Политика заштите података Grassroots Economics Foundation

Радни превод — још није ступио на снагу. Овај превод на српски језик дат је на преглед пре правног одобрења. Енглески текст је изворни и има предност, осим ако меродавно право не захтева другачије. Прочитајте енглески извор.

1. Сврха

Grassroots Economics Foundation (GEF) поштује приватност и поступање са личним подацима сматра својом одговорношћу према људима и заједницама укљученим у њен рад. Ова Политика поставља минималне стандарде за личне податке који се обрађују кроз системе, програме, истраживања, образовање, догађаје, партнерства и рад GEF-а, укључујући Cosmo-Local Credit App (CLC App).

Ова Политика се ослања на кенијски Data Protection Act, 2019, меродавне прописе и актуелне смернице Office of the Data Protection Commissioner. Други закони такође могу да се примењују у местима где GEF ради или где се налазе лица на која се подаци односе.

Посебно Обавештење о приватности CLC App апликације пружа подробније податке о пољима App апликације, јавним ресурсима, претрази примаоца и записима јавног блокчејна. Услови коришћења уређују коришћење App апликације.

2. Област примене

Ова Политика примењује се на поверенике, директоре, особље, волонтере, стажисте, извођаче, консултанте, истраживаче и друге особе које обрађују личне податке за GEF или у његово име. Уговори и партнерски аранжмани морају да предвиде одговарајуће обавезе заштите података за пружаоце услуга и партнере.

Политика обухвата личне податке у дигиталним, папирним, звучним, визуелним, истраживачким, комуникационим и другим записима. Примењује се било да GEF поступа као контролор, заједнички контролор или обрађивач. Пројекат мора да утврди улогу GEF-а и улоге других страна, а не да претпостави да једна политика контролише сваког учесника.

3. Основна начела

GEF обрађује личне податке у складу са следећим начелима:

1. Законитост, правичност и транспарентност. Када је то изводљиво и потребно, људи добијају разумљиве информације о важној обради пре или у тренутку прикупљања њихових података.
2. Ограничење сврхе. Подаци се прикупљају у одређене, изричите и законите сврхе и не користе се поново на неспојив начин без правног основа и одговарајућег обавештења.
3. Свођење података на најмању меру. GEF прикупља и дели само оно што је разумно потребно за наведену сврху.
4. Тачност. Предузимају се разумни кораци да важни лични подаци остану тачни и да се обмањујући записи исправе.
5. Ограничење чувања. Подаци који омогућавају идентификацију чувају се само онолико дуго колико је разумно потребно за њихову сврху и меродавне обавезе.
6. Интегритет и поверљивост. Заштитне мере сразмерне су подацима, људима, околностима и ризицима.
7. Одговорност. GEF документује важне одлуке и може да покаже како примењује ова начела.
8. Учешће и достојанство. Поступање са подацима мора да поштује самосталност, безбедност, културу и разумна очекивања људи и заједница на које се подаци односе.

4. Одговорност и задужења

Органи управљања и руководство GEF-а одговорни су да обезбеде одговарајуће ресурсе и надзор за ризике приватности. Они одређују одговорне улоге за координацију приватности, информациону безбедност, записе, управљање истраживањима, заштиту деце, реаговање на инциденте и захтеве лица на која се подаци односе.

Одговорност прати рад и овлашћење; она се не додељује аутоматски одређеном одељењу. Свако ко ради за GEF или у његово име мора да:

• поштује ову Политику и поступке који се односе на његову улогу;
• приступа личним подацима само када је овлашћен и када је то неопходно;
• одмах пријави сумњу на губитак, злоупотребу, откривање или безбедносни недостатак;
• заврши обавезну обуку; и
• пита одговорног руководиоца пројекта или приватности пре почетка нејасне или високоризичне обраде.

GEF води одговарајуће евиденције о системима обраде, сврхама, категоријама података, људима на које се подаци односе, правним основима, примаоцима, преносима, чувању, заштитним мерама и одговорним лицима.

5. Правни основи и пристанак

Свака обрада мора да има одговарајући правни основ, као што су пристанак, извршење споразума, поштовање правне обавезе, заштита животно важних интереса, задатак од јавног интереса када је законом доступан или легитиман интерес који не надјачавају права људи.

Одговорни тим бележи основ пре прикупљања. Када се користи пристанак, он мора да буде информисан, конкретан, добровољан када је то потребно, доказив и једнако лак за повлачење као и за давање. Одбијање или повлачење пристанка не сме да доведе до необјављене казне.

Пристанак није подразумевани одговор за сваку активност. GEF мора да користи основ који тачно описује обраду и примени све додатне заштитне мере потребне за осетљиве податке, децу, рањиве људе, непосредну комуникацију, истраживање или међународне преносе.

6. Транспарентност и прикупљање

Пре прикупљања личних података, GEF пружа обавештење прилагођено публици и околностима. Оно треба да објасни, према потреби:

• ко прикупља податке и како ступити у контакт;
• који се подаци прикупљају и да ли су обавезни или необавезни;
• зашто се користе и на ком правном основу;
• последице недостављања обавезних података;
• ко их прима и да ли се могу обрађивати у иностранству;
• колико дуго се чувају или како се одређује рок чувања;
• важне мере безбедности и поверљивости;
• да ли ће подаци бити објављени или уписани у јавни блокчејн; и
• права особе и начине подношења притужбе.

GEF обично прикупља податке непосредно од особе. Посредно прикупљање мора да има правни основ, документован извор и одговарајуће обавештење, осим ако се примењује законити изузетак.

7. Осетљиви подаци и људи изложени већем ризику

Подаци могу да створе озбиљан ризик због свог садржаја, околности, комбинације или укључених људи. То обухвата здравствене, биометријске, генетске, етничке, верске, политичке, сексуалне, финансијске и идентификационе податке, тачну локацију и податке о заштити деце, као и податке који некога могу изложити дискриминацији, насиљу, искључивању, надзору, експлоатацији или губитку.

GEF примењује појачане заштитне мере када је ризик већи. Мере могу да обухвате прикупљање мање података, раздвајање идентификатора, строжа ограничења приступа, шифровање, краће чување, безбедније начине контакта, безбедан пренос, проверу пре откривања, савет стручњака и документовану процену утицаја.

Тимови морају да узму у обзир локалне околности. Име, припадност заједници, тачка на мапи, адреса Новчаника, фотографија или историја трансакција могу бити осетљиви чак и када нису сврстани у осетљиве податке у сваком закону.

8. Деца и њихова заштита

Обрада података детета захтева посебну пажњу, одговарајући правни основ, информације прилагођене узрасту и свако потребно одобрење родитеља или старатеља. Најбољи интереси детета су првенствено мерило.

GEF своди податке деце на најмању меру, ограничава приступ, избегава непотребне тачне локације или садржаје који идентификују дете и процењује да ли објављивање или дигитална комуникација могу да створе предвидиву штету. Поступање са подацима мора бити у складу са Политиком заштите деце.

CLC App је намењена само одраслима. Ова Политика не омогућава детету да се региструје за App.

9. Уграђена приватност и процена утицаја

Захтеви приватности морају се размотрити приликом пројектовања пројекта или система, а не додавати тек након што су подаци прикупљени. Тимови пре покретања морају да одреде сврху, ток података, видљивост, приступ, чување, брисање, пружаоце, преносе и поступке за инциденте.

GEF спроводи и бележи процену утицаја на заштиту података када обрада вероватно ствара висок ризик. Релевантни окидачи укључују обимно или систематско праћење, осетљиве податке или податке деце, тачну локацију, нову технологију, јавно повезивање, аутоматизовано оцењивање, комбиновање скупова података или неповратно објављивање.

Нерешен висок ризик мора се пре почетка обраде упутити одговорном руководству или органу управљања и, када је потребно, надлежном органу.

10. Приступ и безбедност

Приступ личним подацима ограничава се према улози и потреби. GEF бира заштитне мере које одговарају систему и ризику, а оне могу да укључују:

• снажну аутентификацију и контролисан административни приступ;
• овлашћења по начелу најмањих привилегија и раздвајање дужности;
• безбедан пренос и одговарајућу заштиту сачуваних података;
• подржан софтвер, исправке, проверу подешавања и управљање рањивостима;
• евидентирање, праћење, ограничење броја захтева и откривање злоупотребе;
• заштићене резервне копије, проверен опоравак и мере континуитета услуге;
• безбедно брисање или уништавање када се рок чувања заврши; и
• уговорне обавезе поверљивости и безбедности за особље и пружаоце.

Безбедносне контроле се преиспитују када се промене системи, претње или ризик. Записи јавног блокчејна захтевају другачије заштитне мере јер потврђени записи обично не могу да се измене или избришу.

11. Пружаоци услуга, партнери и преноси

Пре него што пружаоцу услуге омогући приступ личним подацима, GEF процењује сврху, неопходност, безбедност, локацију, даље дељење, брисање и способност подршке правним обавезама. Писани услови морају да одреде дозвољену обраду, поверљивост, безбедност, пријављивање инцидената, подизвођаче обраде, помоћ, враћање или брисање и, када је потребно, надзор.

Само партнерство не чини сваку организацију обрађивачем. Сваки аранжман мора да утврди да ли стране поступају као самостални контролори, заједнички контролори или контролор и обрађивач и да људима пружи тачне информације о тим улогама.

Међународни приступ или пренос мора да користи одговарајући правни основ и заштитне мере. Одговорни тимови документују примаоца, одредиште, сврху, податке, ризике и заштитне мере. Јавно објављени подаци и подаци јавног блокчејна доступни су широм света и захтевају јасно обавештење пре објављивања.

12. Истраживање, статистика и отворени подаци

GEF подржава одговорно истраживање и отворено учење. Отвореност не значи да се лични подаци подразумевано објављују.

Истраживање и рад са јавним подацима морају да:

• одреде питање, јавну вредност, правни основ и најмањи потребан обим података;
• користе обједињавање, деидентификацију, псеудонимизацију, узорковање или контролисан приступ када је то примерено;
• процене ризике поновне идентификације и штете групама, укључујући комбинације са јавним подацима;
• не представљају деидентификоване податке као анонимне када је поновна идентификација и даље разумно могућа;
• документују пристанак, етичку проверу, споразум са заједницом или друго законито овлашћење када је потребно;
• одреде правила приступа, поновне употребе, навођења извора, чувања, исправке и повлачења која одговарају пројекту; и
• пре објављивања провере табеле, мапе, описе, слике и мале групе ради ненамерног откривања.

Истраживачи и примаоци не смеју покушавати да поново идентификују људе нити да користе податке како би нанели штету, дискриминисали, експлоатисали или циљали особу или заједницу. GEF може ограничити, исправити, повући или одбити објављивање ако ризик није одговарајуће контролисан.

13. Тачност, исправка и порекло

Тимови предузимају разумне кораке да лични подаци остану тачни за сврху у коју се користе. Људи морају имати практичан начин да пријаве важне грешке.

Исправке треба да сачувају неопходне записе о пореклу, ревизији или спору, а да нетачне податке више не представљају као актуелне. Када јавни блокчејн или копија под независном контролом не може да се измени, GEF ће исправити запис ван блокчејна који контролише и, када је примерено, објаснити техничко ограничење.

14. Чување и уклањање

Сваки систем или активност мора да има правило чувања засновано на сврси, правним обавезама, уговорима, ризику, роковима за подношење захтева, ревизији, интегритету истраживања и правима лица на која се подаци односе. Фиксни рок не примењује се на сваку категорију само зато што га користи партнер или други пројекат.

По истеку рока чувања, GEF безбедно брише, уништава, обједињује, деидентификује или ограничава податке. Брисање резервних копија може да прати документован циклус замене. Налог за законско чување, питање заштите деце, притужба, истрага или архива од јавног интереса могу захтевати ограничено чување уз ограничен приступ.

GEF не може да избрише записе јавног блокчејна нити копије које контролишу независне треће стране.

15. Права појединаца и притужбе

GEF обезбеђује практичан поступак за остваривање права доступних према меродавном праву, укључујући обавештеност, приступ, исправку, приговор, ограничење, повлачење пристанка, брисање и преносивост када се примењују.

Захтеве треба послати на [email protected]. GEF може да провери идентитет и овлашћење подносиоца и одговориће у року који захтева меродавно право. Ако захтев не може у потпуности да се испуни, GEF ће објаснити разлог када је то дозвољено и навести доступан начин подношења притужбе.

Људи могу поднети притужбу органу Office of the Data Protection Commissioner или другом надлежном органу.

16. Инциденти са подацима

Свако ко ради за GEF или у његово име мора одмах да пријави сумњу на губитак, неовлашћен приступ, откривање, измену, уништавање или злоупотребу личних података преко одређеног канала за пријаву инцидената или одговорном руководству.

GEF ће обуздати и истражити инцидент, заштитити погођене људе, сачувати одговарајуће доказе, проценити ризик, документовати одлуке и обавестити погођене људе, партнере, осигураваче или органе када је то потребно. Подаци о инциденту смеју се делити само са људима којима су потребни ради реаговања, одговорности или поштовања закона.

17. Обука, провера и примена

Особље добија информације о приватности и безбедности које одговарају његовој улози. За улоге вишег ризика обезбеђује се додатна обука. GEF повремено проверава системе, приступ, обавештења, пружаоце, чување, инциденте и поштовање ове Политике.

Непоштовање ове Политике може довести до ограничења приступа, корективних мера, уговорних правних средстава, дисциплинских мера, окончања аранжмана, пријаве органу или друге сразмерне мере.

Нико не сме трпети одмазду због добросовесног указивања на проблем приватности или безбедности.

18. Преглед и контакт

GEF преиспитује ову Политику најмање једном годишње и када наступе битне правне, оперативне или техничке промене. Ажуриране верзије наводе датуме објављивања и ступања на снагу.

Питања о приватности, захтеви у вези са правима или забринутости могу се послати на:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenya
[email protected]