Polityka ochrony
danych osobowych

Niniejsza Polityka ochrony danych osobowych („Polityka”), została sporzą­dzona w celu wykazania, że dane osobowe są przetwarzane i zabezpieczone zgodnie z wymogami prawa, dotyczącymi zasad przetwarzania i zabezpiecze­nia danych w Firmie, w tym z Rozporządzeniem Parlamentu Europejskie­go i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycz­nych w związku z przetwarzaniem danych osobowych i w sprawie swobodne­go przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO).

Mogą Państwo się z nami kontaktować:

• listownie – Biuro Spółki ul. Łużycka 25a, 59-900 Zgorzelec
• telefonicznie – 756408105
• pocztą elektroniczną – biuro@topping-work.pl
• w inny sposób, który wskazujemy na stronie www

Definicje:

1. Administrator Danych/ Firma – Topping Work Europe sp. z o.o. w Zgorzelcu
2. Dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możli­wej do zidentyfikowania osoby fizycznej
3. System informatyczny – zespół współpracujących ze sobą urządzeń, progra­mów, procedur przetwarzania informacji narzędzi programowych zastosowa­nych w celu przetwarzania danych
4. Użytkownik – osoba upoważniona przez Administratora Danych do Prze­twarzania danych osobowych
5. Zbiór danych – każdy uporządkowany zestaw danych o charakterze osobo­wym, dostępny według określonych kryteriów
6. Przetwarzanie danych – jakiekolwiek operacje wykonywane na Danych oso­bowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie w formie tradycyjnej oraz w systemach informatycznych
7. Identyfikator użytkownika – ciąg znaków literowych, cyfrowych lub innych jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym (Użytkownika) w razie Przetwarzania danych osobowych w takim systemie
8. Hasło – ciąg znaków literowych, cyfrowych lub innych, znany jedynie osobie uprawnionej do pracy w systemie informatycznym (Użytkownikowi) w razie przetwarzania danych osobowych w takim systemie
9. Uwierzytelnianie – działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu (Użytkownika).

I. Postanowienia ogólne

1. Polityka dotyczy wszystkich Danych osobowych przetwarzanych w Firmie niezależnie od formy ich przetwarzania (przetwarzane tradycyjnie zbiory ewidencyjne, systemy informatyczne) oraz od tego, czy dane są lub mogą być przetwarzane w zbiorach danych.
2. Polityka jest przechowywana w wersji elektronicznej oraz w wersji papiero­wej w siedzibie Administratora.
3. Dla skutecznej realizacji Polityki Administrator Danych zapewnia:
   1. odpowiednie do zagrożeń i kategorii danych objętych ochroną środki techniczne i rozwiązania organizacyjne,
   2. kontrolę i nadzór nad Przetwarzaniem danych osobowych,
   3. monitorowanie zastosowanych środków ochrony.
4. Monitorowanie przez Administratora Danych zastosowanych środków ochrony obejmuje m.in. działania Użytkowników, naruszanie zasad do­stępu do danych, zapewnienie integralności plików oraz ochronę przed atakami zewnętrznymi oraz wewnętrznymi.
5. Administrator Danych zapewnia, że czynności wykonywane w związku z przetwarzaniem i zabezpieczeniem danych osobowych są zgodne z niniej­szą polityką oraz odpowiednimi przepisami prawa

II. Dane osobowe przetwarzane u Administratora, Rejestr czynności

1. Dane osobowe przetwarzane przez Administratora Danych gromadzone są w Zbiorach danych.
2. Administrator danych nie podejmuje czynności przetwarzania, które mogły­by się wiązać z poważnym prawdopodobieństwem wystąpienia wysokiego ryzyka dla praw i wolności osób.
3. W przypadku planowania nowych czynności przetwarzania Administrator dokonuje analizy ich skutków dla ochrony danych osobowych oraz uwzględ­nia kwestie ochrony danych w fazie ich projektowania.
4. Administrator danych prowadzi Rejestr czynności przetwarzania. Rejestr czynności przetwarzania ma formę pisemną oraz elektroniczną.
5. Administrator udostępnia rejestr czynności przetwarzania na żądanie Prezesa Urzędu.
6. W rejestrze zamieszcza się następujące informacje: nazwę oraz dane kontaktowe Administratora oraz inspektora ochrony danych jeżeli został wyznaczony, cele przetwarzania; opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych, kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych, gdy ma to zastosowanie, informacja o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń; jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych, jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1 RODO.
7. Dane osobowe Firma przetwarza:
   1. aby zawierać lub wykonywać umowy zawarte z Państwem lub z Państwa udziałem,
   2. aby wypełniać obowiązki prawne,
   3. w celu wynikającym z naszego prawnie uzasadnionego interesu.
   4. aby wykonywać zadania, które służą interesowi publicznemu,
   5. na podstawie Państwa zgody.
8. Jeśli nie podadzą nam Państwo swoich danych, nie będziemy mogli zawrzeć z Państwem umowy i jej realizować. Podanie danych jest dobrowolne, jednak niezbędne do tego, aby zawrzeć z nami umowę i ją realizować. W takiej sytuacji mamy obowiązek zidentyfikować Państwa oraz zebrać i zapisać Państwa dane.

III. Obowiązki i odpowiedzialność w zakresie zarządzania bezpieczeństwem

1. Wszystkie osoby zobowiązane są do przetwarzania danych osobowych zgodnie z obowiązującymi przepisami i zgodnie z ustaloną przez Admi­nistratora Danych Polityką a także innymi dokumentami wewnętrzny­mi i procedurami związanymi z Przetwarzaniem danych osobowych w Firmie.
2. Wszystkie dane osobowe w Firmie są przetwarzane z poszanowaniem za­sad przetwarzania przewidzianych przez przepisy prawa:
   1. w każdym wypadku występuje chociaż jedna z przewidzianych przepisa­mi prawa podstaw dla przetwarzania danych,
   2. dane są przetwarzane są rzetelnie i w sposób przejrzysty,
   3. Dane osobowe zbierane są w konkretnych, wyraźnych i prawnie uzasad­nionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi cela­mi,
   4. dane osobowe są przetwarzane jedynie w takim zakresie, jaki jest nie­zbędny dla osiągnięcia celu przetwarzania danych,
   5. dane osobowe są prawidłowe i w razie potrzeby uaktualniane,
   6. czas przechowywania danych jest ograniczony do okresu ich przydatno­ści do celów, do których zostały zebrane, a po tym okresie są one anonimizowane bądź usuwane,
   7. wobec osoby, której dane dotyczą, wykonywany jest obowiązek informa­cyjny zgodnie z treścią art. 13 i 14 RODO,
   8. dane są zabezpieczone przed naruszeniami zasad ich ochrony.
3. Za naruszenie lub próbę naruszenia zasad przetwarzania i ochrony Danych osobowych uważa się w szczególności:
   1. naruszenie bezpieczeństwa Systemów informatycznych, w których prze­twarzane są dane osobowe, w razie ich przetwarzania w takich syste­mach,
   2. udostępnianie lub umożliwienie udostępniania danych osobom lub pod­miotom do tego nieupoważnionym,
   3. zaniechanie, choćby nieumyślne, dopełnienia obowiązku zapewnienia danym osobowym ochrony,
   4. niedopełnienie obowiązku zachowania w tajemnicy Danych osobowych oraz sposobów ich zabezpieczenia,
   5. przetwarzanie Danych osobowych niezgodnie z założonym zakresem i celem ich zbierania,
   6. spowodowanie uszkodzenia, utraty, niekontrolowanej zmiany lub nie­uprawnione kopiowanie Danych osobowych,
   7. naruszenie praw osób, których dane są przetwarzane.
4. W przypadku stwierdzenia okoliczności naruszenia zasad ochrony danych osobowych Użytkownik zobowiązany jest do podjęcia wszystkich niezbęd­nych kroków, mających na celu ograniczenie skutków naruszenia i do nie­zwłocznego powiadomienia Administratora Danych.
5. Do obowiązków Administratora Danych w zakresie zatrudniania, zakończe­nia lub zmiany warunków zatrudnienia pracowników lub współpracowników (osób podejmujących czynności na rzecz Administratora Danych na podsta­wie innych umów cywilnoprawnych) należy dopilnowanie, by:
6. pracownicy byli odpowiednio przygotowani do wykonywania swoich obowiązków,
7. każdy z przetwarzających Dane osobowe był pisemnie upoważniony do przetwarzania zgodnie z „Upoważnieniem do przetwarzania danych oso­bowych” – wzór Upoważnienia stanowi Załącznik nr 1 do niniejszej Poli­tyki,
8. każdy współpracownik zobowiązał się do zachowania danych osobowych prze­twarzanych w Firmie w tajemnicy. „Oświadczenie i zobowiązanie oso­by przetwarzającej dane osobowe do zachowania tajemnicy” (wg wzoru – Załącznik Nr 2 do niniejszej Poli­tyki).
9. Pracownicy zobowiązani są do:
   1. ścisłego przestrzegania zakresu nadanego upoważnienia,
   2. przetwarzania i ochrony danych osobowych zgodnie z przepisami,
   3. zachowania w tajemnicy danych osobowych oraz sposobów ich zabez­pieczenia,
   4. zgłaszania incydentów związanych z naruszeniem bezpieczeństwa da­nych oraz niewłaściwym funkcjonowaniem systemu.

IV. Określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralno­ści i rozliczalności przetwarzanych danych

1. Administrator Danych zapewnia zastosowanie środków technicznych i orga­nizacyjnych niezbędnych dla zapewnienia poufności, integralności, rozli­czalności i ciągłości Przetwarzanych danych.
2. Środkami, o których mowa powyżej są m.in.:
   1. zabezpieczone serwery danych, zabezpieczone dyski sieciowe, zabezpieczony serwer pocztowy, zabezpieczone systemy zarządzania, system księgowo-kadrowy, wewnętrzny obieg dokumentów i danych,
   2. szkolenia pracowników.
3. Zastosowane środki ochrony (techniczne i organizacyjne) powinny być ade­kwatne do stwierdzonego poziomu ryzyka dla poszczególnych systemów, rodzajów zbiorów i kategorii danych, środki te obejmują:
   1. ograniczenie dostępu do pomieszczeń, w których przetwarzane są dane osobowe, jedynie do osób odpowiednio upoważnionych. Inne osoby mogą przebywać w pomieszczeniach wykorzystywanych do przetwarza­nia danych jedynie w towarzystwie osoby upoważnionej,
   2. zamykanie pomieszczeń tworzących obszar Przetwarzania danych oso­bowych na czas nieobecności pracowników w sposób uniemożliwiający dostęp do nich osób trzecich,
   3. wykorzystanie zamykanych szafek i sejfów do zabezpieczenia doku­mentów;
   4. wykorzystanie niszczarki do skutecznego usuwania dokumentów za­wierających dane osobowe,
   5. ochronę sieci lokalnej przed działaniami inicjowanymi z zewnątrz przy użyciu sieci firewall,
   6. ochronę sprzętu komputerowego wykorzystywanego u Administratora Danych przed złośliwym oprogramowaniem,
   7. zabezpieczenie dostępu do urządzeń Firmy przy pomocy haseł do­stępu;
   8. wykorzystanie szyfrowania danych przy ich transmisji.

V. Naruszenia zasad ochrony danych osobowych

1. W przypadku stwierdzenia naruszenia ochrony danych osobowych Admini­strator Danych dokonuje oceny, czy zaistniałe naruszenie mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych.
2. W każdej sytuacji, w której zaistniałe naruszenie mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych, Administrator Danych zgłasza fakt na­ruszenia zasad ochrony danych organowi nadzorczemu bez zbędnej zwłoki – jeżeli to wykonalne, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Wzór zgłoszenia określa załącznik Nr 3 do niniejszej Polityki.
3. Jeżeli ryzyko naruszenia praw i wolności jest wysokie, Administrator Danych zawiada­mia o incydencie także osobę, której dane dotyczą.

VI. Powierzenie przetwarzania danych osobowych

1. Administrator Danych może powierzyć przetwarzanie danych osobowych innemu podmiotowi (procesorowi) wyłącznie w drodze umowy zawartej w for­mie pisemnej, zgodnie z wymogami wskazanymi dla takich umów w art. 28 RODO (wg Wzoru stanowiącego Załącznik Nr 4 do Polityki) .
2. Przed powierzeniem przetwarzania danych osobowych Administrator Danych w mia­rę możliwości uzyskuje informacje o dotychczasowych praktykach procesora dotyczących zabezpieczenia danych osobowych.

VII. Przekazywanie danych do państwa trzeciego

Administrator Danych nie będzie przekazywał danych osobo­wych do państwa trzeciego, poza sytuacjami w których następuje to na wnio­sek osoby, której dane dotyczą.

VIII. Postanowienia końcowe

1. Za niedopełnienie obowiązków wynikających z niniejszego dokumentu pra­cownik ponosi odpowiedzialność na podstawie Kodeksu pracy, Przepisów o ochronie danych osobowych oraz Kodeksu karnego w odniesieniu do da­nych osobowych objętych tajemnicą zawodową.
2. Integralną część niniejszej Polityki stanowią następujące Za­łączniki:
   • Załącznik nr 1 – Wzór upoważnienia do przetwarzania danych osobowych (pdf, 59KB).
   • Załącznik nr 2 – Wzór Oświadczenia i zobowiązania osoby przetwarzającej dane (pdf, 57KB)
   • Załącznik nr 3 – Wzór zgłoszenia naruszenia zasad ochrony danych (pdf, 68 KB)