Политика конфиденциальности — защита персональных данных

Настоящая Политика конфиденциальности (далее — «Политика») описывает, какие персональные данные собирает I-Trade B.V. (далее — «I-Trade», «мы»), зарегистрированная по адресу: Сингел 250, 1016 AB Амстердам, Нидерланды, на каких правовых основаниях они обрабатываются и какими правами вы обладаете. Политика применяется к сайту i-trade.io, мобильным приложениям и всем сервисам платформы. Обработка ведётся в соответствии с Общим регламентом по защите данных (GDPR, Регламент (ЕС) 2016/679).

1. Оператор данных и контакты

Оператором ваших персональных данных является I-Trade B.V. Назначен ответственный за защиту данных (Data Protection Officer): [email protected]. По любым вопросам обработки данных вы можете обращаться к DPO напрямую; ответ предоставляется в течение 30 календарных дней.

2. Какие данные мы собираем

Идентификационные данные — имя и фамилия, дата рождения, гражданство, реквизиты документа, удостоверяющего личность, фотография для биометрической сверки при верификации.
Контактные данные — адрес электронной почты, номер телефона, адрес проживания, страна налогового резидентства, налоговый идентификатор (TIN).
Финансовые данные — реквизиты банковского счёта, история пополнений и выводов, журнал сделок, состав портфеля, настройки стратегий и риск-лимитов, результаты теста соответствия.
Данные KYC/AML — источник происхождения средств, статус публичного должностного лица (PEP), результаты проверок по санкционным спискам.
Технические данные — IP-адрес, тип устройства и браузера, идентификаторы сессии, журналы безопасности, данные о сбоях приложения.
Данные взаимодействия — обращения в поддержку, записи чатов, настройки интерфейса и языка, согласия на cookie.

3. Правовые основания обработки

Исполнение договора (ст. 6(1)(b) GDPR) — открытие и ведение счёта, исполнение сделок, работа алгоритмических стратегий, вывод средств.
Юридическая обязанность (ст. 6(1)(c) GDPR) — верификация KYC/AML, налоговая отчётность, хранение записей по требованиям MiFID II, ответы на законные запросы регуляторов.
Законный интерес (ст. 6(1)(f) GDPR) — предотвращение мошенничества, обеспечение безопасности инфраструктуры, агрегированная продуктовая аналитика.
Согласие (ст. 6(1)(a) GDPR) — аналитические cookie, маркетинговые рассылки. Согласие отзывается в любой момент без влияния на обслуживание.

4. Цели обработки

Верификация личности и соответствие требованиям KYC/AML — до открытия счёта и периодически в течение обслуживания.
Исполнение выбранных вами стратегий: алгоритмы обрабатывают состав портфеля и лимиты, но не получают доступ к идентификационным данным — торговое ядро работает с псевдонимизированными идентификаторами счетов.
Выявление подозрительной активности: автоматизированные системы анализируют паттерны входов и операций; решения о блокировке всегда подтверждает сотрудник.
Улучшение продукта: аналитика строится на агрегированных и обезличенных данных, по которым невозможно восстановить личность.
Информирование о существенных изменениях условий, тарифов и рисков — это сервисные сообщения, от которых нельзя отписаться, пока действует договор.

5. Кому мы передаём данные

Мы передаём данные только тем категориям получателей, без которых услуга юридически или технически невозможна:

Банки-партнёры и платёжные провайдеры — исполнение пополнений и выводов SEPA.
Биржи и площадки исполнения — маршрутизация ордеров (передаются только обезличенные торговые поручения).
Провайдеры верификации — проверка документов и биометрии при онбординге.
Аудиторы и регуляторы — в объёме, требуемом законом.
Облачные провайдеры — хостинг инфраструктуры в дата-центрах на территории ЕС.

Мы не продаём персональные данные и не передаём их рекламным сетям. Все процессоры связаны договорами об обработке данных (DPA) по ст. 28 GDPR.

6. Передача за пределы ЕЭЗ

Данные хранятся и обрабатываются в дата-центрах на территории ЕС. В исключительных случаях (например, провайдер антифрод-проверок) передача за пределы ЕЭЗ осуществляется только при наличии решения об адекватности Еврокомиссии либо стандартных договорных положений (SCC) с дополнительными мерами защиты.

7. Сроки хранения

Данные счёта и журнал сделок — в течение действия договора и 5 лет после расторжения (требования AML-законодательства; по запросу регулятора срок может быть продлён до 10 лет).
Записи коммуникаций, связанных с поручениями, — 5 лет (MiFID II).
Технические логи и журналы безопасности — не более 12 месяцев.
Данные неподтверждённых регистраций — 30 дней.
Маркетинговые согласия — до отзыва.

По истечении сроков данные необратимо удаляются либо анонимизируются.

8. Ваши права

Доступ (ст. 15 GDPR) — запросить копию всех данных, которые мы храним о вас, и сведения об их обработке.
Исправление (ст. 16) — скорректировать неточные данные или дополнить неполные.
Удаление (ст. 17) — потребовать удаления данных, для которых отсутствуют законные основания хранения.
Ограничение обработки (ст. 18) — на время рассмотрения спора об обработке.
Переносимость (ст. 20) — получить данные в машиночитаемом формате (CSV/JSON) или передать их другому оператору.
Возражение (ст. 21) — против обработки на основании законного интереса и против прямого маркетинга — безусловно.
Отзыв согласия — в любой момент в настройках профиля или письмом на [email protected].

Запросы исполняются бесплатно в течение 30 дней. Если вы считаете, что ваши права нарушены, вы вправе подать жалобу в надзорный орган — Autoriteit Persoonsgegevens (Нидерланды) или орган по защите данных вашей страны.

9. Автоматизированные решения

Алгоритмические стратегии принимают торговые решения автоматически, однако они действуют строго в рамках поручения, которое вы задали при подключении стратегии, и не являются «решениями со значительными правовыми последствиями» в смысле ст. 22 GDPR. Автоматизированные AML-проверки могут приостановить операцию; окончательное решение в этом случае принимает сотрудник, и вы вправе оспорить его через поддержку.

10. Безопасность

Мы применяем шифрование при передаче (TLS 1.3) и при хранении (AES-256), сегрегацию сред, принцип минимального доступа, обязательную двухфакторную аутентификацию для сотрудников, ежегодные пентесты и программу bug bounty. Об инцидентах, затрагивающих ваши данные, мы уведомляем вас и регулятора в течение 72 часов (ст. 33–34 GDPR).

11. Данные несовершеннолетних

Сервис предназначен для лиц старше 18 лет. Мы сознательно не собираем данные несовершеннолетних; обнаруженные учётные записи закрываются, данные удаляются.

12. Изменения Политики

Актуальная версия всегда опубликована на этой странице. О существенных изменениях мы уведомляем по электронной почте и в личном кабинете не менее чем за 14 дней до вступления в силу. Продолжение использования сервиса после этой даты означает ознакомление с новой редакцией.