RegulatoryBridge Global Ltd. (77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland; регистрационный номер компании Pending - see CRO filing) ("RegulatoryBridge", "мы", "нас", "наш") является контролёром персональных данных, обрабатываемых в связи с настоящим веб-сайтом (regulatorybridge.com) и предоставляемыми нами услугами.

Специалист по защите данных (DPO): С нашим DPO можно связаться по адресу dpo@regulatorybridge.com или направить почтовое отправление по указанному выше юридическому адресу (с пометкой «Attn: Data Protection Officer»).

Представитель в ЕС (статья 27 GDPR): RegulatoryBridge EU Representative (to be appointed), Pending - to be designated under Article 27 GDPR — eu-rep@regulatorybridge.com.
Представитель в Великобритании (статья 27 UK GDPR): RegulatoryBridge UK Representative (to be appointed), Pending - to be designated under Article 27 UK GDPR — uk-rep@regulatorybridge.com.

Полную информацию о юридических лицах см. в нашем выходных данных / юридическом уведомлении.

Настоящая политика описывает, как мы обрабатываем персональные данные, когда вы (i) посещаете этот веб-сайт, (ii) запрашиваете информацию, демонстрацию или беседу с отделом продаж, (iii) регистрируетесь для использования наших услуг, (iv) подписываетесь на рассылки или (v) взаимодействуете с нами в качестве делового партнёра, поставщика или соискателя.

Когда мы предоставляем нашим клиентам услуги по представительству в сфере конфиденциальности или услуги специалиста по защите данных, наш клиент является контролёром персональных данных своих конечных пользователей, а RegulatoryBridge выступает в качестве обработчика в соответствии с отдельным Соглашением об обработке данных. Такая обработка регулируется действующим с клиентом DPA, а не настоящей политикой.

• Идентификационные и контактные данные — имя, рабочий адрес электронной почты, рабочий телефон, должность, работодатель, страна.
• Данные учётной записи — имя пользователя, хешированный пароль, настройки учётной записи, регистрация MFA.
• Служебные данные — запросы DSAR, сведения о нарушениях, оценки соответствия, записи ROPA и другие данные, которые вы загружаете для функционирования вашей программы соответствия.
• Платёжные данные — контактное лицо для выставления счетов, ИНН, платёжный адрес, история счетов. Данные платёжных карт обрабатываются нашим соответствующим стандарту PCI-DSS платёжным процессором и нами не хранятся.
• Данные об использовании и устройстве — IP-адрес (по возможности усечённый), браузер, тип устройства, URL источника перехода, просмотренные страницы, временные метки, события сеанса.
• Коммуникации — электронные письма, обращения в службу поддержки и заметки по звонкам отдела продаж или адаптации.
• Маркетинговые предпочтения — статус подписки, записи о согласии, временные метки отказа.
• Данные о рекрутинге (только если вы откликаетесь на вакансию) — резюме, история трудоустройства, рекомендации, показатели права на трудоустройство.

Мы не намеренно собираем данные особой категории (статья 9 GDPR) или конфиденциальную персональную информацию (CPRA, DPDPA) о потенциальных клиентах или посетителях веб-сайта. Если вы загружаете такие данные в наши услуги для целей обеспечения соответствия, применяются наши обязательства обработчика по DPA.

• Непосредственно от вас — формы, регистрация учётной записи, обращения в поддержку, звонки, электронные письма.
• Автоматически — через наш веб-сайт, продуктовую аналитику и журналирование безопасности.
• От третьих лиц — вашего работодателя (если вы указаны в качестве его контактного лица), общедоступных деловых справочников, спонсоров конференций, реферальных партнёров.

Приведённые ниже правовые основания ссылаются на статью 6 GDPR (и деловые цели CCPA/CPRA, где применимо):

Мы передаём персональные данные только сторонам, имеющим законную потребность в их получении:

• Облачная инфраструктура — AWS, Vercel, Cloudflare (CDN, периферийные вычисления, DDoS, WAF).
• Электронная почта и коммуникации — провайдеры транзакционной и маркетинговой электронной почты.
• Аналитика и продуктовая телеметрия — поставщик аналитики (только с вашего согласия).
• CRM и автоматизация продаж — для управления коммерческими отношениями.
• Обработка платежей — сертифицированный по PCI-DSS процессор.
• Профессиональные консультанты — аудиторы, бухгалтеры, юристы, страховщики под обязательствами о конфиденциальности.
• Регуляторы или суды — только когда это требуется по закону или с вашего согласия.

Актуальный список субобработчиков доступен по запросу по адресу dpo@regulatorybridge.com. Мы уведомляем клиентов о существенных изменениях субобработчиков в соответствии с применимым DPA.

Мы можем передавать персональные данные за пределы вашей страны проживания. Если место назначения не охватывается решением об адекватности ЕС/Великобритании/Швейцарии, мы полагаемся на надлежащие гарантии в соответствии со ст. 46 GDPR:

• Стандартные договорные положения (SCC), утверждённые Европейской комиссией, дополненные Приложением Великобритании или IDTA для передач в Великобританию.
• Обязательные корпоративные правила с внутригрупповыми получателями, где они действуют.
• Оценки воздействия передачи в соответствии с Schrems II для вызывающих озабоченность мест назначения.

Для субъектов данных в Индии в соответствии с DPDPA трансграничная передача осуществляется только в юрисдикции, не ограниченные Центральным правительством. Для Бразилии (LGPD) передачи опираются на одобренные ANPD механизмы (Резолюция 19/2024). Для Японии (APPI) передачи осуществляются с согласия или при наличии договорённостей об эквивалентной защите. Копия применимого к вашим данным механизма передачи доступна по запросу.

• Данные учётной записи — срок действия договора плюс 90 дней для экспорта.
• Платёжные записи — минимальный установленный законом срок хранения (обычно 6–10 лет для налогового/бухгалтерского учёта в большинстве юрисдикций).
• Обращения в поддержку — 3 года после разрешения.
• Данные маркетингового списка — до отзыва вами согласия, затем 30 дней для распространения по системе.
• Журналы безопасности и аудита — 12 месяцев по умолчанию (дольше, где требует закон).
• Данные о рекрутинге — 12 месяцев после закрытия вакансии (дольше с вашего согласия).

Мы внедряем технические и организационные меры, соответствующие риску, включая:

• Шифрование при передаче (TLS 1.2+) и в состоянии покоя (AES-256 или эквивалент).
• Ролевой доступ по принципу наименьших привилегий, MFA для административного доступа, требование аппаратного ключа для доступа к производственной среде.
• Непрерывное журналирование, обнаружение аномалий и реагирование на инциденты в режиме 24×7.
• Ежегодное тестирование на проникновение и ежеквартальное сканирование уязвимостей.
• Сопоставление средств контроля SOC 2 Type II и ISO 27001 (сертификации в процессе там, где применимо).
• Оценки рисков поставщиков перед привлечением любого субобработчика.

Несмотря на все средства контроля, ни одна система не является идеально защищённой. Если нарушение затронет ваши персональные данные, мы уведомим вас и/или компетентный надзорный орган в соответствии с применимым законодательством.

• Доступ — подтверждение обработки и копия ваших данных.
• Исправление — исправление неточных или неполных данных.
• Удаление — удаление в определённых обстоятельствах.
• Ограничение — приостановка обработки на время разрешения спора.
• Переносимость — получение ваших данных в структурированном, широко используемом формате.
• Возражение — против обработки на основании законных интересов или прямого маркетинга.
• Отзыв согласия — в любое время, так же легко, как вы его дали.
• Не подвергаться исключительно автоматизированному решению, влекущему правовые или аналогичные существенные последствия.

Для осуществления любого из этих прав свяжитесь с dpo@regulatorybridge.com. Мы отвечаем в течение одного месяца (срок может быть продлён на два месяца для сложных запросов). Если мы не сможем подтвердить вашу личность, мы запросим дополнительную информацию.

Калифорния (CCPA / CPRA). Потребители Калифорнии также имеют права знать, удалять, исправлять, отказываться от продажи или передачи персональной информации, ограничивать использование конфиденциальной персональной информации и не подвергаться дискриминации за осуществление прав. Мы учитываем сигналы Global Privacy Control. За предыдущие 12 месяцев мы не продавали персональную информацию. Для осуществления прав CCPA напишите на privacy@regulatorybridge.com.

Индия (DPDPA). Субъекты данных имеют права на доступ, исправление/дополнение/обновление, удаление, рассмотрение жалоб и номинирование, а также могут отозвать согласие в любое время. Свяжитесь с dpo-india@regulatorybridge.com.

Великобритания (UK GDPR). Вы можете подать жалобу в Управление комиссара по информации (ico.org.uk).

Бразилия (LGPD). Вы можете осуществить права, изложенные в статье 18 LGPD, направив письмо нашему Encarregado по адресу encarregado@regulatorybridge.com; вы также можете обратиться в ANPD.

Сингапур (PDPA). Наш DPO является контактным лицом по вопросам доступа, исправления и отзыва согласия в соответствии с PDPA.

Япония (APPI). Вы можете запросить раскрытие, исправление, прекращение или удаление в соответствии со статьями 28–35 APPI, обратившись к нашему Управляющему персональной информацией по адресу appi@regulatorybridge.com.

Швейцария (revFADP). Применяются эквивалентные права; жалобы могут быть поданы в FDPIC.

Наши услуги не предназначены для детей младше 16 лет, и мы сознательно не собираем персональные данные от лиц, которых считаем младше 16 лет. Если вы полагаете, что ребёнок предоставил нам персональные данные, свяжитесь с dpo@regulatorybridge.com, и мы незамедлительно их удалим. Когда клиенты обрабатывают данные детей с использованием наших услуг, клиент несёт ответственность за получение требуемого согласия родителей.

Мы не используем исключительно автоматизированное принятие решений, которое влечёт правовые последствия или аналогичным образом существенно влияет на вас. Некоторые операционные системы (например, фильтрация спама, обнаружение аномалий) применяют автоматизированную логику под контролем человека. В случае изменения этого мы обновим настоящую политику и получим согласие или другое правовое основание по мере необходимости.

Мы используем файлы cookie для: (i) необходимых функций, таких как маршрутизация, безопасность и непрерывность сеанса; (ii) необязательной аналитики — только с вашего согласия; (iii) необязательного маркетинга — только с вашего согласия. Вы управляете своим выбором через баннер cookie, отображаемый при первом посещении, и в любое время через «Настройки cookie» в нижнем колонтитуле (ссылка скоро появится). Подробную информацию о конкретных файлах cookie, сроках и поставщиках см. в нашем готовящемся Уведомлении о файлах cookie.

Мы хотели бы получить возможность сначала решить вашу проблему — напишите на dpo@regulatorybridge.com. Вы также имеете право подать жалобу в ваш местный надзорный орган. Органом по защите данных нашего основного места деятельности является Data Protection Commission (Ireland).

Мы можем время от времени обновлять настоящую политику. О существенных изменениях будет объявлено на этой странице и, где это уместно, по электронной почте или через уведомление в продукте не менее чем за 14 дней до их вступления в силу. Версия и дата в верхней части этой страницы указывают на текущую редакцию.

Электронная почта: privacy@regulatorybridge.com
Специалист по защите данных (DPO): dpo@regulatorybridge.com
Почта: RegulatoryBridge Global Ltd., Attn: Data Protection Officer, 77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland.