Súlad s GDPR – Livappy

Úvod

Livappy OÜ (Lõkke 12, 10122 Tallinn, Estónsko) sa zaväzuje k plnému súladu so všeobecným nariadením Európskej únie o ochrane údajov (GDPR) vo všetkých svojich činnostiach. Táto politika súladu s GDPR slúži ako interná smernica a zároveň ako verejné vyhlásenie o tom, ako Livappy zabezpečuje ochranu údajov a súkromia v súlade s GDPR.

V prípade akýchkoľvek otázok alebo pripomienok k tejto politike alebo k ochrane údajov v Livappy nás kontaktujte na info@livappy.com.

Rozsah pôsobnosti

Táto politika sa vzťahuje na všetky činnosti spracúvania osobných údajov, ktoré Livappy OÜ vykonáva v súvislosti s poskytovaním služieb osobám v Európskej únii. Ako spoločnosť usadená v EÚ podlieha Livappy pôsobnosti GDPR pri každom spracúvaní osobných údajov osôb v EÚ¹. V praxi to znamená, že so všetkými osobnými informáciami, ktoré Livappy zbiera, používa, uchováva alebo inak spracúva – či už od zákazníkov, používateľov, zamestnancov alebo partnerov v celej EÚ – sa zaobchádza v súlade s požiadavkami GDPR.

Livappy sa zaväzuje zabezpečiť, aby sa zásady a pravidlá GDPR uplatňovali na všetko relevantné spracúvanie údajov bez ohľadu na to, v ktorej krajine EÚ má dotknutá osoba pobyt. Uvedomujeme si, že GDPR chráni základné práva na súkromie osôb v EÚ a ukladá nám povinnosti vždy, keď pracujeme s osobnými údajmi z EÚ².

Podľa tejto politiky činnosti Livappy, na ktoré sa vzťahuje GDPR, zahŕňajú (ale neobmedzujú sa na): zhromažďovanie osobných údajov od používateľov a zákazníkov, uchovávanie alebo hosting týchto údajov (napríklad na našich cloudových serveroch), analýzu osobných údajov na obchodné účely a poskytovanie údajov autorizovaným poskytovateľom služieb. Všetky tieto činnosti sa vykonávajú v súlade s GDPR a v rámci Európskeho hospodárskeho priestoru (EHP) alebo na základe schválených mechanizmov prenosu, ak sa údaje prenášajú mimo EHP. V súhrne, ak Livappy spracúva osobné údaje osoby z EÚ, toto spracúvanie patrí do rozsahu tejto politiky a súladu s GDPR.

Transparentnosť

Livappy dodržiava zásadu transparentnosti tým, že dotknuté osoby jasne informuje o tom, ako zhromažďujeme, používame a poskytujeme ich osobné informácie. GDPR vyžaduje, aby organizácie boli otvorené a čestné o osobných údajoch, ktoré zhromažďujú, a o účeloch, na ktoré sa používajú³. V súlade s tým Livappy poskytuje dotknutým osobám komplexné informácie o ochrane súkromia vždy, keď zhromažďujeme osobné údaje. Tieto oznámenia (napríklad naša Politika ochrany súkromia) podrobne uvádzajú všetky povinné informácie, vrátane:

Identita prevádzkovateľa:

Livappy OÜ označujeme ako prevádzkovateľa a vo všetkých oznámeniach o ochrane súkromia uvádzame naše kontaktné údaje (adresu a e-mail).

Zhromažďovanie a používanie údajov:

Vysvetľujeme, aké osobné údaje zhromažďujeme a ako a prečo ich zhromažďujeme. To zahŕňa kategórie údajov (napr. meno, kontaktné informácie, identifikačné doklady atď.) a účely, na ktoré sa spracúvajú (ako poskytovanie našich služieb, overovanie totožnosti, zákaznícka podpora, marketing atď.).

Právne základy:

Pri každej spracovateľskej činnosti uvádzame právny základ podľa GDPR, ktorý ju odôvodňuje – napríklad či sa opierame o súhlas používateľa, nevyhnutnosť plnenia zmluvy, zákonnú povinnosť alebo oprávnené záujmy. Zabezpečujeme, aby sa žiadne osobné údaje nespracúvali bez platného právneho základu podľa článkov 6 a 9 GDPR.

Uchovávanie údajov:

Informujeme osoby o tom, ako dlho uchovávame osobné údaje. Livappy sa zaväzuje k minimalizácii uchovávania, čo znamená, že osobné údaje uchovávame len tak dlho, ako je nevyhnutné na dosiahnutie uvedených účelov alebo ako to vyžaduje zákon, po čom sa údaje bezpečne vymažú alebo anonymizujú.

Príjemcovia údajov:

Zverejňujeme všetky tretie strany alebo partnerov, ktorí môžu prijímať osobné údaje. To zahŕňa upozornenie na to, či sa osobné údaje poskytujú našim poskytovateľom služieb alebo sprostredkovateľom (napríklad poskytovateľom cloudového hostingu, službám overovania totožnosti, analytickým nástrojom), a zabezpečenie toho, aby osoby poznali kategórie príjemcov.

Práva a kontakt:

Osoby informujeme o ich právach dotknutej osoby podľa GDPR (podrobne v ďalšej časti) a poskytujeme jasné pokyny, ako tieto práva uplatniť, vrátane kontaktovania nás na info@livappy.com. V našich oznámeniach o ochrane súkromia uvádzame aj právo podať sťažnosť dozornému orgánu a ďalšie požadované informácie.

Všetky informácie o ochrane súkromia sú prezentované v stručnej, transparentnej a ľahko dostupnej forme s použitím jasného jazyka, ako to vyžaduje GDPR. Livappy poskytuje tieto informácie v čase získania údajov (alebo, ak sú získané od tretích strán, pri najbližšej možnej príležitosti podľa článkov 13 a 14 GDPR). Zaväzujeme sa aktualizovať naše oznámenia o ochrane súkromia vždy, keď sa zmenia naše postupy spracúvania údajov, a akékoľvek významné zmeny bezodkladne oznámime, aby sme zabezpečili nepretržitú transparentnosť. V podstate sa Livappy snaží zaistiť, aby osoby nikdy neboli v nevedomosti o tom, ako sa zaobchádza s ich údajmi, čím posilňuje dôveru a plní vysoké štandardy GDPR pre transparentnosť³.

Práva dotknutých osôb

Podľa GDPR majú fyzické osoby (dotknuté osoby) rozsiahle práva týkajúce sa ich osobných údajov a Livappy je plne odhodlané umožniť ich uplatňovanie a rešpektovať ich. Práva priznané dotknutým osobám zahŕňajú: právo byť informovaný, právo na prístup, právo na opravu, právo na vymazanie („právo na zabudnutie“), právo na obmedzenie spracúvania, právo na prenosnosť údajov, právo namietať proti spracúvaniu a právo nebyť predmetom rozhodnutia založeného výlučne na automatizovanom spracúvaní (vrátane profilovania)⁴. Uznávame všetky tieto práva a zaviedli sme postupy na uľahčenie ich uplatňovania.

Uplatňovanie práv

Livappy má používateľsky prístupné postupy, ktoré osobám umožňujú uplatniť ich práva podľa GDPR. Dotknuté osoby môžu kedykoľvek podať žiadosť kontaktovaním nás na info@livappy.com. Poskytujeme tiež online formuláre alebo nastavenia v aplikácii (ak je to relevantné) na zjednodušenie podávania žiadostí o prístup, opravu, vymazanie atď.

Po prijatí žiadosti Livappy:

Overí žiadosť:

Z dôvodu bezpečnosti môžeme potrebovať overiť totožnosť žiadateľa, aby sme zabezpečili, že osobné údaje nebudú poskytnuté neoprávnenej osobe. To môže zahŕňať vyžiadanie ďalších informácií alebo overenia, ak je žiadosť podaná z e-mailu alebo účtu, ktorý nám ešte nie je známy.

Odpovie včas:

Na všetky žiadosti dotknutých osôb odpovedáme bez zbytočného odkladu a do jedného mesiaca od ich prijatia, ako to vyžaduje GDPR⁶. Ak je žiadosť zložitá alebo ak ide o veľký počet žiadostí, môžeme túto lehotu predĺžiť najviac o ďalšie dva mesiace, avšak o predĺžení a jeho dôvodoch informujeme žiadateľa v rámci pôvodnej jednomesačnej lehoty. V každom prípade bude stav a výsledok žiadosti jasne oznámený.

Vybaví žiadosť, ak je to možné:

Ak je žiadosť platná a neuplatňuje sa žiadna zákonná výnimka, Livappy žiadosť vybaví. Napríklad poskytneme kópiu osobných údajov osoby, ktoré spracúvame (právo na prístup), opravíme akékoľvek nesprávnosti (oprava), vymažeme údaje, ak sa o to požiada a ak tomu nebráni žiadny prevažujúci zákonný dôvod (vymazanie), alebo na základe námietky či žiadosti o obmedzenie ukončíme určité spracúvanie, a to všetko v súlade s podmienkami GDPR. Ak sa požaduje prenosnosť údajov, poskytneme osobné údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte.

Vysvetlí akékoľvek odmietnutie alebo obmedzenie:

V zriedkavom prípade, keď žiadosti nemôžeme vyhovieť (napríklad ak sa uplatňuje výnimka alebo ak je žiadosť zjavne neopodstatnená alebo neprimeraná), oznámime osobe konkrétny dôvod, prečo nemôžeme žiadosť vybaviť, a informujeme ju o jej práve podať sťažnosť dozornému orgánu. Za odpoveď na žiadosti o uplatnenie práv neúčtujeme žiadny poplatok, pokiaľ nie je žiadosť opakovaná alebo neprimeraná (v takom prípade bude akýkoľvek poplatok alebo odmietnutie výhradne v rozsahu, ktorý povoľuje GDPR).

Uľahčí uplatnenie a zdokumentuje ho:

Interné postupy Livappy zabezpečujú, že zamestnanci sú vyškolení na rozpoznávanie a správne vybavovanie žiadostí dotknutých osôb⁷. Vedieme záznamy o žiadostiach a odpovediach, aby sme preukázali náš súlad. V prípade potreby tiež informujeme príslušných sprostredkovateľov alebo príjemcov z tretích strán (napríklad ak boli údaje poskytnuté a je potrebné ich vymazať alebo opraviť, oznámime týmto stranám žiadosť podľa požiadaviek).

Livappy hlboko rešpektuje kontrolu jednotlivcov nad ich osobnými údajmi. Dodržiavaním týchto práv a zjednodušením celého procesu preukazujeme našu zodpovednosť a odhodlanie podporovať posilnenie postavenia dotknutých osôb podľa GDPR. Náš tím je vždy pripravený pomôcť osobám pochopiť a uplatniť ich práva.

Ochrana údajov už v štádiu návrhu a štandardná ochrana údajov

Livappy prijíma ochranu údajov už v štádiu návrhu a štandardnú ochranu údajov ako základné zásady vo všetkých našich produktoch, službách a obchodných procesoch. To znamená, že od samotného začiatku každého projektu alebo systému integrujeme hľadiská ochrany údajov a zabezpečujeme, aby boli záruky ochrany súkromia zabudované štandardne, a nie pridané dodatočne⁸. Náš prístup zahŕňa nasledujúce postupy:

Integrácia vo fáze návrhu:

Vždy, keď vyvíjame alebo aktualizujeme softvér, aplikácie alebo obchodné procesy, ktoré zahŕňajú osobné údaje, proaktívne posudzujeme riziká pre súkromie a začleňujeme ochranné opatrenia už v štádiu návrhu. Napríklad minimalizujeme zhromažďovanie údajov len na to, čo je nevyhnutné na stanovený účel (minimalizácia údajov) a volíme architektúry systémov, ktoré chránia osobné údaje (napríklad použitím pseudonymizácie alebo techník agregácie, ak je to vhodné).

Štandardné nastavenia ochrany súkromia:

Služby Livappy sú nakonfigurované s nastaveniami priaznivými pre súkromie. To znamená, že pokiaľ používateľ aktívne nezvolí inak, zhromažďuje a používa sa minimálne nevyhnutné množstvo osobných údajov. Všetky funkcie, ktoré by mohli ovplyvniť súkromie, sú štandardne nastavené na najochrannejšie hodnoty⁹. Používatelia nemusia dávať súhlas na dodatočné zhromažďovanie údajov, aby služba fungovala – ochrana súkromia je štandardné nastavenie.

Posúdenia vplyvu na ochranu údajov (DPIA):

Pri každej novej alebo významne zmenenej spracovateľskej činnosti, ktorá môže predstavovať vysoké riziko pre súkromie osôb, vykonávame posúdenie vplyvu na ochranu údajov. Prostredníctvom DPIA včas identifikujeme potenciálne problémy so súkromím a riešime ich úpravou nášho návrhu alebo zavedením ďalších záruk. Tento proces zabezpečuje súlad s článkom 35 GDPR a preukazuje naše dôkladné zváženie rizík pre súkromie vopred.

Školenia a informovanosť:

Naše vývojárske a produktové tímy sú školené v zásadách ochrany údajov už v štádiu návrhu. Budujeme internú kultúru, v ktorej si zamestnanci a dodávatelia uvedomujú povinnosti v oblasti ochrany súkromia a pri zaobchádzaní s osobnými údajmi dôsledne uplatňujú myslenie zamerané na súkromie. Pred spustením nových funkcií vykonávame kontroly ochrany súkromia alebo kontrolné zoznamy, aby sme zabezpečili, že sú zavedené kontroly súladu.

Priebežné preskúmania a zlepšovanie:

Ochrana údajov už v štádiu návrhu nie je jednorazová záležitosť. Livappy priebežne monitoruje a preskúmava svoje systémy, aby zabezpečilo, že naďalej dodržiavajú štandardy ochrany súkromia. Vykonávame pravidelné audity a aktualizácie bezpečnostných a súkromie chrániacich kontrol, prispôsobujeme sa novým regulačným odporúčaniam a začleňujeme spätnú väzbu používateľov na zlepšenie ochrany údajov. Ak dôjde k zmenám v technológiách alebo v používaní údajov, vraciame sa k našim návrhom, aby sme štandardne zachovali najvyššiu úroveň ochrany údajov.

Zakomponovaním ochrany súkromia do samotnej podstaty našich činností Livappy nielen plní požiadavku GDPR na ochranu údajov už v štádiu návrhu a štandardnú ochranu údajov, ale buduje aj dôveru používateľov. Naším cieľom je zabezpečiť, aby ochrana súkromia bola neoddeliteľnou súčasťou inovácií a služieb našej spoločnosti – chrániac osobné údaje od základov a štandardne v každom prípade.

Technické a organizačné opatrenia

Livappy zaviedlo komplexný súbor technických a organizačných bezpečnostných opatrení na ochranu osobných údajov a na zabezpečenie úrovne bezpečnosti primeranej riziku, ako to vyžaduje článok 32 GDPR¹¹. Uvedomujeme si, že ochrana osobných údajov je prvoradá, a uplatňujeme najlepšie postupy v odvetví na zabránenie neoprávnenému prístupu, zverejneniu, zmene alebo strate údajov. Kľúčové opatrenia zahŕňajú:

Šifrovanie:

Všetky osobné údaje, s ktorými Livappy pracuje, sú chránené silným šifrovaním, a to počas prenosu aj v stave uloženia. Pre údaje prenášané cez siete používame aktuálne šifrovacie protokoly (napríklad TLS) a robustné šifrovacie algoritmy na šifrovanie údajov uložených v našich databázach a záložných kópiách. To zaisťuje, že aj keby boli údaje zachytené alebo sprístupnené bez oprávnenia, zostali by nečitateľné a zabezpečené¹². Kde je to možné, poskytujeme mechanizmy na bezpečnú správu šifrovacích kľúčov, aby sme zabránili akémukoľvek jedinému bodu kompromitácie.

Kontrola prístupu:

Livappy uplatňuje striktné mechanizmy kontroly prístupu, aby osobné údaje boli dostupné len oprávneným osobám na základe zásady nevyhnutnej potreby vedieť. Zaviedli sme kontroly prístupu založené na rolách a systémy autentifikácie používateľov (vrátane viacfaktorovej autentifikácie pre citlivé systémy) na obmedzenie toho, kto môže k údajom pristupovať. Prístup zamestnancov k osobným údajom sa poskytuje na základe pracovnej role a pri zmene roly sa bezodkladne odoberá alebo upravuje. Každý zamestnanec alebo dodávateľ s prístupom k osobným údajom je viazaný povinnosťou mlčanlivosti a absolvuje školenie o bezpečnosti údajov.

Protokolovanie a monitorovanie:

Vedieme podrobné protokoly o prístupe do systémov a o činnostiach spracúvania údajov. Každý prístup do úložísk osobných údajov, ako aj významné úkony vykonané s osobnými údajmi sa zaznamenávajú do bezpečných audítorských záznamov. Livappy používa monitorovacie nástroje na kontrolu protokolov a odhalenie akýchkoľvek nezvyčajných alebo neoprávnených činností. To nám pomáha nielen predchádzať a identifikovať potenciálne bezpečnostné incidenty, ale poskytuje aj audítorský záznam na preukázanie zodpovednosti za prístup k údajom a ich zmeny.

Bezpečná infraštruktúra (AWS Cloud):

Naše služby sú hosťované na Amazon Web Services (AWS), renomovanom poskytovateľovi cloudu s vysokými bezpečnostnými štandardmi a postupmi v súlade s GDPR. Využívame bezpečnostné funkcie a certifikácie súladu spoločnosti AWS. Napríklad si vyberáme regióny dátových centier v Európe na uchovávanie osobných údajov z EÚ, využívame integrované firewally a sieťovú bezpečnosť AWS a pravidelne aplikujeme softvérové záplaty a aktualizácie. AWS poskytuje silné garancie a možnosti ochrany údajov (vrátane kontroly zákazníka nad umiestnením údajov, šifrovaním a správou prístupu)¹², ktoré využívame na posilnenie našej celkovej bezpečnostnej pozície.

Bezpečnosť sietí a systémov:

Livappy chráni svoje IT systémy opatreniami, ako sú firewally, systémy detekcie a prevencie prienikov (IDS/IPS), ochrana pred škodlivým softvérom a bezpečná sieťová architektúra. Prostredia oddeľujeme (napr. vývojové, testovacie, produkčné), aby sme znížili riziko, a uplatňujeme postupy riadenia zraniteľností vrátane pravidelného skenovania zraniteľností a penetračného testovania. Akékoľvek zistené bezpečnostné problémy bezodkladne riešime.

Organizačné politiky a školenia:

Zaviedli sme interné politiky bezpečnosti a ochrany údajov, ktoré musia dodržiavať všetci zamestnanci a dodávatelia. Tieto politiky sa týkajú správneho zaobchádzania s osobnými údajmi, používania zariadení, protokolov na hlásenie incidentov a ďalších oblastí. Vykonávame pravidelné školenia a programy zvyšovania informovanosti, aby náš tím zostal ostražitý a znalý v oblasti najlepších postupov kybernetickej bezpečnosti a ochrany súkromia. Prístup k osobným údajom vyžaduje dodržiavanie týchto politík a ich porušenie môže viesť k disciplinárnym opatreniam.

Pravidelné audity a hodnotenia:

Livappy pravidelne audituje svoje opatrenia na ochranu údajov a vykonáva posúdenia rizík, aby zabezpečilo ich trvalú účinnosť. Pravidelne preskúmavame prístupové práva používateľov, testujeme naše plány reakcie na incidenty a môžeme zapojiť nezávislých audítorov na vyhodnotenie našich bezpečnostných kontrol. Akékoľvek zistené slabé miesta alebo možnosti zlepšenia bezodkladne odstraňujeme. Tieto audity nám pomáhajú udržiavať súlad a neustále sa prispôsobovať vyvíjajúcim sa bezpečnostným štandardom a regulačným odporúčaniam.

Kontinuita činnosti a záložné kópie:

Na ochranu pred stratou alebo zničením údajov vedieme bezpečné rutiny zálohovania údajov a máme zavedené plány obnovy po havárii. Záložné kópie kritických osobných údajov sú šifrované a bezpečne uložené (vrátane záloh mimo pracoviska alebo v cloude) a pravidelne testujeme obnovu údajov. V prípade akéhokoľvek zlyhania systému alebo havárie môže Livappy obnoviť osobné údaje a zabrániť tak ich trvalej strate, v súlade s požiadavkami na integritu a dostupnosť.

Pseudonymizácia a minimalizácia údajov:

Kdekoľvek je to vhodné, Livappy uplatňuje na osobné údaje pseudonymizáciu – nahradenie identifikačných polí umelými identifikátormi – aby sa znížilo riziko v prípade neoprávneného prístupu. Dôsledne sa tiež pridržiavame zásady minimalizácie údajov a zhromažďujeme a uchovávame len tie osobné údaje, ktoré sú nevyhnutné na naše stanovené účely¹⁰. Minimalizovaním údajov, ktoré uchovávame, a ich oddeľovaním alebo anonymizovaním, kde je to možné, obmedzujeme dopad akéhokoľvek potenciálneho bezpečnostného problému.

Prostredníctvom týchto a ďalších opatrení Livappy zabezpečuje, že osobné údaje sú vždy chránené už v štádiu návrhu a štandardne¹³. Neustále vyhodnocujeme nové bezpečnostné technológie a postupy na posilnenie našej ochrany. Naším záväzkom je udržiavať špičkový bezpečnostný rámec, ktorý spĺňa alebo prevyšuje požiadavky GDPR na bezpečnosť údajov, a tým chrániť dôveru, ktorú do nás vkladajú naši používatelia a zákazníci.

Zodpovedná osoba (DPO)

GDPR vyžaduje, aby určité organizácie vymenovali zodpovednú osobu, ak sú splnené konkrétne kritériá, napríklad ak hlavné činnosti spočívajú v rozsiahlom spracúvaní citlivých údajov alebo v pravidelnom a systematickom monitorovaní osôb vo veľkom rozsahu¹⁹. Livappy OÜ zodpovednú osobu ešte nevymenovalo, keďže náš súčasný rozsah a povaha spracúvania údajov z toho nerobia povinnú požiadavku podľa článku 37 GDPR. Konkrétne, hlavné činnosti Livappy v súčasnosti nezahŕňajú rozsiahle spracúvanie osobitných kategórií údajov ani rozsiahle pravidelné monitorovanie osôb, ktoré by právne vyžadovalo vymenovanie DPO¹⁹. Vyhodnotili sme naše povinnosti a určili sme, že formálna zodpovedná osoba zatiaľ nie je potrebná.

Livappy však zostáva v tejto otázke ostražité. Zaväzujeme sa vymenovať kvalifikovanú zodpovednú osobu v budúcnosti, ak sa naše činnosti alebo právne povinnosti zmenia tak, že DPO bude potrebná. Napríklad, ak sa podnikanie Livappy rozšíri na rozsiahle spracúvanie vysoko citlivých osobných údajov alebo ak začneme vykonávať rozsiahle profilovanie či monitorovanie, znovu posúdime potrebu DPO a bezodkladne vykonáme vymenovanie v súlade s ustanoveniami GDPR.

Súčasné opatrenia na ochranu údajov

Aj v prípade absencie formálne určenej zodpovednej osoby Livappy zabezpečuje, že zodpovednosti za ochranu údajov sú v organizácii jasne pridelené:

Máme dedikovaný tím (alebo osobu) pre ochranu súkromia a súlad, ktorý dohliada na dodržiavanie GDPR a poskytuje poradenstvo v otázkach ochrany údajov. Tento tím monitoruje našu výkonnosť v oblasti ochrany údajov, poskytuje pokyny k povinnostiam podľa GDPR a interne zastupuje záujmy súkromia používateľov.
Poskytujeme kontaktné informácie (info@livappy.com) pre všetky dopyty alebo žiadosti týkajúce sa ochrany údajov a tejto komunikácii venujeme rovnakú starostlivosť a pozornosť, ako keby bola zavedená zodpovedná osoba. Všetky prijaté dopyty alebo sťažnosti vybavujeme dôsledne a v prípade potreby ich eskalujeme na manažment alebo právnych poradcov špecializovaných na ochranu súkromia.
Podľa potreby udržiavame otvorenú komunikáciu s dozornými orgánmi a sledujeme regulačné odporúčania, aby sme zabezpečili trvalý súlad.

Livappy rozumie prínosu, ktorý môže zodpovedná osoba priniesť, aj keď nie je striktne povinná – napríklad nezávislý dohľad a odborné znalosti v oblasti ochrany súkromia. Naše povinnosti budeme aj naďalej sledovať a neváhame určiť zodpovednú osobu, keď to podmienky alebo náš rast budú vyžadovať. Medzitým je naším záväzkom, že všetky podstatné funkcie zodpovednej osoby (monitorovanie súladu, poradenstvo pri DPIA, školenie zamestnancov atď.) sú plnené prostredníctvom našich interných riadiacich štruktúr.

Ohlasovanie porušenia ochrany osobných údajov

Napriek silnej ochrane Livappy uznáva, že bezpečnostné incidenty môžu potenciálne nastať. V prípade porušenia ochrany osobných údajov (bezpečnostného incidentu vedúceho k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov alebo prístupu k nim) máme jasný postup na riešenie porušenia a plnenie ohlasovacích povinností podľa GDPR. Náš plán reakcie na porušenie ochrany osobných údajov zahŕňa nasledujúce kroky, v súlade s článkami 33 a 34 GDPR:

Okamžité zistenie a interné upozornenie:

Máme zavedené systémy a procesy na zistenie potenciálnych porušení ochrany údajov a upozornenie na ne. Naši zamestnanci sú vyškolení na rozpoznávanie a eskaláciu bezpečnostných incidentov. V momente, keď je porušenie podozrievané alebo identifikované, je informovaný náš interný tím reakcie (ktorý zahŕňa IT, bezpečnostný a riadiaci personál). Určujeme konkrétneho manažéra incidentu, ktorý dohliada na vyšetrovanie.

Zamedzenie šírenia a posúdenie:

Livappy rýchlo zamedzí šírenie porušenia, aby zabránilo ďalšiemu unikaniu údajov (napríklad izolovaním zasiahnutých systémov, zrušením kompromitovaných prihlasovacích údajov alebo vypnutím konkrétnych funkcií). Následne incident vyšetríme, aby sme určili povahu a rozsah porušenia, ktoré údaje a ktoré osoby sú zasiahnuté, a aké sú potenciálne riziká pre dotknuté osoby. Ako súčasť tohto posúdenia vyhodnocujeme pravdepodobnosť a závažnosť akejkoľvek možnej škody.

Ohlásenie orgánom (72 hodín):

Ak porušenie pravdepodobne povedie k riziku pre práva a slobody fyzických osôb, Livappy to ohlási príslušnému dozornému orgánu bez zbytočného odkladu a, ak je to možné, do 72 hodín od okamihu, keď sa o porušení dozvie¹⁴. Keďže Livappy má sídlo v Estónsku, naším vedúcim dozorným orgánom je pravdepodobne estónsky Inšpektorát na ochranu údajov (Andmekaitse Inspektsioon), pokiaľ porušenie nezasahuje dotknuté osoby vo viacerých krajinách EÚ (v takom prípade budeme koordinovať postup s vedúcim orgánom v rámci mechanizmu jednotného kontaktného miesta).

Naše ohlásenie porušenia orgánom bude obsahovať všetky požadované informácie (povaha porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné dôsledky, prijaté alebo navrhované opatrenia na riešenie porušenia atď.). Ak nebudeme schopní poskytnúť všetky podrobnosti do 72 hodín, poskytneme informácie postupne v povolenom rozsahu spolu s vysvetlením omeškania^15,16.

Oznámenie zasiahnutým osobám:

Ak porušenie pravdepodobne povedie k vysokému riziku pre osobné údaje alebo súkromie fyzických osôb, porušenie bez zbytočného odkladu oznámime aj zasiahnutým dotknutým osobám¹⁷. Toto oznámenie bude formulované jasným a jednoduchým jazykom, bude opisovať povahu porušenia a poskytne osobám odporúčania na zmiernenie potenciálnych nepriaznivých dôsledkov (napríklad môžeme odporučiť obnovenie hesiel alebo ostražitosť voči phishingu, ak boli prihlasovacie údaje vyzradené). Osoby nebudeme informovať, ak sú v dôsledku účinných technických opatrení (ako sú šifrované údaje) alebo iných faktorov dotknuté údaje nečitateľné alebo je riziko nízke, pokiaľ nám orgány nenariadia inak.

Náprava a predchádzanie v budúcnosti:

Livappy okamžite prijme opatrenia na odstránenie príčiny porušenia. To môže zahŕňať opravu softvérových zraniteľností, spresnenie kontrol prístupu, zlepšenie šifrovania alebo iné korekčné opatrenia, aby sa podobný incident neopakoval. Zdokumentujeme tiež získané poznatky a podľa nich aktualizujeme naše bezpečnostné politiky a školenia. Vrcholový manažment je informovaný o všetkých porušeniach a o postupe nápravy, čím sa zabezpečuje zodpovednosť a podpora potrebných zlepšení.

Dokumentácia:

V súlade s článkom 33 ods. 5 GDPR Livappy dokumentuje všetky porušenia ochrany osobných údajov bez ohľadu na to, či podliehajú ohlasovaniu. Tento interný register porušení zaznamenáva skutočnosti súvisiace s porušením, jeho dôsledky a prijaté nápravné opatrenia. Takáto dokumentácia umožňuje dozorným orgánom overiť náš súlad a pomáha nám neustále zdokonaľovať našu reakciu na bezpečnostné incidenty. Aj pri menších incidentoch vedieme záznam ako súčasť našich povinností zodpovednosti¹⁸.

Dodržiavaním tohto štruktúrovaného prístupu Livappy zabezpečuje, že každé porušenie ochrany údajov sa rieši rýchlo a transparentne, s konečným cieľom chrániť údaje a práva našich používateľov. Naša nepretržitá pripravenosť reagovať na incidenty a záväzok dodržať 72-hodinovú ohlasovaciu lehotu odrážajú vážnosť, s akou pristupujeme k bezpečnosti osobných údajov a k našim povinnostiam podľa GDPR.

Zmluvy o spracúvaní osobných údajov

Livappy sa pri podpore svojich služieb opiera o určitých dôveryhodných poskytovateľov služieb tretích strán (sprostredkovateľov) – napríklad poskytovateľov cloudovej infrastruktúry, služby overovania totožnosti a analytické platformy. V súlade s požiadavkami GDPR Livappy podpisuje zmluvy o spracúvaní osobných údajov (DPA) so všetkými externými sprostredkovateľmi, ktorí spracúvajú osobné údaje v našom mene²⁰. Tieto DPA sú formálne zmluvy, ktoré zabezpečujú, že každý sprostredkovateľ je zaviazaný k súladu s GDPR a chráni osobné údaje na rovnako vysokej úrovni ako my. Kľúčové aspekty nášho prístupu k DPA zahŕňajú:

Povinné DPA so všetkými sprostredkovateľmi:

Máme politiku, podľa ktorej sa žiadne osobné údaje neposkytnú ani nezveria sprostredkovateľovi z tretej strany, pokiaľ nie je zavedená DPA v súlade s GDPR. To zahŕňa hlavných partnerov, ako sú Amazon Web Services (AWS) pre cloudový hosting, Veriff pre služby overovania totožnosti, Google pre cloudové nástroje alebo analytiku a akýkoľvek iný dodávateľ alebo zmluvný partner spracúvajúci údaje. Každý z týchto sprostredkovateľov sa zmluvne zaviazal dodržiavať požiadavky GDPR, spracúvať údaje len na základe zdokumentovaných pokynov Livappy a zaviesť primerané bezpečnostné opatrenia.

Uistenia a dostatočné záruky:

V súlade s článkom 28 a odôvodnením 81 GDPR Livappy zapája len sprostredkovateľov, ktorí poskytujú dostatočné záruky svojej schopnosti chrániť osobné údaje²¹. Naše zmluvy o spracúvaní osobných údajov stanovujú, že sprostredkovatelia musia zaviesť všetky primerané technické a organizačné opatrenia na ochranu údajov (napr. šifrovanie, kontroly prístupu, povinnosti mlčanlivosti) a podľa potreby pomáhať Livappy pri vybavovaní žiadostí dotknutých osôb a pri ohlasovaní porušení²². Nových dodávateľov pred zapojením ako sprostredkovateľov dôkladne posudzujeme z hľadiska ich postupov ochrany údajov a reputácie.

Kľúčové ustanovenia DPA:

Každá DPA, ktorú Livappy podpisuje, obsahuje všetky požadované klauzuly podľa článku 28 ods. 3 GDPR. Patria medzi ne okrem iného: sprostredkovateľ bude spracúvať osobné údaje len na základe pokynov Livappy; personál spracúvajúci údaje je viazaný povinnosťou mlčanlivosti; sprostredkovateľ pomôže zabezpečiť súlad s bezpečnostnými požiadavkami a bude asistovať pri právach dotknutých osôb a pri DPIA; ďalších sprostredkovateľov nemožno zapojiť bez nášho povolenia a musia byť viazaní rovnakými povinnosťami; sprostredkovateľ vráti alebo vymaže osobné údaje na konci spolupráce; a sprostredkovateľ sa musí podrobiť auditom a poskytnúť dôkazy o súlade²². Tieto zmluvné podmienky dávajú Livappy a našim používateľom istotu, že osobné údaje zostávajú chránené aj vtedy, keď s nimi pracujú tretie strany.

Monitorovanie a vymáhanie:

Livappy vedie evidenciu všetkých aktuálnych sprostredkovateľov a stavu našich zmlúv s nimi. Monitorujeme súlad našich sprostredkovateľov – napríklad preskúmavaním ich bezpečnostných certifikácií, audítorských správ alebo dodržiavania kódexov správania. Ak sprostredkovateľ nesplní svoje povinnosti v oblasti ochrany údajov, prijmeme bezodkladné opatrenia, ktoré môžu zahŕňať požiadavku na nápravu, pozastavenie spracúvania údajov alebo aj ukončenie zmluvy. Naše DPA navyše ukladajú sprostredkovateľom zodpovednosť za ochranu údajov, čo znamená, že musia Livappy (a v konečnom dôsledku našich používateľov) odškodniť za akúkoľvek škodu spôsobenú ich spracúvaním, ktoré nespĺňa štandardy GDPR.

Ďalší sprostredkovatelia:

Ak naši sprostredkovatelia ďalej subdodávateľsky zadávajú akékoľvek spracúvanie (napríklad ak AWS využíva subdodávateľov pri prevádzke dátových centier), naše DPA vyžadujú, aby títo ďalší sprostredkovatelia podliehali rovnakým štandardom. Zmluvy Livappy zabezpečujú, že existuje reťaz povinností v súlade s GDPR cez všetky úrovne spracúvania údajov.

Poznámka: Livappy uzavrelo zmluvu o spracúvaní osobných údajov (DPA) so spoločnosťou Google Ireland Limited na poskytovanie služieb Google Workspace (e-mail, kalendár, cloud). Google vystupuje ako sprostredkovateľ v mene Livappy a všetko spracúvanie je v súlade s GDPR, vrátane štandardných zmluvných klauzúl (SCC), ak môžu byť údaje prenášané mimo EÚ.

Udržiavaním dôsledných zmlúv o spracúvaní osobných údajov Livappy plní svoju povinnosť prevádzkovateľa pracovať iba so sprostredkovateľmi, ktorí môžu zaručiť ochranu osobných údajov²³. Táto zmluvná starostlivosť je základnou súčasťou nášho programu súladu s GDPR a poskytuje našim zákazníkom a používateľom istotu, že s ich údajmi sa bude bezpečne zaobchádzať nielen v Livappy, ale aj u každého partnera či dodávateľa zapojeného do poskytovania našich služieb. Naše DPA pravidelne preskúmavame a aktualizujeme v súlade s právnym vývojom a zabezpečujeme, aby všetky nové partnerstvá začínali s pevnou zmluvou o ochrane údajov.

Kontaktné informácie

Kontaktný e-mail: info@livappy.com

Dátum účinnosti: 10. septembra 2025

Prevádzkovateľ: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Zapísaná v registrovom oddelení Krajského súdu v Tartu, karta obchodného registra č. 1

Dátum účinnosti a preskúmanie

Táto politika súladu s GDPR je účinná od dátumu zverejnenia a je schválená manažmentom Livappy. Politiku budeme preskúmavať minimálne raz ročne a ďalej podľa potreby tak, aby odrážala akékoľvek zmeny v našich postupoch alebo v právnych predpisoch. Aktualizácie budú zverejňované, aby zamestnanci, zákazníci a partneri zostali informovaní o tom, ako Livappy dodržiava svoj záväzok súladu s GDPR.

Referencie

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/

Politika súladu s GDPR