Obrada podataka o ličnosti

Vaše ime i adresu za dostavu — e-adresu, broj telefona i, ako ga je dao, podatak za uparivanje — usluzi je dao pošiljalac naveden u poruci koju ste dobili. On je rukovalac tih podataka i on odlučuje zašto vam se obraća; usluga ih obrađuje isključivo po njegovom nalogu, kao obrađivač.

Nad podacima o toku dostave usluga je rukovalac. To su vreme slanja, isporuke i pristupa, način na koji je potvrđen vaš identitet, i tehnički podaci o pristupu (adresa sa koje je pristup došao i oznaka pregledača) — i to u pseudonimnom obliku, kao heš pod ključem, ne kao sama vrednost.

Da vam pismeno bude dostavljeno i da o toj dostavi postoji dokaz koji se može proveriti — ko je šta i kada primio, odbio ili nije preuzeo. Bez zapisa o toku dostave usluga ne bi imala šta da izda ni vama ni pošiljaocu.

Podaci se ne koriste za oglašavanje ni za profilisanje i ne donosi se nijedna odluka o vama automatizovano.

Za obradu koju vrši pošiljalac pravni osnov određuje pošiljalac i o njemu vas obaveštava on. Usluga podatke obrađuje isključivo po njegovom nalogu, na osnovu ugovora o obradi zaključenog sa njim (ZZPL čl. 45).

Zapise o toku dostave usluga čuva radi ostvarivanja pravnog interesa da se izvršena dostava može utvrditi i dokazati (ZZPL čl. 12 st. 1 t. 6). Isti zapisi služe i za bezbednost same usluge — otkrivanje zloupotrebe linka i pokušaja pogađanja jednokratnih kodova.

Dokazi o dostavi se ne menjaju i ne brišu, i čuvaju se najmanje 10 godina. To je svojstvo dokaza: zapis koji bi se mogao izmeniti ili obrisati ne bi ništa dokazivao.

Zapisnik o radu usluge — koji beleži i svaki vaš pristup pismenu — čuva se najmanje 2 godine i takođe se ne menja.

Samo pismeno čuvamo šest meseci po isteku roka za preuzimanje, a zatim ga uklanjamo iz skladišta zajedno sa prilozima; zapisi o dostavi i heš pismena ostaju. Link kojim ste pristupili pismenu prestaje da važi ranije — dokle tačno, piše na samoj stranici pošiljke.

Radi oporavka od kvara pravimo šifrovane rezervne kopije. One mogu da sadrže i pismeno koje je već uklonjeno iz skladišta: dnevne kopije čuvamo do trideset dana, a mesečne najduže dvanaest meseci, i posle toga se brišu. Kopijama se pristupa samo pri oporavku sistema — ne služe za uvid u pošiljke i iz njih se ne odgovara na pojedinačne zahteve.

Vaša e-adresa i broj telefona čuvaju se šifrovano i ne ulaze u sam dokaz. U dokazu stoji samo njihov heš pod ključem, a vrednost podatka za uparivanje se ne čuva uopšte — samo njegov heš.

Poruke se šalju preko provajdera poruka i SMS-a, koji za tu svrhu obrađuju vašu adresu odnosno broj po nalogu usluge. Vremenski žig na dokazu izdaje nezavisni izdavalac vremenskog žiga; njemu se šalje samo otisak zapisa, nikad sam sadržaj. Sadržaj pismena se ne prosleđuje nikome osim vama.

Podaci se obrađuju u Republici Srbiji odnosno kod provajdera koje je usluga za to angažovala; iznošenje u druge države van tih obrada se ne vrši.

Za svaki korisnički nalog beležimo trenutak poslednjeg pristupa usluzi. Taj trenutak nema istoriju: čuva se samo poslednji i prepisuje se sledećim pristupom.

Taj podatak vidi vaš poslodavac u svom nalogu (Podešavanja → Korisnici) i osoblje pružaoca usluge u okviru podrške i vođenja naloga. Kad osoblje pružaoca otvori spisak korisnika vašeg poslodavca, to se beleži u zapisnik.

Služi za prikaz u samom nalogu i za uočavanje naloga koji se više ne koriste. Ne koristi se za merenje ni ocenjivanje vašeg rada.

Uz nalog se čuva tajna vašeg autentifikatora — šifrovana, nikad u čitljivom obliku — i otisci deset rezervnih kodova. Kôd se ne čuva: proverava se računanjem, a rezervni kôd poređenjem otiska. Uz to se beleže trenutak uključivanja drugog faktora, poslednji iskorišćen vremenski korak (da se isti kôd ne upotrebi dvaput) i broj neuspelih pokušaja. Dok traje uključivanje čuva se i otisak jednokratnog koda koji vam šaljemo na adresu naloga, sa rokom važenja, brojem promašaja, brojem kodova izdatih u tekućem dnevnom prozoru i trenutkom kad je taj prozor počeo; taj zapis se troši ili ističe, i sam kôd se ne čuva. Uz nalog se beleži i trenutak od kog ranije izdate prijave prestaju da važe — njime se pri poništavanju drugog faktora prekidaju sve otvorene prijave odjednom.

Svrha je zaštita samog naloga: bez drugog faktora onaj ko dođe do lozinke dobija pristup svemu što nalog vidi. Pravni osnov je legitiman interes na bezbednost usluge (ZZPL čl. 12 st. 1 t. 6).

Uključivanje drugog faktora, traženje jednokratnog koda za uključivanje, upotreba rezervnog koda i svako poništavanje upisuju se u zapisnik o radu, koji se ne menja i ne briše — bez samog koda i bez njegovog otiska. Na adresu naloga stižu dve vrste poruka: poruka o uključenju i o poništavanju nosi samo činjenicu i trenutak, nikad tajnu, QR kôd ni rezervni kôd; poruka sa jednokratnim kodom nosi kôd kojim se uključivanje započinje, važi kratko i troši se jednom.

Kad vam administrator naloga otvori pristup, upisuje vaše ime i e-adresu i bira ulogu. Ti podaci stoje u redu pozivnice, koji nosi i rok od 72 sata i podatak o tome da li je link iskorišćen; sam link se ne čuva, nego samo njegov otisak. Red pozivnice se briše 30 dana pošto bude iskorišćen ili istekne — od tog trenutka vašu adresu nosi sam nalog. U zapisniku o radu, koji se ne briše, ostaje da je pozivnica izdata i za koju ulogu, bez vašeg imena i bez adrese, uz pseudonimni otisak adrese sa koje je zahtev došao.

E-adresa koju administrator upiše proverava se prema svim nalozima na platformi — i onima koji pripadaju drugim klijentima — da se ista adresa ne bi našla na dva naloga. Ako na njoj već postoji nalog kod drugog klijenta, nijedna poruka vam se ne šalje i nikakav link ne nastaje; onome ko poziva ne kažemo da li i kod koga ta adresa ima nalog, niti se vama pokušaj javlja — poruka o njemu bi upravo to otkrila. U njegovom spisku poslatih svejedno stoji red sa vašom adresom, jer bi izostanak reda odao ono što odgovor krije; taj red nema upotrebljiv link, ističe kao i svaki drugi i briše se istim čišćenjem. U zapisniku o radu, koji se ne briše, ostaje samo da je pokušaj bio i za koju ulogu, bez adrese i bez ijednog podatka o postojećem nalogu.

Ako zatražite novu lozinku, čuvamo otisak jednokratnog linka, rok od 60 minuta i podatak o tome da li je iskorišćen; sam link se ne čuva. Nov zahtev gasi ranije, a red se briše 30 dana po isteku. Odgovor na traženje linka je isti bez obzira na to da li na toj adresi postoji nalog — namerno, da se sa strane ne bi moglo utvrditi ko kod nas ima nalog. I traženje linka i sama promena lozinke ostaju zabeleženi u zapisniku o radu, koji se ne briše, bez vaše adrese i uz pseudonimni otisak adrese sa koje je zahtev došao. O promeni lozinke vas obaveštavamo porukom na adresu naloga, i tom promenom se prekidaju sve otvorene prijave.

Uz nalog se čuva i izbor o tome za koje ishode pošiljke (preuzeto, odbijeno, istekao rok) želite poruku. Poruke se šalju isključivo na adrese naloga na istoj firmi — slobodne adrese se ne upisuju. Izbor menjate vi ili administrator naloga, a svaka takva izmena ostaje zabeležena u zapisniku o radu; ugašen nalog poruke ne dobija.

Kad administrator ugasi nalog, red o nalogu se ne briše: pošiljke koje ste poslali ostaju kod pošiljaoca kao rukovaoca nad sadržajem, a zapise o toku dostave i dalje čuva usluga (v. odeljak „Ko obrađuje vaše podatke“). Prekidaju se otvorene prijave, gašenje ostaje zabeleženo u zapisniku o radu, a vi o njemu dobijate poruku na adresu naloga.

Klijent (vaš poslodavac ili nalogodavac) upisuje u svoj nalog vaše ime, funkciju, e-adresu i broj telefona. Te podatke ne dobijamo od vas nego od njega.

Služe za vođenje naloga i za dopise o samom nalogu — pozivnicu, obaveštenje o promeni lozinke, pitanja podrške. Ne koriste se ni za jednu pošiljku, ne ulaze ni u jedan dokaz i ne prosleđuju se primaocima.

Vidi ih klijent u svom nalogu i osoblje pružaoca usluge u okviru podrške i vođenja naloga. Izmene tih polja beleže se u zapisnik o radu, ali se u njega upisuje samo KOJE je polje promenjeno — ne i vrednost.

Tu stranicu otvarate bez naloga i bez prijave, i podatke o vama ne dobijamo ni od koga osim od vas samih. Beleži se adresa sa koje je upit stigao, i to samo kao otisak pod ključem (HMAC), nikad kao sama adresa. Sadržaj upita — oznaka pošiljke i heš pismena — ne beleži se.

Kada provera pronađe zapis, u zapisnik o radu usluge upisuje se da je provera te pošiljke obavljena, bez ijednog podatka o vama. Taj zapisnik se ne menja i ne briše. Kada provera ne pronađe zapis, pokušaj se samo broji — po otisku adrese i po satu, najduže 30 dana; pojedinačni pokušaji se ne beleže i ne vezuju se za pošiljku.

Svrha je da provera ne postane kanal za pogađanje oznaka pošiljki niti za otkrivanje kojih pošiljki ima. Pravni osnov je legitiman interes na bezbednost same usluge (ZZPL čl. 12 st. 1 t. 6). Vaša prava iz odeljka ispod važe i ovde.

Imate pravo na pristup svojim podacima, na ispravku netačnih, na ograničenje obrade, na prigovor i na prenosivost, a u zakonom određenim slučajevima i na brisanje (ZZPL, odeljak o pravima lica na koje se podaci odnose).

Nad dokazima o dostavi pravo na brisanje se ne može ostvariti dok traje rok čuvanja: obrada je nužna radi podnošenja, ostvarivanja ili odbrane pravnog zahteva (ZZPL čl. 30 st. 3). Isto važi za prigovor na obradu i za ograničenje obrade — dok traje rok čuvanja, zapisi o toku dostave se ne mogu izmeniti ni ukloniti, jer bi zapis koji se može promeniti prestao da bude dokaz. Ostaje vam pravo pristupa tim zapisima i pritužba Povereniku. Zahtev za ispravku podataka koje je dao pošiljalac — ime, adresa — upućuje se njemu, jer je on rukovalac tih podataka.

Pritužbu možete podneti Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti (ZZPL čl. 82).

Za sve što se tiče razloga zbog kog vam je pismeno upućeno, i za ispravku vaših podataka, obratite se pošiljaocu čije ime stoji u poruci koju ste dobili. Zahtev koji se odnosi na samu uslugu — pristup zapisima o dostavi, ograničenje obrade, prigovor — uputite takođe njemu, sve dok kontakt pružaoca usluge ne bude objavljen na ovoj stranici; kad bude, stajaće ovde.