1. Загальні положення

Ця Політика конфіденційності описує, як ФОП Кириченко Ігор Вікторович (далі — «Виконавець», «ми») збирає, обробляє, зберігає та захищає персональні дані користувачів сервісу LEX AI (далі — «Сервіс»).

Виконавець обробляє персональні дані відповідно до:

Закону України «Про захист персональних даних» (№ 2297-VI);
Загального регламенту захисту даних ЄС (GDPR, Регламент 2016/679) — для користувачів з ЄС/ЄЕЗ;
інших застосовних нормативних актів.

Використовуючи Сервіс, ви підтверджуєте ознайомлення з цією Політикою та надаєте згоду на обробку ваших персональних даних у порядку, визначеному нижче.

2. Які дані ми збираємо

2.1. Дані, які ви надаєте безпосередньо:

ім'я, прізвище, email (при реєстрації);
фото профілю (при авторизації через Google або Дію);
документи, які ви завантажуєте для AI-аналізу;
текстові запити до AI-системи;
коментарі до статей блогу;
реферальний код та дані про залучених користувачів (для учасників Реферальної програми);
дані верифікації для Реферальної програми (код ЄДРПОУ, РНОКПП або номер Свідоцтва адвоката).

2.2. Дані, які збираються автоматично:

IP-адреса та приблизна геолокація;
тип браузера та операційної системи;
час та тривалість сесій;
дії в інтерфейсі Сервісу (переглянуті сторінки, використані інструменти);
використання API (кількість запитів, типи інструментів).

2.3. Дані від третіх сторін:

профіль Google (ім'я, email, фото) — при авторизації через Google OAuth;
дані з Дія.Підпис (ПІБ, РНОКПП) — при авторизації через Дію;
платіжна інформація від Monobank (статус транзакції, без номера картки).

2.4. Дані Адвокатів (для зареєстрованих на Платформі адвокатів):

номер та дата видачі Свідоцтва про право на заняття адвокатською діяльністю;
дані з Єдиного реєстру адвокатів України (ЄРАУ);
спеціалізація, досвід, біографія;
банківські реквізити (IBAN, назва банку) для виплат;
фото профілю;
тарифи та умови надання послуг.

3. Цілі обробки даних

Ми обробляємо персональні дані для таких цілей:

3.1. Надання послуг Сервісу:

створення та управління обліковим записом;
виконання AI-аналізу завантажених документів;
семантичний пошук та отримання юридичної інформації;
зберігання документів у захищеному сховищі.

3.2. Безпека та якість:

захист від несанкціонованого доступу;
моніторинг якості та продуктивності Сервісу;
виявлення та запобігання зловживанням.

3.3. Комунікація:

відправлення сервісних повідомлень (підтвердження реєстрації, скидання пароля);
повідомлення про зміни в Умовах або Політиці.

3.4. Юридичні зобов'язання:

виконання вимог законодавства;
ведення бухгалтерського обліку (дані оплат).

3.5. Функціонування Маркетплейсу:

верифікація Адвокатів (перевірка даних у ЄРАУ);
передача матеріалів Замовника Адвокату (за явною згодою Замовника при створенні Замовлення);
зберігання логів комунікації між Замовником та Адвокатом (для вирішення спорів та претензій);
обробка ескроу-платежів та виплат Адвокатам;
розрахунок рейтингів та модерація відгуків.

3.6. Реферальна програма:

верифікація учасників (перевірка коду ЄДРПОУ, РНОКПП або номера Свідоцтва адвоката у відповідних державних реєстрах);
нарахування та облік реферальної винагороди;
формування звітності для виплати винагороди;
виявлення та запобігання зловживанням Реферальною програмою (антифрод).

Для користувачів з ЄС/ЄЕЗ ми обробляємо дані на підставі:

Згоди (ст. 6(1)(a) GDPR) — для необов'язкових функцій та маркетингу;
Виконання договору (ст. 6(1)(b) GDPR) — для надання послуг Сервісу;
Законного інтересу (ст. 6(1)(f) GDPR) — для безпеки та покращення Сервісу;
Юридичного зобов'язання (ст. 6(1)(c) GDPR) — для виконання вимог законодавства.

5. Обробка документів через AI (Anthropic, OpenAI)

ВАЖЛИВО: При використанні AI-аналізу, вміст ваших документів та запити передаються до AI-провайдерів для обробки.

Сервіс використовує кілька AI-провайдерів:

5.1. Основний провайдер — Anthropic (через AWS Bedrock):

моделі Claude (Opus, Sonnet, Haiku) є основним маршрутом обробки AI-запитів;
доступ до моделей Anthropic здійснюється через сервіс AWS Bedrock (Amazon Web Services);
дані обробляються на серверах AWS у регіоні ЄС (eu-central-1, Франкфурт);
AWS Bedrock НЕ зберігає вхідні та вихідні дані після обробки запиту;
Anthropic НЕ використовує дані, передані через AWS Bedrock, для тренування своїх моделей;
обробка регулюється Data Processing Addendum (DPA) між Виконавцем та AWS;
AWS має сертифікації SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018.

5.2. Додатковий провайдер — OpenAI:

моделі GPT-4o та GPT-4o-mini використовуються як допоміжний маршрут обробки;
модель text-embedding-3-small використовується для створення векторних ембедингів;
OpenAI виступає як субобробник (sub-processor) і обробляє дані виключно за нашими інструкціями;
OpenAI НЕ використовує дані API для тренування своїх моделей (за замовчуванням з 1 березня 2023 р.);
дані зберігаються OpenAI до 30 днів виключно для моніторингу зловживань, після чого видаляються;
обробка регулюється Data Processing Addendum (DPA) між Виконавцем та OpenAI;
OpenAI має сертифікацію SOC 2 Type 2.

Рекомендації для користувачів:

не завантажуйте документи з особливо чутливими персональними даними (медичні, фінансові), якщо це не є необхідним для аналізу;
за можливості знеособлюйте документи перед завантаженням;
зв'язуйтесь з нами, якщо потребуєте додаткових гарантій обробки чутливих даних.

6. Зберігання та захист даних

6.1. Де зберігаються дані:

облікові записи та метадані — PostgreSQL (зашифрований зв'язок);
документи — MinIO (S3-сумісне сховище з шифруванням);
векторні embeddings — Qdrant (для семантичного пошуку);
кеш сесій — Redis (дані зберігаються тимчасово).

6.2. Заходи безпеки:

шифрування даних при передачі (TLS 1.2+);
наскрізне шифрування документів (E2EE) за вибором Користувача — вміст документів шифрується у браузері алгоритмом AES-256-GCM, ключі зберігаються виключно на стороні Користувача (X25519 + Argon2id KDF), Виконавець не має технічної можливості дешифрувати такі документи;
автентифікація через JWT-токени;
рольовий контроль доступу;
аудит-лог з хеш-ланцюгом для відстеження доступу;
ізоляція даних між клієнтами (matter segregation);
регулярне резервне копіювання.

6.2.1. Наскрізне шифрування документів (E2EE): За вибором Користувача документи можуть бути захищені наскрізним шифруванням. При цьому:

метадані документів (назва, тип, дата) зберігаються у відкритому вигляді для забезпечення пошуку та фільтрації;
семантичні embeddings зберігаються у Qdrant для забезпечення семантичного пошуку;
вміст документів (повний текст) шифрується та зберігається у зашифрованому вигляді;
при втраті пароля шифрування та резервного файлу ключа доступ до зашифрованих документів не може бути відновлений.

6.3. Строки зберігання:

дані облікового запису — протягом дії акаунту + 30 днів після видалення;
завантажені документи — протягом дії акаунту, видаляються за запитом;
логи використання — 90 днів;
дані оплат — 5 років (вимога законодавства);
дані AI-запитів — до 30 днів (abuse monitoring OpenAI; AWS Bedrock не зберігає дані після обробки);
логи комунікації Маркетплейсу — 12 місяців з дати завершення Замовлення;
дані верифікації Адвокатів — протягом дії акаунту Адвоката + 3 роки;
дані ескроу-транзакцій — 5 років (вимога законодавства);
реферальні дані (коди, нарахування винагороди, дані верифікації учасників) — протягом дії акаунту + 3 роки після видалення.

7. Передача даних третім сторонам

Ми передаємо персональні дані виключно таким категоріям одержувачів:

7.1. Субобробники (sub-processors):

Amazon Web Services, Inc. (AWS Bedrock, ЄС/США) — основний AI-аналіз документів та запитів (моделі Anthropic Claude);
OpenAI, LP (США) — допоміжний AI-аналіз та векторні ембединги;
Monobank / АТ «Універсал Банк» (Україна) — обробка платежів;
Cloudflare, Inc. (США) — CDN та захист від DDoS;
Hetzner Online GmbH (Німеччина) — хостинг серверів.

7.1.1. Передача даних Адвокатам: Адвокати, зареєстровані на Платформі, отримують доступ до даних Замовника виключно в обсязі, визначеному Замовником при створенні Замовлення, та виключно для цілей надання юридичної Консультації. Після завершення Замовлення доступ Адвоката до матеріалів Замовника автоматично відкликається через 7 (сім) календарних днів.

Адвокат є самостійним контролером персональних даних Замовника, отриманих у ході надання Консультації, та зобов'язаний дотримуватися вимог адвокатської таємниці відповідно до ст. 22 Закону України «Про адвокатуру та адвокатську діяльність».

Персонал Виконавця не має доступу до змісту Консультацій та матеріалів справ, за винятком випадків розгляду претензій за згодою обох сторін.

7.2. Державні органи:

на вимогу суду або органів влади відповідно до законодавства України.

Ми НЕ продаємо та НЕ передаємо персональні дані для маркетингових цілей третіх сторін.

Для передачі даних за межі ЄС/ЄЕЗ ми використовуємо Стандартні договірні умови (SCC) відповідно до рішення Європейської Комісії.

8. Права користувачів

Відповідно до законодавства та GDPR, ви маєте такі права:

Право на доступ (ст. 15 GDPR) — отримати інформацію про те, які ваші дані ми обробляємо;
Право на виправлення (ст. 16 GDPR) — виправити неточні дані;
Право на видалення (ст. 17 GDPR) — вимагати повного видалення ваших даних;
Право на обмеження обробки (ст. 18 GDPR) — обмежити обробку ваших даних;
Право на перенесення (ст. 20 GDPR) — отримати ваші дані у структурованому форматі;
Право на заперечення (ст. 21 GDPR) — заперечити проти обробки на підставі законного інтересу;
Право на відкликання згоди — в будь-який час без впливу на законність обробки до відкликання.

Для реалізації цих прав:

Експорт даних: Профіль → Privacy & Data → Export;
Видалення акаунту: Профіль → Privacy & Data → Delete;
Інші запити: [email protected].

Ми відповідаємо на запити протягом 30 днів.

Ви також маєте право подати скаргу до Уповноваженого Верховної Ради з прав людини (Україна) або до наглядового органу у вашій країні ЄС.

8.1. API експорту даних (Data Portability). Замовник може скористатися REST API методом POST /api/user/export для отримання своїх даних у машиночитаному форматі (JSON). Експорт включає: профіль, завантажені документи, історію AI-запитів, результати аналізу, історію Замовлень та логи використання.

9. Автоматизовані рішення

9.1. Відповідно до ст. 22 GDPR, Сервіс НЕ приймає рішень, що мають юридичні наслідки для Замовника, виключно на основі автоматизованої обробки, включаючи профілювання.

9.2. Результати AI-аналізу є виключно інформаційною асистенцією та не замінюють професійну юридичну консультацію. Жодне рішення Платформи (включаючи рейтинги, модерацію, ескроу-виплати) не є повністю автоматизованим — всі суттєві рішення передбачають можливість людського втручання.

9.3. Замовник має право вимагати людського перегляду будь-якого рішення, що впливає на його права, звернувшись на [email protected].

10. Оцінка законного інтересу (Legitimate Interest Assessment)

10.1. Виконавець обробляє деякі категорії даних на підставі законного інтересу (ст. 6(1)(f) GDPR) для таких цілей:

забезпечення безпеки Сервісу та запобігання шахрайству;
покращення якості Послуг на основі агрегованої аналітики;
виявлення та запобігання зловживанням.

10.2. Виконавець провів оцінку балансу інтересів (Legitimate Interest Assessment) і визначила, що зазначена обробка не переважає над правами та свободами суб'єктів даних.

10.3. Замовник має право запросити копію оцінки законного інтересу, звернувшись на [email protected].

Сервіс використовує:

необхідні cookie — для автентифікації та підтримки сесії (JWT-токени);
функціональні cookie — для збереження мовних налаштувань та преференцій інтерфейсу.

Ми НЕ використовуємо рекламні або аналітичні cookie третіх сторін. Ми НЕ відстежуємо користувачів на інших веб-сайтах.

12. Захист даних дітей

Сервіс не призначений для осіб молодших за 18 років. Ми свідомо не збираємо персональні дані неповнолітніх. Якщо ви вважаєте, що неповнолітня особа надала нам свої дані, зв'яжіться з нами для їх видалення.

13. Зміни до Політики

Ми можемо оновлювати цю Політику конфіденційності. Про суттєві зміни ми повідомляємо:

через email, зареєстрований в обліковому записі;
через повідомлення в інтерфейсі Сервісу;
не менше ніж за 14 днів до набуття чинності.

Продовження використання Сервісу після змін означає прийняття оновленої Політики.

14. Якість та безпека AI

Виконавець впроваджує комплексні заходи для забезпечення якості та безпеки AI-обробки даних:

14.1. Постійний моніторинг:

автоматичний моніторинг якості відповідей AI у реальному часі;
відстеження показників точності цитувань та посилань через систему CitationValidator;
контроль роботи HallucinationGuard для запобігання генерації некоректної інформації.

14.2. Зворотний зв'язок від Користувачів:

Користувачі можуть повідомляти про некоректні результати AI-аналізу;
кожне повідомлення аналізується для покращення якості Сервісу;
систематичний аналіз зворотного зв'язку для вдосконалення механізмів безпеки.

14.3. Регулярне тестування:

періодичне тестування механізмів HallucinationGuard та CitationValidator на актуальних юридичних даних;
перевірка точності семантичного пошуку та релевантності результатів;
оцінка ефективності захисту від помилок AI.

14.4. Аудити безпеки:

регулярний внутрішній аудит процесів AI-обробки даних;
перевірка відповідності стандартам захисту персональних даних;
оцінка впливу на захист даних (DPIA) при впровадженні нових AI-функцій.

З питань якості та безпеки AI звертайтеся: [email protected]

15. Контактна інформація

З питань захисту персональних даних звертайтеся:

ФОП Кириченко Ігор Вікторович РНОКПП: 2967214056 Адреса: 04207, Україна, м. Київ, вул. Левка Лук'яненка, буд. 19, кв. 110 Email: [email protected] Веб-сайт: https://legal.org.ua

ПОЛІТИКА КОНФІДЕНЦІЙНОСТІ