Перелік осіб, які обробляють дані за нашим дорученням. Сторінка є частиною повідомлення про обробку персональних даних, а не рекламним матеріалом.
Редакцію від 28.09.2026 склав оператор сервісу за фактичним станом продукту. Юридична вичитка цієї редакції ще триває; якщо після неї текст зміниться, зміни вийдуть новою редакцією з датою в журналі редакцій.
| Субобробник | Що обробляє | Де фізично зберігається | Юрисдикція отримувача | Правова підстава передачі | Що заявляє постачальник | З якої дати |
|---|---|---|---|---|---|---|
| Supabase (‹повне найменування юридичної особи — заповнити за договором›) | База даних, автентифікація і приватне сховище файлів: обліковий запис, картка підприємства, склад учасників, вивантаження обліку і пакети BAS з їх розібраними знімками, результати перевірок, робочий журнал, книга довідок, знімки з Е-кабінету (облікова картка, стан розрахунків, подана звітність, реєстр податкових накладних), журнал зборів і службові записи входу (сесії, журнал автентифікації). Повний склад полів — у таблиці на сторінці «Обробка персональних даних». | Інфраструктура AWS. Регіон проєкту — за налаштуваннями: ‹підтвердити в Dashboard → Project Settings → General → Region і покласти виписку в docs/ з датою›. Проєкт створювався в регіоні eu-west-2 (Лондон, Велика Британія), але документа, який це підтверджує, у наших матеріалах поки немає. | Компанія-постачальник — юридична особа США (найменування і адресу підтвердити за договором). Її персонал технічно має доступ до інфраструктури, тому юрисдикція отримувача має значення окремо від регіону зберігання. | МІСЦЕ ЗБЕРІГАННЯ: стаття 29 Закону №2297-VI — Велика Британія є стороною Конвенції Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних (№108). Допоміжно: рішення Європейської комісії про адекватність рівня захисту у Великій Британії від 19.12.2025, чинне до 27.12.2031 — воно стосується потоку з ЄС і наводиться як допоміжний факт, а не як наша підстава. ОСОБА ОТРИМУВАЧА: США не є стороною Конвенції №108, тому для передачі самій компанії потрібна окрема підстава за ст.29 Закону №2297-VI — згода суб'єкта, виконання правочину або договірні гарантії. Яку саме обрано, тут поки НЕ названо: це відкрите питання до юриста, і ми не видаємо його за вирішене. | За заявою постачальника дані шифруються на носіях і передаються захищеним з'єднанням. Це заява постачальника ‹послатися на його документацію або DPA з датою›, а не наша розробка і не властивість, яку ми перевіряємо самостійно. | 11.08.2026 |
| Vercel (‹повне найменування юридичної особи — заповнити за договором›) | Хостинг застосунку: віддача сторінок і виконання серверних обробників. У памʼяті обробників під час роботи опиняються: дані реєстрації (адреса пошти, пароль); дані обліку, на яких сервер рахує перевірку (розібраний знімок версії, результат); пакет обробки BAS під час прийому; запити й відповіді ретранслятора Е-кабінету (РНОКПП або ЄДРПОУ, підпис або токен, облікова картка, подана звітність, реєстр податкових накладних); для КЕП без вкладеного сертифіката — CMP-запит з публічними ідентифікаторами ключів і відповіді КНЕДП. Наш код цих тіл у журнали не пише; платформа веде власні технічні журнали запитів (адреса, код відповіді, час). | ‹регіон виконання серверних обробників уточнюється — у налаштуваннях проєкту не звірено› | Компанія-постачальник — юридична особа США (найменування і адресу підтвердити за договором). | МІСЦЕ ОБРОБКИ: стаття 29 Закону №2297-VI — підставу можна назвати лише після того, як буде зафіксовано фактичний регіон виконання. ОСОБА ОТРИМУВАЧА: США не є стороною Конвенції №108, тому для передачі самій компанії потрібна окрема підстава за ст.29 Закону №2297-VI — згода суб'єкта, виконання правочину або договірні гарантії. Яку саме обрано, тут поки НЕ названо: це відкрите питання до юриста, і ми не видаємо його за вирішене. | За заявою постачальника з'єднання захищене, а дані на носіях шифруються ‹послатися на його документацію або DPA з датою›. Ми цього не реалізуємо і не перевіряємо. | 11.08.2026 |
| Resend (‹повне найменування юридичної особи — заповнити за договором›) | Відправка службових листів: підтвердження адреси пошти при реєстрації і відновлення пароля — адреса одержувача, тема і текст листа з одноразовим посиланням. Постачальник веде журнал доставки (адреса, тема, стан доставки, час). Даних обліку, звітності чи знімків з Е-кабінету в листах немає. Працює з 02.09.2026; попередня редакція цього переліку його помилково не називала. | ‹регіон обробки постачальника в наших матеріалах документом не підтверджено› | Компанія-постачальник — юридична особа США (найменування і адресу підтвердити за договором). | МІСЦЕ ОБРОБКИ: підставу за ст.29 Закону №2297-VI можна назвати після підтвердження регіону. ОСОБА ОТРИМУВАЧА: США не є стороною Конвенції №108, тому для передачі самій компанії потрібна окрема підстава за ст.29 Закону №2297-VI — згода суб'єкта, виконання правочину або договірні гарантії. Яку саме обрано, тут поки НЕ названо: це відкрите питання до юриста, і ми не видаємо його за вирішене. | За заявою постачальника листи передаються захищеним з'єднанням ‹послатися на його документацію або DPA з датою›. Ми цього не реалізуємо і не перевіряємо. | 28.09.2026 |
| Google (‹повне найменування юридичної особи — заповнити за договором›) | Поштова скринька домену zvireno.com, зокрема support@zvireno.com, на яку приходять відповіді на листи продукту і звернення: адреса відправника, текст листа і вкладення, які ви самі надіслали. Даних обліку сервіс туди не передає. | ‹регіон зберігання пошти в наших матеріалах документом не підтверджено› | Компанія-постачальник — юридична особа США або її дочірня компанія, з якою укладено договір (підтвердити за договором). | МІСЦЕ ЗБЕРІГАННЯ: підставу за ст.29 Закону №2297-VI можна назвати після підтвердження регіону. ОСОБА ОТРИМУВАЧА: США не є стороною Конвенції №108, тому для передачі самій компанії потрібна окрема підстава за ст.29 Закону №2297-VI — згода суб'єкта, виконання правочину або договірні гарантії. Яку саме обрано, тут поки НЕ названо: це відкрите питання до юриста, і ми не видаємо його за вирішене. | За заявою постачальника пошта шифрується під час передачі і зберігання ‹послатися на його документацію або DPA з датою›. Ми цього не реалізуємо і не перевіряємо. | 28.09.2026 |
| Anthropic (‹повне найменування юридичної особи — заповнити за договором›) | Помічник, який відповідає на запитання про відкриту збережену перевірку: текст запитання, кілька попередніх реплік цієї розмови і дані перевірки підприємства, яке користувач відкрив на екрані (знахідки, рядки звірки з поданою звітністю, розкриття цифр — з назвами документів, контрагентів і змістом операцій, якщо вони є в результаті перевірки), а також дослівні тексти норм із баз сервісу. Модель формує відповідь і повертає її на екран; розмову ми не зберігаємо. Помічник доступний лише обліковим записам, для яких його ввімкнено. Саму перевірку (звірку обліку зі звітністю) модель не виконує: її, як і раніше, рахують фіксовані правила. | ‹місце обробки — за умовами постачальника (Data Processing Addendum і політика підтримуваних регіонів); підтвердити документом і покласти в docs/ з датою› | Компанія-постачальник — юридична особа США (найменування і адресу підтвердити за договором). | МІСЦЕ ОБРОБКИ: підставу за ст.29 Закону №2297-VI можна назвати після підтвердження місця обробки. ОСОБА ОТРИМУВАЧА: США не є стороною Конвенції №108, тому для передачі самій компанії потрібна окрема підстава за ст.29 Закону №2297-VI — згода суб'єкта, виконання правочину або договірні гарантії. Яку саме обрано, тут поки НЕ названо: це відкрите питання до юриста, і ми не видаємо його за вирішене. | За заявою постачальника дані з комерційних сервісів не використовуються для навчання моделей, а вхідні дані й відповіді видаляються з його систем протягом 30 днів, крім винятків, названих у його умовах ‹послатися на комерційні умови і DPA постачальника з датою›. Ми цього не реалізуємо і не перевіряємо. | 20.10.2026 (лише облікові записи власника) |
Колонка «Що заявляє постачальник» наведена окремо навмисно: шифрування даних на носіях — властивість чужої інфраструктури. Ми його не реалізуємо і не перевіряємо, тому воно не може стояти в наших документах як наша гарантія чи як перевага продукту.
Інших субобробників немає. Сервісів аналітики в продукті немає. Рушій перевірки моделей штучного інтелекту не використовує: звірку рахують фіксовані правила. Модель Anthropic працює лише в помічнику, який пояснює вже збережений результат перевірки, і лише для облікових записів, для яких помічника ввімкнено.
Файл особистого ключа КЕП і пароль до нього не залишають браузер і до субобробників не потрапляють. Якщо сертифіката немає в контейнері, через хостинг транзитом проходять тільки публічні ідентифікатори ключів у CMP-запиті та публічні відповіді КНЕДП. Вивантаження, журнал проводок, знімки з Е-кабінету, результати перевірок, робочий журнал і книга довідок зберігаються на інфраструктурі Supabase і обробляються серверними обробниками на Vercel, названих у таблиці вище. Повна карта носіїв — у розділі 2 сторінки Обробка персональних даних.
Якщо ви входите через обліковий запис Google (кнопка є лише тоді, коли цей спосіб увімкнено), Google підтверджує вашу особу за вашим вибором і передає платформі автентифікації дані профілю: ідентифікатор облікового запису Google, адресу пошти, імʼя і посилання на фото. Ми не доручаємо Google обробку даних наших клієнтів: тут він діє як ваш постачальник облікового запису, а не за нашим дорученням. Те, що платформа зберігає після входу, названо в рядку «Обліковий запис» на сторінці Обробка персональних даних.
Якщо у контейнері КЕП немає публічного сертифіката, за вашою командою застосунок послідовно звертається малими групами до перевірених кваліфікованих надавачів електронних довірчих послуг. Їм передається лише стандартний CMP-запит із публічними ідентифікаторами ключів; опитування зупиняється після локально підтвердженого збігу. Приватний ключ і пароль КНЕДП не отримують. Це виконання вашої команди пошуку сертифіката, а не обробка за нашим дорученням.
Запит до кабінету платника (cabinet.tax.gov.ua) виконується за вашою командою — зокрема кнопкою «Завантажити все за період» — і підписується кваліфікованим (удосконаленим) електронним підписом, файл якого ви обрали. Ми не доручаємо Державній податковій службі обробку ваших даних і не визначаємо, що вона з ними робить: ДПС отримує їх у межах власних повноважень. Тому ДПС не входить у перелік субобробників, хоча запит фізично проходить через наш серверний обробник — кабінет не приймає звернень напряму з браузера.
Підприємство-клієнт має право заперечити проти нового субобробника і в такому разі припинити користування сервісом. Рядки, що перестали діяти, з таблиці не видаляються, а закриваються датою.
Як ми повідомляємо про зміну. Продукт надсилає лише службові листи; розсилки повідомлень у продукті немає. Тому повідомленням є публікація: змінений перелік з новою датою редакції з'являється на цій сторінці, а старий рядок лишається закритим датою поруч.