Načela skladnosti z GDPR

Pri družbi Eesti Firma (pravno ime Eesti Firma OÜ, registrska številka 14164797, registrirani naslov: Vesivärava 50-301, 10152 Tallinn, Estonija) je varstvo vaših osebnih podatkov naša najvišja prednostna naloga. Kot licencirani estonski ponudnik fiduciarnih in podjetniških storitev osebne podatke obdelujemo povsem v skladu s Splošno uredbo o varstvu podatkov (EU) 2016/679 (GDPR) in estonskim zakonom o varstvu osebnih podatkov (Isikuandmete kaitse seadus). Naša zavezanost zasebnosti temelji na načelih obdelave podatkov, določenih v členu 5 GDPR.

Ta načela usmerjajo vse naše odločitve o obdelavi vaših podatkov in so temelj naših notranjih postopkov. V nadaljevanju pojasnjujemo posamezna načela in njihovo uporabo v praksi, pravice, ki jih imate kot posameznik, na katerega se nanašajo osebni podatki, ter način vzpostavitve stika s pristojnim nadzornim organom. Podrobne informacije o posameznih postopkih obdelave podatkov in zaščitnih ukrepih so navedene v našem Pravilniku o zasebnosti.

Zakonitost, pravičnost in preglednost

Osebne podatke v zvezi z vami obdelujemo zakonito, pravično in pregledno, kot zahteva člen 5(1)(a) GDPR. To pomeni, da vsaka obdelava podatkov temelji na zakoniti podlagi ter se v odnosu do vas kot posameznika, na katerega se nanašajo osebni podatki, izvaja pošteno in odprto. V okviru tega načela upoštevamo naslednje pristope:

• Zakonitost: Vaše osebne podatke zbiramo in uporabljamo le, kadar za to obstaja jasna in zakonita podlaga iz člena 6 GDPR. Naše pravne podlage vključujejo vašo informirano privolitev (kadar je potrebna), izpolnjevanje pogodbenih obveznosti, spoštovanje zakonskih zahtev (na primer obveznosti preprečevanja pranja denarja in KYC) ali naše zakonite poslovne interese, ki ne prevladajo nad vašimi pravicami. Vedno boste obveščeni o pravni podlagi za obdelavo svojih podatkov.
• Pravičnost: Zagotavljamo pravično obdelavo podatkov. To pomeni, da podatkov ne zbiramo z zavajanjem niti jih ne uporabljamo v vašo škodo. Nikoli vas ne zavajamo glede namenov zbiranja informacij ali načina njihove uporabe. Poleg tega upoštevamo vaše interese in pravice — na primer zagotavljamo nediskriminatorno uveljavljanje vaših pravic (kot je pravica do dostopa do podatkov) ne glede na pogoje storitve. Obdelava podatkov poteka tako, da se prepreči neupravičeno poseganje v vašo zasebnost.
• Preglednost: O razlogih in načinih uporabe vaših podatkov komuniciramo odprto in jasno. Vse informacije o obdelavi so podane v preprostem jeziku brez pretirane uporabe pravnega žargona. Naš Pravilnik o zasebnosti in druga obvestila so vedno zlahka dostopni, zato lahko kadar koli ugotovite, katere podatke zbiramo, na kateri podlagi in za katere namene. Kadar je potrebno, vas obveščamo večplastno — izpostavimo ključne točke, podrobnosti pa predstavimo prek dodatnih povezav ali opisov orodij. Informacije redno posodabljamo, da ostanejo aktualne, in vas obvestimo o vseh pomembnih spremembah. Ta preglednost zagotavlja, da natančno veste, kako obdelujemo vaše osebne podatke.

Omejitev namena

V skladu s členom 5(1)(b) GDPR osebne podatke zbiramo in uporabljamo le za določene, vnaprej opredeljene in zakonite namene, o katerih ste predhodno obveščeni. To pomeni, da bodo vaši podatki uporabljeni izključno za namene, za katere so bili zbrani. Osebnih podatkov ne uporabljamo na noben nov način, ki bi bil nezdružljiv s prvotnimi nameni. Če nam na primer posredujete svoj e-poštni naslov za prejemanje novosti o naši storitvi, ga brez vaše vednosti in privolitve ne bomo delili s partnerjem za namene oglaševanja.

Vsi nameni obdelave so jasno dokumentirani — v naših notranjih evidencah in javnih dokumentih (kot je Pravilnik o zasebnosti) navajamo razloge za zbiranje določenih podatkov. Če bi morali podatke uporabiti za nov namen, ki ni skladen s prvotnim, bomo predhodno pridobili vašo ločeno privolitev ali zagotovili drugo zakonito podlago za obdelavo. Tako ste lahko prepričani, da vaši osebni podatki ne bodo uporabljeni nepričakovano ali zunaj prvotno navedenih namenov.

Najmanjši obseg podatkov

Upoštevamo načelo najmanjšega obsega podatkov (člen 5(1)(c) GDPR), kar pomeni, da zbiramo le osebne podatke, ki so resnično potrebni za navedene namene obdelave. V praksi to izvajamo tako:

• Zahtevamo le najmanjši obseg podatkov, potreben za zagotovitev zahtevane storitve ali izpolnitev pogodbe. Obrazci in ankete na našem spletnem mestu so zasnovani tako, da ne zbirajo nepotrebnih informacij. Če sta na primer za prijavo na spletni seminar potrebna le vaše ime in e-poštni naslov, ne bomo zahtevali dodatnih podatkov, ki s tem niso povezani.
• Načelo »nič odvečnega« nam pomaga zmanjševati tveganja za vašo zasebnost. Manj podatkov kot shranjujemo in obdelujemo, manjša je verjetnost uhajanja podatkov ali nepooblaščenega dostopa. Podatkov ne zbiramo »za vsak primer« in ne kopičimo informacij, ki bi morda nekoč lahko bile uporabne. Vsaka zahteva po informacijah je skrbno utemeljena s konkretno potrebo.
• Prav tako redno pregledujemo podatke, ki jih zbiramo, in odstranjujemo vsa polja ali zahteve, ki niso nujni. Tako zagotavljamo, da pri vseh stikih zahtevamo le informacije, ki so resnično potrebne za doseganje navedenih namenov.

Točnost

Zagotavljanje točnosti in ažurnosti osebnih podatkov (člen 5(1)(d) GDPR) je še eno ključno načelo, ki ga upoštevamo. Po najboljših močeh si prizadevamo zagotoviti, da so informacije, ki jih hranimo o vas, pravilne, popolne in aktualne, saj to vpliva na kakovost naših storitev in vaše zaupanje. Za zagotavljanje točnosti izvajamo naslednje ukrepe:

• Redno posodabljanje: Če se vaši osebni podatki spremenijo (na primer če posodobite svojo kontaktno telefonsko številko ali naslov), te spremembe nemudoma vnesemo v svoje sisteme. Prizadevamo si preprečiti sprejemanje odločitev na podlagi zastarelih ali napačnih informacij.
• Popravljanje napak: Če ugotovite, da so kateri koli vaši podatki napačni ali zastareli, nas lahko kadar koli obvestite – napake bomo nemudoma popravili. Poleg tega imate v skladu s členom 16 GDPR pravico do popravka netočnih podatkov, ki jo v celoti spoštujemo in vam zagotavljamo priročne načine, da nas obvestite o morebitnih netočnostih.
• Preverjanje ključnih podatkov: Kadar je točnost podatkov posebej pomembna (na primer pri finančnih transakcijah ali zagotavljanju pravno pomembnih storitev), lahko izvedemo dodatne ukrepe za preverjanje in potrditev informacij. To lahko vključuje zahtevo po dokazilih ali preverjanje podatkov skupaj z vami. Vsi ti ukrepi zagotavljajo, da naše zbirke podatkov vsebujejo le točne informacije.
• Izbris netočnih podatkov: V skladu z zahtevami GDPR je treba netočne ali nepopolne podatke, ki jih ni mogoče popraviti, izbrisati brez nepotrebnega odlašanja. To pravilo upoštevamo: če se ugotovi, da je katera koli informacija glede na namene obdelave netočna in je ni mogoče popraviti, jo bomo nemudoma izbrisali, da preprečimo morebitne negativne posledice.

Pri ohranjanju točnosti je ključno tudi vaše sodelovanje: obvestite nas, če se kateri koli od vaših osebnih podatkov spremeni ali ga je treba popraviti. Cenimo vašo proaktivnost, saj so točni podatki bistveni za učinkovito zagotavljanje storitev in varovanje vaših pravic.

Omejitev shranjevanja

Osebne podatke hranimo le toliko časa, kolikor je potrebno za doseganje namenov, za katere so bili zbrani. To načelo omejitve shranjevanja (člen 5(1)(e) GDPR) pomeni, da ima vsaka kategorija podatkov določeno obdobje hrambe, po izteku katerega se informacije varno izbrišejo ali anonimizirajo. To zagotavljamo tako:

• Jasno določena obdobja hrambe: Za različne vrste osebnih podatkov določamo razumna obdobja hrambe ob upoštevanju namenov obdelave, naših zakonskih in pogodbenih obveznosti ter veljavnih pravnih zahtev. Podatke o transakcijah in računovodske podatke na primer hranimo toliko časa, kot zahteva estonska davčna in računovodska zakonodaja (običajno sedem let), medtem ko podatke, zbrane za enkratno poizvedbo, hranimo krajši čas. Vsa obdobja hrambe so določena v naših notranjih pravilnikih in jih strogo upoštevamo.
• Redni pregledi: Svoje pravilnike o hrambi podatkov redno pregledujemo, da zagotovimo njihovo aktualnost. Če se poslovni procesi ali zakonodaja spremenijo, temu ustrezno prilagodimo obdobja hrambe podatkov. Takšne revizije pomagajo prepoznati osebne podatke, ki niso več potrebni. Izvajamo preglede za odkrivanje neuporabljenih ali zastarelih podatkov in jih izbrišemo, če niso potrebni za noben zakonit namen.
• Varen izbris: Po izteku obdobja hrambe (ali prej, če podatki postanejo nepotrebni) osebne podatke izbrišemo tako, da jih ni mogoče obnoviti ali povezati z določeno osebo. Če zaradi tehničnih omejitev takojšnji izbris ni mogoč, podatke najprej anonimiziramo (ločimo jih od vaše identitete), nato pa jih izbrišemo, ko je to izvedljivo. Podatke lahko hranimo tudi po izteku določenega obdobja hrambe, vendar le če to dovoljuje zakonodaja – na primer če se podatki hranijo za namene arhiviranja v javnem interesu ali za znanstvene oziroma statistične namene v skladu s členom 89(1) GDPR. Tudi v teh primerih zagotavljamo ustrezne zaščitne ukrepe za ohranjanje zaupnosti.

Z omejevanjem obdobja hrambe osebnih podatkov zmanjšujemo tveganje njihove zlorabe ali izpostavljenosti kršitvam skozi čas. Lahko ste prepričani, da vaših podatkov ne hranimo dlje, kot je potrebno, in da strogo upoštevamo določene roke.

Celovitost in zaupnost

Sprejemamo vse ukrepe za zagotavljanje celovitosti in zaupnosti vaših osebnih podatkov (člen 5(1)(f) GDPR) ter jih varujemo pred nepooblaščenim dostopom, spreminjanjem, razkritjem ali uničenjem. To načelo varnosti podatkov izvajamo celovito – s tehničnimi in organizacijskimi sredstvi. Vaše podatke varujemo tako:

• Sodobne varnostne tehnologije: Za varstvo osebnih podatkov uporabljamo ustrezne tehnične varnostne ukrepe, vključno s šifriranjem podatkov, požarnimi zidovi, protivirusnimi rešitvami, sistemi za zaznavanje vdorov in drugimi orodji za kibernetsko varnost. Ti ukrepi so sorazmerni z naravo in obsegom obdelovanih podatkov ter morebitnimi tveganji. Občutljivi podatki so lahko na primer shranjeni v šifrirani obliki, dostop do sistemov z osebnimi podatki pa je strogo omejen na pooblaščene osebe. Redno ocenjujemo tveganja in posodabljamo varnostne ukrepe za obrambo pred novimi grožnjami. Svojo IT-infrastrukturo spremljamo glede ranljivosti ter pravočasno nameščamo posodobitve in popravke, da preprečimo incidente.
• Organizacijski ukrepi in nadzor dostopa: Poleg tehnologije izvajamo stroga organizacijska pravila za ravnanje s podatki. Dostop do vaših osebnih podatkov je omejen izključno na zaposlene ali pooblaščene osebe, ki jih potrebujejo za opravljanje svojih nalog (načelo »najmanjših pravic«). Vsak zaposleni deluje v okviru svojih pooblastil in se usposablja o zahtevah glede varnosti podatkov. Z vsemi zaposlenimi in zunanjimi izvajalci, ki imajo lahko dostop do informacij, sklepamo sporazume o nerazkritju informacij (NDA), s katerimi se pravno zavežejo k ohranjanju zaupnosti. Redno izvajamo usposabljanja in informativna srečanja o najboljših praksah varstva podatkov, da je osebje seznanjeno z aktualnimi grožnjami in strategijami njihovega preprečevanja.
• Odzivanje na incidente in spremljanje: Vzpostavljene imamo notranje postopke za odzivanje na varnostne incidente. V malo verjetnem primeru kršitve varnosti osebnih podatkov ravnamo po načrtu odzivanja: od takojšnje odprave ranljivosti do obvestitve nadzornega organa v 72 urah in obveščanja prizadetih posameznikov, kadar to zahtevata člena 33 in 34 GDPR. Vodimo evidence vseh incidentov v zvezi z osebnimi podatki in analiziramo njihove vzroke, da preprečimo ponovitev. Poleg tega redno revidiramo svoj varnostni sistem – izvajamo notranje in zunanje revizije, penetracijske teste in druge ocene, s katerimi zagotavljamo, da naši varnostni standardi ostajajo zanesljivi in posodobljeni.

Z upoštevanjem tega načela zagotavljamo, da so vaši osebni podatki shranjeni in obdelani po visokih varnostnih standardih. Celovitost podatkov zagotavlja, da informacije v sistemu ostanejo nespremenjene in točne, zaupnost pa preprečuje dostop nepooblaščenim osebam. Ti ukrepi nam skupaj pomagajo ohranjati visoko raven zaupanja in varnosti.

Odgovornost

Družba Eesti Firma OÜ se v celoti zaveda svoje odgovornosti za spoštovanje načel GDPR in lahko to skladnost tudi dokaže. Načelo odgovornosti (člen 5(2) GDPR) pomeni, da uredbe ne le upoštevamo, temveč lahko predložimo tudi praktične in dokumentirane dokaze o svoji skladnosti. Odgovornost v našem podjetju izvajamo tako:

• Vgrajena skladnost: Zahteve GDPR smo vključili v vse poslovne procese. Vsak zaposleni, ki ravna z osebnimi podatki, razume in upošteva načela varstva podatkov. Imamo jasne pravilnike in smernice, ki urejajo zbiranje, uporabo, prenos in shranjevanje podatkov, zaposleni pa so s temi dokumenti seznanjeni. Načela GDPR so vključena v našo korporativno kulturo, kar zagotavlja dosledno visoke standarde upravljanja podatkov na vseh ravneh.
• Imenovani pooblaščenec za varstvo podatkov: V okviru svoje zavezanosti odgovornosti smo imenovali pooblaščenca za varstvo podatkov (DPO) – Iljo Nikiforova – čigar kontaktni podatki so navedeni spodaj. DPO spremlja skladnost z GDPR v podjetju, našemu osebju svetuje o vprašanjih zasebnosti ter deluje kot kontaktna oseba za vas in nadzorni organ. Imenovanje posebnega DPO odraža resnost naše zavezanosti varstvu podatkov.
• Notranje revizije in ocene tveganj: Redno izvajamo notranje revizije (in po potrebi vključimo zunanje revizorje), da zagotovimo skladnost svojih praks z zahtevami GDPR. Analiziramo morebitna tveganja za varnost in zasebnost ter na podlagi ugotovitev revizij sprejemamo korektivne ukrepe. Kadar bi določena vrsta obdelave lahko povzročila veliko tveganje za posameznike, v skladu s členom 35 GDPR izvedemo oceno učinka v zvezi z varstvom podatkov (DPIA). Takšen pristop stalnega spremljanja in izboljševanja nam pomaga ohranjati ukrepe varstva podatkov posodobljene in se hitro prilagajati spremembam.
• Usposabljanje in ozaveščanje: Vlagamo v izobraževanje zaposlenih o varstvu podatkov. Redno izvajamo usposabljanja, pripravljamo glasila in preverjamo znanje, da so vsi seznanjeni z najnovejšim razvojem in zahtevami v panogi. Varnost podatkov je močno odvisna od ravnanja posameznikov, zato spodbujamo kulturo, v kateri vsakdo razume svojo vlogo in odgovornosti.
• Pripravljenost na poročanje: V vsakem trenutku smo pripravljeni dokazati skladnost z GDPR tako vam kot nadzornim organom. Naša preglednost obsega tudi to področje: zahtevate lahko informacije o svojih podatkih in zagotovili vam bomo vse potrebne podrobnosti. Prav tako imamo za primer nadzorne revizije pripravljeno dokumentacijo in postopke, ki potrjujejo našo odgovornost. Zavedamo se, da je zaupanje strank neposredno odvisno od naše odgovornosti, zato je to načelo temelj našega delovanja.

Vaše pravice kot posameznika, na katerega se nanašajo osebni podatki

GDPR vam zagotavlja vrsto pravic v zvezi z vašimi osebnimi podatki. Te pravice spoštujemo in vam zagotavljamo preproste načine za njihovo uveljavljanje. Ob upoštevanju pogojev in izjem, določenih v GDPR, imate:

• Pravico do obveščenosti (člena 13–14): da prejmete jasne informacije o tem, kako in zakaj se obdelujejo vaši osebni podatki.
• Pravico dostopa (člen 15): da pridobite potrditev, ali obdelujemo vaše podatke, in prejmete njihovo kopijo.
• Pravico do popravka (člen 16): da se netočni ali nepopolni osebni podatki popravijo.
• Pravico do izbrisa oziroma »pravico do pozabe« (člen 17): da zahtevate izbris svojih podatkov, kadar ni prevladujoče zakonite podlage za njihovo nadaljnjo hrambo.
• Pravico do omejitve obdelave (člen 18): da v določenih okoliščinah omejite način, kako uporabljamo vaše podatke.
• Pravico do prenosljivosti podatkov (člen 20): da podatke, ki ste jih posredovali, prejmete v strukturirani, splošno uporabljani in strojno berljivi obliki ter da se prenesejo drugam, kadar je to tehnično izvedljivo.
• Pravico do ugovora (člen 21): da ugovarjate obdelavi na podlagi naših zakonitih interesov in kadar koli ugovarjate neposrednemu trženju.
• Pravice v zvezi z avtomatiziranim sprejemanjem odločitev (člen 22): da za vas ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi in ima pravne ali podobno pomembne učinke.
• Pravico do preklica privolitve (člen 7(3)): da lahko, kadar obdelava temelji na privolitvi, to kadar koli prekličete, ne da bi to vplivalo na zakonitost obdelave, izvedene pred preklicem.
• Pravico do vložitve pritožbe (člen 77): da se obrnete na pristojni nadzorni organ (glejte spodnji razdelek).

Če želite uveljaviti katero koli od teh pravic, stopite v stik z nami prek podatkov v razdelku Kontaktni podatki. Odgovorili vam bomo v enem mesecu, kot zahteva GDPR. Pri zapletenih ali številnih zahtevah se lahko ta rok podaljša za največ dva dodatna meseca, o razlogih pa vas bomo obvestili. Obravnava vaše zahteve je brezplačna, razen če je očitno neutemeljena ali pretirana. Pred ukrepanjem na podlagi zahteve bomo morda morali preveriti vašo identiteto.

Nadzorni organ in pravica do pritožbe

Če menite, da smo vaše osebne podatke obdelovali v nasprotju z zakonodajo o varstvu podatkov, vas spodbujamo, da najprej stopite v stik z nami, da bomo lahko vaše pomisleke obravnavali neposredno. V skladu s členom 77 GDPR imate tudi pravico vložiti pritožbo pri pristojnem nadzornem organu. V Estoniji je to inšpektorat za varstvo podatkov (Andmekaitse Inspektsioon):

• Organ: Estonski inšpektorat za varstvo podatkov (Andmekaitse Inspektsioon)
• Naslov: Tatari 39, 10134 Tallinn, Estonija
• E-pošta: info@aki.ee
• Telefon: +372 627 4135 (svetovalna linija +372 5620 2341, pon.–čet. 13:00–16:00)
• Spletno mesto: www.aki.ee

Če prebivate ali delate v drugi državi EU/EGP, lahko pritožbo vložite tudi pri nadzornem organu te države.

Zaključek

Naša temeljna zavezanost varovanju vaše zasebnosti in ohranjanju vašega zaupanja pomeni, da je skladnost z GDPR več kot le formalnost – je sestavni del našega vsakodnevnega poslovanja. Upoštevanje vseh zgoraj navedenih načel – zakonitosti, pravičnosti, preglednosti, omejitve namena, najmanjšega obsega podatkov, točnosti, omejitve shranjevanja, celovitosti in zaupnosti ter odgovornosti – zagotavlja, da se vaši osebni podatki obdelujejo kar najbolj pravilno in varno. Ker cenimo vaše zaupanje, presegamo zakonske zahteve.

V duhu GDPR še naprej izboljšujemo svoje prakse varstva podatkov in se hitro odzivamo na spremembe regulativnih zahtev. Lahko ste prepričani, da so vaši osebni podatki v varnih rokah, mi pa si nenehno prizadevamo, da tako tudi ostane.

Posodobitve in pravne informacije

Pridržujemo si pravico, da ta dokument občasno posodobimo ali spremenimo zaradi sprememb svojih praks obdelave podatkov, zakonodaje ali regulativnih zahtev. Vse posodobitve bodo objavljene na tej strani, ustrezno pa bo posodobljen tudi datum zadnje revizije. Priporočamo, da to stran občasno pregledate in tako ostanete seznanjeni z veljavno različico naših načel skladnosti z GDPR.

Kontaktni podatki

Če imate kakršna koli vprašanja, pripombe ali zahteve v zvezi z varstvom osebnih podatkov ali načinom obdelave svojih informacij, stopite v stik z nami. Vedno smo vam pripravljeni pomagati in cenimo vaše povratne informacije.

• Podjetje: Eesti Firma OÜ
• Registrska oznaka: 14164797
• Identifikacijska številka za DDV (KMKR): EE102081480
• Licenca za opravljanje dejavnosti (TCSP): FIU000144
• Pooblaščenec za varstvo podatkov (DPO): Ilja Nikiforov
• E-pošta: info@eestifirma.ee
• Telefon: +372 641 7777
• Naslov: Vesivärava 50-301, 10152 Tallinn, Estonija

Na vsa vprašanja si prizadevamo odgovoriti hitro in celovito. Če zahtevate informacije o svojih podatkih ali uveljavljanju svojih pravic, vam bomo odgovorili v roku, določenem z GDPR (običajno v enem mesecu). Hvala, ker ste varstvo svojih podatkov zaupali družbi Eesti Firma OÜ – mi pa bomo storili vse, kar je mogoče, da to zaupanje upravičimo.