Политика определяет, какие персональные данные АКБ «Тенгри Банк» (АО) обрабатывает, с какой целью и на каком основании, кому и зачем их передаёт, сколько хранит, как защищает и какие права есть у человека, чьи данные обрабатываются. Политика опубликована в исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и применяется ко всем каналам обслуживания: офисам, приложению и веб-кабинету Tengri Bank, сайту tengribank.com, чату поддержки и телефонной линии банка.
- 1.Общие положения
- 2.Термины и определения
- 3.Принципы обработки персональных данных
- 4.Чьи данные обрабатывает банк
- 5.Какие данные банк обрабатывает
- 6.Откуда банк получает данные
- 7.Цели обработки, основания и сроки
- 8.Согласие на обработку и его отзыв
- 9.Автоматизированные решения, антифрод и скоринг
- 10.Передача данных третьим лицам
- 11.Трансграничная передача данных
- 12.Сроки хранения и уничтожение данных
- 13.Меры защиты персональных данных
- 14.Права субъекта персональных данных
- 15.Файлы cookie, аналитика и информационные сообщения
- 16.Данные несовершеннолетних и данные других людей
- 17.Изменение Политики
- 18.Контакты и реквизиты
1. Общие положения
- 1.1.Оператор персональных данных: Акционерный коммерческий банк «Тенгри Банк» (акционерное общество), сокращённо АКБ «Тенгри Банк» (АО).
- 1.2.Реквизиты оператора: ИНН 7709100008, ОГРН 1087700000365, регистрационный номер кредитной организации 369, БИК 044525999, юридический адрес – 115035, г. Москва, ул. Большая Ордынка, д. 1.
- 1.3.Банк действует на основании Генеральной лицензии Банка России № 369 от 25.08.2008 и является участником системы обязательного страхования вкладов с 25.09.2008.
- 1.4.Политика раскрывает общедоступные сведения о порядке обработки персональных данных и о мерах по обеспечению их безопасности. Политика не является согласием на обработку данных и не заменяет договор обслуживания и Условия обслуживания физических лиц.
- 1.5.Политика распространяется на обработку данных в офисах банка, в мобильном приложении и веб-кабинете Tengri Bank, на сайте tengribank.com и связанных с ним страницах, в чате поддержки, в телефонных обращениях и в переписке по электронной почте.
- 1.6.Обработка персональных данных в банке ведётся в соответствии с Конституцией Российской Федерации, Федеральным законом № 152-ФЗ «О персональных данных», Федеральным законом № 395-1 «О банках и банковской деятельности» в части банковской тайны, Федеральным законом № 115-ФЗ о противодействии отмыванию доходов, Федеральным законом № 161-ФЗ «О национальной платёжной системе», Федеральным законом № 218-ФЗ «О кредитных историях», Федеральным законом № 38-ФЗ «О рекламе», нормативными актами Банка России и иными применимыми требованиями.
- 1.7.Сведения о счетах, вкладах и операциях клиента составляют банковскую тайну. Режим банковской тайны действует дополнительно к требованиям о защите персональных данных: такие сведения раскрываются только клиенту, его представителю и тем лицам, которым банк обязан или вправе их раскрыть по закону.
- 1.8.К обработке данных в офисах банка за пределами Российской Федерации применяются также требования законодательства страны офиса, а в Латвийской Республике – Общего регламента по защите данных (GDPR) Европейского союза. Если местное требование строже, банк применяет местное требование.
- 1.9.Политика действует бессрочно, до утверждения новой редакции. Актуальная редакция бесплатно доступна на сайте tengribank.com и в приложении: «Ещё» → «О приложении» → «Лицензии и условия».
- 1.10.Вопросы по обработке персональных данных банк принимает по адресу dpo@tengribank.com. Ответственный за организацию обработки персональных данных назначается приказом по банку.
2. Термины и определения
В Политике термины используются в следующем значении.
- 2.1.Персональные данные – любая информация, относящаяся прямо или косвенно к определённому физическому лицу: имя, паспортные данные, телефон, адрес, сведения об операциях и иные данные, по которым человека можно определить.
- 2.2.Субъект – физическое лицо, к которому относятся персональные данные.
- 2.3.Клиент – физическое лицо, которое обслуживается в банке, а в отношении компаний – их представители, участники и выгодоприобретатели.
- 2.4.Обработка – любое действие с данными: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление и уничтожение.
- 2.5.Автоматизированная обработка – обработка данных средствами вычислительной техники без участия человека на отдельных этапах.
- 2.6.Обезличивание – действия, после которых по данным нельзя определить конкретного человека без дополнительных сведений.
- 2.7.Блокирование – временное прекращение обработки данных, кроме случаев, когда обработка нужна для их уточнения.
- 2.8.Уничтожение – действия, после которых восстановить данные в информационной системе невозможно, а материальные носители уничтожены.
- 2.9.Трансграничная передача – передача данных на территорию иностранного государства иностранному органу власти, иностранному физическому или юридическому лицу.
- 2.10.Поручение обработки – обработка данных по договору с банком другим лицом, которое действует по инструкциям банка и не вправе использовать данные в своих целях.
- 2.11.Согласие – конкретное, предметное, информированное, сознательное и однозначное согласие субъекта на обработку его данных в указанных целях.
- 2.12.Файлы cookie – небольшие текстовые файлы, которые сайт или кабинет сохраняет на устройстве посетителя, чтобы поддерживать сессию, хранить настройки и выявлять подозрительные входы.
- 2.13.Приложение – мобильное приложение и веб-кабинет Tengri Bank, через которые банк обслуживает клиента дистанционно.
- 2.14.Анкета – заявка на продукт банка, которую человек заполняет на сайте tengribank.com до заключения договора.
3. Принципы обработки персональных данных
- 3.1.Обработка ведётся на законной и справедливой основе: у каждой обработки есть основание из статьи 6 Федерального закона № 152-ФЗ либо, для офисов в Европейском союзе, из статьи 6 GDPR.
- 3.2.Обработка ограничена достижением конкретных, заранее определённых и законных целей. Обработка, несовместимая с целью сбора, не допускается.
- 3.3.Банк не объединяет базы данных, созданные для несовместимых между собой целей.
- 3.4.Обрабатываются только те данные, которые нужны для заявленной цели: избыточные данные банк не собирает и не запрашивает.
- 3.5.Данные должны быть точными, достаточными и актуальными. Банк принимает меры по удалению или уточнению неполных и неточных данных, в том числе просит клиента обновлять сведения.
- 3.6.Данные хранятся не дольше, чем требует цель обработки, если иной срок не установлен законом или договором. По достижении цели данные уничтожаются или обезличиваются.
- 3.7.Решение, которое влечёт для клиента юридические последствия, не принимается исключительно автоматически без возможности пересмотра человеком: порядок описан в разделе 9 Политики.
- 3.8.Банк обеспечивает прозрачность: состав обрабатываемых данных, цели, сроки и права субъекта раскрыты в Политике, а по запросу банк предоставляет сведения об обработке конкретного человека.
4. Чьи данные обрабатывает банк
Банк обрабатывает данные следующих категорий субъектов.
- 4.1.Клиенты – физические лица: держатели счетов, вкладов и карт, заёмщики, пользователи приложения.
- 4.2.Представители и доверенные лица клиентов, законные представители, наследники и лица, обратившиеся за сведениями в предусмотренных законом случаях.
- 4.3.Заявители: люди, которые заполнили анкету на сайте или оставили заявку в офисе, но ещё не стали клиентами.
- 4.4.Руководители, участники, акционеры, выгодоприобретатели и бенефициарные владельцы компаний и предпринимателей, которые обслуживаются в банке.
- 4.5.Сотрудники компаний-клиентов, которые получают заработную плату по зарплатному проекту банка.
- 4.6.Плательщики и получатели переводов: данные, которые поступают в банк вместе с платёжным поручением или переводом через СБП.
- 4.7.Посетители сайта tengribank.com и пользователи приложения, в том числе не прошедшие вход: технические данные устройства и обращения.
- 4.8.Люди, которые обратились в чат поддержки, по телефону или по электронной почте, включая авторов жалоб и обращений.
- 4.9.Посетители офисов и зон банкоматов – в части видеонаблюдения, которое ведётся в целях безопасности.
- 4.10.Кандидаты на работу в банке, направившие резюме.
Данные других людей, которые клиент сообщает банку (например, реквизиты получателя перевода или сведения о близком при подключении сервиса «Защита близких»), клиент передаёт при условии, что получил согласие этих людей или имеет иное законное основание.
5. Какие данные банк обрабатывает
Данные, которые сообщает сам человек
- 5.1.Идентификационные данные: фамилия, имя, отчество, дата и место рождения, пол, гражданство, ИНН, СНИЛС – в объёме, который требует Федеральный закон № 115-ФЗ.
- 5.2.Данные документа, удостоверяющего личность: вид документа, серия и номер, дата выдачи, наименование органа, выдавшего документ, код подразделения, срок действия.
- 5.3.Контактные данные: номер мобильного телефона, адрес электронной почты, адрес регистрации и адрес фактического проживания, предпочитаемый язык обслуживания.
- 5.4.Данные анкеты на сайте: фамилия, имя, отчество, дата рождения, паспортные данные, город, телефон, электронная почта, сведения о занятости и доходе, выбранный продукт, сумма и срок вклада, тип карты, текст комментария.
- 5.5.Сведения, необходимые по требованиям противодействия отмыванию доходов: источник происхождения средств, цель установления отношений с банком, налоговое резидентство, статус публичного должностного лица, сведения о выгодоприобретателе.
- 5.6.Сведения для оценки кредитоспособности: занятость, место работы, стаж, доход и подтверждающие его документы, сведения об обязательствах перед другими кредиторами.
- 5.7.Сведения, которые человек сообщает в обращении: текст вопроса или претензии, приложенные документы, описание спорной операции.
Данные, которые образуются при обслуживании
- 5.8.Данные о продуктах: номера счетов, вкладов и договоров, тип и номер карты, срок её действия, уровень обслуживания в программе Tengri Pro, подключённые сервисы и подписки.
- 5.9.Данные об операциях: дата и время, сумма и валюта, назначение платежа, реквизиты контрагента, место и способ оплаты, категория покупки, начисленный кэшбэк и проценты, остатки по счетам.
- 5.10.Данные кредитной истории: сведения, которые банк получает из бюро кредитных историй и передаёт в них в соответствии с Федеральным законом № 218-ФЗ.
- 5.11.Данные о рассмотрении заявки: решение, его дата, одобренные сумма, ставка и срок, причина отказа во внутренних системах банка.
- 5.12.Данные о взаимодействии: история обращений в чат и по телефону, записи телефонных разговоров и сообщения чата, отправленные уведомления и письма, результаты опросов о качестве обслуживания.
- 5.13.Данные о работе с приложением: журнал входов и подтверждений операций, события безопасности, настройки лимитов и уведомлений, использованные способы входа.
Технические данные
- 5.14.Данные устройства и сети: модель устройства и версия операционной системы, версия приложения, идентификатор установки приложения, IP-адрес, тип и язык браузера, часовой пояс.
- 5.15.Данные о сессии: файлы cookie и аналогичные технологии, токены сессии, время входа и выхода, страницы и экраны, на которых человек был, действия в интерфейсе в обезличенном виде.
- 5.16.Приблизительное местоположение по IP-адресу и стране операции – для выявления подозрительных входов и операций. Точную геолокацию устройства банк не собирает.
- 5.17.Данные о подключении push-уведомлений: токен устройства, выданный службой доставки уведомлений, состояние разрешения на уведомления.
Чего банк не делает
- 5.18.Банк не обрабатывает биометрические персональные данные клиента для входа в приложение: вход по отпечатку пальца или по изображению лица проверяет само устройство клиента средствами его операционной системы, биометрические образцы в банк не передаются и в банке не хранятся.
- 5.19.Банк не обрабатывает специальные категории данных – о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья и интимной жизни, – кроме случаев, когда такие сведения содержатся в предоставленном клиентом документе и необходимы по закону.
- 5.20.Банк не собирает данные с целью продажи и не передаёт данные третьим лицам для рекламы их собственных товаров и услуг.
- 5.21.Изображения с камер видеонаблюдения в офисах банк использует только в целях безопасности и защиты имущества и не применяет для автоматического распознавания лиц клиентов.
6. Откуда банк получает данные
- 6.1.От самого человека: в анкете на сайте, в приложении, в офисе, в чате поддержки, по телефону и в переписке.
- 6.2.От представителя человека, действующего по доверенности или в силу закона.
- 6.3.Автоматически – от устройства и браузера при работе с сайтом, приложением и веб-кабинетом.
- 6.4.От банков и платёжных систем – участников расчётов: вместе с поступившим переводом, платёжным поручением или операцией по карте.
- 6.5.Из бюро кредитных историй – с согласия человека, в объёме, предусмотренном Федеральным законом № 218-ФЗ.
- 6.6.От государственных органов и из государственных информационных систем и публичных реестров – в случаях и порядке, предусмотренных законом.
- 6.7.От работодателя – в отношении сотрудников, которые получают заработную плату по зарплатному проекту, в объёме, необходимом для выпуска карт и зачисления выплат.
- 6.8.От компании-клиента – в отношении её руководителей, участников и бенефициарных владельцев.
- 6.9.От партнёров, через которых человек оформил продукт банка, – с его согласия и в объёме заявки.
Если данные получены не от самого человека, банк до начала обработки уведомляет его об этом и сообщает цель обработки, наименование оператора, предполагаемых пользователей данных и перечень прав субъекта, кроме случаев, когда уведомление не требуется по закону.
7. Цели обработки, основания и сроки
Банк обрабатывает данные в следующих целях. Основание указано по статье 6 Федерального закона № 152-ФЗ, срок – с момента, когда цель достигнута, если законом не установлен более длительный срок хранения.
- Рассмотрение анкеты и заявки на продукт, информирование о решенииОснование: Согласие субъекта, подготовка договораСрок хранения: Договор заключён – по правилам соответствующей цели; договор не заключён – 1 год с даты решения
- Идентификация клиента, представителя и выгодоприобретателя, обновление сведений о нихОснование: Требование закона (№ 115-ФЗ)Срок хранения: Не менее 5 лет со дня прекращения отношений с клиентом
- Заключение и исполнение договора обслуживания: открытие и ведение счёта, выпуск и обслуживание карты, приём вкладов, исполнение распоряженийОснование: Исполнение договора, стороной которого является субъектСрок хранения: Срок действия договора и 5 лет после его прекращения
- Проведение и учёт операций, формирование выписок, расчёт процентов и кэшбэка, определение уровня Tengri ProОснование: Исполнение договора, требование законаСрок хранения: Не менее 5 лет со дня совершения операции
- Оценка кредитоспособности, рассмотрение кредитной заявки, формирование и передача сведений в бюро кредитных историйОснование: Согласие субъекта, требование закона (№ 218-ФЗ)Срок хранения: Срок кредитного договора и 5 лет после его исполнения; сведения в бюро – по правилам № 218-ФЗ
- Противодействие мошенничеству, контроль подозрительных операций и входов, блокировка операций по признакам, установленным Банком РоссииОснование: Требование закона (№ 161-ФЗ, № 115-ФЗ), законный интерес банкаСрок хранения: 5 лет со дня события
- Информирование об операциях и состоянии счёта: push-уведомления, SMS, письма, сообщения в чатеОснование: Исполнение договора, требование законаСрок хранения: Срок действия договора и 1 год
- Поддержка клиента: обработка обращений, претензий и спорных операций, запись телефонных разговоров и переписки в чатеОснование: Исполнение договора, законный интерес банка, требование законаСрок хранения: Записи разговоров – 12 месяцев; переписка и материалы по претензии – 5 лет
- Исполнение обязанностей по налоговому, валютному и бухгалтерскому законодательству, ответы на запросы государственных органовОснование: Требование законаСрок хранения: Срок, установленный соответствующим законом, не менее 5 лет
- Обеспечение информационной безопасности, разбор инцидентов, работоспособность приложения и сайтаОснование: Законный интерес банка, требование законаСрок хранения: Технические журналы – 12 месяцев
- Улучшение продуктов и обслуживания на обезличенных и агрегированных данных, опросы о качествеОснование: Законный интерес банка, согласие субъекта для опросовСрок хранения: До достижения цели, обезличенные данные – бессрочно
- Рекламные и информационные сообщения о продуктах банкаОснование: Согласие субъектаСрок хранения: До отзыва согласия
- Видеонаблюдение в офисах и зонах банкоматов в целях безопасностиОснование: Законный интерес банка, требование законаСрок хранения: Не более 60 дней, при инциденте – до завершения разбирательства
- Рассмотрение резюме кандидата на работуОснование: Согласие субъектаСрок хранения: 6 месяцев с даты получения резюме, при согласии кандидата – до 1 года
Для обработки данных в офисах банка на территории Европейского союза применимые основания определяются статьёй 6 GDPR: исполнение договора, соблюдение правовой обязанности, законный интерес банка или согласие субъекта.
8. Согласие на обработку и его отзыв
- 8.1.Согласие требуется там, где обработка не следует из договора и не предписана законом: рекламные сообщения, обращение в бюро кредитных историй, передача данных партнёру, обработка резюме.
- 8.2.Согласие человек даёт отдельным действием: отметкой в анкете, в приложении, подписью на бумажной форме или иным однозначным подтверждением. Согласие в составе условий договора отдельно от прочих положений.
- 8.3.Согласие на обработку данных для исполнения договора и для целей, прямо предусмотренных законом, не требуется: без таких данных банк не вправе открыть счёт и провести операцию.
- 8.4.Согласие можно отозвать в любой момент: письмом на dpo@tengribank.com, обращением в чат поддержки, письменным заявлением в офисе или по юридическому адресу банка.
- 8.5.Отзыв согласия на рекламные сообщения банк исполняет не позднее 3 рабочих дней. Сервисные уведомления об операциях, уведомления о безопасности и сообщения, обязательные по закону, при этом продолжают поступать: от них отказаться нельзя, пока действует договор.
- 8.6.После отзыва согласия банк прекращает обработку, которая велась только на основании этого согласия. Обработку, которую банк обязан продолжать по закону (идентификация, учёт операций, кредитная история), отзыв согласия не прекращает.
- 8.7.Если согласие было единственным основанием обработки и отозвано, банк уничтожает данные в срок, не превышающий 30 дней, либо обезличивает их, и сообщает человеку о результате.
- 8.8.Управлять рекламными сообщениями и каналами уведомлений клиент может сам в приложении: «Ещё» → «Безопасность» и в настройках уведомлений.
9. Автоматизированные решения, антифрод и скоринг
- 9.1.Банк применяет автоматизированную обработку в трёх случаях: предварительная оценка заявки на продукт, контроль операций на признаки мошенничества и расчёт уровня обслуживания и кэшбэка в программе Tengri Pro.
- 9.2.Предварительная оценка заявки использует данные анкеты, сведения о доходе, кредитную историю и данные об обслуживании в банке. Итоговое решение по заявке принимает сотрудник банка либо решение подтверждается сотрудником до направления клиенту.
- 9.3.Контроль операций сверяет параметры операции с профилем обычного поведения клиента и с признаками, установленными Банком России. При срабатывании правила операция может быть приостановлена, а карта или вход – временно заблокированы.
- 9.4.О приостановке операции или блокировке банк сообщает клиенту по каналам связи и объясняет, как подтвердить операцию или снять блокировку.
- 9.5.Клиент вправе не согласиться с автоматическим решением, потребовать его проверки человеком и представить свои пояснения. Обращение подаётся в чат поддержки, по телефону, на info@tengribank.com или в офисе.
- 9.6.Банк рассматривает такое обращение в срок, предусмотренный для претензий Условиями обслуживания, и сообщает клиенту результат с обоснованием.
- 9.7.Расчёт уровня Tengri Pro и кэшбэка ведётся по опубликованным правилам тарифов: исходные суммы покупок клиент видит в приложении и может их проверить.
- 9.8.Банк не принимает на основании только автоматизированной обработки решений, которые порождают юридические последствия или иным образом затрагивают права клиента, без возможности пересмотра человеком.
10. Передача данных третьим лицам
Банк раскрывает данные только в объёме, необходимом для цели передачи, и только следующим категориям получателей.
- 10.1.Банки, платёжные системы и операторы платёжной инфраструктуры – участники расчётов по переводам, картам, СБП и оплате по QR-коду: передаются данные, необходимые для исполнения операции.
- 10.2.Бюро кредитных историй – сведения о кредитных обязательствах и платёжной дисциплине в объёме и в сроки, установленные Федеральным законом № 218-ФЗ.
- 10.3.Государственные органы: Банк России, Росфинмониторинг, налоговые органы, суды, судебные приставы, органы предварительного следствия и иные органы – по их законным требованиям и в предусмотренных законом случаях.
- 10.4.Государственная корпорация «Агентство по страхованию вкладов» – в объёме, необходимом для ведения реестра обязательств перед вкладчиками.
- 10.5.Операторы связи и службы доставки сообщений – для отправки одноразовых кодов, SMS и push-уведомлений: передаётся номер телефона или токен устройства и текст сообщения.
- 10.6.Подрядчики, которые обрабатывают данные по поручению банка: хостинг и инфраструктура, сопровождение информационных систем, печать и доставка документов и карт, архивное хранение, колл-центр, услуги по оценке и взысканию задолженности.
- 10.7.Профессиональные консультанты: аудиторы, нотариусы, юридические представители банка – в объёме, необходимом для оказания услуг банку.
- 10.8.Страховые компании и иные партнёры – только с согласия клиента и только по продукту, который клиент у них оформляет.
- 10.9.Правопреемники банка при реорганизации и приобретатели прав по договорам – в случаях, предусмотренных законом и договором.
Условия, на которых передаются данные
- 10.10.В поручении обработки банк указывает перечень данных, цели и действия с ними, а также обязанность соблюдать конфиденциальность, обеспечивать безопасность и не использовать данные в своих целях. Ответственность перед субъектом за действия такого лица несёт банк.
- 10.11.Банк не передаёт данные лицам, не указанным в Политике, без согласия субъекта, кроме случаев, прямо предусмотренных законом.
- 10.12.Банк не продаёт персональные данные и не передаёт их для рекламы товаров и услуг третьих лиц.
- 10.13.Сведения, составляющие банковскую тайну, раскрываются только в случаях, предусмотренных статьёй 26 Федерального закона № 395-1, и фиксируются во внутреннем журнале раскрытия.
11. Трансграничная передача данных
- 11.1.Базы данных, в которых банк собирает и хранит данные граждан Российской Федерации, размещены на территории Российской Федерации.
- 11.2.Трансграничная передача происходит в двух случаях: при исполнении международного перевода или операции по карте за границей и при обслуживании клиента в офисе банка за пределами России.
- 11.3.При международном переводе и при операции по карте за границей банк передаёт банкам-корреспондентам и платёжным системам данные, без которых операцию невозможно исполнить: имя, реквизиты счёта или карты, сумму, назначение платежа, страну.
- 11.4.Офисы банка расположены в Республике Казахстан, Республике Сербия и Латвийской Республике. Данные, которые обрабатывает офис, передаются в объёме, необходимом для обслуживания клиента в этом офисе.
- 11.5.До начала трансграничной передачи банк уведомляет уполномоченный орган по защите прав субъектов и убеждается, что в стране получателя обеспечивается адекватная защита данных либо что получатель принял надлежащие меры защиты.
- 11.6.Если страна получателя не обеспечивает адекватной защиты, передача возможна только по основаниям части 4 статьи 12 Федерального закона № 152-ФЗ: согласие субъекта, исполнение договора с ним, защита его жизни и здоровья либо исполнение требования закона.
- 11.7.Для передачи данных из Европейского союза банк использует механизмы, предусмотренные главой V GDPR, включая стандартные договорные условия.
12. Сроки хранения и уничтожение данных
- Идентификационные данные и документы клиентаСрок хранения: Не менее 5 лет со дня прекращения отношений с банком
- Договоры, заявления и распоряжения клиентаСрок хранения: Срок договора и 5 лет после его прекращения
- Данные об операциях и выпискиСрок хранения: Не менее 5 лет со дня операции
- Сведения по кредитным продуктамСрок хранения: Срок кредитного договора и 5 лет после полного исполнения
- Записи телефонных разговоровСрок хранения: 12 месяцев, при споре – до его завершения
- Переписка в чате и по электронной почтеСрок хранения: 3 года, по претензиям – 5 лет
- Технические журналы входов и событий безопасностиСрок хранения: 12 месяцев
- Записи видеонаблюденияСрок хранения: Не более 60 дней
- Анкета, по которой договор не заключёнСрок хранения: 1 год с даты решения
- Резюме кандидатаСрок хранения: 6 месяцев, при его согласии – до 1 года
- Файлы cookieСрок хранения: Сессионные – до закрытия браузера, постоянные – до 12 месяцев
- Данные, обрабатываемые по согласиюСрок хранения: До отзыва согласия или до достижения цели
- 12.1.По истечении срока хранения и при достижении цели обработки данные уничтожаются или обезличиваются. Факт уничтожения оформляется актом.
- 12.2.Если данные обрабатывались по согласию и срок хранения истёк, банк уничтожает их в срок, не превышающий 30 дней.
- 12.3.Обезличенные и агрегированные данные, по которым невозможно определить человека, банк вправе хранить и использовать для аналитики без ограничения срока.
- 12.4.Данные, в отношении которых действует требование закона о хранении или идёт спор, уничтожаются после того, как требование исполнено или спор завершён.
13. Меры защиты персональных данных
Банк принимает правовые, организационные и технические меры для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения.
Организационные меры
- 13.1.Назначен ответственный за организацию обработки персональных данных; утверждены политика, положения и инструкции по обработке и защите данных.
- 13.2.Определены перечень обрабатываемых данных, перечень информационных систем и круг сотрудников, которым доступ необходим по должностным обязанностям.
- 13.3.Доступ сотрудников к данным ограничен ролями: сотрудник видит только те данные, которые нужны для его работы. Все обращения к данным клиента фиксируются в журнале.
- 13.4.Сотрудники подписывают обязательство о неразглашении, проходят обучение по защите данных и правилам информационной безопасности.
- 13.5.Проводится оценка вреда, который может быть причинён субъектам, и внутренний контроль соответствия обработки требованиям закона и Политики.
- 13.6.С подрядчиками заключаются соглашения о конфиденциальности и поручения обработки с перечнем допустимых действий.
Технические меры
- 13.7.Каналы связи между устройством клиента и банком защищены шифрованием по протоколу TLS; соединение без шифрования не принимается.
- 13.8.Вход в приложение и подтверждение операций защищены двухфакторной аутентификацией: одноразовый код, код приложения-аутентификатора или резервные коды, а на устройстве клиента – биометрия устройства и код доступа.
- 13.9.Клиент видит в разделе «Безопасность» последний вход, устройство и активные сессии и может завершить сессию или сменить способ входа.
- 13.10.Применяются сегментирование сети, межсетевые экраны, защита от вредоносного кода, контроль уязвимостей и регулярное обновление систем.
- 13.11.Данные в информационных системах резервируются; резервные копии защищены теми же мерами, что и основные системы.
- 13.12.Работа систем и операции клиентов находятся под круглосуточным антифрод-мониторингом.
- 13.13.Проводится регулярное тестирование защищённости и аудит средств защиты информации; применяются средства защиты, соответствующие требованиям Банка России и уполномоченных органов.
Инциденты
- 13.14.В банке действует порядок реагирования на инциденты с персональными данными: выявление, локализация, оценка последствий, устранение причин и уведомление.
- 13.15.Об инциденте, который привёл к неправомерной передаче данных, банк уведомляет уполномоченный орган по защите прав субъектов персональных данных в течение 24 часов, а о результатах внутреннего расследования – в течение 72 часов.
- 13.16.Если инцидент затрагивает конкретных клиентов, банк сообщает им об этом по каналам связи и объясняет, какие меры принять: сменить пароль, перевыпустить карту, проверить операции.
- 13.17.О компрометации средств доступа клиент сообщает банку сразу: по круглосуточной линии безопасности +7 (495) 369-99-44 или блокировкой карты в приложении.
14. Права субъекта персональных данных
Человек, чьи данные обрабатывает банк, имеет следующие права.
- 14.1.Получить подтверждение факта обработки своих данных и сведения о ней: правовое основание и цели, способы обработки, состав обрабатываемых данных и источник их получения, сроки обработки и хранения, наименование лиц, которым данные передаются или могут быть переданы.
- 14.2.Получить копию своих данных в объёме, не нарушающем права других лиц, а в части операций – выписку по счёту в приложении или в офисе.
- 14.3.Требовать уточнения, исправления и дополнения неполных или неточных данных.
- 14.4.Требовать блокирования или уничтожения данных, если они обрабатываются незаконно, неполны, неточны, устарели либо не нужны для заявленной цели.
- 14.5.Отозвать согласие на обработку данных в порядке раздела 8 Политики.
- 14.6.Возразить против обработки для рекламных целей: банк прекращает такую обработку по первому требованию.
- 14.7.Требовать проверки человеком решения, принятого на основе автоматизированной обработки, и представить свои пояснения.
- 14.8.Обжаловать действия или бездействие банка в уполномоченный орган по защите прав субъектов персональных данных – Роскомнадзор – или в суд.
- 14.9.Для субъектов в Европейском союзе дополнительно действуют права по GDPR: право на переносимость данных, право на ограничение обработки и право подать жалобу надзорному органу страны проживания.
Как направить запрос
- 14.10.Запрос направляется по адресу dpo@tengribank.com, через чат поддержки в приложении, письмом по юридическому адресу банка (115035, г. Москва, ул. Большая Ордынка, д. 1) или при личном обращении в офис.
- 14.11.В запросе указываются: сведения, подтверждающие личность заявителя или его представителя (номер документа, удостоверяющего личность, дата его выдачи и выдавший орган), сведения, подтверждающие отношения с банком (номер договора, счёта или карты либо иные сведения), подпись заявителя или его представителя и способ направления ответа.
- 14.12.Банк отвечает на запрос о сведениях об обработке в течение 10 рабочих дней со дня его получения. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя и указанием причины.
- 14.13.Требование об уточнении данных банк исполняет в течение 7 рабочих дней со дня представления подтверждающих сведений, требование об уничтожении – в течение 30 дней, если законом не установлено иное.
- 14.14.Банк вправе отказать в предоставлении сведений только по основаниям, предусмотренным частью 8 статьи 14 и частью 2 статьи 20 Федерального закона № 152-ФЗ, и обязан дать мотивированный ответ в письменной форме.
- 14.15.За рассмотрение запросов о персональных данных банк плату не берёт.
15. Файлы cookie, аналитика и информационные сообщения
- 15.1.Необходимые cookie обеспечивают работу сайта и кабинета: поддержка сессии, защита от подделки запросов, выявление подозрительных входов. Без них вход в кабинет невозможен, поэтому отключить их нельзя.
- 15.2.Функциональные cookie запоминают выбор языка, темы оформления и последний открытый раздел. Их отключение не влияет на безопасность, но меняет удобство работы.
- 15.3.Аналитические данные банк оценивает в обезличенном и агрегированном виде: какие разделы открывают и где возникают ошибки. Связать такие сведения с конкретным посетителем банк не может.
- 15.4.Рекламных и отслеживающих cookie, а также счётчиков сторонних рекламных сетей на сайте банка нет: профилирование посетителей для рекламы не ведётся.
- 15.5.Сессионные cookie удаляются при закрытии браузера, постоянные хранятся до 12 месяцев, сессия в кабинете завершается после 30 минут неактивности.
- 15.6.Управлять cookie можно в настройках браузера: удалить сохранённые файлы или запретить их приём. Без необходимых cookie вход в кабинет невозможен, отказ от функциональных влияет только на удобство работы.
- 15.7.Сервисные уведомления об операциях, уведомления о безопасности и сообщения, обязательные по закону, направляются в силу договора и не зависят от согласия на рекламу.
- 15.8.Рекламные и информационные сообщения о продуктах банк направляет только с согласия и прекращает по первому требованию: отказ можно заявить по ссылке в письме, в настройках уведомлений приложения или письмом на dpo@tengribank.com.
- 15.9.Подробные сведения о составе и сроках cookie приведены в Политике Cookie на сайте tengribank.com.
16. Данные несовершеннолетних и данные других людей
- 16.1.Банк не предлагает продукты лицам младше 18 лет и не собирает данные детей целенаправленно. Продукты банка оформляются совершеннолетними дееспособными лицами.
- 16.2.Данные несовершеннолетнего банк обрабатывает только в случаях, предусмотренных законом, и с согласия законного представителя: например, при наследовании или при получении выплаты в пользу ребёнка.
- 16.3.Если банк узнает, что получил данные несовершеннолетнего без необходимого согласия, он прекращает обработку и уничтожает такие данные.
- 16.4.Сообщая банку данные другого человека – получателя перевода, доверенного лица, близкого при подключении сервиса защиты, – клиент подтверждает, что получил его согласие или имеет иное законное основание, и отвечает за достоверность этих сведений.
- 16.5.Человек, чьи данные сообщил клиент, вправе обратиться в банк по адресу dpo@tengribank.com и реализовать права, указанные в разделе 14 Политики.
17. Изменение Политики
- 17.1.Банк вправе изменять Политику: при изменении законодательства, появлении новых продуктов и каналов обслуживания или изменении состава обрабатываемых данных.
- 17.2.Новая редакция публикуется на сайте tengribank.com и в приложении с указанием даты редакции и вступает в силу со дня публикации, если в ней не указан более поздний срок.
- 17.3.О существенных изменениях, которые затрагивают состав данных, цели обработки или права субъекта, банк сообщает заранее в приложении или по электронной почте.
- 17.4.Предыдущие редакции Политики банк хранит и предоставляет по запросу на dpo@tengribank.com.
- 17.5.Если отдельное положение Политики перестало соответствовать закону, применяются требования закона; остальные положения продолжают действовать.
18. Контакты и реквизиты
- 18.1.Оператор: АКБ «Тенгри Банк» (АО). ИНН 7709100008, ОГРН 1087700000365, регистрационный номер 369, БИК 044525999. Генеральная лицензия Банка России № 369 от 25.08.2008.
- 18.2.Юридический и почтовый адрес: 115035, г. Москва, ул. Большая Ордынка, д. 1.
- 18.3.Вопросы и запросы по персональным данным: dpo@tengribank.com. Вопросы по файлам cookie: privacy@tengribank.com. Общие вопросы: info@tengribank.com.
- 18.4.Телефон банка: +7 (495) 369-99-44. Круглосуточная линия по вопросам безопасности и блокировки карты: +7 (495) 369-99-44.
- 18.5.Чат поддержки: в приложении, «Ещё» → «О приложении» → «Связаться с нами».
- 18.6.Уполномоченный орган по защите прав субъектов персональных данных в Российской Федерации: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
- 18.7.Надзор за деятельностью банка осуществляет Банк России, справочная служба: 8-800-300-30-00.
Связанные документы
- Условия обслуживания физических лиц – порядок открытия счётов, выпуска карт, исполнения распоряжений и рассмотрения претензий (usloviya-obsluzhivaniya.pdf).
- Политика Cookie – состав и сроки файлов cookie на сайте tengribank.com.
- Тарифы по счетам, картам и сервисам для физических лиц – состав платных услуг и условия информирования (tariffs-personal.pdf).
