LHV Bank Limited (lhv.com) Adatvédelmi szabályzat — 62/100 (Közepes adatvédelmi kockázat)
Utolsó elemzés
LHV Bank Limited · lhv.com
Jelentés részletei
Közepes adatvédelmi kockázatAz LHV Bank széles körű személyes és pénzügyi adatokat gyűjt, amelyek nagy részét megosztja csalásmegelőzési ügynökségekkel és fizetési közvetítőkkel, valamint nagymértékben támaszkodik a jogszerű érdekre marketing- és elemző célokra – de lefedi az Általános Adatvédelmi Rendelet (GDPR) jogait, és kézi felülvizsgálatot alkalmaz a profilozás alapú döntések esetén.
Az LHV Bank Limited adatvédelmi irányelve tipikus egy UK-alapú pénzügyi intézményre, amelynek kiterjedt szabályozási kötelezettségei vannak (AML, KYC, csalásmegelőzés). Átlátszó a CRÁK-kal (hitelinformációs ügynökségek) és a Csalásmegelőzési Ügynökségekkel való adatok megosztásában, valamint közös adatkezelő megállapodásokat közöl az AS LHV Pank és a SWIFT tekintetében. Ugyanakkor széles körben támaszkodik a jogszerű érdekre marketing, elemzés és negatív hírek szűrésére; nem ad meg konkrét adattárolási időtartamokat; lemond a felelősségről bizonyos nemzetközi adattranszferek esetében; és teljesen hallgat az AI/modellképzésről. Az irányelv részletes, de több kritikus hiányossággal rendelkezik, amelyek gyengítik a felhasználók bizalmát.
Kategória szerinti értékelés
A szabályzat bontása a fő megfelelőségi területekre. Jó = erős, közepes = vegyes, gyenge = aggasztó.
Az irányelv kijelenti, hogy ésszerű lépéseket tesz az adatok feldolgozásának a szükségesre való korlátozására, de a gyűjtött kategóriák rendkívül szélesek, ideértve a tartalmi/reklám interakciós adatokat, a közösségi média monitorozást és a szakmai előzményeket.
Az irányelv részletes, célonkénti jogi alapok táblázattal, de kritikus részletek, mint a konkrét adattárolási időtartamok és a feldolgozók teljes listája hiányoznak vagy csak külső hivatkozásként vannak megadva.
Az adatok széles körű harmadik felekhez kerülnek továbbításra, ideértve a hitelinformációs ügynökségeket, a csalásmegelőzési ügynökségeket, a SWIFT-et közös adatkezelőként, felhőszolgáltatókat, reklámszolgáltatókat és fizetési rendszerek résztvevőit – jelentősen érintve az érintett személyek jogait.
Az SCC-ket használják a nem megfelelő joghatóságú transzferek esetében, de az irányelv figyelmeztet, hogy a korrespondens bankok alacsony adatvédelmi szintű országokban nem biztosítanak ekvivalens védelmet, és lemond a felelősségről a nem-EGT LHV Csoport entitásokhoz történő közvetlen transzferek esetében.
Az irányelv teljesen hallgat arról, hogy a személyes adatok használata-e AI vagy modellképzés céljára, és nem említ opt-out mechanizmusokat.
Az összes szokásos GDPR jog egyértelműen felsorolt, ideértve a jogszerű érdekre vonatkozó kérések jogát is, egy hónapos válaszhatáridővel és díjmentesen az hozzáférési kérések esetében.
Fő megállapítások
Fontos záradékok, problémák vagy jó gyakorlatok (kritikusak először)
A Csalásmegelőzési Ügynökségek akár hat évig is tárolhatják az adatokat jelentő következményekkel
A Csalásmegelőzési Ügynökségek irányelve szerint, ha csalás vagy pénzmosási kockázatnak tekintenek, az adataidat akár hat évig is tárolhatják, és ez 'ahhoz vezethet, hogy mások megtagadják a szolgáltatások, finanszírozás vagy foglalkoztatás nyújtását irántad.' Ez egy nagy hatású adatok megosztási megállapodás korlátozott egyéni jogorvoslattal.
Nincsenek megadva konkrét adattárolási időtartamok
A 12. szakasz szerint az adatok 'csak addig kerülnek tárolásra, ameddig jogszerű célokhoz szükségesek', de nem tartalmaz konkrét adattárolási ütemezeteket vagy időkereteket, ami lehetetlenné teszi az érintett személyek számára, hogy megértsék, meddig maradnak fenn adataik.
Széles körű támaszkodás a jogszerű érdekre marketing és elemzés céljára
A 6. szakasz a jogszerű érdeket jelöli meg jogi alapként a vállalati ügyfeleknek szóló marketing, az adatelemzés a termékek/szolgáltatások/weblap javítása céljából, valamint a termékek/szolgáltatások javaslatainak és ajánlatainak tétele céljából. Az egyensúlyi teszt eredményei nem kerülnek közzét egy általános kijelentésen túl, hogy a jogszerű érdekek 'nem kerülnek felülbírálásra'.
Felelősség elutasítása a nem-EGT LHV Csoport entitásokhoz történő közvetlen transzferek esetében
A 8. szakasz szerint: 'amikor bármilyen személyes adatot közvetlenül továbbítasz bármely nem-EGT vagy nem-UK (az alkalmazható szerint) LHV Csoport entitásnak, mi nem vagyunk felelősek az adott személyes adatok továbbításáért.' Ez megkísérli elkerülni az adatkezelő felelősségét a csoporton belüli transzferek esetében.
Két hetes késleltetés a marketing leiratkozás kéréseinek feldolgozásában
A 17. szakasz szerint 'akár két hétig is eltarthat a leiratkozás kérésed feldolgozása, ezalatt továbbra is kaphatsz tőlünk kommunikációkat', ami egy aránytalanul hosszú késleltetés egy automatizált leiratkozás mechanizmusa esetében.
A tartalmi és reklámadatok gyűjtése magában foglalja a részletes interakciókövetést
A 5. szakasz felsorolja, hogy 'egérmozgás, egérkattintások, bármilyen űrlap, amit teljes egészében vagy részben kitöltesz' és 'bármilyen érintőképernyős interakció' tartozik a tartalmi és reklámadatokhoz, amelyek feldolgozása túllép a banki szolgáltatás szokásos szükségletein.
A SWIFT-tel való közös adatkezelő megállapodás nem részletezett az irányelvben
A 7. szakasz szerint az LHV és a SWIFT közös adatkezelőként működik a fizetési üzenetküldő szolgáltatás esetében, de a felhasználókat egy külső linkre irányítja a SWIFT felelősségeinek megértéséhez, ami nehézzé teszi a teljes megállapodás megértését az irányelvön belül.
Összefoglaló a felhasználónak
A pénzügyi és személyes adataidat számos harmadik féllel osztják meg, ideértve a hitelinformációs és csalásmegelőzési ügynökségeket is, amelyek akár hat évig is tárolhatják azokat. Ellenzkedhetsz vagy törlésre kérhetsz, de a bank széles körű jogszerű érdekre való hivatkozása és a világos adattárolási határidők hiánya azt jelenti, hogy az adataid hosszabb ideig is fennmaradhatnak, mint amire számítanál.
Megfelelőségi helyzet
Az LHV Bank mutatja, hogy tisztában van az Általános Adatvédelmi Rendelet (GDPR)/UK GDPR kötelezettségeivel – kinevez egy adatvédelmi tisztviselőt, leírja a jogi alapokat, és hivatkozik az SCC-kre (Standard Contractual Clauses) a transzferek esetében. Ugyanakkor a konkrét adattárolási időtartamok hiánya, a marketingre vonatkozó széles körű jogszerű érdekre való támaszkodás, valamint a felelősség elutasítása a nem-EGT LHV Csoport entitásokhoz történő közvetlen transzferek esetében olyan compliance-gyengeségek, amelyeket a szabályozó hatóságok vizsgálhatnak.
EU-s átvitelek
Az adatok főként az Egyesült Királyságban és Éesztországban kerülnek feldolgozásra. Az EGT/UK-n kívüli transzferek Standard Contractual Clauses (SCC) használatával történnek, de az irányelv kifejezetten figyelmeztet, hogy a korrespondens bankok alacsony adatvédelmi szintű országokban nem biztosítanak ekvivalens jogokat, és lemond a felelősségről a felhasználók által a nem-EGT LHV entitásokhoz történő közvetlen transzferek esetében. Ez egy jelentős hiányosság.
Észlelt jelek
A szövegben azonosított konkrét adatok és gyakorlatok
Bizonyító részletek
Közvetlen idézetek a szabályzatból e megállapítások alátámasztására
We take every reasonable step to ensure that your Personal Data are only retained for as long as they are needed in connection with a lawful purpose.
if you are considered to pose a fraud or money laundering risk, your data can be held for up to six years
when you transfer any Personal Data directly to any LHV Group entity established outside the EEA or the UK (as applicable), we are not responsible for that transfer of your Personal Data
it may take up to 2 weeks to process your unsubscribe request during which time you may continue to receive communications from us
records of your interactions with our online advertising and content, records of advertising and content displayed on pages displayed to you, and any interaction you may have had with such content or advertising (e.g., mouse hover, mouse clicks, any forms you complete in whole or in part)
Hiányzó vagy nem egyértelmű
- Konkrét adattárolási időtartamok minden feldolgozási célra
- AI vagy gépi tanulási modellképzési irányelv és opt-out mechanizmus
- A feldolgozók és alfeldolgozók teljes listája
- Részletes jogszerű érdekre vonatkozó egyensúlyi tesztek
- Sütik irányelveinek részletei (hivatkozott, de nem mellékelt)
- Adatsértési értesítési eljárások
- Adatvédelmi hatásvizsgálati összefoglalók
Felteendő kérdések
- Mik a konkrét adattárolási időtartamok minden személyes adatok kategóriájára és feldolgozási célra?
- Hol szerezhetjük be a feldolgozók és harmadik fél címzettek teljes, aktuális listáját?
- Van-e dokumentált jogszerű érdekre vonatkozó egyensúlyi teszt a vállalati ügyfeleknek szóló marketing és az adatelemzés céljára, és megosztható-e kérésre?
- Milyen védelmi intézkedések vonatkoznak konkrétan, amikor a személyes adatok korrespondens bankokhoz kerülnek továbbításra alacsony adatvédelmi szintű országokban?
- Használnak-e személyes adatokat AI-modellek, gépi tanulási rendszerek vagy algoritmusfejlesztés képzésére, és ha igen, van-e opt-out lehetőség?
- Hogyan biztosítja az LHV Bank, hogy a két hetes leiratkozás késleltetése arányos és megfelel a közvetlen marketing elleni tiltakozás jogához?
- Milyen konkrét kézi felülvizsgálati folyamatok vannak érvényben a profilozás alapú döntések (pl. fizetés blokkolása) hatályba lépése előtt?
Elemzés megosztása
Bárki, aki rendelkezik ezzel a linkkel, megtekintheti a fenti eredményt.
A DentroChat készítette
100%-ban európai AI chat mindenkinek
Csevegj AI-val, dolgozz fájlokkal, generálj képeket és keress a weben. Az adatok Európában maradnak.
További elemzett adatvédelmi irányelvek
Összes megtekintéseapp.klang.ai
62/100
Közepes adatvédelmi kockázatA Klang AI érzékeny hang- és videotartalmakat gyűjt, megosztja ezeket több AI-szolgáltatóval, és fenntartja magának a jogot, hogy a feltöltött adataidat saját algoritmusainak fejlesztésére használja anélkül, hogy lehetőséget biztosítana a lemondásra – bár a feldolgozás nagy részét az EU-n belül tartja, és nullás adattárolási politikát alkalmaz AI-alvállalkozóival.
Jelentés megtekintése →cursor.com
62/100
Közepes adatvédelmi kockázatA Cursor (Anysphere) ígéretet tesz arra, hogy alapértelmezés szerint nem használja a kódbeviteli adataidat AI-képzésre, és nem adja el az adataidat, de széles körű személyes és használati adatokat gyűjt, azokat az Egyesült Államokba küldi homályos átviteli garanciákkal, és nem tisztázza kulcsfontosságú részleteket, mint a tárolási időtartamok vagy a jogi alapok.
Jelentés megtekintése →eustella.com
62/100
Közepes adatvédelmi kockázateustella erős adatvédelmi ígéreteket tesz — nem adnak el adatokat, nem osztanak meg harmadik féllel, nem képeznek AI-t az adataidból, és minden feldolgozás az EU-ban marad — de ez marketing szöveg, nem kötelező érvényű adatvédelmi szabályzat, és a kritikus részletek az adatgyűjtésről, adatmegőrzésről, al-feldolgozókról és felhasználói jogokról hiányoznak a megadott szövegből.
Jelentés megtekintése →cake.com
62/100
Közepes adatvédelmi kockázatA CAKE.com az EU standard adatok jogait és az adatok átvitelének védelmét biztosítja, de nagyon invazív munkahelyi megfigyelési adatokat gyűjt – például képernyőképeket, háttérben történő helymeghatározást és alkalmazások használatát – a munkaadók megbízásából, akik az alkalmazottaik adatait kezelik.
Jelentés megtekintése →