fbpx

GDPR

Домашня сторінка GDPR

GDPR

ПОЛІТИКА БЕЗПЕКИ ОБРОБКИ

ОСОБИСТІ ДАНІ

IN

ЦІТОЛЕК СП. Z OO

 

від 31 січня 2024 року

 

Зміст:

 

  1. вступ
  2. Загальні правила
  • визначення
  1. Принципи захисту персональних даних
  2. Спосіб обробки персональних даних
  3. Система захисту персональних даних
  • Реєстр дій з обробки персональних даних
  • Виконання зобов’язань перед особами, яких стосуються персональні дані
  1. Мінімізація даних
  2. Безпека персональних даних
  3. Порушення захисту персональних даних
  • Доручення обробки персональних даних іншим особам
  • Передача персональних даних до третьої країни
  • Прикінцеві положення

 

 

  1. вступ

 

Цю Політику безпеки обробки даних (далі – «Політика») було розроблено для захисту персональних даних, які обробляє Citolek Sp. Z o. (надалі «Компанія»). Метою Політики є забезпечення обробки та захисту персональних даних у Компанії відповідно до положень законодавства шляхом впровадження відповідних технічних та організаційних заходів, спрямованих на ефективне впровадження принципів захисту даних і забезпечення необхідної безпеки для обробки.

 

Ця Політика повністю враховує зобов’язання, що випливають зі ст. 25 та ст. 32 Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27.04.2016 про захист фізичних осіб щодо обробки персональних даних і про вільний рух таких даних, а також про скасування Директиви 95/ 46/EC (Загальний регламент захисту даних) (OJ EU L 119, с. 1), щоб переконатися, що персональні дані в Citolek Sp. z o. (надалі «Компанія»).

 

  1. Загальні правила

 

  1. Політика визначає принципи обробки та захисту персональних даних у Компанії з метою забезпечення відповідності обробки персональних даних вимогам GDPR та положенням обов’язкового польського законодавства щодо обробки персональних даних. Політика є набором і основою вимог, процедур і принципів захисту персональних даних, які реалізуються в Компанії.
  2. Політика включає:

    1. опис принципів захисту даних, які застосовуються в Компанії;
    2. набір процедур, інструкцій та детальних положень щодо обробки персональних даних в Компанії, щодо окремих сфер захисту персональних даних, що є додатками до Політики.
  3. Політика поширюється на всіх співробітників і партнерів Компанії.
  4. Відповідальність за дотримання та виконання положень Політики несуть:

    1. Компанії та її партнерів, які мають право керувати справами Компанії;
    2. організаційні підрозділи Компанії, де обробляються персональні дані;
    3. Співробітники компанії.
  5. Для ефективної реалізації Політики, враховуючи обсяг, контекст і цілі обробки, а також ризик порушення прав і свобод фізичних осіб з різною ймовірністю та серйозністю загрози, Компанія забезпечує:

    1. здійснення відповідних технічних та організаційних заходів для забезпечення відповідності обробки персональних даних вимогам законодавства та необхідної безпеки оброблених персональних даних;
    2. постійний моніторинг відповідності обробки персональних даних вимогам законодавства та проведення постійних переглядів та оновлень заходів, зазначених у пункті 1;
    3. контроль та нагляд за обробкою персональних даних;
  6. Контроль за дотриманням положень Політики здійснює генеральний партнер Компанії.
  7. Нагляд, зазначений у розд 6 спрямована, зокрема, на те, щоб діяльність, пов’язана з обробкою Персональних даних у Компанії, відповідала вимогам законодавства та положенням Політики;
  8. Компанія забезпечує відповідність поведінки своїх підрядників, зокрема Обробників, положенням Політики в належному обсязі в усіх ситуаціях, у яких персональні дані передаються цим організаціям для обробки, включаючи зберігання.
  9. Політика зберігається та надається в паперовій та електронній версіях в центральному офісі Компанії.
  10. Політика доступна:

    1. обов’язково всім особам, уповноваженим обробляти персональні дані в Компанії, з метою надання уповноваженим особам відповідних знань та інформації про принципи та вимоги щодо обробки персональних даних у Компанії;
    2. зацікавлені особи, зокрема фізичні особи, яких стосуються дані, – за їх бажанням.

 

  • визначення

 

Кожного разу, коли в цій Політиці використовуються такі визначення або фрази, вони мають такі значення:

  1. «GDPR»  – означає Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27.04.2016 про захист фізичних осіб щодо обробки персональних даних і про вільний рух таких даних, а також про скасування Директиви 95/46/ЄС (Загальний регламент щодо захисту даних) (ОВ ЄС L 119, с. 1);
  2. «Політика»  – означає цю Політику разом з усіма можливими Додатками;
  3. «Особисті дані»  означає інформацію, що стосується ідентифікованої або ідентифікованої фізичної особи, таку як ім’я та прізвище, ідентифікаційний номер, дані про місцезнаходження, онлайн-ідентифікатор або один або більше факторів, специфічних для фізичних, фізіологічних, генетичних, психічних, економічних, культурних або соціальних особу фізичної особи, зазначеної у ст. 4 пункт 1 GDPR;
  4. «Уповноважена особа» —  особа, уповноважена Компанією обробляти Персональні дані в певному обсязі;
  5. «обробка»  – означає операцію або набір операцій, що виконуються з персональними даними або наборами персональних даних автоматизованими чи неавтоматизованими засобами, такими як збір, запис, упорядкування, структурування, зберігання, адаптація або модифікація, завантаження, перегляд, використання, розголошення шляхом надсилання, розповсюдження або будь-якого іншого типу обміну, зіставлення чи об’єднання, обмеження, видалення чи знищення, як зазначено у ст. 4 пункт 2 GDPR;
  6. «Набір даних»  — означає будь-який організований набір Персональних даних, доступний відповідно до певних критеріїв;
  7. «Обробник»  — фізична або юридична особа, державний орган, організація або інша організація, яка обробляє персональні дані від імені Компанії, наприклад, постачальник ІТ-послуг, зовнішня бухгалтерія;
  8. «Реєстр»  – Реєстр діяльності Компанії з обробки персональних даних;
  9. «Автентифікація»  – дія, спрямована на перевірку заявленої особи Користувача;
  10. «Компанія»  означає  Citolek sp
  11. «Працівники»  – як особи, які працюють в Компанії на підставі трудових відносин, так і фізичні особи, які не провадять підприємницьку діяльність, співпрацюють з Компанією на підставі цивільно-правового договору;
  12. «Система»  – означає систему захисту персональних даних в Компанії;
  13. «Конфіденційні дані» —  персональні дані, зазначені у ст. 9 GDPR.

 

  1. Принципи захисту персональних даних

 

  1. Компанія гарантує, що в принципі оброблятимуться лише Персональні дані, необхідні для досягнення кожної конкретної мети обробки.
  2. Компанія базує процесинг на таких принципах:

    1. за необхідності, що означає, що Компанія гарантує, що в принципі оброблятимуться лише Персональні дані, необхідні для досягнення кожної конкретної мети обробки;
    2. законний принцип, який означає, що Компанія піклується про захист конфіденційності та обробляє Персональні дані відповідно до вимог законодавства;
    3. принцип безпеки, який означає, що Компанія забезпечує належний рівень безпеки Персональних даних, вживаючи постійних заходів щодо цього;
    4. принцип індивідуальних прав, який означає, що Компанія дозволяє особам, Персональні дані яких вона обробляє, реалізувати свої права;
    5. принцип підзвітності, який означає, що Компанія забезпечує належне документування того, як вона виконує свої зобов’язання щодо захисту персональних даних.
  3. Компанія забезпечує використання технічних та організаційних заходів, необхідних для забезпечення конфіденційності, цілісності, звітності та безперервності персональних даних, що обробляються.
  4. Компанія гарантує, що персональні дані, які вона обробляє, будуть:

    1. обробляються законно, справедливо та прозоро щодо суб’єкта даних;
    2. збираються для конкретних, явних і законних цілей і не обробляються в подальшому у спосіб, який є несумісним з цими цілями;
    3. адекватні, відповідні та обмежені тим, що необхідно стосовно цілей, для яких вони обробляються;
    4. правильні та оновлені, а також оновлені за необхідності;
    5. зберігаються у формі, яка дозволяє ідентифікувати суб’єкта даних не довше, ніж це необхідно для цілей, для яких дані обробляються;
    6. обробляються у спосіб, який забезпечує відповідну безпеку Персональних даних, включаючи захист від несанкціонованої або незаконної обробки та випадкової втрати, знищення або пошкодження, використовуючи відповідні технічні чи організаційні заходи.
  5. Компанія вживає всіх розумних заходів для того, щоб Персональні дані, які є неточними щодо цілей їх обробки, були негайно видалені або виправлені;
  6. Уповноважені особи та всі інші особи, яким надаються Персональні дані, що обробляються в Компанії, зобов’язані обробляти Персональні дані відповідно до вимог законодавства та відповідно до положень цієї Політики, а також інших внутрішніх правових актів Компанії або внутрішніх процедур. пов’язані з обробкою Персональних даних.
  7. Під час працевлаштування Співробітників і під час найму Компанія забезпечує:

    1. Перед виконанням своїх обов’язків працівники отримують відповідні знання про принципи обробки та захисту Персональних даних у Компанії;
    2. кожен Працівник має письмові повноваження на Обробку персональних даних у необхідному обсязі, відповідно до зразка, що становить Додаток № 2 до Політики (шаблон повноважень на обробку персональних даних);
    3. кожен Співробітник зобов’язаний підтримувати конфіденційність і цілісність Персональних даних, відповідно до шаблону, що становить Додаток № 3 до Політики (шаблон зобов’язання щодо конфіденційності).
  8. Працівники, зокрема, зобов’язані:

    1. суворе дотримання обсягу повноважень;
    2. дотримання вимог законодавства та положень Політики щодо обробки;
    3. збереження таємниці персональних даних;
    4. збереження таємниці щодо збереження конфіденційності та цілісності персональних даних;
    5. негайно повідомляти Компанію про будь-які інциденти, пов’язані з порушенням безпеки Персональних даних.
  9. Перед допуском до роботи кожен Працівник повинен пройти навчання щодо захисту персональних даних в електронних та паперових файлах.
  10. Обсяг навчання, зазначеного в пункті 9, має включати ознайомлення Працівника з положеннями GDPR, цією Політикою та Інструкціями з управління ІТ-системою, яка використовується для обробки персональних даних.

 

  1. Спосіб обробки персональних даних

 

  1. Компанія обробляє Персональні дані, зібрані у Файлах даних.
  2. Файли даних, які обробляються в Компанії, вказані в Додатку № 1 до Політики (Перелік Файлів даних в Компанії).
  3. Оновлення або розширення списку Файлів даних відбувається після аналізу наслідків і ризиків обробки Персональних даних для прав і свобод фізичних осіб, включених до файлу.
  4. Компанія не здійснює обробку даних, яка може спричинити значний ризик порушення прав і свобод осіб, яких стосуються Персональні дані. Якщо компанія планує здійснювати діяльність, зазначену в попередньому реченні, вона повинна провести попередню оцінку наслідків обробки, зазначених у ст. 35 GDPR.
  5. Персональні дані, як правило, обробляються на території, включаючи приміщення за адресою: UL POLNA 41, 06-200 MAKÓW MAZOWIECKI, надалі іменовані як:  «Територія» .
  6. Додатковою зоною обробки Персональних даних є всі портативні комп’ютери та інші носії даних, розташовані за межами зони, зазначеної в попередньому реченні.

 

  1. Система захисту персональних даних

 

  1. Компанія забезпечує відповідність обробки персональних даних вимогам законодавства також шляхом розробки, впровадження та підтримки Системи захисту персональних даних.
  2. Система складається з організаційних і технічних заходів захисту, адекватних рівню ризику, виявленому для окремих наборів даних і категорій даних.
  3. Система, зокрема, складається з таких заходів:

    1. обмеження доступу до приміщень, де обробляються Персональні дані, лише для Уповноважених осіб і забезпечення того, щоб інші особи могли перебувати в кімнатах, які використовуються для обробки Персональних даних, лише в супроводі Уповноваженої особи;
    2. закриття приміщень, що складають Зону, на час відсутності Працівників у спосіб, що унеможливлює доступ до них сторонніх осіб;
    3. забезпечення захисту території від випадкових факторів, таких як пожежа або повінь;
    4. використання замкнених шаф, ящиків або інших технічних засобів, які перешкоджають доступу неавторизованих осіб до персональних даних, які там зберігаються;
    5. впровадження Політики «Чистого столу», яка є додатком № 4 до Політики;
    6. виконання Порядку відкриття та закриття будівель і службових приміщень, що є додатком № 5 до Порядку;
    7. забезпечення ефективного вилучення або знищення документів, що містять Персональні дані, у спосіб, що унеможливлює їх подальше відновлення;
    8. забезпечення безпеки обладнання та ІТ, в тому числі:

      1. захист локальної мережі від дій, ініційованих ззовні;
      2. забезпечення актуальності використовуваного програмного забезпечення;
      3. захист комп’ютерного обладнання, що використовується в Компанії, від шкідливого програмного забезпечення;
      4. забезпечення постійного та частого резервного копіювання даних, що зберігаються на комп’ютерах, серверах та в мережі Компанії;
      5. обмеження доступу до комп’ютерного обладнання, сервера та локальної мережі шляхом застосування правил автентифікації;
      6. проведення аналізу ризиків для діяльності з обробки даних або її категорій;
      7. запровадження стандартів для перевірки та відбору Суб’єктів обробки, а також умов доручення Обробки даних окремим Суб’єктам обробки;
      8. моніторинг змін в обсязі процесів обробки персональних даних в Компанії;
      9. постійне управління змінами, що впливають на захист персональних даних у Компанії.

 

  • Реєстр дій з обробки персональних даних

 

  1. Реєстр охоплює категорії діяльності з обробки персональних даних у Компанії.
  2. Метою Реєстру є документування діяльності з обробки персональних даних, а також інвентаризація та моніторинг способів використання персональних даних у Компанії. Зразок Реєстру є додатком 6 до Політики.
  3. Метою Реєстру також є демонстрація відповідності обробки Персональних даних у Компанії вимогам законодавства, зокрема шляхом зазначення в Реєстрі загальних заходів щодо захисту Персональних даних, які охоплюються окремою діяльністю обробки.
  4. Реєстр окремо для кожної визначеної категорії діяльності з обробки персональних даних фіксує щонайменше:

    1. назва діяльності;
    2. мета обробки;
    3. опис категорій осіб, персональні дані яких обробляються в рамках певної діяльності;
    4. опис категорій Персональних даних, що обробляються в рамках певної діяльності;
    5. правову основу для обробки разом із зазначенням категорій законного інтересу Компанії, якщо підставою для обробки є законний інтерес;
    6. опис категорій одержувачів даних, включаючи процесорів;
    7. інформацію про можливу передачу Персональних даних за межі території Європейського Союзу або Європейської економічної зони;
    8. загальний опис технічних та організаційних заходів захисту персональних даних, застосовних до певної діяльності.
  5. У разі оновлення або розширення категорії діяльності з обробки персональних даних Товариство невідкладно оновлює Реєстр для забезпечення відповідності Реєстру фактичному стану та обсягу операцій з обробки персональних даних у Компанії.
  6. Положення розд 4 не виключають можливості включення додаткової інформації до Реєстру, якщо це необхідно, підвищуючи деталізацію чи читабельність Реєстру або сприяючи управлінню відповідністю захисту персональних даних вимогам законодавства та реалізації принципу підзвітності.
  7. Компанія документує в Реєстрі правову основу для обробки даних для окремих дій з обробки, вказуючи загальну правову основу для обробки, таку як: згода, контракт, юридичне зобов’язання, покладене на Компанію, законна мета Компанії.

 

  • Виконання зобов’язань перед особами, яких стосуються персональні дані

 

  1. Компанія впроваджує методи управління згодою, які дозволяють реєструвати та перевіряти згоду особи на обробку її конкретних даних для певної мети, згоду на віддалену комунікацію (електронна пошта, телефон, текстові повідомлення тощо) та реєструвати відмову від згоди. , відкликання згоди та подібні дії, такі як повідомлення об’єкту або обмеження обробки.
  2. Компанія дбає про читабельність і стиль наданої інформації та спілкування з особами, Персональні дані яких вона обробляє.
  3. Товариство оприлюднює на веб-сайті Товариства та робить його доступним для ознайомлення в центральному офісі Товариства:

    1. політика;
    2. Інформація про права суб’єктів даних;
    3. Інформація про обсяг Персональних даних, які обробляються для конкретних цілей;
    4. Способи зв’язку з Компанією щодо Персональних даних;
  4. Для реалізації прав особи, якої стосуються Персональні дані, Компанія надає процедури та механізми, що дозволяють ідентифікувати дані конкретних осіб, які обробляються Компанією, інтегрувати ці дані, вносити до них зміни та комплексно видаляти. .
  5. Компанія документує обробку інформаційних зобов’язань, повідомлень і запитів від осіб, інформуючи суб’єкта даних:

    1. про обробку його даних при отриманні даних від цієї особи;
    2. про обробку його даних, при отриманні даних про цю особу опосередковано від нього;
    3. про плановану зміну мети обробки даних;
    4. до зняття обмеження на обробку;
    5. виправлення, видалення або обмеження обробки даних (якщо це не вимагає непропорційних зусиль або є неможливим);
    6. про право заперечити проти обробки даних не пізніше ніж під час першого контакту з цією особою.
  6. Компанія без зайвої затримки повідомляє особу про порушення персональних даних, якщо це може призвести до високого ризику для прав і свобод такої особи.
  7. Незважаючи на положення розд 6, Компанія визначає спосіб інформування людей про Обробку неідентифікованих даних, де це можливо (наприклад, табличка про територію, що охоплюється відеоспостереженням).
  8. На запит особи щодо доступу до її даних Компанія інформує особу, чи обробляє вона її дані, та інформує особу про деталі обробки, відповідно до ст. 15 GDPR, а також надає особі доступ до даних, що її стосуються. Доступ до даних можна отримати шляхом видачі копії даних.
  9. Компанія надає особі, якої стосуються Персональні дані, копію даних щодо неї та фіксує факт видачі першої копії даних.
  10. Компанія виправляє некоректні дані за запитом особи, якої стосуються Персональні дані. Компанія має право відмовитися від виправлення даних, якщо особа не доведе обґрунтовано неточності даних, для яких вимагається виправлення. У разі виправлення даних Компанія повідомляє особу про одержувачів даних на вимогу цієї особи.
  11. Компанія доповнює та оновлює дані за запитом особи, якої стосуються Персональні дані. Компанія має право відмовитися від заповнення даних, якщо заповнення буде суперечити цілям обробки даних. Компанія може покладатися на декларацію особи щодо заповнених даних, якщо вона не є недостатньою з огляду на процедури, прийняті Компанією, закон або немає підстав вважати декларацію недостовірною.
  12. З урахуванням абз 13, за бажанням особи Компанія видаляє дані, коли:

    1. дані не є необхідними для цілей, для яких вони були зібрані або оброблені для інших цілей;
    2. згоду на їхню обробку було відкликано, і немає іншої правової підстави для обробки;
    3. особа подала ефективне заперечення проти обробки цих даних;
    4. дані були оброблені незаконно;
    5. необхідність їх усунення є результатом юридичного зобов’язання;
    6. запит стосується даних дитини, зібраних на основі згоди з метою надання послуг інформаційного суспільства, які пропонуються безпосередньо дитині.
  13. Під час видалення персональних даних компанія бере до уваги забезпечення ефективної реалізації цього права, дотримуючись усіх принципів захисту даних, включаючи безпеку, а також перевіряючи наявність будь-яких винятків, зазначених у ст. 17. розділ 3 GDPR.
  14. Якщо дані, які підлягають видаленню, були оприлюднені Компанією, Компанія вживає розумних заходів, включаючи технічні заходи, щоб повідомити інших контролерів, які обробляють ці Персональні дані, про необхідність видалення даних і доступу до них. У разі видалення даних Компанія повідомляє особу про одержувачів даних на вимогу цієї особи.
  15. Компанія обмежує обробку даних за запитом особи, коли:

    1. особа ставить під сумнів достовірність даних – протягом періоду, що дозволяє перевірити їх правильність;
    2. Обробка є незаконною, і суб’єкт даних заперечує проти видалення Персональних даних і вимагає натомість обмеження їх використання;
    3. Компанії більше не потрібні Персональні дані, але вони потрібні суб’єкту даних для встановлення, подання чи захисту правових претензій;
    4. особа заперечила проти Обробки з причин, пов’язаних із її чи її конкретною ситуацією, доки не буде встановлено, чи має Компанія законні підстави, які переважають над підставами для заперечення.
  16. Під час обмеження обробки Компанія зберігає дані, але не обробляє їх (не використовує, не передає) без згоди суб’єкта даних, за винятком випадків, коли це стосується встановлення, подання чи захисту претензій або захисту прав іншої особи. фізична або юридична особа, або з важливих причин суспільного інтересу.
  17. Компанія повідомляє особу перед зняттям обмеження на обробку. У разі обмеження обробки даних Компанія інформує особу про одержувачів даних на вимогу цієї особи.
  18. За запитом особи Компанія видає в структурованому, широко використовуваному, машиночитаному форматі або передає іншій організації, якщо це можливо, дані щодо цієї особи, які вона або вона надала Компанії, Обробляються на підставі згоди. такої особи або для того, щоб укласти або виконати договір із зазначеним тут документом, в ІТ-системах Компанії.
  19. Якщо особа висуває заперечення проти обробки її/її персональних даних, як зазначено у ст. 21 GDPR, і дані обробляються Компанією на основі законного інтересу Компанії або завдання, дорученого Компанії в суспільних інтересах, Компанія зобов’язується взяти до уваги заперечення, якщо для цього немає поважних законних підстав. обробка з боку Компанії, яка має перевагу над інтересами, правами та свободою особи, яка подає заперечення, або підставою для встановлення, подання чи захисту претензій.
  20. Якщо особа заперечує проти обробки її даних Компанією для цілей прямого маркетингу, Компанія візьме до уваги заперечення та припинить таку обробку.

 

  1. Мінімізація даних

 

  1. Компанія впроваджує процедури для реалізації принципу мінімізації оброблених Персональних даних з точки зору:

    1. адекватність Персональних даних цілям обробки, включаючи обмеження обсягу Персональних даних, що обробляються, та обсягу обробки по відношенню до мети обробки;
    2. обмеження доступу до Персональних даних лише для Уповноважених осіб, для яких використання Персональних даних у певному обсязі є необхідним для належного виконання обов’язків;
    3. обмеження часу зберігання Персональних даних періодом, протягом якого зберігання Персональних даних є необхідним у зв’язку з виконанням мети Обробки або зобов’язань, покладених на Компанію.
  2. Компанія періодично переглядає обсяг оброблених даних і обсяг їх обробки принаймні раз на рік.
  3. Компанія застосовує обмеження доступу до Персональних даних, реалізуючи:

    1. Зобов’язання працівників зберігати конфіденційність, у тому числі в частині Персональних даних;
    2. перевірка кола внутрішніх одержувачів Персональних даних шляхом надання конкретних повноважень окремим Співробітникам щодо Обробки Персональних даних;
    3. впровадження логічних технічних заходів для захисту Персональних даних шляхом обмеження доступу до систем, програмного забезпечення та мережевих ресурсів, що використовуються в процесі обробки Персональних даних;
    4. здійснення фізичних технічних заходів захисту Персональних даних.
  4. Компанія оновлює права доступу, коли відбуваються зміни в складі персоналу та ролях, а також зміни в об’єктах обробки. Компанія періодично переглядає встановлених користувачів системи та оновлює їх принаймні раз на рік.
  5. Детальні правила контролю фізичного та логічного доступу включені до процедур фізичної та інформаційної безпеки Компанії.
  6. Підприємство обробляє персональні дані з урахуванням критеріїв, зазначених у Реєстрі. Компанія реалізує механізми контролю життєвого циклу персональних даних у Компанії, включаючи перевірку подальшої корисності даних щодо термінів і контрольних точок, зазначених у Реєстрі.
  7. Дані, корисність яких обмежена з часом, видаляються з систем Компанії, а також із довідкових і основних файлів. Такі дані можуть архівуватися та міститися в резервних копіях систем та інформації, що обробляється Компанією. Порядок архівування та використання архівів, створення та використання резервних копій враховує вимоги контролю за життєвим циклом даних, у тому числі вимоги щодо видалення даних.

 

  1. Безпека персональних даних

 

  1. Враховуючи рівень технічних знань, витрати на впровадження та характер, обсяг, контекст і цілі обробки, а також ризик порушення прав і свобод фізичних осіб з різною ймовірністю виникнення та серйозністю загрози, Компанія впроваджує технічні та організаційні заходи для забезпечення належного рівня захисту Персональних даних, що відповідає ризику порушення прав і свобод фізичних осіб у результаті обробки персональних даних Компанією.
  2. Компанія проводить та документує аналіз адекватності заходів безпеки персональних даних. Для цієї мети:

    1. Компанія класифікує дані та дії з обробки відповідно до ризиків, які вони становлять;
    2. Компанія аналізує ризики порушення прав і свобод фізичних осіб щодо діяльності з обробки даних або їх категорій. Компанія аналізує можливі ситуації та сценарії порушення захисту персональних даних з урахуванням характеру, обсягу, контексту та цілей обробки, ризику порушення прав і свобод фізичних осіб з різною ймовірністю виникнення та серйозністю загрози;
    3. Компанія впроваджує заходи для забезпечення безперервності бізнесу та запобігання наслідкам катастроф, тобто можливості швидкого відновлення доступності персональних даних і доступу до них у разі фізичного чи технічного інциденту.

 

  1. Порушення захисту персональних даних

 

  1. Зокрема, але не виключно, наступне вважається порушенням або спробою порушення принципів обробки та захисту персональних даних:

    1. порушення безпеки ІТ-систем, в яких обробляються Персональні дані;
    2. розкриття Персональних даних неавторизованим особам;
    3. обробка Персональних даних не відповідає передбачуваному обсягу та меті їх обробки;
    4. несанкціоноване або випадкове пошкодження, втрата, знищення або зміна Персональних даних.
  2. У разі порушення захисту персональних даних Компанія оцінює, чи могло порушення призвести до ризику порушення прав і свобод фізичних осіб, та оцінює масштаб ризику.
  3. У разі порушення захисту персональних даних Компанія повинна повідомити про це компетентний наглядовий орган без невиправданої затримки – якщо це можливо, не пізніше ніж через 72 години після виявлення порушення, за винятком випадків, коли порушення навряд чи призведе до ризику порушення права і свободи фізичних осіб. Зразок повідомлення, зазначеного в попередньому реченні, є додатком № 7 до Політики.
  4. Якщо ризик порушення прав і свобод особи, якої стосуються Персональні дані, є високим, Компанія також повідомляє суб’єкта даних про інцидент, крім випадків, коли:
  5. Компанія запровадить відповідні технічні та організаційні заходи безпеки, і ці заходи були застосовані до особистих даних, які постраждали від порушення, запобігаючи неавторизованим особам від їх читання та доступу до цих персональних даних;
  6. Після цього компанія вживатиме заходів для усунення ймовірності високого ризику для прав і свобод суб’єкта даних; або це вимагатиме непропорційних зусиль. У такому випадку має бути видано публічне повідомлення або аналогічний захід, за допомогою якого суб’єкти даних інформуються однаково ефективно.
  7. Незалежно від зобов’язань, зазначених у розд 2 – 6 Компанія документує всі порушення захисту персональних даних, включаючи обставини порушення захисту персональних даних, його наслідки та вжиті заходи щодо виправлення. Зразок реєстру порушень персональних даних наведено у додатку № 8 до Політики.

 

  • Доручення обробки персональних даних іншим особам

 

  1. Компанія може доручити Обробку персональних даних Обробнику лише шляхом угоди, укладеної в письмовій формі, відповідно до вимог, зазначених у ст. 28 розділ 3 GDPR.
  2. Компанія користується лише послугами таких процесорів, які надають достатні гарантії для впровадження відповідних технічних та організаційних заходів, щоб обробка відповідала вимогам цього Регламенту та захищала права суб’єктів даних.
  3. З метою перевірки виконання зобов’язання, зазначеного в п 2. Перш ніж доручити обробку потенційному Обробнику, Компанія отримує, коли це можливо, інформацію про принципи захисту персональних даних, які застосовує потенційний Обробник, а також про практику цієї організації щодо безпеки Персональних даних.

 

  • Передача даних до третьої країни

 

  1. Компанія не передає Персональні дані третім країнам, розташованим за межами Європейського Союзу чи Європейської економічної зони, за винятком запиту особи, якої стосуються Персональні дані.
  2. Щоб уникнути ситуацій несанкціонованого експорту даних, зокрема у зв’язку з використанням загальнодоступних хмарних сервісів, Компанія періодично перевіряє поведінку користувачів і, коли це можливо, надає еквівалентні рішення відповідно до законодавства про захист даних.

 

  • Прикінцеві положення

 

  1. Політика набирає чинності з дня оголошення, тобто 31 січня 2024 року.
  2. У питаннях, не врегульованих Політикою, відповідно застосовуються положення GDPR та загальноприйняті положення польського та європейського законодавства.
  3. Будь-які зміни або доповнення до Політики повинні бути внесені в письмовій формі, щоб набути чинності, інакше вони будуть недійсними. Зміни або доповнення до Політики набирають чинності не раніше ніж через 7 днів з дня їх оголошення.

 

Copyright © . All Rights Reserved by PROJECTIC