Варшава, 25 травня 2018 р.

1. Цей документ під назвою «Політика захисту персональних даних» (далі: Політика) є картою вимог, правил і положень щодо захисту персональних даних у Katarzyna Joanna Czapska PARTNERS INTERNATIONAL з зареєстрованим офісом у Варшаві (00-564), вул. Koszykowa 10/19, NIP 521-309-13-77, REGON: 01725120 (далі: Партнери) Ця Політика є політикою захисту персональних даних у розумінні GDPR – Регламенту (ЄС) 2016/679 Європейського Парламенту та Ради від 27.04.2016 про захист осіб щодо обробки персональних даних і про вільний рух таких даних, а також про скасування Директиви 95/46/EC (Загальний регламент захисту даних) (Офіційний журнал ЄС L 119, с. 1).
2. Політика включає:
   • опис правил захисту даних, які застосовуються в Partners,
   • посилання на детальні додатки (типові процедури чи інструкції для окремих сфер у сфері захисту персональних даних)
   • власник Partners International

   відповідає за впровадження та дотримання цієї Політики

   наступні особи відповідають за нагляд і моніторинг дотримання Політики:

   • (iii) спеціаліст із захисту даних, якщо він призначений у Partners,
   • (iv) підрозділ внутрішнього аудиту, якщо він працює в Partners;
   • відповідальність за застосування цієї Політики:
   • (v) Партнери ‚
   • (vi) увесь персонал і партнери Партнерів.
3. DPO або інспектор означає спеціаліста із захисту даних.
4. RCPD або Реєстр означає Реєстр дій з обробки персональних даних.

5. ЗАХИСТ ПЕРСОНАЛЬНИХ ДАНИХ В ПАРТНЕРАХ – ЗАГАЛЬНІ ПРИНЦИПИ

5.1. Основи захисту персональних даних у Partners:

1. Законність – Partners дбає про захист конфіденційності та обробляє дані відповідно до законодавства.
2. Безпека – Partners забезпечує належний рівень безпеки даних, вживаючи постійних заходів щодо цього.
3. Права особи – Partners дозволяє особам, чиї дані обробляє, здійснювати свої права та реалізує ці права.
4. Підзвітність – партнери документують, як вони виконують свої зобов’язання, щоб у будь-який час продемонструвати відповідність.

5.2. Політика захисту даних

Партнери обробляють персональні дані, дотримуючись таких принципів:

1. на законній основі та відповідно до закону (легалізм);
2. надійно та чесно (надійність);
3. у прозорий спосіб для суб’єкта даних (прозорість);
4. для конкретних цілей, а не «в наявності» (мінімізація);
5. не більше ніж необхідно (адекватність);
6. з турботою про правильність даних (коректність);
7. не довше, ніж необхідно (тимчасово);
8. забезпечення відповідної безпеки даних (безпеки).

5.3. Система захисту даних

Система захисту персональних даних в Партнерах складається з наступних елементів:

1. Інвентаризація даних
   Partners визначає ресурси персональних даних у Partners, класи даних, залежності між ресурсами даних, визначає способи використання даних (інвентар), зокрема:

   • a) випадки обробки спеціальних категорій даних і кримінальних даних;
   • b) випадки обробки даних осіб, яких Партнери не ідентифікують (неідентифіковані дані/НЛО);
   • c) випадки обробки даних дітей;
   • d) профілювання;
   • e) спільне адміністрування даних.

2. Реєстр
   Партнери розробляють, ведуть та ведуть Реєстр дій з персональними даними в Партнерах (Реєстр). Реєстр є інструментом обліку відповідності захисту даних Партнерів.

3. Правові основи
   Партнери надають, визначають, перевіряють правові підстави обробки даних та реєструють їх у Реєстрі, в тому числі:

   • a) підтримує систему керування згодою для обробки даних і віддаленого зв’язку,
   • b) описує та докладно обґрунтовує випадки, коли Партнери обробляють дані на основі законного інтересу Партнерів.

4. Виконання індивідуальних прав
   Partners виконує інформаційні зобов’язання перед особами, дані яких він обробляє, та забезпечує обробку їхніх прав, виконуючи запити, отримані з цього приводу, зокрема:

   • a) інформаційні зобов’язання.
     Партнери надають особам інформацію, передбачену законом, під час збору даних та в інших ситуаціях, а також організовують і забезпечують документальне оформлення виконання цих зобов’язань;
   • b) здатність виконувати запити.
     Partners перевіряє та забезпечує можливість ефективного виконання кожного типу запиту ним самим та його обробниками;
   • c) обробка запитів.
     Partners забезпечує відповідні витрати та процедури, щоб запити осіб виконувались у строки та у спосіб, передбачений GDPR, і були задокументовані;
   • d) повідомлення про порушення.
     Partners використовує процедури для визначення необхідності сповіщення осіб, які постраждали від виявленого порушення захисту даних.

5. Мінімізація
   Partners використовує принципи та методи керування мінімізацією (конфіденційність за умовчанням), зокрема:

   • a) принципи управління адекватністю даних;
   • b) принципи нормування та управління доступом до даних;
   • c) правила керування періодом зберігання даних і перевірки подальшої корисності.

6. Безпека
   Partners забезпечує належний рівень безпеки даних, зокрема:

   • a) проводить аналіз ризиків для діяльності з обробки даних або її категорій;
   • b) проводити оцінку впливу на захист даних, якщо є високий ризик для прав і свобод осіб;
   • c) адаптує заходи захисту даних до виявленого ризику;
   • d) застосовує процедури для виявлення, оцінки та повідомлення про виявлене порушення захисту даних до Управління із захисту даних – керує інцидентами.

7. Процесори
   Партнери мають правила вибору обробників даних для Партнерів, вимоги до умов обробки (договір доручення), правила перевірки виконання договорів довірення.

8. Експорт даних
   Partners не передає дані третім країнам (тобто за межі ЄС, Норвегії, Ліхтенштейну, Ісландії) або міжнародним організаціям і забезпечує правові умови для такої передачі, якщо вона має місце.

9. Запланована конфіденційність
   Partners керує змінами, що впливають на конфіденційність. З цією метою процедури запуску нових проектів та інвестицій у Партнери враховують необхідність оцінки впливу зміни на захист даних, аналіз ризиків, забезпечення конфіденційності (включаючи відповідність цілям обробки, безпеку та мінімізацію даних) вже на етап проектування змін, інвестицій або на початку нового проекту.

10. Транскордонна обробка
    Partners застосовує правила перевірки, коли є випадки транскордонної обробки, а також правила визначення головного наглядового органу та основного організаційного підрозділу в розумінні GDPR.

6. ІНВЕНТАРИЗАЦІЯ

6.1. Дані спеціальної категорії та кримінальні дані

Partners визначає випадки, коли він обробляє або може обробляти дані спеціальних категорій або кримінальні дані, і підтримує спеціальні механізми для забезпечення законності обробки таких даних. У разі виявлення випадків обробки особливих категорій даних або кримінальних даних Партнери діють відповідно до законодавства щодо цього.

6.2. Неідентифіковані дані

Partners визначає випадки, коли він обробляє або може обробляти неідентифіковані дані, і підтримує механізми, що сприяють реалізації прав осіб, яких стосуються неідентифіковані дані.

6.3. Профілювання

Партнери не використовують профілювання. Партнери визначають випадки, коли може статися профілювання оброблених даних, і застосовуватимуть механізми для забезпечення законності цього процесу. У разі виявлення випадків профілювання та автоматизованого прийняття рішень Партнери діють відповідно до законодавства щодо цього.

6.4. Спільний контролер

Партнери виявляють випадки спільного контролю даних і діють у цьому відношенні відповідно до чинних норм.

7. РЕЄСТР ДІЯЛЬНОСТІ З ОБРОБКИ ДАНИХ

• 7.1. RCPD — це форма документування діяльності з обробки даних, діє як карта обробки даних і є одним із ключових елементів, що забезпечує реалізацію фундаментального принципу, на якому базується вся система захисту персональних даних. ґрунтується, тобто принцип підзвітності.
• 7.2. Партнери ведуть Реєстр діяльності з обробки даних, у якому він інвентаризує та контролює, як він використовує персональні дані.
• 7.3. Реєстр є одним із важливих інструментів, що дозволяє Партнерам враховувати більшість зобов’язань щодо захисту даних.
• 7.4. У Реєстрі для кожної діяльності з обробки даних, яку Партнери вважають окремою для цілей Реєстру, Партнери записують принаймні: (i) назву діяльності, (ii) мету обробка, (iii) опис категорії осіб, (iv) опис категорії даних, (v) правова основа обробки, із зазначенням категорії законного інтересу Партнерів, якщо підставою є законний інтерес, (vi) метод збір даних, (vii) опис категорії одержувачів даних (включно з обробниками) ‚ (viii) інформація про передачу за межі ЄС/ЄЕЗ; (ix) загальний опис технічних і організаційних заходів захисту даних.
• 7.5. Зразок Реєстру є Додатком № 1 до Правил – «Зразок Реєстру видів діяльності з обробки даних». Шаблон Реєстру також містить необов’язкові стовпці. У необов’язкових стовпцях Партнери реєструють необхідну та можливу інформацію, беручи до уваги той факт, що більш повний вміст Реєстру полегшує керування та врегулювання відповідності захисту даних

8. ОСНОВНА ОБРОБКА

• 8.1. Партнери документують правові підстави для обробки даних для окремих дій з обробки в Реєстрі.
• 8.2. Зазначаючи загальну правову основу в документах (згода, договір, юридичне зобов’язання, життєво важливі інтереси, державні завдання/державні повноваження, законна мета Партнерів), Партнери вказують основу в точний і розбірливий спосіб, коли це необхідно. Наприклад, для згоди – із зазначенням її обсягу, коли підставою є закон – із зазначенням конкретного положення та інших документів, наприклад контракту, адміністративної угоди, життєвих інтересів – із зазначенням категорій подій, у яких вони матеріалізуються, обґрунтованої мети – із зазначенням конкретного мета, наприклад, власний маркетинг, переслідування претензій.
• 8.3. Партнери впроваджують методи управління згодою, які дозволяють реєструвати та перевіряти згоду особи на обробку її конкретних даних для певної мети, згоду на дистанційне спілкування (електронна пошта, телефон, SMS). , тощо) та реєстрація відмови у згоді, відкликання згоди та подібні дії (заперечення, обмеження тощо).
• 8.4. Партнери зобов’язані знати правову основу, на якій Партнери здійснюють певну діяльність з обробки персональних даних. Якщо основою є законний інтерес Партнерів, власник зобов’язаний знати конкретний інтерес Партнерів у обробці.

9. СПОСІБ РЕГУЛЮВАННЯ ІНДИВІДУАЛЬНИХ ПРАВ ТА ІНФОРМАЦІЙНИХ ОБОВ’ЯЗКІВ

• 9.1. Partners піклується про розбірливість і стиль наданої інформації та спілкування з особами, чиї дані обробляє.
• 9.2. Partners полегшує людям реалізацію своїх прав за допомогою різноманітних заходів, зокрема: розміщення на веб-сайті Partners інформації або посилань (посилань) на інформацію про права людей, способи їх реалізації на Партнери, включаючи вимоги до ідентифікації, способи зв’язку з Партнерами з цією метою.
• 9.3. Партнери забезпечують дотримання встановлених законом строків виконання зобов’язань перед особами.
• 9.4. Partners запроваджує адекватні методи ідентифікації та автентифікації осіб з метою реалізації індивідуальних прав та обов’язків щодо інформації.
• 9.6. Партнери документують обробку інформаційних зобов’язань, повідомлень і запитів осіб.

10. ІНФОРМАЦІЙНІ ЗОБОВ’ЯЗАННЯ

• 10.1. Партнери визначають законні та ефективні способи виконання зобов’язань щодо інформації.
• 10.2. Партнери повідомляють особу про продовження строку розгляду звернення особи більш ніж на один місяць.
• 10.3. Партнери інформують особу про обробку її даних під час отримання даних від цієї особи.
• 10.4. Партнери інформують особу про обробку її даних, коли отримують дані про цю особу опосередковано від них.
• 10.5. Партнери визначають спосіб інформування людей про обробку неідентифікованих даних, де це можливо (наприклад, табличка про територію, охоплену відеоспостереженням).
• 10.6. Партнери повідомляють особу про заплановану зміну мети обробки даних.
• 10.7. Партнери інформують особу перед зняттям обмеження обробки.
• 10.8. Партнери інформують одержувачів даних про виправлення, видалення або обмеження обробки даних (якщо це не вимагає непропорційних зусиль або неможливо).
• 10.9. Партнери повідомляють особу про право заперечувати проти обробки даних не пізніше ніж під час першого контакту з цією особою.
• 10.10. Партнери мають повідомити особу без невиправданої затримки про порушення персональних даних, якщо це може призвести до високого ризику порушення прав або свобод цієї особи.

11. ЗАПИТІВ ЛЮДЕЙ

11.1. Права третіх осіб.
При реалізації прав суб’єктів персональних даних Партнери запроваджують процесуальні гарантії захисту прав і свобод третіх осіб. Зокрема, у разі отримання достовірної інформації про те, що виконання запиту особи на отримання копії даних або права на передачу даних може негативно вплинути на права та свободи інших людей (наприклад, права, пов’язані із захистом даних інших осіб, права інтелектуальної власності, комерційну таємницю, особисті права), Партнери можуть звернутися до особи для з’ясування сумнівів або вжити інших заходів, дозволених законодавством, включаючи відмову в задоволенні запиту.

11.2. Неперероблення.
Партнери повідомляють особу, що не обробляють дані, що стосуються її, якщо така особа звернулася із запитом щодо своїх прав.

11.3. Відмова.
Про відмову в розгляді звернення та пов’язані з цим права особи Партнери повідомляють особу протягом місяця з моменту отримання звернення.

11.4. Доступ до даних.
На запит особи щодо доступу до її даних Партнери повідомляють особі, чи обробляє вона її дані, а також інформує особу про деталі обробки, відповідно до ст. 15 GDPR (обсяг відповідає зобов’язанню щодо інформації під час збору даних), а також надає особі доступ до даних, що її стосуються. Доступ до даних може бути наданий шляхом видачі копії даних, за умови, що копія даних, видана в рамках реалізації права на доступ до даних, не буде розглядатися Партнерами як перша безкоштовна копія даних для цілей оплати. для копій даних.

11.5. Копії даних.
На запит Партнери надають особі копію даних, що стосуються її/її, і фіксують факт видачі першої копії даних. Партнери вводять і ведуть прайс-лист на копії даних, згідно з яким стягують плату за наступні копії даних. Ціна копії даних розраховується на основі орієнтовної вартості одиниці обробки запиту на копію даних.

11.6. Виправлення даних.
Партнери виправляють некоректні дані на вимогу особи. Партнери мають право відмовитися від виправлення даних, якщо особа обґрунтовано не доведе невірність даних, які вона вимагає виправити. У разі виправлення даних Партнери повідомляють особу про одержувачів даних на вимогу цієї особи.

11.7. Доповнення даних.
Партнери доповнюють та оновлюють дані за бажанням особи. Партнери мають право відмовитися від доповнення даних, якщо доповнення буде несумісним з цілями обробки даних (наприклад, Партнери не повинні обробляти непотрібні для Партнерів дані). Партнери можуть покладатися на заяву особи щодо доповнених даних, якщо це недостатньо в світлі процедур, прийнятих Партнерами (наприклад, щодо отримання таких даних), законодавства або є підстави вважати заяву недостовірною.

11.8. Видалення даних.
За бажанням особи Партнери видаляють дані, коли:

1. дані не є необхідними для цілей, для яких вони були зібрані, або оброблені для інших законних цілей,
2. згоду на їх обробку відкликано, і немає іншої правової підстави для обробки,
3. особа подала ефективне заперечення проти обробки цих даних,
4. дані були оброблені незаконно
5. необхідність усунення результатів юридичного зобов’язання‚
6. запит стосується даних дитини, зібраних на основі згоди для надання послуг інформаційного суспільства, які пропонуються безпосередньо дитині (наприклад, профіль дитини на сайті соціальної мережі, участь у конкурсі на веб-сайті).

Partners визначає спосіб обробки права на видалення даних таким чином, щоб забезпечити ефективну реалізацію цього права з дотриманням усіх принципів захисту даних, включаючи безпеку, а також перевірку наявності будь-яких винятків, зазначених у ст. 17. сек. 3 GDPR.

Якщо дані, які підлягають видаленню, були оприлюднені Партнерами, Партнери вживають розумних заходів, включаючи технічні заходи, щоб повідомити інших адміністраторів, які обробляють ці персональні дані, про необхідність видалення даних і доступу до них.

У разі видалення даних Partners інформує особу про одержувачів даних на вимогу цієї особи.

11.9. Обмеження обробки

Партнери обмежують обробку даних за запитом особи, коли:

• a) особа ставить під сумнів правильність даних – протягом періоду, який дозволяє перевірити їх правильність‚
• b) обробка є незаконною, і суб’єкт даних виступає проти видалення персональних даних, натомість вимагаючи обмеження їх використання,
• c) Партнерам більше не потрібні персональні дані, але вони потрібні суб’єкту даних для встановлення, подання чи захисту претензій,
• d) особа заперечила проти обробки з причин, пов’язаних із її конкретною ситуацією, доки не буде встановлено, чи існують юридично обґрунтовані підстави з боку Партнерів, які переважають підстави для заперечення.

Під час обмеження обробки Партнери зберігають дані, але не обробляють їх (не використовують, не передають) без згоди суб’єкта даних, за винятком випадків, коли для встановлення, подання або захисту претензій або для захисту прав іншої особи фізична або юридична особа, або з важливих причин суспільного інтересу.

Партнери інформують особу до зняття обмеження обробки.

У разі обмеження обробки даних Партнери повідомляють особу про одержувачів даних на вимогу цієї особи.

11.10. Портативність даних.

На запит особи Партнери видають у структурованому, широко використовуваному машинозчитуваному форматі або передають іншій організації, якщо вона є, дані щодо цієї особи, які вона надала Партнерам, оброблені на на підставі згоди цієї особи або для того, щоб укласти або виконати договір, укладений з нею в ІТ-системах Partners.

11.11. Протистояння в особливій ситуації

Якщо особа подає заперечення проти обробки своїх даних, мотивуючи це своєю конкретною ситуацією, і дані обробляються Партнерами на основі законного інтересу Партнерів або завдання, дорученого Партнерам у суспільних інтересах, Партнери приймають< /strong> заперечення, якщо на веб-сайті Партнерів немає важливих юридично обґрунтованих підстав для обробки, що переважають інтереси, права та свободи особи, яка заперечує, або підстав для встановлення, подання чи захисту претензій.