Bezbednost i privatnost

Da, Ekata održava internu politiku privatnosti i sprovodi godišnju obuku o privatnosti za sve članove tima.

Da, Ekata nudi DPA svojim klijentima. Međutim, neće svi korisnički ugovori koristiti ovaj DPA; slučajevi upotrebe će se razlikovati. DPA je ugovor koji utvrđuje pravni okvir pod kojim Ekata obrađuje podatke o ličnosti, uključujući one koje prikuplja od klijenata radi pružanja usluga kompanije Ekata. DPA je dodatak ili prilog Glavnom ugovoru, tj. Glavnom ugovoru o uslugama („MSA”), itd., između kompanije Ekata i njenog klijenta (klijenata).

The Ekata DPA is specific to Ekata’s multi-tenant services and covers our processes in relation to these. For example, the DPA covers our processes around privacy-related notifications, audits, certifications, security measures, and sub-processing activities, all of which are aligned to the way in which Ekata’s services and its multi-tenant infrastructure work. The Ekata DPA is also drafted to seamlessly interoperate with the MSA and other relevant Ekata and Mastercard agreements.

Ekatin DPA se primenjuje na globalnom nivou i utvrđuje relevantne zakonske obaveze i posvećenosti u vezi sa obradom ličnih podataka u vezi sa pružanjem usluga kompanije Ekata. Radi lakšeg snalaženja, on koristi određenu terminologiju iz specifičnih zakona o privatnosti i zaštiti podataka, npr. „kontrolor” i „obrađivač” iz Opšte uredbe o zaštiti podataka („GDPR”) Evropske unije, koji su priznati širom sveta. DPA takođe uključuje poseban dodatak koji se bavi zakonima o privatnosti u Sjedinjenim Američkim Državama. Mogu postojati i drugi dodaci koji se dodaju na DPA, budući da propisi o privatnosti nastavljaju da se razvijaju na globalnom nivou.

Za klijente koji posluju samo unutar Evropske unije, imamo DPA koji je specifičan za taj region.

Da, veći deo UOIP-a se primenjuje na klijente bez obzira na njihovu povezanost sa Evropskim ekonomskim prostorom („EEP”), Švajcarskom i/ili Ujedinjenim Kraljevstvom („UK”) (zajedno: „Evropa”). Većina obaveza u UOIP-u proističe iz opštih zahteva u vezi sa privatnošću u svim zakonima o zaštiti podataka širom sveta i nije specifična samo za evropske zakone.

Ekata ima ulogu rukovaoca u vezi sa ličnim podacima koji podležu Opštoj uredbi o zaštiti podataka (GDPR) i sličnim zakonima koje korisnici dostavljaju uslugama kompanije Ekata. Korisnik deluje ili kao rukovalac ili kao obrađivač takvih podataka o ličnosti. Ovo je utvrđeno u Odeljku 2 („Uloge strana”) DPA i Odeljku 4 Dodatka za EU.

Ekata mora da kontroliše svrhe i sredstva obrade podataka o ličnosti od strane klijenata kako bi podržala stalno unapređenje Mastercard proizvoda za sprečavanje prevara i bezbednost i omogućila punu sposobnost vraćanja doslednijih, pouzdanijih rezultata za naše klijente. Na primer, Ekata koristi podatke o ličnosti koje klijenti dostave putem upita usluzi („podaci o upitima klijenata”) za napajanje mreže Ekata Identity Network, čime se unapređuje Ekata proizvod za sve klijente. Svrha i obim obrade podataka o ličnosti koje klijenti dostavljaju kompaniji Ekata radi unapređenja Ekata proizvoda za sprečavanje prevara prevazilaze pojmove tradicionalne uloge „obrađivača” predviđene Opštom uredbom o zaštiti podataka (GDPR) (i drugim zakonima o privatnosti). Pored toga, pošto je kompaniju Ekata nedavno preuzeo Mastercard, podaci o upitima klijenata koristiće se kao podrška različitim Mastercard proizvodima za sprečavanje prevara.

Sporazum DPA kompanije Ekata predstavlja našu globalnu posvećenost zaštiti podataka naših klijenata. Budući da su digitalne transakcije bez granica i globalne, ovaj dokument obuhvata reference na statute o privatnosti na mnogim globalnim tržištima, uključujući SAD, EEP, Veliku Britaniju, Brazil, Argentinu i druge. Ako danas nemate poslovanje u tim zemljama, dokument propisuje da se jezik koji uređuje te zemlje neće primenjivati. Ekata neće ukloniti taj jezik iz sporazuma. To postaje izlišno u meri u kojoj vaše preduzeće ne ulazi na dodatna tržišta, ali štiti obe kompanije u slučaju da pojedinac sa tržišta koja nisu tipična za kupca uopšte pokuša da posluje sa vašom kompanijom, bez obzira na to da li je to poznato vašim trenutnim zaštitnim mehanizmima ili ne.

Da bi testiranje bilo uspešno, podatke o upitima klijenata – uključujući podatke o ličnosti – potrebno je uneti u mrežu u produkcionom okruženju kako bi se primili signali mreže i demonstrirala puna efikasnost proizvoda. DPA ostaje na snazi i nakon testiranja i primenjuje se na usluge u trenutku komercijalizacije.

Mnogi zakoni o privatnosti podataka širom sveta garantuju svojim rezidentima određena prava u vezi sa njihovim ličnim podacima i načinom na koji kompanije mogu da postupaju sa njima – prava subjekata podataka. Da bi ostvarili ova prava, pojedinci čiji se lični podaci obrađuju („subjekti podataka”) moraju da podnesu zahtev za ostvarivanje prava subjekata podataka kompaniji, i ukoliko je zahtev važeći, kompanija je zakonski obavezna da preduzme traženu radnju i ispuni zahtev. Neki od najčešćih zahteva u vezi sa pravima subjekata podataka jesu pravo na traženje kopije, ispravku, prekid obrade ili brisanje ličnih podataka. Američke savezne države Kalifornija i Virdžinia nedavno su dodale pravo pojedinca da zatraži da kompanija prestrave prodaju njihovih ličnih podataka ukoliko je ta kompanija posrednik u prikupljanju podataka (Data Broker).

Ekata odgovara na zahteve lica na koja se podaci odnose radi ostvarivanja prava koja im pripadaju na osnovu globalnih zakona o zaštiti podataka, uključujući Opštu uredbu o zaštiti podataka i zakone saveznih država SAD o privatnosti, gde je to primenljivo.

Od naših dobavljača podataka trećih strana ugovorno se zahteva da licima na koje se podaci odnose omoguće ostvarivanje njihovih prava na zaštitu podataka, kao što je pravo pojedinca na pristup ili brisanje njegovih podataka. Takođe, od naših dobavljača podataka se zahteva da obaveste kompaniju Ekata o zahtevima lica na koja se podaci odnose. Kada Ekata primi ovo obaveštenje od dobavljača podataka, vršimo potrebnu pravnu procenu i ispunjavamo važeće zahteve.

Pojedinci (ili njihovi zastupnici, ako je primenjivo) mogu da podnesu zahteve kompaniji Ekata koristeći bilo koji metod prikladan za lica u svakoj nadležnosti navedenoj u našem Obaveštenju o privatnosti. Rezidenti Kalifornije i Virdžinije mogu da kliknu i na vezu „Ne prodaj moje lične podatke” na dnu veb-sajta kompanije Ekata kako bi podneli zahtev pomoću našeg veb-obrasca.

Da, povremeno. Svako masovno slanje procenjujemo od slučaja do slučaja u pogledu validnosti i primenjivosti. Ponekad primamo masovne zahteve od trećih strana koje su subjekti podataka angažovali da podnesu zahteve u njihovo ime. Takođe možemo primati masovne zahteve od naših dobavljača podataka treće strane ili od određenih klijenata. U zavisnosti od situacije, svaki masovni zahtev možemo obrađivati drugačije.

Kada subjekat podataka podnese zahtev koji od kompanije Ekata zahteva da izbriše ili obustavi obradu podataka o ličnosti tog pojedinca, te podatke uklanjamo iz baza podataka naše mreže Identity Network i grafikona Identity Graph koje pokreću naše proizvode. Kada do toga dođe i kupac podnese upit u kojem traži informacije o tom pojedincu, odgovor koji se vraća kupcu jeste „Null” ili možda uopšte neće biti rezultata ako je upit deo istorijskog grupnog testiranja. Nažalost, to znači da odgovor na upit neće pomoći kupcu u donošenju odluke o sprečavanju prevara.

Da, zahtevi ispitanika, posebno masovni zahtevi, mogu uticati na metrike performansi za usluge kompanije Ekata. Ako je, na primer, Ekata nedavno izvršila masovni zahtev ispitanika za brisanje ili obustavu obrade podataka o ličnosti, korisnici mogu primetiti pad performansi kao rezultat povećanja „Null” (nultih) odgovora.

Da, moguće je da zlonamerni akteri podnesu zahteve ispitanika kako bi uklonili svoje lične podatke iz usluga prevencije prevara i otežali otkrivanje svojih aktivnosti. Međutim, globalni organi za zaštitu podataka uglavnom smatraju da je ovaj rizik manje važan od prava svih pojedinaca da mogu da kontrolišu svoje lične podatke.

Da. Ekata može da deli podatke o ličnosti koje primamo kada klijenti koriste naše usluge sa našim zavisnim i povezanim društvima koja su deo grupe kompanija Mastercard. Takođe možemo deliti podatke o ličnosti sa našim pružaocima usluga koji obavljaju usluge u naše ime. Primeri naših pružalaca usluga obuhvataju pružaoce usluga analitike, pružaoce usluga skladištenja podataka i pružaoce usluga obrade plaćanja. Zahtevamo od ovih pružalaca usluga da obrađuju podatke o ličnosti koje prime samo u skladu sa našim uputstvima i onoliko koliko je neophodno za obavljanje usluga u naše ime, radi usklađivanja sa zakonskim zahtevima i radi zaštite informacija uz primenu odgovarajućih bezbednosnih mera.

Delotvorno i efikasno pružanje usluga kompanije Ekata zahteva korišćenje podizvršitelja obrade. Ovi podizvršitelji obrade mogu obuhvatati povezana lica kompanije Mastercard, Ekata i/ili druge treće strane kao što su dobavljači ili pružaoci usluga. Korišćenje podizvršitelja obrade od strane kompanije Ekata može zahtevati prenos podataka o klijentima podizvršiteljima obrade u svrhe kao što su hosting podataka o klijentima, pružanje korisničke podrške i obezbeđivanje pravilnog funkcionisanja usluga.

Svim podacima o ličnosti mogu pristupiti sistemi kompanije Ekata iz Sjedinjenih Američkih Država. Pošto pristup predstavlja „prenos” u skladu sa Opštom uredbom o zaštiti podataka (GDPR), svi podaci o ličnosti poslati kompaniji Ekata i uskladišteni u sistemima kompanije Ekata prenose se u SAD.

Prema zakonu o zaštiti podataka u EU, podaci o ličnosti se ne mogu prenositi van Evrope osim ako (i) relevantno državno telo nije utvrdilo da uvozna zemlja obezbeđuje adekvatan nivo zaštite; ili (ii) izvoznik podataka ima primenjene odgovarajuće mere zaštite kako bi osigurao da preneseni podaci o ličnosti podležu adekvatnom nivou zaštite podataka. „Odgovarajuće mere zaštite” obuhvataju mehanizme prenosa kao što su standardne klauzule o zaštiti podataka (tj. standardne ugovorne klauzule) i obavezujuća korporativna pravila.

U zavisnosti od specifičnih Usluga iz Osnovnog ugovora, Ekata može da prenosi podatke na osnovu svojih obavezujućih korporativnih pravila („BCR”) – politika zaštite podataka specifičnih za kompaniju i na nivou grupe koje su odobrili organi za zaštitu podataka radi olakšavanja prenosa ličnih podataka van Evrope unutar Mastercard grupe. Neki stariji ugovori se mogu oslanjati na standardne ugovorne klauzule kako bi odobrili ove prenose podataka.

Ekata trenutno ne nudi opcije lokalizacije podataka ni za one usluge kompanije Ekata koje to zahtevaju, mada naši timovi za proizvode rade na ovim opcijama za budućnost. Trenutne konfiguracije usluga kompanije Ekata zahtevaju da se lični podaci iz EU prenose u Sjedinjene Američke Države i/ili da se njima pristupa odande.

Tim za privatnost i zaštitu podataka kompanije Mastercard procenjuje zahteve državnih organa za podatke („GDR“) koji uključuju lične podatke od slučaja do slučaja. Konkretno, tim će utvrditi da li je GDR (i) pravno obavezujući; (ii) zasnovan na jasnim, preciznim i pristupačnim pravilima; (iii) neophodan i srazmeran; (iv) podložan nezavisnom nadzoru od strane regulatornih tela i/ili nacionalnog pravosudnog sistema; i (v) podložan efikasnim pravnim lekovima za pogođene pojedinačne osobe. Samo kada se uverimo da je pravni postupak pravovaljan i prikladan, i kada smo ubeđeni da GDR ne sprečava kompaniju Ekata da ispuni svoje obaveze u skladu sa obavezujućim korporativnim pravilima kompanije Mastercard i da nema značajan uticaj na garancije koje ona pružaju, isporučujemo najmanji mogući skup podataka koji je neophodan da bi se odgovorilo na GDR. Ako ne uspemo da rešimo sukob zakona, tim za privatnost i zaštitu podataka uložiće maksimalne napore da stavi GDR na čekanje na razumno vreme kako bi se konsultovao sa Belgijskim telom za zaštitu podataka o tome kako da ga reši.

Podrazumevani tretman ličnih podataka klijenata je da se podaci pseudonimizuju i šifruju.

Ekata primenjuje odgovarajuće tehničke i organizacione mere za zaštitu podataka o klijentima, uključujući, između ostalog, sledeće:

Fizička kontrola pristupa

Tehničke i organizacione mere za sprečavanje neovlašćenih lica da dobiju pristup sistemima za obradu podataka koji su dostupni u prostorijama i objektima (uključujući baze podataka, aplikativne servere i srodni hardver), na kojima se obrađuju podaci o ličnosti, obuhvataju:

• Uspostavljanje bezbednosnih područja, ograničenje pristupa;
• Uspostavljanje ovlašćenja za pristup za zaposlene i treće strane;
• Sistem kontrole pristupa (čitač ličnih karata, magnetna kartica, kartica sa čipom);
• Upravljanje ključevima, procedure za kartice-ključeve;
• Zaključavanje vrata (električni otvarači vrata itd.);
• Obezbeđenje, domari;
• Sredstva za nadzor, video/CCTV monitor, alarmni sistem;
• Obezbeđivanje opreme za decentralizovano obrađivanje podataka i ličnih računara.

Kontrola virtuelnog pristupa

Tehničke i organizacione mere za sprečavanje korišćenja sistema za obradu podataka od strane neovlašćenih lica obuhvataju:

• Postupci identifikacije i autentifikacije korisnika;
• Procedure bezbednosti ID-ja/lozinke (specijalni znakovi, minimalna dužina, promene lozinke);
• Automatsko blokiranje (npr. lozinka ili istek vremena);
• Praćenje pokušaja provale i automatsko isključivanje korisničkog ID-ja nakon više unetih netačnih lozinki;
• Kreiranje jednog glavnog zapisa po korisniku, procedure za osnovne podatke o korisniku, po okruženju za obradu podataka.

Kontrola pristupa podacima

Tehničke i organizacione mere kojima se obezbeđuje da lica ovlašćena za korišćenje sistema za obradu podataka ostvaruju pristup samo onim podacima o ličnosti na koje imaju pravo pristupa, kao i da podaci o ličnosti ne mogu da se čitaju, kopiraju, modifikuju ili brišu bez ovlašćenja, obuhvataju:

• Interna pravila i procedure;
• Kontrolišite šeme autorizacije;
• Diferencirana prava pristupa (profili, uloge, transakcije i objekti);
• Praćenje i evidentiranje pristupa;
• Disciplinske mere protiv zaposlenih koji pristupaju ličnim podacima bez ovlašćenja;
• Izveštaji o pristupu;
• Pristupna procedura;
• Procedura promene;
• Procedura brisanja.

Pogledajte i Ekata namensku stranicu o bezbednosti na kojoj su detaljno opisane naše sertifikacije usaglašenosti i pristup bezbednosti, ili Prilog 1 DPA.

• Obaveštenje o privatnosti kompanije Ekata može se pronaći ovde.
• Važeći DPA za Ekata proizvode može se pronaći ovde.
• Ekata ima namensku stranicu za bezbednost.

Ako imate dodatnih pitanja, obratite se svom menadžeru računa.

Ekata održava politike i procedure upravljanja bezbednosnim incidentima, koje su opisane u važećim bezbednosnim čestim pitanjima (dostupnim ovde). U odeljku 9.1 DPA (dostupnom ovde). Ekata se obavezuje da će obavestiti klijente bez nepotrebnog odlaganja nakon što sazna za povredu ličnih podataka.

Ako je vaša organizacija pogođena bezbednosnim incidentom, bezbednosni kontakt(i) vaše organizacije biće obavešteni. Koraci za kreiranje i održavanje liste bezbednosnih kontakata dostupni su ovde.