Правила обработки персональных данных

ВАЖНО
Настоящие Правила являются самостоятельным документом Platika, который устанавливает не только информацию для Пользователя, но и обязательный порядок организации обработки персональных данных внутри Компании. Правила применяются к сбору, записи, систематизации, хранению, изменению, использованию, передаче, ограничению, удалению и уничтожению данных в связи с сайтом platika.gg, Telegram Mini App, личным кабинетом, KYC, пополнениями, картами, операциями, поддержкой, безопасностью, маркетингом и иными функциями Platika.

Правила применяются совместно с Privacy Policy, Terms of Service, AML/KYC Policy, Cookie Policy, Положением о санкциях и запрещенных юрисдикциях. Privacy Policy объясняет Пользователю, какие данные и для чего обрабатываются; настоящие Правила закрепляют расширенный порядок такой обработки, распределение ролей, требования к доступу, хранению, передаче, безопасности и реализации прав субъектов данных.

СОДЕРЖАНИЕ
1. Общие положения и статус Правил
2. Сведения о Компании и контакты
3. Сфера действия
4. Термины и определения
5. Применимое законодательство и приоритет обязательных норм
6. Принципы обработки персональных данных
7. Ответственность и управление приватностью
8. Privacy by design и privacy by default
9. Категории субъектов персональных данных
10. Категории обрабатываемых данных
11. Специальные категории и биометрические данные
12. Источники получения данных
13. Цели обработки
14. Правовые основания обработки
15. Обработка для заключения и исполнения договора
16. Обработка для соблюдения юридических обязанностей
17. Законные интересы Компании
18. Согласие субъекта данных
19. Данные несовершеннолетних
20. KYC, AML, санкционный и антифрод-контроль
21. Транзакционные, карточные и блокчейн-данные
22. Технические данные, устройства и журналы событий
23. Автоматизированные проверки и профилирование
24. Точность, актуализация и минимизация данных
25. Доступ сотрудников и конфиденциальность
26. Обработчики, поставщики и иные получатели
27. Совместные и самостоятельные операторы
28. Передача внутри ЕЭЗ
29. Передача в третьи страны
30. Пользователи из Российской Федерации
31. Права субъектов персональных данных
32. Порядок подачи и рассмотрения запросов
33. Возражение, отзыв согласия и маркетинг
34. Сроки хранения, удаление и обезличивание
35. Резервные копии, архивы и системные журналы
36. Технические и организационные меры безопасности
37. Инциденты и нарушения безопасности персональных данных
38. Оценка воздействия и запуск новых процессов
39. Реестр операций обработки и внутренняя документация
40. Контроль, аудит и обучение
41. Запросы государственных органов и судебные процедуры
42. Изменение Правил
43. Применимое право и жалобы
44. Контакты
Приложение 1. Матрица основных процессов обработки
Приложение 2. Базовые сроки хранения
Приложение 3. Порядок реализации прав субъекта данных
Приложение 4. Регламент реагирования на инцидент

1. ОБЩИЕ ПОЛОЖЕНИЯ И СТАТУС ПРАВИЛ
1.1. Настоящие Правила обработки персональных данных Platika (далее - «Правила») устанавливают единые требования к обработке персональных данных Linkpay financial holdings OÜ при предоставлении Platika.
1.2. Правила имеют публичную и организационную функцию. Они доводят до сведения субъектов основные стандарты обработки и одновременно определяют минимальные требования, обязательные для сотрудников, подрядчиков и лиц, которым предоставлен доступ к данным от имени Компании.
1.3. Правила распространяются на автоматизированную, неавтоматизированную и смешанную обработку, включая обработку в информационных системах, облачной инфраструктуре, службе поддержки, документах, журналах безопасности, резервных копиях и архивах.
1.4. Правила применяются независимо от того, начал ли Пользователь использовать платную функцию, если Компания уже получила данные при посещении сайта, обращении в поддержку, регистрации, KYC, рассмотрении заявки или проверке безопасности.
1.5. Если отдельный процесс регулируется более специальным документом Platika, специальный документ применяется в пределах своего предмета, а настоящие Правила - в остальной части.
1.6. Компания вправе устанавливать более строгие внутренние требования, чем опубликованные в Правилах, если это необходимо для безопасности, соблюдения закона или защиты субъектов данных.

2. СВЕДЕНИЯ О КОМПАНИИ И КОНТАКТЫ
2.1. Лицом, определяющим цели и основные средства обработки персональных данных в рамках Platika, является Linkpay financial holdings OÜ, регистрационный код 17073552, адрес: Harju maakond, Tallinn, Kesklinna linnaosa, Vesivärava tn 50-201, 10152, Estonia (далее - «Компания», «Platika», «мы», «нас» или «наш»).
2.2. Официальный адрес для запросов по персональным данным и общих юридических обращений: support@platika.gg.
2.3. Telegram поддержки: @platika_help_bot. Для запросов, содержащих документы, идентификационные данные или иные конфиденциальные сведения, Компания вправе потребовать продолжить общение по электронной почте или через защищенный интерфейс.
2.4. Если назначение отдельного представителя или специалиста по защите данных становится обязательным, его актуальные контактные данные публикуются на platika.gg без необходимости изменения остальных положений Правил.

3. СФЕРА ДЕЙСТВИЯ
3.1. Правила применяются к сайту platika.gg, Telegram Mini App Platika, личному кабинету, картам, общему балансу, пополнениям, операциям, KYC, AML, санкционному контролю, Merchant Catalog, поддержке, уведомлениям, промокодам, реферальным функциям, аналитике и безопасности.
3.2. Правила распространяются на данные Пользователей, заявителей, посетителей сайта, лиц, обращающихся в поддержку, получателей уведомлений, представителей государственных органов, контрагентов и иных физических лиц, чьи данные законно поступили Компании.
3.3. Правила не регулируют самостоятельную обработку данных сторонним сайтом или приложением, на которое Пользователь перешел по внешней ссылке. Такое лицо действует по собственным документам и несет самостоятельную ответственность.
3.4. Если сторонний сервис действует исключительно по документированным поручениям Компании, к нему применяются требования к обработчику, предусмотренные настоящими Правилами и договором.
3.5. Если стороннее лицо самостоятельно определяет цели обработки, оно может выступать отдельным оператором или контролером, и Пользователю предоставляется информация о такой роли в необходимом объеме.

4. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
4.1. «Персональные данные» - любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу.
4.2. «Обработка» - любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, сопоставление, ограничение, обезличивание, удаление и уничтожение.
4.3. «Субъект данных» - физическое лицо, к которому относятся персональные данные.
4.4. «Контролер» или «Оператор» - лицо, которое определяет цели и существенные средства обработки. В настоящих Правилах таким лицом является Компания, если для конкретного процесса не указано иное.
4.5. «Обработчик» - лицо, которое обрабатывает данные от имени и по поручению Компании.
4.6. «Получатель» - лицо, которому раскрываются персональные данные, независимо от того, является ли оно самостоятельным контролером, обработчиком или государственным органом.
4.7. «Специальные категории данных» - данные, которым применимое законодательство предоставляет повышенную защиту, включая биометрические данные при их использовании для уникальной идентификации.
4.8. «Профилирование» - автоматизированная обработка для оценки или прогнозирования отдельных характеристик, поведения, рисков или предпочтений физического лица.
4.9. «Псевдонимизация» - обработка, при которой данные без дополнительной информации не могут быть отнесены к конкретному лицу, а дополнительная информация хранится отдельно.
4.10. «Обезличивание» - преобразование, после которого лицо невозможно идентифицировать разумно доступными средствами.
4.11. «Нарушение безопасности персональных данных» - нарушение, приводящее к случайному или незаконному уничтожению, утрате, изменению, несанкционированному раскрытию либо доступу к данным.
4.12. «Трансграничная передача» - раскрытие или предоставление доступа к данным получателю либо инфраструктуре, находящимся за пределами применимой территории защиты данных.

5. ПРИМЕНИМОЕ ЗАКОНОДАТЕЛЬСТВО И ПРИОРИТЕТ ОБЯЗАТЕЛЬНЫХ НОРМ
5.1. Компания организует обработку прежде всего в соответствии с GDPR, законодательством Эстонской Республики и иными обязательными нормами Европейского союза.
5.2. К отдельным Пользователям или операциям могут дополнительно применяться обязательные нормы страны проживания, фактического предложения Сервиса, места сбора данных или нахождения информационной системы.
5.3. В отношении субъектов из Российской Федерации Компания учитывает применимые требования законодательства Российской Федерации, включая требования к публичной политике, локализации при сборе через интернет, уведомлениям и трансграничной передаче, когда они юридически распространяются на конкретный процесс.
5.4. Если положения Правил противоречат обязательной норме, применяется обязательная норма в необходимом объеме, а остальные положения сохраняют силу.
5.5. Указание нескольких правовых режимов не означает признание юрисдикции любого органа сверх того объема, который следует из обязательного права.

6. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Законность, добросовестность и прозрачность: данные обрабатываются на установленном основании, без скрытых несовместимых целей и с предоставлением понятной информации субъекту.
6.2. Ограничение цели: данные собираются для определенных, явных и законных целей и не используются несовместимым образом.
6.3. Минимизация: объем данных ограничивается тем, что разумно необходимо для регистрации, предоставления Сервиса, безопасности, проверки, соблюдения закона и защиты прав.
6.4. Точность: Компания принимает разумные меры для исправления или удаления неточных данных с учетом целей обработки.
6.5. Ограничение хранения: идентифицирующие данные не хранятся дольше необходимого, кроме случаев обязательного хранения, спора, расследования или законной архивной цели.
6.6. Целостность и конфиденциальность: применяются меры против несанкционированного доступа, утраты, изменения и уничтожения.
6.7. Подотчетность: Компания документирует существенные решения, основания, риски, меры безопасности, договоры с обработчиками и действия по запросам субъектов.
6.8. Запрет избыточного объединения: данные из разных источников не объединяются без необходимости, совместимой цели и соответствующего правового основания.

7. ОТВЕТСТВЕННОСТЬ И УПРАВЛЕНИЕ ПРИВАТНОСТЬЮ
7.1. Руководство Компании обеспечивает утверждение основных правил, распределение ответственности и предоставление разумных ресурсов для защиты данных.
7.2. Доступ к персональным данным предоставляется только лицам, которым он необходим для конкретных функций, и ограничивается принципом минимальных привилегий.
7.3. Владельцы бизнес-процессов обязаны до запуска определить цели, категории данных, правовые основания, получателей, сроки хранения, риски и меры защиты.
7.4. Лица, отвечающие за информационную безопасность, обеспечивают технические меры, журналирование, управление уязвимостями, реагирование на инциденты и контроль доступа.
7.5. Служба поддержки не вправе запрашивать документы или реквизиты, не необходимые для обращения, и обязана использовать утвержденные защищенные каналы.
7.6. Сотрудники и подрядчики несут обязанность конфиденциальности, которая сохраняется после прекращения их доступа или отношений с Компанией.

8. PRIVACY BY DESIGN И PRIVACY BY DEFAULT
8.1. Защита данных учитывается при проектировании новых функций, интеграций, форм, уведомлений, аналитики, KYC, антифрода и хранилищ.
8.2. По умолчанию собирается минимальный объем данных, доступ ограничивается, необязательные маркетинговые технологии выключены, а срок хранения выбирается не длиннее необходимого.
8.3. До запуска процесса Компания оценивает, можно ли достичь цели с меньшим объемом данных, меньшей точностью местоположения, псевдонимизацией, агрегированием или более коротким сроком хранения.
8.4. Тестовые среды не должны содержать реальные идентифицирующие данные, если цель может быть достигнута синтетическими или обезличенными данными.
8.5. Изменение продукта не должно автоматически расширять ранее данное согласие или превращать данные в доступные более широкому кругу лиц.

9. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. посетители сайта и Telegram Mini App;
9.2. заявители и зарегистрированные Пользователи;
9.3. лица, проходящие KYC, повторную или усиленную проверку;
9.4. лица, совершающие пополнения, карточные и иные операции;
9.5. лица, обращающиеся в поддержку или направляющие претензии;
9.6. участники промокодов, реферальных и маркетинговых программ;
9.7. лица, чьи данные указаны в документах, чеках, банковских выписках или подтверждениях Пользователя;
9.8. сотрудники, представители и контактные лица контрагентов, поставщиков и государственных органов;
9.9. лица, сведения о которых получены из санкционных, PEP, корпоративных, судебных или иных законных источников в связи с проверкой Пользователя.

10. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ДАННЫХ
10.1. идентификационные данные: имя, фамилия, дата и место рождения, гражданство, пол в документе, идентификационный номер, реквизиты документа, фотография;
10.2. контактные данные: телефон, электронная почта, Telegram ID, username, язык, адрес проживания и корреспонденции;
10.3. данные проверки: изображения документов, selfie, видео, признаки присутствия, результат сопоставления лица, подтверждение адреса, статус KYC;
10.4. финансовые и экономические данные: источник средств, источник благосостояния, занятость, доход, банковские выписки, чеки, принадлежность платежного инструмента;
10.5. транзакционные данные: сумма, валюта, время, продавец, MCC, статус, возврат, chargeback, комиссия, курс, идентификатор операции;
10.6. данные цифровых активов: адрес кошелька, сеть, txid, сумма, время, источник поступления, аналитические признаки риска;
10.7. технические данные: IP-адрес, устройство, операционная система, браузер, язык, часовой пояс, идентификаторы сессии, журналы событий, признаки автоматизации;
10.8. данные географической связи: заявленная страна, адрес, приблизительное местонахождение по IP, страна номера телефона и документа;
10.9. данные безопасности и комплаенса: санкционные совпадения, PEP-статус, adverse media, внутренние риск-индикаторы, результаты расследования;
10.10. коммуникации: обращения, переписка, файлы, записи решений, отзывы и оценки качества поддержки;
10.11. маркетинговые и аналитические данные: источник перехода, кампания, согласия, cookie-настройки, взаимодействие с сообщениями и интерфейсом.
10.12. Компания не обязана собирать каждую категорию у каждого Пользователя. Фактический объем зависит от используемых функций, статуса проверки, риска и применимого права.

11. СПЕЦИАЛЬНЫЕ КАТЕГОРИИ И БИОМЕТРИЧЕСКИЕ ДАННЫЕ
11.1. Компания не ставит целью собирать сведения о здоровье, религии, политических взглядах, сексуальной жизни, профсоюзном членстве или генетические данные, если это не требуется обязательным законом либо не предоставлено субъектом без запроса.
11.2. Фотография документа или selfie не всегда являются биометрическими данными в юридическом смысле. Они получают такой статус, когда специальная техническая обработка используется для уникальной идентификации лица.
11.3. Биометрическая обработка применяется только при наличии соответствующего основания и гарантий, включая явное согласие, когда оно необходимо, либо иное допустимое законом основание.
11.4. Компания ограничивает доступ к изображениям лица, результатам liveness и шаблонам сопоставления, устанавливает отдельные сроки и запрещает использовать их для рекламы или несовместимых целей.
11.5. Если субъект самостоятельно направил избыточные чувствительные сведения, Компания вправе удалить или скрыть их, если они не нужны для рассмотрения обращения или исполнения закона.

12. ИСТОЧНИКИ ПОЛУЧЕНИЯ ДАННЫХ
12.1. непосредственно от субъекта при регистрации, KYC, пополнении, операции, обращении, участии в акции или реализации прав;
12.2. автоматически с устройства и интерфейса при посещении сайта, входе, подтверждении действия и использовании функций;
12.3. из Telegram в объеме, который Пользователь разрешил передать Mini App или боту;
12.4. из карточной, платежной, банковской и блокчейн-инфраструктуры в связи с инициированной операцией;
12.5. от поставщиков идентификации, антифрода, санкционного скрининга, коммуникаций, хостинга и технической инфраструктуры;
12.6. из открытых государственных реестров, санкционных перечней, PEP-баз, судебных источников, корпоративных реестров и законных средств массовой информации;
12.7. от государственных органов, судов, правоохранительных органов и иных уполномоченных лиц;
12.8. от другого лица, если оно законно указало данные субъекта в платеже, документе, претензии или ином материале. В таком случае Компания ограничивает обработку фактически необходимой целью.

13. ЦЕЛИ ОБРАБОТКИ
13.1. создание, ведение, защита и восстановление Учетной записи;
13.2. предоставление сайта, Mini App, личного кабинета, карт, баланса, пополнений и истории операций;
13.3. заключение и исполнение договора, подтверждение действий и ведение электронного документооборота;
13.4. KYC, AML, санкционная, PEP, антифродовая и иная обязательная проверка;
13.5. обработка операций, возвратов, chargeback, корректировок и претензий;
13.6. предотвращение несанкционированного доступа, злоупотреблений, кибератак и компрометации;
13.7. выполнение обязанностей по бухгалтерскому, налоговому, санкционному и иному применимому законодательству;
13.8. поддержка, коммуникации, сервисные уведомления и рассмотрение жалоб;
13.9. развитие, тестирование, аналитика, устранение ошибок и повышение надежности;
13.10. проведение акций, реферальных программ и маркетинга на соответствующем основании;
13.11. установление, осуществление и защита законных требований;
13.12. исполнение законных запросов компетентных органов и судебных актов.

14. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ
14.1. необходимость для заключения или исполнения договора с субъектом;
14.2. выполнение юридической обязанности Компании;
14.3. законные интересы Компании или третьего лица при соблюдении баланса с правами субъекта;
14.4. согласие субъекта для необязательной обработки, включая отдельные маркетинговые технологии и биометрию, когда оно требуется;
14.5. установление, осуществление или защита правовых требований;
14.6. иные основания, прямо предусмотренные применимым законодательством.
14.7. Для одной категории данных могут применяться разные основания в зависимости от цели. Прекращение одного основания не означает автоматического удаления, если сохраняется другое законное основание.

15. ОБРАБОТКА ДЛЯ ЗАКЛЮЧЕНИЯ И ИСПОЛНЕНИЯ ДОГОВОРА
15.1. Компания обрабатывает регистрационные, контактные, транзакционные и иные необходимые данные для предоставления запрошенных функций.
15.2. Договорное основание не используется для обработки, которая объективно не нужна для Сервиса, например для необязательного рекламного профилирования.
15.3. До заключения договора Компания вправе обработать данные для рассмотрения заявки, проверки доступности продукта, ответа на вопрос и предотвращения повторной регистрации после законного отказа.
15.4. Если субъект не предоставляет данные, объективно необходимые для договора, Компания вправе не заключать договор или не предоставлять соответствующую функцию.

16. ОБРАБОТКА ДЛЯ СОБЛЮДЕНИЯ ЮРИДИЧЕСКИХ ОБЯЗАННОСТЕЙ
16.1. Компания вправе собирать, проверять, хранить и раскрывать данные, когда это требуется применимыми правилами AML, санкций, бухгалтерского учета, налогового учета, потребительских обращений, судебного производства и защиты данных.
16.2. Объем и срок такой обработки определяются обязательной нормой либо разумной необходимостью подтверждения ее исполнения.
16.3. Субъект не вправе требовать удаления данных, если их сохранение обязательно, но может требовать исправления неточности или ограничения избыточной обработки.
16.4. Компания вправе не уведомлять субъекта о конкретной передаче или проверке, если уведомление запрещено законом, нарушает тайну расследования или может помешать предотвращению правонарушения.

17. ЗАКОННЫЕ ИНТЕРЕСЫ КОМПАНИИ
17.1. Законные интересы могут включать безопасность, предотвращение мошенничества, защиту прав, улучшение Сервиса, внутреннюю статистику, управление претензиями, обеспечение доступности инфраструктуры и предотвращение повторного нарушения.
17.2. До обработки, способной существенно затронуть субъекта, Компания оценивает цель, необходимость, разумные ожидания, характер данных, возможный вред и защитные меры.
17.3. Для снижения воздействия применяются ограничение доступа, псевдонимизация, сокращение срока, агрегация, ручной пересмотр и возможность возражения.
17.4. Законный интерес не используется для обхода обязательного согласия на cookies, электронную рекламу, биометрию или иную обработку, когда закон требует согласия.

18. СОГЛАСИЕ СУБЪЕКТА ДАННЫХ
18.1. Согласие должно быть свободным, конкретным, информированным и однозначным и оформляется активным действием субъекта.
18.2. Согласие на разные необязательные цели не объединяется, если субъект должен иметь возможность выбрать каждую отдельно.
18.3. Отказ от необязательного согласия не должен лишать базовой услуги, если соответствующие данные не нужны для ее предоставления.
18.4. Компания фиксирует содержание, версию, дату, способ получения и отзыв согласия в объеме, необходимом для подотчетности.
18.5. Субъект вправе отозвать согласие так же просто, как предоставить. Отзыв действует на будущее и не затрагивает законность предыдущей обработки.
18.6. После отзыва данные удаляются или переводятся на другое законное основание только если такое основание объективно существует и субъекту предоставлена требуемая информация.

19. ДАННЫЕ НЕСОВЕРШЕННОЛЕТНИХ
19.1. Platika предназначена для лиц не младше 18 лет. Компания сознательно не предоставляет учетные записи несовершеннолетним.
19.2. Если имеются основания полагать, что субъект не достиг 18 лет, Компания вправе запросить подтверждение возраста, ограничить Сервис и удалить данные после завершения необходимых проверок.
19.3. Данные, которые необходимо сохранить для предотвращения повторной регистрации, защиты прав или соблюдения закона, могут храниться в ограниченном объеме после закрытия.
19.4. Родитель или законный представитель может сообщить о предполагаемой обработке данных несовершеннолетнего через support@platika.gg, но Компания вправе проверить полномочия и личность заявителя.

20. KYC, AML, САНКЦИОННЫЙ И АНТИФРОД-КОНТРОЛЬ
20.1. Для идентификации и управления риском Компания обрабатывает документы, изображения лица, адрес, гражданство, источник средств, данные платежных инструментов, операции, санкционные и иные проверочные результаты.
20.2. Проверка может проводиться при регистрации, перед выпуском карты, пополнением, операцией, возвратом, восстановлением доступа, изменением лимита или в ходе текущего мониторинга.
20.3. Компания вправе сопоставлять сведения субъекта с санкционными, PEP, корпоративными, судебными и негативными публичными источниками.
20.4. Внутренние оценки риска, правила мониторинга и признаки подозрительности являются конфиденциальными и не предоставляются, если раскрытие облегчает обход контроля или запрещено законом.
20.5. При ложном совпадении субъект вправе представить пояснения и документы. Это не гарантирует обслуживание, если сохраняются иные основания ограничения.
20.6. Подробные процедуры устанавливаются AML/KYC Policy и связанными комплаенс-документами Platika.

21. ТРАНЗАКЦИОННЫЕ, КАРТОЧНЫЕ И БЛОКЧЕЙН-ДАННЫЕ
21.1. Компания обрабатывает сведения об авторизации, списании, возврате, merchant descriptor, MCC, сумме, валюте, времени, статусе, комиссии, курсе, dispute и chargeback.
21.2. Полные реквизиты карты не должны отображаться сотрудникам и подрядчикам без необходимости. Доступ к чувствительным карточным данным ограничивается технически и организационно.
21.3. При пополнении цифровыми активами обрабатываются публичные данные блокчейна, адреса, txid, сеть, сумма и аналитические связи с рисковыми источниками.
21.4. Публичность блокчейна означает, что запись транзакции не может быть удалена Компанией. Компания может удалить или ограничить только собственные связи между публичной записью и Учетной записью, если отсутствует основание для хранения.
21.5. Транзакционные данные могут храниться дольше данных активной учетной записи из-за бухгалтерских, AML, санкционных, dispute и судебных обязанностей.

22. ТЕХНИЧЕСКИЕ ДАННЫЕ, УСТРОЙСТВА И ЖУРНАЛЫ СОБЫТИЙ
22.1. Для работы и безопасности обрабатываются IP-адрес, устройство, браузер, операционная система, язык, часовой пояс, сессия, действия, ошибки, подтверждения и события безопасности.
22.2. Компания может формировать устойчивые признаки устройства для предотвращения массовых регистраций, захвата аккаунта, фишинга и иных злоупотреблений, соблюдая минимизацию и срок хранения.
22.3. Журналы используются как доказательства совершенных действий, расследования ошибок, несанкционированного доступа, споров и выполнения обязательных требований.
22.4. Доступ к журналам ограничивается, а поиск по ним должен быть связан с конкретной служебной задачей.
22.5. Необязательные аналитические и рекламные технологии регулируются Cookie Policy и не объединяются со строго необходимыми журналами без отдельного основания.

23. АВТОМАТИЗИРОВАННЫЕ ПРОВЕРКИ И ПРОФИЛИРОВАНИЕ
23.1. Автоматизированные средства могут использоваться для проверки документов и лица, обнаружения мошенничества, санкционных совпадений, аномалий, компрометации и необходимости дополнительного контроля.
23.2. Автоматический результат может привести к запросу документов, задержке операции, снижению лимита, передаче на ручную проверку или временному ограничению.
23.3. Если решение основывается исключительно на автоматизированной обработке и влечет юридические или аналогично существенные последствия, Компания предоставляет предусмотренные законом гарантии, включая возможность выразить позицию и запросить пересмотр человеком, если исключение не установлено законом.
23.4. Компания тестирует существенные модели на адекватность, ошибки, дискриминационный эффект и устойчивость к обходу в разумном для риска объеме.
23.5. Субъект не получает право на раскрытие исходного кода, весов модели, антифродовых правил или информации, которая создает угрозу безопасности, но может получить понятное описание логики в предусмотренном законом объеме.

24. ТОЧНОСТЬ, АКТУАЛИЗАЦИЯ И МИНИМИЗАЦИЯ ДАННЫХ
24.1. Пользователь обязан предоставлять достоверные данные и уведомлять об изменении имени, документа, адреса, гражданства, телефона, электронной почты и иных существенных сведений.
24.2. Компания вправе периодически запрашивать обновление и ограничивать функции до завершения проверки.
24.3. Если данные получены из внешнего источника и субъект оспаривает их, Компания оценивает источник, назначение, доказательства и необходимость ограничения на период проверки.
24.4. Формы и интерфейсы проектируются так, чтобы не запрашивать свободный текст или документы, когда достаточно структурированного поля или подтверждения факта.
24.5. Избыточные копии, промежуточные файлы и документы удаляются после переноса в утвержденную систему и завершения необходимой проверки.

25. ДОСТУП СОТРУДНИКОВ И КОНФИДЕНЦИАЛЬНОСТЬ
25.1. Доступ предоставляется на основании роли, служебной необходимости, утверждения и успешной аутентификации.
25.2. Права доступа регулярно пересматриваются и прекращаются без неоправданной задержки при смене функции, завершении договора или выявлении риска.
25.3. Административные и привилегированные доступы отделяются от обычных, защищаются многофакторной аутентификацией и журналируются, насколько это технически применимо.
25.4. Сотрудникам запрещено просматривать данные из любопытства, выгружать их на личные устройства, пересылать через неутвержденные каналы или использовать для собственной выгоды.
25.5. Нарушение правил доступа может повлечь блокировку, дисциплинарные, договорные и иные предусмотренные законом последствия.
25.6. Компания вправе контролировать служебные действия с данными в объеме, необходимом для безопасности и расследования.

26. ОБРАБОТЧИКИ, ПОСТАВЩИКИ И ИНЫЕ ПОЛУЧАТЕЛИ
26.1. Компания может привлекать поставщиков хостинга, KYC, проверки документов, антифрода, санкционного скрининга, блокчейн-аналитики, коммуникаций, поддержки, аналитики и иной инфраструктуры.
26.2. До предоставления доступа Компания оценивает характер услуг, данные, место обработки, меры безопасности, репутацию, субобработчиков и возможность выполнения прав субъектов.
26.3. Договор с обработчиком должен определять предмет, срок, цели, категории данных, конфиденциальность, безопасность, помощь при запросах и инцидентах, правила субобработки, возврата и удаления данных.
26.4. Обработчик не вправе использовать данные для собственных целей, если он не действует как самостоятельный контролер на отдельном законном основании.
26.5. Передача ограничивается минимально необходимым объемом, а доступ прекращается после завершения услуги, кроме обязательного хранения.

27. СОВМЕСТНЫЕ И САМОСТОЯТЕЛЬНЫЕ ОПЕРАТОРЫ
27.1. В отдельных процессах получатель может самостоятельно определять цели и средства обработки, например при выполнении собственной юридической обязанности, рассмотрении операции или предоставлении отдельного сервиса.
27.2. Компания не называет получателя обработчиком, если фактически не контролирует его цели и решения.
27.3. Если Компания совместно с другим лицом определяет цели и существенные средства, стороны распределяют обязанности прозрачным соглашением в требуемом законом объеме.
27.4. Субъект вправе обратиться в Компанию даже если часть обработки выполняется другим контролером; Компания направит запрос или сообщит соответствующий канал, если это необходимо.

28. ПЕРЕДАЧА ВНУТРИ ЕЭЗ
28.1. Передача данных получателю в Европейской экономической зоне осуществляется при наличии цели, основания, необходимого объема и соответствующих договорных мер.
28.2. Размещение данных в другом государстве ЕЭЗ не освобождает Компанию от требований GDPR и настоящих Правил.
28.3. Получатели обязаны обеспечить конфиденциальность, безопасность и выполнение применимых запросов субъектов в соответствии со своей ролью.
28.4. Компания ведет достаточную документацию о категориях получателей и существенных потоках данных.

29. ПЕРЕДАЧА В ТРЕТЬИ СТРАНЫ
29.1. Данные могут передаваться за пределы ЕЭЗ только при наличии допустимого механизма и оценки рисков передачи.
29.2. Механизмами могут выступать решение о достаточности, стандартные договорные положения, обязательные корпоративные правила, предусмотренное законом исключение или иная действительная гарантия.
29.3. При необходимости Компания оценивает законодательство и практику страны получателя, риск доступа государственных органов и дополнительные технические, договорные или организационные меры.
29.4. Дополнительные меры могут включать шифрование, псевдонимизацию, разделение ключей, минимизацию, ограничение удаленного доступа и прозрачность запросов.
29.5. Субъект может запросить общую информацию о механизме передачи и доступную копию соответствующих гарантий с удалением коммерческой и защищаемой информации.

30. ПОЛЬЗОВАТЕЛИ ИЗ РОССИЙСКОЙ ФЕДЕРАЦИИ
30.1. Если требования законодательства Российской Федерации о локализации применяются к конкретному сбору персональных данных граждан Российской Федерации через интернет, до начала такого сбора Компания обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием базы данных, находящейся на территории Российской Федерации, в требуемом законом объеме.
30.2. Настоящее положение не означает, что все данные каждого Пользователя хранятся исключительно в Российской Федерации. После выполнения применимых требований данные могут передаваться и обрабатываться в Эстонии, ЕЭЗ и иных странах на предусмотренном законом основании.
30.3. До начала трансграничной передачи, для которой требуется уведомление или отдельная оценка, Компания выполняет применимые уведомительные процедуры и оценивает защиту данных получателем.
30.4. Если необходимая инфраструктура или разрешенная передача для конкретной функции отсутствуют, Компания вправе ограничить регистрацию или функцию до устранения правового препятствия.
30.5. Компания публикует настоящие Правила и Privacy Policy в свободном доступе и предоставляет канал для запросов российских субъектов по адресу support@platika.gg.
30.6. Российский субъект может реализовать права в объеме, установленном применимым правом. При различии процедур Компания применяет требование, которое юридически обязательно для соответствующего запроса.
30.7. Компания не обещает соблюдение российского режима в процессах, к которым он объективно не применяется, и не отказывается от защиты, предоставляемой ей законодательством Эстонии и Европейского союза.

31. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
31.1. право получить информацию и подтверждение факта обработки;
31.2. право получить доступ и копию данных;
31.3. право исправить неточные и дополнить неполные данные;
31.4. право потребовать удаления при наличии законных условий;
31.5. право ограничить обработку;
31.6. право возразить против обработки на основании законного интереса или для прямого маркетинга;
31.7. право на переносимость данных, когда применимы установленные условия;
31.8. право отозвать согласие;
31.9. права в отношении автоматизированных решений;
31.10. право подать жалобу в компетентный надзорный орган и обратиться в суд.
31.11. Права не являются абсолютными. Компания вправе отказать полностью или частично, если запрос противоречит юридической обязанности, правам других лиц, тайне, безопасности, расследованию, защите требований или установленному законом исключению.

32. ПОРЯДОК ПОДАЧИ И РАССМОТРЕНИЯ ЗАПРОСОВ
32.1. Запрос направляется на support@platika.gg. В нем желательно указать имя, контакт, идентификатор Учетной записи, конкретное право и данные или период, которых касается запрос.
32.2. Для защиты от незаконного раскрытия Компания вправе проверить личность, запросив вход в Учетную запись, одноразовый код, документ либо иное соразмерное подтверждение.
32.3. Компания не запрашивает больше данных, чем необходимо для подтверждения личности и обработки запроса.
32.4. Ответ предоставляется без неоправданной задержки и в срок, установленный применимым законодательством. При сложном или множественном запросе срок может быть продлен в разрешенном порядке с уведомлением субъекта.
32.5. Запрос обычно рассматривается бесплатно. При явно необоснованных или чрезмерных повторных запросах Компания вправе применить допустимую плату либо отказать с объяснением.
32.6. Если запрос затрагивает данные другого лица, коммерческую тайну, антифродовые критерии или безопасность, Компания предоставляет допустимую часть либо объясняет ограничение.
32.7. Ответ предоставляется в электронной форме, если субъект не запросил иной разумно доступный способ.

33. ВОЗРАЖЕНИЕ, ОТЗЫВ СОГЛАСИЯ И МАРКЕТИНГ
33.1. Субъект вправе в любое время отказаться от прямого маркетинга, включая связанное профилирование. После отказа данные не используются для такой цели, кроме хранения минимальной записи о запрете.
33.2. Отказ от маркетинга не прекращает сервисные, договорные, безопасностные, KYC и юридически обязательные сообщения.
33.3. Возражение против обработки на основании законного интереса рассматривается с учетом конкретной ситуации. Компания прекращает обработку, если не докажет наличие преобладающих законных оснований или необходимость для правовых требований.
33.4. Отзыв согласия может быть сделан через настройки, cookie-центр, ссылку отписки или support@platika.gg в зависимости от процесса.
33.5. Удаление приложения, блокировка бота или закрытие браузера не всегда равнозначны отзыву согласия, если Компания объективно не может связать такое действие с конкретным субъектом.

34. СРОКИ ХРАНЕНИЯ, УДАЛЕНИЕ И ОБЕЗЛИЧИВАНИЕ
34.1. Срок определяется целью, юридической обязанностью, сроком спора, риском мошенничества, возможностью позднего предъявления операции и техническим циклом резервного копирования.
34.2. По окончании срока данные удаляются, необратимо обезличиваются или переводятся в ограниченный архив, если сохраняется законное основание.
34.3. Закрытие Учетной записи не означает немедленного удаления всех данных. KYC, AML, транзакционные, бухгалтерские, dispute и доказательственные данные могут храниться установленный срок.
34.4. Данные, относящиеся к действующему расследованию, судебному спору, запросу органа или legal hold, хранятся до завершения основания и последующего применимого срока.
34.5. Обезличенная статистика может храниться без ограничения, если восстановление личности разумно невозможно.
34.6. Базовые сроки приведены в Приложении 2 и могут корректироваться при изменении обязательного права или фактического процесса.

35. РЕЗЕРВНЫЕ КОПИИ, АРХИВЫ И СИСТЕМНЫЕ ЖУРНАЛЫ
35.1. Резервные копии используются для восстановления после сбоя, атаки, повреждения или человеческой ошибки и не должны использоваться как параллельная рабочая база.
35.2. Удаленные из активной системы данные могут сохраняться в резервной копии до ее плановой ротации. Доступ к резервным копиям ограничивается, а восстановленные данные повторно подлежат правилам удаления.
35.3. Архивные данные отделяются от активных и доступны только для установленной цели, например исполнения закона, расследования или защиты требований.
35.4. Журналы безопасности могут храниться отдельно от основного профиля и использовать псевдонимные идентификаторы.
35.5. Компания документирует основные сроки ротации резервных копий и проверяет возможность восстановления.

36. ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ БЕЗОПАСНОСТИ
36.1. управление доступом, принцип минимальных привилегий и многофакторная аутентификация для критических ролей;
36.2. шифрование данных при передаче и, где это соразмерно, при хранении;
36.3. псевдонимизация, токенизация и отделение идентификаторов от операционных данных;
36.4. журналирование административных действий и мониторинг подозрительной активности;
36.5. резервное копирование, тестирование восстановления и планы непрерывности;
36.6. управление обновлениями, уязвимостями, секретами и ключами;
36.7. защита рабочих устройств, сетей и удаленного доступа;
36.8. проверка поставщиков, договорные требования и ограничение субобработки;
36.9. обучение персонала, конфиденциальность и реагирование на фишинг;
36.10. регулярный пересмотр мер с учетом характера данных, стоимости, современных угроз, вероятности и тяжести последствий.
36.11. Компания не гарантирует абсолютную безопасность, но обязуется применять соразмерные и документируемые меры.

37. ИНЦИДЕНТЫ И НАРУШЕНИЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
37.1. Любое лицо с доступом к данным обязано немедленно сообщить о подозрении на утечку, потерю устройства, ошибочную отправку, вредоносное ПО, несанкционированный доступ или уничтожение.
37.2. Компания регистрирует инцидент, ограничивает распространение, сохраняет доказательства, определяет затронутые данные и субъектов, оценивает риск и принимает меры устранения.
37.3. Если нарушение подлежит уведомлению надзорного органа, Компания направляет уведомление в установленный срок с доступной информацией и дополняет его по мере расследования.
37.4. Если нарушение способно создать высокий риск для прав и свобод субъекта, Компания уведомляет его понятным языком без неоправданной задержки, кроме случаев законного исключения.
37.5. Для процессов, к которым применяются российские уведомительные требования об инцидентах, Компания выполняет соответствующую процедуру в установленном объеме.
37.6. Компания документирует все нарушения независимо от того, требовалось ли внешнее уведомление, и использует выводы для предотвращения повторения.

38. ОЦЕНКА ВОЗДЕЙСТВИЯ И ЗАПУСК НОВЫХ ПРОЦЕССОВ
38.1. До запуска обработки, способной создать высокий риск, Компания проводит оценку воздействия на защиту данных.
38.2. Оценка может требоваться при масштабном профилировании, биометрической идентификации, систематическом мониторинге, объединении больших массивов, использовании новых технологий или обработке уязвимых субъектов.
38.3. Оценка описывает цели, необходимость, пропорциональность, риски, меры защиты, остаточный риск и ответственное решение.
38.4. Если высокий остаточный риск нельзя снизить, Компания проводит предварительную консультацию с компетентным органом, когда это требуется.
38.5. Существенное изменение цели, данных, технологии, получателя или страны передачи требует пересмотра оценки.

39. РЕЕСТР ОПЕРАЦИЙ ОБРАБОТКИ И ВНУТРЕННЯЯ ДОКУМЕНТАЦИЯ
39.1. Компания ведет реестр существенных операций обработки в объеме, требуемом законом и необходимом для подотчетности.
39.2. Реестр содержит цели, категории субъектов и данных, получателей, передачи, сроки удаления и общее описание мер безопасности.
39.3. Компания документирует оценки законного интереса, согласия, DPIA, инциденты, запросы субъектов, договоры с обработчиками, аудиты и основные решения.
39.4. Внутренняя документация не является публичной полностью. Субъект получает только информацию, которую Компания обязана предоставить и которая не нарушает безопасность, права других лиц или защищаемую тайну.

40. КОНТРОЛЬ, АУДИТ И ОБУЧЕНИЕ
40.1. Компания периодически проверяет соблюдение Правил, права доступа, сроки хранения, поставщиков, безопасность и фактическое соответствие заявленным целям.
40.2. Нарушения классифицируются по риску и устраняются в разумные сроки; критические нарушения требуют немедленных мер.
40.3. Лица с доступом к данным проходят обучение при предоставлении доступа и периодическое обновление знаний с учетом их роли.
40.4. Компания вправе проводить документарные и технические проверки подрядчиков в объеме, предусмотренном договором и законом.
40.5. Результаты аудита используются для изменения процедур, ограничений доступа, архитектуры и обучения.

41. ЗАПРОСЫ ГОСУДАРСТВЕННЫХ ОРГАНОВ И СУДЕБНЫЕ ПРОЦЕДУРЫ
41.1. Компания раскрывает данные государственному органу или суду только на основании законного и обязательного требования либо для защиты прав в допустимом порядке.
41.2. До раскрытия Компания проверяет полномочия, форму, компетенцию, предмет, территорию, объем и возможность оспаривания запроса, если это разрешено.
41.3. Раскрывается минимально необходимый объем. Если запрос чрезмерен или недостаточно определен, Компания вправе запросить уточнение или применить доступное средство защиты.
41.4. При запросе органа третьей страны Компания учитывает правила международной передачи и не раскрывает данные только на основании иностранного требования, если оно не признано или не допускается применимым правом.
41.5. Субъект уведомляется о раскрытии, если это разрешено и не вредит расследованию, безопасности или правам других лиц.

42. ИЗМЕНЕНИЕ ПРАВИЛ
42.1. Компания вправе изменять Правила при изменении закона, архитектуры, функций, категорий данных, целей, получателей, рисков или мер безопасности.
42.2. Актуальная версия публикуется на platika.gg с датой вступления в силу.
42.3. О существенном изменении, способном заметно повлиять на права Пользователя, Компания сообщает через сайт, Mini App, электронную почту или иной доступный канал.
42.4. Изменение Правил не превращает ранее собранные данные в доступные для несовместимой цели без нового основания и необходимой информации.
42.5. Если для новой обработки требуется согласие, продолжение использования Сервиса само по себе не заменяет такое согласие.

43. ПРИМЕНИМОЕ ПРАВО И ЖАЛОБЫ
43.1. Правила регулируются законодательством Эстонской Республики и прямо применимым правом Европейского союза.
43.2. Субъект вправе сначала обратиться в Компанию по адресу support@platika.gg для оперативного рассмотрения вопроса.
43.3. Субъект вправе подать жалобу в компетентный надзорный орган, включая Estonian Data Protection Inspectorate, либо иной орган, компетентный в соответствии с применимым законодательством.
43.4. Обращение в Компанию не ограничивает право на жалобу или судебную защиту.
43.5. Выбор эстонского права не лишает субъекта обязательной защиты, которая применяется независимо от такого выбора.

44. КОНТАКТЫ
Linkpay financial holdings OÜ, регистрационный код 17073552.
Юридический адрес: Harju maakond, Tallinn, Kesklinna linnaosa, Vesivärava tn 50-201, 10152, Estonia.
Сайт: platika.gg.
Email по вопросам персональных данных и юридических обращений: support@platika.gg.
Telegram поддержки: @platika_help_bot.

ПРИЛОЖЕНИЕ 1. МАТРИЦА ОСНОВНЫХ ПРОЦЕССОВ ОБРАБОТКИ
A1.1. Регистрация и учетная запись: контактные и технические данные; цели - создание, вход, связь и безопасность; основания - договор, преддоговорные меры и законный интерес; срок - период Учетной записи и последующий срок защиты требований.
A1.2. KYC и верификация: идентификационные данные, документы, изображения лица, адрес; цели - подтверждение личности, доступ к функциям и предотвращение злоупотреблений; основания - юридическая обязанность, договор и предусмотренное законом согласие для биометрии.
A1.3. AML, санкции и антифрод: данные личности, операции, устройство, источник средств, санкционные и публичные источники; цели - соблюдение закона, безопасность и предотвращение преступлений; основания - юридическая обязанность и законный интерес.
A1.4. Пополнения и операции: сумма, валюта, время, источник, продавец, статус, комиссия и идентификаторы; цели - исполнение операции, учет, возврат и dispute; основания - договор, юридическая обязанность и правовые требования.
A1.5. Цифровые активы: адрес, сеть, txid и аналитические связи; цели - зачисление, проверка происхождения и безопасность; основания - договор, юридическая обязанность и законный интерес.
A1.6. Поддержка и претензии: контакты, переписка, файлы и история решения; цели - ответ, исполнение договора, защита прав и контроль качества; основания - договор, юридическая обязанность и законный интерес.
A1.7. Безопасность и журналы: IP, устройство, сессия, действия, ошибки и риск-индикаторы; цели - аутентификация, расследование и защита; основания - договор, юридическая обязанность и законный интерес.
A1.8. Аналитика продукта: агрегированные или псевдонимные события, источник перехода и использование функций; цели - улучшение и измерение; основания - согласие для необязательных технологий либо законный интерес для строго ограниченной серверной статистики.
A1.9. Маркетинг: контакт, согласие, предпочтения, кампания и взаимодействие; цели - предложения и оценка кампаний; основания - согласие либо иное прямо разрешенное законом основание.
A1.10. Государственные и судебные запросы: необходимые данные конкретного дела; цели - выполнение обязательного требования и защита прав; основания - юридическая обязанность и правовые требования.

ПРИЛОЖЕНИЕ 2. БАЗОВЫЕ СРОКИ ХРАНЕНИЯ
A2.1. Данные активной Учетной записи - в течение действия договора.
A2.2. Основные регистрационные данные после закрытия - как правило до 5 лет, если более длительный срок не нужен для спора, задолженности, fraud-prevention или обязательной отчетности.
A2.3. KYC, AML, санкционные документы и результаты - в течение срока, установленного применимым AML-законодательством, обычно не менее 5 лет после прекращения отношений или соответствующей операции, с возможным законным продлением.
A2.4. Транзакционные и бухгалтерские документы - не менее обязательного бухгалтерского или налогового срока, который для отдельных документов может составлять 7 лет или иной установленный период.
A2.5. Споры, chargeback и претензии - до окончательного завершения и в течение применимого срока исковой давности.
A2.6. Переписка поддержки - обычно до 3 лет после закрытия обращения, если она не относится к договору, AML, спору или безопасности.
A2.7. Журналы входа и безопасности - обычно до 2 лет, если более длительный срок не нужен для расследования или предотвращения повторной атаки.
A2.8. Cookie-согласия и доказательства маркетингового согласия - срок действия согласия и разумный последующий срок для подтверждения соблюдения требований.
A2.9. Данные лица, которому отказано за существенное нарушение или fraud, - минимальный набор может храниться до 5 лет или иной соразмерный срок для предотвращения повторной регистрации.
A2.10. Резервные копии - до завершения утвержденного цикла ротации; удаленные данные не возвращаются в активную обработку, кроме восстановления после инцидента.
A2.11. Legal hold - до окончательного завершения расследования, претензии, суда, исполнения решения или требования органа.
A2.12. Сроки являются базовыми и уточняются по фактическому процессу, обязательному праву, риску и технической архитектуре.

ПРИЛОЖЕНИЕ 3. ПОРЯДОК РЕАЛИЗАЦИИ ПРАВ СУБЪЕКТА ДАННЫХ
A3.1. Направьте запрос на support@platika.gg с темой «Personal Data Request».
A3.2. Укажите имя, контакт, идентификатор Учетной записи, конкретное право и желаемый результат. Не отправляйте полный CVV/CVC, пароль или seed phrase.
A3.3. Компания подтвердит получение и при необходимости запросит соразмерное подтверждение личности.
A3.4. После проверки запрос классифицируется, определяется применимое право, системы и ответственные лица.
A3.5. Компания проводит поиск по утвержденным идентификаторам, исключает данные других лиц и защищаемую информацию и формирует ответ.
A3.6. При исправлении или удалении Компания сообщает об изменении получателям, если это требуется, возможно и не связано с несоразмерными усилиями.
A3.7. При отказе Компания сообщает основание и доступный порядок обжалования, если раскрытие не запрещено.
A3.8. Субъект вправе уточнить запрос, если первоначальная формулировка чрезмерно широкая и обработка большого объема мешает идентифицировать нужные данные.
A3.9. Копия предоставляется в распространенном электронном формате. Дополнительные копии могут быть платными в разрешенных законом случаях.
A3.10. Компания хранит минимальную запись о запросе, проверке личности, ответе и сроках для подотчетности.

ПРИЛОЖЕНИЕ 4. РЕГЛАМЕНТ РЕАГИРОВАНИЯ НА ИНЦИДЕНТ
A4.1. Обнаружение: зафиксировать время, источник, затронутую систему и немедленно передать инцидент ответственным лицам.
A4.2. Сдерживание: ограничить доступ, отозвать сессии и ключи, изолировать устройство, остановить утечку без уничтожения доказательств.
A4.3. Сохранение доказательств: журналы, конфигурации, уведомления, список действий и иные материалы сохраняются с контролем доступа.
A4.4. Классификация: определить, затронуты ли персональные данные, какие категории, сколько субъектов, была ли защита шифрованием и возможны ли вредные последствия.
A4.5. Оценка риска: учитывать кражу личности, финансовый ущерб, дискриминацию, шантаж, потерю контроля, раскрытие документов и возможность злоупотребления.
A4.6. Уведомление: определить компетентные органы, применимые сроки и необходимость прямого уведомления субъектов.
A4.7. Коммуникация: сообщения должны быть точными, понятными и не преуменьшать риск; запрещается публично раскрывать сведения, которые усиливают атаку.
A4.8. Устранение: закрыть уязвимость, изменить ключи и доступы, восстановить системы, проверить целостность и усилить мониторинг.
A4.9. Анализ причин: установить техническую и организационную первопричину, ответственных за исправление и сроки.
A4.10. Закрытие: документировать решение, уведомления, последствия, корректирующие меры и контроль их выполнения.
A4.11. Повторная оценка: проверить эффективность мер и при необходимости обновить архитектуру, обучение, договоры, DPIA и настоящие Правила.