To obvestilo dopolnjuje splošno Politiko zasebnosti podjetja ČETRTA POT d.o.o. s specifičnimi informacijami o obdelavi osebnih podatkov v okviru portala za prijavo napak (Jira Service Management). Za splošne informacije o varstvu osebnih podatkov, kontakt pooblaščene osebe za varstvo podatkov in pravicah posameznikov velja krovna Politika zasebnosti, razen kjer to obvestilo določa drugače zaradi specifične narave storitve, opisane v nadaljevanju.
Vloga ČETRTE POTI d.o.o. pri tej storitvi
Pri zagotavljanju podpore in odpravljanju napak preko portala Jira Service Management ČETRTA POT d.o.o. nastopa kot pogodbeni obdelovalec osebnih podatkov v skladu s členom 28 GDPR (SUVP). To pomeni, da osebne podatke, ki se pojavijo v zahtevkih za podporo, obdelujemo izključno po navodilih in v imenu naročnika (upravljavca), z namenom izvajanja vzdrževalne pogodbe oziroma pogodbe o izvajanju storitev.
Razmerje med nami kot obdelovalcem in naročnikom kot upravljavcem je podrobneje urejeno v Pogodbi o obdelavi osebnih podatkov (DPA), ki je sestavni del pogodbene dokumentacije in vsebuje predmet, trajanje, naravo in namen obdelave, vrsto osebnih podatkov, kategorije posameznikov ter medsebojne obveznosti in pravice.
Lokacija in hramba podatkov
Podatki, prijavljeni čez portal za prijavo napak, se hranijo znotraj EU (nastavljen "Data residency"). Čeprav je podatke v portal možno posredovati tudi preko elektronske pošte, priporočamo oddajo zahtevkov z zaupno vsebino direktno preko portala, s čimer se izognemo tveganjem povezanim z izmenjavo podatkov preko poštnih strežnikov.
V kolikor gre za izmenjavo posebej občutljivih podatkov, oziroma vaša politika ne dopušča uporabe tega portala, vam bo izvajalec posredoval link do portala, kamor lahko varno naložite zaupno vsebino. Na voljo sta predvsem:
-
NextCloud (podatki hranjeni lokalno na strežniku podjetja v Kranju)
-
Sharepoint (v Microsoft O365 okolju, EU regija)
Zahtevki in z njimi povezana vsebina (priloge, komentarji, dokumentacija o napaki) se hranijo ves čas trajanja pogodbe. Po izteku tega roka se podatki izbrišejo ali anonimizirajo, razen če zakon ali pogodba določa drugače. Enak rok hrambe velja tudi za vsebino, naloženo preko NextCloud ali Sharepoint kanala.
Pravna podlaga obdelave
Pravna podlaga za obdelavo osebnih podatkov, ki se pojavijo v zahtevkih, je naša vzdrževalna pogodba oziroma pogodba o izvajanju storitev, ki jo imamo sklenjeno z naročnikom (člen 6(1)(b) GDPR). V kolikor se v zahtevkih znajdejo osebni podatki tretjih oseb, ki niso pogodbena stranka (npr. kontaktne osebe naročnika, podatki v posnetkih zaslona ali dnevniških datotekah), te obdelujemo na podlagi zakonitega interesa za odpravo napake oziroma izvajanje podpore (člen 6(1)(f) GDPR), pri čemer takšne podatke obdelujemo zgolj v obsegu, ki je nujno potreben za rešitev prijavljene napake.
Pod-obdelovalci
Pri izvajanju storitev uporabljamo naslednje pod-obdelovalce:
-
Atlassian (ponudnik infrastrukture Jira Service Management) – več o Atllasian platformi si lahko preberete na: https://www.atlassian.com/trust/privacy/country/europe-and-gdpr
-
Microsoft (ponudnik storitve Sharepoint/O365, v primeru izmenjave preko tega kanala) – podatki se obdelujejo znotraj EU regije
O vsaki spremembi ali dodatku pod-obdelovalca naročnika obvestimo vnaprej, pri čemer ima naročnik pravico do ugovora skladno z določili DPA.
Priporočilo glede vsebine zahtevkov
V kolikor prijava napake vsebuje posnetke zaslona, dnevniške datoteke ali druge priloge, ki lahko vsebujejo osebne podatke (npr. e-poštni naslovi, uporabniška imena, izjemoma tudi posebne kategorije podatkov), naročnika prosimo, da pred oddajo zahtevka po možnosti odstrani ali zamaskira podatke, ki niso nujno potrebni za odpravo napake.
Kršitve varstva osebnih podatkov
V primeru ugotovljene kršitve varstva osebnih podatkov, ki se nanaša na podatke obdelovane v okviru te storitve, o tem obvestimo naročnika brez nepotrebnega odlašanja, skladno s členom 33 GDPR.
Pravice posameznikov in pritožba
Za uveljavljanje pravic posameznikov (dostop, popravek, izbris, omejitev obdelave, ugovor) ter za vprašanja glede obdelave osebnih podatkov v okviru te storitve je dosegljiva pooblaščena oseba za varstvo osebnih podatkov v podjetju ČETRTA POT d.o.o. na naslovu dpo@cetrtapot.si, kot je navedeno tudi v krovni Politiki zasebnosti.