1. Хто ми

Платформу Retain Growth надає фізична особа-підприємець, що веде діяльність під назвою Retain Growth, РНОКПП 3434805312 (далі — «Retain Growth», «ми»). З питань обробки персональних даних пишіть на support@retain-growth.ai.

2. Наша роль: контролер і оброблювач

Retain Growth — мультитенантна платформа: нею користуються компанії («Клієнти»), щоб спілкуватися з власними лідами. Тому щодо різних даних ми виступаємо в різних ролях.

• Ми — контролер даних наших Клієнтів і їхніх співробітників (обліковий запис, оплата підписки, звернення в підтримку), а також відвідувачів нашого сайту. Ми самі визначаємо, навіщо й як обробляємо ці дані.
• Ми — оброблювач даних лідів наших Клієнтів — людей, які пишуть у бот чи месенджер Клієнта, переходять за його посиланням або відкривають його лендінг. Контролером цих даних є Клієнт: він вирішує, кому й що писати, які дані збирати і скільки їх зберігати. Ми обробляємо їх тільки за вказівками Клієнта й для надання йому послуг.

3. Які дані ми обробляємо

3.1. Клієнти та їхні співробітники

• ім’я, email, назва організації, роль у ній;
• дані для входу (пароль зберігається лише у вигляді хешу у провайдера автентифікації);
• Telegram-ідентифікатор, якщо ви підключили бота підтримки чи сповіщень; дані push-підписки браузера для сповіщень;
• технічні журнали: дії в кабінеті, IP-адреса, тип браузера — для безпеки й діагностики;
• листування зі службою підтримки.

3.2. Оплата підписки

Тариф, суми й історія списань, курс на день оплати, а також замаскований номер картки й токен картки від платіжного провайдера. Повний номер картки й CVV ми не отримуємо й не зберігаємо — їх обробляє провайдер.

3.3. Облікові дані каналів Клієнта

Токени Telegram-ботів, ключі доступу Meta (WhatsApp Business, підключений через Meta Embedded Signup, і Messenger), токени Conversions API, ключі AI-провайдерів і платіжних сервісів, які підключає Клієнт. Вони зберігаються в зашифрованому сховищі секретів, недоступні з браузера і використовуються тільки для роботи каналів цього Клієнта.

3.4. Дані лідів (ми — оброблювач)

• ім’я й username у месенджері (Telegram, Messenger, Instagram, WhatsApp), фото профілю, ідентифікатор профілю, номер телефону (якщо його передає канал, наприклад WhatsApp);
• повідомлення й вкладення, зокрема голосові повідомлення та їх розшифровки;
• теги, етапи, нотатки менеджерів, прогрес у воронках, згенеровані AI відповіді;
• оплати, проведені через платіжний сервіс, який підключив Клієнт;
• дані рекламного переходу: ідентифікатор кліку (зокрема fbclid), UTM-мітки, а для переходів у Telegram — IP-адреса й тип браузера в момент кліку;
• на лендінгах Клієнтів — псевдонімний ідентифікатор відвідувача, що зберігається в браузері, і тривалість перегляду сторінки.

3.5. Відвідувачі сайту retain-growth.ai

Сайт використовує аналітику (Google Analytics 4) і Meta Pixel. Хостинг-провайдер фіксує технічні дані запитів (IP-адреса, тип браузера) у службових журналах; вибір мови зберігається у вашому браузері.

Meta Pixel. На retain-growth.ai працює Meta Pixel. Він передає Meta перегляди сторінок і кліки на кнопки, що ведуть до реєстрації, дані про пристрій і браузер (тип пристрою, браузер, IP-адреса, адреса сторінки та джерело переходу) та ідентифікатор із cookie _fbp; якщо ви ввійшли у Facebook у цьому браузері, Meta може зіставити візит з вашим акаунтом. Ми використовуємо це для вимірювання ефективності реклами та створення аудиторій для показу нашої реклами (ретаргетинг і схожі аудиторії). Відмовитися можна в налаштуваннях реклами Meta, а також заблокувавши сторонні cookie чи трекери у браузері.

3.6. Дані, отримані від платформ Meta (Messenger, Instagram, WhatsApp)

Коли Клієнт підключає до Retain Growth свою сторінку Facebook, акаунт Instagram чи номер WhatsApp Business, ми отримуємо від Meta лише те, що потрібно для роботи цього каналу, і лише про людей, які спілкуються з цим Клієнтом:

• ідентифікатор людини в каналі (PSID у Messenger, IGSID в Instagram, номер у WhatsApp), ім’я, username і фото профілю — щоб показати співрозмовника в чаті Клієнта;
• повідомлення (текст, голосові, зображення, вкладення) і відповіді на сторіс;
• коментарі під публікаціями Клієнта, які запускають автоматичну відповідь у приватні повідомлення;
• технічні дані доставки (час, статус «надіслано / доставлено / прочитано»).

Мета: вести листування від імені Клієнта, запускати його автоматичні воронки й відповіді, показувати історію менеджерам Клієнта. Ми не продаємо ці дані, не передаємо рекламним мережам і не використовуємо для профілювання чи реклами. Для відповіді або розшифровки голосового текст і голосові надсилаються AI-провайдеру, ключ якого підключив Клієнт (розділ 5).

Строк зберігання: поки Клієнт тримає канал підключеним і не видалить ліда, і не довше ніж 30 днів після видалення облікового запису. Токен доступу до сторінки чи акаунта зберігається в зашифрованому сховищі й видаляється одразу, коли Клієнт відключає канал.

Видалення: якщо ви вилучите застосунок Retain Growth в налаштуваннях Facebook і оберете «Видалити дані», Meta повідомить нам, і ми анонімізуємо ваші дані (ім’я, фото, ідентифікатори, текст повідомлень, розшифровки, вкладення) та підтвердимо виконання кодом. Також можна надіслати запит на сторінці retain-growth.ai/data-deletion або листом на support@retain-growth.ai; строк виконання — до 30 днів.

4. Мета й правові підстави

• Надання послуг — реєстрація, робота каналів, CRM, воронок, AI-агента, лендінгів (виконання договору).
• Оплата підписки й облік — списання, історія платежів, бухгалтерський і податковий облік (виконання договору, юридичний обов’язок).
• Безпека — захист від зловживань, шахрайства й несанкціонованого доступу, ізоляція даних Клієнтів (законний інтерес).
• Підтримка й сервісні повідомлення — відповіді на звернення, повідомлення про оплату, зміни й збої (виконання договору).
• Покращення продукту — лише в агрегованому чи знеособленому вигляді (законний інтерес).
• Маркетингові розсилки — тільки за вашою згодою або щодо схожих послуг з можливістю відписатися в будь-який момент.

Дані лідів ми обробляємо тільки для цілей, визначених Клієнтом. Правову підставу для їх обробки (згода, договір, законний інтерес) забезпечує Клієнт.

5. Кому передаються дані

Ми не продаємо персональні дані. Ми передаємо їх лише постачальникам, без яких платформа не може працювати (субоброблювачам), і лише в потрібному обсязі:

• Supabase — база даних, автентифікація, сховище файлів і секретів (дата-центр у Лондоні, Велика Британія);
• Netlify — хостинг сайту й серверних функцій;
• Telegram — доставка повідомлень ботів Клієнтів і наших ботів підтримки та сповіщень;
• Meta Platforms — WhatsApp Business Platform, Messenger, Instagram і Conversions API (див. розділи 3.6 і 6);
• OpenRouter та AI-моделі, обрані Клієнтом — текст розмови й голосові повідомлення надсилаються, щоб згенерувати відповідь чи розшифровку; використовується ключ, який підключив сам Клієнт;
• платіжні провайдери (зокрема monobank) — оплата підписки й оплати, які приймає Клієнт;
• Google Fonts — шрифти сайту (провайдер отримує IP-адресу під час завантаження шрифту).

Дані також можуть бути розкриті на законну вимогу державних органів або для захисту наших прав.

6. Meta Conversions API

Якщо Клієнт вмикає передачу конверсій для свого лід-ген-посилання чи лендінгу, ми від його імені й з його токеном Meta надсилаємо в Meta події (наприклад, «Лід» чи «Покупка»):

• назву й час події, її ідентифікатор, канал (Telegram, WhatsApp, Messenger), суму й валюту;
• ідентифікатор рекламного кліку (fbc, сформований з fbclid);
• для переходів у Telegram — IP-адресу й тип браузера в момент кліку.

Імена, номери телефонів і зміст переписки в Meta не передаються. Мета — показати в рекламному кабінеті Клієнта, які оголошення приносять лідів і продажі. Клієнт відповідає за наявність правової підстави чи згоди на таку передачу й за дотримання умов Meta Business Tools; передачу можна вимкнути будь-коли.

7. Зберігання й безпека

• Дані кожної організації ізольовані на рівні бази даних: користувач бачить лише дані своєї організації.
• Токени, ключі й дані карток зберігаються в зашифрованому сховищі секретів і недоступні з браузера.
• Усе передається зашифрованим з’єднанням (TLS).
• Доступ персоналу обмежений тими, кому він потрібен для підтримки й роботи платформи; дії адміністраторів журналюються.
• Лендінги перевіряються на ознаки шахрайських сторінок перед публікацією.

Жодна система не захищена на 100%, але ми застосовуємо розумні технічні й організаційні заходи й постійно їх покращуємо.

8. Строки зберігання

• Обліковий запис і дані організації, включно з даними лідів, — поки обліковий запис активний, і до 30 днів після його видалення.
• Дані лідів Клієнт може видаляти сам у будь-який момент.
• Платіжні записи — протягом строків, встановлених податковим і бухгалтерським законодавством.
• Технічні журнали — обмежений час, потрібний для безпеки й діагностики.
• Резервні копії перезаписуються в межах регулярного циклу; видалені дані зникають із них разом із ним.

9. Ваші права

Відповідно до GDPR і Закону України «Про захист персональних даних» ви маєте право:

• дізнатися, які ваші дані ми обробляємо, й отримати їх копію (доступ);
• виправити неточні дані;
• вимагати видалення даних («право бути забутим»);
• обмежити обробку або заперечити проти неї, зокрема проти обробки на підставі законного інтересу;
• отримати свої дані в структурованому машиночитаному форматі й передати іншому сервісу (портативність);
• відкликати згоду в будь-який момент, якщо обробка ґрунтується на згоді;
• подати скаргу до наглядового органу — в Україні це Уповноважений Верховної Ради з прав людини, в ЄС — орган захисту даних вашої країни.

Щоб скористатися правами, напишіть на support@retain-growth.ai або скористайтесь сторінкою видалення даних: retain-growth.ai/data-deletion. Ми відповімо протягом 30 днів і можемо попросити підтвердити особу. Якщо ви лід одного з наших Клієнтів, див. примітку в розділі 2.

10. Обробка даних для бізнес-клієнтів (DPA)

Щодо даних лідів ми як оброблювач зобов’язуємося:

• обробляти дані лише за документованими вказівками Клієнта — налаштуваннями платформи й діями в кабінеті;
• забезпечувати конфіденційність з боку персоналу, який має доступ до даних;
• застосовувати заходи безпеки, описані в розділі 7;
• залучати лише субоброблювачів із розділу 5 і повідомляти про їх зміну заздалегідь;
• допомагати Клієнту відповідати на запити суб’єктів даних і виконувати обов’язки щодо безпеки;
• після завершення обслуговування видалити дані (розділ 8), а до того — надати їх копію на запит;
• надавати інформацію, потрібну для підтвердження дотримання цих зобов’язань.

Цей розділ разом з Умовами використання становить угоду про обробку даних. Для Клієнтів з ЄС чи інших юрисдикцій, де потрібен окремий документ, ми на запит підписуємо окрему угоду про обробку даних (DPA), зокрема зі Стандартними договірними положеннями ЄС.

11. Інциденти безпеки

Якщо станеться витік або інший інцидент, що зачіпає персональні дані, ми без зайвої затримки повідомимо уражених Клієнтів — щодо даних лідів не пізніше ніж за 72 години після того, як дізнаємося про нього, — з описом інциденту, його ймовірних наслідків і вжитих заходів. Коли цього вимагає закон, ми повідомляємо також наглядовий орган і самих суб’єктів даних.

12. Cookies і локальне сховище

• Сайт retain-growth.ai використовує cookies вимірювання й реклами: Google Analytics і Meta Pixel (cookie _fbp); у браузері також зберігається вибрана мова.
• Застосунок зберігає в браузері сесію входу — без неї кабінет не працює.
• Лендінги Клієнтів зберігають псевдонімний ідентифікатор відвідувача для аналітики Клієнта. Якщо Клієнт додає на лендінг власні пікселі (Meta Pixel, TikTok, Google Tag) чи інший код, за них і за отримання згоди відвідувачів відповідає Клієнт.

13. Міжнародна передача даних

Основна база даних розміщена у Великій Британії, щодо якої діє рішення ЄС про адекватний рівень захисту. Окремі постачальники (Netlify, Meta, OpenRouter, AI-моделі) можуть обробляти дані в США та інших країнах. У таких випадках ми покладаємося на Стандартні договірні положення ЄС або інші гарантії, передбачені законом.

14. Діти

Платформа призначена для бізнесу й не розрахована на осіб до 18 років. Ми свідомо не збираємо дані дітей як Клієнтів. Клієнти не повинні використовувати платформу для комунікації з дітьми без правової підстави, яку вимагає закон.

15. Зміни Політики й контакти

Ми можемо оновлювати цю Політику; нова редакція публікується на цій сторінці з датою, а про суттєві зміни ми повідомляємо Клієнтів заздалегідь.

Retain Growth (ФОП), РНОКПП 3434805312
Email: support@retain-growth.ai

1. Who we are

The Retain Growth platform is provided by a Ukrainian sole proprietor (FOP) trading as Retain Growth, taxpayer number (RNOKPP) 3434805312 (“Retain Growth”, “we”). For any question about personal data, write to support@retain-growth.ai.

2. Our role: controller and processor

Retain Growth is a multi-tenant platform: businesses (“Customers”) use it to communicate with their own leads. So our role depends on the data.

• We are the controller of data about our Customers and their staff (accounts, subscription billing, support requests) and about visitors to our website. We decide why and how this data is processed.
• We are a processor of our Customers’ leads’ data — people who message a Customer’s bot or messenger, follow the Customer’s link or open the Customer’s landing page. The Customer is the controller of that data: it decides whom to message and what to say, what data to collect and how long to keep it. We process it only on the Customer’s instructions and to provide our service to them.

3. Data we process

3.1. Customers and their staff

• name, email, organisation name and role;
• login data (passwords are stored only as a hash by our authentication provider);
• your Telegram ID if you connect our support or notification bot; browser push subscription data for notifications;
• technical logs: actions in the app, IP address, browser type — for security and troubleshooting;
• correspondence with support.

3.2. Subscription billing

Plan, amounts and charge history, the exchange rate on the payment date, plus a masked card number and a card token from the payment provider. We never receive or store the full card number or CVV — the provider handles them.

3.3. Customer channel credentials

Telegram bot tokens, Meta access tokens (WhatsApp Business connected via Meta Embedded Signup, and Messenger), Conversions API tokens, and keys for AI providers and payment services the Customer connects. They are kept in an encrypted secrets vault, are not reachable from the browser and are used only to operate that Customer’s channels.

3.4. Leads’ data (we are the processor)

• messenger name and username (Telegram, Messenger, Instagram, WhatsApp), profile picture, profile ID, phone number (where the channel provides it, e.g. WhatsApp);
• messages and attachments, including voice messages and their transcripts;
• tags, stages, manager notes, funnel progress, AI-generated replies;
• payments made through a payment service the Customer connected;
• ad click data: click identifier (including fbclid), UTM tags and, for clicks into Telegram, the IP address and browser type at the time of the click;
• on Customers’ landing pages — a pseudonymous visitor ID stored in the browser and time spent on the page.

3.5. Visitors to retain-growth.ai

The website uses analytics (Google Analytics 4) and the Meta Pixel. The hosting provider records technical request data (IP address, browser type) in service logs; your language choice is stored in your browser.

Meta Pixel. retain-growth.ai runs the Meta Pixel. It sends Meta your page views and clicks on buttons that lead to sign-up, device and browser data (device type, browser, IP address, page address and referrer) and an identifier from the _fbp cookie; if you are logged in to Facebook in that browser, Meta may match the visit to your account. We use this to measure the effectiveness of our ads and to build audiences for showing our ads (retargeting and look-alike audiences). You can opt out in your Meta ad settings, or by blocking third-party cookies or trackers in your browser.

3.6. Data received from Meta platforms (Messenger, Instagram, WhatsApp)

When a Customer connects their Facebook Page, Instagram account or WhatsApp Business number to Retain Growth, we receive from Meta only what that channel needs, and only about people who communicate with that Customer:

• the person’s identifier in the channel (PSID on Messenger, IGSID on Instagram, the number on WhatsApp), name, username and profile picture — to show the conversation partner in the Customer’s inbox;
• messages (text, voice, images, attachments) and story replies;
• comments on the Customer’s posts that trigger an automatic reply in private messages;
• delivery data (time, “sent / delivered / read” status).

Purpose: to run the conversation on the Customer’s behalf, run their automated funnels and replies, and show the history to the Customer’s team. We do not sell this data, do not pass it to advertising networks and do not use it for profiling or advertising. To write a reply or a voice transcript, text and voice messages are sent to the AI provider whose key the Customer connected (section 5).

Retention: while the Customer keeps the channel connected and does not delete the lead, and no longer than 30 days after the account is deleted. The access token of the Page or account is kept in an encrypted vault and deleted as soon as the Customer disconnects the channel.

Deletion: if you remove the Retain Growth app in your Facebook settings and choose “Delete data”, Meta notifies us and we anonymize your data (name, picture, identifiers, message text, transcripts, attachments) and confirm it with a code. You can also send a request on retain-growth.ai/data-deletion or by email to support@retain-growth.ai; we act within 30 days.

4. Purposes and legal bases

• Providing the service — sign-up, channels, CRM, funnels, AI agent, landing pages (performance of a contract).
• Subscription billing and accounting — charges, payment history, bookkeeping and tax (performance of a contract, legal obligation).
• Security — preventing abuse, fraud and unauthorised access, isolating Customers’ data (legitimate interest).
• Support and service messages — answering requests, notices about billing, changes and outages (performance of a contract).
• Improving the product — only in aggregated or de-identified form (legitimate interest).
• Marketing emails — only with your consent or about similar services, with an opt-out at any time.

We process leads’ data only for purposes set by the Customer. The Customer is responsible for the legal basis for that processing (consent, contract, legitimate interest).

5. Who we share data with

We do not sell personal data. We share it only with providers the platform cannot run without (sub-processors), and only as much as needed:

• Supabase — database, authentication, file and secrets storage (data centre in London, United Kingdom);
• Netlify — hosting of the website and server functions;
• Telegram — delivering messages of Customers’ bots and of our support and notification bots;
• Meta Platforms — WhatsApp Business Platform, Messenger, Instagram and the Conversions API (see sections 3.6 and 6);
• OpenRouter and the AI models the Customer chooses — conversation text and voice messages are sent to generate a reply or a transcript, using the key the Customer connected;
• payment providers (including monobank) — subscription payments and payments the Customer accepts;
• Google Fonts — website fonts (the provider receives your IP address when a font loads).

Data may also be disclosed when required by law or to protect our rights.

6. Meta Conversions API

If a Customer turns on conversion tracking for a lead-gen link or landing page, we send events (such as “Lead” or “Purchase”) to Meta on the Customer’s behalf and with the Customer’s Meta token:

• event name, time and ID, channel (Telegram, WhatsApp, Messenger), value and currency;
• the ad click identifier (fbc, built from fbclid);
• for clicks into Telegram — the IP address and browser type at the time of the click.

Names, phone numbers and message content are not sent to Meta. The purpose is to show in the Customer’s ad account which ads bring leads and sales. The Customer is responsible for having a legal basis or consent for this transfer and for complying with Meta’s Business Tools Terms; it can be switched off at any time.

7. Storage and security

• Each organisation’s data is isolated at the database level: a user can see only their own organisation’s data.
• Tokens, keys and card data are kept in an encrypted secrets vault and are not reachable from the browser.
• All traffic is encrypted in transit (TLS).
• Staff access is limited to those who need it to support and run the platform; admin actions are logged.
• Landing pages are checked for signs of fraudulent content before they are published.

No system is 100% secure, but we apply reasonable technical and organisational measures and keep improving them.

8. Retention

• Account and organisation data, including leads’ data — while the account is active and for up to 30 days after it is deleted.
• Leads’ data can be deleted by the Customer at any time.
• Payment records — for the periods required by tax and accounting law.
• Technical logs — for a limited time needed for security and troubleshooting.
• Backups are overwritten on a regular cycle; deleted data leaves them with that cycle.

9. Your rights

Under the GDPR and the Law of Ukraine “On Personal Data Protection” you have the right to:

• know what data we process about you and get a copy of it (access);
• have inaccurate data corrected;
• have your data erased (“right to be forgotten”);
• restrict or object to processing, including processing based on legitimate interest;
• receive your data in a structured, machine-readable format and move it to another service (portability);
• withdraw consent at any time where processing is based on consent;
• lodge a complaint with a supervisory authority — in Ukraine, the Ukrainian Parliament Commissioner for Human Rights; in the EU, the data protection authority of your country.

To exercise your rights, write to support@retain-growth.ai or use the data deletion page: retain-growth.ai/data-deletion. We reply within 30 days and may ask you to verify your identity. If you are a lead of one of our Customers, see the note in section 2.

10. Data processing for business customers (DPA)

For leads’ data, as a processor we undertake to:

• process the data only on the Customer’s documented instructions — the platform settings and actions in the app;
• ensure confidentiality by staff who have access to the data;
• apply the security measures described in section 7;
• use only the sub-processors listed in section 5 and announce changes to them in advance;
• assist the Customer in responding to data subject requests and meeting its security obligations;
• delete the data when the service ends (section 8) and, before that, provide a copy on request;
• make available the information needed to demonstrate compliance with these obligations.

This section, together with the Terms of Use, forms our data processing agreement. For Customers in the EU or other jurisdictions that require a separate document, we will sign a standalone Data Processing Agreement on request, including the EU Standard Contractual Clauses.

11. Security incidents

If a breach or other incident affects personal data, we will notify the affected Customers without undue delay — for leads’ data no later than 72 hours after becoming aware of it — describing the incident, its likely consequences and the measures taken. Where the law requires, we also notify the supervisory authority and the data subjects.

12. Cookies and local storage

• retain-growth.ai uses measurement and advertising cookies: Google Analytics and the Meta Pixel (the _fbp cookie); your chosen language is also stored in the browser.
• The app stores your login session in the browser — the app cannot work without it.
• Customers’ landing pages store a pseudonymous visitor ID for the Customer’s analytics. If a Customer adds their own pixels (Meta Pixel, TikTok, Google Tag) or other code to a landing page, the Customer is responsible for them and for obtaining visitors’ consent.

13. International transfers

Our main database is hosted in the United Kingdom, which benefits from an EU adequacy decision. Some providers (Netlify, Meta, OpenRouter, AI models) may process data in the United States and other countries. In those cases we rely on the EU Standard Contractual Clauses or other safeguards provided by law.

14. Children

The platform is built for businesses and is not intended for anyone under 18. We do not knowingly collect children’s data as Customers. Customers must not use the platform to communicate with children without the legal basis the law requires.

15. Changes and contact

We may update this Policy; the new version is published on this page with its date, and we notify Customers of material changes in advance.

Retain Growth (sole proprietor, FOP), RNOKPP 3434805312
Email: support@retain-growth.ai