Skladnost z GDPR

1. Naša zaveza GDPR

UnnaData je bila ustanovljena z zasebnostjo kot svojim temeljem. Kot platforma za skladnost z GDPR, ki jo poganja UI, razumemo, da je zaupanje naša najdragocenejša dobrina. V celoti smo zavezani k spoštovanju Splošne uredbe o varstvu podatkov (EU) 2016/679 ("GDPR") in zagotavljanju, da se s podatki naših strank ravna z največjo skrbnostjo in preglednostjo.

2. Načela GDPR, ki jih spoštujemo

Dejavnosti obdelave podatkov UnnaData upoštevajo sedem ključnih načel GDPR, opredeljenih v členu 5:

Načelo	Kako ga izvajamo
Zakonitost, poštenost, preglednost	Jasna politika zasebnosti, izrecni mehanizmi soglasja, pregledne prakse ravnanja s podatki
Omejitev namena	Podatki zbrani le za določene, izrecne in zakonite namene
Najmanjši obseg podatkov	Zbiramo le najmanjšo količino podatkov, potrebno za zagotavljanje naših Storitev
Točnost	Uporabniki lahko kadar koli posodobijo svoje podatke; redni pregledi kakovosti podatkov
Omejitev shranjevanja	Določena obdobja hrambe za vse kategorije podatkov; samodejne politike izbrisa
Celovitost & zaupnost	Šifriranje, nadzor dostopa, spremljanje varnosti in odzivanje na incidente
Odgovornost	Dokumentirane politike, procesi DPIA, imenovanje pooblaščene osebe za varstvo podatkov, redne revizije

3. Pravna podlaga za obdelavo

Osebne podatke obdelujemo na podlagi naslednjih pravnih podlag, opredeljenih v členu 6(1) GDPR:

• Izpolnjevanje pogodbe (čl. 6(1)(b)): obdelava, potrebna za zagotavljanje naših Storitev, kot je dogovorjeno v naših Pogojih poslovanja, vključno z upravljanjem računa, shranjevanjem dokumentov in analizo skladnosti, ki jo poganja UI.
• Zakoniti interes (čl. 6(1)(f)): spremljanje varnosti, preprečevanje goljufij, izboljševanje storitev in analitika. Izvajamo teste tehtanja interesov, da zagotovimo, da naši interesi ne prevladajo nad pravicami posameznikov, na katere se nanašajo osebni podatki.
• Soglasje (čl. 6(1)(a)): trženjska sporočila, neobvezni analitični piškotki in vsaka druga neobvezna obdelava. Soglasje je mogoče kadar koli preklicati.
• Zakonska obveznost (čl. 6(1)(c)): hramba davčnih evidenc, regulativno poročanje in odzivanje na zakonite zahteve organov po dostopu do podatkov.

4. Pravice posameznikov, na katere se nanašajo osebni podatki

V celoti podpiramo vse pravice posameznikov, na katere se nanašajo osebni podatki, po GDPR. Te pravice lahko kadar koli uveljavljate tako, da kontaktirate našo pooblaščeno osebo za varstvo podatkov:

• Pravica do dostopa (čl. 15): zahtevate popolno kopijo vseh osebnih podatkov, ki jih hranimo o vas.
• Pravica do popravka (čl. 16): zahtevate popravek kakršnih koli netočnih ali nepopolnih osebnih podatkov.
• Pravica do izbrisa (čl. 17): zahtevate izbris svojih osebnih podatkov, ob upoštevanju zakonskih zahtev glede hrambe.
• Pravica do omejitve obdelave (čl. 18): zahtevate, da v določenih okoliščinah omejimo način obdelave vaših podatkov.
• Pravica do prenosljivosti podatkov (čl. 20): prejmete svoje podatke v strukturirani, splošno uporabljani in strojno berljivi obliki.
• Pravica do ugovora (čl. 21): ugovarjate obdelavi, ki temelji na zakonitem interesu ali se izvaja za namene neposrednega trženja.
• Pravice v zvezi z avtomatiziranim sprejemanjem odločitev (čl. 22): ne sprejemamo odločitev, ki temeljijo izključno na avtomatizirani obdelavi in imajo pravne učinke. Naša UI zagotavlja priporočila, ki jih pregleda človek.

Odzivni čas: na vse zahteve posameznikov, na katere se nanašajo osebni podatki, odgovorimo v 30 dneh. V zapletenih primerih lahko ta rok podaljšamo za dodatnih 60 dni, o čemer vas obvestimo.

Nadzorni organ: imate pravico vložiti pritožbo pri organu za varstvo podatkov države članice EU, v kateri prebivate, delate ali kjer je prišlo do domnevne kršitve. UnnaData OÜ ima sedež v Estoniji, kjer je pristojni nadzorni organ Andmekaitse Inspektsioon (estonski inšpektorat za varstvo podatkov).

5. Tehnični & organizacijski ukrepi

Izvajamo celovite tehnične in organizacijske ukrepe za zagotovitev ravni varnosti, ustrezne tveganju (člen 32 GDPR):

5.1 Tehnični ukrepi

• Šifriranje: AES-256 za podatke v mirovanju, TLS 1.3 za podatke med prenosom
• Avtentikacija: e-pošta/geslo z žetoni JWT; kratkotrajni dostopni žetoni (30 min) in daljši žetoni za osvežitev (7 dni)
• Nadzor dostopa: nadzor dostopa na podlagi vlog (RBAC) z vlogami Organization Admin, Admin in Member
• Omrežna varnost: izolacija VPC, varnostne skupine, šifrirana komunikacija gRPC
• Beleženje revizijske sledi: celovito beleženje vseh zahtevkov API, dogodkov avtentikacije in dostopa do podatkov
• Varnostno kopiranje & obnovitev: redne šifrirane varnostne kopije s preizkušenimi postopki obnovitve

5.2 Organizacijski ukrepi

• Vgrajeno varstvo podatkov: vidiki varstva podatkov, vgrajeni v vsako funkcijo že od faze zasnove
• Privzeto varstvo podatkov: privzeto uporabljene najbolj omejevalne nastavitve zasebnosti
• Usposabljanje zaposlenih: redno usposabljanje o GDPR in varnosti za vse člane ekipe
• Politike dostopa: načelo najmanjših potrebnih pravic, uporabljeno za vse notranje sisteme
• Ocena ponudnikov: ocena varnosti in zasebnosti vseh zunanjih ponudnikov
• Odzivanje na incidente: dokumentiran načrt odzivanja na incidente z opredeljenimi vlogami in postopki

6. Obdelava podatkov

6.1 UnnaData kot upravljavec podatkov

Ko ustvarite račun in uporabljate našo platformo, UnnaData deluje kot upravljavec podatkov za vaše osebne podatke o računu (ime, e-pošta, avtentikacijski podatki, podatki o uporabi).

6.2 UnnaData kot obdelovalec podatkov

Ko na našo platformo naložite dokumente in podatke o skladnosti, UnnaData v vašem imenu deluje kot obdelovalec podatkov. V tej vlogi:

• vaše podatke obdelujemo le v skladu z vašimi navodili (kot so opredeljena v naših Pogojih poslovanja in Pogodbi o obdelavi podatkov)
• izvajamo ustrezne tehnične in organizacijske varnostne ukrepe
• vaših podatkov ne delimo s tretjimi osebami, razen kadar je to potrebno za zagotavljanje Storitev in kot je razkrito v naši Politiki zasebnosti
• vam pomagamo pri izpolnjevanju zahtev posameznikov, na katere se nanašajo osebni podatki
• vaše podatke ob prenehanju naše pogodbe izbrišemo ali vrnemo

6.3 Pogodba o obdelavi podatkov

Ponujamo celovito Pogodbo o obdelavi podatkov (DPA), skladno s členom 28 GDPR. Stranke Enterprise lahko zaprosijo za prilagojeno DPA. Za podrobnosti kontaktirajte legal@unnadata.com.

7. Podobdelovalci

Vodimo posodobljen seznam podobdelovalcev, ki v našem imenu obdelujejo osebne podatke:

Podobdelovalec	Namen	Lokacija	Zaščitni ukrepi
Amazon Web Services (AWS)	Oblačna infrastruktura, gostovanje, shranjevanje	EU (Irska, eu-west-1)	DPA, SOC 2, ISO 27001
Anthropic	Jezikovni model UI (Claude) za analizo skladnosti	Združene države Amerike	DPA, SCC, politika ničelne hrambe podatkov
Stripe	Obdelava plačil	Združene države Amerike / EU	DPA, SCC, PCI DSS Level 1

O vseh spremembah našega seznama podobdelovalcev bomo stranke obvestili vsaj 30 dni vnaprej, s čimer vam damo možnost, da temu ugovarjate.

8. Mednarodni prenosi podatkov

Vaši podatki se primarno hranijo in obdelujejo v Evropski uniji (AWS eu-west-1, Irska). Kadar je treba podatke prenesti zunaj EGP (na primer podjetju Anthropic za obdelavo UI), zagotovimo ustrezne zaščitne ukrepe:

• Standardne pogodbene klavzule (SCC): klavzule, ki jih je odobrila EU, v skladu z izvedbenim sklepom Evropske komisije (EU) 2021/914
• Ocene učinka prenosa: izvajamo ocene predpisov o varstvu podatkov v državah prejemnicah
• Dodatni ukrepi: dodatni tehnični in organizacijski ukrepi, vključno s šifriranjem, psevdonimizacijo in nadzorom dostopa
• Najmanjši obseg podatkov: za obdelavo UI se prenese le najmanjša potrebna količina podatkov

9. Obveščanje o kršitvi varstva osebnih podatkov

V primeru kršitve varstva osebnih podatkov ravnamo po strogem protokolu obveščanja, skladnem s členoma 33 in 34 GDPR:

• Notranje odkrivanje: neprekinjeno spremljanje varnosti in samodejni sistemi opozarjanja
• Obvestitev organa v 72 urah: pristojni nadzorni organ obvestimo v 72 urah, odkar smo izvedeli za kršitev, ki jo je treba prijaviti
• Obvestitev strank: prizadete stranke obvestimo brez nepotrebnega odlašanja, vključno s podrobnostmi o kršitvi, njenih verjetnih posledicah in sprejetih ukrepih
• Obvestitev posameznikov, na katere se nanašajo osebni podatki: kadar kršitev verjetno pomeni veliko tveganje za posameznike, neposredno obvestimo prizadete posameznike
• Dokumentacija: vse kršitve so dokumentirane z dejstvi, učinki in sprejetimi popravnimi ukrepi

10. Pooblaščena oseba za varstvo podatkov

UnnaData je imenovala pooblaščeno osebo za varstvo podatkov (DPO) v skladu s členom 37 GDPR. Naša pooblaščena oseba je odgovorna za:

• spremljanje skladnosti z GDPR in povezanimi predpisi o varstvu podatkov
• svetovanje glede ocen učinka v zvezi z varstvom podatkov
• delovanje kot kontaktna točka za posameznike, na katere se nanašajo osebni podatki, in nadzorne organe
• usposabljanje osebja o obveznostih varstva podatkov

Našo pooblaščeno osebo lahko kontaktirate na: dpo@unnadata.com

11. Ocene učinka v zvezi z varstvom podatkov

V skladu z zahtevami člena 35 GDPR izvajamo ocene učinka v zvezi z varstvom podatkov (DPIA) za obdelovalne dejavnosti, ki bi lahko pomenile veliko tveganje za posameznike, na katere se nanašajo osebni podatki. To vključuje:

• funkcije analize dokumentov in klepeta, ki jih poganja UI
• obsežno obdelavo dokumentov v zvezi s skladnostjo
• razvoj novih funkcij, ki vključujejo osebne podatke
• spremembe podobdelovalcev ali mehanizmov prenosa podatkov

Ocene DPIA se redno pregledujejo in posodabljajo, naša pooblaščena oseba pa je vključena v celoten postopek.

12. Kontakt

Za vsa vprašanja o naši skladnosti z GDPR ali za uveljavljanje vaših pravic v zvezi z varstvom podatkov:

• Pooblaščena oseba za varstvo podatkov: dpo@unnadata.com
• Vprašanja o zasebnosti: privacy@unnadata.com
• Pravna ekipa: legal@unnadata.com

Za več podrobnosti o tem, kako ravnamo z vašimi osebnimi podatki, si oglejte našo Politiko zasebnosti in Politiko piškotkov.