Політика конфіденційності еОбіг

Володілець персональних даних: ТОВАРИСТВО З ОБМЕЖЕНОЮ ВІДПОВІДАЛЬНІСТЮ «ЕЛЕКТРОННИЙ ОБІГ» Код ЄДРПОУ: 46191111 Місцезнаходження: Україна, 04077, місто Київ, вулиця Дніпроводська, будинок 1а, офіс 1 Контакт: privacy@eobig.com

Редакція від: 5 серпня 2026 року

1. Про що цей документ

1.1. Політика пояснює, які персональні дані обробляє ТОВ «електронний Обіг» у зв'язку з роботою сервісу еОбіг, з якою метою, на якій правовій підставі, як довго ми їх зберігаємо і які права має суб'єкт персональних даних.

1.2. Розроблено відповідно до Закону України «Про захист персональних даних» № 2297-VI (далі — Закон), зокрема статей 7, 8, 9, 11, 12, 14, 15, 21, 24 і 29, Закону України «Про інформацію», Закону України «Про електронні документи та електронний документообіг» № 851-IV, Закону України «Про електронні комунікації» № 1089-IX, Конвенції про захист осіб у зв'язку з автоматизованою обробкою персональних даних (ETS № 108) та Протоколу про внесення змін до неї (CETS № 223, «Конвенція 108+»).

1.3. Поширюється на https://eobig.com, https://portal.eobig.com, мобільні й вебінтерфейси Сервісу та його програмні інтерфейси.

1.4. Термінологія. Закон вживає терміни «володілець» і «розпорядник персональних даних». Далі використовуються терміни Закону.

1.5. Територія надання. Сервіс орієнтований на ринок України й не пропонується цілеспрямовано особам, які перебувають на території Європейського Союзу. Регламент (ЄС) 2016/679 (GDPR) до діяльності Виконавця не застосовується.

2. Дві ролі, у яких ми діємо

Простими словами: ваші дані як клієнта — це наша зона відповідальності. Але коли ви завантажуєте договір із паспортними даними третьої особи або фотографуєте чийсь паспорт для розпізнавання — господарем цих даних залишаєтесь ви, а ми лише технічно їх обробляємо на ваше замовлення. Правила цієї частини — в окремому документі, DPA.

2.1. Ця Політика детально описує першу роль. Друга роль регулюється Угодою про обробку персональних даних; розділ 5 цієї Політики описує її оглядово, щоб картина була повною.

3. Дані, які ми обробляємо як володілець

3.1. Ми не обробляємо даних про расове чи етнічне походження, політичні, релігійні та світоглядні переконання, членство в партіях і профспілках, стан здоров'я, статеве життя, генетичні дані, а також дані про притягнення до відповідальності — тобто особливі категорії даних у розумінні статті 7 Закону.

Ми не здійснюємо біометричної обробки. Функція розпізнавання даних із зображень витягує виключно текстові реквізити. Ми не виділяємо біометричних шаблонів, не порівнюємо зображень облич і не здійснюємо спеціальної технічної обробки, яка дозволяла б однозначно ідентифікувати особу за її фізичними ознаками. Деталі — у пункті 4.4.

3.2. Повних реквізитів платіжних карток ми не отримуємо. Оплата проходить на стороні LiqPay (АТ КБ «ПриватБанк»).

3.3. Ми не записуємо сеансів роботи й екрана, не використовуємо технологій відтворення дій користувача та теплових карт уваги.

3.4. Ми не ухвалюємо щодо Користувачів автоматизованих рішень, які породжують юридичні наслідки.

4. Функції штучного інтелекту: що відбувається з даними

Це найважливіший розділ. Просимо прочитати його уважно.

4.1. Змішана архітектура

Обробка Функціями ШІ здійснюється двома різними каналами, залежно від операції:

Прямо й без прикрас: якщо ви користуєтеся Функціями ШІ, зміст відповідного документа або зображення може бути переданий за межі України надавачеві послуг штучного інтелекту. Це технічно необхідно для роботи цих функцій. Умови такої передачі описано в розділі 8.

4.2. Що саме передається

Критерій вибору каналу. Операції, що потребують великих мовних або мультимодальних моделей, виконуються зовнішнім каналом. Операції, які можливо виконати власними засобами, — внутрішнім. Для функції знеособлення й автозаповнення канал залежить від складності документа; якщо для вас критично, щоб зміст не залишав Україну, вважайте цю функцію зовнішньою. Ця таблиця повністю відповідає Додатку 1 до DPA; у разі розбіжності переважну силу має DPA.

4.3. Наші зобов'язання щодо ШІ

4.3.1. Ми не використовуємо ваші документи для навчання або донавчання моделей штучного інтелекту й договірно вимагаємо того самого від залучених надавачів.

4.3.2. Ми залучаємо лише тих надавачів, які договірно зобов'язалися не зберігати вміст запитів довше, ніж це потрібно для формування відповіді та для короткострокового контролю зловживань, і не використовувати його у власних цілях.

4.3.3. Функції ШІ вмикає сам Користувач конкретною дією. Якщо ви не користуєтеся Функціями ШІ, зміст ваших документів зовнішнім надавачам не передається.

4.3.4. Ми не передаємо зовнішнім надавачам вашого імені, адреси електронної пошти чи іншої інформації про ваш акаунт разом із вмістом документа — крім випадків, коли такі дані містяться в самому документі.

4.4. Окремо про фотографії документів, що посвідчують особу

Розпізнавання даних із фото паспорта чи іншого документа, що посвідчує особу, — чутлива операція, тому описуємо її окремо й прямо.

Що ми робимо і чого не робимо.

• Із зображення витягуються виключно текстові реквізити — прізвище, ім'я, по батькові, номер документа, дата видачі, орган видачі, реєстраційний номер тощо.
• Ми не здійснюємо біометричної ідентифікації: не будуємо біометричних шаблонів, не порівнюємо облич, не використовуємо зображення для встановлення чи підтвердження особи за фізичними ознаками. Саме така спеціальна технічна обробка перетворює фотографію на біометричні дані — і її ми не виконуємо.
• Зображення обробляється для виконання конкретного запиту й не зберігається нами як окремий об'єкт після завершення операції, якщо ви самі не долучили його до документа.
• Розпізнані реквізити зберігаються лише у складі документа, який ви створюєте.

Хто за що відповідає.

• Якщо ви розпізнаєте власний документ — підставою є ваша дія в інтерфейсі.
• Якщо ви розпізнаєте документ іншої особи — володільцем цих даних є ви, і саме ви зобов'язані мати правову підставу як на передавання нам зображення, так і на транскордонну передачу за частиною четвертою статті 29 Закону (розділ 8).

Наша порада: якщо для операції потрібні лише текстові реквізити, ви можете закрити або обрізати фотозображення обличчя перед завантаженням — на якість розпізнавання це не вплине, а обсяг переданих даних зменшить.

5. Дані третіх осіб у ваших документах

5.1. Документи Користувача часто містять персональні дані інших людей: контрагентів, працівників, підписувачів, осіб, зазначених у договорах, а також дані, розпізнані з фотографій.

5.2. Щодо цих даних володільцем є Користувач, а ми — розпорядником. Ми обробляємо їх виключно за дорученням Користувача: зберігаємо, передаємо адресатові, обробляємо Функціями ШІ на вимогу Користувача, забезпечуємо накладання й перевірку підписів.

5.3. Ми не використовуємо ці дані для власних цілей, не аналізуємо їх для маркетингу й не передаємо нікому, крім осіб, зазначених у розділі 7.

5.4. Правова підстава для обробки цих даних, інформування суб'єктів даних і відповіді на їхні звернення — обов'язок Користувача. Детально — в Угоді про обробку персональних даних.

5.5. Зовнішнє підписання. Якщо Користувач надсилає документ на підпис особі без Облікового запису, ми обробляємо контактні дані такої особи та накладений нею підпис за дорученням Користувача. Джерелом даних є Користувач.

6. Строки зберігання

6.1. Строки за категоріями даних наведено в таблиці розділу 3.

6.2. Документи Користувача зберігаються, доки Користувач їх не видалить або доки не буде припинено використання Сервісу.

6.3. Після припинення використання Сервісу документи залишаються доступними для вивантаження протягом 90 календарних днів, після чого видаляються. Про майбутнє видалення ми повідомляємо електронною поштою не менш ніж за 30 днів. Цей 90-денний строк застосовується незалежно від того, чи повідомив Користувач про свій вибір щодо долі документів.

6.3.1. Строк за пунктом 6.3 не змішується зі строком розгляду окремої вимоги про видалення конкретних даних — вона виконується протягом 10 робочих днів (пункт 9.3).

6.4. Ми не встановлюємо єдиного строку на весь масив даних. Для документообігу це було б неправильно: первинні документи мають власні строки зберігання за законодавством про бухгалтерський облік і архівну справу. Обов'язок дотримання цих строків лежить на Користувачеві — Сервіс не є архівною установою.

6.5. Дані можуть зберігатися довше, якщо це потрібно для виконання обов'язку, покладеного законом, для захисту від протиправних дій або для встановлення, здійснення чи захисту правових вимог.

6.6. Резервні копії зберігаються обмежений час і перезаписуються за встановленим циклом; видалення даних із робочих систем поширюється на резервні копії за спливом циклу перезапису.

7. Одержувачі даних

7.1. Ми не продаємо персональні дані та не передаємо їх рекламним мережам.

7.2. Із кожним одержувачем, який діє за нашим дорученням, укладено договір із зобов'язанням конфіденційності та обмеженням обробки нашими інструкціями.

7.3. Стаття 21 Закону. У випадках, коли стаття 21 Закону вимагає повідомлення суб'єкта персональних даних про передачу його даних третій особі, ми надсилаємо таке повідомлення на адресу електронної пошти, зазначену в Обліковому записі, у встановлений строк. Ця Політика додатково розкриває категорії одержувачів і оновлюється в порядку розділу 12. Про передачу на індивідуальну вимогу державного органу ми повідомляємо окремо, крім випадків, коли це заборонено законом або може зашкодити розслідуванню.

7.4. Стаття 12 Закону. Якщо ваші дані зібрано не у вас, а з документа нашого Користувача, повідомлення про склад, зміст і мету обробки надає Користувач як володілець — у строк, встановлений частиною другою статті 12 Закону. Це стосується, зокрема, осіб, залучених до Зовнішнього підписання, та осіб, чиї дані розпізнано із зображень.

7.5. Сервіс може містити посилання на сторонні ресурси; ця Політика на них не поширюється.

8. Місце обробки та транскордонна передача

8.1. Основна інфраструктура — в Україні. Сервери Сервісу, база даних, архів документів і резервні копії розміщені на території України.

8.2. Виняток — зовнішній канал Функцій ШІ. Для операцій, зазначених у пункті 4.1, зміст документів і зображень передається надавачам послуг штучного інтелекту, інфраструктура яких розміщена за межами України. Це транскордонна передача персональних даних у розумінні статті 29 Закону.

8.3. Правова підстава транскордонної передачі. Стаття 29 Закону допускає передачу персональних даних в іноземні держави двома шляхами, і ми чесно розмежовуємо їх.

8.3.1. Держави з належним захистом (частина друга статті 29). Це держави — члени Європейського економічного простору та держави, що є сторонами Конвенції ETS № 108. Передача до них додаткової підстави не потребує. Ми надаємо перевагу надавачам, які забезпечують обробку саме в таких державах, і закріплюємо це договірно, включно із забороною подальшого передавання (onward transfer) за їх межі.

8.3.2. Інші держави (частина четверта статті 29). Частина надавачів послуг штучного інтелекту здійснює обробку у Сполучених Штатах Америки — державі, яка не належить до зазначених у підпункті 8.3.1. Передача до таких держав здійснюється на підставі однозначної згоди суб'єкта персональних даних (пункт 1 частини четвертої статті 29) та/або гарантій щодо невтручання в особисте життя, наданих володільцем (пункт 5 частини четвертої статті 29).

Як це працює на практиці. Перед першим викликом Функції ШІ Сервіс показує вам повідомлення про передачу за межі України та просить підтвердити: «Зміст документа буде передано надавачу послуг штучного інтелекту за межі України. Підтверджую, що маю правову підставу на таку передачу щодо всіх осіб, чиї персональні дані містяться в документі».

• Щодо ваших власних персональних даних це підтвердження є вашою однозначною згодою на транскордонну передачу.
• Щодо персональних даних інших осіб володільцем є ви, і саме ви зобов'язані мати їхню однозначну згоду. Ми не маємо контакту з цими особами й отримати згоду за вас не можемо.

8.3.3. Стандартні договірні положення, зобов'язання про заборону навчання моделей і обмеження строку зберігання застосовуються нами як додатковий договірний захист, а не як самостійна правова підстава передачі за Законом.

8.4. Актуальний перелік надавачів послуг штучного інтелекту з зазначенням держави розміщення та підстави передачі наведено в Додатку 3 до DPA і надається на письмовий запит у порядку, визначеному цим Додатком.

8.5. Якщо ви не хочете, щоб зміст ваших документів залишав Україну — не використовуйте Функції ШІ. Решта функціональності Сервісу, включно зі створенням, редагуванням, підписанням, обміном і зберіганням документів, працює повністю на інфраструктурі в Україні. Це ваш повний і безумовний контроль над транскордонною передачею.

8.6. Запити іноземних органів. Ми договірно вимагаємо від надавачів послуг штучного інтелекту повідомляти нас про обов'язкові запити іноземних державних органів (де це дозволено правом відповідної держави), оскаржувати надмірні запити та розкривати мінімально необхідний обсяг. Про будь-який такий запит, що стосується даних Користувача, ми невідкладно інформуємо Користувача, якщо це не заборонено законом.

8.7. Про зміну юрисдикції розміщення серверів або про залучення нового надавача ми повідомляємо в порядку пункту 6.4 DPA, не менш ніж за 30 календарних днів.

9. Права суб'єкта персональних даних

9.1. Відповідно до статті 8 Закону ви маєте право:

• знати про джерела збирання, місцезнаходження своїх даних, мету обробки, місцезнаходження володільця чи розпорядника;
• отримувати інформацію про умови надання доступу до даних, зокрема про третіх осіб, яким вони передаються;
• на доступ до своїх персональних даних;
• отримувати не пізніш як за 30 календарних днів з дня надходження запиту відповідь про те, чи обробляються ваші дані, а також зміст таких даних;
• пред'являти вмотивовану вимогу із запереченням проти обробки;
• пред'являти вмотивовану вимогу про зміну або знищення даних, якщо вони обробляються незаконно чи є недостовірними;
• на захист від автоматизованого рішення, що має правові наслідки;
• звертатися зі скаргами до Уповноваженого Верховної Ради України з прав людини або до суду;
• застосовувати засоби правового захисту;
• вносити застереження щодо обмеження права на обробку під час надання згоди;
• відкликати згоду на обробку;
• знати механізм автоматичної обробки персональних даних.

9.2. Як скористатися. Надішліть запит на privacy@eobig.com із темою «Персональні дані». Ми відповідаємо протягом 30 календарних днів.

9.3. Видалення даних. На вимогу про видалення ми припиняємо обробку й видаляємо дані протягом 10 робочих днів, крім випадків, коли зберігання вимагається законодавством або потрібне для захисту від протиправних дій. Після видалення окремих даних частина функцій Сервісу може стати недоступною.

9.4. Відкликання згоди на розсилки — посиланням у листі або в налаштуваннях Облікового запису; воно не впливає на отримання сервісних повідомлень, необхідних для роботи Сервісу.

9.5. Якщо ваші дані потрапили до Сервісу з чужого документа — наприклад, ви є стороною договору, який завантажив наш Користувач, — володільцем ваших даних є цей Користувач. Зверніться до нього. Якщо ви звернетеся до нас, ми переадресуємо звернення відповідному Користувачеві протягом 5 робочих днів і надамо йому сприяння. Самостійно видалити чи змінити зміст чужого документа ми не маємо права.

9.6. Скаргу можна подати Уповноваженому Верховної Ради України з прав людини (https://ombudsman.gov.ua) або оскаржити дії в судовому порядку.

10. Заходи безпеки

10.1. Ми застосовуємо:

• передавання даних виключно каналом TLS;
• виконання криптографічних операцій з особистим ключем у браузері Користувача — ключ і пароль на сервери не передаються;
• шифрування чутливих даних у сховищі;
• двофакторну автентифікацію (TOTP) для Облікових записів;
• журналювання подій документа з можливістю аудиту;
• розмежування доступу за ролями всередині Компанії;
• обмеження доступу працівників за принципом мінімально необхідних прав;
• зобов'язання працівників і підрядників щодо нерозголошення, чинні після припинення відносин (стаття 10 Закону);
• регулярне резервне копіювання на керованій базі даних із контролем доступу до копій;
• приймання повідомлень про вразливості на security@eobig.com;
• періодичну оцінку ефективності вжитих заходів;
• регулярне оновлення програмних компонентів.

10.2. Ми можемо тимчасово обмежити доступ до Облікового запису за підозри на компрометацію — зокрема при аномальній активності або наявності пароля у відомих витоках — із наданням можливості відновити доступ.

10.3. Внутрішні процедури побудовано з урахуванням Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого Верховної Ради України з прав людини від 8 січня 2014 року № 1/02-14.

10.4. Жоден захід не забезпечує абсолютної безпеки. Ми зобов'язуємося діяти сумлінно й оперативно реагувати на інциденти.

11. Дії у разі інциденту

11.1. У разі інциденту, що призвів до несанкціонованого доступу, розкриття, зміни або знищення персональних даних, ми:

• невідкладно локалізуємо й усуваємо інцидент;
• повідомляємо зачеплених Користувачів без невиправданої затримки й не пізніше 72 годин з моменту виявлення;
• надаємо відомості про характер інциденту, ймовірні наслідки та вжиті заходи;
• за високого ризику для прав суб'єктів даних вживаємо заходів для їх інформування;
• взаємодіємо з Уповноваженим Верховної Ради України з прав людини.

11.2. Строк 72 години встановлено нами добровільно як внутрішній стандарт; чинний Закон такого строку прямо не встановлює.

12. Зміни до Політики

12.1. Актуальна редакція завжди доступна за адресою https://eobig.com/privacy із зазначенням дати.

12.2. Про суттєві зміни — зокрема про нових одержувачів даних або нові цілі обробки — ми повідомляємо електронною поштою не менш ніж за 10 календарних днів. Щодо зміни юрисдикції обробки та складу суброзпорядників діє спеціальний строк — не менш ніж 30 календарних днів (пункт 8.7 цієї Політики та пункт 6.4 DPA).

12.3. Попередні редакції зберігаються й надаються на запит.

13. Неповнолітні

13.1. Обліковий запис призначений для суб'єктів господарювання та повнолітніх осіб. Ми не створюємо акаунтів для осіб, які не досягли 18 років.

13.2. Ми не маємо технічної можливості перевірити вік осіб, чиї дані містяться в документах Користувачів. Відповідальність за правомірність обробки даних неповнолітніх у таких документах несе Користувач як володілець.

13.3. Про порушення повідомте на privacy@eobig.com — розглянемо невідкладно.

14. Контакти

ТОВ «електронний Обіг», ЄДРПОУ 46191111 Україна, 04077, місто Київ, вулиця Дніпроводська, будинок 1а, офіс 1

Особа, відповідальна за організацію роботи із захисту персональних даних (стаття 24 Закону), визначена наказом по підприємству; звернення — на privacy@eobig.com.

Наглядовий орган: Уповноважений Верховної Ради України з прав людини, https://ombudsman.gov.ua

15. Пов'язані документи

• Умови використання
• Публічна оферта
• Угода про обробку персональних даних (DPA)
• Політика використання cookie

Редакція від 5 серпня 2026 року.