Политика конфиденциальности мобильных приложений

1.1. Издание Политики уполномоченного лица в отношении обработки персональных данных при предоставлении платежных услуг в электронной платежной системе «БЕРЛИО», в том числе с использованием мобильных приложений «Berlio internet client» и «BerlioCardPay» (далее – Политика) является одной из обязательных принимаемых НП ООО «БЕРЛИО» мер по обеспечению защиты персональных данных, предусмотренных статьей 17 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон о защите персональных данных). Политика разработана в соответствии с Законом о защите персональных данных и иными актами законодательства Республики Беларусь, а также Уставом НП ООО «БЕРЛИО» в целях обеспечения защиты прав и свобод человека при обработке его персональных данных. Политика разъясняет субъектам персональных данных, каким образом и для каких целей их персональные данные собираются, используются или иным образом обрабатываются, а также отражает имеющиеся в связи с этим у субъектов персональных данных права и механизм их реализации.

1.2. Политика является локальным правовым актом НП ООО «БЕРЛИО» (далее также – Уполномоченное лицо, Организация), регламентирующим отношения, связанные с защитой персональных данных при их обработке, осуществляемой Организацией с использованием средств автоматизации при предоставлении платежных услуг в электронной платежной системе «БЕРЛИО».

1.3. Организация как Уполномоченное лицо уделяет особое внимание защите персональных данных при их обработке и с уважением относится к соблюдению прав субъектов персональных данных. Обработка персональных данных Организацией как Уполномоченным лицом осуществляется в соответствии с Законом о защите персональных данных и настоящей Политикой.

1.4. Действие настоящей Политики уполномоченного лица не распространяется:

• на обработку персональных данных работников, обучающихся, соискателей на трудоустройство, обратившихся лиц, подрядчиков, контрагентов, представителей контрагентов, заказчиков услуг, представителей заказчиков услуг, покупателей оборудования Организации, посетителей;
• на обработку файлов куки;
• на обработку персональных данных при применении видеонаблюдения;
• на отношения, касающиеся случаев обработки персональных данных физическими лицами в процессе исключительно личного, семейного, домашнего и иного подобного их использования, не связанного с профессиональной или предпринимательской деятельностью.

При осуществлении деятельности, связанной с обработкой персональных данных своих работников, обучающихся, соискателей на трудоустройство, обратившихся лиц, подрядчиков, контрагентов, представителей контрагентов, заказчиков услуг, представителей заказчиков услуг, покупателей оборудования Организации, посетителей, а также с обработкой файлов куки Организация является самостоятельным оператором. Возникающие в связи с этим отношения регулируются соответствующими Политиками Организации в отношении обработки персональных данных указанных субъектов.

1.5. В Политике используются основные термины и их определения в значении, определенном статьей 1 Закона о защите персональных данных.

1.6. В Политике также используются следующие понятия в значении:

• НП ООО «БЕРЛИО» (Уполномоченное лицо, Организация) – поставщик платежных услуг в электронной платежной системе «БЕРЛИО», в том числе с использованием мобильных приложений «Berlio internet client» и «BerlioCardPay» (далее – ЭПС), собственником (владельцем) которой является НП ООО «БЕРЛИО»;
• сайт Оператора / Организация – веб-сайт НП ООО «БЕРЛИО»: https://www.berlio.by/;
• Оператор – заказчик услуг Организации в ЭПС, иной участник ЭПС (далее – заказчик услуг / участник ЭПС) – субъект хозяйствования – юридическое лицо, иная организация, индивидуальный предприниматель, которому Организация в соответствии с законодательством о платежных системах, договором присоединения, иными договорами (в настоящей Политике – «договоры») предоставляет платежные услуги в электронной платежной системе «БЕРЛИО» (ЭПС), в том числе с использованием мобильных приложений «Berlio internet client» и «BerlioCardPay»; в договорах и для целей их исполнения, а также в локальных правовых актах Организации заказчик услуг / участник ЭПС именуется также «Клиент».

1.7. Юридическим лицом, которое осуществляет обработку персональных данных в качестве Уполномоченного лица, является НП ООО «БЕРЛИО», юридический и почтовый адрес: 220007, г. Минск, ул. Быховская, д. 55; сайт: https://www.berlio.by/; общий адрес электронной почты: berlio@berlio.by; общий телефон: +375(17)2100000 (Организация / Уполномоченное лицо).

1.8. Организация является собственником (владельцем) электронной платежной системы «БЕРЛИО» (ЭПС) и мобильных приложений «Berlio internet client», «BerlioCardPay» (далее в настоящей Политике понятием «ЭПС» охватываются также мобильные приложения «Berlio internet client», «BerlioCardPay»).

1.9. Оператор – участник ЭПС на основании договора получает доступ к обслуживанию в ЭПС, в том числе с использованием мобильных приложений «Berlio internet client» и «BerlioCardPay», и поручает Организации как Уполномоченному лицу автоматизированную обработку в ЭПС и мобильных приложениях «Berlio internet client», «BerlioCardPay» персональных данных субъектов, собранных и обрабатываемых Оператором (участником ЭПС). Обработка персональных данных в ЭПС осуществляется представителем заказчика услуг / участника ЭПС – Оператора от имени Оператора и в его интересах.

1.10. Политика вступает в силу с момента утверждения. Во исполнение требований пункта 4 статьи 17 Закона о защите персональных данных Политика является общедоступным документом, размещается для свободного доступа в Организации, а также в сети Интернет на сайте Организации и предусматривает возможность ознакомления с Политикой любых лиц.

1.11. Организация вправе при необходимости в одностороннем порядке вносить в Политику изменения и дополнения с последующим размещением новой редакции Политики в общедоступном месте в Организации и на сайте Организации, где субъекты самостоятельно получают информацию об изменениях Политики.

1.12. Политика распространяет действие на обработку персональных данных субъектов, порученных для обработки Операторами (заказчиками услуг / участниками ЭПС).

1.13. Требования Закона о защите персональных данных и Политики обязательны для исполнения всеми работниками и иными лицами, непосредственно осуществляющими обработку персональных данных.

2.1. Организация как Уполномоченное лицо осуществляет обработку персональных данных субъектов персональных данных в целях, объеме (перечне), на правовых основаниях и в сроки, определенные в договоре и / или Соглашении об обработке персональных данных, дополнительно заключаемом между Оператором (заказчиком услуг / участником ЭПС) и Организацией как Уполномоченным лицом.

2.2. При заключении договора / Соглашения об обработке персональных данных предполагается, что Оператор (заказчик услуг / участник ЭПС) и Организация как Уполномоченное лицо выполняют свои обязанности, приняли и принимают меры по обеспечению защиты персональных данных, определенные Законом о защите персональных данных и иными нормативными правовыми актами в сфере защиты персональных данных, а также Политикой Оператора в отношении обработки персональных данных и Политикой Уполномоченного лица в отношении обработки персональных данных.

2.3. Оператор (заказчик услуг / участник ЭПС) должен гарантировать, что:

• использует только разрешенные законодательством Республики Беларусь способы получения персональных данных;
• обработка персональных данных для целей, указанных в договоре / Соглашении об обработке персональных данных, соответствует целям, заявленным в Политике Оператора в отношении обработки персональных данных, и осуществляется Оператором при наличии соответствующих правовых оснований обработки персональных данных;
• на поручение для обработки Уполномоченному лицу / передачу и обработку персональных данных Уполномоченным лицом в необходимых случаях Оператором получено (когда отсутствуют иные правовые основания обработки) согласие субъектов передаваемых персональных данных.

2.4. Организация как Уполномоченное лицо гарантирует:

• принятие мер по обеспечению защиты персональных данных в соответствии со статьей 17 Закона о защите персональных данных; такие меры должны быть приняты до заключения договора;
• что использует только разрешенные законодательством Республики Беларусь способы обработки персональных данных.

2.5. Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению Оператора необходимо получение согласия субъекта персональных данных, такое согласие получает Оператор.

3.1. В соответствии с договором / Соглашением об обработке персональных данных Оператор (заказчик услуг / участник ЭПС) поручает Организации как Уполномоченному лицу обработку персональных данных в ЭПС в целях исполнения договора, а Уполномоченное лицо обязуется соблюдать требования к защите и обработке порученных Оператором для обработки персональных данных, предусмотренные Законом о защите персональных данных, иными актами законодательства, а также обязательства, определенные договором / Соглашением об обработке персональных данных, и совершать обработку порученных персональных данных только в пределах действий с ними, целях обработки и объеме персональных данных, предусмотренных договором / Соглашением об обработке персональных данных.

3.2. В договоре / Соглашении об обработке персональных данных определяются:

• цели обработки персональных данных Организацией как Уполномоченным лицом;
• перечень действий, которые будут совершаться с персональными данными Уполномоченным лицом;
• порядок поручения для обработки персональных данных Оператором (заказчиком услуг / участником ЭПС) Уполномоченному лицу;
• обязанности Уполномоченного лица по соблюдению конфиденциальности персональных данных;
• меры Уполномоченного лица по обеспечению защиты персональных данных;
• иные необходимые условия.

3.3. Уполномоченное лицо не вправе распространять и (или) предоставлять персональные данные, которые стали ему известны в связи с исполнением договора, в том числе после прекращения обработки, без наличия правового основания, предусмотренного законодательными актами.

3.4. Ответственность перед субъектом персональных данных за действия Уполномоченного лица несет Оператор. Уполномоченное лицо несет ответственность перед Оператором.

3.5. Оператор (заказчик услуг / участник ЭПС) обязан уведомлять Уполномоченное лицо о необходимости прекращения обработки персональных данных в связи с утратой оснований для их обработки (например, в случае отзыва субъектом персональных данных согласия на обработку персональных данных).

3.6. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, если иное не предусмотрено законодательством.

3.7. Передача персональных данных государственным органам и организациям, в том числе правоохранительным органам и судам, а также иным организациям и учреждениям осуществляется в соответствии с требованиями законодательства Республики Беларусь (с согласия субъекта персональных данных, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами (при наличии иных правовых оснований обработки)).

3.8. Организация как Уполномоченное лицо трансграничную передачу персональных данных субъектов не осуществляет.

3.9. Субуполномоченным лицам обработка персональных данных не поручается.

3.10. Обработка персональных данных прекращается Организацией как Уполномоченным лицом при наступлении одного или нескольких из указанных событий (если отсутствуют иные правовые основания для обработки, предусмотренные Законом о защите персональных данных и иными законодательными актами):

• истечение срока договора / Соглашения об обработке персональных данных;
• прекращение Оператором (заказчиком услуг / участником ЭПС) поручения об обработке персональных данных, в т.ч. по требованию субъекта персональных данных, либо вследствие отзыва им согласия, данного Оператору, либо вследствие истечения срока действия согласия субъекта персональных данных;
• обнаружение неправомерной обработки персональных данных;
• по требованию Национального центра защиты персональных данных (НЦЗПД);
• ликвидация Организации.

3.11. Обработка персональных данных в ЭПС осуществляется Организацией с обязательным ограничением / разграничением доступа работников и использованием паролей доступа. Защита ЭПС как собственной информационной системы осуществляется Организацией.

3.12. Документы, содержащие персональные данные, а также персональные данные в электронной форме после прекращения обработки персональных данных удаляются (блокируются) в соответствии с требованиями законодательства о защите персональных данных, иными актами законодательства и локальными правовыми актами Организации.

4.1. Субъект персональных данных имеет право обратиться к соответствующему Оператору (заказчику услуг / участнику ЭПС) с заявлением о реализации прав, предусмотренных статьями 10–13 Закона о защите персональных данных:

1. в любое время без объяснения причин отозвать у Оператора свое согласие на обработку персональных данных;
2. требовать от Оператора бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для их обработки, предусмотренных Законом о защите персональных данных и иными законодательными актами;
3. получать от Оператора информацию, касающуюся обработки своих персональных данных (при этом не должен обосновывать свой интерес к запрашиваемой информации), содержащую:

• наименование и место нахождения Оператора;
• подтверждение факта обработки персональных данных Оператором (уполномоченным им лицом);
• его персональные данные и источник их получения;
• правовые основания и цели обработки персональных данных;
• срок, на который дано его согласие;
• наименование и место нахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка персональных данных поручена такому лицу;
• иную информацию, предусмотренную законодательством;

4. требовать от Оператора внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными (с приложением соответствующих документов и (или) их заверенных в установленном порядке копий, подтверждающих необходимость внесения изменений в персональные данные);
5. получать от Оператора информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно, если иное не предусмотрено Законом о защите персональных данных и иными законодательными актами.

4.2. Субъект персональных данных также имеет право обжаловать действия (бездействие) и принятые соответствующим Оператором (заказчиком услуг) решения, нарушающие его права при обработке персональных данных, непосредственно этому Оператору для принятия мер по восстановлению его нарушенных прав, либо в Национальный центр защиты персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц.

4.3. Субъект персональных данных для реализации прав, предусмотренных статьями 10–13 Закона о защите персональных данных и пунктом 4.1. Политики, подает соответствующему Оператору (заказчику услуг / участнику ЭПС) заявление в письменной форме либо в виде электронного документа (подписанного личной электронной цифровой подписью заявителя), оформленное в соответствии со статьей 14 Закона о защите персональных данных.

4.4. Организация как Уполномоченное лицо подобные заявления субъектов не рассматривает, если иное прямо не предусмотрено в договоре / Соглашении об обработке персональных данных. В последнем случае Оператор (заказчик услуг / участник ЭПС) также не может устраниться от рассмотрения заявлений субъектов персональных данных. В случае поступления такого заявления Оператор (заказчик услуг / участник ЭПС) обязан его рассмотреть и дать ответ, в том числе с использованием информации, полученной от Уполномоченного лица, не ссылаясь на договор и не пересылая заявление Уполномоченному лицу для ответа субъекту персональных данных.

4.5. За содействием в реализации своих прав субъект персональных данных может обратиться к лицу, ответственному за осуществление внутреннего контроля за обработкой персональных данных в Организации, в том числе направив сообщение на адрес электронной почты центров обслуживания по месту заключения договоров:

• Головной офис НП ООО «БЕРЛИО» (г. Минск): dpo.minsk@berlio.by или обратившись по телефону: +375(17)3691083;
• Брестский филиал: dpo.brest@berlio.by; тел. 8(0162)521215, 8(033)3721199;
• Витебский филиал: dpo.vitebsk@berlio.by; тел. 8(029)6961196;
• Гомельский филиал: dpo.gomel@berlio.by; тел. 8(0232)509865, 8(033)3200034;
• Гродненский филиал: dpo.grodno@berlio.by; тел. 8(0152)316139;
• Могилевский филиал: dpo.mogilev@berlio.by; тел. 8(0222)767111.

5.1. В соответствии со статьей 17 Закона о защите персональных данных Уполномоченное лицо самостоятельно определяет состав и перечень правовых, организационных и технических мер, необходимых и достаточных для выполнения Уполномоченным лицом обязанностей по обеспечению защиты персональных данных, с учетом требований Закона о защите персональных данных и иных актов законодательства.

5.2. Обязательными мерами Организации как Уполномоченного лица по обеспечению защиты персональных данных в соответствии со статьей 17 Закона о защите персональных данных являются:

• назначение Уполномоченным лицом структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
• издание Уполномоченным лицом Политики в отношении обработки персональных данных;
• ознакомление работников Уполномоченного лица и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, Политикой Уполномоченного лица в отношении обработки персональных данных, иными локальными правовыми актами Уполномоченного лица о порядке обработки персональных данных, а также обучение указанных работников и иных лиц в порядке, установленном законодательством;
• установление Уполномоченным лицом порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);
• осуществление Уполномоченным лицом технической и криптографической защиты персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.

5.3. Конкретные права и обязанности Организации как Уполномоченного лица определяются в договоре / Соглашении об обработке персональных данных в соответствии с Законом о защите персональных данных и иными актами законодательства.