Pravila GDPR-a

1. GDPR ukratko i naša predanost

Opća uredba o zaštiti podataka (GDPR) sveobuhvatan je propis o zaštiti podataka koji uređuje kako se osobni podaci pojedinaca u Europskom gospodarskom prostoru (EGP) prikupljaju, obrađuju i pohranjuju.

Printedin je u potpunosti predan usklađenosti s GDPR-om. Osobne podatke obrađujemo zakonito, pošteno i transparentno. Podatke prikupljamo samo u posebne, izričite i zakonite svrhe i brinemo se da budu primjereni, relevantni i ograničeni na ono što je nužno.

2. Podaci o voditelju obrade

U smislu GDPR-a Printedin je voditelj obrade osobnih podataka naših korisnika. To znači da mi određujemo svrhe i sredstva obrade osobnih podataka.

3. Pravna osnova obrade

Na temelju članka 6. GDPR-a osobne podatke obrađujemo na sljedećim pravnim osnovama:

Kad se obrada temelji na privoli, imaš pravo u svakom trenutku povući privolu. Povlačenje privole ne utječe na zakonitost obrade provedene prije povlačenja.

4. Kategorije osobnih podataka

Obrađujemo sljedeće kategorije osobnih podataka:

5. Prava ispitanika

Na temelju GDPR-a imaš sljedeća prava u vezi sa svojim osobnim podacima. Na sve valjane zahtjeve odgovaramo u roku od 30 dana (rok se za složene zahtjeve može produljiti za 60 dana):

5.1 Pravo pristupa (čl. 15.)

Imaš pravo dobiti potvrdu obrađujemo li tvoje osobne podatke i zatražiti kopiju svojih podataka u uobičajenom elektroničkom formatu.

5.2 Pravo na ispravak (čl. 16.)

Imaš pravo zatražiti ispravak netočnih osobnih podataka ili dopunu nepotpunih podataka. Većinu podataka možeš izravno ažurirati u postavkama profila.

5.3 Pravo na brisanje (čl. 17.)

Imaš pravo zatražiti brisanje svojih osobnih podataka („pravo na zaborav”), uz ograde koje proizlaze iz primjenjivih zakonskih obveza (npr. porezne evidencije koju moramo čuvati).

5.4 Pravo na ograničenje obrade (čl. 18.)

Možeš zatražiti ograničenje obrade svojih podataka dok provjeravamo njihovu točnost ili procjenjujemo svoje legitimne interese, kao i kad je obrada nezakonita, a ti se protiviš brisanju.

5.5 Pravo na prenosivost podataka (čl. 20.)

Imaš pravo zaprimiti svoje osobne podatke u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu (JSON ili CSV) te ih prenijeti drugom voditelju obrade.

5.6 Pravo na prigovor (čl. 21.)

Imaš pravo uložiti prigovor na obradu koja se temelji na legitimnim interesima ili se provodi u svrhe izravnog marketinga. Prestat ćemo s obradom, osim ako dokažemo uvjerljive legitimne razloge za obradu koji nadilaze tvoje interese.

5.7 Prava povezana s automatiziranim donošenjem odluka (čl. 22.)

Ne koristimo automatizirano donošenje odluka ni izradu profila koji proizvode pravne učinke koji se odnose na tebe ili na sličan način značajno utječu na tebe.

6. Aktivnosti obrade podataka

Vodimo evidenciju aktivnosti obrade kako to zahtijeva članak 30. GDPR-a. Naše glavne aktivnosti obrade su:

• Registracija korisnika: obrada imena i prezimena, adrese e-pošte i lozinke radi otvaranja korisničkog računa.
• Dizajniranje proizvoda: obrada učitanih slika i teksta radi izrade pregleda dizajna.
• Izvršenje narudžbi: obrada adresa i podataka o plaćanju radi tiska i dostave.
• Korisnička podrška: obrada korespondencije i podataka o računu radi rješavanja upita.
• Marketing: obrada adresa e-pošte radi podsjećanja na dizajn koji je ostao nedovršen (na temelju privole iz postavki obavijesti).
• Odgovori na upite: slanje tvoje korespondencije s nama i zapisa o poslu na koji se odnosi pružatelju usluga umjetne inteligencije, koji za nas sastavlja nacrt odgovora koji zatim pregledavamo (izvršavanje ugovora i legitimni interes).
• Analitika: obrada podataka o korištenju radi poboljšanja naših usluga (na temelju privole).
• Oglašavanje: obrada posjeta stranicama i kupnji radi mjerenja učinka oglasa i stvaranja publika (na temelju privole).

6.1 Podizvršitelji obrade

Angažiramo sljedeće kategorije podizvršitelja obrade, sa svima uz odgovarajuće ugovore o obradi podataka:

7. Međunarodni prijenosi podataka

Osobne podatke prvenstveno pohranjujemo i obrađujemo unutar Europskog gospodarskog prostora (EGP). Kad su prijenosi podataka izvan EGP-a nužni, odgovarajuću zaštitu osiguravamo putem:

• Odluka o primjerenosti: prijenosi u zemlje za koje je EU donio odluku o primjerenosti.
• Standardnih ugovornih klauzula (SCC): ugovornih odredbi koje je odobrio EU i koje osiguravaju jednakovrijednu zaštitu podataka.
• Dodatnih mjera: dodatnih tehničkih i organizacijskih mjera kad je to potrebno (enkripcija, pseudonimizacija).

8. Mjere zaštite podataka

U skladu s člankom 32. GDPR-a provodimo odgovarajuće tehničke i organizacijske mjere kako bismo osigurali razinu sigurnosti primjerenu riziku:

8.1 Tehničke mjere

• enkripcija TLS 1.2 ili 1.3 za sve podatke između tvojeg preglednika i naših poslužitelja
• sigurnosne kopije izvan poslužitelja, šifrirane algoritmom AES-256 prije nego što napuste poslužitelj
• lozinke pohranjene isključivo kao posoljeni sažeci PBKDF2-HMAC-SHA256 (600 000 iteracija)
• automatizirani testovi, uključujući sigurnosne provjere, prije svake nove verzije
• segmentacija mreže i zaštita vatrozidom
• prijave i promjene računa i narudžbi bilježe se u revizijskom zapisniku

8.2 Organizacijske mjere

• osposobljavanje osoblja i programi podizanja svijesti o zaštiti podataka
• kontrola pristupa prema načelu najmanjih ovlasti
• ugovori o povjerljivosti sa svim zaposlenicima i vanjskim suradnicima
• procjene učinka na zaštitu podataka (DPIA) za obradu visokog rizika
• redovite provjere i revizije aktivnosti obrade podataka
• postupci odgovora na incidente i protokoli eskalacije

9. Izvješćivanje o povredi podataka

U skladu s člancima 33. i 34. GDPR-a uspostavili smo postupke odgovora na povrede osobnih podataka:

• Nadzorna tijela: nadležno nadzorno tijelo izvijestit ćemo u roku od 72 sata nakon što saznamo za povredu osobnih podataka koja bi mogla prouzročiti rizik za prava i slobode pojedinaca. Za ispitanike u Ujedinjenoj Kraljevini to je Information Commissioner’s Office (ICO). Za ispitanike u Europskom gospodarskom prostoru to je nadležno tijelo dotične države članice — nemamo poslovni nastan u EU-u, pa se izvješćivanje ne provodi putem jednog vodećeg nadzornog tijela.
• Pogođeni pojedinci: pogođene ispitanike obavijestit ćemo bez nepotrebnog odgađanja kad bi povreda mogla prouzročiti visok rizik za njihova prava i slobode.
• Dokumentacija: sve povrede podataka, bez obzira na težinu, bilježimo u evidenciji povreda, uključujući činjenice, posljedice i poduzete korektivne mjere.

10. Kontakt za zaštitu podataka

Nismo imenovali službenika za zaštitu podataka i GDPR to od nas ne zahtijeva: članak 37. stavak 1. traži službenika za zaštitu podataka samo od tijela javne vlasti te od voditelja obrade koji opsežno prate pojedince ili opsežno obrađuju posebne kategorije podataka. Za zaštitu podataka odgovorna je uprava društva, koja i odgovara na takve zahtjeve. Možeš nam se javiti ovdje:

11. Nadzorno tijelo i pritužbe

Ako smatraš da naša obrada tvojih osobnih podataka krši propise o zaštiti podataka, imaš pravo podnijeti pritužbu nadzornom tijelu (članak 77.). Koje je to tijelo, ovisi o tome gdje se ti nalaziš, a ne o tome gdje se nalazimo mi:

11.1 Ako se nalaziš u Europskom gospodarskom prostoru

Pritužbu možeš podnijeti nadzornom tijelu u državi članici u kojoj živiš, u kojoj radiš ili u kojoj je došlo do navodne povrede. Budući da imamo poslovni nastan u Ujedinjenoj Kraljevini, a ne u Uniji, nijedno tijelo ne djeluje kao naše vodeće nadzorno tijelo — nadležno je nadzorno tijelo tvoje države. U Hrvatskoj je to Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, www.azop.hr. Europski odbor za zaštitu podataka objavljuje aktualne kontakte svih nacionalnih tijela:

11.2 Ako se nalaziš u Ujedinjenoj Kraljevini

Nadzorno tijelo za Ujedinjenu Kraljevinu je Information Commissioner’s Office. Podaci u nastavku su podaci samog ICO-a — to nisu naši kontakti; za kontakt s nama vidi odjeljak „Kontakt za zaštitu podataka” iznad.

Ostvarivanje tog prava ništa te ne stoji i ne ovisi o prethodnom obraćanju nama — ali radije bismo problem riješili prije nego što do toga dođe. Ako pišeš na privacy@printedin.com, odgovorit ćemo u roku od 30 dana.