Политика конфиденциальности

Дата вступления в силу: 14 мая 2026 · Версия 1.0

Кратко: мы собираем минимум данных, нужных для работы платформы и соответствия требованиям. Мы не продаём ваши данные. Большинство финансовых данных хранит наш партнёр Bridge.xyz, а не мы. Вы можете запросить копию своих данных или их удаление в любой момент.

1. О документе

Эта Политика описывает, как Areg Money LLC, юр.лицо штата Вайоминг («Areg», «мы», «нас», «наш»), собирает, использует, передаёт и защищает ваши персональные данные при использовании сайта https://aregmoney.com и платформы Areg Money (далее — «Сервисы Areg»).

Документ соответствует:

Регламенту GDPR (Регламент ЕС 2016/679);
UK GDPR и Data Protection Act 2018;
Калифорнийскому CCPA с поправками CPRA;
Законам о приватности других штатов США (VCDPA Вирджинии, CPA Колорадо, CTDPA Коннектикута, UCPA Юты, Техас, Орегон и др.);
Связке MiCA с GDPR в части приватности;
Другим применимым законам о защите данных.

Если у вас есть вопросы или вы хотите воспользоваться своими правами — пишите на privacy@aregmoney.com.

2. Контролёр данных и DPO

2.1 Контролёр

Контролёр персональных данных, обрабатываемых через Сервисы:

Areg Money LLC
Cheyenne, Wyoming, United States
Email: privacy@aregmoney.com

2.2 Представитель в ЕС / ЕЭП

Где это требует Статья 27 GDPR, мы назначим представителя в ЕС и обновим этот раздел.

2.3 Data Protection Officer (DPO)

В настоящее время DPO по Статье 37 GDPR обязательно не требуется. Мы тем не менее назначили контакт по приватности: privacy@aregmoney.com. Если масштаб обработки достигнет уровня, при котором DPO нужен — мы его назначим.

3. Какие данные мы собираем

3.1 Данные, которые вы предоставляете напрямую

При создании учётной записи, прохождении проверки или использовании функций вы можете предоставить:

Идентификация: полное имя, дата рождения, пол, гражданство, фото, номер документа, изображение паспорта / национального ID / водительских прав, селфи / liveness.
Контакты: email, телефон, почтовый адрес.
Бизнес-данные (KYB): название компании, регистрационный номер, юридический адрес, устав, декларации бенефициаров, данные директоров и должностных лиц.
Финансовые данные: банковские реквизиты или данные карты (при регистрации направления для вывода — собираются Bridge, у Areg в исходной форме не хранятся), налоговые идентификаторы, декларации об источнике средств.
Аутентификация: пароль (в виде хеша), секреты 2FA.
Контент: списки команды, описания контракторов, позиции счетов, внутренние заметки, которые вы вносите в Платформу.
Коммуникации: содержимое писем, тикетов поддержки, любых сообщений нам.

3.2 Данные, собираемые автоматически

При использовании Сервисов автоматически собираются:

Устройство и подключение: IP-адрес, user-agent, тип устройства, ОС, тип и версия браузера, язык, часовой пояс.
Использование: посещённые страницы, использованные функции, клики, длительность сессии, реферер, логи ошибок.
Cookies и аналогичные технологии: описаны в Политике cookies.
Геолокация: приблизительная по IP-адресу (точные GPS-координаты не собираем).

3.3 Данные от третьих сторон

Мы получаем данные от:

Bridge.xyz — статус проверки, записи транзакций, идентификаторы кошельков, баланс, решения KYC/AML;
Провайдеров идентификации (Sumsub, Persona) — результаты проверки, сигналы риска мошенничества;
Провайдеров проверки санкций и политически значимых лиц — результаты совпадений по санкционным спискам, спискам политически значимых лиц и негативным упоминаниям в СМИ;
Платёжных партнёров — подтверждение входящих / исходящих транзакций, валидация счёта;
Провайдеров аутентификации (Clerk) — события входа, подтверждения связи аккаунтов;
Маркетинговых и аналитических провайдеров — агрегированный трафик сайта и данные конверсии;
Публично доступных источников — реестры компаний, соцсети, публичные записи (для обогащения KYB).

4. Как мы используем данные и юридические основания

Под GDPR ст. 6 мы обрабатываем ваши данные по следующим основаниям:

Создание и обслуживание вашей учётной записи, оказание Сервисов, поддержка — исполнение договора (ст. 6(1)(б)).
Проверка личности, предотвращение мошенничества, проверки против санкционных списков, списков политически значимых лиц и негативных упоминаний в СМИ — соблюдение обязательства закона (ст. 6(1)(в)); законный интерес в предотвращении мошенничества (ст. 6(1)(е)).
Соблюдение AML, антитеррористических и налоговых обязательств — соблюдение обязательства закона (ст. 6(1)(в)).
Обнаружение, расследование и предотвращение инцидентов безопасности, злоупотреблений, противоправной деятельности — законный интерес в безопасности платформы (ст. 6(1)(е)).
Отправка сервисных уведомлений, транзакционных писем, оповещений по учётной записи — исполнение договора (ст. 6(1)(б)).
Отправка маркетинговых писем (если вы не отказались) и продуктовых обновлений — законный интерес в продвижении услуг (ст. 6(1)(е)); согласие где требуется (ст. 6(1)(а)).
Улучшение и развитие Сервисов, аналитика — законный интерес в улучшении продукта (ст. 6(1)(е)).
Обеспечение исполнения Условий, разрешение споров, защита юридических претензий — законный интерес в защите прав (ст. 6(1)(е)).
Соблюдение постановлений судов, запросов властей, применимого законодательства — соблюдение обязательства закона (ст. 6(1)(в)).

Для специальных категорий данных (например, биометрии из селфи / liveness) основания:

Явное согласие (ст. 9(2)(а)) при отправке материалов проверки;
Существенный публичный интерес в предотвращении финансовых преступлений (ст. 9(2)(g)) где разрешено законом.

5. Кому мы передаём данные

Передача только тщательно выбранным третьим лицам по необходимости.

5.1 Bridge.xyz и его субпроцессоры

Bridge — регулируемый поставщик финансовых сервисов, который обеспечивает кошелёк, KYC и инфраструктуру движения денег. Bridge обрабатывает данные как отдельный контролёр по собственной политике конфиденциальности на https://www.bridge.xyz/legal.

Bridge привлекает субпроцессоров, включая:

Sumsub (Sum and Substance Ltd., UK) — идентификация и AML-скрининг;
Persona (Persona Identities, Inc., USA) — идентификация;
Chainalysis (USA) — блокчейн-аналитика и санкционный скрининг;
Банковских партнёров и эмитентов карт где применимо.

5.2 Субпроцессоры Areg

Мы привлекаем следующих субпроцессоров как обработчиков данных по ст. 28 GDPR (список актуален на дату вступления в силу; обновляется на aregmoney.com/legal/privacy-policy):

Vercel Inc. — хостинг, CDN, Web Analytics, Speed Insights (USA; SCC + дополнительные меры).
Supabase Inc. — managed Postgres (USA или EU по региону; SCC).
Clerk — аутентификация (USA; SCC).
Resend — транзакционная почта (USA; SCC).
Cloudflare — DNS, CDN, защита от DDoS (Global; SCC).
Stripe — обработка платежей за комиссии Areg (если применимо) (USA; SCC).
Anthropic / OpenAI — AI-инструменты для поддержки с no-training clause на клиентские данные (USA; SCC + no-training clause).
PostHog или аналогичный провайдер — продуктовая аналитика (USA или EU; SCC).

Каждый субпроцессор обязан поддерживать надлежащие технические и организационные меры и обрабатывать данные только по нашим документированным инструкциям.

5.3 Другие получатели

Государственные органы, регуляторы, суды, правоохранительные органы — когда мы юридически обязаны раскрыть, или когда добросовестно считаем, что раскрытие необходимо для защиты прав, собственности или безопасности.
Профессиональные консультанты — юристы, бухгалтеры, аудиторы, страховщики — под обязательствами конфиденциальности.
Приобретатели в корпоративных сделках — при слиянии, поглощении, финансировании или продаже активов, с сохранением конфиденциальности и защиты ваших данных.
Другие Пользователи — ограниченная информация, необходимая для завершения транзакции (например, имя получателя отправителю).

Мы не продаём ваши данные в смысле CCPA, GDPR или любого применимого закона. Мы не занимаемся cross-context behavioral advertising.

6. Международные передачи

Areg находится в США. Bridge и большинство наших субпроцессоров — тоже в США.

При передаче персональных данных лиц из ЕС, ЕЭП, Великобритании или Швейцарии за пределы этих регионов мы опираемся на одно или несколько из следующих оснований:

Сертификация по EU-US Data Privacy Framework (где получатель сертифицирован);
Стандартные договорные положения (SCC), утверждённые Еврокомиссией;
UK International Data Transfer Addendum (IDTA) или UK Addendum к SCC;
Решения об адекватности по ст. 45 GDPR (где применимо);
Дополнительные меры — шифрование в передаче и при хранении, контроль доступа, договорные ограничения на раскрытие правительствам сверх требуемого законом.

Копию действующих SCC можно запросить на privacy@aregmoney.com.

7. Сроки хранения

Мы храним данные столько, сколько нужно для цели сбора, или сколько требует закон.

Профиль учётной записи (имя, контакты, логин): длительность аккаунта + 5 лет после закрытия.
KYC/KYB документы и данные: 5 лет с конца деловых отношений (AML в ЕС, UK, US).
Записи и метаданные транзакций: 5 лет с даты транзакции; дольше — где требует налоговое или бухгалтерское законодательство.
Коммуникации (тикеты поддержки, email): 3 года с даты сообщения.
Cookies и сессионные данные: см. Политику cookies (большинство сессионных cookies истекают при выходе).
Маркетинговые данные (подписки на рассылку): до отписки или 3 года неактивности, что наступит раньше.
Серверные логи и security telemetry: 12 месяцев.
Бэкапы: до 90 дней; данные в бэкапах восстанавливаются только при disaster recovery.

Когда данные больше не нужны, мы их удаляем или необратимо анонимизируем для использования в агрегированной аналитике без идентификации вас.

8. Ваши права

8.1 Права по GDPR / UK GDPR

Если вы находитесь в ЕС, ЕЭП, Великобритании или Швейцарии, у вас есть следующие права при выполнении применимых условий:

Право доступа (ст. 15) — получить подтверждение и копию ваших данных у нас.
Право на исправление (ст. 16) — исправить неточные или неполные данные.
Право на удаление (ст. 17, «право на забвение») — запросить удаление с учётом юридических обязательств хранения (например, 5-летние AML-записи нельзя удалить раньше).
Право на ограничение (ст. 18) — ограничить обработку в определённых обстоятельствах.
Право на переносимость данных (ст. 20) — получить ваши данные в структурированном, машиночитаемом формате.
Право на возражение (ст. 21) — возразить против обработки на основании законного интереса, включая прямой маркетинг.
Право не быть объектом автоматизированных решений (ст. 22) — мы используем автоматическую проверку на мошенничество и санкции; у вас есть право требовать человеческого пересмотра любого решения с юридическим или существенным эффектом.
Право отозвать согласие (ст. 7) — в любое время; это не влияет на законность обработки до отзыва.
Право подать жалобу в местный надзорный орган. Список органов в ЕС — на edpb.europa.eu.

Чтобы воспользоваться правами, пишите на privacy@aregmoney.com. Ответим в течение одного месяца (с возможностью продления ещё на 2 месяца для сложных запросов).

8.2 Права по CCPA/CPRA (Калифорния)

Если вы резидент Калифорнии, у вас есть право:

знать, какие категории данных мы собираем, откуда, для чего и кому передаём;
получить доступ к конкретным данным о вас;
удалить данные с учётом исключений по обязательствам хранения;
исправить неточные данные;
отказаться от продажи или «sharing» данных — мы не продаём и не shar'им в смысле CCPA;
ограничить использование sensitive personal information;
не подвергаться дискриминации за реализацию прав.

Чтобы воспользоваться, пишите на privacy@aregmoney.com.

8.3 Другие штаты США

Жители Вирджинии, Колорадо, Коннектикута, Юты, Техаса, Орегона и других штатов с применимыми законами имеют аналогичные права — доступ, удаление, исправление, переносимость (где применимо), отказ от targeted advertising и profiling.

8.4 Уполномоченные агенты

Вы можете воспользоваться правами через уполномоченного агента. Мы потребуем письменного подтверждения полномочий и подтверждения вашей личности.

9. Безопасность

Мы внедряем разумные технические и организационные меры:

Шифрование в передаче (TLS 1.2+) и при хранении (AES-256 или эквивалент);
Контроль доступа — role-based и least-privilege;
Многофакторная аутентификация для сотрудников и административного доступа;
Сегментация сети и firewall;
Регулярные security-обзоры — code review, dependency scanning, vulnerability monitoring;
Процедуры реагирования на инциденты — включая уведомление надзорным органам в течение 72 часов по ст. 33 GDPR;
Due diligence субпроцессоров — договорно требуем эквивалентных мер.

Ни одна система не защищена на 100%. При подозрении компрометации аккаунта пишите на security@aregmoney.com.

10. Дети

Сервисы Areg не направлены на детей младше 18 лет. Мы заведомо не собираем данные несовершеннолетних. Если мы узнаем о таком сборе — удалим данные. Родители и опекуны могут связаться с нами по privacy@aregmoney.com.

11. Автоматизированные решения

Мы используем автоматические системы для:

Проверки личности (KYC) — Bridge и его провайдеры сравнивают ваши документы с внешними базами. Отрицательный результат можно оспорить и запросить человеческий пересмотр.
Проверки санкционных списков, политически значимых лиц и негативных упоминаний в СМИ — совпадения проверяются сотрудниками по соответствию требованиям; у вас есть право человеческого пересмотра любого отказа.
Обнаружения мошенничества и необычной активности — паттерны выше порога риска могут вызвать заморозку транзакции или проверку аккаунта; вы можете запросить человеческий пересмотр.

Информацию о логике, значимости и последствиях этих решений можно запросить на privacy@aregmoney.com.

12. Cookies

Используем cookies и аналогичные технологии. Подробности — в Политике cookies.

Категории:

Строго необходимые — для работы платформы (аутентификация, безопасность). Согласие не требуется.
Функциональные — preference cookies (язык, регион).
Аналитические — Vercel Web Analytics, Speed Insights, опционально PostHog.
Маркетинговые — только с вашего согласия.

Пользователям в ЕС / UK показываем cookie-баннер перед установкой неосновных cookies.

13. Прямой маркетинг

Мы можем отправлять продуктовые обновления, рассылки, анонсы. Отписаться можно в любое время:

Кликом «unsubscribe» в любом маркетинговом письме;
Письмом на privacy@aregmoney.com.

Транзакционные письма (подтверждения, security alert'ы, чеки транзакций) не относятся к маркетингу и неотключаемы пока существует аккаунт.

Cross-context behavioral advertising не ведём.

14. Изменения политики

Мы можем периодически обновлять Политику. О существенных изменениях уведомляем по email минимум за 14 дней до вступления в силу. Дата «Последнее обновление» в начале документа обновляется.

Рекомендуем периодически просматривать Политику.

15. Контакты

По любым вопросам приватности, запросам или жалобам:

Email: privacy@aregmoney.com
Инциденты безопасности: security@aregmoney.com
Юридические вопросы: legal@aregmoney.com
Почтовый адрес: Areg Money LLC, Cheyenne, Wyoming, United States

Также можно подать жалобу в местный надзорный орган. Резиденты ЕС — в орган своей страны; UK — в Information Commissioner's Office (ICO) на https://ico.org.uk.