POLITIKA E PRIVATËSISË PËR KLIENTËT E CFFA

1. PRIVATËSIA JUAJ – ANGAZHIMI YNË

Në Crimson Finance Fund Albania Sha (në vijim "CFFA" ose "kontrolluesi"), një subject financiar jobankë i licencuar, ne e njohim vlerën e të dhënave tuaja personale dhe përpiqemi vazhdimisht t'i përpunojmë ato në mënyrë konfidenciale dhe të sigurt. Në këtë politikë privatësie do t'ju tregojmë se cilat kategori të dhënash trajtojmë dhe përse i përpunojmë; cilat burime të dhënash përdorim; si i përpunojmë të dhënat, me kë i ndajmë dhe për sa kohë i ruajmë ato. Më pas, do t'ju informojmë mbi të drejtat tuaja si subjekt të dhënash, të parashikuara në ligjin nr. 124/2024 "Për mbrojtjen e të dhënave personale" (në vijim "ligji nr. 124/2024"), duke ju ofruar informacionin e nevojshëm për t'i ushtruar ato. Jemi në shërbimin tuaj për të garantuar mbrojtje të përshtatshme së të dhënave tuaja.

2. PËR KË ZBATOHET KJO POLITIKË PRIVATËSIE?

Kjo politikë privatësie zbatohet për klientët tanë, pra për ju që keni tashmë një marrëdhënie kontraktore me ne, që jeni duke e krijuar një të tillë ose që na kërkoni të kryejmë një transaksion të rastësishëm. Ky njoftim u drejtohet gjithashtu të gjithë atyre që, në cilësi të ndryshme, kanë lidhje me klientët tanë ose garantuesit e tyre (p.sh. përfaqësues ligjorë, drejtorë, aksionarë, pronarë përfitues, avokatë, përfaqësues ose nënshkrues). Së fundi, ky njoftim u drejtohet atyre të dhënat e të cilëve na janë vendosur në dispozicion nga palë të treta gjatë fazave parakontraktore ose në përmbushje të një kontrate. Përmbajtja e tij mund t'ju përfshijë si subjekt të dhënash, siç përcaktohet në ligjin nr. 124/2024.

3. ÇFARË ËSHTË PËRPUNIMI I TË DHËNAVE PERSONALE? CILI ËSHTË KONTROLLUESI?

Ligji nr. 124/2024 përcakton "të dhënat personale" si "çdo informacion që lidhet me një person fizik të identifikuar ose të identifikueshëm" dhe "përpunimin" si "çdo veprim ose grup veprimesh që kryhet mbi të dhënat personale ose grupet e të dhënave personale, me ose pa mjete të automatizuara, si mbledhja, regjistrimi, organizimi, strukturimi, ruajtja, përshtatja ose ndryshimi, rikthimi, konsultimi, përdorimi, përhapja me anë të transmetimit, shpërndarjes ose vënies në dispozicion në çfarëdo mënyre tjetër, përafrimi ose kombinimi, kufizimi, fshirja ose shkatërrimi".

Si "kontrollues i të dhënave", CFFA, duke vepruar në përputhje të plotë me parimet e ndershmërisë, ligjshmërisë dhe transparencës, përcakton mjetet dhe qëllimet e secilit prej këtyre "veprimeve" që përfshijnë, qoftë edhe vetëm potencialisht, të dhënat tuaja personale, duke garantuar konfidencialitetin dhe mbrojtjen e plotë së të drejtave tuaja.

4. CILAT TË DHËNA PERSONALE PËRPUNOJMË?

Të dhënat personale që përpunojmë u përkasin kategorive të mëposhtme:

a. të dhëna identifikuese dhe personale, si emri dhe mbiemri, datëlindja dhe vendlindja, adresa e banimit/qëndrimit, adresa e korrespondencës, gjinia, kombësia dhe të dhënat që lidhen me dokumentet e identifikimit, atësia, shtetësia, data e lëshimit dhe data e mbarimit të afatit të vlefshmërisë së dokumenteve të identitetit;

b. të dhëna të imazhit, si fotografia në një dokument identifikimi;

c. të dhënat e kontaktit, si adresa, numrat e telefonit fiks dhe celular, adresat e postës elektronike;

d. të dhëna të gjendjes personale dhe familjare, si gjendja civile dhe përbërja e familjes;

e. të dhëna financiare: historiku ekonomik, kapital dhe kreditor nga Banka e Shqipërisë, të dhënat e punësimit, të ardhurat mujore dhe vjetore, shpenzimet mujore, historiku i biznesit të administratorit/drejtorit ekzekutiv, pasuritë në pronësi dhe vlera përkatëse, lloji i pasurive, të dhënat e identifikimit për pasuritë e regjistruara (numri i regjistrimit serial/numri i shasisë për mjetet e transportit), të dhëna mbi pasuritë e paluajtshme, informacioni mbi hipotekën dhe të dhënat përkatëse të regjistrimit, pasuritë personale në pronësi/posedim, numri i llogarisë bankare dhe IBAN-i;

f. të dhëna që lidhen me marrëdhëniet që keni me ne, si të dhënat e transaksioneve, dega juaj referuese, vlerësimi juaj i kreditit;

h. të dhëna gjyqësore që lidhen me dënimet penale dhe kundërvajtjet ose masat e sigurisë;

i. Të dhëna të tjera personale: regjistrimet e sistemit të vëzhgimit me kamera për vizitorët e ambienteve tona, si edhe çdo e dhënë tjetër personale e nevojshme për çështjet e klientëve ose veprimet biznesit.

5. PSE JU KËRKOJMË TË NA JEPNI TË DHËNAT TUAJA PERSONALE?

Kemi nevojë për të dhënat tuaja për të përgatitur, lidhur dhe ekzekutuar në mënyrën e duhur kontratat dhe për të përmbushur detyrimet ligjore përkatëse. Nëse vendosni të mos na jepni të dhënat tuaja, nuk do të jemi në gjendje t'ju ofrojmë shërbimet tona.

6. NGA I MBLEDHIM TË DHËNAT TUAJA PERSONALE? SI I PËRPUNOJMË ATO?

Të dhënat që përpunojmë mund të burojnë:

Drejtpërdrejt nga subjekti i të dhënave: nëse na i keni komunikuar në rastet kur keni ndërvepruar me ne;

Nga burime të tjera: nëse i kemi mbledhur ato nga palë të treta ose nga burime të aksesueshme për publikun (p.sh. Regjistri Tregtar, Regjistri i Pronarëve Përfitues), në përputhje me rregulloret përkatëse. Ne kujdesemi për të dhënat tuaja në çdo rast; i përpunojmë duke përdorur mjete manuale dhe të teknologjisë së informacionit, duke garantuar sigurinë dhe konfidencialitetin e tyre.

7. BAZA LIGJORE DHE QËLLIMET E PËRPUNIMIT SË TË DHËNAVE

Përpunimi i të dhënave personale është i ligjshëm vetëm nëse qëllimi i tij mbështetet nga një bazë ligjore e vlefshme, d.m.th. një nga ato të parashikuara në nenin 7 të ligjit nr. 124/2024. Në përputhje me bazat e ndryshme ligjore të parashikuara, do të shpjegojmë shkurtimisht bazën ligjore dhe qëllimet e përpunimit të të dhënave.

8. PËRPUNIMI I TË DHËNAVE ME QËLLIM VLERËSIMIN E RREZIKUT TË KREDISË

Banka e Shqipërisë na kërkon të vlerësojmë dhe të përditësojmë rrezikun e kredisë, me qëllim garantimin e stabilitetit tonë financiar dhe të mjaftueshmërisë së kapitalit. Në këtë kontekst, përpunojmë të dhënat tuaja për të kryer një vlerësim të çdo rasti individual, duke analizuar aftësine tuaj të shlyerjes dhe aftësinë financiare, si dhe nivelin e rrezikut bazuar në informacionin që disponojmë dhe transaksionet që kryeni me ne. Sistemi i vlerësimit përdor gjithashtu të dhëna që na i jepni tashmë nëpërmjet dokumenteve të tjera, si deklaratat tatimore, të dhënat e punësimit/biznesit ose pasqyrat financiare. Treguesit e llogaritur në këtë mënyrë do të merren parasysh, së bashku me informacione dhe parametra të tjerë, edhe për:

(i) t'ju dhënë një përgjigje të informuar kur kërkoni kredi;

(ii) vlerësimin e besueshmërisë dhe respektimin e afateve të pagesave, nëse keni përfituar një kredi.

9. KUSH MUND TË MARRË TË DHËNAT?

Ne mund t’u japim të dhënat tuaja palëve të tjera, por vetëm për qëllimet specifike të treguara në këtë politikë privatësie, në përputhje me bazat ligjore të parashikuara nga ligji nr. 124/2024. Marrësit e të dhënave tuaja mund të jenë:

a) Banka e Shqipërisë, autoritete të tjera dhe palë të cilave komunikimi i të dhënave është i detyrueshëm në përputhje me detyrimet rregullatore/ligjore si:

• Regjistri i Kredive i mbajtur nga Banka e Shqipërisë;

• Agjencia e Inteligjencës Financiare dhe çdo autoritet tjetër kompetent në përputhje me detyrimet tona në fushën e parandalimit të pastrimit të parave dhe financimit të terrorizmit;

• Organet ligjzbatuese si Policia e Shtetit, organet e prokurorisë dhe çdo autoritet tjetër kompetent kur kërkohet nga këto autoritete gjatë ushtrimit të detyrave dhe kompetencave të tyre të dhëna me ligj;

• Gjykatat;

• Autoritetet tatimore, kur duhet të përmbushim detyrimet ligjore.

b) Palët me të cilat kemi marrëveshje tregtare;

c) Palët që veprojnë si agjentët tanë;

d) Palët që operojnë në sektorët e mëposhtëm:

• shërbime bankare, financiare dhe të sigurimit;

• sisteme dhe rrjete pagesash;

• matja e rreziqeve financiare për parandalimin dhe monitorimin e rrezikut të paaftësisë paguese;

• administrimi asetesh dhe mbledhje detyrimi;

• siguria fizike (p.sh. shërbimet e rojës dhe mbikëqyrjes me video);

• ofrimi dhe administrimi i procedurave dhe sistemeve të teknologjisë së informacionit dhe telekomunikacionit;

• siguria kompjuterike;

• profesionistë (p.sh. vlerësues, noterë dhe avokatë, përfshirë shërbimet e mosmarrëveshjeve ligjore), auditimi i llogarive dhe konsulenca në përgjithësi;

• anketime të cilësisë së shërbimit dhe analiza e kërkime tregu;

• reklamimi dhe promovimi tregtar i produkteve dhe/ose shërbimeve;

• administrimi i marrëdhënieve me klientët (p.sh. në lidhje me komunikimin dhe asistencën);

• ruajtja e të dhënave dhe dokumenteve (në letër dhe/ose me mjete elektronike).

10. TRANSFERIMI NDËRKOMBËTAR I TË DHËNAVE

Zakonisht, të dhënat personale i përpunojmë në Shqipëri. Të dhënat teknike të komunikimit, si të dhënat e postës elektronike, faqes së internetit dhe aplikacionit mobile, ruhen në serverët e ofruesve të komunikimit të palëve të treta, të cilët mbrohen sipas kushteve përkatëse të privatësisë. Për më tepër, të dhënat mund të ruhen gjithashtu në serverët cloud të ofruesve të palëve të treta, vetëm për qëllime ruajtjeje dhe jo për përpunim të mëtejshëm, në përputhje me standardet e zbatueshme të sigurisë dhe privatësisë. Si rregull, të dhënat personale që mbajmë për ju do të ndahen vetëm me marrës të vendosur në juridiksione që garantojnë një nivel të përshtatshëm mbrojtjeje, në lidhje me të cilat ekziston një vendim përshtatshmërie në përputhje me nenin 40 të ligjit nr. 124/2024. Nëse do të kemi nevojë të ndajmë të dhënat tuaja me marrës të vendosur në juridiksione të tjera, do të sigurojmë që transferimi të kryhet në përputhje me kushtet për transferimet ndërkombëtare, siç përcaktohen në ligjin nr. 124/2024.

Për më tepër, të dhënat tuaja të përfshira në mesazhet që lidhen me transfertat financiare (p.sh. transfertat ndërkombëtare të kreditit) mund të transmetohen, për qëllimin ekskluziv të parandalimit dhe luftës kundër terrorizmit dhe financimit të tij, tek autoritetet publike të vendeve që kanë lidhur marrëveshje ndërkombëtare me Republikën e Shqipërisë.

11. PERIUDHA E RUAJTJES SË TË DHËNAVE

Do t'i ruajmë të dhënat tuaja personale vetëm për aq kohë sa është e nevojshme për të përmbushur qëllimet për të cilat janë mbledhur. Të dhënat do të fshihen kur nuk është më e nevojshme të ruhen për qëllimet për të cilat janë përpunuar. Periudha standarde e ruajtjes për të dhënat personale të përpunuara në lidhje me ofrimin e shërbimeve tona ndaj klientëve është sa kohëzgjatja e marrëdhënies sonë kontraktore. Pas përfundimit të marrëdhënies kontraktore, do të ruajmë për periudhën e zbatueshme ligjore të ruajtjes atë pjesë të të dhënave personale që kërkohet të ruhet në përmbushje të parashikimeve ligjore në fuqi.

Periudha standarde e ruajtjes për regjistrimet e sistemev të vëzhgimit me kamera (CCTV) është deri në 1 javë dhe më pas regjistrimet do të fshihen, përveç nëse jemi të detyruar ligjërisht t'i ruajmë ato për një kohë më të gjatë (p.sh. për të trajtuar rrethana specifike të përmendura më poshtë).

Të dhënat personale të mbledhura nga CFFA, në përputhje me parashikimet e udhëzimit të Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale nr. 20, date 03.08.2012 “Për përpunimin e të dhënave personale në sektorin bankar”, mbahen për periudhat si më poshtë vijon:

a) Në përfundim të marrëdhënies financiare, të dhënat e klientit bllokohen në bazën e të dhënave. Ky bllokim passjell pamundësinë që këto të dhëna të shikohen dhe të përpunohen nga CFFA. Këto të dhëna mund të shikohen vetëm nga persona me status të veçantë dhe vetëm me miratim të autoritetit më të lartë të CFFA apo strukturës se autorizuar posaçërisht prej CFFA.

b) Të dhënat personale të klientëve mbahen deri pesë vjet pas datës së përfundimit të marrëdhënies financiare me klientin. Në përfundim të periudhës pesë vjeçare, CFFA fshin këto të dhëna nga skedarët dhe nga sistemi kompjuterik dhe fizik.

c) Nëse, në bazë të legjislacionit shqiptar në fuqi, një autoritet apo institucion i përligjur, urdhëron mbajtjen e këtyre të dhënave përtej afatit pesë vjeçar, të dhënat kopjohen në një bazë të dhënash të veçantë, masat e sigurisë dhe periudha e mbajtjes së të cilit do të bëhen në përputhje me ligjin në bazë të të cilit autoriteti kërkon mosfshirjen e të dhënave.

Për periudhën e ruajtjes së cookie, shihni seksionin përkatës të publikuar në faqen tonë të internetit https://cffa.al/.

12. KONFIDENCIALITETI DHE SIGURIA

Siguria e të dhënave tuaja personale është shumë e rëndësishme për ne. Të dhënat personale që mbajmë ruhen si në formë elektronike, ashtu edhe në kopje fizike. Për të mbrojtur të dhënat tuaja, duke marrë parasysh masat më të përshtatshme dhe kostot e zbatimit në raport me rreziqet dhe natyrën e të dhënave personale që duhen mbrojtur, përdorim masa teknike dhe organizative për të garantuar një nivel të përshtatshëm sigurie dhe për të shmangur rrethanat që mund të çojnë në ndryshime, humbje, shkatërrim ose akses të paautorizuar të mundshëm, përfshirë cënimin e konfidencialitetit. Të gjitha palët e brendshme dhe të jashtme të cilat, për qëllimet e listuara në këtë politikë, marrin akses nga ne në të dhënat personale, janë të detyruara të respektojnë konfidencialitetin e këtyre të dhënave personale.

13. TË DREJTAT TUAJA SI SUBJEKT I TË DHËNAVE

Bazuar në rrethanat e një aktiviteti përpunimi, ju keni përgjithësisht të drejtat e mëposhtme sipas ligjit nr. 124/2024:

• E drejta për t'u informuar (neni 13 i ligjit nr. 124/2024) në lidhje me përpunimin e të dhënave tuaja personale, i cili kryhet nga ne në përputhje me këtë Politikë.

• E drejta e aksesit (neni 14 i ligjit nr. 124/2024), e cila, në mënyrë të përmbledhur, konsiston në të drejtën për t'u pajisur me një kopje të të dhënave personale që mbajmë për ju.

• E drejta e korrigjimit (neni 15 i ligjit nr. 124/2024), e cila, në mënyrë të përmbledhur, konsiston në të drejtën për të na kërkuar të korrigjojmë çdo gabim ose të përditësojmë të dhënat tuaja personale.

• E drejta e fshirjes, përfshirë të drejtën për t'u harruar (nenet 15 dhe 16 i ligjit nr. 124/2024), e cila, në mënyrë të përmbledhur, konsiston në të drejtën për të na kërkuar të fshijmë të dhënat tuaja personale — në situata të caktuara.

• E drejta e kufizimit të përpunimit (neni 17 i ligjit nr. 124/2024), e cila, në mënyrë të përmbledhur, konsiston në të drejtën për të kufizuar përpunimin e të dhënave tuaja personale — në rrethana të caktuara.

• E drejta për transferueshmërinë e të dhënave (neni 18 i ligjit nr. 124/2024), e cila, në mënyrë të përmbledhur, konsiston në të drejtën për të na kërkuar të merrni të dhënat personale që na keni dhënë, në një format të strukturuar, të përdorur zakonisht dhe të lexueshëm nga pajisjet, ose për të na kërkuar të transmetojmë ato të dhëna tek një kontrollues tjetër — në situata të caktuara.

• E drejta e kundërshtimit (neni 19 i ligjit nr. 124/2024), e cila, në mënyrë të përmbledhur, konsiston në të drejtën për të kundërshtuar, në situata të caktuara, vazhdimin e aktiviteteve të përpunimit në lidhje me të dhënat tuaja personale.

• E drejta për të mos iu nënshtruar vendimmarrjes automatike (neni 20 i ligjit nr. 124/2024), e cila, në mënyrë të përmbledhur, konsiston në të drejtën për të na kërkuar të mos marrim vendime për ju, bazuar vetëm në përpunimin e automatizuar.

Në rast se një ose më shumë kontekste të aktiviteteve të përpunimit identifikojmë pëlqimin tuaj si bazë të ligjshme për përpunimin përkatës, ju keni të drejtën e tërheqjes së pëlqimit (neni 8(3) i ligjit nr. 124/2024), e cila, në përmbledhje, konsiston në të drejtën për të tërhequr pëlqimin e dhënë në çdo kohë, me kusht që tërheqja e pëlqimit të mos cënojë ligjshmërinë e përpunimit bazuar në pëlqimin e dhënë përpara tërheqjes së tij. Ju informojmë gjithashtu se, në rrethana të caktuara, të drejtat tuaja mund të kufizohen me ligj në përputhje me dispozitat e nenit 21 të ligjit nr. 124/2024.

Për të ushtruar këto të drejta, ju lutemi na kontaktoni duke dërguar një email në adresën info@cffa.al.

Për të parandaluar çdo akses të paautorizuar, mund t'ju kërkojmë provë identiteti përpara se të ofrojmë çdo informacion që lidhet me të dhënat personale. Në përgjithësi nuk do t'ju ngarkojmë asnjë kosto në lidhje me ushtrimin e të drejtave tuaja. Kur kërkesat tuaja janë qartësisht të pabazuara ose të tepruara, në veçanti për shkak të karakterit të tyre të përsëritur, mund të ngarkojmë një tarifë të arsyeshme duke marrë parasysh kostot administrative të ofrimit të informacionit ose komunikimit ose kryerjes së veprimit të kërkuar, ose mund të vendosim të refuzojmë të ndërmarrim veprime bazuar në kërkesën tuaj.

14. SI MUND TË NA KONTAKTONI?

Kontrolluesi përgjegjës për përpunimin e të dhënave personale në përputhje me këtë politikë është:

Emri: Institucion financiar jo-bankar Crimson Finance Fund Albania Sha NIPT: L51307031A Adresa: Njësia administrative nr. 9, rruga "Çerçiz Topulli", Pallati Sostige, Nr.14, Kati 0, Tiranë, Shqipëri Email: info@cffa.al

Nëse keni pyetje ose keni nevojë për sqarime rreth kësaj Politike Privatësie, mund të na kontaktoni duke dërguar një email në adresën e mësipërme. Kur na kontaktoni përmes formularit të kontaktit në faqen tonë të internetit, ose na drejtoni pyetje dhe/ose kërkesa në mënyra të tjera, mund të mbledhim të dhënat tuaja të kontaktit dhe përmbajtjen e pyetjes ose mesazhit tuaj, si dhe informacione të tjera që zgjidhni të na ndani. Përpunimi i të dhënave personale në këto rrethana kryhet për qëllimet e mëposhtme:

- Të përgjigjemi pyetjes ose kërkesës suaj;

- Të marrim dhe të administrojmë çdo informacion, dokument ose të dhënë që ju ofroni;

- Të mbajmë gjurmët e komunikimeve të mëparshme;

- Të vlerësojmë nëse mund t'ju ndihmojmë me çështjen tuaj.

15. ANKESA

Nëse besoni se përpunimi i të dhënave tuaja sipas kësaj politike shkel ligjin nr. 124/2024 ose pretendimet tuaja për ushtrimin e të drejtave tuaja janë shkelur në ndonjë mënyrë, mund të paraqisni një ankesë pranë:

Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale Rr. "Abdi Toptani", Nd. 5, Kodi postar 1001, Tiranë, Shqipëri Tel. +355 42 23 7200 Nr. i gjelbër: 08002050 E-mail: info@idp.al https://idp.al/

16. PËRDITËSIMET

Ne mund të përditësojmë këtë politikë në çdo kohë, duke përfshirë detajet e një ose më shumë konteksteve të veprimtarive të përpunimit të mbuluara nga kjo politikë. Këto përditësime mund të jenë të nevojshme, në veçanti por jo domosdoshmërisht, për të respektuar ndryshimet rregullatore, rekomandimet e autoriteteve kompetente ose për të adresuar ndryshimet në veprimtaritë e përpunimit që ne kryejmë në lidhje me të dhënat personale. Sa herë që bëjmë përditësime, versioni i fundit i politikës sonë do të publikohet menjëherë në faqen tonë të internetit ose do të njoftohet përmes kanaleve tona të komunikimit (p.sh. aplikacioni celular, SMS, etj.).

CFFA CUSTOMERS’ PRIVACY POLICY

1. YOUR PRIVACY – OUR COMMITMENT

At Crimson Finance Fund Albania Sha (hereinafter “CFFA” or “controller”), a licensed non-bank financial institution, we know the value of your personal data and we constantly strive to process them confidentially and securely. In this privacy policy we will show you which categories of data we handle and why; which data sources we draw on; how we process data, with whom we share it and for how long we store it. We will then inform you on your rights as data subject, set forth in the law no. 124/2024 “On the protection of personal data” (hereinafter “law no. 124/2024”), providing you with the information you need to exercise them. We are at your service to ensure adequate protection of your data.

2. TO WHOM DOES THIS PRIVACY POLICY APPLY?

This privacy policy applies to each of our clients, therefore to you who already have a contractual relationship with us, who are about to establish one or who ask us to carry out an occasional transaction. This notice is also addressed to all those who, in various capacities, have connections with our customers or their guarantors (e.g. legal representatives, directors, shareholders, beneficial owners, attorneys, delegates or signatories). Finally, this notice is addressed to those whose data have been provided to us by other parties at the pre-contractual stages or in the performance of a contract. Its content may concern you as a data subject, as defined under law no. 124/2024.

3. WHAT IS PERSONAL DATA PROCESSING? WHO IS THE CONTROLLER?

Law no. 124/2024 defines “personal data” as “any information relating to an identified or identifiable natural person” and by “processing”, namely “any operation or set of operations which is performed upon personal data or sets of personal data, whether or not by automated means, such as collection, recording, organisation structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction”.

As the "data controller", CFFA, acting in full compliance with the principles of fairness, lawfulness and transparency, determines the means and purposes of each of these "operations" that involve, even only potentially, your personal data, ensuring confidentiality and full protection of your rights.

4. WHAT PERSONAL DATA DO WE PROCESS?

The personal data we process belong to the following categories:

a. identification and personal data, such as name and surname, date and place of birth, address of residence/domicile, correspondence address, gender, nationality and data relating to identification documents, father’s name, citizenship, date of issuance and expiry date of ID documents;

b. image data, such as a photograph on an identification document;

c. contact details, such as address, landline and mobile phone numbers, e-mail addresses;

d. data on personal and family situation, such as marital status and household composition;

e. financial data: economic, capital and credit history from BOA (Bank of Albania), employment records, monthly and yearly income, monthly expenses, business history of the administrator/managing director, assets owned and relevant value, type of assets, identification data for registered assets (serial reg. no./chassis no. per vehicles), data on immovable properties, mortgage information and relevant registration data, personal assets owned/possessed, bank account no. and IBAN;

f. data relating to the relationships you have with us, such as transaction data, your reference branch, your credit rating;

g. judicial data relating to criminal convictions and offences or security measures;

h. Other personal data: CCTV recordings of visitors to our premises, as well as any additional personal data necessary for client matters or business operations.

5. WHY DO WE ASK YOU TO PROVIDE YOUR PERSONAL DATA?

We need your data to prepare, conclude and properly stipulate and execute contracts and to fulfil the relevant legal obligations. If you decide not to provide us with your data, we will be unable to provide you with our services.

6. FROM WHOM DO WE COLLECT YOUR PERSONAL DATA? HOW DO WE PROCESS THEM?

The data we process may originate:

Directly from the data subject: if you communicated them to us on the occasions when you interacted with us; From other sources: if we have collected them from third parties or from sources accessible to the public (e.g. Commercial Registry, UBO register), in compliance with the relevant regulations. We take care of your data in any case; we process them using manual and IT tools, and we guarantee their security and confidentiality.

7. BASIS AND PURPOSES OF DATA PROCESSING

The processing of personal data is only lawful if its purpose is supported by a valid legal basis, i.e. one of those provided in art. 7 of law no. 124/2024. In accordance with the various legal bases provided, we will briefly explain the legal basis and purposes of data processing.

8. PROCESSING OF DATA ON PURPOSE TO ASSES CREDIT RISK

The Bank of Albania requires us to assess and update credit risk, in order to ensure our financial stability and capital adequacy. In this context, we process your data to carry out an assessment of each individual case, by analyzing your repayment capacity and financial ability, as well as the level of risk based on the information available to us and the transactions you carry out with us The assessment system also uses data that you already provide us with other documents, such as tax returns, employment/business records or financial statements. The indicators calculated in this way will be taken into account, along with other information and parameters, also to:

(i) provide you with an informed reply when you ask us for a loan

(ii) assess your reliability and timeliness in making payments, if you have received a loan.

9. WHO MIGHT RECEIVE THE PROVIDED DATA?

We may disclose your data to other parties, but only for the specific purposes indicated in this privacy policy according to the legal bases provided by the law no. 124/2024. The recipients of your data may be:

a) the Bank of Albania and other authorities and parties to whom the communication of the data is due in compliance with regulatory/legal obligations such as:

• the Credit Register held by the Bank of Albania;

• Financial Intelligence Agency and any other competent authority in compliance of our obligations in the field of prevention of money laundering and financing of terrorism;

• Law enforcement agencies such as State Police, prosecution authorities and any other competent authority when requested by these authorities during the exercise of their duties and powers given by law;

• Courts;

• Tax authorities, when we should comply with legal obligations.

b) parties with whom we have commercial agreements;

c) parties which act as our agents;

d) parties that operate in the following sectors:

• banking, financial and insurance services;

• payment systems and circuits;

• measurement of financial risks to prevent and monitor insolvency risk;

• management of asset and credit recovery;

• physical security (e.g. guard and video surveillance services);

• provision and management of IT and telecommunications procedures and systems;

• computer security;

• professionals (e.g. appraisers, notaries and lawyers, inclusive of litigation services), auditing of accounts and consultancy in general;

• service quality surveys and market analysis and research;

• advertising and commercial promotion of products and/or services;

• management of customer relations (e.g. in relation to communication and assistance);

• the storage of data and documents (both on paper and electronic media).

10. INTERNATIONAL TRANSFER OF DATA

We normally process the personal data in Albania. Technical communication data, such as email, website, mobile app data, are stored in servers of third-party communication providers, which are protected under the respective privacy terms. In addition, personal data may also be stored on cloud servers of third-party service providers, solely for storage purposes and not for further processing, in accordance with the applicable security and privacy standards. As a rule, the personal data we hold about you will be shared only with recipients located in jurisdictions that guarantee an adequate level of protection, with respect to which there in an adequacy decision in accordance with art. 40 of law no. 124/2024. If we need to share your data with recipients located in other jurisdictions, we will ensure that the transfer is made in compliance with the conditions for international transfers, as set forth under the law no. 124/2024.

Furthermore, your data contained in the messages regarding financial transfers (e.g. foreign credit transfers) may be transmitted, for the exclusive purpose of preventing and fighting terrorism and its financing, to the public authorities of countries that have stipulated international agreements with the Republic of Albania.

11. DATA RETENTION PERIOD

We will retain your personal data only for as long as necessary to fulfil the purposes for which it was collected. The data will be deleted when they are no longer necessary to be retained for the intended purposes of processing. The standard retention period for personal data processed in connection to the provision of our services to clients, is for the duration of our contractual relationship. After the termination of the contractual relationship, we will retain for the applicable legal retention period the part of the personal data that is required to be retained in compliance with the legal provisions in force.

The standard retention period for CCTV footage is up to 1 week, and thereafter will be deleted, unless we are legally required to retain it for longer (e.g. to deal with specific circumstances mentioned below).

The personal data collected by CFFA, in compliance with the provisions of the instruction of the Commissioner for the Right of Information and Protection of Personal Data no. 20, dated 03.08.2012 “On the processing of personal data in the banking sector”, shall be retained as follows:

a) At the end of the financial relationship, the client’s data shall be blocked in the database. Such blocking shall make impossible for the data to be viewed and processed by CFFA. These data may be viewed only by persons having special status and only upon approval by the highest authorizing body of CFFA or the structure authorized for such purpose by CFFA.

b) Clients’ personal data shall be retained up to 5 years after the date of termination of the financial relationship with the client. At the end of the 5 years period, CFFA shall delete these data from its files and from the computer and physical systems;

c) In case, based on the Albanian legislation in force, a competent authority or institution orders the data to be retained beyond the 5-year period, the data shall be copied in a special database, and the security measures and retention period shall be in compliance with the law based on which the authority has requested the data to not be deleted.

Regarding the cookie storage period, see the relevant section published in our website https://cffa.al/ .

12. CONFIDENTIALITY AND SECURITY

The security of your personal data is very important for us. The personal data we hold is stored both electronically and in hard copy. To protect your data, taking into account the state of the art and the costs of implementation in relation to the risks and the nature of the personal data to be protected, we adopt technical and organisational measures to ensure an appropriate level of security and to avoid circumstances that may lead to possible alterations, loss, destruction or unauthorized access, including breach of confidentiality. All internal and external parties who, for the purposes listed under this policy, receive access from us to the personal data, are obliged to respect the confidentiality of such personal data.

13. YOUR RIGHTS AS DATA SUBJECT

Based on the circumstances of a processing activity, you generally have the following rights under the law no. 124/2024:

• the right to be informed (article 13 of the law no. 124/2024) with respect to the processing of your personal data, which is made by us pursuant to this Policy.

• the right of access (article 14 of the law no. 124/2024), which, in summary, consists in the right to be provided with a of the personal data we hold about you.

• the right of correction (article 15 of the law no. 124/2024), which, in summary, consists in the right to require us to correct any mistakes in or to update your personal data.

• the right of erasure, including the right to be forgotten (articles 15 and 16 of the law no. 124/2024), which, in summary, consists in the right to require us to delete your personal data—in certain situations.

• the right to restriction of processing (article 17 of the law no. 124/2024), which, in summary, consists in the right to restrict the processing of your personal data—in certain circumstances.

• the right of portability (article 18 of the law no. 124/2024), which, in summary, consists in the right to require us to receive the personal data you provided to us, in a structured, commonly used and machine-readable format or to require us to transmit that data to another controller—in certain situations.

• right to object (article 19 of the law no. 124/2024), which, in summary, consists in the right to object, in certain situations, that we continue processing activities with respect to your personal data.

• right to not to be subject to automated decision-making (article 20 of the law no. 124/2024), which, in summary, consists in the right to require us not to take decisions about you, based solely on automated processing.

In case one or more contexts of processing activities identify your consent as lawful base for the relevant processing, you have the right of withdrawal (article 8(3) of the law no. 124/2024), which, in summary, consists in the right to withdraw the given consent at any time, provided that the withdrawal of the consent shall be without prejudice to the lawfulness of processing based on consent before its withdrawal. Please also be informed that, in certain circumstances, your rights may be restricted by law in accordance with the provisions of article 21 of the law no. 124/2024.

To exercise these rights, please contact us by sending an email to info@cffa.al.

To prevent any unauthorised access, we may ask for proof of identity before we provide any information related to the personal data. We will not generally charge you any cost in relation to the exercise of your rights. Where your requests are manifestly unfounded or excessive, in particular because of their repetitive character, we may charge a reasonable fee taking into account the administrative costs of providing the information or communication or taking the requested action or decide to refuse to take action based on your request.

14. HOW CAN YOU CONTACT US?

The controller responsible for the processing of personal data in accordance with this policy is:

Name: Non-bank financial institution Crimson Finance Fund Albania Sha NUIS: L51307031A Address: Njësia administrative nr. 9, rruga “Çerçiz Topulli”, Pallati Sostige, Nr.14, Kati 0, Tiranë, Shqipëri Email: info@cffa.al

If you have any questions or need clarifications about this Privacy, you may contact us by sending an email as above. When we are contacted via our site contact form, other otherwise contact us with inquiries and/or requests, we may collect contact details and the content of your enquiry or message, and other information you choose to share with us. The processing of the personal data in these circumstances is made for the following purposes:

- Respond to your enquiry or request;

- Receive and manage any information, documents, or data you provide;

- Keep track of previous communications;

- Assess whether we can assist with your matter.

15. COMPLAINTS

If you believe that the processing of your data under this policy violates the law no. 124/2024 or your claims to exercise your rights have otherwise been violated in any way, you can submit a complaint to:

The Commissioner for the Right to Information and the Protection of Personal Data Rr. “Abdi Toptani”, Nd. 5, Kodi postar 1001, Tiranë, Shqipëri Tel. +355 42 23 7200 Nr. i gjelbër: 08002050 E-mail: info@idp.al https://idp.al/

16. UPDATES

We may update at any time this policy, including the details of one or more contexts of processing activities covered under this policy. These updates might be, in particular, but not necessarily, needed to comply with regulatory changes, recommendations from competent authorities or to address the changes in the processing activities we perform with respect to the personal data. Whenever we make updates, the latest version of our policy will be promptly posted in our website or notified in our communications channels (i.e. mobile application, SMS, etc.).