Politika privatnosti JP „Standard“ Jagodina

JP „Standard“ Jagodina poštuje privatnost korisnika i obrađuje podatke o ličnosti
u skladu sa važećim propisima Republike Srbije, potrebama obavljanja komunalne delatnosti,
pružanja elektronskih usluga, bezbednosti informacionih sistema i ostvarivanja prava korisnika.

Ovom Politikom objašnjavamo koje podatke obrađujemo, u koje svrhe, po kom osnovu,
koliko dugo ih čuvamo, kome mogu biti dostupni i na koji način korisnik može da
ostvari svoja prava.

1. Rukovalac podacima

Rukovalac podacima je:

JP „Standard“ Jagodina
Kralja Petra I 4
35000 Jagodina
Republika Srbija

Zvanični sajt: https://jpstandard.rs
E-mail: [email protected]
Telefon: 0800 350 353

Za pitanja u vezi sa obradom podataka o ličnosti korisnici se mogu obratiti
JP „Standard“ Jagodina putem navedene e-mail adrese, telefona ili neposredno
u prostorijama preduzeća.

2. Obuhvat Politike privatnosti

Ova Politika odnosi se na:

• posetu i korišćenje sajta https://jpstandard.rs;
• registraciju i korišćenje portala „Moj nalog“;
• potvrdu e-mail adrese, prijavu, odjavu i promenu lozinke;
• povezivanje više korisničkih šifara sa jednim nalogom;
• pregled zaduženja, pretplate, mernih mesta i istorije stanja;
• prijavu stanja vodomera i slanje potvrde o uspešnoj prijavi;
• prijavu kvara ili problema, uključujući opcioni prilog i opcionu lokaciju;
• korišćenje zvanične Android aplikacije i njenih API servisa;
• prijem push notifikacija, ako ih korisnik dozvoli;
• bezbednosne, tehničke i audit logove neophodne za zaštitu sistema;
• zahtev za brisanje korisničkog naloga.

3. Kategorije podataka koje obrađujemo

3.1. Podaci profila korisničkog naloga

Prilikom registracije i korišćenja naloga mogu se obrađivati:

• e-mail adresa;
• ime i prezime;
• broj telefona;
• ulica / kontakt adresa;
• broj ili podbroj;
• sprat i broj stana / apartmana, ako su uneti;
• mesto / grad i poštanski broj;
• šifrovana vrednost lozinke (hash), a ne lozinka u čitljivom obliku;
• status naloga i datum potvrde e-mail adrese;
• verzija Uslova korišćenja i Politike privatnosti prihvaćena prilikom registracije, kao i vreme prihvatanja;
• datum kreiranja, izmene profila i poslednje uspešne prijave.

3.2. Podaci za potvrdu naloga i bezbednost

• jednokratni kodovi i tokeni za potvrdu e-mail adrese, promenu lozinke i brisanje naloga, koji se čuvaju samo u hash obliku;
• identifikatori sesija, pri čemu se u bazi čuva samo hash sesijskog tokena;
• pseudonimizovani tehnički otisci IP adrese i user-agent podatka u sistemu korisničkih naloga;
• bezbednosni događaji kao što su registracija, uspešna ili neuspešna prijava, promena lozinke, povezivanje ili uklanjanje šifre i opoziv sesija;
• broj pokušaja i tehnički brojači za sprečavanje zloupotreba i prekomernih zahteva.

3.3. Povezane korisničke šifre

• šifra korisnika u sistemu JP „Standard“ Jagodina;
• naziv koji korisnik sam dodeli povezanoj šifri, na primer „Stan“ ili „Garaža“;
• veza između korisničke šifre i e-mail naloga;
• datum povezivanja ili uklanjanja veze.

3.4. Podaci iz zvaničnih evidencija JP „Standard“ Jagodina

Za povezanu korisničku šifru mogu se prikazivati ili koristiti:

• zvanično ime korisnika usluga i adresa;
• podaci o mernim mestima;
• poslednje i ranije evidentirano stanje vodomera i potrošnja;
• podaci o zaduženju, pretplati ili izmirenom stanju;
• pravo i period za elektronsku prijavu stanja;
• podaci neophodni za obavljanje komunalne delatnosti i ispunjavanje obaveza preduzeća.

3.5. Podaci pri prijavi stanja vodomera

• korisnička šifra i broj mernog mesta;
• godina i mesec prijave;
• prethodno stanje, novo prijavljeno stanje i izračunata potrošnja;
• datum i vreme prijave;
• broj potvrde o uspešnoj prijavi;
• tehnički izvor prijave i pseudonimizovani trag potreban za bezbednost, audit i sprečavanje duplih prijava;
• tehnički identifikator zahteva u native Android API-ju, radi zaštite od ponovljenog upisa istog zahteva.

3.6. Podaci pri prijavi kvara ili problema

• izabrana služba;
• ime, telefon i e-mail adresa pošiljaoca;
• naslov i sadržaj prijave;
• fotografija ili video-prilog, ako ga korisnik dobrovoljno doda;
• opciona oznaka / opis lokacije;
• opcione geografske koordinate i procena preciznosti, isključivo uz izričitu radnju i saglasnost korisnika;
• tehnički podaci aplikacije i metapodaci potrebni za slanje i zaštitu od zloupotreba.

3.7. Tehnički podaci sajta i Android aplikacije

U zavisnosti od načina pristupa mogu se obrađivati:

• IP adresa i vreme pristupa;
• user-agent internet pregledača ili aplikacije;
• verzija i build Android aplikacije i naziv package-a;
• proizvođač, model ili naziv uređaja;
• verzija Android sistema, SDK verzija, bezbednosna zakrpa i locale;
• država, mrežni provajder i ASN, kada se ovi podaci tehnički utvrđuju na osnovu IP adrese;
• stranice, API servisi i funkcionalnosti kojima je pristupljeno;
• status uspešne ili neuspešne radnje, greške i dijagnostički podaci;
• FCM identifikator za push notifikacije, ako su notifikacije omogućene.

Sistem korisničkih naloga i native API ne zahtevaju čuvanje IMEI broja, MAC adrese,
Android ID-a, kontakata, SMS poruka, liste poziva, mikrofonskih snimaka ili drugih
sličnih identifikatora i sadržaja koji nisu neophodni za opisane usluge.

4. Svrhe i pravni osnov obrade

Podaci se obrađuju radi:

• kreiranja, potvrde i održavanja korisničkog naloga;
• autentifikacije korisnika i upravljanja aktivnim sesijama;
• povezivanja više korisničkih šifara sa jednim nalogom;
• prikaza podataka o zaduženjima, mernim mestima i istoriji stanja;
• prijave stanja vodomera i slanja e-mail potvrde;
• prijave kvara ili problema i komunikacije sa korisnikom;
• isporuke push notifikacija koje je korisnik dozvolio;
• održavanja, dijagnostike i unapređenja sajta, aplikacije i API servisa;
• sprečavanja zloupotreba, neovlašćenog pristupa, duplih upisa i bezbednosnih incidenata;
• vođenja evidencija, obračuna, naplate i obavljanja komunalne delatnosti;
• ispunjavanja zakonskih obaveza i zaštite prava i interesa korisnika i preduzeća.

Pravni osnov zavisi od konkretne radnje obrade i može obuhvatiti ispunjavanje zakonskih
obaveza, obavljanje poslova u javnom interesu ili u okviru zakonom utvrđenih ovlašćenja,
izvršavanje prava i obaveza u vezi sa pružanjem usluga, legitimni interes kada je primenljiv
na bezbednost i održavanje sistema, kao i pristanak za opcione funkcionalnosti kao što su
dostavljanje lokacije i prijem push notifikacija.

Potvrda da je korisnik pročitao Politiku privatnosti služi kao dokaz obaveštavanja i
ne predstavlja pristanak za sve radnje obrade. Kada je pristanak potreban, traži se
posebno i korisnik ga može povući, bez uticaja na zakonitost obrade izvršene pre povlačenja.

5. Korisnički nalog „Moj nalog“

Korisnik može kreirati nalog pomoću e-mail adrese i lozinke. E-mail adresa mora biti
potvrđena jednokratnim linkom ili šestocifrenim kodom. Link i kod važe 15 minuta,
mogu se upotrebiti samo jednom i u bazi se čuvaju samo njihove hash vrednosti.

Lozinka se ne čuva u čitljivom obliku. Čuva se isključivo njena hash vrednost.
Prilikom promene lozinke postojeće sesije se opozivaju.

Korisnik u delu „Profil i bezbednost“ može da izmeni profilne podatke, promeni lozinku,
vidi broj aktivnih sesija i izabere „Odjavi me sa svih uređaja“.

Jedan e-mail nalog može imati više povezanih korisničkih šifara, dok jedna korisnička
šifra u istom trenutku može biti povezana samo sa jednim aktivnim e-mail nalogom.

6. Povezivanje korisničkih šifara i podaci iz evidencija

Za povezivanje korisničke šifre korisnik unosi šifru i PIN koji već postoje u sistemu
JP „Standard“ Jagodina. PIN se koristi samo za proveru ispravnosti i ne čuva se u
bazi korisničkih naloga.

Posle uspešnog povezivanja, portal može čitati i prikazivati podatke iz zvaničnih
evidencija koji pripadaju toj šifri. Podaci iz zvaničnih evidencija ne postaju vlasništvo
profila, ne menjaju se izmenom profilne adrese i ne brišu se uklanjanjem veze ili brisanjem
e-mail naloga.

Korisnik može sam ukloniti povezanu šifru. Posle uklanjanja, ista šifra može biti
povezana sa drugim nalogom nakon ponovne ispravne provere šifre i PIN-a.

7. Prijava stanja vodomera

Elektronska prijava stanja dostupna je samo kada su ispunjeni uslovi u sistemu,
uključujući pravo prijave, pripadnost mernog mesta povezanoj šifri, dozvoljeni period
i odsustvo već evidentirane prijave za isti mesec.

Za stambene zgrade prijava je, po pravilu, dostupna od 10. do 15. u mesecu,
a za domaćinstva od 20. do 25. u mesecu. Sistem može prikazati sledeći termin
ako period nije počeo, ako je završen ili ako je stanje već prijavljeno.

Posle uspešne prijave korisniku se prikazuje broj potvrde i na potvrđenu e-mail
adresu naloga šalje se poruka sa podacima o prijavi. Neuspeh dostave e-mail poruke
ne poništava već uspešno evidentiranu prijavu.

Podaci o prijavljenom stanju postaju deo poslovne evidencije JP „Standard“ Jagodina
i ne brišu se automatski brisanjem korisničkog naloga.

8. Prijava kvara i opciona lokacija

Prijava kvara može se poslati elektronskom formom ili preko native Android API-ja.
Prijava se dostavlja nadležnoj službi putem službene e-mail adrese.

Korisnik može dobrovoljno dodati fotografiju ili video. Prilog se na serveru obrađuje
u privremenom zaštićenom folderu samo radi slanja e-mail poruke i privremena kopija
se uklanja po završetku postupka slanja. Prilog i sadržaj poruke mogu ostati u službenom
e-mail sandučetu primaoca u skladu sa potrebama postupanja po prijavi i pravilima
službene korespondencije.

Lokacija je opciona. Aplikacija ne prikuplja lokaciju neprekidno niti u pozadini.
Koordinate, opis lokacije i preciznost prihvataju se samo kada korisnik izričito
izabere da priloži lokaciju i potvrdi saglasnost. Tačne koordinate i opis lokacije
dostavljaju se u e-mail poruci nadležnoj službi, ali se ne čuvaju u internom
metapodatkovnom logu prijava kvarova. U tom logu se beleži samo da li je lokacija
bila priložena.

Interni log prijave kvara ne sadrži puni tekst poruke, poslati fajl niti tačne
koordinate. Sadrži ograničene metapodatke potrebne za proveru uspešnosti slanja,
bezbednost i dijagnostiku.

9. Android aplikacija

Zvanična Android aplikacija omogućava pristup obaveštenjima, kontakt podacima,
prijavi kvara, prijavi stanja i drugim elektronskim servisima, u zavisnosti od
instalirane verzije aplikacije.

Postojeća WebView verzija može prikazivati delove zvaničnog sajta unutar aplikacije.
Native verzija može koristiti zaštićene API servise. Brzi pristup šifrom korisnika
i PIN-om može ostati dostupan, dok se zajednički e-mail nalog koristi samo u verzijama
u kojima je ta funkcionalnost javno omogućena.

Ako registracija naloga nije omogućena u konkretnoj verziji aplikacije, nalog se
kreira preko zvaničnog veb portala. Kada novija verzija aplikacije omogući pristup
istom nalogu, koriste se isti profil i povezane korisničke šifre.

10. Push notifikacije i Firebase

Android aplikacija može koristiti Firebase Cloud Messaging (FCM) radi dostave
obaveštenja o radovima, prekidima, uslugama, periodima prijave stanja i drugim
informacijama od značaja za korisnike.

Za ovu svrhu može se obrađivati tehnički FCM identifikator uređaja i podatak o
pretplati na temu obaveštenja. Korisnik može dozvoliti ili zabraniti notifikacije
u podešavanjima Android uređaja. Zabrana notifikacija ne sprečava korišćenje ostalih
funkcija aplikacije.

11. Kolačići, sesije i tehnički podaci

Sajt i portal koriste neophodne kolačiće i sesijske podatke radi prijave korisnika,
bezbednosti, pamćenja sesije i ispravnog funkcionisanja servisa.

Sesijski cookie korisničkog naloga postavlja se uz bezbednosne atribute
Secure, HttpOnly i SameSite.
U bazi se ne čuva stvarni Bearer ili session token, već samo njegov hash.

Sesija korisničkog naloga i native API token mogu važiti najduže 30 dana,
a mogu biti opozvani i ranije nakon 7 dana neaktivnosti, odjave, promene lozinke,
izbora „Odjavi me sa svih uređaja“, administrativnog opoziva ili bezbednosnog događaja.

Tehnički i audit podaci koriste se za otkrivanje grešaka, zaštitu od napada,
rate limiting, utvrđivanje izvora pristupa i podršku korisnicima.

Ne vrši se profilisanje korisnika niti donošenje odluka koje proizvode pravno dejstvo
isključivo na osnovu automatizovane obrade podataka u opisanim elektronskim servisima.

12. Primaoci i obrađivači podataka

Podaci o ličnosti mogu biti dostupni ovlašćenim zaposlenima i organizacionim
jedinicama JP „Standard“ Jagodina, pružaocima tehničkih, hosting, komunikacionih
i drugih usluga neophodnih za funkcionisanje elektronskih servisa, kao i nadležnim
državnim organima kada je to propisano zakonom ili neophodno radi ostvarivanja
i zaštite prava.

Lica koja obrađuju podatke u ime JP „Standard“ Jagodina dužna su da postupaju
u skladu sa ugovornim obavezama, uputstvima preduzeća i važećim propisima.

Pojedini pružaoci tehničkih usluga mogu obrađivati ograničene podatke van
Republike Srbije, uz primenu odgovarajućih mera zaštite i u skladu sa
važećim propisima.

13. Rokovi čuvanja

Podaci se čuvaju samo onoliko dugo koliko je potrebno za svrhu zbog koje su
prikupljeni, ispunjavanje zakonskih i poslovnih obaveza, bezbednost sistema i
zaštitu prava korisnika i preduzeća.

Podaci korisničkog naloga čuvaju se dok je nalog aktivan, odnosno do njegovog
brisanja, osim podataka koje je potrebno zadržati radi ispunjavanja zakonskih
obaveza, sprečavanja zloupotreba ili zaštite prava. Podaci koji su deo zvaničnih
poslovnih i komunalnih evidencija čuvaju se u rokovima utvrđenim važećim
propisima i internim aktima preduzeća.

Tehnički i bezbednosni podaci čuvaju se u periodu koji je razumno potreban
za održavanje sistema, rešavanje problema i sprečavanje zloupotreba.

14. Brisanje korisničkog naloga

Korisnik može zatražiti brisanje naloga:

• u delu „Profil i bezbednost“, nakon potvrde lozinkom; ili
• preko javne stranice https://jpstandard.rs/brisanje-naloga/, uz potvrdu koda poslatog na e-mail adresu naloga.

Brisanjem korisničkog naloga brišu se:

• profilni podaci naloga i hash lozinke;
• veze sa korisničkim šiframa;
• aktivne i ranije sesije naloga;
• neiskorišćeni kodovi i tokeni za potvrdu, reset i brisanje.

Audit zapisi povezani sa nalogom se anonimizuju uklanjanjem identifikatora naloga,
korisničke šifre, IP otiska i drugih direktnih veza sa korisnikom. Radi dokazivanja
da je brisanje izvršeno i sprečavanja zloupotreba može se zadržati ograničen
pseudonimizovani tehnički zapis, uključujući jednosmerni HMAC otisak e-mail adrese,
najduže do isteka roka za audit zapise.

Uklanjanje jedne povezane korisničke šifre nije isto što i brisanje celog naloga.
Uklanjanjem veze prestaje prikaz podataka te šifre u nalogu, ali se zvanična
evidencija ne menja.

15. Bezbednost podataka

JP „Standard“ Jagodina primenjuje odgovarajuće tehničke, organizacione i
administrativne mere radi zaštite podataka od neovlašćenog pristupa, gubitka,
zloupotrebe, izmene ili uništenja. Mere zaštite se prilagođavaju prirodi podataka,
svrsi obrade i procenjenom nivou rizika.

Nijedan sistem ne može garantovati apsolutnu bezbednost. Korisnik je dužan da
čuva svoju lozinku, šifru korisnika i PIN, da ih ne saopštava neovlašćenim
licima i da obavesti JP „Standard“ Jagodina ako posumnja da je došlo do
zloupotrebe njegovih podataka za pristup.

16. Prava korisnika

Korisnik, u skladu sa zakonom i uslovima primenljivim na konkretnu obradu, može imati pravo na:

• informacije o obradi podataka;
• pristup podacima koji se na njega odnose;
• ispravku ili dopunu netačnih podataka;
• brisanje podataka kada su ispunjeni zakonski uslovi;
• ograničenje obrade;
• prigovor na obradu kada je primenljivo;
• povlačenje pristanka za opcione funkcionalnosti;
• prenosivost podataka kada su za to ispunjeni zakonski uslovi;
• podnošenje pritužbe Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti;
• druga prava predviđena važećim propisima.

Pre postupanja po zahtevu može biti potrebna razumna provera identiteta lica koje
podnosi zahtev, kako bi se sprečilo otkrivanje ili brisanje podataka neovlašćenom licu.

Zahtev se može poslati na
[email protected]
ili predati neposredno u prostorijama JP „Standard“ Jagodina,
Kralja Petra I 4, 35000 Jagodina.

17. Izmene Politike privatnosti

JP „Standard“ Jagodina može izmeniti ovu Politiku radi usklađivanja sa promenama
zakona, elektronskih servisa, Android aplikacije, bezbednosnih mera, pružalaca
usluga ili pravila platformi preko kojih se aplikacija distribuira.

Izmenjena verzija biće objavljena na ovoj stranici sa novim datumom i oznakom verzije.
Kada je izmena značajna za registrovane korisnike, obaveštenje može biti prikazano
u nalogu, aplikaciji ili poslato na potvrđenu e-mail adresu.

18. Kontakt

Za pitanja u vezi sa ovom Politikom, obradom podataka i ostvarivanjem prava možete
kontaktirati:

JP „Standard“ Jagodina
Kralja Petra I 4
35000 Jagodina
Republika Srbija

E-mail: [email protected]
Telefon: 0800 350 353
Sajt: https://jpstandard.rs
Brisanje naloga: https://jpstandard.rs/brisanje-naloga/

Korisnik ima pravo da se obrati Povereniku za informacije od javnog značaja
i zaštitu podataka o ličnosti u skladu sa važećim propisima Republike Srbije.

Ova Politika privatnosti odnosi se na zvanični sajt, korisnički portal,
elektronske servise, API servise i zvaničnu Android aplikaciju
JP „Standard“ Jagodina.