Zgodność z RODO

Kto odpowiada za dane

W przypadku danych kursantów Twoja organizacja jest administratorem, a BHP VR sp. z o.o., firma stojąca za Skillsive, podmiotem przetwarzającym. Przetwarzamy te dane wyłącznie na Twoje polecenie, na podstawie umowy powierzenia, którą administrator Twojej organizacji akceptuje w panelu. W przypadku kont w panelu i naszej umowy z Twoją organizacją administratorem jest BHP VR sp. z o.o.

Jakie dane przetwarzamy

Każdy kursant potrzebuje tylko 6-cyfrowego kodu i pseudonimu. Twoja organizacja decyduje, czy dodać imię i nazwisko, e-mail, telefon, numer pracowniczy, stanowisko, adres, datę urodzenia lub płeć. Przechowujemy też wyniki szkoleń i certyfikaty. W przypadku osób z kontem w panelu przetwarzamy imię i nazwisko, e-mail i dane logowania. Działania istotne dla bezpieczeństwa, np. pobranie certyfikatu, są zapisywane z czasem, adresem IP i urządzeniem.

Gdzie są przechowywane dane

Dane kursantów zapisywane w platformie są przechowywane na terenie Unii Europejskiej. Nagrania głosu z lekcji VR z komendami głosowymi przetwarza Meta Wit.ai w USA (zob. Dalsze podmioty przetwarzające).

• Baza danych: Azure SQL (Microsoft SQL Server) w regionie West Europe (Holandia).
• Pliki certyfikatów: Azure Blob Storage w regionie West Europe (Holandia).
• Logi techniczne: Azure, region Germany West Central, przechowywane do 90 dni.
• Kopie zapasowe: automatyczne kopie bazy z możliwością przywrócenia stanu z dowolnego momentu ostatnich 35 dni oraz kopie tygodniowe przechowywane 2 tygodnie, w geo-redundantnym magazynie kopii na terenie UE (North Europe, Irlandia). Nie ma repliki bazy w innym regionie.

Kto pomaga nam przetwarzać dane

Dane kursantów przetwarzają cztery dalsze podmioty: Microsoft (hosting Azure), Cloudflare (ochrona sieci i dostarczanie treści), Twilio SendGrid (e-maile systemowe i przypomnienia o szkoleniach) oraz Meta Wit.ai (rozpoznawanie komend głosowych w lekcjach VR, które je mają). Na stronie dalszych podmiotów przetwarzających opisujemy, czym zajmuje się każdy z nich i jakie obowiązują zabezpieczenia.

Jak chronimy dane

Dane są szyfrowane w transmisji przez HTTPS (TLS), a w spoczynku algorytmem AES-256 w bazie danych i magazynie plików. Dostęp zależy od roli, dane każdej organizacji są rozdzielone po stronie serwera, a dostęp administracyjny wymaga uwierzytelniania wieloskładnikowego.

Anonimizacja i certyfikaty

Gdy Twoja organizacja wycofa zgodę albo wyda takie polecenie, dane pozwalające rozpoznać kursantów są nieodwracalnie anonimizowane. Certyfikaty nie są wtedy usuwane: trafiają do archiwum z ograniczonym dostępem na okres przechowywania ustawiony przez Twoją organizację (domyślnie 10 lat), a potem są trwale usuwane.

Jak długo przechowujemy dane

Dane kursantów przechowujemy tak długo, jak Twoja organizacja korzysta z platformy. Po zakończeniu usługi usuwamy je albo zwracamy, zgodnie z wyborem organizacji. Kopie zapasowe wygasają po 35 dniach, a logi techniczne najpóźniej po 90 dniach.

Prawa kursantów

Kursanci mogą żądać dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania lub przeniesienia, a także wnieść sprzeciw wobec przetwarzania. Te żądania rozpatruje Twoja organizacja jako administrator. Jeśli kursant napisze bezpośrednio do nas, niezwłocznie przekażemy żądanie i pomożemy w odpowiedzi. Każdy może też złożyć skargę do organu nadzorczego, w Polsce do Prezesa UODO.