ЗУ № 2155-VIII • ЗУ № 2297-VI US CCPA / CPRA • NIST SP 800-63-3

Єдина Політика Конфіденційності, Захисту Даних та Регламент Довірчих Послуг

Офіційний нормативно-правовий регламент функціонування Екосистеми Довіри REANE (REANE Trust CA, REANE ID, MeshNet, Studio, Mail). Редакція 2026.1-GLOBAL від 27 жовтня 2026 року.

Чинна редакція: 27.10.2026 • Юрисдикція: Україна, ЄС, США, Міжнародні стандарти • Криптографічний захист: Zero-Knowledge PKCS#12

Зміст документа

1. Загальні положення та Статус Сторін

Ця Єдина Політика Конфіденційності та Регламент Електронних Довірчих Послуг (далі — «Регламент») регулює порядок збирання, використання, криптографічної обробки, зберігання та захисту персональних даних користувачів екосистеми REANE, що включає:

REANE Trust Network & CA (Центр Сертифікації та Реєстр Довіри, trust.reane.com.ua);
REANE ID (Єдиний наскрізний шлюз цифрової ідентифікації та OpenID Connect IdP, id.reane.com.ua);
REANE Studio & MeshNet (Авторизовані сервіси розробки та захищеної мережі).

Володільцем (Controller) та оператором обробки персональних даних виступає REANE Trust Network. Оператор забезпечує неухильне дотримання національного законодавства України, права Європейського Союзу та міжнародних стандартів кібербезпеки.

2. Правові підстави обробки персональних даних

Обробка персональних даних в екосистемі REANE здійснюється виключно на законних підставах відповідно до міжнародних та національних актів:

Законодавство України

Закон України № 2297-VI «Про захист персональних даних» (ст. 6, 11).
Закон України № 2155-VIII «Про електронну ідентифікацію та електронні довірчі послуги».
Порядок взаємодії у сфері електронної ідентифікації та надання довірчих послуг.

Право Європейського Союзу (EU)

GDPR (Regulation EU 2016/679): ст. 6(1)(a) — добровільна згода, ст. 6(1)(b) — виконання угоди надання довірчих послуг, ст. 9(2)(a) — обробка біометрії для суворої ідентифікації.
eIDAS (Regulation EU 910/2014 & EU 2024/1183): стандарти довіри High, Qualified Electronic Signatures (QES).

Законодавство США та Міжнародні Стандарти

California Consumer Privacy Act (CCPA/CPRA): споживачам гарантується повний контроль над персональною інформацією. Оператор не здійснює продаж (DO NOT SELL) або передачу (SHARING) даних комерційним третім сторонам. Дотримання вимог NIST SP 800-63-3 (рівні довіри IAL3/AAL3).

3. Категорії оброблюваних персональних даних

Для забезпечення високого рівня довіри (eIDAS High Trust) Центр Сертифікації обробляє виключно мінімально необхідний перелік даних:

Дані ідентифікації фізичної особи: прізвище, власне ім'я, дата народження, громадянство, реквізити документа, що посвідчує особу (серія, номер паспорта/ID-картки).
Податкові ідентифікатори: реєстраційний номер облікової картки платника податків (РНОКПП) для резидентів України або відповідний ідентифікатор платника податків (Tax ID / VAT / SSN-last4) для іноземних громадян.
Контактні реквізити: верифікована адреса електронної пошти, номер мобільного телефону.
Криптографічні метадані: публічні ключі X.509, цифрові сертифікати, відбитки SHA-256 (thumbprint), сесійні підписи DPoP (RFC 9449).
Технічні журнали безпеки: IP-адреси, таймстемпи сеансів авторизації, логи звернень за стандартами SOC 2 Type II та RFC 5424.

4. Принцип Нульового Знання (Zero-Knowledge) щодо КЕП

Фундаментальна гарантія криптографічного захисту особистого ключа

Центр Сертифікації REANE Trust діє за суворим стандартом Zero-Knowledge Architecture:

Пароль захисту особистого ключа КЕП (контейнера PKCS#12 *.p12) встановлюється виключно користувачем у своєму браузері.
Пароль НІКОЛИ не передається у відкритому вигляді на сервер і не зберігається в жодних базах даних.
Після генерації та скачування контейнера *.p12 закритий ключ негайно знищується з оперативної пам'яті сервера генерації. Відновити втрачений пароль неможливо — у разі втрати пароля сертифікат підлягає негайному відкликанню та повторному випуску.

5. Біометрична фіксація та перевірка Face Liveness

З метою запобігання шахрайству, підробці особи (anti-spoofing) та зловмисному використанню статичних фотографій, сервіс використовує технологію активної перевірки присутності обличчя в реальному часі (Active Face Liveness):

Технологія: обробка здійснюється за допомогою нейромережевих моделей у локальному середовищі WebAssembly (MediaPipe FaceMesh + OpenCV SFace AI).
Зберігання: біометричні вектори (128-мірні числові embeddings) зберігаються в зашифрованому сховищі kyc_vault під контролем Master Key за алгоритмом AES-256-GCM.
Мета: виключно одноразове зіставлення обличчя заявника з фотографією в наданому паспорті під час проходження первинної верифікації. Біометричні дані ні за яких обставин не передаються третім особам.

6. Верифікація Проєктів Studio та Релізів ПЗ

Для юридичних осіб, стартапів та авторів проєктів у REANE Studio діють спеціальні правила:

Прив'язка до верифікованої особи: статус автора або корпоративного проєкту надається лише робочим просторам, власники яких пройшли сувору ідентифікацію особи в Trust CA.
Криптографічний Паспорт Проєкту (VRF-PRJ): фіксує незмінний зліпок проєкту (хеш коду, slug, власника) та підписується ключем Ed25519 Root of Trust.
Підпис коду (Code Signing): релізи програмного забезпечення (скрипти PowerShell, бінарні пакети) проходять перевірку цілісності за SHA-256, евристичний аналіз ClamAV та завіряються в публічному реєстрі довіри.

7. Ваші Права як Суб'єкта Даних (GDPR, CCPA, ЗУ № 2297-VI)

Відповідно до світових норм кожен користувач має повний спектр прав щодо своїх персональних даних:

Право на доступ (Art. 15 GDPR)

Ви можете в будь-який час переглянути всі зафіксовані в Реєстрі дані у своєму кабінеті REANE ID.

Право на забуття (Art. 17 GDPR)

Ви маєте право подати запит на повне видалення досьє та анулювання облікового запису.

Право на перенесення (Art. 20 GDPR)

Експорт вашого цифрового паспорта та досьє в машинозчитуваному форматі JSON.

Відмова від продажу (CCPA / CPRA)

Ми категорично не продаємо і не передаємо дані брокерам чи рекламним мережам.

8. Стандарти Безпеки та Аудит Сеансів

Усі компоненти системи сертифіковані за високими стандартами стійкості до кібератак:

Zero-Trust Architecture: адміністративний доступ здійснюється через ізольований тунель Teleport із взаємною TLS-автентифікацією (mTLS).
DPoP Токени (RFC 9449): кожен токен доступу OAuth 2.0 зв'язується з криптографічним ключем браузера користувача. Перехоплений токен не може бути використаний на іншому пристрої.
Незмінний журнал подій (Immutable Audit Log): фіксує всі критичні операції (вхід за КЕП, створення сесій, відкликання ключів) за стандартом RFC 5424.

9. Відкликання Сертифікатів та Червона Кнопка (Kill-Switch)

У разі підозри на компрометацію особистого пристрою чи ключа користувачеві доступні механізми миттєвого захисту:

Екстрене завершення сеансів: кнопка Panic Kill-Switch у REANE ID миттєво інвалідує всі активні сесії та видаляє рефреш-токени на всіх пристроях.
Списки відкликання CRL та OCSP: відкликаний сертифікат вноситься до реєстру revoked_certificates менш ніж за 500 мс і стає непридатним для входу в будь-які сервіси екосистеми.

10. Контактна інформація Офіцера Захисту Даних (DPO)

Для реалізації ваших прав суб'єкта даних, направлення офіційних запитів або повідомлення про інциденти безпеки звертайтеся до нашої служби безпеки:

Офіцер захисту даних (Data Protection Officer): REANE Trust Compliance Division

Email для звернень: privacy@reane.com.ua / dpo@reane.com.ua

Юридична юрисдикція: Україна • Європейський Союз • Глобальні Регламенти Довіри

Підтвердження Згоди з Політикою та Регламентом Довіри

Використовуючи послуги REANE ID та REANE Trust Network, ви підтверджуєте повне розуміння та погодження з умовами цієї Політики відповідно до GDPR, eIDAS та законодавства України.

Увійти через REANE ID