Marrëveshja e përpunimit të të dhënave
Kjo Marrëveshje e përpunimit të të dhënave («Marrëveshja») lidhet ndërmjet klientit dhe [ENTITY NAME], me adresë [ADDRESS] («Nabo»). Klienti është shoqëria e menaxhimit të pronës, administratori i certifikuar ose bashkësia e pronarëve që krijon një pallat në Nabo, në cilësinë e kontrolluesit. Nabo vepron si përpunues. Marrëveshja zbatohet sipas nenit 28 të Rregullores së Përgjithshme për Mbrojtjen e të Dhënave (RGPD) dhe Ligjit nr. 124/2024 «Për mbrojtjen e të dhënave personale» të Republikës së Shqipërisë. Administratori e pranon Marrëveshjen në aplikacion kur krijon një pallat, në emër të kontrolluesit; versioni dhe koha e pranimit regjistrohen.
1. Objekti, kohëzgjatja dhe natyra
Nabo përpunon të dhënat personale të banorëve për të ofruar shërbimin privat komunitar të pallatit, të përshkruar në Kushtet e shërbimit: verifikimin e anëtarësimit, faqen e postimeve, njoftimet e administratorit, ngjarjet, «Huazo & Merr hua», mesazhet, moderimin dhe dërgimin e njoftimeve. Përpunimi zgjat për sa kohë pallati përdor Nabo, si dhe gjatë periudhës së fshirjes të parashikuar në seksionin 9. Hollësitë jepen në Shtojcën 1.
2. Udhëzimet
Nabo i përpunon të dhënat e pallatit vetëm sipas udhëzimeve të dokumentuara të kontrolluesit. Këto udhëzime janë Kushtet e shërbimit, kjo Marrëveshje dhe mënyra si kontrolluesi përdor cilësimet e aplikacionit. Nabo nuk përpunon asnjë të dhënë për qëllimet e veta. Nabo e informon kontrolluesin nëse çmon se një udhëzim shkel legjislacionin për mbrojtjen e të dhënave.
3. Konfidencialiteti
Të gjithë personat në Nabo që kanë qasje në të dhënat e pallatit janë të detyruar të ruajnë konfidencialitetin. Stafi i Nabo mund të hyjë në një pallat vetëm nëpërmjet një funksioni mbështetjeje që auditohet dhe që regjistron kush e hapi pallatin dhe pse.
4. Siguria
Nabo zbaton masat teknike dhe organizative të Shtojcës 2 dhe i mban ato në përputhje me rrezikun (neni 32 i RGPD-së).
5. Asistenca
Nabo e ndihmon kontrolluesin t'u përgjigjet kërkesave të banorëve. Banorët mund të eksportojnë vetë të dhënat e tyre dhe të fshijnë llogaritë e tyre në aplikacion, ndërsa kontrolluesi mund të eksportojë listën e banorëve, regjistrat e dërgimit, regjistrin e auditimit dhe përmbajtjen nga skeda «Administrimi». Kur është e nevojshme, Nabo ndihmon edhe me vlerësimet e ndikimit në mbrojtjen e të dhënave dhe me konsultimet me autoritetin mbikëqyrës.
6. Cenimet e të dhënave personale
Nabo e njofton kontrolluesin për çdo cenim të të dhënave personale që prek të dhënat e pallatit pa vonesë të panevojshme dhe, në çdo rast, brenda 72 orëve nga zbulimi i tij. Njoftimi përmban informacionin e kërkuar nga neni 33(3) i RGPD-së, në masën që dihet, dhe Nabo dërgon pjesën tjetër sapo ta ketë në dispozicion.
7. Nënpërpunuesit
Kontrolluesi autorizon nënpërpunuesit e renditur në faqen e nënpërpunuesve. Nabo e njofton kontrolluesin për çdo nënpërpunues të ri ose zëvendësues të paktën 30 ditë përpara, me email dhe në aplikacion. Kontrolluesi mund të kundërshtojë për arsye të bazuara të mbrojtjes së të dhënave. Nëse nuk gjendet zgjidhje, kontrolluesi mund ta ndërpresë shërbimin dhe tarifat për periudhën e mbetur i rimbursohen. Nabo i ngarkon çdo nënpërpunuesi të njëjtat detyrime për mbrojtjen e të dhënave dhe mbetet përgjegjëse për ta.
8. Transferimet ndërkombëtare
Të dhënat e pallatit ruhen në Bashkimin Evropian (Paris, Francë). Transferimet jashtë BE-së/ZEE-së bëhen vetëm siç renditen në faqen e nënpërpunuesve, me Klauzola Standarde Kontraktuale të miratuara nga Komisioni Evropian. Transferimet që kanë të bëjnë me pallate në Shqipëri mbështeten në listën e vendeve me nivel të mjaftueshëm mbrojtjeje, të miratuar nga Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale, ose në klauzola të njëvlershme, me një vlerësim të dokumentuar të rrezikut.
9. Përfundimi i shërbimit
Kur një pallat largohet nga Nabo, kontrolluesi mund të eksportojë të dhënat e tij për sa kohë pallati është në gjendjen vetëm për lexim. Nabo fshin përmbajtjen, fotot dhe anëtarësimet e pallatit 90 ditë pas arkivimit dhe, me kërkesë, lëshon një certifikatë fshirjeje. Të dhënat që Nabo është e detyruar t'i ruajë me ligj ruhen vetëm për aq kohë sa kërkohet: faturat, regjistri i auditimit dhe regjistrimet e pëlqimeve.
10. Auditimet
Nabo vë në dispozicion informacionin e nevojshëm për të provuar përputhshmërinë me këtë Marrëveshje, përfshirë këtë dokument, Shtojcën 2 dhe certifikimet e nënpërpunuesve të saj. Nabo lejon auditime nga kontrolluesi ose nga një auditues i caktuar prej tij, jo më shumë se një herë në vit dhe me njoftim 30 ditë përpara, përveçse kur një cenim ose një autoritet mbikëqyrës kërkon ndryshe.
11. Përparësia
Nëse kjo Marrëveshje bie ndesh me Kushtet e shërbimit, për përpunimin e të dhënave personale mbizotëron kjo Marrëveshje.
Shtojca 1: Hollësitë e përpunimit
| Subjektet e të dhënave | Banorët, pronarët, qiramarrësit dhe anëtarët e familjeve në pallat; administratorët dhe moderatorët e pallatit; personat që kontrolluesi ka regjistruar në listën e banorëve. |
|---|---|
| Të dhënat personale | Emri, adresa e email-it, si dhe, sipas dëshirës, numri i telefonit, fotoja dhe biografia; pallati, apartamenti, familja dhe roli; postimet, komentet, reagimet, ngjarjet, konfirmimet e pjesëmarrjes, shpalljet, huatë dhe vlerësimet; mesazhet private; njoftimet e administratorit, regjistrat e dërgimit dhe të konfirmimit të leximit; pëlqimi për njoftimet zyrtare; raportimet, vendimet e moderimit dhe ankesat; tokenët e pajisjeve dhe gjuha; regjistri i auditimit. |
| Kategoritë e veçanta | Nuk parashikohet përpunimi i tyre. Banorët mund të shkruajnë të dhëna të tilla në tekst të lirë; Rregullat e komunitetit u kërkojnë të mos e bëjnë. |
| Qëllimi | Ofrimi i shërbimit privat komunitar të pallatit dhe i mjeteve të tij të administrimit. |
| Shpeshtësia | E vazhdueshme, për sa kohë pallati përdor Nabo. |
| Ruajtja | Siç parashikohet në seksionin 6 të Politikës së privatësisë. |
Shtojca 2: Masat teknike dhe organizative
- Izolimi i pallateve: të dhënat e çdo pallati ndahen me siguri në nivel rreshti (row-level security) në çdo tabelë. Testet e automatizuara tregojnë se një anëtar i një pallati nuk mund të lexojë ose të shkruajë të dhënat e një pallati tjetër.
- Enkriptimi: TLS 1.2 ose version më i ri gjatë transmetimit; enkriptim i të dhënave të ruajtura nga ofruesi i hostimit.
- Qasja: hyrje me lidhje në email, me kod ose me fjalëkalim; tokenë jetëshkurtër (15 minuta) dhe revokim i sesioneve; tokenët ruhen në Keychain të pajisjes; role me privilegjet minimale të nevojshme (banor, moderator, administrator); qasje e stafit vetëm nëpërmjet një funksioni që auditohet.
- Media: ruajtje private; fotot ofrohen nëpërmjet lidhjeve të nënshkruara që skadojnë dhe funksionojnë vetëm për anëtarët e pallatit.
- Regjistrimi: një regjistër auditimi ku të dhënat vetëm shtohen (append-only), për veprimet administrative, vendimet e moderimit, eksportet, fshirjet e planifikuara dhe qasjen e stafit.
- Privatësia si parazgjedhje: banorët shohin vetëm emrin dhe inicialen e mbiemrit, përveç nëse personi zgjedh ndryshe; adresat e email-it nuk u shfaqen kurrë banorëve; pa reklama dhe pa gjurmim ndërmjet aplikacioneve.
- Qëndrueshmëria: bazë të dhënash e menaxhuar te ofruesi i hostimit, me kopje rezervë [FREQUENCY AND RETENTION, per the hosting plan]; memorie lokale (cache) në telefon, që sinkronizohet me serverin.
- Reagimi ndaj incidenteve: një procedurë e shkruar veprimi, me njoftim të kontrolluesve brenda 72 orëve.
- Fshirja: procese të planifikuara për afatet e ruajtjes, sipas Politikës së privatësisë; skedarët e eksportit skadojnë pas 7 ditësh.