LHV Bank Limited (lhv.com) Polityka prywatności — 62/100 (Średnie ryzyko prywatności)
Ostatnia analiza
LHV Bank Limited · lhv.com
Szczegóły raportu
Średnie ryzyko prywatnościLHV Bank zbiera szeroki zakres danych osobowych i finansowych, dzieli się nimi z agencjami zapobiegającymi oszustwom oraz pośrednikami płatniczymi i w dużym stopniu opiera się na uzasadnionym interesie w celach marketingowych i analitycznych — jednak uwzględnia prawa wynikające z RODO (Ogólne rozporządzenie o ochronie danych) i stosuje ręczną weryfikację w przypadku decyzji opartych na profilowaniu.
Polityka prywatności LHV Bank Limited jest typowa dla brytyjskiej instytucji finansowej z rozległymi obowiązkami regulacyjnymi (AML, KYC, zapobieganie oszustwom). Jest przejrzysta w kwestii udostępniania danych biurom informacji gospodarczej (CRAs) i agencjom zapobiegającym oszustwom oraz ujawnia wspólne administrowanie danymi z AS LHV Pank i SWIFT. Jednak szeroko opiera się na uzasadnionym interesie w celach takich jak marketing, analityka i sprawdzanie negatywnych informacji; nie podaje konkretnych okresów przechowywania danych; zrzeka się odpowiedzialności za niektóre międzynarodowe transfery; i w ogóle nie porusza kwestii szkolenia AI/modeli. Polityka jest szczegółowa, ale pozostawia kilka krytycznych luk, które osłabiają zaufanie użytkowników.
Ocena według kategorii
Podział polityki na kluczowe obszary zgodności. Dobry = silny, umiarkowany = mieszany, słaby = niepokojący.
Polityka stwierdza, że podejmuje rozsądne kroki, aby ograniczyć przetwarzanie do tego, co konieczne, ale kategorie zbieranych danych są niezwykle szerokie, w tym dane dotyczące interakcji z treściami/reklamami, monitorowanie mediów społecznościowych i historia zawodowa.
Polityka jest szczegółowa, z tabelą podstaw prawnych dla każdego celu, ale brakuje w niej kluczowych informacji, takich jak konkretne okresy przechowywania danych i pełna lista podmiotów przetwarzających, które są jedynie zewnętrznie wymienione.
Dane są przekazywane szerokiemu gronu podmiotów trzecich, w tym biurom informacji gospodarczej, agencjom zapobiegającym oszustwom, SWIFT jako współadministratorowi, dostawcom usług chmurowych, dostawcom reklam, uczestnikom systemów płatniczych — co ma istotne konsekwencje dla osób, których dane dotyczą.
Standardowe Klauzule Umowne są używane w przypadku transferów do jurysdykcji nieadekwatnych, ale polityka ostrzega, że banki korespondencyjne w krajach o niskim poziomie ochrony danych mogą nie oferować równoważnych zabezpieczeń, oraz zrzeka się odpowiedzialności za bezpośrednie transfery do podmiotów grupy LHV spoza EOG.
Polityka w ogóle nie porusza kwestii, czy dane osobowe są wykorzystywane do szkolenia AI lub modeli, ani nie wspomina o mechanizmach rezygnacji.
Wszystkie standardowe prawa wynikające z RODO są wyraźnie wymienione, w tym prawo do żądania oceny uzasadnionego interesu, z terminem odpowiedzi wynoszącym jeden miesiąc i brakiem opłat za wnioski o dostęp.
Kluczowe ustalenia
Istotne klauzule, problemy lub dobre praktyki (krytyczne na początku)
Agencje zapobiegające oszustwom mogą przechowywać dane przez okres do sześciu lat z istotnymi konsekwencjami
Polityka Agencji Zapobiegającej Oszustwom stwierdza, że jeśli zostaniesz uznany za ryzyko oszustwa lub prania pieniędzy, Twoje dane mogą być przechowywane przez okres do sześciu lat, a „może to doprowadzić do tego, że inni odmówią świadczenia usług, finansowania lub zatrudnienia”. Jest to układ udostępniania danych o dużym wpływie z ograniczonymi środkami odwoławczymi dla jednostek.
Brak ujawnionych konkretnych okresów przechowywania danych
Sekcja 12 stwierdza, że dane są przechowywane „tylko tak długo, jak jest to konieczne w związku z legalnym celem”, ale nie podaje konkretnych harmonogramów ani ram czasowych, co uniemożliwia osobom, których dane dotyczą, zrozumienie, jak długo ich dane będą przechowywane.
Szerokie opieranie się na uzasadnionym interesie w celach marketingowych i analitycznych
Sekcja 6 wymienia uzasadniony interes jako podstawę prawną dla marketingu skierowanego do klientów korporacyjnych, analityki danych w celu poprawy produktów/usług/strony internetowej oraz składania sugestii/rekomendacji dotyczących towarów/usług. Wyniki testów równoważących nie są ujawnione poza ogólnym stwierdzeniem, że uzasadnione interesy „nie są naruszane”.
Zrzeczenie się odpowiedzialności za bezpośrednie transfery do podmiotów grupy LHV spoza EOG
Sekcja 8 stwierdza: „gdy przekazujesz jakiekolwiek dane osobowe bezpośrednio do dowolnego podmiotu grupy LHV mającego siedzibę poza EOG lub Wielką Brytanią (w zależności od przypadku), nie ponosimy odpowiedzialności za ten transfer Twoich danych osobowych”. To próba unikania odpowiedzialności administratora za transfery wewnątrzgrupowe.
Dwutygodniowe opóźnienie w realizacji wniosków o rezygnację z marketingu
Sekcja 17 stwierdza: „może to zająć do 2 tygodni, aby przetworzyć Twój wniosek o rezygnację, w trakcie których możesz nadal otrzymywać od nas komunikaty”, co jest nieuzasadnionym opóźnieniem dla zautomatyzowanego mechanizmu rezygnacji.
Zbieranie danych dotyczących treści i reklam obejmuje szczegółowe śledzenie interakcji
Sekcja 5 wymienia „ruchy myszy, kliknięcia myszy, dowolne formularze, które wypełniasz w całości lub częściowo” oraz „dowolne interakcje na ekranie dotykowym” jako dane dotyczące treści i reklam, które są przetwarzane, co wykracza poza to, co jest typowo konieczne dla usługi bankowej.
Wspólne administrowanie danymi z SWIFT nie jest w pełni opisane w polityce
Sekcja 7 ujawnia, że LHV i SWIFT działają jako współadministratorzy usługi przesyłania wiadomości płatniczych, ale kieruje użytkowników do zewnętrznego linku dotyczącego obowiązków SWIFT, co utrudnia zrozumienie pełnego układu w ramach samej polityki.
Podsumowanie dla użytkownika
Twoje dane finansowe i osobowe są udostępniane wielu podmiotom trzecim, w tym biurom informacji gospodarczej i agencjom zapobiegającym oszustwom, które mogą je przechowywać nawet przez sześć lat. Możesz złożyć sprzeciw lub zażądać usunięcia, ale szerokie roszczenia banku dotyczące uzasadnionego interesu oraz brak jasnych limitów przechowywania danych oznaczają, że Twoje dane mogą być przechowywane dłużej, niż się spodziewasz.
Postawa zgodności
LHV Bank wykazuje świadomość obowiązków wynikających z RODO/UK GDPR — powołuje Inspektora Ochrony Danych (DPO), opisuje podstawy prawne i odnosi się do Standardowych Klauzul Umownych (SCCs) w przypadku transferów. Jednak brak konkretnych okresów przechowywania danych, szerokie opieranie się na uzasadnionym interesie w celach marketingowych oraz zrzeczenie się odpowiedzialności za bezpośrednie transfery do podmiotów grupy LHV spoza EOG stanowią słabości w zakresie zgodności, które organy regulacyjne mogłyby zbadać.
Transfery UE
Dane są przetwarzane głównie w Wielkiej Brytanii i Estonii. Transfery poza EOG/UK wykorzystują Standardowe Klauzule Umowne, ale polityka wyraźnie ostrzega, że banki korespondencyjne w krajach o niewystarczającej ochronie danych mogą nie gwarantować równoważnych praw, oraz zrzeka się odpowiedzialności za bezpośrednie transfery przez użytkowników do podmiotów grupy LHV spoza EOG. To istotna luka.
Wykryte sygnały
Konkretne dane i praktyki zidentyfikowane w tekście
Fragmenty dowodowe
Bezpośrednie cytaty z polityki potwierdzające te ustalenia
We take every reasonable step to ensure that your Personal Data are only retained for as long as they are needed in connection with a lawful purpose.
if you are considered to pose a fraud or money laundering risk, your data can be held for up to six years
when you transfer any Personal Data directly to any LHV Group entity established outside the EEA or the UK (as applicable), we are not responsible for that transfer of your Personal Data
it may take up to 2 weeks to process your unsubscribe request during which time you may continue to receive communications from us
records of your interactions with our online advertising and content, records of advertising and content displayed on pages displayed to you, and any interaction you may have had with such content or advertising (e.g., mouse hover, mouse clicks, any forms you complete in whole or in part)
Brakujące lub niejasne
- Konkretyczne okresy przechowywania danych dla każdego celu przetwarzania
- Polityka szkolenia AI lub modeli uczenia maszynowego oraz mechanizm rezygnacji
- Pełna lista podmiotów przetwarzających i podwykonawców
- Szczegółowe testy równoważenia uzasadnionego interesu
- Szczegóły polityki dotyczącej plików cookie (wymienione, ale nie dołączone)
- Procedury powiadamiania o naruszeniu ochrony danych
- Podsumowania Oceny Wpływu na Ochronę Danych
Pytania do zadania
- Jakie są konkretne okresy przechowywania danych dla każdej kategorii danych osobowych i celu przetwarzania?
- Gdzie można uzyskać pełną i aktualną listę podwykonawców i odbiorców trzecich?
- Czy został udokumentowany test równoważenia uzasadnionego interesu dla marketingu skierowanego do klientów korporacyjnych i analityki danych, i czy może zostać udostępniony na żądanie?
- Jakie konkretne zabezpieczenia mają zastosowanie, gdy dane osobowe są przekazywane do banków korespondencyjnych w krajach bez odpowiedniej ochrony danych?
- Czy jakiekolwiek dane osobowe są wykorzystywane do szkolenia modeli AI, systemów uczenia maszynowego lub rozwoju algorytmów, i jeśli tak, czy istnieje mechanizm rezygnacji?
- W jaki sposób LHV Bank zapewnia, że dwutygodniowe opóźnienie w rezygnacji jest proporcjonalne i zgodne z prawem do sprzeciwu wobec marketingu bezpośredniego?
- Jakie konkretne procesy ręcznej weryfikacji są wdrożone przed podjęciem decyzji opartych na profilowaniu (np. zablokowaniem płatności)?
Udostępnij tę analizę
Każda osoba z tym linkiem może zobaczyć wynik powyżej.
Stworzone przez DentroChat
100% europejski czat AI dla wszystkich
Rozmawiaj z AI, pracuj z plikami, generuj obrazy i przeszukuj sieć. Dane pozostają w Europie.
Inne analizowane polityki prywatności
Zobacz wszystkieapp.klang.ai
62/100
Średnie ryzyko prywatnościKlang AI zbiera potencjalnie wrażliwe treści audio i wideo, dzieli się nimi z wieloma dostawcami AI i zastrzega sobie prawo do wykorzystania przesłanych przez Ciebie danych w celu ulepszania własnych algorytmów bez możliwości rezygnacji — chociaż większość przetwarzania odbywa się w UE i stosuje zasadę zerowej retencji danych z podwykonawcami AI.
Zobacz raport →cursor.com
62/100
Średnie ryzyko prywatnościCursor (Anysphere) obiecuje, że domyślnie nie będzie używał Twoich wprowadzonych kodów do trenowania AI i nie sprzedaje Twoich danych, ale zbiera szeroki zakres danych osobowych i dotyczących użytkowania, przesyła je do USA z niejasnymi zabezpieczeniami transferu oraz pomija kluczowe szczegóły, takie jak okresy przechowywania i podstawy prawne.
Zobacz raport →eustella.com
62/100
Średnie ryzyko prywatnościeustella składa mocne obietnice dotyczące prywatności — nie sprzedaje danych, nie udostępnia ich stronom trzecim, nie trenuje na nich AI i przetwarza wszystkie dane w UE — ale to jest tekst marketingowy, a nie wiążąca polityka prywatności, a kluczowe szczegóły dotyczące zbierania danych, ich przechowywania, podwykonawców i praw użytkowników nie zostały podane.
Zobacz raport →cake.com
62/100
Średnie ryzyko prywatnościCAKE.com zapewnia standardowe prawa do danych w UE i zabezpieczenia transferu, ale w imieniu pracodawców, którzy pełnią rolę administratorów danych wobec swoich pracowników, gromadzi wysoce inwazyjne dane z nadzoru w miejscu pracy — takie jak zrzuty ekranu, lokalizacja w tle i użycie aplikacji.
Zobacz raport →