Политика конфиденциальности

1.1.Применимое право. Обработка персональных данных регулируется Регламентом (ЕС) 2016/679 (далее – GDPR), Законом о защите персональных данных Эстонской Республики (Isikuandmete kaitse seadus, далее – IKS), Законом об электронной связи (Elektroonilise side seadus, далее – ESS) в части маркетинговых сообщений и cookies, а также Законом о предотвращении отмывания денег и финансирования терроризма (Rahapesu ja terrorismi rahastamise tõkestamise seadus, далее – RahaPTS) и Законом о международных санкциях (Rahvusvahelise sanktsiooni seadus) в части проверки клиентов.

1.2.Термины. В настоящей Политике используются следующие понятия:

1.3.Сфера действия. Политика применяется ко всем персональным данным, которые Averium обрабатывает в качестве ответственного за обработку. В случаях, когда мы обрабатываем данные по поручению клиента (например, данные работников клиента при подготовке разрешений на работу), мы действуем как уполномоченный обработчик, и порядок обработки определяется договором с клиентом.

1.4.Соотношение с договором. Если договор об оказании услуг содержит специальные положения об обработке данных, применяются положения договора. В остальном действует настоящая Политика.

1.5.Принципы обработки. При любой обработке мы руководствуемся принципами ст. 5 GDPR: законность, справедливость и прозрачность – данные обрабатываются только на одном из оснований, перечисленных в разделе 6, и субъект данных информируется об обработке; ограничение цели – данные, собранные для одной цели, не используются для несовместимой с ней цели без нового основания; минимизация – мы запрашиваем только те данные, которые необходимы для конкретной цели, и не собираем данные «на всякий случай»; точность – данные обновляются при изменении обстоятельств, а неточные данные исправляются или удаляются; ограничение хранения – данные хранятся в течение сроков, указанных в разделе 10; целостность и конфиденциальность – применяются меры безопасности, описанные в разделе 11; подотчётность – мы ведём реестр операций обработки (ст. 30 GDPR) и можем продемонстрировать соблюдение Политики надзорному органу.

1.6.Конфиденциальность. Помимо обязанностей по защите данных, всё, что становится нам известно в связи с оказанием юридических услуг, является конфиденциальным и охраняется договором об оказании услуг, Законом об обязательственном праве (VÕS § 625) и внутренними правилами. Конфиденциальность распространяется на факт обращения клиента, предмет дела, содержание консультаций и документов. Раскрытие допускается только с согласия клиента, по требованию закона или в объёме, необходимом для защиты прав Averium в споре с клиентом.

1.7.Данные третьих лиц, предоставленные клиентом. Передавая нам данные своих работников, бенефициаров, контрагентов и иных лиц, клиент подтверждает, что имеет правовое основание для такой передачи, и обязуется проинформировать этих лиц об обработке их данных Averium, в том числе путём предоставления ссылки на настоящую Политику. По просьбе клиента мы предоставляем краткое уведомление об обработке, которое клиент может направить таким лицам.

2.1.Ответственным за обработку персональных данных является Averium Consulting OÜ, частное общество с ограниченной ответственностью, зарегистрированное в Коммерческом регистре Эстонии под регистрационным кодом 17232358, адрес: Maakri tn 19/1, 10145 Таллин, Эстония. Основные виды деятельности: юридические услуги (EMTAK 69102) и консультации по вопросам бизнеса и управления (EMTAK 70201). Averium не является кредитным, платёжным или иным финансовым учреждением.

2.2.По всем вопросам, связанным с персональными данными, с нами можно связаться: по электронной почте privacy@averium.ee, по общему адресу info@averium.ee или письмом на почтовый адрес, указанный выше. Ответственное за защиту данных лицо назначено внутренним распоряжением; обращение на privacy@averium.ee попадает непосредственно к нему.

2.3.Averium не обязано назначать официального сотрудника по защите данных (DPO) в смысле ст. 37 GDPR, поскольку основная деятельность не связана с масштабным регулярным наблюдением за субъектами данных и не является масштабной обработкой особых категорий данных и данных о судимости и правонарушениях (ст. 10 GDPR). Тем не менее функции контроля за соблюдением Политики возложены на ответственное лицо.

Мы обрабатываем персональные данные следующих групп лиц:

3.1.Посетители сайта averium.ee – любые лица, открывающие страницы сайта на любом из четырёх языков.

3.2.Лица, направившие запрос – лица, заполнившие форму «Опишите вашу задачу», написавшие на info@averium.ee или иной адрес компании, позвонившие или обратившиеся через LinkedIn.

3.3.Клиенты и их представители – физические лица, являющиеся клиентами, а также члены правления, прокуристы, уполномоченные лица и контактные лица клиентов – юридических лиц.

3.4.Фактические выгодоприобретатели и акционеры клиентов – лица, данные которых мы обязаны установить и проверить в соответствии с RahaPTS.

3.5.Контрагенты клиентов и третьи лица, связанные с делом – стороны договоров, оппоненты в спорах, свидетели, работники клиента, члены семьи при релокации, а также иные лица, данные которых содержатся в документах по делу.

3.6.Партнёры и поставщики – представители партнёрских юридических фирм, нотариусов, переводчиков, банков, платёжных учреждений, поставщиков услуг.

3.7.Кандидаты на работу – лица, направившие резюме или откликнувшиеся на вакансию.

3.8.Подписчики и участники мероприятий – лица, подписавшиеся на информационные письма, зарегистрировавшиеся на наши мероприятия или принявшие в них участие. Сейчас мы не ведём рассылку и не проводим мероприятий; положения о подписчиках и участниках применяются, когда они появятся.

3.9.Лица, участвующие в телефонных и видеозвонках. При проведении консультаций по видеосвязи мы не ведём запись без предварительного уведомления и согласия участников. Если запись ведётся (например, для протоколирования переговоров), об этом сообщается в начале звонка, а запись хранится как часть досье по делу.

3.10.Посетители офиса. В офисе по адресу Maakri tn 19/1 управляющая зданием компания может вести видеонаблюдение общих помещений; ответственным за такую обработку является управляющая компания. Averium ведёт журнал посетителей (имя, компания, время визита) для обеспечения безопасности; записи хранятся 6 месяцев.

4.1.Особые категории данных. Мы не собираем целенаправленно данные особых категорий (ст. 9 GDPR). Такие данные могут содержаться в документах по делу (например, сведения о здоровье при оформлении вида на жительство или семейные обстоятельства в спорах). Их обработка осуществляется только в объёме, необходимом для ведения дела, на основании ст. 9(2)(f) GDPR (установление, осуществление или защита правовых требований) или ст. 9(2)(a) – с явного согласия субъекта.

4.2.Данные о судимости и правонарушениях. В рамках проверки клиента по RahaPTS мы можем получать сведения о судимости, уголовном преследовании и правонарушениях из открытых источников, санкционных списков и баз данных неблагоприятных новостей. Такая обработка осуществляется на основании ст. 10 GDPR в сочетании с RahaPTS (§ 20 ч. 1, § 48 ч. 2).

5.1.От самого субъекта данных – при заполнении формы, переписке, встречах, предоставлении документов, подписании договора.

5.2.От клиента – в отношении его представителей, бенефициаров, работников, контрагентов и иных лиц, связанных с делом. Клиент отвечает за наличие основания для передачи нам таких данных и за информирование этих лиц.

5.3.Из публичных реестров и открытых источников – Коммерческий регистр Эстонии и реестры других стран, реестр фактических выгодоприобретателей, Регистр недвижимости, реестры товарных знаков, судебные базы данных, официальные санкционные списки ЕС, ООН, Великобритании (UK Sanctions List) и США (OFAC), публикации в СМИ.

5.4.От третьих лиц в ходе дела – от банков, платёжных учреждений, нотариусов, государственных органов, судов, партнёрских юридических фирм, оппонентов и их представителей.

5.5.Автоматически – технические данные при посещении сайта и использовании электронной почты.

5.6.От поставщиков данных для проверки клиентов – коммерческие базы данных санкционных списков, PEP и неблагоприятных новостей, используемые для скрининга.

5.7.Ответственность за точность. Мы исходим из того, что данные, предоставленные субъектом или клиентом, точны и актуальны. Клиент обязан незамедлительно сообщать об изменениях в составе представителей, структуре владения, адресах и контактных данных, поскольку от этого зависит выполнение обязанностей по RahaPTS и правильность документов, подаваемых в реестры и банки.

5.8.Данные, полученные случайно. Если в ходе дела мы получаем документы, содержащие данные лиц, не относящихся к делу (например, при пересылке клиентом полной переписки), мы не используем такие данные, не передаём их и удаляем, как только это возможно без ущерба для целостности досье.

• Ответ на запрос, первичная консультация, подготовка предложения

  Категории данных

  Данные лиц, направивших запрос

  Правовое основание

  Ст. 6(1)(b) GDPR – действия по инициативе субъекта до заключения договора

• Проверка конфликта интересов до принятия поручения

  Категории данных

  Имена сторон и связанных лиц

  Правовое основание

  Ст. 6(1)(f) – законный интерес в соблюдении профессиональных обязанностей

• Установление и проверка личности клиента, представителей и бенефициаров; санкционный скрининг; определение статуса PEP; установление источника средств

  Категории данных

  Данные клиентов, представителей, бенефициаров

  Правовое основание

  Ст. 6(1)(c) – юридическая обязанность по RahaPTS §§ 19–23, Закону о международных санкциях

• Заключение и исполнение договора об оказании услуг, ведение дела, представительство

  Категории данных

  Данные клиентов, представителей, контрагентов и третьих лиц

  Правовое основание

  Ст. 6(1)(b) – исполнение договора; в отношении третьих лиц – ст. 6(1)(f) – законный интерес клиента и Averium в ведении дела

• Обработка особых категорий данных в документах по делу

  Категории данных

  Данные особых категорий

  Правовое основание

  Ст. 9(2)(f) – правовые требования; ст. 9(2)(a) – согласие

• Обработка данных о судимости в рамках KYC

  Категории данных

  Данные о судимости и правонарушениях

  Правовое основание

  Ст. 10 GDPR, RahaPTS (§ 20 ч. 1, § 48 ч. 2)

• Текущий мониторинг деловых отношений, обновление данных проверки

  Категории данных

  Данные клиентов и бенефициаров

  Правовое основание

  Ст. 6(1)(c) – RahaPTS § 23

• Сообщение о подозрительных операциях в RAB

  Категории данных

  Данные клиентов и операций

  Правовое основание

  Ст. 6(1)(c) – RahaPTS § 49

• Выставление счетов, учёт, налоговая отчётность

  Категории данных

  Данные клиентов, партнёров, поставщиков

  Правовое основание

  Ст. 6(1)(c) – Закон о бухгалтерском учёте, Закон о налогообложении

• Взыскание задолженности, защита от претензий, ведение споров с клиентами

  Категории данных

  Данные клиентов и представителей

  Правовое основание

  Ст. 6(1)(f) – законный интерес в защите прав

• Коммуникация с партнёрами и поставщиками

  Категории данных

  Данные партнёров и поставщиков

  Правовое основание

  Ст. 6(1)(b) – договор; ст. 6(1)(f) – законный интерес

• Информационные письма, приглашения на мероприятия

  Категории данных

  Данные подписчиков и клиентов

  Правовое основание

  Ст. 6(1)(a) – согласие; для действующих и бывших клиентов – ст. 6(1)(f) и ESS § 103¹ (сообщения о схожих услугах с правом отказа)

• Проведение мероприятий, фото- и видеосъёмка

  Категории данных

  Данные участников

  Правовое основание

  Ст. 6(1)(b) – регистрация; ст. 6(1)(f) – законный интерес в освещении мероприятий; ст. 6(1)(a) – согласие на публикацию крупных планов

• Подбор персонала

  Категории данных

  Данные кандидатов

  Правовое основание

  Ст. 6(1)(b) – действия до заключения трудового договора; ст. 6(1)(f); хранение после конкурса – ст. 6(1)(a)

• Обеспечение работы сайта, безопасность, предотвращение злоупотреблений

  Категории данных

  Технические данные

  Правовое основание

  Ст. 6(1)(f) – законный интерес

• Запоминание выбранного языка сайта

  Категории данных

  Cookie NEXT_LOCALE (код языка)

  Правовое основание

  Ст. 6(1)(f) – законный интерес; согласие не требуется, так как cookie строго необходим (ст. 5(3) Директивы 2002/58/ЕС)

• Запоминание выбора, сделанного в баннере cookies

  Категории данных

  Cookie averium_consent (принятые категории, дата выбора, случайный идентификатор согласия)

  Правовое основание

  Ст. 6(1)(f) – законный интерес; согласие не требуется, так как cookie строго необходим (ст. 5(3) Директивы 2002/58/ЕС)

• Аналитика посещаемости сайта и измерение рекламы

  Категории данных

  Данные cookies

  Правовое основание

  Сейчас не используются; если появятся – ст. 6(1)(a) – согласие через баннер cookies, ст. 5(3) Директивы 2002/58/ЕС

• Внутренний контроль качества, аудит, страхование профессиональной ответственности

  Категории данных

  Данные по делам

  Правовое основание

  Ст. 6(1)(f) – законный интерес

6.1.Законный интерес. Там, где мы опираемся на законный интерес, мы предварительно оценили, что интерес Averium или третьего лица не перевешивается интересами и правами субъекта данных. Субъект данных вправе запросить краткое изложение такой оценки (balancing test) и возразить против обработки (раздел 12.7).

6.2.Согласие. Согласие всегда даётся отдельно для конкретной цели, добровольно и может быть отозвано в любой момент. Отзыв согласия не влияет на законность обработки до отзыва.

6.3.Изменение цели. Если мы намерены обрабатывать данные для цели, отличной от той, для которой они были собраны, мы предварительно оцениваем совместимость целей (ст. 6(4) GDPR) с учётом связи между целями, контекста сбора, характера данных и возможных последствий для субъекта. При несовместимости целей мы запрашиваем согласие или не используем данные для новой цели.

6.4.Обработка сайтом. При посещении сайта сервер хостинг-провайдера автоматически записывает технические данные (IP-адрес, время, запрошенная страница, код ответа, объём переданных данных, браузер). Эти логи используются только для обеспечения работоспособности и безопасности сайта, не объединяются с другими данными и хранятся не дольше 12 месяцев. Данные формы «Опишите вашу задачу» передаются через сервис отправки писем на наш адрес info@averium.ee по защищённому соединению; копия в базе данных сайта не хранится.

7.1.Статус обязанного лица. Averium является обязанным лицом в смысле RahaPTS § 2 как лицо, оказывающее бухгалтерские услуги и консультации по налогообложению (ч. 1 п. 7–8), услуги по учреждению компаний (ч. 1 п. 9) и юридические услуги при участии в сделках клиента (ч. 2). Это означает, что мы обязаны применять меры надлежащей проверки к клиентам до установления деловых отношений и в течение их действия.

7.2.Меры надлежащей проверки. В соответствии с RahaPTS §§ 19–23 и Законом о международных санкциях мы: устанавливаем и проверяем личность клиента и его представителя на основании документа, удостоверяющего личность, или с использованием средств электронной идентификации; устанавливаем фактических выгодоприобретателей и проверяем структуру владения; выясняем цель и характер деловых отношений; при повышенном риске – устанавливаем источник средств и источник благосостояния; проверяем клиента, представителей и бенефициаров по санкционным спискам и базам PEP; осуществляем текущий мониторинг.

7.3.Санкционный скрининг. Проверка по санкционным спискам ЕС, ООН, Великобритании и США проводится при принятии клиента и далее регулярно, в том числе при каждом обновлении списков. Совпадения проверяются сотрудником вручную; автоматическое решение об отказе не принимается (раздел 15).

7.4.Политически значимые лица. Мы определяем, является ли клиент, представитель или бенефициар PEP, членом семьи или близким соратником PEP. К таким лицам применяются меры усиленной проверки, включая одобрение руководством и установление источника благосостояния.

7.5.Обязанность сообщения. Если у нас возникает подозрение в отмывании денег или финансировании терроризма, мы обязаны сообщить об этом в RAB (RahaPTS § 49). Закон запрещает информировать клиента или третьих лиц о факте сообщения (RahaPTS § 51). В этом случае права субъекта данных на информацию и доступ могут быть ограничены на основании ст. 23 GDPR и RahaPTS § 51.

7.6.Хранение. Данные и документы проверки клиента, а также сведения о сделках хранятся в течение 5 лет после окончания деловых отношений или совершения сделки (RahaPTS § 47). По предписанию надзорного органа срок может быть продлён не более чем на 5 лет.

7.7.Отказ от обслуживания. Если мы не можем выполнить меры надлежащей проверки, мы не вправе установить деловые отношения или обязаны их прекратить (RahaPTS § 42). Отказ не требует обоснования перед клиентом в той части, в которой раскрытие причин запрещено законом.

7.8.Источник средств и источник благосостояния. Для установления источника средств мы можем запрашивать выписки по счетам, договоры, подтверждающие происхождение средств, налоговые декларации, документы о продаже имущества, наследовании или дивидендах. Для установления источника благосостояния – сведения о профессиональной деятельности, бизнесе, активах. Такие документы относятся к досье проверки клиента, хранятся обособленно и доступны ограниченному кругу сотрудников.

7.9.Удалённая идентификация. При идентификации без личного присутствия мы используем средства, допускаемые RahaPTS § 20 ч. 1 п. 1 и § 21 ч. 4: эстонскую ID-карту, Mobiil-ID, Smart-ID, квалифицированные электронные подписи ЕС (eIDAS) или видеоидентификацию по установленной процедуре с записью сеанса. Запись сеанса идентификации является частью досье и хранится 5 лет после окончания деловых отношений.

7.10.Внутренние правила. Порядок проверки клиентов, оценка рисков, роли и ответственность сотрудников закреплены во внутренних правилах Averium по RahaPTS, утверждённых правлением. Публичная выжимка – в Политике принятия клиентов на сайте.

8.1.Мы передаём персональные данные только тем лицам, которым они необходимы для указанных целей, и только в необходимом объёме.

• Партнёрские юридические фирмы в ЕС, Великобритании и других странах

  Какие данные и зачем

  Данные по делу в части, относящейся к их юрисдикции

  Статус получателя

  Самостоятельный ответственный за обработку, связанный договором и обязательством конфиденциальности

• Нотариусы, присяжные переводчики, патентные поверенные

  Какие данные и зачем

  Данные, необходимые для нотариального действия, перевода, подачи заявки

  Статус получателя

  Самостоятельный ответственный за обработку

• Банки, платёжные учреждения и учреждения электронных денег

  Какие данные и зачем

  Данные клиента и бенефициаров при подаче заявки на открытие счёта и ответах на запросы банка – по поручению клиента

  Статус получателя

  Самостоятельный ответственный за обработку

• Государственные реестры и органы: Коммерческий регистр, Налогово-таможенный департамент, Департамент полиции и погранохраны, Финансовая инспекция, суды, Патентный департамент, EUIPO

  Какие данные и зачем

  Данные, необходимые для подачи документов и представительства

  Статус получателя

  Публичные органы

• RAB, AKI, надзорные органы, суд, правоохранительные органы

  Какие данные и зачем

  По требованию закона или решению суда

  Статус получателя

  Публичные органы

• Поставщики IT-услуг: хостинг сайта, электронная почта и календарь, облачное хранение документов, система электронной подписи, CRM и управление делами, видеоконференции, бухгалтерская программа, инструменты санкционного скрининга

  Какие данные и зачем

  Данные, обрабатываемые в соответствующих системах

  Статус получателя

  Уполномоченные обработчики по договорам в соответствии со ст. 28 GDPR

• Аудиторы, бухгалтеры, юридические и налоговые консультанты Averium

  Какие данные и зачем

  Данные в объёме, необходимом для проверки или консультации

  Статус получателя

  Самостоятельные ответственные, связанные профессиональной тайной (аудиторы, адвокаты) или обязательством конфиденциальности

• Страховщик профессиональной ответственности

  Какие данные и зачем

  Данные по делу при рассмотрении претензии

  Статус получателя

  Самостоятельный ответственный за обработку

• Правопреемники

  Какие данные и зачем

  При реорганизации, слиянии или продаже бизнеса – вся база данных с сохранением условий настоящей Политики

  Статус получателя

  Самостоятельный ответственный за обработку

8.2.Мы не продаём персональные данные и не передаём их третьим лицам для их собственных маркетинговых целей.

8.3.Со всеми уполномоченными обработчиками заключены договоры об обработке данных, обязывающие их обрабатывать данные только по нашим указаниям, обеспечивать безопасность, не привлекать субпроцессоров без нашего разрешения и удалить или вернуть данные по окончании услуг.

8.4.Передача партнёрским фирмам. При привлечении партнёрской юридической фирмы в другой стране мы передаём только данные, необходимые для её части работы, и предварительно информируем клиента о привлечении партнёра и о стране, в которую передаются данные. Партнёрская фирма действует как самостоятельный ответственный за обработку в соответствии с законодательством своей страны и профессиональными правилами, связана с Averium соглашением о конфиденциальности и не вправе использовать данные для иных целей.

8.5.Передача по требованию органов. Запросы государственных органов о предоставлении данных мы проверяем на наличие правового основания и выполняем только в объёме, требуемом законом. Если закон не запрещает, мы информируем клиента о полученном запросе. Конфиденциальные данные клиента предоставляются только в случаях, прямо предусмотренных законом.

8.6.Публикация. Мы не публикуем имена клиентов, предмет дел или иные сведения о них без письменного согласия клиента. Описания дел на сайте и в маркетинговых материалах обезличены так, чтобы клиент не мог быть идентифицирован.

9.1.По общему правилу данные хранятся и обрабатываются в ЕЭЗ; электронная почта размещена в Швейцарии (страна с решением о достаточности). Передача за пределы ЕЭЗ происходит в следующих случаях: ведение дела в юрисдикции за пределами ЕЭЗ (например, через партнёрскую фирму в Великобритании или Швейцарии), подача документов в банк или орган третьей страны по поручению клиента, использование IT-поставщиков с инфраструктурой в третьих странах.

9.2.Передача осуществляется только при наличии одной из гарантий главы V GDPR:

9.3.Перед передачей в страну без решения о достаточности мы оцениваем законодательство страны получателя и при необходимости применяем дополнительные меры (шифрование, псевдонимизация, договорные ограничения доступа).

9.4.Субъект данных вправе запросить копию применяемых гарантий, направив запрос на privacy@averium.ee.

10.1.Мы храним данные не дольше, чем это необходимо для целей обработки или требуется законом. По истечении срока данные удаляются или обезличиваются.

• Данные надлежащей проверки клиента, копии документов, сведения о бенефициарах, результаты скрининга

  Срок хранения

  5 лет после окончания деловых отношений; по предписанию надзора – до 10 лет

  Основание

  RahaPTS § 47

• Договоры об оказании услуг, переписка и документы по делу

  Срок хранения

  10 лет после окончания дела

  Основание

  Общий срок исковой давности по договорным требованиям – 3 года (§ 146 Закона об общей части Гражданского кодекса, TsÜS), при умышленном нарушении – 10 лет (TsÜS § 146 ч. 4); срок страхования профессиональной ответственности

• Счета, платёжные документы, бухгалтерские регистры

  Срок хранения

  7 лет с окончания финансового года

  Основание

  Закон о бухгалтерском учёте (Raamatupidamise seadus) § 12

• Данные лиц, направивших запрос, не ставший договором

  Срок хранения

  1 год с последнего контакта

  Основание

  Законный интерес в ответе на повторные обращения

• Результаты проверки конфликта интересов

  Срок хранения

  10 лет

  Основание

  Законный интерес в соблюдении профессиональных обязанностей

• Данные кандидатов

  Срок хранения

  1 год после завершения конкурса; с согласия – 3 года

  Основание

  Законный интерес в защите от претензий; согласие

• Маркетинговые данные и подписки

  Срок хранения

  До отзыва согласия или отписки; факт отписки – 3 года

  Основание

  Согласие; законный интерес в доказательстве отписки

• Фото- и видеоматериалы мероприятий

  Срок хранения

  5 лет

  Основание

  Законный интерес

• Технические логи сайта и почтового сервера

  Срок хранения

  не дольше 12 месяцев

  Основание

  Законный интерес в безопасности

• Журнал посетителей офиса

  Срок хранения

  6 месяцев

  Основание

  Законный интерес в безопасности

• Cookies

  Срок хранения

  Согласно Политике cookies – cookie NEXT_LOCALE хранится до конца сессии браузера, cookie averium_consent – 12 месяцев

  Основание

  Законный интерес (строго необходимые cookies)

• Записи о запросах субъектов данных

  Срок хранения

  3 года после выполнения

  Основание

  Законный интерес в подтверждении выполнения обязанностей

10.2.Если в отношении данных ведётся спор, проверка или расследование, срок хранения продлевается до окончательного разрешения.

11.1.Организационные меры. Доступ к данным предоставляется по принципу необходимости; все сотрудники и привлечённые лица подписывают обязательство о конфиденциальности; внутренние правила защиты данных и информационной безопасности обязательны для всех; сотрудники проходят обучение по защите данных и RahaPTS при приёме на работу и не реже раза в год; доступы отзываются при увольнении в день прекращения трудовых отношений.

11.2.Технические меры. Двухфакторная аутентификация для всех рабочих систем; шифрование данных при передаче (TLS) и при хранении; резервное копирование с хранением копий в ЕЭЗ или Швейцарии; журналирование доступа к системам управления делами; антивирусная защита и обновление программного обеспечения; разграничение прав в системах; защищённые каналы для обмена документами с клиентами по запросу.

11.3.Обмен документами. Обычная электронная почта не является полностью защищённым каналом. Для передачи копий документов, удостоверяющих личность, и иных чувствительных сведений мы предлагаем защищённую ссылку для загрузки или шифрование вложений.

11.4.Инциденты. В случае нарушения безопасности персональных данных мы документируем инцидент, оцениваем риски и, если нарушение может привести к риску для прав и свобод физических лиц, уведомляем AKI в течение 72 часов (ст. 33 GDPR). При высоком риске мы без неоправданной задержки уведомляем затронутых субъектов данных (ст. 34 GDPR).

11.5.Работа вне офиса. Удалённая работа допускается только с корпоративных устройств с шифрованием диска, через защищённое соединение и при соблюдении правил, запрещающих хранение данных клиентов на личных устройствах и в личных облачных хранилищах. Бумажные документы хранятся в запираемых шкафах; по окончании срока хранения они уничтожаются шредером.

11.6.Контроль обработчиков. Перед привлечением уполномоченного обработчика мы оцениваем его меры безопасности, сертификацию (например, ISO 27001) и место обработки. Договоры с обработчиками предусматривают право аудита и обязанность незамедлительно сообщать нам об инцидентах.

11.7.Ограничения ответственности. Мы не несём ответственности за безопасность данных, которые субъект данных направляет нам по незащищённым каналам по собственной инициативе до согласования защищённого способа передачи, а также за обработку данных на сторонних сайтах, на которые ведут ссылки с averium.ee.

Субъект данных имеет следующие права в отношении своих персональных данных. Права не являются абсолютными и могут быть ограничены законом, в частности RahaPTS и ст. 23 GDPR.

12.1.Право на информацию и доступ (ст. 13–15 GDPR). Вы вправе получить подтверждение, обрабатываем ли мы ваши данные, и если да – получить доступ к ним и сведения о целях, категориях, получателях, сроках хранения, источнике и ваших правах. Мы предоставляем копию данных бесплатно; за дополнительные копии может взиматься разумная плата. Доступ может быть ограничен, если он нарушит права других лиц, в том числе конфиденциальность сведений клиента, или запрет раскрытия по RahaPTS § 51.

12.2.Право на исправление (ст. 16). Вы вправе требовать исправления неточных данных и дополнения неполных. Исправление данных проверки клиента может потребовать предоставления подтверждающих документов.

12.3.Право на удаление (ст. 17). Вы вправе требовать удаления данных, если они больше не нужны для целей обработки, вы отозвали согласие, возразили против обработки или данные обрабатывались незаконно. Право не применяется, если хранение требуется законом (например, RahaPTS § 47, Закон о бухгалтерском учёте) или необходимо для правовых требований.

12.4.Право на ограничение обработки (ст. 18). Вы вправе требовать ограничения обработки на время проверки точности данных или рассмотрения возражения, а также если обработка незаконна, но вы возражаете против удаления.

12.5.Право на перенос данных (ст. 20). В отношении данных, которые вы предоставили нам и которые обрабатываются на основании согласия или договора автоматизированными средствами, вы вправе получить их в структурированном машиночитаемом формате и передать другому ответственному.

12.6.Право на отзыв согласия (ст. 7(3)). Согласие можно отозвать в любой момент тем же способом, которым оно было дано, или письмом на privacy@averium.ee. Отзыв не влияет на законность обработки до отзыва.

12.7.Право на возражение (ст. 21). Вы вправе возразить против обработки на основании законного интереса по причинам, связанным с вашей конкретной ситуацией. Мы прекратим обработку, если не докажем наличие убедительных законных оснований, превалирующих над вашими интересами. Против обработки для прямого маркетинга вы вправе возразить в любой момент без указания причин – мы прекратим её безусловно.

12.8.Право не подвергаться автоматизированному решению (ст. 22). См. раздел 15.

12.9.Порядок подачи запроса. Запрос направляется на privacy@averium.ee или почтой. Для защиты данных от несанкционированного раскрытия мы вправе запросить подтверждение личности (например, подпись запроса электронной подписью или предоставление данных, известных только субъекту). Форма запроса приведена в Приложении B.

12.10.Сроки. Мы отвечаем без неоправданной задержки и не позднее одного месяца с получения запроса. При сложности или большом количестве запросов срок может быть продлён ещё на два месяца с уведомлением вас в течение первого месяца.

12.11.Плата. Рассмотрение запросов бесплатно. Если запросы явно необоснованны или чрезмерны, в частности повторяются, мы вправе взимать разумную плату или отказать в выполнении, обосновав отказ.

12.12.Отказ. Если мы не можем выполнить запрос полностью или частично, мы сообщаем причины, за исключением случаев, когда закон запрещает их раскрытие, и информируем о праве на жалобу в AKI и в суд.

12.13.Ограничения прав по RahaPTS. В соответствии со ст. 23 GDPR и RahaPTS (§ 48 ч. 2¹–2², § 51) права на информацию, доступ, ограничение обработки, перенос данных и возражение могут быть ограничены в отношении данных, обрабатываемых в целях предотвращения отмывания денег и финансирования терроризма, в той мере, в какой реализация этих прав помешала бы выполнению обязанностей по RahaPTS или раскрыла бы факт сообщения в RAB. В таких случаях мы сообщаем субъекту, что обработка ведётся в соответствии с законом и что он вправе обратиться в AKI, которая проверит законность обработки.

12.14.Запросы от имени третьих лиц. Запрос от представителя субъекта данных выполняется при предоставлении доверенности или иного подтверждения полномочий. Запрос в отношении данных другого лица (например, супруга или партнёра по бизнесу) без его полномочий не выполняется.

12.15.Права в отношении данных по делу клиента. Третьи лица, данные которых содержатся в досье по делу (контрагенты, оппоненты), могут реализовать свои права в той мере, в какой это не нарушает конфиденциальность и права клиента. В частности, доступ к содержанию консультаций и переписки с клиентом может быть ограничен, если он нарушит права и свободы клиента (ст. 15(4) GDPR).

13.1.Информационные письма. Когда рассылка появится, мы будем направлять обзоры изменений законодательства, статьи и приглашения на мероприятия лицам, давшим согласие на подписку, а также действующим и бывшим клиентам в отношении услуг, схожих с ранее оказанными (ESS § 103¹). В каждом письме есть ссылка для отписки; отписка вступает в силу немедленно.

13.2.Частота и содержание. Не чаще двух писем в месяц, кроме срочных уведомлений об изменениях законодательства, затрагивающих клиентов. Мы не передаём список подписчиков третьим лицам.

13.3.Мероприятия. При регистрации на мероприятие мы обрабатываем данные для организации участия. На мероприятиях может вестись фото- и видеосъёмка для освещения в наших каналах; об этом сообщается при регистрации и на месте. Участник вправе попросить не публиковать изображения с его крупным планом, написав на privacy@averium.ee.

13.4.LinkedIn. Страницы компании в LinkedIn у нас пока нет. Когда она появится, обработка данных при взаимодействии с ней будет регулироваться политикой LinkedIn, а в части статистики страницы – совместной ответственностью Averium и LinkedIn Ireland.

14.1.Данные кандидатов обрабатываются для оценки соответствия вакансии, проведения собеседований и принятия решения о найме. Мы можем запросить рекомендации у указанных кандидатом лиц и проверить публично доступную профессиональную информацию (LinkedIn, публикации). Проверку по иным источникам мы проводим только с ведома кандидата.

14.2.Для должностей, связанных с проверкой клиентов и доступом к средствам клиентов, мы вправе запросить справку о судимости в объёме, допускаемом законом.

14.3.Данные неуспешных кандидатов хранятся 1 год после завершения конкурса для защиты от возможных претензий; с согласия кандидата – 3 года для предложения будущих вакансий.

15.1.Мы не принимаем решений, основанных исключительно на автоматизированной обработке и порождающих юридические последствия для субъекта данных.

15.2.Санкционный скрининг и проверка PEP выполняются с помощью программных инструментов, которые сопоставляют данные со списками. Любое совпадение проверяется сотрудником вручную; решение о принятии или отказе в обслуживании принимает ответственное лицо, а не система.

15.3.Сейчас сайт не использует аналитических инструментов. Если они появятся, они будут формировать только обобщённую статистику и не будут использоваться для принятия решений в отношении отдельных лиц.

Наши услуги предназначены для бизнеса и совершеннолетних лиц. Мы не оказываем услуги лицам младше 18 лет и не собираем их данные целенаправленно. Данные несовершеннолетних могут обрабатываться только в рамках дела клиента (например, при оформлении вида на жительство для членов семьи) на основании поручения законного представителя. Если нам станет известно, что мы получили данные ребёнка без такого основания, мы удалим их.

Использование cookies, пикселей и аналогичных технологий на сайте averium.ee описано в отдельной Политике cookies. Сейчас сайт устанавливает только строго необходимые cookies NEXT_LOCALE (язык сайта) и averium_consent (ваш выбор в баннере cookies) и не использует аналитику и рекламные инструменты. Баннер и ссылка «Настройки cookies» в нижней части каждой страницы позволяют уже сейчас сделать и изменить выбор; если такие инструменты появятся, они будут работать только с вашего согласия.

18.1.Если вы считаете, что обработка ваших данных нарушает закон, просим сначала обратиться к нам на privacy@averium.ee – мы постараемся разрешить вопрос в течение одного месяца.

18.2.Вы вправе в любое время подать жалобу в Инспекцию по защите данных Эстонии: Andmekaitse Inspektsioon, Tatari 39, 10134 Tallinn, телефон +372 627 4135, e-mail info@aki.ee, www.aki.ee (откроется в новой вкладке). Если вы проживаете в другом государстве ЕЭЗ, жалобу можно подать в надзорный орган по месту жительства.

18.3.Вы также вправе обратиться в суд. Споры с Averium рассматривает Харьюский уездный суд (Harju Maakohus), если иное не предусмотрено императивными нормами о подсудности.

19.1.Мы пересматриваем Политику не реже раза в год и при изменении законодательства, деятельности или используемых систем. Действующая редакция с датой всегда опубликована на averium.ee/policies.

19.2.О существенных изменениях, затрагивающих права клиентов и подписчиков, мы уведомляем по электронной почте не позднее чем за 14 дней до вступления изменений в силу. Продолжение использования услуг после этого означает ознакомление с новой редакцией; для обработки на основании согласия при существенных изменениях мы запрашиваем согласие заново.

19.3.Политика составлена на эстонском, английском, русском и украинском языках. При расхождении версий приоритет имеет английская версия, если иное не предусмотрено договором с клиентом.

• Хостинг сайта и CDN

  Назначение

  Размещение averium.ee, защита от атак

  Место обработки

  ЕЭЗ; CDN – глобально с DPF/SCC

• Отправка сообщений с формы сайта

  Назначение

  Доставка сообщений формы «Опишите вашу задачу» на info@averium.ee

  Место обработки

  ЕЭЗ (регион ЕС поставщика); удалённый доступ поставщика из США – на основании DPF или SCC

• Электронная почта, календарь, видеоконференции

  Назначение

  Деловая переписка и встречи

  Место обработки

  Электронная почта – Швейцария (решение о достаточности); календарь и видеоконференции – ЕЭЗ; резервные копии – там же

• Облачное хранение и управление документами

  Назначение

  Хранение досье клиентов и документов по делам

  Место обработки

  ЕЭЗ

• Система управления делами и CRM

  Назначение

  Учёт запросов, дел, сроков и контактов

  Место обработки

  ЕЭЗ

• Электронная подпись и идентификация

  Назначение

  Подписание договоров, удалённая идентификация (ID-карта, Smart-ID, Mobiil-ID, квалифицированная подпись ЕС)

  Место обработки

  ЕЭЗ

• Бухгалтерская программа и выставление счетов

  Назначение

  Учёт, счета, отчётность

  Место обработки

  ЕЭЗ

• Инструменты санкционного скрининга и проверки PEP

  Назначение

  Проверка клиентов по спискам и неблагоприятным новостям

  Место обработки

  ЕЭЗ или страна с решением о достаточности

• Сервис рассылок (сейчас не используется)

  Назначение

  Информационные письма и приглашения

  Место обработки

  ЕЭЗ или США (DPF)

• Резервное копирование

  Назначение

  Хранение резервных копий систем

  Место обработки

  ЕЭЗ

Актуальный перечень конкретных поставщиков предоставляется по запросу на privacy@averium.ee.

Чтобы мы могли быстро и точно выполнить ваш запрос, просим указать:

1. 1.Имя, фамилию и контактный адрес электронной почты, на который направить ответ.
2. 2.В каком качестве мы обрабатываем ваши данные (клиент, представитель клиента, бенефициар, контрагент, кандидат, подписчик, посетитель сайта) и, если применимо, название клиента и номер или предмет дела.
3. 3.Какое право вы реализуете: доступ, исправление, удаление, ограничение, перенос, возражение, отзыв согласия.
4. 4.Какие именно данные или период обработки затрагивает запрос.
5. 5.Способ подтверждения личности: электронная подпись (ID-карта, Smart-ID, Mobiil-ID, eIDAS), либо запрос с адреса электронной почты, который зарегистрирован у нас для вас, либо иной согласованный способ.
6. 6.Предпочитаемый формат ответа (электронный документ, бумажное письмо).

Запрос направляется на privacy@averium.ee с темой «Запрос субъекта данных» или почтой: Averium Consulting OÜ, Maakri tn 19/1, 10145 Tallinn, Estonia. Мы подтверждаем получение в течение 3 рабочих дней и отвечаем по существу в сроки, указанные в разделе 12.10.