Pravilnik o zasebnosti

Zadnja posodobitev: 21. oktober 2026

1. Kdo smo

Svetovna republika (»Svetovna republika«, »mi«, »nas« ali »naš«) upravlja aplikacijo in spletno mesto Svetovne republike na naslovu https://www.worldrepublic.org (»Storitev«). Ista aplikacija je na voljo tudi pod drugim imenom, Raised by Humanity, na naslovu https://www.raisedbyhumanity.org. To spletno mesto poganja ista programska oprema, uporablja iste račune in isto podatkovno bazo, upravljamo pa ga mi. V tem pravilniku »Storitev« pomeni obe spletni mesti in ta pravilnik velja na obeh. Svetovna republika je švicarsko društvo (Verein) po 60. in naslednjih členih švicarskega civilnega zakonika s sedežem v Zugu v Švici. Po prvem odstavku 60. člena civilnega zakonika ima pravno osebnost in ni vpisana v poslovni register. Storitev iz Madžarske upravlja naš odbor, zato je za namene Splošne uredbe EU o varstvu podatkov (GDPR) Svetovna republika ustanovljena v Evropski uniji, naš vodilni nadzorni organ tam pa je madžarski Nacionalni organ za varstvo podatkov in svobodo obveščanja (NAIH).

Za večino obdelav, opisanih spodaj, smo upravljavec podatkov. Pri preverjanju identitete smo upravljavec mi, Amazon Web Services pa nastopa kot naš obdelovalec / ponudnik storitev. Drugi ponudnik, Didit, je spodaj naveden za prehod, ki trenutno ni na voljo — glejte razdelek 4.2.

• Kontakt za zasebnost: privacy@worldrepublic.org
• Kontakt v Evropski uniji: Balázs Kónya, član odbora, 3626 Hangony, Dózsa György út 5., Madžarska (privacy@worldrepublic.org)

2. Področje uporabe

Ta pravilnik velja za vsakogar, ki uporablja Storitev, po vsem svetu. Kadar vam lokalno pravo daje dodatne pravice — vključno z GDPR v EU in Združenem kraljestvu, prenovljenim švicarskim Zveznim zakonom o varstvu podatkov (revFADP), kalifornijskim Zakonom o zasebnosti potrošnikov, kot ga spreminja CPRA, in biometričnimi zakoni zveznih držav ZDA (Illinois BIPA, Texas CUBI, Washington) — so te pravice opisane v razdelku 10.

Svetovna republika trenutno izvaja nezavezujoče testne volitve. Članov še ne vpisujemo; sodelovanje je eksperimentalno.

3. Podatki, ki jih zbiramo

3.1 Podatki, ki jih posredujete

• Podatki o računu: če se prijavite z Googlom, prejmemo žeton za preverjanje pristnosti in identifikator vašega Google Računa. Identifikator obdržimo, saj je to tisto, kar vaš račun povezuje z vašo prijavo prek Googla. Vašega imena, e-poštnega naslova in fotografije iz Googla ne shranjujemo, prav tako ne obdržimo žetona, ki jih vsebuje.
• Poverilnice ključa za dostop: če uporabljate ključ za dostop (WebAuthn), shranimo poverilnico z javnim ključem, identifikator in metapodatke o napravi, potrebne za preverjanje vaše pristnosti.
• Podatki o profilu: uporabniško ime, ki vam ga ustvarimo ob ustvarjanju računa in ga lahko kadar koli spremenite v nastavitvah računa. Vaše uporabniško ime je objavljeno povsod, kjer se pojavite v Storitvi — glejte razdelek 6 — zato je, če vanj vpišete svoje pravo ime, objavljeno vaše pravo ime. Za vsak račun ustvarimo tudi kodo za povabilo; v Storitvi je nič ne uporablja.
• Vsebina, ki jo ustvarite: imena političnih strank, opisi in povezave.
• Prijava stranke: če prijavite vnos stranke v registru, shranimo, katero stranko, kateri razlog ste izbrali, kaj ste napisali in čas. Pri večini razlogov vas prosimo tudi za ime in e-poštni naslov, ker nam zakon, ki od nas zahteva, da vašo prijavo sprejmemo, nalaga tudi, da potrdimo njen prejem in vam sporočimo, kaj smo odločili — drugega načina, da vas dosežemo, pa nimamo. Pri enem razlogu ne vprašamo ne po imenu ne po naslovu in ne hranimo ne enega ne drugega: pri prijavi, da je vsebina gradivo s spolno zlorabo otrok. Če ste prijavljeni, zabeležimo tudi, kateri račun jo je vložil. To je edino mesto, kjer hranimo e-poštni naslov, ki ste nam ga dali; razdelek 8 pove, kako dolgo, razdelek 10.1 pa, za kaj ga uporabljamo in za kaj ne.
• Potrditev starosti: da ste potrdili, da ste stari 18 let ali več, in kdaj. To vprašamo enkrat, pred preverjanjem identitete. Za datum rojstva vas ne vprašamo in ga ne shranjujemo — shranimo le, da je bila potrditev dana, starost, na katero se je nanašala, in čas.
• Izid pregleda vaše stranke: ali je samodejni pregled iz razdelka 5.1 vašo stranko privzeto prikazal ali jo označil kot neželeno, razlog, ki ga je navedel, katero od njegovih dveh preverjanj (ali katera oseba) je odločilo, kateri model je odločil, kadar je odločil model, in kdaj.
• Ali vaša stranka pove, kaj želi glede UI: ali ime ali opis vaše stranke pove, kaj stranka želi glede umetne inteligence, kot je to razbral pregled iz razdelka 5.2; vrstica, ki jo je podal in ki lahko navaja vaše lastne besede; kaj je dalo odgovor (samodejni klasifikator ali oseba); kateri model, kadar je odgovoril model; in kdaj.
• Odločitev o odstranitvi vaše stranke: ločeno od zgornjega pregleda je stranko, katere vsebino presodimo za nezakonito, mogoče v celoti odstraniti iz registra — njena stran se nikomur več ne odpre, ni je mogoče najti in zanjo ni mogoče glasovati. To je drugačen in veliko strožji ukrep kot zgornji izid pregleda, ki vpliva le na to, ali je stranka privzeto prikazana. Kadar to storimo, hranimo datum, pravno podlago, na katero smo se oprli, naš lastni pisni razlog, zakaj ta podlaga velja za vašo stranko, ali je to sprožila tuja prijava ali naš lastni pregled, in oznako za tistega, ki je odločil. Vse to razen zadnjega se vam pokaže, in sicer v Storitvi, na strani vaše stranke — ki se vam še vedno odpre, čeprav se ne odpre nikomur drugemu. Posameznika, ki je odločil, ne imenujemo, prav tako vam ne povemo, kdo vas je prijavil, če vas je kdo.
• Zapis o glasovanju: da ste glasovali na določenih testnih volitvah in kdaj. Ne pa, za katero stranko ste glasovali. V tem pravilniku je vaša glasovnica izbira, ki jo oddate na testnih volitvah. Vaša glasovnica je zasebna: vaša izbira se prišteje k skupni vsoti stranke in se ne hrani skupaj z vašim računom. Razen potrditve, ki jo med glasovanjem prikaže vaša lastna naprava, noben zaslon v Storitvi ne prikaže, kako ste glasovali, in tega ne objavimo. V nekaterih primerih lahko nekdo z neposrednim dostopom do naše podatkovne baze (razdelek 11) ali do njene kopije glasovnico še vedno poveže z osebo, ki jo je oddala. Razdelek 5.3 pove, kdaj in kako dolgo.
• Podrobnosti o transakciji: ko dvignete WDD, ciljni naslov denarnice, znesek in izbrano omrežje.

3.2 Preverjanje identitete in biometrični podatki

Da ostanejo testne volitve poštene (ena preverjena oseba, en glas) ter da preprečimo goljufije in podvojene račune, potrdimo, da ste edinstvena, živa in resnična oseba. Celotno, ločeno pojasnilo o biometričnih podatkih je v razdelku 4 — skrbno ga preberite.

3.3 Podatki, zbrani samodejno

• Podatki o napravi in dnevniški zapisi: vrsta naprave in brskalnika, operacijski sistem in podobni tehnični podatki.
• Naslov IP: vaš naslov IP obdelujemo za uveljavljanje omejitev pogostosti in preprečevanje zlorab (kratkotrajno se shrani v naših zapisih o omejitvah pogostosti). Vaš naslov IP in uporabniškega agenta brskalnika shranimo tudi kot del zapisa o soglasju, ko se prvič strinjate z našimi Pogoji uporabe in potrdite, da ste prebrali ta pravilnik, ali ko date biometrično soglasje, kot dokaz tega strinjanja ali soglasja. Vaš naslov IP in uporabniški agent brskalnika se beležita tudi v varnostnih zapisih, opisanih v razdelku 8: ko vaša naprava v okviru preverjanja obraza začne preverjanje živosti, in vsakič, ko prenesete podobe iz svojih preverjanj obraza.
• Podatki o uporabi: uporabljene funkcije in dejanja, izvedena v Storitvi.
• Kopije vaših podatkov: ko prenesete strojno berljivo datoteko, opisano v razdelku 10.1, ali podobe iz svojih preverjanj obraza, zabeležimo, da je bila narejena kopija, kdaj, za katero od obeh kopij je šlo in katere dele zapisa je vsebovala (pri podobah del preverjanja, ki mu pripadajo). Pri podobah se zapis naredi, ko se prenos začne, zato je prenos, ki nato v vaši napravi ne uspe, vseeno na seznamu in se šteje v omejitev. To hranimo zato, da vsaka naprava, na kateri ste prijavljeni, bere isti seznam — to je edini način, ki ga imamo, da vam povemo, da je nekdo z vašo sejo prevzel kopijo vsega, saj nimamo naslova, na katerem bi vam to sporočili. Branje kopije na zaslonu se ne beleži; seznam ujame kopijo, ki zapusti napravo.

3.4 Piškotki in lokalna shramba

Uporabljamo samo nujno potrebne in funkcionalne piškotke ter lokalno shrambo:

• Preverjanje pristnosti in varnost (piškotki za sejo in za povezovanje računov).
• Prednostne nastavitve (npr. vaš izbrani jezik).
• Funkcionalno stanje (npr. vrnitev na stran po preverjanju).
• Kopija zaslona vašega računa, ki se hrani zato, da jo Storitev ob vaši vrnitvi lahko takoj znova izriše. Vsebuje to, kar ta zaslon prikazuje: vaše stanje WDD, vaše nedavne transakcije — vključno s ciljnim naslovom denarnice in omrežjem vsakega dviga, ki ste ga opravili — ter ali je vaš račun preverjen oziroma ali je bilo vaše preverjanje živosti obraza zavrnjeno. Ob odjavi se nadomesti s prazno kopijo. Dokler se ne odjavite, ostane v napravi, zato se odjavite, če napravo uporabljajo tudi drugi.

Oglaševalskih piškotkov ne uporabljamo in ne poganjamo nobenih SDK-jev za oglaševanje ali sledenje med spletnimi mesti.

4. Biometrični podatki (živost obraza) — prosimo, preberite

Da bi glasovali na testnih volitvah in registrirali stranko, morate opraviti preverjanje živosti obraza. Ta pravilnik to preverjanje imenuje preverjanje obraza. Preverjanje obraza obdeluje biometrične podatke, ki so občutljivi osebni podatki oziroma posebna vrsta osebnih podatkov. O tem želimo biti popolnoma pregledni.

4.1 Kaj se zgodi

• Vaša naprava zajame kratek video obraza v živo, ki ga obdela Amazon Web Services (AWS) Amazon Rekognition Face Liveness, da potrdi, da je prisotna resnična, živa oseba (zaščita pred ponarejanjem).
• AWS za to sejo shrani referenčno podobo obraza. AWS to podobo shrani ne glede na to, ali je preverjanje uspelo ali ne, zato preverjanje, ki ni uspelo, vseeno pusti podobo. To podobo lahko kadar koli daste uničiti (razdelek 4.4).
• Če preverjanje uspe, vektor obraza (predlogo), narejen iz te podobe, dodamo v varno zbirko AWS Rekognition. Preverjanje, ki je zavrnjeno kot podvojitev, v zbirko ne doda nobenega vektorja.
• S to zbirko izvedemo primerjavo ena proti mnogim z vektorji obrazov drugih uporabnikov, da preverimo, ali je isti obraz že preverjen na drugem računu.

Zavrnitev je samodejna. Če primerjava najde ujemanje, je preverjanje za ta račun v tistem trenutku zavrnjeno, in sicer s samo primerjavo, pri odločitvi pa ne sodeluje noben človek. Tehta se le, kako blizu je vektor obraza, narejen iz vašega skena, vektorju, ki je že v zbirki, merjeno glede na en sam nespremenljiv prag podobnosti; nič drugega o vas v to ne vstopa. Zavrnjen račun ne more glasovati na testnih volitvah ali registrirati stranke, zavrnitev pa za ta račun ostane v veljavi, razen če jo človek spremeni.

Lahko zahtevate, da si to ogleda človek. Pišite na privacy@worldrepublic.org ali vprašajte v naši Skupnosti za pomoč in odgovorili bomo v enem mesecu. Človek primerja referenčno podobo obraza iz vašega preverjanja s tisto, ki se hrani za račun, s katerim se je ujemal, kadar obe še obstajata — katera koli od njiju je morda že bila uničena po razdelku 4.5 — in lahko zavrnitev razveljavi ter vas preveri.

Če podob ni več, s tem ni konec. Kadar je bil obraz, s katerim se je vaše preverjanje ujemalo, medtem uničen — ker je bil tisti račun izbrisan ali ker je oseba za njim preklicala svoje soglasje — lahko človek namesto tega odpravi zavrnitev, tako da lahko preverjanje opravite znova. To ni odločitev, da ste preverjeni: novo preverjanje se izvede v celoti, z isto primerjavo, in vas lahko znova zavrne. Da sta mogoči obe poti, zapis o ujemanju hranimo skupaj z zavrnjenim preverjanjem: kateri račun se je ujemal in kako blizu je bila primerjava (razdelek 8).

4.2 Prehod k Diditu

Ta pot trenutno ni na voljo in nobenega preverjanja ni mogoče začeti. Opisana je tukaj, ker je zasnovana.

Zamisel je prehod k Diditu, ponudniku preverjanja identitete, za tistega, ki ga preverjanje obraza zavrne po pomoti — ob napačnem ujemanju podvojitve med ljudmi, ki so si podobni. Zahteval bi vaše izrecno soglasje, Didit pa bi v našem imenu preveril dokument in selfi.

Danes nič od tega ne deluje: Storitev nima zaslona, ki bi to ponujal, pot, ki bi preverjanje začela, pa zavrne vsako zahtevo. Didit nima nobenih naših podatkov o preverjanju. Če vas je preverjanje obraza zavrnilo, vam je odprta pot iz razdelka 4.1: vprašajte v naši Skupnosti za pomoč in človek si lahko ogleda oba zapisa ter znova odpre preverjanje.

Če bo prehod kdaj na voljo, bo ta razdelek, še preden se to zgodi, povedal, kaj zbira in kaj prejmemo.

4.3 Obvestilo o ponudnikih storitev (AWS in Didit)

Svetovna republika za storitve preverjanja identitete uporablja ponudnike storitev. Biometrične identifikatorje in biometrične informacije (»biometrične podatke«), natančneje skene geometrije vašega obraza ter s tem povezane podobe obraza in predloge, lahko ti ponudniki storitev (AWS; in Didit, če bo prehod iz razdelka 4.2 kdaj na voljo) v imenu Svetovne republike zbirajo, shranjujejo in uporabljajo za namen potrditve, da ste edinstvena, živa in resnična oseba, ter preprečevanja podvojenih ali goljufivih računov. Svetovna republika uniči biometrične podatke, ki jih AWS hrani v njenem imenu, ko je prvotni namen njihovega zbiranja izpolnjen, ko zahtevate izbris ali prej, če tako zahteva zakon. Didit nima nobenih naših biometričnih podatkov ali podatkov o identiteti, ker prehod ni na voljo. Če bo kdaj na voljo, bodo pogoji, pod katerimi sme Didit te podatke hraniti in jih mora izbrisati, najprej dogovorjeni in navedeni tukaj. Biometrične podatke je mogoče prenašati med Svetovno republiko in njenimi ponudniki storitev, kolikor je potrebno za izvajanje te storitve.

4.4 Vaše soglasje in vaša izbira

Pod tem preverjanjem stojita dve stvari in obe poimenujemo.

Samo preverjanje je nujno za storitev, ki jo zahtevate od nas. Testnih volitev, na katerih ima ena preverjena oseba en glas, ni mogoče izvesti, če ni za vsakega volivca izkazano, da je vpisan enkrat, danes pa nimamo manj vsiljivega načina, da to izkažemo. Ker preverjanje obdeluje biometrične podatke, je potrebna še druga stvar: vaše izrecno soglasje, ki ga daste z aktivno potrditvijo, in prav to je pogoj, na katerega se opiramo za same biometrične podatke. To soglasje zahtevamo na začetku preverjanja obraza in brez njega ne obdelujemo nobenih biometričnih podatkov.

Kaj vas stane zavrnitev. Preverjanje obraza je danes edina pot do glasovanja. Če ga zavrnete, ne morete glasovati na testnih volitvah in ne morete registrirati nove stranke. Nič drugega vas ne stane: še naprej lahko imate WDD, dvigujete WDD, vodite stranko, ki ste jo registrirali prej, in uporabljate vse drugo v Storitvi. Pred kakršnimi koli volitvami, katerih izid koga zavezuje, bomo ponudili pot do glasovanja, ki ne uporablja preverjanja obraza.

To soglasje lahko kadar koli prekličete in za to vam ni treba izbrisati računa. V aplikaciji odprite Račun → Preverjanje → Izbris mojih podatkov o obrazu. Preklic začne veljati takoj in uniči tako referenčne podobe obraza kot predlogo obraza, s katero primerjamo. Če želite kopijo podob, jih najprej prenesite, in sicer na istem zaslonu (razdelek 10.1). Vaš račun, vaše stanje WDD, stranka, ki jo vodite, in vsak glas, ki ste ga že oddali, ostanejo nespremenjeni. Glasovati ne boste mogli, dokler ne opravite novega preverjanja obraza, kar lahko storite kadar koli — razen če je bilo vaše preverjanje že zavrnjeno kot podvojitev drugega računa (samodejna zavrnitev, opisana v razdelku 4.1). Preklic uniči podatke, ne spremeni pa te odločitve; za izpodbijanje pišite na privacy@worldrepublic.org.

Ena izjema, in sicer ista, kot jo razdelek 4.5 opisuje za izbris računa: če testne volitve, na katerih ste glasovali, ob vašem preklicu še potekajo, se vaše soglasje konča takoj, sami biometrični podatki pa se uničijo, ko se te volitve končajo — razen če pred tem opravite novo preverjanje obraza, v tem primeru velja tisto novo soglasje in nič se ne uniči. Kot določa razdelek 4.5, uničenje nikoli ne čaka več kot štirinajst dni: volitve, ki se končajo več kot štirinajst dni po vašem preklicu, uničenja sploh ne zadržijo. Namesto tega lahko izbrišete tudi celoten račun (razdelek 9) ali se obrnete na nas za uveljavljanje katere koli od pravic iz razdelka 10.

4.5 Hramba in uničenje

Biometrične podatke hranimo le toliko časa, kolikor je potrebno za preverjanje in preprečevanje podvojitev. Uničimo jih, ko je namen izpolnjen, na vašo zahtevo za izbris, ko je vaš račun izbrisan, ali tri leta po vaši zadnji dejavnosti v Storitvi — kar koli od tega nastopi prej. En zapis se hrani dlje: vnos v varnostnem revizijskem dnevniku, opisan v razdelku 1 našega Pravilnika o hrambi in uničenju biometričnih podatkov, ki navaja položaje vaših oči, nosu in ust ter kot vaše glave. Naš pisni Pravilnik o hrambi in uničenju biometričnih podatkov v celoti določa vsakega od teh sprožilcev, razdelek 2 tistega pravilnika pa našteva, kaj šteje za dejavnost. Uničenje vključuje izbris referenčne podobe obraza pri AWS (Amazon S3) in vektorja obraza (zbirka Rekognition).

Ena izjema, omejena in navedena tukaj, ker bi jo morali poznati, preden ukrepate: če izbrišete svoj račun — ali prekličete svoje biometrično soglasje po razdelku 4.4 — medtem ko testne volitve, na katerih ste glasovali, še potekajo, vaše biometrične podatke hranimo, dokler se te volitve ne končajo, in jih takrat uničimo. Če ste preklicali in nato pred koncem volitev znova opravite preverjanje, se čakajoče uničenje prekliče, saj je novo preverjanje obraza novo soglasje; izbris se na ta način nikoli ne prekliče. Oddanega glasu ni mogoče izločiti iz skupne vsote stranke, zato ostane upoštevan, preverjanje obraza pa je edino, kar isti osebi preprečuje, da bi preverila nov račun in na istih volitvah glasovala drugič. Zamik nikoli ne preseže preostalega časa volitev in nikoli ne preseže štirinajstih dni: volitve, ki se končajo več kot štirinajst dni po vašem dejanju, uničenja sploh ne zadržijo. Nič drugega pri izbrisu ne čaka.

4.6 Kje se biometrični podatki obdelujejo

Vaše predloge obraza in referenčne podobe obraza obdeluje in shranjuje AWS v Evropski uniji (na Irskem). Povezani metapodatki o preverjanju (na primer ocene zanesljivosti in sklici na shrambo) se hranijo v naši primarni podatkovni bazi (glejte razdelek 7).

5. Kako uporabljamo podatke in naše pravne podlage

5.1 Samodejni pregled registracij strank

Ko registrirate stranko ali jo uredite, jo program pregleda, preden je privzeto prikazana. Pri tem koraku ne sodeluje noben človek.

• Kaj bere: ime stranke, opis, povezavo do spletnega mesta in uporabniško ime vodje — nič drugega o vas.
• O čem odloča: ali se stranka pojavi na privzetih seznamih, v iskanju in na seznamu strank za volitve ali pa je označena kot neželena. Stranka, ki je označena kot neželena, ni odstranjena: ostane na svojem naslovu, najti jo je mogoče, če izberete prikaz vseh strank, in zanjo je mogoče glasovati.
• Razlogi: oglaševanje česa zunaj Storitve (vključno z lažnim predstavljanjem za Storitev ali za uveljavljeno stranko), ponujanje osebnega plačila za glasove, spodbujanje nasilja in nespodobnost. Politična stališča niso nikoli razlog, pregled pa mora dobesedno navesti, kaj je označil.
• Kako odloča: veliki jezikovni model, GLM-5.3 Flash podjetja Z.ai, ta pravila uporabi na besedilu. Kadar ta model ni na voljo, ista pravila uporabi GLM-5.3 istega izdelovalca. Oba tečeta na Basetenu v Združenih državah (razdelka 6 in 7), ki od nobene od obeh zahtev, potem ko nanjo odgovori, ne obdrži ničesar in se na njiju ne uči. Drugo, nespremenljivo pravilo primerja ime stranke z imeni uveljavljenih strank. Izid, njegov razlog, to, katero preverjanje je odločilo, in — kadar je odločil model — kateri od obeh modelov, se hranijo pri stranki (razdelek 8).
• Zakaj sme o tem odločati program: register, v katerem je vsak vnos resnična registracija stranke, je del storitve, zaradi katere registrirate stranko, in prav to omogoča, da to odločitev sprejme program. Registracija stranke izraža tudi politična mnenja. Odločitev nikoli ne temelji na teh mnenjih — zgornji razlogi so stvari, ki jih registracija počne, ne stvari, o katerih govori, in registracija nikoli ni označena zaradi tega, za kaj se zavzema. Ta mnenja se berejo le zato, ker so v besedilu, ki se preverja, javna pa jih naredite sami s tem, da stranko registrirate za objavo v javnem registru. Da glasujete, da imate WDD ali da uporabljate karkoli drugega, vam ni treba registrirati stranke.
• Kaj lahko storite: vodja stranke vidi izid in razlog na strani stranke. Ko stranko uredite, gre znova v pregled. Lahko zahtevate, da izid pregleda človek — prek Skupnosti za pomoč, povezane iz tistega obvestila, ali tako, da pišete na privacy@worldrepublic.org.

5.2 Ali stranka pove, kaj želi glede UI

Raised by Humanity je kampanja o tem, kako naj se upravlja umetna inteligenca. Da bi bilo mogoče ugotoviti, katere stranke zavzemajo stališče do nje, ista zahteva, ki nosi pregled iz razdelka 5.1, postavi tudi drugo, ločeno vprašanje.

• Kaj sprašuje: ali bi lahko nekdo, ki spremlja javno razpravo o UI, iz imena ali opisa stranke razbral, kaj stranka želi glede UI — kako naj se UI razvija, uporablja, deli, omejuje ali upravlja. Šteje vsako stališče, za ali proti, in nobeno nima večje teže kot drugo. Stranki ni treba uporabiti besede »UI«. Stališče ni niti omemba UI niti njena uporaba ali prodaja.
• Kaj bere: ista polja kot v razdelku 5.1, v isti zahtevi — ime stranke, opis, povezavo do spletnega mesta in uporabniško ime vodje. Ničesar drugega se ne pošlje in nikamor drugam se ne pošlje.
• Kaj zabeleži: odgovor — pove, kaj želi glede UI, ali ne pove — z eno vrstico, ki navaja besede, na katere se je odgovor oprl, model, ki je odgovoril, in kdaj. Hrani se pri stranki (razdelek 8).
• Kaj spremeni: en prikaz, in to samo za bralca, ki ga zahteva. Vklop filtra »Samo stranke s stališčem do UI« na seznamu strank ali na seznamu strank za volitve prikaže samo stranke, katerih odgovor je, da povedo, kaj želijo glede UI. Filter je izklopljen, razen če ga bralec vklopi. Odgovor pri pregledu iz razdelka 5.1 nima nobene vloge. Brez tega filtra odgovor ne spremeni ničesar od tega, kar kdor koli vidi, vključno s privzetimi seznami, iskanjem in seznamom strank za volitve, in nikoli ne vpliva na nobeno glasovanje. Če se to spremeni, bo ta razdelek to povedal od dneva, ko se to zgodi.
• Kako odloča: ista modela kot v razdelku 5.1 — GLM-5.3 Flash podjetja Z.ai ali GLM-5.3, kadar ta model ni na voljo — ki tečeta na Basetenu v Združenih državah, ta pa od zahteve, potem ko nanjo odgovori, ne obdrži ničesar in se na njej ne uči.
• Kaj lahko storite: vsako urejanje stranke znova postavi vprašanje, nov odgovor pa nadomesti starega. Odgovor je v kopiji vaših podatkov, ki vam jo da Storitev (razdelek 10). Lahko zahtevate, da ga pregleda človek, ali pa mu ugovarjate, tako da pišete na privacy@worldrepublic.org. Če je odgovor, da vaša stranka ne pove, kaj želi glede UI, kartica vaše stranke to navede, dokler imate ta filter vklopljen.
• Zakaj sme brati politično stališče: to je edino mesto, kjer Storitev bere, za kaj se stranka zavzema, in ne le tega, kaj počne. Bere le besede, ki jih je stranka objavila sama, o eni temi, in vsa stališča o tej temi obravnava enako. Te besede naredite javne sami s tem, da stranko registrirate za objavo v javnem registru. Da glasujete, da imate WDD ali da uporabljate karkoli drugega, vam ni treba registrirati stranke.

5.3 Vaša glasovnica

Ko glasujete, naš strežnik skupaj prejme podatek, kdo ste, in vašo izbiro, ker mora preveriti, ali smete glasovati, in nato glas šteti. Oboje shrani ločeno, v treh zapisih, ki se shranijo skupaj: zapis, da ste na teh volitvah glasovali, in kdaj; zapis o vašem soglasju za štetje vašega glasu, ki navaja volitve in dan; in en glas več v skupni vsoti stranke. Noben zapis ne hrani vaše izbire skupaj z vašim računom. V nekaterih primerih je vašo glasovnico še vedno mogoče povezati z vami, ta razdelek pa pove, kdaj.

• Dokler volitve potekajo. Naša podatkovna baza vsako spremembo, ki jo shrani, označi z referenčno številko. Vsi trije zapisi se shranijo v isti spremembi, zato nosijo isto številko. Dokler volitve potekajo, bi zato nekdo z neposrednim dostopom do naše podatkovne baze (razdelek 11) lahko ugotovil, kdo je oddal zadnjo glasovnico za vsako stranko, in s spremljanjem spreminjanja skupnih vsot tudi, kdo je v tem času oddal vsako posamezno glasovnico. Z orodji, ki neposredno berejo shrambo podatkovne baze, bi lahko ugotovil tudi, kdo je oddal druge nedavne glasovnice, in sicer iz starejših različic skupnih vsot, ki jih podatkovna baza še ni počistila. Naše testne volitve sprejemajo glasovnice tri dni, Storitev pa na nobenih volitvah nikoli ne sprejema glasovnic dlje kot štirinajst dni.
• Ko se volitve končajo. Kmalu po koncu volitev, običajno v nekaj minutah, njihove skupne vsote prepišemo v ločeni spremembi. Po tem noben zapis v naši glavni podatkovni bazi, tisti, na kateri deluje Storitev, ne povezuje glasovnice z osebo, ki jo je oddala. Starejše različice skupnih vsot lahko ostanejo v shrambi podatkovne baze, dokler niso prepisane, ista orodja pa jih lahko še vedno preberejo.
• V zgodovini za obnovitev in varnostnih kopijah našega ponudnika. Ponudnik naše podatkovne baze hrani zgodovino za obnovitev podatkovne baze, ki jo imamo trenutno nastavljeno na približno šest ur. Ta zgodovina lahko poveže vsako glasovnico, oddano v tem času, in lahko vrne skupne vsote v stanje, kakršno je bilo, preden smo jih prepisali, skupaj s povezavami, ki so jih nosile. Ponudnik hrani tudi lastne varnostne kopije, za katere navaja, da jih hrani 30 dni; z njim še nismo potrdili, kaj te varnostne kopije zajemajo. Te varnostne kopije in vsaka kopija naše podatkovne baze (razdelek 11), narejena, preden so bile skupne vsote prepisane, hranijo te povezave, dokler ne potečejo ali dokler niso izbrisane, kopija, ki jo izbrišemo, pa lahko ostane v teh varnostnih kopijah, dokler ne potečejo.
• V tem, kar objavimo. Skupno vsoto vsake stranke objavimo, ko se volitve končajo (razdelek 6); dokler potekajo, prikazujemo le, koliko glasovnic je bilo skupaj oddanih. Če na volitvah vsi glasujejo za isto stranko, skupne vsote vsakomur, ki ve, da so glasovali, pokažejo, kako je glasoval vsak od njih. Kadar pa glasuje zelo malo ljudi, lahko nekdo, ki ve, kako so glasovali drugi, ugotovi preostalo.

Nič v Storitvi ničesar od tega ne uporablja za povezovanje glasovnice z osebo, ki jo je oddala.

Ker vaša izbira razkriva politično mnenje, vas za vaše izrecno soglasje prosimo, preden jo štejemo. Na zaslonu, na katerem oddate svoj glas, je na vsakih testnih volitvah neoznačeno potrditveno polje, ki prosi za to soglasje, in označiti ga je treba, preden je glas oddan; naš strežnik glasovnico brez njega zavrne. To soglasje zabeležimo skupaj z volitvami, različico in jezikom besedila, ki ste ga označili, ter dnevom. Z njim ne zabeležimo nobenega naslova IP ali brskalnika in zabeležimo le dan, ker se shrani v istem trenutku kot zapis, da ste glasovali, natančen čas pa bi bil drugi zapis o tem, kdaj ste glasovali. To soglasje lahko prekličete (razdelek 10).

6. Kako delimo podatke

Vaših osebnih podatkov ne prodajamo. Ta razdelek določa, kdo prejme podatke o vas in v kakšni vlogi. Nekatere za nas obdelujejo ponudniki storitev, po naših navodilih in ne za svoje namene. Nekateri pridejo do podjetja, ki samo odloči, kaj bo s temi podatki storilo, in ta razdelek te prejemnike poimenuje. Nekatere moramo razkriti zaradi izpolnjevanja zakona, ob združitvi, prevzemu ali prenosu premoženja pa bi to, kar hranimo, prešlo na kupca, ob zakonitih zaščitnih ukrepih — razen vaših biometričnih podatkov, ki po tej poti nikoli ne preidejo. Nekatere pa Storitev objavi drugim ljudem.

Ponudniki storitev, ki delujejo za nas. Ti ponudniki obdelujejo podatke po naših navodilih in ne za svoje namene. Didit je na spodnjem seznamu naveden le zaradi popolnosti in danes za nas ne obdeluje ničesar:

• Google Workspace — gosti naše poštne predale, med njimi privacy@worldrepublic.org in legal@worldrepublic.org. Vse, kar nam pišete na katerega koli od teh naslovov, in vse, kar pošljete zraven — vključno s tem, kar pošljete, da izkažete, da je zahteva vaša (razdelek 10.3) — obdeluje Google kot naš ponudnik. Operativna opozorila, opisana v spodnjem vnosu o Amazon Web Services, se prav tako dostavljajo po e-pošti, eden od naslovov, na katere pridejo, pa je na naši lastni domeni. Zato tudi opozorilo, ki nosi ciljni naslov denarnice, obdeluje Google. Prijava z Googlom je drugačno razmerje in ta razdelek to razmerje določa spodaj.
• Amazon Web Services (AWS) — štiri stvari. Amazon Rekognition Face Liveness, Amazon S3 (referenčne podobe obraza) in Amazon Cognito (začasne poverilnice za goste), kot naš ponudnik storitev za biometrično preverjanje (regija EU). Amazon Simple Notification Service, ki prenaša naša operativna opozorila. AWS CloudTrail, ki vodi varnostni revizijski dnevnik naših računov v oblaku in naš zapis o dostopu do podob iz preverjanj obraza (razdelek 8). In Amazon Simple Email Service, ki prenaša dve sporočili, ki ju dolgujemo tistemu, ki prijavi stranko — da prijavo imamo in kaj smo odločili. Ti sporočili gresta na naslov, ki nam ga je ta oseba dala, in nosita ime stranke, datum in sklic; nikoli ne nosita izbranega razloga ali tega, kar je oseba napisala. Opozorilo nam pove, da nekaj potrebuje pozornost — na primer dvig, ki je šel narobe, račun, ki je dosegel eno od omejitev, ki smo jih postavili glede tega, kako pogosto lahko ravna, registracija stranke, ki je samodejni pregled ni mogel prebrati, ali uničenje biometričnih podatkov, ki se ni dokončalo. To so primeri, ne celoten seznam. Opozorilo lahko nosi ciljni naslov denarnice, znesek in omrežje dviga ter sklic, ki ga temu dvigu damo v svojih zapisih, notranji identifikator računa in identifikator stranke. Kadar je bil prenos poslan, lahko opozorilo nosi tudi zgoščeno vrednost te transakcije na blokovni verigi in sklic, ki ji ga je dal ponudnik plačil. Opozorilo nikoli ne nosi imena ali opisa stranke in nikoli ne nosi tega, kar je o njej povedal samodejni pregled.
• Didit — preverjanje identitete ob prehodu. Trenutno ni na voljo in nima nobenih naših podatkov (razdelek 4.2). Glejte Diditovo obvestilo o zasebnosti pri preverjanju in pogoje za končne uporabnike za preverjanje identitete.
• Coinbase — izvaja dvige WDD na blokovni verigi; prejme ciljni naslov, znesek, omrežje in sklic, ki ga temu dvigu damo v svojih zapisih, in nič drugega.
• Neon — gostovanje podatkovne baze za podatke Storitve. Naša podatkovna baza teče v Singapurju, Neon pa obdeluje tudi v Združenih državah (razdelek 7).
• Vercel — gostovanje aplikacije in dnevniki infrastrukture. Naša aplikacija teče v Singapurju, Vercel pa obdeluje tudi v Združenih državah (razdelek 7). Njegov AI Gateway poleg tega prenaša zahtevo za pregled stranke iz razdelkov 5.1 in 5.2 — eno samo zahtevo — k Basetenu in nikamor drugam.
• Baseten — poganja jezikovna modela, ki pregledujeta registracije strank (razdelka 5.1 in 5.2); prejme ime stranke, opis, povezavo in uporabniško ime vodje, potem ko na zahtevo odgovori, od tega ne obdrži ničesar in se na tem ne uči (Združene države).

Aktualen seznam podobdelovalcev je na voljo na zahtevo.

Google, ko se prijavite. Prijava z Googlom je izmenjava med vami in Googlom, Google pa sam odloči, kaj bo s to izmenjavo storil. Google tu ne ravna le po naših navodilih, zato pri tem ni naš ponudnik storitev. Prejmemo žeton za preverjanje pristnosti in identifikator vašega Google Računa, obdržimo pa le identifikator (razdelek 3.1). Kaj Google stori s prijavo, ureja Googlov lastni pravilnik o zasebnosti (policies.google.com/privacy).

Naša Skupnost za pomoč. Razdelka 4.1 in 5.1 vas napotita na našo Skupnost za pomoč, če želite, da si samodejno odločitev ogleda človek. Ta skupnost je javni kanal v Telegramu. Kar tam napišete, prebere Telegram in vsi drugi v tem kanalu. Tega kanala ne nadzorujemo. Če ne želite pisati javno, pišite raje na privacy@worldrepublic.org: ta pot doseže istega človeka, razdelek 10.1 pa jo določa.

Razkritja, ki jih zahteva zakon, in če Storitev preide na drugo organizacijo. Podatke lahko razkrijemo zaradi izpolnjevanja zakona ali veljavnih zahtev javnih organov. Podatke lahko razkrijemo tudi ob združitvi, prevzemu ali prenosu premoženja (ob zakonitih zaščitnih ukrepih). Vaši biometrični podatki nikoli niso del takega prenosa. Z njimi ne trgujemo, jih ne prodajamo, ne dajemo v najem in iz njih ne ustvarjamo dobička na noben drug način, prav tako jih ne predamo kupcu skupaj z vsem drugim, kar hranimo. Razen ponudniku, ki jih shranjuje za nas in po naših navodilih (razdelek 4.3), biometrične podatke razkrijemo samo, kadar s tem soglašate, kadar to zahteva zakon ali kadar to zahteva veljaven sodni nalog ali sodni poziv. Združitev, prevzem in prenos premoženja niso nič od tega.

Kar objavi Storitev. Nekaj tega, kar počnete, je prikazano drugim ljudem. To ni deljenje s ponudnikom. To je objava in je ni mogoče razveljaviti s tem, da ponudnika prosite, naj preneha:

• Register strank. Če registrirate stranko, so v registru objavljeni ime stranke, opis, povezava, vaše uporabniško ime in skupni znesek WDD, ki je bil stranki dodeljen v subvencijah. Register je odprt: vsakdo ga lahko bere brez računa, iskalniki pa ga lahko indeksirajo.
• Dvigi. Dvig WDD je javna transakcija na blokovni verigi. Ciljni naslov, znesek, omrežje, čas in sklic, ki ga temu dvigu damo v svojih zapisih, so objavljeni na blokovni verigi, ne objavimo jih mi, in nihče jih ne more odstraniti. Ta sklic zapišemo v transakcijo, da je mogoče dokazati, da je bil dvig opravljen enkrat in samo enkrat. Sklic ni identifikator vašega računa. Vsak dvig ima svoj sklic, en sklic pa pripada samo enemu dvigu. Da preverimo, ali je bil dvig opravljen, javno storitev za blokovno verigo prosimo, naj transakcijo poišče za nas. Te storitve vidijo to, kar blokovna veriga že objavlja — naslov, znesek in sklic — in nič drugega, kar hranimo o vas.
• Rezultati volitev. Skupno število glasov vsake stranke je objavljeno, ko se volitve končajo. Dokler volitve potekajo, skupno število glasov nobene stranke ni prikazano, ampak le, koliko glasovnic je bilo skupaj oddanih. Objavljamo le skupne vsote, nikoli posamezne glasovnice. Če so vsi glasovali za isto stranko, lahko skupne vsote še vedno pokažejo, kako ste glasovali, nekomu, ki ve, da ste glasovali; in če je glasovalo zelo malo ljudi, nekomu, ki ve tudi, kako so glasovali drugi (razdelek 5.3). Razdelek 5.3 pove, kdaj je glasovnico v naši podatkovni bazi mogoče povezati z vami.

Vaše uporabniško ime je ime, ki se pojavi v vsem tem, in izberete ga sami (razdelek 3.1).

7. Mednarodni prenosi podatkov

Naš sedež je v Švici, za katero velja sklep EU o ustreznosti, ustanovljeni pa smo tudi v Evropski uniji (razdelek 1). Vaši podatki se obdelujejo v več kot eni državi:

• Biometrične podatke (predloge obraza in referenčne podobe obraza) obdeluje in shranjuje AWS v Evropski uniji (na Irskem).
• Varnostni revizijski dnevnik naših računov v oblaku in naš zapis o dostopu do podob iz preverjanj obraza (razdelek 8): vnosi, ki se nanašajo na vas, se hranijo v Evropski uniji — na Irskem, kjer poteka preverjanje obraza, in v Nemčiji, kjer hranimo svoje kopije.
• Podatki o računu in podatki aplikacije se hranijo v naši podatkovni bazi pri Neonu, streže pa jih Vercel. Oba tečeta v Singapurju, del teh podatkov pa pride tudi v Združene države: Vercelova pogodba o obdelavi podatkov navaja, da so njegovi primarni obdelovalni objekti v Združenih državah, Neon pa sklepa pogodbe prek matične družbe v Združenih državah, katere pogoji imenujejo ponudnika iz Združenih držav za spremljanje infrastrukture. Po tej poti potujejo dnevniki zahtev in strežniški dnevniki — vaš naslov IP, uporabniški agent vašega brskalnika, stran, ki ste jo zahtevali, in v nekaterih zapisih o napakah notranji identifikator računa.
• Registracije strank, ki so v pregledu (ime, opis, povezava, uporabniško ime vodje), se za samodejni pregled iz razdelkov 5.1 in 5.2 pošljejo Basetenu v Združenih državah in se tam ne shranjujejo.
• Podrobnosti o dvigu — ciljni naslov, znesek, omrežje in sklic, ki ga temu dvigu damo v svojih zapisih — gredo k Coinbasu, podjetju s sedežem v Združenih državah. Nismo ugotovili, v katerih državah Coinbase sam obdeluje te podatke.
• Operativna opozorila prenaša Amazon Simple Notification Service (razdelek 6), opozorilo pa lahko nosi ciljni naslov denarnice, znesek in omrežje dviga ter sklic, ki ga temu dvigu damo v svojih zapisih, notranji identifikator računa in identifikator stranke. Kadar je bil prenos poslan, lahko opozorilo nosi tudi zgoščeno vrednost te transakcije na blokovni verigi in sklic, ki ji ga je dal ponudnik plačil. Opozorilo nikoli ne nosi imena ali opisa stranke in nikoli ne nosi tega, kar je o njej povedal samodejni pregled. Ta storitev teče v tisti Amazonovi regiji, ki smo jo zanjo nastavili, in ta regija je lahko zunaj Evropske unije. Opozorilo se nato dostavi po e-pošti, eden od naslovov, na katere pride, pa je na naši lastni domeni, ki jo Google Workspace gosti v Združenih državah (razdelek 6).
• Sporočila tistemu, ki je prijavil stranko, prenaša Amazon Simple Email Service v Evropski uniji (na Irskem) — ista regija kot za biometrične podatke, po isti pogodbi.
• Podatki o prijavi gredo k Googlu, ki te podatke obdeluje v Združenih državah in v drugih državah.
• Prehod na preverjanje osebnega dokumenta iz razdelka 4.2 ne pošilja ničesar nikamor, ker ni na voljo in nobenega preverjanja ni mogoče začeti. Družba skupine Didit, ki sklepa pogodbe z naročniki v Evropi, je Didit Identity Spain, S.L., Didit pa navaja, da so njegovi glavni sistemi za obdelavo znotraj Evropskega gospodarskega prostora. To je Diditova lastna navedba in je sami nismo potrdili. Preden bo pot na voljo, bomo v tem razdelku potrdili, kje bi se preverjanje obdelovalo, in poimenovali zaščitni ukrep, ki to pokriva.
• Kar napišete na privacy@worldrepublic.org ali na legal@worldrepublic.org, obdeluje Google Workspace v Združenih državah (razdelek 6).

Za Singapur ne velja noben sklep EU ali švicarski sklep o ustreznosti, za Združene države pa velja le za prejemnike, ki so potrjeni po okviru Data Privacy Framework. Za vse te prenose se ne opiramo na en sam zaščitni ukrep. Raje vam povemo, kateri zaščitni ukrep pokriva katerega prejemnika, kot da bi poimenovali instrument, ki ga nimamo:

• Vercel in Baseten prek Vercelovega prehoda: standardna pogodbena določila Evropske komisije in dodatek o mednarodnem prenosu podatkov Združenega kraljestva, oboje vključeno v Vercelovo pogodbo o obdelavi podatkov. Nismo ugotovili, ali ta pogodba nosi tudi dopolnilo, ki ga zahteva švicarsko pravo. Z Basetenom nimamo ločene pogodbe.
• Google, za naše poštne predale: Googlovi standardni pogoji za Workspace, ki vključujejo Googlov dodatek o obdelavi podatkov in standardna pogodbena določila.
• Google, za prijavo: nobenega svojega. Google sam odloča, kako ravna s prijavo, zato tu ne ravna le po naših navodilih in z Googlom za prijavo nimamo pogodbe o obdelavi podatkov. Google navaja, da je potrjen po okviru EU–ZDA Data Privacy Framework. Za ta prenos nismo pridobili nobenega ločenega instrumenta.
• AWS: pogodba o obdelavi podatkov z AWS. Vaši biometrični podatki se hranijo v Evropski uniji (na Irskem) in se sploh ne prenašajo iz Evropske unije. Ko prenesete kopijo podob iz svojih lastnih preverjanj obraza (razdelek 10.1), jih vaš brskalnik pridobi neposredno od AWS v Evropski uniji (na Irskem), ne glede na to, kje ste: ne gredo prek naših strežnikov in od tega, kar prenesete, ne hranimo nobene kopije. Zgoraj opisana operativna opozorila se prenašajo po isti pogodbi, in sicer v tisti Amazonovi regiji, ki smo jo za ta opozorila nastavili. Sporočila, ki jih pošljemo tistemu, ki je prijavil stranko, se prenašajo po isti pogodbi, v Evropski uniji (na Irskem).
• Neon: Neonovi standardni pogoji, ki veljajo samodejno, ko Neon uporabljamo. Določila o prenosu za to pogodbo so v pogojih Neonove matične družbe in jih še nismo pridobili.
• Coinbase: Coinbasovi standardni pogoji za razvijalce. Razumemo, da ti pogoji nosijo prilogo o prenosu, vendar tega še nismo potrdili.

Kadar prenos pokriva sklep o ustreznosti — Evropska unija in Švica druga drugo priznavata — se opremo na ta sklep in noben nadaljnji instrument ni potreben.

Še dve stvari, ki bi ju morali vedeti, namesto da ju domnevate. Za nobenega od zgoraj navedenih prenosov nismo opravili ocene učinka prenosa. Ne opiramo se na nobene dopolnilne ukrepe poleg varnostnih ukrepov iz razdelka 11. Delamo na tem, da manjkajoče instrumente vzpostavimo, in ta razdelek bomo posodobili, ko bo vsak od njih vzpostavljen.

Od nas lahko zahtevate kopijo zgoraj navedenih zaščitnih ukrepov. Pišite na privacy@worldrepublic.org (razdelek 10.1).

8. Hramba podatkov

9. Izbris računa

Svoj račun lahko izbrišete v Storitvi. Izbris uniči biometrične podatke, ki jih AWS hrani v našem imenu, in odstrani vaše zapise o preverjanju. Uniči vaše poverilnice za prijavo — povezavo z vašim Google Računom in vsak ključ za dostop — tako da se v račun ni več mogoče prijaviti. Če se pozneje znova prijavite, dobite nov in prazen račun. Vaše uporabniško ime nadomesti z naključno ustvarjenim, odstrani pa tudi naslov IP in podrobnosti o napravi, ki se hranijo ob vaših zapisih o soglasju. Znotraj naše podatkovne baze se te spremembe izvedejo v naši glavni podatkovni bazi, tisti, na kateri deluje Storitev. Ponudnik naše podatkovne baze hrani zgodovino za obnovitev podatkovne baze, ki jo imamo trenutno nastavljeno na približno šest ur, in lastne varnostne kopije, za katere navaja, da jih hrani 30 dni; z njim še nismo potrdili, kaj te varnostne kopije zajemajo. Kar izbrišemo, ostane v tej zgodovini in v teh varnostnih kopijah, dokler ne potečejo. Kopijo naše podatkovne baze naredimo samo za preizkus spremembe Storitve ali za obnovitev po okvari in jo izbrišemo, ko je to delo končano. Kopija, narejena, preden ste izbrisali svoj račun, hrani to, kar je vsebovala, dokler ni izbrisana, nato pa lahko ostane v varnostnih kopijah ponudnika, dokler ne potečejo. Enako velja za vsak zapis, za katerega razdelek 8 pravi, da ga izbrišemo iz svoje podatkovne baze.

Z izbrisom računa zapade tudi vaše stanje WDD, tekoče nagrade pa se prekličejo — to so nagrade, ki so se vam še sproščale. To je določilo Pogojev uporabe in ne vprašanje zasebnosti, določa pa ga razdelek 8.5 Pogojev uporabe. Če želite obdržati svoje stanje, ga dvignite, preden izbrišete račun. Za uničenje svojih biometričnih podatkov vam ni treba izbrisati računa: razdelek 4.4 opisuje to ločeno pot, ki pusti vaše stanje WDD nedotaknjeno.

Izbris ne odstrani vsega in raje poimenujemo, kaj ostane, kot da bi temu rekli anonimno. Vaš račun ima notranji identifikator, ki ga ne izbrišemo, in skoraj vsi ti zapisi ostanejo pripeti na ta identifikator:

• Da ste glasovali na posameznih testnih volitvah in kdaj — ne pa, za katero stranko ste glasovali, kar se ne hrani skupaj z vašim računom. Razdelek 5.3 pove, kdaj je glasovnico še vedno mogoče povezati z osebo, ki jo je oddala. Zapis, da ste glasovali, se hrani zato, da volilna udeležba na vsakih volitvah ostane resnična.
• Vaš zapis o WDD — vsaka nagrada, ki vam je bila dodeljena, shranjena kot tekoča nagrada, ki jo je sproščala v vaše stanje, vsaka sprememba te tekoče nagrade in vsak dvig, ki ste ga opravili: ciljni naslov denarnice, znesek in omrežje ter, kadar dviga ni bilo mogoče poslati, zapis o tem poskusu. Vaše stanje se postavi na nič in vaše tekoče nagrade se odstranijo, ostane pa zapis o tem, kaj je bilo dodeljeno in kaj izplačano. To je naš zapis o WDD, ki smo ga dodelili, in o WDD, ki smo ga izplačali (razdelek 8).
• Koda za povabilo, ustvarjena za vaš račun, ki je v Storitvi nič ne uporablja (razdelek 3.1).
• Dokaz o vsakem soglasju, ki ste ga dali, in o vsakem, ki ste ga preklicali — kateri dokument, katera različica, kdaj, jezik in zaslon, na katerem je bila izjava prikazana, ter pri soglasju za štetje glasu, katere volitve (razdelek 8).
• Da ste potrdili, da ste stari 18 let ali več, in kdaj — hrani se kot dokaz, da smo vprašali in da ste odgovorili (razdelek 3.1). Datuma rojstva ne hranimo, zato ni datuma rojstva, ki bi ga bilo treba odstraniti.
• Stranka, ki ste jo registrirali, ki ostane v registru. Naključno ustvarjeno uporabniško ime nadomesti uporabniško ime, ki ste ga izbrali, kot ime vodje te stranke.
• Operativna opozorila o tem, da je šlo nekaj narobe, in njihove kopije v poštnih predalih, ki jih prejemajo — opozorilo lahko nosi ciljni naslov denarnice, znesek in omrežje dviga ter sklic, ki ga temu dvigu damo v svojih zapisih, notranji identifikator računa in identifikator stranke. Kadar je bil prenos poslan, lahko opozorilo nosi tudi zgoščeno vrednost te transakcije na blokovni verigi in sklic, ki ji ga je dal ponudnik plačil. Opozorilo nikoli ne nosi imena ali opisa stranke in nikoli ne nosi tega, kar je o njej povedal samodejni pregled. Opozorilo je sporočilo o enem dogodku in ne zapis, ki bi se hranil pod vašim računom, zato nosi tiste od teh identifikatorjev, ki jih je imel ta dogodek. Izbris vašega računa teh ne izbriše (razdelek 8).
• Strežniški dnevniki in dnevniki napak, ki jih naša ponudnika gostovanja in podatkovne baze hranita obdobje, ki ga ne nadzorujemo. Vrstica dnevnika lahko nosi notranji identifikator vašega računa, naslov, s katerega je prišla zahteva, in stran, ki jo je zahtevala. Izbris vašega računa teh dnevnikov ne izbriše (razdelek 8).
• Varnostni revizijski dnevnik naših računov v oblaku in naš zapis o dostopu do podob iz preverjanj obraza (razdelek 8, ki pove, kako dolgo se hrani vsak od njiju). Njuni vnosi lahko nosijo notranji identifikator vašega računa ali navedejo eno od vaših sej preverjanja obraza. Vnosi o vaših preverjanjih obraza lahko nosijo tudi identifikator, ki ga je AWS dodelil vašemu brskalniku. Vnosi o vaših preverjanjih živosti in o vaših lastnih prenosih podob iz preverjanj obraza nosijo tudi naslov IP in uporabniški agent brskalnika, vnos o dodajanju vašega obraza v zbirko pa beleži, kje so na referenčni podobi vaše oči, nos in usta ter kakšen je kot vaše glave, nikoli pa same podobe ali predloge. Uničenje vaših podatkov o obrazu, ki ga sproži izbris, doda svoje vnose, izbris vašega računa pa ne izbriše nobenega od teh vnosov.
• Datumi na samem računu — kdaj je bil račun ustvarjen, kdaj se je nazadnje spremenil in kdaj je bil izbrisan.

Ti zapisi so psevdonimizirani, ne anonimni, in to razliko je vredno povedati. Nobeden od njih ne nosi vašega e-poštnega naslova. Nobeden ne nosi vašega imena ali uporabniškega imena, ki ste ga izbrali. Skoraj vsi ti zapisi ostanejo pripeti na isti notranji identifikator, zato jih je še vedno mogoče brati kot zapise enega računa. Nekatere vrste zapisov so pri tem izjema in vsaka je navedena zgoraj: operativno opozorilo je sporočilo o enem dogodku in ne zapis, ki bi se hranil pod računom, vrstica strežniškega dnevnika ali dnevnika napak ter vnos v varnostnem revizijskem dnevniku ali v našem zapisu o dostopu do podob iz preverjanj obraza pa notranji identifikator nosita le včasih. Ciljni naslov denarnice je več kot psevdonimni identifikator: je trajni identifikator na javni blokovni verigi, in vsak, ki že pozna kakšen vaš naslov, lahko vidi plačila, opravljena na ta naslov. Če bi tem zapisom rekli anonimni, to ne bi bilo res, zato jim tako ne rečemo.

Preden izbrišete račun, lahko shranite kopijo svojih podatkov, in to je vredno storiti najprej (razdelek 10.1). Ko je račun izbrisan, te poti ni več: kopija se zgradi za račun, ki je prijavljen, v izbrisan račun pa se ni mogoče prijaviti. Pozneje tudi ne bi imeli načina, da se prepričamo, da zahteva o izbrisanem računu prihaja od človeka, čigar račun je bil (razdelek 10.3). Kopija v aplikaciji ne vsebuje podob iz vaših preverjanj obraza; te se prenesejo ločeno, v razdelku Račun → Preverjanje, in tako kot kopije jih ni več mogoče prenesti, ko je račun izbrisan.

Glasovi, ki ste jih oddali, ostanejo upoštevani. Vaša izbira je del skupne vsote stranke in se ne hrani skupaj z vašim računom, zato od nje ni ničesar, kar bi lahko odstranili posebej. Izbris računa zabeleži vaše soglasje za njihovo štetje kot preklicano, in sicer na dan izbrisa. Če testne volitve, na katerih ste glasovali, ob izbrisu še potekajo, se vaši biometrični podatki uničijo, ko se te volitve končajo, in ne takoj (glejte razdelek 4.5).

10. Vaše pravice

Glede na to, kje živite, imate morda spodaj navedene pravice. Njihovo uveljavljanje vas praviloma nič ne stane (razdelek 10.5) in zaradi njihovega uveljavljanja ne boste obravnavani drugače.

• EU/EGP in Združeno kraljestvo (GDPR / UK GDPR): dostop, popravek, izbris, omejitev obdelave, prenosljivost, ugovor in preklic soglasja. Kadar je bila odločitev o vas sprejeta izključno s samodejnimi sredstvi in ima za vas znaten učinek — zavrnitev, opisana v razdelku 4.1, in odločitev o uvrstitvi na seznam iz razdelka 5.1 — imate tudi pravico doseči posredovanje človeka z naše strani, izraziti svoje stališče in izpodbijati odločitev; pišite na privacy@worldrepublic.org. Obe odločitvi sprejemamo s samodejnimi sredstvi, ker je vsaka od njiju nujna za storitev, ki ste jo zahtevali od nas. Pri zavrnitvi so to testne volitve, na katerih ima ena preverjena oseba en glas. Pri odločitvi o uvrstitvi na seznam je to register, v katerem je vsak vnos resnična registracija stranke. Zavrnitev odloča o posebni vrsti podatkov — vaših biometričnih podatkih — pogoj, na katerega se pri tem opiramo, pa je izrecno soglasje, ki ga daste ob preverjanju obraza (razdelek 4.4). Odločitev o uvrstitvi na seznam nikoli ne temelji na političnih mnenjih, ki jih registracija izraža; ta mnenja se berejo le kot del besedila, ki se preverja, javna pa jih naredite sami s tem, da stranko registrirate za objavo (razdelek 5.1). Odgovor iz razdelka 5.2 je v obeh pogledih drugačen: stališče, ki ga stranka objavi o UI, dejansko bere, ne spremeni pa ničesar pri tem, kako je vaša stranka prikazana, razen če bralec zahteva prikaz samo strank, ki povedo, kaj želijo glede UI (razdelek 5.2). Lahko zahtevate, da ga pregleda človek, in lahko mu ugovarjate, ker se pri njem opiramo na svoj zakoniti interes (razdelek 10.6). Pritožite se lahko pri svojem lokalnem nadzornem organu; za namene GDPR v EU je naš vodilni nadzorni organ madžarski NAIH (razdelek 14).
• Švica (revFADP): dostop, popravek, izbris, prenosljivost podatkov (28. člen revFADP), ugovor in pravica do pritožbe pri zveznem pooblaščencu za varstvo podatkov in informacije (FDPIC). Pri samodejni zavrnitvi, opisani v razdelku 4.1, lahko tudi predstavite svoje stališče in zahtevate, da odločitev pregleda človek.
• Brazilija (LGPD): potrditev, da obdelujemo vaše podatke, dostop, popravek, anonimizacija ali izbris, prenosljivost, informacije o tem, s kom smo delili vaše podatke, in preklic soglasja.
• Kalifornija (CCPA/CPRA): vedeti, izbrisati, popraviti, zavrniti prodajo/deljenje (ne prodajamo in ne delimo) ter omejiti uporabo občutljivih osebnih podatkov (kar vključuje biometrične podatke).
• Biometrični zakoni (Illinois BIPA, Texas CUBI, Washington): pred zbiranjem biometričnih podatkov pridobimo vaše soglasje, s temi podatki nikoli ne trgujemo, jih ne prodajamo, ne dajemo v najem in iz njih ne ustvarjamo dobička na noben drug način ter se držimo pisnega načrta hrambe in uničenja. Nikoli niso del združitve, prevzema ali prenosa premoženja (razdelek 6).

Soglasje za štetje svoje glasovnice (razdelek 5.3) lahko kadar koli prekličete: v aplikaciji odprite Račun → Preverjanje → Preklic mojega soglasja k obdelavi glasu. Preklic velja za vse volitve, na katerih ste glasovali, dan preklica pa zabeležimo (razdelek 8). Preklic ne vpliva na zakonitost štetja vaših glasov pred preklicem. Že preštet glas ostane v skupni vsoti stranke: vaša izbira je del te vsote in se ne hrani skupaj z vašim računom, zato od nje ni ničesar, kar bi lahko odstranili posebej (razdelek 9). Preklic ne skrajša obdobij iz razdelka 5.3, v katerih je glasovnico še vedno mogoče povezati z vami. Ko boste naslednjič glasovali, vas bomo znova prosili za soglasje.

10.1 Kako jih uveljavite

Poti sta dve. Prva odgovori na dostop in prenosljivost na mestu, ne da bi kogar koli prosili.

• V aplikaciji. Odprite nastavitve računa; v razdelku Račun je vrstica Vaši podatki. Zgradi kopijo vsega, kar hranimo o vas in do česar lahko pridemo iz vašega računa — stran, ki jo lahko preberete, in strojno berljivo datoteko, ki jo lahko izročite drugi storitvi. Zgradi se v trenutku, ko zanjo zaprosite, za račun, ki zaprosi, in ni shranjena nikjer: nobene kopije ne hranimo in ni povezave, ki bi jo bilo mogoče komu poslati. To je naš odgovor na dostop in na prenosljivost in za to vam ni treba prositi nas. Ta kopija ne vsebuje podob, ki so jih pri nas pustila vaša preverjanja obraza: ostanejo zunaj datoteke, namenjene predaji naprej. Namesto tega jih prenesite v razdelku Račun → Preverjanje, kjer jih dobite kot samostojno datoteko — vsako podobo, ki se hrani pod vašimi lastnimi preverjanji obraza, in nikoli nobene, ki se hrani pod preverjanji koga drugega. Izbris računa je na istem zaslonu.
• Pisno. Vse drugo — popravek, omejitev obdelave, ugovor, vprašanje o podatkih, ki jih hranijo naši ponudniki (razdelka 4.3 in 6), ali pritožba zoper odločitev — pošljite na privacy@worldrepublic.org.

Prijava v Storitev nam ne pusti nobenega vašega e-poštnega naslova (razdelek 3.1), zato lahko praviloma odgovorimo samo na naslov, s katerega nam pišete. Ena izjema je in je ozka. Če prijavite stranko, obdržimo naslov, ki ste ga navedli v tisti prijavi, in ga uporabimo za to prijavo in za nič drugega: da potrdimo, da jo imamo, in da vam sporočimo, kaj smo odločili. Ne uporabimo ga za odgovor na drugo vprašanje, za obvestilo o spremembi tega pravilnika ali za pošiljanje česar koli, česar niste zahtevali. Je tudi del zapisa o odločitvi, zato ga razdelek 8 hrani, namesto da bi ga opustil, ko sta obe sporočili odposlani.

10.2 Koliko časa porabimo

Balázs Kónya, član odbora, je odgovoren za odgovore na zahteve, poslane na privacy@worldrepublic.org, v spodaj navedenih rokih. Ne obljubljamo krajšega notranjega roka, kot ga zahteva zakon: cilj, ki ga nihče ne izpolnjuje, je slabši od zakonskega, ki je izpolnjen, spodnji roki pa so tisti, po katerih delamo.

Rok teče od dneva, ko zahteva prispe k nam — ne od dneva, ko vas dokončno identificiramo, in ne od dneva, ko najdemo to, kar ste zahtevali. Po GDPR in UK GDPR odgovorimo brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu od prejema. Kadar je zahteva zapletena ali kadar ste jih podali več, lahko vzamemo do dveh dodatnih mesecev; v prvem mesecu vam bomo sporočili, da to delamo, in zakaj.

Kadar zakon, ki velja tam, kjer živite, določa kaj drugega, ravnamo tako:

• Združeno kraljestvo. Če razumno potrebujemo več informacij, da vas identificiramo ali da najdemo to, kar ste zahtevali, se rok ustavi od dneva, ko vprašamo, do dneva, ko odgovorite. Vprašali bomo le tam, kjer resnično ne moremo nadaljevati brez tega.
• Brazilija. Potrdimo, ali obdelujemo vaše podatke, in vam do njih omogočimo dostop v poenostavljeni obliki takoj, v celoti pa v 15 dneh od vaše zahteve.
• Švica. Praviloma odgovorimo v 30 dneh. Odgovor vsebuje to, kar mora vsebovati po drugem odstavku 25. člena revFADP, vključno s prejemniki ali kategorijami prejemnikov, ki jim gredo vaši podatki, in, kadar gredo v tujino, s tem, v katero državo gredo in na katere zaščitne ukrepe se opiramo — razdelka 6 in 7 oboje določata vnaprej.
• Kalifornija. Prejem potrdimo v 10 delovnih dneh in odgovorimo v 45 dneh, kar lahko enkrat podaljšamo za nadaljnjih 45 dni, če vam povemo, zakaj.

10.3 Kako vemo, da ste to vi

O vas ne hranimo nobenega osebnega dokumenta in nobenega naslova, zato je spodnje zaporedje to, kar imamo. Po njem se pomikamo navzdol in se ustavimo pri prvem koraku, ki vas identificira.

1. Vaš prijavljeni račun. Kopija v aplikaciji in prenos podob iz vaših preverjanj obraza se zgradita za račun, ki zanju zaprosi, v trenutku, ko zaprosi. Nič vas ne identificira bolje, zato je to prva pot v razdelku 10.1 in ne zgolj priročnost.
2. Ključ za dostop, registriran za ta račun. Če ne morete do aplikacije, vas lahko prosimo, da opravite prijavo s ključem za dostop s poverilnico, ki jo račun že ima.
3. Google Račun, povezan z njim. Če ste se prijavili z Googlom, vas lahko prosimo, da izkažete nadzor nad tem računom tako, da se z njim prijavite.
4. Več informacij. Če nič od tega ni mogoče, vas lahko prosimo za dodatne informacije, ki jih razumno potrebujemo, da se prepričamo, da je zahteva vaša, in za nič več od tega.
5. Pisna zavrnitev. Če se še vedno ne moremo prepričati, vam to sporočimo pisno, v roku iz razdelka 10.2, z našimi razlogi in s pritožbeno potjo iz razdelka 10.4. Raje zavrnemo zahtevo, ki je ne moremo umestiti, kot da nanjo odgovorimo napačni osebi.

Naslova denarnice nikoli ne bomo sprejeli kot dokaza o tem, kdo ste. Dvigi se opravljajo na javnih blokovnih verigah, zato lahko naslov, ki ste ga uporabili, poimenuje vsak, ki bere blokovno verigo; to, da ga nekdo pozna, ne dokazuje ničesar, podpis sporočila z njim pa bi dokazoval nadzor nad ključem, in ne nad tem računom.

Prav tako vas za odgovor na zahtevo ne bomo prosili za osebni dokument. Nimamo nobenega osebnega dokumenta, s katerim bi ga primerjali, zato nam ne bi povedal ničesar, vas pa bi stal več, kot je zahteva vredna.

10.4 Če zavrnemo

Če na vašo zahtevo ne ukrepamo, vam bomo v roku iz razdelka 10.2 povedali, zakaj, in vam povedali, kaj storiti naprej. Pritožite se lahko pri organu za varstvo podatkov tam, kjer živite — za namene EU pri madžarskem NAIH, v Švici pri FDPIC, v Združenem kraljestvu pri ICO (razdelek 14) — in lahko se obrnete na sodišče. Nobena od teh poti ni odvisna od našega soglasja.

V Združenem kraljestvu imate tudi pravico, da se pritožite neposredno pri nas. Prejem pritožbe potrdimo v 30 dneh in vam brez nepotrebnega odlašanja sporočimo izid. Pritožba pri nas ni pogoj za pritožbo pri ICO.

10.5 Koliko stane

Nič. Kadar je zahteva očitno neutemeljena ali pretirana — zlasti kadar ponavlja zahtevo, na katero smo že odgovorili — nam zakon dovoljuje, da zaračunamo razumno pristojbino ali da zahtevo zavrnemo, in če bomo kdaj storili eno ali drugo, bomo povedali, kaj in zakaj. Raje eno zahtevo zavrnemo z razlogi, kot da bi vsem drugim določili ceno.

Za strojno berljivo datoteko in prenos podob iz vaših preverjanj obraza velja skupna majhna omejitev, koliko kopij je mogoče narediti v 24 urah. To ni pristojbina in ne gre za zmogljivost: tu je zato, da nekdo, ki se dokoplje do vaše seje, ne more tiho znova in znova odnesti celotnega vašega zapisa. Nikoli vam ne prepreči branja kopije na zaslonu in nikoli vam ne prepreči, da nam pišete.

10.6 Dve pravici, ki ju izvedemo ročno

Dostop, prenosljivost in izbris so v aplikaciji in zanje ni potrebna nobena zahteva. Omejitev obdelave in ugovor nista. Nimamo stikala, ki bi ustavilo obdelavo enega dela vašega zapisa, preostanek pa pustilo delovati, zato zahtevo za omejitev ali ugovor izvedemo mi, ročno, primer za primerom, v rokih iz razdelka 10.2. Pišite nam, povejte, kaj želite ustaviti in kaj je v vašem položaju takega, da je to pomembno, mi pa bomo to pretehtali in vam povedali, kaj smo storili. Raje vam povemo, da je to ročno, kot da bi to sklepali iz tega, koliko časa traja.

11. Varnost

Uporabljamo TLS pri prenosu in shrambo z nadzorovanim dostopom. Neposreden dostop do naše podatkovne baze je omejen na ljudi, ki jih pooblastimo za izvajanje Storitve, na ponudnike naše podatkovne baze in gostovanja ter na programsko opremo, ki jo uporabljamo za izvajanje Storitve. Kopijo naše podatkovne baze naredimo samo za preizkus spremembe Storitve ali za obnovitev po okvari in jo izbrišemo, ko je to delo končano. Kopija vsebuje iste podatke, razdelek 9 pa pove, kako dolgo hrani to, kar izbrišemo. Noben sistem ni popolnoma varen, vendar si prizadevamo zaščititi vaše podatke.

12. Otroci

Storitev je namenjena odraslim, starim 18 let ali več. Preden preverimo vašo identiteto, vas prosimo, da potrdite, da ste stari 18 let ali več, in ne preverimo nikogar, ki tega ne potrdi. Zabeležimo le, da je bila potrditev dana, in kdaj; za datum rojstva vas ne vprašamo.

Zavestno ne zbiramo podatkov od nikogar, mlajšega od 18 let. Če izvemo, da hranimo podatke o osebi, mlajši od 18 let, njen račun zapremo in njene biometrične podatke uničimo, kot določa razdelek 2 našega Pravilnika o hrambi in uničenju biometričnih podatkov. Če menite, da ima račun nekdo, mlajši od 18 let, pišite na privacy@worldrepublic.org.

13. Spremembe

Ta pravilnik lahko posodobimo. Ko to storimo, novo besedilo objavimo na tej strani in popravimo zgornji datum »Zadnja posodobitev«. Sprememba tega pravilnika začne veljati, ko jo objavimo. Ta pravilnik opisuje, kaj z vašimi podatki dejansko počnemo, zato mora postati resničen v istem trenutku, ko postane resnično to, kar opisuje; če bi spremembo zadržali za mesec dni, bi to pomenilo le, da je bil ta pravilnik en mesec napačen. To ni isto kot pri Pogojih uporabe. Pogoji uporabe so dogovor med vami in nami, razdelek 14 Pogojev uporabe pa vam da 30 dni, preden bistvena sprememba tega dogovora začne veljati za vas.

Ena sprememba je namerno počasnejša. Če kdaj podaljšamo obdobje, za katero hranimo biometrične podatke, daljše obdobje za podatke, ki jih že hranimo, ne velja, dokler sprememba ni objavljena 30 dni. To določa razdelek 6 Pravilnika o hrambi in uničenju biometričnih podatkov in ureja obdobje, navedeno v razdelku 4.5 in v tabeli hrambe v razdelku 8.

Ko se ta pravilnik spremeni, vam ne moremo poslati obvestila. Prijava nam ne pusti nobenega e-poštnega naslova, nobene telefonske številke in nobenega poštnega naslova, ker namerno ne hranimo ničesar od tega (razdelek 3.1), Storitev pa ne nosi nobene pasice ali sporočila, ki bi vam to lahko povedalo. Če ste prijavili stranko, hranimo naslov, ki ste ga navedli v tisti prijavi — in ga za to ne bomo uporabili, prav tako ne za kar koli drugega kot za tisto prijavo (razdelek 10.1). To je posledica tega, da hranimo tako malo: razen naslova, navedenega v prijavi o stranki, o vas ne hranimo nobenih kontaktnih podatkov. Razdelek 10.1 pove isto za vse drugo — odgovorimo lahko samo na naslov, s katerega nam pišete. Zato je ta stran obvestilo: trenutno besedilo je vedno tukaj, zgornji datum pa je datum, ko smo ta pravilnik nazadnje spremenili.

Ta pravilnik je napisan v angleščini, objavljamo pa ga tudi v drugih jezikih. Za vas velja različica v jeziku, ki vam ga je prikazala Storitev. Kadar se ta različica in angleško besedilo razlikujeta, velja pomen, ki je za vas ugodnejši.

14. Kontakt

• Zasebnost: privacy@worldrepublic.org
• Kontakt v Evropski uniji: Balázs Kónya, član odbora, 3626 Hangony, Dózsa György út 5., Madžarska (privacy@worldrepublic.org)
• Vodilni nadzorni organ v EU: madžarski Nacionalni organ za varstvo podatkov in svobodo obveščanja (NAIH), Budimpešta — naih.hu
• Švicarski nadzorni organ: zvezni pooblaščenec za varstvo podatkov in informacije (FDPIC), Bern
• Nadzorni organ v Združenem kraljestvu: Urad informacijskega pooblaščenca (ICO), Wilmslow — ico.org.uk