1. Цель и сфера применения
Это перевод английской версии; в случае расхождений имеет силу английская версия.
Настоящая политика определяет, как IGAMING S.R.L. (Szilaghi Consulting) соблюдает Регламент (ЕС) 2016/679 (GDPR) и Закон Румынии 190/2018 во всех сферах своей деятельности: на сайте, при выполнении поручений клиентов, при подаче документов регуляторам и при оказании услуг, в рамках которых мы обрабатываем персональные данные от имени клиентов. Как мы используем ваши собственные данные, разъясняется в нашей Политике конфиденциальности.
2. Наши роли
- Оператор (контролер) данных — в отношении данных посетителей нашего сайта, лиц, направляющих запросы, контактных лиц клиентов, а также владельцев и ключевых лиц, документы которых мы собираем для надлежащей проверки клиентов и лицензионных заявок.
- Обработчик — когда мы обрабатываем персональные данные для клиента и по его указаниям, например при подготовке регуляторной отчетности, ведении обязательных реестров или исполнении функций местного представителя. В этом случае мы действуем только на основании документально оформленных указаний и договора об обработке данных, отвечающего требованиям статьи 28 GDPR.
3. Принципы, которые мы применяем
В соответствии со статьей 5 GDPR мы обрабатываем персональные данные законно, добросовестно и прозрачно; только для определенных целей; в объеме, ограниченном необходимым; точно; не дольше, чем требуется; и с обеспечением безопасности. Мы документируем, как соблюдаем эти принципы (подотчетность, статья 5(2)).
- Минимизация данных: мы запрашиваем только те документы, которые требуются регулятором или законом для вашей заявки.
- Защита данных посредством проектирования и по умолчанию (статья 25): наш сайт не использует рекламные файлы cookie, cookie социальных сетей и межсайтового отслеживания. Посещаемость мы измеряем с помощью Google Analytics 4, который загружается через тег Google (Google Tag Manager) и может быть отключен в любой момент в баннере cookie, а также с помощью статистики Matomo без файлов cookie, работающей на нашем хостинге (см. Политику использования файлов cookie). Наши формы собирают только то, что необходимо для ответа.
- Особая осторожность при работе с чувствительными данными: справки об отсутствии судимости обрабатываются только в случаях, когда их требует закон о лицензировании или о ПОД/ФТ (AML/CFT) (статья 10 GDPR); национальные идентификационные номера обрабатываются только с соблюдением гарантий, предусмотренных статьей 4 Закона 190/2018.
4. Реестр и оценка воздействия
Мы ведем реестр операций по обработке (статья 30). Перед началом обработки, которая может повлечь высокий риск для физических лиц, мы проводим оценку воздействия на защиту данных (статья 35) и, если требуется, консультируемся с надзорным органом.
5. Меры безопасности
- Шифрование TLS для сайта и передачи электронной почты; зашифрованное хранение документов, удостоверяющих личность, и материалов надлежащей проверки.
- Ролевой доступ: открывать материалы дела могут только лица, работающие по нему; многофакторная аутентификация для рабочих учетных записей.
- Обязательства о конфиденциальности для сотрудников, привлеченных директоров и партнеров.
- Защищенные каналы для обмена конфиденциальными документами; документы, удостоверяющие личность, через форму на сайте не принимаются.
- Регулярное резервное копирование, установка обновлений безопасности и пересмотр этих мер (статья 32).
6. Наши обработчики и партнеры
Мы привлекаем только обработчиков, предоставляющих достаточные гарантии, на основании письменных договоров, отвечающих требованиям статьи 28 GDPR, и ведем их перечень. Партнеры, выступающие по вашему делу самостоятельными операторами данных, — адвокаты, имеющие право практики, нотариусы, испытательные лаборатории, банки и регуляторы — обрабатывают данные в соответствии с собственными обязанностями.
7. Международная передача данных
Передача данных за пределы ЕЭЗ осуществляется в соответствии с главой V GDPR: на основании решений о достаточности уровня защиты, если они имеются; стандартных договорных условий (Решение 2021/914) с проведением оценки последствий передачи, если это необходимо; а также исключений, предусмотренных статьей 49, — для подачи документов регуляторам за пределами ЕЭЗ по поручению клиентов.
8. Нарушения защиты персональных данных
- В качестве оператора мы уведомляем ANSPDCP в течение 72 часов с момента, когда нам стало известно о нарушении, которое может повлечь риск для физических лиц (статья 33), и без неоправданной задержки сообщаем затронутым лицам, если риск высок (статья 34).
- В качестве обработчика мы без неоправданной задержки информируем клиента — оператора данных и содействуем ему в направлении уведомлений (статья 33(2)).
- Каждое нарушение документируется, включая его последствия и принятые меры по их устранению.
9. Запросы физических лиц
На запросы о реализации прав по GDPR мы отвечаем в течение одного месяца; для сложных запросов этот срок может быть продлен на два месяца (статья 12(3)). Если мы действуем в качестве обработчика, мы передаем запросы клиенту — оператору данных и оказываем ему содействие. Направляйте запросы по адресу hello@szilaghi.com.
10. Хранение и удаление
Мы храним данные только в течение сроков, указанных в нашей Политике конфиденциальности, после чего удаляем или анонимизируем их. По окончании поручения на обработку материалы клиента возвращаются ему или удаляются, если закон не обязывает нас их хранить.
11. Персонал и обучение
Все, кто обрабатывает персональные данные по нашему поручению, проходят обучение этим правилам и связаны обязательствами о конфиденциальности. Настоящая политика пересматривается не реже одного раза в год.
Связанные документы: Общие условия · Политика конфиденциальности · Политика использования файлов cookie · Политика GDPR