Prijeđi na glavni sadržaj Zakonska obveza EU-a za organizacije s 50 ili više radnika

Česta pitanja #

Za službenike za usklađenost i donositelje odluka #

Je li EthicsPortal usklađen s Direktivom (EU) 2019/1937? #

Da. EthicsPortal je izrađen posebno kako bi ispunio zahtjeve Direktive EU-a o zaštiti prijavitelja nepravilnosti. To uključuje siguran kanal za prijavu nepravilnosti, anonimnu dvosmjernu komunikaciju, praćenje rokova (7 dana za potvrdu primitka, 3 mjeseca za povratnu informaciju), kontrole pristupa, politike čuvanja podataka i potpun zapis aktivnosti. Pogledajte mapu pokrivenosti Direktive 2019/1937 za razradu članak po članak.

U kojim je državama EthicsPortal usklađen? #

EthicsPortal pokriva zahtjeve Direktive (EU) 2019/1937, koja je prenesena u nacionalno pravo diljem država članica EU-a. Platforma je osmišljena da ispuni osnovne zahtjeve Direktive, koji se primjenjuju u cijelom EU-u. Ako vaša država ima dodatne nacionalne zahtjeve (npr. francuski Loi Waserman), provjerite naše vodiče po državama ili nas kontaktirajte.

Može li tvrtka izvan EU-a koristiti EthicsPortal? #

Subjekt koji upravlja kanalom za prijavu nepravilnosti mora biti registriran u EU-u, Švicarskoj, Moldovi ili Crnoj Gori. Ako grupa ima subjekt u jednoj od tih država, on može voditi jedinstveni kanal i otvoriti ga zaposlenicima u bilo kojoj državi — svaka prijava dolazi na isti popis predmeta, bez obzira na to gdje prijavitelj radi.

Zaposlenici izvan EU-a dobivaju anonimnu prijavu, šifriranu dvosmjernu komunikaciju te rokove iz Direktive: 7 dana za potvrdu primitka i 3 mjeseca za povratnu informaciju. Ni američko ni kanadsko pravo ne traži te rokove, pa njihova primjena na cijelu grupu postavlja stroži standard od obaju.

Izvješće o usklađenosti poziva se na nacionalno pravo subjekta koji vodi kanal. Ono dokazuje obveze tog subjekta, a ne poslovanja u drugim jurisdikcijama. Švicarska nema opći zakon o zaštiti prijavitelja nepravilnosti, pa dokumenti švicarskog subjekta primjenjuju Direktivu kao dobrovoljni standard, slijede švicarsku kaskadu prijavljivanja i pozivaju se na švicarski Savezni zakon o zaštiti podataka (FADP) umjesto na GDPR.

Možemo li kanalom za prijavu nepravilnosti upravljati sami? #

Da — članak 8. stavak 5. Direktive (EU) 2019/1937 to izričito dopušta. No ispuniti uvjete Direktive strukturno je teže u vlastitoj izvedbi.

Članak 9. stavak 1. zahtijeva povjerljivost identiteta prijavitelja, nepristrano postupanje po prijavi i ograničen pristup prijavama. Kanal u vlastitoj izvedbi vodi sve to kroz iste IT administratore, sigurnosne kopije i alate za pravno zadržavanje koji dotiču svaki drugi sustav u društvu. Zasebna poddomena ili poštanski sandučić ne mijenja tko ima pristup.

GDPR dodaje drugi problem. Prijava nepravilnosti nalazi se na popisu EDPB-a za obveznu procjenu učinka na zaštitu podataka (DPIA). Procjena u vlastitoj izvedbi mora dokumentirati kako voditelj obrade sprječava sam sebe da pristupi podacima o sebi — što je samo po sebi proturječno.

Vanjsko upravljanje predviđeno je člankom 8. stavkom 5. i nacionalnim propisima kojima je Direktiva prenesena: Loi Sapin II / Waserman (FR), HinSchG §14 (DE), D.Lgs. 24/2023 (IT), Ley 2/2023 (ES).

Gdje se pohranjuju moji podaci? #

Temeljni podaci iz prijava pohranjuju se na Hetznerovim poslužiteljima u Nürnbergu u Njemačkoj, uz sigurnosnu kopiju privitaka u Falkensteinu u Njemačkoj. Marketinška stranica isporučuje se putem Cloudflarea (Sjedinjene Američke Države); kanal za prijavu nepravilnosti i portal za osobe za rješavanje nisu. Hetzner je njemački pružatelj usluga smještaja podložan propisima EU-a o zaštiti podataka. Zasebna Cloudflareova obrada javne stranice i mjere zaštite prijenosa opisane su u Politici privatnosti, a ne u lancu DPA-a.

Je li prijava doista anonimna? #

Da, ako prijavitelj to odabere. Navođenje imena ili podataka za kontakt nije obvezno. EthicsPortal ne pohranjuje IP adrese prijavitelja uz prijave niti u zapisnicima aplikacije, uklanja metapodatke datoteka (EXIF, GPS, podatke o autoru) iz prijenosa, uz dva ograničenja unutar PDF-ova, a niz sigurnih poruka nikada ne otkriva identitet osobe za rješavanje prijavitelju. Ne postoji tehnički mehanizam kojim bi se anonimna prijava povezala s osobom.

Kako funkcionira praćenje rokova od 7 dana i 3 mjeseca? #

Kada se prijava pošalje, EthicsPortal automatski pokreće dva brojača na temelju zahtjeva Direktive:

Prijave u kašnjenju označene su na nadzornoj ploči, a osobe za rješavanje primaju obavijesti kako se rokovi približavaju.

Nudite li ugovor o obradi podataka (DPA)? #

Da. Trenutačni ugovor objavljen je na stranici ugovora o obradi podataka, a supotpisani PDF dostupan je na zahtjev.

Koje certifikate imate? #

EthicsPortal objavljuje cjelovitu samoprocjenu prema ISO/IEC 27001:2022 koja obuhvaća poglavlja 4–10 i svih 93 kontrole iz Priloga A u obliku izjave o primjenjivosti, kartu usklađenosti s ISO 37002, ispunjeni CAIQ i imenovane dokumente politika, uz stranice sigurnosti, podizvršitelja obrade, incidenata i SLA-a. Riječ je o samoprocjenama prema skupovima kontrola koje bi ocijenila vanjska revizija, a ne o akreditiranoj certifikaciji: EthicsPortal ne tvrdi da ima akreditiranu certifikaciju ISO 27001, a trenutačno je stanje navedeno na stranici povjerenja.

Tko je ugovorna strana? #

EthicsPortal je trgovački naziv koji koristi Yaroslav Shmarov, samostalni poduzetnik registriran u Poljskoj (NIP: 5272755790). Osnovni podaci o ugovornoj strani i nabavi objavljeni su na stranici povjerenja.

Možete li poduprijeti pregled u postupku nabave? #

Da. Javni materijali za dubinsku analizu objavljeni su na web-mjestu, a dodatni materijali za nabavu dostupni su na zahtjev tijekom pregleda u nabavi. Pogledajte stranicu povjerenja.

Mogu li izvesti podatke o predmetima za revizore? #

Da. Svaka se prijava može izvesti u PDF, uključujući cjelovitu povijest poruka, vremenski slijed i zapis aktivnosti. To je osmišljeno za dijeljenje s pravnim savjetnicima, revizorima ili regulatorima. Administratori mogu i izvesti sve podatke organizacije u aplikaciji, kao ZIP datoteku s JSON datotekama i privicima, za migraciju ili arhiviranje. Ako vam je potreban drugi format, obratite nam se tijekom pregleda u nabavi ili pri prestanku korištenja.

Za radnike i prijavitelje #

Moram li stvoriti račun za slanje prijave? #

Ne. Ne trebate račun, adresu e-pošte ni bilo kakve osobne podatke. Otvorite poveznicu kanala za prijavu nepravilnosti, ispunite prijavu te primite ID slučaja i lozinku. To je sve.

Mogu li prijavu poslati e-poštom? #

Da, ako organizacija to nudi. Svaki kanal za prijavu nepravilnosti ima vlastitu adresu e-pošte, prikazanu na stranici kanala. Vaša e-poruka postaje prijava, a u odgovoru dobivate ID slučaja i lozinku kojima u sigurnom sandučiću čitate pitanja osobe za rješavanje i odgovarate na njih. Osobe za rješavanje ne vide vašu adresu e-pošte. Ipak, e-pošta nije anonimna: vaš pružatelj usluga e-pošte čuva kopiju, kao i sustav e-pošte vašeg poslodavca ako pišete s poslovnog računa. Ako želite ostati anonimni, koristite online obrazac za prijavu.

Može li moj poslodavac saznati tko sam? #

Ne putem EthicsPortala. Ako odlučite poslati prijavu anonimno (bez navođenja imena ili podataka za kontakt), ne postoji način da vas poslodavac identificira putem platforme. EthicsPortal ne pohranjuje vašu IP adresu uz vašu prijavu niti u svojim zapisnicima aplikacije te uklanja identifikacijske metapodatke iz datoteka koje prenesete, uz dva ograničenja unutar PDF-ova.

Uz to, pazite što pišete — ako vaša prijava sadrži pojedinosti koje biste mogli znati samo vi, to je izvan kontrole platforme.

Kako provjeravam svoju prijavu? #

Trebate dvije stvari, a obje vam se prikazuju nakon slanja: ID slučaja (u obliku WB-XXXX-XXXX) i lozinku. Vratite se u kanal za prijavu nepravilnosti u svakom trenutku, unesite oboje i pogledajte trenutačni status ili razmijenite poruke s osobom za rješavanje. Zapišite oboje i čuvajte ih na sigurnom mjestu. Nitko ne može vratiti lozinku, a EthicsPortal ne omogućuje njezino ponovno postavljanje, ni osobi za rješavanje ni nama. Ako je izgubite, podnesite novu prijavu i navedite svoj ID slučaja.

Mogu li priložiti datoteke svojoj prijavi? #

Da. Možete prenijeti slike, PDF-ove, video i audiodatoteke do 100 MB svaka. Identifikacijski metapodaci (podaci o lokaciji, podaci o autoru, pojedinosti o fotoaparatu) uklanjaju se prije pohrane radi zaštite vašeg identiteta. Unutar PDF-a zadržavaju se imena u komentarima i metapodaci ugrađenih fotografija, stoga fotografije prenesite kao zasebne slikovne datoteke.

Mogu li anonimno komunicirati s osobom za rješavanje? #

Da. Ugrađeni niz poruka potpuno je anoniman. Vidite „Osoba za rješavanje predmeta” — nikada stvarno ime. Osoba za rješavanje vidi vaše poruke, ali nema načina da vas identificira osim ako sami ne odlučite podijeliti tu informaciju.

Što se događa nakon što pošaljem prijavu? #

Vašu prijavu zaprima određena osoba za rješavanje predmeta organizacije. Prema pravu EU-a, mora potvrditi primitak unutar 7 dana i pružiti sadržajnu povratnu informaciju unutar 3 mjeseca. Status možete provjeriti u bilo kojem trenutku pomoću svojeg ID-a slučaja i lozinke.

Za IT i tehničke timove #

Koju enkripciju koristite? #

Tekst prijava, polja s identitetom prijavitelja i poruke u predmetu enkriptirani su pri pohrani u bazi podataka. Sve veze koriste TLS (HTTPS). Preneseni sadržaji, glasovne snimke i izvozi podataka pohranjuju se na infrastrukturi smještenoj u EU-u (Hetzner, Njemačka) i enkriptirani su pri pohrani algoritmom AES-256, zasebnim ključem za svaku datoteku; pogledajte sigurnost.

Uklanjate li metapodatke datoteka? #

Da. Prijenosi slika uklanjaju se na poslužitelju prije pohrane. PDF, video i audioprijenosi također se obrađuju radi uklanjanja metapodataka u standardnoj produkcijskoj postavi opisanoj na stranici o sigurnosti. Dvije stvari unutar PDF-a ne uklanjaju se: imena u komentarima i metapodaci fotografija ugrađenih u njega. Prenesite fotografije kao zasebne slikovne datoteke kako bi im se metapodaci uklonili. Time se smanjuje rizik od slučajnog otkrivanja identiteta putem svojstava datoteke.

Skenirate li prenesene datoteke na viruse? #

Da. Sve prenesene datoteke skeniraju se na zlonamjerni softver pomoću ClamAV-a, antivirusnog programa otvorenog koda. Skeniranje se odvija na poslužitelju — nikakvi podaci o datoteci ne šalju se vanjskim uslugama. Zaražene datoteke automatski se uklanjaju prije nego što im osobe za rješavanje mogu pristupiti.

Bilježite li IP adrese? #

Ne za prijavitelje. Aplikacija ne pohranjuje IP adresu prijavitelja uz prijave, poruke ni revizijske zapise, a njezini zapisnici za kanal za prijavu nepravilnosti ne sadrže IP adrese. Ograničavanje brzine koristi sažetak s ključem koji se čuva samo tijekom razdoblja ograničavanja brzine. TLS posrednički poslužitelj (proxy) ispred aplikacije vodi vlastite zapisnike veza, koji sadrže IP adrese i putanje zahtjeva. Putanja stranice na kojoj prijavitelj pregledava svoju prijavu sadrži ID slučaja. Pogledajte sigurnost za točan tekst.

Koje usluge trećih strana koristite? #

U samom kanalu za prijavu nepravilnosti ne koriste se oglasne mreže ni kolačići za praćenje trećih strana.

Imate li API? #

API metapodataka i izlazni webhookovi dostupni su svakoj organizaciji. Prikazuju status prijava i rokove, nikada sadržaj, poruke, bilješke ili privitke. Neobavezni pristup postavljanju omogućuje ovlaštenim tokenima stvaranje organizacija, a administratorima konfiguraciju kanala za prijavu nepravilnosti. Pogledajte dokumentaciju za razvojne programere.

Podržavate li prilagođene domene? #

Trenutačno nije dostupno. Svi kanali za prijavu nepravilnosti poslužuju se pod domenom EthicsPortala.

Podržavate li jedinstvenu prijavu (SSO)? #

Da. EthicsPortal podržava jedinstvenu prijavu putem SAML 2.0, konfiguriranu po organizaciji. Povežite svojeg davatelja identiteta — Okta, Microsoft Entra ID ili bilo kojeg davatelja SAML 2.0 — i vaš se tim prijavljuje putem njega. Možete zahtijevati SSO za svoje domene e-pošte i automatski provizionirati članove pri prvoj prijavi. Prijava putem čarobne poveznice (autentifikacija e-poštom bez lozinke) ostaje dostupna kada SSO nije nametnut. Uparite SSO s provizioniranjem putem SCIM 2.0 kako biste račune održavali usklađenima s vašim direktorijem.

Naplata #

Koliko EthicsPortal košta? #

41,67 EUR/mjesec, uz godišnju naplatu (500 EUR/godina), jedinstveno. Jedan plan, sve uključeno. Bez naknada po korisniku, bez naknada po prijavi, bez razina značajki.

Kako funkcionira pretplata? #

EthicsPortal je plaćena usluga usklađenosti: 41,67 EUR/mjesec, uz godišnju naplatu (500 EUR/godina), bez besplatnog probnog razdoblja. Aktivirajte kanal za prijavu nepravilnosti iz aplikacije, konfigurirajte ga i započnite rad nakon što je pretplata uspostavljena.

Možemo li otkazati pretplatu? #

Da. Pretplate se mogu otkazati iz postavki računa. Nema naknada za otkazivanje.

Koje načine plaćanja prihvaćate? #

Kreditne i debitne kartice putem Stripea. Ako trebate platiti računom ili bankovnim prijenosom, pišite na support@ethicsportal.eu.

Još uvijek imate pitanje? #

Pišite na support@ethicsportal.eu. Javit ćemo vam se unutar jednog radnog dana.

Posljednje ažuriranje: