Угода про обробку персональних даних

1. Сторони та ролі

Виконавець (оператор): ТОВ "Бізнес Оушен Юей", ЄДРПОУ 46019321.

Замовник (розпорядник): юридична або фізична особа — суб'єкт первинного фінансового моніторингу, який використовує сервіс для обліку своїх клієнтів і виконання обов'язків фінмоніторингу.

Замовник залишається відповідальним перед своїми клієнтами як розпорядник їхніх персональних даних. Виконавець діє як оператор/процесор у межах доручення Замовника.

2. Мета та предмет обробки

Виконавець обробляє персональні дані виключно для надання послуг СПФМ-Асистент:

• ведення обліку суб'єктів СПФМ та їхніх клієнтів;
• генерація внутрішніх документів (Правил, Програми, наказів, досьє тощо);
• перевірки PEP, санкційних списків, терористичних переліків;
• підготовка періодичної та річної звітності;
• ведення журналів, аудиту та доказів виконання обов'язків;
• технічна підтримка та інформування Замовника.

3. Категорії суб'єктів та даних

Категорії суб'єктів даних: працівники, керівництво та відповідальні особи Замовника; клієнти Замовника; кінцеві бенефіціарні власники; агенти та представники.

Категорії даних: ідентифікаційні (ПІБ, ЄДРПОУ/РНОКПП, дата народження); контактні (адреса, email, телефон); фінансові та операційні (зокрема реєстр оплат, сформований з банківських виписок; сама виписка не зберігається); документні (копії документів, досьє); ризикові ознаки та результати перевірок.

4. Місце обробки та субпроцесори

Обробка здійснюється в інфраструктурі Lovable Cloud (Supabase) у регіоні AWS eu-west-1 (Ірландія, ЄС). Технічне адміністрування може виконуватися з України.

Субпроцесори, залучені Виконавцем:

• Supabase — база даних PostgreSQL, автентифікація, об'єктне сховище.
• Amazon Web Services (AWS) — інфраструктура хостингу, регіон eu-west-1.
• data.gov.ua — відкриті дані ЄДР; перевірка клієнтів за переліками виконується у власній копії офіційних переліків без передачі даних клієнтів третім особам.
• Google Search Console — технічна індексація публічного сайту.
• Lovable AI Gateway — генерація документів і довідкових підказок.
• Lovable — хостинг сайту, надсилання службових листів (коди входу, сповіщення) і статистика відвідувань сайту (які сторінки відкривалися, технічні події) для панелі керування сервісом.
• Cloudflare — мережа доставки сайту і захист від автоматичних запитів.

5. Обов'язки Виконавця

• Обробляти дані лише в межах доручення Замовника та не використовувати їх у власних цілях.
• Забезпечити конфіденційність, цілісність та доступність даних.
• Застосовувати технічні та організаційні заходи захисту: TLS, RLS, автентифікацію, аудит, резервне копіювання.
• Не залучати нових субпроцесорів без повідомлення Замовника.
• Негайно повідомити Замовника про інциденти, пов'язані з безпекою даних.
• Після закриття кабінету зберігати дані Замовника в порядку, визначеному розділом 7 Публічної оферти та Політикою конфіденційності: 12 місяців у замороженому кабінеті з можливістю відновлення, далі — у внутрішньому архіві без доступу третіх осіб.

6. Обов'язки Замовника

• Мати правову підставу для передачі даних Виконавцеві.
• Надавати достовірні та актуальні дані.
• Повідомляти Виконавця про зміни в обсязі або категоріях даних.
• Отримувати необхідні згоди від суб'єктів даних, якщо це вимагається законодавством.

7. Права суб'єктів даних

Суб'єкти даних мають право на доступ, виправлення, видалення, обмеження обробки, заперечення та перенесення даних. Запити суб'єктів даних передаються Замовником Виконавцеві для виконання в розумні строки.

8. Термін дії та припинення

Угода діє протягом усього терміну використання сервісу. Після припинення договору дані Замовника зберігаються в порядку, визначеному розділом 7 Публічної оферти та Політикою конфіденційності. До закриття кабінету Замовник може вивантажити свої дані; обов'язок зберігати документи фінмоніторингу протягом строків, установлених законодавством, лежить на Замовнику.