Zásady ochrany osobních údajů

Stav tohoto dokumentu

Tento dokument je implementačním konceptem. Konečné zásady musí identifikovat správce osobních údajů a případného zástupce, uvést platné právní důvody zpracování, definovat doby uchovávání a před zahájením veřejného sběru dat vysvětlit záruky pro mezinárodní přenos.

Informace o ochraně osobních údajů musí být dostupné v okamžiku sběru dat. Jakákoli samostatná žádost o souhlas musí být konkrétní a nesmí být skryta uvnitř přijetí tohoto dokumentu.

Kdo je odpovědný

Konečné zásady musí označit provozovatele služby Kraftius jako správce údajů o účtu, podpoře, bezpečnosti a obchodní správě. U dat o zákaznících, zaměstnancích a výrobě zadaných dílnou obvykle o účelu použití těchto dat rozhoduje dílna, zatímco Kraftius je zpracovává za účelem poskytování služby.

Toto rozdělení rolí správce a zpracovatele, včetně toho, zda je vyžadována smlouva o zpracování osobních údajů, musí být potvrzeno pro trhy, na kterých bude služba spuštěna.

Zpracovávané údaje

V závislosti na způsobu používání Kraftius služba v současnosti zpracovává následující kategorie údajů:

• Údaje o účtu a organizaci ze služby Clerk, včetně identifikátorů, jmen, e-mailových adres, rolí a členství.
• Provozní data dílny, včetně projektů, nabídek, zákazníků, tiskáren, materiálů, dílů, skladových pohybů, výrobních záznamů, nastavení a finančních záznamů.
• Nahrané obrázky a soubory, včetně formátů modelů, sliceru, dokumentů a archivů zvolených uživateli.
• Zprávy podpoře, kontaktní údaje a jakékoli informace obsažené v žádosti o podporu.
• Technické informace, jako jsou metadata požadavků, záznamy o omezení frekvence na základě IP adresy, bezpečnostní protokoly a telemetrie chyb nebo výkonu při aktivované službě Sentry.

Odkud data pocházejí

Data poskytují majitelé účtů a administrátoři dílny, vznikají při používání Kraftius, jsou dodávána službou Clerk pro události týkající se identity a organizace a při aktivované fakturaci naším poskytovatelem plateb pro události týkající se předplatného.

Dílna může rovněž zadávat osobní údaje o svých zákaznících nebo zaměstnancích. Za poskytnutí veškerého oznámení požadovaného pro tento sběr dat odpovídá dílna.

Účely a právní důvody zpracování

Kraftius používá data k poskytování a zabezpečení účtů, provozu funkcí dílny, ukládání souborů, výpočtu nabídek a skladu, reakcím na žádosti o podporu, prevenci zneužití, diagnostice chyb a správě budoucích předplatných.

Konečné zásady musí přiřadit každému účelu konkrétní právní důvod platný podle tureckého zákona KVKK a případně podle GDPR. Možné právní důvody nesmí být uváděny obecně ani zaměnitelně.

• Poskytování požadované služby a správa účtu dílny.
• Ochrana uživatelů, nájemců (tenantů) a infrastruktury před zneužitím nebo neoprávněným přístupem.
• Plnění účetních, daňových nebo jiných zákonných povinností uchovávání dat, pokud se uplatní.
• Použití souhlasu pouze pro nepovinný účel, který jej skutečně vyžaduje.

Poskytovatelé služeb a příjemci údajů

Kraftius v současnosti používá nebo je nakonfigurován k použití následujících kategorií služeb. Konečné zásady a registr zpracovatelů musí potvrdit smluvní subjekty, regiony a účely:

• Clerk pro ověřování, identitu uživatele a členství v organizaci.
• Neon pro databázi PostgreSQL.
• Vercel pro hostování aplikace a Vercel Blob pro nahrané soubory.
• Sentry pro sledování chyb a výkonu, je-li nakonfigurován.

Mezinárodní zpracování a přenosy dat

Někteří poskytovatelé mohou data zpracovávat nebo zpřístupňovat mimo Turecko nebo zemi uživatele. Konečné zásady musí uvádět relevantní cílové země nebo skupiny příjemců a skutečně použitý právní mechanismus přenosu.

Volba regionů, smluvní záruky a subdodavatelé poskytovatelů musí být ověřeny podle produkční konfigurace, nikoli odvozeny z marketingových materiálů produktu.

Přístup k nahraným souborům

Současná dočasná implementace Vercel Blob ukládá nahrané objekty s veřejnými URL adresami. Kdokoli, kdo takovou URL adresu získá, může být schopen soubor stáhnout bez relace Kraftius. Veřejné spuštění vyžaduje přechod na soukromé úložiště s kontrolou přístupu podle dílny a projektu.

Cílový návrh bude ukládat záznamy o souborech ve vlastnictví serveru, vydávat krátkodobá podepsaná oprávnění k nahrávání a stahování, vynucovat kvóty a mazat pouze objekty, u kterých je prokázáno, že patří aktivní dílně.

Uchovávání, export a mazání dat

Kompletní harmonogram uchovávání dat zatím nebyl schválen. Současný export nezahrnuje všechny kategorie dat ani všechny bajty souborů a smazání organizace zatím neposkytuje spolehlivé úplné vymazání.

Před veřejným spuštěním musí Kraftius definovat dobu uchovávání aktivních účtů, expiraci záloh, dobu uchovávání bezpečnostních protokolů a protokolů podpory, právní důvody pro pozastavení mazání, uzavření účtu, ověření smazání a omezené záznamy, které musí zůstat zachovány kvůli zákonným povinnostem.

Zabezpečení

Kraftius používá ověřené relace, identifikátory nájemců (tenantů), kontroly rolí, šifrovaná síťová připojení, bezpečnostní hlavičky, podpisy webhooků, databázové transakce pro vybrané skladové operace a sledování chyb. Žádný systém nemůže zaručit absolutní bezpečnost.

Plán veřejného spuštění zahrnuje uzavření známých mezer v autorizaci nájemců, přesun souborů na soukromý přístup, obměnu produkčních přístupových údajů, testování obnovy a přidání automatizovaných izolačních testů.

Vaše možnosti, práva a kontakt

V závislosti na platném právu mohou mít jednotlivci právo na informace, přístup, opravu, výmaz, omezení zpracování, námitku, přenositelnost a podání stížnosti u dozorového úřadu. Některá práva mohou být omezena zákonnými povinnostmi uchovávání dat nebo rolí dílny, která údaje původně shromáždila.

Žádosti lze v současnosti podávat prostřednictvím stránky podpory Kraftius. Před spuštěním musí tato část obsahovat přímý kontakt na správce pro otázky ochrany osobních údajů, poštovní adresu, proces ověření identity a očekávaný postup vyřízení.

• Nezbytné ukládání údajů pro ověřování a zabezpečení je nutné pro fungování služby.
• Volitelné technologie sledování nebo budoucí marketingové technologie musí být v případě potřeby samostatně zdokumentovány a řízeny.
• Kraftius si v současnosti nečiní nárok na prodej osobních údajů ani na použití obsahu dílny pro cílenou reklamu.
• Žádost týkající se údajů o zákaznících zadaných dílnou může být nutné vyřešit společně s danou dílnou.
• Konečné zásady musí uvádět příslušný dozorový úřad a postup pro podání stížnosti.