Политика обработки персональный данных

Определения

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса Cara Pay, а также иных субъектов персональных данных, взаимодействующих с Cara Pay.

1.2. Настоящая Политика разработана с учётом требований законодательства о защите персональных данных, применимого к соответствующей операции обработки, включая:

1. Закон Республики Индонезия № 27 от 2022 года «О защите персональных данных» (Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi), а также иные применимые нормативные правовые акты Республики Индонезия в области защиты персональных данных, электронных систем и информационной безопасности;
2. Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных», а также иные применимые нормативные правовые акты Российской Федерации в области защиты персональных данных и информации;
3. Закон Грузии от 14.06.2023 № 3144-XIმს-Xმპ «О защите персональных данных» (Law of Georgia on Personal Data Protection), а также иные применимые нормативные правовые акты Грузии в области обработки и защиты персональных данных;
4. иные обязательные требования законодательства государств, применимые с учётом места нахождения субъекта персональных данных, Оператора, получателя данных или лица, осуществляющего обработку, места осуществления обработки, используемой инфраструктуры и правовых последствий такой обработки.

1.2.1. Применимость законодательства конкретного государства определяется отдельно для каждой операции обработки персональных данных с учётом характера соответствующих отношений, территории осуществления обработки, категорий субъектов персональных данных, местонахождения получателей данных и иных юридически значимых обстоятельств.

1.2.2. Упоминание законодательства определённого государства в настоящей Политике не означает, что оно применяется ко всем без исключения операциям Cara Pay. Если к одной операции одновременно применяются требования нескольких государств, Cara Pay соблюдает обязательные требования каждого применимого законодательства. В той мере, в которой такие требования совместимы, Cara Pay применяет стандарт, обеспечивающий более высокий уровень защиты субъекта персональных данных.

1.3. Настоящая Политика применяется ко всей информации, которую Cara Pay может получить о пользователях при использовании сайта, мобильного приложения, программного обеспечения, API, платежных инструментов и иных сервисов Cara Pay.

1.4. Использование сервисов Cara Pay подтверждает ознакомление Пользователя с настоящей Политикой. В случаях, когда применимое законодательство требует получения согласия субъекта персональных данных, такое согласие запрашивается отдельно в форме, позволяющей подтвердить факт его предоставления.

Обработка персональных данных, необходимая для заключения или исполнения договора, исполнения юридической обязанности, обеспечения безопасности сервиса либо реализации иных предусмотренных законом оснований, может осуществляться без отдельного согласия субъекта персональных данных в случаях, допускаемых применимым законодательством.

2. Оператор персональных данных

2.1. Оператором персональных данных является PT DUCK FAMILY TEAM, юридическое лицо, зарегистрированное в соответствии с законодательством Республики Индонезия, регистрационный номер 4025073051230936, зарегистрированный адрес: Pertokoan Kuta Mulia, Ruko Nomor 20, Jalan Majapahit Nomor 18, Desa/Kelurahan Kuta, Kecamatan Kuta, Kabupaten Badung, Provinsi Bali, Indonesia, 80361 (далее — «Оператор CARA Pay»). Оператор CARA Pay организует и осуществляет обработку персональных данных в рамках функционирования сервиса Cara Pay. В рамках оказания услуг обработка персональных данных также может осуществляться лицами, действующими по поручению Оператора CARA Pay, включая поставщиков услуг, платежных партнеров, провайдеров KYC/AML, подрядчиков и иных лиц, привлекаемых для обеспечения работы сервиса.

2.2. Для связи по вопросам обработки персональных данных пользователи могут использовать следующий адрес электронной почты: Email: dpo@carapay.me.

2.3. Оператор CARA Pay организует обработку персональных данных в соответствии с применимым законодательством о защите персональных данных, включая законодательство Республики Индонезия, Российской Федерации и Грузии в той мере, в которой оно применяется к соответствующей операции обработки, и принимает необходимые правовые, организационные и технические меры для защиты персональных данных пользователей.

3. Категории субъектов персональных данных

Cara Pay может обрабатывать персональные данные следующих категорий субъектов: пользователей платформы; клиентов и контрагентов; представителей юридических лиц; посетителей сайта и мобильного приложения; лиц, проходящих процедуры идентификации и верификации (KYC); лиц, обращающихся в службу поддержки;

4. Категории обрабатываемых персональных данных

Cara Pay может обрабатывать следующие категории персональных данных:

4.1. Идентификационные данные

фамилия, имя, отчество; дата рождения; гражданство; паспортные данные и иные идентификационные документы; налоговые, идентификационные и иные государственные регистрационные номера — при необходимости;

4.2. Контактные данные

номер телефона; адрес электронной почты; адрес проживания или регистрации.

4.3. Финансовая и платежная информация

банковские реквизиты; информация о транзакциях; данные, необходимые для проведения платежей и исполнения финансовых операций.

4.4. Технические данные

IP-адрес; cookie-файлы; данные браузера и устройства; сведения об операционной системе; лог-файлы; информация о действиях пользователя в сервисе; переписка и обращения пользователей в службу поддержки.

4.5. ПОД/KYC данные

данные, полученные в рамках процедур идентификации и верификации; фотографии пользователя, изображения документов и иные материалы, предоставляемые для целей идентификации и верификации (если применимо и при наличии отдельного согласия либо иного законного основания); сведения, необходимые для соблюдения требований законодательства о противодействии легализации доходов и финансированию терроризма.

5. Цели обработки персональных данных

Обработка персональных данных осуществляется Cara Pay в следующих целях: регистрация и обслуживание пользователей; исполнение договоров и пользовательских соглашений; предоставление доступа к функционалу сервиса; обеспечение исполнения поручений Пользователей, информационного и технологического сопровождения расчётов и взаимодействия с соответствующими банками, мерчантами, платёжными и расчётными партнёрами; соблюдение требований применимого законодательства Республики Индонезия, Российской Федерации, Грузии и иных государств, включая требования в области идентификации клиентов, противодействия легализации доходов и финансированию терроризма, бухгалтерского и налогового учёта, исполнения платежей, предотвращения мошенничества и предоставления информации компетентным органам; проведение процедур ПОД/KYC; предотвращение мошенничества, незаконных операций и злоупотреблений; обеспечение информационной безопасности; поддержка пользователей и обработка обращений; направление уведомлений, связанных с использованием сервиса; улучшение качества сервиса и аналитика; защита прав и законных интересов Cara Pay.

6. Правовые основания обработки персональных данных

Правовыми основаниями обработки персональных данных в зависимости от применимого законодательства и характера конкретной операции являются:

• согласие субъекта персональных данных;
• необходимость заключения или исполнения договора с субъектом персональных данных либо совершения действий по его запросу до заключения договора;
• исполнение юридической обязанности Оператора или иного лица, участвующего в обработке;
• защита жизненно важных интересов субъекта персональных данных или иного физического лица;
• выполнение задачи, осуществляемой в общественных интересах, если такое основание предусмотрено применимым законодательством;
• реализация законных интересов Оператора или третьего лица при условии проведения оценки соразмерности таких интересов правам и свободам субъекта персональных данных;
• предотвращение мошенничества, обеспечение информационной безопасности и защита прав Оператора, Пользователей и третьих лиц;
• исполнение требований законодательства в области ПОД/ФТ, идентификации клиентов, бухгалтерского, налогового, финансового и иного обязательного учёта;
• иные основания, предусмотренные применимым законодательством.

Конкретное правовое основание определяется отдельно применительно к цели, категории данных, субъекту персональных данных и юрисдикции соответствующей обработки.

7. Порядок и условия обработки персональных данных

7.1. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без их использования.

7.2. Cara Pay обеспечивает конфиденциальность персональных данных и не раскрывает их третьим лицам без законных оснований.

7.3. Лица, осуществляющие обработку персональных данных по поручению Оператора

7.3.1. Оператор вправе поручать обработку персональных данных третьим лицам, которые обрабатывают персональные данные исключительно от имени, в интересах и по документированным указаниям Оператора и не определяют самостоятельные цели такой обработки.

7.3.2. Лица, осуществляющие обработку персональных данных по поручению Оператора, могут привлекаться для следующих целей:

1. размещение и техническое обслуживание сайта, программного обеспечения и информационной инфраструктуры Cara Pay;
2. хранение данных, резервное копирование и предоставление облачной инфраструктуры;
3. проведение идентификации и верификации пользователей, включая KYC/AML-проверки, если соответствующий поставщик действует исключительно по поручению Оператора;
4. предоставление CRM-, информационных, аналитических и технических сервисов;
5. направление сервисных электронных писем, SMS-сообщений и иных уведомлений;
6. обеспечение информационной безопасности, предотвращение мошенничества и расследование инцидентов;
7. обработка обращений пользователей и оказание технической поддержки;
8. выполнение иных технических и организационных функций, необходимых для работы сервиса Cara Pay.

7.3.3. Перечень лиц, осуществляющих обработку персональных данных по поручению Оператора, является закрытым и приведён в Приложении “Перечень лиц, обрабатывающих персональные данные по поручению Оператора” к настоящей Политике.

7.3.4. В отношении каждого такого лица Оператор определяет цели обработки, перечень передаваемых персональных данных, разрешённые действия с персональными данными, срок обработки, требования к конфиденциальности, информационной безопасности, привлечению субподрядчиков, возврату и уничтожению персональных данных.

7.3.5. Лицо, осуществляющее обработку по поручению Оператора, не вправе использовать полученные персональные данные для собственных целей, объединять их с данными, полученными из иных источников, либо передавать их иным лицам, кроме случаев, прямо предусмотренных договором с Оператором и применимым законодательством.

7.3.6. До предоставления новому обработчику доступа к персональным данным Оператор включает сведения о таком обработчике в Приложение “Перечень лиц, обрабатывающих персональные данные по поручению Оператора”. Если соответствующая обработка осуществляется на основании согласия и ранее предоставленное согласие не распространяется на нового обработчика, Оператор получает новое согласие субъекта персональных данных до начала такой обработки.

7.4. Самостоятельные получатели персональных данных

7.4.1. Персональные данные могут передаваться лицам, которые обрабатывают их не только по поручению Оператора, но и для собственных законных целей либо в целях исполнения возложенных на них договорных или законодательных обязанностей.

К таким лицам могут относиться:

1. банки, расчётные и платёжные организации;
2. мерчанты и получатели платежей;
3. лица, осуществляющие приём, конвертацию, перевод или выплату денежных средств либо цифровых активов в рамках исполнения поручения Пользователя;
4. самостоятельные поставщики услуг идентификации, KYC/AML и проверки рисков;
5. бухгалтерские, аудиторские и юридические консультанты;
6. государственные органы, суды, правоохранительные, налоговые, надзорные и иные уполномоченные органы;
7. иные лица, которым передача необходима для исполнения договора с Пользователем либо предусмотрена применимым законодательством.

7.4.2. Лица, указанные в пункте 7.4.1, могут являться самостоятельными операторами или контролёрами персональных данных и самостоятельно определять применимые к ним правовые основания, сроки хранения и порядок обработки персональных данных.

7.4.3. Закрытый перечень самостоятельных коммерческих получателей персональных данных приводится в Приложении “Перечень самостоятельных операторов и коммерческих получателей персональных данных” к настоящей Политике. Государственные органы и иные уполномоченные законом получатели в такой перечень могут не включаться.

7.4.4. Передача самостоятельному получателю осуществляется только в объёме, необходимом для соответствующей операции, исполнения договора, выполнения юридической обязанности либо достижения иной установленной настоящей Политикой цели.

7.5. Трансграничная передача персональных данных осуществляется в соответствии с требованиями законодательства, применимого к соответствующей передаче. Сведения о государстве нахождения каждого иностранного обработчика или самостоятельного коммерческого получателя указываются соответственно в Приложении “Перечень лиц, обрабатывающих персональные данные по поручению Оператора” или Приложении “Перечень самостоятельных операторов и коммерческих получателей персональных данных”.

До осуществления трансграничной передачи Cara Pay определяет применимые требования соответствующего государства и при необходимости обеспечивает наличие надлежащего уровня защиты, договорных гарантий, разрешения или уведомления компетентного органа, отдельного согласия субъекта персональных данных, локализации данных либо иного предусмотренного законом основания.

Трансграничная передача не осуществляется, если Cara Pay не может обеспечить соблюдение обязательных требований применимого законодательства.

8. Сроки хранения персональных данных

8.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок хранения не установлен применимым законодательством Республики Индонезия, Российской Федерации, Грузии или иного государства, регулирующего соответствующую обработку.

8.2. Данные, относящиеся к идентификации, KYC/AML-проверкам, исполнению поручений, переводам, расчетам, бухгалтерскому и налоговому учёту, хранятся в течение сроков, установленных законодательством, применимым к конкретному Оператору, партнёру, операции или получателю данных. Если применимые сроки различаются, данные могут храниться в течение наиболее продолжительного обязательного срока, если такое хранение не запрещено законодательством другой применимой юрисдикции.

8.3. По достижении целей обработки либо при утрате необходимости в их достижении персональные данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено законодательством.

9. Права субъекта персональных данных

В зависимости от применимого законодательства субъект персональных данных вправе:

• получить информацию об обработке и доступ к своим данным;
• получить копию обрабатываемых данных;
• потребовать исправления, дополнения или обновления данных;
• потребовать прекращения, ограничения, блокирования, удаления или уничтожения данных;
• отозвать ранее предоставленное согласие;
• возразить против обработки, основанной на законном интересе;
• возразить против решения, основанного исключительно на автоматизированной обработке или профилировании и имеющего юридические либо иные существенные последствия;
• получить данные в структурированном и машиночитаемом формате и, если это технически и юридически возможно, передать их другому контролёру;
• подать жалобу в компетентный надзорный орган или обратиться в суд;
• потребовать возмещения вреда в предусмотренных законом случаях;
• реализовать иные права, установленные применимым законодательством.

10. Меры по защите персональных данных

Cara Pay принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных, включая: ограничение доступа к персональным данным; применение средств защиты информации; использование защищенных каналов передачи данных; контроль и аудит доступа; резервное копирование; мониторинг инцидентов безопасности; внутренние политики и регламенты; иные организационные и технические меры, предусмотренные применимым законодательством Республики Индонезия, Российской Федерации, Грузии и иных соответствующих государств, с учётом характера, объёма, контекста и целей обработки, а также вероятности и тяжести возможных рисков для субъектов персональных данных.

11. Cookie-файлы и технические данные

11.1. Cara Pay может использовать cookie-файлы и аналогичные технологии для: обеспечения корректной работы сервиса; аутентификации пользователей; сохранения пользовательских настроек; аналитики и повышения качества сервиса; обеспечения безопасности.

11.2. Пользователь вправе ограничить или отключить использование cookie-файлов в настройках своего браузера, однако это может повлиять на работоспособность отдельных функций сервиса.

12. Обращения субъектов персональных данных

12.1. Пользователь вправе направить запрос, связанный с обработкой персональных данных, по контактным данным Оператора CARA Pay.

12.2. Запрос должен содержать сведения, позволяющие идентифицировать заявителя.

12.3. Cara Pay рассматривает обращения в сроки, установленные законодательством, применимым к соответствующему запросу и субъекту персональных данных. Если к запросу одновременно применяются требования нескольких государств, Cara Pay применяет наиболее короткий обязательный срок ответа, если это не противоречит закону.

13. Изменение Политики

13.1. Cara Pay вправе вносить изменения в настоящую Политику.

13.2. Актуальная версия Политики размещается на сайте Cara Pay и вступает в силу с момента публикации, если иное не предусмотрено новой редакцией.

14. Контактная информация

14.1. По вопросам обработки персональных данных пользователь может обратиться по адресу электронной почты: dpo@carapay.me.

14.2 Субъект персональных данных вправе направить жалобу в компетентный орган по защите персональных данных Республики Индонезия, Российской Федерации, Грузии либо иного государства, законодательство которого применяется к соответствующей обработке. Обращение в надзорный орган не ограничивает право субъекта персональных данных обратиться непосредственно к Cara Pay или воспользоваться судебными средствами защиты.