ПРАВОВА ІНФОРМАЦІЯ
Політика конфіденційності
Набуває чинності: 26 жовтня 2026 р.
Ця політика описує, які дані обробляє Nythrex — сайт nythrex.com і застосунок app.nythrex.com, — звідки вони беруться, де зберігаються, кому передаються і як їх видалити. Вона написана за тим, що продукт робить насправді, а не за шаблоном.
1. Хто ми
Сервіс Nythrex надає ФОП Кучеренко Кирило Русланович, вул. Під Голоском, 24, м. Львів, Україна (далі — «Nythrex», «ми»).
Щодо даних вашого акаунта ми — контролер. Щодо даних, які надходять із джерел, підключених до робочого простору (репозиторії, задачі, хмарні рахунки), рішення, що підключати, ухвалюють власник і адміністратори простору; ці дані ми обробляємо від імені власника простору й лише для того, щоб надавати йому сервіс.
Звернення щодо персональних даних: cooperation@nythrex.com. Особа, відповідальна за захист даних: не призначено.
2. Коротко
- Доступ до джерел — лише на читання. Nythrex нічого не змінює й не видаляє у ваших репозиторіях, трекерах і хмарних акаунтах.
- Код і промпти не зберігаються. Ні вміст файлів, ні тексти запитів до AI та відповідей, ні тексти коментарів і рев’ю.
- Токени доступу зашифровано. Ключі шифрування захищено ключем в Azure Key Vault.
- Ми не продаємо дані, не показуємо рекламу й не навчаємо на ваших даних моделі.
- Необов’язкові аналітика й реклама потребують вашої згоди. Календар Cal.com завантажується лише після натискання «Замовити демо».
- Дані застосунку зберігаються в Microsoft Azure, регіон Poland Central (ЄС). Бронювання демо обробляє Cal.com.
3. Бронювання демо
Після натискання «Замовити демо» браузер завантажує вбудовану сторінку Cal.com. До цього натискання сайт не завантажує календар і не надсилає запитів до Cal.com.
Cal.com отримує технічні дані з’єднання, зокрема IP-адресу, а під час бронювання — введені вами ім’я, email, обраний час та відповіді на запитання форми. Дані бронювання доступні організатору демо й обробляються Cal.com та підключеними сервісами календаря й відеозв’язку. Форма не надсилає ці дані до бази застосунку Nythrex.
Вбудована сторінка може використовувати власні cookies та сховище браузера. Умови обробки даних сервісом описані в політиці конфіденційності Cal.com.
4. Ваш акаунт
- Реєстрація: email і пароль (через ASP.NET Core Identity; зберігається лише хеш пароля), позначка, чи підтверджено email, лічильник невдалих входів для тимчасового блокування.
- Онбординг: три відповіді — якими інструментами ви користуєтеся, на чому зосереджені й звідки дізналися про Nythrex.
- Робочий простір: назва, учасники та їхні ролі (власник, адміністратор, учасник), запрошення (email запрошеного й стан запрошення), проєкти, команди, налаштування дайджесту.
- Вартість часу (необов’язково): погодинні ставки, які вводять власник або адміністратори. Їх бачать лише вони; учасник бачить лише свою.
5. Підключені джерела
Кожне джерело підключається окремою авторизацією OAuth (для GitHub — встановленням GitHub App), яку ініціює власник або адміністратор простору. Далі Nythrex за розкладом читає записи нижче через офіційні API провайдера.
| Джерело | Що читаємо | Доступ |
|---|---|---|
| GitHub (GitHub App) | репозиторії; pull requests (назва, логін автора, гілки, кількість змінених рядків і файлів, дати); рев’ю (логін рецензента, стан, час — без тексту); коміти (SHA, логін, ім’я та email автора, час — без повідомлення); запуски workflow і jobs; деплої; події webhook про ці записи | дозволи GitHub App лише на читання, які видно під час встановлення |
| GitLab | проєкти; merge requests; коміти (SHA, ім’я та email автора, перший рядок повідомлення, час); pipelines і jobs | read_api, read_user |
| Bitbucket | репозиторії; pull requests; коміти (ім’я та email автора, перший рядок повідомлення, час); pipelines | account, repository, pullrequest, pipeline — права на читання |
| Azure DevOps | репозиторії; pull requests; коміти (ім’я та email автора, перший рядок повідомлення, час); запуски pipelines; робочі елементи Boards (назва, тип, стан, дати, виконавець і автор: ім’я та унікальне ім’я акаунта, зазвичай email) | делегований доступ user_impersonation |
| Microsoft Azure | підписки; щоденні витрати за групами ресурсів і сервісами (Cost Management); рекомендації Azure Advisor щодо вартості | делегований доступ user_impersonation до Azure Resource Manager |
| Jira | задачі (ключ, проєкт, тип, назва, стан, дати); виконавець і автор: account id, відображуване ім’я, email (якщо Atlassian його показує); зв’язки задач із кодом | read:jira-work, read:jira-user, offline_access |
| Trello | картки (назва, дошка, список, дати, стан); перший учасник картки: ідентифікатор та ім’я | read:board:trello, read:member:trello, offline_access |
| Linear | задачі (назва, стан, дати); виконавець і автор: ідентифікатор, ім’я, email | read |
| Google Cloud | email Google-акаунта, яким підключено джерело; рядки експорту білінгу (gcp_billing_export_v1_*) з BigQuery — витрати за проєктами й сервісами | openid, email, bigquery |
| GitHub Copilot | щоденні підсумки використання Copilot в організаціях; ваше особисте використання й оплата Copilot за моделями (логін GitHub) | дозволи GitHub App лише на читання |
Історія трекерів і snapshots. Для Jira, Azure Boards, Trello та Linear також зберігаємо доступні переходи між станами, пріоритет, оцінки з одиницями, мітки й описи задач як звичайний текст до 20 000 символів. Перше спостереження зберігається як snapshot; історично реконструйовані поля позначаються окремо. Вкладення не завантажуємо.
Історичні датасети та текстові представлення. Автоматичний сервіс готує версії датасетів з різних просторів для експериментів з моделями, окремо для синтетичних і реальних даних. Вони можуть містити назви й описи задач, структурні ознаки, тривалості та розрахункову вартість. Локальні моделі в нашому середовищі Azure створюють числові текстові представлення (embeddings) для пошуку схожих задач і навчальних ознак. Embeddings та їхні скорочені представлення є похідними персональними даними, а не анонімними. Результати пошуку залишаються в межах вашого простору; адмінка показує лише агрегати. Ознаки людей використовують непрозорі ідентифікатори в межах простору, без окремих полів імен та email. Вміст датасетів і джерел не передається до зовнішніх embedding або LLM API. Відключення джерела видаляє його embeddings і рядки датасетів відповідного простору з усіх версій; видалення простору видаляє обидва види даних. Звітування про закриті акаунти також очищає відповідні представлення та блокує їх повторне створення. Уражені версії датасетів і моделей позначаються як purged.
Лише читання. Де провайдер має дозволи лише на читання, ми просимо тільки їх. Microsoft (Azure DevOps, Azure) і Google (BigQuery) не мають вужчого дозволу для потрібних запитів: доступ діє в межах прав користувача, який підключив джерело, а Nythrex робить лише запити на читання. У Google Cloud Nythrex переглядає списки проєктів, наборів даних і таблиць і виконує запити SELECT до таблиці експорту білінгу; BigQuery може тарифікувати ці запити у вашому проєкті.
Токени. Токени доступу й оновлення OAuth зберігаються в базі даних зашифрованими (ASP.NET Core Data Protection); ключі шифрування захищено ключем в Azure Key Vault. Клієнтські секрети наших застосунків у провайдерів зберігаються в Azure Key Vault і читаються керованою ідентичністю застосунку.
Відключення. Коли власник або адміністратор відключає джерело в Nythrex, видаляються токени й усі записи, отримані з цього джерела. Відкликати сам дозвіл у провайдера (наприклад, видалити GitHub App або застосунок в Atlassian) можна в налаштуваннях провайдера.
6. AI-інструменти розробників
Claude Code і Codex підключаються командою на комп’ютері розробника, яку підтверджує учасник простору. Після цього інструменти надсилають у Nythrex телеметрію:
- час, модель і кількість токенів кожного запиту, а також вартість, яку оцінює сам інструмент;
- як запит дійшов до моделі: спосіб входу в інструмент (акаунт ChatGPT чи Claude, API-ключ) і назву постачальника моделі — без ключів, токенів і облікових даних;
- ідентифікатор сесії, email і ідентифікатор акаунта в інструменті, організацію;
- зі статус-лінії Claude Code (лише для акаунтів Pro і Max), не частіше ніж раз на хвилину: яку частку п’ятигодинного й тижневого ліміту використано і коли він скинеться. З цього Nythrex визначає план підписки й розраховує його плату;
- адресу репозиторію (без облікових даних), гілку й commit, у яких ішла сесія; версію інструмента й тип термінала.
Не зберігаються: тексти запитів і відповідей, код, вміст і назви файлів, параметри інструментів. Codex додає до телеметрії аргументи й фрагменти виводу інструментів — Nythrex відкидає їх на вході, не зберігаючи.
7. Люди в даних
В одному просторі одна людина з’являється під різними іменами: логін GitHub, email у комітах, account id у Jira, акаунт AI-інструмента. Nythrex зводить ці ідентифікатори в один запис особи в межах простору — автоматично за однозначними правилами (наприклад, однаковий email) або вручну, коли це робить адміністратор. Між просторами записи осіб не поєднуються.
Більшість людей у цих даних не мають акаунта в Nythrex. На основі часу подій продукт оцінює витрачений час (оцінка за проміжками активності, а не облік робочих годин). Nythrex не порівнює людей між собою й не оцінює їхньої продуктивності; дані колег за іменами бачать лише власник та адміністратори простору.
8. Звітність Atlassian про персональні дані
Для Jira Nythrex виконує вимоги Atlassian щодо персональних даних (Personal Data Reporting API):
- кожні 7 днів Nythrex надсилає Atlassian account id людей, чиї імена й адреси він зберігає, і час, коли ці дані було отримано;
- якщо Atlassian відповідає, що акаунт закрито, Nythrex стирає ім’я та email цієї людини в усіх просторах, а запис особи перейменовує на «Закритий акаунт Atlassian»;
- якщо дані акаунта змінилися, Nythrex читає їх заново й замінює збережені копії;
- службові акаунти застосунків (наприклад, автоматизація Jira) не є людьми й не звітуються.
9. Чого ми не робимо
- не читаємо й не зберігаємо вміст коду, diffs і файлів;
- не зберігаємо тексти коментарів, рев’ю та описів pull requests; описи задач і snapshots першого спостереження зберігаємо, як описано вище;
- не змінюємо нічого в підключених джерелах;
- не продаємо ваші дані й не передаємо записи підключених просторів рекламним платформам;
- не використовуємо ваші дані для навчання моделей;
- не завантажуємо необов’язкові Google-теги до згоди й не надсилаємо в аналітику вміст форм, email, назви проєктів чи записи джерел.
10. Навіщо й на якій підставі
- Надавати сервіс — акаунт, простір, синхронізація джерел, витрати, поради: виконання договору з вами (ст. 6(1)(b) GDPR).
- Обробляти дані людей із підключених джерел — від імені власника простору, на підставі, яку визначає він як контролер (зазвичай законний інтерес в аналізі власної розробки).
- Захищати сервіс — блокування після невдалих входів, обмеження частоти запитів, захист від CSRF: законний інтерес (ст. 6(1)(f)).
- Надсилати листи — підтвердження email і запрошення: виконання договору; щотижневий дайджест порад: законний інтерес, з відпискою в один клік у кожному листі.
- Необов’язкова аналітика й реклама — лише за вашою згодою (ст. 6(1)(a) GDPR), окремо для кожної мети; її можна відкликати будь-коли.
- Виконувати вимоги провайдерів — звітність Atlassian про персональні дані.
11. Де зберігаються дані й хто їх обробляє
Дані застосунку зберігаються в Microsoft Azure, регіон Poland Central. Ми користуємося такими сервісами Microsoft:
- Azure App Service — застосунок і сайт.
- Azure SQL Database — база даних.
- Azure Key Vault — ключі шифрування й клієнтські секрети інтеграцій.
- Azure Functions — окремий застосунок, який раз на тиждень надсилає дайджест порад.
- Azure Communication Services (розташування даних — Європа) — надсилання листів: підтвердження email, запрошення, дайджест. Журнал доставки зберігає факт відправлення, але не зміст листа.
- Azure AI Foundry (Azure OpenAI) — необов’язкове формулювання порад простою мовою. Моделі передаються лише факти однієї поради й опис правила: без записів, коду й адрес, а імена людей замінено заповнювачами. Модель розгорнуто як Global Standard, тож Microsoft може обробити запит в іншому регіоні Azure. Microsoft не використовує ці дані для навчання моделей.
Коли необов’язкове вимірювання налаштоване й ви погодились, Google обробляє відомості про браузер і пристрій, приблизне місцезнаходження за з’єднанням, псевдонімні cookie-ідентифікатори, категорії сторінок, дії та коди кампаній. Ми не надсилаємо вміст форм, ідентифікатори акаунтів або записи підключених просторів. Google може обробляти дані за межами ЄЕЗ відповідно до застосовних умов обробки й міжнародної передачі даних. Див. політику конфіденційності Google. Строк зберігання подій Google Analytics визначає налаштована property; щодо доступу чи видалення даних звертайтеся до нас.
Запити до API підключених провайдерів (GitHub, GitLab, Atlassian, Linear, Microsoft, Google) ідуть від нашого сервера на їхні адреси; ці провайдери обробляють дані за власними політиками. Бронювання демо окремо обробляють Cal.com та підключені сервіси календаря й відеозв’язку, як описано вище.
12. Скільки ми зберігаємо
- дані акаунта й простору — доки існує акаунт або простір;
- записи з джерела — доки джерело підключене; після відключення вони видаляються;
- сесія входу — 12 годин;
- дані закритих акаунтів Atlassian — стираються протягом наступного 7-денного циклу звітності;
- резервні копії бази даних — до закінчення строку зберігання резервних копій Azure SQL, після чого їх видаляє Azure.
Щоб видалити акаунт або весь простір із даними, напишіть на cooperation@nythrex.com. Ми видалимо дані протягом одного місяця й підтвердимо це.
13. Ваші права
Ви маєте право на доступ до своїх даних, їх виправлення, видалення, обмеження обробки, перенесення та заперечення проти обробки на підставі законного інтересу. Щоб скористатися правом, напишіть на cooperation@nythrex.com — відповімо протягом одного місяця.
Якщо ваші дані потрапили в Nythrex із джерела, підключеного вашим роботодавцем чи командою (наприклад, ви автор комітів або виконавець задач у Jira), найшвидше звернутися до власника відповідного простору. Ви також можете написати нам — ми передамо запит власнику простору й допоможемо його виконати.
Ви можете подати скаргу до наглядового органу: Уповноважений Верховної Ради України з прав людини (застосовне право — право України); якщо ви перебуваєте в ЄС — також орган із захисту даних вашої країни.
15. Безпека
- увесь трафік — через HTTPS із HSTS;
- паролі зберігаються лише як хеші; після 5 невдалих спроб вхід блокується на 15 хвилин;
- токени провайдерів зашифровано, ключі захищено в Azure Key Vault;
- сервіси Azure звертаються один до одного через керовані ідентичності, без збережених паролів;
- доступ до даних простору обмежено ролями, а дані різних просторів ізольовано.
16. Зміни й контакти
Якщо ми змінимо, які дані обробляємо або кому їх передаємо, ми оновимо цю сторінку й дату набрання чинності вгорі.
Питання щодо цієї політики й ваших даних: cooperation@nythrex.com.
ФОП Кучеренко Кирило Русланович, вул. Під Голоском, 24, м. Львів, Україна.