Mosaqo og GDPR

01

Dataansvarlig, databehandler og dit arbejdsområde

Mosaqo drives af Andrii Petlovanyi, en enkeltmandsvirksomhed registreret i Ukraine, der kan kontaktes på hello@mosaqo.app. Ukraine ligger uden for Det Europæiske Økonomiske Samarbejdsområde, og GDPR gælder her, fordi Mosaqo tilbyder sine tjenester til mennesker inden for det. Hvilken rolle Mosaqo har efter GDPR afhænger af oplysningerne, og netop den skelnen afgør, hvem en anmodning skal sendes til.

For din egen konto — loginidentitet, faktureringskontakt, supportbeskeder, sessionsdata om sikkerhed — er Mosaqo dataansvarlig og besvarer anmodninger direkte.

For det, et arbejdsområde lægger i sine koder og indsamler gennem dem — formularsvar, scanningshændelser, uploadede filer — er arbejdsområdet dataansvarlig, og Mosaqo er dets databehandler efter dokumenterede instrukser. Har du scannet en virksomheds QR-kode og vil have dine oplysninger slettet, er det virksomheden, der offentliggjorde koden, som bestemmer. Mosaqo sender anmodningen videre til det arbejdsområde og hjælper med at svare.

02

Retsgrundlag for behandlingen

Enhver brug af personoplysninger kræver et retsgrundlag efter artikel 6. Mosaqo bygger på fire af dem og aldrig på legitime interesser, hvor loven kræver samtykke.

• Opfyldelse af en aftale — at oprette din konto, gemme arbejdsområdets indhold, levere viderestillinger og lave den statistik, arbejdsområdet har slået til.
• Legitime interesser — at holde tjenesten sikker, forhindre misbrug af ikke-godkendte endepunkter og de driftslogfiler, der skal til for at køre den.
• Samtykke — nyhedsbrevet og alt andet, du selv vælger til. Det kan trækkes tilbage når som helst, og en tilbagetrækning gør ikke tidligere behandling ulovlig.
• Retlig forpligtelse — de oplysninger, skatte-, regnskabs- eller efterforskningsregler kræver gemt.

03

Dine rettigheder efter GDPR

Rettighederne er dine, uanset om du betaler for Mosaqo, og det koster ikke noget at bruge dem.

• Indsigt — en kopi af de personoplysninger, der findes om dig, og hvad de bruges til.
• Berigtigelse — rettelse af det, der er forkert eller ufuldstændigt.
• Sletning — fjernelse af dine oplysninger, hvor der ikke er en tungtvejende grund til at beholde dem.
• Begrænsning — en pause i behandlingen, mens en tvist om rigtighed eller grundlag afklares.
• Dataportabilitet — dine oplysninger i et struktureret, maskinlæsbart format eller sendt til en anden leverandør.
• Indsigelse — en afslutning på behandling, der hviler på legitime interesser.
• Tilbagetrækning af samtykke — for alt, du har valgt til, uden at give en grund.

04

Automatiske afgørelser og profilering

Mosaqo træffer ikke automatiske afgørelser om dig med retlige eller tilsvarende væsentlige følger, så rettigheden i artikel 22 opstår slet ikke. Scanningsstatistik tæller hændelser og grupperer dem efter tid, bred region og enhedskategori. Den er ikke bygget til at identificere en person og bruges ikke til at score, rangere eller profilere nogen.

05

Sådan sender du en anmodning

Skriv til hello@mosaqo.app med emnet ”GDPR request”, og fortæl hvilken rettighed du bruger. Mosaqo kan bede dig vise, at du råder over den pågældende konto eller postkasse — ikke for at spænde ben for anmodningen, men fordi det i sig selv er et brud at udlevere personoplysninger til den forkerte.

Du får svar inden for én måned, som artikel 12 kræver. En usædvanlig kompleks anmodning kan tage op til to måneder mere, og så får du begrundelsen allerede inden for den første måned.

06

Databehandleraftale

Hvor dit arbejdsområde er dataansvarlig og Mosaqo databehandler, kræver artikel 28 en skriftlig aftale mellem jer. Mosaqo stiller en til rådighed på forespørgsel: skriv til hello@mosaqo.app med emnet ”DPA” og det juridiske navn på den enhed, der skal underskrive.

07

Databehandlere, overførsler og opbevaring

Mosaqo bruger et lille sæt leverandører til at drive produktet: hosting af applikation og database, transaktionsmail, objektlagring til uploadede filer og de loginudbydere, du vælger. Hver enkelt er bundet af en databehandleraftale og håndterer kun data til sin del af tjenesten. Ingen af dem får personoplysninger til egne formål, og Mosaqo hverken sælger personoplysninger eller bruger dem til annoncering.

Nogle af de leverandører arbejder uden for Det Europæiske Økonomiske Samarbejdsområde. Hvor det er tilfældet, hviler overførslen på en tilstrækkelighedsafgørelse fra Europa-Kommissionen eller på Kommissionens standardkontraktbestemmelser.

Scanningshændelser slettes, når arbejdsområdets opbevaringsperiode udløber, som standard 90 dage. Konto- og arbejdsområdedata bliver, så længe kontoen findes, og fjernes når den lukkes, undtagen hvor en retlig forpligtelse kræver, at en kopi gemmes længere.

08

Sikkerhed, brud og klager

Data krypteres under overførsel, adgang til produktionssystemerne er begrænset til de folk, der driver dem, og hemmeligheder ligger adskilt fra applikationsdata.

Sker der et brud, som sandsynligvis truer dine rettigheder, anmelder Mosaqo det til den kompetente tilsynsmyndighed inden for 72 timer efter at have fået kendskab til det, og underretter de berørte direkte, når risikoen for dem er høj.

Er du utilfreds med, hvordan en anmodning blev håndteret, kan du klage til datatilsynet i det land, hvor du bor eller arbejder. Du behøver ikke gå til Mosaqo først, selv om det som regel går hurtigere.