Zásady ochrany osobných údajov GPMS

Tieto zásady vysvetľujú, aké osobné údaje sa spracúvajú pri používaní systému GPMS – Guard Patrol Monitoring System, kto za ne zodpovedá, ako dlho sa uchovávajú a aké máte práva. Platia pre:

• prezentačný web www.gpms.services,
• webovú aplikáciu GPMS na my.gpms.services (administrácia, dispečing, reporty),
• mobilnú aplikáciu GPMS pre Android (Google Play, balík sk.elcekait.gpms) a jej server api.gpms.services.

Sú zároveň zásadami ochrany súkromia mobilnej aplikácie GPMS v obchode Google Play.

1. Kto sme a ako nás kontaktovať

Systém GPMS prevádzkuje spoločnosť:

elceka it, s.r.o. sídlo: Budovateľská 1026/20, 039 01 Turčianske Teplice IČO: 50 429 736 DIČ: 2120318794 IČ DPH: SK2120318794 zapísaná v Obchodnom registri Okresného súdu Žilina, oddiel Sro, vložka č. 66072/L e-mail: support@gpms.services telefón: +421 999 128 909

Zodpovedná osoba: [[buď „Zodpovednú osobu sme určili: meno alebo funkcia, e-mail“, alebo „Zodpovednú osobu sme neurčili, lebo nám to právne predpisy neukladajú. So všetkými otázkami o osobných údajoch sa obracajte na support@gpms.services.“ — rozhodnutie podľa otvorenej otázky B2]]

Dozor nad ochranou osobných údajov vykonáva Úrad na ochranu osobných údajov Slovenskej republiky (kontakt v kapitole 13). Dohľad nad poskytovaním služieb informačnej spoločnosti vykonáva Slovenská obchodná inšpekcia, Inšpektorát SOI pre Žilinský kraj, Predmestská 71, 011 79 Žilina.

2. V akej úlohe spracúvame osobné údaje

GPMS používajú bezpečnostné agentúry a firmy s vlastnou ochranou (ďalej „organizácia“) na plánovanie a preukazovanie obchôdzok svojich strážnikov. Podľa toho, o aké údaje ide, sme v jednej z dvoch úloh a v aplikácii vystupuje ešte tretia strana — organizácia:

Ak ste strážnik, dispečer alebo správca v niektorej organizácii, za spracúvanie vašich údajov v GPMS zodpovedá vaša organizácia. My pre ňu systém prevádzkujeme podľa zmluvy o spracúvaní osobných údajov (čl. 28 GDPR) a jej pokynov a vaše údaje nepoužívame na vlastné účely.

3. Keď sme prevádzkovateľ

3.1 Návšteva prezentačného webu www.gpms.services

Prezentačný web je statická stránka. Nepoužíva cookies, analytické ani reklamné nástroje a nenačítava obsah z iných domén (písma, obrázky ani skripty tretích strán).

Server webu pri každej požiadavke technicky zaznamená IP adresu, čas, požadovanú adresu, kód odpovede a identifikáciu prehliadača (záznam prístupov). Robíme to kvôli bezpečnosti a prevádzke servera — napríklad pri odhaľovaní útokov — na základe nášho oprávneného záujmu (čl. 6 ods. 1 písm. f) GDPR). Záznamy uchovávame najviac [[LEHOTA, napr. 14 dní — pozri otázku B7]].

Ak si na webe prepnete svetlý alebo tmavý vzhľad, prehliadač si vašu voľbu zapamätá v miestnom úložisku (localStorage). Údaj zostáva vo vašom zariadení, neodosiela sa nám a slúži len na funkciu, ktorú ste si vyžiadali.

3.2 Keď nám napíšete

Na webe nie je kontaktný formulár. Keď nám napíšete na support@gpms.services, spracúvame vašu e-mailovú adresu, meno a ďalšie údaje, ktoré nám pošlete, aby sme vám mohli odpovedať — napríklad dohodnúť ukážku alebo pripraviť ponuku.

• Právny základ: kroky pred uzavretím zmluvy na vašu žiadosť (čl. 6 ods. 1 písm. b) GDPR), ak ste podnikateľ – fyzická osoba; inak náš oprávnený záujem odpovedať na otázky a rokovať o zmluve s organizáciou, ktorú zastupujete (čl. 6 ods. 1 písm. f) GDPR).
• Doba uchovávania: počas vybavovania a potom [[LEHOTA, napr. 12 mesiacov od poslednej správy]], ak z komunikácie nevznikne zmluva. Ak zmluva vznikne, platí kapitola 3.3.

3.3 Zákazníci a ich kontaktné osoby

Pri uzatváraní a plnení zmluvy s organizáciou spracúvame údaje jej zástupcov a kontaktných osôb: meno, funkciu, e-mail, telefón a obsah komunikácie, pri založení organizácie v GPMS aj účet jej prvého správcu.

• Právny základ: plnenie zmluvy (čl. 6 ods. 1 písm. b) GDPR), pri zástupcoch právnických osôb náš oprávnený záujem na plnení zmluvy s nimi (čl. 6 ods. 1 písm. f) GDPR); faktúry a účtovné doklady spracúvame preto, že nám to ukladá zákon (čl. 6 ods. 1 písm. c) GDPR).
• Doba uchovávania: počas trvania zmluvy a potom do uplynutia premlčacej lehoty nárokov zo zmluvy (spravidla štyri roky podľa § 397 Obchodného zákonníka); účtovné doklady a faktúry desať rokov nasledujúcich po roku, ktorého sa týkajú (§ 35 zákona o účtovníctve, § 76 zákona o DPH).

3.4 Bezpečnosť a prevádzka platformy

Na ochranu systému pred zneužitím vedieme záznamy o udalostiach, ktoré sa nedajú priradiť žiadnej organizácii — napríklad neúspešné pokusy o prihlásenie s neznámym účtom alebo zásahy správcov platformy. Záznam obsahuje čas, druh udalosti, IP adresu, identifikáciu prehliadača alebo aplikácie a zadaný prihlasovací údaj.

• Právny základ: náš oprávnený záujem na bezpečnosti systému a údajov našich zákazníkov (čl. 6 ods. 1 písm. f) GDPR).
• Doba uchovávania: 365 dní, potom sa záznamy automaticky zmažú.

Databázu zálohujeme. Zálohy sú šifrované a uložené u nášho poskytovateľa hostingu v Nemecku. Najstaršia záloha je stará najviac [[LEHOTA — pozri otázku B9]]; staršie sa automaticky odstraňujú. Údaje vymazané v systéme tak v zálohách zostanú najviac do tohto času a obnovujú sa len pri havárii.

4. Keď spracúvame údaje pre organizáciu (sprostredkovateľ)

4.1 Čo GPMS o používateľoch zaznamenáva

Rozsah určuje organizácia — nižšie je všetko, čo systém zaznamenať dokáže.

GPMS nezbiera osobitné kategórie osobných údajov (napr. údaje o zdraví) a nepoužíva údaje na reklamu, profilovanie na marketingové účely ani ich nepredáva.

4.2 Na čo údaje slúžia

Organizácia používa GPMS najmä na preukázanie výkonu obchôdzok svojim klientom, na riadenie služby a dispečing, na ochranu strážnika pri práci osamote a na evidenciu odpracovaných smien. Právny základ a presné účely určuje organizácia a uvádza ich vo svojej informácii (kapitola 5).

4.3 Ako dlho sa údaje uchovávajú

Lehoty nastavuje organizácia v administrácii. Predvolené sú:

Údaje staršie než lehota systém maže automaticky každú noc. Ostatné údaje (účty, plán služieb, smeny bez polohy, hlásenia, pokyny, zariadenia, klienti) sa uchovávajú počas trvania zmluvy organizácie s nami, ak ich organizácia nevymaže skôr [[upraviť podľa otázky B6]].

Po skončení zmluvy s organizáciou údaje podľa jej rozhodnutia vrátime alebo vymažeme, najneskôr do [[30]] dní od jej rozhodnutia; v šifrovaných zálohách zostanú najviac [[12 mesiacov]] (lehoty podľa zmluvy o spracúvaní, otázky B8 a B9).

4.4 Prístup k údajom, export a výmaz

• Strážnik si v mobilnej aplikácii v časti Nastavenia › Súkromie › Moje údaje stiahne svoje údaje vo formáte JSON.
• Správca organizácie vydá údaje ktoréhokoľvek používateľa svojej organizácie v administrácii.
• Výmaz robí správca organizácie. Meno používateľa sa nahradí pseudonymom, zmažú sa kontakty, priebežná poloha a poloha smien, údaje o zariadeniach a prihlasovacie údaje. Záznamy o skenoch a obchôdzkach (vrátane fotiek) ostanú ako dôkaz o vykonanej službe do uplynutia lehoty v kapitole 4.3.

Svoje práva voči týmto údajom uplatňujte u svojej organizácie. Ak žiadosť pošlete nám, postúpime ju organizácii bez zbytočného odkladu a pomôžeme jej žiadosť vybaviť. Bez pokynu organizácie údaje nevydáme ani nevymažeme.

4.5 Kto má k údajom prístup

K údajom organizácie majú prístup len jej používatelia podľa svojich oprávnení. Údaje jednej organizácie sú od údajov iných organizácií oddelené. Naši pracovníci k nim pristupujú len vtedy, keď je to potrebné na prevádzku, podporu alebo odstránenie poruchy, a sú viazaní mlčanlivosťou. Organizácia môže údaje sama sprístupniť svojim klientom (napr. report obchôdzky).

5. Informácia organizácie v aplikácii

Organizácia ako prevádzkovateľ vydáva v GPMS vlastnú informáciu o spracúvaní osobných údajov. Pred prvou prácou ju strážnik v mobilnej aplikácii prečíta a potvrdí tlačidlom „Rozumiem“. Potvrdenie nie je súhlas so spracúvaním — znamená, že informáciu dostal. Systém si eviduje verziu a čas potvrdenia a pri novej verzii ju zobrazí znova. Kedykoľvek neskôr je informácia v aplikácii v časti Nastavenia › Súkromie › Spracúvanie osobných údajov.

Za obsah tejto informácie zodpovedá organizácia. Ak ešte nevydala vlastnú, aplikácia zobrazí predvolený text, ktorý organizácia môže kedykoľvek nahradiť.

6. Mobilná aplikácia GPMS

Aplikáciu nemožno používať bez účtu, ktorý vám zriadi vaša organizácia. Aplikácia nemá reklamy ani analytické nástroje.

6.1 Oprávnenia telefónu

Oprávnenie môžete kedykoľvek odobrať v nastaveniach telefónu. Bez polohy, fotoaparátu alebo NFC nebude dostupná funkcia, ktorá ich potrebuje.

6.2 Údaje, ktoré aplikácia posiela

Aplikácia posiela údaje len na server GPMS cez šifrované spojenie (HTTPS s overením certifikátu servera). Jedinou výnimkou je doručovanie notifikácií cez Firebase Cloud Messaging (Google): Google dostane token zariadenia a obsah notifikácie (napr. meno dispečera a text pokynu alebo názov hlásenia a objektu).

Kým nie je signál, aplikácia ukladá skeny a smeny v telefóne a odošle ich po obnovení spojenia. Odoslané záznamy v telefóne zmaže najneskôr po 7 dňoch, neodoslané záznamy iného strážnika na zdieľanom telefóne najneskôr po 30 dňoch. Prihlasovací token je v zabezpečenom úložisku systému. Po prihlásení aplikácia nedovolí snímky obrazovky.

Export „Moje údaje“ sa odovzdá cez systémové zdieľanie telefónu — kam ho pošlete, rozhodujete vy.

6.3 Zrušenie účtu

Účet v aplikácii zriaďuje a ruší vaša organizácia. O zrušenie účtu a výmaz údajov požiadajte svojho správcu; ak ho nemôžete zastihnúť, napíšte na support@gpms.services a žiadosť odovzdáme organizácii (kapitola 4.4).

7. Cookies a podobné technológie

Používame len technológie nevyhnutné na poskytnutie služby, ktorú ste si vyžiadali, preto na ne nepotrebujeme váš súhlas (§ 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách) a nezobrazujeme cookie lištu.

Mapa v dispečingu webovej aplikácie sa načítava zo služby OpenStreetMap, ktorá tak dostane IP adresu prehliadača dispečera [[pozri otázku B14]].

8. Komu údaje poskytujeme

Údaje nepredávame a neposkytujeme na marketing. Využívame týchto sprostredkovateľov:

Údaje môžeme poskytnúť aj orgánom verejnej moci, ak nám to ukladá zákon.

9. Prenos mimo Európskej únie

Databáza a súbory sú uložené v Nemecku. Mimo Európskeho hospodárskeho priestoru môžu údaje odísť len cez služby v kapitole 8 so sídlom alebo servermi v USA. Takýto prenos sa opiera o rozhodnutie Európskej komisie o primeranosti ochrany pre rámec ochrany údajov EÚ – USA (Data Privacy Framework), ak je príjemca v ňom certifikovaný, inak o štandardné zmluvné doložky schválené Európskou komisiou. [[overiť certifikáciu každého príjemcu — otázka B4]]

10. Ako údaje chránime

• Všetka komunikácia je šifrovaná (HTTPS, server aplikácie prijíma len TLS 1.3); mobilná aplikácia overuje certifikát servera.
• Správcovia organizácií a platformy sa prihlasujú dvojfaktorovo.
• Údaje každej organizácie sú oddelené a prístup sa riadi rolami.
• Audit sa nedá upraviť ani zmazať, okrem automatického mazania po lehote.
• Zálohy sú šifrované a uložené mimo servera.
• Hesla a PIN sa ukladajú len v nevratnej podobe.

11. Automatizované rozhodovanie

GPMS automaticky vyhodnocuje skeny (napríklad zmeškaný kontrolný bod alebo podozrenie na falošnú polohu) a vytvára z nich hlásenia. Ide o upozornenia pre ľudí v organizácii; systém sám nerobí rozhodnutia, ktoré by mali voči vám právne účinky alebo vás podobne významne ovplyvňovali (čl. 22 GDPR).

12. Vaše práva

Máte právo:

• na prístup k svojim osobným údajom a ich kópiu (čl. 15 GDPR),
• na opravu nesprávnych údajov (čl. 16),
• na vymazanie (čl. 17),
• na obmedzenie spracúvania (čl. 18),
• na prenosnosť údajov (čl. 20),
• namietať proti spracúvaniu na základe oprávneného záujmu (čl. 21),
• podať sťažnosť dozornému orgánu (kapitola 13).

Pri údajoch v kapitole 3 nám napíšte na support@gpms.services. Odpovieme bez zbytočného odkladu, najneskôr do jedného mesiaca; v zložitých prípadoch môžeme lehotu predĺžiť o ďalšie dva mesiace, o čom vás informujeme (čl. 12 ods. 3 GDPR). Môžeme vás požiadať o overenie totožnosti. Pri údajoch v kapitole 4 uplatnite práva u svojej organizácie (kapitola 4.4).

13. Sťažnosť na Úrad na ochranu osobných údajov

Ak sa domnievate, že sa s vašimi údajmi zaobchádza nezákonne, môžete podať návrh na začatie konania (§ 100 zákona č. 18/2018 Z. z.) na:

Úrad na ochranu osobných údajov Slovenskej republiky Galvaniho 7/B, 821 04 Bratislava dataprotection.gov.sk

14. Povinnosť poskytnúť údaje

Na webe nám údaje poskytovať nemusíte. Ak nám nenapíšete, nemôžeme vám odpovedať. Či musíte údaje v GPMS poskytnúť svojej organizácii, určuje organizácia vo svojej informácii (kapitola 5).

15. Zmeny zásad

Zásady aktualizujeme, keď sa zmení systém alebo právne predpisy. Na tejto stránke je vždy platné znenie s dátumom účinnosti; o podstatných zmenách informujeme zákazníkov e-mailom.

Verzia [[0.1]], účinná od [[DÁTUM]].