Політика конфіденційності та обробки персональних даних

1.1. Ця Політика конфіденційності та обробки персональних даних (далі — «Політика») визначає порядок, цілі, правові підстави, строки та умови обробки персональних даних Адвокатським об'єднанням «Ганган і Партнери» під час відвідування вебсайту gangan-partners.com, використання форм зворотного зв'язку, AI-асистента, підписки на інформаційні матеріали, сторінки /confidential та інших електронних функцій вебсайту (разом — «Сервіси»).

1.2. Політика застосовується до відвідувачів вебсайту, потенційних і чинних клієнтів, їхніх представників, контрагентів, авторів і отримувачів інформаційних матеріалів, кандидатів на співпрацю, а також інших осіб, персональні дані яких правомірно надходять до АО через Сервіси.

1.3. Обробка здійснюється відповідно до Конституції України, Закону України «Про захист персональних даних», Закону України «Про адвокатуру та адвокатську діяльність», Конвенції Ради Європи № 108 про захист осіб у зв'язку з автоматизованою обробкою персональних даних, Додаткового протоколу ETS № 181, Правил адвокатської етики та інших застосовних норм. Якщо виконуються умови територіального застосування Регламенту (ЄС) 2016/679 (GDPR), АО також дотримується його вимог.

1.4. Політика є частиною пакета документів вебсайту та застосовується разом із Політикою cookies, Умовами використання AI-асистента і Політикою професійної конфіденційності. Якщо спеціальний документ установлює суворіші правила для конкретного Сервісу або категорії інформації, застосовуються суворіші правила.

1.5. Сайт наразі не приймає онлайн-оплату, не містить кабінету клієнта, CRM або функції електронного підпису. До запровадження таких функцій Політика буде оновлена.

Володілець персональних даних / контролер: Адвокатське об'єднання «Ганган і Партнери», код ЄДРПОУ 45878134.

Місцезнаходження: Столичне шосе, 1, офіс П-4, м. Київ, 01013, Україна.

Контакт із питань приватності: gangan.partners@gmail.com, +38 (096) 554-98-47.

Відповідальна особа з питань захисту персональних даних: Ганган В. Г.

Представник у Європейському Союзі відповідно до статті 27 GDPR не призначений, оскільки за чинного характеру, обсягу та регулярності обробки обов'язок щодо його призначення не застосовується. У разі зміни відповідних обставин АО оновить цю Політику та контактні дані.

3.1. Терміни «персональні дані», «обробка», «суб'єкт персональних даних», «володілець», «розпорядник», «контролер», «процесор», «спеціальні категорії даних» і «одержувач» вживаються у значеннях, визначених застосовним законодавством.

3.2. АО обробляє персональні дані на засадах законності, справедливості й прозорості; визначеності та сумісності мети; мінімізації даних; точності; обмеження строків зберігання; цілісності, конфіденційності та контрольованого доступу; підзвітності та документування ключових рішень щодо обробки.

3.3. АО не продає і не передає персональні дані в оренду, не використовує зміст звернень для сторонньої реклами та не застосовує персональні дані клієнтських справ для навчання загальнодоступних AI-моделей.

Конкретний склад даних залежить від обраного Сервісу та може включати такі категорії:

4.1. Ідентифікаційні й контактні дані: ім'я, прізвище, назва організації, посада, номер телефону, адреса електронної пошти, поштова адреса, країна, мова та зручний канал зв'язку.

4.2. Дані первинного звернення та перевірки конфлікту інтересів: сторони й пов'язані особи, короткий опис питання, юрисдикція, ключові строки, бажаний вид правничої допомоги та результат перевірки можливості прийняття доручення.

4.3. Дані клієнтського досьє: договори, довіреності, процесуальні й інші документи, докази, листування, фінансова та інша інформація, необхідна для надання правничої допомоги. Такі дані приймаються лише після погодження належного каналу, обсягу та режиму доступу.

4.4. Дані AI-взаємодії: повідомлення користувача, необхідний контекст поточної сесії, автоматично згенерована відповідь, технічний статус згоди, а за окремою дією користувача — підтверджене ним коротке резюме звернення та зазначений спосіб зв'язку. АО не отримує й не зберігає повний транскрипт AI-сесії.

4.5. Технічні та мережеві дані: IP-адреса, дата і час запиту, URL, тип браузера, операційна система, тип пристрою, приблизний регіон, ідентифікатори cookies, журнали помилок, безпеки та згод.

4.6. Аналітичні й маркетингові дані: відомості про відвідані сторінки та взаємодію із сайтом, стан налаштувань cookies, факт і дата підписки, доставки, відкриття або відмови від інформаційних повідомлень — лише в межах застосовного права та наданого вибору.

4.7. Дані третіх осіб: мінімально необхідні відомості про інших учасників справи, представників, контрагентів або пов'язаних осіб, якщо їх обробка потрібна для перевірки конфлікту, належної перевірки, надання правничої допомоги чи захисту прав.

5.1. Публічні форми та AI-асистент не призначені для передавання паспортів, реєстраційних або медичних документів, даних про кримінальні правопорушення, доказів, банківської чи комерційної таємниці, повних платіжних реквізитів, паролів, кодів доступу, seed-фраз, приватних ключів, великих масивів персональних даних або детального викладу фактичних обставин справи.

5.2. Сторінка /confidential призначена для ініціювання захищеної комунікації з АО. До отримання від АО підтвердження конкретного захищеного каналу, переліку потрібних документів і кола уповноважених одержувачів користувач не повинен завантажувати або надсилати матеріали, зазначені в пункті 5.1.

5.3. Якщо особа помилково передала надмірні або чутливі дані через публічний канал, АО може без ознайомлення з непотрібним змістом видалити повідомлення, попросити повторно надіслати скорочену інформацію або запропонувати інший канал. Сам факт попередження не звільняє АО від обов'язку належно захистити фактично отримані дані.

5.4. Надаючи дані третіх осіб, користувач повинен діяти законно та не передавати більше інформації, ніж необхідно. АО самостійно визначає правову підставу обробки таких даних; згода користувача не замінює згоду чи іншу правову підставу щодо третьої особи.

АО отримує персональні дані безпосередньо від суб'єкта; від його законного або уповноваженого представника; автоматично від браузера, пристрою та інфраструктури; із документів і матеріалів справи; від контрагентів та інших учасників правовідносин; із державних реєстрів, офіційних ресурсів, судових рішень, санкційних переліків та інших відкритих або законно доступних джерел, якщо це необхідно для перевірки конфлікту, належної перевірки, виконання професійного обов'язку, захисту прав або виконання договору.

7.1. АО визначає мету, обсяг, правову підставу та строк окремо для кожної операції. Згода не використовується як універсальна підстава, якщо обробка необхідна для укладення або виконання договору, виконання закону, професійного обов'язку чи встановлення, здійснення або захисту правових вимог.

7.2. Після завершення відповідного строку дані видаляються, знищуються, анонімізуються або переводяться до архіву з обмеженим доступом. Дані можуть зберігатися довше лише в обсязі, необхідному для виконання закону, професійного обов'язку, запобігання конфлікту інтересів, виконання правомірної вимоги або захисту прав.

7.3. Строки резервних копій можуть технічно відрізнятися від строків робочих систем. Після видалення з робочого середовища дані блокуються від звичайного використання та остаточно видаляються під час планового циклу перезапису резервних копій, якщо інше не вимагається законом.

8.1. За законодавством України підставами обробки можуть бути згода суб'єкта, дозвіл закону, укладення та виконання правочину, виконання юридичного обов'язку, захист життєво важливих інтересів, необхідність захисту законних інтересів АО або третьої особи та інші підстави, передбачені законом.

8.2. Коли застосовується GDPR, АО використовує відповідну підставу зі статті 6 GDPR. Для спеціальних категорій даних додатково застосовується умова зі статті 9 GDPR, зокрема необхідність установлення, здійснення або захисту правових вимог. Дані про кримінальні правопорушення обробляються з урахуванням статті 10 GDPR та застосовного права.

8.3. Якщо обробка ґрунтується на згоді, вона є добровільною, конкретною, поінформованою та однозначною. Відмова від необов'язкової згоди не обмежує доступ до основного змісту сайту. Згода на AI, передання короткого резюме адвокату, аналітичні cookies і розсилку надається окремо та не об'єднується в одну відмітку.

9.1. Усередині АО доступ до персональних даних отримують лише адвокати, працівники, помічники, стажисти та належно залучені фахівці, яким дані необхідні для виконання конкретного завдання і які зобов'язані дотримуватися конфіденційності.

9.2. Для роботи Сервісів АО залучає таких постачальників:

Vercel Inc. (США та глобальна мережа): хостинг, серверна інфраструктура, CDN, доставка контенту, технічні журнали та захист вебсайту.

Google LLC та пов'язані компанії: Gmail для електронної пошти АО; Google Analytics 4 для статистики відвідувань. До Google Analytics не передається зміст звернень, форм або AI-діалогів.

Anthropic, PBC (США): генерація відповідей AI-асистента через комерційний API. За стандартними умовами комерційного API вхідні дані та відповіді не використовуються для навчання моделей без окремої згоди клієнта API.

Formspree, Inc. (США): технічне приймання і пересилання публічних форм та підтвердженого користувачем короткого резюме звернення. Через Formspree не повинні передаватися клієнтські досьє, докази, документи або інший зміст, що потребує спеціального захищеного каналу.

9.3. Постачальники обробляють дані в межах своїх функцій, договорів, налаштувань Сервісів і застосовного права. Актуальні переліки їхніх субпроцесорів, заходи безпеки та власні повідомлення про приватність розміщуються на офіційних ресурсах відповідних постачальників.

9.4. Дані також можуть передаватися судам, органам влади, правоохоронним органам, органам адвокатського самоврядування та іншим адресатам лише за належної правової підстави й у мінімальному обсязі, з урахуванням гарантій адвокатської таємниці. Професійні радники, аудитори, страховики або правонаступники можуть отримати мінімально необхідні дані за умов конфіденційності та законної мети.

10.1. До початку взаємодії користувач отримує чітке повідомлення, що спілкується з автоматизованою системою штучного інтелекту, а не безпосередньо з адвокатом. Відповіді генеруються автоматично, можуть бути неточними, неповними або застарілими і не є індивідуальною правничою консультацією, правовим висновком чи гарантією результату.

10.2. Публічний AI-асистент призначений лише для анонімних загальних запитань. Користувач не повинен вводити імена сторін, точні факти справи, номери проваджень, документи, докази, спеціальні категорії даних, дані про правопорушення, секрети доступу або іншу інформацію, зазначену в пункті 5.1.

10.3. Для генерації відповіді зміст повідомлення та потрібний контекст поточної сесії передаються Anthropic, PBC у США. АО не створює постійного архіву повного транскрипту. За стандартного режиму комерційного API Anthropic видаляє вхідні та вихідні дані зі своїх систем протягом 30 днів, крім випадків юридичного збереження, розслідування порушень правил використання або спеціально погодженого іншого режиму.

10.4. Передання звернення адвокату є окремою необов'язковою дією. Перед відправленням користувач бачить коротке резюме, може його виправити або скасувати та окремо підтверджує передачу. Через Formspree і на поштову скриньку АО надсилаються лише підтверджене резюме, тема звернення та зазначений спосіб і час зв'язку; повний транскрипт не передається.

10.5. AI-асистент не приймає остаточного рішення щодо прийняття клієнта, наявності конфлікту інтересів, ціни послуг, правової позиції, перспектив справи або пріоритету звернення. Такі рішення ухвалює уповноважений адвокат після належної перевірки.

10.6. Використання AI-асистента саме по собі не означає прийняття АО доручення та не створює договору про надання правничої допомоги. Водночас АО застосовує до фактично отриманої інформації вимоги конфіденційності та захисту даних у межах закону.

11.1. Публічні форми використовуються для мінімального первинного звернення: імені або обраного способу ідентифікації, контактних даних, загальної теми, юрисдикції та бажаного часу зв'язку. Повний виклад справи й документи через такі форми не приймаються.

11.2. Після первинного контакту АО може запропонувати захищений канал і визначити допустимий формат, обсяг, адресатів та строк доступу. Наявність сторінки /confidential не означає, що будь-який файл або масив даних можна передати без попереднього погодження.

11.3. Дані форми використовуються лише для доставки звернення, відповіді, перевірки конфлікту та документування згоди. Маркетингова розсилка потребує окремої згоди й не є умовою надсилання звернення.

12.1. Необхідні cookies і подібні технології використовуються для забезпечення безпеки, коректної роботи сесії, захисту форм і збереження вибору щодо приватності. Вони застосовуються без окремої згоди лише в межах, необхідних для виконання запитаної користувачем функції або для забезпечення законної безпеки.

12.2. Google Analytics 4 та інші необов'язкові аналітичні технології активуються лише після належного вибору користувача через банер cookies, коли згода вимагається законом. АО не передає до аналітики зміст звернень, форми, електронні листи або AI-повідомлення та не використовує аналітику для визначення перспектив конкретної справи.

12.3. Користувач може в будь-який момент змінити або відкликати вибір через налаштування cookies на вебсайті. Відкликання не впливає на законність попередньої обробки. Детальний перелік cookies, їхні постачальники, мета та строк дії наведено в Політиці cookies.

13.1. У зв'язку з використанням Vercel, Google, Anthropic і Formspree персональні дані можуть оброблятися у США, Європейському Союзі та інших країнах, де розташована інфраструктура постачальників або їхніх субпроцесорів.

13.2. За статтею 29 Закону України «Про захист персональних даних» передача іноземному суб'єкту здійснюється за умови належного захисту або на іншій підставі, передбаченій законом. Для необов'язкового передання тексту до AI та короткого резюме через форму АО отримує окрему однозначну поінформовану згоду на передання до США. Якщо передача необхідна для укладення або виконання договору, захисту життєво важливих інтересів, суспільного інтересу чи правових вимог, застосовується відповідна законна підстава.

13.3. Якщо застосовується GDPR, АО використовує належний механізм глави V GDPR, зокрема стандартні договірні положення, включені до чинної угоди про обробку даних із постачальником, а за потреби - додаткові технічні й організаційні гарантії. До передачі оцінюються характер даних, мета, країна призначення, умови доступу органів влади та фактична достатність гарантій. Якщо належний рівень захисту неможливо забезпечити, передачу припиняють або відповідну функцію не використовують.

13.4. Інформацію про застосований механізм передачі або доступну копію відповідних гарантій можна запросити за адресою gangan.partners@gmail.com. Окремі частини документів можуть бути приховані для захисту комерційної таємниці та безпеки.

14.1. Режим адвокатської таємниці та режим захисту персональних даних перетинаються, але не є тотожними. Факт звернення, особа клієнта або потенційного клієнта, зміст комунікації, документи та електронні дані можуть охоронятися професійною конфіденційністю незалежно від того, чи було укладено договір.

14.2. Згода на обробку персональних даних або транскордонну передачу не є загальною відмовою від адвокатської таємниці та не уповноважує АО розкривати інформацію поза визначеною метою. Розкриття третім особам здійснюється лише в мінімальному обсязі, за законною підставою та з урахуванням професійних гарантій.

14.3. Зовнішній технологічний сервіс створює окремий канал обробки. Тому факти справи, докази, документи та інші матеріали з підвищеним ризиком передаються лише через окремо погоджений захищений канал, а не через AI-асистент, публічну форму або звичайне поле для повідомлення.

14.4. Якщо АО не може прийняти доручення через конфлікт інтересів або іншу професійну перешкоду, воно не використовує отримані відомості проти особи та зберігає лише мінімум, обґрунтовано необхідний для конфлікт-контролю і виконання закону.

15.1. АО застосовує організаційні та технічні заходи, пропорційні характеру даних і ризику, зокрема розмежування доступу за ролями, багатофакторну автентифікацію для критичних облікових записів, шифрування передавання даних за TLS, контроль доступу, резервне копіювання, фіксацію подій безпеки, договірну конфіденційність, перевірку постачальників, мінімізацію та процедури видалення.

15.2. Доступ надається за принципом необхідності знати. АО періодично переглядає права доступу та може обмежити, заблокувати або припинити обробку, якщо виявлено надмірний доступ, зміну мети або підвищений ризик.

15.3. У разі порушення безпеки АО документує подію, оцінює її наслідки, обмежує шкоду, відновлює захист і повідомляє суб'єктів даних та компетентний орган у випадках і строки, установлені застосовним законом. Якщо застосовується GDPR і порушення підлягає повідомленню, повідомлення наглядовому органу здійснюється без невиправданої затримки та, за можливості, протягом 72 годин після того, як АО стало відомо про порушення.

15.4. Жодна інформаційна система не може гарантувати абсолютної безпеки. Про підозру щодо інциденту, помилкової передачі або несанкціонованого доступу слід негайно повідомити на gangan.partners@gmail.com або за номером +38 (096) 554-98-47.

16.1. У межах застосовного права особа має право знати про джерела, місцезнаходження, мету, правові підстави й одержувачів своїх даних; отримати доступ і копію; вимагати виправлення неточних або доповнення неповних даних; вимагати видалення, знищення або обмеження обробки; заперечити проти обробки на підставі законного інтересу; відкликати згоду; вимагати захисту від незаконної обробки, випадкової втрати, знищення чи пошкодження; звернутися зі скаргою до Уповноваженого Верховної Ради України з прав людини або до суду.

16.2. Якщо застосовується GDPR і виконуються передбачені ним умови, особа також може скористатися правом на переносимість даних, правом не бути об'єктом рішення, що ґрунтується виключно на автоматизованій обробці та має юридичні або подібні істотні наслідки, а також подати скаргу до компетентного наглядового органу держави-члена ЄС.

16.3. Запит надсилається на gangan.partners@gmail.com із достатнім описом даних, Сервісу та бажаної дії. АО може попросити пропорційне підтвердження особи або повноважень представника, але не вимагатиме надмірних даних. Відповідь надається без невиправданої затримки та, як правило, не пізніше 30 календарних днів, якщо інший строк не встановлено законом.

16.4. Право на видалення або доступ може бути обмежене, якщо збереження чи нерозкриття необхідне для адвокатської таємниці, прав інших осіб, виконання закону, запобігання конфлікту інтересів або встановлення, здійснення чи захисту правових вимог. У такому разі АО повідомляє про законну причину обмеження, якщо це не заборонено законом.

17.1. Публічні Сервіси та AI-асистент орієнтовані на повнолітніх користувачів і не призначені для самостійного надання дітьми персональних даних.

17.2. Якщо правнича допомога потрібна дитині, звернення розглядається з урахуванням її найкращих інтересів, віку, зрілості, законних повноважень представника та випадків, коли дитина має право звернутися самостійно.

17.3. Батько, мати, законний представник або сама дитина, яка має відповідний обсяг дієздатності, може звернутися на gangan.partners@gmail.com для перевірки, обмеження або видалення даних, помилково переданих через публічний Сервіс.

Вебсайт може містити посилання на державні реєстри, судові ресурси, соціальні мережі, публікації або сайти партнерів. Після переходу на сторонній ресурс обробка регулюється документами його власника. АО не відповідає за незалежні практики стороннього ресурсу, але обирає інтеграції та посилання з урахуванням ризиків і не передає йому зміст звернення без законної підстави.

19.1. АО може оновлювати Політику у зв'язку зі змінами законодавства, практики, Сервісів, постачальників, цілей або заходів безпеки. Нова редакція публікується на вебсайті із зазначенням дати.

19.2. Якщо зміна істотно впливає на права особи, мету обробки, категорії даних або одержувачів, АО застосовує належний спосіб додаткового повідомлення і, коли це потрібно, отримує нову згоду до початку нової обробки.

Контакт АО: gangan.partners@gmail.com, +38 (096) 554-98-47, Столичне шосе, 1, офіс П-4, м. Київ, 01013, Україна.

Наглядовий орган в Україні: Уповноважений Верховної Ради України з прав людини - ombudsman.gov.ua

Ця Політика складена українською мовою. У разі розбіжностей у перекладі перевагу має українська редакція, якщо імперативні норми застосовного права не вимагають іншого.