PRIVATUMO PRANEŠIMAS

2021 m. gegužės 11 d.

Šio Privatumo pranešimo tikslas yra suteikti jums informacijos apie jūsų asmens duomenų tvarkymą įgyvendinant toliau aprašytą projektą.

Šis projektas yra parengtas ir įgyvendinamas laikantis Bendrojo duomenų apsaugos reglamento (BDAR) reikalavimų.

Mūsų informacija:

UAB „JCDecaux Lietuva“, Konstitucijos pr. 18B, LT-09308 Vilnius, Lietuva („JCDecaux“)

„AllUnite ApS“; Tobaksvejen 25; 2860 Søborg; Denmark (Danija) („AllUnite“)

Bendrai veikiame kaip duomenų valdytojai pagal BDAR 26 straipsnį.

Bendras projekto aprašymas:

Norėdama stebėti žmonių judėjimo srautus, įmonė „AllUnite“ šioje įmonės „JCDecaux“ reklaminėje įrangoje įtaisė jutiklius.

Jei esate šalia tokios įrangos ir jūsų mobiliajame prietaise įjungta belaidžio interneto funkcija, jūsų prietaisas siųs paketinius interneto testerius (angl. ping), ieškodamas netoliese esančių maršrutizatorių.

Jutikliui priėmus paketinį interneto testerį, jis užfiksuoja jūsų prietaiso tinklo plokštės adresą.

Jutiklių fiksuojami tinklo plokščių adresai yra negrįžtamai nuasmeninami ir pateikiami kaip užkoduotos, neapibrėžtos maišos reikšmės. Šis procesas atliekamas jutikliuose ir trunka ne ilgiau kaip 2 sekundes.

Nuasmeninti duomenys ekstrapoliuojami, siekiant įvertinti srautą tam tikroje vietoje tam tikru laiku bei parengti apibendrinamuosius statistinius duomenis.

Įsipareigojame užtikrinti, kad duomenų tvarkymas būtų minimalus, o jūsų privatumui nekiltų nepagrįstai didelė rizika:

• Jutikliai fiksuoja tik jūsų prietaiso (belaidžio) tinklo plokštės adresą. Neturime jokios galimybės nustatyti jūsų asmens tapatybės ir nesiekiame to daryti.
• Tinklo plokštės adresas nedelsiant nuasmeninamas pačiame jutiklyje ir nėra perduodamas nei mums, nei kitoms šalims.
• Naudojame tik visiškai nuasmenintus jūsų duomenis.

Duomenų tvarkymo tikslas ir teisinis pagrindas:

Duomenys tvarkomi siekiant įvertinti auditorijos, kuri juda šalia įmonės „JCDecaux“ reklamine įranga su „AllUnite“ jutikliais, dydį (reklamą mačiusių asmenų skaičių), šiam tikslui parengus nuasmenintus statistinius duomenis.

Šie duomenys nebus naudojami profiliavimo, tikslinės reklamos ar bet kokios komunikacijos arba turinio perdavimo tikslais.

Šio tikslo siekiame remdamiesi turimu teisėtu interesu (BDAR 6 str. 1 d. f) p.).

Tvarkomi asmens duomenys:

Renkamus asmens duomenis sudaro tik jūsų mobiliojo prietaiso tinklo plokštės adresas.

Tinklo plokštės adresas yra mobiliajam prietaisui priskirtas identifikavimo numeris, leidžiantis atpažinti mobilųjį prietaisą tinkle.

Tinklo plokštės adresas gali būti administruojamas visuotinai arba lokaliai (atsitiktine tvarka). Visuotinai administruojamas tinklo plokštės adresas yra unikalus identifikavimo kodas, kurį mobiliajam prietaisui (belaidžio tinklo moduliui) suteikia gamintojas. Lokaliai administruojamas tinklo plokštės adresas nėra priskiriamas konkrečiam prietaisui – jis yra suteikiamas atsitiktine tvarka kaskart prisijungus prie belaidžio tinklo. Jei jūsų mobiliajame telefone įdiegta „Android 8.0“, „iOS 8“ operacinė sistema ar naujesnės šių sistemų versijos, papildomų nuostatų lange galite pasirinkti, kuris tinklo plokštės adresas bus naudojamas. Taikant numatytąsias nuostatas, telefonuose, kuriuose įdiegta „Android 10“ ar „iOS 14“ operacinė sistema, šis adresas priskiriamas atsitiktine tvarka.

Jūsų asmens duomenų nuasmeninimas:

Surinkti tinklo plokščių adresai nuasmeninami įrangos jutikliuose ir pateikiami kaip užkoduotos, neapibrėžtos maišos reikšmės. Šis procesas trunka ne ilgiau kaip 2 sekundes. Jį atlikus, pirminiai duomenys yra pašalinami.

Nenuasmeninti duomenys nėra saugomi, t. y. jutikliai neperduoda ir netvarko nenuasmenintų duomenų.

Mes neturime prieigos prie jūsų asmens duomenų. Be to, jie neatskleidžiami ir neperduodami jokiems kitiems asmenims.

Nuasmeninus duomenis, jie atskleidžiami ir pateikiami tik kaip apibendrinti statistiniai duomenys. Šie duomenys saugomi Airijoje esančiuose „AWS Kinesis“ serveriuose.

Taigi iš turimo duomenų rinkinio neįmanoma nustatyti konkrečių asmenų tapatybės, išskirti pavienių asmenų ar sudaryti asmenų grupių, kurios galėtų būti susiejamos su tokiomis pat asmenų grupėmis kitose vietose ir kitu laiku.

Jūsų teisės:

Kad galėtume tvarkyti šiuos duomenis, mums nereikia nustatyti duomenų subjektų asmens tapatybės, todėl renkami duomenys nedelsiant nuasmeninami juos fiksuojančiuose jutikliuose. Tai reiškia, kad mes nesaugome jokių duomenų, pagal kuriuos būtų galima nustatyti asmens tapatybę, taigi duomenų subjektams nesuteikiama galimybė pasinaudoti teise susipažinti su duomenimis, juos ištaisyti ar apriboti jų tvarkymą.

Jūs turite teisę nesutikti, kad būtų renkami jūsų prietaiso tinklo plokštės adreso duomenys.

Norėdami pasinaudoti šia teise, turite nurodyti savo prietaiso tinklo plokštės adresą įmonei „AllUnite“, kuri jį įtrauks į juodąjį sąrašą. Juodajame sąraše esantys tinklo plokščių adresai į auditorijos apskaitą neįtraukiami.

Norėdami sužinoti savo prietaiso tinklo plokštės adresą, atlikite toliau nurodytus veiksmus:

• Kaip sužinoti tinklo plokštės adresą, turint prietaisą su „iOS“ operacine sistema: eikite į meniu punktą „Nuostatos“ (Settings) > „Bendroji informacija“ (General) > „Apie prietaisą“ (About) > slinkite ekraną žemyn, kol rasite laukelį „Belaidžio tinklo adresas“ (Wi-Fi Address). Tai yra jūsų prietaiso tinklo plokštės adresas.
• Kaip sužinoti tinklo plokštės adresą, turint prietaisą su „Android“ operacine sistema: eikite į meniu punktą „Nuostatos“ (Settings) > „Apie prietaisą“ (About Device) > „Būsena“ (Status) arba „Techninės įrangos informacija“ (Hardware Info) > slinkite ekraną žemyn, kol rasite laukelį „Belaidžio tinklo plokštės adresas“ (Wi-Fi MAC Address). Tai yra jūsų prietaiso tinklo plokštės adresas.

Prašome atkreipti dėmesį, kad galimybė nesutikti su duomenų rinkimu suteikiama tik tuo atveju, kai yra naudojamas neatsitiktine tvarka priskirtas tinklo plokštės adresas, nes mes „atpažinti“ atsitiktine tvarka priskiriamų adresų negalime (jie yra nuolat keičiami).

Norėdami pasinaudoti šia teise, spauskite šią nuorodą.

Jūs taip pat turite teisę pateikti skundą priežiūros institucijai, visų pirma, jūsų šalyje veikiančiai priežiūros institucijai arba šalies, kurioje tvarkomi duomenys, priežiūros institucijai (jei duomenys tvarkomi kitoje šalyje).

Bendrų duomenų valdytojų funkcijų ir santykių aprašymas:

Įmonės „JCDecaux“ ir „AllUnite“ kartu tvarko šiuos duomenis ir yra sudariusios bendrų duomenų valdytojų sutartį, kurioje nustatytos jų atliekamos funkcijos, šioms įmonėms tenkanti atsakomybė ir jų santykiai su duomenų subjektais.

Remiantis šia bendrų duomenų valdytojų sutartimi:

• Įmonė „JCDecaux“ yra atsakinga už duomenų tvarkymo inicijavimą ir jutiklių įtaisymą jai priklausančioje reklaminėje įrangoje.
• Įmonė „AllUnite“ yra atsakinga už jutikliuose taikomą technologiją, leidžiančią rinkti ir nedelsiant nuasmeninti tinklo plokščių adresus. Įmonė „AllUnite“ taiko tinkamas technines ir organizacines priemones (kaip nurodyta pirmiau), siekdama užtikrinti asmens duomenų saugumą, konfidencialumą ir vientisumą, taip pat užkirsti kelią jų iškraipymui, sugadinimui, pakeitimui, atsitiktiniam ar neteisėtam sunaikinimui arba atskleidimui neįgaliotoms trečiosioms šalims. Įmonė „AllUnite“ reguliariai tikrina ir vertina saugų duomenų tvarkymą užtikrinančių techninių bei organizacinių priemonių efektyvumą.

Įmonė „AllUnite“ gauna jutiklių siunčiamus nuasmenintus duomenis, atlieka skaičiavimus, kurių reikia norint nustatyti srauto apimtį konkrečioje vietoje konkrečiu laiku, ir pateikia rezultatus, t. y. apibendrintus statistinius duomenis įmonei „JCDecaux“.

Skaidrumas ir duomenų subjektų teisės:

Sutarėme, kad duomenų subjektams informacija bus pateikiama dviem būdais:

• 1 būdas: pranešimas (lipdukas), pateikiamas ant įmonės „JCDecaux“ reklaminės įrangos, kurioje įtaisyti jutikliai. Šiame pranešime pateikiama nuoroda į šią interneto svetainę, kurioje galima apsilankyti įvedus universalųjį adresą (URL) arba nuskaičius QR kodą. Už informacinių lipdukų pateikimą atsako įmonė „JCDecaux“. Šalys susitarė dėl lipdukuose pateikiamos informacijos. Prašome atkreipti dėmesį, kad kartais kiti asmenys šiuos lipdukus gali nulupti arba sugadinti. Nors dedame visas pastangas, kad informaciniai lipdukai būtų tvarkingi ir pateikti ant atitinkamos įrangos, negalime visiškai garantuoti, kad jie išliks nepažeisti.
• 2 būdas: šis Privatumo pranešimas. Įmonė „AllUnite“ privalo užtikrinti, kad ši informacija būtų visada prieinama. Įmonė „AllUnite“ yra atsakinga už duomenų subjektų teisės nesutikti su duomenų rinkimu įgyvendinimą. Bendrovė „AllUnite“ įsipareigoja taikyti priemones, leidžiančias pasinaudoti šia teise, taip pat užtikrinti, kad ši teisė būtų nedelsiant įgyvendinta visa apimtimi, tvarkyti šia teise pasinaudojusių asmenų sąrašą ir užtikrinti, kad tokių asmenų asmens duomenys nebūtų tvarkomi vertinant auditorijos dydį.

PRIVACY NOTICE

May 11, 2021

The purpose of this Privacy Notice is to provide you with information about how and why your data is processed in the context of the project described below.

This project has been built and is conducted in accordance with the requirements of the General Data Protection Regulation (“GDPR”).

We are:

JCDecaux Lietuva UAB, Konstitucijos ave. 18B, LT-09308 Vilnius, Lithuania (“JCDecaux”)

AllUnite ApS; Tobaksvejen 25; 2860 Søborg; Denmark (“AllUnite”)

We act as joint controllers, in accordance with Article 26 of the GDPR.

General description of the project:

AllUnite has sensors installed on this advertising furniture of JCDecaux in order to estimate the traffic around such furniture.

If you are around an equipped furniture and if the wireless function is enabled on your mobile device, the device will send out so-called “pings” to search for local routers.

When a ping is received by a sensor, the sensor captures the MAC address of your device.

MAC addresses collected by the sensors are irreversibly anonymised, as non-identifiable hashed and encrypted values, directly on the sensors within maximum 2 seconds.

Anonymized data are then extrapolated to estimate a traffic volume at a given location for a given time schedule in order to create aggregated statistics.

We ensure that the processing is as less intrusive as possible and that the risks for your privacy are reduced to the best extent:

• The only data collected by the sensors is the MAC address (wi-fi) of your device. At no time we are in capacity or seek to identify you.
• The MAC address is anonymized almost immediately directly in the sensor and is not transferred to us or anyone else.
• We do not make any use of your data before and until they are fully anonymized.

Purpose and legal basis of the processing:

The purpose of the processing is to measure the audience (number of persons exposed) of JCDecaux’s advertising furniture equipped with AllUnite’s sensors by establishing anonymous audience statistics.

In no event will such data be used to make profiling operations, to provide targeted advertising or any kind of communications or content.

We rely on our legitimate interest (GDPR art. 6(1)(f)) to achieve this purpose.

Personal data concerned:

The personal data initially collected only consist of the MAC address of your mobile device.

The MAC address is an identification number assigned to a mobile device that identifies each device on a network.

The MAC address can be universally or locally administered (randomized). A universally administered MAC address is a unique identifier assigned to the mobile phone (Wi-Fi module) by the manufacturer, while the locally administered MAC address is not unique to a device, but randomized every time it tries to connect to the Wi-Fi network. If you have a mobile phone running on the Android 8.0, iOS 8 and later versions of these operating systems, you can set up the MAC address randomization in the advanced settings. For the phones running on Android 10 and iOS 14, the randomization setting is enabled by default.

Anonymization of your personal data:

Once collected, the MAC addresses are anonymised directly in the sensor as hashed and encrypted values within a maximum of 2 seconds, and the raw data are deleted.

No personal data is kept beyond such anonymization process, meaning that no personal data are transferred or processed outside of the sensor.

We do not have access to your personal data and your personal data are not disclosed or transferred to anyone.

After the anonymisation, the data are only disclosed and presented as aggregated statistics. This data is located in the AWS Kinesis servers in Ireland.

As a result, it is not possible to identify an individual in the dataset in order to single out an individual, nor it is possible to form or establish a group of individuals, which can be connected to the same group of individuals at another location at another time.

Your rights:

You have the right to object to the collection of your MAC address.

To exercise this right, you need to provide AllUnite with your MAC address, which will be recorded in a “blacklist”. MAC addresses placed in this “blacklist” will not be taken into account in the audience measurements.

To find your MAC address, please follow the steps below:

• Where to find MAC address on iOS: Go to Settings > General > About > Scroll down the screen and you will see the field Wi-Fi Address. This is your MAC Address.
• Where to find MAC address on Android: Go to Settings > About Device > Status (or Hardware Info) > Scroll down the screen and you will see the field Wi-Fi MAC Address. This is your MAC Address.

Please note that the opt-out right works for non-randomized MAC addresses only as we have no possibility to “recognize” randomized MAC addresses which, by nature, are changing all the time.

In order to exercise your opt-out right, click here.

You also have the right to lodge a complaint with a supervisory authority, in particular with the supervisory authority of your country or the supervisory authority of the country where the processing takes place, if different.

Description of the joint controllers’ roles and relationship:

JCDecaux and AllUnite carry-out this processing together and have entered into a joint controllers agreement to define their respective roles and responsibilities as well as their relation towards data subjects.

Pursuant to this joint controllers agreement:

• JCDecaux is responsible for initiating the processing and installing the sensors on its advertising furniture.
• AllUnite is responsible for the technology embedded in the sensors that enables the collection of MAC addresses and their quasi-immediate anonymisation. AllUnite has implemented appropriate technical and organisational measures, as mentioned above, to ensure the security, confidentiality and integrity of personal data, to prevent their deformation, damage, alteration, accidental or unlawful destruction or disclosure to unauthorised third parties. AllUnite is regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.

AllUnite receives anonymised data from the sensors, makes the calculations necessary to estimate a traffic volume at a given location for a given time schedule and provides results as aggregated statistics to JCDecaux.

Transparency and rights of the data subjects

We have agreed that data subjects would be provided with two levels of information:

• Level 1: a notice (sticker) placed on each JCDecaux advertising furniture where the sensors are installed. Such notice refers to the present webpage, accessible by URL and QR code. The placement of the sticker is under JCDecaux’s responsibility and the content of the information has been agreed between the parties. Please note that in some cases, the stickers may have been removed or damaged by some individuals. Although we will do our best to maintain and restore them, we cannot fully guarantee that they will remain intact.
• Level 2: this Privacy Notice. AllUnite is responsible for ensuring that this information is always available.

The right to object is under AllUnite’s responsibility. AllUnite shall implement the means that enables the exercise of the right to object, ensure that any objection is fully and immediately implemented, holding and maintaining an opt-out list and ensure that the personal data of such persons is not be processed as part of the audience measurement.