Что мы делаем с вашими данными и почему обязаны это делать.

Prifinance - международная юридическая и корпоративная консалтинговая фирма. В отношении персональных данных, о которых идёт речь ниже, мы выступаем контролёром: мы определяем, зачем и как они обрабатываются. Связаться с нами можно по адресу info@prifinance.com либо через любой из офисов, указанных на странице контактов.

Настоящая политика охватывает три вещи: персональные данные, которые Клиент передаёт нам, обращаясь к нам за Услугами; персональные данные, которые мы собираем о лицах, связанных с компанией-клиентом; и тот небольшой объём данных, который мы собираем при простом посещении сайта.

Политика составлена в соответствии с Regulation (EU) 2016/679 (Общий регламент о защите данных, GDPR). Если к поручению применяется также законодательство о защите данных другой страны, мы соблюдаем и его, но стандарт GDPR остаётся нижней планкой везде, в том числе для клиентов за пределами Европейской экономической зоны. Двух разных режимов у нас нет.

Настоящая политика действует наряду с Общими условиями договора об оказании услуг. Общие условия регулируют работу по договору; настоящая политика - персональные данные внутри этой работы. Там, где Общие условия упоминают политику обработки данных, имеется в виду настоящий документ.

Специалист по защите данных не назначен: наша обработка не отвечает условиям статьи 37(1) GDPR, при которых его назначение обязательно. Вопросы о защите данных направляются по адресу, указанному в разделе 16, и на них отвечает юрист, а не почтовый ящик.

Идентификационные и контактные данные: Имя, дата и место рождения, гражданство, персональный идентификационный код, адрес места жительства, адрес электронной почты и номер телефона.

Документы, удостоверяющие личность: Паспорта, национальные удостоверения личности, виды на жительство, водительские удостоверения, свидетельства о рождении и о браке, визы, а также содержащиеся в них фотографии. Копии мы снимаем потому, что Правила ПОД/ФТ обязывают нас проверить личность Клиента, а не потому, что нам этого хочется.

Финансовые данные: Реквизиты банковских счетов, данные платёжных карт, сведения об операциях, налоговое резидентство и идентификационные номера налогоплательщика, а также документы, подтверждающие происхождение средств и благосостояния Клиента.

Данные о бизнесе и о владении: Свидетельства о регистрации, выписки из реестров, уставы, сведения об акционерах и о бенефициарном владении, данные о членах правления и должностных лицах, схемы структуры группы, лицензии и разрешения.

Данные о занятости и биографические сведения: Должность, работодатель, описание функций, профессиональная квалификация, а также - если регулятор требует этого для оценки деловой репутации и профессиональной пригодности - рекомендации и биографические сведения.

Переписка и переговоры: Электронные письма, переписка в мессенджерах и телефонные разговоры, записи встреч, запросы, поданные через форму на сайте, и документы, которыми стороны обмениваются в ходе работы.

Технические данные: IP-адрес, тип браузера и устройства, операционная система, язык, посещённые страницы, страница перехода и отметки времени, фиксируемые в журналах наших серверов и - при наличии согласия - инструментами аналитики, описанными в разделе 14.

Мы запрашиваем те данные, которые действительно необходимы для Услуг и требуются Правилами ПОД/ФТ, и не более того. Если присланный нам документ содержит больше, чем нам нужно, мы вправе скрыть или уничтожить излишек - и мы это делаем.

Большая часть поступает от самого Клиента или от лиц, которых Клиент уполномочил действовать от его имени.

Часть поступает от Компании, которую мы обслуживаем для Клиента, - из её реестров, от её бухгалтеров, из её банка.

Часть поступает из публичных источников: коммерческих реестров и реестров бенефициарного владения, судебных реестров и реестров о несостоятельности, санкционных списков, профессиональных реестров, а также - если работа касается цифровых активов - из публичных записей блокчейна.

Часть поступает от специализированных инструментов, которые мы применяем для соблюдения Правил ПОД/ФТ: сервисов установления личности, сверяющих фотографию в документе с живым изображением человека, и баз скрининга, проверяющих имя по санкционным спискам, реестрам публичных должностных лиц и негативным сведениям в СМИ. Они возвращают подтверждение или отметку о совпадении - сами документы остаются у нас.

Передавая нам персональные данные другого лица - соакционера, директора, члена семьи, - Клиент подтверждает, что вправе законно их раскрыть и что уведомил это лицо о поступлении его данных к нам и о том, где найти настоящую политику.

Проверки, проводимые в соответствии с Правилами ПОД/ФТ, могут выявлять данные о судимостях, правонарушениях, расследованиях или включении в санкционные списки, а иногда и данные специальных категорий - например, статус публичного должностного лица, вытекающий из занимаемой государственной должности, или сведения о состоянии здоровья, видимые в документе, который представил Клиент.

Данные об уголовных правонарушениях мы обрабатываем на основании статьи 10 GDPR только в том случае, когда это допускается правом Союза или национальным правом, что и предусмотрено Правилами ПОД/ФТ. Данные специальных категорий обрабатываются на основании статьи 9(2)(f) или 9(2)(g) GDPR - для установления или защиты правовых требований либо в существенном общественном интересе, закреплённом законом.

Такие данные хранятся отдельно от обычных материалов дела, доступны меньшему кругу лиц и никогда не используются ни для каких целей, кроме той цели соблюдения требований законодательства, ради которой они были получены.

Наши офисы, наши клиенты и органы, в которые подаются документы, находятся в разных странах мира, поэтому отдельные передачи за пределы Европейской экономической зоны (ЕЭЗ) неизбежны. Каждая из них основана на механизме передачи, предусмотренном главой V GDPR.

Решения об адекватности: Если в отношении страны назначения принято решение об адекватности Европейской комиссии, такое решение служит основанием и дополнительных мер не требуется. По состоянию на август 2026 года это касается Андорры, Аргентины, Бразилии, Канады (коммерческие организации), Фарерских островов, Гернси, острова Мэн, Израиля, Японии, Джерси, Новой Зеландии, Республики Корея, Швейцарии, Соединённого Королевства, Уругвая и Европейской патентной организации.

Соединённые Штаты: В отношении Соединённых Штатов передача данных организации, сертифицированной в рамках EU-US Data Privacy Framework, основана на Commission Implementing Decision (EU) 2023/1795. Если получатель в США не сертифицирован, мы вместо этого используем стандартные договорные условия.

Стандартные договорные условия: Во всех остальных случаях мы используем стандартные договорные условия, принятые Commission Implementing Decision (EU) 2021/914, вместе с оценкой воздействия передачи и, когда это оправдано, дополнительными техническими мерами.

Разовые передачи: Разовая передача, необходимая для исполнения договора с Клиентом, - например, подача заявления Клиента регулятору в стране назначения, - может вместо этого основываться на статье 49(1)(b) или (e) GDPR.

По запросу: По обращению Клиента мы сообщаем, какой механизм применяется к его делу, и направляем копию соответствующих гарантий.

Материалы надлежащей проверки клиента: Не менее пяти лет после прекращения деловых отношений. Это минимум, который Правила ПОД/ФТ устанавливают в странах нашего присутствия; надзорный орган вправе потребовать более длительный срок, и в этом случае мы его соблюдаем.

Счета и бухгалтерские документы: Столько, сколько требует законодательство о бухгалтерском учёте и налогообложении, применимое к выставившему счёт лицу, - в большинстве стран нашего присутствия это семь лет с окончания финансового года, в котором была отражена операция.

Материалы по поручениям: Хранятся не менее одного года после завершения работы в соответствии с пунктом 7.1 Общих условий и, как правило, дольше, если по делу впоследствии может потребоваться восстановление хода работы. К любым содержащимся в деле материалам, относящимся к ПОД/ФТ, применяется указанное выше правило о пяти годах.

Переписка и записи телефонных разговоров: До пяти лет.

Контактные данные для маркетинга: До отзыва согласия Клиентом или до отказа от рассылки - в зависимости от того, что наступит раньше. Отзыв вступает в силу немедленно, и контактные данные удаляются из списка рассылки.

Журналы сервера: До двенадцати месяцев, после чего удаляются или агрегируются без возможности восстановления.

Данные, необходимые для правовых требований: Если требование, расследование или спор существует либо является предвидимым, относящиеся к нему материалы хранятся до истечения срока исковой давности, даже если какой-либо из указанных выше сроков уже истёк.

По истечении срока хранения данные удаляются или необратимо обезличиваются. Обезличенные данные - те, что уже не могут быть соотнесены с Клиентом, - могут храниться и использоваться для статистики и оценки качества услуг без ограничения срока, поскольку они более не являются персональными данными.

Доступ предоставляется по принципу служебной необходимости и отзывается, когда такая необходимость отпадает. Не каждый сотрудник фирмы может открыть любое досье.

Данные шифруются при передаче и при хранении, системы своевременно обновляются, а доступ к ним требует индивидуальных учётных записей и многофакторной аутентификации.

Все, кто имеет дело с персональными данными, - сотрудники, агенты, привлечённые специалисты - связаны письменным обязательством о конфиденциальности, и это обязательство сохраняет силу и после окончания их сотрудничества с нами.

Бумажные документы хранятся в помещениях с контролируемым доступом и надёжно уничтожаются по окончании срока хранения.

Если происходит нарушение безопасности и оно с большой вероятностью влечёт риск для прав субъекта данных, мы уведомляем компетентный надзорный орган в течение 72 часов в соответствии со статьёй 33 GDPR, а если риск высокий - сообщаем субъекту данных непосредственно и без неоправданной задержки в соответствии со статьёй 34.

Идеальных систем не бывает, и мы не станем утверждать обратное. Обещать мы можем другое: о нарушении будет сообщено, а не умолчано.

Мы не принимаем в отношении субъекта данных решений, основанных исключительно на автоматизированной обработке и порождающих юридические последствия или иным образом существенно его затрагивающих, по смыслу статьи 22 GDPR.

При этом мы используем автоматизированные средства проверки по санкционным спискам, спискам публичных должностных лиц и источникам негативных сведений в СМИ. Эти средства лишь помечают совпадения - они ничего не решают. Каждое такое совпадение проверяет человек, и решение принять поручение, приостановить его или отказаться от него также принимает человек.

Если субъект данных считает, что автоматизированное средство дало в отношении него ошибочный результат - чаще всего это ложное совпадение с санкционным списком, - достаточно сообщить нам об этом, и мы обеспечим его проверку человеком и исправление.

Услуги предназначены для бизнеса и его владельцев. Они не адресованы детям, и мы заведомо не собираем персональные данные детей через сайт.

Статья 8 GDPR устанавливает возраст, с которого ребёнок вправе самостоятельно дать согласие на обработку своих данных в связи с услугами информационного общества, на уровне 16 лет и позволяет государству опустить эту планку не ниже 13 лет. Какой возраст применяется, зависит от страны пребывания ребёнка; при отсутствии определённости мы исходим из более строгой цифры и запрашиваем согласие лица, несущего родительскую ответственность.

Данные о несовершеннолетнем всё же могут поступить к нам на законных основаниях - например, если ребёнок является бенефициаром траста или акционером в порядке наследования. В таком случае они обрабатываются по тем же правилам, что и данные всех остальных, и поступают к нам от ответственного за него совершеннолетнего лица.

Если есть основания полагать, что ребёнок передал нам данные без необходимого согласия, достаточно написать нам - и мы их удалим.

Мы вправе обновлять настоящую политику - меняется законодательство, меняются и используемые нами инструменты. Действующей редакцией всегда является та, что опубликована здесь, с датой, указанной в верхней части страницы.

Если изменение существенно затрагивает порядок обращения с персональными данными, мы не станем полагаться на то, что его заметят: мы сообщим о нём до вступления изменения в силу, по электронной почте - если её адрес у нас есть.

Мы не будем изменять настоящую политику так, чтобы это задним числом ослабляло защиту данных, которые уже находятся у нас.