http___hotel-sipan.hr_politika_privatnosti__1.xml
1.1 2.1 3.1 4.1 5.1 6.1 8.1 9.1 10.1 10.2 10.3 10.4 10.5 11.1 12.1 12.2 12.3 12.4 13.1 13.2 14.1 15.1 15.2 15.3 15.4 15.5 16.1 17.1 17.2 17.3 17.4 17.5 17.6 17.7 18.1 19.1 19.2 20.1 21.1 21.2 22.1 23.1 23.2 24.1 24.2 24.3 24.4 24.5 25.1 25.2 25.3 26.1 27.1 28.1 28.2 29.1 29.2 29.3 29.4 30.1 31.1 31.2 31.3 31.4 31.5 31.6 31.7 31.8 32.1 32.2 33.1 33.2 33.3 34.1 35.1 35.2 35.3 35.4 36.1 37.1 38.1 38.2 39.1 39.2 39.3 39.4 39.5 39.6 40.1 40.2 40.3 40.4 40.5 41.1 42.1 43.1 44.1 44.2 44.3 44.4 44.5 44.6 44.7 44.8 44.9 44.10 45.1 46.1 46.2 47.1 48.1 48.2 48.3 48.4 49.1 49.2 49.3 50.1 51.1 52.1 52.2 53.1 54.1 55.1 57.1 58.1 58.2 58.3 58.4 59.1 59.2 59.3 60.1 60.2 60.3 61.1 62.1 62.2 62.3 63.1 64.1 65.1 65.2 66.1 67.1 68.1 69.1 70.1 71.1 72.1 73.1 74.1 75.1 76.1 77.1 78.1 79.1 80.1 81.1 81.2 82.1 83.1 84.1 85.1 86.1 87.1 88.1 89.1 91.1 93.1 94.1 95.1 96.1 96.2 97.1 97.2 97.3 97.4 97.5 97.6 98.1 99.1 99.2 99.3 99.4 99.5 99.6 100.1 100.2 100.3 100.4 101.1 102.1 102.2 102.3 103.1 103.2 103.3 103.4 104.1 105.1 105.2 105.3 105.4 106.1 106.2 106.3 106.4 107.1 107.2 108.1 108.2 108.3 109.1 110.1 110.2 111.1 111.2 111.3 111.4 112.1 112.2 113.1 113.2 113.3 113.4 113.5 113.6 113.7 114.1 115.1 115.2 115.3 115.4 116.1 116.2 116.3 116.4 116.5 117.1 118.1 118.2 118.3 118.4 119.1 120.1 121.1 122.1 123.1 124.1 124.2 125.1 126.1 126.2 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 135.1 135.2 136.1 137.1 138.1 138.2 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 148.2 149.1 149.2 150.1 151.1 152.1 153.1 154.1 155.1 156.1 156.2 157.1 158.1 158.2 159.1 160.1 161.1 162.1 162.2 163.1 164.1 164.2 164.3 165.1 166.1 166.2 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 175.1 175.2 175.3 175.4 175.5 175.6 176.1 177.1 177.2 178.1 178.2 178.3 179.1 179.2 180.1 180.2 180.3 181.1 181.2 181.3 182.1 182.2 182.3 183.1 183.2 183.3 183.4 184.1 185.1 185.2 185.3 185.4 185.5 186.1 187.1 187.2 187.3 188.1 188.2 189.1 189.2 189.3 189.4 189.5 190.1 190.2 190.3 190.4 191.1 191.2 191.3 192.1 192.2 192.3 192.4 192.5 192.6 193.1 193.2 194.1 195.1 195.2 195.3 195.4 195.5 195.6 195.7 196.1 196.2 197.1 197.2 198.1 198.2 199.1 199.2 199.3 199.4 200.1 201.1 201.2 202.1 203.1 204.1 204.2 204.3 204.4 204.5 204.6 204.7 204.8 204.9 204.10 204.11 204.12 204.13 204.14 204.15 204.16 205.1 206.1 206.2 207.1 208.1 208.2 209.1 210.1 210.2 210.3 210.4 210.5 210.6 211.1 212.1 213.1
Privatsphäre und Datenschutz Verantwortliche Stelle im Sinne der Datenschutzgesetze ist: Boogs Home GmbH Ehrenstr. Vertreten durch: Sabine Boog Kontakt: E-Mail: info@boogsshop.de Erfassung allgemeiner Informationen Wenn Sie auf unsere Webseite zugreifen, werden automatisch Informationen allgemeiner Natur erfasst. Diese Informationen (Server-Logfiles) beinhalten etwa die Art des Webbrowsers, das verwendete Betriebssystem, den Domainnamen Ihres Internet Service Providers und Ähnliches. Hierbei handelt es sich ausschließlich um Informationen, welche keine Rückschlüsse auf Ihre Person zulassen. Diese Informationen sind technisch notwendig, um von Ihnen angeforderte Inhalte von Webseiten korrekt auszuliefern und fallen bei Nutzung des Internets zwingend an. Anonyme Informationen dieser Art werden von uns statistisch ausgewertet, um unseren Internetauftritt und die dahinterstehende Technik zu optimieren. Cookies Wie viele andere Webseiten verwenden wir auch so genannte „Cookies“. Cookies sind kleine Textdateien, die von einem Webseitenserver auf Ihre Festplatte übertragen werden. Hierdurch erhalten wir automatisch bestimmte Daten wie z. B. IP-Adresse, verwendeter Browser, Betriebssystem über Ihren Computer und Ihre Verbindung zum Internet. Cookies können nicht verwendet werden, um Programme zu starten oder Viren auf einen Computer zu übertragen. Anhand der in Cookies enthaltenen Informationen können wir Ihnen die Navigation erleichtern und die korrekte Anzeige unserer Webseiten ermöglichen. In keinem Fall werden die von uns erfassten Daten an Dritte weitergegeben oder ohne Ihre Einwilligung eine Verknüpfung mit personenbezogenen Daten hergestellt. Natürlich können Sie unsere Website grundsätzlich auch ohne Cookies betrachten. Internet-Browser sind regelmäßig so eingestellt, dass sie Cookies akzeptieren. Sie können die Verwendung von Cookies jederzeit über die Einstellungen Ihres Browsers deaktivieren. Bitte verwenden Sie die Hilfefunktionen Ihres Internetbrowsers, um zu erfahren, wie Sie diese Einstellungen ändern können. Bitte beachten Sie, dass einzelne Funktionen unserer Website möglicherweise nicht funktionieren, wenn Sie die Verwendung von Cookies deaktiviert haben. Registrierung auf unserer Webseite Bei der Registrierung für die Nutzung unserer personalisierten Leistungen werden einige personenbezogene Daten erhoben, wie Name, Anschrift, Kontakt- und Kommunikationsdaten wie Telefonnummer und E-Mail-Adresse. Sind Sie bei uns registriert, können Sie auf Inhalte und Leistungen zugreifen, die wir nur registrierten Nutzern anbieten. Angemeldete Nutzer haben zudem die Möglichkeit, bei Bedarf die bei Registrierung angegebenen Daten jederzeit zu ändern oder zu löschen. Selbstverständlich erteilen wir Ihnen darüber hinaus jederzeit Auskunft über die von uns über Sie gespeicherten personenbezogenen Daten. Gerne berichtigen bzw. löschen wir diese auch auf Ihren Wunsch, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zur Kontaktaufnahme in diesem Zusammenhang nutzen Sie bitte die am Ende dieser Datenschutzerklärung angegebenen Kontaktdaten. Erbringung kostenpflichtiger Leistungen Zur Erbringung kostenpflichtiger Leistungen werden von uns zusätzliche Daten erfragt, wie z.B. Zahlungsangaben. SSL-Verschlüsselung Um die Sicherheit Ihrer Daten bei der Übertragung zu schützen, verwenden wir dem aktuellen Stand der Technik entsprechende Verschlüsselungsverfahren (z. B. SSL) über HTTPS. Newsletter Bei der Anmeldung zum Bezug unseres Newsletters werden die von Ihnen angegebenen Daten ausschließlich für diesen Zweck verwendet. Abonnenten können auch über Umstände per E-Mail informiert werden, die für den Dienst oder die Registrierung relevant sind (Beispielsweise Änderungen des Newsletterangebots oder technische Gegebenheiten). Für eine wirksame Registrierung benötigen wir eine valide E-Mail-Adresse. Um zu überprüfen, dass eine Anmeldung tatsächlich durch den Inhaber einer E-Mail-Adresse erfolgt, setzen wir das „Double-opt-in“-Verfahren ein. Hierzu protokollieren wir die Bestellung des Newsletters, den Versand einer Bestätigungsmail und den Eingang der hiermit angeforderten Antwort. Weitere Daten werden nicht erhoben. Die Daten werden ausschließlich für den Newsletterversand verwendet und nicht an Dritte weitergegeben. Die Einwilligung zur Speicherung Ihrer persönlichen Daten und ihrer Nutzung für den Newsletterversand können Sie jederzeit widerrufen. In jedem Newsletter findet sich dazu ein entsprechender Link. Außerdem können Sie sich jederzeit auch direkt auf dieser Webseite abmelden oder uns Ihren entsprechenden Wunsch über die am Ende dieser Datenschutzhinweise angegebene Kontaktmöglichkeit mitteilen. Kontaktformular Treten Sie per E-Mail oder Kontaktformular mit uns in Kontakt, werden die von Ihnen gemachten Angaben zum Zwecke der Bearbeitung der Anfrage sowie für mögliche Anschlussfragen gespeichert. Löschung bzw. Sperrung der Daten Wir halten uns an die Grundsätze der Datenvermeidung und Datensparsamkeit. Wir speichern Ihre personenbezogenen Daten daher nur so lange, wie dies zur Erreichung der hier genannten Zwecke erforderlich ist oder wie es die vom Gesetzgeber vorgesehenen vielfältigen Speicherfristen vorsehen. Nach Fortfall des jeweiligen Zweckes bzw. Ablauf dieser Fristen werden die entsprechenden Daten routinemäßig und entsprechend den gesetzlichen Vorschriften gesperrt oder gelöscht. Verwendung von Google Analytics Diese Webseite benutzt Google Analytics, einen Webanalysedienst der Google Inc. (folgend: Google). Google Analytics verwendet sog. „Cookies“, also Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Webseite durch Sie ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Webseite werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert. Aufgrund der Aktivierung der IP-Anonymisierung auf diesen Webseiten, wird Ihre IP-Adresse von Google jedoch innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Webseite wird Google diese Informationen benutzen, um Ihre Nutzung der Webseite auszuwerten, um Reports über die Webseitenaktivitäten zusammenzustellen und um weitere mit der Webseitennutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Webseitenbetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt. Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Webseite vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Webseite bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem sie das unter dem folgenden Link verfügbare Browser-Plugin herunterladen und installieren: Browser-Add-on zur Deaktivierung von Google Analytics. Zusätzlich oder als Alternative zum Browser-Add-On können Sie das Tracking durch Google Analytics auf unseren Seiten unterbinden, indem Sie diesen Link anklicken . Dabei wird ein Opt-Out-Cookie auf Ihrem Gerät installiert. Damit wird die Erfassung durch Google Analytics für diese Website und für diesen Browser zukünftig verhindert, so lange der Cookie in Ihrem Browser installiert bleibt. Verwendung von Google Maps Diese Webseite verwendet Google Maps API, um geographische Informationen visuell darzustellen. Bei der Nutzung von Google Maps werden von Google auch Daten über die Nutzung der Kartenfunktionen durch Besucher erhoben, verarbeitet und genutzt. Nähere Informationen über die Datenverarbeitung durch Google können Sie den Google-Datenschutzhinweisen entnehmen. Dort können Sie im Datenschutzcenter auch Ihre persönlichen Datenschutz-Einstellungen verändern. Ausführliche Anleitungen zur Verwaltung der eigenen Daten im Zusammenhang mit Google-Produkten finden Sie hier. Social Plugins Auf unseren Webseiten werden Social Plugins der unten aufgeführten Anbieter eingesetzt. Die Plugins können Sie daran erkennen, dass sie mit dem entsprechenden Logo gekennzeichnet sind. Über diese Plugins werden unter Umständen Informationen, zu denen auch personenbezogene Daten gehören können, an den Dienstebetreiber gesendet und ggf. von diesem genutzt. Wir verhindern die unbewusste und ungewollte Erfassung und Übertragung von Daten an den Diensteanbieter durch eine 2-Klick-Lösung. Um ein gewünschtes Social Plugin zu aktivieren, muss dieses erst durch Klick auf den entsprechenden Schalter aktiviert werden. Erst durch diese Aktivierung des Plugins wird auch die Erfassung von Informationen und deren Übertragung an den Diensteanbieter ausgelöst. Wir erfassen selbst keine personenbezogenen Daten mittels der Social Plugins oder über deren Nutzung. Wir haben keinen Einfluss darauf, welche Daten ein aktiviertes Plugin erfasst und wie diese durch den Anbieter verwendet werden. Derzeit muss davon ausgegangen werden, dass eine direkte Verbindung zu den Diensten des Anbieters ausgebaut wird sowie mindestens die IP-Adresse und gerätebezogene Informationen erfasst und genutzt werden. Ebenfalls besteht die Möglichkeit, dass die Diensteanbieter versuchen, Cookies auf dem verwendeten Rechner zu speichern. Welche konkreten Daten hierbei erfasst und wie diese genutzt werden, entnehmen Sie bitte den Datenschutzhinweisen des jeweiligen Diensteanbieters. Hinweis: Falls Sie zeitgleich bei Facebook angemeldet sind, kann Facebook Sie als Besucher einer bestimmten Seite identifizieren. Wir haben auf unserer Website die Social-Media-Buttons folgender Unternehmen eingebunden: Facebook Inc. (1601 S. California Ave - Palo Alto - CA 94304 - USA) Google AdWords Unsere Webseite nutzt das Google Conversion-Tracking. Sind Sie über eine von Google geschaltete Anzeige auf unsere Webseite gelangt, wird von Google Adwords ein Cookie auf Ihrem Rechner gesetzt. Das Cookie für Conversion-Tracking wird gesetzt, wenn ein Nutzer auf eine von Google geschaltete Anzeige klickt. Diese Cookies verlieren nach 30 Tagen ihre Gültigkeit und dienen nicht der persönlichen Identifizierung. Besucht der Nutzer bestimmte Seiten unserer Website und das Cookie ist noch nicht abgelaufen, können wir und Google erkennen, dass der Nutzer auf die Anzeige geklickt hat und zu dieser Seite weitergeleitet wurde. Jeder Google AdWords-Kunde erhält ein anderes Cookie. Cookies können somit nicht über die Websites von AdWords-Kunden nachverfolgt werden. Die mithilfe des Conversion-Cookies eingeholten Informationen dienen dazu, Conversion-Statistiken für AdWords-Kunden zu erstellen, die sich für Conversion-Tracking entschieden haben. Die Kunden erfahren die Gesamtanzahl der Nutzer, die auf ihre Anzeige geklickt haben und zu einer mit einem Conversion-Tracking-Tag versehenen Seite weitergeleitet wurden. Sie erhalten jedoch keine Informationen, mit denen sich Nutzer persönlich identifizieren lassen. Möchten Sie nicht am Tracking teilnehmen, können Sie das hierfür erforderliche Setzen eines Cookies ablehnen – etwa per Browser-Einstellung, die das automatische Setzen von Cookies generell deaktiviert oder Ihren Browser so einstellen, dass Cookies von der Domain „googleleadservices.com“ blockiert werden. Bitte beachten Sie, dass Sie die Opt-out-Cookies nicht löschen dürfen, solange Sie keine Aufzeichnung von Messdaten wünschen. Haben Sie alle Ihre Cookies im Browser gelöscht, müssen Sie das jeweilige Opt-out Cookie erneut setzen. Ihre Rechte auf Auskunft, Berichtigung, Sperre, Löschung und Widerspruch Sie haben das Recht, jederzeit Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten zu erhalten. Ebenso haben Sie das Recht auf Berichtigung, Sperrung oder, abgesehen von der vorgeschriebenen Datenspeicherung zur Geschäftsabwicklung, Löschung Ihrer personenbezogenen Daten. Bitte wenden Sie sich dazu an unseren Datenschutzbeauftragten. Die Kontaktdaten finden Sie ganz unten. Damit eine Sperre von Daten jederzeit berücksichtigt werden kann, müssen diese Daten zu Kontrollzwecken in einer Sperrdatei vorgehalten werden. Sie können auch die Löschung der Daten verlangen, soweit keine gesetzliche Archivierungsverpflichtung besteht. Soweit eine solche Verpflichtung besteht, sperren wir Ihre Daten auf Wunsch. Sie können Änderungen oder den Widerruf einer Einwilligung durch entsprechende Mitteilung an uns mit Wirkung für die Zukunft vornehmen. Änderung unserer Datenschutzbestimmungen Wir behalten uns vor, diese Datenschutzerklärung gelegentlich anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen, z. B. bei der Einführung neuer Services. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Fragen an den Datenschutzbeauftragten Wenn Sie Fragen zum Datenschutz haben, schreiben Sie uns bitte eine E-Mail oder wenden Sie sich direkt an unseren Datenschutzbeauftragten: Die Datenschutzerklärung wurde mit dem Datenschutzerklärungs-Generator der activeMind AG erstellt. Privacy Policy We are very delighted that you have shown interest in our enterprise. Data protection is of a particularly high priority for the management of the Boogs Home GmbH. The use of the Internet pages of the Boogs Home GmbH is possible without any indication of personal data; however, if a data subject wants to use special enterprise services via our website, processing of personal data could become necessary. If the processing of personal data is necessary and there is no statutory basis for such processing, we generally obtain consent from the data subject. The processing of personal data, such as the name, address, e-mail address, or telephone number of a data subject shall always be in line with the General Data Protection Regulation (GDPR), and in accordance with the country-specific data protection regulations applicable to the Boogs Home GmbH. By means of this data protection declaration, our enterprise would like to inform the general public of the nature, scope, and purpose of the personal data we collect, use and process. Furthermore, data subjects are informed, by means of this data protection declaration, of the rights to which they are entitled. As the controller, the Boogs Home GmbH has implemented numerous technical and organizational measures to ensure the most complete protection of personal data processed through this website. However, Internet-based data transmissions may in principle have security gaps, so absolute protection may not be guaranteed. For this reason, every data subject is free to transfer personal data to us via alternative means, e.g. by telephone. Definitions The data protection declaration of the Boogs Home GmbH is based on the terms used by the European legislator for the adoption of the General Data Protection Regulation (GDPR). Our data protection declaration should be legible and understandable for the general public, as well as our customers and business partners. To ensure this, we would like to first explain the terminology used. In this data protection declaration, we use, inter alia, the following terms: a) Personal data Personal data means any information relating to an identified or identifiable natural person (“data subject”). An identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person. b) Data subject Data subject is any identified or identifiable natural person, whose personal data is processed by the controller responsible for the processing. c) Processing Processing is any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction. d) Restriction of processing Restriction of processing is the marking of stored personal data with the aim of limiting their processing in the future. e) Profiling Profiling means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person's performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements. f) Pseudonymisation Pseudonymisation is the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person. g) Controller or controller responsible for the processing Controller or controller responsible for the processing is the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law. h) Processor Processor is a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller. i) Recipient Recipient is a natural or legal person, public authority, agency or another body, to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing. j) Third party Third party is a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data. k) Consent Consent of the data subject is any freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her. Name and Address of the controller Controller for the purposes of the General Data Protection Regulation (GDPR), other data protection laws applicable in Member states of the European Union and other provisions related to data protection is: Boogs Home GmbH Ehrenstr 84 - 86 Deutschland Email: sb@boogs-home.de Website: www.boogs-home.de Cookies The Internet pages of the Boogs Home GmbH use cookies. Cookies are text files that are stored in a computer system via an Internet browser. Many Internet sites and servers use cookies. Many cookies contain a so-called cookie ID. A cookie ID is a unique identifier of the cookie. It consists of a character string through which Internet pages and servers can be assigned to the specific Internet browser in which the cookie was stored. This allows visited Internet sites and servers to differentiate the individual browser of the dats subject from other Internet browsers that contain other cookies. A specific Internet browser can be recognized and identified using the unique cookie ID. Through the use of cookies, the Boogs Home GmbH can provide the users of this website with more user-friendly services that would not be possible without the cookie setting. By means of a cookie, the information and offers on our website can be optimized with the user in mind. Cookies allow us, as previously mentioned, to recognize our website users. The purpose of this recognition is to make it easier for users to utilize our website. The website user that uses cookies, e.g. does not have to enter access data each time the website is accessed, because this is taken over by the website, and the cookie is thus stored on the user's computer system. Another example is the cookie of a shopping cart in an online shop. The online store remembers the articles that a customer has placed in the virtual shopping cart via a cookie. The data subject may, at any time, prevent the setting of cookies through our website by means of a corresponding setting of the Internet browser used, and may thus permanently deny the setting of cookies. Furthermore, already set cookies may be deleted at any time via an Internet browser or other software programs. This is possible in all popular Internet browsers. If the data subject deactivates the setting of cookies in the Internet browser used, not all functions of our website may be entirely usable. Collection of general data and information The website of the Boogs Home GmbH collects a series of general data and information when a data subject or automated system calls up the website. This general data and information are stored in the server log files. Collected may be (1) the browser types and versions used, (2) the operating system used by the accessing system, (3) the website from which an accessing system reaches our website (so-called referrers), (4) the sub-websites, (5) the date and time of access to the Internet site, (6) an Internet protocol address (IP address), (7) the Internet service provider of the accessing system, and (8) any other similar data and information that may be used in the event of attacks on our information technology systems. When using these general data and information, the Boogs Home GmbH does not draw any conclusions about the data subject. Rather, this information is needed to (1) deliver the content of our website correctly, (2) optimize the content of our website as well as its advertisement, (3) ensure the long-term viability of our information technology systems and website technology, and (4) provide law enforcement authorities with the information necessary for criminal prosecution in case of a cyber-attack. Therefore, the Boogs Home GmbH analyzes anonymously collected data and information statistically, with the aim of increasing the data protection and data security of our enterprise, and to ensure an optimal level of protection for the personal data we process. The anonymous data of the server log files are stored separately from all personal data provided by a data subject. Registration on our website The data subject has the possibility to register on the website of the controller with the indication of personal data. Which personal data are transmitted to the controller is determined by the respective input mask used for the registration. The personal data entered by the data subject are collected and stored exclusively for internal use by the controller, and for his own purposes. The controller may request transfer to one or more processors (e.g. a parcel service) that also uses personal data for an internal purpose which is attributable to the controller. By registering on the website of the controller, the IP address—assigned by the Internet service provider (ISP) and used by the data subject—date, and time of the registration are also stored. The storage of this data takes place against the background that this is the only way to prevent the misuse of our services, and, if necessary, to make it possible to investigate committed offenses. Insofar, the storage of this data is necessary to secure the controller. This data is not passed on to third parties unless there is a statutory obligation to pass on the data, or if the transfer serves the aim of criminal prosecution. The registration of the data subject, with the voluntary indication of personal data, is intended to enable the controller to offer the data subject contents or services that may only be offered to registered users due to the nature of the matter in question. Registered persons are free to change the personal data specified during the registration at any time, or to have them completely deleted from the data stock of the controller. The data controller shall, at any time, provide information upon request to each data subject as to what personal data are stored about the data subject. In addition, the data controller shall correct or erase personal data at the request or indication of the data subject, insofar as there are no statutory storage obligations. The entirety of the controller’s employees are available to the data subject in this respect as contact persons. Subscription to our newsletters On the website of the Boogs Home GmbH, users are given the opportunity to subscribe to our enterprise's newsletter. The input mask used for this purpose determines what personal data are transmitted, as well as when the newsletter is ordered from the controller. The Boogs Home GmbH informs its customers and business partners regularly by means of a newsletter about enterprise offers. The enterprise's newsletter may only be received by the data subject if (1) the data subject has a valid e-mail address and (2) the data subject registers for the newsletter shipping. A confirmation e-mail will be sent to the e-mail address registered by a data subject for the first time for newsletter shipping, for legal reasons, in the double opt-in procedure. This confirmation e-mail is used to prove whether the owner of the e-mail address as the data subject is authorized to receive the newsletter. During the registration for the newsletter, we also store the IP address of the computer system assigned by the Internet service provider (ISP) and used by the data subject at the time of the registration, as well as the date and time of the registration. The collection of this data is necessary in order to understand the (possible) misuse of the e-mail address of a data subject at a later date, and it therefore serves the aim of the legal protection of the controller. The personal data collected as part of a registration for the newsletter will only be used to send our newsletter. In addition, subscribers to the newsletter may be informed by e-mail, as long as this is necessary for the operation of the newsletter service or a registration in question, as this could be the case in the event of modifications to the newsletter offer, or in the event of a change in technical circumstances. There will be no transfer of personal data collected by the newsletter service to third parties. The subscription to our newsletter may be terminated by the data subject at any time. The consent to the storage of personal data, which the data subject has given for shipping the newsletter, may be revoked at any time. For the purpose of revocation of consent, a corresponding link is found in each newsletter. It is also possible to unsubscribe from the newsletter at any time directly on the website of the controller, or to communicate this to the controller in a different way. Newsletter-Tracking The newsletter of the Boogs Home GmbH contains so-called tracking pixels. A tracking pixel is a miniature graphic embedded in such e-mails, which are sent in HTML format to enable log file recording and analysis. This allows a statistical analysis of the success or failure of online marketing campaigns. Based on the embedded tracking pixel, the Boogs Home GmbH may see if and when an e-mail was opened by a data subject, and which links in the e-mail were called up by data subjects. Such personal data collected in the tracking pixels contained in the newsletters are stored and analyzed by the controller in order to optimize the shipping of the newsletter, as well as to adapt the content of future newsletters even better to the interests of the data subject. These personal data will not be passed on to third parties. Data subjects are at any time entitled to revoke the respective separate declaration of consent issued by means of the double-opt-in procedure. After a revocation, these personal data will be deleted by the controller. The Boogs Home GmbH automatically regards a withdrawal from the receipt of the newsletter as a revocation. Contact possibility via the website The website of the Boogs Home GmbH contains information that enables a quick electronic contact to our enterprise, as well as direct communication with us, which also includes a general address of the so-called electronic mail (e-mail address). If a data subject contacts the controller by e-mail or via a contact form, the personal data transmitted by the data subject are automatically stored. Such personal data transmitted on a voluntary basis by a data subject to the data controller are stored for the purpose of processing or contacting the data subject. There is no transfer of this personal data to third parties. Routine erasure and blocking of personal data The data controller shall process and store the personal data of the data subject only for the period necessary to achieve the purpose of storage, or as far as this is granted by the European legislator or other legislators in laws or regulations to which the controller is subject to. If the storage purpose is not applicable, or if a storage period prescribed by the European legislator or another competent legislator expires, the personal data are routinely blocked or erased in accordance with legal requirements. Rights of the data subject a) Right of confirmation Each data subject shall have the right granted by the European legislator to obtain from the controller the confirmation as to whether or not personal data concerning him or her are being processed. If a data subject wishes to avail himself of this right of confirmation, he or she may, at any time, contact any employee of the controller. b) Right of access Each data subject shall have the right granted by the European legislator to obtain from the controller free information about his or her personal data stored at any time and a copy of this information. Furthermore, the European directives and regulations grant the data subject access to the following information: - the purposes of the processing; - the categories of personal data concerned; - the recipients or categories of recipients to whom the personal data have been or will be disclosed, in particular recipients in third countries or international organisations; - where possible, the envisaged period for which the personal data will be stored, or, if not possible, the criteria used to determine that period; - the existence of the right to request from the controller rectification or erasure of personal data, or restriction of processing of personal data concerning the data subject, or to object to such processing; - the existence of the right to lodge a complaint with a supervisory authority; - where the personal data are not collected from the data subject, any available information as to their source; - the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) of the GDPR and, at least in those cases, meaningful information about the logic involved, as well as the significance and envisaged consequences of such processing for the data subject. Furthermore, the data subject shall have a right to obtain information as to whether personal data are transferred to a third country or to an international organisation. Where this is the case, the data subject shall have the right to be informed of the appropriate safeguards relating to the transfer. If a data subject wishes to avail himself of this right of access, he or she may, at any time, contact any employee of the controller. c) Right to rectification Each data subject shall have the right granted by the European legislator to obtain from the controller without undue delay the rectification of inaccurate personal data concerning him or her. Taking into account the purposes of the processing, the data subject shall have the right to have incomplete personal data completed, including by means of providing a supplementary statement. If a data subject wishes to exercise this right to rectification, he or she may, at any time, contact any employee of the controller. d) Right to erasure (Right to be forgotten) Each data subject shall have the right granted by the European legislator to obtain from the controller the erasure of personal data concerning him or her without undue delay, and the controller shall have the obligation to erase personal data without undue delay where one of the following grounds applies, as long as the processing is not necessary: - The personal data are no longer necessary in relation to the purposes for which they were collected or otherwise processed. - The data subject withdraws consent to which the processing is based according to point (a) of Article 6(1) of the GDPR, or point (a) of Article 9(2) of the GDPR, and where there is no other legal ground for the processing. - The data subject objects to the processing pursuant to Article 21(1) of the GDPR and there are no overriding legitimate grounds for the processing, or the data subject objects to the processing pursuant to Article 21(2) of the GDPR. - The personal data have been unlawfully processed. - The personal data must be erased for compliance with a legal obligation in Union or Member State law to which the controller is subject. - The personal data have been collected in relation to the offer of information society services referred to in Article 8(1) of the GDPR. If one of the aforementioned reasons applies, and a data subject wishes to request the erasure of personal data stored by the Boogs Home GmbH, he or she may, at any time, contact any employee of the controller. An employee of Boogs Home GmbH shall promptly ensure that the erasure request is complied with immediately. Where the controller has made personal data public and is obliged pursuant to Article 17(1) to erase the personal data, the controller, taking account of available technology and the cost of implementation, shall take reasonable steps, including technical measures, to inform other controllers processing the personal data that the data subject has requested erasure by such controllers of any links to, or copy or replication of, those personal data, as far as processing is not required. An employees of the Boogs Home GmbH will arrange the necessary measures in individual cases. e) Right of restriction of processing Each data subject shall have the right granted by the European legislator to obtain from the controller restriction of processing where one of the following applies: - The accuracy of the personal data is contested by the data subject, for a period enabling the controller to verify the accuracy of the personal data. - The processing is unlawful and the data subject opposes the erasure of the personal data and requests instead the restriction of their use instead. - The controller no longer needs the personal data for the purposes of the processing, but they are required by the data subject for the establishment, exercise or defence of legal claims. - The data subject has objected to processing pursuant to Article 21(1) of the GDPR pending the verification whether the legitimate grounds of the controller override those of the data subject. If one of the aforementioned conditions is met, and a data subject wishes to request the restriction of the processing of personal data stored by the Boogs Home GmbH, he or she may at any time contact any employee of the controller. The employee of the Boogs Home GmbH will arrange the restriction of the processing. f) Right to data portability Each data subject shall have the right granted by the European legislator, to receive the personal data concerning him or her, which was provided to a controller, in a structured, commonly used and machine-readable format. He or she shall have the right to transmit those data to another controller without hindrance from the controller to which the personal data have been provided, as long as the processing is based on consent pursuant to point (a) of Article 6(1) of the GDPR or point (a) of Article 9(2) of the GDPR, or on a contract pursuant to point (b) of Article 6(1) of the GDPR, and the processing is carried out by automated means, as long as the processing is not necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller. Furthermore, in exercising his or her right to data portability pursuant to Article 20(1) of the GDPR, the data subject shall have the right to have personal data transmitted directly from one controller to another, where technically feasible and when doing so does not adversely affect the rights and freedoms of others. In order to assert the right to data portability, the data subject may at any time contact any employee of the Boogs Home GmbH. g) Right to object Each data subject shall have the right granted by the European legislator to object, on grounds relating to his or her particular situation, at any time, to processing of personal data concerning him or her, which is based on point (e) or (f) of Article 6(1) of the GDPR. This also applies to profiling based on these provisions. The Boogs Home GmbH shall no longer process the personal data in the event of the objection, unless we can demonstrate compelling legitimate grounds for the processing which override the interests, rights and freedoms of the data subject, or for the establishment, exercise or defence of legal claims. If the Boogs Home GmbH processes personal data for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing. This applies to profiling to the extent that it is related to such direct marketing. If the data subject objects to the Boogs Home GmbH to the processing for direct marketing purposes, the Boogs Home GmbH will no longer process the personal data for these purposes. In addition, the data subject has the right, on grounds relating to his or her particular situation, to object to processing of personal data concerning him or her by the Boogs Home GmbH for scientific or historical research purposes, or for statistical purposes pursuant to Article 89(1) of the GDPR, unless the processing is necessary for the performance of a task carried out for reasons of public interest. In order to exercise the right to object, the data subject may contact any employee of the Boogs Home GmbH. In addition, the data subject is free in the context of the use of information society services, and notwithstanding Directive 2002/58/EC, to use his or her right to object by automated means using technical specifications. h) Automated individual decision-making, including profiling Each data subject shall have the right granted by the European legislator not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her, or similarly significantly affects him or her, as long as the decision (1) is not is necessary for entering into, or the performance of, a contract between the data subject and a data controller, or (2) is not authorised by Union or Member State law to which the controller is subject and which also lays down suitable measures to safeguard the data subject's rights and freedoms and legitimate interests, or (3) is not based on the data subject's explicit consent. If the decision (1) is necessary for entering into, or the performance of, a contract between the data subject and a data controller, or (2) it is based on the data subject's explicit consent, the Boogs Home GmbH shall implement suitable measures to safeguard the data subject's rights and freedoms and legitimate interests, at least the right to obtain human intervention on the part of the controller, to express his or her point of view and contest the decision. If the data subject wishes to exercise the rights concerning automated individual decision-making, he or she may, at any time, contact any employee of the Boogs Home GmbH. i) Right to withdraw data protection consent Each data subject shall have the right granted by the European legislator to withdraw his or her consent to processing of his or her personal data at any time. If the data subject wishes to exercise the right to withdraw the consent, he or she may, at any time, contact any employee of the Boogs Home GmbH. Data protection for applications and the application procedures The data controller shall collect and process the personal data of applicants for the purpose of the processing of the application procedure. The processing may also be carried out electronically. This is the case, in particular, if an applicant submits corresponding application documents by e-mail or by means of a web form on the website to the controller. If the data controller concludes an employment contract with an applicant, the submitted data will be stored for the purpose of processing the employment relationship in compliance with legal requirements. If no employment contract is concluded with the applicant by the controller, the application documents shall be automatically erased two months after notification of the refusal decision, provided that no other legitimate interests of the controller are opposed to the erasure. Other legitimate interest in this relation is, e.g. a burden of proof in a procedure under the General Equal Treatment Act (AGG). Data protection provisions about the application and use of Facebook On this website, the controller has integrated components of the enterprise Facebook. Facebook is a social network. A social network is a place for social meetings on the Internet, an online community, which usually allows users to communicate with each other and interact in a virtual space. A social network may serve as a platform for the exchange of opinions and experiences, or enable the Internet community to provide personal or business-related information. Facebook allows social network users to include the creation of private profiles, upload photos, and network through friend requests. The operating company of Facebook is Facebook, Inc., 1 Hacker Way, Menlo Park, CA 94025, United States. If a person lives outside of the United States or Canada, the controller is the Facebook Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Ireland. With each call-up to one of the individual pages of this Internet website, which is operated by the controller and into which a Facebook component (Facebook plug-ins) was integrated, the web browser on the information technology system of the data subject is automatically prompted to download display of the corresponding Facebook component from Facebook through the Facebook component. An overview of all the Facebook Plug-ins may be accessed under https://developers.facebook.com/docs/plugins/. During the course of this technical procedure, Facebook is made aware of what specific sub-site of our website was visited by the data subject. If the data subject is logged in at the same time on Facebook, Facebook detects with every call-up to our website by the data subject—and for the entire duration of their stay on our Internet site—which specific sub-site of our Internet page was visited by the data subject. This information is collected through the Facebook component and associated with the respective Facebook account of the data subject. If the data subject clicks on one of the Facebook buttons integrated into our website, e.g. the "Like" button, or if the data subject submits a comment, then Facebook matches this information with the personal Facebook user account of the data subject and stores the personal data. Facebook always receives, through the Facebook component, information about a visit to our website by the data subject, whenever the data subject is logged in at the same time on Facebook during the time of the call-up to our website. This occurs regardless of whether the data subject clicks on the Facebook component or not. If such a transmission of information to Facebook is not desirable for the data subject, then he or she may prevent this by logging off from their Facebook account before a call-up to our website is made. The data protection guideline published by Facebook, which is available at https://facebook.com/about/privacy/, provides information about the collection, processing and use of personal data by Facebook. In addition, it is explained there what setting options Facebook offers to protect the privacy of the data subject. In addition, different configuration options are made available to allow the elimination of data transmission to Facebook. These applications may be used by the data subject to eliminate a data transmission to Facebook. Data protection provisions about the application and use of Google Analytics (with anonymization function) On this website, the controller has integrated the component of Google Analytics (with the anonymizer function). Google Analytics is a web analytics service. Web analytics is the collection, gathering, and analysis of data about the behavior of visitors to websites. A web analysis service collects, inter alia, data about the website from which a person has come (the so-called referrer), which sub-pages were visited, or how often and for what duration a sub-page was viewed. Web analytics are mainly used for the optimization of a website and in order to carry out a cost-benefit analysis of Internet advertising. The operator of the Google Analytics component is Google Inc., 1600 Amphitheatre Pkwy, Mountain View, CA 94043-1351, United States. For the web analytics through Google Analytics the controller uses the application "_gat. _anonymizeIp". By means of this application the IP address of the Internet connection of the data subject is abridged by Google and anonymised when accessing our websites from a Member State of the European Union or another Contracting State to the Agreement on the European Economic Area. The purpose of the Google Analytics component is to analyze the traffic on our website. Google uses the collected data and information, inter alia, to evaluate the use of our website and to provide online reports, which show the activities on our websites, and to provide other services concerning the use of our Internet site for us. Google Analytics places a cookie on the information technology system of the data subject. The definition of cookies is explained above. With the setting of the cookie, Google is enabled to analyze the use of our website. With each call-up to one of the individual pages of this Internet site, which is operated by the controller and into which a Google Analytics component was integrated, the Internet browser on the information technology system of the data subject will automatically submit data through the Google Analytics component for the purpose of online advertising and the settlement of commissions to Google. During the course of this technical procedure, the enterprise Google gains knowledge of personal information, such as the IP address of the data subject, which serves Google, inter alia, to understand the origin of visitors and clicks, and subsequently create commission settlements. The cookie is used to store personal information, such as the access time, the location from which the access was made, and the frequency of visits of our website by the data subject. With each visit to our Internet site, such personal data, including the IP address of the Internet access used by the data subject, will be transmitted to Google in the United States of America. These personal data are stored by Google in the United States of America. Google may pass these personal data collected through the technical procedure to third parties. The data subject may, as stated above, prevent the setting of cookies through our website at any time by means of a corresponding adjustment of the web browser used and thus permanently deny the setting of cookies. Such an adjustment to the Internet browser used would also prevent Google Analytics from setting a cookie on the information technology system of the data subject. In addition, cookies already in use by Google Analytics may be deleted at any time via a web browser or other software programs. In addition, the data subject has the possibility of objecting to a collection of data that are generated by Google Analytics, which is related to the use of this website, as well as the processing of this data by Google and the chance to preclude any such. For this purpose, the data subject must download a browser add-on under the link https://tools.google.com/dlpage/gaoptout and install it. This browser add-on tells Google Analytics through a JavaScript, that any data and information about the visits of Internet pages may not be transmitted to Google Analytics. The installation of the browser add-ons is considered an objection by Google. If the information technology system of the data subject is later deleted, formatted, or newly installed, then the data subject must reinstall the browser add-ons to disable Google Analytics. If the browser add-on was uninstalled by the data subject or any other person who is attributable to their sphere of competence, or is disabled, it is possible to execute the reinstallation or reactivation of the browser add-ons. Further information and the applicable data protection provisions of Google may be retrieved under https://www.google.com/intl/en/policies/privacy/ and under http://www.google.com/analytics/terms/us.html. Google Analytics is further explained under the following Link https://www.google.com/analytics/. Payment Method: Data protection provisions about the use of PayPal as a payment processor On this website, the controller has integrated components of PayPal. PayPal is an online payment service provider. Payments are processed via so-called PayPal accounts, which represent virtual private or business accounts. PayPal is also able to process virtual payments through credit cards when a user does not have a PayPal account. A PayPal account is managed via an e-mail address, which is why there are no classic account numbers. PayPal makes it possible to trigger online payments to third parties or to receive payments. PayPal also accepts trustee functions and offers buyer protection services. The European operating company of PayPal is PayPal (Europe) S.à.r.l. & Cie. S.C.A., 22-24 Boulevard Royal, 2449 Luxembourg, Luxembourg. If the data subject chooses "PayPal" as the payment option in the online shop during the ordering process, we automatically transmit the data of the data subject to PayPal. By selecting this payment option, the data subject agrees to the transfer of personal data required for payment processing. The personal data transmitted to PayPal is usually first name, last name, address, email address, IP address, telephone number, mobile phone number, or other data necessary for payment processing. The processing of the purchase contract also requires such personal data, which are in connection with the respective order. The transmission of the data is aimed at payment processing and fraud prevention. The controller will transfer personal data to PayPal, in particular, if a legitimate interest in the transmission is given. The personal data exchanged between PayPal and the controller for the processing of the data will be transmitted by PayPal to economic credit agencies. This transmission is intended for identity and creditworthiness checks. PayPal will, if necessary, pass on personal data to affiliates and service providers or subcontractors to the extent that this is necessary to fulfill contractual obligations or for data to be processed in the order. The data subject has the possibility to revoke consent for the handling of personal data at any time from PayPal. A revocation shall not have any effect on personal data which must be processed, used or transmitted in accordance with (contractual) payment processing. The applicable data protection provisions of PayPal may be retrieved under https://www.paypal.com/us/webapps/mpp/ua/privacy-full. Legal basis for the processing Art. a GDPR serves as the legal basis for processing operations for which we obtain consent for a specific processing purpose. If the processing of personal data is necessary for the performance of a contract to which the data subject is party, as is the case, for example, when processing operations are necessary for the supply of goods or to provide any other service, the processing is based on Article 6(1) lit. b GDPR. The same applies to such processing operations which are necessary for carrying out pre-contractual measures, for example in the case of inquiries concerning our products or services. Is our company subject to a legal obligation by which processing of personal data is required, such as for the fulfillment of tax obligations, the processing is based on Art. c GDPR. In rare cases, the processing of personal data may be necessary to protect the vital interests of the data subject or of another natural person. This would be the case, for example, if a visitor were injured in our company and his name, age, health insurance data or other vital information would have to be passed on to a doctor, hospital or other third party. Then the processing would be based on Art. d GDPR. Finally, processing operations could be based on Article 6(1) lit. f GDPR. This legal basis is used for processing operations which are not covered by any of the abovementioned legal grounds, if processing is necessary for the purposes of the legitimate interests pursued by our company or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data. Such processing operations are particularly permissible because they have been specifically mentioned by the European legislator. He considered that a legitimate interest could be assumed if the data subject is a client of the controller (Recital 47 Sentence 2 GDPR). The legitimate interests pursued by the controller or by a third party Where the processing of personal data is based on Article 6(1) lit. f GDPR our legitimate interest is to carry out our business in favor of the well-being of all our employees and the shareholders. Period for which the personal data will be stored The criteria used to determine the period of storage of personal data is the respective statutory retention period. After expiration of that period, the corresponding data is routinely deleted, as long as it is no longer necessary for the fulfillment of the contract or the initiation of a contract. Provision of personal data as statutory or contractual requirement; Requirement necessary to enter into a contract; Obligation of the data subject to provide the personal data; possible consequences of failure to provide such data We clarify that the provision of personal data is partly required by law (e.g. tax regulations) or can also result from contractual provisions (e.g. information on the contractual partner). Sometimes it may be necessary to conclude a contract that the data subject provides us with personal data, which must subsequently be processed by us. The data subject is, for example, obliged to provide us with personal data when our company signs a contract with him or her. The non-provision of the personal data would have the consequence that the contract with the data subject could not be concluded. Before personal data is provided by the data subject, the data subject must contact any employee. The employee clarifies to the data subject whether the provision of the personal data is required by law or contract or is necessary for the conclusion of the contract, whether there is an obligation to provide the personal data and the consequences of non-provision of the personal data. Existence of automated decision-making As a responsible company, we do not use automatic decision-making or profiling. This Privacy Policy has been generated by the Privacy Policy Generator of the German Association for Data Protection that was developed in cooperation withPrivacy Lawyers from WILDE BEUGER SOLMECKE, Cologne.
1.1 2.1 3.1 4.1 4.2 4.3 5.1 5.2 5.3 6.1 6.2 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 22.2 23.1 24.1 25.1 26.1 27.1 27.2 28.1 29.1 30.1 31.1 31.2 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 52.2 53.1 54.1 55.1 55.2 56.1 57.1 58.1 58.2 58.3 59.1 60.1 61.1 62.1 62.2 63.1 63.2 64.1 65.1 66.1 67.1 67.2 67.3 68.1 68.2 69.1 70.1 71.1 72.1 72.2 73.1 74.1 75.1 76.1 77.1 78.1 79.1 80.1 81.1 81.2 82.1 83.1 83.2 83.3 84.1 84.2 84.3 85.1 86.1 86.2 86.3 86.4 87.1 88.1 89.1 90.1 91.1 92.1 93.1 93.2 94.1 95.1 96.1 97.1 98.1 99.1 99.2 100.1 100.2 101.1 102.1 103.1 104.1 105.1 105.2 105.3 106.1 107.1 107.2 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 127.2 128.1 129.1 130.1 131.1 132.1 133.1 133.2 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 149.2 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 159.1 159.2 159.3 160.1 161.1 162.1 162.2 162.3 162.4 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 174.2 175.1 176.1 176.2 176.3 177.1 177.2 177.3 178.1 179.1 180.1 181.1 182.1 183.1 184.1 185.1 186.1 187.1 188.1 189.1 190.1 191.1 192.1 193.1 194.1 195.1 196.1 197.1 198.1 199.1 200.1 201.1 202.1 203.1 204.1 205.1 206.1 207.1 207.2 208.1 209.1 210.1 211.1 212.1 213.1 214.1 214.2 215.1 215.2 215.3 216.1 217.1 217.2 218.1 219.1 219.2 220.1 221.1 222.1 222.2 223.1 224.1 224.2 225.1 226.1 227.1 228.1 229.1 230.1 231.1 232.1 233.1 234.1 235.1 236.1 237.1 237.2 238.1 239.1 239.2 240.1 241.1 242.1 243.1 244.1 245.1 246.1 247.1 248.1 249.1 250.1 250.2 251.1 252.1 253.1 254.1 254.2 255.1 256.1 257.1 258.1 259.1 260.1 261.1 262.1 263.1 264.1 265.1 266.1 267.1 268.1 268.2 269.1 270.1 271.1 272.1 272.2 273.1 274.1 275.1 276.1 277.1 277.2 278.1 279.1 280.1 281.1 282.1 283.1 284.1 285.1 286.1 286.2 286.3 287.1 288.1 289.1 290.1 291.1 292.1 293.1 294.1 295.1 296.1 297.1 298.1 299.1 300.1 301.1 302.1 303.1 304.1 305.1 306.1 307.1 308.1 309.1 310.1 310.2 310.3 311.1 312.1 312.2 313.1 314.1 314.2 315.1 315.2 315.3 315.4 315.5 316.1 317.1 318.1 319.1 319.2 320.1 321.1 321.2 322.1 322.2 323.1 324.1 325.1 326.1 327.1 328.1 329.1 330.1 331.1 332.1 333.1 333.2 334.1 334.2 335.1 335.2 335.3 336.1 337.1 337.2 337.3 338.1 339.1 340.1 341.1 342.1 342.2 342.3 343.1 343.2 343.3 344.1 344.2 344.3 344.4 345.1 345.2 346.1 346.2 347.1 348.1 349.1 350.1 351.1 352.1 352.2 352.3 353.1 354.1 354.2 355.1 355.2 356.1 357.1 358.1 359.1 360.1 361.1 362.1 363.1 364.1 364.2 365.1 366.1 367.1 368.1 368.2 369.1 370.1 371.1 372.1 373.1 374.1 374.2 375.1 375.2 376.1 377.1 378.1 379.1 379.2 380.1 381.1 382.1 383.1 383.2 383.3 384.1 384.2 385.1 386.1 387.1 388.1 389.1 390.1 391.1 391.2 392.1 392.2 393.1 394.1 394.2 395.1
Politika privatnosti POLITIKA ZAŠTITE OSOBNIH PODATAKA Uvod Politika zaštite osobnih podataka (dalje u tekstu: Politika) uređuje način i opseg preporučljivog postupanja pri svakom prikupljanju, obradi i pohrani osobnih podataka od strane društva CASALINUS d.o.o. (Hotel Šipan), Orešići 9, Zagreb OIB 2792346996, (dalje u tekstu: Društvo). Navedena Politika postavlja smjernice kojima se nastoji, u mjeri u kojoj je to moguće s obzirom na okolnosti svakog pojedinog slučaja, uspostaviti sukladnost s Uredbom EU 2016/679 Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i slobodnom kretanju takvih podataka od 27. travnja 2016. godine (Opća uredba o zaštiti podataka). Svrha ove Politike je uspostaviti standarde za sve rukovoditelje, zaposlenike i druge djelatnike prilikom rada i profesionalnog djelovanja u Društvu, i to u odnosu na postupanje sa osobnim podacima. Krajnji cilj bi pritom bio minimalizirati rizik vezan uz potencijalne nesukladnosti s primjenjivim propisima, a o čemu dakako ovisi pravodobna i kvalitetna reakcija zaposlenika u svakom pojedinom slučaju. S tim u vezi se zaposlenici pozivaju da, u slučaju nerazumijevanja pojedinih odredbi ove Politike, nejasnoća prilikom njihovog implementiranja u poslovanje ili bilo kakve dvojbe vezane uz trenutno ili buduće prikupljanje, obradu ili pohranu osobnih podataka, zaustave svako postupanje te da se obvezno obrate nadležnom službeniku za zaštitu podataka radi daljnjeg savjetovanja i uputa. Zaštita osobnih podataka jedno je od temeljnih ljudskih prava. Društvo je svjesno važnosti pouzdane i sigurne obrade osobnih podataka svojih gostiju, radnika i drugih fizičkih osoba čije osobne podatke prikuplja i dalje obrađuje. Ovim Politikom Društvo stvara jedinstvenu i visoku razinu zaštite osobnih podataka koje obrađuje. Društvo ostvaruje zaštitu osobnih podataka ponajprije na sljedeće načine: - usvajanjem ove Politike, kojom se reguliraju opća pravila vezana uz zaštitu osobnih podataka od strane Društva, - usvajanjem posebnih internih pravilnika ili protokola kojima se detaljnije regulira obrada osobnih podataka, - primjenom kadrovskih, organizacijskih i tehničkih mjera zaštite osobnih podataka, - imenovanjem službenika za zaštitu osobnih podataka, - ažurnim vođenjem evidencija o aktivnostima obrade podataka, - kontinuiranom edukacijom radnika o važnosti zaštite osobnih podataka. Definiranje i razumijevanje ključnih pojmova U svrhu boljeg razumijevanja pojmova koji će biti prisutni u brojnim odredbama Politike, u nastavku se navode sljedeće definicije: Osobni podaci Pod navedenim pojmom uzimaju se svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi izravno ili neizravno, odnosno uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca. Obrada i pohrana osobnih podataka Obrada osobnih podataka označava svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim ili neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje osobnih podataka. Prikupljanje, obrada ili pohrana osobnih podataka može biti izvršena nad osobnim podacima u u bilo kojem obliku, bilo neautomatiziranom (poput obrazaca, dokumenata priskrbljenih od strane klijenata, zaposlenika, ručno uvedenih zapisa o osobnim podacima), poluautomatiziranom (ručno unošenje u Excel tablice ili skeniranje, nakon čega se podaci šalju na daljnju obradu) i automatiziranom (bilo putem elektroničkih obrazaca ili pristupnih kartica, web stranica itd). Obrađeni podaci, ili oni koji su u postupku obrade, pohranjuju se u određene sustave odnosno u strukturirani skup osobnih podataka, dostupnih i klasificiranih prema posebnim kriterijima (kategorijama osobnih podataka, bilo općih ili posebnih), te novisno jesu li centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi. Određena odstupanja u vezi obrade osobnih podataka pritom postoje pri obradi u znanstvene, javne ili statističke svrhe. Ispitanik i primatelj osobnih podataka Pojam ispitanika označava fizičku osobu čije osobne podatke Društvo prikuplja, odnosno koja osoba je Društvu podnijela navedene podatke ili čiji su osobni podaci Društvu iz zakonom predviđenih razloga dostavljeni (klijenti, sadašnji ili potencijalni zaposlenici Društva, vanjski suradnici itd). Pojam primatelja osobnih podataka označava fizičku ili pravnu osobu, tijelo javne vlasti, agencija ili drugo tijelo kojem se iz određenih razloga otkrivaju osobni podaci Voditelj obrade i izvršitelj obrade Voditelj obrade je Društvo, koje samostalno ili zajedno s drugim voditeljem obrade (npr u slučaju prikupljanja osobnih podataka zajedno s drugim društvom partnerom) određuje svrhe i sredstva obrade osobnih podataka. Izvršitelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime Društva (npr vanjsko računovodstvo). Automatizirano donošenje odluka i izrada profila Automatizirano donošenje odluka označava situaciju kada računalni program Društva na temelju svojih tehničkih postavki i softvera obrađuje osobne podatke ispitanika bez ljudske intervencije, dakle isključivo na bazi nekog prethodno zadanog algoritma (primjera radi, program koji automatski prihvaća ili ne prihvaća određeni zahtjev ispitanika temeljem određenih pretpostavki). Izrada profila označava svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca (primjera radi, program koji analizira potrošačke navike ispitanika i temeljem njih šalje određene ponude). Radi izbjegavanja svake dvojbe, Društvo ne primjenjuje automatizirano pojedinačno donošenje odluka. Sve odluke koje proizvode pravne učinke koji se odnose na ispitanika ili na sličan način značajno na njega utječu donose se uz značajnu ljudsku intervenciju. Pseudonimizacija Navedeni pojam označava obradu pri kojoj se osobni podaci više ne mogu pripisati određenom pojedincu bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi Primjena Politike Politika se primjenjuje pri svakom prikupljanju i obradi osobnih podataka fizičkih osoba, neovisno u kojoj fazi, odnosno obavljaju li se tek inicijalne pripreme ili je postupak već u tijeku. Osobni podaci koji su izuzeti od primjene ovog Politike su - podaci o pravnim osobama (primjer - trgovačka društva, udruge, javna tijela) - podaci o preminulim osobama, te - podaci temeljem kojih nije moguća identifikacija fizičke osobe, niti samostalno niti dovođenjem u vezu s nekim drugim podacima (primjera radi – pseudonimizacija). Ova Politika temeljni je akt Društva primjenjiv na sve aktivnosti obrade osobnih podataka koje Društvo obavlja, a koje osobito uključuju: - obradu osobnih podataka radnika pri sklapanju, izvršavanju i obradi ugovora o radu i za kontaktiranje potencijalnih radnika u selekcijskim postupcima prije donošenja odluke o zapošljavanju, - obradu osobnih podataka fizičkih osoba koje Društvo angažira temeljem ugovora o djelu, autorskih ugovora i sličnih ugovora, - obradu osobnih podataka radnika zaposlenih kod dobavljača Društva, - obradu osobnih podataka učenika i studenata koji u Društvu obavljaju stručnu praksu ili su na povremenom učeničkom ili studentskom radu, te pri selektiranju, ugovaranju i provedbi postupaka stipendiranja učenika i/ili studenata od strane Društva, - obradu osobnih podataka članova obitelji zaposlenih radnika u dijelu koji je nužan za provedbu zakonskih obveza ili ostvarivanje nekog prava prema važećem kolektivnom ugovoru (npr. ostvarivanje prava na poreznu olakšicu, plaćeni dopust, nagradu za rođenje djeteta, pravo na prigodni dar za dijete i slično), - obradu osobnih podataka vezano za sklapanje, provedbu i obradu ugovora o hotelskim uslugama s poslovnim i privatnim korisnicima i provedbu prigodnih aktivnosti oglašavanja i ispitivanja tržišta s ciljem informiranja korisnika usluga i zainteresiranih trećih strana o uslugama koje Društvo nudi, - obradu osobnih podataka vezano za sklapanje, provedbu i obradu druge vrste ugovora čiji je predmet pružanje neke od usluga koje su u sadržaju registrirane djelatnosti Društva (kao npr. ugovor o pružanju usluga prehrane i točenja pića bez obzira na narav ugovora), - obradu podataka o udjeličarima ili dioničarima Društva, ovisno o pravnom ustroju Društva, - sve druge aktivnosti obrade osobnih podataka koje Društvo obavlja ili bi u budućnosti moglo obavljati bilo na povremenoj, bilo na kontinuiranoj osnovi. Ova Politika obvezujuća za sve organizacijske jedinice Društva. Ova Politika obvezujuća je i za sva ona društva od kojih Društvo može zahtijevati da je prihvate (npr. izvršitelje obrade). Odredbe Politike namijenjene su osiguravanju visoke i jedinstvene razine zaštite osobnih podataka u Društvu. Ova Politika nema utjecaja na postojeće ili buduće obveze ustanovljene zakonima i drugim propisima koje Društvo mora poštovati u pogledu obrade i korištenja osobnih podataka, a koja su šireg opsega od načela utvrđenih ovim Politikom. Odredbe ove Politike nemaju utjecaja na primjenjivost nacionalnog zakonodavstva donesenog u vezi s nacionalnom sigurnošću, obranom ili javnom sigurnošću ili za sprječavanje i istragu kaznenih djela i progon počinitelja kaznenih djela. Adresati Svi rukovoditelji, zaposlenici i djelatnici Društva (dalje u tekstu: Zaposlenici) adresati su primjene ove Politike, odnosno nositelji odgovornosti prilikom pravilnog prikupljanja, obrade i pohrane osobnih podataka. Navedena odgovornost pritom predstavlja i jednu od radnih obveza svakog pojedinog zaposlenika. Navedeni adresati pri svim navedenim i/ili sličnim radnjama i/ili situacijama postupaju u dobroj vjeri i s dužnom pažnjom, imajući pri tome na umu najbolji interes svih ispitanika čiji se osobni podaci prikupljaju, obrađuju i pohranjuju, što je prije svega nužni preduvjet za ispravnu primjenu ove Politike. Pravila primjenjiva na pojedina područja obrade osobnih podataka u Društvu detaljnije će se urediti pojedinačnim pravilima koja moraju biti u skladu sa svim relevantnim propisima iz područja zaštite osobnih podataka i ovom Politikom. Radi detaljnijeg reguliranja pojedinih područja obrade osobnih podataka, Društvo može donijeti akte (npr. Politiku sigurnosti informacijskog sustava, Pravilnik o obradi osobnih podataka radnika i drugih osoba koje Društvo angažira za rad, Pravilnik o video nadzoru, Pravilnik o zaštiti i obradi arhivskog i registraturnog gradiva i slično). Društvo u svako doba može donijeti pravilnike koje smatra potrebnim radi postizanja veće razine zaštite osobnih podataka na pojedinom području poslovanja, pri čemu takvi pravilnici nadopunjuju odredbe ove Politike te joj ne smiju proturječiti. Načela Osnova svih postupanja iz predmetne Politike temelje se na sljedećim načelima kojih se treba pridržavati pri svakom ophođenju sa osobnim podacima. Načelo zakonitog, poštenog i transparentnog postupanja određuje da svako postupanje mora biti u skladu sa zakonom odnosno drugim primjenjivim propisima te izvršeno na pošten i transparentan način. Kako bi ispitanicima bilo jasno da se njihovi podaci prikupljaju i obrađuju te u koje svrhe se to čini, Društvo na odgovarajući način obavještava ispitanike između ostalog o svrsi obrade, što uključuje informiranje o tome koji se podaci prikupljaju, obrađuju i koriste, za koje namjene i koliko dugo se čuvaju te kojim se primateljima podaci otkrivaju. Obavijesti ispitanicima daju se putem različitih kanala, ovisno o tome što je prema okolnostima slučaja najprikladnije, a mogu uključivati: obavijesti putem web stranice Društva, pisane obavijesti u prostorijama Društva, pisane obavijesti na obrascima koje Društvo koristi, pisane obavijesti u sklopu ugovora koje Društvo sklapa s ispitanikom, davanje obavijesti putem e-maila, usmeno davanje obavijesti od strane radnika Društva, a po potrebi i druge načine. Društvo osobito obavještava ispitanike o njihovim pravima i o načinu na koji ih mogu ostvarivati. Kontakt podaci službenika za zaštitu podataka javno su dostupni. Načelo prikupljanja podataka isključivo temeljem zakonom dopuštenih razloga određuje da se osobni podaci prikupljaju samo u posebne, izričite i zakonite svrhe te se ne smiju obrađivati na način koji nije u skladu s navedenim svrhama. Načelo ograničenja količine podataka i razmjernosti određuje da se svako prikupljanje osobnih podataka mora svesti na najnužniju mjeru te da se prikupljaju samo oni podaci koji su relevantni i razmjerni svrsi temeljem koje se obrađuju. Načelo točnosti i ažurnosti određuje potrebu da se pazi na točnost podataka koji se prikupljaju i unose u baze podataka te da je potrebno poduzeti svaku razumnu mjeru radi osiguravanja da se netočni osobni podaci bez odlaganja izbrišu ili isprave, uzimajući u obzir svrhe u koje se obrađuju. Načelo ograničenja pohrane određuje da je potreba čuvanja podataka koji omogućuju identifikaciju fizičkih osoba ograničena svrhom radi koje se osobni podaci obrađuju. Osobni podaci moraju se čuvati u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju. U slučajevima kada će to biti moguće, Društvo može primijeniti postupke za brisanje identifikacijskih obilježja ispitanika (anonimizacija) ili za zamjenu identifikacijskih obilježja drugim karakteristikama (pseudonimizacija). Rokovi čuvanja različitih kategorija osobnih podataka navedeni su u evidenciji o aktivnostima obrade (ako se vode) zasebno za različite vrste osobnih podataka. Rokovi čuvanja određuju se uzimajući u obzir zakonske zahtjeve te potrebe zaštite interesa Društva. Društvo može kroz Pravilnik o zaštiti i obradi arhivskog i registraturnog gradiva, regulirati rokove čuvanja dokumentacije po pojedinim poslovnim područjima Društva. Načelo sigurnosti osobnih podataka određuje da svako ophođenje s osobnim podacima mora biti izvršeno na način koji osigurava najviši mogući stupanj sigurnosti tih podataka, uključujući zaštitu od neovlaštene i/ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovorajućih tehničkih ili organizacijskih mjera Svrhe obrade osobnih podataka Nužno je da svako prikupljanje ili obrada osobnih podataka ima svoju svrhu, odnosno razlog temeljem kojeg se određeni osobni podaci prikupljaju odnosno obrađuju. Navedeni razlozi su određeni, definirani i taksativno navedeni te tebaju biti jasno i nedvosmisleno naznačeni pri svakoj obradi osobnih podataka: Privola ispitanika Prikupljanje i obrada podataka temelji se na privoli/pristanku ispitanika, koja je dana u jednu ili više posebnih svrha. Izvršenje ugovora Prikupljanje i obrada podataka nužni su za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora (primjera radi - za sklapanje ugovora je potrebno definirati ugovorne stranke, koje se mogu identificirati samo putem osobnih podataka) Pravna obveza Društva Prikupljanje i obrada određenih podataka od strane Društva proizlazi iz zakonske obveze koja obvezuje društvo na navedene radnje i suradnju s tijelima javne vlasti (primjera radi – prikupljanje podataka o radnicima za zavod za mirovinsko i zdravstveno osiguranje, porezna uprava, carinska tijela, neovisna upravna tijela, hrvatska turistička zajednica) Legitimni interesi Društva ili treće strane Prikupljanje i obrada podataka je nužna za potrebe legitimnih interesa Društva ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, a osobito ako je ispitanik dijete (primjera radi – legitimni interes hotela da postavi sustav videonadzora, kako bi osigurao sigurnost nadziranog prostora). U slučaju kada Društvo obrađuje osobne podatke na osnovi svog legitimnog interesa koji je očigledan, narav svog legitimnog interesa i okolnosti na temelju kojih je Društvo zaključilo da njegov legitimni interes prevladava na interesima, pravima i slobodama ispitanika navodi u evidenciji o aktivnostima obrade ukoliko ih je obvezan voditi. U slučajevima kad legitimni interes nije očigledan već zahtijeva primjenu detaljnijeg testa proporcionalnosti i dublju analizu, Društvo u pisanom obliku detaljnije dokumentira razloge na temelju kojih je utvrdilo da legitimni interes Društva prevladava. Obrada u svrhe izravnog marketinga Može se smatrati da postoji legitimni interes Društva za obradu osobnih podatka za svrhe izravnog marketinga. Pritom se treba raditi o osobnim podacima koje je Društvo prije toga zakonito prikupilo, a upotreba podataka u svrhe izravnog marketinga mora biti u okvirima onoga što ispitanik razumno može očekivati temeljem svog odnosa s Društvom kao voditeljem obrade. U protivnom, obrada osobnih podataka u svrhe izravnog marketinga ne može se temeljiti na legitimnom interesu, već samo na izričitoj privoli ispitanika. Ako se osobni podaci obrađuju za potrebe izravnog marketinga temeljem legitimnog interesa Društva, ispitanik u svakom trenutku ima pravo prigovoriti obradi osobnih podataka u svrhe izravnog marketinga, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom. Najkasnije u trenutku prve komunikacije s ispitanikom, ispitanika se na ovo pravo upozorava na jasan način i odvojeno od bilo koje druge informacije. Ako se ispitanik usprotivi obradi za potrebe izravnog marketinga, njegovi osobni podaci više se ne smiju obrađivati u takve svrhe. Radi izbjegavanja svake dvojbe, Društvo potvrđuje da je slanje različitih komunikacija (npr. newslettera i novosti o pogodnostima i uslugama Društva) moguće samo na temelju privole ispitanika, koju on izražava popunjavanjem odgovarajućih polja na web stranici Društva nakon što je obaviješten o obradi osobnih podataka te verifikacijom putem linka poslanog na e-mail kojeg je naveo za primanje obavijesti. Osim od ispitanika, Društvo neće ni na koji drugi način prikupljati e-mail adrese ni druge podatke kako bi ispitanicima slalo newslettere. U svim takvim komunikacijama koje se upućuju ispitaniku, mogućnost odjave od daljnjeg primanja komunikacija (unsubscribe) jasno je istaknuta. Odjava predstavlja povlačenje privole. U slučaju odjave, Društvo briše osobne podatke ispitanika koje je prikupilo u svrhu izravnog marketinga. Zadaća od javnog interesa Prikupljanje i obrada podataka je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti. Zaštita ključnih interesa ispitanika ili druge fizičke osobe Prikupljanje i obrada podataka je nužna u svrhu zaštite ključnih interesa ispitanika ili druge fizičke osobe. Privola ispitanika Privola ispitanika je valjana osnova za prikupljanje osobnih podataka samo ako je Društvu iskomunicirana jasnom potvrdnom radnjom kojom se izražava dobrovoljan, izričit, informiran i nedvosmislen pristanak ispitanika, i to na način koji može biti u pisanom ili elektroničkom obliku te putem usmene izjave. Važno je pritom imati u vidu činjenicu da Društvo nosi teret dokaza da je ispitanik doista dao svoju privolu za prikupljanje odnosno obradu osobnih podataka. Uzevši navedeno u obzir zaprimanje privole isključivo u usmenom obliku u pravilu nije preporučljivo. Neovisno o obliku privole, komunikacija sa ispitanikom u vezi s navedenim mora biti u lako razumljivom obliku, uz uporabu jasnog i jednostavnog jezika i to bez ikakvih nepoštenih uvjeta. Privola ispitanika u pisanom obliku Ispitanik svoju privolu može dati u pisanom obliku, u kojem obliku je poželjno da se ispitanik na kraju potpiše te naznači datum davanja privole. Isto tako, u slučaju da Društvo traži privolu u pisanom obliku u kojem se osim predmetnog zahtjeva traže i drugi podaci odnosno neke druge izjave i odgovori, potrebno je predmetni zahtjev predočiti na način da ga se može jasno razlučiti od tih drugih pitanja, odnosno da navedeno nije prezentirano na način koji bi mogao zbuniti ispitanika. Privola ispitanika u elektroničkom obliku Ispitanik svoju privolu može dati u elektroničkom obliku. Zahtjev Društva za davanjem privole pritom mora bit jasan, jezgrovit i ne smije nepotrebno ometati upotrebu usluge za koju se upotrebljava (primjera radi – agresivni cookies od kojih nije moguće pristupiti sadržaju itd). Uzevši u obzir činjenicu da privola mora biti nedvosmislena i svojevoljna, potrebno je imati na umu da nije dozvoljeno „navoditi“ na privolu, pogotovo na način da se polje kojim se daje privola unaprijed označi kvačicom, ili na neki drugi način koji bitno utječe na korištenje određene internetske stranice, odnosno biranjem tehničkih postavki, već je nužno da predmetni izbor bude „neutralan“. Također se prilikom sastavljanja navedenog treba uzeti u obzir da se šutnja odnosno neaktivnost ispitanika ne smije ni u kojem slučaju tumačiti kao davanje privole. Dobrovoljnost privole U obrascima ili zahtjevima ispitaniku treba doista biti ponuđen slobodan izbor, pri kojem je moguće odbiti zahtjev odnosno povući danu privolu bez ikakvih posljedica. U slučaju kada je obrazac ili zahtjev za otkrivanjem osobnih podataka usko povezan uz pružanje usluge ili izvršenje ponuđenog ugovora, Društvo zahtijeva samo podatke nužne za pružanje navedene usluge odnosno izvršenje ponuđenog ugovora. Postupak u slučaju povlačenja privole Ispitanik ima pravo povući danu privolu te Društvo omogućuje svakom ispitaniku da u bilo koje doba može na jednostavan način povući privolu, a o kojoj mogućnosti ispitanik mora biti prethodno obaviješten i što mu mora biti omogućeno jednostavnim kontaktiranjem Društva pisanim putem ili putem interneta. Nakon povlačenja privole zabranjena je svaka daljnja obrada osobnih podataka ispitanika. Potencijalno povlačenje privole pritom ne utječe na zakonitost obrade predmetnih podataka prije nego je privola povučena. Ispunjenje prethodne obveze informiranja ispitanika Osobne podatke ispitanika Društvo zaprima od samog ispitanika te iz drugog izvora. U oba slučaja Društvo daje obavijest ispitaniku o svim relevantnim informacijama u vezi prikupljanja i obrade osobnih podataka koji se na njega odnose. Obvezu pružanja informacija ipak nije potrebno izvršiti a) ako ispitanik već posjeduje tu informaciju, b) ako je bilježenje ili otkrivanje osobnih podataka izrijekom propisano zakonom ili c) ako je pružanje informacije ispitaniku nemoguće ili bi zahtijevalo nerazmjeran napor te ako d) osobni podaci moraju ostati povjerljivi u skladu s obvezom čuvanja profesionalne tajne, koja obveza može biti propisana primjenjivim propisima ili statutom Informacije koje Društvo pruža ispitaniku u slučaju prikupljanja podataka direktno od ispitanika Prilikom prvog prikupljanja osobnih podataka od ispitanika Društvo ispitaniku pruža sljedeće podatke vezane uz samu obradu: - identitet i kontaktne podatke Društva, odnosno predstavnika Društva (odrediti zaposlenika koji će biti kontakt osoba) - kontaktne podatke službenika za zaštitu podataka, ako je imenovan - svrhu obrade osobnih podataka kao i pravnu osnovu za obradu, a ukoliko je svrha temeljena na legitimnim interesima Društva, definirati ih - primatelje predmetnih podataka, ako postoje, odnosno kome će se sve ti osobni podaci slati ako se planiraju prenositi izvan Društva; - ako je primjenjivo, činjenicu da Društvo namjerava osobne podatke ispitanika prenijeti trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti za tu zemlju odnosno upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove kopije ili mjesta na kojem su stavljene na raspolaganje. - razdoblje u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterije kojima bi se utvrdilo to razdoblje (ili dokle god traje pravna osnova za obradu ili interno ograničenje npr. 1 godina) - obznaniti ispitaniku njegova prava odnosno da ispitanik ima (I) pravo uvida u osobne podatke koji se obrađuju, (II) pravo na ispravak ili brisanje osobnih podataka, (III) pravo na ograničavanje obrade, (IV) pravo na ulaganje prigovora na obradu, (V) pravo prenijeti podatke drugom voditelju obrade, (VI) pravo povući privolu, (VII) pravo podnošenja prigovora nadzornom tijelu, te na koji način može ostvariti navedena prava (npr. pisanim putem, e-mailom, ispunjavanjem obrasca itd.) - informaciju o tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet nužan za sklapanje ugovora te ima li ispitanik obvezu pružanja osobnih podataka i koje su moguće posljedice ako se takvi podaci ne pruže; - informaciju o tome postoji li sustav automatiziranog donošenja odluka, što uključuje izradu profila ispitanika Nadalje, u situaciji kada se prikupljeni podaci naknadno obrađuju u svrhu koja je različita od one za koju su osobni podaci prvotno prikupljeni, Društvo je dužno ispitaniku navesti novu svrhu obrade te relevantne informacije navedene kao gore. Informacije koje Društvo pruža ispitaniku u slučaju prikupljanja podataka iz izvora različitog od ispitanika U predmetnom slučaju Društvo pruža iste informacije kao pod 8.1. izuzev one pod h), te uz navedeno naznačuje i izvor dobivenih osobnih podataka (ili ako je izvor javno dostupan). Navedene informacije Društvo pruža u razumnom roku, a najkasnije mjesec dana od dana dobivanja predmetnih osobnih podataka ispitanika. Međutim, postoje dva slučaja koja odstupaju od navedenog pravila i pri kojima je postupanje drugačije, a to je: - ako se prikupljeni osobni podaci trebaju upotrijebiti za komunikaciju s ispitanikom, onda Društvo informacije pruža ispitaniku najkasnije u trenutku prve ostvarene komunikacije, te - ako je predviđeno otkrivanje podataka nekom drugom primatelju, onda Društvo informacije pruža najkasnije u trenutku kada su osobni podaci prvi put otkriveni Nadalje, i u ovom slučaju Društvo nanovo navodi sve relevantne informacije ukoliko se predmetni osobni podaci naknadno obrađuju temeljem svrhe koja je različita od one prvotne. Vrijeme pohrane osobnih podataka U odnosu na vrijeme pohrane određenih osobnih podataka, postoje osobni podaci čije je vrijeme pohrane zakonom propisano (npr. posebni propisi o radnoj evidenciji za studente određuje da se podaci ne smiju brisati 6 godina od prestanka radnog odnosa ili u vezi računovodstvenih isprava određuju da se ne smiju brisati 11 godina od nastanka) i osobni podaci čije vrijeme pohrane nije zakonom propisano. Društvo u svakom slučaju podatke pohranjuje na minimalan period koji je zakonski dozvoljen i/ili potreban u odnosu na poslovne aktivnosti Društva te ih odmah nakon toga briše. Ukoliko ocijeni potrebnim, Društvo internim aktom može odlučiti koji će se podaci brisati ručno ili automatski nakon određenog perioda vremena (npr 1 godina, 2 godine itd) ili s obzirom na određeni događaj (npr kraj fiskalne godine). Obrada posebnih kategorija osobnih podataka Načelno se ne vrši obrada sljedećih tipova osobnih podataka: podaci koji se odnose na rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja, članstvo u sindikatu, genetski podaci, biometrijski podaci u svrhu jedinstvene identifikacije pojedinca te podaci koji se odnose na zdravlje, spolni život i seksualnu orijentaciju pojedinca. Gore navedene kategorije osobnih podataka Društvo ipak obrađuje u sljedećim situacijama: - ispitanik je dao izričitu privolu za obradu tih osobnih podataka i to za jednu ili više određenih svrha, osim ako primjenjivi propisi navode da takva privola ne proizvodi učinak - obrada je nužna za potrebe izvršavanja obveza i ostvarivanja posebnih prava Društva ili ispitanika u području radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti u mjeri u kojoj je to odobreno u okviru primjenjivih propisa ili kolektivnog ugovora - obrada je nužna za zaštitu životno važnih interesa ispitanika ili drugog pojedinca ako ispitanik fizički ili pravno nije u mogućnosti dati privolu; - obrada se odnosi na osobne podatke za koje je očito da ih je objavio ispitanik - obrada je nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu; - obrada je nužna za potrebe značajnog javnog interesa na temelju primjenjivih propisa koje je razmjerno željenom cilju te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika; - obrada je nužna u svrhu preventivne medicine ili medicine rada radi procjene radne sposobnosti zaposlenika, medicinske dijagnoze, pružanja zdravstvene ili socijalne skrbi ili tretmana ili upravljanja zdravstvenim ili socijalnim sustavima i uslugama na temelju primjenjivih propisa. Svi zaposlenici moraju prilikom prikupljanja, obrade odnosno pohrane posebnih kategorija osobnih podataka postupati sa povećanom pažnjom. Prisutna je mogućnost daljnjih promjena primjenjivih propisa u pogledu postupanja sa posebnim kategorijama osobnih podataka, te je s tim u vezi potrebno savjetovati se sa službenikom za zaštitu podataka. Posebnosti obrade podataka dobivenih videonadzorom Društvo obradu osobnih podataka putem video nadzora provodi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, uzimajući u obzir da ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom podataka putem video nadzora. Društvo na vidljivom mjestu naznačuje da je objekt odnosno pojedina prostorija u njemu pod video nadzorom, zajedno sa kontakt podacima Društva putem kojih ispitanik može ostvariti svoja prava. Obrada osobnih podataka zaposlenika putem sustava video nadzora provodi se samo ako su uz uvjete utvrđene ovim zakonom, ispunjeni i uvjeti utvrđeni propisima koji reguliraju zaštitu na radu i ako su zaposlenici bili pojedinačno unaprijed obaviješteni o takvoj mjeri i ako je Društvo informiralo zaposlenike prije donošenja odluke o postavljanju sustava video nadzora. Navedeni videonadzor pritom ne smije obuhvaćati prostorije za odmor, osobnu higijenu i presvlačenje. Pravo pristupa osobnim podacima prikupljenim putem video nadzora imaju samo ovlaštene osobe te se snimke dobivene putem video nadzora mogu čuvati najviše 6 mjeseci, osim ako je drugim zakonom propisan duži rok čuvanja ili ako su dokaz u sudskom, upravnom, arbitražnom ili drugom sličnom postupku. Posebnost obrade biometrijskih podataka i fotografija Društvo provodi obradu biometrijskih podataka samo ako je navedeno propisano zakonom ili ako je nužno za zaštitu osoba, imovine, klasificiranih podataka, poslovnih tajni ili za pojedinačno i sigurno identificiranje korisnika usluga, uzimajući u obzir da ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom biometrijskih podataka iz ovog članka. Pravni temelj za obradu biometrijskih podataka ispitanika radi sigurnog identificiranja je izričita privola takvog ispitanika. Društvo provodi obradu biometrijskih podataka zaposlenika u svrhu evidentiranja radnog vremena i radi ulaska i izlaska iz službenih prostorija, ako je propisano zakonom ili ako se takva obrada provodi alternativno drugom rješenju za evidentiranje radnog vremena ili ulaska i izlaska iz službenih prostorija uz uvjet da je zaposlenik dao izričitu privolu za takvu obradu biometrijskih podataka. Obradu fotografija se ne bi trebalo smatrati obradom posebnih kategorija osobnih podataka jer su one biti obuhvaćene samo definicijom biometrijskih podataka pri obradi posebnim tehničkim sredstvima kojima se omogućuje jedinstvena identifikacija ili autentifikacija pojedinca te se takvi osobni podaci ne bi se smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima. Posebnosti obrade osobnih podataka djeteta Primjenjivi propisi posebnu zaštitu daju osobnim podacima djece, i to one mlađe od 16 godina, iz razloga što navedena kategorija ispitanika može u pravilu biti manje svjesna potencijalnih rizika i posljedica. Navedeno se posebno odnosi na upotrebu osobnih podataka djece u svrhu marketinga ili stvaranja osobnih ili korisničkih profila te prikupljanje osobnih podataka o djeci prilikom upotrebe usluga koje se izravno nude djetetu. Obrada predmetnih podataka je u pravilu zakonita samo pod uvjetom da je privolu dao nositelj roditeljske odgovornosti nad djetetom (roditelj, skrbnik, staratelj itd). Društvo ulaže razumne napore kako bi se, uzimajući u obzir dostupnu tehnologiju, provjerilo odnosno utvrdilo postoji li navedeni pristanak roditelja (putem web obrazaca npr). Međutim, privola roditeljske odgovornosti ipak nije nužna u kontekstu preventivnih usluga ili usluga savjetovanja koje su ponuđene izravno djetetu. Postupanje prilikom ostvarivanja prava ispitanika Ispitanik u pogledu vlastitih osobnih podataka koje Društvo prikuplja i obrađuje ima određena prava koja se moraju ispoštovati u slučaju zahtijevanja njihovog ostvarivanja. Društvo utvrđuje identitet osobe koja tvrdi da je ispitanik i zahtijeva uvid u osobne podatke odnosno ostvarenje drugih prava. Navedeno utvrđuje zahtijevanjem identifikacije putem službenih dokumenata poput osobne iskaznice, putovnice ili vozačke dozvole ili referentnog broja klijenta na drugačiji način web identifikacije. Društvo također, ukoliko ocijeni potrebnim, vodi evidenciju svih upita i aktivnosti provedenih u skladu s tim upitima. Navedeni postupak je na trošak Društva ali u slučaju brojnih upita istog ispitanika postoji mogućnost naplate administrativnih troškova. Ostvarivanje prava ispitanika na pristup osobnim podacima U slučaju predmetnog zahtjeva u pisanom ili elektroničkom obliku, Društvo izdaje potvrdu o tome obrađuju li se osobni podaci ispitanika, te navodi koji se točno podaci obrađuju odnosno omogućuje pristup tim podacima (i predaje presliku navedenih osobnih podataka, osim ako preslika sadrži i osobne podatke drugih ispitanika). Uz to, Društvo također navodi i informacije o: - svrsi obrade; - kategorijama osobnih podataka o kojima je riječ - primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama; - ako je to moguće, predviđenom razdoblju u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja; - postojanju prava da se od Društva zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika ili prava na prigovor na takvu obradu, odnosno prava na podnošenje prigovora nadzornom tijelu, - svakoj dostupnoj informaciji o izvoru osobnih podataka, ukoliko se oni ne prikupljaju od ispitanika; - informaciju o tome postoji li sustav automatiziranog donošenja odluka, što uključuje izradu profila ispitanika Način ostvarivanja prava Svoja prava ispitanik može ostvarivati slanjem pisanog zahtjeva službeniku za zaštitu podataka putem emaila ili poštom. Kontakt podaci službenika za zaštitu podataka su javno dostupni na web stranici Društva. Za pojedine kategorije ispitanika (npr. radnici) posebnim se pravilnikom mogu predvidjeti i druge, dodatne kontakt osobe kojima se ispitanici mogu obratiti radi što lakšeg ostvarivanja svojih prava. U slučaju da bilo koji radnik Društva primi zahtjev ispitanika u bilo kojem obliku, isti će bez odgode proslijediti službeniku za zaštitu podataka, ili će o tome obavijestiti svog nadređenog, koji će ga proslijediti službeniku. Društvo je obvezno radnike upoznati s obvezom postupanja na ovaj način. Iznimno, službenika nije potrebno obavještavati u slučajevima kada ovlašteni radnik Društva na zahtjev radnika ili drugih ispitanika ažurira njihove osobne podatke u evidencijama koje Društvo vodi. Po primitku pisanog zahtjeva ispitanika, službenik će isti razmotriti. Ovisno o složenosti zahtjeva, službenik može odlučiti da će sam izraditi odgovor na zahtjev, ili da će nacrt odgovora na zahtjev ispitanika pripremiti radnik društva uz čije je radne zadatke zahtjev ispitanika vezan. U potonjem slučaju, službenik je taj koji pregledava odgovor prije njegovog slanja ispitaniku. Ostvarivanje prava ispitanika na ispravak i brisanje osobnih podataka Društvo u slučaju predmetnog zahtjeva vrši ispravak netočnih osobnih podataka ispitanika bez nepotrebnog odgađanja, te nadopunjuje nepotpune osobne podatke na način da se zaprimi dodatna izjava ispitanika. Uz gore navedeno, Društvo obaviještava sve primatelje predmetnih osobnih podataka o poduzetim ispravcima odnosno dopunama te obaviještava ispitanika o tim primateljima ukoliko ispitanik navedeno zatraži. Ostvarivanje prava na brisanje osobnih podataka Društvo briše osobne podatke ili na izričiti zahtjev ispitanika ili ukoliko je ispunjen barem jedan od sljedećih uvjeta: - osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni; - ispitanik povuče privolu na kojoj se obrada temelji a pritom ne postoji druga pravna osnova za obradu; - ispitanik uloži prigovor na obradu osobnih podataka te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu podataka za potrebe izravnog marketinga - osobni podaci su obrađeni suprotno zakonskim odredbama; - osobni podaci moraju se brisati radi poštivanja pravne obveze temeljem primjenjivih propisa - osobni podaci prikupljeni su u vezi s ponudom usluga informacijskog društva (društvenih mreža npr). Društvo osobne podatke briše na način koji omogućuje trajno uklanjanje navedenih podataka iz glavnih sustava, te treba postojati određeni zapis o brisanju (u potrebi potencijalnog dokazivanja da je brisanje doista provedeno) i odrediti načine na koji će se određeni podaci uništiti (npr podaci u pisanom obliku, USB-u, CD-u itd). U slučaju da je Društvo javno objavilo osobne podatke, dužno je uzimajući u obzir dostupnu tehnologiju i trošak provedbe poduzeti razumne tehničke mjere da se izbrišu sve poveznice do njih, odnosno kopije ili rekonstrukcije tih osobnih podataka, te je također dužno obavijestiti i druge povezane voditelje obrade koji obrađuju te podatke da je ispitanik tražio njihovo brisanje. Društvo je dužno obavijestiti sve primatelje predmetnih osobnih podataka o brisanju navedenih te obavijestiti ispitanika o tim primateljima ukoliko ispitanik to zatraži. Društvo određuje period u kojem će se preispitivati potreba obrade i pohrane osobnih podataka te izbrisati one za koje ne postoji više potreba da se obrađuju ili pohranjuju. Ograničenje izvršavanja zahtjeva za brisanjem osobnih podataka Društvo ipak ne provodi brisanje unatoč zahtjevu ispitanika ili postojanja razloga navedenih u 11.3., u mjeri u kojoj je obrada tih osobnih podataka nužna: - radi poštovanja pravne obveze kojom se zahtijeva obrada a kojoj obvezi Društvo podliježe, ili za izvršavanje zadaće od javnog interesa - radi ostvarivanja prava na slobodu izražavanja i informiranja; - zbog javnog interesa u području javnog zdravlja - u svrhe javnog interesa, povjesnog ili znanstvenog istraživanja ili u statističke svrhe odnosno radi ostvarivanja ili obrane pravnih zahtjeva. Ostvarivanje prava na ograničenje obrade Društvo na zahtjev ispitanika vrši ograničenje obrade osobnih podataka na način da se ti određeni osobnih podaci smiju obrađivati samo uz privolu ispitanika (uz iznimku potrebe za ostvarivanje ili obranu pravnih zahtjeva ili zaštitu prava druge fizičke ili pravne osobe ili zbog važnog javnog interesa) u slučaju ako: - ispitanik osporava točnost osobnih podataka, na razdoblje kojem se Društvu omogućuje provjera točnosti osobnih podataka; - obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe; - Društvo više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva; - ispitanik je uložio prigovor Društvu i u očekivianju je potvrde u vezi toga nadilaze li legitimni razlozi voditelja obrade razloge ispitanika za brisanjem - Društvo obaviještava ispitanika u slučaju kada je ishođeno ograničenje obrade, a takvo ograničenje bude ukinuto, te takva obavijest mora uslijediti neposredno prije samog ukidanja. Društvo obaviještava sve primatelje predmetnih osobnih podataka o postavljenim ograničenjima obrade te obaviještava ispitanika o tim primateljima ukoliko ispitanik navedeno zatraži. U praksi, predmetne metode kojima se ograničava obrada osobnih podataka bi uključivale privremeno premještanje odabranih osobnih podataka u drugi sustav obrade, činjenje odabranih podataka nedostupnima za korisnike ili privremeno uklanjanje objavljenih podataka s internetske stranice. U automatiziranim sustavima pohrane ograničavanje obrade bi trebalo osigurati tehničkim sredstvima na način da osobni podaci nisu predmet daljnjih obrada i da se ne mogu mijenjati te bi u sustavu trebalo biti jasno navedeno da je obrada predmetnih osobnih podataka ograničena. Ostvarivanje prava na prenosivost podataka Društvo ispitaniku na njegov zahtjev prenosi tražene osobne podatke u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu, kako bi ispitanik predmetne podatke mogao neometano prenijeti drugom potencijalnom voditelju obrade (pritom ispitanik također odlučuje hoće li zajedno s prijenosom tražiti i brisanje podataka ili ne). Ukoliko je tehnički izvedivo i ukoliko ispitanik navedeno traži, predmetni podaci se neposredno prenose drugom voditelju obrade kojeg je ispitanik izabrao, pod uvjetom da se obrada provodi automatiziranim putem i ako se temelji na privoli ispitanika odnosno ako je obrada nužna u vezi izvršenja nekog ugovora. Pri navedenom treba uzeti u obzir da se prijenos podataka neće izvršiti ukoliko su pritom osobni podaci drugih ispitanika ugroženi. Postupak povodom prigovora Prigovor na obradu osobnih podataka čija je svrha obrade legitimni interes Društva. Ispitanik može u svakom trenutku podnijeti prigovor na obradu osobnih podataka čija je svrha obrade očuvanje legitimnih interesa Društva. U tom slučaju Društvo zaustavlja svaku obradu osobnih podataka i provodi test razmjernosti interesa ispitanika i interesa Društva za obradom osobnih podataka. Ukoliko legitimni interesi Društva prevladavaju interese ispitanika u konkretnom slučaju ili je obrada nužna radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva, obrada osobnih podataka se nastavlja. Ukoliko interesi ispitanika prevladavaju legitimne interese Društva, predmetni osobni podaci se više ne smiju obrađivati. Prilikom provođenja gore navedenog testa razmjernosti je svakako potrebno savjetovati se sa nadležnim službenikom za zaštitu podataka. Prigovor na obradu osobnih podataka u marketinške svrhe Ispitanik može u svakom trenutku podnijeti prigovor na obradu osobnih podataka u marketinške svrhe, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom. U tom slučaju Društvo prekida svaku obradu predmetnih osobnih podataka. Posebnosti automatiziranog pojedinačnog donošenja odluka, uključujući izradu profila Ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, a koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu. Navedeno je ispunjeno primjerice u situaciji kada računalni program Društva na temelju svojih tehničkih postavki i softvera izabire određene ispitanike u odnosu na njihove podatke bez ljudske intervencije. Međutim, navedeno se neće primijeniti ukoliko je predmetna automatska odluka potrebna za sklapanje ili izvršenje ugovora između ispitanika i voditelja obrade podataka; dopuštena primjenjivim propisima ili je temeljena na izričitoj privoli ispitanika (u kojim slučajevima ispitanik ima pravo izraziti svoje stajalište i osporavati predmetnu odluku). Predmetni način donošenja odluka nije dopušten u odnosu na posebne kategorije osobnih podataka, osim ako je dan izričit pristanak ispitanika i ako postoje odgovarajuće mjere zaštite prava i sloboda te legitimni interesa ispitanika. Pri procjenjivanju radi li se u konkretnom slučaju o izradi profila ili ne, uzima se u obzir je li krajnji cilj prikupljanje podataka temeljem kojih se tvori određena slika o ispitaniku i njegovim preferencijama (pogotovo u slučaju praćenja web aktivnosti ispitanika) te šalje li se onda temeljem te slike ispitaniku određene ponude, sugestije i slično (npr radi se profil o tome koje usluge ispitanik u pravilu koristi i onda se temeljem toga šalju ponude usko vezane uz te usluge). Ukoliko je odgovor na prethodno pitanje potvrdan, Društvo ispitanika obaviještava o navedenom. Izrada i vođenje evidencije aktivnosti obrade osobnih podataka Ukoliko je obvezno po pozitivnim propisima, Društvo izrađuje i vodi evidenciju aktivnosti obrade podataka, u koju evidenciju je zapisuje odnosno naznačuje sve aktivnosti obrade osobnih podataka. Predmetni dokument je ili u pisanom ili elektroničkom obliku i sadrži sljedeće podatke: - naziv i kontaktne podatke Društva i, ako je primjenjivo, zajedničkog voditelja obrade, predstavnika voditelja obrade i službenika za zaštitu podataka; - svrhe obrade; - opis kategorija ispitanika i kategorija osobnih podataka; - kategorije primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama ili međunarodne organizacije; - ako je primjenjivo, prijenose osobnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identificiranje te treće zemlje ili međunarodne organizacije te; - predviđene rokove za brisanje različitih kategorija podataka, ako je moguće; - opći opis tehničkih i organizacijskih sigurnosnih mjera Društvo predmetnu evidenciju na zahtjev nadzornog tijela podnosi na uvid. Predmetna evidencija se ne vodi ukoliko Društvo zapošljava manje od 250 zaposlenika, osim ako će obrada koju provodi vjerojatno prouzročiti visok rizik za prava i slobode ispitanika, ako obrada nije povremena ili obrada uključuje posebne kategorije podataka, ili je riječ o osobnim podacima u vezi s kaznenim osudama i kažnjivim djelima. Održavanje sigurnosti osobnih podataka Društvo u svakom trenutku posebnu pozornost pridaje zaštiti osobnih podataka koji se prikupljaju i obrađuju, a u smislu navedenog osobito provodi pseudonimizaciju i enkripciju osobnih podataka, osigurava trajnu povjerljivost, cjelovitosti, dostupnosti i otpornost sustava i usluga obrade, uspostavlja sustav ponovne dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta (back-up serveri predmetnih podataka) te uspostavlja proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade, zajedno sa potencijalnim rizicima kao što su slučajno uništenje ili gubitak osobnih podataka, njihovo neovlašteno otkrivanje ili neovlašteni pristup osobnim podacima koji su preneseni, pohranjeni ili na neki drugi način obrađeni. Enkripcija Društvo, ukoliko to ocijeni potrebnim, osobne podatke štiti enkripcijom, i to po mogućnosti tzv. asimetričnim enkripcijskim metodama, koji algoritmi bi se mogli dešifrirati samo preko ključa koji je poznat ovlaštenim osobama (primjera radi, preporuča se korištenje AES (Advanced Encryption Standard) ili TDEA (Triple Data Encryption Algorithm). Navedeno se pogotovo odnosi na sustavnu pohranu podataka, prijenos podataka izvan Društva, pohranjivanje podataka na prijenosnike poput USB itd ili na obradu posebnih kategorija osobnih podataka. Sigurnost pristupa osobnim podacima Osobni podaci u fizičkom obliku ili u elektronskom obliku pohranjeni na prijenosnike putem CD-a, USB- ili hard diskova Društvo čuva na sigurnom mjestu poput čuvanih arhiva ili sefa, a kojima je pristup dopušten samo ovlaštenim osobama. Ukoliko se radi o podacima u elektronskom obliku, navedeni se čuvaju računalnim programima kojima je pristup omogućen samo putem sigurnog log-in, lozinke i sustava koji zahtijeva strogu identifikaciju ovlaštenika (pogotovo u slučaju ako se radi o posebnim kategorijama osobnih podataka). Preporučljivo je voditi evidenciju o svim prijenosima ili otpremama osobnih podataka kako bi se mogla detektirati potencijalna neovlaštena uporaba ili slanje osobnih podataka, putem sustava koji bi automatski naznačio ovlaštenika koji je izvršio predmetnu otpremu, mjesto gdje su se predmetni podaci nalazili, datum i sat otpreme i sadržaj predmetnih podataka. Osobni podaci koji se šalju elektronskim putem trebali bi biti isključivo putem sigurnih HTTPS poveznica, a preporučljivo je pristup podacima preko weba odrediti putem OUATH informatičkog određenja pristupa. Data Backup sustav Društvo će, ukoliko ocijeni potrebnim, očuvati sigurnost osobnih podataka od potencijalnog uništenja u slučaju pada računalnog sustava ili sličnog razloga, i to na način da se sastavi i pusti u funkciju određeni back-up sistem koji bi spriječio navedeno (npr rezervni server ili hard disk). Revizija obrade i sigurnosti osobnih podataka Društvo će, ukoliko ocijeni potrebnim, vršiti internu reviziju zaštite osobnih podataka, u svrhu lociranja potencijalniih propusta i rizika u vezi sigurnosti, te kako bi se obrisali osobni podaci za kojima nema potrebe da više budu pohranjeni. Navedenu internu reviziju izvršavaju ovlaštene osobe u Društvu, i to u suradnji sa Službenikom za zaštitu podataka. Društvo će u slučaju potrebe također provesti i neovisnu reviziju od strane treće osobe, a u koju reviziju ne bi trebale biti uključene osobe koje su sudjelovale u implementaciji mjera sigurnosti i obrade osobnih podataka, i kojom metodologijom će se također utvrditi mogući propusti pri svakom aspektu prikupljanja, obrade i pohrane osobnih podataka zajedno sa savjetovanjem kako poboljšati sigurnost navedenih Postupak u slučaju povrede osobnih podataka Općenito o povredama Unatoč odgovarajućim mjerama zaštite osobnih podataka koje Društvo poduzima kako bi se spriječile povrede osobnih podataka, nije isključena mogućnost da ipak dođe do povrede osobnih podataka. Pored mjera zaštite koje bi trebale osigurati da do povrede ne dođe, Društvo poduzima i tehničke mjere kojima je cilj otkriti je li do povrede došlo. Povreda osobnih podataka može imati niz štetnih posljedica za ispitanike te je stoga od iznimne važnosti da Društvo na povrede što prije reagira. Povreda osobnih podataka znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. O uništenju osobnih podataka riječ je kad osobni podaci više ne postoje ili ne postoje u obliku u kojem su Društvu potrebni za svrhe u koje ih obrađuje. O gubitku je riječ kada osobni podaci postoje, ali je Društvo izgubio kontrolu nad njima ili mogućnost pristupa, ili podaci na drugi način više nisu u posjedu Društva. Gubitak može biti privremenog ili trajnog karaktera. O izmjeni je riječ kada zbog promjena izvršenih na njima osobni podaci više nisu potpuni, točni ili ažurni. O neovlaštenom otkrivanju ili pristupu osobnim podacima radi se kada je došlo do njihovog otkrivanja osobama koje za to nisu ovlaštene. Podnošenje izvještaja Agenciji za zaštitu osobnih podataka Ukoliko Društvo otkrije povredu zaštite osobnih podatka, a za koju povredu je vjerojatno da će prouzročiti rizik za prava i slobode ispitanika, Društvo mora odmah i bez odgađanja podnijeti izvještaj Agenciji za zaštitu osobnih podataka i to najkasnije u roku 72 sata (ukoliko se obavijest dostavi kasnije, mora se obrazložiti zakašnjenje). Predmetni izvještaj mora sadržavati - opis prirode povrede osobnih podataka, uključujući, ako je moguće, kategorije i približan broj dotičnih ispitanika te kategorije i približan broj dotičnih evidencija osobnih podataka; - ime i kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke od koje se može dobiti još informacija; - opis vjerojatnih posljedica povrede osobnih podataka; - opis mjera koje je Društvo poduzelo ili predložilo poduzeti za rješavanje potencijalne povrede osobnih podataka, uključujući prema potrebi mjere umanjivanja njezinih mogućih štetnih posljedica. Ukoliko Društvo navedene informacije iz nekog razloga nije u mogućnosti pružiti u jednom izvještaju, može ih pružati postepeno, ali bez nepotrebnog odgađanja. Društvo će dokumentirati svaku povredu osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, posljedice i mjere poduzete za popravljanje štete. Nakon obavijesti Agenciji, Društvo slijedi sve daljnje naloge koje Agencija odredi, te je u navedenom postupku također nužno savjetovanje sa nadležnim službenikom za zaštitu podataka. Podnošenje izvještaja ispitaniku čiji se podaci obrađuju Društvo će ispitanika odmah i bez odgađanja izvijestiti o povredi, ako je vjerojatno da predstavlja visok rizik za prava i slobode ispitanika kojeg se ti osobni podaci tiču. Pri navedenoj obavijesti Društvo dostavlja opis povrede zajedno sa informacijama b), c) i d) iz prethodnog članka, i to uporabom jasnog i jednostavnog jezika. Međutim, obavijest se ipak ne dostavlja ispitaniku ukoliko je ispunjen barem jedan od sljedećih uvjeta: - poduzete su odgovarajuće tehničke i organizacijske mjere zaštite, posebno one koje osobne podatke čine nerazumljivima bilo kojoj osobi koja im nije ovlaštena pristupiti, kao što je enkripcija; - poduzete su naknadne mjere kojima se osigurava da više nije vjerojatno da će doći do visokog rizika za prava i slobode ispitanika - za obavijest ispitaniku je potreban nerazmjeran napor. U takvom slučaju mora postojati neki vid javne obavijesti ili slične mjere kojom se ispitanici obavješćuju na jednako djelotvoran način. Postupanje radnika u slučaju povrede Zadaća svih radnika Društva je da bez odgode obavijeste službenika za zaštitu podataka o povredi koja se dogodila, odnosno o sumnji da je do povrede došlo i okolnostima iz kojih takva sumnja proizlazi. U slučaju da je službenik odsutan, o povredi treba obavijestiti odgovornu osobu za ljudske potencijale i/ili pravne poslove koji preuzimaju zadatke službenika dok isti ne preuzme postupanje ili da izričite upute. Postupanje službenika u slučaju povrede Zadatak službenika za zaštitu podataka je da u roku od najviše 48 sati istraži okolnosti pod kojima je došlo do povrede, odnosno okolnosti vezane uz navodnu povredu. U tu svrhu, službenik za zaštitu podataka ovlašten je i dužan poduzeti potrebne provjere koje uključuju razgovore sa relevantnim zaposlenicima i drugim osobama koje bi mogle imati saznanja o povredi te se konzultirati s pravnicima i IT stručnjacima zaposlenim u Društvu. O poduzetim radnjama, službenik za zaštitu podataka sastavlja pisano izvješće koje podnosi Upravi Društva, a koje će između ostalog sadržavati: - opis i rezultat radnji i provjera koje je službenik poduzeo, - prirodu povrede osobnih podataka uključujući, ako je moguće, kategorije i približan broj ispitanika te kategorije i približan broj evidencija osobnih podataka zahvaćenih povredom, - opisati rizik i vjerojatne posljedice povrede osobnih podataka, - opisati mjere koje predlaže poduzeti za rješavanje problema povrede osobnih podataka, uključujući mjere umanjivanja njezinih mogućih štetnih posljedica, - izvješće treba zaključiti prijedlogom Upravi o tome je smatra li potrebnim obavijestiti nadzorno tijelo - AZOP (pri čemu obavijest AZOP-u nije potrebna ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca), odnosno potrebi informiranja ispitanika (što je potrebno ako je vjerojatno da će povreda prouzročiti visoki rizik za prava i slobode pojedinaca). Radi osiguravanja veće razine konzistentnosti, Društvo može pripremiti obrazac koji će se koristiti za izvještavanje o povredama. Provođenje procjene učinka na zaštitu podataka Društvo će procjenu učinka na zaštitu podataka provesti ako je vjerojatno da će se uvođenjem neke nove tehnike i vrste obrade, a osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca. Pritom se jedna procjena može odnositi na niz sličnih postupaka obrade koji predstavljaju podjednake visoke rizike. Društvo će se pri provođenju predmetne procjen savjetovati sa službenikom za zaštitu podataka. Predmetna procjena se obvezatno provodi u sljedećim situacijama: - u slučaju sustavne i opsežne procjene osobnih aspekata u vezi s pojedincima koja se temelji na automatiziranoj obradi, uključujući izradu profila, i na temelju koje se donose odluke koje proizvode pravne učinke koji se odnose na pojedinca ili na njega značajno utječu - u slučaju opsežne obrade posebnih kategorija osobnih podataka ili podataka u vezi s kaznenim osudama i kažnjivim djelima ili - u slučaju sustavnog praćenja javno dostupnog područja u velikoj mjeri. Agencija za zaštitu osobnih podataka odnosno druga nadzorna tijela također uspostavljaju i javno objavljuju popis vrste postupaka za koji je potrebno provesti predmetnu procjenu. Sadržaj procjene Procjena mora sadržavati sljedeće informacije: - sustavan opis predviđenih postupaka obrade i svrha obrade, uključujući, ako je primjenjivo, legitimni interes Društva; - procjenu nužnosti i proporcionalnosti postupaka obrade povezanih s njihovim svrhama; - procjenu rizika za prava i slobode ispitanika odnosno procjena vjerojatnosti da bi predmetna povreda mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, ili dovesti do diskriminacije, krađe identiteta ili prijevare, financijskog gubitka, štete za ugled, gubitka povjerljivosti osobnih podataka zaštićenih poslovnom tajnom, neovlaštenog obrnutog postupka pseudonimizacije, ili bilo koje druge znatne gospodarske ili društvene štete; ili ako ispitanici mogu biti uskraćeni za svoja prava i slobode ili spriječeni u obavljanju nadzora nad svojim osobnim podacima; ako se obrađuju posebne kategorije podataka; ako se procjenjuju osobni aspekti, osobito analiza ili predviđanje aspekata u vezi s učinkom na poslu, ekonomskim stanjem, zdravljem, osobnim preferencijama ili interesima, pouzdanošću ili ponašanjem, lokacijom ili kretanjem kako bi se izradili ili upotrebljavali osobni profili; ako se obrađuju osobni podaci osjetljivih pojedinaca, osobito djece; ili ako obrada uključuje veliku količinu osobnih podataka i utječe na velik broj ispitanika - mjere predviđene za rješavanje problema rizika, što uključuje zaštitne mjere, sigurnosne mjere i mehanizme za osiguravanje zaštite osobnih podataka i dokazivanje sukladnosti, uzimajući u obzir prava i legitimne interese ispitanika i drugih uključenih osoba. Društvo ipak ne treba provesti procjenu ako je svrha predmetne obrade u pravnoj obvezi Društva te ako ti propisi na kojima se obveza temelji uređuju posebne postupke obrade ili skupina dotičnih postupaka te je procjena učinka na zaštitu podataka već provedena, osim ako primjenjivi propisi ne određuju drukčije. Postupak savjetovanja sa nadzornim tijelom Društvo se savjetuje s nadzornim tijelom prije potencijalno rizične obrade ukoliko prethodno provedena procjena učinka na zaštitu podataka navodi na to da bi obrada mogla predstavljati visoki rizik ukoliko se ne donesu određene sigurnosne mjere. Prilikom savjetovanja nadzornom tijelu potrebno je dostaviti: - odgovarajuće podatke Društva, zajedničkih voditelja obrade i izvršitelja obrade uključenih u obradu, osobito za obrade unutar grupe poduzetnika; - svrhu i sredstva namjeravane obrade; - zaštitne mjere i druge mjere za zaštitu prava i sloboda ispitanika; - kontaktne podatke službenika za zaštitu podataka; - procjenu učinka na zaštitu podataka - sve druge informacije koje nadzorno tijelo zatraži. Ukoliko nadzorno tijelo smatra da bi se namjeravanom obradom kršili primjenjivi propisi, a osobito ukoliko nije u dovoljnoj mjeri utvrđen ili umanjen rizik, nadzorno tijelo u roku od najviše osam tjedana od zaprimanja zahtjeva za savjetovanje (navedeni rok može biti produžen za daljnjih šest tjedana) pisanim putem savjetuje Društvo, pri čemu može koristiti bilo koje od svojih zakonom ustanovljenih ovlasti, poput obveznih naredbi, ishođenje pristupa osobnim podacima ili provođenja revizije zaštite osobnih podataka. Postupak u slučaju prijenosa osobnih podataka u treće zemlje Ukoliko se osobni podaci koji se prikupljaju i obrađuju prenose izvan EU u treću zemlju ili međunarodnu organizaciju (npr udruženje ugostitelja iz inozemstva), Društvo provjerava postoji li za tu određenu zemlju u koju će se predmetni podaci slati dozvola za slanje u vidu tzv. Odluke o primjerenosti, a koju Odluku izdaje Europska Komisija te koje odluke se izdaju u Službenom listu Europske Unije. U odnosu na navedeno, daljnje postupanje se diferencira s obzirom na tri potencijalne situacije: - ukoliko takva Odluka postoji, prijenos je dozvoljen. - ukoliko takva Odluka ne postoji, prijenos u načelu nije dozvoljen ali je ipak moguć pod uvjetom da je Društvo ili izvršitelj obrade predvidilo odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkovita sudska zaštita. Pod navedene mjere se osobito uzimaju standardne klauzule za zaštitu podataka - čak i u slučaju da takva Odluka ne postoji, a niti postoje odgovarajuće mjere iz b), prijenos je ipak moguć ukoliko je ispitanik dao izričiti pristanak na takav prijenos nakon što je obaviješten o potencijalnimi rizicima, ili ukoliko je prijenos nužan u sklopu ugovorne obveze odnosno u vezi postavljanja, ostvarivanja ili obrane pravnih zahtjeva te ukoliko postoji neki drugi bitni javni interes ili važan interes ispitanika. U smislu toč. b) iz prethodnog stavka, Društvo će nastojati da se prednost dade onoj zaštitnoj mjeri koja osigurava veću razinu zaštite (npr. primjena standardnih ugovornih klauzula koje je usvojila Europska komisija ili posebnim ugovornim klauzulama odobrenim od strane nadležnog tijela), osim ako je prema okolnostima slučaja očito prikladnija primjena nekog od odstupanja za posebne slučajeve iz članka 49. Opće Uredbe. Predmet poslovanja Društva je takav da ima goste iz različitih zemalja, pri čemu Društvo osobne podatke gostiju može dobiti od stranih turističkih agencija ili stranih operatora online booking platformi. U odnosu na Društvo, navedeni subjekti djeluju kao zasebni voditelji obrade te za njihove radnje Društvo nije i ne može biti odgovorno. Takvi subjekti mogu imati sjedište u zemljama koje ne osiguravaju adekvatnu razinu zaštite. Društvo s takvim partnerima može povratno razmjenjivati određene osobne podatke gostiju potrebne radi naplate pruženih usluga, kao npr. razdoblje boravka određenog gosta i podatke o potrošnji gosta. Takve povratne razmjene osobnih podataka s navedenim partnerima temelje se na članku 49. stavku 1. točki c) Opće Uredbe (prijenos koji je nužan radi sklapanja ili izvršavanja ugovora sklopljenog u interesu ispitanika između voditelja obrade i druge fizičke ili pravne osobe; kao gore pod c)). U slučaju postojanja sumnje je li prijenos osobnih podataka u zemlju koja ne osigurava adekvatnu razinu zaštite dozvoljen, potrebno je prethodno tražiti savjet i mišljenje službenika za zaštitu podataka. Izvršitelj obrade Društvo može dio obrade osobnih podataka povjeriti izvršitelju obrade (primjera radi – revizori, odvjetnici i slično). Izvršitelj obrade mora u dovoljnoj mjeri jamčiti provedbu odgovarajućih tehničkih i organizacijskih mjera koje su sukladne primjenjivim propisima o zaštiti osobnih podataka, te treba djelovati samo u skladu s uputama Društva. Odnosi sa Izvršiteljima glede zaštite osobnih podataka reguliraju se posebnim sporazumima ili u okviru osnovnih ugovora. Sklapanje ugovora s izvršiteljima obrade Društvo može odlučiti da će pojedine aspekte obrade osobnih podataka povjeriti izvršiteljima obrade, koji će osobne podatke obrađivati u ime i po uputama Društva. Društvo može angažirati jedino one izvršitelje obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera zaštite osobnih podataka. S izvršiteljem obrade Društvo obvezno sklapa sporazum u pisanom obliku kojim se regulira predmet i trajanje obrade, priroda i svrha obrade, vrsta osobnih podataka i kategorija ispitanika te prava i obveze Društva i izvršitelja obrade. U sklopu takvog sporazuma, izvršitelj obrade daje Društvu određena jamstva u pogledu zaštite osobnih podataka. Ovisno o okolnostima slučaja, a prema vrsti i opsegu obrade koju izvršitelj obrade obavlja, Društvo može prije angažiranja određenog izvršitelja obrade izvršiti provjere koje smatra razumnim i prikladnim, kao na primjer: - tražiti informaciju je li izvršitelj obrade imenovao službenika za zaštitu podataka, - tražiti informaciju o tome angažira li izvršitelj obrade podizvršitelje, koga sve i u kojim se zemljama oni nalaze, - provjeriti s izvršiteljem vodi li evidenciju o aktivnostima obrade,provjeriti s izvršiteljem ima li i kakve interne politike i procedure glede zaštite osobnih podataka, - obaviti razgovore o načinu na koji su organizirani relevantni procesi izvršitelja obrade, - tražiti informaciju ima li izvršitelj certifikat da je usklađen s GDPR-om (certificiranje nije obvezno, ali je korisno navesti ako ima), - tražiti informaciju ima li izvršitelj kakve ISO certifikate na području IT sigurnosti, - razmotriti u kojoj mjeri Društvo ima mogućnost nadzora nad izvršiteljem obrade, - posjetiti poslovne prostorije izvršitelja obrade, - ako se radi o izvršitelju obrade s kojim Društvo surađuje već duže vrijeme, u obzir se može uzeti njihova savjesnost i urednost u dosadašnjem izvršavanju ugovornih obveza. U svrhu kontinuirane provjere izvršitelja obrade, Društvo može na godišnjoj razini, a po potrebi i češće, od izvršitelja obrade tražiti dostavljanje potpisane izjave kojom izvršitelj obrade potvrđuje svoju sukladnost. Nacrt takve izjave može biti prilog ugovoru kojeg Društvo potpisuje s izvršiteljem obrade. Izvršitelje obrade društvo navodi u evidenciji o aktivnosti obrade (ukoliko je istu obvezno voditi), zajedno sa svim provjerama koje je Društvo poduzelo prije njihovog angažiranja. Sektor ljudskih potencijala i pravnih poslova vodi popis izvršitelja obrade i čuva ugovore s izvršiteljima obrade. Društvo će u pravilu izbjegavati suradnju s izvršiteljima obrade kod kojih bi trebalo doći do prijenosa osobnih podataka u treću zemlju (izvan EU). Do suradnje s takvim izvršiteljima može doći ako su primijenjene odgovarajuće zaštitne mjere sukladno Poglavlju V. Opće Uredbe. Ugovori koji uključuju razmjenu podataka s drugim primateljima Društvo u svom poslovanju može ulaziti u pravne odnose s drugim pravnim i fizičkim osobama s kojima ne djeluje kao zajednički voditelj obrade niti ih angažira kao svoje izvršitelje obrade. U takvim pravnim odnosima može doći do razmjene određenih osobnih podataka. Isto tako, do razmjene osobnih podataka može doći prema državnim tijelima. U svim takvim slučajevima, ovisno o okolnostima, Društvo procjenjuje je li potrebno sklopiti pisani ugovor kojim se pobliže definiraju prava i obveze ugovornih strana, te je li i u kojoj mjeri u takav pisani ugovor, osim opće odredbe o obvezi obiju ugovornih strana da čuvaju povjerljivost svih informacija i osobnih podataka koje jedna od druge prime radi izvršavanja ugovornih obveza, potrebno uključiti dodatne odredbe o razmjeni osobnih podataka. Takve dodatne odredbe o razmjeni osobnih podataka osobito mogu uključivati odredbe kojima se precizira svrha razmjene osobnih podataka, vrsta osobnih podataka koji se prenose, pravna osnova za prijenos podataka, ograničenje u pogledu daljnjih primatelja osobnih podataka, obveza čuvanja povjerljivosti, razdoblje tijekom kojeg će primatelj čuvati osobne podatke, posljedice povrede i slično. Osobni podaci koji se razmjenjuju s primateljima u svakom će slučaju biti ograničeni na ono što je nužno kako bi se ostvarila svrha radi koje se prijenos odvija. Upotreba kolačića (cookies) Web stranica Društva koristi kolačiće (cookies). Kolačići su malene tekstualne datoteke koje web stranice pohranjuju na računalo posjetitelja prilikom posjete web stranici. Kolačići služe tome da web stranica zapamti posjetitelja i prepozna ga prilikom sljedeće posjete te da zapamti njegove preferencije. Kolačići mogu prikupljati podatak o IP adresi, gradu i državi iz koje je posjetitelj web stranice, dobi i spolu posjetitelja, te druge podatke. Uvodna odredba (30) GDPR-a izričito propisuje da se mrežni identifikatori kao što su npr. kolačići mogu upotrijebiti za izradu profila pojedinaca i njihovu identifikaciju. Društvo stoga obavještava posjetitelje web stranice o logici automatske obrade i o posljedicama koje profiliranje na osnovi kolačića ima za pojedince. Radi izbjegavanja svake dvojbe, Društvo ne ide za time da pomoću kolačića utvrđuje identitet pojedinaca, već koristi kolačiće jedino u svrhe kontrole podataka. Društvo prikuplja i obrađuje osobne podatke za potrebe rezervacija i upravljanja gostima, računima i naplatom, marketinških akcija i ispitivanja zadovoljstva. Podaci su namijenjeni Društvu i njegovim pružateljima usluga. Ispitanik ima pravo ispitati, pristupiti, ispraviti ili prigovoriti takvoj obradi pisanim putem našem službeniku za zaštitu podataka. Korištenje elektroničkih komunikacijskih mreža za pohranu podataka ili za pristup već pohranjenim podacima u terminalnoj opremi korisnika dopušteno je samo u slučaju kada je korisnik/ispitanik dao svoju privolu, i to nakon što je dobio jasnu i potpunu obavijest u skladu s posebnim propisima o zaštiti osobnih podataka, i to osobito o svrhama obrade osobnih podataka. U skladu s navedenom odredbom, Društvo prije instalacije kolačića traži privolu posjetitelja. Prilikom posjete web stranici Društva, posjetitelju se daju informacije o vrsti kolačića koje web stranica koristi i njihovoj svrsi. Posjetitelj pritom može odabrati kolačiće čiju će instalaciju dopustiti, a koje će kolačiće odbiti. Posjetitelju su na web stranici Društva dostupne detaljnije informacije o kolačićima, kao i o načinu na koji posjetitelj može promijeniti svoje postavke kolačića i brisati ranije instalirane kolačiće. Iznad opisano postupanje u svezi korištenja kolačića Društvo će pravovremeno preispitati, a po potrebi i revidirati nakon što se na razini Europske unije donese uredba koja će regulirati predmetno područje (e-privacy Regulation). Prava i dužnosti službenika za zaštitu podataka Službenik za zaštitu podataka samostalan je i neovisan u svom radu i ovlašten je poduzimati sve potrebne aktivnosti i mjere kako bi se osigurala usklađenost poslovanja Društva s propisima o zaštiti osobnih podataka. Službenik za zaštitu podataka za svoj rad odgovara izravno Upravi Društva. Pri donošenju odluke o imenovanju službenika za zaštitu podataka Društvo će voditi računa da imenovana osoba ima odgovarajuća stručna znanja za provedbu svih mjera i aktivnosti za zaštitu osobnih podataka. Službenik mora imati potrebne stručne kvalifikacije, a osobito stručno znanje o pravu i praksama u području zaštite osobnih podataka. Iako certifikati koje je službenik ishodio mogu biti od pomoći, od veće je važnosti za obavljanje funkcije službenika kontinuirana edukacija, poznavanje procesa i razumijevanje IT sustava Društva, kao i zakonskog okvira poslovanja Društva te njegovih potreba sigurnosti i zaštite osobnih podataka. Uprava odlučuje hoće li službenik za zaštitu podataka biti u radnom odnosu s Društvom ili će se za službenika ugovorno angažirati vanjski pružatelj usluga. U slučaju radnog odnosa, službenik za zaštitu podataka može biti zaposlen na puno ili na nepuno radno vrijeme. Pored radnih zadataka koje ima kao službenik može obavljati i druge zadatke koji ne dovode do sukoba interesa s obavljanjem zadataka koji proizlaze iz funkcije službenika. Službenik za zaštitu podataka je osoba koja u svakom trenutku mora biti na primjeren i pravodoban način uključena u sva pitanja u pogledu zaštite osobnih podataka u Društvu, te se preporučuje svim radnicima i trećim osobama da se obrate navedenom u slučaju ikakve dvojbe vezano uz pitanje osobnih podataka. Društvo osigurava da sve organizacijske jedinice Društva, počevši od njihovih rukovoditelja pa naniže, budu upoznate s postojanjem Službenika u Društvu i njegovim zadacima te s važnošću obavještavanja službenika pri razvoju novih usluga, namjeravanoj upotrebi novih tehnologija, novim vrstama obrade osobnih podataka, povredama osobnih podataka i zahtjevima za ostvarivanjem prava ispitanika. Društvo je dužno osigurati kako slijedi: - u slučaju namjeravane nove vrste obrade osobnih podataka ili namjeravane obrade osobnih podataka u drugu svrhu od postojeće te upotrebe novih tehnologija, službenik treba biti uključen na relevantne sastanke u što ranijoj fazi, kako bi mogao izraziti svoje mišljenje i pomoći svojim savjetom, - Društvo će nastojati da službenik bude prisutan na redovitim sastancima uprave i višeg menadžmenta kako bi mogao dati korisne doprinose zaštiti osobnih podataka, osobito na onim sastancima koji bi mogli imati utjecaja na obradu osobnih podataka, - osiguravanjem da službenik na raspolaganju ima odgovarajuće kadrovske, organizacijske i tehničke resurse na raspolaganju kako bi mogao obavljati svoje zadatke, - sve organizacijske jedinice Društva dužne su, bez odgode, obavještavati službenika za zaštitu podataka o svim kretanjima i promjenama vezanim uz poslovanje Društva, a koje bi mogle imati utjecaja na zaštitu osobnih podataka, - prije izmjene bilo kakvih politika i pravilnika koji se odnose na zaštitu osobnih podataka, Uprava će tražiti mišljenje Službenika - službenik ne smije biti razriješen dužnosti niti kažnjen zbog obavljanja njegovih zadataka. Pri obnašanju dužnosti službenik za zaštitu podataka ne smije primati nikakve upute u pogledu izvršavanja svojih dužnosti te ne smije biti razriješen dužnosti ili kažnjen zbog izvršavanja navedenih. Službenik je svoje zadatke dužan obavljati osobno, uredno i savjesno. Službenik za zaštitu podataka odgovoran je za provođenje svih mjera i aktivnosti usmjerenih na ostvarivanje ciljeva politike zaštite privatnosti i osobnih podataka Društva, provedbu zakonskih, podzakonskih i drugih obvezujućih akata na području zaštite osobnih podataka. Obveze i zadaće službenika za zaštitu osobnih podataka osobito uključuju sljedeće: - informiranje i savjetovanje Uprave i radnika Društva o obvezama iz Opće Uredbe i drugih primjenjivih zakona i propisa o zaštiti osobnih podataka, - održavanje redovitih edukacija radnika zaposlenih u Društvu na području zaštite osobnih podataka kako bi ih se upoznalo sa zakonskim zahtjevima i internim zahtjevima Društva glede zaštite osobnih podataka, - provođenje internih revizija radi provjere usklađenosti poslovanja i prakse pojedinih organizacijskih jedinica sa zahtjevima Opće Uredbe i internih akata Društva. O provedenim revizijama službenik će sastaviti pisano izvješće u kojem mora opisati rezultate svog pregleda i eventualne uočene nedostatke, - provođenje povremenih revizija politika i pravilnika Društva o zaštiti osobnih podataka, - izrada i pregled dokumentacije vezane uz zaštitu osobnih podataka (npr. ugovori s izvršiteljima obrade, ugovori sa zajedničkim voditeljima obrade, ugovori temeljem kojih dolazi do razmjene osobnih podataka s primateljima, obavijesti ispitanicima, interne politike i procedure i slično), - pregledavanje svih izmjena u evidencijama o aktivnosti obrade i pomoć nadležnim zaposlenicima pri njihovom popunjavanju, - priprema, odnosno pregledavanje odgovora na zahtjeve za ostvarivanje prava ispitanika iz dijela trećeg ove Politike te vodi evidenciju primljenih zahtjeva za ostvarivanje prava ispitanika i odgovora na njihove zahtjeve, - vođenje evidencije o povredama osobnih podataka i postupanje u skladu s odredbama šestog dijela ove Politike u slučaju kada dođe do povrede, te se aktivno uključuje u istraživanje i izvještavanje o povredama osobnih podataka do kojih može doći, - izrada procjene učinka na zaštitu osobnih podataka iz članka 35. Opće Uredbe (kada postoji obveza izrade procjene učinaka), - redovito se usavršava pohađanjem edukacija namijenjenih službenicima za zaštitu osobnih podataka u dogovoru s Upravom, ali i samostalno prati promjene i praksu na području zaštite osobnih podataka, a osobito smjernice i mišljenja AZOP-a, smjernice Radne skupine osnovane na temelju članka 29. Direktive 95/46/EC i Odbora za zaštitu osobnih podataka osnovanog na temelju Opće Uredbe, - surađuje s nadzornim tijelom i djeluje kao kontakt točka za nadzorno tijelo u pogledu obrade, - obavljanje drugih aktivnosti koje doprinose podizanju razine zaštite osobnih podataka. Službenik je ovlašten usmeno upozoravati radnike kod kojih uoči postupanje koje nije u skladu s Općom Uredbom ili ovom Politikom te im davati upute o načinu ispravljanja uočenih nesukladnosti. O svim uočenim neusklađenostima na području zaštite osobnih podataka Službenik za zaštitu podataka upozorava Upravu Društva. Uprava Društva odlučuje o mjerama koje će se poduzeti kako bi se otklonile eventualne neusklađenosti. Dođe li uslijed propusta u radu službenika za zaštitu podataka do štete za ispitanike, Društvo ili druge osobe, službenik za zaštitu podataka može biti izravno odgovoran za štetu, što će se prosuđivati prema primjenjivim zakonskim propisima ukoliko je do istoga došlo namjerom ili krajnjom nepažnjom službenika. Službenik je dužan trajno čuvati povjerljivost svih informacija i osobnih podataka koje je saznao vezano uz obnašanje svoje funkcije. Edukacija radnika Svi radnici potpisuju posebne izjave o povjerljivosti ili ugovorom o radu preuzimaju obvezu trajnog čuvanja tajnosti osobnih podataka. Međutim, kako bi se radnike što bolje osvijestilo o važnosti zaštite podataka, Društvo je dužno obrazovati sve svoje radnike o značaju i načinima zaštite osobnih podataka unutar prvog mjeseca rada. Edukaciju organizira odgovorna osoba ustrojstvene jedinice za ljudske potencijale, za planiranje i provođenje edukacija i treninga. Sukladno analizi stanja zaštite osobnih podataka, promjenama u zakonskim propisima ili internim politikama, broju povreda ili inače na prijedlog službenika za zaštitu osobnih podataka, Društvo provodi povremene edukacije radnika tijekom trajanja ugovora o radu s ciljem podizanja razine zaštite osobnih podataka i svijesti radnika o potrebi zaštite njihove tajnosti. Ove edukacije održavaju se najmanje jednom godišnje. Održavanje edukacija potrebno je evidentirati. Program obrazovanja utvrđuje službenik za zaštitu podataka u dogovoru s Upravom Društva, vodeći računa o razini rizika za pojedina radna mjesta tako da sadržaj programa bude prilagođen radnim zadacima radnika i opsegu u kojem oni dolaze u dodir s osobnim podacima. Radnike će se na edukacijama informirati o tome da sve uočene nedostatke i nesukladnosti na području zaštite osobnih podataka mogu priopćiti službeniku ili svojim rukovoditeljima. Odgovornost Društvo je odgovorno za usklađenost sa primjenjivim propisima vezanim uz zaštitu osobnih podataka te treba biti u mogućnosti dokazati predmetnu usklađenost odnosno zakonito postupanje. Zaključak Predmetna Politika predstavlja kodificiranu dobru praksu u vezi zaštite osobnih podataka te služi kao svojevrsni putokaz. Navedena Politika nastoji pokriti većinu predvidljivih situacija koje bi mogle nastati ali to dakako nije moguće, tako da će svaku situaciju trebati procjenjivati po okolnostima koje su jedinstvene u svakom pojedinom slučaju. Ovaj Politika tumači se sukladno Općoj Uredbi i primjenjivom zakonodavstvu Republike Hrvatske na području zaštite osobnih podataka. Sva pitanja ispitanika u svezi ove Politike mogu se podnijeti službeniku za zaštitu osobnih podataka, koji će na upit podnositelja odgovoriti u što kraćem roku, a najkasnije u roku od mjesec dana. Za sve eventualne sporove proizašle iz povrede osobnih podataka koju bi počinilo Društvo primjenjuju se zakoni i drugi propisi primjenjivi u Republici Hrvatskoj, a sud nadležan za rješavanje u sporu je stvarno nadležni sud prema sjedištu Društva. Ova Politika prestaje važiti ako Društvo o tome donese odluku, odnosno ako dođe do likvidacije Društva ili do druge statusne promjene koja bi rezultirala prestankom postojanja Društva. Međutim, prestanak važenja ove Politike ne oslobađa radnike Društva obveza zaštite osobnih podataka u pogledu onih podataka koji su do tada prikupljeni i/ili obrađeni. Predmetna tematika zaštite osobnih podataka je opsežne i složene naravi te je ključno da svi radnici navedenom pristupe ozbiljno, pažljivo i staloženo, jer se jedino na taj način može odgovoriti na sve izazove koje ovo dinamično područje nameće svakodnevnom poslovanju Društva.