Obvestilo o zasebnosti (osnutek)
Katere podatke obdeluje storitev Podpisano, kako dolgo jih hrani in kdo jih obdeluje.
Kdo obdeluje podatke
Revelbit programiranje d.o.o., Jesenje 23D, 1281 Kresnice, Slovenija; matična številka 7468997000, davčna številka 98565273 (podjetje ni zavezanec za DDV). Vprašanja: [email protected].
Za podatke vašega računa smo upravljavec. Za dokumente, ki jih naložite, in za podatke podpisnikov, ki jih vpišete, je upravljavec pošiljatelj, Revelbit pa obdeluje podatke v njegovem imenu. Ta delitev vlog čaka pravni pregled.
Podatki računa
Ime, e-naslov, izbrani jezik in zgoščena vrednost gesla (scrypt). Gesla ne hranimo.
Za vsako prijavo hranimo naslov IP, brskalnik ter čas začetka in zadnje dejavnosti seje, dokler se ne odjavite ali seja 30 dni ni dejavna.
Varnostni dnevnik računa (prijave, spremembe gesla in nastavitev, izbris dokumenta) z naslovom IP in brskalnikom hranimo 365 dni.
Dokumenti in postopki
Naložene dokumente PDF hranimo šifrirane (AES-256-GCM) v bazi podatkov, skupaj z imenom datoteke, številom in merami strani ter zgoščeno vrednostjo SHA-256. Ključ za šifriranje je shranjen ločeno od baze.
Za vsak dokument vodimo dnevnik dogodkov (na primer nalaganje, pošiljanje, odprtje povezave, podpis, prenos) z naslovom IP in brskalnikom; dnevnik je zaščiten pred spreminjanjem.
Podpisnike, ki jih dodate (ime in e-naslov), hranimo z dokumentom. Ko dokument pošljete, jim po e-pošti pošljemo vabilo z osebno povezavo in, če to izberete, opomnike.
Podpisovanje
Ko dokument podpišete, šifrirano hranimo sliko vašega podpisa (narisanega, natipkanega ali naloženega), čas podpisa, naslov IP, brskalnik in privolitev z različico njenega besedila. Podatki so zapisani v dnevnik postopka in v potrdilo o podpisovanju.
Dinamike podpisovanja (hitrost, pritisk, potek potez) ne zajemamo: iz brskalnika prejmemo samo končno sliko podpisa. Naloženo sliko brskalnik preriše; njenih metapodatkov ne prejmemo.
Če izberete »Shrani podpis za prihodnjič«, sliko podpisa hranimo šifrirano pri vašem računu, dokler je ne zamenjate ali izbrišete v nastavitvah ali ne izbrišete računa.
Podpisan dokument in potrdilo o podpisovanju žigosamo z elektronskim žigom storitve Podpisano in ju hranimo šifrirana skupaj z dokumentom.
Podpis s potrdilom: datoteko .p12 ali .pfx, njeno geslo in zasebni ključ odpre in uporabi samo vaš brskalnik; ne prejmemo, ne hranimo in ne beležimo jih. Prejmemo vaše potrdilo (javni del) in podpis. Potrdilo z vsemi osebnimi podatki, ki jih vsebuje (na primer ime, e-naslov, davčna ali druga številka, organizacija), postane del podpisanega dokumenta in ga vidi vsak, ki dokument prejme. Podatke potrdila (imetnik, izdajatelj, serijska številka, veljavnost, prstni odtis), čas, naslov IP in brskalnik zapišemo v dnevnik postopka in v potrdilo o podpisovanju. Pripravljen podpis hranimo šifrirano največ 10 minut.
Podpisniki brez računa
Za pošiljatelja hranimo: ime in e-naslov podpisnika, ki ju je vpisal pošiljatelj, vrstni red, izbrano zaščito, čase vabila, odprtja povezave, preverjanja kode, podpisa ali zavrnitve, razlog zavrnitve, naslov IP in brskalnik ob teh dejanjih, sliko podpisa in privolitev.
Osebne povezave in seje hranimo samo kot zgoščene vrednosti; povezava velja do roka za podpis, po zaključku še 30 dni za prenos podpisanega dokumenta. Seja podpisnika poteče po 2 urah nedejavnosti ali po 12 urah; potekle seje sproti brišemo. Kode za dostop hranimo samo kot zgoščeno vrednost (scrypt), enkratne kode samo kot zgoščeno vrednost z naključno soljo do porabe ali poteka.
Pošiljatelj vidi vse to na strani postopka in v potrdilu o podpisovanju. Drugi podpisniki istega dokumenta vidijo samo imena podpisnikov, nikoli njihovih e-naslovov. Podpisnik prenese podpisan dokument, potrdila o podpisovanju pa ne prejme.
E-pošta
Sporočila (potrditev e-naslova, novo geslo, vabila, opomniki, kode, obvestila) čakajo v vrsti za pošiljanje. Besedilo, ki lahko vsebuje osebno povezavo, izbrišemo, ko je sporočilo poslano ali dokončno neuspešno. Prejemnik, vrsta in čas sporočila ostanejo za omejitve proti zlorabi in za prikaz dostave pošiljatelju; te zapise izbrišemo 30 dni po pošiljanju ali neuspehu.
Prejemnik lahko prek povezave v vsakem sporočilu podpisniku ustavi nadaljnja sporočila podpisovanja in jih pozneje znova dovoli. Hranimo samo zgoščeno vrednost (SHA-256) njegovega naslova, dokler sporočil znova ne dovoli; kdor pozna naslov, lahko to vrednost izračuna.
Prijavo zlorabe hranimo s postopkom in računom pošiljatelja; pošiljatelj je ne vidi. Prijavo izbrišemo po 180 dneh. Če je dokument pred tem izbrisan, ostaneta samo račun pošiljatelja in čas prijave.
Hramba in izbris
Osnutek izbrišemo samodejno 90 dni po zadnji spremembi. Postopek, ki se je končal brez zaključka (preklican, zavrnjen ali potekel), izbrišemo 90 dni po koncu. Zaključen dokument izbrišemo 30 dni po zaključku. 7 dni pred izbrisom lastniku pošljemo opozorilo po e-pošti. Datum samodejnega izbrisa je naveden na strani dokumenta in v seznamu.
Dokument, ki ne čaka na podpise, lahko kadar koli izbrišete sami; čakajočega morate prej preklicati. Izbris odstrani dokument z vsemi revizijami, podpisnike, polja, slike podpisov, potrdilo o podpisovanju, dnevnik, seje podpisnikov in sporočila postopka; povezave podpisnikov prenehajo delovati. Za omejitve proti zlorabi ostane 24 ur samo zapis o številu poslanih sporočil s preverljivo zgoščeno vrednostjo (HMAC) naslova. Podpisan dokument in potrdilo, ki ste ju že prenesli, ostaneta preverljiva sama po sebi.
Ob izbrisu računa izbrišemo vse vaše dokumente po isti poti. Vrstice varnostnega dnevnika ostanejo do konca svojega roka brez povezave z računom, vendar z naslovom IP in brskalnikom posameznega dejanja.
Varnostne kopije baze podatkov izbrisane podatke vsebujejo še do 14 dni; dokumenti v njih so šifrirani, ključa za šifriranje v kopiji ni.
Merjenje obiska javnih strani (samo z vašim dovoljenjem)
Na vstopni strani, strani »Kako deluje«, pogojih uporabe, tem obvestilu in strani o piškotkih obisk merimo z Google Analytics prek Google Tag Manager, vendar samo, če to dovolite v pasici ali na strani o piškotkih. Dokler ne izberete ali če zavrnete, se z Googlovih strežnikov nič ne naloži in Googlovih piškotkov ni. Na straneh za prijavo in registracijo, na straneh računa in dokumentov ter na straneh podpisnikov merjenja ni nikoli.
Google pri tem prejme naslov obiskane strani brez parametrov, spletno mesto, s katerega ste prišli (če ste prišli z druge strani te storitve, ki ni med naštetimi, se merjenje ne začne), čas obiska, jezik, vrsto naprave in brskalnika, velikost zaslona, približno lokacijo, ki jo Google izpelje iz naslova IP, in naključni identifikator iz piškotka _ga. Dokumentov, podatkov računa in podatkov podpisnikov ne prejme.
Prejemnik podatkov je Google. Google Analytics nastavi piškotka _ga in _ga_<oznaka>, ki privzeto veljata 2 leti; vašo izbiro hrani piškotek sign_measure 6 mesecev. Oglaševalske namene zavrnemo (ad_storage, ad_user_data in ad_personalization so zavrnjeni).
Privolitev lahko kadar koli prekličete na strani o piškotkih. Takrat izbrišemo piškotka _ga in _ga_* te strani in stran znova naložimo, da se nobena oznaka ne izvaja več. Podatkov, ki jih je Google že prejel, preklic ne izbriše.
Kje teče storitev in kdo še obdeluje podatke
Storitev teče na strežniku, ki je last podjetja Revelbit programiranje d.o.o., v Sloveniji.
Povezavo med obiskovalci in strežnikom prenaša Cloudflare (Cloudflare, Inc.), ki pri tem vidi promet, tudi dokumente med prenosom.
E-pošto pošiljamo prek ponudnika Proton (Proton AG, Švica).
Varnostne kopije baze podatkov nastajajo vsak dan in so shranjene na ločeni napravi za shranjevanje na isti lokaciji. Dokumenti v njih so šifrirani; ključa za šifriranje v kopiji ni.
Poročila o napakah gredo na samostojno gostovan strežnik za poročila o napakah (GlitchTip), brez vsebine zahtev in osebnih podatkov.
Google prejme podatke o obisku javnih strani (Google Analytics prek Google Tag Manager), samo, če to dovolite.
Analitično orodje (Google Analytics) uporabljamo samo na javnih straneh in samo z vašim dovoljenjem. Oglaševalskih orodij ne uporabljamo in podatkov ne prodajamo.