Politika privatnosti
verzija 3.0Obaveštenje o obradi podataka o ličnosti na platformi UniCRM
1. Ko je rukovalac i kako da nas kontaktirate
Za obradu vaših podataka o ličnosti odgovorna je GG “Studentska lista – Studenti pobeđuju” koja upravlja ovom instancom platforme UniCRM (u daljem tekstu: „Rukovalac“). U skladu sa članom 23. ZZPL, u nastavku su navedeni identitet i kontakt podaci Rukovaoca. Sve zahteve i pitanja u vezi sa obradom vaših podataka o ličnosti možete uputiti putem navedenih komunikacionih kanala.
- Naziv rukovaoca: GG “Studentska lista – Studenti pobeđuju”
- Elektronska pošta: univig.nis@proton.me
2. Koji se propisi primenjuju
Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018) (u daljem tekstu: ZZPL) se primenjuje kada Rukovalac ima sedište, prebivalište ili boravište u Republici Srbiji i obradu vrši u okviru svojih aktivnosti u Srbiji, kao i u slučajevima iz člana 3. ZZPL koji se odnose na lica sa prebivalištem ili boravištem u Srbiji. Za takve obrade ZZPL je primarni propis.
Uredba (EU) 2016/679 (u daljem tekstu: GDPR) se primenjuje u granicama svoje teritorijalne primene iz člana 3. GDPR-a, a naročito ako Rukovalac ima predstavništvo u EU ili prati ponašanje, odnosno nudi usluge licima u EU.
Ovo obaveštenje o obradi primarno je usklađeno sa ZZPL-om, uz uporedne reference na GDPR gde je to korisno.
3. Koje podatke obrađujemo, u koje svrhe i po kom osnovu
Platforma UniCRM je sistem za jednu organizaciju (pristup isključivo po pozivu) namenjen upravljanju članstvom i obukama. U nastavku je pregled kategorija podataka, svrha i pravnih osnova obrade i roka čuvanja. Rokovi čuvanja detaljno su prikazani i u nastavku dokumenta.
| Kategorija podataka | Svrha | Pravni osnov (ZZPL) | Rok čuvanja |
|---|---|---|---|
| Podaci naloga: ime i prezime, broj telefona, e-pošta, Telegram korisničko ime, datum registracije | Prijava, autentifikacija (prijava bez lozinke putem jednokratnog koda) i upravljanje članstvom | Izvršenje ugovora — čl. 12 st. 1 tač. 2 | za vreme članstva + 12 meseci, zatim anonimizacija |
| Organizacioni podaci: mesto stanovanja, adresa, uloge/tvrdnje (claims), tagovi (organizacione jedinice) | Organizacija obuka, oblasti rada i kontrola pristupa (opsegovanje) | Legitimni interes — čl. 12 st. 1 tač. 2 i 6 | sa članstvom |
| JMBG (jedinstveni matični broj građana) | Prijava članova biračkih odbora | Saglasnost – čl. 12 st. 1 | sa nalogom (šifrovano) |
| Biračko mesto | Prijava na obuke / simulacije izbornog dana i evidencija | Saglasnost – čl. 12 st. 1 | sa nalogom (šifrovano) |
| Istorija i evidencija prijava (vreme, uspeh/neuspeh, šifrovani razlog neuspeha) | Bezbednost naloga i sistema | Legitimni interes — čl. 12 st. 1 tač. 6 | 12 meseci (kotrljajuće) |
| Evidencija pohađanja obuka i uloge trenera; napomene uz obuku | Evidencija obuka i prisustva | Izvršenje ugovora / legitimni interes | 36 meseci od datuma obuke |
| Zahtevi za obuke — kontakt-lica trećih strana (ime, telefon, e-pošta) | Logistika obuka | Legitimni interes — čl. 12 st. 1 tač. 6 (podaci se ne prikupljaju od samog lica — čl. 24) | 12 meseci od datuma obuke |
| Mreža preporuka i nivo poverenja (TrustLevel) | Interna organizacija; profilisanje bez pravnog učinka | Legitimni interes — čl. 12 st. 1 tač. 6 | sa nalogom (interna evidencija) |
| Datoteke (naziv, postavljač, token deljenja, sadržaj) i sadržajni blokovi (CMS) | Deljenje dokumenata i interni sadržaj unutar organizacije | Legitimni interes — čl. 12 st. 1 tač. 6 | dok traje deljenje + 12 meseci |
| Evidencije odgovornosti: prihvatanja obaveštenja, zahtevi za brisanje, revizija privatnosti, izmene prava pristupa | Dokazivanje usklađenosti i odgovornost rukovaoca (čl. 5 st. 2) | Pravna obaveza — čl. 12 st. 1 tač. 3 | 12–24 meseca (videti Pogl. 9) |
Kada podatke ne prikupljamo neposredno od lica na koje se odnose (npr. kontakt osoba naveden u zahtevu za obuku), izvor tih podataka je organizacija ili član koji je podneo zahtev za obuku, a podaci se koriste isključivo za logistiku te obuke i brišu se 12 meseci nakon obuke.
Kada organizacija ima politički karakter, sama činjenica da je neko njen volonter ili član može otkrivati političko uverenje tog lica. U tom slučaju obrada podataka o članstvu volontera i članova predstavlja obradu posebne vrste podataka o ličnosti. U tom slučaju primenljiv je izuzetak koji propisuje ZZPL kojim se dozvoljava obrada posebnih vrsta podataka o ličnosti koju u okviru svojih aktivnosti vrši udruženje ili druga nedobitna organizacija sa političkim, filozofskim, verskim ili sindikalnim ciljem, pod uslovom da se obrada odnosi isključivo na članove ili lica koja su u redovnom kontaktu sa organizacijom u vezi sa njenim ciljevima i da se podaci ne otkrivaju izvan organizacije bez pristanka lica.
Ukoliko je obrada određenih podataka o ličnosti zakonska ili ugovorna obaveza ili neophodan uslov za zaključenje ugovora, neophodno je da nam date te podatke o ličnosti. U suprotnom, nećemo biti u mogućnosti da ispunimo svoje zakonske obaveze, ili zaključimo ili izvršimo ugovor.
Rukovalac u određenim situacijama može vršiti profilisanje lica u cilju povećanja pouzdanosti i efikasnosti sistema.
4. Kome se podaci otkrivaju i prenos podataka
Vaše podatke ne prodajemo i ne delimo sa trećim licima u marketinške svrhe. Podaci se otkrivaju samo u sledećim slučajevima:
- Obrađivač (SMTP provajder). Provajder usluge elektronske pošte koji u naše ime dostavlja jednokratne prijavne kodove prima adresu e-pošte primaoca i šestocifreni kôd. Sa ovim obrađivačem zaključujemo ugovor ili drugi pravno obavezujući akt o obradi. Platforma ne koristi analitiku, mreže za isporuku sadržaja (CDN) niti skripte trećih strana.
- Unutar organizacije. Datoteke koje postavite i pojedini podaci vidljivi su drugim članovima u skladu sa podešavanjima vidljivosti i pravima pristupa (tagovi organizacionih jedinica).
Ako se obrađivač ili podobrađivač nalazi van Srbije, prenos podataka van Republike Srbije se vrši samo uz primenu odgovarajućih pravila ZZPL o prenosu podataka o ličnosti u druge države i međunarodne organizacije.
5. Koliko dugo čuvamo podatke
Podatke čuvamo samo onoliko koliko je potrebno za svrhu obrade, u skladu sa načelom ograničenja čuvanja podataka. Brisanje/anonimizacija je automatizovano; po isteku članstva podaci naloga se anonimizuju (uklanjaju se lični identifikatori uz zadržavanje statistike).
| Kategorija podataka | Rok čuvanja |
|---|---|
| Istorija prijava | 12 meseci (kotrljajuće) |
| Revizija privatnosti i evidencije dodela uloga/tagova/privilegija | 24 meseca |
| Kontakt-podaci trećih lica iz zahteva za obuke | 12 meseci od datuma obuke |
| Evidencija pohađanja obuka i uloge trenera | 36 meseci od datuma obuke |
| Zahtevi za brisanje naloga (izvršeni) | 12 meseci od izvršenja |
| Prihvatanja obaveštenja o privatnosti | za vreme članstva + 12 meseci |
| Podaci naloga po prestanku članstva | anonimizacija (lični identifikatori se uklanjaju) |
| Rezervne kopije (bekapovi) | rotacija 30 dana; brisanje/anonimizacija se propagira u roku do 30 dana |
| Anonimizovani („nadgrobni“) zapisi | zadržavaju se samo dok više ne omogućavaju identifikaciju lica |
6. Vaša prava i kako da ih ostvarite
U vezi sa obradom vaših podataka o ličnosti imate sledeća prava prema ZZPL:
- Pravo na pristup: imate pravo da dobijete informaciju o tome da li se vaši podaci obrađuju i pristup tim podacima, kao i informacijama o samoj obradi.
- Pravo na ispravku i dopunu: imate pravo na ispravku netačnih i dopunu nepotpunih podataka.
- Pravo na brisanje / „pravo na zaborav“: imate pravo na brisanje podataka pod uslovima propisanim zakonom.
- Pravo na ograničenje obrade: imate pravo na ograničenje obrade u zakonom predviđenim slučajevima.
- Pravo na prenosivost podataka: imate pravo da zatražite prijem podataka koje ste nam prethodno dostavili, u strukturisanom, uobičajeno korišćenom i elektronski čitljivom obliku.
- Pravo na prigovor: imate pravo na prigovor na obradu u zakonom propisanim slučajevima.
- Pravo na opoziv pristanka: kada se obrada zasniva na pristanku, imate pravo da ga opozovete u svakom trenutku. Pristanak je uvek dobrovoljan, konkretan i informisan, i može se opozvati u svakom trenutku, jednako jednostavno kao što je i dat. Opoziv ne utiče na zakonitost obrade vršene pre opoziva.
Kako ostvarujete prava: većinu prava možete ostvariti samostalno i neposredno u aplikaciji: stranica „Moji podaci“ omogućava pregled i izvoz podataka (u JSON i CSV formatu), a profil izmenu podataka; brisanje naloga pokreće se u aplikaciji uz dodatnu potvrdu jednokratnim kodom. Kao alternativu, zahtev uvek možete podneti i pisanim putem na adresu elektronske pošte Rukovaoca iz Poglavlja 1.
Informacije o postupanju po vašem zahtevu daćemo vam bez odlaganja, a najkasnije u roku od 30 dana od prijema zahteva. Taj rok može biti produžen za još 60 dana kada je to potrebno zbog složenosti ili broja zahteva, o čemu ćete biti obavešteni.
7. Pravo na pritužbu Povereniku
Nezavisno od ostalih pravnih sredstava, u svakom trenutku možete podneti pritužbu Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti (Bulevar kralja Aleksandra 15, Beograd; poverenik.rs), koji je nadzorni organ nadležan za obrade na koje se primenjuje ZZPL.
8. Kolačići (cookies)
Platforma koristi isključivo neophodne kolačiće: prijavni kolačić sesije (autentifikacija), kolačić za zaštitu od CSRF napada (antiforgery) i privremeni kolačić poruka. Ne koristimo analitičke, reklamne niti kolačiće trećih strana, pa posebna saglasnost za kolačiće nije potrebna. Privremene poruke sučelja ne sadrže imena korisnika.
9. Bezbednost obrade
Primenjujemo odgovarajuće tehničke, organizacione i kadrovske mere zaštite u skladu sa članom 50 ZZPL, srazmerne riziku. Mere obuhvataju, između ostalog:
- šifrovanje osetljivih podataka u bazi i zaštićenu komunikaciju (HTTPS/HSTS);
- kontrolu pristupa zasnovanu na ulogama, privilegijama i organizacionim jedinicama, uz nepromenljive (append-only) revizijske evidencije promena prava;
- prijavu bez lozinke jednokratnim kodom (ograničeno trajanje i broj pokušaja; kodovi se ne beleže u logove);
- zaštitu datoteka (čuvanje van korena veb-sajta, nasumični nazivi, provera prava pri preuzimanju, ograničenje tipova i veličine);
- evidentiranje pregleda osetljivih podataka i svih izvoza/brisanja.
Tehničke mere za JMBG i biračko mesto: ovi podaci se čuvaju šifrovano u bazi; pristup je ograničen posebnom privilegijom (view_sensitive_data), uklonjeni su iz svih lista, kartica i izvoza za druge korisnike, a svaki pregled tuđih osetljivih podataka beleži se u nepromenljivu revizijsku evidenciju. Svaki korisnik u svakom trenutku može videti i izmeniti sopstveni JMBG i biračko mesto na svom profilu i, ako obrada nije neophodna, zahtevati brisanje.
10. Izmene ovog obaveštenja
Ovo obaveštenje možemo s vremena na vreme izmeniti. Svaka izmena nosi novu oznaku verzije, a važeća verzija je uvek dostupna na stranici Politika privatnosti. Kod bitnih izmena obaveštenje se ponovo prikazuje pri prvoj narednoj prijavi.