კონფიდენციალურობის პოლიტიკა

1. ვინ ვართ და რა როლი გვაქვს

Kontroli.ge-ს ოპერატორია შპს „ტირექს ოპს“. ანგარიშის, ბილინგის, უსაფრთხოების და საკუთარი მომსახურების ადმინისტრირების მონაცემებზე Kontroli მოქმედებს როგორც დამუშავებისთვის პასუხისმგებელი პირი.

როდესაც ბიზნეს მომხმარებელი ტვირთავს საკუთარ კონტრაქტებს ან სხვა დოკუმენტებს, განსაზღვრავს ხელმომწერს, ქმნის AI დოკუმენტის მონახაზს ან reminders-ს, ბიზნეს მომხმარებელი, როგორც წესი, არის დამუშავებისთვის პასუხისმგებელი პირი, ხოლო Kontroli ამ მონაცემებზე მოქმედებს მისი ინსტრუქციით, როგორც დამუშავებაზე უფლებამოსილი პირი.

2. რა მონაცემებს ვამუშავებთ

• სახელი, გვარი, ელფოსტა, როლი და კომპანიის/workspace-ის მონაცემები, მათ შორის კომპანიის საიდენტიფიკაციო კოდი;
• ავტორიზაციის, ანგარიშის უსაფრთხოების და session მონაცემები;
• ატვირთული PDF/სურათები და მათში არსებული ბიზნეს ან პერსონალური ინფორმაცია;
• AI-ით ამოღებული თარიღები, ვალდებულებები, თანხები, source excerpts, confidence/verification metadata;
• AI დოკუმენტის გენერატორში მომხმარებლის მიერ შეყვანილი ტექსტი, მხარეთა რეკვიზიტები, ფინანსური პირობები და მომხმარებლის მიერ შექმნილი/შესწორებული დოკუმენტის სტრუქტურა;
• ვადები, reminders, კალენდრის ჩანაწერები და notification პარამეტრები;
• ხელმოწერის მიმღების სახელი/ელფოსტა, OTP verification event, consent timestamp, IP, user-agent, signature image/representation და დოკუმენტის SHA-256 hash-ები;
• ბილინგის გეგმა, order/payment სტატუსი და გადახდის პროვაიდერის ტექნიკური იდენტიფიკატორები. ბარათის სრული მონაცემები Kontroli-ში არ ინახება;
• audit, security, rate-limit და incident logs.

3. რატომ და რა საფუძვლით ვამუშავებთ

მონაცემები მუშავდება მომსახურების მიწოდების, ხელშეკრულების/ანგარიშის ადმინისტრირების, მომხმარებლის მოთხოვნილი მოქმედების შესრულების, უსაფრთხოების, თაღლითობისა და ბოროტად გამოყენების პრევენციის, სამართლებრივი ვალდებულებების შესრულებისა და სამართლებრივი მოთხოვნების დაცვის მიზნით.

კლიენტის დოკუმენტებში და მის მიერ გენერირებულ დოკუმენტებში არსებული მონაცემების დამუშავების სამართლებრივ საფუძველს პირველ რიგში განსაზღვრავს კლიენტი-კომპანია, როგორც Controller. Kontroli ამუშავებს მათ DPA-სა და კლიენტის დოკუმენტირებული ინსტრუქციების ფარგლებში.

4. AI და ხმოვანი დამუშავება

დოკუმენტის AI ანალიზი ან AI დოკუმენტის გენერატორი სრულდება მხოლოდ მაშინ, როცა მომხმარებელი თავად იწყებს შესაბამის ფუნქციას. production კონფიგურაციაში გამოიყენება ფასიანი Gemini API, რომლის პირობებით Google არ იყენებს Paid Services-ში გაგზავნილ prompts/files/responses-ს საკუთარი პროდუქტების გასაუმჯობესებლად.

AI დოკუმენტის გენერატორი პირველ რიგში მომხმარებლის აღწერას გარდაქმნის სტრუქტურულ ველებად და არ უნდა იქნეს აღქმული როგორც დამოუკიდებელი იურიდიული ან საგადასახადო დასკვნის გენერატორი. მომხმარებელმა ხელმოწერამდე უნდა გადაამოწმოს მხარეები, საიდენტიფიკაციო კოდები, თანხები, დღგ, თარიღები და სხვა არსებითი რეკვიზიტები.

თუ მომხმარებელი იყენებს ბრაუზერის optional voice-recognition ფუნქციას, ხმის ამოცნობის ხელმისაწვდომობა და შესაძლო დამუშავება დამოკიდებულია კონკრეტულ ბრაუზერსა და მოწყობილობის/ბრაუზერის პროვაიდერის პირობებზე. Kontroli-ს საკუთარი სერვერი ამ ფუნქციის ფარგლებში raw microphone audio-ს არ ინახავს; Kontroli იღებს უკვე ტექსტად ამოცნობილ შეყვანას.

5. მონაცემების მიმღებები და ქვე-დამმუშავებლები

მომსახურების მიწოდებისთვის შეიძლება გამოვიყენოთ hosting/database/storage, AI, transactional email და payment providers. მოქმედი სია, ფუნქცია და ცნობილი data-location ინფორმაცია გამოქვეყნებულია ქვე-დამმუშავებლების გვერდზე.

ჩვენ არ ვყიდით მომხმარებლის პერსონალურ მონაცემებს და არ ვიყენებთ კლიენტის დოკუმენტებს დამოუკიდებელი სარეკლამო პროფილირებისთვის.

6. საერთაშორისო გადაცემა

ძირითადი database და private document storage განთავსებულია Frankfurt, Germany-ში. გერმანია შედის საქართველოს მოქმედ ნუსხაში, სადაც პერსონალურ მონაცემთა დაცვის სათანადო გარანტიებია აღიარებული.

ზოგი ტექნიკური მიმწოდებლის control-plane, support, logs ან AI/email processing შეიძლება არ იყოს contractually შეზღუდული მხოლოდ ევროკავშირზე. Kontroli არ აცხადებს „EU-only“ დამუშავებას იქ, სადაც ასეთი გარანტია არ გვაქვს.

თუ მონაცემი უნდა გადავიდეს სახელმწიფოში, რომელიც საქართველოს adequacy ნუსხაში არ შედის, ასეთი გადაცემა უნდა დაეყრდნოს „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონით დაშვებულ საფუძველს და, როცა კანონი ამას მოითხოვს, სახელმწიფო აუდიტის სამსახურის წინასწარ ნებართვას. შესაბამისი საფუძვლის დოკუმენტურად უზრუნველყოფამდე Kontroli-მ არ უნდა გააფართოოს production flow ისეთი მონაცემებისთვის, რომლებიც ამ რეჟიმს საჭიროებს.

7. შენახვის ვადები

• აქტიური workspace-ის დოკუმენტები და ბიზნეს ჩანაწერები ინახება მანამ, სანამ მომხმარებელი არ წაშლის მათ ან workspace არ შეწყდება;
• AI document generator-ის მონახაზი, სანამ მომხმარებელი მას დოკუმენტად არ შეინახავს, ძირითადად მიმდინარე browser session/state-ში მუშავდება; შენახვის მოქმედების შემდეგ საბოლოო PDF და შესაბამისი structured metadata შეიძლება private workspace-ში შეინახოს;
• workspace deletion-ის მოთხოვნის შემდეგ primary storage/database მონაცემები იშლება ტექნიკურად შესაძლებელ გონივრულ ვადაში, გარდა კანონით სავალდებულო retention-ისა;
• ხელმოწერის evidence records ინახება მანამ, სანამ შესაბამისი დოკუმენტი/ხელმოწერის ისტორია საჭიროა კლიენტის მიერ ან სამართლებრივი მოთხოვნის დასაცავად; წაშლის მოთხოვნა ფასდება შესაბამისი ვალდებულებების გათვალისწინებით;
• უსაფრთხოების და audit logs ინახება მხოლოდ იმდენ ხანს, რამდენადაც საჭიროა უსაფრთხოების, გამოძიების, ანგარიშვალდებულებისა და სამართლებრივი მოთხოვნებისთვის;
• backup copies, თუ არსებობს, ქრება შესაბამისი backup retention cycle-ის დასრულებისას და არ გამოიყენება ჩვეულებრივი პროდუქტის წვდომისთვის.

შენახვის შიდა გრაფიკი პერიოდულად გადაიხედება მონაცემთა მინიმიზაციის პრინციპის მიხედვით.

8. უსაფრთხოება

გამოიყენება private storage, workspace-level RLS/access controls, TLS, server-side secrets, short-lived/controlled links, rate limiting, OTP controls, hashes, security/evidence logs და სხვა ორგანიზაციულ-ტექნიკური ზომები. უსაფრთხოების ზომები რეგულარულად გადაიხედება რისკის, მონაცემთა მოცულობისა და ტექნოლოგიის ცვლილების მიხედვით.

9. მონაცემთა სუბიექტის უფლებები

საქართველოს კანონით გათვალისწინებულ ფარგლებში მონაცემთა სუბიექტს შეუძლია მოითხოვოს მის შესახებ ინფორმაციის მიღება, მონაცემებზე წვდომა/ასლი, გასწორება/განახლება, დამუშავების შეწყვეტა, წაშლა/განადგურება, დაბლოკვა ან სხვა შესაბამისი უფლების განხორციელება.

თუ მონაცემი Kontroli-ში კლიენტი კომპანიის მიერ არის ატვირთული, მოთხოვნის შესრულებაში შესაძლოა პირველ რიგში შესაბამისი კომპანია იყოს Controller; Kontroli მას ტექნიკურად დაეხმარება DPA-სა და კანონით გათვალისწინებულ ფარგლებში.

მოთხოვნა გამოგზავნე kontrolige@gmail.com-ზე. პირის იდენტობის და მოთხოვნის უფლებამოსილების დასადასტურებლად შეიძლება მოვითხოვოთ პროპორციული დამატებითი ინფორმაცია.

10. უსაფრთხოების ინციდენტი

Kontroli აღრიცხავს პერსონალურ მონაცემებთან დაკავშირებულ ინციდენტებს. თუ Kontroli არის Processor, შესაბამის Controller-ს ინციდენტის შესახებ აცნობებს დაუყოვნებლივ. როდესაც Kontroli თავად არის Controller და ინციდენტი აკმაყოფილებს კანონით დადგენილ საფრთხის კრიტერიუმებს, შეტყობინება სახელმწიფო აუდიტის სამსახურს გაეგზავნება აღმოჩენიდან არაუგვიანეს 72 საათისა; მაღალი რისკის შემთხვევაში მონაცემთა სუბიექტიც ინფორმირდება გაუმართლებელი დაყოვნების გარეშე.

11. Cookies და analytics

აუცილებელი session/authentication cookies გამოიყენება შესვლისა და უსაფრთხოების ფუნქციონირებისთვის. თუ მომავალში ჩავრთავთ არასავალდებულო analytics/marketing trackers-ს, შესაბამისი ინფორმაცია და consent mechanism დაემატება მანამდე, სანამ ასეთი tracker ჩაირთვება იქ, სადაც თანხმობა აუცილებელია.

12. ზედამხედველი ორგანო და კონტაქტი

2026 წლის 2 მარტიდან საქართველოში პერსონალურ მონაცემთა დაცვის სფეროს ზედამხედველობას ახორციელებს სახელმწიფო აუდიტის სამსახური. მონაცემთა სუბიექტს შეუძლია გამოიყენოს კანონით გათვალისწინებული გასაჩივრების მექანიზმები.

Kontroli-ს privacy საკითხები: kontrolige@gmail.com.