Політика конфіденційності та зберігання даних

ПОЛІТИКА КОНФІДЕНЦІЙНОСТІ

ТА ЗБЕРІГАННЯ ДАНИХ

SaaS - платформа «ДієБух»

Редакція 1.0 Дата набрання чинності: 01 січня 2027 року

https://diebuh.com.ua/

1. ЗАГАЛЬНІ ПОЛОЖЕННЯ

1.1. Ця Політика конфіденційності та зберігання даних (далі - Політика) визначає порядок збирання, обробки, зберігання, використання, захисту, передачі та видалення персональних даних і пов’язаної інформації користувачів SaaS - платформи «ДієБух» (далі - Платформа), що надається Товариством з обмеженою відповідальністю «Дієва Бухгалтерія» (ЄДРПОУ 46179665; далі - Виконавець).

1.2. Політика є невід’ємною частиною Публічної оферти про надання платного доступу до Платформи (далі - Оферта). У разі суперечності між Політикою та Офертою щодо обробки персональних даних перевагу мають положення цієї Політики та імперативні норми законодавства України. Усі інші питання регулюються Офертою.

1.3. Застосовуються Закон України «Про захист персональних даних», Цивільний кодекс України, Закон України «Про електронну комерцію», Закон України «Про електронні документи та електронний документообіг», Закон України «Про електронні довірчі послуги», Податковий кодекс України (у частині, що стосується строків зберігання документів) та інші застосовні норми.

1.4. Платформа є виключно допоміжним цифровим інструментом. Виконавець не надає індивідуальних бухгалтерських, податкових чи юридичних консультацій, не є податковим агентом, представником користувача перед органами державної влади, кваліфікованим надавачем електронних довірчих послуг, банком або архівною установою. Будь-яке використання Платформи здійснюється Користувачем на власний ризик і під власну відповідальність.

1.5. Використовуючи Платформу, реєструючи обліковий запис, акцептуючи Оферту або надаючи будь-які дані, Користувач підтверджує, що:

- повністю ознайомився з цією Політикою;

- розуміє і приймає всі її умови;

- надає згоду на обробку персональних даних у обсязі та на умовах, визначених цією Політикою та законодавством;

- гарантує достовірність усіх наданих відомостей.

1.6. Виконавець залишає за собою право відмовити в реєстрації, обмежити або припинити доступ до Платформи без пояснення причин у разі обґрунтованої підозри в порушенні законодавства, умов Оферти або цієї Політики, а також у разі надання недостовірних даних.

2. ТЕРМІНИ ТА ВИЗНАЧЕННЯ

2.1. Персональні дані - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

2.2. Користувач - фізична особа-підприємець або уповноважена особа, яка використовує Платформу на підставі акцепту Оферти.

2.3. Володілець (контролер) - фізична або юридична особа, яка визначає мету обробки персональних даних, склад цих даних та процедури їх обробки.

2.4. Розпорядник (обробник) - фізична або юридична особа, якій володільцем персональних даних або законом надано право обробляти ці дані від імені володільця.

2.5. Обробка - будь-яка дія або сукупність дій із персональними даними, у тому числі збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання, поширення, знеособлення, знищення.

2.6. Профіль ФОП - відокремлений набір даних конкретного підприємця в межах облікового запису.

2.7. Журнал дій - технічний запис визначених подій, що фіксує ідентифікатор суб’єкта, роль, тип події, об’єкт, час (UTC), результат та, за потреби, підставу доступу.

3. РОЛІ СТОРІН У ОБРОБЦІ ДАНИХ

3.1. Виконавець як володілець

Виконавець є володільцем персональних даних, які він самостійно визначає та обробляє для таких цілей:

- реєстрація, ідентифікація та управління обліковим записом;

- укладення, виконання, зміна та припинення договору (Оферти);

- обробка платежів та ведення розрахунків;

- забезпечення безпеки, запобігання шахрайству, зловживанням та порушенням;

- комунікації з Користувачем (повідомлення, підтримка, істотні зміни умов);

- захист законних прав та інтересів Виконавця, у тому числі в судових та адміністративних провадженнях.

3.2. Виконавець як розпорядник (умови DPA)

У випадках, коли Користувач завантажує до Платформи персональні дані третіх осіб (контрагентів, отримувачів виплат тощо) і Виконавець обробляє такі дані від імені Користувача, сторони вважаються такими, що уклали умови дорученої обробки персональних даних на таких основних умовах:

- Виконавець діє виключно як розпорядник (обробник) за документованими інструкціями Користувача та в межах функціоналу Платформи;

- Користувач є володільцем (контролером) таких даних і гарантує наявність законної підстави для їх передавання та обробки, а також дотримання всіх вимог законодавства щодо повідомлення суб’єктів і отримання необхідних згод;

- Виконавець застосовує розумні технічні та організаційні заходи захисту, що відповідають характеру послуги;

- після припинення обробки Виконавець видаляє або знеособлює дані згідно з розділом 8 цієї Політики, крім випадків, коли збереження вимагається законом або необхідно для захисту прав Виконавця;

- Користувач зобов’язується відшкодувати Виконавцю будь-які збитки, витрати та претензії третіх осіб, що виникли внаслідок порушення Користувачем своїх обов’язків як володільця даних.

Ці положення становлять невід’ємну частину Оферти та цієї Політики. Детальні умови можуть бути додатково погоджені сторонами письмово.

3.3. Відповідальність Користувача

Користувач самостійно і в повному обсязі відповідає за:

- законність збирання, передавання та обробки персональних даних третіх осіб;

- достовірність, повноту та актуальність усіх внесених відомостей;

- перевірку розрахунків, документів, строків, квитанцій та результатів роботи Платформи;

- своєчасне повідомлення суб’єктів персональних даних про обробку їх даних та отримання необхідних згод;

- будь-які наслідки використання або невикористання даних, згенерованих або оброблених за допомогою Платформи.

Виконавець не перевіряє наявність правових підстав у Користувача для обробки даних третіх осіб і не несе жодної відповідальності за їх відсутність, недостовірність даних або порушення прав третіх осіб. Користувач зобов’язується захищати, відшкодовувати та утримувати Виконавця від будь-яких претензій, позовів, штрафів, збитків і витрат (включаючи судові витрати), що виникли у зв’язку з діями або бездіяльністю Користувача щодо персональних даних.

4. КАТЕГОРІЇ ОБРОБЛЮВАНИХ ДАНИХ

Виконавець обробляє лише ті дані, які необхідні для визначених цілей. Категорії включають (але не обмежуються):

1. Дані облікового запису: ім’я (або збережене ім’я), електронна адреса, номер телефону, пароль (у хешованому вигляді), роль, стан входу, історія змін облікового запису.

2. Дані профілю ФОП: ПІБ, РНОКПП, номер ФОП, система оподаткування, реквізити, класифікація запису.

3. Операційні дані: відомості про доходи, банківські та касові операції, податкові розрахунки, звітність, статуси подання, метадані документів.

4. Платіжні дані: сума, період, стан платежу, зовнішній ідентифікатор транзакції (LiqPay). Повний номер картки, CVV або CVC Виконавець не зберігає і не обробляє.

5. Технічні та журнальні дані: IP - адреса, браузер, ОС, час входу, журнал дій, технічні помилки, метадані експортів, дані про пристрої.

6. Дані третіх осіб: які Користувач самостійно завантажує (працівники, контрагенти тощо) - обробляються виключно як розпорядником.

Приватний ключ КЕП та пароль до нього не передаються на сервери Виконавця у заявленому браузерному сценарії. Підписані документи, контейнери та сертифікати у складі артефактів можуть зберігатися на сервері. Виконавець не несе відповідальності за збереження приватних ключів, які Користувач зберігає локально.

5. МЕТИ ТА ПРАВОВІ ПІДСТАВИ ОБРОБКИ

Обробка здійснюється на підставі:

- укладення та виконання договору (Оферти) - основна підстава;

- згоди суб’єкта (акцепт Оферти, окрема дія щодо регулярних платежів) - там, де це вимагається;

- законних інтересів Виконавця (безпека, запобігання шахрайству, захист прав, удосконалення сервісу, аналітика в знеособленому вигляді) - за умови, що вони не переважають права суб’єкта;

- виконання обов’язків, передбачених законом (у випадках, коли це прямо вимагається).

Дані не використовуються для сторонніх комерційних цілей, не продаються та не передаються третім особам без належної правової підстави. Виконавець має право використовувати знеособлені та агреговані дані для аналітики, покращення Платформи та статистики без будь-яких обмежень.

Відкликання згоди на обробку персональних даних (де згода є єдиною підставою) може призвести до неможливості подальшого надання послуг і припинення доступу до Платформи. Відкликання не впливає на законність обробки, здійсненої до моменту відкликання.

6. АДМІНІСТРАТИВНИЙ ДОСТУП, МОНІТОРИНГ ТА ЖУРНАЛЮВАННЯ

6.1. Адміністративна панель використовується виключно для підтримки користувачів, перевірки стану обробки операцій, розбору помилок і звернень, контролю доступу, забезпечення безпеки та підготовки історії дій. Будь-який доступ здійснюється з дотриманням принципу мінімально необхідного обсягу.

6.2. Доступ організовано за принципом мінімально необхідного обсягу та рольової моделі:

- Рівень А1: пошук, статуси, мінімізовані метадані без повного змісту документів;

- Рівень А2: предметний тимчасовий доступ до змісту (у т.ч. квитанцій ДПС) лише за документованою підставою (звернення, інцидент);

- Адміністратор безпеки або Суперадміністратор: привілейовані дії з посиленим контролем та журналюванням;

- Консультант: лише ФОП із чинними підтвердженими повноваженнями; після відкликання - негайне припинення доступу та сесій.

6.3. Повний текст квитанцій ДПС, декларацій, банківських виписок за замовчуванням не відображається. Відкриття змісту можливе лише уповноваженою роллю в контексті конкретного звернення чи документованого інциденту з фіксацією: категорії підстави, номера звернення (за наявності), ФОП, документа, працівника, часу та результату.

6.4. Технічний моніторинг статусів відокремлюється від перегляду змісту документів. Перегляд змісту можливий лише за документованою законною підставою, у необхідному обсязі, з журналюванням. Виконавець не несе відповідальності за наслідки, що виникли внаслідок законного та належним чином задокументованого адміністративного доступу.

6.5. Журнали фіксують ідентифікатор суб’єкта, роль, тип події, об’єкт, час UTC, результат та підставу адміністративного доступу. Паролі, приватні ключі та зайві секрети до журналів не включаються. Записи захищені від непомітного редагування; виправлення фіксуються новою подією. Журнали є власністю Виконавця і можуть використовуватися для захисту його прав.

7. ПЕРЕДАЧА ДАНИХ ТРЕТІМ ОСОБАМ

7.1. Виконавець може передавати дані:

- платіжним провайдерам (зокрема LiqPay) - виключно для здійснення та підтвердження оплати;

- постачальникам інфраструктури (хостинг, хмарні сервіси, резервне копіювання, моніторинг) - за договорами з вимогами захисту;

- державним органам - лише у випадках і обсязі, передбачених законом, або за судовим рішенням;

- іншим особам - за згодою суб’єкта або на іншій законній підставі, а також у разі передачі прав та обов’язків за договором (реорганізація, продаж бізнесу тощо).

7.2. Інтеграції з банками, ДПС, ПРРО та іншими зовнішніми системами здійснюються виключно за ініціативою та під контролем Користувача. Виконавець не відповідає за незалежні збої, помилки, недоступність, зміну правил, політику безпеки чи дії зовнішніх систем, а також за будь-які наслідки, що виникли внаслідок взаємодії Користувача з такими системами.

7.3. Виконавець не контролює і не несе відповідальності за обробку даних, яку здійснюють треті особи після законної передачі даних.

8. СТРОКИ ЗБЕРІГАННЯ ТА ВИДАЛЕННЯ ДАНИХ

8.1. Загальний принцип. Дані зберігаються не довше, ніж потрібно для визначених цілей та виконання законних обов’язків. Платформа не є спеціалізованим сервісом довгострокового архівного зберігання. Користувач самостійно відповідає за своєчасне експортування та архівування необхідних йому даних.

8.2. Строки зберігання. Дані зберігаються протягом строку, необхідного для досягнення цілей обробки, виконання договору, а також протягом строків, встановлених законодавством України (зокрема Податковим кодексом України). Орієнтовні строки зберігання окремих категорій даних (які можуть бути змінені Виконавцем з урахуванням вимог законодавства, технічної необхідності або законних інтересів Виконавця):

Конкретний строк зберігання може бути довшим у випадках, передбачених законом, або коли це необхідно для захисту прав та інтересів Виконавця (legal hold).

8.3. Податкові документи. Стаття 44 Податкового кодексу України передбачає різні строки (зокрема 1095, 1825, 2555 днів) залежно від категорії документа. Податковий обов’язок ФОП не переноситься на Виконавця. До затвердження окремої матриці звітних форм автоматичне скорочення зберігання звітів і квитанцій не здійснюється. Виконавець не зобов’язаний зберігати дані довше, ніж це необхідно для виконання його власних законних обов’язків.

8.4. Після припинення оплаченої підписки. Користувачу надається можливість отримати доступний експорт власних даних протягом 7 календарних днів з моменту припинення. Якщо самостійний експорт недоступний - запит протягом 7 днів; Виконавець підтверджує протягом 3 робочих днів і надає дані протягом 10 робочих днів. Після завершення зазначеного строку Виконавець має право без додаткового повідомлення припинити доступ до профілю та здійснити видалення або знеособлення даних згідно з цією Політикою і вимогами законодавства. Користувач самостійно несе всі ризики, пов’язані з несвоєчасним експортом даних.

8.5. Legal hold. Збереження даних понад орієнтовні строки допускається лише за документованою підставою (судовий спір, запит уповноваженого органу, захист прав Виконавця тощо), з визначеним обсягом і періодичним переглядом. Виконавець має право самостійно визначати необхідність такого збереження.

8.6. Резервні копії. Резервні копії шифруються. Ключ відновлення зберігається окремо. Після відновлення з копії повторно застосовуються правила видалення та відкликання прав. Архівація або блокування облікового запису не прирівнюються до видалення. Виконавець не гарантує можливість відновлення даних з резервних копій у будь-який момент.

8.7. Припинення діяльності Платформи або ліквідація Виконавця. У разі прийняття рішення про припинення надання послуг Платформи, реорганізацію, ліквідацію Виконавця або відчуження бізнесу:

- Виконавець повідомляє Користувачів електронною поштою або через особистий кабінет не менше ніж за 30 календарних днів до дати припинення доступу (крім випадків, коли коротший строк викликаний вимогами закону, рішенням суду або обставинами, що унеможливлюють дотримання цього строку);

- протягом зазначеного періоду Користувачам надається можливість експортувати свої дані в доступних форматах;

- після закінчення строку, передбаченого абзацом першим цього пункту, Виконавець має право припинити доступ до Платформи, видалити або знеособити персональні дані, а також передати дані правонаступнику (у разі реорганізації або продажу бізнесу) на умовах, що забезпечують рівень захисту не нижчий, ніж передбачений цією Політикою;

- Виконавець не несе відповідальності за наслідки несвоєчасного експорту даних Користувачем, а також за неможливість використання даних після припинення доступу;

- дані, збереження яких вимагається законодавством України (зокрема податковим), можуть зберігатися Виконавцем або його правонаступником протягом строків, встановлених законом, навіть після припинення надання послуг;

- у випадку ліквідації без правонаступника Виконавець вживає розумних заходів для видалення або знеособлення даних, за винятком випадків, коли збереження прямо вимагається законом або необхідно для завершення ліквідаційної процедури.

-

9. ПРАВА СУБ’ЄКТІВ ПЕРСОНАЛЬНИХ ДАНИХ

9.1. Суб’єкт персональних даних має право:

- знати про джерела збирання, місцезнаходження своїх даних, мету їх обробки, місцезнаходження або місце проживання (перебування) володільця чи розпорядника;

- отримувати інформацію про умови надання доступу до персональних даних;

- на доступ до своїх персональних даних;

- отримувати не пізніше ніж за тридцять календарних днів з дня надходження запиту відповідь про те, чи обробляються його персональні дані;

- пред’являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних, якщо вони обробляються незаконно чи є недостовірними;

- на захист від автоматизованого рішення, яке має для нього правові наслідки;

- відкликати згоду на обробку персональних даних (з наслідками, зазначеними в розділі 5);

- знати механізм автоматичної обробки персональних даних; на захист від такого рішення.

9.2. Запити направляються на support@diebuh.com.ua. Виконавець підтверджує отримання протягом 3 робочих днів і надає відповідь у строки, передбачені законом. Права суб’єкта мають перевагу над внутрішніми правилами компанії в межах імперативних норм. Історію дій надають після перевірки особи, повноважень, конкретного ФОП та періоду; дані інших клієнтів і службові секрети не розкриваються. Виконавець має право відмовити в задоволенні запиту, якщо він є явно необґрунтованим, надмірним або порушує права інших осіб.

10. ЗАХОДИ ЗАХИСТУ

10.1. Виконавець вживає розумних організаційних і технічних заходів, що відповідають характеру послуги та рівню ризику, зокрема:

- розмежування доступу за ролями та принципом мінімальних привілеїв;

- журналювання адміністративних і чутливих дій;

- шифрування резервних копій;

- хешування паролів;

- MFA для адміністративних ролей (у міру впровадження);

- контроль API, окремі права на експорт, захист від непомітного редагування журналів.

10.2. Виконавець не гарантує абсолютної безперервності, відсутності помилок, повної захищеності від кібератак, втрати даних чи несанкціонованого доступу. Послуга надається за принципом «як є» (as is) та «як доступно» (as available). Відповідальність Виконавця обмежується згідно з Офертою (розділ 14). Наявність незалежних збоїв третіх сторін, кібератак, дій або бездіяльності Користувача, обставин поза розумним контролем Виконавця (force majeure) сама по собі не є порушенням Виконавця і не тягне за собою його відповідальності.

10.3. Користувач зобов’язаний самостійно забезпечувати безпеку своїх облікових даних (логін, пароль, пристрої, ключі КЕП) і негайно повідомляти Виконавця про будь-які підозри щодо компрометації. Виконавець не несе відповідальності за наслідки, спричинені діями осіб, які отримали доступ до облікового запису Користувача внаслідок його недбалості.

11. МІЖНАРОДНА ПЕРЕДАЧА ДАНИХ

У разі передачі даних за межі України Виконавець забезпечує наявність належних гарантій захисту відповідно до законодавства України (у тому числі через договірні зобов’язання з постачальниками). Інформація про такі передачі надається на запит у межах, передбачених законом. Виконавець має право самостійно обирати постачальників інфраструктури, у тому числі іноземних, за умови дотримання вимог законодавства.

12. ЗМІНА ПОЛІТИКИ

12.1. Виконавець має право в будь-який час змінювати цю Політику шляхом публікації нової редакції на сайті https://diebuh.com.ua/. Істотні зміни доводяться до відома Користувачів у спосіб, передбачений Офертою (електронне повідомлення, повідомлення в особистому кабінеті тощо).

12.2. Подальше використання Платформи після набрання чинності новою редакцією означає прийняття оновлених умов, якщо інше не вимагає повторного акцепту. У разі незгоди з новою редакцією Користувач зобов’язаний припинити використання Платформи та, за бажанням, експортувати свої дані в установленому порядку.

13. КОНТАКТНІ ДАНІ

Виконавець: Товариство з обмеженою відповідальністю «Дієва Бухгалтерія»

ЄДРПОУ: 46179665

Адреса: 52001, Україна, Дніпропетровська обл., Дніпровський р-н, м. Підгородне, вул. Криворізька, буд. 39

E-mail підтримки: support@diebuh.com.ua

Сайт: https://diebuh.com.ua/

14. ЗАКЛЮЧНІ ПОЛОЖЕННЯ

14.1. Недійсність окремого положення цієї Політики не впливає на чинність інших положень. Недійсне положення підлягає заміні на найближче за змістом чинне положення, яке максимально зберігає наміри сторін.

14.2. У випадках, не врегульованих цією Політикою, застосовуються норми законодавства України та умови відповідної Оферти. У разі суперечності між цією Політикою та Офертою щодо обмеження відповідальності Виконавця перевагу мають положення Оферти.

14.3. Ця Політика затверджена та оприлюднена до початку платного використання Платформи (до 01.01.2027) і набирає чинності з 01 січня 2027 року.

14.4. Виконавець рекомендує Користувачам регулярно переглядати актуальну редакцію Політики на сайті Платформи. Незнання актуальної редакції не звільняє Користувача від обов’язку дотримуватися її умов.

14.5. Усі спори, що виникають у зв’язку з цією Політикою, підлягають вирішенню відповідно до умов Оферти (підсудність, порядок досудового врегулювання тощо).

ТОВ «Дієва Бухгалтерія»

Редакція 1.0

Дата набрання чинності: 01 січня 2027 року