Често задавани въпроси #
За екипи по съответствие и вземащи решения #
Съответства ли EthicsPortal на Директива (ЕС) 2019/1937? #
Да. EthicsPortal е изграден специално за изискванията на Директива (ЕС) 2019/1937 относно защитата на подателите на сигнали. Това включва сигурни канали за сигнали, анонимна двупосочна комуникация, следене на срокове (7-дневно потвърждение, 3-месечна обратна връзка), контрол на достъпа, правила за съхранение на данни и пълна одитна следа. Вижте страницата за съответствие за разбивка член по член.
В кои държави EthicsPortal е съответстващ? #
EthicsPortal покрива изискванията на Директива (ЕС) 2019/1937, която е транспонирана в националното право във всички държави членки на ЕС. Платформата е проектирана да покрива базовите изисквания на директивата, валидни в целия ЕС. Ако във вашата държава има допълнителни национални изисквания, прегледайте нашите ръководства по държави или ни пишете.
Може ли компания извън ЕС да използва EthicsPortal? #
Юридическото лице, което поддържа канала за подаване на сигнали, трябва да е регистрирано в ЕС, Швейцария, Молдова или Черна гора. Ако групата има дружество в една от тези държави, то може да поддържа един-единствен канал и да го отвори за служители във всяка държава — всеки сигнал постъпва в един и същ списък със случаи, независимо къде работи подателят.
Служителите извън ЕС получават анонимно подаване, криптирана двупосочна комуникация и сроковете по Директивата: 7 дни за потвърждение и 3 месеца за обратна връзка. Нито американското, нито канадското право изисква тези срокове, така че прилагането им в цялата група задава по-строг стандарт от всяко от тях.
Докладът за съответствие се позовава на националното право на дружеството, което поддържа канала. Той доказва задълженията на това дружество, а не на дейности в други юрисдикции. Швейцария няма общ закон за защита на подателите на сигнали, затова документите на швейцарско дружество прилагат Директивата като доброволен стандарт, следват швейцарската каскада за подаване на сигнали и се позовават на швейцарския Федерален закон за защита на данните (FADP) вместо на GDPR.
Можем ли да поддържаме канала вътрешно? #
Да — чл. 8, ал. 5 от Директива (ЕС) 2019/1937 изрично го допуска. Но изпълнението на условията на директивата е структурно по-трудно при вътрешно решение.
Чл. 9, ал. 1 изисква поверителност на самоличността на подателя, безпристрастни последващи действия и ограничен достъп до сигналите. Вътрешният канал минава през същите ИТ администратори, резервни копия и инструменти за правно задържане, които докосват всяка друга система в дружеството. Отделен поддомейн или отделна електронна поща не променят кой има достъп.
ОРЗД добавя и втори проблем. Системите за подаване на сигнали са в списъка на ЕКЗД за задължителна ОВЗД. Вътрешната оценка трябва да опише как администраторът пречи сам на себе си да има достъп до данни, които го засягат — което е кръгово още на пръв поглед.
Външното опериране е предвидено в чл. 8, ал. 5, както и в националните закони за транспониране.
Къде се съхраняват данните ми? #
Основните данни по сигналите се намират на сървъри на Hetzner в Нюрнберг, Германия, с резервно копие на прикачените файлове във Falkenstein, Германия. Маркетинговият сайт се доставя през Cloudflare (САЩ); каналът за сигнали и порталът на обработващите — не. Hetzner е германски доставчик, подчинен на европейското право за защита на данните. Отделното обработване от Cloudflare на публичния сайт и гаранциите за трансфер са описани в Политиката за поверителност, а не във веригата по DPA.
Наистина ли подаването е анонимно? #
Да, ако подателят го избере. Посочването на име или данни за контакт е по желание. EthicsPortal не съхранява IP адресите на подателите със сигналите, нито в записите на приложението, премахва метаданните на файловете (EXIF, GPS, информация за автора) при качване, с две ограничения при PDF файловете, а защитеният канал за съобщения не разкрива самоличността на обработващия пред подателя. Няма технически механизъм анонимен сигнал да бъде проследен обратно до конкретно лице.
Как работи следенето на 7-дневния и 3-месечния срок? #
Когато бъде подаден сигнал, EthicsPortal автоматично пуска два срока според изискванията на директивата:
- 7 дни за потвърждение на получаването на сигнала.
- 3 месеца за предоставяне на съществена обратна информация на подателя.
Просрочените сигнали се маркират в таблото, а обработващите получават известия при наближаване на сроковете.
Предлагате ли споразумение за обработване на данни (DPA)? #
Да. Актуалното DPA е публикувано на страницата DPA, а подписан екземпляр е наличен при поискване.
Какви сертификати имате? #
EthicsPortal публикува пълна самооценка по ISO/IEC 27001:2022, обхващаща глави 4–10 и всичките 93 контрола от Приложение А под формата на декларация за приложимост, карта на съответствие с ISO 37002, попълнен CAIQ и поименувани документи на политики, наред със страниците сигурност, подизпълнители, регистър на инцидентите и SLA. Това са самооценки спрямо наборите от контроли, които би оценил външен одит, а не акредитирана сертификация: EthicsPortal не заявява акредитирана сертификация ISO 27001, а текущото състояние е посочено на страницата за доверие.
Коя е договарящата страна? #
EthicsPortal е търговско наименование, използвано от Yaroslav Shmarov, едноличен търговец, регистриран в Полша (NIP: 5272755790). Основните договорни и снабдителни данни са публикувани на страницата Доверие.
Поддържате ли преглед в рамките на обществена поръчка? #
Да. Публичните материали за due diligence са публикувани на сайта, а допълнителни материали за обществена поръчка са налични при поискване по време на прегледа. Вижте страницата Доверие.
Мога ли да сваля данните по преписка за одиторите? #
Да. Всяка преписка може да бъде свалена в PDF — заедно с пълната история на съобщенията, времевата линия и одитната следа. Форматът е създаден за споделяне с юристи, одитори или регулатори. Администраторите на организацията могат също да извлекат в приложението всички данни на организацията като ZIP файл с JSON файлове и прикачени файлове, за миграция или архивиране. Ако ви е необходим друг формат, свържете се с нас по време на прегледа или при приключване на услугата.
За работниците, служителите и подателите на сигнали #
Трябва ли да си създам профил, за да подам сигнал? #
Не. Не ви трябват профил, имейл адрес или лична информация. Отваряте връзката към канала за сигнали, попълвате сигнала и получавате номер на преписката и парола. Това е всичко.
Мога ли да подам сигнал по имейл? #
Да, ако организацията го предлага. Всеки канал за сигнали има собствен имейл адрес, посочен на страницата на канала. Имейлът ви става сигнал и получавате отговор с номер на преписката и парола, с които да четете въпросите на обработващия и да отговаряте на тях в защитената входяща кутия. Обработващите не виждат вашия имейл адрес. Имейлът обаче не е анонимен: вашият доставчик на имейл пази копие, както и пощенската система на работодателя ви, ако пишете от служебен профил. За да останете анонимни, използвайте онлайн формуляра за сигнали.
Може ли работодателят ми да разбере кой съм? #
Не чрез EthicsPortal. Ако изберете да подадете сигнала анонимно — без име и данни за контакт — няма начин работодателят ви да ви установи чрез платформата. EthicsPortal не съхранява IP адреса ви със сигнала, нито в записите на приложението, и премахва идентифициращите метаданни от качените файлове, с две ограничения при PDF файловете.
Все пак внимавайте какво пишете — ако сигналът съдържа подробности, които само вие можете да знаете, това е извън контрола на платформата.
Как да проверя какво се случва със сигнала ми? #
Нужни са ви две неща, които виждате след изпращането: номерът на преписката (във формат WB-XXXX-XXXX) и паролата. Върнете се в канала за сигнали по всяко време, въведете и двете и вижте текущото състояние или разменяйте съобщения с обработващия. Запишете ги и ги пазете на сигурно място. Никой не може да възстанови паролата, а EthicsPortal няма начин да я нулира: нито за обработващия, нито за нас. Ако я загубите, подайте нов сигнал и посочете номера на преписката.
Мога ли да прикача файлове към сигнала си? #
Да. Можете да качвате изображения, PDF, видео и аудио файлове до 100 MB всеки. Идентифициращите метаданни (данни за местоположение, информация за автора, данни за камерата) се премахват преди съхранение, за да се защити самоличността ви. В PDF файла имената в коментарите и метаданните на вградените снимки се запазват, затова качвайте снимките като отделни файлове с изображения.
Мога ли да общувам анонимно с обработващия? #
Да. Вградените съобщения са напълно анонимни. Виждате само „Служител по сигнала“ — никога истинско име. Обработващият вижда съобщенията ви, но няма как да ви установи, освен ако вие сами не споделите тази информация.
Какво се случва, след като подам сигнал? #
Сигналът се получава от определеното лице или екип в организацията. По европейските правила те трябва да потвърдят получаването в рамките на 7 дни и да предоставят съществена обратна информация в рамките на 3 месеца. Можете да проверявате състоянието по всяко време с номера на преписката и паролата.
За ИТ и техническите екипи #
Какво шифроване използвате? #
Текстът на сигналите, полетата за самоличността на подателя и съобщенията по случая се съхраняват шифровано в базата данни. Всички връзки използват TLS (HTTPS). Качените файлове, гласовите записи и експортите на данни се съхраняват на инфраструктура в ЕС (Hetzner, Германия) и са шифровани при съхранение с AES-256, с отделен ключ за всеки файл; вижте сигурност.
Премахвате ли метаданните на файловете? #
Да. EXIF данните, GPS координатите, информацията за автора и други метаданни се премахват автоматично от качените файлове преди съхранение. Две неща в PDF файла не се премахват: имената в коментарите и метаданните на вградените в него снимки. Качвайте снимките като отделни файлове с изображения, за да бъдат почистени. Това намалява риска от неволно разкриване на самоличността чрез свойствата на файла.
Сканирате ли качените файлове за вируси? #
Да. Всички качени файлове се сканират за зловреден код с ClamAV — антивирусен инструмент с отворен код. Сканирането се извършва на сървъра — никакви файлови данни не се изпращат към външни услуги. Заразените файлове се премахват автоматично, преди обработващите да получат достъп до тях.
Записвате ли IP адреси? #
Не и за подателите на сигнали. Приложението не съхранява IP адреса на подателя със сигналите, съобщенията или одитните записи, а записите му за канала за сигнали не съдържат IP адреси. Ограничаването на честотата на заявките използва хеш с ключ, пазен само за периода на ограничението. TLS проксито пред приложението води собствени записи за връзките, които съдържат IP адреси и пътища на заявките. Пътят на страницата, на която подателят на сигнал преглежда своя сигнал, съдържа номера на преписката. Точната формулировка е на страницата сигурност.
Какви външни услуги използвате? #
- Hetzner (Германия) — сървъри
- Stripe — обработка на плащания
- Mailjet (Франция) — изпращане на транзакционни имейли
Без проследяващи аналитични инструменти, без рекламни мрежи и без бисквитки на трети страни в канала за сигнали.
Имате ли API? #
API за метаданни и изходящите webhook връзки са достъпни за всяка организация. Те предоставят статуса на сигналите и сроковете, но никога съдържанието, съобщенията, бележките или прикачените файлове. Незадължителният достъп за настройка позволява на оторизирани токени да създават организации, а на администраторите да конфигурират канали за подаване на сигнали. Вижте документацията за разработчици.
Поддържате ли собствени домейни? #
Понастоящем не. Всички канали за сигнали се обслужват под домейна на EthicsPortal.
Поддържате ли единен вход (SSO)? #
Да. EthicsPortal поддържа единен вход SAML 2.0, конфигуриран поотделно за всяка организация. Свържете вашия доставчик на самоличност — Okta, Microsoft Entra ID или който и да е доставчик на SAML 2.0 — и екипът ви влиза през него. Можете да наложите SSO за вашите имейл домейни и автоматично да създавате достъп на членове при първото влизане. Влизането с еднократна връзка по имейл (удостоверяване без парола) остава налично, когато SSO не е наложено. Съчетайте SSO с осигуряване на достъп чрез SCIM 2.0, за да поддържате акаунтите синхронизирани с вашата директория.
Плащане #
Колко струва EthicsPortal? #
41,67 €/месец, при годишно плащане (500 €/година), фиксирано. Един план, всичко е включено. Без такса на потребител, без такса на сигнал и без отделни нива.
Как работи абонаментът? #
EthicsPortal е платена услуга за съответствие: 41,67 €/месец, при годишно плащане (500 €/година), без безплатен пробен период. Активирайте канала за сигнали от приложението, конфигурирайте го и започвайте работа след активирането на абонамента.
Можем ли да прекратим абонамента? #
Да. Абонаментите могат да бъдат прекратени от настройките на профила. Без такси за прекратяване.
Какви методи за плащане приемате? #
Кредитни и дебитни карти чрез Stripe. Ако трябва да плащате по фактура или банков превод, пишете на support@ethicsportal.eu.
Все още имате въпрос? #
Пишете на support@ethicsportal.eu. Ще получите отговор в рамките на един работен ден.
Последна актуализация: