Načela usklađenosti sa GDPR-om

U kompaniji Eesti Firma (pravni naziv Eesti Firma OÜ, registarski broj 14164797, registrovana adresa: Vesivärava 50-301, 10152 Tallinn, Estonia), zaštita vaših podataka o ličnosti naš je najviši prioritet. Kao licencirani estonski pružalac usluga osnivanja i upravljanja kompanijama i trastovima, obrađujemo podatke o ličnosti u potpunosti u skladu sa Opštom uredbom o zaštiti podataka (EU) 2016/679 (GDPR) i estonskim Zakonom o zaštiti podataka o ličnosti (Isikuandmete kaitse seadus). Naša posvećenost privatnosti zasniva se na načelima obrade podataka utvrđenim u članu 5 GDPR-a.

Ova načela usmeravaju sve naše odluke o načinu obrade vaših podataka i predstavljaju osnovu naših internih procedura. U nastavku objašnjavamo svako načelo, način na koji ga primenjujemo u praksi, prava koja imate kao lice na koje se podaci odnose i kako možete kontaktirati nadležni nadzorni organ. Detaljne informacije o konkretnim postupcima obrade podataka i merama zaštite navedene su u našoj Politici privatnosti.

Zakonitost, pravičnost i transparentnost

Podatke o ličnosti obrađujemo zakonito, pravično i transparentno u odnosu na vas, u skladu sa članom 5(1)(a) GDPR-a. To znači da se svaka obrada podataka sprovodi na zakonitom osnovu, pošteno i otvoreno prema vama kao licu na koje se podaci odnose. U okviru ovog načela pridržavamo se sledećih pristupa:

• Zakonitost: Vaše podatke o ličnosti prikupljamo i koristimo samo kada postoji jasan i zakonit osnov iz člana 6 GDPR-a. Naši pravni osnovi obuhvataju vaš informisani pristanak (kada je potreban), izvršavanje ugovornih obaveza, poštovanje zakonskih zahteva (na primer, obaveza u vezi sa sprečavanjem pranja novca i KYC-om) ili naše legitimne poslovne interese, koji nemaju prednost nad vašim pravima. Uvek ćete biti obavešteni o pravnom osnovu obrade vaših podataka.
• Pravičnost: Obezbeđujemo pravičnost pri obradi podataka. To znači da podatke ne prikupljamo obmanom niti ih koristimo na vašu štetu. Nikada vas ne dovodimo u zabludu u pogledu svrhe prikupljanja informacija ili načina njihove upotrebe. Pored toga, uzimamo u obzir vaše interese i prava — na primer, garantujemo nediskriminatorno ostvarivanje vaših prava (kao što je pravo na pristup podacima), bez obzira na uslove pružanja usluge. Obrada podataka sprovodi se tako da se izbegne neopravdano narušavanje vaše privatnosti.
• Transparentnost: Otvoreno i jasno saopštavamo zašto i kako se vaši podaci koriste. Sve informacije o obradi pružaju se jednostavnim jezikom, bez prekomerne upotrebe pravnog žargona. Naša Politika privatnosti i druga obaveštenja uvek su lako dostupni kako biste u svakom trenutku mogli da saznate koje podatke prikupljamo, po kom osnovu i u koje svrhe. Kada je potrebno, koristimo višeslojni pristup obaveštavanju — ističemo ključne tačke, a pojedinosti pružamo putem dodatnih veza ili opisa alatki. Redovno ažuriramo informacije kako bi ostale aktuelne i obaveštavamo vas o svim značajnim izmenama. Ova transparentnost obezbeđuje da tačno znate kako se vaši podaci o ličnosti obrađuju.

Ograničenje svrhe

U skladu sa članom 5(1)(b) GDPR-a, podatke o ličnosti prikupljamo i koristimo samo u određene, unapred definisane i zakonite svrhe, o kojima ste prethodno obavešteni. To znači da će se vaši podaci koristiti isključivo u svrhe za koje su prikupljeni. Informacije o ličnosti ne koristimo ni na jedan novi način koji nije saglasan sa prvobitnim svrhama. Na primer, ako navedete svoju adresu e-pošte radi primanja novosti o našoj usluzi, nećemo je bez vašeg znanja i pristanka podeliti sa partnerom u reklamne svrhe.

Sve svrhe obrade jasno su dokumentovane — u našim internim evidencijama i javnim dokumentima (kao što je Politika privatnosti) navodimo razloge za prikupljanje određenih podataka. Ako se pojavi potreba da podatke upotrebimo u novu svrhu koja nije saglasna sa prvobitnom, prethodno ćemo pribaviti vaš poseban pristanak ili obezbediti drugi zakonit osnov za obradu. Stoga možete biti sigurni da vaši podaci o ličnosti neće biti korišćeni neočekivano niti izvan prvobitno navedenih svrha.

Minimizacija podataka

Pridržavamo se načela minimizacije podataka (član 5(1)(c) GDPR-a), što znači da prikupljamo samo one podatke o ličnosti koji su zaista neophodni za navedene svrhe obrade. U praksi se to primenjuje na sledeći način:

• Tražimo samo minimalnu količinu podataka potrebnu za pružanje zahtevane usluge ili izvršenje ugovora. Obrasci i ankete na našem veb-sajtu osmišljeni su tako da ne prikupljaju nepotrebne informacije. Na primer, ako su za prijavu na vebinar potrebni samo vaše ime i adresa e-pošte, nećemo tražiti dodatne podatke koji nisu povezani sa prijavom.
• Načelo „ništa suvišno” pomaže nam da smanjimo rizike po vašu privatnost. Što se manje podataka čuva i obrađuje, manja je verovatnoća njihovog curenja ili neovlašćenog pristupa. Ne prikupljamo informacije „za svaki slučaj” niti gomilamo podatke koji bi jednog dana možda mogli biti korisni. Svaki zahtev za informacije pažljivo je opravdan konkretnom potrebom.
• Takođe redovno preispitujemo podatke koje prikupljamo i uklanjamo sva polja ili zahteve koji nisu neophodni. Time obezbeđujemo da u svim interakcijama tražimo samo informacije koje su zaista potrebne za ostvarivanje navedenih svrha.

Tačnost

Održavanje podataka o ličnosti tačnim i ažurnim (član 5(1)(d) GDPR-a) još je jedno ključno načelo kojeg se pridržavamo. Ulažemo sve razumne napore da informacije koje posedujemo o vama budu tačne, potpune i aktuelne, jer to utiče na kvalitet naših usluga i vaše poverenje. Radi obezbeđivanja tačnosti primenjujemo sledeće mere:

• Redovno ažuriranje: Ako su se vaši podaci o ličnosti promenili (na primer, promenili ste broj telefona ili adresu), te promene bez odlaganja unosimo u naše sisteme. Nastojimo da sprečimo donošenje odluka na osnovu zastarelih ili netačnih informacija.
• Ispravljanje grešaka: Ako utvrdite da je neki od vaših podataka netačan ili zastareo, uvek nas možete obavestiti — greške ćemo bez odlaganja ispraviti. Osim toga, prema članu 16 GDPR-a imate pravo na ispravku netačnih podataka, koje u potpunosti poštujemo tako što vam pružamo jednostavne načine da nas obavestite o svim netačnostima.
• Provera ključnih podataka: U slučajevima kada je tačnost podataka naročito važna (npr. za finansijske transakcije ili pružanje pravno značajnih usluga), možemo preduzeti dodatne korake radi provere i potvrde informacija. To može uključivati zahtev za pratećom dokumentacijom ili proveru podataka zajedno sa vama. Sve ove mere obezbeđuju da naše baze podataka sadrže samo tačne informacije.
• Brisanje netačnih podataka: Prema zahtevima GDPR-a, netačni ili nepotpuni podaci koji se ne mogu ispraviti moraju biti izbrisani bez nepotrebnog odlaganja. Pridržavamo se ovog pravila: ako se utvrdi da je neka informacija netačna u odnosu na svrhe njene obrade i ne može se ispraviti, bez odlaganja ćemo je izbrisati kako bismo sprečili moguće negativne posledice.

Vaša saradnja je takođe ključna za održavanje tačnosti: obavestite nas ako se neki od vaših podataka o ličnosti promenio ili ga je potrebno ispraviti. Cenimo vašu proaktivnost, jer su tačni podaci neophodni za efikasno pružanje usluga i zaštitu vaših prava.

Ograničenje čuvanja

Podatke o ličnosti čuvamo samo onoliko dugo koliko je potrebno za ostvarivanje svrha za koje su prikupljeni. Ovo načelo ograničenja čuvanja (član 5(1)(e) GDPR-a) znači da je za svaku kategoriju podataka definisan rok čuvanja, nakon kojeg se informacije bezbedno brišu ili anonimizuju. To obezbeđujemo na sledeći način:

• Jasno definisani rokovi čuvanja: Utvrđujemo razumne rokove čuvanja za različite vrste podataka o ličnosti, uzimajući u obzir svrhe obrade, naše zakonske i ugovorne obaveze i primenjive pravne zahteve. Na primer, podaci o transakcijama i računovodstvu čuvaju se tokom perioda propisanog estonskim poreskim i računovodstvenim pravom (uglavnom sedam godina), dok se podaci prikupljeni radi jednokratnog upita čuvaju kraće. Svi rokovi čuvanja navedeni su u našim internim pravilima i strogo ih se pridržavamo.
• Redovna preispitivanja: Periodično preispitujemo pravila čuvanja podataka kako bismo obezbedili njihovu aktuelnost. Ako se poslovni procesi promene ili propisi ažuriraju, u skladu s tim prilagođavamo rokove čuvanja podataka. Takve provere pomažu u prepoznavanju podataka o ličnosti koji više nisu potrebni. Sprovodimo preglede radi otkrivanja nekorišćenih ili zastarelih podataka i brišemo ih ako nisu potrebni ni za jednu zakonitu svrhu.
• Bezbedno brisanje: Po isteku rokova čuvanja (ili ranije, ako podaci postanu nepotrebni), podatke o ličnosti brišemo tako da ih nije moguće obnoviti niti povezati sa određenim licem. U nekim slučajevima, ako trenutno brisanje nije moguće zbog tehničkih ograničenja, podatke najpre anonimizujemo (odvajamo ih od vašeg identiteta), a zatim ih brišemo čim to postane izvodljivo. Podatke možemo čuvati i nakon utvrđenog roka samo ako je to dozvoljeno zakonom — na primer, ako se čuvaju u svrhu arhiviranja u javnom interesu ili u naučne ili statističke svrhe u skladu sa članom 89(1) GDPR-a. Čak i u tim slučajevima obezbeđujemo odgovarajuće mere zaštite poverljivosti.

Svođenjem roka čuvanja podataka o ličnosti na najmanju potrebnu meru smanjujemo rizik od njihove zloupotrebe ili izloženosti povredama bezbednosti tokom vremena. Možete biti sigurni da vaše podatke ne čuvamo duže nego što je potrebno i da se strogo pridržavamo utvrđenih rokova.

Integritet i poverljivost

Preduzimamo sve mere kako bismo obezbedili integritet i poverljivost vaših podataka o ličnosti (član 5(1)(f) GDPR-a), štiteći ih od neovlašćenog pristupa, izmene, otkrivanja ili uništenja. Ovo načelo bezbednosti podataka primenjuje se sveobuhvatno — tehničkim i organizacionim sredstvima. Vaše podatke štitimo na sledeći način:

• Savremene bezbednosne tehnologije: Primenjujemo odgovarajuće tehničke mere bezbednosti radi zaštite informacija o ličnosti, uključujući šifrovanje podataka, zaštitne zidove, antivirusna rešenja, sisteme za otkrivanje upada i druge alate za sajber-bezbednost. Ove mere srazmerne su prirodi i obimu obrađenih podataka i mogućim rizicima. Na primer, osetljivi podaci mogu se čuvati u šifrovanom obliku, dok je pristup sistemima koji sadrže podatke o ličnosti strogo ograničen na ovlašćena lica. Redovno procenjujemo rizike i ažuriramo bezbednosne mere radi suprotstavljanja novim pretnjama. Naša IT infrastruktura nadzire se radi otkrivanja ranjivosti, a ažuriranja i zakrpe instaliramo bez odlaganja kako bismo sprečili incidente.
• Organizacione mere i kontrola pristupa: Pored tehnologije, primenjujemo stroga organizaciona pravila za postupanje sa podacima. Pristup vašim podacima o ličnosti ograničen je isključivo na zaposlene ili ovlašćena lica kojima su oni potrebni za obavljanje dužnosti (načelo „najmanjih privilegija”). Svaki zaposleni postupa u okviru svojih ovlašćenja i prolazi obuku o zahtevima bezbednosti podataka. Sa svim zaposlenima i spoljnim saradnicima koji mogu imati pristup informacijama zaključujemo ugovore o neotkrivanju podataka (NDA), kojima ih pravno obavezujemo na čuvanje poverljivosti. Redovno organizujemo obuke i brifinge o najboljim praksama zaštite podataka kako bi osoblje bilo upoznato sa aktuelnim pretnjama i strategijama prevencije.
• Reagovanje na incidente i nadzor: Imamo interne procedure za reagovanje na bezbednosne incidente. U malo verovatnom slučaju povrede podataka o ličnosti postupamo prema planu reagovanja: od trenutnog otklanjanja ranjivosti do obaveštavanja nadzornog organa u roku od 72 sata i obaveštavanja pogođenih lica kada to zahtevaju članovi 33 i 34 GDPR-a. Vodimo evidenciju svih incidenata sa podacima o ličnosti i analiziramo njihove uzroke kako bismo sprečili ponavljanje. Pored toga, naš sistem bezbednosti redovno se proverava — sprovodimo interne i eksterne revizije, penetracione testove i druge procene kako bismo obezbedili da naši bezbednosni standardi ostanu pouzdani i aktuelni.

Pridržavanjem ovog načela obezbeđujemo da se vaši podaci o ličnosti čuvaju i obrađuju prema visokim bezbednosnim standardima. Integritet podataka obezbeđuje da informacije u sistemu ostanu neizmenjene i tačne, dok poverljivost sprečava pristup neovlašćenih lica. Zajedno, ove mere pomažu nam da održimo visok nivo poverenja i bezbednosti.

Odgovornost

Eesti Firma OÜ u potpunosti prihvata svoju odgovornost za poštovanje načela GDPR-a i može dokazati tu usklađenost. Načelo odgovornosti (član 5(2) GDPR-a) znači da se ne samo pridržavamo uredbe već možemo pružiti i praktične, dokumentovane dokaze o usklađenosti. Odgovornost u našoj kompaniji primenjuje se na sledeći način:

• Ugrađena usklađenost: Zahteve GDPR-a integrisali smo u sve poslovne procese. Svaki zaposleni koji postupa sa podacima o ličnosti razume načela zaštite podataka i pridržava ih se. Imamo jasna pravila i smernice kojima se uređuju prikupljanje, upotreba, prenos i čuvanje podataka, a zaposleni su upoznati sa tim dokumentima. Načela GDPR-a ugrađena su u našu korporativnu kulturu, čime se obezbeđuju dosledno visoki standardi upravljanja podacima na svim nivoima.
• Imenovani službenik za zaštitu podataka: U okviru naše posvećenosti odgovornosti imenovali smo službenika za zaštitu podataka (DPO) — Ilja Nikiforov — čiji su kontakt-podaci navedeni u nastavku. DPO prati usklađenost kompanije sa GDPR-om, savetuje naše osoblje o pitanjima privatnosti i predstavlja kontakt za vas i nadzorni organ. Imenovanje posebnog DPO-a odražava ozbiljnost naše posvećenosti zaštiti podataka.
• Interne revizije i procene rizika: Redovno sprovodimo interne revizije (i po potrebi angažujemo eksterne revizore) kako bismo obezbedili usklađenost svojih praksi sa zahtevima GDPR-a. Analiziraju se mogući rizici po bezbednost i privatnost, a na osnovu nalaza revizije preduzimaju se korektivne mere. Kada je verovatno da će određena vrsta obrade prouzrokovati visok rizik za fizička lica, sprovodimo procenu uticaja na zaštitu podataka (DPIA) u skladu sa članom 35 GDPR-a. Ovaj pristup stalnog nadzora i unapređenja pomaže nam da mere zaštite podataka održavamo aktuelnim i brzo ih prilagođavamo promenama.
• Obuka i podizanje svesti: Ulažemo u obrazovanje zaposlenih o zaštiti podataka. Periodično se sprovode obuke, šalju bilteni i vrše provere znanja kako bi svi bili upoznati sa najnovijim dostignućima i zahtevima u ovoj oblasti. Bezbednost podataka u velikoj meri zavisi od postupaka pojedinaca, pa negujemo kulturu u kojoj svako razume svoju ulogu i odgovornosti.
• Spremnost za izveštavanje: U svakom trenutku spremni smo da vama i nadzornim organima dokažemo usklađenost sa GDPR-om. Naša transparentnost obuhvata i ovu oblast: možete zatražiti informacije o svojim podacima, a mi ćemo vam pružiti sve potrebne pojedinosti. Isto tako, u slučaju nadzorne revizije imamo pripremljenu dokumentaciju i procese koji potvrđuju našu odgovornost. Svesni smo da poverenje klijenata neposredno zavisi od naše odgovornosti, zbog čega je ovo načelo jedan od temelja našeg poslovanja.

Vaša prava kao lica na koje se podaci odnose

GDPR vam daje niz prava u vezi sa vašim podacima o ličnosti. Poštujemo ta prava i pružamo vam jednostavne načine da ih ostvarite. U skladu sa uslovima i izuzecima utvrđenim GDPR-om, imate:

• Pravo na informisanje (članovi 13–14): da dobijete jasne informacije o tome kako i zašto se vaši podaci o ličnosti obrađuju.
• Pravo na pristup (član 15): da dobijete potvrdu o tome da li obrađujemo vaše podatke i da primite njihovu kopiju.
• Pravo na ispravku (član 16): da se netačni ili nepotpuni podaci o ličnosti isprave.
• Pravo na brisanje / „pravo na zaborav” (član 17): da zatražite brisanje svojih podataka kada ne postoji pretežan zakonit osnov za njihovo dalje čuvanje.
• Pravo na ograničenje obrade (član 18): da u određenim okolnostima ograničite način na koji koristimo vaše podatke.
• Pravo na prenosivost podataka (član 20): da podatke koje ste pružili primite u strukturiranom, uobičajeno korišćenom i mašinski čitljivom formatu i da se oni prenesu kada je to tehnički izvodljivo.
• Pravo na prigovor (član 21): da podnesete prigovor na obradu zasnovanu na našim legitimnim interesima i da u svakom trenutku podnesete prigovor na direktni marketing.
• Prava u vezi sa automatizovanim donošenjem odluka (član 22): da ne budete predmet odluke zasnovane isključivo na automatizovanoj obradi koja proizvodi pravna ili slično značajna dejstva.
• Pravo na povlačenje pristanka (član 7(3)): kada se obrada zasniva na pristanku, da ga povučete u svakom trenutku bez uticaja na zakonitost obrade sprovedene pre povlačenja.
• Pravo na podnošenje pritužbe (član 77): da se obratite nadležnom nadzornom organu (pogledajte odeljak u nastavku).

Da biste ostvarili bilo koje od ovih prava, kontaktirajte nas putem podataka navedenih u odeljku Kontakt-podaci. Odgovorićemo u roku od jednog meseca, kako zahteva GDPR. Za složene ili brojne zahteve ovaj rok može biti produžen za još najviše dva meseca, o čemu ćemo vas obavestiti i navesti razloge. Postupanje po vašem zahtevu je besplatno, osim ako je zahtev očigledno neosnovan ili prekomeran. Pre postupanja po zahtevu možda ćemo morati da proverimo vaš identitet.

Nadzorni organ i pravo na pritužbu

Ako smatrate da smo vaše podatke o ličnosti obradili protivno propisima o zaštiti podataka, podstičemo vas da se prvo obratite nama kako bismo mogli neposredno da rešimo vaše nedoumice. Prema članu 77 GDPR-a takođe imate pravo da podnesete pritužbu nadležnom nadzornom organu. U Estoniji je to Inspektorat za zaštitu podataka (Andmekaitse Inspektsioon):

• Organ: Estonski inspektorat za zaštitu podataka (Andmekaitse Inspektsioon)
• Adresa: Tatari 39, 10134 Tallinn, Estonia
• E-pošta: info@aki.ee
• Telefon: +372 627 4135 (savetodavna linija +372 5620 2341, pon–čet 13:00–16:00)
• Veb-sajt: www.aki.ee

Ako živite ili radite u drugoj zemlji EU/EEA, pritužbu možete alternativno podneti nadzornom organu te zemlje.

Zaključak

Naša temeljna posvećenost zaštiti vaše privatnosti i očuvanju vašeg poverenja znači da je usklađenost sa GDPR-om više od formalnosti — ona je sastavni deo našeg svakodnevnog poslovanja. Poštovanjem svih prethodno navedenih načela — zakonitosti, pravičnosti, transparentnosti, ograničenja svrhe, minimizacije podataka, tačnosti, ograničenja čuvanja, integriteta i poverljivosti, kao i odgovornosti — obezbeđujemo da se vaši podaci o ličnosti obrađuju na najispravniji i najbezbedniji mogući način. Prevazilazimo zakonske zahteve jer cenimo vaše poverenje.

U skladu sa duhom GDPR-a, nastavljamo da unapređujemo svoje prakse zaštite podataka i brzo odgovaramo na promene regulatornih zahteva. Možete biti sigurni da su vaše informacije o ličnosti u sigurnim rukama, a mi neprestano radimo kako bi tako i ostalo.

Ažuriranja i pravne informacije

Zadržavamo pravo da periodično ažuriramo ili menjamo ovaj dokument kako bi odražavao promene u našim praksama obrade podataka, zakonodavstvu ili regulatornim zahtevima. Sva ažuriranja biće objavljena na ovoj stranici, a datum poslednje izmene biće ažuriran u skladu s tim. Preporučujemo da povremeno pregledate ovu stranicu kako biste bili informisani o važećoj verziji naših načela usklađenosti sa GDPR-om.

Kontakt-podaci

Ako imate bilo kakva pitanja, komentare ili zahteve u vezi sa zaštitom podataka o ličnosti ili načinom na koji obrađujemo vaše informacije, kontaktirajte nas. Uvek smo spremni da vam pomognemo i cenimo vaše povratne informacije.

• Kompanija: Eesti Firma OÜ
• Registarski broj: 14164797
• PDV broj (KMKR): EE102081480
• Licenca za obavljanje delatnosti (TCSP): FIU000144
• Službenik za zaštitu podataka (DPO): Ilja Nikiforov
• E-pošta: info@eestifirma.ee
• Telefon: +372 641 7777
• Adresa: Vesivärava 50-301, 10152 Tallinn, Estonia

Nastojimo da na sve upite odgovorimo brzo i sveobuhvatno. Ako zatražite informacije o svojim podacima ili ostvarivanju svojih prava, odgovorićemo u roku utvrđenom GDPR-om (obično u roku od jednog meseca). Hvala vam što ste kompaniji Eesti Firma OÜ poverili zaštitu svojih podataka — mi, zauzvrat, činimo sve što je moguće da opravdamo to poverenje.