1. Postanowienia ogólne
Niniejszy dokument (dalej jako “Polityka”) ma na celu przygotowanie oraz wyjaśnienie zasad ochrony danych osobowych przyjętych i stosowanych przez Administratora Danych Osobowych zgodnie z wymaganiami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1) (dalej: Rodo).
2. Skróty i definicje:
a) Administrator Danych Osobowych – oznacza Haust spółka z ograniczoną odpowiedzialnością z siedzibą w Krakowie przy al. Juliusza Słowackiego 13B/76, 31-159 Kraków, NIP: 6762690199, KRS: 0001163893;
b) Dane osobowe – oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;
c) Dane specjalne – oznaczają dane wymienione w art. 9 ust. 1 RODO, tj. dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej;
d) Dane dzieci – oznaczają dane osób poniżej 18. roku życia;
e) Podmiot przetwarzający – oznacza organizację lub osobę, której Administrator powierzył przetwarzanie danych osobowych (np. usługodawca IT, zewnętrzny podmiot zajmujący się usługami księgowymi).
f) Profilowanie – oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do automatycznej oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się;
g) IOD – oznacza Inspektora Ochrony Danych Osobowych.
3. Zasady odpowiedzialności
Za wdrożenie i realizację Polityki odpowiedzialny jest Administrator Danych Osobowych. Administrator dba o realizację obowiązków wynikających z RODO oraz realizację uprawnień danych osobowych osób fizycznych, których dane są przetwarzane.
4. Treść Polityki
Polityka zawiera opis zasad ochrony danych obowiązujących u Administratora Danych Osobowych wraz z odwołaniem do załączników stanowiących realizację wymagań związanych z RODO a dotyczących poszczególnych obszarów z zakresu ochrony danych osobowych wymagających doprecyzowania w odrębnych dokumentach.
5. Ochrona danych osobowych przez Administratora Danych Osobowych
Administrator dba o ochronę prywatności i przetwarza dane zgodnie z prawem zapewniając
odpowiedni poziom bezpieczeństwa danych podejmując stałe działania w tym zakresie. Administrator umożliwia osobom, których dane przetwarza, wykonywanie swoich praw i prawa te realizuje. Administrator dokumentuje w jaki sposób spełnia obowiązki, aby w każdej chwili móc wykazać zgodność przetwarzania danych z RODO oraz zapobiega incydentom związanym z naruszeniem zasad ochrony danych osobowych.
Administrator Danych Osobowych przetwarza dane osobowe w oparciu o podstawę prawną i zgodnie z prawem, rzetelnie i uczciwie, w sposób przejrzysty dla osoby, której dane dotyczą w konkretnych celach i nie w większym zakresie aniżeli jest to uzasadnione, z dbałością o prawidłowość danych, nie dłużej niż potrzeba, zapewniając odpowiednie bezpieczeństwo danych.
Administrator ucieleśnia, poza Polityką, powyższe zasady ochrony danych osobowych poprzez stosowanie dokumentów takich jak:
- klauzula informacyjna – stanowi ona zbiór danych osobowych przetwarzanych przez Administratora, wykaz podmiotów, którym dane osobowe mogą być przekazywane, czas ich przetwarzania, informację, czy dane osobowe są przekazywane poza terytorium Europejskiego Obszaru Gospodarczego oraz informację, czy dane osobowe podlegają profilowaniu;
- zgoda na przetwarzanie danych osobowych – stanowi ona podstawę przetwarzania danych osobowych. Osoba fizyczna wypełnia ją po uzyskaniu od Administratora informacji dotyczących przetwarzania jej danych osobowych;
- procedura w razie naruszenia – stanowi ona zbiór zasad postępowania Administratora Danych Osobowych w razie wystąpienia incydentu dotyczącego danych osobowych;
- rejestr czynności przetwarzania – stanowi on zbiór wszelkich czynności oraz operacji na danych osobowych, jakie mają miejsce u Administratora Danych Osobowych; stanowi formę dokumentowania czynności przetwarzania danych, pełni rolę mapy przetwarzania danych i jest jednym z kluczowych elementów umożliwiających realizację fundamentalnej zasady, na której opiera się cały system ochrony danych osobowych, czyli zasady rozliczalności.
6. Podstawy przetwarzania
Administrator Danych Osobowych dokumentuje podstawy prawne przetwarzania danych dla poszczególnych czynności przetwarzania, wskazując ogólną podstawę prawną (zgoda, umowa, obowiązek prawny, żywotne interesy, zadanie publiczne/władza publiczna, uzasadniony cel Administratora). Administrator dookreśla podstawę w czytelny sposób, gdy jest to potrzebne.
Administrator wdraża metody zarządzania zgodami umożliwiające rejestrację i weryfikację
posiadania zgody osoby na przetwarzanie jej konkretnych danych w konkretnym celu.
7. Sposób realizacji obowiązków informacyjnych i urzeczywistnienie praw osoby fizycznej
Administrator dba o czytelność i styl przekazywanych danych osobowych oraz komunikacji z osobami, których dane dotyczą, ułatwiając jednocześnie osobom korzystanie z ich praw poprzez zamieszczenie na stronie internetowej Administratora informacji lub linków do informacji o prawach osób, sposobie korzystania z nich przez Administratora, metodach kontaktu z Administratorem w tym celu. Administrator z kolei dba także o realizowanie uprawnień osób w rozsądnych, zgodnych z prawem, terminach.
Administrator wprowadza adekwatne metody identyfikacji i uwierzytelniania osób dla potrzeb realizacji praw jednostki i obowiązków informacyjnych. Administrator dokumentuje obsługę obowiązków informacyjnych, zawiadomień i żądań osób.
8. Obowiązki informacyjne
Administrator:
- informuje osobę o przetwarzaniu jej danych, przy pozyskiwaniu danych od tej osoby, w tym także o celach i podstawach przetwarzania;
- informuje osobę o planowanej zmianie celu przetwarzania danych;
- informuje osobę o prawie dostępu do danych osobowych (art. 15 RODO), sprostowania danych (art. 16 RODO), usunięcia danych (art. 17 RODO), ograniczenia przetwarzania prawa (art. 18 RODO), przeniesienia danych (art. 20 RODO), sprzeciwu dotyczącego przetwarzania (art. 21 RODO) oraz o realizacji tychże uprawnień;
- informuje osobę o prawie sprzeciwu względem przetwarzania danych najpóźniej przy
pierwszym kontakcie z tą osobą;
- bez zbędnej zwłoki zawiadamia osobę o naruszeniu ochrony danych osobowych.
Administrator Danych Osobowych informuje osobę o tym, że nie przetwarza danych jej dotyczących, jeśli taka osoba zgłosiła żądanie dotyczące jej praw. Administrator informuje osobę, w ciągu miesiąca od otrzymania żądania, o odmowie rozpatrzenia żądania i o prawach osoby z tym związanych, jeżeli żądanie jest niezgodne z prawem.
Na żądanie osoby dotyczące dostępu do jej danych, Administrator informuje osobę, czy przetwarza jej dane oraz informuje osobę o szczegółach przetwarzania, zgodnie z art. 15 RODO, a także udziela osobie dostępu do danych jej dotyczących.
Sprostowanie danych:
Administrator dokonuje sprostowania nieprawidłowych danych na żądanie osoby. Administrator ma prawo odmówić sprostowania danych, chyba że osoba w rozsądny sposób wykaże nieprawidłowości danych, których sprostowania się domaga. W przypadku sprostowania danych Administrator informuje osobę o odbiorcach danych, na żądanie tej osoby.
Uzupełnienie danych:
Administrator uzupełnia i aktualizuje dane na żądanie osoby, ma prawo odmówić uzupełnienia danych, jeżeli uzupełnienie byłoby niezgodne z celami przetwarzania danych. Administrator może polegać na oświadczeniu osoby, co do uzupełnianych danych, chyba że będzie to niewystarczające w świetle przyjętych przez Administratora procedur, prawa lub zaistnieją podstawy, aby uznać oświadczenie za niewiarygodne.
Usunięcie danych:
Na żądanie osoby, której dane dotyczą Administrator usuwa dane, gdy:
a) dane nie są niezbędne do celów, w których zostały zebrane ani przetwarzane w innych celach;
b) zgoda na ich przetwarzanie została cofnięta, a nie ma innej podstawy prawnej przetwarzania;
c) osoba wniosła skuteczny sprzeciw względem przetwarzania tych danych;
d) dane były przetwarzane niezgodnie z prawem;
e) konieczność usunięcia wynika z obowiązku prawnego ciążącego na Administratorze.
Ograniczenie przetwarzania:
Administrator dokonuje ograniczenia przetwarzania danych na żądanie osoby, gdy:
a) osoba kwestionuje prawidłowość danych – na okres pozwalający sprawdzić ich prawidłowość
b) przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania
c) Spółka nie potrzebuje już danych osobowych, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń
d) osoba wniosła sprzeciw względem przetwarzania z przyczyn związanych z jej szczególną sytuacją – do czasu stwierdzenia, czy po stronie Spółki zachodzą prawnie uzasadnione podstawy nadrzędne wobec podstaw sprzeciwu.
Przenoszenie danych:
Na żądanie osoby Administrator wydaje w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego lub przekazuje innemu podmiotowi, jeśli jest to możliwe, dane dotyczące tej osoby, które dostarczyła ona Administratorowi, przetwarzane na podstawie zgody tej osoby lub w celu zawarcia lub wykonania umowy z nią zawartej, w systemach informatycznych Administratora..
Sprzeciw względem przetwarzania danych:
Jeżeli osoba zgłosi umotywowany jej szczególną sytuacją sprzeciw względem przetwarzania jej danych, a dane przetwarzane są przez Administratora w oparciu o uzasadniony interes Administratora lub o powierzone Administratorowi zadanie w interesie publicznym, Administrator uwzględni sprzeciw, o ile nie zachodzą po stronie Administratora ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności osoby zgłaszającej sprzeciw lub podstawy do ustalenia, dochodzenia lub obrony roszczeń.
Jeżeli osoba zgłosi sprzeciw względem przetwarzania jej danych przez Administratora na potrzeby marketingu bezpośredniego, Administrator uwzględni sprzeciw i zaprzestanie takiego przetwarzania.
9. Minimalizacja przetwarzania danych
Administrator minimalizuje przetwarzanie danych. Stosuje zasadę adekwatności danych do celów, dostępu do danych, czasu przechowywania danych. Administrator, urzeczywistniając zasady, o których mowa powyżej, weryfikuje zakres pozyskiwanych danych, zakres ich przetwarzania i liczbę przetwarzanych danych tak, aby pozyskiwane były tylko te dane, które są niezbędne w celu realizacji umowy zawartej z klientami, dla zabezpieczenia roszczeń lub by dane były pozyskiwane wyłącznie w konkretnym celu, na wyraźne życzenie osoby, której dane dotyczą (newsletter). Administrator dba także, aby dane były pozyskiwane wyłącznie przez okres niezbędny dla wykonania umowy, w szczególności przez okresy przedawnienia wynikające z przepisów, w tym także przepisów podatkowych oraz księgowych.
10. Bezpieczeństwo danych osobowych
Administrator zapewnia stopień bezpieczeństwa odpowiadający zakresowi przetwarzanych danych osobowych oraz ryzyku ich naruszenia. Administrator przeprowadza i dokumentuje analizy adekwatności środków bezpieczeństwa danych osobowych. W związku z powyższym, Administrator zapewnia, aby nikt spoza organizacji Administratora nie miał dostępu do danych osobowych (z wyłączeniem przypadków, gdy powierzenie danych osobowych następuje zgodnie z prawem) oraz stosuje zabezpieczenia elektroniczne chroniąc dostęp do danych osobowych. Nadto, Administrator kategoryzuje dane oraz czynności przetwarzania pod kątem ryzyka, które przedstawiają. Administrator na bieżąco przeprowadza analizy ryzyka naruszenia obowiązków wynikających z RODO, analizując możliwe naruszenia ochrony danych osobowych uwzględniając charakter, zakres, kontekst i cele przetwarzania, ryzyko naruszenia i wagę zagrożenia. Administrator wykorzystuje możliwe do zastosowania organizacyjne i techniczne środki bezpieczeństwa jak między innymi szyfrowanie danych, stosowanie metody podwójnego uwierzytelnienia oraz korzystania z technologii udostępnianych przez zweryfikowane podmioty, w szczególności Administrator stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Prezesowi Urzędowi Ochrony Danych w terminie 72 godzin od powzięcia uzasadnionej informacji o naruszeniu.
11. Odbiorcy danych
Administrator przekazuje dane osobowe tylko zweryfikowanym odbiorcom danych, aby wyeliminować ryzyko, że odbiorcy nie dawaliby rękojmi wdrożenia odpowiednich środków organizacyjnych i technicznych dla zapewnienia bezpieczeństwa, realizacji praw jednostki i innych obowiązków ochrony danych spoczywających na Administratorze.
12. Przekazywanie danych osobowych poza EOG
Administrator Danych Osobowych rejestruje przypadki przekazywania danych poza Europejski Obszar Gospodarczy. Administrator przedsiębrał środki w celu weryfikacji podmiotów, którym mogą być przekazywane dane osobowe. W szczególności Administrator upewnił się, czy podmioty te zapewniają zgodność przetwarzania danych osobowych w przynajmniej takim stopniu, w jakim wymaga tego RODO.
KLAUZULA INFORMACYJNA
- Administrator danych osobowych
Administratorem Pani/Pana danych osobowych jest Haust spółka z ograniczoną odpowiedzialnością z siedzibą w Krakowie przy al. Juliusza Słowackiego 13B/76, 31-159 Kraków, NIP: 6762690199, KRS: 0001163893 (dalej jako “Administrator Danych Osobowych”, “ADO” lub “Administrator”).
Administrator Danych Osobowych przetwarza dane osobowe oraz realizuje obowiązki na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1) (dalej jako “Rodo”).
- Cel przetwarzania danych osobowych
Pani/Pana dane osobowe przetwarzane są w następujących celach:
- prowadzenia negocjacji poprzez przekazanie niezbędnych danych osobowych od osób zainteresowanych zleceniem Administratorowi usług oraz zawarcia i wykonania umowy na podstawie art. 6 ust. 1 lit. b) RODO;
- obsługi, wytoczenia oraz zabezpieczenia ewentualnych roszczeń lub obrony przed roszczeniami związanymi z prowadzeniem negocjacji i/lub zawarciem i wykonaniem umowy, także na potrzeby postępowań sądowych oraz egzekucyjnych na podstawie art. 6 ust. 1 lit. f) RODO;
- w celach archiwalnych (dowodowych) dla zabezpieczenia informacji na wypadek prawnej potrzeby wykazania faktów – np. prowadzenia negocjacji na podstawie art. 6 ust. 1 lit. f) RODO;
- zapisu oraz wysyłania informacji handlowe (newsletter) dla osób, które zgłosiły się do ADO z prośbą o przesyłanie takiej informacji, a także wyraziły zgodę na takie czynności na podstawie art. 6 ust. 1 lit. a) RODO;
- realizacji ciążących na Administratorze obowiązków wynikających z przepisów prawa, w szczególności przepisów podatkowych, przepisów w zakresie ochrony konkurencji i konsumentów oraz obowiązków księgowych na podstawie art. 6 ust. 1 lit. c) RODO.
- Kategorie przetwarzanych danych osobowych
ADO może przetwarzać następujące dane osobowe: imię i nazwisko, PESEL, NIP, numer i seria dowodu tożsamości, adres zamieszkania, adres korespondencyjny, numer rachunku bankowego, numer dowodu tożsamości, adres IP.
- Zakres przetwarzanych danych osobowych
Podane przez Panią/Pana danych osobowych jest dobrowolne, lecz jednocześnie stanowi warunek zawarcia umowy. Niewskazanie danych skutkować będzie bowiem brakiem możliwości zawarcia oraz wykonania umowy.
- Czas przetwarzania danych osobowych
Pani/Pana dane osobowe będą przechowywane przez okres niezbędny:
- dla dochodzenia ewentualnych roszczeń związanych z umową, w ramach której i w związku z którą Pani/Pana dane osobowe były przetwarzane – do upływu okresu przedawnienia określonego przepisami kodeksu cywilnego;
- w zakresie wypełnienia obowiązków prawnych ciążących na Administratorze danych osobowych w związku z realizacją zawartych umów (np. przepisami prawa podatkowego, przepisami księgowymi i innymi przepisami bezwzględnie obowiązującymi) – przez okresy wskazane w tych przepisach lub przez okresy niezbędne do wypełnienia obowiązków wynikających z takich przepisów przez ADO;
- w przypadku przetwarzania danych osobowych na podstawie prawnie uzasadnionego interesu Administratora – przez czas niezbędny do osiągnięcia celu lub zgłoszenia sprzeciwu.
- Odbiorcy danych osobowych
ADO może przekazać Pani/Pana dane osobowe następującym kategoriom odbiorców danych osobowych:
- dostawcom usług, z których korzysta ADO np. w celu komunikacji drogą elektroniczną na adres poczty elektronicznej klienta, dostawcom usług elektronicznych w zakresie wykorzystywanego oprogramowania. Podmioty te, w zależności od stanu faktycznego i dokonanych uzgodnień, mogą działać na zlecenie Administratora lub samodzielnie;
- biurze księgowemu świadczącemu usługi na rzecz ADO;
- organom państwowym – UOKiK, prokuraturze, Urzędowi Skarbowemu, Prezesowi UODO, Policji oraz innym organom, jeżeli zwrócą się o to do Administratora oraz zajdzie podstawa prawna obligująca ADO do przekazania danych osobowych klientów takim podmiotom.
- Uprawnienia osób, których dane dotyczą
Na podstawie RODO ma Pan/Pani prawo do:
- żądania dostępu do swoich danych osobowych (art. 15 RODO);
- żądania sprostowania swoich danych osobowych (art. 16 RODO);
- żądania usunięcia danych osobowych (art. 17 RODO);
- żądania ograniczenia przetwarzania danych osobowych (art. 18 RODO);
- żądania przeniesienia danych osobowych (art. 20 RODO);
- wniesienia sprzeciwu wobec przetwarzania danych osobowych (art. 21 RODO).
- Prawo do cofnięcia zgody na przetwarzanie danych osobowych
Ma Pani/Pan prawo do cofnięcia udzielonej zgody na przetwarzanie swoich danych osobowych w dowolnym momencie. Cofnięcie zgody nie ma wpływu na przetwarzanie danych dokonane przed cofnięciem zgody.
- Skarga do organu nadzorczego
Jeżeli uważa Pani/Pan, że przetwarzanie Pani/Pana danych osobowych narusza przepisy RODO, przysługuje Pani/Panu prawo złożenia skargi do organu nadzorczego, w szczególności w państwie członkowskim miejsca swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia ewentualnego naruszenia. W Polsce organem nadzorczym w rozumieniu RODO jest Prezes Urzędu Ochrony Danych Osobowych.
- Zautomatyzowane podejmowanie decyzji
Pani/Pana dane osobowe nie będą przedmiotem zautomatyzowanego podejmowania decyzji, w tym profilowania.