Source: https://www.flasz.pro/content/6-polityka-bezpieczenstwa
Timestamp: 2019-02-22 17:14:29+00:00
Document Index: 10288142

Matched Legal Cases: ['art. 89', 'art. 28', 'art. 14', 'art. 6', 'art. 9', 'art. 28', 'Art. 33', 'art. 55', 'Art. 6']

Polityka bezpieczeństwa - FLASZ.pro
II. Deklaracja Administratora Danych Osobowych
1) Przetwarzanie danych przez personel ADO
2) Powierzanie danych osobowych innym firmom i podmiotom
3) Zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach, w tym profilowanie
V. Obowiązki ADO i Personelu
1) Obowiązki ADO
2) Obowiązki Pracowników i Personelu
VI. Realizacja praw podmiotów danych
1) Obowiązki informacyjne przy pozyskiwaniu danych osobowych
2) Informacje, do który może uzyskać dostęp osoba, której dane dotyczą
3) Prawa osób, których dane dotyczą i sposób ich realizacji
1) Prawo do sprostowania danych
2.1 Procedura usunięcia danych osobowych
5) Informowanie osoby, której dane dotyczą o naruszeniu ochrony danych osobowych
VII. Wykaz budynków i pomieszczeń tworzących obszar przetwarzania danych osobowych
1) Obszar przetwarzania danych osobowych
VIII. Środki techniczne i organizacyjnych niezbędne dla ochrony przetwarzanych danych
1) Środki organizacyjne
2) Środki ochrony fizycznej
3) Środki sprzętowe infrastruktury informatycznej i telekomunikacyjnej
4) Środki ochrony w ramach narzędzi programowych i baz danych
Rejestr incydentów i naruszeń ochrony danych w firmie Torby Pro Krzysztof Flasz
Wzór wykazu informacji podawanych przez Administratora Danych Osobowych w przypadku zbierania danych od osoby, której dane dotyczą
Niniejszy dokument wchodzi w skład dokumentacji przewarzania danych osobowych w firmie Torby Pro Krzysztof Flasz, ul. Sportowców 22, 34-100 Wadowice, NIP: 5512537993, REGON: 360365955.
Celem Polityki bezpieczeństwa jest wskazanie działań, jakie należy wykonać oraz ustanowienie zasad i reguł postępowania, które należy stosować, aby właściwie wykonywać obowiązki Administratora danych osobowych w zakresie zabezpieczenia danych osobowych.
Wraz z Instrukcją Zarządzania Systemem Informatycznym Polityka Bezpieczeństwa opisuje sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpieczające dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem, zniszczeniem lub innym zagrożeniem powodującym naruszenie praw i wolności osoby, której dane dotyczą.
Polityka Bezpieczeństwa zostaje zatwierdzona i przyjęta do stosowania:
W niniejszym dokumencie oraz Instrukcji Zarządzania Systemem Informatycznym przyjmuje się następujące definicje:
Krzysztof Flasz zwany dalej ADO lub Administratorem.
Oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określa­jących fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej
Oznacza uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie.
5. Rozporządzenie lub RODO
Niniejsza Polityka Bezpieczeństwa obejmująca zestaw praw, reguł i praktycznych doświadczeń regulujących sposób zarządzania, ochrony i dystrybucji danych osobowych w organizacji ADO.
7. GIODO, UODO
Generalny Inspektor Ochrony Danych Osobowych (do 24 maja 2018 r.) przekształcony w Urząd Ochrony Danych Osobowych (od 25 maja 2018 r.)
Zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych.
9. Pracownik, Personel
Osoby zatrudnione na podstawie stosunku pracy, umów cywilnoprawnych (umowa o dzieło, umowa zlecenia) przez przedsiębiorcę, wykonujące działalność osobiście, jak również osoby odbywające praktyki, stażyści, osoby skierowane do pracy w ramach umów z agencjami pracy tymczasowej wykonujące prace związane z przetwarzaniem danych osobowych u ADO.
Każda osoba w organizacji ADO posiadająca dostęp i korzystająca z narzędzi umożliwiających przetwarzanie danych osobowych na podstawie nadanego upoważnienia i na polecenie ADO.
Ciąg znaków literowych, cyfrowych lub innych, znany jedynie Użytkownikowi Systemu informatycznego. Hasło użytkownika składa się co najmniej z 8 znaków, zawiera małe i wielkie litery oraz cyfry lub znaki specjalne.
12. Identyfikator użytkownika lub login
Ciąg znaków literowych, cyfrowych lub innych jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym
Dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby
14. Integralność danych
Właściwość zapewniająca, że dane osobowe nie zostały zmienione, zmodyfikowane lub zniszczone w sposób nieautoryzowany.
15. Rozliczalność danych
Właściwość zapewniająca możliwość wykazania przestrzegania przepisów i przypisania działania podmiotu w sposób jednoznaczny tylko temu podmiotowi
16. Poufność danych
Właściwość zapewniająca odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych
17. Strona trzecia
18. Profilowanie
19. Pseudonimizacja
20. Podmiot przetwarzający
21. Odbiorca
22. Zgoda
23. Naruszenie ochrony danych osobowych
Oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Przetwarzanie danych osobowych zarówno przez ADO, jak i jego personel odbywa się z poszanowaniem obowiązujących przepisów, dobrych praktyk oraz niniejszej Polityki Bezpieczeństwa.
ADO dokładana wszelkich starań, aby stosowane środki zabezpieczeń danych osobowych były adekwatne do zagrożeń wynikających ze sposobu, jak również kategorii przetwarzanych danych osobowych. W celu dostosowania odpowiednich zabezpieczeń przeprowadzono analizę ryzyka.
przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych, w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”);
ADO jest odpowiedzialny za spełnienie powyższych wymogów i jest w stanie wykazać ich przestrzeganie („rozliczalność”).
W celu zapewniania kontroli i zachowania zasady rozliczalności do przetwarzania danych osobowych dopuszczone są wyłącznie osoby posiadające wiążące upoważnienie do przetwarzania danych nadane przez ADO.
Wzór upoważnienia stanowi załącznik nr 1 do niniejszej Polityki Bezpieczeństwa.
Upoważnienia o których mowa powyżej ewidencjonowane są w Ewidencji upoważnień, która stanowi załącznik nr 2 do niniejszej dokumentacji i prowadzona jest przez ADO.
Każda osoba, z którą podpisane zostało upoważnienie do przetwarzania danych oświadcza jednocześnie, że zobowiązuje się do przestrzegania zapisów prawa oraz wewnętrznych procedur i regulacji ADO, zobowiązując się również do zachowania w tajemnicy przetwarzanych danych oraz sposobów ich zabezpieczenia.
Powyższe oświadczenie i zobowiązanie potwierdzone zostaje w postaci pisemnej uwzględnionej w upoważnieniu do przetwarzania danych osobowych (załącznik nr 1).
Wydanie upoważnienia uznaje się za wydanie polecenia przetwarzania danych przez ADO.
Osoby, które nie realizują powyższych przesłanek (podpisanie upoważnienia oraz oświadczenia i zobowiązania) nie mogą przetwarzać danych osobowych w organizacji ADO.
W ramach prowadzonej działalności ADO może powierzyć dane osobowe, zgodnie z zasadami opisanymi w art. 28 RODO.
ADO powierza dane osobowe wyłącznie podmiotom przetwarzającym, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia RODO i chroniło prawa osób, których dane dotyczą.
Przy powierzeniu danych osobowych zawarta zostaje Umowa powierzenia, w której określa się cel powierzenia, jego zakres oraz zapewnienie podmiotu, któremu dane powierzono do stosowania odpowiedniej ochrony danych i ich zabezpieczenia.
Podmiot, z którym zawarto umowę powierzenia zobowiązany jest do udostępnienia ADO informacji, na temat spełnienia obowiązku zapewnienia należytej ochrony.
Informacja o podmiotach, którym powierzono dane osobowe stanowi załącznik nr 3 do niniejszej Polityki bezpieczeństwa.
3.1 Administrator może korzystać w Sklepie Internetowym z profilowania do celów marketingu bezpośredniego, ale decyzje podejmowane na jego podstawie przez Administratora nie dotyczą zawarcia lub odmowy zawarcia Umowy Sprzedaży, czy też możliwości korzystania z Usług Elektronicznych w Sklepie Internetowym. Efektem korzystania z profilowania w Sklepie Internetowym może być np. przyznanie danej osobie rabatu, przesłanie jej kodu rabatowego, przypomnienie o niedokończonych zakupach, przesłanie propozycji Produktu, który może odpowiadać zainteresowaniom lub preferencjom danej osoby lub też zaproponowanie lepszych warunków w porównaniu do standardowej oferty Sklepu Internetowego. Mimo profilowania to dana osoba podejmuje swobodnie decyzję, czy będzie chciała skorzystać z otrzymanego w ten sposób rabatu, czy też lepszych warunków i dokonać zakupu w Sklepie Internetowym.
3.2 Profilowanie w Sklepie Internetowym polega na automatycznej analizie lub prognozie zachowania danej osoby na stronie Sklepu Internetowego np. poprzez dodanie konkretnego Produktu do koszyka, przeglądanie strony konkretnego Produktu w Sklepie Internetowym, czy też poprzez analizę dotychczasowej historii dokonanych zakupów w Sklepie Internetowym. Warunkiem takiego profilowania jest posiadanie przez Administratora danych osobowych danej osoby, aby móc jej następnie przesłać np. kod rabatowy.
3.3 Osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa.
ADO decyduje o środkach, celach i sposobach przetwarzania danych osobowych, dlatego zobowiązany jest do:
Zastosowania środków technicznych i organizacyjnych niezbędnych do zapewnienia bezpieczeństwa przetwarzanym danym w stopniu adekwatnym do potencjalnego zagrożenia wykazanego w przeprowadzonej analizie ryzyka.
Dopuszczenia do przetwarzania danych osobowych tylko osób upoważnionych.
Prowadzenia dokumentacji określającej sposoby przetwarzania danych osobowych i zapewniającej zachowanie zasady rozliczalności:
Wydawania upoważnień do przetwarzania danych osobowych. Wzór upoważnienia stanowi załącznik nr 1
Ewidencji upoważnień osób uprawnionych do przetwarzania danych osobowych w organizacji ADO. Ewidencja upoważnień stanowi załącznik nr 2.
Ewidencji podmiotów, którym powierzono przetwarzanie danych. Ewidencja podmiotów stanowi załącznik nr 3
Rejestru incydentów i naruszeń ochrony danych. Rejestr stanowi załącznik nr 4.
Rejestru czynności przetwarzanych danych osobowych.
Oraz zadbania o należyte opracowanie i aktualizację wyżej wymienionej dokumentacji, jak również przestrzeganie zasad w niej opisanych.
Zapoznanie osób upoważnionych do przetwarzania danych osobowych z przepisami i zasadami przetwarzania danych osobowych.
Zadbania o zgodne z prawem powierzanie i udostępnianie danych osobowych.
Zapewnienie fizycznych zabezpieczeń pomieszczeń, w których przetwarzane są dane osobowe, jak również kontrolę i nadzór nad osobami, które przebywają w obszarze przetwarzania.
Nadawanie, zmianę lub pozbawienie uprawnień dostępu do systemu informatycznego, w którym przetwarzane są dane osobowe.
Zapewnienie respektowania praw osób, których dane dotyczą, a w szczególności prawa do:
Uzyskania informacji o Administratorze Danych Osobowych.
Uzyskania informacji o celach, zakresie i sposobach przetwarzania danych.
Uzyskania informacji o momencie rozpoczęcia przetwarzania danych.
Uzyskania informacji o tym, jakie dane są przetwarzane.
Uzyskania informacji o źródle, z którego dane pochodzą.
Poniższe obowiązki dotyczą Pracowników, Personelu, jak również wszystkich osób upoważnionych przez ADO do przetwarzania danych osobowych i w szczególności odnoszą się do:
Przestrzegania zaleceń i zasad ochrony danych osobowych wprowadzonych przez ADO.
Ochrony danych osobowych zgodnie z obowiązującymi przepisami prawa.
Przetwarzania danych osobowych tylko w zakresie określonym przez ADO.
Zgłaszania do ADO incydentów wynikających z naruszenia przepisów i zasad ochrony danych, w tym:
Informacji o nieuprawnionym dostępie do danych osobowych.
Usterek i problemów technicznych urządzeń służących do przetwarzania danych osobowych.
Wykrycia wirusów oraz złośliwego oprogramowania, jak również wszelkich innych potencjalnych zagrożeń (w tym np. kradzież lub wyciek danych, atak na system informatyczny etc.)
Wszelkich innych nieprawidłowości i potencjalnych zagrożeń związanych z naruszeniem ochrony danych osobowych.
Zabezpieczenie nośników i dokumentów zawierających dane osobowe przed nieuprawnionym dostępem.
Niszczenie w sposób trwały i niemożliwy do odzyskania dokumentów oraz nośników, na których przechowywane są dane osobowe, których okres przydatności minął.
Niezapisywania haseł dostępu do systemu informatycznego ADO oraz oprogramowania, w którym dane są przetwarzane w formie umożliwiającej dostęp do hasła osobom trzecim i nieuprawnionym.
Administrator danych osobowych podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem udzielić osobie, której dane dotyczą wszelkich informacji, o których mowa w art. 14 i 15 RODO (informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą, Informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą).
W sytuacji pozyskania danych osobowych od osoby, której dotyczą ADO podaje tej osobie wszystkie następujące informacje:
jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do: cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
W sytuacji pozyskania danych osobowych w sposób inny, niż od osoby, której dane dotyczą Administrator danych osobowych podaje osobie, której dane dotyczą, następujące informacje:
Wskazane powyżej informacje Administrator danych osobowych podaje w rozsądnym terminie po pozyskaniu danych osobowych (nie później niż w ciągu miesiąca), mają na uwadze konkretne okoliczności przetwarzania danych osobowych
W przypadku wykorzystania danych osobowych w celu kontaktu z osoba, której dane dotyczą ADO informuje o wskazanych informacjach najpóźniej podczas pierwszego kontaktu.
W przypadku ujawniania danych osobowych innemu odbiorcy ADO informuje o tym osobę, której dane dotyczą najpóźniej przy pierwszym ujawnieniu.
Każda osoba, której dane osobowe przetwarzane są przez Administratora danych osobowych ma prawo do uzyskania potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce jest uprawniona do uzyskania dostępu do nich oraz uzyskania następujących informacji od ADO:
jakie są cele przetwarzania jej danych;
kto jest odbiorcą danych i komu zostają ujawnione w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych;
Osoba, której dane dotyczą ma prawo do uzyskania kopii danych osobowych podlegających przetwarzaniu. Jeśli osoba zwraca się o kopię drogą elektroniczną (np. przez pocztę e-mail) i nie zaznaczy innej formy, ADO przesyła kopię taką samą drogą.
Osoba, której dane dotyczą, ma prawo żądania od ADO niezwłocznego sprostowania dotyczących jej danych osobowych, jeśli są one nieprawidłowe. Dla konkretnego celu osoba, której dane dotyczą może również żądać uzupełnienia niekompletnych danych.
W celu realizacji powyższych zadań ADO dokłada wszelkich starań, aby niezwłocznie reagować na informacje o nieprawidłowych lub niekompletnych danych i dokonać poprawienia / uzupełnienia danych.
W przypadku żądania osoby, której dane dotyczą usunięcia jej danych, ADO usuwa w sposób trwały dane z każdego systemu informatycznego, oraz, jeśli ma to miejsce – danych w formie papierowej oraz z kopii zapasowych, jeśli:
Dane nie są już niezbędne do celu ich pozyskania (np. zrealizowano zamówienie w sklepie internetowym, dokonano zatrudnienia pracownika w procesie rekrutacji).
Osoba, której dane dotyczą cofnęła zgodę, na podstawie której dane są przetwarzane.
Osoba, której dane dotyczą wniesie sprzeciw co do przetwarzania jej danych, a ADO nie ma prawnie uzasadnionego celu dalszego przetwarzania danych.
Żądanie usunięcia nie dotyczy danych, które wymagają od Administratora ich przetwarzania na podstawie obowiązujących przepisów prawa, np. w celach księgowo-podatkowych. W takiej sytuacji dane nadal mogą być przetwarzane w celach uzasadnionych przepisami prawa.
Po otrzymaniu żądania osoby, której dane dotyczą usunięcia jej danych ADO dokonuje sprawdzenia lokalizacji, z jakich należy usunąć dane, w tym dla danych, których przetwarzanie powierzono innym odbiorcom.
Dane zostają w sposób trwały i nieodzyskiwalny usunięte, ze wszystkich miejsc, co do których żądanie usunięcia jest uzasadnione, nie później niż w terminie miesiąca od wpłynięcia żądania.
ADO informuje osobę, której dane dotyczą o usunięciu jej danych. W przypadku posiadania adresu korespondencyjnego, adresu e-mail lub innego zestawu danych niezbędnego do komunikacji, ADO dokonuje ich usunięcia niezwłocznie po przesłaniu komunikatu.
W przypadku wątpliwości ADO co do pochodzenia żądania usunięcia, nie od osoby, której dane dotyczą (np. po otrzymaniu żądania w formie mailowej nie z adresu używanego wcześniej do korespondencji), ma on prawo do wstrzymania się od usunięcia danych do czasu potwierdzenia pochodzenia żądania.
Osoba, której dane dotyczą, ma prawo żądania od ADO ograniczenia przetwarzania w następujących przypadkach:
Jeśli osoba, której dane dotyczą zakwestionowała prawidłowość danych osobowych, ADO wstrzymuje się od przetwarzania takich danych (z wyjątkiem czynności przechowywania danych) do czasu sprawdzenia ich poprawności.
Jeśli dane przetwarzane są niezgodnie z prawem, a osoba, której dane dotyczą sprzeciwia się ich usunięciu.
W przypadku wystąpienia uzasadnionej konieczności usunięcia danych (np. wygaśnięcie celu przetwarzania), ale osoba, której dane dotyczą sprzeciwia się ich usunięciu, ze względu na ustalenie, dochodzenie lub obronę roszczeń.
W przypadku uchylenia ograniczenia przetwarzania (np. ustalono poprawność danych) ADO informuje osobę, której dane dotyczą, o tym fakcie przed ponownym rozpoczęciem przetwarzania danych.
Osoba, której dane dotyczą ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadających się do odczytu maszynowego dane jej dotyczące, które dostarczyła ADO, oraz ma prawo przesłać te dane innemu administratorowi.
W przypadku przetwarzania danych na podstawie uzyskanej zgody lub w celu realizacji umowy, osoba której dane dotyczą ma prawo żądania, by dane osobowe zostały przesłane przez ADO innemu administratorowi, o ile jest to technicznie możliwe.
W przypadku naruszenia ochrony danych osobowych, które może spowodować wysokie ryzyko naruszenia praw i wolności osób, których dane dotyczą ADO bez zbędnej zwłoki zawiadamia osobę o takim naruszeniu.
Zawiadomienie o naruszeniu zawiera co najmniej:
Charakter naruszenia opisany jasnym i prostym językiem
Dane kontaktowe ADO, Inspektora Ochrony Danych lub innej osoby, od której można uzyskać szczegółowe informacje na temat naruszenia (np. informatyka).
Opis możliwych konsekwencji naruszenia danych.
Opis środków zastosowanych lub zaproponowanych przez ADO, które mają zaradzić lub ograniczyć negatywne skutki naruszenia danych.
Obszarem przetwarzania danych osobowych jest siedziba firmy znajdująca się pod adresem: ul. Sportowców 22, 34-100 Wadowice, gdzie dane osobowe przetwarzane są w następujących pomieszczeniach:
- pomieszczenie nr 1 – biuro właściciela (home office)
Administrator danych kontroluje jakie dane osobowe, kiedy i przez kogo zostają do zbioru wprowadzone oraz komu są przekazywane.
Administrator danych prowadzi ewidencję osób upoważnionych do ich przetwarzania.
Opracowano i wdrożono Politykę bezpieczeństwa oraz Instrukcję zarządzania systemem informatycznym.
Osoby upoważnione do przetwarzania danych zobowiązane zostały do zachowania danych w tajemnicy.
Osoby upoważnione do przetwarzania danych zostały zapoznane z obowiązującymi procedurami, przepisami i wytycznymi dotyczącymi przetwarzana danych zgodnie z obowiązującymi przepisami prawa ochrony danych osobowych.
Osoby upoważnione do przetwarzania danych zobowiązane są do ich zabezpieczenia przed dostępem osób nieuprawnionych (w tym innych członków organizacji ADO nieposiadających upoważnienia do przetwarzania tych danych) poprzez:
blokadę komputera lub urządzenia używanego do przetwarzania danych w formie cyfrowej w momencie opuszczenia przez nią pomieszczenia poprzez wylogowanie się z konta lub wyłączenie urządzenia,
zabezpieczenie danych przetwarzanych w formie papierowej przed dostępem osób nieuprawnionych, zwłaszcza w momencie znajdowania się takiej osoby w obszarze przetwarzania danych np. poprzez zamknięcie dokumentów w szafce, biurku, sejfie lub poprzez inne, skuteczne zabezpieczenie,
zabezpieczenie papierowych oraz cyfrowych nośników danych po zakończeniu pracy, jeśli dostęp do pomieszczenia może uzyskać osoba postronna (np. serwis sprzątający, serwis urządzeń, ochrona budynku itd.),
ustawienie ekranów komputerów i innych urządzeń, na których dane są przetwarzane w sposób uniemożliwiający wgląd w dane osobom nieuprawnionych. Dotyczy to zarówno urządzeń znajdujących się w obszarze przetwarzania danych, jak u urządzeń mobilnych, na których dane przetwarzane są poza tym obszarem (np. przez stosowanie filtra prywatyzującego),
Niedopuszczalne jest używanie nośników danych (pendrive, dysk zewnętrzny, telefon i inne) pochodzących z niewiadomego lub niepewnego źródła.
Stosowanie odpowiedniej polityki haseł oraz ich regularną zmianę (szczegóły opisano w Instrukcji zarządzania systemem informatycznym.
Każdy z użytkowników systemu informatycznego, w którym przetwarzane są dane osobowe pracuje na własnym, unikalnym koncie.
Niedopuszczalne jest korzystanie kilku pracowników z jednego konta lub wymiana czy też udostępnienie hasła do takiego konta.
Dane osobowe w formie papierowej przechowywane są w zamkniętej niemetalowej szafie.
Nośnik kopii zapasowych (np. pendrive lub zewnętrzny dysk twardy) przechowywany jest w zamkniętej niemetalowej szafie.
Załącznik nr 1: Wzór upoważnienia do przetwarzania danych wraz z oświadczeniem o zobowiązaniu do zachowania poufności przetwarzanych danych.
Załącznik nr 2: Ewidencja osób upoważnionych do przetwarzania danych osobowych
Załącznik nr 3: Ewidencja podmiotów, którym powierzono przetwarzanie danych.
Załącznik nr 4: Rejestr incydentów i naruszeń ochrony danych w firmie
Załącznik nr 5: Wzór wykazu informacji podawanych przez Administratora Danych Osobowych w przypadku zbierania danych od osoby, której dane dotyczą
Torby Pro Krzysztof Flasz Data…….....
Nr upoważnienia: ……..
W celu zachowania kontroli nad dostępem do danych osobowych ADO upoważnia do przetwarzania danych osobowych:
Panią/Pana ………………………………………………………………………………………………………………
Imię i nazwisko osoby upoważnianej
Która na polecenie ADO będzie przetwarzać dane osobowe w ramach następujących czynności:
(Zaznaczyć odpowiednie, pozostałe skreślić)
Przetwarzanie danych dostawców / kontrahentów
Wyłącznie w zakresie wynikającym z zadań służbowych pracownika / personelu.
Niniejsze upoważnienie zaczyna obowiązywać od daty jego wydania i traci ważność w momencie ustania stosunku o pracę, rozwiązania umowy lub odwołania przez ADO.
Oświadczenie osoby upoważnionej o zobowiązaniu do zachowania poufności przetwarzanych danych
Ja, niżej podpisany/-na zobowiązuje się do zachowania w tajemnicy przetwarzanych danych osobowych i sposobów ich zabezpieczeń, w czasie jak również po ustaniu stosunku pracy, oraz do przestrzegania instrukcji i procedur związanych z ochroną danych osobowych.
Oświadczam, że zapoznałam/zapoznałem się z przepisami o ochronie danych osobowych oraz dokumentami Polityki Bezpieczeństwa danych osobowych i Instrukcją Zarządzania Systemem Informatycznym wprowadzonymi w Torby Pro Krzysztof Flasz.
Ewidencja osób upoważnionych do przetwarzania danych osobowych w Torby Pro Krzysztof Flasz
(nazwa czynności przetwarzania)
Identyfikator użytkownika w systemie informatycznym
1. Administrator danych osobowych dokonał powierzenia danych osobowych w drodze umowy, zgodnie z art. 28 ust. 3 RODO.
2. Dokładne informacje na temat powierzonych danych (ich zakres i zasady powierzenia) określone zostały w dołączonych, zawartych umowach powierzenia danych osobowych.
3. Administrator danych przewiduje powierzenie danych innym podmiotom.
Nazwa podmiotu, któremu powierzono przetwarzanie danych
Nazwa czynności przetwarzania, w ramach której dokonujemy powierzenia
General Logistics Systems Poland Sp. z o.o. ul. Teczowa 10 / 62-052 Komorniki / Gluchowo
Realizacja zamówienia (dostawa produktu)
InPost - INPOST PACZKOMATY
(dawniej: EASYPACK SP. Z O.O.)
ul. Karola Miarki 6-10 lok. 3-4
Niniejszy rejestr prowadzony jest zgodnie z Art. 33 ust. 5 RODO.
W rejestrze należy uwzględniać wszystkie naruszenia i incydenty, nawet jeśli nie powodują one ryzyka naruszenia praw i wolności osób, których dane dotyczą.
W przypadku naruszenia ochrony danych osobowych, Administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzi po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazane organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.
Nazwa administratora danych oraz dane kontaktowe
adres poczty elektronicznej: info@torby.pro
Data naruszenia / incydentu
Podjęte działania zaradcze
Twoje dane osobowe przetwarzane będą przez Krzysztofa Flasza, z którym możesz skontaktować się poprzez pocztę elektroniczną wysyłając wiadomość na adres info@torby.pro. Możesz również skorzystać z poczty tradycyjnej - ul. Sportowców 22, 34-100 Wadowice.
Twoje dane osobowe będą przetwarzane w celu <wpisujemy cel przetwarzania danych – w razie wątpliwości cel określono dla każdej operacji przetwarzania w rejestrze czynności przetwarzania – kolumna B. Jeśli pozyskujemy dane dla różnych celów, należy wpisać wszystkie>. Podstawą prawną przetwarzania danych dla wskazanego celu / celów jest <wpisujemy podstawę prawną z kolumny H rejestru czynności przetwarzania, np. Art. 6, ust. 1, lit. b RODO>.
Twoje dane osobowe będą przetwarzane tylko przez <wpisujemy czas przechowywania danych lub kryteria ustalania tego okresu – np. do czasu ustania obowiązku prawnego, czy np. do czasu rezygnacji osoby, której dane dotyczą z usługi konta w sklepie internetowym. Informację o planowanym terminie usunięcia danych osobowych znajdziemy w kolumnie F Rejestru czynności przetwarzania>
WAŻNE – w przypadku przekazywania danych osobowych do państwa trzeciego (czyli leżącego poza europejskim obszarem gospodarczym) należy o tym poinformować, wraz z informacją o stwierdzeniu lub braku stwierdzenia przez Komisję Europejską odpowiedniego stopnia ochrony danych w takim państwie. Niestety obecnie takie wytyczne nie są jeszcze opublikowane.