Хто є оператором персональних даних та суб’єктами даних?
Хто є оператором персональних даних та суб’єктами даних?
BANCA TRANSILVANIA S.A. (“банк”, “BT” або «ми») установа кредитна, юридична особа румунська, з даними для ідентифікації та контактами із розділу III a Загальна інформаційна нотатка щодо обробки та захисту персональних даних, що належать клієнтам BT, („Загальна інформаційна записка”) надає своїм клієнтам можливість підписувати документи, пов'язані з банком, за допомогою цифрових сертифікатів, виданих довіреним постачальником послуг Alfatrust Certification S.A. (“Alfatrust”), у співпраці з BT.
Якщо ви є фізичною особою, уповноваженою підписувати документи у відносинах з банком від імені клієнта (юридичної або фізичної особи) або власником рахунку-фізичною особою і обираєте підписувати документацію за допомогою цифрового сертифіката, який вам видасть Alfatrust на основі співпраці з BT, ваші персональні дані будуть оброблені так, як ми інформуємо вас далі. У цьому контексті ви є особою, щодо якої здійснюється така обробка.
На якій підставі ми обробляємо дані і що станеться, якщо ви відмовитеся від їх обробки?
На якій підставі ми обробляємо дані і що станеться, якщо ви відмовитеся від їх обробки?
Ми обробляємо ваші персональні дані, за потребою, на таких підставах:
- юридичні зобов’язання BT (наприклад, знання клієнтів для запобігання відмиванню грошей та фінансуванню тероризму, ідентифікація на відстані за допомогою відеозасобів)
- укладення/виконання договору, який ви укладаєте з BT (якщо ви клієнт — фізична особа, власник рахунку)
- законний інтерес BT та/або третіх осіб (наприклад, для запобігання шахрайству)
- твоя згода (наприклад, для обробки біометричних даних)
Якщо ви відмовляєтеся від обробки біометричних даних або інших типів персональних даних, ми не можемо ідентифікувати вас без жодного сумніву. Таким чином, Alfatrust не може видати вам у цьому онлайн-процесі цифровий сертифікат. У такому разі ви можете підписати документацію власним іншим цифровим сертифікатом або власноручним підписом (лише якщо інші можливі підписанти документа також обирають цей варіант підписання).
Для яких цілей ми обробляємо ваші персональні дані, які це дані, кому ми їх розкриваємо і як довго їх зберігаємо?
Для яких цілей ми обробляємо ваші персональні дані, які це дані, кому ми їх розкриваємо і як довго їх зберігаємо?
- для перевірки особи та статусу підписанта документа у відношенні з BT
Ми використовуємо процес ідентифікація на відстані за допомогою відео засобів, щоб упевнитися, що ти той, за кого себе видаєш. У цьому процесі ми зробимо фотографії твого обличчя та твого посвідчення особи, тільки якщо ти даєш згоду.
У цьому випадку, для ідентифікації, ми маємо опрацювати такі типи персональних даних залежно від ситуації: (i) дані з документу, що посвідчує особу (включно з паспортом, якщо ти не є громадянином Румунії, який проживає), який буде необхідно сфотографувати у певних ситуаціях (це передбачає доступ до фотокамери). Якщо ти є резидентом Румунії, ми порівняємо цю інформацію з даними Генерального управління з обліку осіб - D.G.E.P. (дивись тут деталі про обробку даних, наданих D.G.E.P.); (ii) зображення обличчя в русі, з відео селфі, яке ми попросимо тебе зробити (потрібен доступ до фото камери), (iii) біометричні дані обличчя, отримані шляхом біометричного порівняння зображення із селфі з зображенням в фотографії документа, що посвідчує особу, та/або, у разі необхідності, зображенням від D.G.E.P.. Ми оброблятимемо твої біометричні дані лише якщо ти явно висловлюєш згоду, який ми попросимо у вас до того, як здійснити таку обробку. Порівняння біометричних даних здійснюється шляхом аналізу відповідних рис обличчя, використовуючи спеціальні інформаційні методи, для підтвердження того, що на зображеннях зображена одна й та сама особа. В результаті біометричного порівняння інформаційне рішення вказує на ймовірність того, що обличчя на двох зображеннях належить одній і тій же особі. Якщо ви відмовитесь надавати нам для обробки свої біометричні дані або якщо результат, отриманий інформаційним рішенням, не підтвердить вашу особу, матимуть місце ті самі наслідки, про які ми повідомили вас у попередньому розділі.
Для віддаленої ідентифікації ми використовуємо послуги постачальника послуг Onfido та деяких його партнерів (субповноважених). Вони обробляють дані з вашого сфотографованого паспорта, ваше зображення (зроблене під час селфі/відео) та біометричні дані вашого обличчя виключно від імені та за вказівками банку.
Onfido та його партнери можуть знаходитись у третіх країнах, таких як Великобританія (з належним захистом даних, визнаним Європейською Комісією), або в інших країнах, які не мають такого рішення. У цих останніх випадках ми впевнилися, що передача даних здійснюється на основі відповідних гарантій, передбачених GDPR, які складаються зі Стандартних Контрактних Умов, затверджених Європейською Комісією, які ви можете знайти тут: https://eur-lex.europa.eu/legal-content/RO/ALL/?uri=CELEX:32021D0914
- для видачі та управління Кваліфікованим Цифровим Сертифікатом, виданим Alfatrust Certification S.A., для підписання документації у відносинах із BT
Якщо ідентифікація пройшла успішно, щоб ви могли підписати з кваліфікованим електронним підписом документацію у відносинах з BT, необхідно мати кваліфікований цифровий сертифікат.
Видача та використання для підписання цифрового сертифіката не передбачає витрат для тебе, проте необхідно, щоб BT та Alfatrust спільно обробляли, як асоційовані оператори, персональні дані, що стосуються тебе, а саме:
a. Оператори даних з особистим характером
На підставі статей 13-14 Регламенту ЄС 679/2016 - Загальний регламент про захист даних (“GDPR”), Alfatrust Certification S.A. (“Alfatrust”) та Banca Transilvania S.A. (“BT” або “Банк”), маючи ідентифікаційні та контактні дані, вказані в рамках Умов і положень надання послуг сертифікації для кваліфікованих цифрових сертифікатів, інформує тебе про обробку твоїх персональних даних як Користувача (“запитуваної особи”), яку здійснює у якості спільних операторів з метою, зазначеною у пункті b нижче.
b. Мета та підстава обробки персональних даних
Метою, з якою асоційовані оператори обробляють дані Користувача, є видача та управління Кваліфікованим Цифровим Сертифікатом («Сертифікатом»).
BT є оператором, який ідентифікує Користувача, відповідно збирає від нього персональні дані, необхідні для видачі Кваліфікованого Цифрового Сертифіката, та передає їх Alfatrust для того, щоб цей оператор видав сертифікат.
Дані, які BT збирає від Користувачів, це ті, що обробляються Банком у власних реєстрах, у контексті ділових відносин, що розпочинаються між Користувачем та Банком у момент передачі даних Альфатрасту.
Протягом терміну дії сертифіката, персональні дані обробляються пов’язаними операторами, у разі потреби, включно із ситуаціями, коли Користувачі запитують призупинення або відкликання сертифіката за способами, деталізованими у Умовах надання послуг.
Підстави обробки персональних даних з визначеною метою є правовим обов’язком (ст. 6, ч. 1, літ. с GDPR), укладення/виконання Договору (ст. 6, ч. 1, літ. б GDPR) та законним інтересом пов’язаних операторів (ст. 6, ч. 1, літ. ф GDPR).
Що стосується законного зобов’язання, як БТ – як кредитна установа, з якою Користувач розпочинає ділові стосунки, так і Альфатруст – як акредитований постачальник послуг сертифікації, у якого Користувач бажає отримати сертифікат, підпадають під дію правових норм у сфері запобігання відмиванню грошей та фінансування тероризму, відповідно до яких вони зобов’язані збирати низку персональних даних. Ці дані також необхідні для укладення/виконання Договору, на підставі якого Користувачеві дозволяється використовувати сертифікат для підписання документації у відносинах з БТ.
Для підтримки Користувачів, які бажають подати запит на призупинення або відкликання сертифікату, пов’язані оператори обґрунтовують законний інтерес надати їм можливість передавати ці запити не лише безпосередньо до Alfatrust, а й через BT. Розв’язання цих запитів передбачає обмін персональними даними Користувачів між двома пов’язаними операторами.
Контактні дані - номер телефону та адреса проживання будуть оброблені будь-яким із пов'язаних операторів, щоразу, коли буде необхідно зв’язатися з кінцевим користувачем для належного проведення договірних відносин, пов’язаних із кваліфікованим цифровим сертифікатом.
c, Категорії персональних даних та осіб, чиї персональні дані єоброблено.
Особисті дані, що обробляються з метою досягнення вищезазначеної мети, є тими, що передбачені законом як обов’язкові для збору кредитною установою, а також постачальником послуг сертифікації для запобігання відмиванню грошей і санкціонуванню тероризму, а саме: ім'я, прізвище, ІПН, адреса місця проживання/перебування, дата дійсності документа, номер телефону та копія документа, що засвідчує особу. Усі ці дані, зібрані Банком, будуть надані Alfatrust для видачі та управління Кваліфікованим цифровим сертифікатом.
Обробка цих персональних даних необхідна для створення Кваліфікованого Цифрового Сертифіката. Відмова Користувача від обробки цих даних призводить до неможливості видачі Кваліфікованого Цифрового Сертифіката.
Особи, на яких поширюється ця обробка, — це лише користувачі, як вони визначені в Умовах використання.
d. Одержувачі персональних даних.
За винятком спільних операторів, між якими відбуватиметься обмін персональними даними, обробленими для виконання цілей обробки, дані розкриваються, за потреби, працівникам спільних операторів, які мають потребу їх знати, постачальникам ІТ-послуг, аудиторам, органам та установам, які мають право їх знати.
e. Період обробки персональних даних.
Інформація щодо Кваліфікованого Цифрового Сертифіката (включно з персональними даними) обробляється компанією Alfatrust протягом 10 років з дати припинення його дії відповідно до встановлених законодавством термінів.
На рівні Банку Трансильванія, електронний підпис на відстані, застосований на основі Кваліфікованого цифрового сертифіката, виданого Alfatrust, на документації, підписаній у відношенні до BT, зберігається протягом всього періоду, коли між Клієнтом-Користувачем та BT триває ділові відносини, до яких додаються строки, встановлені в застосовному банківському законодавстві, а саме мінімум 5 років від припинення ділових відносин з кредитною установою.
f. Права осіб, дані яких обробляються з особистою метою, зазначеною.
Будь-якому Користувачеві, у його якості відповідної особи гарантується здійснення наступних прав щодо обробки його персональних даних у будь-якого з пов’язаних операторів: право на доступ, право на виправлення, право на обмеження обробки, право на видалення даних, право заперечувати проти обробки даних, право на переносимість даних.
Користувачі можуть реалізувати ці права або звертатися до відповідальних за захист даних щодо будь-яких запитань/запитів стосовно обробки персональних даних, таким чином:
- до Банка Трансільванія S.A.- через повідомлення, надіслане на електронну адресу dpo@btrl.ro або через заяву
передано до офісу BT, з приміткою «до уваги відповідальної особи з питань захисту даних (DPO)»
- до Alfatrust Certification S.A.- через повідомлення, надіслане на електронну адресу dataprotection@alfasign.ro або шляхом звернення, надісланого до офісу Alfatrust, із позначкою «на увагу відповідальної особи з захисту даних (DPO)».
Користувачі також мають право подати скаргу до наглядового органу - Національного органу нагляду за обробкою персональних даних (ANSPDCP), з штаб-квартира у Бухаресті, сектор 1, бульв. Г-нерал Г. Магерю № 28-30.
- Для спілкування з тобою
Якщо електронний підпис документа у відношенні з BT буде успішно завершено, ми надішлемо його на електронну адресу, з якої ти ініціював процес підписання. Ці контакти, а також твій номер телефону, ми маємо від тебе (наприклад, якщо ти їх декларував банку, коли став клієнтом) або, за потребою, отримали від клієнта-власника рахунку, який уповноважив тебе підписувати документацію у відношенні з банком.
Якщо ідентифікація пройшла успішно, щоб ви могли підписати з кваліфікованим електронним підписом документацію у відносинах з BT, необхідно мати кваліфікований цифровий сертифікат.
Видача та використання для підписання цифрового сертифіката не передбачає витрат для тебе, проте необхідно, щоб BT та Alfatrust спільно обробляли, як асоційовані оператори, персональні дані, що стосуються тебе, а саме:
- Оператори персональних даних
На підставі статей 13-14 Регламенту ЄС 679/2016 - Загальний регламент про захист даних (“GDPR”), Alfatrust Certification S.A. (“Alfatrust”) та Banca Transilvania S.A. (“BT” або “Банк”), маючи ідентифікаційні та контактні дані, вказані в рамках Умов і положень надання послуг сертифікації для кваліфікованих цифрових сертифікатів, інформує тебе про обробку твоїх персональних даних як Користувача (“запитуваної особи”), яку здійснює у якості спільних операторів з метою, зазначеною у пункті b нижче.
- Мета та підстава обробки персональних даних
Метою, для якої пов’язані оператори обробляють дані Користувача, є видача та управління Сертифікатом
Цифровий Кваліфікований (“Сертифікат”).
BT є оператором, який ідентифікує Користувача, відповідно збирає від нього персональні дані, необхідні для видачі Кваліфікованого Цифрового Сертифіката, та передає їх Alfatrust для того, щоб цей оператор видав сертифікат.
Дані, які BT збирає від Користувачів, це ті, що обробляються Банком у власних реєстрах, у контексті ділових відносин, що розпочинаються між Користувачем та Банком у момент передачі даних Альфатрасту.
Протягом терміну дії сертифіката, персональні дані обробляються пов’язаними операторами, у разі потреби, включно із ситуаціями, коли Користувачі запитують призупинення або відкликання сертифіката за способами, деталізованими у Умовах надання послуг.
Підстави обробки персональних даних з визначеною метою є правовим обов’язком (ст. 6, ч. 1, літ. с GDPR), укладення/виконання Договору (ст. 6, ч. 1, літ. б GDPR) та законним інтересом пов’язаних операторів (ст. 6, ч. 1, літ. ф GDPR).
Що стосується законного зобов’язання, як БТ – як кредитна установа, з якою Користувач розпочинає ділові стосунки, так і Альфатруст – як акредитований постачальник послуг сертифікації, у якого Користувач бажає отримати сертифікат, підпадають під дію правових норм у сфері запобігання відмиванню грошей та фінансування тероризму, відповідно до яких вони зобов’язані збирати низку персональних даних. Ці дані також необхідні для укладення/виконання Договору, на підставі якого Користувачеві дозволяється використовувати сертифікат для підписання документації у відносинах з БТ.
Для підтримки Користувачів, які бажають подати запит на призупинення або відкликання сертифікату, пов’язані оператори обґрунтовують законний інтерес надати їм можливість передавати ці запити не лише безпосередньо до Alfatrust, а й через BT. Розв’язання цих запитів передбачає обмін персональними даними Користувачів між двома пов’язаними операторами.
Контактні дані - номер телефону та адреса проживання будуть оброблені будь-яким із пов'язаних операторів, щоразу, коли буде необхідно зв’язатися з кінцевим користувачем для належного проведення договірних відносин, пов’язаних із кваліфікованим цифровим сертифікатом.
- Категорії персональних даних та осіб, чиї персональні дані єоброблено.
Особисті дані, що обробляються з метою досягнення вищезазначеної мети, є тими, що передбачені законом як обов’язкові для збору кредитною установою, а також постачальником послуг сертифікації для запобігання відмиванню грошей і санкціонуванню тероризму, а саме: ім'я, прізвище, ІПН, адреса місця проживання/перебування, дата дійсності документа, номер телефону та копія документа, що засвідчує особу. Усі ці дані, зібрані Банком, будуть надані Alfatrust для видачі та управління Кваліфікованим цифровим сертифікатом.
Обробка цих персональних даних необхідна для створення Кваліфікованого Цифрового Сертифіката. Відмова Користувача від обробки цих даних призводить до неможливості видачі Кваліфікованого Цифрового Сертифіката.
Особи, на яких поширюється ця обробка, — це лише користувачі, як вони визначені в Умовах використання.
- Отримувачі персональних даних.
За винятком спільних операторів, між якими відбуватиметься обмін персональними даними, обробленими для виконання цілей обробки, дані розкриваються, за потреби, працівникам спільних операторів, які мають потребу їх знати, постачальникам ІТ-послуг, аудиторам, органам та установам, які мають право їх знати.
- Період обробки персональних даних.
Інформація щодо Кваліфікованого Цифрового Сертифіката (включно з персональними даними) обробляється компанією Alfatrust протягом 10 років з дати припинення його дії відповідно до встановлених законодавством термінів.
На рівні Банку Трансильванія, електронний підпис на відстані, застосований на основі Кваліфікованого цифрового сертифіката, виданого Alfatrust, на документації, підписаній у відношенні до BT, зберігається протягом всього періоду, коли між Клієнтом-Користувачем та BT триває ділові відносини, до яких додаються строки, встановлені в застосовному банківському законодавстві, а саме мінімум 5 років від припинення ділових відносин з кредитною установою.
- Права осіб, щодо яких обробляються їхні персональні дані з вказаною метою.
Будь-якому Користувачеві, у його якості відповідної особи гарантується здійснення наступних прав щодо обробки його персональних даних у будь-якого з пов’язаних операторів: право на доступ, право на виправлення, право на обмеження обробки, право на видалення даних, право заперечувати проти обробки даних, право на переносимість даних.
Користувачі можуть реалізувати ці права або звертатися до відповідальних за захист даних щодо будь-яких запитань/запитів стосовно обробки персональних даних, таким чином:
- до Банка Трансільванія S.A.- через повідомлення, надіслане на електронну адресу dpo@btrl.ro або через запит, надісланий до офісу BT, з позначкою «увазі відповідальної особи з питань захисту даних (DPO)»
- до Alfatrust Certification S.A.- через повідомлення, надіслане на електронну адресу dataprotection@alfasign.ro або шляхом звернення, надісланого до офісу Alfatrust, із позначкою «на увагу відповідальної особи з захисту даних (DPO)».
Користувачі також мають право подати скаргу до наглядового органу - Національного органу нагляду за обробкою персональних даних (ANSPDCP), з штаб-квартира у Бухаресті, сектор 1, бульв. Г-нерал Г. Магерю № 28-30.
- Для спілкування з тобою
Якщо електронний підпис документа у відношенні з BT буде успішно завершено, ми надішлемо його на електронну адресу, з якої ти ініціював процес підписання. Ці контакти, а також твій номер телефону, ми маємо від тебе (наприклад, якщо ти їх декларував банку, коли став клієнтом) або, за потребою, отримали від клієнта-власника рахунку, який уповноважив тебе підписувати документацію у відношенні з банком.
Твої права, контактні дані DPO та деталі обробки персональних даних
Твої права, контактні дані DPO та деталі обробки персональних даних
Інші подробиці про те, як BT загалом обробляє персональні дані клієнтів BT, зокрема інформація про твої права, як ти можеш їх реалізувати та контактні дані відповідальної особи BT з питань захисту даних (DPO BT), надаються тобі у Загальна інформаційна записка, з яким це повідомлення доповнюється. Її можна знайти на сайті www.bancatransilvania.ro, у розділі Центр Конфіденційності
