Це Повідомлення пояснює, як персональні дані збираються, використовуються, розкриваються, передаються, захищаються та зберігаються під час відвідування plumex.io, створення чи використання облікового запису Plumex, проходження ідентифікації та верифікації, зберігання криптоактивів у Capitalista S.A., здійснення операцій з Innovate Payments Inc. або звернення до підтримки. Його слід читати разом із Багатосторонніми умовами використання, спеціальними умовами постачальників, Повідомленням щодо протидії відмиванню коштів та ідентифікації клієнта, Повідомленням про файли cookie та Політикою видалення облікового запису та зберігання даних.

1. Сфера застосування

1.1 Це Повідомлення застосовується до застосунку Plumex, plumex.io та Маршруту надання послуг в Україні. Воно не регулює послуги, виключені з Ukraine v1, зокрема Paybis або маршрут надання послуг у Європейському Союзі.

1.2 Інформація про конфіденційність в App Store є стислим описом практик щодо даних для поданої версії Застосунку. Це Повідомлення містить детальне пояснення. У разі зміни Застосунку, вебсайту, комплектів розробки програмного забезпечення або постачальників інформація в App Store та це Повідомлення повинні бути відповідно оновлені.

1.3 До надання окремого дозволу, проходження верифікації, здійснення операції або використання додаткової функції можуть відображатися короткі спеціальні повідомлення. Вони доповнюють це Повідомлення щодо відповідної обробки.

1.4 Це Повідомлення не обмежує права, передбачені імперативним законодавством про захист даних, прав споживачів, платежі або іншим застосовним законодавством.

2. Хто контролює ваші персональні дані

Кожна наведена нижче юридична особа є окремим володільцем або контролером щодо цілей, які вона визначає для власної послуги. Постачальники не стають спільними контролерами лише через інтеграцію їхніх послуг у Платформі Plumex. Якщо дві особи спільно визначають конкретну мету та спосіб обробки, відповідне повідомлення визначить таку структуру та розподіл відповідальності.

2.1 Запит щодо конфіденційності можна надіслати на support@plumex.io з темою «Privacy Request». Підтримка Plumex визначить відповідального контролера та передасть запит. Ви також можете звернутися безпосередньо до відповідного контролера за зазначеною вище адресою.

2.2 Допоміжні постачальники, зокрема Clear Junction Limited, банки, платіжні установи, Sumsub, постачальники блокчейн-скринінгу, хмарні та клієнтські постачальники, можуть діяти як обробники або самостійні контролери залежно від функції, юридичних обов’язків і договору. Якщо вони діють самостійно, може також застосовуватися їхнє повідомлення про конфіденційність.

3. Персональні дані, які ми збираємо

3.1 Деякі дані, зокрема документи, що посвідчують особу, біометрична верифікація, фінансова інформація та комплаєнс-записи, є чутливими. Вони обробляються лише за необхідності та із посиленими засобами доступу, безпеки й зберігання.

3.2 Якщо Застосунок запитує доступ до функції пристрою, наприклад камери, фото, файлів, сповіщень або місцезнаходження, системний запит пояснить доступ. Ви можете відмовитися від необов’язкового дозволу, але необхідна верифікаційна або безпекова функція може бути недоступною.

4. Джерела персональних даних

• Безпосередньо від вас під час реєстрації, верифікації, внесення або виведення активів, подання заявки, здійснення чи отримання платежу, звернення до підтримки або реалізації права.

• Із Застосунку, вебсайту, пристрою, операційної системи й App Store, зокрема технічна, сесійна, безпекова та орієнтовна географічна інформація.

• Від Capitalista, IPI, LMLP та допоміжних постачальників для роботи інтегрованої послуги, звірки записів, маршрутизації підтримки або виконання юридичних обов’язків.

• Від Sumsub або іншого постачальника верифікації, санкційних і PEP-баз, джерел негативної інформації та шахрайства й блокчейн-аналітики.

• Від банків, Clear Junction або іншого платіжного постачальника, постачальників ліквідності й розрахунку, публічних блокчейн-мереж і державних реєстрів.

• Від регуляторів, судів, правоохоронних органів, радників, аудиторів та осіб, які повідомляють про можливе шахрайство чи зловживання.

5. Мета обробки та правові підстави

Застосовна правова підстава залежить від контролера, послуги та юрисдикції. Контролер може використовувати кілька дозволених підстав.

5.1 Якщо обробка ґрунтується на згоді, ви можете відкликати її в будь-який час. Відкликання не впливає на вже здійснену законну обробку та може зробити необов’язкову або залежну від згоди функцію недоступною.

5.2 Якщо обробка ґрунтується на законному інтересі, контролер співвідносить свій інтерес із вашими правами та застосовує мінімізацію, контроль доступу й інші гарантії. Ви можете заперечити у випадках, передбачених законом.

6. Ідентифікація, біометрія та комплаєнс-скринінг

6.1 Ідентифікація може вимагати документ, селфі, відео, перевірку живої присутності або біометричне порівняння. Відповідний контролер і постачальник верифікації використовують це для підтвердження, що заявник є реальною особою, відповідає документу й має право на послугу.

6.2 Біометричні шаблони або результати обробляються лише за необхідності й коли це дозволено. Якщо потрібна окрема явна згода, її буде запитано. Відмова може унеможливити дистанційну верифікацію, хоча альтернативу може бути запропоновано, якщо вона доступна операційно та юридично.

6.3 Постачальники можуть перевіряти дані за санкційними, PEP-, антишахрайськими, негативними та іншими законними ризиковими джерелами, а також аналізувати публічні блокчейн-операції й ризик гаманця.

6.4 Постачальник може бути зобов’язаний зберігати верифікаційні, транзакційні та розслідувальні записи й може не мати права розкривати повідомлення про підозрілу діяльність або конфіденційний запит органу.

7. Автоматизовані засоби та розгляд людиною

7.1 Автоматизовані засоби можуть використовуватися для перевірки документів, порівняння обличчя з документом, виявлення шахрайства, оцінювання блокчейн- або транзакційного ризику, виявлення невідповідності місцезнаходження, маршрутизації користувача або пріоритизації справи.

7.2 Автоматизований результат може спричинити затримку, запит додаткової інформації, обмеження послуги або ручний розгляд. Якщо закон надає право не підлягати виключно автоматизованому рішенню з істотним впливом, відповідальний контролер забезпечить необхідні гарантії, зокрема можливість вимагати розгляд людиною та висловити позицію.

7.3 Громадянство саме по собі не використовується як підстава відповідності Маршруту надання послуг в Україні. Враховуються місце проживання, Фактичне місцезнаходження, санкції, верифікація та фактори ризику конкретної послуги.

8. Одержувачі персональних даних

• Постачальник, відповідальний за запитану послугу, та інші постачальники Plumex, якщо це необхідно для інтегрованого процесу, звірки записів, маршрутизації підтримки або юридичних обов’язків.

• LMLP та інші технічні, хостингові, хмарні, автентифікаційні, кібербезпекові, комунікаційні й клієнтські постачальники.

• Sumsub та інші постачальники перевірки документів, живої присутності й біометрії.

• AMLBot та інші санкційні, PEP-, антишахрайські, блокчейн-аналітичні й транзакційно-моніторингові постачальники.

• PSP (TBD), банки, платіжні установи, банки-кореспонденти, платіжні процесори, постачальники ліквідності, розрахунку та гаманців, потрібні для операції.

• Apple та інші постачальники операційної системи або App Store, які самостійно обробляють певні дані відповідно до власних умов і повідомлень.

• Професійні радники, аудитори, бухгалтери, страховики, розслідувачі та оцінювачі якості, пов’язані конфіденційністю.

• Регулятори, суди, правоохоронні, податкові, фінансово-розвідувальні та інші компетентні органи, якщо це вимагається або дозволяється законом.

• Покупець, інвестор, правонаступник або сторона реструктуризації за необхідності для запропонованої чи завершеної операції з дотриманням конфіденційності та законних гарантій.

8.1 Обробники зобов’язуються за договором обробляти дані лише для дозволених цілей, зберігати конфіденційність і безпеку, сприяти реалізації прав і реагуванню на інциденти та видаляти або повертати дані, якщо це потрібно, з урахуванням законного зберігання.

8.2 Персональні дані не передаються непов’язаній третій особі для її власного маркетингу, якщо це чітко не розкрито та не отримано належну правову підставу, включно зі згодою, якщо вона потрібна.

9. Міжнародні передавання

9.1 Маршрут надання послуг в Україні включає контролерів і постачальників в Україні, Чеській Республіці, Панамі, Канаді, Сполученому Королівстві та інших країнах, де працюють погоджені постачальники. Дані можуть бути доступні, зберігатися або оброблятися за межами країни проживання.

9.2 Якщо це потрібно, передавання підтримується рішенням про належний рівень, договірними гарантіями, зокрема стандартними положеннями про захист даних, умовами між контролерами або з обробником, зобов’язаннями щодо конфіденційності та безпеки, згодою або іншим законним механізмом.

9.3 Рівень правового захисту й доступу органів може відрізнятися між країнами. Контролери оцінюють істотні ризики передавання та застосовують пропорційні договірні, організаційні й технічні гарантії.

9.4 Публічні блокчейн-дані копіюються у світі й зазвичай не можуть бути обмежені однією країною. Див. розділ 10.

10. Публічні блокчейни

10.1 Адреси гаманців, хеші операцій, суми активів, мережеві дані й час можуть записуватися в публічному блокчейні. Така інформація може бути доступна у світі та аналізуватися третіми особами.

10.2 Публічний блокчейн розрахований на незмінність і може не дозволяти контролеру видалити, виправити або обмежити базовий запис. Контролер може виправити внутрішній запис, додати пояснення або припинити пов’язувати адресу з обліковим записом, якщо це законно й технічно можливо.

10.3 Не включайте імена, повідомлення або іншу зайву персональну інформацію в поля блокчейн-операції.

11. Строки зберігання

Дані зберігаються лише стільки, скільки обґрунтовано потрібно для відповідної мети, обов’язкового зберігання, безпеки, спорів і правових вимог. Якщо закон або політика постачальника не вимагають іншого, зазвичай застосовуються такі строки:

11.1 Дані можуть зберігатися довше для розслідування, санкційного або юридичного hold, неврегульованого балансу, скарги, судового спору, запиту регулятора, аудиту, податкової чи бухгалтерської вимоги, інциденту або захисту правових вимог.

11.2 Коли зберігання більше не потрібне, дані видаляються, анонімізуються або виводяться зі звичайного використання з урахуванням резервних копій і технічних обмежень.

12. Безпека та інциденти

12.1 Контролери й обробники застосовують пропорційні технічні та організаційні заходи, відповідні чутливості й ризику даних. Вони можуть включати шифрування під час передавання та зберігання, контроль доступу, багатофакторну автентифікацію, журналювання, розподіл обов’язків, оцінку постачальників, резервні копії, управління вразливостями, реагування на інциденти та конфіденційність персоналу.

12.2 Жодна система не є повністю захищеною. Ви також повинні захищати пристрій, електронну пошту, способи автентифікації та облікові дані й негайно повідомляти про можливу компрометацію.

12.3 Контролер, який дізнався про інцидент із персональними даними, оцінить обсяг і ризик, локалізує та розслідує його, координуватиме дії з відповідними постачальниками та повідомить компетентні органи й постраждалих осіб, якщо цього вимагає закон.

12.4 Повідомляйте про можливий інцидент на support@plumex.io. Не надсилайте паролі, приватні ключі, seed-фрази або одноразові коди.

13. Ваші права

Залежно від контролера й застосовного законодавства ви можете мати такі права:

• отримувати інформацію про обробку й місцезнаходження або особу контролера;

• отримувати підтвердження обробки та доступ до копії даних;

• виправляти, оновлювати або доповнювати неточні чи неповні дані;

• вимагати видалення, скасування або анонімізації, якщо дані більше не потрібні й немає законної підстави для зберігання;

• вимагати обмеження обробки у випадках, передбачених законом;

• заперечувати проти обробки на підставі законного інтересу або прямого маркетингу;

• отримувати переносимі дані в структурованому загальновживаному форматі, якщо це застосовно;

• відкликати згоду без впливу на попередню законну обробку;

• вимагати розгляду людиною виключно автоматизованого істотного рішення, якщо це застосовно;

• подати скаргу відповідному контролеру або наглядовому органу; та

• використовувати інший засіб захисту, передбачений законом.

13.1 Надішліть запит на support@plumex.io з темою «Privacy Request» і вкажіть відповідний обліковий запис або послугу. Ми можемо запросити інформацію, обґрунтовано необхідну для перевірки особи та повноважень і захисту облікового запису та інших осіб.

13.2 Відповідний контролер відповість у строк, передбачений законом, зазвичай протягом 30 календарних днів. Строк може бути продовжений, якщо це дозволено, через складність, обсяг або потрібну інформацію від третіх осіб, про що буде повідомлено.

13.3 Запит може бути обмежений або відхилений, якщо це потрібно чи дозволено законом, зокрема для захисту іншої особи, юридичної таємниці, методів виявлення шахрайства чи безпеки, конфіденційного повідомлення, розслідування, legal hold або обов’язкового зберігання. Контролер пояснить законну підставу, якщо це дозволено.

13.4 Запити зазвичай безоплатні. Розумна плата або відмова може застосовуватися до явно необґрунтованих, надмірних або повторюваних запитів, якщо це дозволено законом.

14. Видалення облікового запису

14.1 Ви можете ініціювати видалення через процес у Застосунку або способом, визначеним Політикою видалення облікового запису та зберігання даних. Для захисту облікового запису й активів може знадобитися додаткова верифікація.

14.2 До видалення може бути необхідно вивести доступні криптоактиви чи фіатні кошти, урегулювати очікувані операції, сплатити належні суми та усунути юридичні або комплаєнс-обмеження.

14.3 Видалення усуває або знеособлює дані, які більше не потрібні. Воно не видаляє публічні блокчейн-записи або дані, які постачальник зобов’язаний зберігати для AML, платежів, податків, обліку, шахрайства, безпеки, скарг, спорів або інших юридичних цілей.

14.4 Закриття облікового запису Платформи не скасовує автоматично прийняту операцію та не звільняє актив або кошти від законного обмеження.

15. Маркетинг, cookie та tracking

15.1 Сервісні, юридичні, безпекові та транзакційні повідомлення необхідні для відповідної послуги й не є маркетингом.

15.2 Маркетингові повідомлення надсилаються лише коли це дозволено. Ви можете відмовитися через посилання в повідомленні або налаштування, але сервісні повідомлення продовжуватимуться.

15.3 Вебсайт і Застосунок можуть використовувати необхідні cookie, локальне сховище, software development kits та подібні технології. Необов’язкова аналітика, персоналізація або реклама використовуватимуться лише за умови розкриття та належної згоди чи іншої правової підстави. Див. Повідомлення про файли cookie.

15.4 Інформація в App Store повинна охоплювати дані, які збирають Plumex і сторонній код у поданій версії Застосунку, та оновлюватися у разі зміни практик.

16. Діти

16.1 Послуги призначені лише для осіб віком від 18 років. Ми свідомо не відкриваємо облікові записи дітям.

16.2 Якщо стане відомо, що подано дані дитини, відповідальний контролер може обмежити обліковий запис, перевірити вік або повноваження та видалити чи зберегти дані відповідно до закону, безпеки й запобігання шахрайству.

17. Скарги та наглядові органи

17.1 Спочатку зверніться на support@plumex.io, щоб питання було передано відповідальному контролеру. Ви також можете подати скаргу безпосередньо контролеру або компетентному органу.

17.2 Компетентний орган залежить від вашого місцезнаходження, контролера, послуги та права, що застосовується. Скарга до органу не перешкоджає використанню інших засобів захисту.

18. Зміни до цього Повідомлення

18.1 Повідомлення може оновлюватися через зміну постачальників, послуг, законодавства, технології, використання даних або безпеки. Версія й дата зазначаються на початку.

18.2 Про істотну зміну, що впливає на особу контролера, цілі, чутливі дані, одержувачів, міжнародні передавання або права, буде повідомлено через Застосунок, електронну пошту або інший спосіб, що дозволяє зберегти повідомлення, якщо це потрібно.

18.3 Зміна постачальника не передає автоматично дані чи відповідальність. Повідомлення про правонаступництво пояснить правову підставу, одержувачів, дату, вибір користувача й порядок поводження з попередніми записами.

19. Мова та пріоритет документів

19.1 Повідомлення опубліковано англійською та українською мовами. Для Маршруту надання послуг в Україні в разі розбіжностей переважну силу має українська версія, якщо імперативне законодавство не вимагає іншого.

19.2 Це Повідомлення регулює обробку персональних даних. Багатосторонні умови та Спеціальні умови регулюють послуги. Якщо інший документ містить конкретнішу інформацію про певну обробку, така інформація доповнює це Повідомлення.

19.3 Рекламні твердження, відповіді на поширені запитання й описи в App Store не змінюють це Повідомлення.

20. Основні визначення

“Фактичне місцезнаходження” країна або територія, з якої ви отримуєте доступ або користуєтеся послугою, визначена з використанням розумної технічної, платіжної, пристроєвої та верифікаційної інформації.

“Контролер” юридична особа, яка визначає мету й спосіб обробки персональних даних для відповідної цілі.

“Персональні дані” інформація про ідентифіковану або таку, що може бути ідентифікована, фізичну особу, включно з інформацією, яка стає ідентифікованою в поєднанні з іншими даними.

“Обробник” особа, яка обробляє персональні дані для контролера за його інструкціями та відповідною угодою.

“Чутливі дані” персональні дані, що потребують посиленого захисту через характер або можливий вплив, зокрема документи, біометрична верифікація, фінансова інформація та комплаєнс-записи.

“Маршрут надання послуг в Україні” конфігурація послуг для відповідних користувачів української вітрини App Store з урахуванням перевірок місця проживання та Фактичного місцезнаходження.

Запити щодо конфіденційності: support@plumex.io