Уведомление о конфиденциальности по POPIA.

Версия 1.0 · Вступает в силу 18 августа 2026 · Последняя проверка 18 августа 2026 · Следующая плановая проверка 18 августа 2027

Ответственная сторона

Ответственная сторона — registered company name — to be confirmed, регистрационный номер CIPC registration number — to be confirmed, работающая под наименованием Conexus Crypto, адрес: Tiny Empire, 37 Buitenkant Street, District Six, Кейптаун, 7925, ЮАР.

Зарегистрированный информационный офицер — Information Officer — to be confirmed. Связь: support@conexus-crypto.com или +27 76 560 1228. По ст. 55 POPIA он отвечает за соблюдение закона, за работу с обращениями и за диалог с Регулятором. Если имя помечено как уточняемое, назначение ещё не опубликовано на сайте; письма по этому адресу всё равно доходят до человека в этой должности.

По клиентским данным и данным сайта деск — самостоятельная ответственная сторона. Он не оператор для третьих лиц и не обрабатывает персональные данные по чужому поручению.

Деск учреждён в ЮАР, поэтому ваши данные живут по POPIA — где бы вы ни жили и в какой валюте ни получали расчёт. Право вашей страны может давать вам дополнительные права; это уведомление их не отменяет. Напишите информационному офицеру, и вам расскажут, как такой запрос обрабатывается.

ст. 18(1)(a) — что собираем и откуда берём, если не у вас

Берём прямо у вас — при онбординге и дальше: полные имена и прежние имена; дату рождения; номер удостоверения личности или паспорта и снимок документа; гражданство и страну налогового резидентства; адрес проживания и почтовый адрес с подтверждающим документом; телефон и почту; аккаунт мессенджера, через который вы работаете; род занятий или характер бизнеса; реквизиты банковского счёта и имя его владельца; налоговый номер SARS, если он у вас есть; происхождение средств, а при усиленной проверке — и происхождение капитала; адреса блокчейна, которые вы назвали, и их сети. Для юридического лица — регистрационные документы, уполномоченного представителя и бенефициарных владельцев вплоть до физических лиц.

Заводим о вас сами: запись каждой котировки — запрошенной, выданной, принятой или прекратившейся; подтверждения сделок; записи расчётов; риск-рейтинг, который вам присвоили по Программе управления рисками и комплаенса; заметки о звонках и встречах, проведённых ради комплаенса; переписку с вами; запись о поданных отчётах, если такая обязанность возникла.

Берём не у вас — ст. 18(1)(a) требует это раскрыть: санкционные и контрольные данные из сводного списка Совета Безопасности ООН и списка целевых финансовых санкций по FIC Act, а также данные скрининга от банковских и ликвидных контрагентов; сведения о публичных должностных лицах и негативные упоминания в СМИ из коммерческих баз; результаты верификации личности от провайдеров, названных в нашей RMCP; блокчейн-аналитику по вашим адресам — из публичного реестра и от коммерческого провайдера; данные о компаниях, директорах и бенефициарах из CIPC; а также сам факт рекомендации, если вас привёл действующий клиент.

Собирается автоматически, пока вы читаете сайт: два ключа браузерного хранилища из уведомления о cookie и обычные журналы сервера у хостинг-провайдера — IP-адрес, user agent, запрошенный URL, отметка времени и статус ответа. Аналитических и рекламных cookie сайт не ставит.

ст. 18(1)(b) — наименование и адрес ответственной стороны

registered company name — to be confirmed, регистрационный номер CIPC registration number — to be confirmed, Tiny Empire, 37 Buitenkant Street, District Six, Кейптаун, 7925, ЮАР. Почтовый адрес тот же. Телефон +27 76 560 1228. Электронная почта support@conexus-crypto.com. Информационный офицер: Information Officer — to be confirmed.

Площадка в Йоханнесбурге принимает по записи и своей системы учёта не ведёт: всё, что описано в этом уведомлении, хранится у кейптаунской организации.

ст. 18(1)(c) — цель сбора данных

• Установить и подтвердить, кто вы, и держать это подтверждение свежим — так ст. 21 и 21A FIC Act требуют от подотчётного учреждения.
• Решить, начинать ли деловые отношения и продолжать ли их и с каким риск-рейтингом.
• Котировать, исполнять и рассчитывать сделки — включая перевод валюты расчёта на ваш счёт и криптоактивов на указанный адрес.
• Соблюдать Travel Rule по Директиве 9 от 2024 года, требующей передавать сведения об отправителе и получателе вместе с переводом между учреждениями.
• Замечать, пресекать и сообщать об отмывании денег, финансировании терроризма, обходе санкций и мошенничестве — включая отчёты о наличных операциях свыше 49 999,99 рэнда по ст. 28 и отчёты о подозрительных и необычных операциях по ст. 29 FIC Act.
• Исполнять налоговые обязанности, включая Рамочную систему отчётности по криптоактивам ОЭСР, принятую в ЮАР с 1 марта 2026 года.
• Хранить записи, требуемые ст. 22 и 23 FIC Act, Законом о налоговом администрировании и Законом о компаниях.
• Разбирать жалобы, споры и запросы регуляторов, заявлять и защищать правовые требования.
• Держать сайт живым и защищённым, включая защиту форм от ботов.
• Писать вам по делу — о сделке, об изменении в вашем профиле, о новой версии документа в правовом центре.

Ваши данные деск не продаёт, не сдаёт в аренду, не обменивает и не собирает из них маркетинговый профиль. И не пускает их на цели, несовместимые с перечисленными.

ст. 18(1)(d) — что дать обязательно, а что по желанию

Обязательно по закону. Полные имена, дата рождения, номер удостоверения личности или паспорта и его изображение, адрес проживания с подтверждением, гражданство и налоговое резидентство, характер и цель деловых отношений, происхождение средств, а при повышенном риске — происхождение капитала, бенефициарное владение для юридического лица, реквизиты банковского счёта и сведения об отправителе и получателе, которые по Директиве 9 идут вместе с переводом. Без этого деск работать с вами не вправе. Директива 9 от 2024 года действует без минимального порога; ниже 5 000 рэндов хватает сокращённого набора сведений, и отправляющее учреждение не обязано их проверять. Это послабление по верификации, а не анонимность.

Обязательно по внутренней Программе управления рисками и комплаенса. Налоговый номер SARS, если он у вас есть; род занятий или сфера бизнеса; подтверждение того, какими адресами блокчейна вы владеете. Это требования деска, а не прямые нормы закона: программа по ст. 42 обязана описывать, как деск решает, что ему нужно.

Добровольно. Предпочитаемый мессенджер, второй телефон, язык общения, любые пояснения о сделке сверх того, что требует проверка, согласие на сообщения не по делу. Ни одно из этого не влияет на то, сможет ли деск с вами работать.

ст. 18(1)(e) — что будет, если данные не дать

Без обязательных по закону сведений деск не проведёт онбординг и не исполнит сделку. Это не коммерческое предпочтение: ст. 21 FIC Act запрещает подотчётному учреждению начинать деловые отношения и проводить разовую операцию с клиентом, чью личность оно не установило.

Если вы дали сведения при онбординге, но не обновляете их или не отвечаете на вопрос текущей проверки по ст. 21C, деск может остановить работу до выяснения, а в отдельных случаях обязан прекратить отношения.

Если вы не дадите сведения, запрошенные по внутренней программе, деск обычно всё равно сможет работать — с более высоким риск-рейтингом и иногда с меньшим лимитом. Спросите трейдера, к какой категории относится запрос, и он ответит.

Отказ от добровольных сведений ничем не грозит, кроме очевидного: писать вам будут по тому каналу, который у деска есть.

ст. 18(1)(f) — законы, по которым идёт сбор

• Закон о Центре финансовой разведки 38 от 2001 года — п. 22 Приложения 1 (поставщики услуг с криптоактивами как подотчётные учреждения, с 19 декабря 2022 года); ст. 21 и 21A (надлежащая и усиленная проверка); ст. 21C (текущая проверка); ст. 22 и 23 (хранение записей); ст. 28 (отчёты о наличных операциях свыше 49 999,99 рэнда); ст. 29 (отчёты о подозрительных и необычных операциях); ст. 26A–26C (целевые финансовые санкции); ст. 42 (Программа управления рисками и комплаенса).
• Директива FIC 9 от 2024 года — действует с 30 апреля 2025 года, вводит Travel Rule FATF без минимального порога.
• Закон FAIS 37 от 2002 года и Общий кодекс поведения к нему — после того как Общее уведомление 1350 в Правительственном вестнике 47334 от 19 октября 2022 года объявило криптоактивы финансовым продуктом.
• Закон о налоговом администрировании 28 от 2011 года и Рамочная система отчётности по криптоактивам ОЭСР, принятая в ЮАР с 1 марта 2026 года; первая отчётность в SARS — до 31 мая 2027 года.
• Закон о компаниях 71 от 2008 года — в том числе обязанности хранить записи и раскрывать сведения по ст. 24 и 32.
• Закон об электронных коммуникациях и транзакциях 25 от 2002 года — ст. 43 и 51.
• Сам POPIA 4 от 2013 года — он разрешает обработку, без которой не исполнить обязанность по закону.

ст. 18(1)(g) — передача за границу и защита там

Часть данных уезжает из ЮАР. Ст. 72 POPIA разрешает это лишь в отдельных случаях, и деск опирается на четыре.

Хостинг сайта и доставка через периферию. Сайт и эндпоинты форм работают в глобальной сети Cloudflare. Ваш запрос может обслуживаться и попасть в журнал в дата-центре за пределами ЮАР. Cloudflare, Inc. связана договором, который накладывает обязательства, по существу равные условиям законной обработки в POPIA. Основание — ст. 72(1)(a).

Защита форм от ботов. Cloudflare Turnstile грузится только на страницах с формой и получает технические сигналы, по которым отличают человека от скрипта.

Провайдеры скрининга и аналитики. Провайдеры санкционных данных, данных о публичных должностных лицах, негативных упоминаний и блокчейн-аналитики могут хранить и обрабатывать данные вне ЮАР. С каждым подписан операторский договор: гарантии на уровне POPIA и запрет использовать данные в своих целях.

Учреждения-контрагенты по Travel Rule. Вы отправляете криптоактивы в учреждение в другой стране или получаете их оттуда — Директива 9 от 2024 года требует, чтобы сведения об отправителе и получателе шли вместе с переводом. Такая передача нужна для исполнения вашего договора с деском; основание — ст. 72(1)(b). Принимающее учреждение само живёт под Travel Rule в своей юрисдикции.

Если право страны-получателя защищает данные хуже, деск опирается на договорные гарантии и по запросу назовёт основание для конкретной передачи.

ст. 18(1)(h) — получатели, характер данных и ваши права

Кто получает данные. Центр финансовой разведки — при подаче отчёта или по запросу. FSCA и другие регуляторы — по законному запросу. SARS — по Закону о налоговом администрировании и CARF. Правоохранительные органы и суды — по ордеру, повестке или судебному приказу. Банки-партнёры и ликвидные площадки — столько, сколько нужно, чтобы рассчитаться по вашей сделке и закрыть их собственные комплаенс-обязанности. Учреждения-контрагенты по Travel Rule. Операторы по письменному договору: хостинг и периферийная инфраструктура, почта, верификация личности, скрининг санкций и PEP, блокчейн-аналитика. Профессиональные консультанты деска — аудиторы, юристы, внешняя комплаенс-функция — под профессиональной обязанностью хранить тайну. Правопреемник, если бизнес передадут, — и вас об этом уведомят.

Характер данных. Идентификационные и контактные, финансовые и транзакционные, комплаенс- и риск-данные, технические данные сайта. Специальными персональными данными по ст. 26 POPIA они становятся лишь в узких случаях — например, когда присланный документ раскрывает биометрию. Деск не собирает сведения о вероисповедании, убеждениях, расе, членстве в профсоюзе, политических взглядах, здоровье и половой жизни. Сведения о преступном поведении могут всплыть при санкционном скрининге или проверке негативных упоминаний; ст. 27(1)(b) допускает такую обработку, когда она нужна для исполнения обязанности из международного публичного права либо для заявления и защиты права.

Право доступа и право на исправление. Вы вправе узнать, какие данные о вас есть у деска, запросить копию и потребовать исправить или удалить то, что неточно, не относится к делу, избыточно, устарело, неполно, вводит в заблуждение или получено незаконно. Механизм по каждому праву — в разделе ниже.

Право на возражение. Вы вправе возразить против обработки по обоснованным основаниям — ст. 11(3)(a). Кроме обработки, которую требует закон, а это большая часть описанного здесь.

Право на жалобу Регулятору. Информационный регулятор (ЮАР), JD House, 27 Stiemens Street, Braamfontein, Йоханнесбург, 2001 · PO Box 31533, Braamfontein, 2017 · телефон 010 023 5200 · общие вопросы enquiries@inforegulator.org.za · жалобы по POPIA POPIAComplaints@inforegulator.org.za · жалобы по PAIA PAIAComplaints@inforegulator.org.za · inforegulator.org.za

Четыре основания обработки по ст. 11

Обязанность по закону — ст. 11(1)(c). На этом стоят верификация личности, проверки, скрининг, хранение записей, сообщения по Travel Rule и вся отчётность в Центр финансовой разведки и SARS. Согласия здесь не требуется, и его отзыв ничего не остановит.

Исполнение договора — ст. 11(1)(b). На этом стоят котирование, исполнение и расчёт сделок и сопутствующие сообщения по делу.

Законные интересы — ст. 11(1)(f). На этом стоят борьба с мошенничеством, защита сайта, хранение переписки и защита правовых требований. Деск взвесил эти интересы против вашей приватности и берёт минимум, которого хватает для цели.

Согласие — ст. 11(1)(a). Только для необязательных аналитических cookie, если сайт их когда-нибудь загрузит, и для сообщений не по делу, о которых вы попросили. Согласие отзывается в любой день; отзыв не трогает обработку, законно совершённую раньше.

Сроки хранения

Ст. 14 POPIA запрещает держать записи о человеке дольше необходимого, если закон не требует и не разрешает иного. Четыре закона требуют.

• Пять лет по FIC Act. Ст. 22 и 23 велят держать данные идентификации клиента и записи операций не меньше пяти лет — с даты, когда закончились деловые отношения, либо с даты разовой операции. Если подан отчёт по ст. 29, пять лет считаются от даты отчёта.
• Пять лет по Закону о налоговом администрировании. Ст. 29 велит держать документы под декларацию пять лет с даты подачи, а при проверке или возражении — дольше.
• Семь лет по Закону о компаниях — бухгалтерские и отдельные корпоративные записи.
• На срок спора и три года после его конца, если требование заявлено или им пригрозили.
• Журналы сервера лежат у хостинг-провайдера короткий эксплуатационный срок и с клиентской записью не связываются.
• Запись cx-consent живёт в вашем браузере, пока вы её не сотрёте; серверной копии у деска нет.

Срок вышел — записи уничтожаются или обезличиваются так, что восстановить их нельзя. Этого требует ст. 14(4).

Меры безопасности и привлекаемые операторы

Ст. 19 POPIA требует надлежащих и разумных технических и организационных мер. На практике их семь: шифрование канала на каждой странице и в каждой форме; шифрование клиентских документов при хранении; доступ к клиентским файлам только у тех трейдеров и комплаенс-сотрудников, кому он нужен, с личными учётными записями и многофакторной аутентификацией; разделение публичного сайта и систем с клиентскими записями; журнал доступа к комплаенс-записям; письменная процедура на случай инцидента; обязательство о конфиденциальности от каждого, у кого есть доступ.

Ст. 20 требует, чтобы оператор работал с данными только с ведома ответственной стороны, а ст. 21 — письменного договора с каждым оператором и той же планки безопасности. Каждый оператор деска работает по такому договору. Хотите знать, кто обрабатывает конкретную категорию ваших данных, — спросите информационного офицера, вам ответят.

Абсолютной защиты не бывает, и это уведомление обратного не обещает. Главный реальный риск — не взлом систем деска, а человек, который выдаёт себя за деск в разговоре с вами. Ради этого и сделана страница проверки каналов, и ради этого деск никогда не просит приватный ключ, seed-фразу и одноразовый пароль.

Девять прав по ст. 5 и как ими воспользоваться

Ст. 5 POPIA даёт вам девять прав. По каждому — как им воспользоваться на деле.

• Узнать, что данные собирают (ст. 18) — это уведомление и есть такое извещение; о дополнительном сборе трейдер скажет в момент, когда он происходит.
• Быть уведомлённым о доступе к вашим данным неуполномоченного лица (ст. 22) — см. раздел об инцидентах ниже.
• Узнать, есть ли у деска ваши данные, и запросить доступ (ст. 23) — пишите на support@conexus-crypto.com. Доступ запрашивается по установленной форме PAIA для частной организации; порядок, сборы и сроки — на странице запросов по POPIA и PAIA и в руководстве PAIA. Деск отвечает за 30 дней и вправе один раз продлить срок ещё на 30 дней с обоснованием.
• Требовать исправления или удаления (ст. 24) — Форма 2 Регламента POPIA, информационному офицеру. Если запись обязательна по FIC Act, деск исправит неточность, но не удалит запись до конца срока хранения — и напишет об этом со ссылкой на норму.
• Возражать против обработки по обоснованным основаниям (ст. 11(3)(a)) — Форма 1 Регламента POPIA. Возражение не остановит обработку, которую требует закон; деск скажет, что он прекратить может, а что нет.
• Не подвергаться прямому маркетингу незапрошенными электронными сообщениями (ст. 69) — см. раздел о прямом маркетинге ниже.
• Не быть объектом решения, основанного исключительно на автоматизированной обработке (ст. 71) — см. раздел об автоматизированных решениях ниже.
• Подать жалобу Информационному регулятору (ст. 74) — по установленной форме жалобы Регулятора, контакты ниже.
• Обратиться в гражданский суд (ст. 99) при предполагаемом нарушении защиты ваших персональных данных.

За исправление, возражение и первую копию вашей же записи деск денег не берёт. Если PAIA предусматривает сбор за копирование объёмной записи, сумму и расчёт вам назовут до начала работ.

Прямой маркетинг по ст. 69

Ст. 69 запрещает пускать персональные данные на прямой маркетинг незапрошенными электронными сообщениями. Два исключения: человек дал согласие либо он действующий клиент, которому пишут о схожих продуктах того же поставщика и дают отказаться в каждом сообщении.

Деск пишет вам по делу: котировка, подтверждение, уведомление о расчёте, новая версия документа в правовом центре. Это нужно для исполнения договора и маркетингом не считается. Всё остальное уходит, только если вы попросили, и в каждом таком письме есть отписка, которая срабатывает с первого раза.

Контактных баз деск не покупает, тем, кто с ним не работал, не пишет и ваши контакты никому под их маркетинг не отдаёт. Чтобы отключить всё, кроме сообщений по делу, ответьте «stop» на любое из них или напишите на support@conexus-crypto.com.

Автоматизированные решения по ст. 71

Инструменты скрининга выдают автоматические сигналы: возможное санкционное совпадение, адрес, отмеченный блокчейн-аналитикой, необычный паттерн. Сами по себе они ничего не решают. Отказать клиенту, отказать в сделке или прекратить отношения решает человек из комплаенс-функции и записывает причину.

По ст. 71 вы вправе не быть объектом решения с правовыми последствиями, принятого одной лишь машиной. Деск таких решений не принимает, поэтому на практике это право не включается. Если что-то изменится, вам скажут и дадут высказаться.

Инцидент безопасности: что деск сообщит — ст. 22

Ст. 22 обязывает ответственную сторону, у которой есть разумные основания полагать, что данные попали к постороннему, известить Информационного регулятора и затронутого человека в кратчайший разумный срок после обнаружения. Отложить можно только по просьбе правоохранительных органов, чтобы не сорвать расследование.

Деск обязуется сделать ровно это. В уведомлении будет: что случилось, какие категории данных затронуты, что деск уже сделал и делает, что делать вам и кто получил доступ, если это известно. Оно уйдёт письменно на адрес из вашей записи, а при серьёзном инциденте ещё и по телефону. Смягчать формулировки и тянуть время ради своей репутации деск не станет.

Если вы считаете, что ваши данные у деска скомпрометированы, сразу напишите информационному офицеру на support@conexus-crypto.com.

Сайт, cookie и дети

Два ключа браузерного хранилища, один cookie, который может поставить Cloudflare, и порядок отзыва согласия полностью описаны в уведомлении о cookie и локальном хранилище. До согласия ни один аналитический и маркетинговый скрипт не грузится.

Ст. 34 POPIA запрещает обрабатывать персональные данные ребёнка, кроме случаев из ст. 35. Деск сознательно не берёт клиентов младше 18 лет и не адресует сайт детям. Если вы думаете, что к нам попали данные ребёнка, скажите информационному офицеру: их удалят, если закон не требует хранить.

Жалобы на обращение с вашими данными

Сначала напишите деску на support@conexus-crypto.com с пометкой для информационного офицера. Подтверждение получения придёт за два рабочих дня, письменный ответ по существу с обоснованием — за 30 дней.

К Информационному регулятору можно пойти в любой день, по установленной форме жалобы, независимо от того, жаловались вы деску или нет. Информационный регулятор (ЮАР), JD House, 27 Stiemens Street, Braamfontein, Йоханнесбург, 2001 · PO Box 31533, Braamfontein, 2017 · телефон 010 023 5200 · общие вопросы enquiries@inforegulator.org.za · жалобы по POPIA POPIAComplaints@inforegulator.org.za · жалобы по PAIA PAIAComplaints@inforegulator.org.za · inforegulator.org.za

Если жалоба про финансовую услугу, а не про ваши данные, маршрут к омбудсмену FAIS описан в порядке рассмотрения жалоб.

Версия, изменения и пересмотр

Версия 1.0. Вступает в силу 18 августа 2026. Последняя проверка 18 августа 2026. Следующая плановая проверка 18 августа 2027 — или раньше, если изменится закон или практика обработки.

О существенной правке — новая цель, новая категория получателей, новая трансграничная передача, другие сроки хранения — деск пишет действующим клиентам на почту до вступления в силу. Замещённая версия хранится и выдаётся по запросу. Правка, которая лишь исправляет ссылку или уточняет формулировку, действует с публикации.