Confidentialitate
Prezentare generala
1.1 Introducere
SC Roberta Planet M SRL prelucreaza date cu caracter personal referitoare la persoane fizice. Acestea pot reprezenta date in legatura cu clientii, furnizorii, contacte pentru afaceri, angajati si alte persoane cu care compania/societatea a incheiat un contract sau cu care aceasta se afla intr-o legatura.
Aceasta politica descrie modul in care datele personale trebuie colectate, utilizate si stocate pentru a fi in concordanta cu standardele companiei referitoare la protectia datelor – si, de asemenea, sa indeplineasca conditia legalitatii.
Acest control se aplica tuturor sistemelor, persoanelor si proceselor care constituie sistemele informatice ale organizatiei, inclusiv membrii consiliului, directorii, angajatii, furnizorii si alte parti terte care au acces la sistemele SC Roberta Planet M SRL
Urmatoarele politici si proceduri sunt relevante pentru acest document:
- Procesul de evaluare a impactului protectiei datelor.
- Procedura de analiza a datelor personale.
- Procedura de evaluare a interesului legitim.
- Procedura de raspuns la incidentele de securitate a informatiilor.
- Roluri si responsabilitati in GDPR.
- Politica privind pastrarea si protectia inregistrarilor.
1.2. Existenta politicii
Aceasta politica privitoare la protectia datelor asigura SC Roberta Planet M SRL:
-·Conformitatea cu legislatia privind protectia datelor cu caracter personal si practicile performante la acest nivel;
-·Protectia drepturilor persoanelor vizate: de exemplu a partenerilor, clientilor, angajatilor;
-·Modul de stocare si prelucrare a datelor persoanelor fizice;
-·Protectia companiei de posibilele riscuri referitoare la incalcarea securitatii datelor.
1.2.1 Legislatia privitoare la protectia datelor cu caracter personal
Regulamentul (EU) nr. 679/2016 descrie modul in care companiile – incluzand SC Roberta Planet M SRL, trebuie sa prelucreze datele cu caracter personal. Amenzile semnificative sunt aplicabile in cazul in care se considera ca o incalcare a fost adoptata in temeiul Regulamentului GDPR, care are rolul de a proteja datele cu caracter personal ale cetatenilor Uniunii Europene.
Aceste reguli se aplica indiferent daca datele sunt stocate in format electronic, pe hartie sau pe alte materiale.
Pentru a fi in concordanta cu legislatia, informatiile personale trebuie sa fie colectate si utilizate in mod corect, stocate in siguranta, nepermitandu-se folosirea acestora in mod ilegal.
Regulamentul (EU) nr 2016/679 stipuleaza, printre altele, faptul ca datele personale trebuie:
- Sa fie prelucrate in mod legal, echitabil si transparent fata de persoana vizata („legalitate, echitate si transparenta”);
- Sa fie colectate in scopuri determinate, explicite si legitime si nu sunt prelucrate ulterior intr-un mod incompatibil cu aceste scopuri („limitari legate de scop”);
- Sa fie adecvate, relevante si limitate la ceea ce este necesar in raport cu scopurile in care sunt prelucrate („reducerea la minimum a datelor”);
- Sa fie exacte si, in cazul in care este necesar, sa fie actualizate; trebuie sa se ia toate masurile necesare pentru a se asigura ca datele cu caracter personal care sunt inexacte, avand in vedere scopurile pentru care sunt prelucrate, sunt sterse sau rectificate fara intarziere („exactitate”);
- Sa nu fie pastrate mai mult timp decat este necesar („limitari legate de stocare”);
- Sa fie prelucrate intr-un mod care asigura securitatea adecvata a datelor cu caracter personal, inclusiv protectia impotriva prelucrarii neautorizate sau ilegale si impotriva pierderii, a distrugerii sau a deteriorarii accidentale, prin luarea de masuri tehnice sau organizatorice corespunzatoare („integritate si confidentialitate”);
- Sa fie prelucrate in concordanta cu drepturile persoanelor vizate;
- Sa nu fie transferate in afara Spatiului Economic European, decat in cazul in care teritoriul/tara unde urmeaza a fi transferate asigura un nivel adecvat de protectie a datelor cu caracter personal
1.2.2 Definitii
Exista un numar total de 26 de definitii enumerate in cadrul GDPR si nu este adecvata reproducerea acestora aici. Cu toate acestea, definitiile cele mai fundamentale cu privire la aceasta politica sunt urmatoarele:
Date cu caracter personal – orice informatii privind o persoana fizica identificata sau identificabila („persoana vizata”)
-·Persoana vizata – o persoana fizica identificabila este o persoana care poate fi identificata, direct sau indirect, in special prin referire la un element de identificare, cum ar fi un nume, un numar de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identitatii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale
-·Prelucrare – orice operatiune sau set de operatiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fara utilizarea de mijloace automatizate, cum ar fi colectarea, inregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispozitie in orice alt mod, alinierea sau combinarea, restrictionarea, stergerea sau distrugerea
-·Operator – persoana fizica sau juridica, autoritatea publica, agentia sau alt organism care, singur sau impreuna cu altele, stabileste scopurile si mijloacele de prelucrare a datelor cu caracter personal; atunci cand scopurile si mijloacele prelucrarii sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevazute in dreptul Uniunii sau in dreptul intern
-·Persoana imputernicita de operator – persoana fizica sau juridica, autoritatea publica, agentia sau alt organism care prelucreaza datele cu caracter personal in numele operatorului
1.3 Principii privind prelucrarea datelor cu caracter personal
Exista o serie de principii fundamentale pe care se bazeaza prelucrarea datelor personale conform Regulamentului GDPR.
Datele personale sunt:
-·prelucrate in mod legal, echitabil si transparent fata de persoana vizata („legalitate, echitate si transparenta”);
-·colectate in scopuri determinate, explicite si legitime si nu sunt prelucrate ulterior intr-un mod incompatibil cu aceste scopuri; prelucrarea ulterioara in scopuri de arhivare in interes public, in scopuri de cercetare stiintifica sau istorica ori in scopuri statistice nu este considerata incompatibila cu scopurile initiale, in conformitate cu articolul 89 alineatul (1) („limitari legate de scop”);
-·adecvate, relevante si limitate la ceea ce este necesar in raport cu scopurile in care sunt prelucrate („reducerea la minimum a datelor”);
-·exacte si, in cazul in care este necesar, sa fie actualizate; trebuie sa se ia toate masurile necesare pentru a se asigura ca datele cu caracter personal care sunt inexacte, avand in vedere scopurile pentru care sunt prelucrate, sunt sterse sau rectificate fara intarziere („exactitate”);
-·pastrate intr-o forma care permite identificarea persoanelor vizate pe o perioada care nu depaseste perioada necesara indeplinirii scopurilor in care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi in masura in care acestea vor fi prelucrate exclusiv in scopuri de arhivare in interes public, in scopuri de cercetare stiintifica sau istorica ori in scopuri statistice, in conformitate cu articolul 89 alineatul (1), sub rezerva punerii in aplicare a masurilor de ordin tehnic si organizatoric adecvate prevazute in prezentul regulament in vederea garantarii drepturilor si libertatilor persoanei vizate („limitari legate de stocare”);
-·prelucrate intr-un mod care asigura securitatea adecvata a datelor cu caracter personal, inclusiv protectia impotriva prelucrarii neautorizate sau ilegale si impotriva pierderii, a distrugerii sau a deteriorarii accidentale, prin luarea de masuri tehnice sau organizatorice corespunzatoare („integritate si confidentialitate”).
SC Roberta Planet M SRL se va asigura ca respecta toate aceste principii atat in procesul de prelucrare pe care il desfasoara in prezent, cat si ca parte a introducerii de noi metode de procesare, cum ar fi noile sisteme informatice.
1.4 Drepturile persoanei vizate
Persoana vizata are, de asemenea, drepturi in temeiul Regulamentului GDPR. Acestea constau in:
- Dreptul de retragere a consimtamantului;
- Dreptul la informare;
- Dreptul de acces;
- Dreptul la rectificare;
- Dreptul la stergerea datelor („dreptul de a fi uitat”);
- Dreptul la restrictionarea prelucrarii;
- Dreptul la portabilitatea datelor;
- Dreptul de a se opune prelucrarii;
- Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automata, inclusiv crearea de profiluri;
- Dreptul de a depune o plangere la Autoritate;
- Dreptul de a se adresa justitiei.
Fiecare dintre aceste drepturi este sustinut de proceduri adecvate din SC Roberta Planet M SRL care permit ca actiunea necesara sa fie luata in termenele stabilite de Regulamentul GDPR.
Persoanele vizate isi pot exercita o parte din drepturile de mai sus prin e-mail la dpo@takmate.com. Intrebari si solicitari scrise se pot adresa operatorului de date la adresa Str. Samoila Dumitru, nr 6, sector 4 București sau pe adresa de e-mail office@mplanet.ro.
Operatorul de date poate atasa o cerere standard, cu toate ca persoanele nu sunt obligate sa o foloseasca.
Cererile vor fi scutite de vreo taxa. Operatorul va fi obligat sa furnizeze raspuns in maxim o luna, iar in anumite cazuri exceptionale in cel mult doua luni de la primirea cererii.
Operatorul de date va verifica intotdeauna identitatea oricarei persoane. In vederea raspunderii la cereri si permiterea exercitarii drepturilor, departamentul juridic sau consultantii juridici externi vor avea un cuvant de spus cu privire la temeinicia cererii.
Organizatia respecta urmatoarele termene pentru raspunsul la cererile persoanelor vizate:
Solicitarea de date Grafic de timp
| Dreptul de a fi informat | Cand se colecteaza date (daca acestea sunt furnizate de persoana vizata) sau in termen de o luna (daca nu sunt furnizate de persoana vizata) |
| Dreptul de acces | O luna |
| Dreptul la rectificare | O luna |
| Dreptul de stergere | Fara intarzieri nejustificate |
| Dreptul de a restrictiona procesarea | Fara intarzieri nejustificate |
| Dreptul la portabilitatea datelor | O luna |
| Dreptul de a se opune prelucrarii | La primirea obiectiei |
| Drepturi legate de procesul de luare a deciziilor si profilaxie automata. | Nespecificat |
1.5 Temeiurile prelucrarii
Exista sase moduri alternative in care poate fi stabilita legalitatea unui caz specific de prelucrare a datelor cu caracter personal in cadrul Regulamentului GDPR.
1.5 Consimtamantul
Cu exceptia cazului in care este necesar dintr-un motiv admis in Regulamentul GDPR, SC Roberta Planet M SRL va obtine intotdeauna acordul explicit din partea unei persoane vizate pentru colectarea si prelucrarea datelor. In cazul copiilor sub varsta de 16 ani (o varsta mai mica poate fi permisa in anumite state membre ale UE), va fi obtinut consimtamantul parintilor. Informatii transmise despre utilizarea datelor noastre cu caracter personal vor fi furnizate persoanelor vizate in momentul obtinerii consimtamantului si explicarii drepturilor acestora cu privire la datele lor, cum ar fi dreptul de retragere a consimtamantului. Aceste informatii vor fi furnizate intr-o forma accesibila, scrise in limbaj clar si gratuit.
In cazul in care datele cu caracter personal nu sunt obtinute direct de la persoana vizata, aceste informatii vor fi furnizate persoanei vizate intr-o perioada rezonabila de timp dupa obtinerea datelor.
1.6 Incheierea sau executarea unui contract
In cazul in care datele cu caracter personal colectate si prelucrate sunt necesare pentru a incheia sau executa un contract cu persoana vizata, nu este necesar consimtamantul explicit. Acesta va fi cazul in care contractul nu poate fi incheiat fara datele personale in cauza, de exemplu o livrare nu poate fi efectuata fara o adresa la care sa se poata livra.
1.7 Obligatia legala
In cazul in care datele cu caracter personal trebuie sa fie colectate si prelucrate pentru a ne conforma legii, nu este necesar consimtamantul explicit. Acest lucru poate fi cazul in cazul anumitor date referitoare la ocuparea fortei de munca si la impozitare, de exemplu.
1.8 Interesele vitale ale subiectului datelor
In cazul in care datele cu caracter personal sunt necesare pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice, atunci acesta poate fi utilizat ca temeiul legal al prelucrarii. SC Roberta Planet M SRL va pastra dovezi rezonabile, documentate ca acest lucru este cazul, ori de cate ori acest motiv este utilizat ca baza legala pentru prelucrarea datelor cu caracter personal.
1.9 Activitatea desfasurata in interes public
In cazul in care SC Roberta Planet M SRL trebuie sa indeplineasca o sarcina pe care o considera a fi in interesul public sau ca parte a unei obligatii oficiale, atunci nu va fi solicitat consimtamantul persoanei vizate. Evaluarea interesului public va fi documentata si pusa la dispozitie ca dovezi atunci cand este necesar.
1.10 Interesul legitim
Daca prelucrarea datelor cu caracter personal specific este in interesul legitim al SC Roberta Planet M SRL si este considerat ca nu afecteaza in mod semnificativ drepturile si libertatile persoanei vizate, atunci aceasta poate fi definita ca fiind motivul legal al prelucrarii. Din nou, rationamentul din spatele acestui punct de vedere va fi documentat.
- Persoane fizice, riscuri si responsabilitati
2.1 Domeniul politicii
Prezenta politica se aplica:
- Locatiilor, departamentelor, angajatilor si voluntarilor, contractantilor, furnizorilor si altor persoane ce lucreaza in numele SC Roberta Planet M SRL.
Are aplicabilitate asupra tuturor datelor pe care compania le detine in legatura cu persoanele fizice identificabile. Acestea pot cuprinde:
- Numele persoanelor fizice;
- Adresele postale;
- Adresele de e-mail;
- Numerele de telefon;
si orice alte date referitoare la o persoana fizica identificata sau identificabila.
2.2 Riscurile
Politica ajuta la protejarea SC Roberta Planet M SRL de reale riscuri la nivel de securitate, incluzand:
-·Incalcari ale confidentialitatii.
-·Vatamarea reputatiei. De exemplu, compania ar putea sa fie lezata daca hackerii vor obtine acces la aceste date.
2.3 Responsabilitati
Oricine lucreaza pentru sau cu SC Roberta Planet M SRL isi angajeaza raspunderea pentru a asigura colectarea, stocarea si utilizate datelor in mod corespunzator.
Fiecare echipa care utilizeaza datele personale trebuie sa asigure faptul ca acestea sunt utilizate si prelucrate in concordanta cu politica si principiile generale ale protectiei datelor.
Administratia este responsabila cu privire la asigurarea indeplinirii in mod legal a obligatiilor de catre SC Roberta Planet M SRL
Responsabilul cu protectia datelor va:
-·Informa/sfatui si va emite recomandari catre angajator, precum si catre ceilalti angajati cu privire la obligatiile care le revin in temeiul Regulamentului (EU) 2016/679 si al altor dispozitii de drept al Uniunii sau drept intern referitoare la protectia datelor;
-·Promova o cultura a protectiei datelor cu caracter personal in cadrul organizatiei;
-·Organiza training-uri in vederea pregatirii si sensibilizarii angajatilor cu privire la prelucrarea datelor cu caracter personal;
-·Participa in mod regulat la sedintele conducerii, unde se iau hotarari cu implicatii privind prelucrarea datelor si oferirea de opinii concrete si documentate;
-·Colectar informatii necesare pentru identificarea activitatilor de prelucrare;
-·Colabora cu celelalte departamente precum HR, Juridic, IT, Securitate pentru a avea informatiile necesare indeplinirii sarcinilor;
-·Recomanda si sprijini concret in privinta implementarii cerintelor Regulamentului (EU) 2016/679, cum ar fi principiile prelucrarii datelor, drepturile persoanei vizate, protectia datelor incepand cu momentul conceperii si in mod implicit, pastrarea evidentei activitatilor de prelucrare, securitatea si managementul adecvat al incidentelor de securitate;
-·Monitoriza respectarea Regulamentului, a altor dispozitii de drept al Uniunii sau de drept intern referitoare la protectia datelor;
-·Monitoriza respectarea politicilor tehnice si organizationale ale operatorului;
-·Monitoriza efectuarea auditurilor necesare;
-·Aloca responsabilitati personalului implicat in operatiunile de prelucrare;
-·Informa organizatia daca este obligatorie sau necesara efectuarea unei evaluari de impact privind protectia datelor cu caracter personal, potrivit art. (35) din Regulament;
-·Recomanda concret in privinta metodologiei care trebuie urmata pentru efectuarea unei evaluari de impact;
-·In situatia in care organizatia nu dispune de resursele necesare pentru efectuarea interna a evaluarii de impact, va recomanda externalizarea acestui proces si va indruma organizatia in alegerea corecta a persoanelor specializate care pot efectua evaluarea de impact;
-·Recomanda masuri care trebuie implementate (inclusiv politici tehnice si organizatorice) pentru a atenua orice riscuri la adresa drepturilor si intereselor persoanelor vizate;
-·Sprijini conceperea si actualizarea constanta a evidentei activitatilor de prelucrare, potrivit art. (30) din Regulament;
-·Coopera cu Autoritatea de Supraveghere;
-·Asuma rolului de punct de contact pentru Autoritatea de Supraveghere privind aspectele legate de prelucrare, inclusiv consultarea prealabila mentionata la articolul 36, precum si, daca este cazul, consultarea cu privire la orice alta chestiune;
-·Asuma rolului de punct de contact cu persoanele vizate privire la toate chestiunile legate de prelucrarea datelor lor si la exercitarea drepturilor lor in temeiul Regulamentului;
-·Oferi sprijin concret in situatia unui incident de securitate
– Oferi sprijin cu privire la notificarea Autoritatii/Autoritatilor de Supraveghere competenta/competente si a persoanelor vizate;
-·Respecta secretul si confidentialitatea in ceea ce priveste indeplinirea sarcinilor sale;
-·Monitoriza si oferi sprijin concret in orice alt aspect legat de protectia datelor cu caracter personal, conform dispozitiilor legale in vigoare.
Managerul IT este responsabil pentru:
-·Asigurarea tuturor sistemelor, serviciilor si echipamentului folosit pentru a stoca datele, in conditiile unor standarde adecvate de Securitate, asigurand confidentialitatea, integritatea, disponibilitatea si rezistenta continue ale sistemelor si serviciilor de prelucrare;
-·Efectuarea verificarilor si scanarilor in mod constant pentru a asigura nivelul inalt de securitate al hardware-ului si software-ului, precum si functionarea decenta a lor;
-·Evaluarea fiecarui serviciu al tertului pe care compania il considera ca utilizeaza sau stocheaza date. De exemplu, servicii de cloud computing.
-·Implementeaza masuri pentru pseudonimizarea si criptarea datelor cu caracter personal;
-·Implementeaza masuri pentru a restabili disponibilitatea datelor cu caracter personal si accesul la acestea in timp util in cazul in care are loc un incident de natura fizica sau tehnica;
Managerul pe marketing este responsabil pentru:
-·Trimiterea de raspunsuri asupra oricaror interogari ce provin de la jurnalisti sau puncte de vanzare media precum ziare;
-·Unde este necesar, lucrul cu alt personal pentru a asigura respectarea principiilor privitoare la protectia datelor cu caracter personal in legatura cu initiativele de marketing.
- Regulamentul general al personalului
Singurele persoane care sunt apte sa acceseze datele prezentate in aceasta politica ar trebui sa fie cele carora le este necesara pentru activitatea pe care o realizeaza.
Datele ar trebui sa nu fie impartasite catre toti angajatii. Cand este necesar accesul la informatii confidentiale, angajatii pot solicita direct de la managerii lor.
SC Roberta Planet M SRL va asigura trainingul aferent tuturor angajatilor pentru a-i ajuta in procesul intelegerii responsabilitatii pe care o au in momentul in care utilizeaza datele.
Angajatii ar trebui sa asigure securitatea datelor luand precautii si folosind instructiunile de mai jos.
– Vor trebui utilizate parole puternice.
-·Datele personale nu vor fi dezvaluite catre persoane neautorizate, fie din interiorul companiei sau in afara.
-·Datele ar trebui sa fie revizuite si actualizate daca exista situatia in care datele nu sunt concordante cu realitatea. Daca nu mai sunt necesare, datele vor fi sterse.
-·Angajatii vor cere ajutorul managerului lor sau responsabilului cu protectia datelor daca nu sunt siguri in legatura cu orice aspect al protectiei datelor.
- Stocarea datelor
Aceste reguli descriu cum si unde ar trebui sa fie stocate datele cu caracter personal. Intrebarile despre stocarea datelor pot fi redirectionate in siguranta managerului IT sau operatorului de date.
Cand datele sunt stocate pe hartie, ele trebuie pastrate intr-un loc sigur unde persoanele neautorizate nu pot avea acces.
Aceste instructiuni se aplica, de asemenea, asupra datelor care sunt stocate in mod obisnuit in format electronic, dar au fost printate din anumite considerente:
– hartiile sau fisierele ar trebui pastrate intr-un loc inchis sau intr-un sertar inchis;
– angajatii ar trebui sa se asigure ca hartia sau cele printate nu sunt lasate catre oameni neautorizati ce ar putea sa le vada, ca de exemplu pe imprimanta;
– printurile ar trebui distruse cand nu mai sunt necesare.
Cand datele sunt stocate in format electronic, ele trebuie sa fie protejate de accesul neautorizat, stergerilor accidentale sau atacurilor intentionate de hacking:
– datele ar trebui protejate de parole puternice ce sunt schimbate regulat si niciodata impartasite intre angajati;
– daca datele sunt stocate pe suporturi amovibile (precum CD, DVD), acestea ar trebui pastrate in siguranta atunci cand nu sunt folosite;
– datele ar trebui stocate numai in servere sau unitati specializate si ar trebui sa fie incarcate intr-un serviciu de cloud computing aprobat;
– serverele ce contin informatii personale ar trebui plasate intr-un loc sigur, departe de spatiul general de birouri;
– datele nu ar trebui salvate direct pe laptopuri sau alte dispozitive mobile precum tablete sau smartphone-uri.
– datele ar trebui sa aiba un back-up. Aceste backup-uri ar trebui testate regulat.
– toate serverele si calculatoarele ce contin date ar trebui protejate de software de Securitate si firewall.
- Utilizarea datelor
Datele personale nu au nicio valoare pentru SC Roberta Planet M SRL decat daca aceasta le poate folosi in activitatea sa. Se intampla atunci cand datele sunt accesate si folosite, iar acest fapt poate fi predispus la numeroase riscuri, coruptie sau chiar furt:
-·Cand se lucreaza cu date personale, angajatii ar trebui sa asigure ecranele calculatoarelor intotdeauna inchise cand le lasa nesupravegheate;
-·Datele personale nu ar trebui transmite prin e-mail, avand in vedere ca aceasta cale de comunicare nu este sigura.
-·Datele ar trebui criptate inainte de a fi transferate electronic. Managerul IT ar trebui sa explice cum sunt trimise datele catre contactele externe autorizate.
-·Datele personale nu ar trebui transferate in afara Spatiului Economic European.
-·Angajatii ar trebui sa nu salveze datele personale in dispozitivele lor personale. Intotdeauna ar trebui sa existe acces si actualizare a copiei centrale a tuturor datelor.
