Политика обработки персональных и биометрических данных при прохождении KYC

Последнее обновление: 2 августа 2026

1. Общие положения​

Настоящая политика описывает обработку персональных и биометрических данных при прохождении проверки личности (KYC) на платформе AdaptGroup (далее — «Платформа»).

Оператором персональных данных и стороной, определяющей цели проверки, является AdaptGroup LLC, компания с ограниченной ответственностью, зарегистрированная в штате Вайоминг, США (далее — «Компания»).

Политика дополняет Политику конфиденциальности AdaptGroup. Если обязательные требования законодательства по месту нахождения пользователя предусматривают дополнительные права или гарантии, применяются такие требования.

2. Когда требуется KYC​

По общему правилу прохождение KYC не требуется для регистрации и базового использования Платформы. После успешной проверки пользователю могут стать доступны дополнительные функции в организациях, владельцем которых он является. Если для конкретной функции требуется KYC, это указывается в интерфейсе Платформы.

Компания вправе потребовать от пользователя пройти первичную или повторную проверку личности. Если для аккаунта установлено обязательное требование KYC, доступ к панели управления временно ограничивается до успешного завершения проверки.

Пользователь может отказаться от добровольного прохождения KYC или прекратить начатую проверку. В этом случае функции, для которых требуется подтверждённый статус, останутся недоступными. Если проверка была запрошена Компанией как обязательная, ограничение доступа сохраняется до успешного прохождения KYC или урегулирования вопроса со службой поддержки.

3. Цели обработки данных​

Компания организует KYC для следующих целей:

• подтверждение личности пользователя;
• проверка подлинности и действительности удостоверяющего личность документа;
• сопоставление пользователя с лицом, изображённым в документе;
• проверка присутствия реального человека и защита от подмены изображения;
• сопоставление сведений из документа с доступными государственными и разрешёнными коммерческими источниками;
• выявление признаков риска по устройству, подключению и местоположению пользователя;
• предотвращение мошенничества, злоупотреблений и обхода ограничений Платформы;
• предоставление доступа к функциям, для которых требуется подтверждение личности;
• рассмотрение спорных случаев и обращений пользователя;
• защита безопасности Платформы и законных интересов Компании;
• исполнение требований применимого законодательства и законных запросов уполномоченных органов.

4. Провайдер проверки Didit​

Для проведения KYC Компания использует сервис Didit, предоставляемый Didit Identity, Inc., зарегистрированной в штате Делавэр, США.

В рамках проверки Didit обычно действует как обработчик данных по поручению Компании. Компания определяет необходимость проверки, состав включённых этапов и последствия результата, а Didit предоставляет технологию проверки.

Для отдельных целей, включая обеспечение безопасности сервиса, предотвращение злоупотреблений, ведение журналов аудита, исполнение собственных юридических обязанностей и защиту от требований, Didit может действовать как самостоятельный оператор данных. Didit также указывает, что в разрешённых законом случаях может использовать анонимизированные или псевдонимизированные данные для тестирования, контроля качества, улучшения моделей проверки и выявления мошенничества.

Перед прохождением KYC пользователю рекомендуется ознакомиться с документами Didit:

• Verification Privacy Notice;
• End User Terms for Identity Verification;
• Privacy Policy.

5. Какие данные обрабатываются​

В рамках настроенного сценария проверки Компания и Didit обрабатывают следующие категории данных.

5.1 Данные аккаунта и сессии​

• внутренний идентификатор пользователя на Платформе;
• язык интерфейса;
• идентификатор и статус сессии KYC;
• даты создания, обновления и успешного завершения проверки;
• признак обязательности KYC для аккаунта;
• адрес возврата пользователя на Платформу после проверки.

5.2 Данные документа​

• изображение удостоверяющего личность документа;
• фотография владельца документа;
• имя, фамилия, дата рождения, гражданство и пол;
• тип, номер, страна выдачи и срок действия документа;
• машиночитаемая зона, штрихкоды и другие содержащиеся в документе сведения;
• результаты проверки подлинности, целостности и качества документа.

5.3 Изображения и биометрические данные​

• селфи, изображения лица и видео, полученные во время активной проверки;
• движения и действия пользователя, выполняемые перед камерой;
• результат проверки присутствия реального человека (Liveness) и защиты от подмены;
• признаки и шаблоны, полученные из геометрии лица;
• результат сопоставления лица пользователя с фотографией в документе;
• показатели уверенности, качества, защиты от подмены и иные сигналы проверки.

Изображение или видео само по себе может не считаться биометрическим идентификатором по законодательству конкретной юрисдикции. Биометрическими данными могут являться полученные из него признаки геометрии лица, используемые для идентификации или подтверждения личности.

5.4 Технические данные​

• IP-адрес;
• сведения о браузере, операционной системе, оборудовании и характеристиках устройства;
• язык, часовой пояс, время и параметры сессии;
• постоянный идентификатор, цифровой отпечаток и технические сигналы устройства;
• параметры Canvas, WebGL, медиавозможностей и другие доступные браузерные сигналы;
• приблизительное местоположение, страна, регион, город и координаты, определённые по сетевым данным;
• сведения о сети, операторе и автономной системе (ASN);
• признаки использования VPN, прокси, Tor, дата-центров, эмуляторов и средств подмены;
• совпадения устройства или IP-адреса с другими сессиями;
• расхождения между местоположением подключения и страной или адресом документа;
• предупреждения и другие технические признаки риска.

5.5 Проверка по базам данных​

• сведения, извлечённые из удостоверяющего личность документа;
• результат сопоставления сведений с доступными для страны и типа документа источниками;
• сведения о совпадении, несовпадении или недоступности проверки;
• ответы и признаки риска, полученные из государственных, публичных или разрешённых коммерческих источников.

Конкретный источник зависит от страны пользователя, типа документа и доступности проверки. Didit может использовать национальные реестры удостоверений личности, гражданские, миграционные и налоговые реестры, а также иные разрешённые источники. Проверка по базам данных не является AML- или санкционным скринингом.

5.6 Результаты проверки​

• итоговый статус и переходы между статусами;
• результаты проверки документа, Liveness, совпадения лица, баз данных, устройства и IP-адреса;
• показатели уверенности, предупреждения и признаки риска;
• запросы на повторное предоставление данных;
• служебные материалы и комментарии проверки, если они включены в ответ Didit.

6. Как передаются и хранятся результаты​

При создании KYC-сессии Платформа передаёт Didit внутренний идентификатор пользователя, выбранный язык и адрес возврата. Документ, изображение лица и другие материалы пользователь предоставляет непосредственно на защищённой странице Didit.

Didit направляет Платформе уведомления об изменении статуса. Такое уведомление может содержать результаты отдельных этапов, извлечённые данные и ссылки на материалы проверки. Платформа обрабатывает уведомление для определения статуса пользователя, но не сохраняет полный ответ Didit в собственной базе данных.

В собственной базе данных Компания сохраняет признак обязательности KYC, идентификатор сессии Didit, текущий статус и даты изменения или успешного завершения проверки. Компания не загружает и не хранит копии документов, селфи, видео и биометрических шаблонов в собственной информационной системе.

Didit хранит исходные материалы и результаты проверки в соответствии с установленным Компанией сроком хранения, условиями Didit и применимым законодательством.

7. Доступ к данным​

Обычные сотрудники Платформы получают только статус KYC, необходимый для работы соответствующих функций.

Ограниченный круг уполномоченных лиц Компании может получить доступ к материалам проверки через защищённый кабинет Didit. Такой доступ допускается только для рассмотрения спорного результата, ответа на обращение пользователя, предотвращения мошенничества, проверки соблюдения правил Платформы или исполнения юридической обязанности.

Didit и привлечённые им поставщики услуг могут получать доступ к данным в объёме, необходимом для проведения проверки, обеспечения безопасности, технической поддержки и выполнения применимых требований. Доступ ограничивается организационными и техническими мерами соответствующей стороны.

8. Результат проверки и принятие решения​

Didit использует автоматизированные системы, а в отдельных случаях ручную проверку, для анализа документа, Liveness, совпадения лица, доступных баз данных, устройства, подключения и признаков риска.

Платформа получает статус сессии и автоматически отражает его в аккаунте пользователя. Didit предоставляет результат технической проверки, а Компания определяет, как этот результат влияет на доступ к функциям Платформы.

Компания не гарантирует успешное прохождение KYC. Результат может зависеть от качества предоставленных материалов, доступности источников, совпадения данных и выявленных признаков риска. Отдельный сигнал, включая использование VPN или совпадение устройства, может учитываться совместно с другими результатами и привести к дополнительной проверке, повторному прохождению или отказу.

После отказа пользователь может запустить новую KYC-сессию и повторно пройти проверку. Служба поддержки не присваивает успешный статус вручную, но может помочь с технической проблемой, разъяснить доступные дальнейшие действия или организовать рассмотрение спорного случая уполномоченным лицом.

Успешный статус KYC действует бессрочно. Компания может потребовать повторную проверку, если это необходимо для безопасности, предотвращения злоупотреблений, рассмотрения спорного случая или предоставления отдельных функций.

9. Основания обработки и согласие​

Данные обрабатываются для предоставления запрошенной пользователем проверки, исполнения условий использования Платформы, обеспечения безопасности, предотвращения мошенничества и выполнения применимых юридических обязанностей. Обработка документа, изображения лица и биометрических данных осуществляется на основании явно выраженного согласия пользователя, если применимое законодательство не предусматривает иное законное основание.

До начала сбора документа, изображения лица или биометрических данных пользователь получает возможность ознакомиться с настоящей политикой и документами Didit. Согласие выражается установкой отдельной отметки в интерфейсе Платформы перед переходом к проверке. Без этой отметки запуск KYC невозможен.

Разрешение браузера или устройства на использование камеры является техническим разрешением и само по себе не заменяет согласие на обработку данных. При создании новой KYC-сессии, в том числе после отказа или по запросу Компании, согласие запрашивается повторно.

10. Сроки хранения и уничтожение​

Компания устанавливает в Didit срок хранения один месяц и обеспечивает удаление KYC-сессии и связанной пользовательской сущности. Удаление охватывает документы, изображения, видео, биометрические данные, извлечённые сведения, результаты Database Validation, Device/IP Analysis и другие связанные материалы. Минимальный статус и даты проверки сохраняются в AdaptGroup для предоставления KYC-зависимых функций без хранения исходных материалов.

В текущем сценарии Компания не создаёт из материалов KYC отдельные blocklist-записи лица, документа или устройства. Если такая обработка будет включена в будущем, Компания обновит настоящую политику до начала её использования.

Компания и Didit удаляют, обезличивают или безопасно уничтожают данные после истечения установленного срока, получения законного требования об удалении или наступления более раннего срока, предусмотренного применимым законодательством. Журналы аудита Didit хранятся 365 дней. Didit может отдельно сохранять ограниченные записи безопасности или иные данные, которые обрабатывает как самостоятельный оператор, в случаях и в течение сроков, указанных в документах Didit или предусмотренных законом.

Для пользователей из юрисдикций со специальными правилами биометрической конфиденциальности применяется более короткий срок. В частности:

• для пользователей из Иллинойса биометрические идентификаторы и сведения подлежат уничтожению после достижения первоначальной цели либо не позднее трёх лет после последнего взаимодействия с пользователем, в зависимости от того, что наступит раньше;
• для пользователей из Техаса биометрические идентификаторы уничтожаются в разумный срок, но, как правило, не позднее одного года после прекращения цели их сбора, если более длительное хранение не требуется законом;
• для пользователей из Вашингтона данные не должны храниться дольше, чем это разумно необходимо для предоставления проверки, предотвращения мошенничества, обеспечения безопасности или выполнения юридической обязанности.

11. Международная передача данных​

Компания зарегистрирована в США, а Didit указывает, что производственные данные по умолчанию обрабатываются и хранятся в Европейском союзе с использованием инфраструктуры Amazon Web Services. Фактическое место обработки может зависеть от настроек, привлечённых поставщиков и условий договора.

Данные могут обрабатываться за пределами страны пользователя. При необходимости Didit применяет предусмотренные законодательством механизмы международной передачи, включая решения об адекватности, стандартные договорные положения и иные признанные гарантии.

12. Продажа биометрических данных​

Компания не продаёт, не сдаёт в аренду, не обменивает и не получает прибыль от передачи биометрических идентификаторов или биометрической информации пользователя.

Didit также заявляет, что не продаёт, не сдаёт в аренду, не обменивает и не получает прибыль от биометрических идентификаторов или биометрической информации.

13. Права пользователя​

В зависимости от применимого законодательства пользователь вправе:

• получить информацию об обработке своих данных;
• запросить доступ к данным или их копию;
• потребовать исправления неточных данных;
• запросить удаление данных;
• отозвать согласие на дальнейшую обработку;
• потребовать ограничения обработки или возразить против неё;
• запросить рассмотрение спорного результата;
• подать жалобу в компетентный орган по защите данных.

Для реализации прав необходимо обратиться в AdaptGroup через Telegram или по адресу [email protected]. В запросе не следует отправлять копию документа или селфи. Для поиска сессии служба поддержки может запросить идентификатор аккаунта и дополнительные сведения, необходимые для подтверждения личности заявителя.

Если запрос относится к обработке, которую Didit осуществляет как самостоятельный оператор, пользователь также может обратиться по адресу [email protected] или [email protected].

14. Отзыв согласия и удаление данных​

Отзыв согласия не влияет на законность обработки, выполненной до его отзыва. После получения запроса Компания прекращает обработку, основанную на согласии, если отсутствует другое законное основание для её продолжения.

Компания может направить Didit требование об удалении соответствующих KYC-сессий и связанной пользовательской сущности. Если запрос относится к данным, которые Didit обрабатывает как самостоятельный оператор, пользователь также может обратиться в Didit по контактам, указанным в разделе 13.

Часть сведений может быть сохранена в ограниченном объёме, если это необходимо для исполнения закона, защиты от требований или предотвращения мошенничества.

Удаление KYC-сессии или отзыв согласия может привести к прекращению подтверждённого статуса и ограничению функций, для которых требуется KYC. Перед выполнением запроса Компания сообщает пользователю о таких последствиях, если это допускается законом.

15. Пользователи младше 18 лет​

Прохождение KYC доступно только лицам, достигшим 18 лет. Пользователь подтверждает достижение этого возраста перед началом проверки.

Пользователям младше 18 лет запрещено предоставлять Didit документы, изображения лица или иные данные для прохождения KYC. Они могут использовать функции Платформы, для которых подтверждение личности не требуется, с учётом общих возрастных ограничений Платформы.

16. Изменение политики​

Компания вправе обновлять настоящую политику с учётом изменений процесса KYC, настроек Didit и применимого законодательства. Актуальная версия публикуется в документации Платформы с указанием даты обновления.

Если изменение требует нового согласия, Компания запросит его до продолжения соответствующей обработки.

17. Контакты и реквизиты​

По вопросам обработки данных при прохождении KYC обращайтесь:

• Telegram: @adapt_support
• Email: [email protected]

Реквизиты компании​

AdaptGroup LLC
30 N Gould St Ste R
Sheridan, WY 82801, USA