Načela usklađenosti s GDPR-om

U društvu Eesti Firma (pravni naziv Eesti Firma OÜ, registarski broj 14164797, registrirana adresa: Vesivärava 50-301, 10152 Tallinn, Estonija) zaštita vaših osobnih podataka naš je najveći prioritet. Kao licencirani estonski pružatelj usluga osnivanja i upravljanja društvima te usluga povjerenja, osobne podatke obrađujemo u potpunosti u skladu s Općom uredbom o zaštiti podataka (EU) 2016/679 (GDPR) i estonskim Zakonom o zaštiti osobnih podataka (Isikuandmete kaitse seadus). Naša predanost privatnosti temelji se na načelima obrade podataka utvrđenima člankom 5. GDPR-a.

Ta načela usmjeravaju sve naše odluke o načinu obrade vaših podataka i temelj su naših internih postupaka. U nastavku objašnjavamo svako načelo, način na koji ga primjenjujemo u praksi, prava koja imate kao ispitanik te kako se obratiti nadležnom nadzornom tijelu. Detaljne informacije o pojedinim postupcima obrade podataka i zaštitnim mjerama navedene su u našoj Politici privatnosti.

Zakonitost, poštenost i transparentnost

Osobne podatke obrađujemo zakonito, pošteno i transparentno u odnosu na vas, kako je propisano člankom 5. stavkom 1. točkom (a) GDPR-a. To znači da se svaka obrada podataka provodi na zakonitoj osnovi, pošteno i otvoreno prema vama kao ispitaniku. U okviru ovog načela pridržavamo se sljedećih pristupa:

• Zakonitost: Vaše osobne podatke prikupljamo i upotrebljavamo samo kada za to postoji jasna i zakonita osnova u skladu s člankom 6. GDPR-a. Naše pravne osnove uključuju vašu informiranu privolu (kada je potrebna), izvršavanje ugovornih obveza, poštovanje zakonskih zahtjeva (primjerice obveza povezanih sa sprječavanjem pranja novca i KYC-om) ili naše legitimne poslovne interese koji nemaju prednost pred vašim pravima. Uvijek ćete biti obaviješteni o pravnoj osnovi obrade svojih podataka.
• Poštenost: Osiguravamo poštenu obradu podataka. To znači da podatke ne prikupljamo obmanjujućim putem niti ih upotrebljavamo na vašu štetu. Nikada vas ne dovodimo u zabludu o svrhama prikupljanja informacija ni o načinu njihove uporabe. Nadalje, uzimamo u obzir vaše interese i prava — primjerice, jamčimo nediskriminirajuće ostvarivanje vaših prava (kao što je pravo na pristup podacima), neovisno o uvjetima pružanja usluge. Obradu podataka provodimo tako da izbjegnemo neopravdanu štetu vašoj privatnosti.
• Transparentnost: Otvoreno i jasno komuniciramo o tome zašto se i kako vaši podaci upotrebljavaju. Sve informacije o obradi pružamo jednostavnim jezikom, bez pretjerane uporabe pravnog žargona. Naša Politika privatnosti i druge obavijesti uvijek su lako dostupne kako biste u svakom trenutku mogli saznati koje podatke prikupljamo, na kojoj osnovi i u koje svrhe. Kada je potrebno, primjenjujemo višeslojni pristup obavješćivanju — ističemo ključne informacije, a pojedinosti pružamo putem dodatnih poveznica ili opisa alata. Redovito ažuriramo informacije kako bi ostale aktualne te vas obavještavamo o svim značajnim promjenama. Ova transparentnost osigurava da točno znate kako se vaši osobni podaci obrađuju.

Ograničavanje svrhe

U skladu s člankom 5. stavkom 1. točkom (b) GDPR-a, osobne podatke prikupljamo i upotrebljavamo samo u posebne, unaprijed određene i zakonite svrhe o kojima ste prethodno obaviješteni. To znači da će se vaši podaci upotrebljavati isključivo u svrhe za koje su prikupljeni. Osobne podatke ne upotrebljavamo ni na koji novi način koji nije usklađen s izvornim svrhama. Primjerice, ako navedete svoju adresu e-pošte kako biste primali novosti o našoj usluzi, nećemo je bez vašeg znanja i privole podijeliti s partnerom u svrhu oglašavanja.

Sve svrhe obrade jasno su dokumentirane — u našim internim evidencijama i javnim dokumentima (kao što je Politika privatnosti) navodimo razloge prikupljanja određenih podataka. Pojavi li se potreba za uporabom podataka u novu svrhu koja nije u skladu s izvornom, prethodno ćemo zatražiti vašu zasebnu privolu ili osigurati drugu zakonitu osnovu za obradu. Stoga možete biti sigurni da se vaši osobni podaci neće upotrebljavati neočekivano niti izvan prvotno navedenih svrha.

Smanjenje količine podataka

Pridržavamo se načela smanjenja količine podataka (članak 5. stavak 1. točka (c) GDPR-a), što znači da prikupljamo samo osobne podatke koji su doista potrebni za navedene svrhe obrade. U praksi se to provodi na sljedeći način:

• Tražimo samo najmanju količinu podataka potrebnu za pružanje zatražene usluge ili ispunjenje ugovora. Obrasci i ankete na našoj internetskoj stranici osmišljeni su tako da ne prikupljaju nepotrebne informacije. Primjerice, ako su za prijavu na webinar potrebni samo vaše ime i adresa e-pošte, nećemo tražiti dodatne podatke koji s time nisu povezani.
• Načelo „ništa suvišno” pomaže nam smanjiti rizike za vašu privatnost. Što se manje podataka pohranjuje i obrađuje, to je manja vjerojatnost njihova curenja ili neovlaštenog pristupa. Ne prikupljamo informacije „za svaki slučaj” niti gomilamo podatke koji bi jednog dana mogli biti korisni. Svaki zahtjev za informacijama pomno je opravdan konkretnom potrebom.
• Također redovito preispitujemo podatke koje prikupljamo i uklanjamo sva polja ili zahtjeve koji nisu nužni. Time osiguravamo da u svim interakcijama tražimo samo informacije koje su doista potrebne za ostvarenje navedenih svrha.

Točnost

Održavanje osobnih podataka točnima i ažurnima (članak 5. stavak 1. točka (d) GDPR-a) još je jedno ključno načelo kojeg se pridržavamo. Ulažemo sve razumne napore kako bismo osigurali da su informacije koje čuvamo o vama točne, potpune i aktualne jer to utječe na kvalitetu naših usluga i vaše povjerenje. Radi osiguranja točnosti provodimo sljedeće mjere:

• Redovita ažuriranja: Ako se vaši osobni podaci promijene (primjerice, ažurirate broj telefona ili adresu), te promjene odmah unosimo u svoje sustave. Nastojimo spriječiti donošenje odluka na temelju zastarjelih ili netočnih informacija.
• Ispravljanje pogrešaka: Ako otkrijete da je neki od vaših podataka netočan ili zastario, uvijek nas možete obavijestiti — pogreške ćemo odmah ispraviti. Osim toga, u skladu s člankom 16. GDPR-a imate pravo na ispravak netočnih podataka, koje u potpunosti poštujemo pružajući vam praktične načine da nas obavijestite o svim netočnostima.
• Provjera ključnih podataka: U slučajevima kada je točnost podataka osobito važna (npr. za financijske transakcije ili pružanje pravno značajnih usluga), možemo poduzeti dodatne korake radi provjere i potvrde informacija. To može uključivati traženje popratne dokumentacije ili zajedničku provjeru podataka s vama. Sve te mjere osiguravaju da naše baze podataka sadržavaju samo točne informacije.
• Brisanje netočnih podataka: U skladu sa zahtjevima GDPR-a, netočni ili nepotpuni podaci koji se ne mogu ispraviti moraju se izbrisati bez nepotrebnog odgađanja. Pridržavamo se tog pravila: ako se utvrdi da je neka informacija netočna u odnosu na svrhe njezine obrade i ne može se ispraviti, odmah ćemo je izbrisati kako bismo spriječili moguće negativne posljedice.

Vaša je suradnja također ključna za održavanje točnosti: obavijestite nas ako se neki od vaših osobnih podataka promijeni ili ga treba ispraviti. Cijenimo vašu proaktivnost jer su točni podaci nužni za učinkovito pružanje usluga i zaštitu vaših prava.

Ograničenje pohrane

Osobne podatke čuvamo samo onoliko dugo koliko je potrebno za ostvarenje svrha za koje su prikupljeni. Ovo načelo ograničenja pohrane (članak 5. stavak 1. točka (e) GDPR-a) znači da svaka kategorija podataka ima utvrđen rok čuvanja, nakon kojeg se informacije sigurno brišu ili anonimiziraju. To osiguravamo na sljedeći način:

• Jasno utvrđeni rokovi čuvanja: Utvrđujemo razumne rokove čuvanja za različite vrste osobnih podataka, uzimajući u obzir svrhe obrade, naše zakonske i ugovorne obveze te primjenjive pravne zahtjeve. Primjerice, podaci o transakcijama i računovodstveni podaci čuvaju se tijekom razdoblja propisanog estonskim poreznim i računovodstvenim zakonodavstvom (uglavnom sedam godina), dok se podaci prikupljeni radi jednokratnog upita čuvaju kraće. Svi rokovi čuvanja navedeni su u našim internim pravilima i strogo ih se pridržavamo.
• Redovita preispitivanja: Povremeno preispitujemo svoja pravila o čuvanju podataka kako bismo osigurali da ostanu aktualna. Ako se poslovni procesi promijene ili se zakoni ažuriraju, u skladu s time prilagođavamo rokove čuvanja podataka. Takve provjere pomažu prepoznati osobne podatke koji više nisu potrebni. Provodimo preispitivanja kako bismo otkrili podatke koji se ne upotrebljavaju ili su zastarjeli te ih brišemo ako nisu potrebni ni za jednu zakonitu svrhu.
• Sigurno brisanje: Nakon isteka rokova čuvanja (ili ranije, ako podaci postanu nepotrebni), osobne podatke brišemo na način koji onemogućuje njihovo vraćanje ili identifikaciju. U nekim slučajevima, ako trenutačno brisanje nije moguće zbog tehničkih ograničenja, podatke najprije anonimiziramo (odvajamo ih od vašeg identiteta), a zatim ih brišemo kada to postane izvedivo. Podatke možemo čuvati i nakon isteka utvrđenog roka samo ako je to dopušteno zakonom — primjerice, ako se čuvaju u svrhu arhiviranja u javnom interesu ili u znanstvene ili statističke svrhe u skladu s člankom 89. stavkom 1. GDPR-a. Čak i u tim slučajevima osiguravamo odgovarajuće mjere zaštite povjerljivosti.

Smanjenjem razdoblja čuvanja osobnih podataka smanjujemo rizik od njihove zlouporabe ili izloženosti povredama tijekom vremena. Možete biti sigurni da vaše podatke ne čuvamo dulje nego što je potrebno i da se strogo pridržavamo utvrđenih rokova.

Cjelovitost i povjerljivost

Poduzimamo sve mjere kako bismo osigurali cjelovitost i povjerljivost vaših osobnih podataka (članak 5. stavak 1. točka (f) GDPR-a), štiteći ih od neovlaštenog pristupa, izmjene, otkrivanja ili uništenja. Ovo načelo sigurnosti podataka provodimo sveobuhvatno — tehničkim i organizacijskim sredstvima. Vaše podatke štitimo na sljedeći način:

• Suvremene sigurnosne tehnologije: Primjenjujemo odgovarajuće tehničke sigurnosne mjere za zaštitu osobnih podataka, uključujući šifriranje podataka, vatrozide, antivirusna rješenja, sustave za otkrivanje upada i druge alate za kibernetičku sigurnost. Te su mjere razmjerne prirodi i količini obrađenih podataka te mogućim rizicima. Primjerice, osjetljivi podaci mogu se čuvati u šifriranom obliku, a pristup sustavima koji sadržavaju osobne podatke strogo je ograničen na ovlaštene osobe. Redovito procjenjujemo rizike i ažuriramo sigurnosne mjere kako bismo se suprotstavili novim prijetnjama. Naša IT infrastruktura nadzire se radi otkrivanja ranjivosti, a ažuriranja i zakrpe instaliramo bez odgađanja kako bismo spriječili incidente.
• Organizacijske mjere i kontrola pristupa: Osim tehnologije, primjenjujemo stroga organizacijska pravila za postupanje s podacima. Pristup vašim osobnim podacima ograničen je isključivo na zaposlenike ili ovlaštene osobe kojima su potrebni za obavljanje njihovih dužnosti (načelo „najmanjih ovlasti”). Svaki zaposlenik djeluje u okviru svojih ovlasti i prolazi obuku o zahtjevima sigurnosti podataka. Sa svim zaposlenicima i vanjskim izvođačima koji mogu pristupiti informacijama sklapamo ugovore o povjerljivosti (NDA), kojima ih pravno obvezujemo na čuvanje povjerljivosti. Redovito provodimo edukacije i informativne sastanke o najboljim praksama zaštite podataka kako bi osoblje bilo upoznato s aktualnim prijetnjama i strategijama njihove prevencije.
• Odgovor na incidente i nadzor: Imamo uspostavljene interne postupke za odgovor na sigurnosne incidente. U malo vjerojatnom slučaju povrede osobnih podataka slijedimo plan odgovora: od trenutačnog uklanjanja ranjivosti do obavješćivanja nadzornog tijela u roku od 72 sata i informiranja pogođenih ispitanika kada je to propisano člancima 33. i 34. GDPR-a. Vodimo evidenciju svih incidenata povezanih s osobnim podacima i analiziramo njihove uzroke kako bismo spriječili ponavljanje. Osim toga, naš sigurnosni sustav redovito se provjerava — provodimo interne i vanjske revizije, penetracijska testiranja i druge procjene kako bismo osigurali da naši sigurnosni standardi ostanu pouzdani i ažurni.

Pridržavanjem ovog načela osiguravamo da se vaši osobni podaci čuvaju i obrađuju prema visokim sigurnosnim standardima. Cjelovitost podataka osigurava da informacije unutar sustava ostanu nepromijenjene i točne, dok povjerljivost osigurava da im neovlaštene osobe ne mogu pristupiti. Te nam mjere zajedno pomažu održati visoku razinu povjerenja i sigurnosti.

Pouzdanost

Eesti Firma OÜ u potpunosti prihvaća svoju odgovornost za poštovanje načela GDPR-a i može dokazati tu usklađenost. Načelo pouzdanosti (članak 5. stavak 2. GDPR-a) znači da se ne samo pridržavamo uredbe nego možemo pružiti i praktične, dokumentirane dokaze o svojoj usklađenosti. Pouzdanost se u našem društvu provodi na sljedeći način:

• Ugrađena usklađenost: Zahtjeve GDPR-a integrirali smo u sve poslovne procese. Svaki zaposlenik koji postupa s osobnim podacima razumije načela zaštite podataka i pridržava ih se. Imamo jasna pravila i smjernice kojima se uređuju prikupljanje, uporaba, prijenos i pohrana podataka, a zaposlenici su upoznati s tim dokumentima. Načela GDPR-a ugrađena su u našu korporativnu kulturu, čime se osiguravaju dosljedno visoki standardi upravljanja podacima na svim razinama.
• Imenovani službenik za zaštitu podataka: U okviru svoje predanosti pouzdanosti imenovali smo službenika za zaštitu podataka (DPO) — Ilju Nikiforova — čiji su podaci za kontakt navedeni u nastavku. DPO nadzire usklađenost s GDPR-om unutar društva, savjetuje naše zaposlenike o pitanjima privatnosti te djeluje kao kontaktna točka za vas i nadzorno tijelo. Imenovanje posebnog DPO-a odražava ozbiljnost naše predanosti zaštiti podataka.
• Interne revizije i procjene rizika: Redovito provodimo interne revizije (te prema potrebi uključujemo vanjske revizore) kako bismo osigurali da je naša praksa usklađena sa zahtjevima GDPR-a. Analiziramo moguće rizike za sigurnost i privatnost te na temelju rezultata revizija poduzimamo korektivne mjere. Kada je vjerojatno da će određena vrsta obrade prouzročiti visok rizik za pojedince, provodimo procjenu učinka na zaštitu podataka (DPIA) u skladu s člankom 35. GDPR-a. Ovaj pristup stalnog nadzora i poboljšavanja pomaže nam održati mjere zaštite podataka ažurnima i brzo se prilagođavati promjenama.
• Obuka i podizanje svijesti: Ulažemo u obrazovanje zaposlenika o temama zaštite podataka. Povremeno provodimo obuke, objavljujemo biltene i provjeravamo znanje kako bismo osigurali da svi budu upoznati s najnovijim razvojem i zahtjevima u industriji. Sigurnost podataka uvelike ovisi o postupanju pojedinaca, stoga njegujemo kulturu u kojoj svatko razumije svoju ulogu i odgovornosti.
• Spremnost na izvještavanje: U svakom smo trenutku spremni dokazati usklađenost s GDPR-om vama i nadzornim tijelima. Naša transparentnost obuhvaća i ovo područje: možete zatražiti informacije o svojim podacima, a mi ćemo vam pružiti sve potrebne pojedinosti. Isto tako, za slučaj nadzorne revizije imamo pripremljenu dokumentaciju i procese koji potvrđuju našu pouzdanost. Svjesni smo da povjerenje klijenata izravno ovisi o našoj pouzdanosti, zbog čega je ovo načelo jedan od temelja našeg poslovanja.

Vaša prava kao ispitanika

GDPR vam daje niz prava u vezi s vašim osobnim podacima. Poštujemo ta prava i omogućujemo vam da ih ostvarite na jednostavan način. Podložno uvjetima i iznimkama utvrđenima GDPR-om, imate:

• Pravo na informiranost (članci 13.–14.): pravo primiti jasne informacije o tome kako se i zašto vaši osobni podaci obrađuju.
• Pravo na pristup (članak 15.): pravo dobiti potvrdu obrađujemo li vaše podatke i primiti njihovu kopiju.
• Pravo na ispravak (članak 16.): pravo na ispravak netočnih ili nepotpunih osobnih podataka.
• Pravo na brisanje / „pravo na zaborav” (članak 17.): pravo zatražiti brisanje svojih podataka kada ne postoji prevladavajuća zakonita osnova za njihovo čuvanje.
• Pravo na ograničenje obrade (članak 18.): pravo ograničiti način na koji upotrebljavamo vaše podatke u određenim okolnostima.
• Pravo na prenosivost podataka (članak 20.): pravo primiti podatke koje ste pružili u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu te zatražiti njihov prijenos kada je to tehnički izvedivo.
• Pravo na prigovor (članak 21.): pravo prigovoriti obradi koja se temelji na našim legitimnim interesima te u svakom trenutku prigovoriti izravnom marketingu.
• Prava povezana s automatiziranim donošenjem odluka (članak 22.): pravo da se na vas ne primjenjuje odluka koja se temelji isključivo na automatiziranoj obradi i proizvodi pravne ili slične značajne učinke.
• Pravo na povlačenje privole (članak 7. stavak 3.): kada se obrada temelji na privoli, pravo povući je u svakom trenutku bez utjecaja na zakonitost obrade provedene prije povlačenja.
• Pravo na podnošenje pritužbe (članak 77.): pravo obratiti se nadležnom nadzornom tijelu (pogledajte odjeljak u nastavku).

Kako biste ostvarili bilo koje od tih prava, obratite nam se putem podataka navedenih u odjeljku Podaci za kontakt. Odgovorit ćemo u roku od mjesec dana, kako zahtijeva GDPR. Taj se rok za složene ili brojne zahtjeve može produljiti za još najviše dva mjeseca, a u tom ćemo vas slučaju obavijestiti o razlozima. Obrada vašeg zahtjeva besplatna je, osim ako je očito neutemeljen ili pretjeran. Prije postupanja po zahtjevu možda ćemo morati provjeriti vaš identitet.

Nadzorno tijelo i pravo na pritužbu

Ako smatrate da smo vaše osobne podatke obrađivali protivno propisima o zaštiti podataka, potičemo vas da se najprije obratite nama kako bismo mogli izravno riješiti vaše nedoumice. U skladu s člankom 77. GDPR-a također imate pravo podnijeti pritužbu nadležnom nadzornom tijelu. U Estoniji je to Inspektorat za zaštitu podataka (Andmekaitse Inspektsioon):

• Tijelo: Estonski inspektorat za zaštitu podataka (Andmekaitse Inspektsioon)
• Adresa: Tatari 39, 10134 Tallinn, Estonija
• E-pošta: info@aki.ee
• Telefon: +372 627 4135 (savjetodavna linija +372 5620 2341, pon–čet 13:00–16:00)
• Internetska stranica: www.aki.ee

Ako živite ili radite u drugoj državi EU-a/EEA-e, pritužbu možete podnijeti i nadzornom tijelu u toj državi.

Zaključak

Naša temeljna predanost zaštiti vaše privatnosti i očuvanju vašeg povjerenja znači da je usklađenost s GDPR-om više od formalnosti — ona je sastavni dio našeg svakodnevnog poslovanja. Pridržavanjem svih prethodno navedenih načela — zakonitosti, poštenosti, transparentnosti, ograničavanja svrhe, smanjenja količine podataka, točnosti, ograničenja pohrane, cjelovitosti i povjerljivosti te pouzdanosti — osiguravamo da se vaši osobni podaci obrađuju na najispravniji i najsigurniji mogući način. Nadilazimo zakonske zahtjeve jer cijenimo vaše povjerenje.

U skladu s duhom GDPR-a nastavljamo unaprjeđivati svoju praksu zaštite podataka i brzo reagiramo na promjene regulatornih zahtjeva. Možete biti sigurni da su vaši osobni podaci u sigurnim rukama, a mi neprestano radimo kako bi tako i ostalo.

Ažuriranja i pravne informacije

Zadržavamo pravo povremeno ažurirati ili izmijeniti ovaj dokument kako bi odražavao promjene u našoj praksi obrade podataka, zakonodavstvu ili regulatornim zahtjevima. Sva ažuriranja bit će objavljena na ovoj stranici, a datum posljednje izmjene odgovarajuće će se ažurirati. Preporučujemo da povremeno pregledate ovu stranicu kako biste ostali informirani o aktualnoj verziji naših načela usklađenosti s GDPR-om.

Podaci za kontakt

Ako imate pitanja, komentare ili zahtjeve u vezi sa zaštitom osobnih podataka ili načinom na koji obrađujemo vaše informacije, obratite nam se. Uvijek smo vam spremni pomoći i cijenimo vaše povratne informacije.

• Društvo: Eesti Firma OÜ
• Registarski broj: 14164797
• PDV broj (KMKR): EE102081480
• Licencija za obavljanje djelatnosti (TCSP): FIU000144
• Službenik za zaštitu podataka (DPO): Ilja Nikiforov
• E-pošta: info@eestifirma.ee
• Telefon: +372 641 7777
• Adresa: Vesivärava 50-301, 10152 Tallinn, Estonija

Nastojimo brzo i sveobuhvatno odgovoriti na sve upite. Ako zatražite informacije o svojim podacima ili ostvarivanju svojih prava, odgovorit ćemo u roku utvrđenom GDPR-om (obično u roku od mjesec dana). Hvala vam što ste društvu Eesti Firma OÜ povjerili zaštitu svojih podataka — mi ćemo zauzvrat učiniti sve što je moguće kako bismo opravdali to povjerenje.