Privatumo politika

1. Duomenų Valdytojas

Hoken Tech S.r.l.
Via Ippolito Nievo, 25
70056 Molfetta (BA), Italy
El. paštas: support@hokenpass.com
PVM / Mokesčių kodas: IT086677120720
REA: BA 642341
PEC: hokentech@pec.it

2. Duomenų Apsaugos Pareigūnas (DAP)

Kontaktas: support@hokenpass.com

3. Tvarkomų Asmens Duomenų Rūšys

Tvarkome šias asmens duomenų kategorijas:

• Paskyros duomenys: vardas, el. pašto adresas, slaptažodis (maišos)
• Organizacijos duomenys: įmonės pavadinimas, PVM kodas, šalis, vaidmuo (administratorius/redaktorius/žiūrovas)
• DPP duomenys: produkto informacija, paso turinys, skaitmeniniai parašai
• Blokų grandinės duomenys: operacijų ID, naudingosios apkrovos maišos (SHA-256), laiko žymos
• Naudojimo duomenys: IP adresas, naršyklės tipas, aplankyti puslapiai, atlikti veiksmai
• Mokėjimo duomenys: atsiskaitymo informacija (tvarko Stripe — žr. jų privatumo politiką)
• Sutikimų registrai: slapukų sutikimas, rinkodaros sutikimas, laiko žymos

4. Teisinis Tvarkymo Pagrindas

Tvarkymas grindžiamas:

• BDAR 6 straipsnio 1 dalies b punktas — Sutarties vykdymas (paslaugų teikimas)
• BDAR 6 straipsnio 1 dalies a punktas — Sutikimas (rinkodara, analitiniai slapukai)
• BDAR 6 straipsnio 1 dalies c punktas — Teisinė prievolė (mokesčiai, apskaita, pinigų plovimo prevencija)
• BDAR 6 straipsnio 1 dalies f punktas — Teisėtas interesas (saugumas, sukčiavimo prevencija, paslaugos gerinimas)

5. Tvarkymo Tikslas

• Hoken Pass SaaS platformos teikimas
• Skaitmeninių produkto pasų kūrimas ir valdymas
• Blokų grandinės notarinis patvirtinimas ir laiko žymos EOS/Vaulta
• QR kodų, skaitmeninių nuorodų, PDF/JSON eksporto generavimas
• Komandos valdymas ir vaidmenimis grindžiama prieigos kontrolė
• Mokėjimų apdorojimas ir prenumeratų valdymas
• Transakcinių el. laiškų siuntimas (sveikinimas, slaptažodžio atstatymas, komandos kvietimai)
• Analitika ir paslaugos gerinimas (gavus sutikimą)
• ES reglamentų laikymasis (ESPR, CAD, eIDAS)
• Saugumo stebėjimas ir sukčiavimo prevencija

6. Duomenų Gavėjai

Jūsų duomenys gali būti dalijami su:

• Supabase — Duomenų bazės talpinimas (ES, atitinka BDAR)
• Cloudflare — Failų saugykla (R2) ir CDN
• Stripe — Mokėjimų apdorojimas (PCI DSS 1 lygis)
• Brevo — Transakcinių el. laiškų pristatymas
• InfoCert / Openapi — Kvalifikuotas laiko žymėjimas (QTSP, atitinka eIDAS)
• EOS/Vaulta (Jungle4) — Blokų grandinės notarinis patvirtinimas (tik maiša, be asmens duomenų)

7. Tarptautiniai Duomenų Perdavimai

Visi pirminiai duomenų tvarkymo procesai vyksta ES/EEE. Kai duomenys perduodami už ES ribų (pvz., blokų grandinės mazgams), užtikriname tinkamas apsaugos priemones:

• Standartinės sutarties sąlygos (SCC) pagal BDAR 46 straipsnio 2 dalies c punktą
• Pakankamumo sprendimai, kur jų yra
• Perduodami tik minimalūs būtini duomenys (blokų grandinėje tik maiša)

8. Duomenų Saugojimas

• Paskyros duomenys: paskyros trukmė + 30 dienų po ištrynimo
• DPP duomenys: prenumeratos trukmė + 90 dienų atsarginėms kopijoms
• Blokų grandinės duomenys: nuolatiniai (nekeičiami pagal dizainą, bet nesusiejami po ištrynimo ne grandinėje)
• Mokėjimo įrašai: 10 metų (Italijos mokesčių įstatymas)
• Naudojimo žurnalai: 12 mėnesių
• Sutikimų registrai: 3 metai nuo paskutinės sąveikos
• Rinkodaros duomenys: kol sutikimas atšaukiamas

9. Jūsų Teisės (BDAR 15–22 straipsniai)

Turite teisę:

• Gauti informaciją (15 str.) — Paprašyti savo asmens duomenų kopijos
• Reikalauti ištaisymo (16 str.) — Ištaisyti netikslius duomenis
• Reikalauti ištrynimo (17 str.) — Paprašyti ištrinti savo duomenis
• Apriboti tvarkymą (18 str.) — Apriboti tvarkymą tam tikrais atvejais
• Perkeliamumą (20 str.) — Gauti savo duomenis mašininio skaitymo formatu
• Pareikšti prieštaravimą (21 str.) — Prieštarauti tvarkymui, grindžiamam teisėtu interesu
• Atšaukti sutikimą — Bet kuriuo metu, nepaveikiant ankstesnio tvarkymo teisėtumo

Norėdami įgyvendinti savo teises, susisiekite: support@hokenpass.com

10. Blokų grandinė ir Teisė į Ištrinimą (EDPB 02/2025)

Vadovaujantis EDPB gairėmis 02/2025 dėl blokų grandinės ir asmens duomenų:

• Grandinėje saugomos tik raktu pagrįstos maišos (HMAC-SHA256) — be asmens duomenų
• Visi asmens duomenys saugomi ne grandinėje mūsų užšifruotoje duomenų bazėje
• Gavę ištrynimo prašymą ištriname visus duomenis ne grandinėje ir sunaikiname HMAC raktą, todėl grandinėje esančios maišos tampa nesusiejamos (efektyvus ištrynimas)
• Visam blokų grandinės tvarkymui atliktas poveikio duomenų apsaugai vertinimas (DPIA)
• Tvarkymo operacijų registrą (ROPA) tvarkome pagal BDAR 30 straipsnį

11. eIDAS Atitiktis

Kvalifikuotoms laiko žymoms ir elektroniniams antspaudams:

• Laiko žymas teikia InfoCert S.p.A., kvalifikuotasis pasitikėjimo paslaugų teikėjas (QTSP) ES pasitikėjimo sąraše
• Laiko žymos atitinka eIDAS reglamentą (ES) 910/2014, 42 straipsnį
• Kiekviena laiko žyma susieja UTC datą/laiką su dokumento maiša naudojant QTSP pasirašytą RFC 3161 tokeną

12. CAD Atitiktis

Vadovaujantis Italijos skaitmeninės administracijos kodeksu (D.Lgs. 82/2005):

• Visi dokumentai išlaiko vientisumą naudojant SHA-256 maišos funkciją
• Sertifikuotos laiko žymos suteikia teisinį egzistavimo datos įrodymą
• Dokumentų metaduomenys atitinka AgID gaires
• Visiems paso veiksmams tvarkomi audito žurnalai

13. Saugumo Priemonės

• TLS 1.3 šifravimas visiems perduodamiems duomenims
• AES-256 šifravimas jautriems duomenims saugykloje
• Vaidmenimis grindžiama prieigos kontrolė (RBAC) su administratoriaus/redaktoriaus/žiūrovo vaidmenimis
• Reguliarūs saugumo vertinimai ir pažeidžiamumų skenavimas
• Incidentų reagavimo procedūros, suderintos su ACN (Nacionalinės kibernetinio saugumo agentūros) gairėmis

14. Skundai

Jei manote, kad buvo pažeistos jūsų teisės į duomenų apsaugą, galite pateikti skundą:

Garante per la protezione dei dati personali
Piazza Venezia 11, 00187 Roma, Italy
www.garanteprivacy.it

15. Šios Politikos Pakeitimai

Galbūt atnaujinsime šią privatumo politiką. Apie esminius pakeitimus bus pranešta el. paštu arba platformos pranešimu. Naujausia versija visada pasiekiama šiuo URL adresu.