http___fertitron.com_politika-za-poveritelnost_1.xml
https___devopsartisan.com_gdpr__2.xml
1.1 2.1 2.2 2.3 2.4 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 9.3 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 53.2 54.1 55.1 56.1 57.1 58.1 58.2 58.3 58.4 59.1 59.2 60.1 61.1 61.2 62.1 62.2 63.1 63.2 63.3 64.1 64.2 64.3 64.4 65.1 65.2 66.1 67.1 68.1 68.2 69.1 70.1 71.1 71.2 72.1 73.1 74.1 74.2 74.3 75.1 76.1 77.1 78.1 79.1 80.1 81.1 81.2 82.1 83.1 83.2 83.3 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 96.1 97.1 98.1 99.1 100.1 100.2 100.3 101.1 102.1 102.2 103.1 104.1 105.1 106.1 107.1 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 122.2 123.1 124.1 125.1 126.1 127.1 127.2 128.1 128.2 129.1 130.1 131.1 132.1 133.1 134.1 134.2 135.1 136.1 136.2 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1
Политика за защита на данните във ФЕРТИТРОН БЪЛГАРИЯ ЕООД ФЕРТИТРОН БЪЛГАРИЯ ЕООД, ЕИК: 131040111, с адрес: ул. „Хаджи Димитър“ №9-11, гр. София, обл. София град, тел.: +359 2 980 72 71 и имейл адрес: info@fertitron.com, прилага в търговските си взаимоотношения с Клиентите настоящите Общи условия, ("Администраторът" или "ФЕРТИТРОН БЪЛГАРИЯ"), ПРЕАМБЮЛ ФЕРТИТРОН БЪЛГАРИЯ, като администратор на лични данни, събира и обработва определена информация за физически лица. Тази информация може да се отнася до служители, управители, клиенти, доставчици, контрагенти, бизнес контакти и други физически лица, с които Администраторът има връзка или иска да установи бизнес контакт. Настоящата политика за защита на личните данни урежда как да бъдат събирани, обработвани и съхранявани личните данни, за да отговарят на стандартите в организацията на Администратора и да са в съответствие със правните изисквания. I.Правно основание Настоящата Политика за защита на личните данни ("Политика") се издава на основание Закона за защита на личните данни и подзаконовите му актове, така както се променят, ("Българското законодателство") и Общия регламент относно защитата на данните (ЕС) 2016/679 ("GDPR"). Българското законодателство и GDPR предвиждат правила как организациите, вкл. ФЕРТИТРОН БЪЛГАРИЯ, трябва да събират, обработват и съхраняват лични данни. Тези правила се прилагат от Администратора независимо дали се отнася до данни, които се обработват електронно, на хартия или на други носители. За да бъде обработването на лични данни в съответствие с правните изискванията, личните данни се събират и използват основателно, съхраняват се сигурно и Администраторът предприема необходимите мерки, за да не бъдат обработваните лични данни обект на незакономерно разкриване. Администраторът на лични данни е запознат с и следва принципите, предвидени в GDPR: -личните данни се обработват законосъобразно, добросъвестно и прозрачно; -личните данни се събират за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; -личните данни са подходящи, свързани с и ограничени до необходимото във връзка с целите, за които се обработват; -личните данни са точни и при необходимост се поддържат в актуален вид; -личните данни се съхраняват във форма, която да позволява идентифицирането на засегнатите лица за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; -личните данни са обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки. II.Цели на Политиката Настоящата Политика цели Администраторът да: -бъде в съответствие с приложимото законодателство по отношение на личните данни и да следва установените добри практики; -установи механизмите за водене, поддържане и защита на отчетните регистри; -установи задълженията на длъжностните лица, обработващи лични данни и/или лицата, които имат достъп до лични данни и работят под ръководството на обработващите лични данни, тяхната отговорност при неизпълнение на тези задължения; -защитава правата на персонала, клиентите и партньорите; -бъде открит как съхранява и защитава личните данни на физическите лица; -установи необходимите технически и организационни мерки за защита личните данни от неправомерно обработване (случайно или незаконно унищожаване, случайна загуба неправомерен достъп, изменение или разпространение, както и от всички други незаконни форми на обработване на лични данни); -бъде защитен при риск от нарушения. III.Обхват Настоящата Политика се прилага по отношение на обработването на лични данни на контрагенти, доставчици, клиенти и партньори, така както са описани в електронните отчетни регистри, установени в съответствие с тази Политика, Българското законодателство и чл. 30 от GDPR ("Регистри на дейностите по обработване"). IV.Събиране на лични данни Категории данни и субекти "Лични данни" са всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („Субект на данни“), а именно: Администраторът събира лични данни по отношение на следните категории лица: -лица, представляващи дружествата, с които Администраторът има или планира да има бизнес взаимоотношения; -лица за контакт в дружествата, с които Администраторът има бизнес взаимоотношения; -лица, които са заинтересовани от получаването на информационни услуги – информационен бюлетин, справочници и др.; -лица, които се регистрират с цел използване на онлайн-магазин. Цели на събирането на данните Администраторът събира личните данни във връзка с изпълнението на следните цели: За изпълнение на дейности, свързани със сключване, съществуване, изменение и прекратяване на договорни правоотношения, вкл. за: -изготвяне на всякакви документи; -за установяване на връзка с лицето за контакт по телефон, факс, имейл или по всякакъв друг законосъобразен начин; -за доставка и/или приемане на стоки/услуги, за комуникация във връзка с предоставяне и/или получаване на стоки/услуги и за предоставяне на свързаното с тях клиентско обслужване; -за водене на счетоводна отчетност във връзка с изпълненията по договори, по които Администраторът е страна; -за обработка на плащания във връзка със сключените договори от Администратора; -за изпращане на важна информация до субектите във връзка с промени в правилата, условията и политиките на Администратора и/или друга административна информация; За маркетингови цели – след получаване на изрично съгласие от субектите на лични данни; За статистически цели - след получаване на изрично съгласие от субектите на лични данни; Събиране на данните Данни на контрагенти (вкл. физически лица, управители, представители и/или лица за контакт на юридическото лице по търговски договор) Личните данни за всяко лице се предоставят доброволно от самите лица и се събират от Администратора в изпълнение на нормативно задължение, във връзка със сключването на договор и/или изпълнения на задълженията по сключен договор съгласно разпоредбите на Закона за задълженията и договорите, Търговския закон, Закона за счетоводството, Закона за данъка добавена стойност и др. и условията посочени в търговски договор със съответния клиент чрез: хартиен носител-писмени документи (вкл. пълномощни, договори, банкова информация и др.), по електронна поща- предоставени във връзка с изпълнението на граждански или търговски договор и/или чрез попълване на регистрационна форма. Лицата се уведомяват за разпоредбите на тази Политика предварително или в момента на получаване на данните им. V.Законни интереси, преследвани от Администратора Във връзка с обработване на данните на управителите и контрагенти: Обработването на данните се извършва на основание законен интерес и във връзка със сключването, съществуването, изменението и прекратяването на търговски и граждански договори при прилагането и изпълнение на нормативните изисквания на Търговския закон, Закона за задълженията и договорите, Кодекса за социално осигуряване, Данъчно-осигурителен процесуален кодекс, Кодекса на застраховането, Закон за данъците върху доходите на физическите лица, Закона за счетоводството и др. VI.Политика относно „бисквитките“ „Бисквитката“ е информация, подобна на маркер, която се съхранява на твърдия диск на компютъра Ви от Вашия уеб браузър, когато посещавате електронна страница. Наред с други онлайн услуги, използваме „бисквитки“ (включително във връзка с услугите, предоставяни от Google Анализ, както е описано по-горе в раздел „информация, която събираме за Вас“), за да получи определена потребителска информация относно това как и кога са разгледани определени раздели на Страницата ни, както и колко хора са ги посетили. Можете да настроите браузъра си да откаже, премахне или блокира „бисквитки“ или да Ви покаже, когато се генерира „бисквитка“, без това да засяга ползването на повечето функции на Страницата. За повече информация относно „бисквитките“, моля, посетете: www.allaboutcookies.ogr. „Бисквитката“ е малък файл с букви и цифри, който се запазва на Вашия браузър или на твърдия диск на Вашия компютър, ако сте се съгласили. „Бисквитките“ съдържат информация, която се прехвърля на твърдия диск на Вашия компютър. Ние използваме следните „бисквитки“: - Строго необходими „бисквитки“: Това са „бисквитки“, които са ноебходими за функционирането на нашия Сайт. Те включват например „бисквитки“, които Ви позволяват да влизате в защитените зони на нашия Сайт. - Аналитични/ „бисквитки“ за ефективност: Тези „бисквитки“ ни позволяват да разпознаваме и отброяваме посетителите на нашия Сайт и да видим как го ползват те. Тази „бисквитка“ ни помага да подобрим начина, по който функционира нашия уебсайт. - Функционални „бисквитки“: Тези „бисквитки“ записват Вашето посещение на нашия Сайт, посетените от Вас страници и връзките, които сте проследили. Ние ще използваме тази информация, за да направим нашия Сайт и рекламите, предлагани на него, по-подходящи за вашите интереси. Също така ние може да споделим тази информация с трети страни с тази цел. Моля, имайте предвид, че трети страни могат също да използват „бисквитки“, върху които ние нямаме контрол. Тези „бисквитки“ може да са само аналитични „бисквитки“ за ефективност или насочващи „бисквитки“. Ако не искатее да използваме „бисквитки“, както сме описали по-горе, или ако промените решението си, след като вече сте се съгласили и използването на „бисквитки“, Вие можете на изтриете и блокирате „бисквитките“ на този Сайт чрез Вашия браузър. Ако използвате настройките на Вашия браузър, за да блокирате всички „бисквитки“ (включително основните „бисквитки“), части от нашия уебсайт може да не фунционират. VII. Анализ на уеб пространството Нуждаем се от статистическа информация за използването на нашата уеб-страница, за да я направим по-достъпна, да извършваме измервания на обхвата и да правим пазарни проучвания. За тази цел използваме инструментите за уеб анализ, описани в този раздел. Потребителските профили, създадени от тези инструменти, с помощта на аналитични бисквитки или чрез оценка на лог файловете, не съдържат лични данни. Инструментите или изобщо не използват IP адресите на потребителите, или ги съкращават незабавно след събирането им. Доставчиците на инструментите обработват данните само като обработващи личните данни според нашите указания, а не за собствени цели. По-долу ще намерите информация за всеки доставчик на инструмент и как можете да възразите срещу събирането и обработването на лични данни чрез инструмента. Следва да имате предвид, че при инструментите, които използват бисквитки за отказ, функцията за отказ е свързана с устройството или браузъра и, следователно, е валидна за използваното в момента крайно устройство или браузър. Ако използвате няколко крайни устройства или браузъра, трябва да изберете функцията за отказ на всяко крайно устройство и във всеки използван браузър. Освен това, като цяло можете да предотвратите създаването на потребителски профили, като деактивирате използването на бисквитки. Google Analytics Google Analytics се предлага от Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA ("Google"). Ползваме Google Analytics с предлаганата от Google допълнителна функция за анонимизиране на IP адресите. Google съкращава IP адреса още в рамките на ЕС и само в изключителни случаи в САЩ, като и в двата случая записва само съкратени IP адреси. Можете да възразите срещу събирането и обработването на данните ви, като изтеглите и инсталирате приставка за браузър от следния линк: http://tools.google.com/dlpage/gaoptout?hl=en VIII.Прозрачност. Права на лицата, чиито данни се обработват от Администратора Прозрачност и условия за упражняване на правата на лицата Администраторът предоставя информация на лицата в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Администраторът се стреми да гарантира, че лицата са запознати относно обработваните от него лични данни и, че лицата изцяло и напълно разбират и са информирани във връзка с обработването в съответствие с изискванията на GDPR и Българското законодателство. Администраторът предоставя информацията на лицата писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако лицето е поискало това, информацията може да бъде дадена устно, при положение че идентичността на лицето е доказана с други средства. Администраторът предоставя на лицата безплатно информация относно действията, предприети във връзка с искане относно правото им на достъп, коригиране, изтриване, ограничаване на обработването, преносимост, възражение и автоматизирано вземане на решения, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира лицето за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато съответно лице подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако лицето не е поискало друго. Ако Администраторът не предприеме действия по искането, Администраторът уведомява лицето без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Когато исканията на лицето са явно неоснователни или прекомерни, по-специално поради своята повторяемост, Администраторът може или: -да наложи разумна такса, като взема предвид административните разходи за предоставяне на информацията или комуникацията или предприемането на исканите действия или -да откаже да предприеме действия по искането. Право на достъп на лицата Всяко лице има право да получи от Администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: -целите на обработването; -съответните категории лични данни; -получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни (вкл. в трети държави или международни организации); -когато е възможно, предвиденият срок, за който ще се съхраняват данните, а ако това е невъзможно, критериите, използвани за определянето на този срок; -съществуването на право да се изиска от Администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със засегнатите лицата, или да се направи възражение срещу такова обработване; -правото на жалба до Комисията за защита на личните данни; -когато личните данни не се събират от самите лица, всякаква налична информация за техния източник; -съществуването на автоматизирано вземане на решения, вкл. профилирането, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за лицата. Когато личните данни се предават на трета държава или на международна организация, лицата имат право да бъдат информирани относно подходящите гаранции във връзка с предаването. Администраторът предоставя на лицето копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от лицата, Администраторът може да наложи разумна такса въз основа на административните разходи. Когато лицето подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако лицето не е поискало друго. Право на коригиране Всяко лице, чиито данни се обработват от Администратора, има право да поиска от Администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването лицето има право непълните лични данни да бъдат допълнени. Право на изтриване (право „да бъдеш забравен“) Всяко лице, чиито данни се обработват от Администратора, има правото да поиска от Администратора изтриване на свързаните с него лични данни без ненужно забавяне, а Администраторът има задължението да изтрие без ненужно забавяне личните данни, когато: -личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин; -лицето оттегли своето съгласие, върху което се основава обработването на данните, и няма друго правно основание за обработването; -лицето възрази срещу обработването и няма законни основания за обработването, които да имат преимущество; -личните данни са били обработвани незаконосъобразно; -личните данни трябва да бъдат изтрити с цел спазването на правно задължение, което се прилага спрямо администратора; -личните данни са били събрани във връзка с предлагането на услуги на информационното общество. Когато Администраторът е направил личните данни обществено достояние и е задължен съгласно предходния параграф да изтрие личните данни, той, като отчита наличната технология и разходите по изпълнението, предприема разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че засегнатото лице е поискало изтриване от тези администратори на всички връзки, копия или реплики на неговите лични данни. Право на ограничаване на обработването Всяко лице, чиито данни се обработват от Администратора, има право да изиска от Администратора ограничаване на обработването, когато се прилага едно от следното: -точността на личните данни се оспорва от лицето, за срок, който позволява на Администратора да провери точността на личните данни; -обработването е неправомерно, но субектът на данните не желае личните данни да бъдат изтрити, а изисква вместо това ограничаване на използването им; -Администраторът не се нуждае повече от личните данни за целите на обработването, но субектът на данните ги изисква за установяването, упражняването или защитата на правни претенции; -субектът на данните е възразил срещу обработването в очакване на проверка дали законните основания на Администратора имат преимущество пред интересите на субекта на данните. Когато обработването е ограничено съгласно горния параграф, такива данни не се обработват, с изключение на тяхното съхранение, само със съгласието на субекта на данните или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице или поради важни основания от обществен интерес. Когато субект на данните е изискал ограничаване на обработването, Администраторът го информира преди отмяната на ограничаването на обработването. Задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването Администраторът съобщава за всяко извършено коригиране, изтриване или ограничаване на обработване на всеки получател, на когото личните данни са били разкрити, освен ако това е невъзможно или изисква несъразмерно големи усилия. Администраторът информира субекта на данните относно тези получатели, ако субектът на данните поиска това. Право на преносимост на данните Субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на Администратора, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от Администратора, когато (i) обработването е основано на съгласие във връзка с определени цели или на договорно задължение на субекта или предприемане на стъпки преди сключване на договор и (ii) обработването се извършва по автоматизиран начин. Когато упражнява правото си на преносимост, субектът на данните има право да получи пряко прехвърляне на личните данни от един администратор към друг, когато това е технически осъществимо. Право на възражение Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него (когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия на Администратора, или обработването е за целите на легитимните интереси на Администратора или на трета страна), включително профилиране. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции. Когато се обработват лични данни за целите на директния маркетинг, субектът на данни има право по всяко време да направи възражение срещу обработване на лични данни, отнасящо се до него за този вид маркетинг, което включва и профилиране, доколкото то е свързано с директния маркетинг. Когато субектът на данни възрази срещу обработване за целите на директния маркетинг, обработването на личните данни за тези цели се прекратява. Най-късно в момента на първото осъществяване на контакт със субекта на данните, той изрично се уведомява за съществуването на правото по предходните параграфи, което му се представя по ясен начин и отделно от всяка друга информация. IX.Технически и организационни мерки за защита на данните Защитата на данните на хартиено копие, както и на електронен носител от неправомерен достъп, повреждане, изгубване или унищожаване се осигурява посредством поредица от вътрешно регулирани технически и организационни мерки. X.Трансфер на лични данни Към настоящия момент Администраторът не осъществява трансфер на лични данни в други страни в или извън Европейския съюз. XI.Нарушения. Уведомяване за нарушения Нарушения Нарушение на сигурността на данни възниква, когато личните данни, за които ФЕРТИТРОН БЪЛГАРИЯ отговаря, са засегнати от инцидент със сигурността, в резултат на който се нарушава поверителността, наличието или целостта на личните данни. В този смисъл, нарушение на данните възниква, когато има нарушение на сигурността, водещо до инцидентно или незаконно унищожаване, загуба, изменение, нерегламентирано разкриване на данни, които се предават, съхраняват или по друг начин се обработват. В случай на нарушение на сигурността на личните данни незабавно следва да се уведоми на имейл info@fertitron.com Оценка на нарушенията След като съответният служител на ФЕРТИТРОН БЪЛГАРИЯ получи информация за извършено нарушение, то трябва да определи дали конкретното събитие представлява нарушение на лични данни и да уведоми управителите на Администратора за събитието (в случай, че те не знаят). В случай на нарушение на сигурността на личните данните, което съществува вероятност да породи риск за правата и свободите на физическите лица, Администраторът (чрез съответния служител), без ненужно забавяне и когато това е осъществимо-не по-късно от 72 часа след като е разбрал за него, уведомява за нарушението Комисията за защита на личните данни. Когато и доколкото не е възможно информацията да се подаде едновременно, информацията може да се подаде поетапно без по-нататъшно ненужно забавяне. Когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, Администраторът без ненужно забавяне, съобщава на субекта за нарушението. Администраторът документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението, последиците от него и предприетите действия за справяне с него. XII.Унищожаване Счетоводната и търговската информация, както и всички други сведения и документи от значение за данъчното облагане и задължителните осигурителни вноски се съхраняват от Администратора в следните срокове: -ведомости за заплати - 50 години; -счетоводни регистри и финансови отчети-10 години; -документи за данъчно-осигурителен контрол-5 години след изтичане на давностния срок за погасяване на публичното задължение, с което са свързани; -всички останали носители-5 години, доколкото по закон не е предвиден друг срок. След изтичането на срока за съхранението им носителите на информация (хартиени или технически), които не подлежат на предаване в Националния архивен фонд, могат да се унищожават. След приключване на срока за съхранение данните се унищожават възможно най-бързо посредством унищожаването на хартиените носители чрез рязане чрез машина тип „Шредер“ (шредиране), а на техническия носител-чрез заличаване и изтриване на съответните файлове от сървъра/компютрите на Дружеството. Допълнителни разпоредби По смисъла на настоящите вътрешни правила: ”Администратор на лични данни” е "ФЕРТИТРОН БЪЛГАРИЯ", еднолично дружество с ограничена отговорност, с ЕИК 131040111, като действия от името на администратора осъществява Гергана Мървакова, администратор база данни. „Обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване; Настоящaта Политика подлежи на утвърждаване и довеждане до знанието на лицата, които касаят, със заповед на управителя на Администратора.
1.1 2.1 2.2 3.1 4.1 5.1 5.2 6.1 7.1 7.2 8.1 9.1 10.1 10.2 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 25.2 26.1 26.2 27.1 27.2 28.1 29.1 30.1 30.2 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 38.2 39.1 40.1 40.2 41.1 41.2 42.1 42.2 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 62.2 63.1 63.2 64.1 65.1 65.2 66.1 66.2 66.3 67.1 68.1 69.1 70.1 71.1 71.2 72.1 73.1 73.2 74.1 75.1 76.1 77.1 77.2 78.1 79.1 80.1 81.1 82.1 83.1 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 92.2 93.1 93.2 94.1 94.2 94.3 95.1 96.1 97.1 98.1 98.2 99.1 99.2 100.1 100.2 101.1 101.2 102.1 102.2 103.1 103.2 103.3 104.1 105.1 106.1 107.1 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 115.2 116.1 116.2 117.1 118.1 118.2 118.3 119.1 120.1 121.1 121.2 121.3 121.4 121.5 121.6 121.7 122.1 123.1 124.1 125.1 125.2 126.1 127.1 127.2 128.1 129.1 130.1 130.2 131.1 132.1 132.2 133.1 134.1 134.2 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1
1.1 Context of the General Data Protection Regulation (‘GDPR’) The General Data Protection Regulation no. 679/2016, replaces the EU Directive of 1995 on data protection and replaces the legislation of each Member State, prepared according to the Directive 95/46/EC on data protection. Its aim is to protect the ‘rights and freedoms’ of natural persons and to ensure that personal data is processed only after the purpose of processing has been brought to their attention and, whenever possible, that data is processed with their explicit consent. 1.2 Scope of application – General information Material scope – The GDPR applies to the processing of personal data wholly or partly by automated means and to the processing other than by automated means of personal data which form part of a filing system or are intended to form part of a filing system. Territorial scope – The GDPR applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless of whether the processing takes place in the Union or not. This Regulation applies to the processing of personal data of data subjects who are in the Union by a controller or processor not established in the Union, where the processing activities are related to: (a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or (b) the monitoring of their behaviour as far as their behaviour takes place within the Union. This Regulation applies to the processing of personal data by a controller not established in the Union, but in a place where Member State law applies by virtue of public international law. 1.3 Definitions ‘GDPR’ – General Data Protection Regulation, 679/2016 ‘Main establishment’ – the central establishment of the controller (the place where the unit management/controller takes the main decisions on the purpose and means of its data processing activities). The main establishment of a processor in the EU shall be its administrative office. ‘Personal data’ – means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person; ‘Special categories of personal data’ – personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs or trade union membership and the processing of genetic data, biometric data for the unique identification of a natural person, health data or data on the sexual life or sexual orientation of a natural person. ‘Controller’ – unit that determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law. ‘Processor’ – a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller. ‘Data subject’ – any living person who is the subject of personal data held by the controller. ‘Processing’ means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction; ‘Profiling’ means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person’s performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements. ‘Personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed. ‘Consent’ of the data subject means any freely given, specific, informed and unambiguous indication of the data subject’s wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her. ‘Third party’ means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data. ‘Data record system’ means any structured set of personal data accessible according to specific criteria, whether centralized, decentralized or distributed according to functional or geographical criteria; The board of directors and the management of Bittnet Group S.A., based in Bucharest, at B-dul Timisoara nr 26, Plaza Romania Offices, Et 1, district 6, Bucharest, undertakes to comply with all relevant EU and Member State laws on personal data and the protection of the ‘rights and freedoms’ of persons whose information the controller collects and processes, in accordance with the General Data Protection Regulation (GDPR). GDPR compliance is described herein and by other relevant policies, such as the Data Protection Policy (PIMS) together with the related processes and procedures. The GDPR shall be applied by any person within BNET, processing personal data, including any person within BNET, processing the personal data of patients, employees, providers and partners, as well as any other personal data that BNET processes, from any source. The Data Protection Officer is in charge of the annual review of the Register of Data Processing Activities on any changes to BNET’s activities (determined by changes in the data mapping register) and any additional requirements identified by data protection impact assessments. This register shall be available upon demand of the supervisory authority. This policy applies to all employees/staff members (and stakeholders) within BNET, such as outsourced providers. Any breach of the GDPR will be considered in accordance with BNET’s disciplinary policy and may also be deemed a misdemeanor, in which case the matter will be reported to the competent authorities, as soon as possible. The partners and any third parties working with or for BNET, who have or may have access to personal data, are expected to have read, understood and to comply with this policy. In order to access personal data held by BNET, any third party shall be required to sign a non-disclosure agreement. 3.1 BNET acts as data controller in the GDPR context. 3.2 The company management and all employees with management or supervisory roles within the BNET are responsible for developing and encouraging information management practices within the company; the responsibilities are set out in the individual job descriptions. 3.3 The controller shall appoint the Data Protection Officer (DPO), ensuring that, if this person is an employee, none of the tasks assigned to him or her generates a conflict of interest and that this person has the appropriate moral qualities, knowledge and experience to take responsibility for continued compliance with the personal data protection policy throughout the unit. The controller shall prepare the job description and detailed duties for the Data Protection Officer (DPO). The Data Protection Officer (DPO) shall be in charge of and supervise that: 3.4.1 The Controller prepares and enforces this policy under the GDPR provisions. 3.4.2 The Controller manages the security and risks of policy compliance. 3.5 The Data Protection Officer has specific duties for procedures, such as the procedure to request access for the data subject and acts as the first point of contact for employees/staff members requesting clarifications on any matter of data protection compliance. 3.6 All employees of the Controller, who process personal data, shall be required to comply with data protection legislation. 3.7 The BNET training policy establishes specific requirements for the training and awareness of its own staff in relation to specific roles with respect to data protection. 3.8 BNET employees/partners shall ensure that the personal data they have provided to the controller is accurate and up to date. The processing of personal data must be carried out in accordance with the data protection principles set out in Article 5 of the GDPR. The BNET policy and procedures are designed to ensure compliance with the principles. 4.1 Personal data must be processed lawfully, fairly and in a transparent manner. Lawful – a legal basis is identified before personal data can be processed. This/these comprise/s the processing requirement(s) (e.g. written consent of the data subject). Fair– in order for the processing to be fair, the data controller must make certain information available to data subjects as practically as possible. This applies if personal data have been obtained directly from data subjects or other sources. ‘Transparency’ – the Controller shall emphasize that privacy notices are understood and accessible. The information must be communicated to the data subject in an intelligible form, using clear and simple/accessible language. The specific information to be provided to the data subject must include at least: 4.1.1 The identity and contact details of the controller and, as applicable, of the controller’s representative; 4.1.2 the contact details of the Data Protection Officer; 4.1.3 The purpose of the processing for which the personal data is intended, as well as the legal ground for processing; 4.1.4 the period for which the personal data will be stored; 4.1.5 the existence of the rights to request access, rectification, deletion or objection to the processing and the requirements (or lack thereof) to exercise said rights, such as its effect on the lawfulness of prior processing; 4.1.6 the personal data categories in question; 4.1.7 the recipients or categories of recipients for the personal data, as applicable; 4.1.8 where applicable, that the controller intends to transfer personal data to a recipient in a third country and the level of protection granted to said data; 4.1.9 any additional information necessary to ensure proper processing. 4.2 Personal data may only be collected for specific, explicit and legitimate purposes The data obtained for the specified purposes shall not be used for a purpose other than that which has been officially notified to the supervisory authority as part of the controller’s processing register. The personal data should be adequate, relevant and limited to what is necessary for the processing purposes. 4.3.1 The Data Protection Officer shall ensure that the controller does not collect information that is not strictly necessary for the purpose for which it was obtained. 4.3.2 All forms of data collection (electronic or paper), including requests for data collection in new computer systems, must include a statement of fair processing or a link to the privacy policy to be approved by the data protection officer. 4.3.3 The Data Protection Officer shall ensure that, annually, all methods of data collection are reviewed by the internal audit to ensure that the data collected are still adequate, relevant and limited. 4.4 The inaccurate personal data, considering the purposes of its processing, shall be deleted or rectified, immediately (‘accuracy’). 4.4.1 The data stored by the controller must be reviewed and updated, as appropriate. 4.4.2 The Data Protection Officer shall be in charge of ensuring that all staff members are trained in the importance of collecting and maintaining accurate data. 4.4.3 The data subject shall ensure that the data held by the controller is accurate and up to date. Completion of a registration form or an application by a data subject shall include a statement that the data contained therein is correct at the time of submission. 4.4.4 The employees/patients/others should be required to notify the controller to allow the proper update of personal records. The controller shall ensure that any notice of changes is recorded and operated. 4.4.5 The Data Protection Officer shall ensure that appropriate procedures and policies are in place to keep personal data accurate and up-to-date, taking into account the volume of data collected, the potential speed of change and any other relevant factors. 4.4.6 At least once a year, the Data Protection Officer shall examine the stored data of all data subjects processed by BNET in the data inventory and shall identify any data that is no longer needed in the context of the registered purpose. This data shall be securely deleted/destroyed in accordance with the procedure for securely deleting/destroying storage media. 4.4.7 The Data Protection Officer shall be in charge of responding to requests for rectification from data subjects within one month (Data Access Request Procedure). It can be extended for another two months, for complex requests. If BNET decides not to comply with the request, the Data Protection Officer should respond to the data subject to explain his/her reasoning and to inform him/her of their right to lodge a complaint with the supervisory authority and to seek redress. 4.4.8 The Data Protection Officer shall be in charge of taking appropriate measures, in the event that third party organizations have received inaccurate or outdated personal data, informing them that such data is inaccurate and/or expired and should not be used; The Data Protection Officer shall also be in charge of submitting any correction of personal data to the third party, if necessary. 4.5 Personal data must be stored in a form which allows identification of the data subject only for as long as is necessary for processing. 4.5.1 If personal data is stored beyond the date of processing, it shall be minimized/encrypted/pseudonymized to protect the identity of the data subject in the event of a data breach. 4.5.2 Personal data shall be stored in accordance with the record keeping procedure and, in the event that the retention period has been exceeded, this data must be securely destroyed. 4.5.3 The Data Protection Officer must specifically approve any storage of data that exceeds the retention periods defined in the record keeping procedure and must ensure that it is justified clearly and in accordance with legal data protection requirements. The approval herein shall be made in writing. 4.6 Personal data must be processed in a manner that ensures adequate security. The Data Protection Officer shall carry out a risk assessment, taking into account all the circumstances of the processing operations performed by the controller. In determining the nature of the processing security, the data protection officer must take into account the extent of any damage or loss that could be caused to the data subjects in the event of a security breach. In assessing the appropriate technical measures, the data protection officer shall take into account, at least, the following: Attention should be paid to the risks posed by data processing, which may lead to harm to individuals whose data is being processed. 4.7 Responsibility in the management/governance of the personal data processing activity. The GDPR includes provisions that promote the responsibility and management/ governance of the personal data processing activity. They complement the transparency requirements of the GDPR and are demonstrated by the implementation of data protection policies, the implementation of technical and organizational measures, as well as the adoption of techniques such as data protection from the time of design, by conducting impact assessments on data protection, infringement notice procedures and incident response plans. 5.1 The data subjects have the following rights with regard to the processing of data and the recording of such data: 5.1.1 To request access to the information held and regarding those to whom it was disclosed. 5.1.2 To object to processing that could cause damage or injury. 5.1.3 To object to processing for direct marketing purposes. 5.1.4 To be informed about the automated individual decision-making process, including profiling. 5.1.5 The data subject has the right not to be subject to a decision based solely on automatic processing, including profiling, which has legal effects concerning the data subject or similarly affects him or her to a significant extent. 5.1.6 To claim compensation in the event of damage as a result of any GDPR breach. 5.1.7 To take measures to rectify, block, delete, including the right to be forgotten or to destroy inaccurate data. 5.1.8 To ask the supervisory authority to assess whether a provision of the GDPR has been breached. 5.1.9 The data subject has the right to receive personal data concerning him or her which he or she has provided to the controller in a structured, commonly used and automatically readable format and has the right to transmit this data to another controller without obstacles from the controller to whom the personal data were provided. 5.1.10 The data subject has the right to object to the creation of profiles without the existence of a consent. 5.2 BNET shall ensure that the persons concerned can exercise these rights: 5.2.1 The data subjects may submit requests for access to data, according to the Procedure for requesting the access of the data subject; this procedure also describes how BNET will ensure that its response to the data access request complies with GDPR requirements. 5.2.2 The data subjects have the right to lodge a complaint with BNET regarding the processing of their personal data; the requests from the data subjects and the way in which the complaints have been resolved shall be made in accordance with the complaint procedure. 6.1 By the consent of the data subject with regard to the processing of personal data, the controller means any manifestation of free, specific, informed and unambiguous will of the data subject by which he/she accepts the processing, by an unequivocal statement or action. The data subject can withdraw the consent at any time. 6.2 By giving consent, the controller understands that the data subject has been fully informed about the processing of personal data, that he or she is in an appropriate state of mind to do so and has been obtained without exerting pressure on him or her. Consent obtained under pressure or based on misleading information shall not constitute a valid basis for processing. 6.3 There must be active communication between the parties to demonstrate active consent. Consent cannot be inferred from a lack of response to a communication. The controller must be able to demonstrate that he/she has obtained consent for the processing operation. 6.4 For sensitive data, explicit written consent of the data subjects must be obtained, unless there are legal grounds for alternative processing. 6.5 In most cases, consent for the processing of personal and sensitive data is usually obtained by the controller using standard consent statements. 7.1 All employees/staff members shall ensure that any personal data held by the controller and for which he/she is in charge is kept secure and is not disclosed, in any way, to a third party, unless such third party has been specifically authorized to receive this information and entered into a non-disclosure agreement. 7.2 Any personal data must be accessible only to those who need to use it and access can only be granted in accordance with the Access Control Policy. All personal data must be processed and stored securely. 7.3 Care must be taken that the PC screens and terminals are visible only to the authorized employees/personnel of the controller. All employees/staff members are required to enter into an acceptable use agreement before being allowed access to organizational information of any kind, which details the rules regarding the time when the screen enters ‘idle’, ‘lock’) mode. 7.4 Records in physical format may not be left in locations where they may be accessed by unauthorized personnel and may not be removed from the premises without explicit (written) consent. As soon as the physical records are no longer required for everyday customers, they must be safely destroyed in accordance with a certain procedure. 7.5 Personal data may only be deleted or deleted in accordance with the record keeping procedure. Physical records that have expired must be shredded and disposed of as ‘confidential waste’. 7.6 The ‘off-premises’ processing of personal data poses a higher potential risk than the loss, theft or damage of personal data. The staff must be specifically authorized to process data outside the premises. 8.1 The controller must ensure that personal data is not disclosed to unauthorized third parties, which include family members, friends, government agencies and, in certain circumstances, the police. All employees/staff members should be careful when asked to disclose another person’s personal data to a third party and will be required to undergo specific training to enable them to effectively manage such risks. It is important to take into account whether or not the disclosure of information is relevant to the operation of the controller. 8.2 The GDPR allows certain disclosures without consent, as long as the information is requested for one or more of the following purposes: 8.2.1 – to protect national security; 8.2.2 – to prevent or detect crime, including for detention or prosecution of offenders; 8.2.3 – to fulfil regulatory functions (includes health, safety and welfare of persons at the workplace); 8.2.4 – to prevent serious injury to a third party; 8.2.5 – to protect the vital interests of the individual, it refers to the situations of ‘life and death’. 8.3 All requests to provide data for one of these reasons must be supported by adequate supporting documents and any such disclosure must be specifically authorized by the Data Protection Officer. 9.1 The controller shall not keep personal data in a form that allows the identification of data subjects, for a longer period than necessary, in relation to the purpose(s) for which the data was originally collected. 9.2 The controller may store data for longer periods if personal data will be processed exclusively for archiving purposes in the public interest, for scientific or historical research purposes or for statistical purposes, subject to the implementation of technical measures, and appropriate organizational arrangements for the protection of the rights and freedoms of the data subject. 9.3 The retention period for each category of personal data will be set out in the record keeping procedure, together with the criteria used to establish this period, including the legal obligations of the controller who must retain the data. 9.4 Data retention procedures and data deletion procedures will apply in all cases and for all types of data subjects. 9.5 Personal data must be securely deleted in accordance with the sixth principle of the GDPR – processed in an appropriate manner to maintain security, thus protecting the ‘rights and freedoms’ of data subjects. Any deletion of data will be done in accordance with the deletion procedure. 10.1 All transfers of data from the European Economic Area (EEA) to non-European Economic Area countries (referred to in the GDPR as ‘third countries’) are illegal, unless there is an ‘adequate level of protection of the fundamental rights of data subjects’. The transfer of personal data outside the EEA is prohibited, unless one or more of the specified guarantees or exceptions apply: 10.1.1 Adequacy decision The transfer of personal data to a third country or international organization may take place when the Commission has decided that the third country, territory or one or more specified sectors of that third country or international organization concerned provide an adequate level of protection. Transfers made under these conditions do not require special authorizations. Countries that are members of the European Economic Area (EEA) but not the EU are accepted as fulfilling the requirements for an adequacy decision. A list of countries that currently meet the Commission’s adequacy requirements is published in the Official Journal of the European Union: http://ec.europa.eu/justice/dataprotection/international-transfers/adequacy/index_en.htm 10.1.2 Privacy Shield If BNET wishes to transfer personal data from the EU to a US organization, it should verify that the organization is registered for the Privacy Shield with the U.S. Department of Commerce. The obligation applicable to companies registered in the Privacy Shield is included in the Data Privacy Policy. The U.S. Department of Commerce is responsible for managing and administering the Privacy Shield and ensuring that organizations honour their commitments. In order to be certified, companies must have a privacy policy in accordance with the principles of privacy, e.g. use, storage and transfer of personal data in accordance with a strong set of data protection rules and guarantees. The protection of personal data applies regardless of whether the personal data relate to an EU resident or not. Organizations must renew their ‘membership’ in the Privacy Shield every year. If not, they can no longer receive and use personal data in the EU. Assessment of adequacy by the data controller When assessing adequacy, the data transfer controller in the UK should take into account the following factors: 10.1.3 Mandatory corporate rules BNET may adopt approved mandatory corporate rules for data transfer outside the EU. This requires the submission to the competent supervisory authority for approval of the rules on which BNET is trying to base itself. 10.1.4 Standard contract terms BNET may adopt approved standard contractual clauses for the transfer of data outside the EEA. If BNET adopts the standard agreement terms approved by the competent supervisory authority, then there is an automatic recognition of the adequacy. 10.1.5 Exemptions In the absence of an adequacy decision, the transfer of personal data to a third country or to an international organization shall take place only under the following conditions: 11.1 The Controller is required to develop a Data Processing and DATA MAPPING Record System, as part of its strategy to address risks and opportunities in its GDPR compliance project. The record keeping system for data processing and mapping activities refers to processes that use personal data: 11.2 The controller is aware of any risks associated with the processing of certain types of personal data. 11.2.1 The controller assesses the level of risk for processing the personal data of the data subjects. Data protection impact assessments (DPIA) are carried out taking into account the diversity of the data processed, the categories of internal risk and that concerning the transfer to third parties and/or the processing by proxies. 11.2.2 The controller must manage any risks identified by the risk assessment to reduce the likelihood of non-compliance with this policy. 11.2.3 Given the nature, scope, context and purposes of the processing, where a type of processing, in particular one based on the use of new technologies, is likely to pose a high risk to the rights and freedoms of natural persons, the controller carries out, before processing, an assessment of the expected processing impact on the protection of personal data. A single assessment may address a set of similar processing operations that pose similar high risks. 11.2.4 If the result of the DPIA reveals that the controller is about to start processing personal data that could potentially cause harm and/or damages to data subjects, the decision to start processing rests with the Data Protection Officer. 11.2.5 The Data Protection Officer must report this situation to the supervisory authority, if there are significant concerns, either in relation to damages and/or harm, or with the integrity of the data. 11.2.6 Choosing appropriate Security Standards and applying them to reduce the level of risk associated with the processing of individual data to an acceptable level. This document has been approved by the Data Protection Officer, who has the task of reviewing this procedure in accordance with the revised requirements of the General Data Processing Regulation (EU GDPR). This policy was approved by the BNET manager on May 25th, 2020. General Manager, Mihai LOGOFATU Be the first to hear about our latest courses by signing up to our mailing list. Contact © DevOps Artisan 2022.