Угода про обробку персональних даних

1. Сторони та ролі

Виконавець (оператор): ТОВ "Бізнес Оушен Юей", ЄДРПОУ 46019321.

Замовник (розпорядник): юридична або фізична особа — суб'єкт первинного фінансового моніторингу, який використовує сервіс для обліку своїх клієнтів і виконання обов'язків фінмоніторингу.

Замовник залишається відповідальним перед своїми клієнтами як розпорядник їхніх персональних даних. Виконавець діє як оператор/процесор у межах доручення Замовника.

2. Мета та предмет обробки

Виконавець обробляє персональні дані виключно для надання послуг СПФМ-Асистент:

• ведення обліку суб'єктів СПФМ та їхніх клієнтів;
• генерація внутрішніх документів (Правил, Програми, наказів, досьє тощо);
• перевірки PEP, санкційних списків, терористичних переліків;
• підготовка періодичної та річної звітності;
• ведення журналів, аудиту та доказів виконання обов'язків;
• технічна підтримка та інформування Замовника.

3. Категорії суб'єктів та даних

Категорії суб'єктів даних: працівники, керівництво та відповідальні особи Замовника; клієнти Замовника; кінцеві бенефіціарні власники; агенти та представники.

Категорії даних: ідентифікаційні (ПІБ, ЄДРПОУ/РНОКПП, дата народження); контактні (адреса, email, телефон); фінансові та операційні; документні (копії документів, досьє); ризикові ознаки та результати перевірок.

4. Місце обробки та субпроцесори

Обробка здійснюється в інфраструктурі Lovable Cloud (Supabase) у регіоні AWS eu-west-1 (Ірландія, ЄС). Технічне адміністрування може виконуватися з України.

Субпроцесори, залучені Виконавцем:

• Supabase — база даних PostgreSQL, автентифікація, об'єктне сховище.
• Amazon Web Services (AWS) — інфраструктура хостингу, регіон eu-west-1.
• OpenSanctions — перевірка санкційних списків, PEP, терористичних переліків.
• data.gov.ua — державні відкриті дані для перевірок.
• Google Search Console — технічна індексація публічного сайту.
• Lovable AI Gateway — генерація документів і довідкових підказок.

5. Обов'язки Виконавця

• Обробляти дані лише в межах доручення Замовника та не використовувати їх у власних цілях.
• Забезпечити конфіденційність, цілісність та доступність даних.
• Застосовувати технічні та організаційні заходи захисту: TLS, RLS, автентифікацію, аудит, резервне копіювання.
• Не залучати нових субпроцесорів без повідомлення Замовника.
• Негайно повідомити Замовника про інциденти, пов'язані з безпекою даних.
• Після припинення договору повернути або видалити дані Замовника, крім резервних копій, які видаляються відповідно до політики зберігання.

6. Обов'язки Замовника

• Мати правову підставу для передачі даних Виконавцеві.
• Надавати достовірні та актуальні дані.
• Повідомляти Виконавця про зміни в обсязі або категоріях даних.
• Отримувати необхідні згоди від суб'єктів даних, якщо це вимагається законодавством.

7. Права суб'єктів даних

Суб'єкти даних мають право на доступ, виправлення, видалення, обмеження обробки, заперечення та перенесення даних. Запити суб'єктів даних передаються Замовником Виконавцеві для виконання в розумні строки.

8. Термін дії та припинення

Угода діє протягом усього терміну використання сервісу. Після припинення договору Виконавець видаляє або повертає дані Замовника в межах строків, визначених Політикою конфіденційності, але не раніше закінчення строків, встановлених законодавством для зберігання документів фінмоніторингу.