Додаток «Угода про обробку даних»

Редакція від 04.11.2026. Додаток до Публічної оферти на надання консультаційних та ІТ-послуг (п. 6). У разі розбіжностей між мовними версіями перевагу має українська.

Структура повторює додатки I–III до Стандартних договірних положень (Рішення Комісії (ЄС) 2021/914), тож цей Додаток застосовується і для цілей ст. 28(3) GDPR, і як додатки до цих положень (п. 6.3 оферти). Заповнюється під кожного Замовника, який передає персональні дані; підписується разом з актом або окремо (КЕП / електронний підпис).

Додаток I. Сторони, опис обробки, наглядовий орган

A. Сторони

	Експортер даних (Замовник)	Імпортер даних (Виконавець)
Найменування	заповнюється для кожного Замовника	ФОП Костинюк Ігор Валерійович
Адреса	заповнюється для кожного Замовника	м. Одеса, Україна
Контактна особа	заповнюється для кожного Замовника: ПІБ, посада, email	Костинюк Ігор, koss.flow@gmail.com
Діяльність, пов'язана з передачею	отримання консультаційних та ІТ-послуг за офертою	надання послуг за офертою (п. 3)
Роль	контролер або обробник іншої особи (зазначається для кожного Замовника)	обробник / субобробник
Первинний контролер (якщо Замовник — обробник)	найменування первинного контролера і підтвердження його дозволу на залучення Виконавця (заповнюється для кожного Замовника)	—
Модуль SCC	2 (Замовник — контролер) / 3 (Замовник — обробник)
Підпис і дата	для кожного Замовника

B. Опис обробки та передачі

Пункт	Зміст
Категорії суб'єктів	працівники й підрядники Замовника; клієнти, ліди, користувачі Замовника; кандидати на вакансії (якщо роботи стосуються найму); інші особи, чиї дані містяться в сервісах, до яких Замовник надав доступ. Для конкретного проєкту уточнюється в погодженому із Замовником описі робіт
Категорії даних	ідентифікаційні й контактні дані (ім'я, email, телефон, ідентифікатори в месенджерах); ідентифікатори облікових записів; зміст повідомлень, звернень, заявок; дані CRM і замовлень; дані в документах, які обробляють сценарії; технічні журнали сервісів Замовника. Для конкретного проєкту уточнюється в погодженому із Замовником описі робіт
Чутливі дані	Не передбачаються. Обробляються лише за письмовою вказівкою Замовника, з додатковими заходами: доступ лише Виконавця, без передачі сервісам штучного інтелекту без окремої згоди Замовника, видалення одразу після виконання задачі
Частота передачі	постійно протягом строку підписки; для розробки — протягом етапу
Характер обробки	доступ до сервісів Замовника за запрошенням; налаштування й перевірка автоматизацій, інтеграцій і чат-ботів; обробка тексту сервісами ШІ через API (додаток III); діагностика збоїв; розміщення даних на серверах Виконавця — лише за погодженням із Замовником
Мета	надання послуг за офертою: консультації, налаштування, підтримка та розробка автоматизацій і рішень зі ШІ
Строк зберігання	протягом надання послуг; після завершення — видалення або повернення за вибором Замовника (п. 6.1(е) оферти), не пізніше 30 днів; резервні копії на серверах Виконавця вибувають у міру ротації, зазвичай за 2–3 тижні; журнали — до 30 днів
Передача субобробникам	предмет, характер і строк — як у додатку III; не довше, ніж це потрібно для послуг

C. Компетентний наглядовий орган

За пунктом 13 SCC: (а) наглядовий орган держави-члена ЄС, у якій заснований Замовник; (б) якщо Замовник не заснований у ЄС, але на нього поширюється GDPR і він призначив представника за ст. 27 — орган держави-члена, де заснований представник; (в) якщо представника немає — орган держави-члена, у якій перебувають суб'єкти даних (зазначається для кожного Замовника).

Додаток II. Технічні та організаційні заходи

Доступ. До сервісів Замовника — лише через запрошення на особистий обліковий запис Виконавця, паролі не передаються (п. 6 оферти). Після завершення співпраці Виконавець відкликає свої доступи.
Виконавець працює сам. Працівників немає. Інших осіб Виконавець залучає лише на умовах п. 6.2 оферти, з обов'язком конфіденційності.
Шифрування під час передачі. Сервіси на серверах Виконавця доступні лише через HTTPS (TLS, сертифікати Let's Encrypt).
Зберігання. Ключі API й токени в базах даних Виконавця шифруються AES-256-GCM. Облікові дані сервісів автоматизації (n8n) зберігаються зашифрованими засобами n8n. Шифрування дисків серверів не заявляється.
Сервери. Hetzner, ЄС (Німеччина, Фінляндія). Дані Замовника на серверах Виконавця — лише за погодженням із Замовником.
Сервіси ШІ. Персональні дані Замовника передаються сервісам ШІ лише через комерційні (API) облікові записи (додаток III). Споживчі підписки (ChatGPT, Claude.ai, Gemini та подібні) і засоби розробки на них для персональних даних Замовника не використовуються. Для перевірки сценаріїв за можливості використовуються знеособлені або вигадані дані.
Пристрій Виконавця. Вивантаження даних Замовника на робочому ноутбуці Виконавця видаляються після виконання задачі.
Інциденти. Виконавець повідомляє Замовника про порушення безпеки даних не пізніше 48 годин після виявлення (п. 6.1(д) оферти) і веде журнал інцидентів: що сталося, яких даних стосується, які вжито заходи.
Моніторинг. Доступність сервісів і помилки відстежуються власними засобами Виконавця (Uptime Kuma, Glitchtip на серверах Виконавця).
Допомога Замовнику. Запити суб'єктів даних, що надійшли Виконавцю, пересилаються Замовнику протягом 2 робочих днів; Виконавець не відповідає на них сам без вказівки Замовника.
Субобробники. Заходи безпеки субобробників — за їхніми умовами для API (додаток III).

Додаток III. Субобробники

Застосовується загальний дозвіл (п. 6.2 оферти). Актуальний перелік — на сторінці kossflow.com/legal/subprocessors.html; про зміни Виконавець повідомляє щонайменше за 14 днів.

Субобробник	Країна обробки	Що робить	Які дані	Підстава передачі
Hetzner Online GmbH	ЄС (Німеччина, Фінляндія)	хостинг серверів Виконавця	дані, розміщені на серверах Виконавця за погодженням	у межах ЄС
OpenAI	США	обробка тексту моделями через API	текст, який сценарій надсилає моделі	умови API OpenAI
Anthropic	США	обробка тексту моделями через API	те саме	SCC в угоді Anthropic (від 24.02.2025)
Groq, Inc.	США	обробка тексту моделями через API	те саме	SCC в угоді Groq (від 15.10.2025)

Сервіси, які Замовник обрав і оплачує сам (його хостинг, CRM, месенджери, власні ключі API), — не субобробники Виконавця: їх залучає Замовник.

Annex "Data Processing Agreement"

Version of 04.11.2026. Annex to the Public offer for consulting and IT services (clause 6). Translation. In case of discrepancies, the Ukrainian version prevails.

The structure follows Annexes I–III to the Standard Contractual Clauses (Commission Implementing Decision (EU) 2021/914), so this Annex serves both Article 28(3) GDPR and as the annexes to those Clauses (clause 6.3 of the offer). It is completed for each Client that transfers personal data and signed together with an acceptance certificate or separately (qualified e-signature / e-signature).

Annex I. Parties, description of processing, supervisory authority

A. Parties

	Data exporter (Client)	Data importer (Provider)
Name	completed for each Client	Ihor Kostyniuk, individual entrepreneur (FOP), Ukraine
Address	completed for each Client	Odesa, Ukraine
Contact person	completed for each Client: name, position, email	Ihor Kostyniuk, koss.flow@gmail.com
Activities relevant to the transfer	receiving consulting and IT services under the offer	providing the services under the offer (clause 3)
Role	controller or processor for another party (stated for each Client)	processor / sub-processor
Initial controller (if the Client is a processor)	name of the initial controller and confirmation of its authorisation to engage the Provider (completed for each Client)	—
SCC module	2 (Client is controller) / 3 (Client is processor)
Signature and date	for each Client

B. Description of processing and transfer

Item	Content
Data subjects	the Client's employees and contractors; the Client's customers, leads and users; job candidates (where the work concerns hiring); other persons whose data is in services the Client gives access to. Per project: specified in the scope of work agreed with the Client
Categories of data	identification and contact data (name, email, phone, messenger IDs); account identifiers; content of messages, tickets and requests; CRM and order data; data in documents processed by workflows; technical logs of the Client's services. Per project: specified in the scope of work agreed with the Client
Sensitive data	Not intended. Processed only on the Client's written instruction, with additional safeguards: access by the Provider only, no AI services without the Client's separate consent, deletion right after the task
Frequency	continuous during the subscription; for development, during the stage
Nature of processing	access to the Client's services by invitation; setting up and testing automations, integrations and chatbots; text processing by AI services via API (Annex III); troubleshooting; hosting on the Provider's servers only where agreed with the Client
Purpose	providing the services under the offer: consulting, setup, support and development of automations and AI solutions
Retention	for the duration of the services; at the end, deletion or return at the Client's choice (clause 6.1(g) of the offer), within 30 days; backups on the Provider's servers expire as they rotate, usually within 2–3 weeks; logs up to 30 days
Transfers to sub-processors	subject matter, nature and duration as in Annex III, no longer than the services require

C. Competent supervisory authority

Under Clause 13 of the SCC: (a) the supervisory authority of the EU Member State where the Client is established; (b) if the Client is not established in the EU but is subject to the GDPR and has appointed a representative under Article 27, the authority of the Member State where the representative is established; (c) if there is no representative, the authority of the Member State where the data subjects are (stated for each Client).

Annex II. Technical and organisational measures

Access. To the Client's services only by invitation to the Provider's personal account; passwords are not shared (clause 6 of the offer). The Provider revokes its access when the collaboration ends.
The Provider works alone. No employees. Other persons are engaged only under clause 6.2 of the offer and bound by confidentiality.
Encryption in transit. Services on the Provider's servers are reachable only over HTTPS (TLS, Let's Encrypt).
Storage. API keys and tokens in the Provider's databases are encrypted with AES-256-GCM. Credentials in the automation platform (n8n) are stored encrypted by n8n. Disk encryption of servers is not claimed.
Servers. Hetzner, EU (Germany, Finland). The Client's data on the Provider's servers only where agreed with the Client.
AI services. The Client's personal data is sent to AI services only through commercial (API) accounts (Annex III). Consumer subscriptions (ChatGPT, Claude.ai, Gemini and similar) and developer tools running on them are not used for the Client's personal data. Where possible, workflows are tested on anonymised or synthetic data.
Provider's device. Exports of the Client's data on the Provider's work laptop are deleted after the task.
Incidents. The Provider notifies the Client of a personal data breach within 48 hours of becoming aware of it (clause 6.1(f) of the offer) and keeps an incident log: what happened, which data, what was done.
Monitoring. Availability and errors are tracked with the Provider's own tools (Uptime Kuma, Glitchtip on the Provider's servers).
Assistance. Data subject requests received by the Provider are forwarded to the Client within 2 business days; the Provider does not answer them without the Client's instruction.
Sub-processors. Their security measures follow their API terms (Annex III).

Annex III. Sub-processors

General authorisation applies (clause 6.2 of the offer). The current list is at kossflow.com/legal/subprocessors.html; the Provider gives at least 14 days' notice of changes.

Sub-processor	Where processed	What it does	Data	Transfer basis
Hetzner Online GmbH	EU (Germany, Finland)	hosting of the Provider's servers	data hosted on the Provider's servers where agreed	within the EU
OpenAI	USA	text processing by models via API	text a workflow sends to the model	OpenAI API terms
Anthropic	USA	text processing by models via API	same	SCC in Anthropic's DPA (24.02.2025)
Groq, Inc.	USA	text processing by models via API	same	SCC in Groq's DPA (15.10.2025)

Services the Client chooses and pays for itself (its hosting, CRM, messengers, its own API keys) are not the Provider's sub-processors: the Client engages them.