مطابقت کامل با قوانین حفاظت از داده‌های اتحادیه اروپا (GDPR)

۱. دامنه شمول و چارچوب قانونی

این بیانیه مطابقت با مقررات تشریح می‌کند که شرکت TRUSTQR LTD (ثبت‌شده در بریتانیا با شماره ثبت ۱۷۲۷۲۹۱۰) چگونه الزامات مقررات عمومی حفاظت از داده‌های اتحادیه اروپا (Regulation (EU) 2016/679 - GDPR)، قانون حریم خصوصی انگلستان (UK GDPR) و قوانین ملی کشورهای عضو نظیر قانون فدرال حفاظت از داده‌های آلمان (BDSG) را به طور کامل اجرا می‌کند.

برای مطالعه جزئیات بیشتر در خصوص اصول حفظ حریم شخصی، می‌توانید سیاست حفظ حریم خصوصی و شرایط و قوانین استفاده را ملاحظه فرمایید.

۲. اصل حداقل‌سازی: استعلام اصالت توسط خریداران چگونه کار می‌کند؟

طبق بند ۱ ماده ۵ آیین‌نامه GDPR، داده‌های شخصی باید «مناسب، مرتبط و محدود به موارد ضروری در ارتباط با اهداف پردازش» باشند.

هنگامی که خریدار با دوربین گوشی خود کد امنیتی کالا را برای استعلام فوری اصالت محصول اسکن می‌کند:

• عدم نیاز به اپلیکیشن: صفحه استعلام در مرورگر استاندارد گوشی (سافاری، کروم، فایرفاکس) باز می‌شود و نیازی به نصب هیچ نرم‌افزاری نیست.
• عدم نیاز به ساخت حساب کاربری: هیچ‌گاه نام، ایمیل، شماره تلفن یا نشانی از خریدار مطالبه نمی‌شود.
• عدم استخراج شناسه‌های تبلیغاتی: شناسه‌های دستگاه (IDFA، GAID)، لیست مخاطبین یا مشخصات سخت‌افزاری دریافت نمی‌شود.
• عدم دریافت لوکیشن دقیق ماهواره‌ای (GPS): به هیچ عنوان موقعیت مکانی دقیق GPS از مرورگر خریدار درخواست نمی‌گردد.

۳. شناسایی اسکن‌های تکراری و مبنای قانونی (ماده ۶ بند ۱ جزء f)

به منظور مهار جاعلانی که برچسب‌های معتبر را کپی کرده و روی هزاران بسته فیک می‌چسبانند، TrustQR مجهز به سامانه هوشمند ضد جعل با قابلیت کشف اسکن‌های تکراری است.

مبنای قانونی پردازش داده‌های تله‌متری فنی، منافع مشروع تجاری طبق بند ۱ ماده ۶ جزء f مقررات GDPR است:

• پیشگیری از کلاهبرداری و صیانت از سلامت عمومی: مقابله با داروهای تقلبی، مکمل‌های مرگبار و قطعات صنعتی ناامن طبق بند ۴۷ مقدمه GDPR از مصادیق منافع مشروع است.
• حفاظت از نشان تجاری: کمک به تولیدکنندگان در کشف نشت کالا به بازار خاکستری و قاچاق از طریق سامانه صیانت از برند.

سازوکارهای فنی حفاظت از تله‌متری

• هش‌کردن یک‌طرفه و ناشناس‌سازی IP: آدرس IP خام بلافاصله با کلیدهای محرمانه چرخشی هش شده و آدرس اصلی از بین می‌رود.
• محدودیت به ناحیه جغرافیایی کلان: صرفاً بررسی منطقه کلی جهت کشف تناقضات سرعت مکانی (مثلاً اسکن همزمان یک کد در برلین و توکیو) صورت می‌پذیرد.
• عدم پروفایل‌سازی رفتاری: هیچ کوکی ردیابی یا پروفایل سلیقه‌ای برای خریداران ایجاد نمی‌شود.
• عدم فروش داده‌ها: تراست کیو‌آر هرگز داده‌های تله‌متری را به دلالان داده یا شرکت‌های تبلیغاتی واگذار نمی‌کند.

۴. نقش‌های حقوقی: پردازش‌کننده داده و کنترل‌کننده داده

تراست کیو‌آر به عنوان پردازش‌کننده داده (Data Processor - ماده ۲۸)

برای کارخانجات و تولیدکنندگانی که از سامانه جامع اصالت‌سنجی کالا استفاده می‌کنند، TrustQR به عنوان پردازش‌کننده عمل کرده و برند مربوطه کنترل‌کننده داده است. ما قراردادهای الحاقی استاندارد پردازش داده (DPA) را منعقد می‌نماییم.

تراست کیو‌آر به عنوان کنترل‌کننده داده (Data Controller - ماده ۴)

ما کنترل‌کننده داده‌های کاربرانی هستیم که در پلتفرم ما حساب تجاری باز کرده و از پلن‌های قیمت‌گذاری اشتراک تهیه می‌کنند، یا فرم‌های صفحه تماس با ما را پر می‌نمایند.

۵. اقدامات فنی و سازمانی امنیت داده‌ها (ماده ۳۲ GDPR)

• رمزنگاری کامل در انتقال: کلیه تبادلات با پروتکل TLS 1.3 رمزنگاری می‌شوند.
• رمزنگاری در حالت سکون: پایگاه داده‌ها و شناسه‌های رمزنگاری‌شده با استاندارد AES-256 رمزگذاری می‌شوند.
• احراز هویت دومرحله‌ای: دسترسی به پنل مدیریت با احراز هویت دوعاملی (2FA) و تفکیک نقش‌ها محافظت می‌گردد.
• ثبت تغییرات و بازرسی مداوم: تمامی عملیات کلیدی در لاگ‌های امنیتی تغییرناپذیر ثبت می‌شوند.

۶. حقوق قانونی کاربران (فصل سوم GDPR)

قوانین اروپا حقوق روشنی برای افراد در نظر گرفته است که TrustQR به طور کامل از آن‌ها پشتیبانی می‌کند:

• حق دسترسی به داده‌ها (ماده ۱۵)
• حق تصحیح اطلاعات (ماده ۱۶)
• حق حذف داده‌ها یا حق فراموشی (ماده ۱۷)
• حق محدودسازی پردازش (ماده ۱۸)
• حق انتقال داده‌ها (ماده ۲۰)
• حق اعتراض به پردازش (ماده ۲۱)

برای ارسال درخواست‌های حقوقی حریم خصوصی می‌توانید با ایمیل privacy@trustqr.org یا info@trustqr.org مکاتبه نمایید. پاسخگویی حداکثر ظرف ۳۰ روز کاری و بدون اخذ هزینه صورت خواهد گرفت.