Az Impediment Ledger for Jira adatvédelmi tájékoztatója

1. A tájékoztató hatálya

Ez a tájékoztató azt ismerteti, hogyan kezeli az adatokat az Impediment Ledger for Jira Atlassian Forge-alkalmazás (a továbbiakban: „Alkalmazás”). A tájékoztató nem terjed ki a prflow.app weboldalra és a PR Flow asztali alkalmazásra; ezeket a PR Flow adatvédelmi tájékoztatója ismerteti.

Az Alkalmazás kiadója: Kozma Árpád (egyéni vállalkozó), PR Flow márkanéven; székhely: 2337 Délegyháza, Szabadság tér 6.; nyilvántartási szám: 62570660; közösségi adószám: HU92217287; e-mail: [email protected] (a továbbiakban: „Kiadó” vagy „mi”).

A „személyes adat”, az „adatkezelő”, az „adatfeldolgozó” és az „adatkezelés” kifejezést az (EU) 2016/679 rendelet (a továbbiakban: „GDPR”) szerinti jelentésében használjuk.

2. Az adatok tárolási helye és az adatokhoz való hozzáférés

Az Alkalmazás az Atlassian Forge platformon fut, tárhelyszolgáltatója az Atlassian. Az Alkalmazás rekordjai az ügyfél Atlassian-webhelyének Forge-tárhelyén (Forge hosted storage), az Atlassian infrastruktúráján találhatók; az 5. pontban ismertetett néhány adatot maga a Jira tárolja. A Forge-tárhely az ügyfél Jira-webhelyének adattárolási helyét (data residency) követi, és azzal együtt kerül áthelyezésre. Az Atlassian törekszik arra, hogy az Alkalmazás adatfeldolgozását is ugyanazon a helyen végezze, ezt azonban nem garantálja.

Az Alkalmazás nem továbbít adatot az Atlassianen kívülre. Nem indít az Atlassianen kívülre irányuló hálózati hívást, és nem használ külső analitikát, saját nagy nyelvi modellt vagy külső naplózási szolgáltatást. Az Alkalmazást úgy építettük fel és úgy ellenőrizzük, hogy ne legyen külső adatforgalma (external egress), amit az Atlassian Runs on Atlassian programja megkövetel.

A Kiadó az Alkalmazás által tárolt adatokhoz nem fér hozzá, és azokat az ügyfél nevében nem tudja megtekinteni, exportálni, helyesbíteni vagy törölni. A Kiadó az adatokkal kapcsolatban kizárólag a 8. pontban ismertetett lépést teheti meg: az ügyfél kérésére kérheti az Atlassiantől, hogy újratelepítés után az adatokat kapcsolja újra az Alkalmazáshoz.

A felhasználó által az Alkalmazásban végzett műveletek az adott felhasználó Jira-jogosultságaival futnak. A háttérfeldolgozás az Alkalmazás saját jogosultságaival olvassa a Jirát, és a felhasználónak megjelenített minden eredmény – ideértve a riportokat, a CSV-exportokat és az Alkalmazás Rovo-ügynökének válaszait is – azokra az issue-kra szűkül, amelyek megtekintésére az adott felhasználó jogosult.

3. Szerepkörök

Az Alkalmazás által tárolt személyes adatok adatkezelője az ügyfél (annak a Jira-webhelynek a tulajdonosa, amelyre az Alkalmazást telepítették). Ezeket az adatokat a Kiadó az ügyfél nevében, annak adatfeldolgozójaként kezeli, a végfelhasználói licencszerződés 7. pontjában foglalt adatfeldolgozási feltételek alapján. Ezért az adatkezelésért a Kiadó felel, nem az Atlassian.

Az Alkalmazás kódja az Atlassian Forge platformján fut, és az adatait is ott tárolják. Az Atlassian ezeket az adatokat a Kiadó további adatfeldolgozójaként tárolja, az Atlassian és a Kiadó között létrejött Forge-feltételek (Forge Terms) és Forge adatfeldolgozási kiegészítés (Forge Data Processing Addendum) alapján, amelyek az uniós általános szerződési feltételeket (Standard Contractual Clauses) is tartalmazzák. Az Atlassian saját további adatfeldolgozóinak listája: atlassian.com/legal/sub-processors. A Kiadó ezekhez az adatokhoz más további adatfeldolgozót nem vesz igénybe.

Az Alkalmazás úgy épül fel, hogy az adatok az ügyfél webhelyén maradjanak, és a Kiadó ne lássa azokat: a Kiadónak sem az Alkalmazásban, sem az általa használt Forge-eszközökben nincs módja arra, hogy ezeket az adatokat megtekintse, exportálja, helyesbítse vagy törölje, és ilyet nem is tesz.

A Kiadó kizárólag a 9. pontban ismertetett adatok tekintetében jár el adatkezelőként.

4. Az Alkalmazás által tárolt adatok

5. Az Alkalmazás által nem tárolt adatok, és a Jirából átvett adatok korlátai

• Az Alkalmazás nem tárol nevet, e-mail-címet, profilképet (avatart), issue-összefoglalót vagy issue-leírást.
• A megjegyzések és a megoldások szabad szöveges adatok. A felhasználók ezekbe ne írjanak személyes adatot. Tartalmukért az ügyfél felel.
• A Jira jelölési párbeszédablakában írt kommentek közül az Alkalmazás csak a láthatósági korlátozás nélkülieket veszi át (amelyek nincsenek csoportra vagy szerepkörre korlátozva, és nem belsők). A megemlítések név nélkül, „@…” formában maradnak meg.
• Az Alkalmazás által a Jira keresési indexébe írt adatok (JQL entitástulajdonságok) nem tartalmaznak személyes adatot.
• Az Alkalmazás oldalán a felhasználó által utoljára kiválasztott projektet az Alkalmazás az adott felhasználó saját Jira-fiókjának egy tulajdonságában (impediment-ledger.page felhasználói tulajdonság) tárolja, nem a saját tárhelyén. Ez az adat a fiókkal együtt törlődik.

6. Rovo

Ha az ügyfél webhelyén a Rovo be van kapcsolva, az Alkalmazás Rovo-ügynöke a felhasználó kérdésére olyan adatokkal válaszol, amelyek azokra az issue-kra szűkülnek, amelyek megtekintésére az adott felhasználó jogosult, és a Rovónak olyan strukturált adatokat ad át, amelyek az Alkalmazás felületén is láthatók: issue-kulcs és -összefoglaló, ok, időtartam, várható dátum és a felelős fiókazonosítója. Megjegyzéseket, megoldásokat és megoldástervezeteket nem ad át.

A Rovo az Atlassian szolgáltatása, amelyre az ügyfél és az Atlassian közötti feltételek irányadók. Maga az Alkalmazás nem hív meg nagy nyelvi modellt, és a beszélgetésből semmit nem tárol.

7. Naplók

Az Alkalmazás technikai naplókat ír az Atlassian Forge fejlesztői konzoljába. Ezek a művelet nevét, eredményét, egy hibakódot, egy véletlenszerű korrelációs azonosítót, a Jira numerikus issue- és projektazonosítóit, az Alkalmazás verziószámát és időzítési adatokat tartalmaznak. Megjegyzéseket, issue-tartalmat és Atlassian-fiókazonosítókat nem tartalmaznak. Az Atlassian a naplókat technikai környezeti adatokkal egészíti ki, például a webhelyre, a telepítésre és a hívásra vonatkozó adatokkal.

A Kiadó ezeket a naplókat láthatja, kivéve, ha a webhely adminisztrátora kikapcsolta az Alkalmazás naplómegosztását, és azokat kizárólag az Alkalmazás üzemeltetésére, támogatására és biztonságának megóvására használja. A naplókat az Atlassian a szokásos naplómegőrzési ideje szerint (az Atlassian dokumentációja szerint jelenleg 30–60 napig) őrzi meg; a Kiadó azokat máshová nem másolja.

8. Megőrzés és törlés

• A lezárt akadályok és előzményeik automatikusan törlődnek, amint régebbiek a projekt megőrzési idejénél (legfeljebb 365 nap; 365 nap, hacsak a projekt rövidebbet nem állít be). Szintén törlődik annak az issue-nak a nyitott akadálya, amelyet az Alkalmazás a megőrzési időnél hosszabb ideje nem tud olvasni (például mert az issue-t törölték vagy áthelyezték, vagy mert egy hozzáférési szabály elrejti).
• Az Alkalmazás nagyjából hetente jelenti az általa tárolt Atlassian-fiókazonosítókat az Atlassian személyes adatokra vonatkozó jelentési API-jának (personal data reporting API). Ha az Atlassian egy fiókot megszüntetettként jelez, az Alkalmazás az adott fiókazonosítóra mutató minden tárolt hivatkozást eltávolít vagy lecserél, általában a következő feldolgozási futások során. A megjegyzések és a megoldások megmaradnak, de többé nem kapcsolódnak a fiókazonosítóhoz; a felhasználók által a szövegükbe írt személyes adatok nem törlődnek automatikusan, azok az Alkalmazásban szerkeszthetők, illetve a megőrzési idő elteltével törlődnek.
• Az Alkalmazás eltávolítása után az Atlassian a Forge adatéletciklusában meghatározott ideig (jelenleg 28 napig) megőrzi az Alkalmazás adatait, majd törli azokat. Az újratelepítés nem állítja vissza automatikusan az adatokat. Ha az ügyfél az eltávolítástól számított 21 napon belül kéri, a Kiadó kéri az Atlassiantől, hogy az adatokat kapcsolja újra az újratelepített Alkalmazáshoz; az újratelepített Alkalmazás által az újrakapcsolás előtt írt adatok felülíródhatnak.
• Az Alkalmazás eltávolítása egyetlen jelölést sem távolít el a Jira-issue-król.

9. A Kiadó által adatkezelőként kezelt adatok

Ügyfélszolgálat és egyéb kapcsolatfelvétel

Ha Ön kapcsolatba lép a Kiadóval (például a következő címen: [email protected]), nevét, e-mail-címét és üzenete tartalmát abból a célból kezeljük, hogy Önnek válaszoljunk és kérését rendezzük. Az adatkezelés jogalapja a támogatás nyújtásához fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont), illetve – ha Ön ügyfélként keres meg minket – a velünk kötött szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont). Ezt a levelezést a kérés lezárását követő két (2) évig őrizzük meg, illetve ennél tovább, ha az jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges, legfeljebb azonban a magyar jog szerinti ötéves általános elévülési idő végéig.

Marketplace-partneri adatok

Az Atlassian Marketplace-partnerként licenc- és értékesítési adatokat bocsát a Kiadó rendelkezésére: az ügyfél szervezetének nevét, országát és webhelyét, a licenc adatait (azonosító, felhasználói sáv, kezdő és záró dátum), a tranzakciók adatait (összegek és dátumok), valamint – ha megadták – a műszaki és a számlázási kapcsolattartó nevét és e-mail-címét. A Forge fejlesztői konzolja azt is megmutatja a Kiadónak, mely webhelyekre telepítették az Alkalmazást.

A Kiadó ezeket az adatokat a licencek kezelése, a támogatás nyújtása és a végfelhasználói licencszerződésben ismertetett értesítések megküldése céljából kezeli, az Alkalmazás üzemeltetéséhez és támogatásához fűződő jogos érdeke alapján (GDPR 6. cikk (1) bekezdés f) pont), valamint számviteli nyilvántartásainak vezetése céljából (GDPR 6. cikk (1) bekezdés c) pont, a számvitelről szóló 2000. évi C. törvény). Az adatokat hozzájárulás nélkül nem használja marketingcélra. A Kiadó az adatokat a licenc időtartama alatt, valamint a licenc megszűnését követő öt (5) évig (a magyar jog szerinti általános elévülési idő) őrzi meg; a Kiadó számviteli nyilvántartásainak részét képező adatokat – a számvitelről szóló 2000. évi C. törvény 169. §-a előírásának megfelelően – nyolc (8) évig őrzi meg.

Címzettek és adattovábbítás

A Kiadó ezeket az adatokat kizárólag azokkal a szolgáltatókkal osztja meg, amelyeknek szükségük van rájuk: e-mail-szolgáltatójával (a Google Workspace-t nyújtó Google Cloud EMEA Limited, Írország), valamint – ha egy támogatási kérés ezt szükségessé teszi – az Atlassiannel. A Google LLC és kapcsolt vállalkozásai a Google további adatfeldolgozóiként kezelik az adatokat; az Egyesült Államokba irányuló adattovábbításra az EU–USA adatvédelmi keretrendszer (EU–U.S. Data Privacy Framework) és az Európai Bizottság által elfogadott általános szerződési feltételek vonatkoznak. A Kiadó személyes adatot nem értékesít, és kizárólag automatizált adatkezelésen alapuló döntést nem hoz.

10. Az Ön jogai

Az Alkalmazás által tárolt adatok adatkezelője az ügyfél, ezért az ezekhez való hozzáférésre, helyesbítésükre, törlésükre vagy kezelésük korlátozására irányuló kérelmeket az ügyfélhez (általában az Ön munkáltatójához vagy a Jira-webhely adminisztrátorához) kell intézni. Az Alkalmazás e kérelmek teljesítését a következőképpen támogatja:

• Egy Jira-adminisztrátor az Alkalmazás Adatok fülén JSON Lines formátumban exportálhatja az Alkalmazás által tárolt összes rekordot.
• Az okok, megjegyzések, felelősök, dátumok és megoldások az Alkalmazás felületén helyesbíthetők.
• Az adatok a projekt megőrzési idejének elteltével, illetve az Atlassian-fiók megszüntetésekor törlődnek.
• Az inaktív licenc nem akadályozza az exportálást és a megszüntetett fiókok törlését.

A 9. pontban ismertetett adatok tekintetében Önt a GDPR alapján megilleti a hozzáféréshez, a helyesbítéshez, a törléshez, az adatkezelés korlátozásához, az adathordozhatósághoz és a tiltakozáshoz való jog. Kérelmét a következő címre küldheti: [email protected]. Ön jogosult továbbá arra, hogy panaszt nyújtson be valamely felügyeleti hatóságnál, különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban. Magyarországon ez a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH; székhely: 1055 Budapest, Falk Miksa utca 9–11.; postacím: 1363 Budapest, Pf. 9.; naih.hu; [email protected]). Ön bírósághoz is fordulhat.

11. Biztonság

A felhasználó által az Alkalmazásban végzett műveletek az adott felhasználó Jira-jogosultságaival futnak, és a felhasználónak megjelenített minden eredmény arra szűkül, amit az adott felhasználó megtekinthet. Biztonsági problémát a következő címen jelenthet be: [email protected].

12. A tájékoztató módosítása

Ezt a tájékoztatót módosíthatjuk, például ha az Alkalmazás megváltozik. A legutóbbi változatot az oldal tetején feltüntetett dátum jelzi. A lényeges változásokat az Alkalmazás kiadási megjegyzéseiben vagy Marketplace-adatlapján jelentjük be, és azokról a Marketplace-partnerszerződés (Marketplace Partner Agreement) előírásainak megfelelően az Atlassiant is értesítjük.

13. Nyelv

Ez a tájékoztató angol nyelven készült, és az angol nyelvű változat a kötelező erejű. Ez a fordítás kizárólag a könnyebb tájékozódást szolgálja; az angol nyelvű változat és e fordítás közötti bármely eltérés esetén az angol nyelvű változat az irányadó. Lásd még a végfelhasználói licencszerződést és a támogatási oldalt.