http___fertitron.com_bg_politika-za-poveritelnost_1.xml
https___accountantonline.ie_about_gdpr-policies-and-procedures_.xml
1.1 2.1 2.2 2.3 2.4 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 9.3 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 53.2 54.1 55.1 56.1 57.1 58.1 58.2 58.3 58.4 59.1 59.2 60.1 61.1 61.2 62.1 62.2 63.1 63.2 63.3 64.1 64.2 64.3 64.4 65.1 65.2 66.1 67.1 68.1 68.2 69.1 70.1 71.1 71.2 72.1 73.1 74.1 74.2 74.3 75.1 76.1 77.1 78.1 79.1 80.1 81.1 81.2 82.1 83.1 83.2 83.3 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 96.1 97.1 98.1 99.1 100.1 100.2 100.3 101.1 102.1 102.2 103.1 104.1 105.1 106.1 107.1 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 122.2 123.1 124.1 125.1 126.1 127.1 127.2 128.1 128.2 129.1 130.1 131.1 132.1 133.1 134.1 134.2 135.1 136.1 136.2 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1
Политика за защита на данните във ФЕРТИТРОН БЪЛГАРИЯ ЕООД ФЕРТИТРОН БЪЛГАРИЯ ЕООД, ЕИК: 131040111, с адрес: ул. „Хаджи Димитър“ №9-11, гр. София, обл. София град, тел.: +359 2 980 72 71 и имейл адрес: info@fertitron.com, прилага в търговските си взаимоотношения с Клиентите настоящите Общи условия, ("Администраторът" или "ФЕРТИТРОН БЪЛГАРИЯ"), ПРЕАМБЮЛ ФЕРТИТРОН БЪЛГАРИЯ, като администратор на лични данни, събира и обработва определена информация за физически лица. Тази информация може да се отнася до служители, управители, клиенти, доставчици, контрагенти, бизнес контакти и други физически лица, с които Администраторът има връзка или иска да установи бизнес контакт. Настоящата политика за защита на личните данни урежда как да бъдат събирани, обработвани и съхранявани личните данни, за да отговарят на стандартите в организацията на Администратора и да са в съответствие със правните изисквания. I.Правно основание Настоящата Политика за защита на личните данни ("Политика") се издава на основание Закона за защита на личните данни и подзаконовите му актове, така както се променят, ("Българското законодателство") и Общия регламент относно защитата на данните (ЕС) 2016/679 ("GDPR"). Българското законодателство и GDPR предвиждат правила как организациите, вкл. ФЕРТИТРОН БЪЛГАРИЯ, трябва да събират, обработват и съхраняват лични данни. Тези правила се прилагат от Администратора независимо дали се отнася до данни, които се обработват електронно, на хартия или на други носители. За да бъде обработването на лични данни в съответствие с правните изискванията, личните данни се събират и използват основателно, съхраняват се сигурно и Администраторът предприема необходимите мерки, за да не бъдат обработваните лични данни обект на незакономерно разкриване. Администраторът на лични данни е запознат с и следва принципите, предвидени в GDPR: -личните данни се обработват законосъобразно, добросъвестно и прозрачно; -личните данни се събират за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; -личните данни са подходящи, свързани с и ограничени до необходимото във връзка с целите, за които се обработват; -личните данни са точни и при необходимост се поддържат в актуален вид; -личните данни се съхраняват във форма, която да позволява идентифицирането на засегнатите лица за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; -личните данни са обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки. II.Цели на Политиката Настоящата Политика цели Администраторът да: -бъде в съответствие с приложимото законодателство по отношение на личните данни и да следва установените добри практики; -установи механизмите за водене, поддържане и защита на отчетните регистри; -установи задълженията на длъжностните лица, обработващи лични данни и/или лицата, които имат достъп до лични данни и работят под ръководството на обработващите лични данни, тяхната отговорност при неизпълнение на тези задължения; -защитава правата на персонала, клиентите и партньорите; -бъде открит как съхранява и защитава личните данни на физическите лица; -установи необходимите технически и организационни мерки за защита личните данни от неправомерно обработване (случайно или незаконно унищожаване, случайна загуба неправомерен достъп, изменение или разпространение, както и от всички други незаконни форми на обработване на лични данни); -бъде защитен при риск от нарушения. III.Обхват Настоящата Политика се прилага по отношение на обработването на лични данни на контрагенти, доставчици, клиенти и партньори, така както са описани в електронните отчетни регистри, установени в съответствие с тази Политика, Българското законодателство и чл. 30 от GDPR ("Регистри на дейностите по обработване"). IV.Събиране на лични данни Категории данни и субекти "Лични данни" са всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („Субект на данни“), а именно: Администраторът събира лични данни по отношение на следните категории лица: -лица, представляващи дружествата, с които Администраторът има или планира да има бизнес взаимоотношения; -лица за контакт в дружествата, с които Администраторът има бизнес взаимоотношения; -лица, които са заинтересовани от получаването на информационни услуги – информационен бюлетин, справочници и др.; -лица, които се регистрират с цел използване на онлайн-магазин. Цели на събирането на данните Администраторът събира личните данни във връзка с изпълнението на следните цели: За изпълнение на дейности, свързани със сключване, съществуване, изменение и прекратяване на договорни правоотношения, вкл. за: -изготвяне на всякакви документи; -за установяване на връзка с лицето за контакт по телефон, факс, имейл или по всякакъв друг законосъобразен начин; -за доставка и/или приемане на стоки/услуги, за комуникация във връзка с предоставяне и/или получаване на стоки/услуги и за предоставяне на свързаното с тях клиентско обслужване; -за водене на счетоводна отчетност във връзка с изпълненията по договори, по които Администраторът е страна; -за обработка на плащания във връзка със сключените договори от Администратора; -за изпращане на важна информация до субектите във връзка с промени в правилата, условията и политиките на Администратора и/или друга административна информация; За маркетингови цели – след получаване на изрично съгласие от субектите на лични данни; За статистически цели - след получаване на изрично съгласие от субектите на лични данни; Събиране на данните Данни на контрагенти (вкл. физически лица, управители, представители и/или лица за контакт на юридическото лице по търговски договор) Личните данни за всяко лице се предоставят доброволно от самите лица и се събират от Администратора в изпълнение на нормативно задължение, във връзка със сключването на договор и/или изпълнения на задълженията по сключен договор съгласно разпоредбите на Закона за задълженията и договорите, Търговския закон, Закона за счетоводството, Закона за данъка добавена стойност и др. и условията посочени в търговски договор със съответния клиент чрез: хартиен носител-писмени документи (вкл. пълномощни, договори, банкова информация и др.), по електронна поща- предоставени във връзка с изпълнението на граждански или търговски договор и/или чрез попълване на регистрационна форма. Лицата се уведомяват за разпоредбите на тази Политика предварително или в момента на получаване на данните им. V.Законни интереси, преследвани от Администратора Във връзка с обработване на данните на управителите и контрагенти: Обработването на данните се извършва на основание законен интерес и във връзка със сключването, съществуването, изменението и прекратяването на търговски и граждански договори при прилагането и изпълнение на нормативните изисквания на Търговския закон, Закона за задълженията и договорите, Кодекса за социално осигуряване, Данъчно-осигурителен процесуален кодекс, Кодекса на застраховането, Закон за данъците върху доходите на физическите лица, Закона за счетоводството и др. VI.Политика относно „бисквитките“ „Бисквитката“ е информация, подобна на маркер, която се съхранява на твърдия диск на компютъра Ви от Вашия уеб браузър, когато посещавате електронна страница. Наред с други онлайн услуги, използваме „бисквитки“ (включително във връзка с услугите, предоставяни от Google Анализ, както е описано по-горе в раздел „информация, която събираме за Вас“), за да получи определена потребителска информация относно това как и кога са разгледани определени раздели на Страницата ни, както и колко хора са ги посетили. Можете да настроите браузъра си да откаже, премахне или блокира „бисквитки“ или да Ви покаже, когато се генерира „бисквитка“, без това да засяга ползването на повечето функции на Страницата. За повече информация относно „бисквитките“, моля, посетете: www.allaboutcookies.ogr. „Бисквитката“ е малък файл с букви и цифри, който се запазва на Вашия браузър или на твърдия диск на Вашия компютър, ако сте се съгласили. „Бисквитките“ съдържат информация, която се прехвърля на твърдия диск на Вашия компютър. Ние използваме следните „бисквитки“: - Строго необходими „бисквитки“: Това са „бисквитки“, които са ноебходими за функционирането на нашия Сайт. Те включват например „бисквитки“, които Ви позволяват да влизате в защитените зони на нашия Сайт. - Аналитични/ „бисквитки“ за ефективност: Тези „бисквитки“ ни позволяват да разпознаваме и отброяваме посетителите на нашия Сайт и да видим как го ползват те. Тази „бисквитка“ ни помага да подобрим начина, по който функционира нашия уебсайт. - Функционални „бисквитки“: Тези „бисквитки“ записват Вашето посещение на нашия Сайт, посетените от Вас страници и връзките, които сте проследили. Ние ще използваме тази информация, за да направим нашия Сайт и рекламите, предлагани на него, по-подходящи за вашите интереси. Също така ние може да споделим тази информация с трети страни с тази цел. Моля, имайте предвид, че трети страни могат също да използват „бисквитки“, върху които ние нямаме контрол. Тези „бисквитки“ може да са само аналитични „бисквитки“ за ефективност или насочващи „бисквитки“. Ако не искатее да използваме „бисквитки“, както сме описали по-горе, или ако промените решението си, след като вече сте се съгласили и използването на „бисквитки“, Вие можете на изтриете и блокирате „бисквитките“ на този Сайт чрез Вашия браузър. Ако използвате настройките на Вашия браузър, за да блокирате всички „бисквитки“ (включително основните „бисквитки“), части от нашия уебсайт може да не фунционират. VII. Анализ на уеб пространството Нуждаем се от статистическа информация за използването на нашата уеб-страница, за да я направим по-достъпна, да извършваме измервания на обхвата и да правим пазарни проучвания. За тази цел използваме инструментите за уеб анализ, описани в този раздел. Потребителските профили, създадени от тези инструменти, с помощта на аналитични бисквитки или чрез оценка на лог файловете, не съдържат лични данни. Инструментите или изобщо не използват IP адресите на потребителите, или ги съкращават незабавно след събирането им. Доставчиците на инструментите обработват данните само като обработващи личните данни според нашите указания, а не за собствени цели. По-долу ще намерите информация за всеки доставчик на инструмент и как можете да възразите срещу събирането и обработването на лични данни чрез инструмента. Следва да имате предвид, че при инструментите, които използват бисквитки за отказ, функцията за отказ е свързана с устройството или браузъра и, следователно, е валидна за използваното в момента крайно устройство или браузър. Ако използвате няколко крайни устройства или браузъра, трябва да изберете функцията за отказ на всяко крайно устройство и във всеки използван браузър. Освен това, като цяло можете да предотвратите създаването на потребителски профили, като деактивирате използването на бисквитки. Google Analytics Google Analytics се предлага от Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA ("Google"). Ползваме Google Analytics с предлаганата от Google допълнителна функция за анонимизиране на IP адресите. Google съкращава IP адреса още в рамките на ЕС и само в изключителни случаи в САЩ, като и в двата случая записва само съкратени IP адреси. Можете да възразите срещу събирането и обработването на данните ви, като изтеглите и инсталирате приставка за браузър от следния линк: http://tools.google.com/dlpage/gaoptout?hl=en VIII.Прозрачност. Права на лицата, чиито данни се обработват от Администратора Прозрачност и условия за упражняване на правата на лицата Администраторът предоставя информация на лицата в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Администраторът се стреми да гарантира, че лицата са запознати относно обработваните от него лични данни и, че лицата изцяло и напълно разбират и са информирани във връзка с обработването в съответствие с изискванията на GDPR и Българското законодателство. Администраторът предоставя информацията на лицата писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако лицето е поискало това, информацията може да бъде дадена устно, при положение че идентичността на лицето е доказана с други средства. Администраторът предоставя на лицата безплатно информация относно действията, предприети във връзка с искане относно правото им на достъп, коригиране, изтриване, ограничаване на обработването, преносимост, възражение и автоматизирано вземане на решения, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира лицето за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато съответно лице подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако лицето не е поискало друго. Ако Администраторът не предприеме действия по искането, Администраторът уведомява лицето без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Когато исканията на лицето са явно неоснователни или прекомерни, по-специално поради своята повторяемост, Администраторът може или: -да наложи разумна такса, като взема предвид административните разходи за предоставяне на информацията или комуникацията или предприемането на исканите действия или -да откаже да предприеме действия по искането. Право на достъп на лицата Всяко лице има право да получи от Администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: -целите на обработването; -съответните категории лични данни; -получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни (вкл. в трети държави или международни организации); -когато е възможно, предвиденият срок, за който ще се съхраняват данните, а ако това е невъзможно, критериите, използвани за определянето на този срок; -съществуването на право да се изиска от Администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със засегнатите лицата, или да се направи възражение срещу такова обработване; -правото на жалба до Комисията за защита на личните данни; -когато личните данни не се събират от самите лица, всякаква налична информация за техния източник; -съществуването на автоматизирано вземане на решения, вкл. профилирането, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за лицата. Когато личните данни се предават на трета държава или на международна организация, лицата имат право да бъдат информирани относно подходящите гаранции във връзка с предаването. Администраторът предоставя на лицето копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от лицата, Администраторът може да наложи разумна такса въз основа на административните разходи. Когато лицето подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако лицето не е поискало друго. Право на коригиране Всяко лице, чиито данни се обработват от Администратора, има право да поиска от Администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването лицето има право непълните лични данни да бъдат допълнени. Право на изтриване (право „да бъдеш забравен“) Всяко лице, чиито данни се обработват от Администратора, има правото да поиска от Администратора изтриване на свързаните с него лични данни без ненужно забавяне, а Администраторът има задължението да изтрие без ненужно забавяне личните данни, когато: -личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин; -лицето оттегли своето съгласие, върху което се основава обработването на данните, и няма друго правно основание за обработването; -лицето възрази срещу обработването и няма законни основания за обработването, които да имат преимущество; -личните данни са били обработвани незаконосъобразно; -личните данни трябва да бъдат изтрити с цел спазването на правно задължение, което се прилага спрямо администратора; -личните данни са били събрани във връзка с предлагането на услуги на информационното общество. Когато Администраторът е направил личните данни обществено достояние и е задължен съгласно предходния параграф да изтрие личните данни, той, като отчита наличната технология и разходите по изпълнението, предприема разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че засегнатото лице е поискало изтриване от тези администратори на всички връзки, копия или реплики на неговите лични данни. Право на ограничаване на обработването Всяко лице, чиито данни се обработват от Администратора, има право да изиска от Администратора ограничаване на обработването, когато се прилага едно от следното: -точността на личните данни се оспорва от лицето, за срок, който позволява на Администратора да провери точността на личните данни; -обработването е неправомерно, но субектът на данните не желае личните данни да бъдат изтрити, а изисква вместо това ограничаване на използването им; -Администраторът не се нуждае повече от личните данни за целите на обработването, но субектът на данните ги изисква за установяването, упражняването или защитата на правни претенции; -субектът на данните е възразил срещу обработването в очакване на проверка дали законните основания на Администратора имат преимущество пред интересите на субекта на данните. Когато обработването е ограничено съгласно горния параграф, такива данни не се обработват, с изключение на тяхното съхранение, само със съгласието на субекта на данните или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице или поради важни основания от обществен интерес. Когато субект на данните е изискал ограничаване на обработването, Администраторът го информира преди отмяната на ограничаването на обработването. Задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването Администраторът съобщава за всяко извършено коригиране, изтриване или ограничаване на обработване на всеки получател, на когото личните данни са били разкрити, освен ако това е невъзможно или изисква несъразмерно големи усилия. Администраторът информира субекта на данните относно тези получатели, ако субектът на данните поиска това. Право на преносимост на данните Субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на Администратора, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от Администратора, когато (i) обработването е основано на съгласие във връзка с определени цели или на договорно задължение на субекта или предприемане на стъпки преди сключване на договор и (ii) обработването се извършва по автоматизиран начин. Когато упражнява правото си на преносимост, субектът на данните има право да получи пряко прехвърляне на личните данни от един администратор към друг, когато това е технически осъществимо. Право на възражение Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него (когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия на Администратора, или обработването е за целите на легитимните интереси на Администратора или на трета страна), включително профилиране. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции. Когато се обработват лични данни за целите на директния маркетинг, субектът на данни има право по всяко време да направи възражение срещу обработване на лични данни, отнасящо се до него за този вид маркетинг, което включва и профилиране, доколкото то е свързано с директния маркетинг. Когато субектът на данни възрази срещу обработване за целите на директния маркетинг, обработването на личните данни за тези цели се прекратява. Най-късно в момента на първото осъществяване на контакт със субекта на данните, той изрично се уведомява за съществуването на правото по предходните параграфи, което му се представя по ясен начин и отделно от всяка друга информация. IX.Технически и организационни мерки за защита на данните Защитата на данните на хартиено копие, както и на електронен носител от неправомерен достъп, повреждане, изгубване или унищожаване се осигурява посредством поредица от вътрешно регулирани технически и организационни мерки. X.Трансфер на лични данни Към настоящия момент Администраторът не осъществява трансфер на лични данни в други страни в или извън Европейския съюз. XI.Нарушения. Уведомяване за нарушения Нарушения Нарушение на сигурността на данни възниква, когато личните данни, за които ФЕРТИТРОН БЪЛГАРИЯ отговаря, са засегнати от инцидент със сигурността, в резултат на който се нарушава поверителността, наличието или целостта на личните данни. В този смисъл, нарушение на данните възниква, когато има нарушение на сигурността, водещо до инцидентно или незаконно унищожаване, загуба, изменение, нерегламентирано разкриване на данни, които се предават, съхраняват или по друг начин се обработват. В случай на нарушение на сигурността на личните данни незабавно следва да се уведоми на имейл info@fertitron.com Оценка на нарушенията След като съответният служител на ФЕРТИТРОН БЪЛГАРИЯ получи информация за извършено нарушение, то трябва да определи дали конкретното събитие представлява нарушение на лични данни и да уведоми управителите на Администратора за събитието (в случай, че те не знаят). В случай на нарушение на сигурността на личните данните, което съществува вероятност да породи риск за правата и свободите на физическите лица, Администраторът (чрез съответния служител), без ненужно забавяне и когато това е осъществимо-не по-късно от 72 часа след като е разбрал за него, уведомява за нарушението Комисията за защита на личните данни. Когато и доколкото не е възможно информацията да се подаде едновременно, информацията може да се подаде поетапно без по-нататъшно ненужно забавяне. Когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, Администраторът без ненужно забавяне, съобщава на субекта за нарушението. Администраторът документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението, последиците от него и предприетите действия за справяне с него. XII.Унищожаване Счетоводната и търговската информация, както и всички други сведения и документи от значение за данъчното облагане и задължителните осигурителни вноски се съхраняват от Администратора в следните срокове: -ведомости за заплати - 50 години; -счетоводни регистри и финансови отчети-10 години; -документи за данъчно-осигурителен контрол-5 години след изтичане на давностния срок за погасяване на публичното задължение, с което са свързани; -всички останали носители-5 години, доколкото по закон не е предвиден друг срок. След изтичането на срока за съхранението им носителите на информация (хартиени или технически), които не подлежат на предаване в Националния архивен фонд, могат да се унищожават. След приключване на срока за съхранение данните се унищожават възможно най-бързо посредством унищожаването на хартиените носители чрез рязане чрез машина тип „Шредер“ (шредиране), а на техническия носител-чрез заличаване и изтриване на съответните файлове от сървъра/компютрите на Дружеството. Допълнителни разпоредби По смисъла на настоящите вътрешни правила: ”Администратор на лични данни” е "ФЕРТИТРОН БЪЛГАРИЯ", еднолично дружество с ограничена отговорност, с ЕИК 131040111, като действия от името на администратора осъществява Гергана Мървакова, администратор база данни. „Обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване; Настоящaта Политика подлежи на утвърждаване и довеждане до знанието на лицата, които касаят, със заповед на управителя на Администратора.
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 28.2 28.3 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 53.2 53.3 54.1 55.1 56.1 56.2 56.3 56.4 57.1 58.1 59.1 59.2 60.1 61.1 61.2 61.3 61.4 62.1 63.1 63.2 64.1 65.1 65.2 65.3 66.1 66.2 66.3 67.1 68.1 68.2 68.3 69.1 70.1 70.2 71.1 72.1 73.1 74.1 74.2 74.3 75.1 76.1 77.1 78.1 79.1 80.1 81.1 82.1 83.1 84.1 85.1 86.1 87.1 87.2 88.1 89.1 89.2 90.1 91.1 92.1 93.1 93.2 93.3 94.1 95.1 95.2 96.1 97.1 98.1 99.1 100.1 101.1 102.1 103.1 104.1 105.1 106.1 107.1 108.1 109.1 110.1 111.1 112.1 113.1 114.1 114.2 115.1 116.1 117.1 118.1 118.2 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 130.2 130.3 130.4 131.1 132.1 132.2 133.1 134.1 135.1 136.1 137.1 138.1 139.1 139.2 140.1 141.1 142.1 142.2 143.1 144.1 145.1 146.1 147.1 148.1 149.1 149.2 150.1 151.1 152.1 152.2 152.3 153.1 154.1 154.2 154.3 154.4 155.1 156.1 156.2 156.3 157.1 158.1 159.1 160.1 161.1 162.1 162.2 162.3 162.4 163.1 164.1 165.1 165.2 165.3 166.1 167.1 168.1 168.2 169.1 169.2 170.1 171.1 171.2 172.1 173.1 174.1 175.1 176.1 177.1 178.1 179.1 179.2 180.1 181.1 182.1 182.2 183.1 184.1 185.1 186.1 186.2 187.1 188.1 189.1 190.1 191.1 192.1 192.2 193.1 194.1 195.1 196.1 197.1 198.1 199.1 199.2 200.1 201.1 202.1 203.1 204.1 205.1 206.1 207.1 208.1 209.1 210.1 211.1 212.1 213.1 214.1 215.1 216.1 217.1 218.1 219.1 220.1 220.2 221.1 222.1 223.1 224.1 225.1 226.1 227.1 228.1 229.1 230.1 231.1 232.1 233.1 234.1 235.1 236.1 237.1 238.1 239.1 240.1 241.1 242.1 243.1 244.1 245.1 245.2 246.1 247.1 248.1 249.1 250.1 251.1 252.1 253.1 254.1 254.2 255.1 256.1 256.2
GDPR Policies and Procedures May 2018 Accountant Online’s GDPR Policies Six Core Principles The firm shall at all times comply with its data protection obligations under the GDPR, in keeping with the six core principles of GDPR that personal data shall be: Processed lawfully, fairly and in a transparent manner (Lawfulness, Fairness and Transparency) Collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purpose (Purpose Limitation) Adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (Data Minimisation) Accurate and where necessary kept up to date (Accuracy) Kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed (Storage Limitation) Processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical and organisational measures (Integrity and Confidentiality). Based on these principles, for each piece or type of personal data we hold, the firm is able to demonstrate on demand (i.e. accountability): • Why we are holding it; • How we obtained it; • The purpose/s we use it for; • How long we will retain it; • How secure it is in terms of its accessibility and data security; and • On what basis we share it with any third parties. Further points: In addition to the 6 core principles, the firm shall ensure that: Training & Education There are sufficient levels of awareness of data protection in our organisation; Our staff are aware of their data protection responsibilities – including the need for confidentiality; and Data protection is included as part of the training programme for our staff and this training is regularly refreshed. Co-ordination and Compliance It has been determined that a DPO is not required, and we have appointed CEO Larissa Feeney as Head of Privacy - All staff are aware of their role in data protection compliance. - Mechanisms are in place for formal review by Head of Privacy within our organisation. - We have an overall framework in place that demonstrates how we comply with GDPR. - There is regular monitoring and auditing of our data protection framework for GDPR compliance. Responsibilities and Reporting Lines The firm has appointed Larissa Feeney as Head of Privacy. Larissa is responsible for compliance with GDPR and all personal data processing and data security within the firm. Larissa reports to the Board of Directors who exercises oversight in this regard. Consideration of whether the firm needs to appoint a Data Protection Officer (DPO):The GDPR specifies that a Data Protection Office (DPO) must be appointed when: - the core activities of the firm consist of regular and systematic monitoring of data subjects on a ‘large’ scale; or - the firm processes special category data or criminal offences, again if on a ‘large’ scale. In view of these criteria and the firm’s activities, the firm has considered whether it is required to appoint a DPO and has decided not to appoint a DPO. Data Processing Handling of client data Based on our Data Map, the following are the main types of data, data subjects, types of data processing, and our status as Controller or Processor. Personal data processed by this firm: The firm process two different types of personal data: client data and firm data. - ‘Client data’ is personal data received from clients in relation to professional engagements and practice; and - ‘Firm data’ is personal data held by a firm in relation to its own management, employees and affairs generally, including marketing databases. Categories of Data Subjects The firm holds personal data for the following categories of people (Data Subjects): - Business Partners/Directors in the firm who are living natural persons - Current clients and their family members who are living natural persons (includes their Anti- Money Laundering customer due diligence data) - Employees of clients for whom we process outsourced payroll etc. - Former clients and their former employees for whom we have processed payroll etc. in the past - Prospective clients (on a mailing list for example) - Sub-Contractors of the firm - Existing staff & former staff of the firm - Job applicants to the firm - Other ‘Contacts’ not already included on the above lists including complainants, enquirers etc. Client data processing carried out by the firm Customer Due Diligence For all clients, the firm is obliged to obtain Customer Due Diligence information under Anti Money Laundering legislation. This data includes copies of passports (or similar photographic ID) which record the date of birth and nationality of clients, and utility bills (or similar) which provide evidence of the home address. This is considered to be personal data. Data obtained in the provision of services Accounts preparation and book keeping assignments for corporate clients – the firm obtains and processes personal data concerning a number of persons associated with the entity, including the directors, staff, customers, suppliers, subcontractors and other natural persons who are service providers of the client. Audit assignments for corporate clients – the firm obtains and processes personal data concerning the directors, staff and other persons associated with the company client, for the purpose of carrying out and recording audit tests. These consist of tests of detail and sample testing. The firm is also obliged to carry out a risk assessment and consideration of the likelihood and incidence of actual and suspected fraud. This may require the firm to record details of actual and suspected fraud by individuals. Accounts preparation assignments for unincorporated clients – In this case the firm considers all information obtained to be personal data because there is no legal separation between the business and the personal affairs of the client. Corporation tax advice assignments – the firm may obtain personal data concerning the directors and staff of the company. Personal Tax – Income tax including directors’ PAYE, capital gains tax, capital acquisitions tax, and other personal tax heads. In these assignments, it is assumed that all data obtained and processed is personal data processed by the firm. Payroll Services– the firm obtains and processes personal data concerning the directors and staff of the clients. In all of the above assignments, the firm will obtain names, addresses, email addresses, dates of birth, salary levels and other similar information. In personal tax, extensive details of the personal financial affairs of the client are obtained. In some personal tax cases, we may obtain information regarding the state of health of the client, which may be relevant to the claiming of personal tax credits. In some cases, the firm may obtain personal data concerning persons under eighteen years who are employed by clients. Lawful Basis The GDPR stipulates that a firm must establish that it has a lawful basis for processing data. In relation to ‘client data’, the firm considers that the lawful bases are to meet the specific legal obligation to maintain audit documentation in the case of statutory audits. In audits and all other professional engagements, the firm considers that it has a legal right and obligation to maintain engagement files and correspondence files containing personal data so that it can subsequently demonstrate that it complied with its contractual obligations and that it applied due skill and care, as well as complying with other legal and professional obligations in the performance of the engagements. It is the firm’s policy to identify and document the lawful basis for processing data at the start of the client engagement and to inform individual clients of this via a privacy notice, as an addendum to the engagement letter. Corporate clients will be required to separately sign an addendum setting out the data processing obligations of the firm and the client, as required by the GDPR. The following are the lawful bases identified by the firm for holding and processing client data: Employee Data: The firm considers that it has a legal obligation to hold personal data of employees, and that the processing of employee’s personal data is necessary to fulfil the firm’s obligations under the employment contract of each employee. The firm holds only that personal data that is necessary to hold, and for the retention periods set out in its data retention policy. This is specified in the privacy statement in the firms’ employee handbook. Special Category Data The firm acknowledges that personal data which reveals racial or ethnic origin, political opinions, religious beliefs, trade union membership, genetic data, biometric data, health data and data concerning individuals’ sex life or orientation are considered ‘Special Category Data’ under the GDPR, and that processing such data is prohibited unless an exception applies. The firm does not intend to process Special Category Data on behalf of clients, and in any case will not do so unless an exception applies, as provided in the GDPR. Where it is necessary for the firm to process Special Category Data of an employee, the firm will do so in accordance with the employee hand book. Children’s Data It is the policy of the firm to not process the personal data of children under the age of 16 unless necessary for a client engagement or employment of an employee. Where the firm processes the data of a child on the basis of consent, the firm will ensure that such consent is given by the child’s parent or legal guardian. The firm’s status as a Data Controller or Processor The firm acknowledges that in accordance with GDPR and the guidance of the EU Article 29 Working Party, the firm may be a data processor where a corporate client determine the purposes and means by which the firm processes personal data, and the firm is a data controller where the firm determines the purposes and means by which it processes personal data. The firm considers that it generally acts as a controller or processor in accordance with the following table: Note: for members in Northern Ireland, the UK ICO has issued guidance that accountants are always data controllers when acting for clients. For members in the Republic of Ireland, there may be some flexibility to determine that the accountant is a data processor in some limited engagements with corporate clients, (i.e. payroll processing, corporation tax compliance, or book keeping). The firm considers that it is always likely to be a data controller when acting for its unincorporated clients. Contracts between data processors and data controllers The firm uses the following service providers to process personal data: Cloudstrong (Cloud service) Sentenial Ltd T/A Nuapay Relate Software Datasure The firm has put in place written contracts with these providers, including: - The subject matter and duration of the processing; - Nature and purpose of the processing; - Type of personal data processed; - Categories of data subjects involved; and - Obligations and rights of the controller. None of these service providers are based outside the EU. For service providers based outside the EU (such as cloud storage providers), the firm will obtain a GDPR compliance statement confirming in writing that any data transferred out of the EU, either to or by the service provider, is transferred and processed in a manner compliant with GDPR requirements. The firm’s responsibilities when it acts as Data Controller Where the firm acts as a Data Controller, it acknowledges that it is subject to the full scope of data protection obligations imposed by the GDPR. This includes (but is not limited to) the firm’s obligations to: - provide privacy notices to all data subjects *; - respond to subject access requests from data subjects; and - report data breaches to the [DPC / ICO]. * Article 14 of the GDPR contains limited exemptions from this requirement which may apply where the firm has not collected data directly from the data subjects (i.e. where a corporate client provided the data). Where the firm and a corporate client are joint controllers, they may also agree that the client will be responsible for meeting this requirement on behalf of the firm. This is dealt with in more detail later in this section, under Privacy Statements. The firm’s responsibilities when it acts as Data Processor Where the firm acts as a Data Processor, it acknowledges that it is subject to certain data protection obligations imposed by the GDPR. These obligations are: - To process data only on the documented instructions from the controller (corporate client); - To take all appropriate technical and organisational measures to ensure the security of personal data; - To sub-contract only with the prior written permission of the controller; - To co-operate with the [DPC / ICO]; - To conduct Data Protection Impact Assessments where required in accordance with GDPR; - To maintain records of data processing activities; - To report any data breach to the controller without undue delay; and - To comply with any additional obligations in an agreed data processing contract with the controller. Privacy Statements Where the firm acts as a data controller, it is the firm’s policy to ensure the information below is supplied to data subjects (including to our employees and job candidates) before their personal data is collected and processed by the firm: - The firm’s name and contact details, and the name and contact details of data protection officer (where one has been appointed); - The purpose(s) of the processing as well as the legal bases for processing; - Where the legal basis for processing is based on the firm’s legitimate interests, those legitimate interests should be identified; - The recipients or categories of recipients of personal data; - Whether the firm intends to transfer personal data to any non-EEA country and the legal basis for the transfer; - The retention period for personal data and the criteria used to determine this; - How data subjects can exercise their right of access, rectification, erasure, restriction to processing, objection to processing and data portability, if such rights apply; - How data subjects can retract their consent to processing, where the processing by the firm is based on consent; - The right to submit a complaint to the relevant Data Protection Supervisory Authority (i.e. DPC or the ICO); - Whether the data subject is required to provide their personal data pursuant to statute or a contract, and the consequences of failing to provide such data; and - The existence of automated decision-making, including profiling, and the logic and consequences of the processing for the data subject. With regard to firm employees, the firm will provide this information in the form of a notice to job candidates and a further privacy policy will be supplied to successful job applicants in the employee handbook as part of their induction to the firm. With regard to employees, directors and other data subjects of corporate clients, the firm will ensure in its engagement letter that the client is responsible for providing all required privacy notices to those data subjects and responding to requests from data subjects on the firm’s behalf. The firm will also provide a privacy notice on its website to which clients can refer their data subjects. The Rights of Data Subjects The data subjects of the firm have the following rights: - Right to be informed (see Privacy Statement under Section 5); - Right of access (see below); - Right to rectification (see below); - Right to erasure (‘right to be forgotten – see below); - Right to restrict processing (see below); - Right to object (see below); - Right to data portability (see below); and - Rights re: automated decision making and profiling. Data Subject Access Requests (DSARs) Data subjects have the right to make a DSAR. The DSAR may be for all personal data of that data subject held by the firm or a subset of the data. The firm must respond to the request within 1 month, unless the firm can show that the request is manifestly unfounded or excessive, or where the request is sufficiently complex or one of a number of requests (in which case the response time may be extended to 3 months). The firm does not have the right to charge a fee for processing this request, again unless the firm can show that the request is manifestly unfounded or excessive. Any DSAR received by the firm shall immediately be referred to Larissa Feeney who is responsible for co-ordinating the firm’s response to any DSAR. Where the firm receives a DSAR, the firm will first conduct due diligence to confirm the identity of the data subject. The firm will not comply with DSARs made by anyone other than the data subject him/herself. Where the firm receives a DSAR, the firm will assess all data held on behalf of the individual, including data held on: - The firm’s central data server; - Laptops and personal computer in the firm; - Stored emails and other electronic messaging systems; and - Paper files. Hard copies will be made of any documentation containing personal data of the data subject who made the DSAR. All data relating to any individuals other than the maker of the request will be redacted. The firm will consider whether its legal and professional obligations require any data held by the firm to be kept confidential. Records of all DSARs and response times shall be kept by the firm in a DSAR register. Right of Erasure (Right to be Forgotten) Data subjects have the right to request erasure of their personal data where the firm does not have a legitimate reason for retaining such data. Where the firm receives a request for erasure from a data subject, then the firm will assess all personal data held on the data subject, including data held on: - The firm’s central data server; - Laptops and personal computer in the firm; - Stored emails and other electronic messaging systems ; and - Paper files All personal data deemed as not held for a legitimate purpose will be deleted/destroyed in line with the firm’s policy. Right of Rectification Data Subjects have the right to require that their personal data be up to date and accurate. Where the firm receives a request from a data subject, the firm will verify whether the data subject’s data is up to date and accurate, and if not will make requested corrections. Right to Restrict Processing Where a data subject is contesting the accuracy of his/her personal data held by the firm (see right to rectification above), or is objecting to processing (see right to object below), or where the processing is unlawful, the data subject has the right to restrict processing of his/her personal data. The firm’s policy is the follow the same procedure as a request under the Right to Erasure. It will review all data held by the firm relating to the data subject and consider whether it holds any data in excess of that needed under its legitimate purpose. It will then restrict future processing of any “excess” data in accordance with the request of the data subject. The Right to Object to Processing Under this right the data subject can object to the processing of his or her data. The firm’s policy is the follow the same procedure as a request under the Right to Erasure above. It will review all data held by the firm relating to the data subject and consider whether it holds/processes any data in excess of that needed under its legitimate purpose. It will cease any processing of any “excess” data in accordance with the request of the data subject. Right to Data Portability The right to data portability allows individuals to obtain and reuse their personal data for their own purposes across different services. This means they should be able to move, copy or transfer personal data easily from one IT environment to another, and from one service provide to another, in a safe and secure way. This is an extension of the access right, and data subjects have the right to receive their data in a structured and machine-readable form. The right to data portability applies: - to personal data an individual has provided to a controller; - where the processing is based on the individual’s consent or for the performance of a contract; and - the processing is carried out by automated means. The firm considers that, because it does not generally process personal data by purely automated means, it does not hold data which would be subject to a data portability request. In the event that the firm determines that it holds data relevant to a data portability request, it will review the personal data held. The firm will then determine the electronic format in which the data has been requested to be transferred, (e.g. the electronic file type). All data relating to any individuals other than the maker of the request, will be redacted. The firm will then consider whether its legal and professional obligations require any data held by the firm to be kept confidential and transfer the data deemed not subject to these restrictions to the third party (who may be another accountancy firm) as requested by the individual. Data Governance Accountability The firm is required to be able to demonstrate compliance with each of its obligations under the GDPR. This requires that internal mechanisms and control systems are put in place to ensure compliance with the GDPR and that there is documentary evidence to prove this. This evidence may need to be produced to external stakeholders, including supervisory authorities (such as the Data Protection Commissioner (DPC) in the Republic of Ireland and the Information Commissioner’s Office (ICO) in the UK & Northern Ireland). Some example policies for the firm to demonstrate GDPR compliance include through its policies addressing Data Protection Impact Statements, Privacy Notices and applying the concept of Privacy by Design, as well as Data Retention. Data Protection Impact Assessments (DPIAs) DPIAs are requirements under the GDPR in relation to processing activities that are likely to result in high risks to the rights of data subjects. DPIAs may be required particularly in relation to the roll-out of new technologies, such as significant new IT systems or new working practices. It is the firm’s policy to conduct a DPIA to assess the risks that are inherent in any new proposed processing activities, which will in turn be designed to allow the firm to identify and mitigate the associated data protection risks, before we commence these new processing activities. In rollouts of new IT systems for example, all a DPIA must be completed, with satisfactory results, before processing of live data is carried out. It is the firm’s policy to not carry out any activities that would require mandatory DPIAs, such as systematic and extensive evaluation of individuals based on automated processing (profiling), large scale processing of special categories of data and personal data relating to criminal convictions and offences, or systematic monitoring of public areas on a large scale. Where a DPIA is required, Larissa Feeney shall be responsible for co-ordinating the DPIA within the firm. The DPIA shall include: - a systematic description of the envisaged processing operations and the purposes of the processing, including, where applicable, the legitimate interest pursued by the controller - an assessment of the necessity and proportionality of the processing operations in relation to the purposes; - an assessment of the risks to the rights and freedoms of data subjects; - the measures envisaged to address the risks, including safeguards, security measures and mechanisms to ensure the protection of personal data and to demonstrate compliance with this regulation, taking into account the rights and legitimate interests of data subjects and other persons concerned. Where appropriate and practical, the firm will seek the views of data subjects or their representatives on the intended processing. Where the DPIA indicates that the intended processing would result in a high risk in the absence of mitigating measures taken by the firm, the firm will consult with the [ICO / DPC] prior to beginning such processing. Privacy by Design It is the firm’s policy to place the protection of privacy at the centre of all decision making processes and at the start of any new service development or process development. The firm will consider both appropriate technological and organisational measures to ensure GDPR compliance in these circumstances. If the firm is considering, for example, changes to working practices (e.g. homeworking), an office redesign or installing new technology, then means to protect the privacy of data subjects must be included in the decision making process and the rolling out of the change. Transferring Data out of the European Economic Area (EEA) It is the firm’s policy to not transfer any personal data outside the EEA for any purpose. This policy will be reviewed following the United Kingdom leaving the European Union. Document Retention Data must only be held for the purpose for which it was collected and only for ‘as long as necessary’. The firm’s policy in relation to document retention for client data The firm has a policy of retaining all documentation in relation to the following assignments for seven years from the date that the documentation was first received or created by the firm, or the completion date of the assignment. Data is also held for former clients under this policy. - Audit files and papers containing personal data – statutory audit regulations; - Tax files – Revenue Commissioner/HMRC regulations; - Criminal cases (e.g. anti-money laundering – legal requirements & required firm policy); - Contracts – for the life of the contract; and - Employee details –statutory requirements. It is the firm’s policy to carry out an annual review of all the data it holds and on what grounds the data is held (by category). Following on from this review, decisions must be made whether the firm continues to need the data that it holds. The firm’s policy for holding data of former employees (following the retention period noted above) is to only hold the employee name, address and email details to enable the firm to contact the former employee, for a specific purpose (e.g. changes to a pension scheme, employment opportunity) in the future. Security Controls under GDPR Appropriate Security Controls for information It is the firm’s policy to comply with its security obligations in relation to personal information by implementing appropriate technical and organisational measures to ensure a level of security appropriate to the risks that are present. These measures include: - Pseudonymisation of data where possible and practical. The GDPR distinguishes “anonymous” data, (namely, data rendered anonymous in such a manner that the individual is not identifiable), from “pseudonymisation”, which is data from which the identity of an individual is removed but it can be recovered (e.g. from a numerical identifier). For example, instead of naming particular data subjects in an audit, these could be numbered, with an associated spreadsheet held detailing the data subject name and matching numbers. - Encryption of data – all data held on laptop computers and other handheld devices is encrypted. - The ability to ensure ongoing confidentiality, integrity, availability and resilience of processing systems and services – the firm has a business continuity plan in place should it be the subject of a fire, flood or other severe operational shock. - The ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident – this is also covered in the firm’s business continuity plan. - A process for regularly testing, accessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing – it is the firm’s policy to test this on a regular basis (i.e. once every 6 months at least) Security Policy Under GDPR, all organisations must have a security policy, with the following topics included in our firm’s policy: - Security Objectives and Scope; - Management Intent; - Security Principles, Standards and Compliance requirements at your firm; - Roles and Responsibilities for Security Management; - Asset Control; - Remote Access; - Data Backup; - CCTV( where in place); and - Overview of the Technical, Administration and Physical Safeguards in place. Security Controls A detailed list of examples of practical technical security measures to aid GDPR compliance at our firm include: - Ensuring that IT security is properly managed and overseen by an appropriate person in the firm with adequate support from IT professionals; - Adequate Access Control is employed, including identity and access management; - Intrusion Detection/Pretention and Data Loss Prevention Systems are put in place; - Appropriate IT education to staff is undertaken. This includes demonstration examples of data unauthorised data access and malware; - Employees and other users are required to change passwords on a regular basis; - ensuring that all computing devices such as PCs, mobile phones, and tablets are using an up-to-date operating system; - ensuring all computing devices are regularly updated with manufacturer’s software and security patches; - using antivirus software on all devices; - implementing a strong firewall; - reviewing vendor supplied software and updating default system, administrator, and root passwords and other security parameters to ensure defaults are not left in place; - ensuring data backups are taken and are stored securely in a separate location; - ensuring that data backups are periodically reviewed and tested to ensure they are functioning correctly; - ensuring that data is collected & stored securely; - ensuring that mobile devices (such as laptops and mobile phones and tablets) are encrypted; - ensuring that two-factor authentication is enabled for remote access; and - ensuring that websites have TLS (transport layer security) in place to securely collect personal data via web forms (such as for newsletter subscriptions) or on e-commerce websites. Detailed examples of practical physical security measures employed at our firm include: - keeping offices and storage units locked; - keeping server rooms or cabinets locked; - cabling desktop machines and laptops to desks; - implementing clean desk policies; - ensuring that fire and burglar alarms are in place and that they are functioning correctly; - ensuring that ICT equipment such as hard drives and old laptops, computers and mobile devices are securely disposed of at end of life; and having specific and adequate insurance to cover the costs of any data breaches or cybercrime. Review of these policies, including cyber security policies and procedure, on a regular basis is advised to ensure that they are up to date and effective. Data Breaches Definition of Data Breach The GDPR defines a “personal data breach” as: “a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed”. Any suspected breach of personal data held by the firm must be immediately reported to Larissa Feeney who shall be responsible for co-ordinating the firm’s response to the breach and any required communications with the DPC / ICO and data subjects. All data breaches will be fully documented, as to the source of the breach, its nature, extent and the remedial action taken. Where the firm acts as controller of data, it will comply with its obligation to notify data breaches to the [DPC / ICO] not later than 72 hours after having become aware of the breach. The following are the contents of a notification breach under the GDPR to be used by the firm: - Who – categories of data subjects affected - How many – the approximate number of data subjects and data records impacted - What types – the categories of data records involved - Contact – Larissa Feeney the Head of Privacy in Accountant Online - Consequences – description of the likely consequences of this breach - Follow up – all measures taken or to be taken in relation to mitigating the breach Accountant Online’s obligations when acting as a processor Where the firm acts as a Data Processor, it shall inform the relevant data controller (i.e. the corporate client). In these instances, the firm will be mindful of the potential obligation of the controller to inform to the DPC/ICO within 72 hours, and therefore these reports must be made as soon as feasibly possible and without undue delay. Informing Data Subjects of Data Breaches Where we act as controller, we will inform the impacted data subjects if there is a high risk that they will be adversely affected by the breach. This will be done as soon as feasibly possible and without undue delay.