პერსონალურ მონაცემთა დაცვის პოლიტიკა

მონაცემთა დამუშავებაზე პასუხისმგებელი პირი

მონაცემთა დამუშავებაზე უფლებამოსილი პირები

1. შესავალი და დოკუმენტის მიზანი

1.1. განაცხადი კონფიდენციალურობის მნიშვნელობაზე

შპს „ტექ ლო ინსაიდერი“ (Tech Law Insider) (შემდგომში „კომპანია“) აღიარებს და იზიარებს ადამიანის ძირითად უფლებას პირადი ცხოვრების ხელშეუხებლობასა და პერსონალური მონაცემების დაცვაზე. კომპანიისთვის უპირატესი ღირებულებაა კურსზე დარეგისტრირებული პირების, მონაწილეების, ლექტორებისა და ვებგვერდის ვიზიტორების მონაცემთა უსაფრთხოება. კომპანია იღებს ვალდებულებას, დაიცვას კონფიდენციალურობის მაღალი სტანდარტები, დანერგოს ორგანიზაციულ-ტექნიკური უსაფრთხოების საუკეთესო პრაქტიკა და უზრუნველყოს მონაცემთა დამუშავების გამჭვირვალობა საქართველოს კანონმდებლობის შესაბამისად.

1.2. კომპანიის საქმიანობის მოკლე აღწერა

Tech Law Insider არის ქართული ტექნოლოგიების სამართლის პლატფორმა, რომელიც, სხვა საქმიანობასთან ერთად, ატარებს საგანმანათლებლო კურსებს, მათ შორის ონლაინ კურსს „AI კურსი იურისტებისთვის“. კურსის ორგანიზებისთვის კომპანია ამუშავებს რეგისტრაციის, კომუნიკაციის, გადახდისა და სერტიფიკატის გაცემისთვის აუცილებელ მონაცემებს.

1.3. დოკუმენტის მოქმედების სფერო

წინამდებარე პოლიტიკა განსაზღვრავს კომპანიის მიერ კურსთან და ამ ვებგვერდთან დაკავშირებით პერსონალურ მონაცემთა დამუშავების (შეგროვება, შენახვა, გაზიარება, განადგურება) წესებსა და პრინციპებს. დოკუმენტი არეგულირებს:

• დამუშავების საფუძვლები და მიზნები: კურსზე დარეგისტრირებული პირებისა და მონაწილეების მონაცემების დამუშავების სამართლებრივი ჩარჩო;
• მონაცემთა კატეგორიები და წყაროები: საიდენტიფიკაციო, საკონტაქტო, ფინანსური და სასწავლო პროცესის მონაცემები;
• შენახვის ვადები: თითოეული ტიპის მონაცემის შენახვისა და წაშლის დროითი ჩარჩოები;
• მონაცემთა სუბიექტის უფლებები: ინფორმაციაზე წვდომის, გასწორების, წაშლის, გადატანისა და დამუშავების შეწყვეტის მექანიზმები;
• მონაცემთა უსაფრთხოება და გადაცემა: ორგანიზაციულ-ტექნიკური ზომები და მესამე პირებზე (მათ შორის საზღვარგარეთ) გადაცემის პირობები;
• საკონტაქტო პირი: მონაცემთა დაცვის საკითხებზე პასუხისმგებელი პირი და საკონტაქტო არხები.

2. კანონმდებლობა, რომელიც საფუძვლად უდევს პოლიტიკას

• საქართველოს კონსტიტუცია;
• საქართველოს კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“;
• საქართველოს სამოქალაქო კოდექსი;
• საქართველოს საგადასახადო კოდექსი;
• საქართველოს კანონი „ბუღალტრული აღრიცხვის, ანგარიშგებისა და აუდიტის შესახებ“;
• საქართველოს კანონი „საავტორო და მომიჯნავე უფლებების შესახებ“;
• საქართველოს სახელმწიფო აუდიტის სამსახურის სამართლებრივი აქტები, რეკომენდაციები და სახელმძღვანელოები.

3. მონაცემთა სუბიექტები

• ა) კურსზე რეგისტრაციის მსურველები და დარეგისტრირებული პირები;
• ბ) კურსის მონაწილეები;
• გ) ლექტორები და მოწვეული სპიკერები;
• დ) ვებგვერდის ვიზიტორები.

4. მონაცემთა სუბიექტის უფლებები

ა) მონაცემთა დამუშავების შესახებ ინფორმაციის მიღების უფლება: სუბიექტს უფლება აქვს გაიგოს, რა მონაცემებს ამუშავებს კომპანია მის შესახებ, რა მიზნითა და საფუძვლით.

ბ) მონაცემთა გაცნობისა და ასლის მიღების უფლება: სუბიექტს შეუძლია მოითხოვოს მის შესახებ დამუშავებული მონაცემების ასლი, მაგალითად სარეგისტრაციო ფორმით მოწოდებული ინფორმაციის ასლი.

გ) მონაცემთა გასწორების, განახლებისა და შევსების უფლება: თუ მონაცემი არაზუსტი, არასრული ან მოძველებულია, კომპანია უზრუნველყოფს მის დაუყოვნებლივ კორექტირებას. მაგალითად, მონაწილეს შეუძლია მოითხოვოს სერტიფიკატზე სახელის ან გვარის სწორი ფორმით მითითება.

დ) მონაცემთა დამუშავების შეწყვეტის, წაშლის ან განადგურების უფლება: სუბიექტს შეუძლია მოითხოვოს მონაცემების წაშლა, თუ დამუშავების მიზანი მიღწეულია ან გამოხმობილია თანხმობა, გარდა იმ შემთხვევებისა, როცა შენახვა კანონით არის სავალდებულო (მაგალითად, საგადასახადო დოკუმენტაცია). მაგალითად, თუ პირი რეგისტრაციის შემდეგ გადაიფიქრებს კურსზე დასწრებას, შეუძლია მოითხოვოს სარეგისტრაციო სიიდან მისი მონაცემების წაშლა.

ე) მონაცემთა დაბლოკვის უფლება: დამუშავების დროებითი შეზღუდვა, როდესაც სუბიექტი სადავოდ ხდის მონაცემების სიზუსტეს ან დამუშავების კანონიერებას.

ვ) მონაცემთა გადატანის უფლება: სუბიექტს უფლება აქვს მიიღოს თავისი მონაცემები სტრუქტურირებულ, ციფრულ ფორმატში ან მოითხოვოს მათი გადაცემა სხვა ორგანიზაციისთვის, თუ ეს ტექნიკურად შესაძლებელია.

ზ) ავტომატიზებული გადაწყვეტილების მიღებასთან დაკავშირებული უფლებები: კომპანია არ იღებს მონაწილის შესახებ ისეთ გადაწყვეტილებას, რომელიც მხოლოდ ავტომატიზებულ დამუშავებას ეფუძნება. სერტიფიკატის გაცემასა და სხვა მნიშვნელოვან საკითხებზე გადაწყვეტილებას იღებს ადამიანი.

თ) თანხმობის გამოხმობის უფლება: თუ დამუშავება ეფუძნება თანხმობას, სუბიექტს შეუძლია ნებისმიერ დროს, განმარტების გარეშე გამოიხმოს იგი ელფოსტაზე info.techlawinsider@gmail.com მიწერით. თანხმობის გამოხმობა არ მოქმედებს მანამდე განხორციელებული დამუშავების კანონიერებაზე.

ი) გასაჩივრების უფლება: თუ სუბიექტი მიიჩნევს, რომ კომპანიამ დაარღვია მისი უფლებები, მას შეუძლია მიმართოს საქართველოს სახელმწიფო აუდიტის სამსახურს ან სასამართლოს.

მოთხოვნის წარსადგენად მოგვწერეთ ელფოსტაზე info.techlawinsider@gmail.com. კომპანია მოთხოვნას განიხილავს კანონით დადგენილ ვადაში.

5. მონაცემთა კატეგორიები, დამუშავების მიზნები და საფუძვლები

5.1. კურსზე დარეგისტრირებული პირები და მონაწილეები

ლექციების ჩაწერაზე თანხმობა არასავალდებულოა და კურსზე რეგისტრაციის პირობა არ არის. მონაწილეს, რომელიც არ ეთანხმება ჩაწერას, შეუძლია ლექციის დროს გამორთოს კამერა და მიკროფონი და არ დაწეროს ჩატში. ამ შემთხვევაში მისი გამოსახულება, ხმა და სახელი ჩანაწერში არ მოხვდება. თანხმობის გამოხმობა ნებისმიერ დროს შეიძლება ელფოსტაზე info.techlawinsider@gmail.com მიწერით.

5.2. ხელშეკრულების ელექტრონული ხელმოწერა (Signify)

მომსახურების ხელშეკრულება მონაწილეს ელექტრონულად ხელმოსაწერად ეგზავნება შპს „სიგნიფაის“ (Signify LLC) პლატფორმის მეშვეობით. Signify ამ პროცესში მოქმედებს როგორც მონაცემთა დამუშავებაზე უფლებამოსილი პირი და მონაცემებს ამუშავებს მხოლოდ ელექტრონული ხელმოწერის უზრუნველყოფის მიზნით.

• ხელმოწერის დამადასტურებელი მონაცემები: ყოველ ხელმოწერილ დოკუმენტს Signify ურთავს მტკიცებულების ანგარიშს (Evidence Report), რომელიც მოიცავს ხელმომწერის ელფოსტას, სახელსა და გვარს, გამოყენებული მოწყობილობის IP მისამართს, ხელმოწერის თარიღსა და დროს, დოკუმენტის ჰეშ-კოდს და მოწყობილობისა და ბრაუზერის იდენტიფიკატორს.
• დოკუმენტის დაცვა: პლატფორმაზე ატვირთული დოკუმენტი იშიფრება AES-256 სტანდარტით, ხოლო მის შინაარსზე წვდომა Signify-ის თანამშრომლებს არ აქვთ.
• შენახვის ადგილი: მონაცემები ინახება Amazon Web Services-ის (AWS) სტოკჰოლმის (შვედეთი) მონაცემთა ცენტრში.

Signify-ის მიერ მონაცემთა დამუშავების დეტალური წესები მოცემულია მის კონფიდენციალურობის პოლიტიკაში.

5.3. ვებგვერდის ვიზიტორები

ვებგვერდი იყენებს მხოლოდ აუცილებელ „მზა ჩანაწერებს“ (cookies) და ბრაუზერის ლოკალურ მეხსიერებას. დეტალური ინფორმაცია მოცემულია ქუქი-ფაილების პოლიტიკაში.

6. მონაცემთა დამუშავების პრინციპები

ა) კანონიერება: კომპანია მონაცემებს ამუშავებს მხოლოდ მაშინ, როცა არსებობს კანონით განსაზღვრული მინიმუმ ერთი საფუძველი (მაგ. მონაწილესთან დადებული ხელშეკრულება, კანონისმიერი ვალდებულება ან სუბიექტის თანხმობა).

ბ) სამართლიანობა: მონაცემთა დამუშავება ხდება სუბიექტის ღირსებისა და უფლებების პატივისცემით. დაუშვებელია მონაცემების ფარული ან შეცდომაში შემყვანი დამუშავება.

გ) გამჭვირვალობა: კომპანია მარტივი, გასაგები ენით აწვდის სუბიექტს ინფორმაციას იმის შესახებ, თუ რატომ, როგორ და რა ვადით მუშავდება მისი მონაცემები.

დ) მიზნის შეზღუდვა: მონაცემები გროვდება მხოლოდ კონკრეტული, წინასწარ განსაზღვრული და ლეგიტიმური მიზნებისთვის. დაუშვებელია მათი შემდგომი დამუშავება შეუთავსებელი მიზნით, მაგალითად მონაწილის ნომრის გადაცემა მესამე პირისთვის მარკეტინგული მიზნით.

ე) მონაცემთა მინიმიზაცია: კომპანია აგროვებს მხოლოდ იმ ინფორმაციას, რაც აუცილებელია კურსზე რეგისტრაციისთვის, მომსახურების ხელშეკრულების დადებისთვის, მომსახურების გაწევისა და სერტიფიკატის გაცემისთვის. პირადი ნომერი გამოიყენება მხოლოდ ხელშეკრულებაში მხარის იდენტიფიცირებისა და კანონით დადგენილი ფინანსური დოკუმენტაციისთვის.

ვ) სიზუსტე: კომპანია უზრუნველყოფს მონაცემთა განახლებას და შეცდომების დროულ გასწორებას სუბიექტის მოთხოვნით.

ზ) შენახვის ვადის შეზღუდვა: მონაცემები ინახება მხოლოდ იმ ვადით, რაც აუცილებელია დამუშავების მიზნის მისაღწევად ან რასაც ითხოვს კანონმდებლობა. ვადის გასვლის შემდეგ მონაცემები იშლება ან დეპერსონალიზდება.

თ) უსაფრთხოება: კომპანია ნერგავს ტექნიკურ და ორგანიზაციულ ზომებს მონაცემთა დასაცავად (იხ. მე-7 თავი).

ი) ანგარიშვალდებულება: კომპანია მზად არის, ნებისმიერ დროს დაადასტუროს ამ პრინციპების დაცვა როგორც მონაცემთა სუბიექტის, ისე სახელმწიფო აუდიტის სამსახურის წინაშე.

7. მონაცემთა უსაფრთხოების ტექნიკური და ორგანიზაციული ზომები

7.1. ტექნიკური ზომები

• წვდომის შეზღუდვა: სარეგისტრაციო მონაცემებზე წვდომა აქვთ მხოლოდ იმ პირებს, ვისაც ეს სჭირდება სამსახურებრივი მოვალეობის შესასრულებლად.
• ავტორიზაციის უსაფრთხოება: ანგარიშებზე გამოიყენება რთული პაროლები და ორფაქტორიანი ავტორიზაცია (2FA).
• დაშიფვრა: მონაცემების გადაცემა ხდება დაშიფრული პროტოკოლით (HTTPS).
• ფორმის დაცვა: სარეგისტრაციო ფორმა დაცულია ავტომატური სპამისა და მავნე შეყვანისგან.

7.2. ორგანიზაციული ზომები

• კონფიდენციალურობის ვალდებულება: ყველა პირი, ვისაც შეხება აქვს პერსონალურ მონაცემებთან, კისრულობს კონფიდენციალურობის დაცვის ვალდებულებას.
• უსაფრთხო წაშლა: შენახვის ვადის ამოწურვის შემდეგ მონაცემები იშლება აღდგენის შესაძლებლობის გარეშე.
• ცნობიერების ამაღლება: კომპანია პერიოდულად აახლებს შიდა ინსტრუქციებს მონაცემთა დაცვისა და კიბერჰიგიენის შესახებ.

8. მესამე პირები, ვისაც გადავცემთ მონაცემებს

• უფლებამოსილი პირები: ამ დოკუმენტის დასაწყისში მითითებული მომსახურების მიმწოდებლები, მხოლოდ მათი უფლებამოსილების ფარგლებში;
• სახელმწიფო ორგანოები: საქართველოს შემოსავლების სამსახური და სხვა ორგანოები, მხოლოდ კანონით გათვალისწინებულ შემთხვევებში;
• სასამართლო და სამართალდამცავი ორგანოები: მხოლოდ კანონიერი მოთხოვნის საფუძველზე.

კომპანია არ ყიდის და მარკეტინგული მიზნით არ გადასცემს პერსონალურ მონაცემებს მესამე პირებს.

მონაცემთა საზღვარგარეთ გადაცემა

ზოგიერთი უფლებამოსილი პირის (მაგ. Google) სერვერები შეიძლება მდებარეობდეს საქართველოს ფარგლებს გარეთ. ასეთ შემთხვევაში მონაცემთა გადაცემა ხორციელდება „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონით დადგენილი მოთხოვნების დაცვით.

შპს „სიგნიფაი“ (Signify LLC) მონაცემებს ინახავს Amazon Web Services-ის (AWS) სტოკჰოლმის მონაცემთა ცენტრში. საქართველოს სახელმწიფო აუდიტის სამსახური შვედეთის სამეფოს მიიჩნევს ქვეყნად, სადაც მონაცემთა გადაცემა უსაფრთხოა.

9. საკონტაქტო ინფორმაცია

პერსონალურ მონაცემთა დაცვასთან დაკავშირებული ნებისმიერი კითხვისა თუ მოთხოვნისთვის დაგვიკავშირდით:

10. პოლიტიკის ცვლილება

კომპანია უფლებას იტოვებს, განაახლოს ეს პოლიტიკა. განახლებული ვერსია ქვეყნდება ამავე გვერდზე, განახლების თარიღის მითითებით.