Політика конфіденційності

1. Хто ми

QA Spider («ми») надає послуги автоматизованого тестування програмного забезпечення для вебзастосунків. Ця політика охоплює вебсайт QA Spider та дашборд QA Spider. З будь-якого питання про конфіденційність або щоб скористатися описаним нижче правом, пишіть на [email protected].

2. Що ми збираємо

Ми збираємо лише те, що потрібно для роботи сервісу. Зокрема:

• Дані акаунта — ваше ім’я, адреса електронної пошти та хешований пароль (ми ніколи не зберігаємо ваш пароль у читабельному вигляді). Якщо ви входите через Google або GitHub, ми натомість отримуємо ваше ім’я, пошту й аватар від цього провайдера.
• Дані робочого простору — назва вашої організації, учасники команди та їхні ролі, а також запрошення, які ви надсилаєте.
• Конфігурація проєкту — URL застосунків, які ви просите нас тестувати, середовища, які ви визначаєте, і будь-які облікові дані тестових акаунтів, які ви вирішите зберегти, щоб наші тести могли входити.
• Облікові дані інтеграцій — API-токени або URL вебхуків, які ви надаєте, щоб підключити баг-трекер чи чат-інструмент.
• Доступ до Google Search Console — лише якщо ви вирішите її підключити: токен доступу лише для читання до вашого акаунта Google (зберігається в зашифрованому вигляді), адреса пошти цього акаунта та ресурс Search Console, який ви оберете. Далі ми читаємо пошукову ефективність цього ресурсу (запити, сторінки, кліки, покази та середню позицію), які з його сторінок Google проіндексував і які sitemap для нього подано, щоб показати це вам на дашборді. Ми також читаємо заголовки, підзаголовки, текст і посилання до 30 ваших власних публічних сторінок, щоб пропонувати покращення та внутрішні посилання. У розділі Boost SEO «Чому сторінки не індексуються» ми також перевіряємо до приблизно 100 адрес із вашого sitemap і внутрішніх посилань (їхній HTTP-статус, редиректи, теги noindex і тег canonical) та читаємо ваш robots.txt; це публічні файли й сторінки на вашому власному сайті. Коли ви натискаєте «Перевірити через Google», ми запитуємо в Google URL Inspection про до 25 таких адрес одночасно й показуємо вам його відповіді. Ми не зберігаємо копії нічого з цього: це отримується, коли ви відкриваєте сторінку чи натискаєте кнопку, і тримається лише в пам’яті (кілька хвилин, до години для перевірки ваших власних сторінок і до 24 годин для статусу індексації, який повідомляє Google), а перезапуск сервера це очищає. Результати не передаються жодному іншому сервісу. Єдиний виняток — Boost SEO: коли ви натискаєте «Я це зробив» біля пропозиції, ми зберігаємо кліки, покази та середню позицію цієї сторінки (і пошуковий запит, якщо пропозиція стосується його) разом із датами, які вони охоплюють, щоб потім показати вам зміну.
• Ідеї тем, брифи та оновлення для Bing і Yandex у Boost SEO — лише якщо ви ними користуєтеся. Ми зберігаємо ідеї ключових слів, повернуті для вашого сайту, час кожного запиту (який також враховується у вашому місячному ліміті) і контент-брифи, які ви замовляєте, доки ви не попросите видалити їх або не закриєте акаунт. Нічого з цього не є даними Search Console: ключові слова беруться зі слів на ваших власних публічних сторінках і від сервісу даних про ключові слова. Ключ для оновлень Bing і Yandex не зберігається; він обчислюється з адреси вашого сайту щоразу, коли потрібен.
• Щотижневий аудит і щоденне стеження за сайтом — лише на тарифах, що їх містять, і лише якщо ви їх ввімкнете (щоденне стеження йде за сайтом щотижневого аудиту або вашим останнім аудитом). Ми зберігаємо адресу сайту, час останньої перевірки та її результат (чи відповіла головна сторінка, чи закрита вона від Google, коли спливає її сертифікат), щоб надіслати вам лист, коли щось зміниться. Кожна щоденна перевірка — це кілька запитів до вашої власної публічної головної сторінки та robots.txt.
• Результати тестів — підсумки запусків, часові показники, результати по кроках, вивід помилок і скриншоти, зроблені зі сторінок, які ми тестували, а також будь-які звіти про баги, згенеровані на їх основі.
• Дані про використання та оплату — ваш тариф, баланс токенів і журнал подій споживання (який запуск чи генерація що використали). Якщо ви платите за Solo чи Pro, ми також зберігаємо ідентифікатори клієнта й підписки Stripe для вашого простору та статус підписки (активна, прострочена або скасовується на певну дату). Ми ніколи не бачимо й не зберігаємо номер вашої картки: ви вводите його на власній сторінці оплати Stripe.
• Звернення через контактну форму — ім’я, пошта та повідомлення, які ви надсилаєте через нашу контактну форму.
• Запити на сканування — якщо ви просите нас просканувати ваш власний сайт з нашої головної сторінки, адреса, яку ви нам даєте, і сайт, про який ви питали, щоб ми могли надіслати вам звіт і відповісти, якщо ви відповісте. Див. розділ 6.
• Безкоштовні інструменти — адреса, яку ви вводите в одну з безкоштовних перевірок на /tools. Ми читаємо публічні сторінки цього сайту, robots.txt, sitemap, llms.txt або DNS-записи, щоб відповісти, і показуємо вам результат. Ми нічого не зберігаємо: адреса та результат не зберігаються, а ваша IP-адреса тримається лише в пам’яті до години, щоб обмежити кількість перевірок з одного підключення. Перевірка структурованих даних передає адресу сторінки публічному валідатору Schema.org (validator.schema.org), який читає сторінку самостійно.
• Журнали сервера — стандартні технічні журнали, включно з IP-адресою та user agent, що зберігаються для безпеки й налагодження.
• Аналітика вебсайту — які сторінки переглядають і на які посилання клікають, щоб ми розуміли, що люди вважають корисним. Там, де діє законодавство про згоду, це вимірюється без cookie і без будь-якого ідентифікатора, тож кожен візит рахується окремо; в інших місцях встановлюється cookie, щоб повторний візит можна було розпізнати. Там, після того як ви увійшли, PostHog також пов’язує ці події з внутрішнім ідентифікатором вашого акаунта (ніколи не з поштою чи іменем), щоб ми бачили, які кроки продукту використовуються. Див. розділ 11.

3. Чого ми не робимо

• Ми не продаємо ваші персональні дані і ніколи не продавали.
• Ми не будуємо ваших рекламних профілів і не використовуємо персоналізовану рекламу чи ремаркетинг. Там, де закон про згоду не вимагає іншого, ми вимірюємо, чи привів клік по рекламі до реєстрації, щоб знати, за яку рекламу варто платити.
• Ми не розміщуємо жодних скриптів аналітики чи відстеження на звітах аудиту, які надсилаємо компаніям.
• Ми не використовуємо дані вашого застосунку чи результати тестів для навчання моделей машинного навчання.
• Ми не продаємо, не передаємо й не використовуємо для реклами дані Google Search Console, які ви підключаєте, і не надсилаємо їх до жодної AI-моделі, сервісу даних про ключові слова, пошукової системи чи іншої третьої сторони, а також не використовуємо їх для навчання такої моделі. Вони показуються лише вам і вашій команді на вашому власному дашборді. Пошук ключових слів, контент-брифи та оновлення для Bing і Yandex, описані в розділі 7, використовують лише публічний текст вашого власного сайту, обране вами ключове слово та адреси сторінок із вашого sitemap або ті, що ви вводите; нічого з цього не походить із Search Console. Використання та передавання QA Spider інформації, отриманої з Google API, відповідає Політиці щодо даних користувачів у сервісах Google API, включно з вимогами обмеженого використання.
• Ми не читаємо ваш вихідний код, якщо ви самі не підключите репозиторій. Якщо підключите, доступ лише для читання, обмежений обраними вами репозиторіями, його можна будь-коли відкликати на GitHub, і ми ніколи не зберігаємо ваш код — файли читаються на мить запитання й відкидаються.

4. Навіщо ми це обробляємо

Щоб надавати сервіс, на який ви зареєструвалися (запуск тестів, звітування про результати, заведення багів у ваш трекер, надсилання сповіщень) — це виконання договору. Щоб захищати акаунти, запобігати зловживанням і налагоджувати збої — наш законний інтерес. Щоб надсилати вам транзакційні листи, від яких залежить сервіс, як-от коди входу й сповіщення про запуски, — виконання договору. Там, де ми колись спираємося на згоду, як-от необов’язкова маркетингова розсилка, ви можете відкликати її будь-коли.

5. Облікові дані тестових акаунтів — будь ласка, прочитайте

Якщо ви зберігаєте облікові дані, щоб наші тести могли входити у ваш застосунок, використовуйте окремий тестовий акаунт з мінімально необхідними правами, за можливості в непродакшн-середовищі. Ніколи не зберігайте акаунт справжнього клієнта чи адміністратора.

Токени інтеграцій і облікові дані тестових акаунтів шифруються у спокої за допомогою AES-256-GCM. Якщо наш сервер не може їх зашифрувати, він відмовляється їх зберігати, а не тримає у читабельному вигляді. Попри це, ставтеся до будь-яких облікових даних, які ви нам даєте, як до таких, які вам зручно змінити, і змініть їх, якщо перестанете користуватися QA Spider.

6. Звіти аудиту — ті, що ви просите, і ті, що ми надсилаємо без запиту

Є два способи, якими з’являється один із наших звітів, і вони не однакові.

Якщо ви просили його: ви дали нам URL і адресу пошти на нашій головній сторінці, ми прочитали цей сайт і надіслали вам звіт. Ми зберігаємо вашу адресу, щоб надіслати його, дати вам змогу запитати нас про нього і видалити на запит. Ми не додаємо вас до розсилки і не надсилаємо нічого іншого, доки ви не напишете нам першими. Звіти, запрошені таким чином, за замовчуванням читаються на поверхневій глибині; глибший прохід виконується, лише якщо ви натиснете кнопку у звіті з проханням про нього.

Якщо ви його не просили: ми іноді читаємо публічно доступні сторінки компанії, з якою хотіли б працювати, і надсилаємо цій компанії звіт про знайдене. Ми робимо це до того, як існують будь-які стосунки, тож варто чітко сказати, що це передбачає.

Те, що ми читаємо, — це те, що може прочитати будь-хто з браузером: сторінки, на які посилається ваш sitemap, отримані по одному разу, з повагою до robots.txt, без навантаження на ваші системи. Ми не входимо в систему, якщо ви не дасте нам тестовий акаунт, а якщо дасте, прохід читає сторінки й не надсилає жодної форми, крім входу. Звіт надається за неопублікованим посиланням, виключений з пошукових систем і може бути відкликаний на запит.

Кожне посилання на звіт фіксує, коли його відкривають, разом з IP-адресою, містом і країною, виведеними з неї, та браузером. Для звіту, надісланого без запиту, ми використовуємо це, щоб судити, чи його прочитали й чи переслали далі, що є єдиним способом дізнатися, чи доречне продовження; ця обробка ґрунтується на нашому законному інтересі у business-to-business-комунікації. Для звіту, який ви просили, такий самий запис існує, але нам такої послуги не робить — він є, бо посилання публічне для будь-кого, хто його має, і ми хотіли б знати, якщо воно ходить по руках. Адреси та дані браузера видаляються через 90 днів, після чого лишається лише кількість відкриттів.

Якщо ви волієте, щоб ми нічого з цього не зберігали, напишіть на [email protected], і ми видалимо звіт, посилання та записи про його відкриття. Ми також припинимо зв’язуватися з вами, і причина нам не потрібна.

7. Де живуть ваші дані і хто ще до них торкається

Застосунок і його база даних розміщені на Render, в регіоні ЄС (Франкфурт), на зашифрованому постійному диску. Ми користуємося невеликим набором субпідрядників, кожен для однієї чітко окресленої мети:

• Render — хостинг застосунку та зберігання бази даних (ЄС).
• Anthropic — AI-модель, що складає тест-кейси, QA-документи та звіти про баги. Вона отримує промпт і контекст продукту, потрібні для цього артефакту. У Boost SEO, коли ви натискаєте «Написати бриф», вона отримує обране вами ключове слово, його пошукові показники та заголовки, підзаголовки й описи до дванадцяти ваших публічних сторінок, і нічого з Search Console.
• OpenAI — альтернативний провайдер AI-моделей, що використовується замість Anthropic, коли наш сервер налаштований на нього для певної функції. Він отримує такий самий промпт, який отримав би Anthropic для цієї функції (для брифу Boost SEO — лише те, що описано вище), і ніколи не дані Search Console.
• DataForSEO — сервіс даних про ключові слова, що використовується лише коли ви натискаєте «Знайти теми» в Boost SEO. Він отримує до десяти коротких фраз із заголовків, підзаголовків і описів ваших власних публічних сторінок, код країни та мови й облікові дані нашого акаунта. Він не отримує персональних даних і нічого з Search Console.
• IndexNow (Bing, Yandex, Naver, Seznam, Yep та інші пошукові системи-учасники) — лише коли ви натискаєте кнопку надсилання в розділі Boost SEO «Bing і Yandex». Ми надсилаємо ім’я хоста вашого сайту, ваш ключ IndexNow, адресу вашого файлу ключа та до 100 адрес сторінок із вашого публічного sitemap або тих, що ви ввели. Системи-учасники діляться отриманим між собою. Google не бере участі. Персональні дані та будь-що з Search Console не надсилаються.
• Stripe — обробка платежів за тарифи Solo і Pro. Він збирає дані вашої картки на власній сторінці оплати й зберігає їх; ми ніколи не отримуємо і не зберігаємо номерів карток. Ми надсилаємо йому вашу адресу пошти (щоб заповнити оплату та для квитанцій), ідентифікатор вашого простору й обраний тариф, а зберігаємо лише ідентифікатори клієнта й підписки Stripe та статус підписки, який він повертає.
• Resend — доставка транзакційної пошти (коди входу, сповіщення, відповіді на звернення).
• GitHub Actions — виконує ваші тестові запуски й повідомляє нам результат.
• Firecrawl — отримує та мапить публічні сторінки сайту, який ви просите нас проаналізувати.
• Browserbase — надає хмарний браузер, що використовується для необов’язкового запису тестів наживо. Використовується, лише якщо ця функція ввімкнена для вашого простору.
• Umami — рахує візити на наш вебсайт. Не встановлює cookie і нічого не зберігає на вашому пристрої; унікальність береться з хешу, обчисленого на його серверах із солі, що змінюється щодня.
• Google Analytics — вимірює візити на наш вебсайт і дашборд. IP-адреси скорочуються. Зберігання вимкнене там, де діє законодавство про згоду, і ввімкнене в інших місцях.
• PostHog — продуктова аналітика і, лише за вашою згодою, запис сесій нашого власного вебсайту. Працює без зберігання, доки ви не погодитесь.
• GitHub — якщо ви підключаєте репозиторій, ми читаємо файли, потрібні для відповіді на запитання про тест, що падає. Лише читання, і ми нічого не зберігаємо.
• Google і GitHub — провайдери ідентифікації, лише якщо ви вирішите входити через них.
• Google Search Console — лише якщо ви її підключите: ми звертаємося до API Search Console з вашим дозволом лише на читання, щоб читати пошукову ефективність, статус індексації та подані sitemap обраного вами ресурсу. Нічого, прочитаного з Search Console, не передається жодному іншому субпідряднику з цього списку. Ви можете відкликати доступ будь-коли (див. розділ 8).

8. Як довго ми це зберігаємо

Дані акаунта та робочого простору зберігаються, доки існує ваш акаунт. Результати тестів, скриншоти та згенеровані звіти про баги зберігаються, щоб ваша історія й метрики лишалися змістовними; ви можете видаляти окремі запуски, баги й проєкти будь-коли, і видалення є негайним. Повідомлення з контактної форми зберігаються, доки вони потрібні нам, щоб вам відповісти. Журнали сервера зберігаються короткий операційний період. Коли ви закриваєте акаунт, ми видаляємо дані вашого робочого простору, лишаючи лише те, що мусимо за юридичними чи бухгалтерськими причинами. Якщо ви підключали Google Search Console, ми зберігаємо зашифрований токен доступу, пошту вашого акаунта Google, обраний ресурс і будь-які збережені вами записи Boost SEO «до і після», доки ви не натиснете «Відключити» на вкладці Google в Boost SEO (що негайно видаляє їх усі) або не закриєте акаунт. Ідеї ключових слів, записи пошуку та контент-брифи, створені в Boost SEO, зберігаються, доки ви не попросите видалити їх або не закриєте акаунт. Ви також можете будь-коли відкликати доступ у своєму акаунті Google в розділі «Безпека», потім «Доступ третіх сторін», і будь-який токен, який ми ще маємо, перестає працювати.

9. Ваші права

Ви можете отримати доступ до своїх даних, виправити, експортувати чи видалити їх. Багато з цього ви робите самостійно на дашборді: можна експортувати згенеровані документи, видаляти баги, запуски й проєкти та керувати учасниками команди. З усього іншого — повний експорт, видалення акаунта, заперечення проти обробки чи скарга — пишіть на [email protected], і ми відповімо протягом 30 днів. Якщо ви в ЄЕП чи Великій Британії, ви також маєте право подати скаргу до місцевого органу із захисту даних.

10. Безпека

Доступ до production-середовища обмежений людьми, які його обслуговують. Трафік передається через HTTPS. Токени інтеграцій шифруються у спокої. Дії, спрямовані назовні, — заведення тікета у вашому трекері, повідомлення у ваш чат, запуск на середовищі, схожому на production, — потребують явного схвалення в продукті, а не відбуваються мовчки. Жодна система не є цілком безпечною; якщо ми дізнаємося про порушення, що стосується ваших даних, ми повідомимо вас без невиправданої затримки.

11. Cookie

Єдина cookie, яку ми встановлюємо, є суворо необхідною й існує, бо сайт не може працювати без неї: сесійна cookie, що тримає вас у системі. Ваш вибір світлої чи темної теми зберігається в локальному сховищі вашого браузера, а не в cookie, тож він ніколи не потрапляє до нас.

Що зберігає наша аналітика, залежить від того, де ви. Там, де діє законодавство про згоду, — ЄС, ЄЕП, Велика Британія та Швейцарія, — Google Analytics і PostHog працюють з вимкненим зберіганням: ми рахуємо, що візит відбувся і які сторінки читали, на ваш пристрій нічого не записується, і ніщо не пов’язує цей візит з наступним. В інших місцях вони встановлюють cookie, що дає змогу розпізнати повторний візит і визначити, чи привів клік по рекламі до реєстрації.

Umami, наш основний лічильник, не встановлює cookie ніде й не потребує дозволу. Ось чому сайт не ставить перед вами стіну з cookie.

Запис сесій нашого власного вебсайту — запис того, як сторінка поводилася для вас, — вмикається, лише якщо ви погодитесь, коли вас запитають, а відмова нічого вам не коштує: вас усе одно враховують.

Ми не використовуємо персоналізовану рекламу чи ремаркетинг і не будуємо профілів відвідувачів.

12. Діти

QA Spider — бізнес-інструмент, який не призначений для осіб молодше 16 років. Ми свідомо не збираємо їхніх даних.

13. Зміни

Якщо ми суттєво змінимо цю політику, ми оновимо дату вище і, щодо змін, які впливають на те, як ми поводимося з вашими даними, повідомимо власників акаунтів електронною поштою до набрання змін чинності.