Svi pravni dokumenti

Pravno

Politika odgovora na povredu podataka

Na snazi od 15. rujna 2026.

Politika odgovora na povredu podataka

Uvod

Ova politika opisuje odgovor društva revzper SAS na povrede osobnih podataka, osiguravajući usklađenost s primjenjivim propisima o zaštiti podataka i svođenje rizika za pojedince na najmanju moguću mjeru.

Obveze u slučaju povrede podataka

1. Procjena povrede

U slučaju povrede osobnih podataka, revzper SAS procijenit će prirodu, opseg i potencijalni učinak u roku od 24 sata od otkrivanja.

2. Obavješćivanje nadzornog tijela

Ako je vjerojatno da će povreda rezultirati rizikom za prava i slobode pojedinaca, revzper SAS obavijestit će relevantno nadzorno tijelo u roku od 72 sata od otkrivanja.

Ref: GDPR Art. 33

3. Obavješćivanje ispitanika

Ako je vjerojatno da će povreda rezultirati visokim rizikom za prava i slobode fizičkih osoba, revzper SAS obavijestit će pogođene ispitanike bez nepotrebnog odgađanja. Takvi rizici uključuju diskriminaciju, krađu identiteta, financijski gubitak ili druge značajne gospodarske ili društvene nedostatke.

Ref: GDPR Art. 34, GDPR Recital 85

4. Dokumentiranje povrede

revzper SAS dokumentirat će sve povrede, uključujući uzroke, učinke i poduzete mjere za otklanjanje posljedica.

Ref: GDPR Art. 33(5), GDPR Art. 30(1)(g)

5. Preventivne mjere

revzper SAS provest će mjere za sprječavanje ponavljanja povreda osobnih podataka.

Postupak obavješćivanja nadzornog tijela

1. Tijelo za obavješćivanje

U slučaju povrede osobnih podataka koja zahtijeva obavješćivanje relevantnog nadzornog tijela u roku od 72 sata, revzper SAS podnijet će obavijest o povredi francuskom tijelu za zaštitu podataka (CNIL).

2. Portal za obavješćivanje

Obavijest će se podnijeti putem službenog internetskog portala CNIL-a.

3. Sadržaj paketa obavijesti

Paket obavijesti uključivat će:

  • Opis prirode povrede osobnih podataka, uključujući kategorije i približan broj ispitanika te predmetnih zapisa osobnih podataka;
  • Ime i kontaktne podatke službenika za zaštitu podataka (DPO) ili druge kontaktne točke na kojoj se mogu dobiti dodatne informacije;
  • Opis vjerojatnih posljedica povrede osobnih podataka;
  • Opis mjera koje je revzper SAS poduzeo ili predložio za poduzimanje radi rješavanja povrede osobnih podataka, uključujući, prema potrebi, mjere za ublažavanje njezinih mogućih štetnih učinaka.

4. Rok za obavješćivanje

Obavijest će pripremiti i podnijeti DPO ili određeni tim za odgovor na incidente u roku od 72 sata.

5. Dokumentiranje obavijesti

Sve obavijesti o povredama bit će dokumentirane u internom predlošku za dokumentiranje povreda.

Ref: GDPR Art. 33(5)

Interni predložak za dokumentiranje povreda

1. Svrha dokumentiranja

Sve povrede osobnih podataka bit će dokumentirane primjenom standardiziranog predloška kako bi se osigurali dosljednost, sljedivost i usklađenost s primjenjivim propisima.

2. Polja za dokumentiranje povrede

Predložak za dokumentiranje povrede uključuje sljedeća polja:

  • ID povrede: Jedinstveni identifikator povrede.
  • Datum/vrijeme otkrivanja: Datum i vrijeme kada je povreda otkrivena.
  • Proizvod: Proizvod(i) pogođen(i) povredom.
  • Okruženje hostinga: Okruženje hostinga u kojem je došlo do povrede.
  • Lokacija podataka: Zemljopisna lokacija pogođenih podataka.
  • Opis povrede: Detaljan opis prirode i opsega povrede.
  • Kategorije pogođenih podataka: Kategorije uključenih osobnih podataka.
  • Približan broj ispitanika: Približan broj pojedinaca pogođenih povredom.
  • Datum/vrijeme procjene: Datum i vrijeme kada je povreda procijenjena.
  • Procjena rizika: Procijenjena razina rizika (niska, srednja, visoka) i obrazloženje.
  • Obavješćivanje nadzornog tijela: Datum i vrijeme obavješćivanja nadzornog tijela, ako je primjenjivo.
  • Obavješćivanje ispitanika: Datum i vrijeme obavješćivanja pogođenih ispitanika, ako je primjenjivo.
  • Poduzete mjere za otklanjanje posljedica: Opis mjera poduzetih radi rješavanja povrede i sprječavanja njezina ponavljanja.
  • Analiza osnovnog uzroka: Osnovni uzrok povrede i utvrđeni sustavni problemi.
  • Preventivne mjere: Dodatne mjere provedene radi sprječavanja ponavljanja.
  • Datum pregleda DPO-a: Datum kada je DPO pregledao i odobrio dokumentaciju o povredi.

3. Postupak dokumentiranja

Ref: GDPR Art. 30(1)(g)

Postupak dokumentiranja povrede uključuje sljedeće korake:

  • Početno dokumentiranje: Tim za odgovor na incidente ispunit će predložak u roku od 24 sata od otkrivanja povrede.
  • Ažuriranje procjene: Procjena rizika i mjere za otklanjanje posljedica ažurirat će se kako istraga bude napredovala.
  • Završni pregled: DPO će pregledati i odobriti konačnu dokumentaciju u roku od 72 sata od otkrivanja povrede.
  • Čuvanje: Ispunjeni predložak čuvat će se najmanje 3 godine u skladu s primjenjivim propisima.

4. Pohrana i dijeljenje dokumentacije

Sva dokumentacija o povredama bit će sigurno pohranjena i dijeljena s relevantnim dionicima, uključujući nadzorno tijelo i pogođene ispitanike, kako to zahtijevaju primjenjivi propisi.