montana/Vera Montana/_audit/25_personal_data_clients.md

25. Положение об обработке и защите персональных данных клиентов (23.07.2024)

Тип: Локальный правовой акт (Local Regulation), Приложение 1 к Политике оператора в отношении обработки ПД Утверждено: Директор ЗАО «Уайт Бёрд» М.А. Шабанов, 23.07.2024 Юр.лицо в документе: ЗАО «Уайт Бёрд», г. Минск, ул. Свердлова 11, помещение 328 Размер: 2.7 МБ, ~10 стр. Глав: 10 Базис: Закон Республики Беларусь № 99-З от 07.05.2021 «О защите персональных данных»

Что это

Это Local Regulation (LR) из 12 обязательных нормативов ПВТ-резидента (см. #22), регламентирующий обработку ПД клиентов и третьих лиц (НЕ работников).

Структура документа

Глава 1. Общие положения

Положение разработано на основе:

• Конституции РБ
• Трудового кодекса
• Конвенции Совета Европы о защите ФЛ при автоматизированной обработке ПД (28.01.1981)
• Хартии ЕС об основных правах (12.12.2007)
• Закон № 99-З от 07.05.2021 «О защите персональных данных» — главный
• Закон № 418-З от 21.07.2008 «О регистре населения»
• Закон № 455-З от 10.11.2008 «Об информации, информатизации и защите информации»
• Закон № 114-З от 28.05.2021 «Об изменении законов по вопросам трудовых отношений»

Глава 2. Основные понятия

13 терминов: ПД, субъект ПД, обработка ПД, обезличивание, блокирование, удаление, трансграничная передача и др.

Глава 3. Категории субъектов ПД

1. Родственники работников
2. Кандидаты на рабочие места
3. Работники и иные представители Общества
4. Работники и иные представители контрагентов — юридических лиц
5. Контрагенты — физические лица, в т.ч. клиенты ЗАО «Уайт Бёрд» при осуществлении деятельности оператора криптоплатформы
6. Иные субъекты

Глава 4. Содержание и объём ПД

Состав ПД клиентов очень широкий:

• ФИО (включая все предыдущие)
• Дата и место рождения, гражданство
• Паспортные данные (серия, номер, дата выдачи, орган)
• Сведения о семейном положении
• Регистрация по месту жительства + фактическое проживание
• Номер страхового свидетельства соцстрахования
• Медицинские данные (в случаях, предусмотренных законом)
• ИНН
• Сведения о трудовой деятельности
• Образование, квалификация
• Сведения о воинском учёте
• Биометрические данные (фотографии, видеозаписи с камер наблюдения, записи голоса)
• Социальные льготы и выплаты
• Контактные данные
• Награждения, поощрения

Глава 5. Принципы обработки ПД

1. Соразмерность заявленным целям
2. Согласие субъекта ПД (за исключениями Закона № 99-З)
3. Ограничение целями — нельзя обрабатывать вне заявленных целей
4. Соответствие объёма заявленным целям — не избыточно
5. Прозрачность — субъекту предоставляется информация
6. Достоверность — оператор обязан обновлять
7. Ограничение срока хранения — не дольше необходимого

Глава 6. Цели обработки ПД (16 целей)

• Исполнение функций по законодательству
• Предоставление льгот родственникам
• Выявление конфликта интересов
• Рассмотрение кандидатов на трудоустройство
• Ведение кадрового резерва
• Проверка контрагентов
• Организация деловых поездок
• Безопасность, предотвращение правонарушений
• Выпуск доверенностей
• Ведение переговоров, заключение договоров
• Реклама и продвижение услуг Общества
• Обработка обращений с претензиями
• Исполнение обязанности налогового агента
• Соблюдение трудового законодательства

Глава 7. Правила обработки ПД

Самая критическая глава:

• Смешанная обработка (авто + не-авто), внутренние сети + интернет
• Письменное согласие клиента — обязательное условие (с исключениями)
• Содержание согласия: ФИО, дата рождения, идент. номер, подпись
• 17 исключений когда согласие НЕ требуется (адм/угол. процесс, противодействие отмыванию, налоговое и др.)
• Сбор ПД — только от субъекта; через третьих лиц — только с уведомлением + письменным согласием
• Хранение на бумажных + электронных носителях, защита от несанкционированного доступа
• Использование — только сотрудниками с допуском
• Передача третьим лицам — минимум, с уведомлением субъекта
• Трансграничная передача запрещена, кроме case-by-case исключений
• Поручение обработки уполномоченному лицу — допустимо с договором
• Защита ПД — организационно-технические меры (Глава 17 Закона № 99-З)

Глава 8. Права и обязанности субъекта ПД

Право:

• Отозвать согласие в любое время без объяснения причин
• Получить информацию об обработке (раз в год бесплатно)
• Требовать внесения изменений
• Получать информацию о передаче третьим лицам
• Требовать прекращения обработки и удаления
• Обжаловать в уполномоченный орган

Обязанность:

• Предоставлять достоверные ПД
• Сообщать об изменениях

Глава 9. Права и обязанности Общества

Право: устанавливать порядок, вносить изменения Обязанность:

• Разъяснять права субъекту
• Получать согласие
• Защищать ПД
• Предоставлять информацию по запросу
• Вносить изменения
• Прекращать обработку
• Уведомлять уполномоченный орган в течение 3 рабочих дней при инциденте
• Уведомлять клиента при риске нарушения его прав
• Вести электронный журнал инцидентов
• Изменять/блокировать/удалять ПД по требованию уполномоченного органа

Глава 10. Ответственность

• Дисциплинарная (по Трудовому кодексу)
• Материальная
• Гражданско-правовая
• Административная
• Уголовная (УК РБ ст. 203-1, 203-2)

Моё мнение

Это очень тщательная и детальная разработка. Whitebird явно работали с серьёзным юристом по ПД. Документ полностью совместим с GDPR-стандартами, что позволяет работать с EU-клиентами.

Сильные стороны

1. Полнота категорий субъектов ПД — клиенты явно выделены отдельно
2. Очень широкий состав собираемых ПД — биометрия + записи голоса (для KYC-видео)
3. Чёткая структура согласия — что должно быть в нём
4. 17 исключений для безсогласной обработки — гибкость для AML/KYC
5. Защитные меры технические + организационные (Глава 17 Закона № 99-З)
6. Жёсткий уведомительный режим — 3 дня уполномоченному органу

Слабые стороны

1. Срок хранения не указан конкретно — только «не дольше необходимого». Это серый момент — нужно дополнительное Положение о сроках.
2. Журнал инцидентов в электронном виде — но формат не определён. Это потенциальная дыра.
3. Трансграничная передача упомянута, но не конкретизирована — какие страны разрешены, какие нет.
4. Биометрия (запись голоса) — это специальная категория ПД, требует усиленной защиты, но это не отражено в защитных мерах.

Что нужно команде Монтаны для копирования 1:1

Обязательные документы по ПД

Документ	Содержание	Размер
Политика обработки ПД (общая)	Top-level политика, описывает всю систему	3-5 стр.
Положение об обработке ПД клиентов	Этот документ — детальный для клиентов	10-15 стр.
Положение об обработке ПД работников	Аналогичный для сотрудников	10-15 стр.
Положение о согласии на обработку ПД	Формы согласий	5 стр. + шаблоны
Положение об инцидентах ПД	Процедура реагирования	5-7 стр.
Положение о трансграничной передаче ПД	Какие страны, какие договоры	5 стр.
Положение о сроках хранения ПД	Конкретные сроки по категориям	3 стр. + таблица

Шаблон согласия на обработку ПД (для Монтаны)

Я, [ФИО], дата рождения [DD.MM.YYYY], идент. номер [ID], 
паспорт [серия номер дата орган], даю своё согласие 
ООО/ЗАО «Монтана» (УНП: XXX, Минск/Дубай/Вильнюс) на:

1. Цели обработки: 
   - Регистрация на платформе Монтана
   - KYC/AML проверка
   - Маркетинг и информационные рассылки
   - Налоговое декларирование операций
   - Передача в антифрод-системы

2. Состав обрабатываемых ПД: ФИО, паспортные данные, 
   биометрия (фото + видео для KYC), контактные данные, 
   платёжные реквизиты, IP-адреса, история операций.

3. Срок: с даты подписания до момента полного 
   расторжения отношений с Обществом + 10 лет 
   (для AML целей).

4. Право отзыва: в любое время через личный кабинет 
   или письменно в Общество.

Подпись: _________________ Дата: _____________

Технические меры защиты ПД (минимум)

1. Шифрование at-rest — БД зашифрованы (PostgreSQL TDE / Vault для секретов)
2. Шифрование in-transit — TLS 1.3 + mTLS для внутренних API
3. Шифрование ПД клиента на уровне приложения — даже DBA не видит plaintext
4. HSM для ключей шифрования (HashiCorp Vault / AWS KMS)
5. PII tokenization — токены вместо реальных ПД в analytics БД
6. Доступ по ролям (RBAC) + MFA для всех сотрудников
7. Audit log — все операции с ПД логгируются
8. DLP (Data Loss Prevention) для предотвращения утечек
9. Регулярные penetration tests (квартально)
10. Backup encryption — резервные копии шифруются отдельным ключом
11. GDPR-compliant data deletion — physical erase на NVMe + verification
12. Privacy by design — default настройки = максимум приватности

Организационные меры

1. DPO (Data Protection Officer) — отдельный человек, реальный, не nominal
2. Privacy training для всех новых сотрудников
3. Quarterly privacy audit — внутренний + внешний
4. Incident response plan — 24/7 dedicated team
5. Data minimization — собирать только необходимое
6. Right to be forgotten — техническая реализация на уровне БД

Уведомительный процесс при инциденте

24-72 часа максимум на:

• Уведомление уполномоченного органа (3 раб. дня по РБ; 72 часа по GDPR)
• Уведомление пострадавших клиентов
• Внутреннее расследование (форензика)
• Корректирующие меры
• Public disclosure (если масштаб большой)

Особое для Монтаны (по сравнению с Whitebird)

1. Privacy by default — это уже в memory автора как принцип
2. Zero-knowledge там где возможно — Монтана может пойти дальше Whitebird:
   • PEDERSEN commitments для balances
   • Range proofs для transactions
   • Stealth addresses
   • Mixers (если регулятор разрешит)
3. Self-sovereign identity — клиент управляет своими ПД
4. Минимизация KYC — только то что требует регулятор, никакого «коллекционирования»

Ссылки внутри Whitebird-стека

• → #18 (общая политика обработки ПД)
• → #27 (политика конфиденциальности данных)
• → #22 (аудит Kept — упоминает LR по ПД)
• → #11 (положение о рисках — включая кибер-риски)