Załącznik do Uchwały Zarządu Spółki numer 1/2018

z dnia 21.05.2018

 

 

 

 

 

 

 

 

Polityka bezpieczeństwa ochrony danych osobowych w Spółce

Jarex NiM Sp. z o.o.,Sp.K.

 

 

 

 

 

 

 

 

 

• §1

Preambuła

 

1. Niniejsza Polityka Ochrony Danych Osobowych w Spółce Jarex NiM Sp. z o.o. Sp.K., zwana jest w dalszej części Polityką i stanowi Politykę bezpieczeństwa, o której mowa w § 3 ust. 1 Rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych    osobowych    oraz    warunków    technicznych   i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne  służące  do  przetwarzania  danych  osobowych  z  dnia   29 kwietnia 2004 r. (Dz.U. Nr 100, poz. 1024).
2. Niniejsza Polityka Ochrony Danych Osobowych obowiązująca w Spółce Jarex NiM Sp. z o.o. Sp.K. jest równoznaczna z wiążącymi regułami korporacyjnymi stosowanymi przez administratora danych osobowych.

§2

Podstawy prawne

 

Polityka została opracowana na podstawie postanowień:

1. Ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (Dz. U. 2016 r. poz. 922 z 01.06.2016 r.);
2. Ustawy Prawo przewozowe z dnia 15 listopada 1984  r.  (Dz.U.  2017  poz. 1983 z 25.10.2017 r.);
3. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia  2016  r.  w  sprawie  ochrony  osób  fizycznych  z  związku    z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenie dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 4.05.2016).

§3

Definicje

Ilekroć w Polityce jest mowa o:

1. Polityce lub wiążących regułach korporacyjnych, rozumie się przez to Politykę ochrony danych osobowych obowiązującą i stosowaną w Jarex NiM Sp. z o.o. Sp. K. w Stężycy.
2. RODO lub Rozporządzenie – oznacza Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych z związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenie dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 4.05.2016).
3. Danych osobowych, rozumie się przez to wszelkie informacje dotyczące zidentyfikowanej lub   możliwej   do   zidentyfikowania   osoby  fizycznej, z zaznaczeniem, że osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne a informacji nie uważa się za umożliwiającą określenie  tożsamości  osoby,  jeżeli  wymagałoby  to nadmiernych kosztów, czasu lub działań.
4. Administratorze danych osobowych (ADO) lub Administratorem, rozumie się przez to Jarex NiM Sp. z o.o. Sp.K. w Stężycy, która samodzielnie lub wspólnie z innymi podmiotami decyduje o celach, środkach i sposobach przetwarzania danych osobowych.
5. Inspektorze ochrony danych (IOD), rozumie się przez to pracownika lub zleceniobiorcę Spółki, któremu powierzono nadzorowanie przestrzegania zasad ochrony danych osobowych, także w zakresie zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, w tym przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

6. Przedstawiciel – oznacza osobę fizyczną lub prawną, mającą miejsce zamieszkania lub siedzibę na terytorium Unii Europejskiej, która została wyznaczona w formie pisemnej przez Administratora, do reprezentowania Administratora w zakresie jego obowiązków wynikających z RODO oraz obowiązującą ustawą o ochronie danych osobowych.
7. Spółce, rozumie  się   przez   to   Jarex NiM Sp. z o.o. Sp.K. w Stężycy.
8. Podmiot przetwarzający – oznacza osobę fizyczną lub prawną, która przetwarza dane osobowe na podstawie umowy zawartej w formie pisemnej z Administratorem.
9. Strona trzecia – oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub podmiot inny niż osoba, której dane osobowe dotyczą, Administratora, podmiot    przetwarzający    lub    też    osoby,    które   z upoważnienia Administratora lub podmiotu przetwarzającego, mogą przetwarzać dane osobowe.

• Ustawie, rozumie się przez to obowiązującą ustawę o ochronie danych osobowych.
• Przepisy obowiązującego prawa – rozumie się przez to wszelkie obowiązujące akty prawny regulujące kwestie ochrony danych osobowych osób fizycznych.
• Zbiorze danych, rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, to jest takich, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany,    zdecentralizowany    czy     rozproszony lub podzielony funkcjonalnie bądź geograficznie.
• Przetwarzaniu danych, rozumie się przez to jakiekolwiek operacje lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, opracowywanie, zmienianie, udostępnianie i usuwanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępniania, dopasowywanie lub łącznie, ograniczanie, usuwanie lub niszczenie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

• Ograniczenie przetwarzania danych osobowych – oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania.
• Naruszenie ochrony danych osobowych - oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych określonych osób fizycznych przesyłanych, przechowywanych lub w inny sposób przetwarzanych przez Administratora lub przez Podmiot przetwarzający.
• Systemie informatycznym, rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych osobowych.
• Zabezpieczeniu danych w systemie informatycznym, rozumie się przez to wdrożenie  i  eksploatację  stosownych  środków  technicznych   i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem.
• Usuwaniu danych, rozumie się przez to zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby fizycznej, której dane osobowe dotyczą.
• Zgodzie osoby, której dane dotyczą, rozumie się przez to dobrowolne, konkretne, świadome i jednoznaczne oświadczenie woli, którego treścią jest dobrowolna, świadoma i jednoznaczna zgoda na przetwarzanie danych osobowych określonej osoby fizycznej, która składa takie oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli

o innej treści; zgoda może zostać udzielona również poprzez wyraźne działania potwierdzające udzielenie takiej zgody, przez przyzwolenie na

przetwarzanie dotyczących tej osoby danych osobowych; zgoda może zostać odwołana w każdym czasie.

• Odbiorcy danych, rozumie się przez to wszelkie osoby fizyczne lub prawne, organy publiczne lub inne podmioty, którym ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią, z wyłączeniem:
  1. osoby, której dane dotyczą;
  2. osoby upoważnionej do przetwarzania danych;
  3. przedstawiciela, o którym mowa w art. 31a;

 

1. podmiotu, o którym mowa w art. 31;
2. organów państwowych lub organów samorządu terytorialnego, którym dane osobowe są udostępniane w związku z prowadzonym postępowaniem.

§4

Cele Polityki

 

1. Celem Polityki jest określenie czynności koniecznych dla zapewnienia bezpieczeństwa danych osobowych w  Spółce  zarówno  przetwarzanych  w systemach informatycznych i w formie tradycyjnej.
2. Przez bezpieczeństwo danych osobowych należy rozumieć zapewnienie ich poufności, integralności, dostępności oraz rozliczalności poprzez wdrożenie odpowiednich mechanizmów technicznych i organizacyjnych.
3. Politykę stosuje się do wszystkich zbiorów danych osobowych przetwarzanych przez Spółkę, jako Administratora Danych Osobowych, zarówno w systemach informatycznych jak i w formie tradycyjnej.
4. Politykę stosują wszyscy pracownicy Spółki oraz te osoby, niebędące pracownikami, którym Spółka powierza wykonywanie czynności związanych z przetwarzaniem danych osobowych.
5. Przetwarzanie danych osobowych zgodnie z Polityką następuje w sposób zgodny z prawem, rzetelnie i w sposób przejrzysty dla osób, których dane osobowe są przetwarzane.
6. Administrator przetwarza dane osobowe w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych osób ich dotyczących, w tym zapewnia ochronę przetwarzanych danych osobowych przed niedozwolonym oraz niezgodnym z prawem przetwarzaniem danych

osobowych oraz przed ich przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.

7. Administrator dla celów przetwarzania danych osobowych wdrożył odpowiednie środki techniczne i organizacyjne, aby przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia właściwych celów przez Administratora.

8. Administrator podejmuje wszelkie przewidziane prawem niezbędne działania, aby wdrożone przez niego środki techniczne oraz organizacyjne zapobiegały udostępnieniu danych osobowych przetwarzanych przez Administratora nieograniczonej liczbie osób fizycznych.

§5

Zakres przetwarzania danych osobowych

 

1. Administrator dla celów realizacji niniejszej Polityki przetwarza następujący zakres danych osobowych osób fizycznych będących klientami:
   1. Imię i nazwisko;
   2. Adres E-mail;
   3. Adres zamieszkania (kraj, miasto, kod pocztowy, ulica i numer domu);
   4. Wizerunek.
2. Administrator dla celów realizacji niniejszej Polityki przetwarza następujący zakres danych osobowych osób fizycznych będących pracownikami lub osób ubiegających się o pracę:
   1. Imię i nazwisko;
   2. Nazwisko rodowe;
   3. Obywatelstwo;
   4. Numer i seria dokumentu tożsamości;
   5. Numer PESEL lub NIP;
   6. Adres zamieszkania (kraj, miasto, kod pocztowy, ulica i numer domu);
   7. Stan cywilny i informacje o rodzinie;
   8. Wykształcenie, dodatkowe uprawnienia i umiejętności;
   9. Zainteresowania i hobby;
   10. Informacje o sytuacji finansowej;
   11. Informacje o stanie zdrowia;

 

1. Wizerunek;
2. Adres e-mail.

3. Administrator dla celów realizacji niniejszej Polityki przetwarza następujący zakres danych osobowych pozostałych osób fizycznych niewymienionych w ust. 1 i 2:
   1. Imię i nazwisko;
   2. Adres E-mail;
   3. Adres zamieszkania (kraj, miasto, kod pocztowy, ulica i numer domu);
   4. Wizerunek.
4. Przetwarzanie danych osobowych osób fizycznych przez Administratora wymaga uzyskania uprzedniej zgody osoby fizycznej, której dane osobowe są przetwarzane.
5. Udzielenie zgody przez osobę fizyczną na przetwarzanie jej danych osobowych przez Administratora następuje w formie pisemnej oraz ustnej lub też takiej formie, że z kontekstu wypowiedzi oraz zachowania danej osoby fizycznej wynika, że udzieliła ona zgody na przetwarzanie danych osobowych przez Administratora.
6. Przetwarzanie danych osobowych osób fizycznych przez Administratora może odbywać się również bez uzyskania uprzedniej pisemnej zgody osoby fizycznej, której dane osobowe są przetwarzane, jeżeli przetwarzanie danych osobowych tej osoby jest niezbędne:
   1. przetwarzanie danych osobowych jest niezbędne do wykonania umowy, w szczególności   umowy   o pracę,   łączącej   tą   osobę   fizyczną z Administratorem;
   2. przetwarzanie danych osobowych jest niezbędne do wypełnienia obowiązku prawnego  ciążącego   na   Administratorze   wynikającego z przepisów obowiązującego prawa;
   3. przetwarzanie danych osobowych jest niezbędne do realizacji celów wynikających z prawnie uzasadnionych interesów realizowanych przez

Administratora, nadrzędnych wobec interesów osobie fizycznej, której dane osobowe dotyczą;

7. Przetwarzanie danych osobowych określonej osoby fizycznej następuje przez okres:

 

1. maksymalnie 5 lat dla osób wymienionych w ust. 1, licząc od dnia udzielenia przez tą osobę zgody na przetwarzanie jej danych osobowych przez Administratora bądź od dnia powstania prawnego obowiązku po stronie Administratora, obligującego Administratora do przetwarzania danych osobowych lub innego zdarzenia, którego wystąpienie uzasadnia przetwarzanie danych osobowych przez Administratora;
2. maksymalnie 50 lat dla osób wymienionych w ust. 2, licząc od dnia udzielenia przez tą osobę zgody na przetwarzanie jej danych osobowych przez Administratora bądź od dnia powstania prawnego obowiązku po stronie Administratora, obligującego Administratora do przetwarzania danych osobowych lub innego zdarzenia, którego wystąpienie uzasadnia przetwarzanie danych osobowych przez Administratora;
3. maksymalnie 2 lat dla osób wymienionych w ust. 3, licząc od dnia udzielenia przez tą osobę zgody na przetwarzanie jej danych osobowych przez Administratora bądź od dnia powstania prawnego obowiązku po stronie Administratora, obligującego Administratora do przetwarzania danych osobowych lub innego zdarzenia, którego wystąpienie uzasadnia przetwarzanie danych osobowych przez Administratora.

8. Przetwarzanie danych osobowych przez Administratora następuje na okres dłuższy wyłącznie dla celów marketingowych, archiwalnych, w interesie publicznym bądź dla celów statystycznych.
9. Administrator na zasadach określonych w niniejszej Polityce przetwarza dane osobowe osób fizycznych, które ukończyły lat 13.

• W przypadku, gdy na zasadach określonych w niniejszej Polityce lub w celu wykonywania usług realizowanych przez Administratora w interesie publicznym, wymagane jest przetwarzanie danych osobowych osób poniżej

13 roku życia, przetwarzanie danych osobowych osób poniżej 13 roku życia           następuje   wyłącznie    za    zgodą    przedstawicieli   ustawowych (opiekunów prawnych) tych osób. W przypadku braku wyrażenia zgody, Administrator niezwłocznie usunie wszelkie dane osobowe osób poniżej   13 roku życia, którymi dysponuje.

11. Dla zapewnienia bezpieczeństwa osób fizycznych lub ochrony mienia lub kontroli jakości wykonywanych usług lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić Spółkę na szkodę, Administrator prowadzi szczególny nadzoru nad obiektami będącymi w

użytkowaniu w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring wizyjny) z wyłączeniem pomieszczeń socjalnych, w szczególności higieniczno-sanitarnych, szatni oraz stołówek.

12. W wyjątkowych sytuacjach przetwarzanie danych osobowych osób fizycznych przez Administratora może stanowić konsekwencje prawnie uzasadnionych interesów realizowanych w celu publicznym przez Administratora.

§6

Administrator Danych Osobowych

1. Administrator dla celów przetwarzania danych osobowych wdrożył odpowiednie środki techniczne i organizacyjne, które zapobiegają dostępowi do tych danych osobowych, przez nieupoważnione do tego osoby.
2. Administrator przetwarza  dane  osobowe  w  konkretnych,  wyraźnych     i prawnie uzasadnionych celach.
3. Administrator podejmuje wszelkie odpowiednie działania, w celu zapobiegania przetwarzaniu danych osobowych, niezgodnie z celami przez niego stosowanymi.
4. Dłuższe przetwarzanie danych osobowych aniżeli wynika to z celów stosowanych przez Administratora, jest dopuszczalne dla celów archiwalnych w interesie publicznym lub dla celów statystycznych.
5. Na mocy niniejszej polityki przetwarzane dane osobowe są adekwatne, stosowne oraz przetwarzane są wyłącznie te dane osobowe, które są niezbędne do osiągnięcia celów przetwarzania danych przez Administratora.
6. Wszelkie dane osobowe przetwarzane przez Administratora są w miarę potrzeby uaktualniane.
7. Administrator jest zobowiązany podjąć wszelkie przewidziane prawem działania, aby wszelkie zbędne oraz nieprawidłowe dane osobowe zostały usunięte lub zostały one sprostowane, zarówno przez działania samego Administratora jeżeli poweźmie on wiedzę o stwierdzonych nieprawidłowościach lub na żądanie osób, których dane powinny zostać usunięte lub sprostowane.

8. Przetwarzanie danych osobowych przez Administratora następuje w formie umożliwiającej identyfikację osoby, której dane osobowe dotyczą przez okres nie dłuższy, niż jest to konieczne do osiągnięcia celów przetwarzania danych osobowych przez Administratora.
9. Przetwarzanie danych osobowych przez Administratora następuje w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przez niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych stosowanych przez Administratora.

§7

Inspektor Ochrony Danych

1. Spółka zabezpiecza dane osobowe przed ich udostępnianiem osobom lub podmiotom nieupoważnionym, zabraniem przez osobę nieuprawnioną,

przetwarzaniem z naruszeniem ustawy o ochronie danych osobowych, nieautoryzowaną zmianą, utratą, uszkodzeniem lub zniszczeniem.

2. Spółka nie ma obowiązku powołania Inspektora Ochrony Danych osobowych. Nadzór nad przestrzeganiem zasad ochrony danych osobowych, w tym wynikających z Ustawy, Rozporządzenia oraz Polityki sprawują pracownicy firmy. Współpraca z Prezesem Urzędu Ochrony Danych Osobowych we wszelkich prowadzonych  przez  niego   postępowaniach  związanych   z naruszeniem ochrony danych osobowych.

§8

Zadania Zarządu Spółki

Do zadań Zarządu Spółki należy:

1. kształtowanie polityki Spółki zgodnej z celami ochrony danych osobowych;
2. zapewnienie należytej obsady kadrowej Spółki w zakresie ochrony danych osobowych;

3. zapewnienie należytego przeszkolenia pracowników, odpowiedzialnych za ochronę danych osobowych;
4. zawierania w imieniu Spółki umów z podmiotami trzecimi, które nie naruszają zasad ochrony danych osobowych;
5. kształtowanie wśród pracowników Spółki przekonania, że ochrona danych osobowych jest jednym z istotnych obowiązków pracowniczych;

§9

Zadania Dyrektorów i Kierowników

Każdy Dyrektor/Kierownik jednostki/komórki organizacyjnej Spółki, w której przetwarzane są dane osobowe, odpowiedzialny jest za:

1. zapewnienie aby    bieżące     przetwarzanie     danych     osobowych,   w szczególności przetwarzanych w zbiorach danych osobowych było zgodne z powszechnie obowiązującymi przepisami prawa i aktami wewnętrznymi Spółki, w szczególności niniejszą Polityką;
2. występowanie z  wnioskiem   o   nadanie   lub   odebranie   uprawnień   do przetwarzania  danych  osobowych,  w   tym   do   ich   przetwarzania w systemie informatycznym, jeżeli dane przetwarzane są w formie elektronicznej,   zgodnie   z   procedurą   nadawania   uprawnień   ujętą   w Instrukcji zarządzania systemami informatycznymi;

§10

Obowiązki pracowników

1. Każdy pracownik Spółki obowiązany jest:
   1. zapoznać się oraz stosować postanowienia niniejszej Polityki ochrony danych osobowych;
   2. zapoznać się z obowiązującymi przepisami w zakresie ochrony danych osobowych;
   3. zachować w tajemnicy wszelkie dane osobowe, które pozyskał w trakcie wykonywania obowiązków pracowniczych na rzecz Spółki;

 

1. przestrzegać stosowane przez Spółkę środki oraz sposoby zabezpieczeń danych osobowych przetwarzane przez Administratora;
2. dbać o bezpieczeństwo danych osobowych, do których ma dostęp.

2. Obowiązek zachowania w tajemnicy danych osobowych, które pracownik pozyskał świadcząc pracę na rzecz Spółki nie gaśnie wraz z rozwiązaniem bądź wygaśnięciem stosunku pracy.
3. Pracownik przed dopuszczeniem do świadczenia pracy zostanie zapoznany przez przełożonego z obowiązującą w Spółce Polityką ochrony danych osobowych oraz obowiązującymi przepisami dotyczącymi ochrony danych osobowych, co zostanie potwierdzone na piśmie.
4. Wzór oświadczenia pracownika stanowi Załącznik nr 1 do Polityki i jest aktualizowany przez Administratora, bez konieczności zmiany Polityki.
5. Naruszenie zasad ochrony danych osobowych wynikających z powszechnie obowiązujących przepisów prawa lub wewnętrznych aktów prawnych Spółki mogą zostać potraktowane jako ciężkie naruszenie obowiązków pracowniczych.

§11

Bezpieczeństwo danych osobowych

1. Obowiązek zabezpieczenia   zbioru   danych    osobowych    spoczywa   na Administratorze.
2. Zbiory danych osobowych są chronione w sposób zapewniający zabezpieczenie przetwarzanych danych osobowych w systemach informatycznych i na nośnikach informacji, przed utratą poufności, integralności, dostępności i rozliczalności tych danych, ze szczególnym uwzględnieniem postanowień    dotyczących    regulacji    wewnętrznych z zakresu zarządzania systemami informatycznymi.
3. Wykaz środków technicznych i organizacyjnych stosowanych przez Spółkę w celu realizacji Polityki stanowią Załącznik nr 2 do niniejszej Polityki, bez konieczności zmiany Polityki.
4. Dane osobowe mogą być udostępniane wyłącznie podmiotom uprawnionym do ich otrzymania na podstawie:
   1. ustawy o ochronie danych osobowych;
   2. postanowień RODO;
   3. innych przepisów powszechne obowiązujących oraz zawartych przez Administratora umów.
5. Każdy pracownik Spółki zobowiązany jest do niezwłocznego poinformowania Administratora o wszelkich nieprawidłowościach w zakresie przetwarzania danych osobowych.

§12

Przetwarzanie danych osobowych

1. Przetwarzanie danych jest dopuszczalne, gdy:
   1. osoba, której dane dotyczą, wyrazi na to zgodę (nie dotyczy usunięcia jej danych osobowych);
   2. zezwalają na to przepisy obowiązującego prawa;
   3. jest niezbędne dla zrealizowania uprawnień lub spełnienia obowiązków wynikających z innych przepisów obowiązującego prawa;
   4. jest konieczne do realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną lub gdy jest to niezbędne dla podjęcia działań przed zawarciem umowy, na żądanie osoby, której dane dotyczą;
   5. jest niezbędne  do   wypełnienia  prawnie   usprawiedliwionych  zadań realizowanych dla dobra publicznego;
   6. jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Administratora Danych Osobowych lub odbiorców danych, którym te dane są przekazywane, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
2. Za prawnie usprawiedliwiony cel przetwarzania danych osobowych uważa się w szczególności:
   1. bezpieczeństwo klientów;
   2. ochrona mienia Administratora;
   3. marketing usług handlowych;
   4. sądowe lub pozasądowe dochodzenie wierzytelności;
   5. przetwarzanie danych   osobowych   w    celach   archiwalnych   oraz statystycznych.
3. W przypadku zbierania danych osobowych od osoby, której one dotyczą, Administrator Danych Osobowych zobowiązany jest poinformować zainteresowaną osobę o:
   1. pełnej nazwie oraz adresie siedziby Administratora Danych Osobowych;
   2. celu zbierania danych oraz przewidywanych odbiorcach tych danych;
   3. prawie dostępu do swoich danych oraz możliwości ich poprawienia;
   4. dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, to wskazanie jego podstawy prawnej;
   5. o prawie do:
      • złożenia żądania w zakresie sprostowania, usunięcia, ograniczenia przetwarzania danych osobowych przez Administratora;
      • prawie do złożenia sprzeciwu wobec przetwarzania danych osobowych przez Administratora;
      • informacje o prawie do cofnięcia zgody na przetwarzanie danych osobowych przez Administratora w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie udzielonej zgody przed jej cofnięciem;
      • wniesienia skargi do Prezesa Urzędu w przypadku stwierdzenia niezgodnego z prawem przetwarzania danych osobowych.
   6. W przypadku zbierania danych osobowych nie od osoby, której one dotyczą, Administrator Danych Osobowych jest zobowiązany poinformować osobę, której dane zebrał, bezpośrednio po utrwaleniu tych danych o:
      1. swojej pełnej nazwie oraz siedzibie;
      2. celu i zakresie zebranych danych oraz odbiorcach tych danych;
      3. źródle danych;
      4. prawie dostępu do treści swoich danych oraz ich poprawienia,
      5. o uprawnieniach wskazanych w ust. 3 powyżej;
      6. uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 ustawy o ochronie danych osobowych.

5. Obowiązku informacyjnego, określonego w ust. 5, nie dopełnia się jeśli:
   1. osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 5;
   2. przepis innej  ustawy  przewiduje  lub   dopuszcza  zbieranie  danych osobowych bez wiedzy osoby, której dane dotyczą;
   3. dane są przetwarzane przez administratora na podstawie przepisów prawa.
6. Jeżeli Administrator planuje przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe określonej osoby zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji.
7. W przypadku wystąpienia żądania udostępnienia swoich danych osobowych fakt ten należy odnotować w systemie informatycznym.
8. Zebrane dane osobowe należy przetwarzać zgodnie z celem ich zebrania oraz przechowywać nie dłużej niż jest to potrzebne do osiągnięcia celu przetwarzania.
9. Dane udostępnione Spółce przez podmiot trzeci będą przetwarzane wyłącznie zgodnie z przeznaczeniem, dla którego zostały udostępnione.

• Spółka będzie powierzać przetwarzanie danych osobowych podmiotom trzecim wyłącznie w drodze umów zawartych na piśmie a umowy te będą określać cele, zakres i zasady przetwarzania i ochrony danych przez Zleceniobiorcę, sposobów zabezpieczeń zbioru danych osobowych, prawo kontroli przetwarzania danych.
• Osobie, której dane będą przetwarzane przez Spółkę, przysługuje prawo do kontroli przetwarzania  tych  danych,   a   w   szczególności   prawo do informacji o:
  1. fakcie przetwarzania danych jej dotyczących;
  2. pełnej nazwie i adresie siedziby Administratora Danych Osobowych;
  3. celu, zakresie i sposobie przetwarzania danych (środkach przy pomocy których dane są przetwarzane);
  4. dacie, od kiedy dane są przetwarzane przez Administratora Danych Osobowych (dacie włączenia do zbioru) oraz podania w powszechnie zrozumiałej formie treści tych danych;

 

1. źródle danych, chyba że Administrator Danych Osobowych zobowiązany jest do zachowania w tym zakresie tajemnicy;
2. sposobie udostępniania danych oraz odbiorcach lub kategoriach odbiorców, którym dane są udostępniane;
3. żądania uzupełnienia,   uaktualnienia,   sprostowania,   czasowego  lub stałego wstrzymania przetwarzania danych lub ich usunięcia;
4. wniesienia do Administratora Danych Osobowych sprzeciwu wobec przetwarzania przez  niego   danych   w   celach   marketingowych   lub przekazania ich innemu administratorowi.

• Udostępnienie informacji odbywać się będzie na pisemny wniosek osoby, której dane Spółka przetwarza, jednak nie częściej niż raz na 6 miesięcy.
• Wnioski o udostępnienie informacji rozpatruje Administrator Ochrony Danych.

14. Rejestr czynności przetwarzania stanowi Załącznik nr 3 do niniejszej Polityki.

§13

Prawa osób, których dane osobowe są przetwarzane

 Każda osoba, której dane osobowe są przetwarzane przez Administratora, ma prawo żądać od Administratora niezwłocznego sprostowania dotyczących jej   danych    osobowych,    które    są    nieprawidłowe.    Z uwzględnieniem celów przetwarzania, każda osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia.

1. W zgłoszenia żądania w zakresie sprostowania danych osobowych, należy złożyć odpowiednie żądanie w formie pisemnej bezpośrednio na adres: Jarex NiM Sp. z o.o. Sp.K. ul.Zielona 46, 08-540 Stężyca lub poprzez adres elektroniczny email: This email address is being protected from spambots. You need JavaScript enabled to view it..
2. Każda osoba, której dane osobowe są przetwarzane ma prawo do uzyskania informacji od Administratora, czy i w jakim zakresie przetwarzane są jego dane osobowe, a także informacji o celu i zakresie przetwarzania jego danych osobowych.
3. Każda osoba, której dane osobowe są przetwarzane przez Administratora, ma prawo złożenia żądania wobec Administratora, w przedmiocie niezwłocznego usunięcia  dotyczących  tej   osoby  danych   osobowych. W takim przypadku Administrator bez zbędnej zwłoki usunie  dane osobowe osoby, która zgłosiła takie żądanie, chyba że obowiązek przetwarzania danych osobowych takiej osoby przez Administratora wynika z innych przepisów obowiązującego prawa.
4. Administrator ma prawo odmówić żądaniu w zakresie usunięcia danych osobowych także w przypadku, gdy wykaże, że przetwarza dane osobowe określonych osób dla celów archiwalnych w interesie publicznym. W takim przypadku Administrator poinformuje pisemnie osobę, która zgłosiła takie żądanie, o odmowie usunięcia danych osobowych, wskazując powody odmowy oraz podstawę prawną takiego działania.
5. Każda osoba, które dane osobowe są przetwarzane przez Administratora ma prawo w dowolnym momencie cofnąć zgodę na przetwarzanie danych osobowych dotyczących tej osoby, z zastrzeżeniem odmiennych postanowień niniejszej Polityki, które w określonych sytuacjach umożliwiają Administratorowi dalsze przetwarzanie  danych  osobowych, w szczególności powołując się na cele archiwalne oraz statystyczne.
6. Wycofanie zgody na przetwarzanie danych osobowych  nie  ma  wpływu na zgodność z prawem przetwarzania danych osobowych przez Administratora, które nastąpiło na podstawie zgody na przetwarzanie danych osobowych przed jej wycofaniem.
7. Każda osoba, której dane osobowe są przetwarzane przez Administratora, ma prawo żądać od Administratora ograniczenia przetwarzania jej danych osobowych w każdym przypadku gdy:
   1. kwestionuje prawidłowość przetwarzanych jej danych osobowych – ograniczenie następuje na okres pozwalający na weryfikację przez Administratora sprawdzenie prawidłowości tych danych osobowych;
   2. przetwarzanie danych osobowych jest niezgodne z prawem, a osoba fizyczna, której dane dotyczą, sprzeciwia się usunięciu jej danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
   3. Administrator nie potrzebuje już danych osobowych celem ich przetwarzania, ale dane osobowe są potrzebne osobie, której dane osobowe są przetwarzane do ustalenia, dochodzenia lub obrony jego roszczeń;
   4. Osoba, której dane osobowe są przetwarzane wniosła sprzeciw wobec przetwarzania danych osobowych przez Administratora – do czasu stwierdzenia oraz zweryfikowania przez Administratora czy prawnie uzasadnione podstawy po stronie Administratora w zakresie przetwarzania danych osobowych określonej osoby są nadrzędne wobec podstaw sprzeciwu tej osoby, która wniosła sprzeciw.
8. W razie uchylenia ograniczenia przetwarzania danych osobowych, Administrator informuje o tym pisemnie osobę fizyczną, wobec której danych osobowych nastąpiło ograniczenia przetwarzania.

• Osoba fizyczna, której dane osobowe są przetwarzane przez Administratora ma prawo w dowolnym momencie wnieść sprzeciw,

z przyczyn związanych z jego szczególną sytuacją, wobec przetwarzania jego danych osobowych przez Administratora.

• W razie wniesienia sprzeciwu, Administratorowi nie wolno już przetwarzać danych osobowych tej osoby fizycznej, która wniosła sprzeciw, chyba że Administrator wykaże istnieje ważnych, prawnie uzasadnionych podstaw do dalszego przetwarzania danych osobowych tej osoby fizycznej, która wniosła sprzeciw, które są nadrzędne wobec partykularnych interesów osoby fizycznej, która wniosła sprzeciw bądź przetwarzanie danych osobowych osób fizycznych jest niezbędne do wykonywania przez Administratora zadań realizowanych w interesie publicznym.
• Powyższe ograniczenie nie dotyczy przetwarzania danych osobowych dla celów marketingowych, a w takiej sytuacji w razie wniesienia sprzeciwu, dane osobowe nie mogą już dalej być przetwarzane przez Administratora.
• Każda osoba, której dane osobowe są przetwarzane przez Administratora ma prawo żądać, aby jego dane osobowe przetwarzane przez Administratora zostały przekazane przez Administratora innemu podmiotowi (administratorowi), o ile jest to technicznie możliwe.

§14

Naruszenie ochrony danych osobowych

 Administrator jest zobowiązany bez zbędnej zwłoki do powiadomienia osoby fizycznej, o każdym przypadku naruszenia jej danych osobowych przetwarzanych przez Administratora w stopniu skutkującym możliwością zaistnienia wysokiego ryzyka naruszenia praw lub wolności tej osoby fizycznej.

1. Zawiadomienie jest dokonywane najpóźniej w terminie 30 dni, licząc od dnia powzięcia przez Administratora informacji o powstałym wysokim ryzyku naruszenia praw lub wolności osób, których dane osobowe są przetwarzane przez Administratora.
2. Zawiadomienie w sposób jasny i precyzyjny wskazuje danej osobie fizycznej charakter naruszenia jej danych osobowych oraz zawiera imię i nazwisko oraz dane kontaktowe inspektora ochrony danych osobowych lub wskazanie innego punktu kontaktowego (innej osoby), od którego istnieje możliwość uzyskania większej liczby informacji.
3. Zawiadomienie, o którym mowa w ustępie poprzednim nie jest dokonywane jeżeli:
   1. Administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
   2. Administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą;
   3. wymagałoby ono niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat przez Administratora do konkretnej osoby fizycznej, której dane osobowe zostały naruszone lub zastosowany będzie podobny środek, za pomocą którego określona osoba fizyczna, której dane osobowe dotyczą, zostanie poinformowany w równie skuteczny sposób.
4. Każda osoba, której dane są przetwarzane przez Administratora, ma prawo wnieść skargę do Prezesa Urzędu, w przypadku przetwarzania danych osobowych tej osoby niezgodnie z  przepisami  obowiązującego  prawa.  W takim przypadku, Prezes Urzędu informuje osobę, która wniosła skargę o postępach i efektach rozpatrywania skargi, w tym także o możliwości skorzystania z środków ochrony prawnej na drodze sądowej.
5. W przypadku naruszenia ochrony danych osobowych, Administrator bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu takiego naruszenia, zgłasza je Prezesowi Urzędu, chyba że jest mało prawdopodobne, by charakter naruszenia skutkował ryzykiem naruszenia praw lub wolności osób fizycznych.
6. W razie dokonania zgłoszenia po upływie 72 godzin, do zgłoszenia Prezesowi Urzędu dołącza się pisemne wyjaśnienie przyczyn opóźnienia.
7. Zgłoszenie do Prezesa Urzędu, o którym mowa w niniejszym paragrafie zawiera następujące informacje:
   1. opis charakteru naruszenia ochrony danych osobowych, a w miarę możliwości wskazanie kategorii i przybliżoną liczbę osób, których dane osobowe dotyczą bądź lub też kategorię i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
   2. dane kontaktowe Administratora Ochrony Danych;
   3. opis możliwych    konsekwencji    naruszenia    ochrony    danych osobowych;
   4. opis środków zastosowanych lub proponowanych przez Administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym także zastosowane środki w celu zminimalizowania ewentualnych skutków naruszenia.
8. Do obowiązków Administratora należy dokumentowanie wszelkich naruszeń ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutków oraz podjętych działań zaradczych.
9. Rejestr naruszeń stanowi Załącznik nr 4 do niniejszej Polityki.

§15.

Katalog zagrożeń i postępowanie na wypadek naruszenia ochrony

danych osobowych

 Do zdarzeń zagrażających bezpieczeństwu danych osobowych należą:

1. 1. próby naruszenia ochrony danych:
      • z zewnątrz – włamania do systemu, podsłuch, kradzież danych;
      • z wewnątrz  –   nieumyślna  lub   celowa  modyfikacja  danych, kradzież danych;
   2. złośliwe oprogramowanie;
   3. awarie sprzętu lub uszkodzenie oprogramowania powodujące utratę lub uszkodzenie danych;
   4. zabór sprzętu lub nośników z ważnymi danymi;
   5. inne skutkujące utratą danych osobowych, bądź wejściem w ich posiadanie osób nieuprawnionych.
2. W przypadku powzięcia wiadomości o zdarzeniu zagrażającym bezpieczeństwu danych osobowych lub podejrzeniu jego wystąpienia pracownik Spółki zobowiązany jest poinformować Administratora Danych Osobowych lub w przypadku gdyby było to utrudnione lub niemożliwe przynajmniej swojego bezpośredniego przełożonego.
3. Administrator Danych Osobowych niezwłocznie wszczyna postępowanie wyjaśniające i podejmuje wszystkie czynności konieczne w celu ustalenia:
   1. czasu wystąpienia naruszenia, zakresu, przyczyn, skutków, szkód;
   2. osoby odpowiedzialne za naruszenie;
   3. opracowuje pisemny raport z przeprowadzonego postępowania zawierający wnioski na przyszłość i przedkłada go Prezesowi Zarządu Spółki.
4. Poza powyższym w przypadku naruszenia ochrony danych osobowych, Administrator Danych Osobowych:
   1. zawiadamia osobę, której dane osobowe przetwarzane przez Administratora zostały naruszone, o każdym przypadku naruszenia jej danych osobowych przetwarzanych przez Administratora w stopniu skutkującym możliwością zaistnienia wysokiego ryzyka naruszenia praw lub wolności tej osoby fizycznej, chyba że przepisy obowiązującego prawa nie obligują Inspektora Danych do dokonania takiego zawiadomienia;
   2. w przypadkach przewidzianych przepisami prawa, dokonuje zgłoszenia naruszenia ochrony danych osobowych Prezesowi Urzędu oraz współpracuje z nim w toku wszczętego postępowania;
   3. współpracuje z Prezesem Urzędu we wszelkich prowadzonych przez niego postępowaniach związanych z naruszeniem ochrony danych osobowych.

§16

Wykaz zbiorów danych osobowych oraz osób upoważnionych

 Wykaz zbiorów danych osobowych wraz ze wskazaniem systemów zastosowanych do przetwarzania tych danych stanowi Załącznik nr 5, i jest aktualizowany przez Inspektora Ochrony Danych, bez konieczności zmiany Polityki.

1. W przypadku utworzenia nowego zbiorów danych Opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi określone zostaną w kolejnym Załączniku do Polityki.
2. Wykaz osób upoważnionych do przetwarzania danych osobowych stanowi Załącznik nr 6 i jest aktualizowany przez Administratora Danych Osobowych, bez konieczności zmiany Polityki.

 §17

Postanowienia końcowe

 

1. Co najmniej jeden raz w każdym roku kalendarzowym Administrator Danych Osobowych powinien dokonać przeglądu  niniejszej  Polityki  oraz  Instrukcji  w celu oceny ich przydatności, spójności, zgodności z prawem oraz właściwego opisywania stanu faktycznego.
2. Polityka bezpieczeństwa danych osobowych wchodzi w życie z dniem podjęcia Uchwały Zarządu wprowadzającego Politykę bezpieczeństwa.