Politika privatnosti

Ko smo i ko odgovara za tvoje podatke

ZooPlanet je volonterski projekat iz Srbije koji povezuje azile za životinje sa ljudima koji žele da pokriju mesečne troškove jedne konkretne životinje. Projekat u slobodno vreme vode i održavaju Marko Dinić, Marko Aleksić, Dušan Manić i Nikola Ristić. Isti ljudi su rukovalac podacima u smislu Zakona o zaštiti podataka o ličnosti (ZZPL), koji u Srbiji u najvećoj meri preuzima evropsku Opštu uredbu o zaštiti podataka (GDPR).

Nemamo zaposlene i nemamo imenovano lice za zaštitu podataka. Sva pitanja, zahteve i prigovore u vezi sa podacima šalji na kontakt@zooplanet.org i odgovaraju ti ljudi koji su navedeni gore.

Šta prikupljamo

Prikupljamo samo ono što nam sam daš i ono što server mora da zabeleži da bi zahtev uopšte bio obrađen. Ne kupujemo podatke ni od koga i ne uvozimo ih ni iz jednog spoljnog izvora.

Jedna stvar zaslužuje poseban red, jer je ljudi obično ne očekuju ni u jednom smeru: fotografijama se pri objavljivanju uklanjaju svi metapodaci koje je upisao telefon ili fotoaparat — GPS koordinate mesta na kom je slika napravljena, model i serijski broj uređaja i tačno vreme snimanja. Ništa od toga ne stiže na sajt. Server od tvoje fotografije napravi verzije za prikaz i u njih ne prepiše nijedan od tih zapisa, a original ne čuvamo. Jedino što pročita jeste zapis o okretanju, da slika ne bi bila postavljena na stranu. Ostaje sama slika, pa fotografija sa osetljive adrese ne odaje gde je nastala.

Podatke o platnoj kartici ne vidimo i ne čuvamo. Plaćanje se u celini odvija na Stripe-ovoj strani, na koju te preusmeravamo; broj kartice, datum isteka i sigurnosni kod nikada ne prolaze kroz naš server.

• Nalog: e-mail adresa, ime i prezime, lozinka (čuvamo je isključivo kao bcrypt heš, nikada kao tekst), izabrani jezik, uloge koje imaš na sajtu i podatak da li je e-mail potvrđen.
• Prijava: nasumičan token sesije, koji stoji na tvom nalogu dok se ne odjaviš, i datum poslednje aktivnosti — upisuje se najviše jednom dnevno i služi samo tome da uprava azila vidi ko je od volontera još aktivan.
• Sadržaj koji objaviš: fotografije životinja i natpisi uz njih, opisi i priče na profilima životinja i azila, beleške u dnevniku nege i podaci o troškovima. Sve osim beleški u dnevniku je javno.
• Interakcije: životinje koje si sačuvao kao omiljene, one koje pratiš i reakcije koje si ostavio.
• Donacije: e-mail adresa koju ostaviš na Stripe-ovoj strani, iznos, valuta, učestalost, identifikatori transakcije kod Stripe-a, oznaka za koju životinju, azil ili akciju je poklon namenjen i, ako je uneseš, poruka i ime osobe kojoj je donacija posvećena.
• Tehnički zapisi servera: IP adresa, metod i adresa zahteva, statusni kod i identifikator zahteva. Zaglavlja i sadržaj zahteva se ne beleže, a lozinke, tokeni i e-mail adrese donatora se u zapisima automatski maskiraju.
• Dnevnik uprave azila: ako administriraš azil, svaka izmena roditeljskih podešavanja, uloga i članstva upisuje se sa tvojom e-mail adresom, kratkim opisom radnje, vremenom i IP adresom sa koje je urađena. Taj dnevnik je namenski nepromenljiv — ništa u aplikaciji ga ne menja i ne briše.
• Zahtevi koje nam pošalješ: zahtev za brisanje naloga zavodimo u bazu — ko ga je poslao, kada i razlog ako si ga naveo — jer se rok bez toga ne može ispratiti. Prijava poslata obrascem za bezbednost se ne upisuje nigde: stiže nam kao e-mail i ta poruka je jedina evidencija o njoj.

Zašto ih obrađujemo i po kom osnovu

Za svaku vrstu podataka postoji jedan razlog i jedan pravni osnov. Ako neki podatak nije potreban ni za jednu od stavki ispod, ne tražimo ga.

Nikada ne obrađujemo podatke radi profilisanja, ciljanog oglašavanja ili automatizovanog donošenja odluka koje te se tiču.

• Izvršenje ugovora: da bi nalog postojao, da bi prijava radila, da bi tvoja objava stigla na profil životinje i da bi donacija bila namenski vezana za azil koji si izabrao.
• Legitiman interes: bezbednost servisa, sprečavanje zloupotreba i neželjenog sadržaja, otklanjanje kvarova i dnevnik uprave azila, koji postoji da bi azil mogao da rekonstruiše ko je šta promenio.
• Pristanak: dnevni pregled za ljude koji prate životinje šalje se samo onima koji su ga izričito uključili, i isključuje se jednim klikom iz svake takve poruke.
• Zakonska obaveza: evidencija primljenih donacija i njihovog prosleđivanja azilima vodi se zato što to nalažu propisi o računovodstvu i evidenciji novčanih tokova.
• Zaštita životno važnih interesa i zaštita dece: prijave zloupotreba obrađujemo i prosleđujemo nadležnim organima kada je to potrebno — vidi stranu o zaštiti dece.

Šta NE radimo

Ovaj deo je kratak namerno, jer se u njemu ne krije nijedan izuzetak. Nabrojano nije politika koju nameravamo da sprovedemo, nego opis onoga što u kodu ne postoji.

Ako se bilo šta od ovoga ikada promeni, promeniće se i ova strana, i to pre nego što promena stupi na snagu — nikad posle.

• Nema analitike. Nema merenja poseta, sesija, događaja, levaka ni toplotnih mapa. Ne znamo koliko je ljudi videlo neku stranu i ne možemo da saznamo.
• Nema kolačića. Javni sajt ne postavlja nijedan kolačić, ni svoj ni tuđi, pa nema ni razloga za traku o kolačićima. Ono malo što ostaje u pregledaču opisano je u sledećem odeljku.
• Nema tuđih SDK-ova. U Android i iOS aplikaciji nema Firebase-a, nema alata za prijavu grešaka, nema reklamnog identifikatora i nema biblioteke koja bilo šta šalje trećoj strani. Aplikacija traži samo dozvolu za internet i za kameru.
• Nema praćenja preko drugih sajtova. Fontove postavljamo sa sopstvenog servera, pa strane ne šalju zahtev nijednoj mreži za isporuku sadržaja, a bezbednosna politika sajta zabranjuje odlazne zahteve ka bilo kom drugom domenu.
• Podatke ne prodajemo, ne iznajmljujemo i ne razmenjujemo ni sa kim, ni u zamenu za novac ni u zamenu za uslugu.

Šta ostaje u pregledaču i na telefonu

U lokalnom skladištu pregledača držimo token sesije, tvoju e-mail adresu i ime (da bismo znali ko si posle osvežavanja strane), izabrani jezik, izabranu temu, oznaku da gledaš sajt kao posetilac i vreme tvoje prethodne posete, koje služi samo tome da ti pokažemo šta je novo od tada. Odjava briše token, e-mail i ime; jezik i tema ostaju, jer se tiču izgleda a ne naloga.

U mobilnoj aplikaciji isti podaci o prijavi drže se i u sistemskom sefu telefona — Keychain na iOS-u, Keystore na Androidu — da prijava preživi ponovno pokretanje aplikacije.

Aplikacija dodatno vodi lokalnu bazu za rad bez interneta: red čekanja sa fotografijama i tekstom koji još nisu poslati serveru i keš već preuzetih slika. Ti podaci žive isključivo na tvom telefonu i brišu se kada obrišeš aplikaciju.

Kome podatke poveravamo

Sarađujemo sa tri pružaoca usluga i nijednim drugim. Svaki od njih obrađuje samo onaj deo podataka koji mu je potreban za posao koji radi i nema pravo da ih koristi za sebe.

Objave se mogu automatski deliti i na društvene mreže azila (Facebook stranica, Instagram, TikTok), ali samo ako azil sam poveže svoj nalog. Trenutno nijedan azil nije povezao nalog i ta funkcija je isključena na nivou celog sistema.

• Postmark — slanje e-pošte (potvrda naloga, resetovanje lozinke, potvrde donacija, dnevni pregled, pozivnica za aplikaciju). Dobija adresu primaoca i ime iz poruke.
• Stripe — obrada plaćanja. Dobija iznos, valutu, učestalost, e-mail adresu koju ostaviš na njihovoj strani i podatke o kartici, koje mi nikada ne vidimo.
• DigitalOcean — server na kom sajt radi, u data centru u Frankfurtu u Nemačkoj. Tu se nalaze baza podataka i sve objavljene fotografije, kao i dnevne rezervne kopije diska.

Iznošenje podataka iz Srbije

Server je fizički u Nemačkoj, dakle u Evropskom ekonomskom prostoru. Postmark i Stripe su međunarodne kompanije i deo obrade mogu obavljati van Srbije i van Evropskog ekonomskog prostora.

Za takve prenose oslanjamo se na standardne ugovorne klauzule i druge mehanizme koje ti pružaoci objavljuju u svojim ugovorima o obradi podataka. Ako želiš da vidiš koji su to tačno dokumenti, piši nam i poslaćemo ti linkove.

Koliko dugo čuvamo šta

Ne držimo podatke „za svaki slučaj“. Ipak, jedan deo ne možemo da obrišemo odmah, i bolje je da to pročitaš ovde nego da saznaš kada zatražiš brisanje.

Kompletno objašnjenje šta se briše, šta se odvaja od tvog imena i šta ostaje nalazi se na strani o brisanju naloga.

• Nalog i sadržaj naloga: dok postoji nalog. Brisanje se radi na tvoj zahtev.
• Tokeni za potvrdu e-maila i za resetovanje lozinke: brišu se čim se iskoriste, a token za lozinku i ako istekne.
• Tehnički zapisi servera sa IP adresama: rotiraju se dnevno ili na svakih 10 MB i čuva se poslednjih četrnaest rotacija, dakle red veličine dve nedelje.
• Dnevne rezervne kopije celog diska kod DigitalOcean-a: sedam dana, posle čega se najstarija briše sama.
• Evidencija donacija i njihovog prosleđivanja azilima: čuva se onoliko koliko nalažu propisi o računovodstvu, i duže od naloga sa kog je donacija napravljena.

Tvoja prava

Po Zakonu o zaštiti podataka o ličnosti imaš prava navedena ispod. Da bi ih ostvario, dovoljno je da pišeš na kontakt@zooplanet.org sa adrese koja je vezana za nalog. Ne naplaćujemo ništa i ne tražimo obrazloženje.

Odgovaramo najkasnije u roku od trideset dana. Ako je zahtev složen pa nam treba više vremena, javićemo ti to unutar istog roka i reći zašto.

• Pravo na pristup: da dobiješ kopiju podataka koje o tebi imamo.
• Pravo na ispravku: ime i e-mail možeš da promeniš i sam, u profilu.
• Pravo na brisanje, u granicama opisanim na strani o brisanju naloga.
• Pravo na ograničenje obrade i pravo na prigovor na obradu zasnovanu na legitimnom interesu.
• Pravo na prenosivost: podatke ti šaljemo u strojno čitljivom obliku.
• Pravo da povučeš pristanak u svakom trenutku, bez posledica po ostatak naloga. Dnevni pregled se isključuje i linkom u samoj poruci.
• Pravo na pritužbu Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti, Bulevar kralja Aleksandra 15, 11120 Beograd. Bićemo zahvalni ako se prvo javiš nama, ali to nije uslov.

Kako čuvamo podatke

Lozinke se čuvaju kao bcrypt heš sa faktorom 12 i ne mogu se pročitati ni iz baze ni iz rezervne kopije. Sesija je nasumičan token bez ikakvog značenja, koji se nikada ne šalje kao kolačić. Sav saobraćaj ide preko HTTPS-a, baza podataka je dostupna samo sa samog servera i ni sa jedne spoljne adrese, a tokeni za društvene mreže azila čuvaju se šifrovani algoritmom AES-256-GCM.

Pristup serveru imaju samo ljudi koji vode projekat, i to ključem, ne lozinkom. Nijedan podatak o platnoj kartici ne postoji ni u bazi ni u zapisima, jer nikada ne stigne do nas.

Ono što bezbednost ne može da promeni jeste da je deo sadržaja javan po nameni: profil životinje, fotografije, natpisi i podaci o azilu vidljivi su svima na internetu i indeksiraju ih pretraživači. Beleške u dnevniku nege nisu javne i vidi ih samo onaj ko sme da uređuje tu životinju.

Deca

Servis nije namenjen osobama mlađim od 16 godina i nalog ne treba da prave. Ne tražimo datum rođenja i ne proveravamo uzrast, jer bi provera značila da prikupljamo više podataka o svima, a ne manje.

Ako saznamo da nalog pripada detetu mlađem od 16 godina, obrisaćemo ga i sve što je uz njega vezano. Ako si roditelj ili staratelj i misliš da tvoje dete ima nalog, piši na kontakt@zooplanet.org i rešićemo to bez daljih pitanja. Kako postupamo sa sadržajem koji ugrožava decu opisano je na posebnoj strani.

Izmene ove politike

Datum poslednje izmene stoji na vrhu ove strane. Politika se menja u istoj izmeni koda koja menja i ono što ona opisuje, tako da ne može da zaostane za onim što aplikacija zaista radi.

Ako se promeni nešto suštinsko — nova vrsta podataka, novi obrađivač, nova svrha — objavićemo to na sajtu pre nego što promena stupi na snagu, a korisnicima sa potvrđenom adresom poslaćemo i e-mail.

Kontakt

Za sva pitanja o podacima, za zahtev za kopiju, ispravku ili brisanje, i za prigovor, piši na kontakt@zooplanet.org. Ako pišeš u vezi sa nalogom, pošalji poruku sa adrese koja je na tom nalogu — tako ne moramo da tražimo dodatne dokaze identiteta.

Ako ti je lakše, kontakt strana sajta sadrži istu adresu i kratko uputstvo šta da napišeš.