GDPR / AVG, AI Act і NIS2 у Synomi

1. Дві ролі — хто чим керує?

Згідно з GDPR (у Нідерландах — AVG) Synomi виступає у двох ролях:

• Контролер (адміністратор) — для даних твого акаунта (ім’я та прізвище, email, дані фірми, платіжні дані, системні логи). Ці дані ми збираємо, опрацьовуємо й шифруємо, щоб узагалі мати змогу надавати тобі послуги.
• Процесор — для всього, що ти вносиш у Synomi в межах своєї фірми (дані твоїх контрагентів, фактури, документи, GPS-маршрути). Контролером цих даних є ти — ми опрацьовуємо їх виключно за твоїм дорученням. Ми піклуємося про них від твого імені й теж шифруємо, але керуєш ними ти сам.

Договір про обробку даних (verwerkersovereenkomst) вбудований в Умови користування Synomi (розділ 9) — окремий документ підписувати не потрібно.

2. Де живуть твої дані?

• На нашому власному сервері в нідерландському дата-центрі — не в анонімній хмарі
• Дані фірми зашифровані (encrypted at rest) окремим ключем для кожної фірми; з’єднання захищає SSL/TLS
• Регулярні резервні копії та оновлення безпеки
• Жодної реклами, жодних трекерів, жодної торгівлі даними — ні на сайті, ні в мобільному застосунку

3. Твої права

Згідно з GDPR / AVG ти маєш право на: доступ до своїх даних, їх виправлення, видалення («право бути забутим»), обмеження обробки, перенесення даних, заперечення та відкликання згоди в будь-який момент.

Як скористатися? Напиши на hello@synomi.ai — цього достатньо. Ти також маєш право подати скаргу до нідерландського наглядового органу: Autoriteit Persoonsgegevens.

4. Видалення акаунта

Акаунт можеш видалити самостійно в застосунку (Профіль → Видалити акаунт). Можеш також попросити про видалення листом: напиши на support@synomi.ai з адреси e-mail, пов’язаної з твоїм акаунтом — перш ніж запустити процедуру, ми підтвердимо твій запит зворотним листом.

Від моменту запиту починається 30-денний період очікування — за цей час можеш передумати, просто увійшовши знову. Після 30 днів дані видаляються остаточно й безповоротно.

Перед видаленням завантаж свої дані (експорти PDF/XML/Excel) — обов’язок зберігати власні бухгалтерські документи протягом 7 років лежить на тобі. Деталі: Політика конфіденційності, розділ 9.

5. Кому і які дані ми передаємо?

Лише перевіреним субпроцесорам, лише в межах функцій, якими ти справді користуєшся, — і лише ті дані, без яких конкретна функція не запрацює:

• Mollie (платежі) — дані, необхідні для проведення твого платежу. Дані карток ми не зберігаємо взагалі — ними займається виключно Mollie.
• Anthropic (функції AI) — фото чеків і фактур під час OCR-сканування, текст голосових команд (лише транскрипт — ніколи не аудіозапис, мовлення розпізнається на твоєму пристрої) та лише ті запитання до Daisy, які потребують зовнішньої обробки. Запити не пов’язані з конкретним користувачем, а Anthropic не тренує моделі на твоїх даних.
• Google — лише якщо сам увімкнеш: під час входу через Google ми отримуємо від Google твій email і базові дані профілю; під час синхронізації з Google Calendar записуємо у твій календар події з Synomi (терміни оплат, зустрічі) і зчитуємо події, щоб їх показати.
• Apple — лише якщо сам увімкнеш: під час Sign in with Apple отримуємо ідентифікатор і — якщо так вибереш — email (Apple може його анонімізувати); синхронізація календаря iCloud працює так само, як із Google.

Передавання за межі Європейського економічного простору відбувається на основі Стандартних договірних положень (SCC). Ми не продаємо дані. Повний перелік і деталі: Політика конфіденційності, розділ 6.

6. Cookies

Ми використовуємо лише необхідні технічні cookies (вхід, безпека, налаштування) — жодних аналітичних чи рекламних. Деталі: Політика конфіденційності, розділ 5.

7. Штучний інтелект у Synomi (AI Act)

З 2 серпня 2026 року в усьому ЄС діятимуть правила прозорості ШІ (AI Act) — Synomi вже сьогодні відповідає цим вимогам. У Synomi штучний інтелект працює в кількох місцях: Стокротка відповідає на запитання й підказує категорії витрат, Voice-to-Invoice перетворює ваш голос на рахунок, а OCR зчитує чеки та рахунки з фото.

Головний принцип у всіх процесах — human in the loop: останнє слово завжди за людиною, і все потребує вашого свідомого підтвердження. На практиці:

• ШІ підказує — вирішуєте ви. Жодна функція ШІ не ухвалює рішень за вас і сама не виставляє документів. OCR заповнює форму, яку ви перевіряєте; Стокротка радить, але не блокує; голосовий рахунок — це чернетка, яку затверджуєте ви.
• Ви завжди знаєте, що це ШІ. Стокротка не вдає людину — вона відкрито є ШІ-асистенткою і так себе й представляє.
• Підказка — не порада. Підказки Стокротки (напр., «ці витрати можуть не підлягати відрахуванню») — це орієнтири, а не податкова порада. Пам'ятайте: усі зобов'язальні рішення щодо вашої компанії ви ухвалюєте самостійно або разом зі своїм бухгалтером.

За класифікацією AI Act функції Synomi — це системи обмеженого ризику: жодна не оцінює людей і не вирішує щодо кредиту, працевлаштування чи чогось подібного. Які дані передаються на обробку для функцій ШІ (і що вони не пов'язані з вами) — читайте в розділі 5.

8. Кібербезпека (NIS2 / Cyberbeveiligingswet)

NIS2 — це європейська директива про кібербезпеку, в Нідерландах впроваджена як Cyberbeveiligingswet (набере чинності 15 серпня 2026 року). Вона безпосередньо стосується середніх і великих організацій у ключових секторах. Synomi як мала компанія їй безпосередньо не підпорядковується — і ми кажемо це прямо, замість того щоб чіпляти на себе модну етикетку.

Але є інший бік: організації, на які поширюється NIS2, мають стежити за безпекою своїх постачальників. Якщо ви або ваш клієнт підпадаєте під NIS2 і шукаєте постачальника, який не стане слабкою ланкою — ось що ви знайдете в Synomi:

• Власний сервер у Нідерландах — ваші дані не блукають чужими хмарами.
• Шифрування з окремим ключем для кожної компанії — один ключ ніколи не відкриє чужих даних.
• Двоетапна перевірка (2FA) та резервні копії.
• Нуль трекерів і короткий список субобробників (розділ 5).

Питання про безпеку в ланцюгу постачання? Напишіть: support@synomi.ai.

9. Контакт