Source: https://sklep.kontrak.pl/RODO_ochrona_danych_osobowych
Timestamp: 2019-06-24 16:18:52+00:00

Document:
RODO ochrona danych osobowych - Sklep Online Internetowy Kontrak
» RODO ochrona danych osobowych
Niniejszy dokument zatytułowany „Polityka ochrony danych osobowych” (dalej jako Polityka) ma za zadanie stanowić mapę wymogów, zasad i regulacji ochrony danych osobowych w Kontrak s. c. T. Kowalski, M. Lewandowski (dalej jako Spółka).
Odpowiedzialni za wdrożenie i utrzymanie niniejszej Polityki są wspólnicy Spółki. Również wspólnicy odpowiadają za nadzór i monitorowanie przestrzegania Polityki.
RODO – oznaczarozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1).
Dane – oznaczają dane osobowe, o ile co innego nie wynika wyraźnie z kontekstu.
Dane wrażliwe – oznaczają dane specjalne i dane karne.
Dane specjalne – oznaczają dane wymienione w art. 9 ust. 1 RODO, tj. dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej.
Dane karne – oznaczają dane wymienione w art. 10 RODO, tj. dane dotyczące wyroków skazujących i naruszeń prawa.
Dane dzieci – oznaczają dane osób poniżej 16. roku życia.
Osoba – oznacza osobę, której dane dotyczą, o ile co innego nie wynika wyraźnie z kontekstu.
Podmiot przetwarzający – oznacza organizację lub osobę, której Spółka powierzyła przetwarzanie danych osobowych (np. usługodawca IT, zewnętrzna księgowość).
Eksport danych – oznacza przekazanie danych do państwa trzeciego lub organizacji międzynarodowej.
IOD lub Inspektor – oznacza Inspektora Ochrony Danych Osobowych
RCPD lub Rejestr – oznacza Rejestr Czynności Przetwarzania Danych Osobowych.
Spółka – oznacza spółkę Kontrak s. c. T. Kowalski, M. Lewandowski, ul. Dorodna 16, 03-195 Warszawa.
Zawiadamianie o naruszeniach. Spółka ustala konieczność zawiadomienia osób dotkniętych zidentyfikowanym naruszeniem ochrony danych.
Spółka przestrzega następujących zasad zarządzania minimalizacją (privacy by default):
zasada zarządzania adekwatnością danych;
zasada reglamentacji i zarządzania dostępem do danych;
zasada zarządzania okresem przechowywania danych i weryfikacji dalszej przydatności;
przeprowadza oceny skutków dla ochrony danych tam, gdzie ryzyko naruszenia praw i wolności osób jest wysokie – wzór takiej oceny stanowi Załącznik nr 13 – „Ocena skutków dla ochrony danych”;
posiada system zarządzania bezpieczeństwem informacji – który stanowi Załącznik nr 3 – „Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych”
stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Urzędowi Ochrony Danych − zarządza incydentami – wskazane w punkcie 12.8 poniżej.
Przetwarzający. Spółka posiada zasady doboru przetwarzających dane na rzecz Spółki, wymogów co do warunków przetwarzania (umowa powierzenia), zasad weryfikacji wykonywania umów powierzenia – Załącznik nr 1 „Lista sprawdzająca”.
Eksport danych. Spółka weryfikuje, czy przekazuje dane do państw trzecich (czyli poza UE, Norwegię, Lichtenstein, Islandię) lub do organizacji międzynarodowych oraz zapewnienia zgodnych z prawem warunków takiego przekazywania, jeśli ma ono miejsce.
Przetwarzanie transgraniczne. Spółka weryfikuje, kiedy zachodzą przypadki przetwarzania transgranicznego oraz zasady ustalania wiodącego organu nadzorczego i głównej jednostki organizacyjnej w rozumieniu RODO.
W Rejestrze, dla każdej czynności przetwarzania danych, którą Spółka uznała za odrębną dla potrzeb Rejestru, Spółka odnotowuje co najmniej: (i) nazwę czynności, (ii) cel przetwarzania, (iii) opis kategorii osób, (iv) opis kategorii danych, (v) podstawę prawną przetwarzania, wraz z wyszczególnieniem kategorii uzasadnionego interesu Spółki, jeśli podstawą jest uzasadniony interes, (vi) opis kategorii odbiorców danych (w tym przetwarzających), (viii) informację o przekazaniu poza EU/EOG; (ix) ogólny opis technicznych i organizacyjnych środków ochrony danych.
Spółka wskazuje w Rejestrze podstawy prawne (wynikające z RODO) przetwarzania danych dla poszczególnych czynności przetwarzania.
Wspólnicy Spółki mają obowiązek znać podstawy prawne, na jakich Spółka dokonuje konkretnych czynności przetwarzania danych osobowych.
Prawa osób trzecich. Realizując prawa osób, których dane dotyczą, Spółka wprowadza proceduralne gwarancje ochrony praw i wolności osób trzecich. W szczególności w przypadku powzięcia wiarygodnej wiadomości o tym, że wykonanie żądania osoby o wydanie kopii danych lub prawa do przeniesienia danych może niekorzystnie wpłynąć na prawa i wolności innych osób (np. prawa związane z ochroną danych innych osób, prawa własności intelektualnej, tajemnicę handlową, dobra osobiste itp.), Spółka może zwrócić się do osoby w celu wyjaśnienia wątpliwości lub podjąć inne prawem dozwolone kroki, łącznie z odmową zadośćuczynienia żądaniu. Odpowiednie procedury stanowią Załączniki 7-12 do niniejszej Polityki.
Spółka stosuje Politykę czystego biurka – stanowiącą Załącznik nr 4 do niniejszej Polityki.
Spółka stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Urzędowi Ochrony Danych w terminie 72 godzin od ustalenia naruszenia – Załączniki 5 i 6 do niniejszej Polityki.
12.8 Procedura w przypadku stwierdzenia naruszenia danych osobowych
W przypadku stwierdzenia naruszenia bezpieczeństwa ochrony danych osobowych w pomieszczeniach wchodzących w skład obszaru przetwarzania danych osobowych, nośników danych, danych w formie papierowej, systemu informatycznego, urządzenia przetwarzającego dane osobowe, mebla, w którym przechowywane są dane, itp.; a także w przypadku podejrzenia takiego naruszenia, należy:
niezwłocznie powiadomić telefonicznie lub osobiście Administratora (rozumiejąc pod tym pojęciem każdego ze wspólników) o podejrzeniu lub fakcie naruszenia,
powstrzymać się od wszelkich działań mogących utrudnić ustalenie okoliczności naruszenia,
zabezpieczyć pomieszczenie do czasu przybycia Administratora,
Administrator, kiedy otrzyma zgłoszenie naruszenia bezpieczeństwa danych osobowych:
ocenia zakres oraz rodzaj naruszenia ochrony danych,
określa przyczyny oraz skutki naruszenia bezpieczeństwa danych,
w przypadku danych przetwarzanych w systemie informatycznym: sprawdza, na którym stanowisku pracy nastąpiło naruszenie i czy użytkownik pracujący przy stanowisku, z którego nastąpiło naruszenie dostatecznie zabezpieczył stanowisko pracy przed wyłączeniem komputera,
określa działania i środki, jakie należy podjąć w celu przywrócenia systemu zabezpieczeń do poprawnego funkcjonowania i przybliżonego czasu odtworzenia
określa działania i środki, jakie należy podjąć w celu uniemożliwienia naruszenia ochrony danych osobowych w przyszłości,
niezwłocznie informuje o zdarzeniu właściwy organ - Urząd Ochrony Danych Osobowych
zaniedbania zabezpieczenia danych osobowych,
utrudniania i uniemożliwiania wykrycia naruszenia danych
Administrator jest uprawniony do dyscyplinowania osób odpowiedzialnych za zaistniały stan.
Spółka posiada zasady doboru i weryfikacji przetwarzających dane na rzecz Spółki opracowane w celu zapewnienia, aby przetwarzający dawali wystarczające gwarancje wdrożenia odpowiednich środków organizacyjnych i technicznych dla zapewnienia bezpieczeństwa, realizacji praw jednostki i innych obowiązków ochrony danych spoczywających na Spółce – stanowiące Załącznik nr 1 do Polityki – „Wzór listy sprawdzającej”.
Spółka przechowuje dane osobowe przez okres nie dłuższy, niż jest to niezbędne do celów, dla realizacji których dane te są przetwarzane. Nie mogą być przetwarzane w nieskończoność „na zapas” i w każdym przypadku będzie podlegało ocenie, czy są one niezbędne w kontekście realizacji konkretnych celów.
Spółka usuwa dane osobowe, gdy:
minął okres ich przydatności;
okaże się, że cel który chcemy osiągnąć, nie wymaga już przetwarzania takich danych.
Istnieją przepisy szczególne regulujące obowiązek przetwarzania pewnych informacji przez z góry ustalony okres albo regulujące okresy przedawnienia roszczeń (przez który uzasadnione jest przechowywanie danych osobowych):
Dane pracownicze – art. 51 u ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach oraz art. 125a ust 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (50 lat).
Dane kontrahentów (osób prowadzących działalność gospodarczą) – art. 118 Kodeksu cywilnego (3 lata).
Dane kontrahentów (będących konsumentami) – art. 118 Kodeksu cywilnego (10 lat).
Dokumenty związane z ubezpieczeniami społecznymi – art. 24 ust. 4 ustawy z dnia 13 października 1998 r.o systemie ubezpieczeń społcznych (5 lat).
Dokumenty podatkowe – art. 70§1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (5 lat).
W pozostałych przypadkach, dane osobowe będą przetwarzane do czasu osiągnięcia przez Spółkę określonego w rejestrze czynności przetwarzania, celu.
Po upływie okresu przez jaki dane mogą być przechowywane, Spółka będzie dokonywała ich protkolarnego usunięcia:
Jeśli chodzi o dane w formie papierowej, to osoba wyznaczona przez Spółkę dokona protokolarnego fizycznego zniszczeia dokumentów umieszczając je w niszczarce.
Jeśli chodzi o dane w formie elektronicznej, to osoba wyznaczona przez Spółkę, dokona usunięcia tych danych - w zależności od sytuacji i wytycznych Spółki – poprzez:
protokolarną likwidacja sprzętu i nośników zawierających dane osobowe,
bieżące usuwanie danych z systemów.
Spółka może również korzystać z usług wyspecjalizowanych firm, oferujących usługi ww. zakresie.
Załącznik nr 1 Lista sprawdzająca procesora
Załącznik nr 2 Umowa powierzenia przetwarzania danych
Załącznik nr 3 Instrukcja zarządzania systemem informatycznym
Załącznik nr 4 Polityka czystego biurka
Załącznik nr 5 Ewidencja naruszeń
Załącznik nr 6 Zgłoszenie naruszenia ochrony danych osobowych Prezesowi UOD
Załącznik nr 7 Postępowanie w przypadku sprzeciwu wobec przetwarzania danych osobowych
Załącznik nr 8 Postępowanie w przypadku wniosku o przeniesienie danych osobowych
Załącznik nr 9 Procedura w przypadku wniosku o sprostowanie (skorygowanie, uzupełnienie) danych osobowych
Załącznik nr 10 Procedura w przypadku wniosku o prawo dostępu do danych osobowych
Załącznik nr 11 Procedura w przypadku wniosku o ograniczenie przetwarzania
Załącznik nr 12 Procedura w przypadku wniosku o usuniecie danych osobowych
Załącznik nr 13 Ocena skutków dla ochrony danych

References: art. 9
 art. 10
 art. 51
 art. 125
 art. 118
 art. 118
 art. 24
 art. 70