Politika privatnosti

Ova Politika privatnosti opisuje kako se osobni podaci obrađuju pri korištenju CZIS edukacijske platforme. Primjenjuje se na korisnike edukacija, supervisore i druge osobe čiji se podaci obrađuju kroz platformu.

1. Uloge u obradi osobnih podataka

Za podatke zaposlenika koji se obrađuju radi provedbe edukacije voditelj obrade u pravilu je organizacija koja korisniku osigurava pristup platformi, određuje svrhu edukacije i odlučuje koje će osobe edukaciju pohađati.

Centar za informacijsku sigurnost i sustave d.o.o. (CZIS) pruža i održava platformu te za takve obrade u pravilu postupa kao izvršitelj obrade prema uputama organizacije. Za tehnička pitanja o platformi kontakt je info@czis.hr.

Za određene vlastite obrade povezane sa sigurnošću platforme, administratorskim zapisima i ispunjavanjem vlastitih zakonskih obveza CZIS može postupati kao samostalni voditelj obrade u opsegu u kojem samostalno određuje svrhe i sredstva takve obrade.

2. Kategorije podataka

• ime i prezime, korisničko ime i pripadnost organizaciji;
• funkcija/radno mjesto, odjel i poslovna e-mail adresa ako se unesu;
• podatak o supervisorskoj ovlasti;
• dodijeljene edukacije, napredak, odgovori, pokušaji, rezultati, datumi završetka i izdane potvrde;
• tehnički i sigurnosni zapisi potrebni za autentikaciju, zaštitu sustava, audit i rješavanje incidenata;
• evidencija da je potvrđeno čitanje Obavijesti o obradi osobnih podataka i ove Politike privatnosti pri registraciji i/ili prvom osobnom loginu.

PIN se pohranjuje kao sigurnosni hash, a ne u čitljivom obliku. Platforma nije namijenjena unosu posebnih kategorija osobnih podataka poput zdravstvenih podataka, vjerskih ili političkih uvjerenja.

3. Svrhe obrade

• kreiranje, autentikacija i zaštita korisničkog računa;
• omogućavanje pristupa edukacijama;
• praćenje napretka, pokušaja i rezultata;
• izdavanje i provjera potvrda o završenim edukacijama;
• read-only praćenje statusa zaposlenika od strane ovlaštenog supervisora unutar iste organizacije;
• sigurnost platforme, sprječavanje zlouporabe, audit i odgovor na incidente;
• tehnička podrška, održavanje i sigurnosne kopije.

4. Pravna osnova

Pravnu osnovu za obradu podataka zaposlenika u vezi s provedbom edukacije određuje organizacija koja je voditelj obrade, sukladno svrsi edukacije i primjenjivim propisima. Samostalna registracija korisnika ne znači da se privola automatski koristi kao pravna osnova.

Checkbox pri registraciji i/ili prvom osobnom loginu služi isključivo za potvrdu da je korisnik pročitao Obavijest o obradi osobnih podataka i ovu Politiku privatnosti.

5. Tko može pristupati podacima

• ovlaštene osobe organizacije koja je voditelj obrade;
• supervisor organizacije, isključivo read-only i samo za korisnike vlastitog tenanta;
• ovlašteni CZIS administratori i tehničko osoblje u opsegu potrebnom za pružanje, sigurnost i održavanje platforme;
• ugovorni pružatelji hostinga i drugih tehničkih usluga kada su potrebni za rad platforme i kada je njihov pristup uređen odgovarajućim obvezama zaštite podataka;
• nadležna tijela kada za to postoji zakonska obveza.

6. Rokovi čuvanja

Osobni podaci čuvaju se samo onoliko dugo koliko je potrebno za svrhu obrade, dokazivanje provedene edukacije, ugovorne i zakonske obveze te sigurnost sustava. Konkretne rokove ili kriterije čuvanja za podatke zaposlenika određuje organizacija koja je voditelj obrade. Sigurnosni i aplikacijski zapisi te sigurnosne kopije podliježu zasebnim rokovima čuvanja primjerenima njihovoj svrsi.

7. Prijenosi podataka i tehnički pružatelji

Hosting, sigurnosne kopije i druge tehničke usluge mogu uključivati ugovorne pružatelje usluga. U produkcijskom okruženju takvi pružatelji i eventualni prijenosi osobnih podataka izvan Europskog gospodarskog prostora moraju biti uređeni u skladu s primjenjivim pravilima zaštite osobnih podataka i ugovornim odnosom s voditeljem obrade.

8. Prava ispitanika

Ovisno o pravnoj osnovi i okolnostima obrade, možete imati pravo na pristup svojim podacima, ispravak, brisanje, ograničenje obrade, prigovor, prenosivost i druga prava predviđena GDPR-om. Za ostvarivanje prava prvenstveno se obraćate organizaciji koja vam je omogućila pristup edukaciji.

Ako smatrate da se vaši osobni podaci obrađuju protivno propisima, imate pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP).

9. Automatizirana obrada rezultata

Platforma automatski izračunava rezultate testova prema unaprijed definiranim točnim odgovorima i pragu prolaza. Taj izračun služi provedbi edukacije. O eventualnim organizacijskim posljedicama rezultata odlučuje organizacija koja je voditelj obrade.

10. Kolačići i pohrana u pregledniku

Platforma koristi nužni session cookie za autentikaciju i sigurnost korisničke sesije. Za postavke sučelja može koristiti localStorage, a za privremeno stanje interaktivnih elemenata sessionStorage. Ti mehanizmi nisu namijenjeni oglašavanju ni profiliranju korisnika.

11. Sigurnost osobnih podataka

Primjenjuju se tehničke i organizacijske mjere kao što su tenant izolacija, kontrola ovlasti, read-only supervisorski pristup, hashiranje PIN-a, CSRF zaštita, sigurnosni HTTP headeri, audit, ograničenje pokušaja prijave i sigurnosne kopije. Mjere se trebaju redovito preispitivati u skladu s rizikom i promjenama platforme.

12. Promjene politike

Politika se može ažurirati kada se promijene funkcionalnosti platforme, način obrade podataka, tehnička infrastruktura ili primjenjivi propisi. Na stranici se navode broj verzije i datum početka primjene.