1. Podaci koje prikupljamo
U zavisnosti od načina korišćenja platforme, prikupljamo sledeće kategorije podataka:
2.1 Podaci o korisničkom nalogu
- Ime i prezime, e-mail adresa, broj telefona
- Lozinka (čuvana u kriptografski heširanoj formi, nikad u čistom obliku)
- Tajni ključ za dvofaktorsku autentifikaciju (TOTP) — enkriptovan AES-256 algoritmom
2.2 Podaci o pravnom licu (klijentu)
- Naziv firme, PIB, matični broj, sedište, kontakt podaci
- Naziv ovlašćenog lica
2.3 Operativni podaci u sistemu
- Podaci o zaposlenima koje unosite u sistem (ime, prezime, JMBG, radno mesto, status)
- Operativne evidencije koje vodite (obuke, lekarski i sanitarni pregledi, povrede na radu, oprema, otpad i slično)
- Dokumenta i prilozi koje učitavate
2.4 Tehnički podaci
- IP adresa i informacije o uređaju (browser, OS)
- Vremenske oznake pristupa i akcija (audit log)
- Podaci o sesiji i pristupnim tokenima
2. Svrha obrade i pravni osnov
Podatke obrađujemo isključivo radi sledećih svrha:
- Pružanje usluge — kreiranje i upravljanje nalogom, čuvanje vaših operativnih evidencija, generisanje obrazaca i izveštaja. Pravni osnov: izvršenje ugovora.
- Zakonske obaveze — vođenje propisane dokumentacije u oblastima koje Platforma pokriva (bezbednost i zdravlje na radu, zaštita životne sredine i druge). Pravni osnov: pravna obaveza.
- Bezbednost sistema — sprečavanje neovlašćenog pristupa, audit log, otkrivanje zlonamernih aktivnosti. Pravni osnov: legitimni interes rukovaoca.
- Komunikacija sa vama — odgovaranje na upite, tehnička podrška, obaveštenja o izmenama servisa. Pravni osnov: izvršenje ugovora i legitimni interes.
3. Period čuvanja
- Aktivan nalog: podatke čuvamo dok je vaš nalog aktivan i imate važeću pretplatu.
- Nakon prekida pretplate: svi podaci (login, klijent baza, dokumenti i evidencije) čuvaju se na Platformi 1 godinu radi mogućnosti reaktivacije ili migracije, zatim se trajno brišu.
- BZR evidencije nakon brisanja sa Platforme: Klijent je kao rukovalac odgovoran za poštovanje propisanih zakonskih rokova čuvanja (do 40 godina za evidencije o povredama i izloženostima) — pre isteka roka brisanja na Platformi dužan je da izveze podatke.
- Audit log: 24 meseca od datuma akcije.
- Računi i poreska dokumentacija: u skladu sa poreskim propisima (najmanje 10 godina).
- Statistički podaci: mogu se zadržati neograničeno (vidi sekciju 4).
4. Statistički podaci
Pružalac zadržava pravo da koristi agregovane, anonimizovane podatke dobijene korišćenjem Platforme — bez ikakvih identifikacionih elemenata o pojedinačnim korisnicima, zaposlenima ili klijentima — radi:
- Analize i poboljšanja funkcionalnosti Platforme
- Statističkih analiza opštih trendova u industrijskim oblastima koje Platforma pokriva
- Internih izveštaja o korišćenju i performansama servisa
- Razvoja novih funkcija i optimizacije postojećih
Anonimizacija je nepovratan proces — anonimizovani podaci ne mogu se ponovo povezati sa konkretnim licem i ne predstavljaju podatke o ličnosti u smislu Zakona o zaštiti podataka. Korišćenjem Platforme dajete saglasnost na ovakvo korišćenje.
5. Deljenje sa trećim licima
Vaše podatke ne prodajemo. Delimo ih samo sa pažljivo odabranim obrađivačima koji su pod ugovorom o obradi podataka:
- Cloud infrastruktura — hosting baze i fajl skladišta (S3-kompatibilni sistem)
- SMTP provajder — slanje sistemskih e-mailova
- SSO provajderi — Microsoft (Azure AD), samo ako koristite SSO prijavu
Podaci se ne prenose van Evropske unije bez adekvatnih garancija (standardne ugovorne klauzule).
6. Vaša prava
U skladu sa Zakonom o zaštiti podataka o ličnosti i GDPR-om, imate sledeća prava:
- Pravo na pristup — uvid u podatke koje obrađujemo
- Pravo na ispravku — netačnih ili nepotpunih podataka
- Pravo na brisanje („pravo na zaborav") — uz zakonska ograničenja
- Pravo na ograničenje obrade
- Pravo na prenosivost podataka — u strukturisanom, mašinski čitljivom formatu
- Pravo na prigovor — na obradu koja se zasniva na legitimnom interesu
- Pravo na opoziv pristanka — gde je obrada zasnovana na pristanku
- Pravo na pritužbu — Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti Republike Srbije (poverenik.rs)
Za ostvarivanje prava, obratite nam se preko kontakt forme. Odgovorićemo u roku od najviše 30 dana.
7. Bezbednost podataka
Sprovodimo organizacione i tehničke mere zaštite, uključujući:
- Enkripciju podataka u prenosu (TLS/HTTPS) i osetljivih polja u mirovanju
- Heširanje lozinki (jednosmernim algoritmom)
- Stroga izolacija podataka po klijentu — nijedan korisnik ne može pristupiti podacima drugog klijenta
- Granularna kontrola pristupa po ulogama i funkcionalnostima
- Dvofaktorska autentifikacija (2FA)
- Kompletan audit log svih akcija u sistemu
- Redovne rezervne kopije podataka
8. GDPR usklađenost
Kraang je u potpunosti usklađen sa Opštom uredbom EU o zaštiti podataka (GDPR — EU 2016/679) koja je suštinski preneta u Zakon o zaštiti podataka o ličnosti Republike Srbije. Sledeći odeljci pojašnjavaju specifične GDPR elemente koji se odnose na obradu podataka u Platformi.
9.1 Uloge — rukovalac i obrađivač
Kada koristite Kraang za vođenje BZR evidencija svojih zaposlenih, vi (Klijent) ste rukovalac podacima u smislu GDPR-a. Kraang deluje kao obrađivač podataka koji podatke obrađuje isključivo po vašim instrukcijama i u skladu sa zaključenim ugovorom.
Za podatke korisničkog naloga (ime, e-mail, lozinka, pristupne sesije), Kraang je rukovalac u skladu sa ovom Politikom.
9.2 Vaša prava po članovima GDPR-a
Sva prava navedena u sekciji 6 odgovaraju konkretnim članovima GDPR-a:
- Član 15 — Pravo na pristup podacima
- Član 16 — Pravo na ispravku
- Član 17 — Pravo na brisanje („pravo na zaborav")
- Član 18 — Pravo na ograničenje obrade
- Član 20 — Pravo na prenosivost podataka u strukturisanom, mašinski čitljivom formatu (JSON, CSV)
- Član 21 — Pravo na prigovor
- Član 22 — Pravo da se ne primenjuje odluka isključivo na osnovu automatizovane obrade
9.3 Pravni osnovi obrade (član 6 GDPR)
- Izvršenje ugovora (čl. 6.1.b) — pružanje usluge platforme
- Pravna obaveza (čl. 6.1.c) — vođenje propisane dokumentacije u oblastima koje Platforma pokriva
- Legitimni interes (čl. 6.1.f) — bezbednost sistema, sprečavanje zloupotreba, audit log
- Pristanak (čl. 6.1.a) — analitički kolačići i opciona obaveštenja
9.4 Ugovor o obradi podataka (DPA — član 28 GDPR)
Za poslovne korisnike koji obrađuju podatke svojih zaposlenih, na zahtev zaključujemo Ugovor o obradi podataka (Data Processing Agreement) u skladu sa članom 28 GDPR-a. Ugovor uređuje:
- Predmet i trajanje obrade, vrste podataka i kategorije subjekata
- Obaveze i prava obe strane
- Tehničke i organizacione mere (čl. 32 GDPR)
- Postupanje sa potpodobrađivačima
- Obaveštavanje o povredama podataka
- Postupanje sa podacima po prestanku ugovora
Za zaključivanje DPA, obratite nam se preko kontakt forme.
9.5 Povreda podataka i obaveštavanje (član 33 GDPR)
U slučaju povrede podataka koja predstavlja rizik za prava i slobode subjekata podataka, obavestićemo:
- Nadzorni organ (Poverenika RS) u roku od 72 sata od saznanja
- Pogođene Klijente i subjekte bez nepotrebnog odlaganja
Sve incidente vodimo u internoj evidenciji u skladu sa članom 33.5 GDPR-a.
9.6 Međunarodni prenosi podataka
Podaci se primarno obrađuju u okviru Evropske unije i Republike Srbije. U izuzetnim slučajevima prenosa van EU/EEA (npr. određeni cloud servisi), to činimo uz adekvatne garancije:
- Standardne ugovorne klauzule (SCC) Evropske komisije
- Odluke o adekvatnosti tamo gde postoje
- Dopunske mere zaštite (dodatna enkripcija, pseudonimizacija)
9.7 Postupak ostvarivanja prava
- Pošaljite zahtev preko kontakt forme
- Navedite koje pravo želite da ostvarite i osnovne podatke za identifikaciju
- Možemo zatražiti dodatnu identifikaciju ako postoji opravdana sumnja u identitet
- Odgovorićemo najkasnije u roku od 30 dana od prijema zahteva
- U složenim slučajevima rok se može produžiti za još 60 dana, uz obaveštenje
9. Izmene politike
Zadržavamo pravo da povremeno ažuriramo ovu politiku. O materijalnim izmenama obavestićemo vas e-mailom ili obaveštenjem u aplikaciji najmanje 30 dana pre stupanja izmena na snagu.