Source: https://biznespromotion.pl/nasz-sklep/polityka-prywatnosci.html
Timestamp: 2020-02-25 10:45:19+00:00
Document Index: 92765431

Matched Legal Cases: ['art. 24', 'art. 11', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 32', 'art. 32']

Zgodnie z art. 24 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych
i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO), Iwona Rybak prowadząca działalność gospodarczą pod nazwą: Biznes Promotion Iwona Rybak (dalej: ADO, Administrator, Administrator danych osobowych lub), uwzględniając charakter, zakres, kontekst i cele przetwarzania danych osobowych, jak również ryzyko naruszenia praw lub wolności osób, niniejszym wdraża Politykę ochrony danych osobowych (dalej także: Polityka ochrony danych), wskazując w niej stosowane przez siebie środki prawne oraz środki techniczne i organizacyjne, służące ochronie procesów przetwarzania danych osobowych oraz zapewnieniu, że przetwarzanie to będzie się odbywać zgodnie z prawem i będzie odbywało się z poszanowaniem praw osób, których dane dotyczą.
Polityka ochrony danych osobowych określa wdrożone środki prawne służące zapewnieniu przetwarzania danych osobowych zgodnie z prawem oraz środki techniczne i organizacyjne, zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną.
Niniejszy dokument opisuje reguły ochrony danych osobowych przetwarzanych w sposób zautomatyzowany, częściowo zautomatyzowany, jak również w innych formach.
Polityka Ochrony Danych Osobowych wchodzi w życie z dniem 25 maja 2018 roku. Wszystkie osoby, które w imieniu ADO przetwarzają dane osobowe, są zobowiązane do zapoznania się z niniejszą Polityką Ochrony Danych Osobowych i przestrzegania jej postanowień.
Realizacja postanowień Polityki Ochrony Danych Osobowych ma zapewnić:
przetwarzanie danych osobowych zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą,
zbieranie danych osobowych w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami,
adekwatność przetwarzania danych osobowych, tj. przetwarzanie ich stosownie
do celów, w których dane osobowe są przetwarzane oraz tylko w niezbędnym zakresie,
zapewnienie prawidłowości przetwarzania danych osobowych oraz możliwości ich uaktualnienia, jak również zapewnienie możliwości usunięcia nieprawidłowych danych osobowych lub ich sprostowania i w razie potrzeby uaktualniana,
przechowywanie w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane,
przetwarzanie danych osobowych w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.
Zasady określone w Polityce Ochrony Danych Osobowych mają zastosowanie do całego systemu informacyjnego, a także poza nim, który jest w dyspozycji Administratora Danych Osobowych, w szczególności do:
wszystkich istniejących, wdrażanych obecnie lub w przyszłości systemów informatycznych, w których przetwarzane są informacje podlegające ochronie,
wszystkich lokalizacji – budynków i pomieszczeń, w których są lub będą przetwarzane informacje podlegające ochronie.
Użyte w Polityce Ochrony Danych Osobowych określenia oznaczają:
przetwarzanie danych osobowych – oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie,
bezpieczeństwo systemu informatycznego i systemu tradycyjnego – środki organizacyjne i techniczne wdrożone w celu zabezpieczenia zasobów Przedsiębiorstwa oraz ochrony przed zniszczeniem, modyfikacją, nieuprawnionym dostępem
i ujawnieniem lub pozyskaniem danych osobowych, a także ich utratą,
Administrator Danych Osobowych (ADO) – podmiot decydujący o celach i sposobach przetwarzania danych osobowych. Administratorem Danych Osobowych jest;
osoba upoważniona – osoba posiadająca upoważnienie wydane przez ADO, dopuszczona do przetwarzania danych osobowych, w zakresie wskazanym w upoważnieniu.
Celem wdrożenia niniejszej Polityki Ochrony Danych Osobowych jest ochrona systemów informatycznych i systemów tradycyjnych jako całości, jak również ich poszczególnych elementów, a przede wszystkim zapewnienie technicznych i organizacyjnych uwarunkowań mających wpływ na zarządzanie systemem informatycznym i systemem tradycyjnym, w takim tylko zakresie, w jakim przetwarzania danych osobowych dokonuje Administrator, w szczególności poprzez:
działanie zgodne z przepisami prawa,
zapobieganie uzyskania dostępu do danych osobowych przez osoby nieupoważnione,
określenie procedur postępowania w przypadku naruszenia zasad niniejszego dokumentu oraz zgłaszania przypadków naruszeń,
ustalenie i odpowiednie zabezpieczenie pomieszczeń lub ich części tworzących obszar, w którym są przetwarzane dane,
podnoszenie świadomości współpracowników, mających dostęp do przetwarzanych danych osobowych.
Do obowiązków Administratora Danych Osobowych, w zakresie przetwarzania danych osobowych przez Biznes Promotion Iwona Rybak należy w szczególności:
nadzór ogólny nad realizacją przepisów wynikających z RODO, w tym monitorowanie przestrzegania RODO oraz innych przepisów ustalających zasady przetwarzania danych,
zapewnienie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem przepisów ochrony danych osobowych oraz zmianą, utratą, uszkodzeniem lub zniszczeniem,
organizowanie szkoleń w zakresie przetwarzania danych osobowych i sposobów ich ochrony,
zapewnienie kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane, monitorowanie zastosowanych środków ochrony,
informowanie Współpracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich w związku z przetwarzaniem danych osobowych i doradzanie im w tej sprawie,
współpraca z organem nadzorczym oraz pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem danych osobowych.
Administrator Danych Osobowych pozyskuje, przy wykorzystaniu swojej strony internetowej pliki cookies. Pliki te nie pozwalają na identyfikację użytkowników stron, dlatego znajduje do nich zastosowanie art. 11 RODO. W konsekwencji Administrator nie ma obowiązku zachowania, uzyskania ani przetworzenia dodatkowych informacji w celu zidentyfikowania osoby, wyłącznie w tym celu, aby zastosować się do RODO.
W systemach informatycznych i systemach tradycyjnych przetwarzane są informacje służące wykonywaniu działalności gospodarczej przez ADO. Te informacje przetwarzane są w formie elektronicznej oraz w formie papierowej.
Rejestr czynności przetwarzanych danych osobowych znajduje się w załączniku nr 1
do niniejszej Polityki Ochrony Danych Osobowych – Rejestr czynności przetwarzania danych osobowych. Dokument ten zawiera m.in. zakres przetwarzanych danych osobowych oraz kategorie przetwarzanych danych osobowych.
poprzez oświadczenie osoby, których dane dotyczą (bezpośrednio od osoby, której dane dotyczą) – w ten sposób pozyskiwane są dane osobowe na etapie składania oferty oraz dane osobowe Współpracowników,
ze źródeł publicznie dostępnych (przede wszystkim z Internetu) – w ten sposób pozyskiwane są dane osobowe Reprezentantów Kontrahentów,
poprzez wykorzystanie formularza kontaktowego na stronie internetowej ADO – w ten sposób ADO pozyskuje dane osób fizycznych, najczęściej reprezentantów potencjalnych Kontrahentów. Dane są udostępniane w celu umożliwienia kontaktu pomiędzy osobą fizyczną a ADO,
od swoich kontrahentów, w ramach zawartych umów powierzenia danych osobowych, w których ADO występuje w charakterze podmiotu, któremu powierzono dane osobowe.
Przetwarzanie danych osobowych osób zainteresowanych ofertą składaną przez Biznes Promotion Iwona Rybak do podjęcia współpracy odbywa się na podstawie uregulowanej w art. 6 ust. 1 lit. b RODO, tj. podjęcia działań na żądanie osoby, która swoje dane podała. Jeśli kandydat chce uczestniczyć w Realizacji umowy przez ADO, wówczas konieczne jest wyrażenie zgody (na podstawie art. 6 ust. 1 lit. a RODO). Poniżej zamieszczono wzór informacji do umieszczenia w ofercie:
Administratorem Pani/Pana danych osobowych pozyskanych na etapie składania oferty przez ADO jest firma pod nazwą: Biznes Promotion Iwona Rybak. Wszystkie informacje dotyczące Administratora znajdują się pod linkiem [www.biznespromtoion.pl, www.gifts24.pl]. Dane są zbierane dla potrzeb Realizacji oferty, a po wyrażeniu przez Panią/Pana zgody, także dla Realizacji umowy podpisanej z Biznes Promotion Iwona Rybak. Podanie wymaganych danych osobowych jest dobrowolne, ale konieczne do realizacji zlecenia na podstawie zawartej umowy. Zgoda może zostać w każdym czasie wycofana.
„Wyrażam zgodę na przetwarzanie przez moich danych osobowych, wskazanych w ofercie, na potrzeby Realizacji zlecanej umowy.”
ADO dba, aby:
zapytanie o udzielenie zgody było sformułowane w sposób przejrzysty,
zgoda pozyskiwana była w formie aktywnego działania osoby, która ją wyraża (np. poprzez wskazanie zgody w treści e-mail),
nie używać, do pozyskiwania zgód, uprzednio zaznaczonych checkboxów, ani żadnych innych form zakładających wyrażenie zgody,
klauzula zgody sformułowana była przy użyciu prostego, jasnego i łatwego do zrozumienia języka,
wyjaśnić osobie, od której dane osobowe pozyskuje, jaka jest przyczyna i cel ich pozyskania,
w treści zgody określić jasno nazwę administratora danych osobowych oraz konkretne nazwy innych podmiotów, które będą mogły przetwarzać dane na podstawie wyrażonej zgody,
poinformować osoby wyrażające zgodę o możliwości jej wycofania, bez negatywnych konsekwencji,
rejestrować to, w jaki sposób, oraz kiedy zgoda została pozyskana od konkretnej osoby,
regularnie weryfikować udzielone zgody w celu ustalenia, czy nie uległ zmianie kontekst ich pozyskiwania, czy cele pozostają aktualne oraz czy określone operacje i czynności przetwarzania pozostają odpowiednie do realizacji tych celów,
uwzględnić fakt wycofania zgody niezwłocznie, w najszybszym możliwym terminie.
Odnośnie danych osobowych Reprezentantów Kontrahentów pozyskiwanych ze źródeł publicznie dostępnych, podstawą przetwarzania tych danych osobowych jest art. 6 ust. 1 lit. f RODO, a więc przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administratora. Podkreślenia wymaga, że dane te są pozyskiwane np. z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, Krajowego Rejestru Sądowego lub stron internetowych Kontrahentów. Dane te, za wyjątkiem imienia i nazwiska, odnoszą się wyłącznie do informacji o charakterze służbowym – służbowego adresu korespondencyjnego, numeru telefonu lub adresu e-mail. Dane wykorzystywane są wyłącznie dla celów działalności gospodarczej prowadzonej przez Administratora, tj. świadczenia usług marketingu internetowego. W konsekwencji, ze względu na zakres przetwarzanych danych osobowych, źródło ich pozyskania, jak również cel ich wykorzystania, niezasadne jest uznanie, że interesy lub podstawowe prawa i wolności osoby, której dane dotyczą mają nadrzędny charakter wobec interesów Administratora. Wobec tych osób, ADO spełnia obowiązek informacyjny przy nawiązaniu korespondencji elektronicznej w ten sposób, że w stopce maila znajduje się link do odpowiedniej klauzuli informacyjnej.
Administratorem Pani/Pana danych osobowych jest Biznes Promotion Iwona Rybak Wszystkie informacje dotyczące Administratora znajdują się pod linkiem [www.biznespromotion.pl, www.gifts24.pl]. Podanie wymaganych danych osobowych jest dobrowolne, ale konieczne w celu nawiązania i prowadzenia współpracy gospodarczej.
Po nawiązaniu kontraktu, w zależności od konkretnego przypadku, dane osobowe mogą być przetwarzane dalej na podstawie udzielonej zgody, o której mowa powyżej. Dane te mogą być również przetwarzane na podstawie art. 6 ust. 1 lit. b RODO, tj. w celu podjęcia działań na żądanie osoby, która podała dane osobowe, np. w związku z planowanym zawarciem umowy pomiędzy podmiotem zgłaszającym zapytania a ADO. Względnie dalsze przetwarzanie danych osobowych jest również możliwe na podstawie art. 6 ust. 1 lit. f RODO (w celu realizacji prawnie uzasadnionego interesu ADO).
Niektóre dane osobowe Reprezentantów Kontrahentów pozyskiwane są poprzez wykorzystanie formularza kontaktowego na stronie internetowej ADO. Przesłanką legalizującą przetwarzanie tych danych osobowych jest zgoda osoby podającej dane osobowe na ich przetwarzanie przez ADO,
art. 6 ust. 1 lit. a RODO. Zgoda udzielana jest poprzez zaznaczenie odpowiedniego checkboxa. Poniżej zamieszczono propozycję informacji do umieszczenia na stronie internetowej:
Administratorem Pani/Pana danych osobowych będzie Biznes Promotion Iwona Rybak. Wszystkie informacje dotyczące Administratora znajdują się pod linkiem [www.biznespromotion.pl; www.gifts24.pl]. Podanie wymaganych danych osobowych jest dobrowolne, ale konieczne w celu przesłania zapytania przy użyciu formularza kontaktowego oraz uzyskania odpowiedzi. Udzielona zgoda na przetwarzanie danych osobowych może zostać w każdym czasie wycofana.
Wyrażam zgodę na przetwarzanie przez moich danych osobowych, zawartych w formularzu kontaktowym, w celu udzielenia odpowiedzi na przesłane przeze mnie zapytanie.
Po otrzymaniu zapytania i udzieleniu odpowiedzi, w zależności od konkretnego przypadku, dane osobowe mogą być przetwarzane dalej na podstawie udzielonej zgody, o której mowa powyżej. Dane te mogą być również przetwarzane na podstawie art. 6 ust. 1 lit. b RODO, tj. w celu podjęcia działań na żądanie osoby, która podała dane osobowe, np. w związku z planowanym zawarciem umowy pomiędzy podmiotem zgłaszającym zapytania a ADO. Względnie dalsze przetwarzanie danych osobowych jest również ewentualnie możliwe na podstawie art. 6 ust. 1 lit. f RODO (w celu realizacji prawnie uzasadnionego interesu ADO).
Ponadto ADO występujące jako podmiot, któremu Kontrahenci – administratorzy powierzyli przetwarzanie danych osobowych swoich klientów (konsumentów). Następuje to w związku z realizacją usług marketingu internetowego przez ADO na rzecz Kontrahentów. ADO nie decyduje o celach i sposobach przetwarzania danych osobowych, a przetwarza je na podstawie umowy o powierzeniu przetwarzania danych osobowych – wzór stosownej umowy znajduje się w załączniku nr 9 – Wzór umowy o powierzeniu przetwarzania danych osobowych (wzór 2). Ponadto w związku z przyjęciem powierzonych danych osobowych, ADO prowadzi, w formie elektronicznej, rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora, zawierający następujące informacje:
dane podmiotu przetwarzającego oraz każdego administratora, w imieniu którego ADO działa podmiot przetwarzający,
gdy ma to zastosowanie – przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej,
ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa
Rejestr wszystkich kategorii czynności przetwarzania został zawarty w załączniku nr 11.
Zakres przetwarzania danych osobowych przez ADO obrazuje poniższa tabela:
Zakres przetwarzania danych osobowych przez ADO
L.p. Zbiór danych osobowych Sposoby przetwarzania danych osobowych w systemie informacyjnym Sposoby przetwarzania danych osobowych w systemie tradycyjnym
1. Dane osobowe Kandydatów do podjęcia współpracy – zbieranie danych osobowych przy wykorzystaniu portali internetowych do Realizacji oferty,
– przechowywanie danych osobowych na dyskach twardych komputerów lub serwerach zewnętrznych oraz na serwach obsługujących pocztę elektroniczną,
– opracowywanie danych osobowych dla potrzeb Realizacji oferty (w tym analiza danych osobowych itp.),
– powierzanie danych osobowych podmiotom obsługującym serwery poczty elektronicznej oraz serwery zewnętrzne, na których przechowywane są dane osobowe,
– usuwanie danych osobowych z serwerów poczty elektronicznej oraz serwerów zewnętrznych, jak również dysków twardych.
– przechowywanie danych osobowych klientów w formie wydruków,
– opracowywanie danych osobowych dla potrzeb prowadzonej rekrutacji (w tym analiza danych osobowych, itp.),
– usuwanie danych osobowych zgromadzonych w formie wydruków.
2. Dane osobowe Współpracowników – przechowywanie danych osobowych na dyskach twardych komputerów lub serwerach zewnętrznych, pendrivie oraz na serwach obsługujących pocztę elektroniczną,
– opracowywanie danych osobowych dla potrzeb realizacji oferty (w tym dla potrzeb rozliczeń z Urzędem Skarbowym, Zakładem Ubezpieczeń Społecznych),
– powierzenie przetwarzania danych osobowych SimplyTax Monika Dobrzycka (dla celów rozliczeń księgowych)
– zbieranie danych osobowych poprzez oświadczenia klientów,
– przechowywanie danych osobowych Współpracowników w celu realizacji stosunku umownego,
– opracowywanie danych osobowych dla potrzeb realizacji stosunku umownego (w tym np. rozliczeń z Urzędem Skarbowym oraz Zakładem Ubezpieczeń Społecznych),
– usuwanie danych osobowych zgromadzonych w formie tradycyjnej.
3. Dane osobowe Reprezentantów Kontrahentów – zbieranie danych osobowych – pozyskiwanie ich ze źródeł powszechnie dostępnych (przede wszystkim z Internetu) oraz przy pomocy formularza kontaktowego na stronie internetowej ADO,
– opracowywanie danych osobowych dla potrzeb prowadzonej przez Administratora Danych Osobowych działalności gospodarczej,
– przechowywanie danych osobowych w formie wydruków,
– usuwanie danych osobowych.
4. Dane osobowe w zakresie powierzonym (Konsumentów) – przechowywanie danych osobowych na wewnętrznym serwerze (odciętym od Internetu). –
Spełnienie obowiązku informacyjnego wobec osoby, której dane osobowe są przetwarzane
ADO spełnia obowiązek informacyjny wobec klienta przy okazji udzielenia zgody na przetwarzanie danych osobowych (istnieje możliwość kliknięcia w link, w którym przedstawione są wszelkie niezbędne informacje na temat ADO).
ADO spełnia obowiązek informacyjny wobec klientów, w formie pisemnej, przy okazji zawarcia umowy.
Obowiązek informacyjny wobec Reprezentantów Kontrahentów, Administrator spełnia obowiązek informacyjny poprzez odpowiednią treść stopki maila, w której wskazane są dane ADO. Administrator może nie spełnić obowiązku informacyjnego wobec Reprezentantów Kontrahentów, jeśli udzielenie informacji byłoby niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. Obowiązek informacyjny zostaje spełniony poprzez przesłanie wiadomości e-mail. Obowiązek informacyjny wobec Reprezentantów Kontrahentów, którzy nawiązali kontakt poprzez stronę internetową, następujące przy okazji udzielenia zgody na przetwarzanie danych osobowych (istnieje możliwość kliknięcia w link, w którym przedstawione są wszelkie niezbędne informacje na temat ADO).
Wzory klauzul informacyjnych znajdują się w załączniku nr 2 do niniejszej Polityki Ochrony Danych Osobowych – Wzory klauzul informacyjnych.
Prawo dostępu do danych, poprawienia danych oraz sprzeciwu wobec ich przetwarzania
Każda osoba jest uprawniona do uzyskania potwierdzenia, czy jej dane osobowe są przetwarzane przez Administratora Danych Osobowych. W przypadku, gdy Administrator Danych Osobowych potwierdzi, ze dane osobowe tej osoby są przetwarzane, osobie tej zostanie umożliwiony dostęp do jej danych, a ADO na jej żądanie przedstawi następujące informacje:
informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych. ADO nie przekazuje danych osobowych do państw trzecich, jednakże gdyby tak się stało, wówczas Administrator Danych Osobowych poinformuje o stosowanych zabezpieczeniach przekazywanych danych;
w miarę możliwości, planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
informację o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania;
informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu oraz istotne informacje o zasadach podejmowania decyzji, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Wzór informacji, która powinna być przesłana do osoby, które dane osobowe są przetwarzane przez ADO został zawarty w załączniku nr 3 – Instrukcja usuwania danych osobowych.
Administrator danych osobowych, dostarcza osobie, której dane dotyczą, jedną kopię jej danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie przetwarzanych danych osobowych, których wydania zażąda osoba, której dane są przetwarzane, ADO może pobrać opłatę z tytułu poniesienia kosztów administracyjnych związanych z wydaniem kolejnej kopii.
Jeżeli osoba, której dane dotyczą, zwraca się o doręczenie kopii jej danych osobowych drogą elektroniczną i nie wskaże innego sposobu dostarczenia danych osobowych, ADO udzieli stosownej informacji przesyłając wiadomość w formie elektronicznej.
ADO zapewni, że uzyskanie kopii danych osobowych przez osobę, której dane dotyczą, nie wpłynie niekorzystanie na prawa i wolności innych osób.
Ponadto osoba, której dane dotyczą, ma prawo żądać od ADO, aby jej nieprawidłowe dane osobowe zostały niezwłocznie sprostowane. ADO, biorąc pod uwagę cel przetwarzania danych osobowych, uzupełni niekompletne dane osoby, która tego zażąda. Uzupełnienie może w szczególności polegać na przedstawieniu przez tę osobę dodatkowego oświadczenia wobec Administratora Danych Osobowych. Administrator Danych Osobowych poinformuje każdego odbiorcę danych osobowych, o ich sprostowaniu na skutek zgłoszonego żądania, chyba że okazałoby się to niemożliwe lub wymagałoby to niewspółmiernie dużego wysiłku. ADO informuje osobę, której dane dotyczą, na jej żądanie, o odbiorcach, których poinformowano o sprostowaniu danych.
Administrator Danych Osobowych przestrzega zasad przechowywania danych osobowych, tylko przez czas, w którym istnieje podstawa prawna legalizująca przetwarzanie danych osobowych określonej osoby.
Administrator Danych Osobowych stosuje Instrukcję Usuwania Danych Osobowych, która została zawarta w załączniku nr 3 – Instrukcja usuwania danych osobowych.
Na żądanie osoby, której dane dotyczą, Administrator Danych Osobowych przekaże innemu administratorowi jej dane osobowe pod warunkiem, że:
administrator, któremu dane mają być przekazane, stosuje ten sam co ADO format danych osobowych, nadający się do odczytu komputerowego, jak również pod warunkiem, że istnieje techniczna możliwość przekazania danych osobowych administratorowi,
przetwarzanie odbywa się na podstawie zgody na przetwarzanie danych osobowych lub przetwarzanie szczególnych kategorii danych osobowych lub jeśli przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy,
ADO zapewni, że wykonanie przekazania danych innemu administratorowi, nie wpłynie niekorzystanie na prawa i wolności innych osób.
Zasady nadawania uprawnień do przetwarzania danych osobowych
ADO będzie przetwarzał dane osobowe samodzielnie. W pozostałym zakresie do przetwarzania danych osobowych dopuszczone są wyłącznie osoby pisemnie upoważnione przez Administratora Danych Osobowych do przetwarzania danych osobowych. Zasady nadawania upoważnień do przetwarzania danych osobowych oraz wzór upoważnienia, znajduje się w załączniku nr 4 – Zasady nadawania uprawnień do przetwarzania danych osobowych.
Administrator Danych Osobowych prowadzi rejestr osób upoważnionych do przetwarzania danych osobowych, którego wzór znajduje się w załączniku nr 4 – Zasady nadawania uprawnień do przetwarzania danych osobowych.
W przypadku zlecenia osobom lub podmiotom zewnętrznym wykonania usługi związanej z przetwarzaniem danych osobowych, o ile usługa ta będzie miała charakter dorywczy i nie będzie związana z powierzeniem przetwarzania danych osobowych, Administrator Danych Osobowych wyda takiej osobie stosowne upoważnienie.
Wszystkie osoby, których rodzaj wykonywanej pracy będzie wiązał się z dostępem do danych osobowych, przed przystąpieniem do pracy, podlegają szkoleniu podstawowemu w zakresie obowiązujących przepisów prawa dotyczących ochrony danych osobowych oraz obowiązujących zasad ochrony danych osobowych określonych w niniejszej Polityce Ochrony Danych Osobowych. Szkolenie przeprowadza Administrator Danych Osobowych albo inna osoba przez niego wyznaczona.
Osoba upoważniona do przetwarzania danych osobowych potwierdza zapoznanie się z przepisami dotyczącymi ochrony danych osobowych oraz Polityką Ochrony Danych Osobowych poprzez złożenie stosownego oświadczenia. Ponadto osoba taka składa oświadczenie o zachowaniu poufności przy przetwarzaniu danych osobowych. Wzór oświadczenia znajduje się w załączniku nr 4 – Zasady nadawania uprawnień do przetwarzania danych osobowych.
Za bezpieczeństwo danych osobowych odpowiada ADO oraz wszyscy współpracownicy ADO, w szczególności wszystkie osoby upoważnione do przetwarzania danych.
Zasady postępowania przy naruszeniach danych osobowych
W przypadku naruszenia ochrony danych osobowych, Administrator Danych Osobowych:
określa stopień naruszenia danych osobowych, kwalifikując naruszenie jako niskie, średnie, wysokie, bardzo wysokie,
uzupełnia protokół naruszenia ochrony danych osobowych,
zawiadamia o naruszeniu organ nadzorczy,
powiadamia o naruszeniu, osobę, której dane zostały naruszone, jeśli zostaną ku temu spełnione przesłanki.
Szczegółowe zasady postępowania przy naruszeniach danych osobowych zostały zawarte w załączniku nr 5 – Zasady postępowania przy naruszeniach danych osobowych.
Stosowane przez Administratora Danych Osobowych środki techniczne oraz organizacyjne w celu ochrony danych osobowych
Osoby przetwarzające dane osobowe w imieniu ADO, są w szczególności zobowiązane do:
bezwzględnego przestrzegania zasad bezpieczeństwa przetwarzania danych osobowych, określonych w Polityce Ochrony Danych Osobowych,
przetwarzania danych osobowych przede wszystkim w wyznaczonych do tego celu pomieszczeniach służbowych (lub wyznaczonych ich częściach), a poza tymi pomieszczeniami z najwyższą ostrożnością i w zgodzie z zasadami określonymi w załączniku nr 6 – Zasady przetwarzania danych osobowych w systemie informatycznym. Przetwarzanie danych osobowych w formie tradycyjnej, poza pomieszczeniami służbowymi, jest zabronione,
zabezpieczania danych osobowych przed dostępem osób nieupoważnionych za pomocą środków określonych w załączniku nr 6 – Zasady przetwarzania danych osobowych w systemie informatycznym oraz w załączniku nr 7 – Zasady przetwarzania danych osobowych w systemie tradycyjnym,
niszczenia wszystkich zbędnych nośników zawierających dane osobowe w sposób uniemożliwiający ich odczytanie, zgodnie z zasadami określonymi w załączniku nr 3 – Instrukcja usuwania danych osobowych.
nieudzielania informacji o danych osobowych przetwarzanych innym podmiotom, chyba że obowiązek taki wynika wprost z przepisów prawa i tylko w sytuacji, gdy przesłanki określone w tych przepisach zostały spełnione,
niezwłocznego informowania Administratora Danych Osobowych o wszelkich przypadkach naruszenia bezpieczeństwa danych osobowych.
Szczegółowo środki techniczne i organizacyjne stosowane przez ADO w celu ochrony danych osobowych, zostały wskazane w załączniku nr 6 – Zasady przetwarzania danych osobowych w systemie informatycznym oraz w załączniku nr 7 – Zasady przetwarzania danych osobowych w systemie tradycyjnym.
ADO sprawuje bieżącą kontrolę nad przetwarzaniem danych osobowych. W ramach kontroli, Administrator Danych Osobowych jest zobowiązany do monitorowania i sprawdzania przestrzegania przyjętych procedur ochrony danych osobowych, zgodnie z wytycznymi w załączniku nr 8 – Monitorowanie i sprawdzenie przestrzegania przyjętych procedur.
Zasady postępowania w przypadku naruszenia danych osobowych określa Załącznik nr 5 – Zasady postępowania przy naruszeniach danych osobowych.
Ponadto, w razie bieżącej potrzeby, nie rzadziej niż raz w roku, w terminie do 30. stycznia, ADO weryfikuje niniejszą Politykę Ochrony Danych Osobowych i treść załączników, celem zaktualizowania przyjętych procedur ochrony danych osobowych, w tym środków technicznych i organizacyjnych stosowanych w celu ochrony danych osobowych. Weryfikacja odbywa się przy uwzględnieniu zmian w prawie w zakresie przetwarzania danych osobowych oraz zmian technologicznych, pozwalających lepiej zabezpieczyć dane osobowe.
Administrator Danych Osobowych, w związku ze zleceniem wykonywania niektórych czynności osobom trzecim (przede wszystkim wykonywania czynności księgowych oraz korzystania z serwerów zewnętrznych), powierza przetwarzane dane osobowe osobom trzecim. Warunkiem powierzenia przetwarzania danych osobowych jest zawarcie pisemnej umowy (dopuszczalna jest również forma elektroniczna) powierzenia danych, zawierającej co najmniej:
zapewnienie podmiotu przetwarzającego, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy,
zobowiązanie podmiotu przetwarzającego dane osobowe do podejmowania środków określonych w art. 32 RODO,
biorąc pod uwagę charakter przetwarzania, zobowiązanie podmiotu przetwarzającego,
w miarę możliwości, do pomocy administratorowi poprzez odpowiednie środki techniczne
i organizacyjne wywiązać się z obowiązku odpowiadania na żądanie osoby, której dane dotyczą, w zakresie wykonywania prawa dostępu do danych, ich sprostowania, ograniczenia, usuwania,
uwzględniając charakter przetwarzania oraz dostępne informacje, zobowiązanie podmiotu przetwarzającego do pomocy ADO przy wywiązaniu się z obowiązków określonych
w art. 32–36 RODO,
po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora, zobowiązanie do usunięcia lub zwrotu danych ADO oraz usunięcia wszelkich ich istniejących kopii, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;
zobowiązanie do udostępnia Administratorowi wszelkich informacje niezbędnych do wykazania spełnienia obowiązków przez podmiot przetwarzający oraz zobowiązanie do umożliwienia ADO lub upoważnionemu audytorowi do przeprowadzenia audytu lub inspekcji w zakresie spełnienia tych obowiązków.
ADO stosuje wzór umowy o powierzeniu przetwarzania danych osobowych, zgodnie z załącznikiem nr 9 – Wzór umowy o powierzeniu przetwarzania danych osobowych, przy uwzględnieniu, że możliwe jest wykorzystanie wzoru podmiotu, któremu powierzono przetwarzanie danych osobowych, pod warunkiem, że umowa zawierać będzie co najmniej postanowienia wskazane w punkcie 1.
W związku z okolicznością, iż podmioty, którym ADO powierza przetwarzanie danych osobowych, których jest Administratorem, są podmiotami prowadzącymi działalność gospodarczą związaną z przetwarzaniem danych osobowych na sporą lub dużą skalę, zasadne jest oczekiwanie na propozycje umów ze strony tych podmiotów (w tym w szczególności zmianę regulaminów świadczenia usług przez te podmioty).
Administrator Danych Osobowych zarządza wszelkimi zmianami mającymi wpływ na prywatność, w taki sposób, aby umożliwić zapewnienie odpowiedniego bezpieczeństwa danych osobowych oraz minimalizacji ich przetwarzania. W tym celu zasady prowadzenia projektów i inwestycji przez Administratora odwołują się do zasad prowadzenia projektów i inwestycji przez Administratora odwołują się do zasad bezpieczeństwa danych osobowych i minimalizacji, wymagając oceny wpływu na prywatność i ochronę danych, uwzględnienia i zaprojektowania bezpieczeństwa i minimalizacji przetwarzania danych od początku projekt lub inwestycji.
W celu weryfikacji wdrożenia RODO, możliwe jest zweryfikowanie zgodności stosowanych procedur z RODO, zgodnie z listą zawartą w załączniku nr 10 – Lista kontrolna zgodności z RODO.
Niniejsza Polityka Ochrony Danych Osobowych jest dokumentem wewnętrznym i jest objęta obowiązkiem zachowania w poufności przez wszystkie osoby, którym zostanie ujawniona.
Integralną częścią niniejszej Polityki Ochrony Danych Osobowych stanowią załączniki:
Załącznik nr 1 – Rejestr czynności przetwarzania danych osobowych,
Załącznik nr 2 – Wzory klauzul informacyjnych,
Załącznik nr 3 – Instrukcja usuwania danych osobowych,
Załącznik nr 4 – Zasady nadawania uprawnień do przetwarzania danych osobowych (w tym klauzula zachowania poufności i znajomości Polityki Ochrony Danych Osobowych),
Załącznik nr 5 – Zasady postępowania przy naruszeniach danych osobowych,
Załącznik nr 6 – Zasady przetwarzania danych osobowych w systemie informatycznym,
Załącznik nr 7 – Zasady przetwarzania danych osobowych w systemie tradycyjnym,
Załącznik nr 8 – Monitorowanie i sprawdzanie przestrzegania przyjętych procedur ochrony danych osobowych,
Załącznik nr 9 – Wzór umowy powierzenia przetwarzania danych osobowych,
Załącznik nr 10 – Lista kontrolna zgodności z RODO,
Załącznik nr 11 – Rejestr wszystkich kategorii czynności przetwarzania.
Do spraw nieuregulowanych w Polityce stosuje się przepisy ustawy o ochronie danych osobowych.