Bezpečnosť a súkromie

Áno, Ekata udržiava interné zásady ochrany osobných údajov a každoročné školenie o ochrane súkromia pre všetkých členov tímu.

Áno, Ekata ponúka svojim zákazníkom DPA. Nie všetky zákaznícke zmluvy však budú túto DPA využívať; príklady použitia sa budú líšiť. DPA je zmluva, ktorá stanovuje právny rámec, na základe ktorého Ekata spracúva osobné údaje vrátane tých, ktoré zbiera od zákazníkov s cieľom poskytovať služby Ekata. DPA je dodatok alebo príloha k hlavnej zmluve, t. j. k rámcovej zmluve o poskytovaní služieb (Master Services Agreement – ‚MSA‘) atď. medzi spoločnosťou Ekata a jej zákazníkom (zákazníkmi).

Dohoda o spracúvaní údajov (DPA) spoločnosti Ekata sa vzťahuje špecificky na viacnájomné služby (multi-tenant) spoločnosti Ekata a pokrýva naše procesy v tejto oblasti. DPA sa týka napríklad našich procesov v oblasti oznámení súvisiacich s ochranou súkromia, auditov, certifikácií, bezpečnostných opatrení a činností spojených s ďalším spracúvaním, pričom všetky sú v súlade so spôsobom fungovania služieb spoločnosti Ekata a jej viacnájomnej infraštruktúry. DPA spoločnosti Ekata je taktiež koncipovaná tak, aby bez problémov fungovala v súlade so zmluvou MSA a ďalšími príslušnými zmluvami spoločností Ekata a Mastercard.

Zmluva o spracúvaní údajov (DPA) spoločnosti Ekata platí globálne a stanovuje príslušné právne povinnosti a záväzky súvisiace so spracúvaním osobných údajov v súvislosti s poskytovaním služieb Ekata. Pre uľahčenie orientácie sa v nej používa určitá terminológia z konkrétnych právnych predpisov týkajúcich sa ochrany súkromia a údajov, napr. „správca“ a „sprostredkovateľ“ zo všeobecného nariadenia Európskej únie o ochrane údajov („GDPR“), ktoré sú uznávané celosvetovo. Zmluva DPA obsahuje aj špecifický dodatok venovaný zákonom o ochrane súkromia v Spojených štátoch. Vzhľadom na to, že predpisy na ochranu súkromia sa na celom svete neustále vyvíjajú, k zmluve DPA môžu pribudnúť ďalšie dodatky.

Pre zákazníkov, ktorí pôsobia výhradne v rámci Európskej únie, máme DPA špecifickú pre túto región.

Áno, väčšina dohody o spracovaní údajov (DPA) sa vzťahuje na zákazníkov bez ohľadu na ich prepojenie s Európskym hospodárskym priestorom („EHP“), Švajčiarskom a/alebo Spojeným kráľovstvom („UK“) (spoločne „Európa“). Väčšina záväzkov v DPA vychádza zo všeobecných požiadaviek na ochranu súkromia vo všetkých právnych predpisoch o ochrane údajov na celom svete a netýka sa výlučne európskych zákonov.

Ekata vystupuje ako prevádzkovateľ v súvislosti s osobnými údajmi podliehajúcimi nariadeniu GDPR a podobným zákonom, ktoré zákazníci odovzdali službám spoločnosti Ekata. Zákazník buď vystupuje ako prevádzkovateľ, alebo sprostredkovateľ takýchto osobných údajov. Uvádza sa to v časti 2 („Úlohy strán“) dohody o spracovaní údajov (DPA) a v časti 4 dodatku pre EÚ.

Ekata musí kontrolovať účely a prostriedky spracúvania osobných údajov od zákazníkov , aby podporila neustále zlepšovanie produktov Mastercard v oblasti boja proti podvodom a bezpečnosti a umožnila poskytovať našim zákazníkom konzistentnejšie a spoľahlivejšie výsledky. Napríklad Ekata využíva osobné údaje poskytnuté zákazníkmi prostredníctvom dopytu do služby („údaje z dopytu zákazníka“) na fungovanie siete Ekata Identity Network, ktorá zlepšuje produkt Ekata pre všetkých zákazníkov. Účel a rozsah spracúvania  osobných údajov poskytnutých zákazníkmi spoločnosti Ekata na zlepšenie produktov Ekata na prevenciu podvodov  presahuje chápanie tradičnej úlohy „sprostredkovateľa“, ako sa s ňou počíta podľa GDPR (a ďalších právnych predpisov o ochrane súkromia). Navyše, keďže spoločnosť Ekata nedávno získala spoločnosť Mastercard, údaje z dopytov zákazníkov sa budú používať na podporu rôznych produktov Mastercard na prevenciu podvodov.

DPA spoločnosti Ekata predstavuje náš globálny záväzok chrániť údaje našich zákazníkov. Keďže digitálne transakcie sú bezhraničné a globálne, tento dokument zahŕňa odkazy na zákony o ochrane súkromia na mnohých globálnych trhoch vrátane USA, EHP, Spojeného kráľovstva, Brazílie, Argentíny a ďalších. Ak v týchto krajinách v súčasnosti nepodnikáte, dokument stanovuje, že jazyk upravujúci tieto krajiny sa nebude uplatňovať. Ekata neodstráni tento jazyk zo zmluvy. Stáva sa to bezpredmetným do takej miery, do akej tvoja firma nevstúpi na ďalšie trhy, chráni to však obe spoločnosti pre prípad, že by sa osoba z trhov mimo bežných trhov zákazníka čo i len pokúšala obchodovať s tvojou firmou, bez ohľadu na to, či o tom tvoje súčasné ochranné opatrenia vedia, alebo nie.

Aby bola skúška úspešná, údaje o dopyte zákazníkov – vrátane osobných údajov – musia byť načítané do siete v produkčnom prostredí, aby bolo možné prijímať signály siete a preukázať plnú účinnosť produktu. Dohoda o spracovaní údajov (DPA) platí aj po skončení skúšobnej verzie a vzťahuje sa na služby pri komercializácii.

Mnohé zákony o ochrane súkromia údajov na celom svete zaručujú svojim obyvateľom určité práva týkajúce sa ich osobných údajov a spôsobu, akým s nimi spoločnosti môžu nakladať – práva dotknutých osôb. Na uplatnenie týchto práv musia jednotlivci, ktorých osobné údaje sa spracúvajú („dotknuté osoby“), podať spoločnosti žiadosť o uplatnenie práv dotknutej osoby, a ak je žiadosť platná, spoločnosť je zo zákona povinná vykonať požadovaný úkon a žiadosť vybaviť. Niektoré z najbežnejších žiadostí v rámci práv dotknutých osôb sú práva na požiadanie o kópiu, opravu, zastavenie spracovania alebo vymazanie osobných údajov. Americké štáty Kalifornia a Virgínia v poslednom čase pridali právo jednotlivca požiadať spoločnosť, aby prestala predávať jeho osobné údaje, ak je táto spoločnosť dátovým brokerom.

Spoločnosť Ekata reaguje na žiadosti dotknutých osôb o uplatnenie práv priznaných dotknutým osobám podľa globálnych zákonov o ochrane údajov vrátane Všeobecného nariadenia o ochrane údajov a zákonov o ochrane súkromia v jednotlivých štátoch USA, ak sú uplatniteľné.

Naši poskytovatelia údajov tretích strán sú zmluvne povinní poskytnúť dotknutým osobám možnosť uplatniť si práva na ochranu údajov, ako je právo jednotlivca na prístup k svojim údajom alebo ich vymazanie. Okrem toho sú naši poskytovatelia údajov povinní informovať spoločnosť Ekata o žiadostiach dotknutých osôb. Keď spoločnosť Ekata dostane toto oznámenie od poskytovateľa údajov, vykonáme požadované právne posúdenie a vyherieme platné žiadosti.

Jednotlivci (prípadne ich zástupcovia) môžu podávať žiadosti spoločnosti Ekata prostredníctvom ktoréhokoľvek zo spôsobov vhodných pre osoby v jednotlivých jurisdikciách uvedených v našom Oznámení o ochrane osobných údajov. Obyvatelia Kalifornie a Virgínie môžu taktiež kliknúť na odkaz „Nepredávať moje osobné informácie“ v dolnej časti webovej lokality spoločnosti Ekata a odoslať žiadosť prostredníctvom nášho webového formulára.

Áno, občas. Každé hromadné podanie vyhodnocujeme individuálne z hľadiska platnosti a využiteľnosti. Niekedy dostávame hromadné žiadosti od tretích strán, ktoré boli poverené dotknutými osobami, aby predložili žiadosti v ich mene. Hromadné žiadosti môžeme prijímať aj od našich poskytovateľov údajov tretích strán alebo od určitých zákazníkov. V závislosti od situácie môžeme každú hromadnú žiadosť vybaviť inak.

Keď subjekt údajov odošle žiadosť, ktorá od spoločnosti Ekata vyžaduje vymazanie alebo zastavenie spracovania osobných údajov tejto fyzickej osoby, odstránime tieto informácie z našich databáz Identity Network a Identity Graph, ktoré poháňajú naše produkty. Keď k tomu dôjde a zákazník odošle dopyt so žiadosťou o informácie o tejto fyzickej osobe, odpoveď vrátená zákazníkovi bude „Null“, prípadne nemusí byť vrátený žiadny výsledok, ak je dopyt súčasťou historického dávkového testu. To bohužiaľ znamená, že odpoveď na dopyt nepomôže zákazníkovi pri rozhodovaní o prevencii podvodov.

Áno, požiadavky dotknutých osôb, najmä tie hromadné, môžu ovplyvniť metriky výkonnosti služieb Ekata. Ak napríklad Ekata nedávno spracovala hromadnú žiadosť dotknutej osoby o vymazanie alebo zastavenie spracovania osobných údajov, zákazníci môžu zaznamenať pokles výkonnosti v dôsledku nárastu počtu odpovedí „Null“.

Áno, je možné, že zlí aktéri by mohli odoslať žiadosti dotknutej osoby s cieľom odstrániť svoje osobné údaje zo služieb prevencie podvodov a sťažiť tak odhaľovanie svojich aktivít. Globálne orgány na ochranu údajov však vo všeobecnosti zistili, že toto riziko je menej dôležité než právo všetkých jednotlivcov kontrolovať svoje osobné údaje.

Áno. Ekata môže zdieľať osobné údaje, ktoré získame, keď zákazníci používajú naše služby, s našimi dcérskymi a pridruženými spoločnosťami, ktoré sú súčasťou skupiny spoločností Mastercard. Osobné údaje môžeme zdieľať aj s našimi poskytovateľmi služieb, ktorí vykonávajú služby v našom mene. Príkladmi našich poskytovateľov služieb sú poskytovatelia analytických služieb, poskytovatelia ukladania údajov a poskytovatelia spracovania platieb. Od týchto poskytovateľov služieb vyžadujeme, aby spracovávali prijaté osobné údaje iba v súlade s našimi pokynmi a tak, ako je to potrebné na vykonávanie služieb v našom mene, na dodržiavanie zákonných požiadaviek a na ochranu údajov pomocou vhodných bezpečnostných opatrení.

Efektívne a účinné poskytovanie služieb spoločnosti Ekata si vyžaduje využívanie subdodávateľov spracovania. Títo subdodávatelia spracovania môžu zahŕňať pridružené spoločnosti spoločnosti Mastercard, spoločnosť Ekata a/alebo iné tretie strany, ako sú dodávatelia alebo poskytovatelia služieb. Využívanie subdodávateľov spracovania zo strany spoločnosti Ekata môže vyžadovať prenos údajov zákazníkov subdodávateľom na účely, ako je hostovanie údajov zákazníkov, poskytovanie zákazníckej podpory a zabezpečenie riadneho fungovania služieb.

Systémy Ekata majú prístup ku všetkým osobným údajom zo Spojených štátov. Keďže prístup predstavuje „prenos“ podľa nariadenia GDPR, všetky osobné údaje odoslané do systému Ekata a uložené v systémoch Ekata sa prenášajú do USA.

Podľa právnych predpisov EÚ o ochrane údajov nemožno osobné údaje prenášať mimo Európy, pokiaľ (i) príslušný vládny orgán nerozhodol, že prijímajúca krajina poskytuje primeranú úroveň ochrany; alebo (ii) vývozca údajov nemá zavedené vhodné záruky na zabezpečenie toho, aby prenášané osobné údaje podliehali primeranej úrovni ochrany údajov. „Vhodné záruky“ zahŕňajú mechanizmy prenosu, ako sú štandardné doložky o ochrane údajov (t. j. štandardné zmluvné doložky) a záväzné firemné pravidlá.

V závislosti od konkrétnych Služieb a Hlavnej zmluvy môže spoločnosť Ekata prenášať údaje na základe svojich záväzných firemných pravidiel („BCR“), čo sú podnikovo špecifické pravidlá ochrany údajov v rámci celej skupiny schválené orgánmi na ochranu údajov s cieľom uľahčiť prenos osobných údajov mimo Európy v rámci skupiny Mastercard. Niektoré staršie zmluvy sa môžu opierať o štandardné zmluvné doložky, ktoré oprávňujú tieto prenosy údajov.

Spoločnosť Ekata v súčasnosti neponúka možnosti lokalizácie údajov pre žiadne služby Ekata, hoci naše produktové tímy na týchto možnostiach do budúcna pracujú. Aktuálne konfigurácie služieb Ekata vyžadujú, aby sa osobné údaje z EÚ prenášali do Spojených štátov a/alebo sa k nim pristupovalo z USA.

Tím pre ochranu súkromia a osobných údajov spoločnosti Mastercard posudzuje vládne žiadosti o poskytnutie údajov („GDR“) týkajúce sa osobných údajov individuálne. Tím predovšetkým overí, či je žiadosť GDR (i) právne záväzná; (ii) založená na jasných, presných a prístupných pravidlách; (iii) nevyhnutná a primeraná; (iv) podliehajúca nezávislému dohľadu zo strany regulátorov a/alebo vnútroštátneho súdneho systému; a (v) podliehajúca účinným opravným prostriedkom pre dotknuté osoby. Až keď nadobudneme istotu, že právny proces je platný a primeraný, a keď sme presvedčení, že žiadosť GDR nebráni spoločnosti Ekata plniť si povinnosti vyplývajúce zo záväzných podnikových pravidiel spoločnosti Mastercard a nemá podstatný vplyv na záruky, ktoré poskytujú, poskytneme najužšiu možnú množinu údajov potrebnú na vybavenie žiadosti GDR. Ak sa nám nepodarí vyriešiť konflikt právnych predpisov, tím pre ochranu súkromia a osobných údajov vynaloží maximálne úsilie na to, aby žiadosť GDR na primeranú dobu pozastavil a mohol sa poradiť s Belgickým úradom na ochranu údajov o tom, ako ho vyriešiť.

Predvolené zaobchádzanie s osobnými údajmi zákazníkov spočíva v tom, že údaje sú pseudonymizované a zašifrované.

Ekata udržiava primerané technické a organizačné opatrenia na ochranu údajov zákazníkov, okrem iného vrátane:

Kontrola fyzického prístupu

Technické a organizačné opatrenia na zabránenie tomu, aby neoprávnené osoby získali prístup k systémom spracovania údajov dostupným v priestoroch a zariadeniach (vrátane databáz, aplikačných serverov a súvisiaceho hardvéru), v ktorých sa spracúvajú osobné údaje, zahŕňajú:

• Establishing security areas, restriction of access paths;
• Stanovenie oprávnení na prístup pre zamestnancov a tretie strany;
• Systém kontroly prístupu (čítačka ID, magnetická karta, čipová karta);
• Správa kľúčov, postupy pre karty a kľúče;
• Zamykanie dverí (elektrické otvárače dverí atď.);
• Bezpečnostní pracovníci, upratovači;
• Monitorovacie zariadenia, video/CCTV monitor, alarmový systém;
• Zabezpečenie zariadení na decentralizované spracovanie údajov a osobných počítačov.

Virtuálna kontrola prístupu

Technické a organizačné opatrenia na zabránenie tomu, aby systémy spracovania údajov používali neoprávnené osoby, zahŕňajú:

• Postupy identifikácie a overovania používateľov;
• Bezpečnostné postupy pre ID/heslo (špeciálne znaky, minimálna dĺžka, zmena hesla);
• Automatické blokovanie (napr. heslo alebo časový limit);
• Monitorovanie pokusov o vniknutie a automatické zablokovanie ID používateľa po niekoľkých pokusoch s chybovým heslom;
• Vytvorenie jedného hlavného záznamu na používateľa, postupy pre hlavné údaje používateľa, na prostredie spracovania údajov.

Kontrola prístupu k údajom

Technické a organizačné opatrenia na zabezpečenie toho, aby osoby oprávnené používať systém spracovania údajov získali prístup k takýmto osobným údajom len v súlade so svojimi prístupovými právami a aby osobné údaje nebolo možné čítať, kopírovať, upravovať ani vymazávať bez oprávnenia, zahŕňajú:

• Vnútorné pravidlá a postupy;
• Kontroluj schémy autorizácie;
• Diferencované práva prístupu (profily, role, transakcie a objekty);
• Monitorovanie a zaznamenávanie prístupov;
• Disciplinárne opatrenia voči zamestnancom, ktorí pristupujú k osobným údajom bez oprávnenia;
• Záznamy o prístupe;
• Postup prístupu;
• Postup zmeny;
• Postup vymazania.

Pozrite si aj špeciálnu stránku Security spoločnosti Ekata, ktorá podrobne opisuje naše certifikáty dodržiavania predpisov a prístup k bezpečnosti, prípadne prílohu 1 k DPA.

• Oznámenie spoločnosti Ekata o ochrane osobných údajov nájdete tu.
• Príslušnú dohodu DPA pre produkty spoločnosti Ekata nájdete tu.
• Ekata má vyhradenú stránku o zabezpečení.

Ak máte ďalšie otázky, kontaktujte svojho správcu účtu.

Ekata udržiava politiky a postupy riadenia bezpečnostných incidentov, ktoré sú opísané v príslušných častých otázkach o bezpečnosti (k dispozícii tu). V časti 9.1 dohody o spracúvaní údajov (DPA) (k dispozícii tu). Ekata sa zaväzuje informovať zákazníkov bez zbytočného odkladu po tom, čo sa dozvie o porušení ochrany osobných údajov.

Ak je vaša organizácia zasiahnutá narušením bezpečnosti, bezpečnostní zástupcovia vašej organizácie budú informovaní. Postup vytvorenia a údržby zoznamu bezpečnostných kontaktov je k dispozícii tu.