Zasady ochrony prywatności LLC „Simply Contact International”

LLC „Simply Contact International” (zwana dalej Firmą) przywiązuje dużą wagę do ochrony danych osobowych klientów, kontrahentów i swoich pracowników. Polityka prywatności (dalej – Polityka) została opracowana zgodnie z wymogami Ustawy Ukrainy „O ochronie danych osobowych” z dnia 01.06.2010r. Polityka została opracowana zgodnie z wymogami Ustawy Ukrainy „O ochronie danych osobowych” nr 2297-VI (dalej – Ustawa 2297) oraz Ogólnego Rozporządzenia UE o Ochronie Danych 2016/679 (dalej – RODO). Definicje terminów w niniejszej Polityce są używane w znaczeniu przewidzianym w Ustawie 2297, dodatkowe definicje podano w Rozdziale 1.

1. Podstawowe definicje

1.1. Dane osobowe (DO) — wszelkie dane umożliwiające identyfikację osoby, w tym między innymi:

imię (pełne imię);
numery identyfikacyjne (serie, numery wszelkich dokumentów);
dane lokalizacji;
Identyfikator internetowy (adres e-mail lub inny identyfikator internetowy, w tym dane o wizytach w zasobach internetowych itp.);
dane indywidualne lub ich połączenie, które są specyficzne dla fizycznej, fizjologicznej, genetycznej, umysłowej, ekonomicznej, kulturowej lub społecznej tożsamości danej osoby.

1.2. Zasady przetwarzania DO są następujące:

zasada legalności, dane osobowe powinny być przetwarzane wyłącznie na podstawie prawnej;
zasada zgodności, dane osobowe powinny być pozyskiwane w określonych prawnie uzasadnionych celach i przetwarzane zgodnie z nimi;
zasada adekwatności i nienadmiarowości, dane osobowe powinny być adekwatne, a nie zbędne, do celów przetwarzania;
zasada dokładności, dane osobowe powinny być dokładne i precyzyjne;
zgodnie z zasadą pilności przechowywania dane osobowe nie powinny być przechowywane dłużej, niż wynika to z odpowiednich ram prawnych i regulacyjnych;
zasada poszanowania praw jednostki, dane osobowe powinny być przetwarzane z poszanowaniem praw podmiotu danych osobowych, w tym prawa dostępu do nich.

1.3. Inspektor Ochrony Danych — Pracownik Spółki odpowiedzialny za kontrolę przestrzegania procedur przetwarzania i ochrony danych osobowych. Dane kontaktowe -is@simplycontact.com.ua.

1.4. Osoba odpowiedzialna — pracownik Spółki jest zaangażowany w proces przetwarzania DO i/lub obsługę spraw związanych z tym przetwarzaniem.

1.5. Przetwarzanie DO — każda czynność lub zestaw czynności, takich jak gromadzenie, rejestracja, gromadzenie, przechowywanie, adaptacja, zmiana, przywracanie, wykorzystywanie i rozpowszechnianie (udostępnianie osobom trzecim, realizacja, przekazywanie), depersonalizacja, niszczenie danych osobowych , w tym z wykorzystaniem systemów informatycznych (zautomatyzowanych), odbywa się w ścisłej zgodności z określonymi procedurami, z obowiązkowym przestrzeganiem:

określone warunki ich przechowywania;
ograniczenie systemu dostępu do nich;
kompletność i integralność danych osobowych.

1.6. Procedura DO – przetwarzanie szczegółowego opisu czynności, które są realizowane przez Osoby Odpowiedzialne Spółki przy przetwarzaniu DO, w którym określone są:

cel przetwarzania;
lista Osób Odpowiedzialnych;
kolejność wymiany danych;
środki ochronne;
warunki przechowywania i nakaz niszczenia;
procedura kontroli zgodności.

2. Rodzaje danych osobowych

2.1. Wewnętrzny DO (WDO) — dane osobowe pracowników Spółki przetwarzane są w bazie DO „PRACOWNICY” w celu prowadzenia dokumentacji kadrowej, przygotowania informacji statystycznych, zarządczych i innych informacji sprawozdawczych dotyczących spraw kadrowych. Kategoria przetwarzanych danych osobowych w bazie DO „PRACOWNICY” zawiera:

dane paszportowe (obywatelstwo, nazwisko, imię, data, rok urodzenia;
dane osobowe (płeć, miejsce faktycznego zamieszkania, numery telefonów, zdjęcie, numer karty podatnika);
edukacja, nazwa instytucji edukacyjnej;
dane potwierdzające prawo pracownika do świadczeń określonych przepisami prawa pracy.
Papierowe kopie dokumentów pierwotnych są przechowywane w aktach osobowych pracowników.

WDO jest przechowywana przez Spółkę przez okres trwania stosunku pracy pomiędzy pracownikiem a Spółką, a także przez 2 (dwa) lata po jego rozwiązaniu. Wspomniane WDO po upływie określonego czasu powinno zostać przekazane do archiwum w celu stałego przechowywania przez okres 75 lat.
Zgodnie ze statusem prawnym Spółka jest właścicielem i zarządcą (ustawa 2297) bazy danych DO „PRACOWNICY”.

2.2. Zewnętrzny DP (ZDO) — dane osobowe otrzymywane od Klientów usług Spółki, których przetwarzanie odbywa się na podstawie iw ramach zawartych umów o świadczenie odpowiednich usług. Klient usług Spółki zapewnia zgodność z wymogami przepisów o ochronie Danych Osobowych przed ich przekazaniem Spółce, a Spółce z kolei - w trakcie przetwarzania.
DO są przetwarzane zgodnie z procedurą przetwarzania DO, która stanowi integralną część umowy o świadczenie odpowiednich usług.
ZDO są przechowywane na zasadach określonych w Procedurze przetwarzania DO ale w granicach okresów ważności odpowiedniej zgody
Spółka jest Administratorem (Ustawa 2297) i Podmiotem Przetwarzającym (RODO) w swoim statusie prawnym w odniesieniu do ZDO, a Klientem jest Właściciel (Ustawa 2297) i Administrator (RODO).

3. Środki ochrony danych osobowych przed nielegalnym przetwarzaniem i nieuprawnionym dostępem

Przetwarzanie danych osobowych w kompleksach programowo-sprzętowych Spółki odbywa się z zastosowaniem sieciowych środków ochrony przed nieuprawnionym dostępem.
Dostęp do kompleksów oprogramowania i sprzętu Spółki odbywa się w ścisłej zgodności z obowiązującymi procedurami kontroli dostępu.
Osoby odpowiedzialne Spółki mogą przetwarzać dane osobowe wyłącznie po ich upoważnieniu. Dostęp osób, które nie przeszły procedury identyfikacji i/lub uwierzytelnienia jest blokowany. W systemie informacyjnym (zautomatyzowanym), w którym przetwarzane są dane osobowe, dokonywana jest rejestracja, w szczególności:

wyniki identyfikacji i/lub uwierzytelnienia osób odpowiedzialnych;
czynności związane z przetwarzaniem danych osobowych;
wyniki kontroli integralności środków ochrony danych osobowych.

Dane rejestracyjne są chronione przed modyfikacją i zniszczeniem. Dane rejestracyjne są przechowywane i przekazywane na uzasadniony wniosek inspektora ochrony danych w celu analizy związanej z danymi osobowymi. Spółka zapewnia ochronę antywirusową w systemie informatycznym (zautomatyzowanym).
Stopień dostępu do przetwarzania DO (wprowadzania zmian, tworzenia raportów i informacji analitycznych, przeglądania lub innych w razie potrzeby) określa stanowisko osoby odpowiedzialnej.
Każdy pracownik Spółki składa i osobiście podpisuje obowiązek zachowania informacji o ograniczonym dostępie.
Prawidłowo wykonane obowiązki zachowania informacji o ograniczonym dostępie przechowywane są w aktach osobowych osób odpowiedzialnych.
Kierownicy działów strukturalnych prowadzą stałą kontrolę przestrzegania przez podległych pracowników Procedury przetwarzania danych osobowych, a także legalności przetwarzania danych osobowych, ochrony danych osobowych przy ich przetwarzaniu.
Spółka powiadamia podmioty ochrony danych osobowych oraz Administratorów o wszelkich ujawnionych faktach nieuprawnionego rozpowszechniania danych osobowych w terminie nie dłuższym niż 72 godziny
Dane osobowe zebrane z naruszeniem wymogów ustawy 2297 podlegają usunięciu lub zniszczeniu w bazach danych osobowych zgodnie z procedurą ustanowioną przez prawo.

4. Prawo dostępu do danych osobowych osób trzecich, zawiadomienie o akcji z danymi osobowymi, odpowiedzialność za naruszenie ochrony danych osobowych.

4.1 Podstawą przetwarzania danych osobowych są:

zgoda podmiotu danych osobowych na przetwarzanie jego danych osobowych;
zgodę na przetwarzanie danych osobowych przekazanych właścicielowi bazy danych osobowych zgodnie z prawem wyłącznie w celu wykonywania jego uprawnień;
zawarcie i wykonanie transakcji, której stroną jest osoba, której dane dotyczą lub która zawierana jest na rzecz podmiotu danych osobowych lub w celu realizacji czynności poprzedzających zawarcie transakcji na żądanie podmiotu danych osobowych;
ochrona żywotnych interesów osoby, której dane dotyczą;
konieczność wykonywania obowiązków posiadacza danych osobowych, przewidzianych w ustawie 2297;
konieczność ochrony prawnie uzasadnionych interesów posiadacza danych osobowych lub strony trzeciej, której dane osobowe są przekazywane, z wyjątkiem przypadków, gdy potrzeba ochrony podstawowych praw i wolności osoby, której dane dotyczą, w związku z przetwarzaniem jej dane przeważają nad takimi interesami.

4.2. Procedura dostępu do danych osobowych osób trzecich jest określona warunkami zgody podmiotu danych osobowych, udzielonej właścicielowi danych osobowych na przetwarzanie tych danych lub zgodnie z wymogami ustawy 2297. Dostęp do dane osobowe osoby trzeciej nie są przekazywane, jeżeli wskazana osoba odmawia podjęcia zobowiązań dotyczących utrzymania przestrzegania wymogów ustawy 2297 lub nie może ich podać.
4.3. Podmiot relacji dotyczącej danych osobowych występuje do Spółki z wnioskiem o dostęp do danych osobowych. Treść wniosku o dostęp jest określona w art. 16 ustawy 2297, a okres rozpatrywania wniosku w celu jego zaspokojenia nie może przekroczyć dziesięciu dni roboczych od daty jego otrzymania przez Spółkę.
W tym okresie Spółka poinformuje osobę występującą z żądaniem, że żądanie zostanie uwzględnione lub nie zostaną podane dane osobowe, wskazując przyczyny określone w odpowiednim rozporządzeniu.
Żądanie zostanie zrealizowane w ciągu trzydziestu dni kalendarzowych od daty jego otrzymania w Spółce, chyba że ustawodawstwo Ukrainy stanowi inaczej.
4.4. Komunikat o wyłączeniu dostępu do osób fizycznych osób trzecich Spółka przekazuje osobie trzeciej, która złożyła wniosek na piśmie wraz z wyjaśnieniem trybu odwołania od takiej decyzji zgodnie z art. 17 ustawy 2297.
Od decyzji o usunięciu lub odmowie dostępu do danych osobowych przysługuje odwołanie do Osoby upoważnionej lub do sądu.
4.5. Spółka, jako właściciel bazy danych osobowych, powiadamia podmiot danych osobowych w ciągu dziesięciu dni roboczych, jeśli wymagają tego warunki zgody lub o ile ustawodawstwo Ukrainy w dziedzinie ochrony danych osobowych nie stanowi inaczej.
4.6. Komunikaty określone w pkt 4.5. niniejszej Polityki nie będą realizowane w przypadku:
przekazywania danych osobowych na żądanie w trakcie wykonywania zadań operacyjnych – czynności dochodzeniowych lub kontrwywiadowczych, działań antyterrorystycznych;
wykonywanie przez władze publiczne i organy samorządu terytorialnego ich uprawnień przewidzianych prawem;
przetwarzanie danych osobowych w celach historycznych, statystycznych lub naukowych.
4.7. Spółka zawiadamia również podmiot danych osobowych, a także podmiot powiązań związanych z danymi osobowymi, któremu dane te zostały przekazane, o zmianie, usunięciu lub zniszczeniu danych osobowych lub ograniczeniu dostępu do nich w terminie dziesięciu dni roboczych . Za terminowe dostarczenie komunikatu odpowiadają pracownicy Spółki wyznaczeni stosownym zarządzeniem Dyrektora Spółki.
4.8. W przypadku naruszenia wymogów przepisów o ochronie danych osobowych Osoby odpowiedzialne mogą zostać pociągnięte do odpowiedzialności za administracyjne naruszenia takich przepisów.
4.9. Za naruszenie prywatności, a mianowicie za nielegalne gromadzenie, przechowywanie, wykorzystywanie, niszczenie, rozpowszechnianie poufnych informacji o osobie lub nielegalną zmianę takich informacji, winni Osoby odpowiedzialne mogą zostać pociągnięte do odpowiedzialności karnej.
4.10. Kontrolę przestrzegania przepisów dotyczących ochrony danych osobowych w granicach uprawnień przewidzianych w ustawie 2297 sprawuje Rzecznik i sądy.