POLITYKA PRYWATNOŚCI

I. Wstęp.

§ 1
Niniejsza polityka bezpieczeństwa ochrony danych osobowych, zwana dalej „polityką bezpieczeństwa” została opracowana w rozumieniu przepisów ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 24.05.2018 r. poz. 1000) i Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

§ 2
Celem polityki bezpieczeństwa jest zabezpieczenie danych osobowych przetwarzanych przez Firmę zgodnie z wymogami prawa, a w szczególności zabezpieczenie danych przed udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieupoważnioną, przetwarzaniem z naruszeniem przepisów prawa, zmianą, utratą, uszkodzeniem, zniszczeniem, włamaniem do pomieszczeń z danymi, systemu lub archiwów z danymi, a także innymi zdarzeniami mogącymi zagrozić lub naruszyć poufność, integralność i rozliczalność przetwarzanych danych.

§ 3
Zasady określone w polityce bezpieczeństwa obowiązują wszystkie osoby przetwarzające dane osobowe lub mające do nich dostęp, włączając w to osoby zatrudnione, i inne osoby świadczące usługi na podstawie umów cywilnoprawnych.

§ 4
W prowadzonej działalności bierze się pod uwagę i stosuje zasadę domyślnej ochrony danych osobowych przez monitorowanie przetwarzania danych osobowych.

§ 5
Akty prawne w polityce bezpieczeństwa:
1. ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 24.05.2018 r. poz. 1000),
2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych /RODO/GDPR),
3. Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz.U. 2015 r. poz. 719),
4. Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewnienia przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji (Dz.U. 2015 p. 745),
5. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. 2004 poz. 1024),
6. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia danych do rejestracji Generalnemu Inspektorowi Danych Osobowych. (Dz.U. 2008 nr 229 poz. 1536).

Definicje:
dane osobowe – to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej; osoba możliwa do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne; informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu i działań,
zbiór danych – to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępny według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie,
przetwarzanie danych – to jakiekolwiek operacje wykonywane na danych osobowych, jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych,
system informatyczny – to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych,
zabezpieczenie danych w systemie informatycznym – to wdrożenie i eksploatacja stosownych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem,
usuwanie danych – to zniszczenie danych osobowych lub taką ich modyfikacje, która nie pozwoli na ustalenie tożsamości osoby, której one dotyczą,
administrator danych – osoba fizyczna lub prawna, instytucja państwowa lub jakikolwiek inny organ, który samodzielnie lub razem z innym podmiotem określa cele i sposoby przetwarzania Danych osobowych (art. 4 pkt. 7 RODO).
procesor –osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora (art.4 pkt 8 RODO),
zgodzie osoby, której dane dotyczą – to oświadczenie woli, klauzula, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda może być odwołana w każdym czasie,
odbiorcy danych – to każdy, komu udostępnia się dane osobowe, z wyłączeniem osoby, której one dotyczą, osoby upoważnionej do przetwarzania danych, przedstawiciela,
obszar przetwarzania danych – to wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe,
pracownik biura – to osoba wykonującą czynności w szczególności w oparciu o stosunek pracy, umowy cywilnoprawnej, porozumieniu o wolontariacie, praktykach,
poufność danych – to właściwość zapewniająca, że dane osobowe nie zostaną udostępnione nieupoważnionym podmiotom,
rozliczalności – to właściwość zapewniająca, że działanie podmiotu może być przypisane w sposób jednoznaczny, tylko temu podmiotowi,
integralność danych – to właściwość zapewniająca, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany,
polityka bezpieczeństwa – to zestaw zasad i reguł praktycznych oraz wytycznych regulujących sposób gromadzenia i przetwarzania danych osobowych wewnątrz Oddziału,
UOD – Urząd Ochrony Danych.
Zgoda to:

oświadczenie lub wyraźne działanie udzielającego zgody,
dobrowolna, konkretna, świadoma, jednoznaczna (motyw32 RODO),
nie wymaga żadnej szczególnej formy,
milczenie, okienka domyślnie zaznaczone lub nie podjęcie działania nie powinno oznaczać zgody (motyw 32 RODO),
jeżeli przetwarzanie służy różnym celom potrzebna jest zgoda na wszystkie cele,
zgoda na udostępnienie danych powinna stanowić oświadczenie odrębne od innych zgód,
skuteczna zgoda to zgoda dobrze poinformowanego!
ciężar dowodu wykazania uzyskania zgody spoczywa na administratorze!
zgoda może być cofnięta w dowolnym momencie,
skutkiem cofnięcia jest brak możliwości przetwarzania danych na podstawie zgody w przyszłości tj. po skutecznym odwołaniu zgody,
osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie musi być równie łatwe jak wyrażenie (art.7 RODO).

II. Uprawnieni do przetwarzania danych osobowych i zakres przetwarzanych danych

§ 6
Administratorem Danych Osobowych (ADO) jest Pan Tomasz Jagiełło – właściciel (dane kontaktowe: Roty 62 04-420 Warszawa).

Obowiązki Administratora Danych Osobowych:

oszacowania ryzyka i przeprowadzenia w sytuacjach tego wymagających oceny skutków dla ochrony danych (tzw. DPIA) oraz konsultacji z organem nadzoru,
dostosowania środków ochrony do skali ryzyka (im ryzyko jest większe tym większy zakres obowiązków administratora),
koncentrowania się na poszukiwaniu środków redukujących prawdopodobieństwo wystąpienia ryzyka,
uwzględnienia ochrony danych osobowych w fazie projektowania oraz domyślna ochrona danych osobowych.

Rejestr wykonywanych czynności:

cele przetwarzania,
opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych,
kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych (również podmioty, którym powierzono przetwarzanie),
gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art.49 ust.1 akapit drugi, dokumentacja odpowiednich zabezpieczeń;
jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych;
jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

Obowiązki Administratora w wypadku naruszenie ochrony danych osobowych:

w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki,
w miarę możliwości, nie później niż w terminie 72 godzin potwierdzeniu naruszenia,
zgłasza je organowi nadzorczemu właściwemu zgodnie z art.55, chyba że jest mało prawdopodobne, by naruszenie to skutkował o ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia,
podmiot przetwarzający potwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki zgłasza je administratorowi,
Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze.
Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania niniejszego artykułu.

Administrator dla należytego zarządzania ryzykiem naruszenia praw i wolności osób fizycznych przeanalizował, oszacował procesy przetwarzania danych według wytycznych art. 29 RODO dot. oceny skutków.

§ 7

Procesor – F U H „eMKa” s.c Marek Minior, Karol Minior, 00-910 Warszawa, Emilii Gierczak 5/22 952-204-05-46 posiada Umowę o powierzenie przetwarzana danych osobowych.

Pracownicy mający dostęp do biura przetwarzają dane osobowe posiadają upoważnienia do przetwarzania danych osobowych.

-Zenon Redliński mechanik Adam Stolarczyk mechanik Siergiej Wróblewski mechanik Sławomir Ostrowski doradca serwisowy

III. Zbieranie i Cele przetwarzania danych osobowych

§ 8

Zbieranie danych osobowych oparte jest na zgodzie tj. na dobrowolnym, konkretnym, świadomym i jednoznacznym oświadczeniu woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie jej danych osobowych. Jednocześnie zapewnia się możliwość wycofania zgody przez osobę, której dane dotyczą, tak samo łatwo jak udzielenie zgody i w dowolnym momencie.

§9
W Firmie:
1. przetwarzane dane osobowe są prawidłowe i aktualne,
2. dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, niezwłocznie są usuwane lub prostowane,
3. wszystkie informacje kierowane do osób, których dane dotyczą, formułuje się jasnym
i prostym językiem, zwięzłym i zrozumiałym – tj. zrozumiałym bez trudu,
4. każda osoba ma prawo mieć kontrolę nad dotyczącymi jej danymi osobowymi, gromadzonymi i przetwarzanymi zwłaszcza:

bycia poinformowanym o operacjach przetwarzania,
dostępu do danych,
sprostowania lub uzupełnienia danych, usunięcia danych, ograniczenia przetwarzania,
przenoszenia danych,
sprzeciwu,
nie podlegania profilowaniu.

W załączeniu klauzula do dokumentów.

§ 10
W przypadku zbierania danych dokonujący tej czynności zobowiązany jest do poinformowania osoby, której one dotyczą o:
a. adresie siedziby, b. celu zbierania danych osobowych, c. prawie dostępu do treści swoich danych oraz ich poprawiania,
d. dobrowolności albo obowiązku podania danych, jeżeli taki obowiązek istnieje, o jego podstawie prawnej,
e. okresie przez który dane będą przechowywane,
f. poinformowania osoby o prawie przenoszenia danych,
g. poinformowania osoby o „prawie bycia zapomnianym.

§ 10
Firma w ramach swojej działalności przetwarza dane osobowe w celu prowadzenia:

działu kadr i płac, współpracy z kontrahentami,
działu księgowości wewnętrznej,
działu księgowości zewnętrznej,
napraw i serwisu.

Wszystkie te cele służą realizacji usług zleconych przez klientów.
§ 11
Wykaz zbiorów danych osobowych zawiera także wykaz czynności przetwarzanych danych osobowych załącznik nr 3 do polityki.

§ 12
Prawo do bycia zapomnianym oznacza usunięcie danych przez Administratora danych osobowych danych osoby, która chciałaby być zapomniana, w całości systemu. Dotyczy to także usunięcia danych przez inne podmioty, przetwarzające dane w imieniu Firmy.

IV. Audyt dokumentacji

§ 13
Administrator wprowadził obowiązek informowania o obowiązku ochrony danych osobowych:
1. w dokumentacji dotyczącej:

likwidacji szkody przesyłanej do firm ubezpieczeniowych załączane jest upoważnienie o przetwarzaniu danych osobowych – załącznik,
w formularzach dotyczących zgłoszenia napraw, serwisu, jest zapis o wyrażeniu dobrowolnej zgody przez klienta, terminie jej wygaśnięcia i sposobie jej wycofania – klauzula;

2. pracownicy posiadają upoważnienia do przetwarzania danych osobowych, zostali poinformowani do używania na komputerach firmy tylko programów z licencjami i nie podłączania do komputera dysków zewnętrznych i pendrive bez zgody Administratora danych osobowych – załącznik;
3. firmy ubezpieczeniowe, z którymi Firma współpracuje otrzymują upoważnienia przetwarzania danych osobowych;
4. w pozostałych dokumentach jak: zgłoszenia do napraw, serwisu, zleceniodawca klient podpisuje zgodę do przetwarzania danych i czas przetwarzania klauzulę;
5. współpracujący rzeczoznawcy posiadają upoważnienia do przetwarzania danych osobowych bezpośrednio od zleceniodawców. Zbierane są kopie upoważnień;
6. dokumentację kadrową firmy prowadzi – Administrator danych – właściciel; 7. dokumentację księgową (faktury, umowy, deklaracje ZUS) prowadzi procesor 8. Administrator prowadzi rejestr wydanych upoważnień – załącznik nr 1 do polityki;
9. przy przetwarzaniu danych w likwidacji szkód przesyła upoważnienie powierzenia przetwarzania danych osobowych wraz z dokumentacją do firm ubezpieczeniowych – załącznik;
11. w dokumentach pobieranych z strony elektronicznych zawierającymi dane osobowe znajduje się oświadczenie o wyrażeniu zgody na przetwarzanie danych;
12. Administrator wprowadził w biurze zasadę czystego biurka, zobligował pracowników – do ciągłego przestrzegania;
13. Administrator dokonał przeglądu dokumentów papierowych i zasobów elektronicznych pod kątem ograniczenia gromadzenia danych osobowych niezbędnych do zawarcia umowy lub zlecenia.

V. Środki techniczne i organizacyjne

§ 16
W celu ochrony danych osobowych spełnia się wymogi: 1. administrator danych powołał administratora bezpieczeństwa informacji – dotyczy nie dotyczy;
2. do przetwarzania danych zostały dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez Administratora Danych Osobowych;
3. prowadzona jest ewidencja osób upoważnionych do przetwarzania danych;
4. opracowano i wdrożono politykę bezpieczeństwa;
5. opracowano instrukcję przetwarzania systemów informatycznych;
6. wdrożono Instrukcję postępowania w sytuacji naruszenia danych osobowych – załącznik;

§ 17
W celu ochrony danych osobowych stosuje się następujące środki ochrony fizycznej danych osobowych – opis:
1. siedziba biura posiada jedno pomieszczenie zabezpieczone do którego ma dostęp właściciel – Administrator i upoważnieni pracownicy;
2. drzwi antywłamaniowe metalowe otwierane i zamykane przez Administratora danych. 3. zbiory danych osobowych przechowywane są w pomieszczeniu biura i zabezpieczone w szafie zamykanej;
4. pomieszczenia, w których przechowywane są zbiory danych osobowych, zabezpieczone są przed skutkami pożaru za pomocą wiszących gaśnic, 5. niszczenie brudnopisów, zleceń błędnych lub zbędnych kopii materiałów zawierających dane osobowe musi odbywać się w sposób uniemożliwiający odczytanie zawartej w nich treści, w szczególności w sposób mechaniczny za pomocą niszczarki dokumentów.
6. w biurze pracuje 3 komputery przenośne na których przetwarzane są dane osobowe i inne procesy związane z działalnością firmy.

§ 18
W celu ochrony danych osobowych stosuje się następujące środki sprzętowe infrastruktury informatycznej i telekomunikacyjnej:
1. zbiory danych osobowych przetwarzane są przy pomocy komputerów przenośnych,
2. komputery służące do przetwarzania danych nie są połączone z lokalną siecią komputerową,
3. dostęp do systemu operacyjnego każdego komputera, w którym przetwarzane są dane osobowe, zabezpieczony jest za pomocą procesu uwierzytelnienia z wykorzystaniem hasła,
4. polityka plików cookie aktywna, występuje na stronie firmy www.ismserwis.pl
5. zastosowano środki ochrony przed szkodliwym oprogramowaniem – program antywirusowy,

§ 19
W celu ochrony danych osobowych stosuje się następujące środki ochrony w ramach narzędzi i baz danych:
1. dostęp do zbioru danych osobowych wymaga uwierzytelnienia z wykorzystaniem hasła,
2. zainstalowano wygaszacze ekranów na stanowiskach, na których przetwarzane są dane osobowe nie dotyczy;
3. komputery pracują na legalnych oprogramowanych i zabezpieczone są programami antywirusowymi.
§ 20
W celu ochrony danych osobowych stosuje się następujące środki organizacyjne:
1. biuro zabezpieczonych zamkiem,
2. upoważnionym od otwarcia i zamknięcia biura jest właściciel,
3. klucze do pomieszczeń zabezpieczane są przez właściciela,
4. obiekt ubezpieczony od OC (kradzież, spalenie zalanie),
5. osoby zatrudnione i osoby upoważnione z racji pełnionych funkcji przy przetwarzaniu danych osobowych zobowiązane zostały do zachowania ich w tajemnicy – załącznik,
6. monitory komputerów, na których przetwarzane są dane osobowe, ustawione są w sposób uniemożliwiający wgląd osobom postronnym w przetwarzane dane,
7. niedopuszczalne jest wynoszenie materiałów zawierających dane osobowe poza obszar ich przetwarzania bez związku z wykonywaniem czynności służbowych i organizacyjnych, a za bezpieczeństwo i zwrot materiałów zawierających dane osobowe odpowiada w tym przypadku osoba dokonująca ich wyniesienia,
8. przebywanie osób nieupoważnionych w pomieszczeniu, w którym przetwarzane są dane osobowe jest dopuszczalne tylko w obecności osoby upoważnionej do przetwarzania danych osobowych, chyba że dane te są w odpowiedni sposób zabezpieczone przed dostępem,
9. w miejscu przetwarzania danych osobowych utrwalonych w formie papierowej pracownicy zobowiązani są do stosowania zasady tzw. „czystego biurka”, co oznacza nie pozostawianie materiałów zawierających dane osobowe w miejscu umożliwiającym fizyczny dostęp do nich osobom nieuprawnionym,
10. pracownicy do zamykania na klucz wszelkich pomieszczeń wchodzących w skład obszarów, w których przetwarzane są dane osobowe w czasie ich chwilowej nieobecności w pomieszczaniu pracy lub działania, jak i po jej zakończeniu, a klucze nie mogą być pozostawione w zamku w drzwiach,
11. Firma nie zatrudnia osób sprzątających, ani firmy ochroniarskiej– brak dostępu osób trzecich.

VI. Upoważnienia do przetwarzania danych osobowych.

§ 21
Każdy pracownik biura, praktykant i stażysta, przetwarzający dane osobowe musi otrzymać stosowne upoważnienie.

§ 22
Wydawanie i cofanie upoważnienia do przetwarzania danych osobowych należy do zakresu czynności Administratora danych.

§ 23
Osoba uzyskująca upoważnienie do przetwarzania danych podpisuje „Oświadczenie o zachowaniu poufności i zapoznania się z przepisami”.

VIII. Kontrola polityki bezpieczeństwa.

§ 24
W kontroli bezpieczeństwa ochrony danych osobowych wyróżnia się dwie formy sprawowania kontroli:
1. sprawdzanie – weryfikacja zgodności przetwarzania danych osobowych z przepisami ustawy,
2. sprawowanie nadzoru – weryfikacja aktualności dokumentacji ochrony danych osobowych a także badanie zgodności ze stanem faktycznym przewidzianych w dokumentacji środków technicznych i organizacyjnych oraz ogólnych zasad i obowiązków określonych w dokumentacji.

§ 25
Tryb przeprowadzania kontroli określa Administrator Danych Osobowych.

XI. Tryb postępowania w sytuacji naruszenia ochrony danych osobowych.

§ 26
Każda osoba, która poweźmie wiadomość w zakresie naruszenia bezpieczeństwa danych osobowych przez osobę przetwarzającą dane osobowe bądź posiada informacje mogące mieć wpływ na bezpieczeństwo danych osobowych, jest zobowiązana fakt ten niezwłoczne zgłosić Administratorowi Danych Osobowych.
§ 27
Szczegółowy tryb postępowania w przypadku naruszenia ochrony danych osobowych:
1. W przypadku wystąpienia naruszenia danych osobowych, fakt ten zgłasza się do UOD w ciągu 72 godzin od momentu wykrycia lub uzyskania informacji o naruszeniu.
2. W przypadku naruszenia danych osobowych powiadamia się osobę, której dane zostały naruszone.

IX Podsumowanie.

1. Administrator dba o zasadności zbierania danych ograniczania zbiorów. Wdraża na bieżąco zmiany w pracy z danymi.

23.05.2018 r.