачальника згідно з застосовними механізмами (наприклад, EU-US Data Privacy Framework).

5. Як довго ми зберігаємо ваші дані

• Дані облікового запису: упродовж усього часу, поки ваш обліковий запис активний, та до 24 місяців після видалення для запобігання шахрайству.
• Документи заявки (виписки, мотиваційні листи, рекомендації, результати тестів): зберігаються, поки у вас є активна послуга з нами, а в іншому разі видаляються, щойно вони досягають нашого періоду зберігання після завантаження. Чутливі документи, що посвідчують особу, та фінансові документи (копії паспортів, фінансові записи) зберігаються коротший період, ніж інші документи. Ви також можете самостійно видалити будь-який документ зі своєї панелі в будь-який час. Див. розділ “Як ми видаляємо документи” нижче.
• Платіжні записи: 7 років для дотримання податкових і бухгалтерських вимог.
• Листування з підтримкою: до 3 років після вирішення.
• Серверні журнали: до 90 днів.

Як ми видаляємо документи

Ми застосовуємо процес зберігання даних до завантажених документів, щоб не зберігати їх довше, ніж потрібно. Документ стає придатним для видалення, щойно у вас більше немає активної послуги з нами і він старший за період зберігання для свого типу, або щойно він досягає абсолютного максимального віку незалежно від активності. Документи, пов'язані з активною послугою, цей процес ніколи не видаляє. Перед видаленням будь-якого документа ми надсилаємо вам листа та показуємо сповіщення на вашій панелі, і ви можете позначити документ для збереження, якщо він вам ще потрібен. Придатні до видалення документи спершу приховуються та утримуються упродовж періоду відстрочки, протягом якого їх можна відновити, а потім остаточно стираються з нашого сховища. Точні періоди зберігання налаштовує наша команда, і вони можуть змінюватися; ви завжди можете запросити раніше видалення своїх даних через портал прав, описаний у розділі “Ваші права” нижче.

6. Ваші права

Залежно від місця вашого проживання ви можете мати такі права щодо ваших персональних даних:

• Доступ: запитати копію персональних даних, які ми зберігаємо про вас.
• Виправлення: виправити неточні або неповні дані.
• Видалення: запитати видалення ваших персональних даних з урахуванням юридичних винятків.
• Перенесення: отримати ваші дані у структурованому форматі, придатному для машинного зчитування.
• Заперечення: заперечити проти певного оброблення, наприклад на основі законного інтересу.
• Відкликання згоди: відкликати згоду в будь-який час, коли оброблення базується на згоді.
• Скарга: подати скаргу до вашого органу із захисту даних.

Ви можете скористатися багатьма з цих прав безпосередньо у вашому обліковому записі через Конфіденційність і дані (перенесення), або зв'язавшись із нами за адресою [email protected]. Ми відповідаємо упродовж 30 днів.

Користувачі в ЄС/Великій Британії (GDPR/UK GDPR): ви маєте права, описані вище, і можете подати скаргу до місцевого органу нагляду. Перелік можна знайти на сайті Європейської ради із захисту даних.

Резиденти Каліфорнії (CCPA/CPRA): на додаток до зазначених вище прав, ви маєте право знати, яку особисту інформацію ми збираємо, вимагати її видалення або виправлення, відмовитися від продажу чи передачі особистої інформації та обмежити використання конфіденційної особистої інформації. Ми не продаємо та не передаємо особисту інформацію у тому значенні, в якому ці терміни вживаються в CCPA/CPRA (ми не обмінюємо її на грошову чи іншу цінну винагороду та не передаємо її для міжконтекстної поведінкової реклами). Ви також можете призначити уповноваженого представника для подання запиту від вашого імені; ми перевіримо повноваження представника, перш ніж діяти. Ми не дискримінуємо користувачів, які реалізують свої права на конфіденційність.

Мешканці Бразилії (LGPD): ви маєте права, подібні до вищезазначених, включно з доступом, виправленням, анонімізацією та видаленням. Для подання запитів звертайтеся до нас.

Мешканці Канади (PIPEDA): ви маєте права, описані вище.

Мешканці Кореї (PIPA): якщо ви перебуваєте в Кореї, ви маєте право бути поінформованими та право не надавати інформацію, реалізувати які можна, звернувшись до нас за адресою [email protected]. Ви також можете звернутися до Комісії із захисту персональної інформації (PIPC) та Корейського агентства з інтернет-безпеки (KISA).

7. Безпека

Ми застосовуємо технічні та організаційні заходи для захисту ваших даних, включно з шифруванням під час передачі (TLS 1.3) та у стані спокою (AES-256), хешуванням паролів (bcrypt) і контролем доступу. Жоден метод передачі чи зберігання не є на 100% безпечним, але ми постійно працюємо над захистом вашої інформації.

8. Файли cookie та локальне сховище

Ми не використовуємо сторонню аналітику, рекламу чи міжсайтове відстеження. Ми реєструємо базові серверні метадані запитів (IP-адресу, user-agent, шлях запиту та позначку часу) для безпеки, запобігання зловживанням та усунення несправностей. Ці журнали зберігаються до 90 днів.

Ми використовуємо невелику кількість власних файлів cookie та один запис у localStorage, усі з яких є строго необхідними або базуються на налаштуваннях (згода згідно з правилами ePrivacy ЄС не потрібна):

• Сесія автентифікації (cookie, що встановлюється NextAuth, HTTP-only, спливає, коли ви виходите, або після завершення часу життя сесії): підтримує ваш вхід на різних сторінках.
• gp_ref (TTL 90 днів): записує реферальний код з URL-адреси ?ref=CODE, щоб ми могли зарахувати вашу реєстрацію коректному рекрутеру чи реферуючому користувачу.
• gp-theme (зберігається в localStorage браузера, не як HTTP cookie): запам'ятовує ваше налаштування світлої/темної/висококонтрастної теми.

Ви можете очистити їх у будь-який час через елементи керування даними сайту у вашому браузері. Очищення cookie автентифікації призведе до виходу з облікового запису; очищення інших повертає налаштування за замовчуванням і видаляє реферальне зарахування.

9. Діти

GlobalPath призначений для користувачів віком від 16 років. Ми свідомо не збираємо персональну інформацію від дітей віком до 16 років. Якщо ви вважаєте, що дитина віком до 16 років надала нам персональну інформацію, будь ласка, зв'яжіться з нами за адресою [email protected].

10. Зміни до цієї політики

Ми можемо час від часу оновлювати цю Політику конфіденційності. Про суттєві зміни ми повідомлятимемо електронною поштою та на цій сторінці із зазначенням переглянутої дати набрання чинності вгорі.

11. Зв'язок з нами

Маєте запитання щодо цієї політики або хочете реалізувати свої права? Перегляньте [email protected] або напишіть нам за адресою [email protected].