Politika zasebnosti

Kdo smo in kdo upravlja podatke

ShipCertify je družba skupine Seaway Group. Upravljavec osebnih podatkov, zbranih prek tega spletnega mesta, je poslovni subjekt Ekinek Tarım Gıda ve Denizcilik Ltd Şti, registriran pri davčnem uradu Karşıyaka pod davčno številko 329 120 5309: ta upravlja obrazec za ponudbo, odloča o namenih zbiranja podatkov in o tem, kaj se z njimi počne, ter zanje odgovarja. V Združenem kraljestvu obstaja registrirani sedež na naslovu Office 7408, 58 Peregrine Road, Hainault, Ilford, Essex IG6 3SZ, kamor je mogoče poslati pisno zahtevo namesto tega — ta doseže iste ljudi in je obravnavana v istem roku. Vse, kar izhaja iz te strani, gre na compliance@shipcertify.com ali na info@shipcertify.com, če raje uporabite splošni poštni predal; ne glede na pot prihoda potrdimo prejem v petih delovnih dneh.

Kaj zbira obrazec za ponudbo

Kar vpišete v obrazec za ponudbo, in nič drugega o vas. O plovilu: njegovo ime in številko IMO ter, kjer jih navedete, njegovo zastavo, tip in bruto tonažo. O postanku: pristanišče in UN/LOCODE, ali bo plovilo na privezu, na sidrišču, v ladjedelnici ali v suhem doku, ETA in ETD ter kako nujno je delo. O delu: storitvene linije, ki jih potrebujete, ali so potrebni deli, znamke, modele in serijske številke opreme, datum poteka veljavnosti spričevala ter vse, kar zapišete v polje s prostim besedilom. O vas: vaše ime, podjetje, e-poštni naslov, telefonsko številko in po katerem kanalu bi želeli, da vam odgovorimo. Če nam posredujete ime in kontaktne podatke ladijskega agenta, hranimo tudi te in jih uporabljamo izključno za organizacijo obiska — če ste ta agent in svojih podatkov niste posredovali sami, spodnje pravice enako veljajo za vas. Ne ustvarjamo profila obiskovalca, ne odvzemamo prstnega odtisa vašega brskalnika in ne nastavljamo oglaševalskega piškotka.

Naslovi IP, dnevnik dostopa in omejevalnik zahtev

Naslov IP je osebni podatek in to spletno mesto ga obdeluje na dveh mestih. Dnevnik dostopa nginx beleži naslov, s katerega je bila poslana vsaka zahteva, čas, zahtevano stran, kodo odgovora in niz uporabniškega agenta brskalnika; brez tega dnevnika strežnika ni mogoče diagnosticirati, ko odpove, niti braniti, ko je napaden. Vsako noč se zamenja, naslednji dan stisne in izbriše deset dni po zapisu — dovolj dolgo, da se incident izsledi nazaj skozi teden prometa, dovolj kratko, da noben naslov ne ostane na strežniku dlje od tega. Nič se ne kopira s strežnika in noben naslov v njem ni povezan s povpraševanjem, imenom ali katerim koli drugim dnevnikom. Obrazec za ponudbo šteje oddaje ločeno — največ pet v desetih minutah z enega naslova in tri v eni uri z enega e-poštnega naslova — tako da skript ne more preplaviti poštnega predala koordinatorjev; ti števci so v pomnilniku delujočega procesa, nikoli se ne zapišejo na disk in izginejo, ko se okno zapre ali se storitev znova zažene. Naslov ni skrajšan, ni shranjen ob vašem povpraševanju in se ne uporablja za vašo identifikacijo ali za izdelavo profila. Obrazec vsebuje tudi skrito polje, ki mora ostati prazno, in čas, ko je bila stran izrisana; oboje obstaja izključno za zavrnitev samodejnih oddaj.

Kako se štejejo obiski tega spletnega mesta

To spletno mesto šteje svoj promet na svojem strežniku, obseg zabeleženega pa je odvisen od izbire, ki ste jo naredili v pasici o piškotkih. Za vsak obisk, ne glede na vašo izbiro, beležimo datum in čas, stran, državo, regijo in mesto, vrsto naprave, operacijski sistem ter brskalnik in njegovo različico. Lokacije in naprave vas ne sprašujemo in ju ne beremo z vaše naprave: lokacija se poišče iz vašega naslova IP, naprava, brskalnik in različica pa so tisto, kar vaš brskalnik o sebi navede v zahtevi. Vaš naslov IP se uporabi za to iskanje in se nato skrajša, preden se karkoli zapiše — zadnji del naslova IPv4 oziroma vse razen prvih treh skupin naslova IPv6 se nadomesti z ničlami, celoten naslov pa se zavrže. Celoten naslov se nikoli ne shrani v zapise analitike in nikoli ne zapusti tega strežnika. Za to se na vašo napravo nič ne zapiše, ne ustvari se noben identifikator, dveh strani, ki ju preberete, pa ni mogoče prepoznati kot isti obisk. Če ste v pasici o piškotkih sprejeli analitiko, se zabeležijo tri dodatne stvari: naključna oznaka se hrani v sejni shrambi vašega brskalnika, da je strani enega obiska mogoče brati po vrsti, kliki na povezave in gumbe se beležijo s stalnim kratkim imenom kliknjenega, širina okna vašega brskalnika pa se beleži v grobih korakih. Oznaka ni piškotek in se ne hrani: vaš brskalnik jo zavrže, ko zaprete zavihek, tako da ne more povezati današnjega obiska z obiskom prihodnji teden. Ni vaše ime, ni račun in nikoli ni povezana z zahtevo za ponudbo. Nekaterih stvari sploh nikoli ne beležimo. Vse za vprašajem v spletnem naslovu se odstrani, preden se naslov zapiše, tako da iskalni izraz, sklic ali e-poštni naslov, ki bi se kdaj pojavil v povezavi, ne more doseči teh zapisov. Besedilo povezave ali gumba se nikoli ne beleži, le stalno kratko ime. Od kod ste prišli, se skrči na samo ime spletnega mesta, razen če ste sprejeli analitiko. Zahteve samodejnih pajkov se zavržejo, namesto da bi se štele, prav tako zahteve z našega lastnega strežnika. Nobeno drugo podjetje ni vpleteno. Na nobeni strani ni storitve analitike, upravitelja oznak ali sledilne slikovne pike: štetje opravlja naša lastna programska oprema, zapisi pa ostanejo v naši lastni bazi podatkov. Iskanje krajevnih imen uporablja podatkovno datoteko, hranjeno na tem strežniku, tako da se vaš naslov IP ne pošilja nikamor v razrešitev. Ta datoteka je IP to City Lite podatkovna baza podjetja DB-IP, uporabljena po licenci Creative Commons Attribution 4.0. Mesto, ki ga poda, je središče mesta, ki mu omrežje pripada — je približek iz omrežja, ne odčitek z vaše naprave, in je pogosto mesto vašega internetnega ponudnika in ne vaše. To spletno mesto vašega brskalnika nikoli ne vpraša za vašo dejansko lokacijo. Pravna podlaga za štetje, ki se izvaja za vsak obisk, je naš zakoniti interes, da vemo, katere strani našega spletnega mesta se uporabljajo in iz katerih držav, da ga lahko vzdržujemo in izboljšujemo. Za to vas ne prosimo za privolitev, ker se na vašo napravo nič ne shrani in vas noben zapis ne identificira. Dodatno beleženje, opisano zgoraj, poteka le, kjer ste privolili, in to lahko kadar koli prekličete na strani o piškotkih — podrobno beleženje se od tega trenutka ustavi. Zapisi posameznih obiskov se izbrišejo šest mesecev po zapisu. Kar se hrani dlje od tega, je nabor dnevnih vsot — koliko ogledov je imela vsaka stran, iz katere države, na kateri vrsti naprave in v katerem brskalniku — brez naslova, brez oznake in brez poti v njih. Te vsote se hranijo za nedoločen čas, da lahko primerjamo eno leto z drugim. Vse to lahko vidi le naše lastno osebje; nič od tega se ne prodaja, deli ali uporablja za oglaševanje vam.

Zakaj jih smemo hraniti

Za zahtevo za ponudbo je pravna podlaga izvajanje ukrepov na vašo zahtevo pred sklenitvijo pogodbe ter naš zakoniti interes za odgovor na poslovno povpraševanje; ob oddaji se zabeleži tudi vaša izrecna privolitev, zato okence nikoli ni vnaprej označeno. Za dnevnik dostopa in omejevalnik zahtev je podlaga zgolj zakoniti interes — ohranjanje razpoložljivosti spletnega mesta in preprečevanje samodejnih oddaj v poštnem predalu koordinatorjev — in vas zanj ne prosimo za privolitev, ker ga ni mogoče izklopiti in hkrati postreči strani. Kontakt, ki zaprosi za ponudbo, ni dodan na dopisni seznam, glasilo ali samodejni razpored opomnikov: edino e-poštno sporočilo, ki sledi, se nanaša na vaše povpraševanje in morebitno naročilo, ki iz njega izhaja. Kontaktnih podatkov ne prodajamo in ne oddajamo v najem ter jih ne posredujemo drugemu podjetju za njegovo lastno trženje. Če bi kdaj ponudili opomnike o poteku spričeval, jih boste morali posebej zahtevati, v razumljivih besedah, z datumom podane privolitve, in jih boste ustavili z enim samim odgovorom.

Kdo drug jih obravnava

To so edine tretje osebe, ki jih obravnavajo.

Namecheap Private Email, ki nam prenese obvestilo, vam pa potrdilo o prejemu.

Telegram, ki ob začetku obiska prenese obvestilo v naš lastni operativni klepet, da lahko na povpraševanje odgovori nekdo, ki že ve, katere strani so bile prebrane. Sporočilo vsebuje mesto in državo, ki jima ustreza naslov, omrežje, ki mu pripada, brskalnik in napravo, stran, na katero je obisk prišel, od kod je obisk prišel, ter sam naslov IP. Telegram je zunaj Združenega kraljestva in EGP, zato ta prenos temelji na zaščitnem ukrepu in ne na ustreznosti, opravljen pa je na podlagi zakonitega interesa, da vemo, kdo se zanima za naše storitve. Temu lahko ugovarjate na spodnjem kontaktu.

ipwho.is, ki ga vprašamo, kateremu mestu in kateremu omrežju pripada naslov IP, in to samo za tisto obvestilo. Naslov se mu pošlje prek šifrirane povezave in ga tam ne shranjujemo. To je edino iskanje, ki zapusti ta strežnik: krajevna imena v samem poročilu o obiskih še naprej prihajajo iz podatkovne datoteke, hranjene tukaj.

Naš lastni strežnik, gostovan pri IONOS v Londonu, ki streže to spletno mesto.

Ni storitve analitike tretjih oseb, ni upravitelja oznak in ni skripta tretjih oseb na nobeni strani tega spletnega mesta. Obiske šteje naša lastna programska oprema na tem strežniku, iskanje krajevnih imen pa uporablja podatkovno datoteko, hranjeno tukaj.

Kako dolgo jih hranimo

Zahteva za ponudbo in dopisovanje, ki mu sledi, živita v e-pošti koordinatorjev in nikjer drugje na tem spletnem mestu. Povpraševanje, ki nikoli ne postane naročilo, se izbriše štiriindvajset mesecev po zadnjem sporočilu v niti — dovolj dolgo, da isto plovilo pristane dvakrat in da nas zaprosite za ponudbo glede na prejšnji obseg, dovolj kratko, da se nič ne hrani za slučaj, da bi nekega dne utegnilo biti koristno. Kjer je naročilo oddano, dopisovanje postane del zapisa o poslu in se hrani deset let od konca poslovnega leta, v katerem je bilo delo fakturirano, ker je treba poslovne knjige in dokumente, ki jih podpirajo, hraniti tako dolgo. Oddaja, ki jo omejevalnik zahtev zavrne, se sploh ne shrani. Če nas zaprosite, da povpraševanje izbrišemo pred iztekom njegovega obdobja, to storimo v tridesetih dneh in pisno potrdimo, razen če je bilo oddano naročilo in je treba zapis hraniti zaradi davčnega ali računovodskega prava — v tem primeru vam to povemo in vam sporočimo datum, ko bo izbrisan.

Kam gredo in kdo drug jih sme brati

Strežnik je v Londonu. Koordinatorji delajo iz šestih storitvenih baz — İstanbul, İzmir in İskenderun v Turčiji, Varna v Bolgariji, Constanța v Romuniji in London — zato je povpraševanje mogoče brati zunaj Združenega kraljestva in EGP, zlasti v Turčiji. Turčija ni zajeta niti s sklepom Evropske komisije o ustreznosti niti z ureditvijo ustreznosti Združenega kraljestva, zato prenos tja temelji na zaščitnem ukrepu in ne na ustreznosti: standardne pogodbene klavzule v obliki Evropske komisije za podatke, ki spadajo pod EU GDPR, in z dodatkom Združenega kraljestva za podatke, ki spadajo pod UK GDPR, podprte z oceno tveganja prenosa, ki jo enkrat letno pregleda operativni direktor, odgovoren za skladnost. Kjer pristanišče nima baze ShipCertify, se obisk lahko izvede prek partnerskega podjetja; če je vaše povpraševanje posredovano takemu, gredo z njim plovilo, pristanišče, obseg in kontakt za ladjo, ker se nihče ne more udeležiti brez njih — in nič drugega ne gre z njim. Nobenemu partnerju povpraševanje ni poslano, preden je podpisan pisni dogovor, ki ga omejuje na ta obisk, mu za vsak nadaljnji prenos nalaga enake zaščitne ukrepe, prepoveduje vsakršno drugo rabo kontaktnih podatkov in zahteva, da se podatki vrnejo ali uničijo, ko se posel zaključi. Kopija zaščitnih ukrepov, na katere se opira določen prenos, je na zahtevo na compliance@shipcertify.com posredovana v tridesetih dneh, s prekritimi poslovnimi pogoji.

Turški zakon št. 6698 (KVKK)

Ker ima poslovni subjekt sedež v Turčiji, se za to obdelavo poleg UK GDPR in EU GDPR uporablja Zakon št. 6698 o varstvu osebnih podatkov; vsi trije se prekrivajo, a niso enotna ureditev, in pravica po eni ni samodejno pravica po drugi. Po členu 11 lahko izveste, ali se vaši osebni podatki obdelujejo, zahtevate informacije, če se, izveste namen in ali se uporabljajo skladno z njim, poznate tretje osebe v Turčiji in v tujini, ki so jim preneseni, dosežete popravek nepopolnih ali netočnih podatkov in obvestilo o tem popravku tem tretjim osebam, zahtevate izbris ali uničenje po členu 7 in obvestilo tudi o tem, ugovarjate izidu, dosežene o vas z izključno samodejno analizo, ter zahtevate odškodnino za škodo, povzročeno z nezakonito obdelavo. Vloga se najprej naslovi na nas, pisno — na compliance@shipcertify.com ali na naslov registriranega sedeža v spodnjem razdelku s kontakti — in je obravnavana najpozneje v tridesetih dneh. Če je zavrnjena, neustrezno odgovorjena ali ni odgovorjena pravočasno, se lahko vloži pritožba pri Odboru za varstvo osebnih podatkov (Kişisel Verileri Koruma Kurulu), organu odločanja Uprave za varstvo osebnih podatkov — v tridesetih dneh od seznanitve z našim odgovorom in v vsakem primeru v šestdesetih dneh od datuma vloge. Katera od treh ureditev prevlada za posamezno zahtevo, izhaja iz upravljavca, imenovanega na vrhu te strani.

Zastopnika v EU in Združenem kraljestvu

Člen 27 EU GDPR zahteva, da upravljavec s sedežem zunaj Unije, ki ponuja storitve osebam v Uniji, tam pisno imenuje zastopnika, UK GDPR pa nalaga enako dolžnost za Združeno kraljestvo. Nobena od teh dolžnosti ne velja za nas, razlog pa je v tem, od kod delamo. Imamo storitveni bazi v Varni v Bolgariji in v Constanți v Romuniji — sedeža v Uniji — ter registrirani sedež in storitveno bazo v Londonu. Obdelava, ki se izvaja v okviru teh sedežev, spada pod člen 3(1) obeh uredb, podlago, ki velja za upravljavca s sedežem na ozemlju, medtem ko se člen 27 nanaša le na upravljavca, ki spada pod člen 3(2). Torej ni zastopnika, ki bi ga bilo treba imenovati, in noben ni potreben: zahtevo iz Unije ali iz Združenega kraljestva obravnavamo neposredno mi, na spodnjem kontaktu, v rokih, določenih zgoraj.

Portal za stranke je ločen sistem

portal.shipcertify.com je drugačna aplikacija na drugem imenu gostitelja, z lastno bazo podatkov, lastnimi poverilnicami, lastno pravno podlago in lastnim obvestilom o zasebnosti; to obvestilo je ne pokriva, njeno obvestilo pa ne pokriva tega spletnega mesta. Zahteva za ponudbo, oddana tukaj, se vanjo nikoli ne zapiše — javno spletno mesto sploh nima poti do te baze podatkov. Prošnja za ponudbo torej ne ustvari računa na portalu. Če vam je dan dostop do portala, je to ločen korak z lastnimi pogoji in lastno privolitvijo, o čemer bi vas obvestili takrat.

Kako je zaščiteno

Spletno mesto se streže izključno prek TLS, na potrdilu, ki se samodejno obnavlja, navadni HTTP pa se nanj preusmeri. Javna aplikacija je postavljena brez povezovalnega niza do baze podatkov in brez poverilnice portala, tako da vdor v ta spletni strežnik ne doseže nobenih zapisov o strankah: na njem jih ni. Hrani eno samo skrivnost podpisane seje, ki se uporablja za enkratno administrativno prijavo, s katero naše osebje upravlja fotografije na tem spletnem mestu; ta prijava se ne dotika nobenega povpraševanja. Zahteva za ponudbo gre v vlogovne poštne predale, ki morajo nanjo odgovoriti, in se ne razpošilja onkraj koordinatorjev in osebja za dokumentacijo, ki delajo na njej. Ti poštni predali se odpirajo izključno prek poimenskih osebnih računov — ni skupnega gesla in ni splošne prijave — dostop odobri operativni direktor, na vsakem računu, ki jih lahko doseže, je uveljavljena dvostopenjska avtentikacija, seznam tistih z dostopom se pregleduje vsakih šest mesecev, račun pa se zapre na dan, ko oseba odide. Kršitev varstva osebnih podatkov, ki bi prizadela to spletno mesto, bi bila prijavljena pristojnemu nadzornemu organu brez nepotrebnega odlašanja in, kjer je izvedljivo, v sedeminsedemdesetih urah od seznanitve, kadar je verjetno, da kršitev povzroči tveganje za vas, in vam neposredno, kadar je to tveganje visoko. Kateri organ je pristojen, izhaja iz upravljavca, imenovanega na vrhu te strani.

Brez samodejnega odločanja

Na tem spletnem mestu ni oblikovanja profilov in ni samodejne odločitve, ki bi za vas ustvarila pravni učinek ali vas podobno znatno prizadela. Vsako ponudbo oceni oseba in vsak obisk načrtuje oseba. Edini samodejni nadzor je omejevalnik zahtev, opisan zgoraj: ta šteje oddaje z naslova v kratkem oknu in o vas ne odloča ničesar, le ali je naslednja oddaja znotraj tega okna sprejeta. Oddajo, ki jo zavrne, je mogoče poslati znova, ko se okno zapre, ali jo takoj oddati po dežurni liniji. Preden je dana ponudba, se plovilo, njegovo lastništvo in nasprotna stranka, ki oddaja naročilo, preverijo glede na sezname sankcij, kot to določa obvestilo o sankcijah na tem spletnem mestu. Ta preveritev lahko privede do zavrnitve ponudbe. Ujemanje s seznamom je samodejno; odločitev ni — oseba pregleda vsako ujemanje in vsako zavrnitev, in nobene zavrnitve ne izda stroj.

Vaše pravice in kako jih uveljaviti

Po UK in EU GDPR lahko zaprosite za kopijo tega, kar hranimo o vas, zahtevate popravek, izbris, omejitev ali prenehanje obdelave, prenos v prenosljivi obliki in prekličete podano privolitev — preklic ne naredi tega, kar mu je predhodilo, nezakonitega. Pišite na spodnji kontakt in odgovorili bomo v enem mesecu od prejema zahteve ter vam v tem mesecu sporočili, če je zahteva dovolj zapletena, da potrebuje več časa. Morda vas bomo najprej prosili, da potrdite svojo identiteto; kar za to pošljete, se ne uporabi za nič drugega, za zahtevo po UK ali EU GDPR pa ni stroškov, razen če je zahteva očitno neutemeljena ali pretirana. Po Zakonu št. 6698 se lahko zaračuna pristojbina znotraj tarife, ki jo določi Odbor. Če niste zadovoljni, se lahko pritožite pri Information Commissioner's Office v Združenem kraljestvu, pri nadzornem organu vaše države v EGP ali po turški poti, opisani zgoraj.

Stik z nami

Zahteve v zvezi z varstvom podatkov gredo na compliance@shipcertify.com; splošna povpraševanja na info@shipcertify.com. Poštni predal za skladnost bere osebje za dokumentacijo vsak delovni dan, odgovarja pa se pod pristojnostjo operativnega direktorja, odgovornega za skladnost, ki to odgovornost nosi kot del svoje vloge. Prejem zahteve potrdimo v petih delovnih dneh in odgovorimo v rokih, določenih zgoraj. Pisna vloga — vključno z vlogo po Zakonu št. 6698, ki mora biti podana pisno — se lahko pošlje na registrirani sedež v Združenem kraljestvu na naslovu Office 7408, 58 Peregrine Road, Hainault, Ilford, Essex IG6 3SZ, z oznako v vednost operativnemu direktorju, odgovornemu za skladnost. Po členu 37 GDPR ni imenovana pooblaščena oseba za varstvo podatkov: nismo javni organ, obdelava na tem spletnem mestu ne vključuje rednega in sistematičnega spremljanja ljudi v velikem obsegu in ne vključuje nobenih podatkov posebnih vrst, zato imenovanje ni potrebno — odgovornost nosi zgoraj imenovana vloga, namesto da bi ostala brez lastnika. Telefonske številke posameznih baz in 24/7 dežurna linija so na strani s kontakti.