Політика конфіденційності / Privacy Policy

FEHU · app.fehu.com.ua · Чинна з / Effective: 4 вересня 2026 / 4 September 2026

Українською

FEHU («ми», «сервіс») — це система обліку та комунікацій для українських підприємців (ФОП). Ця політика пояснює, які дані ми збираємо, як використовуємо та захищаємо їх, зокрема під час інтеграції з Instagram / Meta.

Які дані ми збираємо

  • Дані акаунта: email, ім'я, зашифровані облікові дані інтеграцій.
  • Дані інтеграції Instagram / Meta: коли підприємець підключає свій Instagram-акаунт через Facebook, ми отримуємо: повідомлення (Direct) та коментарі, надіслані бізнесу; ім'я користувача (username), ідентифікатор та фото профілю відправника; ідентифікатор підключеної Сторінки та Instagram-акаунта.
  • Дані CRM: контакти, замовлення, повідомлення та інші записи, які створює підприємець у системі.

Як ми використовуємо дані

  • відображати розмови Instagram у вхідних повідомленнях (inbox) підприємця;
  • давати змогу підприємцю відповідати клієнтам із системи;
  • вести облік контактів, замовлень і фінансів ФОП;
  • забезпечувати роботу, безпеку та підтримку сервісу.

Ми не продаємо персональні дані та не використовуємо вміст повідомлень для реклами.

Показник викупу замовлень

Щоб підприємці могли уникати збитків від невикуплених посилок, Сервіс веде спільний для платформи показник викупу за номером телефону отримувача. Підстава обробки — легітимний інтерес (запобігання збиткам від невикупу, ст. 11 Закону України «Про захист персональних даних»). Сам номер у реєстрі не зберігається: замість нього — псевдонімізований ключ (ключований хеш із секретом платформи). Під цим ключем реєстр тримає запис про кожне замовлення: посилання на замовлення й робочу область підприємця, номер відправлення перевізника, дату, результат (викуплено / не викуплено: відмова, не забрано, повернення) і структуровану причину від продавця — без тексту. Іншим підприємцям показуються лише лічильники й відсоток — без назв магазинів і без даних чужих замовлень. Враховуються замовлення за останні 3 роки; старші випадають із показника, а записи стертого контакта чи закритої робочої області прибираються одразу. Власник номера може заперечити проти такої обробки, написавши на [email protected] — тоді номер виключається з показника; щоб виключення пережило зміну ключів платформи, сам номер у списку виключень зберігається зашифрованим.

Субпроцесори та передавання даних

Повний перелік із категоріями даних, регіонами й підставами ведеться в технічному реєстрі docs/security/sub-processors.md і звіряється з кодом автоматично. Станом на сьогодні дані отримують:

  • Meta Platforms — отримання й надсилання повідомлень Instagram.
  • DigitalOcean — хостинг сервісу й файлове сховище. Дані зберігаються в дата-центрі Франкфурт (FRA1), Німеччина.
  • Anthropic і OpenAI — AI-функції: розпізнавання паспорта під час заповнення профілю ФОП, підказки щодо клієнтів, категоризація банківської виписки, відповіді асистента. За умовами API ці дані не використовуються для навчання моделей.
  • Deepgram і OpenAI (резервний) — розшифровка голосових повідомлень клієнтів у текст; аудіо передається лише тоді, коли підприємець увімкнув цю функцію.
  • Simli (США) — відео-аватар консультанта на лендінгу, лише якщо відвідувач сам увімкнув відео: отримує IP-адресу відвідувача й синтезоване аудіо наших відповідей (транспорт — LiveKit). Текст, голос і зображення відвідувача не передаються.
  • Resend — доставка листів (підтвердження запису, запрошення працівників).
  • TurboSMS — доставка SMS покупцям.
  • Telegram — сповіщення підприємцю про замовлення й записи.
  • GitLab — звіти про помилки, надіслані з інтерфейсу.
  • Sentry — журнал технічних помилок (без вмісту запитів і cookie).
  • Google — вхід через Google-акаунт (лише для працівників сервісу).
  • Opendatabot — перевірка КВЕДів ФОПа в публічному реєстрі за РНОКПП.
  • Umami Cloud — статистика відвідувань лендінгу без cookies та без персональних даних; сюди ж передається знеособлена подія про початок користування сервісом.
  • Сервіси, які підключає сам підприємець — маркетплейси (Rozetka, Prom, OLX, Epicentr, Maudau, EVA, Kasta, Allo), кур'єри (Нова пошта, Укрпошта, Meest), банки й платіжні шлюзи, фіскалізація Checkbox, телефонія (Binotel, Ringostat). Він сам укладає з ними договір і вирішує, чи вмикати інтеграцію.
  • Постачальник-дропшипер підприємця — коли підприємець натискає «Надіслати постачальнику» в замовленні, постачальник отримує email або Telegram-повідомлення з даними для відправки: товар і кількість, ПІБ, телефон і відділення отримувача, сума накладеного платежу. Без цієї дії нічого не передається; постачальника обирає й з ним домовляється сам підприємець.

Строки зберігання

Дані клієнтів зберігаються, доки підприємець користується сервісом, і стираються на його дію або на ваш запит. Для окремих категорій діють автоматичні строки:

  • тексти й номери в надісланих SMS — 12 місяців;
  • посилання на записи розмов — 90 днів; номери телефонів у журналі дзвінків — 12 місяців;
  • прочитані сповіщення — 90 днів;
  • журнал AI-запитів (питання до AI-помічників і їхні відповіді) — 12 місяців;
  • відхилений звіт про помилку (опис і скриншот екрана) — 90 днів;
  • дані входу (IP, браузер) — 30 днів після завершення сесії;
  • сформовані первинні документи (акти, рахунки) — 1095 днів: цього вимагає податкове законодавство, тож вони не стираються навіть на запит.

Ці строки — рішення, яке ще узгоджується остаточно: автоматична чистка зараз працює в режимі перевірки (перевіряє, які рядки застарілі, але поки НІЧОГО не видаляє) і буде увімкнена пізніше — сторінку оновимо в момент вмикання. Видалення на ваш запит (розділ «Ваші права» нижче) працює вже зараз, незалежно від цього режиму.

Консультант на сайті (fehu.com.ua)

Коли ви ставите питання AI-консультанту на сайті без входу в сервіс, ми зберігаємо текст питання й відповіді, IP-адресу, випадковий ідентифікатор браузера (зберігається у вашому браузері, localStorage), хеш рядка User-Agent (самого рядка не зберігаємо), сторінку, звідки ви прийшли (referrer), і мітки UTM рекламного посилання. Мета — якість відповідей: бачити, на що консультант не має відповіді, і доповнювати базу знань. Ці дані бачить лише власник платформи, строк — 12 місяців. Стерти їх можна на запит на [email protected] — вкажіть ідентифікатор браузера (ключ fehu_visitor_id у сховищі браузера) або IP-адресу.

Перегляд демо-кабінетів

Коли зареєстрований користувач відкриває демо-кабінет ніші, ми рахуємо, які розділи демо він переглянув (наприклад, «Замовлення», «Аналітика») і скільки разів, — щоб розуміти, що цікаво підприємцям, і покращувати продукт. Зберігаються лише ідентифікатор акаунта, ніша, назва розділу, лічильник і час першого й останнього перегляду — без вмісту сторінок, адрес записів і дій. Команда сервісу бачить ці дані лише агрегатно (кількість відвідувачів на розділ). Записи видаляються на ваш запит на [email protected] і стираються разом з акаунтом.

Ваші права

Ви маєте право на доступ, виправлення, видалення й перенесення своїх даних. Як це працює насправді:

  • Копія даних. Підприємець вивантажує копію ваших даних із картки контакта одним файлом — туди входять контакт, нотатки, задачі, угоди, замовлення, рахунки, платежі, накладні, записи на послуги, SMS, листування й журнал дзвінків. Кожен розділ копії — до 5000 записів; якщо розділ довший, файл позначає, що його обрізано, і повний набір можна запросити листом на [email protected].
  • Видалення. Кнопка «Стерти персональні дані» в картці контакта — див. інструкцію з видалення даних.
  • Що лишається. Суми й статуси замовлень і платежів (бухоблік), сформовані первинні документи (1095 днів за законом) і захищений від переписування журнал змін. Для персональних полів (телефон, пошта, імʼя, адреса…) з 2026 року він зберігає лише позначку «змінено», без самих значень; операційні поля (статус, сума, дата) лишаються в журналі як були — інакше історія замовлення чи угоди стала б непридатною для читання. Технічні журнали вхідних вебхуків (службові копії подій від платіжних сервісів і магазинів) очищаються автоматично через 90 днів — стирання контакта їх не зачіпає.

Для реалізації прав напишіть на [email protected]. Відповідь — протягом 30 днів.

Безпека

Дані передаються через HTTPS, облікові дані інтеграцій шифруються, доступ обмежено межами робочої області (workspace) кожного підприємця.

Контакти

З питань конфіденційності: [email protected].

In English

FEHU ("we", "the Service") is an accounting and communications platform for Ukrainian sole proprietors. This policy explains what data we collect, how we use and protect it, including for the Instagram / Meta integration.

Data we collect

  • Account data: email, name, encrypted integration credentials.
  • Instagram / Meta integration data: when a business connects its Instagram account via Facebook, we receive: direct messages and comments sent to the business; the sender's username, ID and profile picture; the connected Page and Instagram account IDs.
  • CRM data: contacts, orders, messages and other records the business creates.

How we use data

  • display Instagram conversations in the business's inbox;
  • let the business reply to its customers from the platform;
  • maintain CRM contacts, orders and tax accounting;
  • operate, secure and support the Service.

We do not sell personal data and do not use message content for advertising.

Order buyout rate

To help businesses avoid losses from parcels that are never collected, the Service keeps a platform-wide buyout rate per recipient phone number. The legal basis is legitimate interest (preventing losses from refused parcels, Art. 11 of the Law of Ukraine "On Personal Data Protection"). The phone number itself is not stored in the register: it uses a pseudonymized key (a keyed hash with a platform secret). Under that key the register keeps a record per order: a reference to the order and the business's workspace, the carrier's delivery document number, the date, the outcome (bought out or not: refused, not collected, returned) and a structured reason code from the seller, with no free text. Other businesses see counters only and a percentage — no shop names and no data of other businesses' orders. Orders from the last 3 years are counted; older ones drop out, and records of an erased contact or a closed workspace are removed immediately. The number's owner can object to this processing by writing to [email protected] — the number is then excluded from the rate; so that the exclusion survives a platform key change, the number is kept encrypted in the exclusion list.

Sub-processors and data sharing

The full register (data categories, regions, legal bases) lives in docs/security/sub-processors.md and is checked against the code automatically. Recipients today:

  • Meta Platforms — sending and receiving Instagram messages.
  • DigitalOcean — hosting and object storage, Frankfurt (FRA1), Germany.
  • Anthropic and OpenAI — AI features; per API terms this data is not used to train models.
  • Deepgram and OpenAI (fallback) — transcription of customers' voice messages; audio is sent only if the business has enabled this feature.
  • Simli (USA) — video avatar of the consultant on the landing page, only if the visitor turns video on: receives the visitor's IP address and synthesized audio of our answers (transport — LiveKit). The visitor's text, voice and image are not sent.
  • Resend — transactional e-mail. TurboSMS — SMS delivery.
  • Telegram — notifications. GitLab — bug reports. Sentry — error monitoring.
  • Google — Google sign-in. Opendatabot — Ukrainian public business registry lookup.
  • Umami Cloud — landing-page visit statistics without cookies and without personal data; an anonymised event about the start of service use is sent there too.
  • Services the business connects itself — marketplaces, couriers, banks, payment gateways, fiscalisation and telephony providers.
  • The business's dropshipping supplier — only when the business clicks "Send to supplier" on an order, the supplier receives an e-mail or Telegram message with the shipping details: item and quantity, recipient name, phone and branch, cash-on-delivery amount. Nothing is sent without that action.

Retention

Customer data is retained while the business uses the Service and is erased on request. Fixed periods apply to: SMS texts and numbers — 12 months; call recording links — 90 days and call-log numbers — 12 months; read notifications — 90 days; the AI request log — 12 months; a rejected bug report (description and screen screenshot) — 90 days; sign-in data (IP, browser) — 30 days after the session ends; issued primary accounting documents — 1095 days as required by Ukrainian tax law. These terms are still being finalised: the automatic cleanup currently runs in verification mode (it identifies stale rows but does not yet delete anything) and will be switched on later — this page will be updated when it is. Deletion on request (see Your rights below) already works today, independently of that mode.

Website consultant (fehu.com.ua)

When you ask the AI consultant on the website without signing in, we store the question and the answer, your IP address, a random browser identifier (kept in your browser's localStorage), a hash of the User-Agent string (not the string itself), the referring page and the UTM tags of the ad link. The purpose is the quality of answers: seeing what the consultant cannot answer and filling the knowledge base. Only the platform owner can see this data; it is kept for 12 months. To have it erased, write to [email protected] with your browser identifier (the fehu_visitor_id key in browser storage) or IP address.

Demo workspaces

When a registered user opens a niche demo workspace, we count which sections of the demo they viewed (e.g. "Orders", "Analytics") and how many times, to learn what matters to businesses and improve the product. Only the account ID, the niche, the section name, a counter and the time of the first and last view are stored — no page content, record addresses or actions. The team sees this data in aggregate only (visitors per section). The records are deleted on your request at [email protected] and erased together with the account.

Your rights & contact

You may access, correct, port and delete your data. The business can export a copy of your data from the contact card and erase your personal data with one action — see the data deletion instructions. Each section of the exported copy is capped at 5000 records; if a section is longer, the file flags it as truncated, and the full set can be requested by e-mail at [email protected]. Financial totals, issued primary accounting documents and the tamper-evident change log remain. For personal fields (phone, e-mail, name, address…) that log has stored only a "changed" marker since 2026, not the values; operational fields (status, amount, date) stay in the log as recorded — otherwise an order or deal history would become unreadable. Technical incoming webhook logs (service copies of events from payment providers and shops) are not touched by the erase and are purged automatically after 90 days. Contact us at [email protected]; we reply within 30 days.