Preskoči na glavno vsebino Zahteva prava EU za organizacije s 50 ali več zaposlenimi

Pogosta vprašanja #

Za zaupnike in odločevalce #

Ali je EthicsPortal skladen z Direktivo (EU) 2019/1937? #

Da. EthicsPortal je zgrajen posebej za izpolnjevanje zahtev direktive EU o zaščiti prijaviteljev. To vključuje varno notranjo pot za prijavo, anonimno dvosmerno komunikacijo, spremljanje rokov (7 dni za potrditev prejema, 3 mesece za povratno informacijo), nadzor dostopa, politike hrambe podatkov in popolno revizijsko sled. Za razčlenitev po členih glejte preslikavo pokritosti Direktive 2019/1937.

V katerih državah je EthicsPortal skladen? #

EthicsPortal pokriva zahteve Direktive (EU) 2019/1937, ki je prenesena v nacionalno pravo držav članic EU. Platforma je zasnovana tako, da izpolnjuje izhodiščne zahteve direktive, ki veljajo po vsej EU. Če ima vaša država dodatne nacionalne zahteve (npr. francoski Loi Waserman), preverite naše vodnike po državah ali nas kontaktirajte.

Ali lahko EthicsPortal uporablja družba zunaj EU? #

Subjekt, ki upravlja pot za prijavo, mora biti registriran v EU, Švici, Moldaviji ali Črni gori. Kadar ima skupina subjekt v eni od teh držav, lahko ta upravlja eno samo pot za prijavo in jo odpre zaposlenim v kateri koli državi — vsaka prijava pride na isti seznam zadev, ne glede na to, kje prijavitelj dela.

Zaposleni zunaj EU dobijo anonimni prevzem prijave, šifrirano dvosmerno sporočanje ter 7-dnevni rok za potrditev prejema in 3-mesečni rok za povratno informacijo iz direktive. Niti pravo ZDA niti kanadsko pravo teh rokov ne zahteva, zato njihova uporaba v celotni skupini postavlja strožji standard od obeh.

Poročilo o skladnosti navaja nacionalno pravo upravljavskega subjekta. Dokazuje obveznosti tega subjekta, ne obveznosti dejavnosti v drugih jurisdikcijah. Švica nima splošnega zakona o zaščiti prijaviteljev, zato dokumenti švicarskega subjekta uporabljajo direktivo kot prostovoljni standard, sledijo švicarski kaskadi prijavljanja in navajajo švicarski zvezni zakon o varstvu podatkov (FADP) namesto GDPR.

Ali lahko pot za prijavo upravljamo sami? #

Da — člen 8(5) Direktive 2019/1937 to izrecno dopušča. Vendar je izpolnjevanje pogojev direktive strukturno težje znotraj hiše.

Člen 9(1) zahteva zaupnost identitete prijavitelja, nepristransko ukrepanje in omejen dostop do prijav. Notranja pot te zahteve pelje skozi iste sistemske skrbnike, varnostne kopije in orodja za pravno zadržanje podatkov, ki se dotikajo vseh drugih sistemov v družbi. Ločena poddomena ali poštni predal ne spremeni, kdo ima dostop.

GDPR dodaja drugo težavo. Prijavljanje nepravilnosti je na seznamu obveznih ocen učinka pri EDPB. Notranja ocena učinka mora dokumentirati, kako upravljavec preprečuje samemu sebi dostop do podatkov o sebi — kar je že na videz krožno.

Zunanje upravljanje je predvideno v členu 8(5) in v nacionalnih prenosih: Loi Sapin II / Waserman (FR), HinSchG §14 (DE), D.Lgs. 24/2023 (IT), Ley 2/2023 (ES).

Kje se hranijo moji podatki? #

Osnovni podatki o prijavah se hranijo na strežnikih Hetzner v Nürnbergu v Nemčiji, varnostna kopija priloženih datotek pa v Falkensteinu v Nemčiji. Trženjska stran se dostavlja prek Cloudflare (Združene države); pot za prijavo in portal za obravnavalce ne. Hetzner je nemški ponudnik gostovanja, zavezan pravu EU o varstvu podatkov. Ločena obdelava na javni strani pri Cloudflare in podatki o prenosih so opisani v obvestilu o zasebnosti, ne v verigi pogodbe o obdelavi podatkov s stranko.

Ali je prijava res anonimna? #

Da, če prijavitelj tako izbere. Navedba imena ali kontaktnih podatkov je neobvezna. EthicsPortal naslovov IP prijaviteljev ne shranjuje s prijavami ali v dnevnikih aplikacije, z naloženih datotek odstrani metapodatke (EXIF, GPS, podatke o avtorju), pri dokumentih PDF z dvema omejitvama, varna nit sporočil pa prijavitelju nikoli ne razkrije identitete obravnavalca. Tehničnega mehanizma za sledenje anonimne prijave nazaj do osebe ni.

Kako deluje spremljanje 7-dnevnega in 3-mesečnega roka? #

Ko je prijava oddana, EthicsPortal samodejno zažene dve uri, ki temeljita na zahtevah direktive:

Prijave s prekoračenim rokom so označene na nadzorni plošči, obravnavalci pa ob bližanju rokov prejmejo obvestila.

Ali ponujate pogodbo o obdelavi podatkov? #

Da. Veljavna pogodba o obdelavi podatkov je objavljena na strani pogodba o obdelavi podatkov, podpisani PDF pa je na voljo na zahtevo.

Katere certifikate imate? #

EthicsPortal objavlja celovito samooceno po ISO/IEC 27001:2022, ki zajema poglavja 4–10 in vseh 93 kontrol iz Priloge A kot izjavo o uporabnosti, zemljevid skladnosti z ISO 37002, izpolnjen CAIQ in poimenovane dokumente politik, poleg strani varnost, podobdelovalci, incidenti in SLA. Gre za samoocene po naborih kontrol, ki bi jih presojala zunanja revizija, ne za akreditirano certifikacijo: EthicsPortal ne trdi, da ima akreditiran certifikat ISO 27001, trenutno stanje pa je navedeno na strani zaupanja.

Kdo je pogodbena stranka? #

EthicsPortal je tržno ime, ki ga uporablja Yaroslav Shmarov, samostojni podjetnik, registriran na Poljskem (NIP: 5272755790). Izhodiščni podatki o pogodbi in nabavi so objavljeni na strani zaupanje.

Ali lahko podprete pregled v postopku nabave? #

Da. Javna gradiva za skrbni pregled so objavljena na spletnem mestu, dodatna gradiva za nabavo pa so na voljo na zahtevo med pregledom v postopku nabave. Glejte stran zaupanje.

Ali lahko izvozim podatke o zadevi za revizorje? #

Da. Vsako prijavo je mogoče izvoziti v PDF, skupaj s celotno zgodovino sporočil, časovnico in revizijsko sledjo. Namenjeno je deljenju s pravnimi svetovalci, revizorji ali regulatorji. Skrbniki lahko v aplikaciji izvozijo tudi vse podatke organizacije, kot datoteko ZIP z datotekami JSON in prilogami, za selitev ali arhiviranje. Če potrebujete drugo obliko, nas kontaktirajte med pregledom v postopku nabave ali ob prenehanju uporabe.

Za zaposlene in prijavitelje #

Ali moram za oddajo prijave ustvariti račun? #

Ne. Ne potrebujete računa, e-poštnega naslova ali kakršnih koli osebnih podatkov. Odprete povezavo do poti za prijavo, izpolnite prijavo ter prejmete oznako zadeve in geslo. To je vse.

Ali lahko prijavo oddam po e-pošti? #

Da, če organizacija to omogoča. Vsaka pot za prijavo ima svoj e-poštni naslov, ki je prikazan na njeni strani. Vaše e-poštno sporočilo postane prijava, v odgovoru pa prejmete oznako zadeve in geslo, s katerima v varnem nabiralniku berete vprašanja obravnavalca in nanje odgovarjate. Obravnavalci vašega e-poštnega naslova ne vidijo. Vendar e-pošta ni anonimna: kopijo hrani vaš ponudnik e-pošte, če pišete s službenega računa, pa tudi poštni sistem vašega delodajalca. Če želite ostati anonimni, uporabite spletni obrazec za prijavo.

Ali lahko moj delodajalec ugotovi, kdo sem? #

Prek EthicsPortala ne. Če se odločite za anonimno oddajo (brez navedbe imena ali kontaktnih podatkov), vas delodajalec prek platforme ne more identificirati. EthicsPortal vašega naslova IP ne shranjuje z vašo prijavo ali v svojih dnevnikih aplikacije in z datotek, ki jih naložite, odstrani identifikacijske metapodatke, pri dokumentih PDF z dvema omejitvama.

Kljub temu bodite pozorni na to, kaj napišete — če vaša prijava vsebuje podrobnosti, ki jih lahko veste samo vi, to ni v nadzoru platforme.

Kako preverim svojo prijavo? #

Potrebujete dva podatka, ki sta vam prikazana po oddaji: oznako zadeve (v obliki WB-XXXX-XXXX) in geslo. Kadar koli se vrnite na pot za prijavo, vnesite oboje ter si oglejte trenutno stanje ali izmenjajte sporočila z obravnavalcem. Oba si zapišite in ju shranite na varno. Gesla nihče ne more obnoviti, EthicsPortal pa ne omogoča njegove ponastavitve, ne obravnavalcu ne nam. Če ga izgubite, oddajte novo prijavo in v njej navedite svojo oznako zadeve.

Ali lahko prijavi priložim datoteke? #

Da. Naložite lahko slike, dokumente PDF, videoposnetke in zvočne datoteke do 100 MB na datoteko. Identifikacijski metapodatki (podatki o lokaciji, avtorju, fotoaparatu) se pred shranjevanjem odstranijo, da se zaščiti vaša identiteta. V dokumentu PDF se ohranijo imena pri komentarjih in metapodatki vdelanih fotografij, zato fotografije naložite kot ločene slikovne datoteke.

Ali lahko z obravnavalcem komuniciram anonimno? #

Da. Vgrajena nit sporočil je povsem anonimna. Vidite »Obravnavalec« — nikoli pravega imena. Obravnavalec vidi vaša sporočila, vendar vas nima kako identificirati, razen če te podatke delite sami.

Kaj se zgodi po oddaji prijave? #

Vašo prijavo prejme imenovani obravnavalec organizacije. Po pravu EU mora prejem potrditi v 7 dneh in vsebinsko povratno informacijo zagotoviti v 3 mesecih. Stanje lahko kadar koli preverite z oznako zadeve in geslom.

Za informatiko in tehnične ekipe #

Kakšno šifriranje uporabljate? #

Besedilo prijav, polja z identiteto prijavitelja in sporočila v zadevi so pri hrambi v podatkovni bazi šifrirani. Vse povezave uporabljajo TLS (HTTPS). Naložene datoteke, glasovni posnetki in izvozi podatkov so shranjeni na infrastrukturi, ki gostuje v EU (Hetzner, Nemčija), in so pri hrambi šifrirani z AES-256, z ločenim ključem za vsako datoteko; glejte varnost.

Ali odstranjujete metapodatke datotek? #

Da. Naložene slike se pred shranjevanjem obdelajo na strani strežnika. Naloženi dokumenti PDF, videoposnetki in zvočne datoteke se prav tako obdelajo za odstranitev metapodatkov v standardni produkcijski postavitvi, opisani na strani o varnosti. V dokumentu PDF se ne odstranita dve stvari: imena pri komentarjih in metapodatki vanj vdelanih fotografij. Fotografije naložite kot ločene slikovne datoteke, da se obdelajo. To zmanjšuje tveganje nenamernega razkritja identitete prek lastnosti datoteke.

Ali naložene datoteke preverjate glede virusov? #

Da. Vse naložene datoteke se preverijo glede zlonamerne programske opreme s ClamAV, odprtokodnim protivirusnim pogonom. Preverjanje poteka na strani strežnika — nobeni podatki iz datotek se ne pošiljajo zunanjim storitvam. Okužene datoteke se samodejno odstranijo, preden lahko obravnavalci dostopajo do njih.

Ali beležite naslove IP? #

Za prijavitelje ne. Aplikacija naslova IP prijavitelja ne shranjuje s prijavami, sporočili ali revizijskimi vnosi, njeni dnevniki za pot za prijavo pa ne vsebujejo naslovov IP. Omejevanje pogostosti uporablja zgoščeni zapis s ključem, ki se hrani samo v oknu omejevanja pogostosti. Posredniški strežnik TLS pred aplikacijo vodi lastne dnevnike povezav, ki vsebujejo naslove IP in poti zahtev. Pot v naslovu URL strani, na kateri prijavitelj pregleduje svojo prijavo, vsebuje oznako zadeve. Za natančno besedilo glejte varnost.

Katere storitve tretjih oseb uporabljate? #

Na sami poti za prijavo se ne uporabljajo oglasna omrežja ali sledilni piškotki tretjih oseb.

Ali imate API? #

API metapodatkov in odhodni webhooki so na voljo vsaki organizaciji. Razkrivajo stanje prijav in roke, nikoli vsebine, sporočil, opomb ali prilog. Izbirni dostop do nastavitev omogoča pooblaščenim žetonom ustvarjanje organizacij in skrbnikom konfiguracijo kanalov za prijavo nepravilnosti. Oglejte si dokumentacijo za razvijalce.

Ali podpirate lastne domene? #

Trenutno ni na voljo. Vse poti za prijavo se strežejo pod domeno EthicsPortal.

Ali podpirate enotno prijavo? #

Da. EthicsPortal podpira enotno prijavo SAML 2.0, nastavljeno za posamezno organizacijo. Povežite svojega ponudnika identitete — Okta, Microsoft Entra ID ali katerega koli ponudnika SAML 2.0 — in vaša ekipa se prijavlja prek njega. Enotno prijavo lahko zahtevate za svoje e-poštne domene in člane samodejno ustvarite ob prvi prijavi. Prijava s čarobno povezavo (overitev po e-pošti brez gesla) ostane na voljo, kadar enotna prijava ni obvezna. Enotno prijavo povežite z zagotavljanjem prek SCIM 2.0, da računi ostanejo usklajeni z vašim imenikom.

Obračunavanje #

Koliko stane EthicsPortal? #

41,67 EUR/mesec pri letnem obračunu (500 EUR/leto), pavšalno. En paket, vse vključeno. Brez plačila na uporabnika, brez plačila na prijavo, brez stopenj funkcij.

Kako deluje naročnina? #

EthicsPortal je plačljiva storitev za skladnost: 41,67 EUR/mesec pri letnem obračunu (500 EUR/leto), brez brezplačnega preizkusnega obdobja. Pot za prijavo aktivirajte iz aplikacije, jo nastavite in začnite z delovanjem, ko je naročnina sklenjena.

Ali lahko naročnino prekličemo? #

Da. Naročnino je mogoče preklicati v nastavitvah računa. Stroškov preklica ni.

Katere načine plačila sprejemate? #

Kreditne in debetne kartice prek Stripa. Če morate plačati po računu ali z bančnim nakazilom, pišite na support@ethicsportal.eu.

Imate še vprašanje? #

Pišite na support@ethicsportal.eu. Odgovorili bomo v enem delovnem dnevu.

Zadnja posodobitev: