Polityka prywatności

POLITYKA PRYWATNOŚCI 

Zachowanie poufności Twoich danych jest dla nas niezwykle ważne i chcemy, aby każdy klient wiedział, w jaki sposób je przetwarzamy. Dlatego sporządziliśmy Politykę prywatności, która opisuje sposób ochrony i przetwarzania danych osobowych.

Kto odpowiada za Twoje dane osobowe?
Administratorem przekazywanych nam przez Ciebie Twoich danych osobowych jest: PRESSO Rafał Presak, REGON 361343186, NIP 9372632971.

Jakie dane osobowe przetwarzamy?
Będziemy przetwarzać następujące dane osobowe: 

• dane kontaktowe, takie jak imię i nazwisko, adres, adres e-mail i numer telefonu;
• informacje na temat płatności i historię płatności;
• dane demograficzne;
• informacje na temat zamówień.

Gdzie przechowujemy Twoje dane?

Zebrane dane osobowe przechowujemy na terenie Europejskiego Obszaru Gospodarczego („EOG). Każda operacja przesyłania danych osobowych jest wykonywana zgodnie z obowiązującym prawem.

Kto ma dostęp do Twoich danych?

Nigdy nie przekazujemy Twoich danych, nie sprzedajemy ich ani nie wymieniamy się nimi w celach marketingowych z innymi podmiotami.

W wybranych przypadkach Twoje dane przekazujemy wybranym podmiotom zewnętrznym jedynie w ramach realizacji usług, które zostały przez nas zdefiniowane i w zakresie, jaki obejmują podpisane przez nas umowy powierzenia przetwarzania. Szczegółowe informacje na temat kategorii podmiotów zewnętrznych w zakładkach poniżej.

Jakie są podstawy prawne przetwarzania danych?

Przetwarzamy Twoje dane osobowe na mocy zawartej umowy, której wzorzec znajduje się Regulaminie. Twoje dane są przetwarzane adekwatnie w stosunku do celu, jakim jest świadczenie przez nas usług dla Ciebie.

W przypadku potrzeby uzyskania od Ciebie dodatkowych danych, w celu lepszego dopasowania usług dla Ciebie oraz oferowania ich na jeszcze wyższym poziomie zostaniesz poproszony przez nas o dodatkowe zgody. Oczywiście są one dobrowolne a także możesz w każdej chwili je odwołać.

Jakie masz prawa?

Prawo dostępu do danych:  W każdej chwili masz prawo zażądać informacji o tym, które Twoje dane osobowe przechowujemy. Aby to zrobić, skontaktuj się z nami – otrzymasz te informacje pocztą e-mail.

Prawo do przenoszenia: 
Gdy przetwarzamy Twoje dane osobowe w sposób zautomatyzowany, na podstawie Twojej zgody lub zawartej umowy, masz prawo otrzymać kopię swoich danych w ustrukturyzowanym, powszechnie używanym i możliwym do odczytania formacie. Kopia ta może zostać przesłana do Ciebie lub do innego podmiotu. Dotyczy to wyłącznie danych osobowych, które zostały nam przekazane.

Prawo do poprawiania danych: Masz prawo zażądać poprawienia swoich danych osobowych, jeśli są one niepoprawne, a także do uzupełnienia niekompletnych danych.  Jeśli masz konto w naszym sklepie, możesz edytować swoje dane osobowe, a także zgody w ramach ustawień swojego konta.

Prawo do usunięcia danych: Masz prawo w każdej chwili usunąć jakiekolwiek dane przetwarzane przez nas, z wyjątkiem następujących sytuacji:

• masz niezakończone postępowanie z pracownikami naszego sklepu internetowego;
• masz otwarte zamówienie, które nie zostało jeszcze wysłane lub zostało wysłane tylko częściowo;
• masz nieuregulowany dług wobec nas, niezależnie od metody płatności;
• jeśli podejrzewamy lub mamy pewność, że w ciągu ostatnich czterech lat korzystałaś(eś) z naszych usług w niewłaściwy sposób;
• jeśli dokonałaś(eś) jakikolwiek zakupów, zachowamy Twoje dane osobowe dotyczące transakcji w celach księgowych. 

Twoje prawo do wniesienia sprzeciwu na przetwarzanie danych na podstawie uzasadnionego interesu:  

Masz prawo do wniesienia sprzeciwu na przetwarzanie Twoich danych, w zakresie, w jakim przetwarzamy Twoje dane w oparciu o prawnie uzasadniony interes administratora. Wobec przetwarzania Twoich danych osobowych zaprzestaniemy przetwarzania Twoich danych, chyba że będziemy w stanie znaleźć zgodne z prawem uzasadnienie tego procesu, które unieważni Twój interes lub prawa; albo z powodu roszczeń prawnych.

Prawo do niewyrażenia zgody na marketing bezpośredni:
Masz prawo nie zgodzić się na otrzymywanie materiałów marketingu bezpośredniego, w tym także na sporządzanie analizy Twojego profilu, która jest przygotowywana w celu przygotowania takich materiałów.

Możesz zrezygnować z otrzymywania materiałów marketingu bezpośredniego w następujący sposób:

• wykonując instrukcje zawarte w każdej takiej wiadomości e-mail,
• edytując ustawienia swojego konta na stronie WWW.

Prawo do ograniczenia: 

Masz prawo zażądać, abyśmy ograniczyli przetwarzanie Twoich danych osobowych pod następującymi warunkami:

• jeśli nie zgodzisz się na przetwarzanie danych na podstawie uzasadnionego interesu administratora, wtedy ograniczymy jakiekolwiek przetwarzanie takich danych po zweryfikowaniu, czy istnieje taki uzasadniony interes.
• jeśli zgłosisz, że Twoje dane osobowe są niepoprawne, wtedy ograniczymy jakiekolwiek przetwarzanie danych do momentu zweryfikowania ich poprawności.
• jeśli przetwarzanie danych jest niezgodne z prawem, wtedy możesz nie zgodzić się na wykasowanie danych osobowych i zamiast tego zażądać ograniczenia używania Twoich danych osobowych.
• jeśli nie potrzebujemy już Twoich danych osobowych, ale są one wymagane do zgłoszenia lub oddalenia roszczenia.

Jak możesz korzystać ze swoich praw?

Bardzo poważnie podchodzimy do ochrony danych, dlatego wyznaczyliśmy grupę pracowników, która będzie odpowiadać wyłącznie na pytania dotyczące powyższych kwestii. Możesz się z nimi skontaktować:

• wysyłając email na adres sklep@pressosklep.pl, a w przypadku kontaktu dot. sklepu internetowego na adres: sklep@pressosklep.pl,
  • dzwoniąc do naszego Biura Obsługi Klienta pod numer telefonu +48 506464855(opłata wg stawek operatora),
  • pisząc na adres naszej siedziby.  PRESSO Rafał Presak, ul.Jutrzenki 29/13, 43-300 Bielsko-Biała

Prawo zgłoszenia skargi w organie nadzorczym:  

Jeśli uważasz, że przetwarzamy Twoje dane osobowe w niewłaściwy sposób, możesz się z nami skontaktować. Masz też prawo zgłosić skargę w organie nadzorczym.

Co to jest cookies?

Cookies – oznaczają dane informatyczne, w szczególności niewielkie pliki tekstowe, zapisywane i przechowywane na urządzeniach za pośrednictwem których korzystasz z naszych serwisów.

Cookies Administratora – oznacza Cookies zamieszczane przez nas, związane ze świadczeniem usług droga elektroniczną przez nas za pośrednictwem naszych serwisów.

Cookies Zewnętrzne – oznacza Cookies zamieszczane przez naszych partnerów, za pośrednictwem strony internetowej Serwisu.

Jak używamy plików cookie?

Wykorzystuje dwa typy plików cookies:

• Cookies administratora – oznacza cookies zamieszczane przez Administratora, za pośrednictwem Strony. 
• Cookies zewnętrzne – oznacza cookies zamieszczane przez partnerów Administratora, za pośrednictwem Strony. 
• Cookies sesyjne – są przechowywane na urządzeniu Użytkownika i pozostają tam do momentu zakończenia sesji danej przeglądarki. Zapisane informacje są wówczas trwale usuwane z pamięci urządzenia. Mechanizm cookies sesyjnych nie pozwala na pobieranie jakichkolwiek danych osobowych ani żadnych informacji poufnych z urządzenia Użytkownika. 
• Cookies trwałe – są przechowywane na urządzeniu Użytkownika i pozostają tam do momentu ich skasowania. Zakończenie sesji danej przeglądarki lub wyłączenie urządzenia nie powoduje ich usunięcia z urządzenia Użytkownika. Mechanizm cookies trwałych nie pozwala na pobieranie jakichkolwiek danych osobowych ani żadnych informacji poufnych z urządzenia Użytkownika.  

Używamy zarówno naszych plików cookie, jak i plików cookie podmiotów zewnętrznych w celu gromadzenia statystyk oraz danych użytkowników w formie zagregowanej oraz indywidualnej, a także narzędzi analitycznych do optymalizacji naszej strony i przedstawiania oferty interesującej dla użytkownika.  

Używamy także zewnętrznych plików cookie, które monitorują, w jaki sposób użytkownik korzysta z innych witryn – dzięki czemu możemy też udostępniać materiały marketingowe na innych stronach/w innych kanałach komunikacji.

Cookies administratora są wykorzystywane w następujących celach: 

• dostosowania zawartości Strony do preferencji Użytkownika oraz optymalizacji korzystania ze Strony;
• rozpoznania urządzenia Użytkownika oraz jego lokalizację i odpowiednio wyświetlenia Strony dostosowanej do jego indywidualnych potrzeb; 3. optymalizacji korzystania ze Strony przez Użytkownika; 
• dostosowania zawartości Strony do preferencji Użytkownika oraz optymalizacji korzystania ze Strony – w szczególności pliki te pozwalają rozpoznać podstawowe parametry urządzenia Użytkownika i odpowiednio wyświetlić Stronę, dostosowaną do jego indywidualnych potrzeb; 
• analiz i badań oraz audytu oglądalności poprzez tworzenie anonimowych statystyk, które pomagają zrozumieć, w jaki sposób Użytkownicy korzystają ze Strony, co umożliwia ulepszanie jej struktury i zawartości;
• zapewnienia bezpieczeństwa i niezawodności Strony.

Cookies zewnętrzne są wykorzystywane w następujących celach:

• prezentowania treści multimedialnych na Stronie, które są pobierane z zewnętrznego serwisu internetowego, np. youtube;
  zbierania ogólnych i anonimowych danych statycznych za pośrednictwem narzędzi analitycznych, np. Google Analytics. 
• prezentowania reklam dostosowanych do preferencji Użytkownika z wykorzystaniem narzędzia internetowej reklamy, np. Google AdSense. 
  wykorzystania funkcji interaktywnych w celu popularyzacji Serwisu za pomocą serwisów społecznościowych, m.in. takich jak Facebook.com, Pinterest.com.

Uaktualnienia naszych Zasad prywatności:
W przyszłości może zajść konieczność aktualizacji Zasad prywatności. Ich najnowsza wersja będzie zawsze dostępna na naszej stronie. Będziemy informować o każdej zmianie treści Zasad prywatności, na przykład o zmianach dotyczących celu, w jakim korzystamy z Twoich danych osobowych, tożsamości Inspektora Ochrony Danych Osobowych lub Twoich praw.

Jaka jest Twoja odpowiedzialność?

Odwiedzając naszą stronę stajesz się automatycznie jej Użytkownikiem. 

Wszelkie treści znajdujące się na Stronie chronione są prawem autorskim lub prawami ochronnymi wynikającymi z rejestracji znaków towarowych i nie mogą być w żaden sposób wykorzystywane bez wyrażonej na piśmie pod rygorem nieważności zgody uprawionego, za wyjątkiem dozwolonego użytku osobistego utworów w rozumieniu ustawy z dnia 04 lutego 1994 roku o prawie autorskim i prawach pokrewnych. Jakiekolwiek działania wykraczające poza w/w dozwolony użytek są niedozwolone oraz mogą skutkować pociągnięciem do odpowiedzialności cywilnej i karnej. Wszelkie treści zamieszczone na Stronie mają charakter wyłącznie informacyjny i nie stanowią oferty w rozumieniu przepisów Kodeksu cywilnego. 

Jako Administrator nie ponosimy żadnej odpowiedzialności z tytułu powstania jakichkolwiek szkód w związku z decyzjami podjętymi na podstawie zamieszczonych na stronie internetowej informacji lub w związku z ich nieautoryzowanym wykorzystaniem, chyba, że odpowiedzialność taka wynika z powszechnie obowiązujących przepisów prawa, w szczególności przepisów szeroko rozumianego prawa konsumenckiego.

POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH

obejmująca rejestr czynności przetwarzania danych osobowych PRESSO Rafał Presak, działająca pod firmą: PRESSO z siedzibą w Bielsku-Białej ul. Jutrzenki 29/13, NIP: 9372632971, REGON:361343186, dalej zwanym: sklep.

1. Preambuła

1. Z uwagi na fakt, że PRESSO należy do kategorii małych średnich przedsiębiorców, a jednocześnie nie przetwarza danych na dużą skalę, w zasadniczym zakresie obowiązki związane z ochroną danych osobowych uważa się za ograniczone lub wyłączone,
   1. Tym niemniej, działając z daleko posuniętej ostrożności i dochowując należytej staranności, uznając że przyczyni się to do lepszego sposobu przetwarzania danych osobowych, sklep podjął decyzję o fakultatywnym wdrożeniu odpowiedniej polityki ochrony danych (art. 24 ust. 2 RODO), obejmującą także rejestrowanie czynności przetwarzania, opierając się w tym zakresie pomocniczo na treści art. 30 i in. RODO,
   1. Niezależnie od powyższego należy zastrzec, że zasadnicze zasady w zakresie przetwarzania danych osobowych określają następujące akty prawne:
      1. rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r.  w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej nr L 119/1 z 4.5.2016; dalej: RODO)
      1. ustawa z dnia 10 maja 2018r. o ochronie danych osobowych (Dz.U.2019.1781; dalej: ustawa o ochronie danych osobowych, u.o.d.o.),
   1. Polityka bezpieczeństwa danych osobowych powinna być poddawana bieżącej aktualizacji, ale nie rzadziej niż raz do roku.
   1. W przypadku, gdyby postanowienia Polityki okazały się z jakichkolwiek względów sprzeczne z powszechnie obowiązującym prawem – stosuje się przepisy prawa, z pominięciem postanowień Polityki.

• Podstawowe definicje

• Administrator Danych Osobowych, Administrator Danych (ADO) – osoba ustalająca cele i sposoby przetwarzania danych osobowych – którą jest PRESSO, działająca pod firmą: PRESSO Rafał Presak z siedzibą w Bielsku-Białej, ul. Jutrzenki 29/13, NIP: 9372632971, REGON: 361343186, adres do doręczeń: 43-300 Bielsko-Biała, ul. Jutrzenki 29/13.
  • Administrator Bezpieczeństwa (AB) – osoba wyznaczona przez ADO, odpowiedzialna za zapewnianie, aby przetwarzanie danych osobowych przez ADO odbywało się zgodnie z przepisami o ochronie danych osobowych. Szczegółowy zakres obowiązków AB określa niniejsza Polityka.  AB nie jest inspektorem ochrony danych, o którym mowa w art. 37 i nast. RODO, w związku z czym ADO nie ma obowiązku publikacji jego danych lub zawiadomienia o nich Organu Nadzorczego.
  • Administrator Systemów Informatycznych (ASI) – wyznaczona przez ADO osoba, odpowiedzialna za funkcjonowanie infrastruktury informatycznej, na którą składa się cały sprzęt informatyczny oraz systemów i aplikacji informatycznych, za ich przeglądy, konserwację oraz za stosowanie technicznych i organizacyjnych środków bezpieczeństwa w systemach informatycznych. Szczegółowy zakres obowiązków ASI określa niniejsza Polityka.
  • Dane osobowe –informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
  • Dane biometryczne – dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;
  • Dane dotyczące zdrowia – dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia;
  • Nadzorca zasobów danych osobowych (NZDO) – osoba kierująca komórką organizacyjną, odpowiedzialna za ochronę danych osobowych przetwarzanych w podległej komórce. Szczegółowy zakres obowiązków NZDO określa niniejsza Polityka.
  • Naruszenie ochrony danych osobowych – naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;
  • Organ Nadzorczy–Prezes Urzędu Ochrony Danych Osobowych.
  • Odbiorca danych – osoba fizyczna lub prawna, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców.
  • Podmiot przetwarzający – osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.
  • Polityka, Polityka bezpieczeństwa – niniejsza Polityka bezpieczeństwa danych osobowych.
  • Profilowanie – dowolna formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się;
  • Przetwarzanie danych osobowych – operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
  • Pseudonimizacja -przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;
  • Strona trzecia -osoba fizyczna lub prawna, organ publiczny, jednostka lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które – z upoważnienia administratora lub podmiotu przetwarzającego – mogą przetwarzać dane osobowe;
  • Zbiór danych – uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie;
  • Zgoda, Zgoda osoby, której dane dotyczą– dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

• Obowiązki Administratora Danych Osobowych

• ADO zobowiązany jest zapewnić w szczególności, aby dane osobowe były:
  • przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”);
  • zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami („ograniczenie celu”);
  • adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
  • prawidłowe i w razie potrzeby uaktualniane („prawidłowość”);
  • przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane („ograniczenie przechowywania”);
  • przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).
  • ADO powinien być w stanie wykazać przestrzeganie zasad określonych w pkt. 3.1 powyżej („rozliczalność”).
  • ADO może realizować swe obowiązki za pośrednictwem upoważnionych osób, w tym zwłaszcza AB, ASI lub NZDO. Wyznaczenie może nastąpić w szczególności poprzez złożenie oświadczenia według wzorów stanowiących załącznik do niniejszej Polityki (zob. zał. nr 3).
  • W przypadku, gdy niniejsza Polityka przewiduje, iż obowiązki ADO stanowią jednocześnie obowiązki osób wskazanych w pkt. 3.3 – należy to rozumieć jako równoznaczne z udzieleniem przez ADO odpowiedniego upoważnienia danej osobie.

• Zgodność z prawem

• W ramach obowiązku zapewnienia zgodności z prawem przetwarzania danych osobowych, ADO powinien przetwarzać dane osobowe wyłącznie w przypadku, gdy istnieje ku temu podstawa.
  • Podstawa przetwarzania danych osobowych istnieje jeśli:
    • osoba, której dane dotyczą wyraziła Zgodę na przetwarzanie swoich danych osobowych w danym celu lub
    • jest to niezbędne do:
• wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy lub
• ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej lub
• wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.
  • Przetwarzanie danych osobowych wrażliwych, w tym zwłaszcza danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia – jest dopuszczalne wyłącznie na warunkach określonych w powszechnie obowiązujących przepisach (w tym zwłaszcza art. 9 RODO). 

• Rzetelność, przejrzystość i prawidłowość

• W ramach obowiązku zapewnienia rzetelności i przejrzystości przetwarzania danych – ADO powinien:
  • w przypadku pozyskania danych osobowych od osób, których dane te dotyczą – udzielać owym osobom informacji, w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, o:
• tożsamości i danych kontaktowych ADO,
• celu i podstawie prawnej przetwarzania danych,
• okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteriach ustalania tego okresu,
• prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
• prawie wniesienia skargi do organu nadzorczego,
• tym, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
  • Gdy ma to zastosowanie, informacja wskazana w punkcie poprzedzającym powinna obejmować informacje:
• o prawie do cofnięcia Zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem,
• jakie prawnie uzasadnione interesy ADO lub strona trzecia realizuje w związku z przetwarzaniem danych,
• o odbiorach lub kategoriach odbiorów danych osobowych,
• o zautomatyzowanym podejmowaniu decyzji, w tym o Profilowaniu.
• informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej.
  • w przypadku pozyskiwania danych osobowych nie od osób, których dane dotyczą – udzielać w rozsądnym terminie, nie później niż w ciągu miesiąca, informacji wskazanych w pkt. 5.1.1 i 5.1.2 powyżej, uzupełnionych dodatkowo o wskazanie:
• kategorii odnośnych danych osobowych
• źródła pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych.
  • ADO na żądanie osoby, której dane dotyczą:
    • dostarcza jej kopię danych podlegających przetwarzaniu wraz z informacją o której mowa w art. 15 RODO.
    • dokonuje sprostowania danych nieprawidłowych
    • usuwa lub ogranicza przetwarzanie danych osobowych – w przypadku, gdy zgłoszone żądanie jest uzasadnione, w szczególności z uwagi na brak podstawy do dalszego przetwarzania danych przez ADO (np. w związku z cofnięciem Zgody) lub skuteczne wniesienie sprzeciwu. Ograniczenie przetwarzania powinno nastąpić w szczególności na okres niezbędny celem zbadania zasadności żądania usunięcia danych albo gdy osoba której dane dotyczą sprzeciwia się ich usunięciu.
    • przekazuje jej dane osobowe, które dostarczyła ADO, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego – pod warunkiem, że przetwarzanie odbywa się w sposób zautomatyzowany, na podstawie Zgody lub celem wykonania zawartej umowy. Stosownie do żądania dane powinny zostać przekazane wnioskodawcy lub innemu administratorowi.
  • ADO uwzględni sprzeciw, o którym mowa w pkt. 5.1.1 lit. d powyżej w przypadku, gdy jest on uzasadniony szczególną sytuacją osoby której dane dotyczą (art. 21 ust. 1 RODO) lub dotyczy przetwarzania danych osobowych na potrzeby marketing bezpośredniego (art. 21 ust. 2 RODO).
  • ADO informuje o sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania każdego odbiorcę, któremu ujawniono dane osobowe, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku.
  • Jeżeli ADO ma obowiązek usuną
  •  dane osobowe, które wcześniej upublicznił, to – biorąc pod uwagę dostępną technologię i koszt realizacji – podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje („prawo do bycia zapomnianym”).
  • W przypadku gdy w związku z prowadzoną działalnością ADO wydaje decyzje opierające się wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym Profilowaniu, ADO wdraża właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą, a co najmniej prawa do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji. ADO zwolniony jest z powyższych obowiązków w przypadkach przewidzianych prawem. W szczególności ADO nie musi podawać powyższych informacji, gdy osoba, której dane dotyczą, już nimi dysponuje. Tym niemniej zaleca się podawanie tych informacji we wszystkich sytuacjach, w których jest to możliwe, w tym zwłaszcza w ramach prowadzenia działalności online, pozyskiwania zgód, zawierania umów, etc. Wzór pisma obejmującego informacje, o których mowa powyżej, stanowi załącznik do niniejszej Polityki (zał. nr 2).

• Integralność i poufność danych, ocena skutków

• W ramach obowiązku zapewnienia integralności i poufności danych osobowych, ADO powinien wdrożyć odpowiednie środki techniczne i organizacyjne, zabezpieczające dane przed zmianą, utratą, uszkodzeniem lub zniszczeniem – przy czym:
  • rodzaj owych środków należy określić uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania. W stosownym przypadku zapewnić należy zwłaszcza:
• pseudonimizację i szyfrowanie danych osobowych;
• zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
• zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
• regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
  • Określenie środków bezpieczeństwa danych powinno zostać dokonane zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania. Środki powinny być poddawane przeglądom i uaktualniane (data protection by design).
  • Należy zapewnić, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania (data protection by default).
  • Zastosowane środki bezpieczeństwa powinny, przy uwzględnieniu czynników wskazanych w pkt. 6.1.1 powyżej, uwzględniać w szczególności zagrożenia wystąpienia:
• sytuacji losowych – takich jak klęski żywiołowe (pożary, powodzie), ekstremalne czynniki środowiskowe (np. temperatura, wilgotność powietrza itd.), zamachy terrorystyczne.
• czynów zabronionych, podejmowanych przez pracowników lub osoby trzecie (np. kradzież, podsłuch, naruszenie środków bezpieczeństwa systemów informatycznych),
• błędów pracowników (np. dopuszczenie do przetwarzania danych osobowych osób nieuprawnionych),
• awarie sprzętu – spowodowane w szczególności zastosowaniem niewłaściwych urządzeń, brakiem prawidłowego serwisowania, starzeniem się nośników ponad datę wskazaną przez producenta itd.
• awarie oprogramowania – spowodowane w szczególności zastosowaniem oprogramowania niezatwierdzonego, brakiem regularnych aktualizacji lub serwisowania itd.
  • Ogólny opis środków bezpieczeństwa, stosowanych przez ADO, został zawarty w specyfikacji środków bezpieczeństwa stanowiącej załącznik do niniejszej Polityki (zał. nr 1).
  • ADO zapewnia, by każda osoba fizyczna działająca z upoważnienia administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, przetwarzała je wyłącznie na polecenie administratora. W tym celu ADO:
    • dopuszcza do przetwarzania danych wyłącznie osoby przeszkolonej i posiadającej upoważnienie – udzielone zgodnie ze wzorem stanowiącym załącznik do niniejszej Polityki (zob. zał. nr 4),
    • prowadzi ewidencję osób upoważnionych stanowiącą załącznik do niniejszej Polityki (zob. zał. nr 5).
  • Jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, ADO przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych stosownie do postanowień art. 35 i n. RODO.

• Administrator Bezpieczeństwa– AB

• Obowiązki AB obejmują:
  • zapewnienie wykonywania przez ADO obowiązków wskazanych w niniejszej Polityce lub powszechnie obowiązujących przepisach, a także informowanie władz ADO o treści oraz zmianach w zakresie owych obowiązków i wszelkich wykrytych nieprawidłowościach,
  • udzielanie i cofanie upoważnień do przetwarzania danych osobowych, a także prowadzenie i aktualizacja ewidencji owych osób, a także ewidencji urządzeń (nośników pamięci) przenośnych,
  • zawieranie umów powierzenia danych osobowych – tam, gdzie jest to konieczne,
  • zapewnienie złożenia przez pracowników oświadczenia o znajomości przepisów o ochronie danych osobowych oraz zobowiązania do zachowania w tajemnicy danych osobowych oraz informacji na temat zabezpieczania danych osobowych,
  • nadzorowanie procesów związanych z przetwarzaniem danych osobowych, realizowanych w obrębie struktury organizacyjnej ADO, w tym:
• obiegu oraz przechowywania dokumentów zawierających dane osobowe;
• fizycznych zabezpieczeń pomieszczeń, w których przetwarzane są dane osobowe, w tym dostępu do tych pomieszczeń oraz kontrolę przebywających w nich osób;
• sposobu zabezpieczenia urządzeń przenośnych, na których przechowywane są dane osobowe;
• sposobu postępowania z nośnikami danych, przeznaczonymi do likwidacji, przekazania podmiotowi nieuprawnionemu do przetwarzania danych lub naprawy;
  • nadzorowanie ASI oraz NZDO, a także wszelkich osób mających dostęp do danych osobowych przetwarzanych przez ADO – w zakresie realizacji ich zadań związanych z ochroną danych osobowych,
  • organizowanie szkoleń pracowników z zakresu bezpieczeństwa przetwarzania danych osobowych,
  • reprezentowanie ADO w kontaktach z Organem Nadzoru, w tym zwłaszcza w związku z prowadzonymi przez Organ Nadzoru kontrolami, postępowaniami administracyjnymi, a także przy konsultacjach oceny skutków planowanego przetwarzania dla ochrony danych osobowych, przy zgłaszaniu przypadków naruszeń ochrony danych osobowych itd.,
  • reprezentowanie ADO w kontaktach z osobami, których dane dotyczą – co obejmuje zwłaszcza pełnienie nadzoru nad przesyłaniem stosownych informacji owym osobom oraz udzielanie odpowiedzi na ich żądania związane z przetwarzanymi przez ADO danymi osobowymi. 
  • opracowanie, aktualizację i przechowywanie niniejszej Polityki wraz z załącznikami oraz powiązanej z nim dokumentacji, obejmującej zwłaszcza:
  • niniejsza Polityka wraz z aneksami, wersjami archiwalnymi itd.,
  • uchwały, zarządzenia, polityki itd. dotyczące ochrony danych osobowych,
  • protokoły z przeprowadzonych kontroli wewnętrznych i zewnętrznych w zakresie ochrony danych osobowych,
  • raporty odnoszące się do stwierdzonych przypadków naruszeń ochrony danych osobowych,
  • oceny skutków przetwarzania dla ochrony danych osobowych,
  • plany archiwizacji danych osobowych i programów służących do ich przetwarzania,
  • umowy zawierane z podmiotami przetwarzającymi w przedmiocie powierzenia danych.
  • Podczas realizacji swych zadań, AB ma prawo do:
    • uzyskiwania wszelkich informacji dotyczących przetwarzanych danych osobowych od wszystkich komórek organizacyjnych,
    • kontrolowania komórek organizacyjnych pod kątem właściwego zabezpieczenia pomieszczeń oraz systemów informatycznych, w których przetwarzane są dane,
    • proponowania ADO rozwiązań dotyczących ochrony danych osobowych,
    • wydawania poleceń kierownikom komórek organizacyjnych w zakresie bezpieczeństwa danych osobowych,
    • żądania od wszystkich pracowników udzielenia wyjaśnień i pomocy w sytuacjach naruszenia bezpieczeństwa danych osobowych lub w związku z nieprawidłowościami lub zagrożeniami związanymi z ochroną danych osobowych.
    • wnioskowania o ukaranie osób winnych naruszenia przepisów i zasad dotyczących ochrony danych osobowych.

• Administrator Systemu Informatycznego – ASI

• ADO celem zapewnienia AB pomocy w zakresie zabezpieczenia danych osobowych za pomocą środków informatycznych – może wyznaczyć Administratora Systemów Informatycznych (ASI).
  • Obowiązki ASI obejmują w szczególności:
    • zapewnienie wykonywania przez ADO obowiązków wskazanych w niniejszej Polityce lub powszechnie obowiązujących przepisach, w szczególności w zakresie informatycznych środków zabezpieczenia danych osobowych – i współdziałanie w tym celu z AB,
    • zapewnienie prawidłowego, ciągłego działania systemów, za pośrednictwem których przetwarzane są dane osobowe, a także zgodności przedmiotowych systemów z niniejszą Polityką oraz obowiązującymi standardami w zakresie bezpieczeństwa informacji,
    • zapewnienie takiej konfiguracji systemów, która będzie optymalna z punktu widzenia umożliwienia ADO wykonywania obowiązków wynikających z niniejszej Polityki oraz przepisów o ochronie danych osobowych,
    • zabezpieczenie systemów przed:
• działaniem złośliwego oprogramowania, w tym zwłaszcza oprogramowania mającego na celu bezprawne uzyskanie dostępu do danych osobowych przez osoby trzecie;
• wszelkimi zagrożeniami pochodzącymi z sieci publicznej;
  • nadzorowanie:
• wykonywania kopii zapasowych, odpowiedniego ich przechowywania oraz okresowego sprawdzania pod kątem ich dalszej przydatności do odtwarzania danych osobowych w przypadku awarii systemu;
• napraw, konserwacji oraz likwidacji nośników danych osobowych ( w tym: urządzeń zawierających takie nośniki, jak np. komputery, telefony itd.);
• stosowania zasady czystego ekranu, polegającej w szczególności na blokowaniu dostępu do urządzeń, za pomocą których możliwe jest uzyskanie dostępu do danych osobowych, na czas nieobecności użytkownika;
  • zapewnienie:
• ochrony fizycznej serwerowni, a także nośników zawierających kopie zbiorów danych osobowych;
• awaryjnego źródła zasilania oraz zabezpieczenia przed zakłóceniami w sieci zasilającej systemów informatycznych służących do przetwarzania danych osobowych;
  • realizację wytycznych AB w zakresie ochrony danych osobowych przetwarzanych z wykorzystaniem środków informatycznych,
  • informowanie AB o wszelkich zauważonych nieprawidłowościach skutkujących obniżeniem poziomu ochrony danych osobowych,
  • szkolenia użytkowników systemu w zakresie procedur i instrukcji zapewniających ochronę danych osobowych,
  • wyjaśnianie – wspólnie z AB – wszystkich zgłoszonych nieprawidłowości i incydentów,
  • zgłaszanie AB wykrytych przypadków naruszeń ochrony danych osobowych.
  • W przypadku braku wyznaczenia ASI, obowiązki ASI wykonuje AB.

• Nadzorcy zasobów danych osobowych – NZDO

• ADO w obrębie każdej komórki organizacyjnej, w której dochodzi do przetwarzania danych osobowych, może wyznaczyć Nadzorców zasobów danych osobowych (NZDO). Nadzorcą zasadniczo powinien być kierownik danej komórki.
  • Do obowiązków Nadzorców zasobów danych osobowych należy:
    • zapewnienie wykonywania przez ADO obowiązków wskazanych w niniejszej Polityce lub powszechnie obowiązujących przepisach w podległej komórce organizacyjnej – i współdziałanie w tym celu z AB,
    • wnioskowanie do ADO o nadanie upoważnień do przetwarzania danych osobowych dla pracowników podległej komórki organizacyjnej, a także niedopuszczanie do czynności związanych z przetwarzaniem osób nie posiadających odpowiedniego upoważnienia,
    • w przypadku utworzenia nowego zbioru danych osobowych ustalenie, kogo dotyczą dane osobowe, jaki jest ich zakres (np. imię i nazwisko, adres zamieszkania, NIP, PESEL itp.), cel przetwarzania oraz komu dane osobowe mają być udostępniane. Wszystkie te informacje powinny zostać przekazane do AB oraz ASI,
    • zgłaszanie AB urządzeń (nośników pamięci) przenośnych, wykorzystywanych w danej jednostce organizacyjnej,
    • zgłaszanie AB wykrytych przypadków naruszeń ochrony danych osobowych.

1. Powierzanie przetwarzania danych osobowych

1. ADO może powierzyć przetwarzanie danych osobowych podmiotowi przetwarzającemu, jak również przyjmować dane osobowe administrowane przez osoby trzecie w powierzenie jako podmiot przetwarzający – w drodze umowy zawartej na piśmie. Podmiot przetwarzający powinien posiadać odpowiednią wiedzę fachową, wiarygodność i zasoby zapewniające wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi powszechnie obowiązujących przepisów i chroniło prawa osób, których dane dotyczą.
   1. Umowa powierzenia powinna określać co najmniej przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora – a także zawierać inne postanowienia wymagane w świetle powszechnie obowiązujących przepisów (w tym zwłaszcza art. 28 ust. 3 RODO).
   1. Przekazanie danych osobowych do państwa trzeciego (nie należącego do Europejskiego Obszaru Gospodarczego) lub organizacji międzynarodowej dopuszczalne jest wyłącznie na zasadach wynikających z powszechnie obowiązujących przepisów.
   1. Wzór umowy o powierzenia przetwarzania danych osobowych, który ADO powinien w miarę możliwości stosować w relacjach z podmiotami przetwarzającymi, stanowi załącznik do niniejszej Polityki(zob. zał. nr 6).
   1. Ewidencja umów powierzenia, zawartych przez ADO (zarówno jako administratora, jak i podmiot przetwarzający), stanowi załącznik do niniejszej Polityki(zob. zał. nr 7).

1. Przetwarzanie danych osobowych; Wykaz budynków, pomieszczeń lub części pomieszczeń, w których przetwarzane są dane osobowe; urządzenia przenośne

1. Przetwarzanie danych osobowych z użyciem stacjonarnego sprzętu komputerowego oraz kartotek odbywa się wyłącznie na obszarze wyznaczonym przez ADO.
   1. Wykaz budynków, pomieszczeń lub części pomieszczeń, w których odbywa się przetwarzanie danych osobowych, stanowi załącznik do niniejszej Polityki(zob. zał. nr 8) – i powinien być na bieżąco aktualizowany przez AB.
   1. Opis zbiorów danych osobowych, przetwarzanych przez ADO, zawarty jest w Rejestrze stanowiącym załącznik do niniejszej Polityki(zob. zał. nr 9).
   1. Przetwarzanie danych osobowych za pomocą urządzeń przenośnych może odbywać się poza obszarem przetwarzania danych wyłącznie za zgodą AB. AB prowadzi ewidencję takich przenośnych urządzeń (zał.  nr 10).
   1. Osoba użytkująca urządzenie przenośne, zawierające dane osobowe, zachowuje szczególną ostrożność podczas jego transportu, przechowywania i użytkowania poza obszarem, o którym mowa w pkt. 11.1 wobec przetwarzanych danych osobowych. W razie utraty, uszkodzenia lub zniszczenia urządzenia – użytkownik niezwłocznie poinformuje o tym AB.

1. Szkolenia

1. Każdy nowo zatrudniony pracownik (bez względu na podstawę zatrudnienia) – przed dopuszczeniem do przetwarzania danych osobowych – podlega przeszkoleniu w zakresie przepisów o ochronie danych osobowych oraz wynikających z nich zadań oraz obowiązków (w tym zwłaszcza w zakresie treści niniejszej Polityki i wskazanej w niej dokumentacji). Dotyczy to także współpracowników, stażystów itd.
   1. Wszyscy użytkownicy podlegają okresowym szkoleniom, stosownie do potrzeb wynikających ze zmian w systemie informatycznym (wymiana sprzętu na nowszej generacji, zmiana oprogramowania) oraz w związku ze zmianą przepisów o ochronie danych osobowych lub zmian wewnętrznych regulacji.
   1. Szkolenia organizuje AB lub ASI.
   1. Uczestnictwo i zakres szkolenia powinny być każdorazowo odpowiednio udokumentowane.

1. Postępowanie na wypadek stwierdzenia naruszenia ochrony danych osobowych

1. Każda osoba, mająca dostęp do danych osobowych ADO, zobligowana jest informować AB o wszelkich przypadkach naruszenia ochrony danych osobowych, jak też zdarzeniach mogących świadczyć o zwiększonym zagrożeniu takiego naruszenia – jak zwłaszcza:
   1. stwierdzenie naruszenia zabezpieczeń danych, w szczególności polegającego na przełamaniu zabezpieczeń fizycznych (np. poprzez zauważenie śladów włamania, przemieszczenia sprzętu, śladów korzystania ze sprzętu przez osoby nieuprawnione itd.) lub informatycznych (np. poprzez zauważenie: (i) braku dostępu do danych pomimo dysponowania stosownymi uprawnieniami; (ii) spowolnienia, niedziałania lub nieprawidłowego działania oprogramowania; (iii) obecności wirusa komputerowego lub innego złośliwego oprogramowania), ujawnieniu haseł dostępowych, otrzymaniu zgłoszenia osoby trzeciej itd.,
   1. wykrycie naruszenia obowiązków związanych z ochroną danych osobowych, wynikających z powszechnie obowiązujących przepisów lub niniejszej Polityki z załącznikami – przez daną osobę lub osoby trzecie,
   1. wykrycie zmiany stanu stanowiska pracy w porównaniu ze stanem pozostawionym,
   1. wykrycie, iż dostęp do danych osobowych uzyskała osoba nieuprawniona.
   1. AB niezwłocznie, przekaże informację o stwierdzonych naruszeniach do wiadomości odpowiednich władz ADO, w terminie wystarczającym do wykonania przez ADO obowiązków wskazanych w pkt. 13.3 i 13.4.
   1. ADO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, zgłasza je Organowi Nadzorczemu – chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Zgłoszenie powinno co najmniej:
      1. opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
      1. zawierać imię i nazwisko oraz dane kontaktowe AB;
      1. opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;
      1. opisywać środki zastosowane lub proponowane przez ADO w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków (np. zmiana haseł, odzyskanie danych osobowych przy wykorzystaniu kopii zapasowej, zastosowanie dodatkowych środków bezpieczeństwa fizycznego, teleinformatycznego lub organizacyjnego itd.).
   1. ADO bez zbędnej zwłoki zawiadamia o naruszeniu osobę, której dane dotyczą – jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności owej osoby. Zawiadomienie powinno zostać sformułowane jasnym i prostym językiem, opisywać charakter naruszenia ochrony danych osobowych oraz zawierać przynajmniej informacje i środki o których mowa w pkt. 13.3.2-4 powyżej.
   1. Zawiadomienie, o którym mowa w pkt. 13.4, nie jest wymagane w następujących przypadkach:
      1. ADO wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
      1. ADO zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, o którym mowa w pkt. 13.4;
      1. wymagałoby ono niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.
   1. Zgłoszenia naruszeń ochrony danych osobowych Organowi Nadzoru, jak również zawiadomienia osób których dane dotyczą – powinny być dokonywane przez AB, po odbyciu konsultacji z władzami ADO.
   1. W razie stwierdzenia naruszenia ochrony danych osobowych, niezależnie od jego zakresu, wagi itd. – AB przeprowadzi postępowanie wyjaśniające, zakończone sporządzeniem stosownego raportu, który należy przekazać do wiadomości władz ADO. Raport ten powinien obejmować co najmniej:
      1. datę i godzinę naruszenia, a także uzyskania przez ADO informacji o naruszeniu,
      1. wskazanie, czy naruszenie zostało zgłoszone Organowi Nadzoru lub osobom których dane dotyczą,
      1. kwestie, o których mowa w pkt. 13.3 powyżej – w postaci możliwie rozbudowanej i uwzględniającej wszelkie ustalenia dokonane po ewentualnym zgłoszeniu naruszenia
      1. propozycję ew. dalszych działań, mających na celu eliminację podobnych naruszeń w przyszłości.
   1. Raport, o którym mowa powyżej, powinien mieć formę pozwalającą Organowi Nadzoru dokonać weryfikacji, że ADO wywiązał się z obowiązków wynikających z powszechnie obowiązujących przepisów.

1. Postępowanie na wypadek klęski żywiołowej

1. Klęską żywiołową jest katastrofa, spowodowana działaniem sił przyrody takich jak ogień, huragan, woda lub ich przejawami.
   1. W przypadku klęski żywiołowej, należy niezwłocznie poinformować AB, a w razie jego nieobecności przełożonego lub władze ADO. W czasie trwania akcji ratunkowej i po jej zakończeniu Administrator Bezpieczeństwa oraz obecni użytkownicy powinni, w miarę możliwości, zabezpieczać dane  osobowe przed nieuprawnionym do nich dostępem.
   1. Po zakończeniu akcji ratunkowej AB sporządzi odpowiedni raport. Postanowienia pkt. 13.7 stosuje się odpowiednio.

1. Postanowienia końcowe

1. W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie przepisy RODO, a także inne powszechnie obowiązujące przepisy.
   1. Użytkownicy zobowiązani są do bezwzględnego stosowania przy przetwarzaniu danych osobowych postanowień zawartych w niniejszej Polityce.
   1. Załącznikami do niniejszej Polityki są następujące dokumenty:
      1. specyfikacja środków bezpieczeństwa (zał. nr 1),
      1. wzór informacji dla osoby, której dane dotyczą (zał. nr 2),
      1. wzory wyznaczenia AB, ASI i NZDO (zał. nr 3),
      1.  wzór upoważnienia do przetwarzania danych osobowych (zał. nr 4),
      1. wzór ewidencji osób upoważnionych do przetwarzania danych osobowych (zał. nr 5),
      1. wzór umowy powierzenia danych osobowych (zał. nr 6),
      1. wzór ewidencji umów powierzenia danych osobowych, zawieranych przez ADO (zał. nr 7),
      1. wykaz budynków, pomieszczeń lub części pomieszczeń, w których odbywa się przetwarzanie danych osobowych (zał. nr 8),
      1. rejestr czynności przetwarzania danych osobowych (zał. nr 9),
      1. ewidencja urządzeń przenośnych (zał. nr 10).
   1. Polityka może być zmieniana przez ADO – o czym należy niezwłocznie poinformować wszystkich zainteresowanych.