Мы очень серьезно относимся к защите ваших персональных данных. Ниже мы подробно информируем вас о том, как обрабатываются ваши данные при использовании платформы Solobuch в соответствии с Общим регламентом по защите данных (GDPR/DSGVO). Редакция от 27 сентября 2026 г.
1. Ответственное лицо
Администратором, ответственным за обработку персональных данных на этом веб-сайте в соответствии со ст. 4 п. 7 GDPR, является: mcarrow software UG (haftungsbeschränkt) Bornstraße 19, 58762 Altena, Германия E-Mail: [email protected] Телефон: +49 160 91470380
2. Хостинг и инфраструктура (Hetzner)
Наша платформа размещается на серверах компании Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Германия). Серверы физически расположены в Германии (ЕС). Использование Hetzner осуществляется на основании ст. 6 п. 1 лит. f GDPR (легитимный интерес в безопасном, быстром и эффективном предоставлении нашего онлайн-сервиса). Мы заключили с Hetzner Договор об обработке данных (DPA) в соответствии со ст. 28 GDPR, который гарантирует, что Hetzner обрабатывает данные наших пользователей исключительно по нашим инструкциям и в соответствии с GDPR.
3. Серверные логи, безопасность и защита от злоупотреблений
При каждом обращении к сайту наш веб-сервер автоматически обрабатывает технические данные: IP-адрес, дату и время, запрошенный адрес (URL), HTTP-статус, объём переданных данных, реферер и идентификатор браузера (User-Agent). Приложение также автоматически проверяет запросы на атаки и ботов (Web Application Firewall) и ограничивает число запросов с одного IP-адреса или аккаунта (rate limiting). Для этого мы храним счётчики с IP-адресом или идентификатором пользователя в хранилище Redis на наших серверах в Германии; они автоматически удаляются по истечении временного окна (от 1 до 10 минут в зависимости от функции). Серверные логи удаляются через 14 дней, если они не нужны дольше для расследования конкретного инцидента безопасности. Правовая основа — наш легитимный интерес в безопасной и стабильной работе и защите от атак (ст. 6 п. 1 лит. f GDPR).
4. Регистрация и вход (Google)
Вход в Solobuch выполняется через ваш аккаунт Google (Google OAuth; Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ирландия). Google передаёт нам ваш адрес электронной почты, имя и фото профиля, которые мы сохраняем в нашей базе данных. На время входа мы устанавливаем сессионный cookie (раздел 10); сессии истекают через 30 дней. Правовая основа — ст. 6 п. 1 лит. b GDPR (исполнение договора об использовании). Google обрабатывает данные в том числе в США; Google LLC сертифицирована в рамках EU-US Data Privacy Framework (DPF) (решение об адекватности, ст. 45 GDPR). Данные аккаунта хранятся, пока существует аккаунт. Вы можете в любой момент самостоятельно удалить аккаунт в настройках профиля в разделе «Удалить аккаунт». При этом аккаунт и все связанные данные (счета, клиенты, расходы, чеки, настройки) удаляются сразу, а активная подписка отменяется. Счета, выставленные вам за подписку, мы храним 8 или 10 лет в силу требований закона (§ 147 AO, § 257 HGB; ст. 6 п. 1 лит. c GDPR).
5. Обработка данных при выставлении счетов
Когда вы создаете счета на нашей платформе, мы обрабатываем введенные вами данные (данные отправителя, данные клиента, суммы счетов, налоговые номера, описания товаров/услуг, банковские реквизиты). Эти данные необходимы для выполнения наших договорных обязательств (ст. 6 п. 1 лит. b GDPR), а также для соблюдения законодательных требований Германии (GoBD) и налогового законодательства по хранению документов (ст. 6 п. 1 лит. c GDPR). Документы счетов и встроенные XML-метаданные (ZUGFeRD/XRechnung) надежно хранятся в нашей базе данных и объектном хранилище (MinIO) на серверах в ЕС.
6. Доступ для налогового консультанта и публичные ссылки
Вы можете дать налоговому консультанту доступ на чтение к счетам, расходам, чекам и экспорту DATEV через персональную ссылку, а также создавать публичные ссылки на счета или напоминания об оплате. Ссылки содержат случайный токен, который невозможно подобрать, и не индексируются поисковыми системами. Любой, кто знает ссылку, может просматривать открытые данные. Для каждого доступа мы храним токен, заданное вами название, необязательную дату окончания и статус. Ссылки можно отозвать в любой момент в настройках; не позднее удаления аккаунта они удаляются. Правовая основа — ст. 6 п. 1 лит. b GDPR.
7. Обработка платежей через Stripe
Для обработки платежей и подписок мы используем платежный сервис Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Дублин, Ирландия). При оформлении подписки ваши платежные данные (например, данные кредитной карты, адрес для выставления счетов) передаются напрямую в Stripe. Мы не храним полные данные кредитных карт на наших серверах. Передача данных осуществляется на основании ст. 6 п. 1 лит. b GDPR (исполнение договора). Поскольку Stripe Inc. обрабатывает данные в США, эта компания сертифицирована в соответствии с соглашением EU-US Data Privacy Framework (DPF) для обеспечения надлежащего уровня защиты данных. Более подробную информацию вы можете найти в Политике конфиденциальности Stripe (https://stripe.com/privacy).
8. Отправка E-Mail через Resend
Для отправки системных писем (например, уведомления об аккаунте, подписке и налоговых сроках) и для дополнительной прямой отправки счетов вашим клиентам мы используем сервис Resend (Resend Labs Inc., 315 Montgomery St, Сан-Франциско, CA 94104, США). При этом адреса электронной почты и данные счетов передаются в Resend. Использование сервиса осуществляется для исполнения договора (ст. 6 п. 1 лит. b GDPR) и на основании нашего легитимного интереса в надежной доставке почты (ст. 6 п. 1 лит. f GDPR). Компания Resend Labs Inc. сертифицирована в соответствии с соглашением EU-US Data Privacy Framework (DPF), и мы заключили Стандартные договорные условия (SCC) для обеспечения надлежащего уровня защиты данных.
9. Анализ ошибок через Sentry
Для улучшения стабильности и устранения ошибок в работе приложения мы используем Sentry — сервис, предоставляемый Functional Software Inc. (Sentry, 45 Fremont Street, Сан-Франциско, CA 94105, США). При возникновении ошибки Sentry передаёт технические данные: тип браузера, операционную систему, время и текст ошибки, открытый URL и, при наличии, ваш внутренний идентификатор пользователя. Кроме того, примерно для 10 % просмотров страниц собираются данные о производительности (например, время загрузки). IP-адреса, cookies, имена и адреса электронной почты удаляются перед передачей; таким образом, данные псевдонимизированы, но не анонимизированы. Компания Functional Software Inc. (Sentry) сертифицирована в соответствии с EU-US Data Privacy Framework (DPF). Правовой основой является наш легитимный интерес в стабильной и безошибочной работе сервиса (ст. 6 п. 1 лит. f GDPR).
10. Cookies, локальное хранилище и управление согласием
Мы используем cookies и аналогичные технологии (локальное хранилище браузера). Технически необходимое хранение происходит без согласия (§ 25 абз. 2 № 2 TDDDG), всё остальное — только с вашего согласия (§ 25 абз. 1 TDDDG). Технически необходимые: - authjs.session-token и другие cookies authjs.*: вход и защита от злоупотреблений (CSRF), до 30 дней - cookie-consent (локальное хранилище): ваш выбор cookie, 12 месяцев - referred_by_code: только при переходе по партнёрской ссылке, чтобы связать регистрацию с партнёром (действует последняя открытая партнёрская ссылка), 60 дней - affiliate_invite_token, promo_invite_token: только при переходе по пригласительной или промо-ссылке, чтобы связать регистрацию с приглашением или предложением, 30 дней - Локальная база данных браузера (IndexedDB): черновики и офлайн-данные приложения на вашем устройстве Только с согласия: - Статистика: Google Analytics 4 и Google Tag Manager (раздел 11) - Маркетинг: Meta Pixel и рекламные сигналы Google (раздел 12) После регистрации мы на 2 минуты устанавливаем cookie just_registered. Он используется только при вашем согласии на «Статистику», чтобы учесть завершённую регистрацию. Ваш выбор мы также сохраняем в журнале согласий, чтобы иметь возможность подтвердить согласие (ст. 7 п. 1, ст. 6 п. 1 лит. c GDPR). Журнал содержит только случайный идентификатор, версию баннера, ваш выбор и время, без IP-адреса и без идентификатора пользователя. Записи удаляются через 3 года. Изменить или отозвать выбор можно в любой момент через «Настройки cookie» внизу сайта.
11. Веб-аналитика: Google Analytics 4 и Google Tag Manager
С вашего согласия на «Статистику» мы используем Google Analytics 4 (GA4) и Google Tag Manager (GTM) компании Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ирландия. До согласия эти сервисы не загружаются и данные в Google не передаются. GA4 собирает псевдонимные данные об использовании: просмотренные страницы, время на сайте, примерный регион, данные об устройстве и браузере, а также события (например, завершённая регистрация) и устанавливает для этого cookies (_ga, _ga_*, до 2 лет). GA4 не сохраняет IP-адреса. Google обрабатывает данные в том числе в США; Google LLC сертифицирована в рамках EU-US Data Privacy Framework (ст. 45 GDPR). Аналитические данные удаляются не позднее чем через 14 месяцев. Правовая основа — ваше согласие (ст. 6 п. 1 лит. a GDPR, § 25 абз. 1 TDDDG). Вы можете в любой момент отозвать его на будущее через «Настройки cookie» внизу сайта. Политика конфиденциальности Google: https://policies.google.com/privacy
12. Meta Pixel и рекламные сигналы Google (маркетинг)
С вашего согласия на «Маркетинг» мы используем Meta Pixel компании Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ирландия. Пиксель фиксирует, какие страницы вы открываете и какие действия выполняете (например, регистрацию), и устанавливает для этого cookies (_fbp, до 90 дней). Meta может связать эти данные с вашим аккаунтом Facebook или Instagram и использовать их в собственных целях. За сбор этих данных на нашем сайте и их передачу в Meta мы несём совместную ответственность с Meta (ст. 26 GDPR). Соглашение доступно по адресу https://www.facebook.com/legal/controller_addendum. Согласно ему, Meta отвечает за исполнение прав субъектов данных в отношении данных, хранящихся у Meta; вы также можете обратиться к нам. Дальнейшая обработка в Meta происходит под исключительной ответственностью Meta. Meta обрабатывает данные в том числе в США; Meta Platforms Inc. сертифицирована в рамках EU-US Data Privacy Framework. С тем же согласием мы через Google Consent Mode разрешаем передачу рекламных сигналов в Google (ad_storage, ad_user_data, ad_personalization), чтобы Google мог измерять эффективность рекламы и персонализировать её. Правовая основа — ваше согласие (ст. 6 п. 1 лит. a GDPR, § 25 абз. 1 TDDDG), которое можно отозвать в любой момент через «Настройки cookie». Политика конфиденциальности Meta: https://www.facebook.com/privacy/policy
13. Push-уведомления
Если вы включаете в приложении push-уведомления (например, о налоговых сроках), браузер создаёт push-адрес (endpoint) с ключами, который мы сохраняем вместе с вашим идентификатором пользователя. Уведомления доставляются в зашифрованном виде через push-сервис производителя браузера (например, Google Firebase Cloud Messaging, Apple Push Notification Service, Mozilla Push Service). Эти провайдеры обрабатывают ваш IP-адрес и время доставки, в том числе в США. Правовая основа — ваше согласие (ст. 6 п. 1 лит. a GDPR, § 25 абз. 1 TDDDG). Вы можете отозвать его, отключив уведомления в приложении или в настройках браузера; push-адрес тогда удаляется, не позднее удаления аккаунта.
14. Партнёрская программа, пригласительные и промо-ссылки
Если вы подаёте заявку на участие в партнёрской программе, мы обрабатываем ваши данные (имя, телефон, адрес электронной почты, название компании, статус предпринимателя, Steuernummer или USt-IdNr. (хранится в зашифрованном виде), страна, сведения о каналах продвижения) для рассмотрения заявки и связи с вами (ст. 6 п. 1 лит. b и f GDPR). Заявка сохраняется в привязке к вашему аккаунту и дополнительно поступает к нам по электронной почте через Resend (раздел 8). Для партнёров мы храним партнёрский код, баланс комиссии, начисления и реквизиты для выплат (IBAN или адрес PayPal, в зашифрованном виде) для расчётов (ст. 6 п. 1 лит. b GDPR). Бухгалтерские документы и подтверждения выплат мы храним согласно § 147 AO и § 257 HGB (ст. 6 п. 1 лит. c GDPR). Если кто-то регистрируется по партнёрской ссылке, мы сохраняем связь с партнёрским кодом и рассчитываем комиссию из платежей за подписку. В кабинете партнёр видит только частично скрытый адрес электронной почты (например, a***[email protected]) и дату регистрации, без данных счетов и аккаунта. Если вы переходите по пригласительной или промо-ссылке, мы сохраняем код в cookie (раздел 10) и после регистрации привязываем его к вашему аккаунту, чтобы предоставить предложение (ст. 6 п. 1 лит. b GDPR).
15. Форма обратной связи
Если вы пишете нам через форму обратной связи, мы обрабатываем ваше имя, адрес электронной почты, выбранную категорию, оценку и сообщение, чтобы ответить на запрос (ст. 6 п. 1 лит. b или f GDPR). Сообщение приходит к нам по электронной почте через Resend (раздел 8) и не сохраняется в нашей базе данных. Для защиты от спама мы автоматически проверяем запросы и ограничиваем их число с одного IP-адреса (раздел 3). Мы удаляем сообщение после окончательной обработки запроса, если нет обязанностей хранения по закону.
16. Знак страхования ответственности exali AG
В разделе Impressum мы показываем знак страхования exali AG как подтверждение нашей профессиональной страховки ответственности (§ 2 абз. 1 № 11 DL-InfoV). Изображение загружается с нашего собственного сервера; при открытии страницы данные в exali AG не передаются. Только при нажатии на знак вы покидаете наш сайт и переходите на сайт exali AG, где действует политика конфиденциальности exali AG (https://www.exali.de/Ueber-exali/Rechtliches/Datenschutzerklaerung,100401.php).
17. Право на возражение по ст. 21 GDPR
Если мы обрабатываем персональные данные на основании легитимных интересов (ст. 6 п. 1 лит. f GDPR), вы вправе в любой момент возразить против такой обработки по причинам, связанным с вашей особой ситуацией. После этого мы прекращаем обработку, если не можем доказать веские законные основания, которые перевешивают ваши интересы, права и свободы, или если обработка не служит установлению, осуществлению или защите правовых требований. Возражение можно направить в свободной форме, например по электронной почте на [email protected].
18. Ваши права как субъекта данных
В соответствии с GDPR вы имеете следующие права: - Право на доступ к информации (ст. 15) - Право на исправление (ст. 16) - Право на удаление ('право быть забытым', ст. 17) - Право на ограничение обработки (ст. 18) - Право на перенос данных (ст. 20) - Право на возражение (ст. 21) - Право отозвать согласие (ст. 7 п. 3) - Право подать жалобу в надзорный орган (ст. 77) Компетентный надзорный орган: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf, Германия. Для реализации этих прав вы можете в любое время связаться с нами по электронной почте [email protected]. Предоставление данных не требуется ни законом, ни договором. Однако без адреса электронной почты и имени (через аккаунт Google) мы не можем создать для вас аккаунт. Автоматизированное принятие решений, включая профилирование в смысле ст. 22 GDPR, не осуществляется. Уполномоченный по защите данных не назначен, так как условия § 38 BDSG не выполняются.
19. Уведомления через Telegram
Если вы включаете напоминания о налоговых сроках через Telegram, вы подключаете свой чат Telegram к Solobuch. Для этого мы сохраняем ID чата (в зашифрованном виде) и время подключения; ваше имя пользователя и имя в Telegram мы не сохраняем. Через нашего Telegram-бота мы отправляем вам сообщения, содержащие название вашего профиля, вид налогового срока, период, дату срока и ссылку на приложение; налоговые номера, USt-IdNr., суммы, а также данные счетов и клиентов не передаются. Получатель – Telegram (Telegram Messenger Inc. или Telegram FZ-LLC, Дубай, Объединённые Арабские Эмираты). Обработка происходит в том числе за пределами ЕС/ЕЭП; для такой передачи нет решения об адекватности, а сообщения в чатах с ботами не защищены сквозным шифрованием. Правовое основание – ваше явное согласие (ст. 6(1)(a), ст. 49(1)(a) GDPR). Вы можете в любой момент отозвать согласие на будущее, отключив подключение в настройках или командой /stop в чате; ID чата при этом удаляется. Журналы доставки (время, канал, статус – без содержимого сообщений) мы храним три года для подтверждения работы функции (ст. 6(1)(f) GDPR, сроки давности) либо до удаления вашего аккаунта.