Если верить их профилям на линкедине, эти ребята (создавшие сайт) и занимаются разработкой средств сбора данных. Реклама на забугорном сайте проэкта недвусмысленно намекает как бы на род деятельности ))) Как у них оформлены отношения с заказчиками на предмет оплаты и был ли факт передачи данных иностранным лицам, то это уже пусть СБУ занимается. Им в коментах разве что IP хоста не слили. Что в принципе элементарно узнать у регистратора, если уже затушили сервер с базой.

1) Нет разрешения на автоматизированную обработку и распространение персональных данных. (уголовная статья)

2) Хост базы на рабочем железе ( привет маски шоу? spd-ukraine spd-ukraine.com это рабочее место , правильно? )

3) Использование рабочего инструментария? Работал в проекте? pitchbook.com прощай заказчики?

Я где то ошибся? Начальство уже в курсе? Полагаю, кто-то уже безработный практически, даже без пункта номер 1
На самом деле думать надо головой, или консультироваться с юридическим отделом. ( Разумеется прежде чем что-то делать , что может утопить фирму )