Політика конфіденційності

1. Загальні положення

1.1. Ця Політика конфіденційності (далі – Політика) визначає, як ФОП Деркач Андрій Васильович (місцезнаходження: Україна, 46016, Тернопільська обл., м. Тернопіль, вул. Леся Курбаса, буд. 7), далі – «Компанія» або «ми», обробляє персональні дані під час роботи онлайн-сервісу LedgerBuh за посиланням – https://ledgerbuh.com.ua (далі – Сервіс), відповідно до Закону України «Про захист персональних даних» (далі – Закон).

1.2. Запити щодо персональних даних, зокрема щодо реалізації прав суб’єкта персональних даних, надсилайте на адресу andrii.derkach@ledgerbuh.com.ua.

1.3. Сервіс обробляє дві окремі групи персональних даних:

• дані Користувача – особи, яка зареєструвалася в Сервісі, та учасників її команди. Щодо них Компанія є володільцем персональних даних;
• дані клієнтів Користувача – фізичних осіб-підприємців, облік яких Користувач веде в Сервісі, та їхніх контрагентів. Щодо них володільцем є Користувач або інша особа, від імені чи за дорученням якої діє Користувач, а Компанія – розпорядником, що обробляє їх за дорученням Користувача в межах, визначених цим дорученням. Права й обов’язки сторін щодо цих даних визначає розділ 11 Публічного договору (оферти) – https://ledgerbuh.com.ua/offer.

1.4. Реєструючись у Сервісі (зокрема через обліковий запис Google) або продовжуючи ним користуватися, Користувач підтверджує, що ознайомився з цією Політикою, та надає згоду на обробку своїх персональних даних на її умовах. Якщо Користувач не погоджується з Політикою, він не повинен користуватися Сервісом.

1.5. Користувач відповідає за збереження своїх облікових даних (логіна, пароля, доступу до облікового запису Google). Компанія не відповідає за наслідки доступу третіх осіб до облікового запису, що став можливим через недбале ставлення Користувача до цих даних.

1.6. Користувач забезпечує наявність належних правових підстав і необхідних повноважень для внесення, передачі та обробки персональних даних третіх осіб у Сервісі, а також виконання передбачених законодавством обов’язків щодо інформування відповідних суб’єктів персональних даних. Компанія здійснює обробку таких даних у межах надання послуг і відповідно до отриманого доручення.

2. Які дані ми обробляємо

2.1. Дані Користувача:

• email, ім’я, номер телефону, хеш пароля (сам пароль не зберігається) або ідентифікатор облікового запису Google;
• налаштування облікового запису, склад команди та ролі учасників;
• дані про оплату послуг (дані платіжної картки Сервіс не отримує й не зберігає);
• звернення до підтримки та листування з нами;
• технічні дані: IP-адреса, дата й час запитів, тип браузера – у журналах Сервісу; дані cookies (розділ 8).

2.2. Дані клієнтів Користувача, які Користувач вносить у Сервіс або отримує через підключені ним інтеграції: прізвище, ім’я, по батькові, реєстраційний номер облікової картки платника податків (РНОКПП), адреси, банківські рахунки, банківські виписки, дані контрагентів із призначень платежів, чеки, декларації, книги обліку доходів та інші облікові дані.

2.3. Сервіс не призначений для цілеспрямованого збирання або обробки спеціальних категорій персональних даних. Окремі відомості такого характеру можуть міститися в документах та інформації, які Користувач самостійно завантажує або передає через Сервіс (наприклад, у призначенні платежу). Такі відомості обробляються виключно в межах надання послуг відповідно до визначених цілей обробки та вимог законодавства.

3. Мета та підстави обробки

3.1. Ми обробляємо персональні дані, щоб:

• надавати послуги Сервісу: вести облік, формувати й подавати звітність, імпортувати виписки, забезпечувати спільну роботу команди Користувача;
• реєструвати Користувача, надавати доступ і приймати оплату;
• надсилати службові листи й нагадування, відповідати на звернення;
• забезпечувати належне функціонування, підтримку, розвиток та вдосконалення Сервісу, зокрема перевіряти коректність обробки інформації, виявляти й усувати технічні недоліки, підвищувати точність автоматизованих процесів, сумісність із різними форматами документів, надійність і безпеку Сервісу;
• за згодою Користувача – аналізувати відвідуваність сайту (розділ 8);
• виконувати обов’язки, встановлені законодавством України.

3.2. Підставами обробки є згода суб’єкта персональних даних, укладення й виконання договору з Користувачем, виконання обов’язків, передбачених законом, а також законний інтерес Компанії у забезпеченні безпеки Сервісу (стаття 11 Закону).

4. Кому ми передаємо дані

4.1. Для надання послуг ми залучаємо третіх осіб – розпорядників персональних даних. Нижче наведено їх категорії; постачальники в колонці «Приклад» є чинними на дату редакції Політики. Кожен отримувач одержує лише ті дані, що потрібні для його функції.

4.2. Передача персональних даних за межі України може здійснюватися в межах, необхідних для функціонування Сервісу та надання послуг, із залученням постачальників технологічних і допоміжних сервісів; країни, до яких передаються дані, зазначені в колонці «Де» таблиці вище. Така передача здійснюється відповідно до вимог законодавства України, зокрема статті 29 Закону, за наявності належних правових підстав та із застосуванням передбачених законодавством заходів захисту персональних даних.

4.3. Для автоматичного розпізнавання банківських виписок, формат яких Сервіс не підтримує напряму, Компанія може передавати вміст таких виписок, зокрема реквізити операцій і контрагентів, сервісу Vertex AI платформи Google Cloud (Google). Обробка відбувається на серверах у країнах Європейського Союзу відповідно до умов надання послуг Google Cloud, із застосуванням передбачених постачальником заходів захисту персональних даних. Google не використовує передані дані для навчання моделей без відповідного дозволу. Умови та строки зберігання інформації визначаються договірними умовами, технічними особливостями й налаштуваннями використовуваних сервісів.

4.4. Для технічного супроводу, розробки, діагностики та вдосконалення Сервісу Компанія може використовувати спеціалізовані програмні засоби, зокрема інструменти на основі штучного інтелекту. У процесі їх використання окремі відомості, необхідні для виконання відповідних технічних завдань, можуть передаватися постачальникам таких засобів, зокрема Anthropic (США). Компанія застосовує заходи для обмеження обсягу переданої інформації та захисту персональних даних. Умови обробки й строки зберігання інформації постачальниками визначаються відповідними договірними умовами та налаштуваннями використовуваних сервісів.

4.5. Дані банків, ПРРО, Google Таблиць та інших інтеграцій передаються лише тоді, коли Користувач сам підключив відповідну інтеграцію або виконав відповідну дію в Сервісі.

4.6. Без згоди Користувача персональні дані можуть бути розкриті лише у випадках, передбачених законом, зокрема на обґрунтований запит органу, уповноваженого його подавати.

4.7. Ми не продаємо персональні дані й не передаємо їх третім особам для реклами.

5. Хто з нашого боку має доступ до даних

5.1. Доступ до даних мають лише члени команди, які підписали зобов’язання про нерозголошення, і лише в обсязі, потрібному для їхніх задач: підтримки Користувачів, діагностики помилок, адміністрування Сервісу.

5.2. У межах забезпечення функціонування, технічної підтримки та вдосконалення Сервісу уповноважені члени команди можуть здійснювати обмежений доступ до інформації та документів, що обробляються Сервісом, якщо це необхідно для перевірки коректності роботи його функцій, діагностики й усунення помилок, забезпечення сумісності, якості та надійності обробки даних. Такий доступ здійснюється виключно в межах відповідних службових завдань із застосуванням передбачених Компанією заходів захисту інформації.

5.3. Для забезпечення стабільності та якості Сервісу Компанія може здійснювати технічну перевірку, повторну обробку та аналіз інформації, отриманої під час використання Сервісу, зокрема для контролю правильності автоматизованих операцій, усунення виявлених недоліків і запобігання їх повторному виникненню. Обробка здійснюється в обсязі, необхідному для досягнення зазначених цілей, із застосуванням знеособлення або інших заходів мінімізації персональних даних, коли це технічно можливо та відповідає меті обробки.

5.4. У процесі технічного супроводу та вдосконалення Сервісу Компанія може формувати й використовувати допоміжні технічні матеріали, необхідні для перевірки працездатності, сумісності та коректності його функцій. Якщо такі матеріали містять персональні дані, їх обробка здійснюється відповідно до цієї Політики, визначених строків зберігання та вимог законодавства. Матеріали, належним чином знеособлені так, що ідентифікація фізичних осіб неможлива, можуть використовуватися для подальшого технічного вдосконалення Сервісу.

6. Строки зберігання

6.1. Ми зберігаємо персональні дані не довше, ніж це потрібно для цілей обробки або вимагає законодавство:

6.2. Резервні копії бази даних створюються за графіком ротації (щоденні, щотижневі та щомісячні копії); тому видалені з бази дані остаточно зникають із резервних копій у строк, зазначений у таблиці. До резервних копій немає доступу з Сервісу, і вони використовуються лише для відновлення після збою.

6.3. Копії звернень і службових сповіщень, передані в робочі канали підтримки (п. 4.1), зберігаються протягом строку, необхідного для розгляду звернень і супроводу Сервісу.

7. Видалення облікового запису

7.1. Користувач може видалити свій обліковий запис у налаштуваннях облікового запису кнопкою «Видалити акаунт» або надіславши запит на адресу andrii.derkach@ledgerbuh.com.ua.

7.2. Протягом 30 днів після отримання запиту на видалення обліковий запис залишається вимкненим, а Користувач може скасувати його видалення. Після завершення зазначеного строку дані видаляються з активних систем Сервісу, крім інформації, подальше зберігання якої необхідне відповідно до законодавства або для захисту законних прав та інтересів Компанії. Видалення інформації з резервних копій здійснюється відповідно до строків, установлених розділом 6 цієї Політики.

7.3. Якщо Користувач є учасником компанії в Сервісі:

• якщо в компанії є інші учасники, компанія та її дані зберігаються, а видаляється лише членство Користувача;
• єдиний власник компанії, в якій є інші учасники, не може видалити обліковий запис, доки не призначить іншого власника або не видалить компанію;
• якщо Користувач – єдиний учасник компанії, компанія видаляється разом з усіма даними.

8. Cookies та аналітика

8.1. Cookies – невеликі файли, які сайт зберігає у браузері. Необхідні cookies (вхід до облікового запису, збереження вибору щодо cookies) працюють завжди, бо без них Сервіс не працює.

8.2. Аналітичні cookies (Google Analytics через Google Tag Manager) завантажуються лише після згоди Користувача в банері cookies. Без згоди аналітика не працює.

8.3. Згоду можна відкликати в будь-який момент кнопкою «Налаштування cookies» у нижній частині сайту або в меню користувача в кабінеті.

9. Звернення до підтримки

9.1. Звернутися до підтримки можна й без реєстрації – тоді ми обробляємо email і текст звернення, щоб відповісти.

9.2. Звернення пересилаються в робочу групу підтримки в Telegram. Вкладення до звернень зберігаються 30 днів.

10. Захист даних та інциденти

10.1. Ми застосовуємо технічні й організаційні заходи захисту: шифрування з’єднань, шифрування токенів доступу до банків і ПРРО, розмежування доступу, резервне копіювання, зобов’язання про нерозголошення для команди. Жоден спосіб передачі чи зберігання даних не є абсолютно захищеним, тому ми не можемо гарантувати повну відсутність ризиків, але постійно працюємо над їх зменшенням.

10.2. У разі виявлення порушення безпеки персональних даних Компанія вживає заходів для встановлення обставин інциденту, обмеження його наслідків і відновлення належного рівня захисту інформації. Користувача, чиї дані або дані клієнтів якого зачеплено інцидентом, Компанія повідомляє без зайвої затримки та описує вжиті заходи. Повідомлення інших осіб і органів здійснюється відповідно до вимог законодавства та договірних зобов’язань Компанії.

11. Права суб’єкта персональних даних

11.1. Відповідно до статті 8 Закону суб’єкт персональних даних має право:

• знати про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки, місцезнаходження володільця чи розпорядника;
• отримувати інформацію про умови надання доступу до даних, зокрема про третіх осіб;
• на доступ до своїх персональних даних;
• пред’являти вмотивовану вимогу щодо заперечення проти обробки, зміни або знищення своїх персональних даних;
• на захист від незаконної обробки та випадкової втрати, знищення, пошкодження даних;
• звертатися зі скаргами до Уповноваженого Верховної Ради України з прав людини або до суду;
• відкликати згоду на обробку персональних даних;
• знати механізм автоматичної обробки персональних даних;
• на інші права, передбачені статтею 8 Закону.

11.2. Щоб скористатися правами, надішліть запит на адресу andrii.derkach@ledgerbuh.com.ua. Ми відповідаємо не пізніше 30 календарних днів з дня отримання запиту, якщо законом не встановлено інший строк.

11.3. Запити щодо даних клієнтів Користувача ми передаємо Користувачу, який є володільцем цих даних або діє від імені чи за дорученням їх володільця, і допомагаємо їх виконати.

12. Зміни Політики

12.1. Нова редакція Політики діє з дня її публікації на сайті; дата редакції зазначена на початку сторінки. Продовження користування Сервісом після публікації означає згоду з новою редакцією.

12.2. Терміни, не визначені в цій Політиці, вживаються в значенні, наведеному в Публічному договорі (оферті) за посиланням – https://ledgerbuh.com.ua/offer.