myPOS i zgodność z RODO

Nasze zaangażowanie w ochronę użytkowników i ich danych

Od 25 maja 2018 r. we wszystkich krajach Unii Europejskiej i Europejskiego Obszaru Gospodarczego weszło w życie ogólne rozporządzenie o ochronie danych (RODO). RODO ma na celu uporządkowanie różnych przepisów ochrony danych obowiązujących w państwach członkowskich i stworzenie wspólnego standardu ochrony dla wszystkich mieszkańców Europy. Firma myPOS popiera te zmiany prawne, ponieważ są one współbieżne z jej dążeniami do zapewnienia danym osobowym swoich klientów najwyższego stopnia ochrony.

Gotowość organizacyjna myPOS

Przykładamy ogromną wagę do ochrony danych osobowych naszych klientów. W ubiegłym roku pracowaliśmy niestrudzenie w celu spełnienia wszystkich wymagań RODO przed jego wejściem w życie. Przestrzegamy też wszystkich lokalnych praktyk i wytycznych opublikowanych przez organy regulacyjne, aby ciągle i starannie dostosowywać nasze środki ochrony do bieżących warunków.

Inspektor ochrony danych, Zespół ds. ochrony danych i szkolenia z RODO

Wszyscy nasi pracownicy odbyli szkolenia z RODO nadzorowane przez nasz własny Zespół ds. ochrony danych, Dział ds. zgodności i zewnętrznych konsultantów. Każdy nowy pracownik musi wziąć udział w obowiązkowym szkoleniu związanym z przepisami i najlepszymi praktykami dotyczącymi ochrony danych. Co roku organizowane są szkolenia dla wszystkich pracowników. Zgodnie z wymaganiami RODO wyznaczyliśmy naszego Inspektora ochrony danych (IOD), który pełni także funkcję lidera Zespołu ds. ochrony danych.

Wewnętrzne zasady postępowania

Wewnętrzne zasady postępowania firmy zostały zaktualizowane, by spełniały nowe wymogi nakładane przez RODO.

Pozyskiwane przez nas dane

Pozyskiwane przez nas dane osobowe i proces ich pozyskiwania został szczegółowo opisany w naszej Polityce prywatności. Przetwarzamy dane osobowe na różnych podstawach określonych przez RODO – na podstawie obowiązków prawnych, zawarcia i/lub wykonania stosunku prawnego, uzasadnionego interesu oraz zgody klienta.

Sposób, w jaki wykorzystujemy pozyskane dane

Wykorzystujemy, przechowujemy i przetwarzamy dane osobowe w celu świadczenia, zrozumienia, udoskonalania i rozwijania naszych usług, a także stworzenia i utrzymywania bezpiecznego środowiska, realizacji naszych uzasadnionych interesów oraz wypełniania obowiązków prawnych. Szczegółowe informacje znajdują się w naszej Polityce prywatności.

Klienci myPOS i ich dane osobowe

Wszyscy klienci myPOS są podmiotami prawnymi (firmami/korporacjami). Zgodnie z RODO dane przedsiębiorców indywidualnych są uważane za dane osobowe. Rozporządzenie nie dotyczy pozostałych firm ani korporacji. Jesteśmy jednak zobowiązani do weryfikowania tożsamości właściciela firmy lub upoważnionego użytkownika otwierającego Rachunek (zwanego „użytkownikiem otwierającym Rachunek” w przypadku firmy lub innego podmiotu). Przetwarzamy dane osobowe właściciela firmy lub upoważnionego użytkownika. RODO nie obejmuje informacji o firmie (z wyjątkiem firm jednoosobowych), w tym profilu ryzyka i analizy due dilligence.

Dlaczego fotografujemy upoważnionych przedstawicieli podmiotu i ich dokumenty tożsamości oraz sprawdzamy, czy jest to zgodne z RODO?

Usługa myPOS przeznaczona jest dla osób fizycznych i podmiotów prowadzących działalność gospodarczą. Zakładamy, że osoby dokonujące rejestracji i/lub korzystające z Usług myPOS w imieniu innego podmiotu są do tego upoważnione. Osoby te mogą być zobowiązane do ujawnienia nam danych osobowych pełnomocników, pracowników, pośredników, rzeczywistych właścicieli lub innych osób trzecich powiązanych z podmiotem.

Zgodnie z przepisami w zakresie przeciwdziałania „praniu brudnych pieniędzy” i finansowaniu terroryzmu (AML/CFT) mamy prawny obowiązek weryfikacji tożsamości klienta lub tożsamości upoważnionego użytkownika, który otwiera Rachunek.

Jesteśmy prawnie zobowiązani do zidentyfikowania i zweryfikowania właściciela Rachunku (osoby upoważnionej przez firmę) i własnoręcznego przekazania wymaganych informacji, jeśli dana osoba nie może tego zrobić sama. W oparciu o najlepsze praktyki wdrożyliśmy internetowy system identyfikacji wideo. Oferujemy ten system naszym klientom dla ich wygody.

Przepisy AML/CFT zasadniczo wymagają, by instytucje finansowe i inne podmioty, które mogą zostać wykorzystane do „prania brudnych pieniędzy” i finansowania terroryzmu:

1. ustalały tożsamość swoich klientów, co oznacza, że podmiot zobowiązany musi poprosić klienta o jego dane osobowe;
2. weryfikowały tożsamość swoich klientów, co oznacza, że podmiot zobowiązany musi sprawdzić, czy dane osobowe klienta nie zostały sfałszowane, podrobione, skradzione itp.

Jeśli powyższy proces nie jest przeprowadzany z klientem osobiście, np. przy użyciu aplikacji, konieczne jest zapewnienie przynajmniej dwóch środków technicznych umożliwiających weryfikację jego tożsamości.

Funkcja wideorozmowy i wymóg zrobienia zdjęć twarzy i dowodu tożsamości klienta są obecnie najszybszymi i najłatwiejszymi z punktu widzenia klienta legalnymi sposobami umożliwiającymi nam świadczenie mu naszych usług.

Ocena skutków w zakresie ochrony danych

Przeprowadziliśmy szczegółowy przegląd wszystkich naszych działań związanych z przetwarzaniem danych według produktu i działu. Przeanalizowaliśmy podstawy do przetwarzania, okresy przechowywania, środki techniczne i prawne zabezpieczające prawa i obowiązki naszych klientów oraz dopilnowaliśmy, by wszystkie prowadzone przez nas działania związane z przetwarzaniem danych były całkowicie zgodne z prawem.

Nasze okresy przechowywania

Należy pamiętać, że będąc instytucją finansową, jesteśmy zobowiązani przez dyrektywę ws. usług płatniczych i przepisy dotyczące „prania brudnych pieniędzy” do zatrzymania danych klienta na okres 5 lat od rozwiązania z nim umowy lub zamknięcia jego rachunku.

Korekta (sprostowanie) danych osobowych klienta

Nasi klienci mogą złożyć wniosek o korektę niedokładnych lub niepełnych danych osobowych, wysyłając wiadomość e-mail na adres [email protected].

Dostęp do danych

Naszym klientom przysługuje prawo do otrzymania kopii przechowywanych przez nas danych na ich temat, z którego mogą skorzystać z każdej chwili. Aby złożyć wniosek w tej sprawie, należy wysłać wiadomość E-mail na adres [email protected].

Usuwanie danych

Co do zasady, zatrzymujemy dane osobowe klientów tak długo, jak jest to niezbędne do wykonania zawartej z nimi umowy i spełnienia naszych obowiązków wynikających z przepisów prawa. Nasi klienci mogą w każdej chwili zażądać zamknięcia swoich Rachunków myPOS i rozwiązania umów. Jednakże zgodnie z prawem, będziemy przechowywać ich dane przez 5 lat po zakończeniu umowy.

W przypadku upłynięcia wymaganego przez prawo okresu przechowywania, dane osobowe klienta są dokładnie usuwane z naszych systemów. Aby złożyć wniosek o usunięcie danych, należy wysłać wiadomość E-mail na adres [email protected].

Dodatkowe informacje znajdują się w naszej Polityce prywatności.

Prawo naszych klientów do przenoszenia danych

Nasi klienci mają prawo do otrzymania kopii swoich danych osobowych w ustrukturyzowanym, powszechnie używanym, nadającym się do odczytu maszynowego i interoperacyjnym formacie umożliwiającym ponowne wykorzystanie. Dane osobowe mogą być przekazywane od jednego administratora do innego i/lub przekazywane bezpośrednio i bez przeszkód pomiędzy administratorami.

Cofnięcie zgody i ograniczenie przetwarzania danych

Klient, który udzielił nam zgody na przetwarzanie jego danych osobowych, może ją cofnąć w każdym momencie, dokonując odpowiedniej zmiany w ustawieniach Konta lub wysyłając nam wiadomość ze wskazaniem zgody, którą zdecydował się cofnąć. Należy pamiętać, że cofnięcie zgody nie skutkuje nielegalnością jakichkolwiek działań w zakresie przetwarzania danych, które prowadziliśmy na podstawie udzielonej zgody przed jej cofnięciem.

Prawa osób, których dane dotyczą i podmioty prawne

Według RODO osobami, których dane dotyczą, nie mogą być korporacje. Właściciel firmy, który korzysta z usług myPOS i posiada rachunek biznesowy, może dochodzić swoich praw wyłącznie w związku ze swoimi danymi osobowymi (lub danymi osobowymi osoby upoważnionej). Informacje o firmie, w tym profil ryzyka i analiza due dilligence, nie są objęte RODO.

Komu przekazujemy dane osobowe

Możemy przekazywać dane osobowe firmom wchodzącym w skład Grupy myPOS w celu świadczenia usług zamówionych przez klientów oraz w celu ułatwienia wykrywania i zapobiegania nielegalnym i nieuczciwym zachowaniom oraz innym naruszeniom naszych zasad postępowania. Dane osobowe możemy także przekazywać zewnętrznym usługodawcom, którzy udzielają nam wsparcia przy dodawaniu funkcji do Usług, produktów i/lub Platformy myPOS według naszego uznania i w naszym imieniu. Szczegółowe informacje znajdują się w sekcji 3 naszej Polityki prywatności.

Nasze usługi a dzieci

Jeśli nasza Polityka prywatności lub inny dokument prawny nie określa wyraźnie inaczej, nasze usługi nie są przeznaczone dla osób, które nie ukończyły 18 lat. W przypadku otrzymania potwierdzonego zgłoszenia o uzyskaniu przez nas danych osobowych od osoby w wieku poniżej 18 lat, dane te zostaną niezwłocznie usunięte, chyba że będziemy prawnie zobowiązani do ich zatrzymania.

Kontrola dostawców i partnerów

Wszyscy nasi obecni dostawcy przeszli kontrole, które potwierdziły, że spełniają oni wymagania bezpieczeństwa i ochrony danych określone przez RODO. W celu utrzymania zgodności, kontrole te będą przeprowadzane u wszystkich nowych dostawców. W przypadku, gdy przekazujemy, przechowujemy i przetwarzamy dane osobowe poza Europejskim Obszarem Gospodarczym, gwarantujemy odpowiednie zabezpieczenia mające na celu zapewnienie wystarczającego poziomu ochrony danych.

Współpracując z podmiotami spoza EOG, zawsze wymagamy, by nasi dostawcy byli zarejestrowani w programie Tarczy Prywatności (lub podobnym) bądź prezentowali nam wyniki przeglądów swoich środków ochrony danych.

Szyfrowanie i przechowywanie danych osobowych

Ponosimy odpowiedzialność za zapewnienie, by dane osobowe klienta były bezpieczne, przechowywane na serwerach w postaci zaszyfrowanej oraz kolokowane w specjalnych centrach danych w jurysdykcjach kategorii A na terenie Europy. Aby zapobiec uzyskaniu dostępu do danych przez osoby nieupoważnione, stosujemy fizyczne, elektroniczne i proceduralne zabezpieczenia, które spełniają obowiązujące wymogi prawne w zakresie ochrony prywatnych danych osobowych.

Praktyki z zakresu bezpieczeństwa dotyczące Rachunków myPOS zostały opisane w naszej Polityce prywatności.

Reagowanie na incydenty

Nasze procedury reagowania na incydenty zostały opracowane i przetestowane, aby zapewnić, że potencjalne naruszenia bezpieczeństwa zostaną zidentyfikowane i zgłoszone odpowiedniemu personelowi w celu ich zneutralizowania, personel przestrzega określonych protokołów rozwiązywania problemów bezpieczeństwa, a podejmowane przez nich działania zaradcze są na bieżąco dokumentowane i kontrolowane przez nasz Zespół ds. bezpieczeństwa. Ponadto pracujemy nad zaktualizowaniem tych zasad i procedur, by uwzględnić powiadamianie o naruszeniu bezpieczeństwa związanego z utratą lub nieupoważnionym dostępem do danych osobowych umożliwiających identyfikację (PII).

Zgodność plików cookie

Wykorzystujemy „pliki cookie” oraz inne technologie, gdy użytkownicy odwiedzają nasze witryny internetowe i korzystają z naszych aplikacji mobilnych. Wykorzystywanie tych plików odbywa się za zgodą użytkownika. Jeśli użytkownik chce cofnąć swoją zgodę na akceptowanie plików cookie i innych technologii, może on usunąć pliki cookie przy pomocy ustawień przeglądarki internetowej (instrukcja znajduje się w naszej Polityce plików cookie). Dodatkowe informacje o usuwaniu i blokowaniu plików cookie są dostępne na stronie http://www.allaboutcookies.org/manage-cookies/clear-cookies-installed.html

Nasze licencje i rejestracje

Świadczymy usługi finansowe w całej UE i EOG. myPOS Payments Ltd. jest licencjonowaną przez FCA instytucją pieniądza elektronicznego będącą częścią grupy i oferującą sprzedawcom rachunki i usługi finansowe. Nasz numer rejestracyjny jest dostępny u odpowiedniego organu nadzoru infrastruktury płatniczej, np. w brytyjskim Rejestrze Usług Płatniczych na stronie:

https://register.fca.org.uk/ShPo_FirmDetailsPage?id=001b000003tahppAAA