1. Визначення

«Персональні дані» — будь-яка інформація, що стосується ідентифікованої або ідентифікованої фізичної особи, відповідно до ст. 4(1) GDPR та Закону України «Про захист персональних даних».

«Обробка» — будь-яка операція з Персональними даними: збирання, запис, організація, зберігання, адаптація, зміна, витяг, перегляд, використання, розкриття, поширення, узгодження, обмеження, стирання або знищення.

«Дані Клієнта» — Персональні дані, які Клієнт завантажує, передає або іншим чином надає через Сервіс, включаючи документи для AI-аналізу, текстові запити та метадані.

«Субобробник» — третя сторона, яка обробляє Дані Клієнта від імені Обробника.

«Порушення безпеки» — випадкове або незаконне знищення, втрата, зміна, несанкціоноване розкриття або доступ до Даних Клієнта.

«Стандартні договірні умови» (SCC) — стандартні договірні умови для передачі персональних даних, затверджені Європейською Комісією (Рішення 2021/914).

«Застосовне законодавство про захист даних» — GDPR, Закон України «Про захист персональних даних» та інші застосовні нормативні акти.

2. Ролі та відповідальність

2.1. Клієнт є Контролером даних — він визначає цілі та засоби обробки Персональних даних.

2.2. Виконавець є Обробником даних — вона обробляє Дані Клієнта виключно за задокументованими інструкціями Контролера та для цілей надання Сервісу.

2.3. Якщо Клієнт сам є обробником (діє від імені свого клієнта), Виконавець виступає як Субобробник. У цьому випадку застосовується Модуль 3 (Обробник → Субобробник) SCC.

2.4. Виконавець не визначає самостійно цілі обробки Даних Клієнта та не використовує їх для власних цілей, крім випадків, передбачених цією DPA.

2.5. У контексті Маркетплейсу юридичних консультацій Виконавець виступає як Обробник даних Клієнта при забезпеченні технічної інфраструктури та як самостійний Контролер при обробці даних для цілей ескроу-розрахунків, верифікації Адвокатів, модерації та вирішення спорів.

2.6. Адвокат, зареєстрований на Платформі, є самостійним Контролером персональних даних Клієнта, отриманих у ході надання юридичної Консультації. Адвокат зобов'язаний дотримуватися вимог адвокатської таємниці відповідно до ст. 22 Закону України «Про адвокатуру та адвокатську діяльність» та Застосовного законодавства про захист даних.

3. Предмет та обсяг обробки

3.1. Предмет: обробка Даних Клієнта з метою надання послуг AI-аналізу юридичних документів, семантичного пошуку, зберігання документів та пов'язаних функцій Сервісу, а також забезпечення функціонування Маркетплейсу юридичних консультацій (ескроу-розрахунки, верифікація, рейтинги, комунікація).

3.2. Категорії суб'єктів даних:

клієнти та контрагенти Клієнта, згадані в документах;
сторони судових справ;
фізичні особи, зазначені в юридичних документах;
Адвокати, зареєстровані на Платформі;
Замовники юридичних Консультацій через Маркетплейс;
учасники Реферальної програми (ФОП, юридичні особи, адвокати) та Залучені користувачі.

3.3. Типи персональних даних:

ідентифікаційні дані (ПІБ, ІПН/РНОКПП, паспортні дані);
контактні дані (адреси, телефони, email);
юридичні дані (дані судових справ, договорів, правочинів);
фінансові дані (якщо містяться в завантажених документах);
дані верифікації Адвокатів (номер Свідоцтва, дані ЄРАУ, банківські реквізити);
логи комунікації між Замовниками та Адвокатами (метадані, без змісту захищених Консультацій);
дані ескроу-транзакцій (суми, дати, статуси платежів та виплат);
реферальні дані (реферальні коди, дані верифікації учасників, історія нарахувань винагороди, зв'язки між учасниками та залученими користувачами).

3.4. Тривалість обробки: протягом строку дії Основного договору + 30 днів після його припинення для видалення даних.

4. Інструкції Контролера

4.1. Обробник обробляє Дані Клієнта виключно відповідно до задокументованих інструкцій Контролера, які включають:

завантаження документів для AI-аналізу;
виконання пошукових запитів;
зберігання документів у сховищі (vault);
використання MCP-інструментів через API або веб-інтерфейс;
створення Замовлень та використання Маркетплейсу;
передача матеріалів Адвокату (за явною згодою Контролера);
підтвердження завершення Замовлень та ініціація виплат.

4.2. Використання Сервісу Клієнтом становить задокументовані інструкції щодо обробки.

4.3. Обробник негайно повідомить Контролера, якщо, на його думку, інструкція порушує Застосовне законодавство про захист даних.

4.4. Обробник не обробляє Дані Клієнта для цілей, не передбачених інструкціями Контролера, за винятком випадків, коли це вимагається законодавством. У такому випадку Обробник повідомить Контролера до початку обробки, якщо це не заборонено законом.

5. Конфіденційність

5.1. Обробник забезпечує, що особи, уповноважені обробляти Дані Клієнта:

прийняли на себе зобов'язання щодо конфіденційності або пов'язані відповідним законодавчим зобов'язанням;
обробляють дані виключно за інструкціями Контролера.

5.2. Обробник обмежує доступ до Даних Клієнта тільки тими працівниками, яким доступ необхідний для виконання зобов'язань за цією DPA.

6. Безпека обробки

6.1. Обробник впроваджує та підтримує відповідні технічні та організаційні заходи для забезпечення рівня безпеки, що відповідає ризику (ст. 32 GDPR):

Технічні заходи:

шифрування даних при передачі (TLS 1.2+);
шифрування даних у стані спокою (PostgreSQL, MinIO);
наскрізне шифрування документів (E2EE) — трирівнева envelope encryption (AES-256-GCM для документів, X25519 ECDH для обгортання ключів, Argon2id KDF для захисту майстер-секрету), за якої ключі шифрування зберігаються виключно на стороні Контролера, а Обробник не має технічної можливості дешифрувати вміст зашифрованих документів;
автентифікація через JWT-токени з обмеженим терміном дії;
рольовий контроль доступу (RBAC);
ізоляція даних між клієнтами (matter segregation);
аудит-лог з хеш-ланцюгом для забезпечення цілісності;
автоматичне сканування на вразливості.

Організаційні заходи:

принципи privacy by design та privacy by default;
політика мінімізації даних;
регулярне резервне копіювання з тестуванням відновлення;
процедури реагування на інциденти безпеки;
навчання персоналу з питань захисту даних.

6.2. Обробник регулярно тестує та оцінює ефективність цих заходів.

7. Субобробники

7.1. Контролер надає загальну попередню згоду на залучення Субобробників. Перелік затверджених Субобробників:

Субобробник	Юрисдикція	Функція	Механізм передачі
Amazon Web Services, Inc. (AWS Bedrock)	ЄС (Франкфурт) / США	Основний AI-аналіз документів та запитів (моделі Anthropic Claude)	SCC + DPA
OpenAI, LP	США	Допоміжний AI-аналіз та векторні ембединги	SCC + DPA
Monobank (АТ «Універсал Банк»)	Україна	Обробка платежів	Національне законодавство
Cloudflare, Inc.	США	CDN, DDoS-захист, SSL	SCC
Hetzner Online GmbH	Німеччина	Хостинг серверів	Адекватність (ЄС)
Адвокати (зареєстровані на Платформі)	Україна	Надання юридичних Консультацій	Самостійні контролери

7.2. Обробник повідомить Контролера про будь-яке додавання або заміну Субобробника не менше ніж за 14 днів до початку обробки. Контролер має право заперечити протягом 14 днів з моменту повідомлення.

7.3. Обробник укладає з кожним Субобробником угоду, яка забезпечує рівень захисту не нижчий, ніж передбачений цією DPA.

7.4. Обробник несе повну відповідальність за дії та бездіяльність своїх Субобробників.

7.5. Особливості обробки через AWS Bedrock (Anthropic):

моделі Anthropic Claude (Opus, Sonnet, Haiku) є основним маршрутом AI-обробки;
AWS Bedrock НЕ зберігає вхідні та вихідні дані після завершення обробки запиту;
Anthropic НЕ використовує дані, передані через AWS Bedrock, для тренування моделей;
обробка регулюється DPA між Виконавцем та AWS;
AWS має сертифікації SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018.

7.5.1. Особливості обробки через OpenAI:

OpenAI НЕ використовує дані API для тренування моделей;
дані зберігаються до 30 днів для моніторингу зловживань;
обробка регулюється окремою DPA між Виконавцем та OpenAI;
OpenAI має сертифікацію SOC 2 Type 2.

7.6. Особливості обробки даних Адвокатами:

Адвокати є самостійними контролерами даних, отриманих у ході Консультацій, а не субобробниками Виконавця;
Виконавець передає дані Замовника Адвокату виключно за явною згодою Замовника та в обсязі, визначеному Замовником;
після завершення Замовлення доступ Адвоката до матеріалів Замовника на Платформі автоматично відкликається через 7 (сім) календарних днів;
Адвокат зобов'язаний самостійно забезпечувати відповідність своєї обробки даних Застосовному законодавству про захист даних;
зміст Консультацій, проведених через захищені канали (відео, аудіо), захищений адвокатською таємницею — персонал Виконавця не має до нього доступу.

8. Міжнародна передача даних

8.1. Дані Клієнта можуть передаватися до наступних юрисдикцій:

Німеччина (Hetzner) — рішення про адекватність ЄС;
США (OpenAI, Cloudflare, AWS) — Стандартні договірні умови (SCC).

8.2. При передачі до третіх країн без рішення про адекватність Обробник забезпечує:

укладення SCC (Рішення Комісії 2021/914);
проведення оцінки впливу на передачу (Transfer Impact Assessment);
впровадження додаткових заходів захисту, якщо необхідно.

8.3. Обробник надає Контролеру копію відповідних SCC на запит.

9. Права суб'єктів даних

9.1. Обробник сприяє Контролеру у виконанні запитів суб'єктів даних щодо:

права на доступ (ст. 15 GDPR);
права на виправлення (ст. 16 GDPR);
права на видалення (ст. 17 GDPR);
права на обмеження обробки (ст. 18 GDPR);
права на перенесення даних (ст. 20 GDPR);
права на заперечення (ст. 21 GDPR).

9.2. Якщо Обробник отримає запит безпосередньо від суб'єкта даних, він негайно перенаправить його Контролеру, якщо інше не вимагається законодавством.

9.3. Технічні засоби реалізації:

експорт даних користувача (Профіль → Privacy & Data → Export);
видалення облікового запису (Профіль → Privacy & Data → Delete);
API-запити через [email protected].

10. Повідомлення про порушення безпеки

10.1. Обробник повідомить Контролера про Порушення безпеки без невиправданої затримки, але не пізніше ніж через 48 годин після виявлення.

10.2. Повідомлення містить:

опис характеру порушення;
категорії та приблизну кількість постраждалих суб'єктів даних;
ім'я та контактні дані відповідальної особи;
опис можливих наслідків;
вжиті або запропоновані заходи для усунення порушення.

10.3. Обробник надає Контролеру достатню інформацію для виконання його зобов'язань щодо повідомлення наглядового органу (ст. 33 GDPR) та суб'єктів даних (ст. 34 GDPR).

10.4. Обробник документує всі Порушення безпеки, включаючи факти, наслідки та вжиті заходи.

11. Оцінка впливу на захист даних (DPIA)

11.1. Обробник сприяє Контролеру у проведенні оцінки впливу на захист даних (ст. 35 GDPR) та попередніх консультацій з наглядовим органом (ст. 36 GDPR), надаючи необхідну інформацію про заходи безпеки та характер обробки.

12. Аудит

12.1. Обробник надає Контролеру всю інформацію, необхідну для демонстрації виконання зобов'язань за цією DPA.

12.2. Обробник дозволяє та сприяє проведенню аудитів та перевірок Контролером або уповноваженим аудитором:

з попереднім повідомленням не менше ніж за 30 днів;
не частіше одного разу на рік (крім випадків Порушення безпеки);
за умови дотримання зобов'язань щодо конфіденційності;
у робочий час та без істотного порушення роботи Обробника.

12.3. Якщо аудит вимагає доступу до даних інших клієнтів, Обробник може запропонувати альтернативні заходи підтвердження (звіти SOC 2, сертифікати).

13. Видалення та повернення даних

13.1. Після припинення Основного договору Обробник, за вибором Контролера:

повертає всі Дані Клієнта у стандартному машиночитаному форматі (JSON); або
видаляє всі Дані Клієнта та наявні копії.

13.2. Видалення здійснюється протягом 30 днів після припинення договору.

13.3. Обробник може зберігати копії даних тільки якщо це вимагається Застосовним законодавством, з повідомленням Контролера про підстави та обсяг збереження.

13.4. Дані, передані Субобробникам, видаляються відповідно до умов угод із Субобробниками:

AWS Bedrock: дані не зберігаються після обробки запиту;
OpenAI: автоматичне видалення через 30 днів;
Cloudflare: видалення з кешу протягом 72 годин.

13.5. Видалення даних у контексті Маркетплейсу:

матеріали Замовника, передані Адвокату: доступ на Платформі відкликається через 7 днів після закриття Замовлення;
логи комунікації: зберігаються 12 місяців з дати завершення Замовлення для цілей вирішення спорів, після чого видаляються;
дані ескроу-транзакцій: зберігаються 5 років відповідно до вимог бухгалтерського законодавства;
дані верифікації Адвокатів: зберігаються протягом дії акаунту + 3 роки після видалення.

14. Відповідальність

14.1. Кожна сторона несе відповідальність за порушення цієї DPA відповідно до Застосовного законодавства про захист даних та Основного договору.

14.2. Обробник відшкодовує Контролеру прямі збитки, завдані порушенням цієї DPA, у межах, визначених Основним договором.

14.3. Обмеження відповідальності, встановлені Основним договором, застосовуються до цієї DPA, за винятком випадків, коли таке обмеження суперечить Застосовному законодавству про захист даних.

15. Строк дії та зміни

15.1. Ця DPA діє протягом строку дії Основного договору та автоматично припиняється разом з ним.

15.2. Зобов'язання щодо конфіденційності та видалення даних залишаються чинними після припинення DPA.

15.3. Обробник може оновлювати цю DPA для відображення змін у законодавстві або практиці обробки. Про суттєві зміни Контролер буде повідомлений за 14 днів.

16. Застосовне право

16.1. Ця DPA регулюється законодавством України.

16.2. Для Контролерів з ЄС/ЄЕЗ також застосовується GDPR. У разі протиріччя між цією DPA та GDPR, положення GDPR мають пріоритет.

16.3. Спори вирішуються відповідно до процедури, визначеної Основним договором.

17. Контактна інформація

З питань обробки даних та цієї DPA:

ФОП Кириченко Ігор Вікторович РНОКПП: 2967214056 Адреса: 04207, Україна, м. Київ, вул. Левка Лук'яненка, буд. 19, кв. 110 Email: [email protected] Веб-сайт: https://legal.org.ua

Додаток A. Стандартні договірні умови (SCC)

Для передачі Даних Клієнта до третіх країн без рішення про адекватність, сторони погоджуються з застосуванням Стандартних договірних умов, затверджених Рішенням Європейської Комісії 2021/914 від 4 червня 2021 року.

Застосовуються:

Модуль 2 (Контролер → Обробник): коли Клієнт є Контролером;
Модуль 3 (Обробник → Субобробник): коли Клієнт є Обробником.

Повний текст SCC: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj

УГОДА ПРО ОБРОБКУ ДАНИХ