Політика конфіденційності

1.1.Застосовне право. Опрацювання персональних даних регулюється Регламентом (ЄС) 2016/679 (далі – GDPR), Законом Естонської Республіки про захист персональних даних (Isikuandmete kaitse seadus, далі – IKS), Законом про електронні комунікації (Elektroonilise side seadus, далі – ESS) у частині маркетингових повідомлень і cookies, а також Законом про запобігання відмиванню грошей і фінансуванню тероризму (Rahapesu ja terrorismi rahastamise tõkestamise seadus, далі – RahaPTS) і Законом про міжнародні санкції (Rahvusvahelise sanktsiooni seadus) у частині перевірки клієнтів.

1.2.Терміни. У цій Політиці використовуються такі поняття:

1.3.Сфера дії. Політика застосовується до всіх персональних даних, які Averium опрацьовує як контролер. У випадках, коли ми опрацьовуємо дані за дорученням клієнта (наприклад, дані працівників клієнта під час підготовки дозволів на роботу), ми діємо як оператор, і порядок опрацювання визначається договором із клієнтом.

1.4.Співвідношення з договором. Якщо договір про надання послуг містить спеціальні положення про опрацювання даних, застосовуються положення договору. В іншому діє ця Політика.

1.5.Принципи опрацювання. Під час будь-якого опрацювання ми керуємося принципами ст. 5 GDPR: законність, справедливість і прозорість – дані опрацьовуються лише на одній із підстав, перелічених у розділі 6, і суб'єкта даних інформують про опрацювання; обмеження мети – дані, зібрані для однієї мети, не використовуються для несумісної з нею мети без нової підстави; мінімізація – ми запитуємо лише ті дані, які необхідні для конкретної мети, і не збираємо дані «про всяк випадок»; точність – дані оновлюються в разі зміни обставин, а неточні дані виправляються або видаляються; обмеження зберігання – дані зберігаються протягом строків, зазначених у розділі 10; цілісність і конфіденційність – застосовуються заходи безпеки, описані в розділі 11; підзвітність – ми ведемо реєстр операцій з опрацювання (ст. 30 GDPR) і можемо продемонструвати наглядовому органу дотримання Політики.

1.6.Конфіденційність. Крім обов'язків щодо захисту даних, усе, що стає нам відомим у зв'язку з наданням юридичних послуг, є конфіденційним і охороняється договором про надання послуг, Законом про зобов'язальне право (VÕS § 625) та внутрішніми правилами. Конфіденційність поширюється на факт звернення клієнта, предмет справи, зміст консультацій і документів. Розкриття допускається лише за згодою клієнта, на вимогу закону або в обсязі, необхідному для захисту прав Averium у спорі з клієнтом.

1.7.Дані третіх осіб, надані клієнтом. Передаючи нам дані своїх працівників, бенефіціарів, контрагентів та інших осіб, клієнт підтверджує, що має правову підставу для такого передавання, і зобов'язується поінформувати цих осіб про опрацювання їхніх даних компанією Averium, зокрема шляхом надання посилання на цю Політику. На прохання клієнта ми надаємо коротке повідомлення про опрацювання, яке клієнт може надіслати таким особам.

2.1.Контролером персональних даних є Averium Consulting OÜ, приватне товариство з обмеженою відповідальністю, зареєстроване в Комерційному реєстрі Естонії під реєстраційним кодом 17232358, адреса: Maakri tn 19/1, 10145 Таллінн, Естонія. Основні види діяльності: юридичні послуги (EMTAK 69102) і консультування з питань бізнесу та управління (EMTAK 70201). Averium не є кредитною, платіжною чи іншою фінансовою установою.

2.2.З усіх питань, пов'язаних із персональними даними, з нами можна зв'язатися: електронною поштою privacy@averium.ee, за загальною адресою info@averium.ee або листом на поштову адресу, зазначену вище. Особу, відповідальну за захист даних, призначено внутрішнім розпорядженням; звернення на privacy@averium.ee надходять безпосередньо до неї.

2.3.Averium не зобов'язаний призначати офіційного інспектора з питань захисту даних (DPO) у розумінні ст. 37 GDPR, оскільки основна діяльність не пов'язана з масштабним регулярним моніторингом суб'єктів даних і не є масштабним опрацюванням особливих категорій даних та даних про судимості й правопорушення (ст. 10 GDPR). Проте функції контролю за дотриманням Політики покладено на відповідальну особу.

Ми опрацьовуємо персональні дані таких груп осіб:

3.1.Відвідувачі сайту averium.ee – будь-які особи, які відкривають сторінки сайту будь-якою з чотирьох мов.

3.2.Особи, які надіслали запит – особи, які заповнили форму «Опишіть ваше завдання», написали на info@averium.ee чи іншу адресу компанії, зателефонували або звернулися через LinkedIn.

3.3.Клієнти та їхні представники – фізичні особи, які є клієнтами, а також члени правління, прокуристи, уповноважені особи та контактні особи клієнтів – юридичних осіб.

3.4.Кінцеві бенефіціарні власники та акціонери клієнтів – особи, дані яких ми зобов'язані встановити й перевірити відповідно до RahaPTS.

3.5.Контрагенти клієнтів і треті особи, пов'язані зі справою – сторони договорів, опоненти у спорах, свідки, працівники клієнта, члени сім'ї під час релокації, а також інші особи, дані яких містяться в документах у справі.

3.6.Партнери та постачальники – представники партнерських юридичних фірм, нотаріусів, перекладачів, банків, платіжних установ, постачальників послуг.

3.7.Кандидати на роботу – особи, які надіслали резюме або відгукнулися на вакансію.

3.8.Підписники та учасники заходів – особи, які підписалися на інформаційні листи, зареєструвалися на наші заходи або взяли в них участь. Наразі ми не ведемо розсилки й не проводимо заходів; положення про підписників і учасників застосовуються, коли вони з'являться.

3.9.Особи, які беруть участь у телефонних і відеодзвінках. Під час консультацій за відеозв'язком ми не ведемо запису без попереднього повідомлення та згоди учасників. Якщо запис ведеться (наприклад, для протоколювання переговорів), про це повідомляють на початку дзвінка, а запис зберігається як частина досьє у справі.

3.10.Відвідувачі офісу. В офісі за адресою Maakri tn 19/1 управитель будівлі може вести відеоспостереження загальних приміщень; контролером такого опрацювання є управитель. Averium веде журнал відвідувачів (ім'я, компанія, час візиту) для забезпечення безпеки; записи зберігаються 6 місяців.

4.1.Особливі категорії даних. Ми не збираємо цілеспрямовано дані особливих категорій (ст. 9 GDPR). Такі дані можуть міститися в документах у справі (наприклад, відомості про здоров'я під час оформлення посвідки на проживання або сімейні обставини у спорах). Їх опрацювання здійснюється лише в обсязі, необхідному для ведення справи, на підставі ст. 9(2)(f) GDPR (встановлення, здійснення або захист правових вимог) або ст. 9(2)(a) – за явною згодою суб'єкта.

4.2.Дані про судимості та правопорушення. У межах перевірки клієнта за RahaPTS ми можемо отримувати відомості про судимості, кримінальне переслідування та правопорушення з відкритих джерел, санкційних списків і баз даних негативних новин. Таке опрацювання здійснюється на підставі ст. 10 GDPR у поєднанні з RahaPTS (§ 20 ч. 1, § 48 ч. 2).

5.1.Від самого суб'єкта даних – під час заповнення форми, листування, зустрічей, надання документів, підписання договору.

5.2.Від клієнта – щодо його представників, бенефіціарів, працівників, контрагентів та інших осіб, пов'язаних зі справою. Клієнт відповідає за наявність підстави для передавання нам таких даних і за інформування цих осіб.

5.3.З публічних реєстрів і відкритих джерел – Комерційний реєстр Естонії та реєстри інших країн, реєстр кінцевих бенефіціарних власників, Реєстр нерухомості, реєстри торговельних марок, судові бази даних, офіційні санкційні списки ЄС, ООН, Великої Британії (UK Sanctions List) і США (OFAC), публікації у ЗМІ.

5.4.Від третіх осіб під час ведення справи – від банків, платіжних установ, нотаріусів, державних органів, судів, партнерських юридичних фірм, опонентів та їхніх представників.

5.5.Автоматично – технічні дані під час відвідування сайту та використання електронної пошти.

5.6.Від постачальників даних для перевірки клієнтів – комерційні бази даних санкційних списків, PEP і негативних новин, що використовуються для скринінгу.

5.7.Відповідальність за точність. Ми виходимо з того, що дані, надані суб'єктом або клієнтом, точні й актуальні. Клієнт зобов'язаний невідкладно повідомляти про зміни у складі представників, структурі власності, адресах і контактних даних, оскільки від цього залежать виконання обов'язків за RahaPTS і правильність документів, що подаються до реєстрів і банків.

5.8.Дані, отримані випадково. Якщо під час ведення справи ми отримуємо документи, що містять дані осіб, які не стосуються справи (наприклад, коли клієнт пересилає повне листування), ми не використовуємо такі дані, не передаємо їх і видаляємо, щойно це можливо без шкоди для цілісності досьє.

• Відповідь на запит, первинна консультація, підготовка пропозиції

  Категорії даних

  Дані осіб, які надіслали запит

  Правова підстава

  Ст. 6(1)(b) GDPR – дії з ініціативи суб'єкта до укладення договору

• Перевірка конфлікту інтересів до прийняття доручення

  Категорії даних

  Імена сторін і пов'язаних осіб

  Правова підстава

  Ст. 6(1)(f) – законний інтерес у дотриманні професійних обов'язків

• Встановлення та перевірка особи клієнта, представників і бенефіціарів; санкційний скринінг; визначення статусу PEP; встановлення джерела коштів

  Категорії даних

  Дані клієнтів, представників, бенефіціарів

  Правова підстава

  Ст. 6(1)(c) – юридичний обов'язок за RahaPTS §§ 19–23, Законом про міжнародні санкції

• Укладення та виконання договору про надання послуг, ведення справи, представництво

  Категорії даних

  Дані клієнтів, представників, контрагентів і третіх осіб

  Правова підстава

  Ст. 6(1)(b) – виконання договору; щодо третіх осіб – ст. 6(1)(f) – законний інтерес клієнта та Averium у веденні справи

• Опрацювання особливих категорій даних у документах у справі

  Категорії даних

  Дані особливих категорій

  Правова підстава

  Ст. 9(2)(f) – правові вимоги; ст. 9(2)(a) – згода

• Опрацювання даних про судимості в межах KYC

  Категорії даних

  Дані про судимості та правопорушення

  Правова підстава

  Ст. 10 GDPR у поєднанні з RahaPTS (§ 20 ч. 1, § 48 ч. 2)

• Поточний моніторинг ділових відносин, оновлення даних перевірки

  Категорії даних

  Дані клієнтів і бенефіціарів

  Правова підстава

  Ст. 6(1)(c) – юридичний обов'язок за RahaPTS § 23

• Повідомлення до RAB про підозрілі операції

  Категорії даних

  Дані клієнтів і операцій

  Правова підстава

  Ст. 6(1)(c) – юридичний обов'язок за RahaPTS § 49

• Виставлення рахунків, облік, податкова звітність

  Категорії даних

  Дані клієнтів, партнерів, постачальників

  Правова підстава

  Ст. 6(1)(c) – Закон про бухгалтерський облік, Закон про оподаткування

• Стягнення заборгованості, захист від претензій, ведення спорів із клієнтами

  Категорії даних

  Дані клієнтів і представників

  Правова підстава

  Ст. 6(1)(f) – законний інтерес у захисті прав

• Комунікація з партнерами та постачальниками

  Категорії даних

  Дані партнерів і постачальників

  Правова підстава

  Ст. 6(1)(b) – договір; ст. 6(1)(f) – законний інтерес

• Інформаційні листи, запрошення на заходи

  Категорії даних

  Дані підписників і клієнтів

  Правова підстава

  Ст. 6(1)(a) – згода; для чинних і колишніх клієнтів – ст. 6(1)(f) та ESS § 103¹ (повідомлення про схожі послуги з правом відмови)

• Проведення заходів, фото- і відеозйомка

  Категорії даних

  Дані учасників

  Правова підстава

  Ст. 6(1)(b) – реєстрація; ст. 6(1)(f) – законний інтерес у висвітленні заходів; ст. 6(1)(a) – згода на публікацію знімків великим планом

• Добір персоналу

  Категорії даних

  Дані кандидатів

  Правова підстава

  Ст. 6(1)(b) – дії до укладення трудового договору; ст. 6(1)(f); зберігання після конкурсу – ст. 6(1)(a)

• Забезпечення роботи сайту, безпека, запобігання зловживанням

  Категорії даних

  Технічні дані

  Правова підстава

  Ст. 6(1)(f) – законний інтерес

• Запам'ятовування обраної мови сайту

  Категорії даних

  Cookie NEXT_LOCALE (код мови)

  Правова підстава

  Ст. 6(1)(f) – законний інтерес; згода не потрібна, оскільки cookie суворо необхідний (ст. 5(3) Директиви 2002/58/ЄС)

• Запам'ятовування вибору, зробленого в банері cookies

  Категорії даних

  Cookie averium_consent (прийняті категорії, дата вибору, випадковий ідентифікатор згоди)

  Правова підстава

  Ст. 6(1)(f) – законний інтерес; згода не потрібна, оскільки cookie суворо необхідний (ст. 5(3) Директиви 2002/58/ЄС)

• Аналітика відвідуваності сайту та вимірювання реклами

  Категорії даних

  Дані cookies

  Правова підстава

  Наразі не використовуються; якщо з'являться – ст. 6(1)(a) – згода через банер cookies, ст. 5(3) Директиви 2002/58/ЄС

• Внутрішній контроль якості, аудит, страхування професійної відповідальності

  Категорії даних

  Дані у справах

  Правова підстава

  Ст. 6(1)(f) – законний інтерес

6.1.Законний інтерес. Там, де ми спираємося на законний інтерес, ми заздалегідь оцінили, що інтерес Averium або третьої особи не переважують інтереси та права суб'єкта даних. Суб'єкт даних має право запитати стислий виклад такої оцінки (balancing test) і заперечити проти опрацювання (розділ 12.7).

6.2.Згода. Згода завжди надається окремо для конкретної мети, добровільно, і її може бути відкликано будь-коли. Відкликання згоди не впливає на законність опрацювання до відкликання.

6.3.Зміна мети. Якщо ми маємо намір опрацьовувати дані для мети, відмінної від тієї, для якої їх було зібрано, ми заздалегідь оцінюємо сумісність цілей (ст. 6(4) GDPR) з урахуванням зв'язку між цілями, контексту збирання, характеру даних і можливих наслідків для суб'єкта. Якщо цілі несумісні, ми запитуємо згоду або не використовуємо дані для нової мети.

6.4.Опрацювання на сайті. Під час відвідування сайту сервер хостинг-провайдера автоматично записує технічні дані (IP-адреса, час, запитана сторінка, код відповіді, обсяг переданих даних, браузер). Ці журнали використовуються лише для забезпечення працездатності та безпеки сайту, не об'єднуються з іншими даними і зберігаються не довше 12 місяців. Дані форми «Опишіть ваше завдання» передаються через сервіс надсилання листів на нашу адресу info@averium.ee захищеним з'єднанням; копія в базі даних сайту не зберігається.

7.1.Статус зобов'язаного суб'єкта. Averium є зобов'язаним суб'єктом у розумінні RahaPTS § 2 як особа, що надає бухгалтерські послуги та консультації з оподаткування (ч. 1 п. 7–8), послуги із заснування компаній (ч. 1 п. 9) і юридичні послуги в разі участі в правочинах клієнта (ч. 2). Це означає, що ми зобов'язані застосовувати заходи належної перевірки до клієнтів до встановлення ділових відносин і протягом усього часу їх тривання.

7.2.Заходи належної перевірки. Відповідно до RahaPTS §§ 19–23 і Закону про міжнародні санкції ми: встановлюємо та перевіряємо особу клієнта і його представника на підставі документа, що посвідчує особу, або з використанням засобів електронної ідентифікації; встановлюємо кінцевих бенефіціарних власників і перевіряємо структуру власності; з'ясовуємо мету й характер ділових відносин; за підвищеного ризику – встановлюємо джерело коштів і джерело статків; перевіряємо клієнта, представників і бенефіціарів за санкційними списками та базами PEP; здійснюємо поточний моніторинг.

7.3.Санкційний скринінг. Перевірка за санкційними списками ЄС, ООН, Великої Британії та США проводиться під час прийняття клієнта і надалі регулярно, зокрема після кожного оновлення списків. Збіги працівник перевіряє вручну; автоматичне рішення про відмову не ухвалюється (розділ 15).

7.4.Політично значущі особи. Ми визначаємо, чи є клієнт, представник або бенефіціар PEP, членом сім'ї або пов'язаною з PEP особою. До таких осіб застосовуються заходи посиленої перевірки, зокрема схвалення керівництвом і встановлення джерела статків.

7.5.Обов'язок повідомлення. Якщо в нас виникає підозра щодо відмивання грошей або фінансування тероризму, ми зобов'язані повідомити про це RAB (RahaPTS § 49). Закон забороняє інформувати клієнта або третіх осіб про факт повідомлення (RahaPTS § 51). У такому разі права суб'єкта даних на інформацію та доступ можуть бути обмежені на підставі ст. 23 GDPR і RahaPTS § 51.

7.6.Зберігання. Дані та документи перевірки клієнта, а також відомості про правочини зберігаються протягом 5 років після припинення ділових відносин або вчинення правочину (RahaPTS § 47). За приписом наглядового органу строк може бути продовжено не більш ніж на 5 років.

7.7.Відмова в обслуговуванні. Якщо ми не можемо виконати заходи належної перевірки, ми не маємо права встановлювати ділові відносини або зобов'язані їх припинити (RahaPTS § 42). Відмова не потребує обґрунтування перед клієнтом у тій частині, в якій розкриття причин заборонено законом.

7.8.Джерело коштів і джерело статків. Для встановлення джерела коштів ми можемо запитувати виписки з рахунків, договори, що підтверджують походження коштів, податкові декларації, документи про продаж майна, спадкування або дивіденди. Для встановлення джерела статків – відомості про професійну діяльність, бізнес, активи. Такі документи належать до досьє перевірки клієнта, зберігаються окремо й доступні обмеженому колу працівників.

7.9.Дистанційна ідентифікація. Під час ідентифікації без особистої присутності ми використовуємо засоби, допустимі згідно з RahaPTS § 20 ч. 1 п. 1 і § 21 ч. 4: естонську ID-картку, Mobiil-ID, Smart-ID, кваліфіковані електронні підписи ЄС (eIDAS) або відеоідентифікацію за встановленою процедурою із записом сеансу. Запис сеансу ідентифікації є частиною досьє і зберігається 5 років після припинення ділових відносин.

7.10.Внутрішні правила. Порядок перевірки клієнтів, оцінка ризиків, ролі та відповідальність працівників закріплені у внутрішніх правилах Averium за RahaPTS, затверджених правлінням. Публічний стислий виклад – у Політиці прийняття клієнтів на сайті.

8.1.Ми передаємо персональні дані лише тим особам, яким вони необхідні для зазначених цілей, і лише в необхідному обсязі.

• Партнерські юридичні фірми в ЄС, Великій Британії та інших країнах

  Які дані та навіщо

  Дані у справі в частині, що стосується їхньої юрисдикції

  Статус одержувача

  Самостійний контролер, пов'язаний договором і зобов'язанням щодо конфіденційності

• Нотаріуси, присяжні перекладачі, патентні повірені

  Які дані та навіщо

  Дані, необхідні для нотаріальної дії, перекладу, подання заявки

  Статус одержувача

  Самостійний контролер

• Банки, платіжні установи та установи електронних грошей

  Які дані та навіщо

  Дані клієнта і бенефіціарів під час подання заявки на відкриття рахунку та відповідей на запити банку – за дорученням клієнта

  Статус одержувача

  Самостійний контролер

• Державні реєстри та органи: Комерційний реєстр, Податково-митний департамент, Департамент поліції та прикордонної охорони, Фінансова інспекція, суди, Патентний департамент, EUIPO

  Які дані та навіщо

  Дані, необхідні для подання документів і представництва

  Статус одержувача

  Публічні органи

• RAB, AKI, наглядові органи, суд, правоохоронні органи

  Які дані та навіщо

  На вимогу закону або за рішенням суду

  Статус одержувача

  Публічні органи

• Постачальники IT-послуг: хостинг сайту, електронна пошта та календар, хмарне зберігання документів, система електронного підпису, CRM і управління справами, відеоконференції, бухгалтерська програма, інструменти санкційного скринінгу

  Які дані та навіщо

  Дані, що опрацьовуються у відповідних системах

  Статус одержувача

  Оператори за договорами відповідно до ст. 28 GDPR

• Аудитори, бухгалтери, юридичні та податкові консультанти Averium

  Які дані та навіщо

  Дані в обсязі, необхідному для перевірки або консультації

  Статус одержувача

  Самостійні контролери, пов'язані професійною таємницею (аудитори, адвокати) або зобов'язанням щодо конфіденційності

• Страховик професійної відповідальності

  Які дані та навіщо

  Дані у справі під час розгляду претензії

  Статус одержувача

  Самостійний контролер

• Правонаступники

  Які дані та навіщо

  У разі реорганізації, злиття або продажу бізнесу – уся база даних зі збереженням умов цієї Політики

  Статус одержувача

  Самостійний контролер

8.2.Ми не продаємо персональні дані й не передаємо їх третім особам для їхніх власних маркетингових цілей.

8.3.З усіма операторами укладено договори про опрацювання даних, які зобов'язують їх опрацьовувати дані лише за нашими вказівками, забезпечувати безпеку, не залучати субоператорів без нашого дозволу та видалити або повернути дані після завершення надання послуг.

8.4.Передавання партнерським фірмам. Залучаючи партнерську юридичну фірму в іншій країні, ми передаємо лише дані, необхідні для її частини роботи, і заздалегідь інформуємо клієнта про залучення партнера та про країну, до якої передаються дані. Партнерська фірма діє як самостійний контролер відповідно до законодавства своєї країни та професійних правил, пов'язана з Averium угодою про конфіденційність і не має права використовувати дані для інших цілей.

8.5.Передавання на вимогу органів. Запити державних органів про надання даних ми перевіряємо на наявність правової підстави та виконуємо лише в обсязі, якого вимагає закон. Якщо закон не забороняє, ми інформуємо клієнта про отриманий запит. Конфіденційні дані клієнта надаються лише у випадках, прямо передбачених законом.

8.6.Публікація. Ми не публікуємо імен клієнтів, предмета справ чи інших відомостей про них без письмової згоди клієнта. Описи справ на сайті та в маркетингових матеріалах знеособлені так, щоб клієнта не можна було ідентифікувати.

9.1.За загальним правилом дані зберігаються й опрацьовуються в ЄЕП; електронна пошта розміщена у Швейцарії (країна з рішенням про належний рівень захисту). Передавання за межі ЄЕП відбувається в таких випадках: ведення справи в юрисдикції за межами ЄЕП (наприклад, через партнерську фірму у Великій Британії або Швейцарії), подання документів до банку чи органу третьої країни за дорученням клієнта, використання IT-постачальників з інфраструктурою в третіх країнах.

9.2.Передавання здійснюється лише за наявності однієї з гарантій глави V GDPR:

9.3.Перед передаванням до країни без рішення про належний рівень захисту ми оцінюємо законодавство країни одержувача і за потреби застосовуємо додаткові заходи (шифрування, псевдонімізація, договірні обмеження доступу).

9.4.Суб'єкт даних має право запитати копію застосовуваних гарантій, надіславши запит на privacy@averium.ee.

10.1.Ми зберігаємо дані не довше, ніж це необхідно для цілей опрацювання або вимагається законом. Після закінчення строку дані видаляються або знеособлюються.

• Дані належної перевірки клієнта, копії документів, відомості про бенефіціарів, результати скринінгу

  Строк зберігання

  5 років після припинення ділових відносин; за приписом наглядового органу – до 10 років

  Підстава

  RahaPTS § 47

• Договори про надання послуг, листування та документи у справі

  Строк зберігання

  10 років після завершення справи

  Підстава

  Загальний строк позовної давності за договірними вимогами – 3 роки (§ 146 Закону про загальну частину Цивільного кодексу, TsÜS), у разі умисного порушення – 10 років (TsÜS § 146 ч. 4); строк страхування професійної відповідальності

• Рахунки, платіжні документи, бухгалтерські регістри

  Строк зберігання

  7 років з кінця фінансового року

  Підстава

  Закон про бухгалтерський облік (Raamatupidamise seadus) § 12

• Дані осіб, які надіслали запит, що не завершився укладенням договору

  Строк зберігання

  1 рік з останнього контакту

  Підстава

  Законний інтерес у відповіді на повторні звернення

• Результати перевірки конфлікту інтересів

  Строк зберігання

  10 років

  Підстава

  Законний інтерес у дотриманні професійних обов'язків

• Дані кандидатів

  Строк зберігання

  1 рік після завершення конкурсу; за згодою – 3 роки

  Підстава

  Законний інтерес у захисті від претензій; згода

• Маркетингові дані та підписки

  Строк зберігання

  До відкликання згоди або відписки; факт відписки – 3 роки

  Підстава

  Згода; законний інтерес у доведенні відписки

• Фото- і відеоматеріали заходів

  Строк зберігання

  5 років

  Підстава

  Законний інтерес

• Технічні журнали сайту та поштового сервера

  Строк зберігання

  не довше 12 місяців

  Підстава

  Законний інтерес у безпеці

• Журнал відвідувачів офісу

  Строк зберігання

  6 місяців

  Підстава

  Законний інтерес у безпеці

• Cookies

  Строк зберігання

  Згідно з Політикою cookies – cookie NEXT_LOCALE зберігається до кінця сеансу браузера, cookie averium_consent – 12 місяців

  Підстава

  Законний інтерес (суворо необхідні cookies)

• Записи про запити суб'єктів даних

  Строк зберігання

  3 роки після виконання

  Підстава

  Законний інтерес у підтвердженні виконання обов'язків

10.2.Якщо щодо даних триває спір, перевірка чи розслідування, строк зберігання продовжується до остаточного вирішення.

11.1.Організаційні заходи. Доступ до даних надається за принципом необхідності; усі працівники та залучені особи підписують зобов'язання щодо конфіденційності; внутрішні правила захисту даних та інформаційної безпеки обов'язкові для всіх; працівники проходять навчання із захисту даних і RahaPTS під час прийняття на роботу та не рідше ніж раз на рік; доступи відкликаються в разі звільнення в день припинення трудових відносин.

11.2.Технічні заходи. Двофакторна автентифікація для всіх робочих систем; шифрування даних під час передавання (TLS) і зберігання; резервне копіювання зі зберіганням копій у ЄЕП або Швейцарії; журналювання доступу до систем управління справами; антивірусний захист і оновлення програмного забезпечення; розмежування прав у системах; захищені канали для обміну документами з клієнтами на запит.

11.3.Обмін документами. Звичайна електронна пошта не є повністю захищеним каналом. Для передавання копій документів, що посвідчують особу, та інших чутливих відомостей ми пропонуємо захищене посилання для завантаження або шифрування вкладень.

11.4.Інциденти. У разі порушення захисту персональних даних ми документуємо інцидент, оцінюємо ризики і, якщо порушення може спричинити ризик для прав і свобод фізичних осіб, повідомляємо AKI протягом 72 годин (ст. 33 GDPR). У разі високого ризику ми без невиправданої затримки повідомляємо суб'єктів даних, яких це стосується (ст. 34 GDPR).

11.5.Робота поза офісом. Дистанційна робота допускається лише з корпоративних пристроїв із шифруванням диска, через захищене з'єднання та з дотриманням правил, що забороняють зберігати дані клієнтів на особистих пристроях і в особистих хмарних сховищах. Паперові документи зберігаються в шафах, що замикаються; після закінчення строку зберігання їх знищують шредером.

11.6.Контроль операторів. Перед залученням оператора ми оцінюємо його заходи безпеки, сертифікацію (наприклад, ISO 27001) і місце опрацювання. Договори з операторами передбачають право на аудит і обов'язок невідкладно повідомляти нам про інциденти.

11.7.Обмеження відповідальності. Ми не несемо відповідальності за безпеку даних, які суб'єкт даних надсилає нам незахищеними каналами з власної ініціативи до погодження захищеного способу передавання, а також за опрацювання даних на сторонніх сайтах, на які ведуть посилання з averium.ee.

Суб'єкт даних має такі права щодо своїх персональних даних. Права не є абсолютними і можуть бути обмежені законом, зокрема RahaPTS і ст. 23 GDPR.

12.1.Право на інформацію та доступ (ст. 13–15 GDPR). Ви маєте право отримати підтвердження того, чи опрацьовуємо ми ваші дані, і якщо так – отримати доступ до них і відомості про цілі, категорії, одержувачів, строки зберігання, джерело та ваші права. Ми надаємо копію даних безоплатно; за додаткові копії може стягуватися розумна плата. Доступ може бути обмежено, якщо він порушить права інших осіб, зокрема конфіденційність відомостей клієнта, або заборону розкриття за RahaPTS § 51.

12.2.Право на виправлення (ст. 16). Ви маєте право вимагати виправлення неточних даних і доповнення неповних. Виправлення даних перевірки клієнта може потребувати надання підтвердних документів.

12.3.Право на стирання (ст. 17). Ви маєте право вимагати стирання даних, якщо вони більше не потрібні для цілей опрацювання, ви відкликали згоду, заперечили проти опрацювання або дані опрацьовувалися незаконно. Право не застосовується, якщо зберігання вимагається законом (наприклад, RahaPTS § 47, Закон про бухгалтерський облік) або необхідне для правових вимог.

12.4.Право на обмеження опрацювання (ст. 18). Ви маєте право вимагати обмеження опрацювання на час перевірки точності даних або розгляду заперечення, а також якщо опрацювання незаконне, але ви заперечуєте проти стирання.

12.5.Право на перенесення даних (ст. 20). Щодо даних, які ви надали нам і які опрацьовуються автоматизованими засобами на підставі згоди або договору, ви маєте право отримати їх у структурованому машинозчитуваному форматі та передати іншому контролеру.

12.6.Право на відкликання згоди (ст. 7(3)). Згоду можна відкликати будь-коли в той самий спосіб, у який її було надано, або листом на privacy@averium.ee. Відкликання не впливає на законність опрацювання до відкликання.

12.7.Право на заперечення (ст. 21). Ви маєте право заперечити проти опрацювання на підставі законного інтересу з причин, пов'язаних із вашою конкретною ситуацією. Ми припинимо опрацювання, якщо не доведемо наявності переконливих законних підстав, що переважають ваші інтереси. Проти опрацювання для прямого маркетингу ви маєте право заперечити будь-коли без зазначення причин – ми припинимо його беззастережно.

12.8.Право не підлягати автоматизованому рішенню (ст. 22). Див. розділ 15.

12.9.Порядок подання запиту. Запит надсилається на privacy@averium.ee або поштою. Щоб захистити дані від несанкціонованого розкриття, ми маємо право попросити підтвердити особу (наприклад, підписати запит електронним підписом або надати дані, відомі лише суб'єкту). Форму запиту наведено в Додатку B.

12.10.Строки. Ми відповідаємо без невиправданої затримки і не пізніше ніж через один місяць з отримання запиту. У разі складності або великої кількості запитів строк може бути продовжено ще на два місяці з повідомленням вам про це протягом першого місяця.

12.11.Плата за розгляд. Розгляд запитів безоплатний. Якщо запити явно необґрунтовані або надмірні, зокрема повторюються, ми маємо право стягнути розумну плату або відмовити у виконанні, обґрунтувавши відмову.

12.12.Відмова. Якщо ми не можемо виконати запит повністю або частково, ми повідомляємо причини, крім випадків, коли закон забороняє їх розкриття, та інформуємо про право подати скаргу до AKI і до суду.

12.13.Обмеження прав за RahaPTS. Відповідно до ст. 23 GDPR і RahaPTS (§ 48 ч. 2¹–2², § 51) права на інформацію, доступ, обмеження опрацювання, перенесення даних і заперечення можуть бути обмежені щодо даних, які опрацьовуються з метою запобігання відмиванню грошей і фінансуванню тероризму, тією мірою, якою реалізація цих прав перешкодила б виконанню обов'язків за RahaPTS або розкрила б факт повідомлення до RAB. У таких випадках ми повідомляємо суб'єкту, що опрацювання ведеться відповідно до закону і що він має право звернутися до AKI, яка перевірить законність опрацювання.

12.14.Запити від імені третіх осіб. Запит від представника суб'єкта даних виконується за умови надання довіреності чи іншого підтвердження повноважень. Запит щодо даних іншої особи (наприклад, другого з подружжя або бізнес-партнера) без її повноважень не виконується.

12.15.Права щодо даних у справі клієнта. Треті особи, дані яких містяться в досьє у справі (контрагенти, опоненти), можуть реалізувати свої права тією мірою, якою це не порушує конфіденційності та прав клієнта. Зокрема, доступ до змісту консультацій і листування з клієнтом може бути обмежено, якщо він порушить права і свободи клієнта (ст. 15(4) GDPR).

13.1.Інформаційні листи. Коли з'явиться розсилка, ми надсилатимемо огляди змін законодавства, статті та запрошення на заходи особам, які дали згоду на підписку, а також чинним і колишнім клієнтам щодо послуг, схожих на раніше надані (ESS § 103¹). У кожному листі є посилання для відписки; відписка набирає чинності негайно.

13.2.Частота та зміст. Не частіше ніж два листи на місяць, крім термінових повідомлень про зміни законодавства, що стосуються клієнтів. Ми не передаємо список підписників третім особам.

13.3.Заходи. Під час реєстрації на захід ми опрацьовуємо дані для організації участі. На заходах може вестися фото- і відеозйомка для висвітлення в наших каналах; про це повідомляється під час реєстрації та на місці. Учасник має право попросити не публікувати зображень, на яких його знято великим планом, написавши на privacy@averium.ee.

13.4.LinkedIn. Сторінки компанії в LinkedIn у нас поки немає. Коли вона з'явиться, опрацювання даних під час взаємодії з нею регулюватиметься політикою LinkedIn, а в частині статистики сторінки – спільною відповідальністю Averium і LinkedIn Ireland.

14.1.Дані кандидатів опрацьовуються для оцінювання відповідності вакансії, проведення співбесід і ухвалення рішення про найм. Ми можемо запитати рекомендації в осіб, зазначених кандидатом, і перевірити загальнодоступну професійну інформацію (LinkedIn, публікації). Перевірку за іншими джерелами ми проводимо лише з відома кандидата.

14.2.Для посад, пов'язаних із перевіркою клієнтів і доступом до коштів клієнтів, ми маємо право запитати довідку про несудимість в обсязі, допустимому законом.

14.3.Дані кандидатів, яких не було обрано, зберігаються 1 рік після завершення конкурсу для захисту від можливих претензій; за згодою кандидата – 3 роки, щоб пропонувати майбутні вакансії.

15.1.Ми не ухвалюємо рішень, що ґрунтуються виключно на автоматизованому опрацюванні й породжують юридичні наслідки для суб'єкта даних.

15.2.Санкційний скринінг і перевірка PEP виконуються за допомогою програмних інструментів, які зіставляють дані зі списками. Будь-який збіг працівник перевіряє вручну; рішення про прийняття на обслуговування або відмову в ньому ухвалює відповідальна особа, а не система.

15.3.Наразі сайт не використовує аналітичних інструментів. Якщо вони з'являться, вони формуватимуть лише узагальнену статистику й не використовуватимуться для ухвалення рішень щодо окремих осіб.

Наші послуги призначені для бізнесу та повнолітніх осіб. Ми не надаємо послуг особам, молодшим 18 років, і не збираємо їхніх даних цілеспрямовано. Дані неповнолітніх можуть опрацьовуватися лише в межах справи клієнта (наприклад, під час оформлення посвідки на проживання для членів сім'ї) на підставі доручення законного представника. Якщо нам стане відомо, що ми отримали дані дитини без такої підстави, ми їх видалимо.

Використання cookies, пікселів та аналогічних технологій на сайті averium.ee описано в окремій Політиці cookies. Наразі сайт встановлює лише суворо необхідні cookies NEXT_LOCALE (мова сайту) та averium_consent (ваш вибір у банері cookies) і не використовує аналітики та рекламних інструментів. Банер і посилання «Налаштування cookies» у нижній частині кожної сторінки дають змогу вже зараз зробити і змінити свій вибір; якщо такі інструменти з'являться, вони працюватимуть лише за вашою згодою.

18.1.Якщо ви вважаєте, що опрацювання ваших даних порушує закон, просимо спершу звернутися до нас на privacy@averium.ee – ми докладемо зусиль, щоб вирішити питання протягом одного місяця.

18.2.Ви маєте право будь-коли подати скаргу до Інспекції із захисту даних Естонії: Andmekaitse Inspektsioon, Tatari 39, 10134 Таллінн, телефон +372 627 4135, e-mail info@aki.ee, www.aki.ee (відкриється в новій вкладці). Якщо ви проживаєте в іншій державі ЄЕП, скаргу можна подати до наглядового органу за місцем проживання.

18.3.Ви також маєте право звернутися до суду. Спори з Averium розглядає Гар'юський повітовий суд (Harju Maakohus), якщо інше не передбачено імперативними нормами про підсудність.

19.1.Ми переглядаємо Політику не рідше ніж раз на рік, а також у разі зміни законодавства, діяльності чи систем, які ми використовуємо. Чинну редакцію з датою завжди опубліковано на averium.ee/policies.

19.2.Про суттєві зміни, що стосуються прав клієнтів і підписників, ми повідомляємо електронною поштою не пізніше ніж за 14 днів до набрання змінами чинності. Подальше користування послугами після цього означає ознайомлення з новою редакцією; для опрацювання на підставі згоди в разі суттєвих змін ми запитуємо згоду повторно.

19.3.Політику складено естонською, англійською, російською та українською мовами. У разі розбіжностей між версіями перевагу має англійська версія, якщо інше не передбачено договором із клієнтом.

• Хостинг сайту та CDN

  Призначення

  Розміщення averium.ee, захист від атак

  Місце опрацювання

  ЄЕП; CDN – глобально з DPF/SCC

• Надсилання повідомлень із форми сайту

  Призначення

  Доставлення повідомлень форми «Опишіть ваше завдання» на info@averium.ee

  Місце опрацювання

  ЄЕП (регіон ЄС постачальника); віддалений доступ постачальника зі США – на підставі DPF або SCC

• Електронна пошта, календар, відеоконференції

  Призначення

  Ділове листування та зустрічі

  Місце опрацювання

  Електронна пошта – Швейцарія (рішення про належний рівень захисту); календар і відеоконференції – ЄЕП; резервні копії – там само

• Хмарне зберігання та управління документами

  Призначення

  Зберігання досьє клієнтів і документів у справах

  Місце опрацювання

  ЄЕП

• Система управління справами та CRM

  Призначення

  Облік запитів, справ, строків і контактів

  Місце опрацювання

  ЄЕП

• Електронний підпис та ідентифікація

  Призначення

  Підписання договорів, дистанційна ідентифікація (ID-картка, Smart-ID, Mobiil-ID, кваліфікований підпис ЄС)

  Місце опрацювання

  ЄЕП

• Бухгалтерська програма та виставлення рахунків

  Призначення

  Облік, рахунки, звітність

  Місце опрацювання

  ЄЕП

• Інструменти санкційного скринінгу та перевірки PEP

  Призначення

  Перевірка клієнтів за списками та негативними новинами

  Місце опрацювання

  ЄЕП або країна з рішенням про належний рівень захисту

• Сервіс розсилок (наразі не використовується)

  Призначення

  Інформаційні листи та запрошення

  Місце опрацювання

  ЄЕП або США (DPF)

• Резервне копіювання

  Призначення

  Зберігання резервних копій систем

  Місце опрацювання

  ЄЕП

Актуальний перелік конкретних постачальників надається на запит, надісланий на privacy@averium.ee.

Щоб ми могли швидко й точно виконати ваш запит, просимо зазначити:

1. 1.Ім'я, прізвище та контактну адресу електронної пошти, на яку надіслати відповідь.
2. 2.У якому статусі ми опрацьовуємо ваші дані (клієнт, представник клієнта, бенефіціар, контрагент, кандидат, підписник, відвідувач сайту) і, якщо застосовно, назву клієнта та номер або предмет справи.
3. 3.Яке право ви реалізуєте: доступ, виправлення, стирання, обмеження, перенесення, заперечення, відкликання згоди.
4. 4.Яких саме даних або якого періоду опрацювання стосується запит.
5. 5.Спосіб підтвердження особи: електронний підпис (ID-картка, Smart-ID, Mobiil-ID, eIDAS), або запит з адреси електронної пошти, яку зареєстровано в нас для вас, або інший погоджений спосіб.
6. 6.Бажаний формат відповіді (електронний документ, паперовий лист).

Запит надсилається на privacy@averium.ee з темою «Запит суб'єкта даних» або поштою: Averium Consulting OÜ, Maakri tn 19/1, 10145 Таллінн, Естонія. Ми підтверджуємо отримання протягом 3 робочих днів і відповідаємо по суті в строки, зазначені в розділі 12.10.