Политика конфиденциальности

Защищённые запросы проходят аутентификацию и проверку прав. Важные операции регистрируются в журнале аудита.

По вопросам защиты данных свяжитесь с нашим Ответственным по защите данных по адресу . Мы ответим в течение 15 календарных дней, как того требует UAE PDPL. privacy@haviqo.com.

Мы собираем следующие категории персональных данных:

Мы не собираем биометрические данные, медицинские данные или политические или религиозные убеждения, если только вы добровольно не загрузите документы, содержащие такую информацию.

• Предоставление и эксплуатация платформы Haviqo (модули бухгалтерского учета, расчета заработной платы, налогообложения, кадрового администрирования и секретариата).
• Формирование документов для соблюдения требований: декларации VAT201, оценки CT, файлы WPS SIF, финансовая отчётность по IFRS, аудиторские отчёты FTA.
• Отправка по электронной почте напоминаний о сроках соблюдения требований (окончание срока действия визы, подача деклараций по VAT и CT, сроки WPS).
• Ведение неизменяемых журналов аудита в целях соблюдения нормативных требований и внутреннего управления.
• Обнаружение и предотвращение мошенничества, несанкционированного доступа и инцидентов безопасности.
• Улучшение платформы с помощью агрегированной анонимизированной аналитики (без индивидуального профилирования).
• Соблюдение юридических обязательств в ОАЭ (MOHRE, FTA, Министерство финансов, Центральный банк).

В соответствии с PDPL ОАЭ и GDPR мы опираемся на следующие правовые основания:

Записи сотрудников на платформе могут включать номера паспортов, удостоверения личности Emirates ID, номера виз и гражданство — категории, подпадающие под усиленную защиту в соответствии со статьей 4 PDPL ОАЭ и статьей 9 GDPR. Мы обрабатываем эти данные исключительно для целей соблюдения трудового законодательства ОАЭ (MOHRE, WPS, отслеживание виз). Доступ ограничен пользователями с ролью HR_MANAGER или OWNER в вашей организации.

Данные о зарплате и финансовые данные шифруются при хранении и передаче. Мы не продаем, не лицензируем и не передаем эти данные третьим лицам в коммерческих целях.

Мы передаём персональные данные только в следующих случаях:

• Внутри вашей организации: Пользователи, которых вы пригласили в свой тенант Haviqo, с учетом их назначенной роли и разрешений RBAC.
• Поставщики инфраструктуры: Облачная инфраструктура: Supabase (база данных PostgreSQL, аутентификация и файловое хранилище; Франкфурт, ЕС), Render (хостинг бэкенда/API; Франкфурт, ЕС) и Vercel (хостинг фронтенда; глобальная периферийная сеть). Эти поставщики выступают в качестве обработчиков данных на основании письменных соглашений.
• Доставка электронной почты: Resend (транзакционная электронная почта) для уведомлений о соблюдении требований и приглашений. Маркетинговые данные не передаются.
• Обработка с помощью ИИ (Groq Inc., США): Когда вы используете ИИ-ассистента Haviqo или функцию OCR-сканирования чеков, предоставленные вами данные (финансовые сводки, изображения документов) передаются в Groq Inc. (Соединенные Штаты) для обработки. Groq выступает в качестве субобработчика данных. В запросы к ИИ намеренно не включается PII сотрудников (имена, удостоверения личности, номера паспортов), но финансовые и коммерческие данные вашей компании могут передаваться. Groq не использует ваши данные для обучения своих моделей в соответствии с текущими Условиями обслуживания.
• Юридические обязательства: Мы будем раскрывать данные регулирующим органам ОАЭ (FTA, MOHRE, Офису по данным ОАЭ), когда этого требует закон, судебное предписание или требование регулятора.
• Передача бизнеса: В случае слияния или поглощения данные могут быть переданы при условии эквивалентной защиты и предоставления вам предварительного уведомления.

Мы не продаем персональные данные. Мы не передаем данные рекламным сетям.

Основное хранение данных находится во Франкфурте, Германия (Supabase eu-central-1 — для базы данных, аутентификации и хранения файлов; Render (Франкфурт) — для серверной части API). Клиентская часть обслуживается через глобальную периферийную сеть CDN Vercel. Некоторые субобработчики базируются в Соединенных Штатах: Resend (транзакционная электронная почта), Upstash (ограничение частоты запросов) и Groq (обработка ИИ). Эти передачи регулируются условиями обработки данных каждого поставщика. Мы работаем над заключением формальных соглашений об обработке данных (DPAs) с каждым субобработчиком, базирующимся в США.

В настоящее время данные не хранятся на территории ОАЭ. Мы рассматриваем миграцию на инфраструктуру в регионе ОАЭ по мере ее появления у наших поставщиков, в соответствии с ожиданиями PDPL относительно локализации данных.

В соответствии с Законом ОАЭ о защите персональных данных (PDPL) и, когда применимо, Общим регламентом по защите данных (GDPR), у вас есть следующие права. Чтобы реализовать любое из них, отправьте электронное письмо на с подтверждением личности. Мы ответим в течение 15 дней (PDPL ОАЭ) или 30 дней (GDPR). privacy@haviqo.com.

Мы применяем следующие технические и организационные меры:

• Защита HTTPS при передаче согласно активной конфигурации хостинг-провайдеров.
• Управляемая провайдерами защита базы данных и файлового хранилища при хранении.
• Контроль доступа на основе ролей (RBAC) с пятью ролями: OWNER, CFO, ACCOUNTANT, AUDITOR, HR_MANAGER.
• Изоляция арендаторов на уровне строк: каждый запрос к базе данных ограничен tenantId; доступ между арендаторами блокируется на уровне приложения.
• Неизменяемые журналы аудита: записи журнала и действия пользователей не могут быть изменены или удалены после записи.
• Сессии аутентификации соответствуют активной конфигурации Supabase и поддерживаемым процедурам аннулирования.
• Пароли в открытом виде не хранятся; хеширование паролей осуществляется Supabase Auth с использованием безопасного алгоритма хеширования. Haviqo не хранит и не имеет доступа к паролям в открытом виде.
• Реагирование на инциденты: актуальный план см. на нашей странице Security.

Мы проводим периодические проверки безопасности. Мы уведомим затронутых клиентов и Управление по данным ОАЭ в течение 72 часов с момента обнаружения нарушения безопасности персональных данных, создающего риск для физических лиц, как того требует Статья 14 PDPL ОАЭ.

Мы используем строго необходимые файлы куки для управления сеансом (JWT хранится в виде файла куки с флагами HttpOnly и Secure). Мы не используем рекламные файлы куки, сторонние пиксели отслеживания или поведенческое профилирование. Ограниченная собственная аналитика воронки лендинга по умолчанию отключена и регистрирует только неидентифицирующие события после получения согласия.

Платформа Haviqo — это B2B-сервис для корпоративных юридических лиц и их уполномоченных представителей. Мы сознательно не собираем персональные данные лиц младше 18 лет. Если вы считаете, что несовершеннолетний предоставил данные через нашу платформу, немедленно свяжитесь по адресу privacy@haviqo.com.

Мы уведомим вас о существенных изменениях в настоящей политике по электронной почте и с помощью видного уведомления в рамках платформы как минимум за 30 дней до вступления изменения в силу. Продолжение использования платформы после этой даты означает принятие пересмотренной политики. Текущая версия всегда доступна по адресу haviqo.com/privacy.