Ochrana osobných údajov v službe Toner Monitor

Na koho sa táto informácia vzťahuje

Informácia vysvetľuje, aké osobné údaje spracúva služba Toner Monitor, na aký účel, ako dlho a aké máte práva. Časť A je pre používateľov inštancií Toner Monitor (správcov a používateľov s prístupom na čítanie, v prehliadači aj v nainštalovanej aplikácii). Časť B je pre návštevníkov verejnej ukážky na adrese toner-demo.tatrabyte.sk. E-maily s ponukou služby opisuje samostatná informácia k oslovovaniu. Spracúvanie údajov na tomto webe (formuláre, meranie návštevnosti) opisuje Ochrana osobných údajov.

1. Kto je prevádzkovateľ

Andrej Petrulák – TatraByte, miesto podnikania Slnečná 954/28, 059 71 Ľubica, IČO: 57647194, zapísaný v živnostenskom registri Okresného úradu Kežmarok, č. 730-23421. Kontakt: andrej@tatrabyte.sk, +421 915 088 580. Zodpovednú osobu TatraByte neurčil, lebo mu to zákon neukladá.

• Verejná ukážka a kontá, ktoré TatraByte používa na prevádzku služby: prevádzkovateľom je TatraByte.
• Inštancia organizácie (zamestnávateľa, školy, obce, zriaďovateľa alebo servisnej firmy), vrátane inštancie, ktorú pre organizáciu prevádzkuje TatraByte: prevádzkovateľom je táto organizácia. TatraByte spracúva údaje v jej mene ako sprostredkovateľ na základe zmluvy o spracúvaní osobných údajov.

Ak používate inštanciu organizácie, svoje práva si uplatníte u nej. Ak sa obrátite na TatraByte, žiadosť jej bez zbytočného odkladu postúpime. Organizácia môže túto informáciu použiť ako svoju a doplniť do nej svoje identifikačné údaje a kontakt na zodpovednú osobu.

Časť A – používatelia inštancie Toner Monitor

A1. Konto a prihlásenie

Údaje: prihlasovacie meno, odtlačok hesla (heslo samotné sa neukladá), rola, rozsah oprávnení (celá inštancia, organizácia alebo vybrané lokality), čas vytvorenia konta a posledného prihlásenia, príznak zablokovania. Účel: prístup do služby a riadenie oprávnení. Právny základ: určuje organizácia. Súkromná organizácia spravidla oprávnený záujem na správe svojich zariadení a na bezpečnosti IT (čl. 6 ods. 1 písm. f) GDPR); orgán verejnej moci, napríklad škola alebo obec, plnenie úlohy vo verejnom záujme alebo pri výkone verejnej moci (čl. 6 ods. 1 písm. e) GDPR). Doba uchovávania: kým konto existuje.

A2. Relácia a cookie

Po prihlásení služba vytvorí reláciu a uloží k nej IP adresu, typ prehliadača (User-Agent), čas prihlásenia a poslednej aktivity a odtlačok prístupového tokenu. Prehliadač dostane cookie __Host-pf_session (HttpOnly, Secure, SameSite=Lax), bez ktorej sa nedá prihlásiť. Relácia zanikne odhlásením, po uplynutí nečinnosti alebo najdlhšej doby podľa nastavenia inštancie (predvolene 30 dní nečinnosti a najviac rok; pre firmy a verejnú správu 14 dní a 90 dní), a tiež zmenou hesla, zablokovaním alebo zmazaním konta. Správca vás môže odhlásiť zo všetkých zariadení. Neplatné relácie maže pravidelná úloha. Účel: bezpečné prihlásenie a možnosť odhlásiť zariadenia. Právny základ: ako v A1.

Na cookie nevyhnutnú na prihlásenie sa súhlas nevyžaduje (§ 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách). Aplikácia si vo vašom prehliadači pamätá aj zvolený vzhľad (svetlý alebo tmavý) a predvolenú stránku; tieto nastavenia ostávajú vo vašom prehliadači. Toner Monitor nepoužíva analytické ani reklamné cookies a nenačítava nič od tretích strán.

A3. Audit

Služba zapisuje čas, používateľa (alebo názov API kľúča), IP adresu, akciu a jej detail pri prihlásení (aj neúspešnom), odhlásení, príkazoch agentom a pri zmenách používateľov, lokalít, organizácií, API kľúčov, cien a licencií. Účel: zodpovednosť za zmeny a vyšetrovanie bezpečnostných incidentov. Právny základ: ako v A1. Doba uchovávania: 365 dní, potom sa záznamy automaticky vymažú. Audit vidí správca inštancie.

A4. Ochrana pred zneužitím

Pri neúspešnom prihlásení sa na najviac 24 hodín uloží IP adresa alebo prihlasovacie meno a počet neúspešných pokusov. Po piatich pokusoch z jednej IP adresy alebo desiatich na jedno konto sa prihlásenie na 15 minút zablokuje. Infraštruktúra Cloudflare navyše krátkodobo počíta požiadavky podľa IP adresy, aby obmedzila ich nadmerný počet; tieto počítadlá sa neukladajú do databázy služby. Právny základ: oprávnený záujem na bezpečnosti služby (čl. 6 ods. 1 písm. f) GDPR), u orgánu verejnej moci ako v A1.

A5. Upozornenia v aplikácii (push)

Ak si v aplikácii zapnete upozornenia, váš prehliadač vytvorí odber u svojej push služby a Toner Monitor uloží adresu odberu, kľúče odberu, vaše prihlasovacie meno, typ prehliadača, čas vytvorenia, čas posledného úspešného doručenia a počet zlyhaní. Upozornenia dostanete len o tlačiarňach v rozsahu svojich oprávnení. Upozornenie obsahuje napríklad názov tlačiarne a lokality, diel, percento, kód dielu a číslo servisného hlásenia. Obsah je šifrovaný tak, že ho push služba neprečíta; doručuje ho push služba vášho prehliadača alebo operačného systému (napríklad Google, Apple, Mozilla, Microsoft) podľa svojich podmienok.

Odber zanikne, keď upozornenia vypnete v aplikácii alebo v nastaveniach prehliadača, keď sa vaše konto zmaže, keď ho push služba označí za neplatný, alebo po piatich neúspešných doručeniach. Zablokované konto upozornenia nedostáva. Právny základ: ako v A1; upozornenia si zapínate sami a kedykoľvek ich môžete vypnúť.

A6. Údaje v názvoch a upozorneniach

Ak správca pomenuje tlačiareň alebo lokalitu menom osoby (napríklad „kabinet Nováková“), meno sa zobrazí v službe a v upozorneniach. Odporúčame pomenúvať miestom, nie osobou. E-mailové upozornenia dostávajú adresy, ktoré nastaví správca inštancie.

A7. Príjemcovia a prenos mimo EÚ

Údaje spracúvajú v mene prevádzkovateľa: TatraByte (prevádzka a podpora služby), Cloudflare, Inc. (hosting a databáza), Plus Five Five, Inc. – Resend (odosielanie e-mailových upozornení, ak sú zapnuté) a Google Ireland Limited (e-mailová komunikácia pri podpore). Upozornenia v aplikácii doručuje push služba vášho prehliadača. Ďalej údaje dostanú len príjemcovia, ktorých určí vaša organizácia (napríklad jej helpdesk cez webhook).

Databáza inštancie je umiestnená v Európskej únii. Cloudflare a Resend sú spoločnosti so sídlom v USA; prenos je zabezpečený rozhodnutím Európskej komisie o primeranosti (rámec EÚ – USA pre ochranu údajov) pre certifikované spoločnosti a štandardnými zmluvnými doložkami.

A8. Povinnosť poskytnúť údaje a automatizované rozhodovanie

Bez konta sa do služby nedá prihlásiť; konto vám zriaďuje vaša organizácia. Služba nevykonáva profilovanie ani automatizované rozhodovanie s právnymi alebo podobne závažnými účinkami.

Časť B – verejná ukážka

B1. Čo sa stane pri otvorení ukážky

Odkaz https://toner-demo.tatrabyte.sk/ukazka vás prihlási ako hosťa „ukazka“ s prístupom len na čítanie, bez hesla a bez registrácie. Ukážka obsahuje simulované údaje vymyslenej firmy; nič v nej nemôžete zmeniť ani zadať a upozornenia neposiela. Pri otvorení sa vytvorí relácia (cookie __Host-pf_session) a do auditu ukážky sa zapíše záznam o otvorení. Používanie ukážky upravujú Podmienky používania ukážky.

B2. Aké údaje

• IP adresa, typ prehliadača (User-Agent), čas otvorenia a poslednej aktivity – v relácii,
• IP adresa a čas – v zázname auditu,
• hodnota parametra „?od=“, ak ho odkaz obsahuje (napríklad „?od=web“ z tohto webu alebo označenie organizácie, ktorej bola poslaná ponuka) – v zázname auditu. Ak ukážku znova otvoríte z odkazu s týmto parametrom, zapíše sa ďalší záznam.

Infraštruktúra Cloudflare krátkodobo počíta požiadavky podľa IP adresy, aby ukážku chránila pred nadmerným počtom požiadaviek; tieto počítadlá sa neukladajú do databázy.

B3. Účel a právny základ

Poskytnutie ukážky a jej bezpečná prevádzka (relácia, IP adresa, typ prehliadača, ochrana pred zneužitím) – oprávnený záujem na prevádzke ukážky, ktorú ste si otvorili (čl. 6 ods. 1 písm. f) GDPR). Zistenie, ktorá ponuka viedla k otvoreniu ukážky, a nadviazanie na ňu (parameter „?od=“, čas, IP adresa) – oprávnený záujem predstaviť službu organizáciám, ktorým bola ponuka poslaná (čl. 6 ods. 1 písm. f) GDPR).

Z IP adresy nezisťujeme, kto ste, ani kde sa nachádzate. Parameter „?od=“ však umožňuje priradiť otvorenie k organizácii, ktorej bol odkaz poslaný, a ak bol e-mail adresovaný konkrétnej osobe, nepriamo aj k nej. Odkaz mohol byť aj preposlaný alebo ho mohol otvoriť bezpečnostný skener e-mailov; záznam preto nedokazuje, kto ukážku otvoril.

B4. Cookies

Ukážka používa len cookie relácie, bez ktorej by sa nedala zobraziť; ide o nevyhnutné technické uloženie pre službu, ktorú ste si vyžiadali, a súhlas sa naň nevyžaduje (§ 109 ods. 8 zákona č. 452/2021 Z. z.). Ukážka nepoužíva analytické ani reklamné cookies, sledovacie pixely ani kód tretích strán.

B5. Doba uchovávania

• relácia: zanikne po 14 dňoch nečinnosti, najneskôr po 90 dňoch, a potom sa vymaže,
• záznamy auditu vrátane parametra „?od=“ a IP adresy: 365 dní, potom sa automaticky vymažú.

B6. Príjemcovia

Cloudflare, Inc. (hosting ukážky) ako sprostredkovateľ; prenos do USA je zabezpečený rámcom EÚ – USA pre ochranu údajov a štandardnými zmluvnými doložkami. Údaje nikomu inému neposkytujeme a nepredávame.

B7. Vaše možnosti

• Ukážku môžete otvoriť bez parametra „?od=“ na adrese https://toner-demo.tatrabyte.sk/ukazka; otvorenie sa potom nespojí so žiadnou ponukou.
• Proti spracúvaniu na účel nadviazania na ponuku môžete kedykoľvek namietať (čl. 21 ods. 2 GDPR); potom vaše údaje na tento účel nepoužijeme. Proti ostatnému spracúvaniu môžete namietať podľa čl. 21 ods. 1 GDPR. Napíšte na andrej@tatrabyte.sk, kedy a z akého odkazu ste ukážku otvorili, aby sme záznamy našli.
• Ak sa z oslovovania odhlásite, uloží sa len označenie organizácie a čas odhlásenia (bez IP adresy), aby sme vás už neoslovili.

Vaše práva

Máte právo na prístup k svojim osobným údajom (čl. 15 GDPR), na ich opravu (čl. 16), výmaz (čl. 17), obmedzenie spracúvania (čl. 18), na prenosnosť údajov, ak sa spracúvajú na základe zmluvy alebo súhlasu (čl. 20), a právo namietať proti spracúvaniu na základe oprávneného alebo verejného záujmu (čl. 21). Odpovieme bez zbytočného odkladu, najneskôr do jedného mesiaca; o prípadnom predĺžení vás v tejto lehote informujeme.

Ak sa domnievate, že vaše údaje spracúvame v rozpore s predpismi, môžete podať sťažnosť Úradu na ochranu osobných údajov Slovenskej republiky, Galvaniho 7/B, 821 04 Bratislava, dataprotection.gov.sk (čl. 77 GDPR).

Kde sú údaje, kto k nim môže mať prístup a ako ich preniesť

Služba beží na infraštruktúre spoločnosti Cloudflare, Inc. so sídlom v USA, ktorá podlieha aj právu USA. Databáza inštancie je umiestnená v Európskej únii, pri inštanciách verejnej správy s jurisdikciou EÚ. Proti prístupu alebo prenosu na žiadosť orgánov tretích krajín, ktorý by bol v rozpore s právom Únie alebo Slovenskej republiky, chránia údaje tieto opatrenia: umiestnenie databázy v EÚ, šifrovanie pri prenose a uchovávaní, minimalizácia údajov (služba neprenáša obsah dokumentov), prístup k údajom len pre prevádzkovateľa a zmluvné záväzky Cloudflare. Žiadosť orgánu tretej krajiny o údaje organizácie TatraByte organizácii oznámi, ak to právo dovoľuje, a vyhovie jej len v rozsahu, ktorý vyžaduje právo Únie alebo Slovenskej republiky.

Za presun k inému poskytovateľovi, export ani výmaz údajov sa neplatí. Pri predčasnom skončení ročného programu sa cena za uplynulé obdobie prepočíta podľa mesačného programu bez ročnej zľavy a rozdiel sa vráti; iná sankcia sa neúčtuje. Údaje sa dajú exportovať vo formátoch CSV, JSON a SQL; ich štruktúru opisuje dokumentácia rozhrania API na adrese /api/v1/docs každej inštancie. Tieto informácie sa poskytujú aj podľa čl. 26, 28 a 29 nariadenia (EÚ) 2023/2854 (akt o údajoch).

Zmeny

Informáciu aktualizujeme pri zmene spracúvania; platí vždy znenie zverejnené na tejto stránke.