1. Tko je odgovoran za obradu
Origin, obrt za IT usluge, vl. Domagoj Špoljarić, Frana Supila 28, 33515 Orahovica, Republika Hrvatska, kontakt domagoj@digitalnidom.eu, samostalni je voditelj obrade za podatke posjetitelja portala, zahtjeve za demo i pristup, ugovorne kontakte, naplatu i vlastite sigurnosne zapise.
Za podatke štićenika, radnika, članova obitelji i drugih osoba koje dom unosi u aplikaciju voditelj obrade u pravilu je taj dom. Origin tada postupa kao izvršitelj obrade isključivo prema dokumentiranim uputama doma i ugovoru o obradi podataka.
2. Podaci portala i poslovnog odnosa
- naziv doma, država, mjesto, okviran broj štićenika i odabrani moduli
- ime, e-mail, telefon i poruka kontakt osobe
- ugovorni, obračunski i komunikacijski podaci klijenta
- IP adresa, vrijeme zahtjeva i tehnički sigurnosni podaci
3. Podaci koje dom obrađuje u aplikaciji
- identifikacijski, kontaktni, smještajni, socijalni, financijski i zdravstveni podaci štićenika
- podaci članova obitelji, skrbnika, kontakata i obveznika uzdržavanja
- podaci radnika, njihove uloge, smjene, radne evidencije i dokumenti
- zapisi o njezi, terapijama, lijekovima, mjerenjima, incidentima i pruženim uslugama
- dokumenti koje ovlašteni korisnici doma učitaju u sustav
- audit zapisi o prijavama, pregledima, izmjenama, izvozu i administrativnim radnjama
4. Svrhe i pravne osnove
Poslovna komunikacija s predstavnicima doma temelji se na legitimnom interesu uspostave i upravljanja poslovnim odnosom. Ako je fizička osoba sama ugovorna strana, primjenjuju se i nužne predugovorne i ugovorne radnje. Zakonske obveze osnova su za račune i propisane evidencije, a legitimni interes za sigurnost i obranu konkretnih zahtjeva. Privola za marketing nije uvjet korištenja aplikacije.
Dom sam utvrđuje pravnu osnovu za podatke koje unosi u aplikaciju, uključujući odgovarajući uvjet iz članka 9. GDPR-a za zdravstvene i druge posebne kategorije podataka. Platforma ne određuje svrhu skrbi niti donosi odluke o liječenju ili pravima štićenika.
5. Primatelji i podizvršitelji
Podaci se ne prodaju. U nužnom opsegu mogu ih obrađivati ovlašteni radnici doma, ovlaštene osobe Origina i ugovoreni pružatelji infrastrukture. Aktualni popis nalazi se na stranici Podizvršitelji obrade.
Kada se pošalje javni zahtjev za demo ili pristup, Origin prima njegov sadržaj i putem interne obavijesti na poslovnu e-poštu. Google Workspace koristi se i za dostavu pozivnica te poveznica za oporavak računa. Google tada može obraditi ime i e-mail korisnika, naziv i kod doma, korisnički kod te vremenski ograničenu jednokratnu poveznicu. Poruke ne sadrže lozinke, kartone štićenika, zdravstvene podatke ni dokumente doma.
6. Međunarodni prijenosi
Primarna baza, dokumenti i šifrirane sigurnosne kopije pohranjuju se u Europskom gospodarskom prostoru. Cloudflare koristi globalnu DNS mrežu i može obrađivati tehničke metapodatke DNS upita izvan EGP-a; web promet trenutačno ne prolazi kroz njegov proxy. Google može obrađivati podatke iz javnog zahtjeva i poruka korisničkog računa kroz svoju globalnu infrastrukturu. Takvi prijenosi uređuju se ugovornim i drugim zaštitnim mehanizmima iz poglavlja V. GDPR-a.
7. Rokovi čuvanja
- neugovoreni zahtjevi za demo ili pristup čuvaju se do 12 mjeseci od zadnje poslovne komunikacije; nužni dokazi konkretnog pravnog zahtjeva izdvajaju se zasebno
- ugovori i nužna poslovna korespondencija čuvaju se 5 godina nakon prestanka; računovodstvene isprave 11 godina od isteka pripadajuće godine, odnosno prema duljoj obvezi posebnog propisa
- za novi ugovorni paket nakon završetka prijelaza ostaje 30 dana za preuzimanje, zatim najviše dodatnih 30 dana za brisanje aktivnih podataka; postojeći ugovori i zakonite upute provode se prema svojem DPA-u
- Restic sigurnosne kopije imaju najdulju starost 90 dana; dodatne serverske snimke podliježu zasebnoj kontroli i roku do 30 dana
- rok operativnih pristupnih logova je do 30 dana; kontrola obuhvaća aktivne i rotirane datoteke, a izdvojeni dokazi stvarnog incidenta imaju zaseban ograničen rok
- iskorišteni, opozvani i istekli zapisi jednokratnih poveznica uklanjaju se unutar 30 dana neovisno o novim zahtjevima; izvorni token i lozinka ne pohranjuju se u tim zapisima
- kopije pozivnica u poslovnoj e-pošti uklanjaju se zasebnim postupkom; Googleov tehnički završetak brisanja može trajati do 180 dana nakon nepovratne upute, prema njegovu CDPA-u
Arhiviranje doma ili radnika nije brisanje. Završno brisanje provodi se kontrolirano nakon provjere ovlasti, preuzimanja i zakonskih obveza; ne brišemo podatke automatski zbog neplaćenog računa. Revizijski trag evidencije izvozi se i obrađuje zajedno s pripadajućom evidencijom. Zakonska arhiva matične knjige ostaje obveza doma i nakon prestanka pretplate; sigurnosne kopije nisu zamjena za tu arhivu.
8. Sigurnost
Primjenjuju se tenant izolacija, kontrole pristupa po ulozi, HTTPS, sigurni kolačići, MFA za platform administratora, audit zapisi, zaštita učitanih datoteka, šifrirane udaljene sigurnosne kopije, nadzor dostupnosti i ograničen administrativni pristup. Više informacija dostupno je u pregledu sigurnosnih mjera.
9. Prava ispitanika
Ovisno o okolnostima, ispitanik može tražiti pristup, ispravak, brisanje, ograničenje, prenosivost ili podnijeti prigovor. Za podatke unesene u karton doma zahtjev se prvo upućuje tom domu kao voditelju obrade. Origin će domu pružiti razumnu tehničku pomoć u izvršenju zahtjeva.
10. Pritužba i kontakt
Za pitanja i zahtjeve obratite se na domagoj@digitalnidom.eu. Ispitanik ima pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka, Selska cesta 136, Zagreb, putem službenih kontakata objavljenih na azop.hr.
11. Izmjene politike
Politika se ažurira kada se promijene svrhe, podizvršitelji, funkcionalnosti ili pravni zahtjevi. Datum zadnje izmjene objavljen je na vrhu stranice, a bitne promjene komuniciraju se ugovornim kontaktima.