http___hotel-sipan.hr_politika_privatnosti__1.xml
1.1 2.1 3.1 3.2 4.1 4.2 4.3 5.1 5.2 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 21.2 22.1 23.1 24.1 25.1 26.1 26.2 27.1 28.1 29.1 30.1 30.2 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 51.2 52.1 53.1 54.1 54.2 55.1 56.1 57.1 57.2 58.1 59.1 60.1 61.1 61.2 62.1 62.2 63.1 64.1 65.1 66.1 66.2 66.3 67.1 67.2 68.1 69.1 70.1 71.1 71.2 72.1 73.1 74.1 75.1 76.1 77.1 78.1 79.1 80.1 80.2 81.1 82.1 82.2 82.3 83.1 83.2 83.3 84.1 85.1 85.2 85.3 85.4 86.1 87.1 88.1 89.1 90.1 91.1 92.1 92.2 93.1 94.1 95.1 96.1 97.1 98.1 98.2 99.1 99.2 100.1 101.1 102.1 103.1 104.1 104.2 104.3 105.1 106.1 106.2 107.1 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 126.2 127.1 128.1 129.1 130.1 131.1 132.1 132.2 133.1 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 148.2 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 158.2 158.3 159.1 160.1 161.1 161.2 161.3 161.4 162.1 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 173.2 174.1 175.1 175.2 175.3 176.1 176.2 176.3 177.1 178.1 179.1 180.1 181.1 182.1 183.1 184.1 185.1 186.1 187.1 188.1 189.1 190.1 191.1 192.1 193.1 194.1 195.1 196.1 197.1 198.1 199.1 200.1 201.1 202.1 203.1 204.1 205.1 206.1 206.2 207.1 208.1 209.1 210.1 211.1 212.1 213.1 213.2 214.1 214.2 214.3 215.1 216.1 216.2 217.1 218.1 218.2 219.1 220.1 221.1 221.2 222.1 223.1 223.2 224.1 225.1 226.1 227.1 228.1 229.1 230.1 231.1 232.1 233.1 234.1 235.1 236.1 236.2 237.1 238.1 238.2 239.1 240.1 241.1 242.1 243.1 244.1 245.1 246.1 247.1 248.1 249.1 249.2 250.1 251.1 252.1 253.1 253.2 254.1 255.1 256.1 257.1 258.1 259.1 260.1 261.1 262.1 263.1 264.1 265.1 265.2 266.1 267.1 267.2 268.1 269.1 270.1 271.1 271.2 272.1 273.1 274.1 275.1 276.1 276.2 277.1 278.1 279.1 280.1 281.1 282.1 283.1 284.1 285.1 285.2 285.3 286.1 287.1 288.1 289.1 290.1 291.1 292.1 293.1 294.1 295.1 296.1 297.1 298.1 299.1 300.1 301.1 302.1 303.1 304.1 305.1 306.1 307.1 308.1 309.1 309.2 310.1 311.1 311.2 312.1 313.1 314.1 314.2 314.3 314.4 314.5 315.1 316.1 317.1 318.1 318.2 319.1 320.1 320.2 321.1 321.2 322.1 323.1 324.1 325.1 326.1 327.1 328.1 329.1 330.1 331.1 332.1 332.2 333.1 333.2 334.1 334.2 335.1 336.1 336.2 336.3 337.1 338.1 339.1 340.1 341.1 341.2 341.3 342.1 342.2 342.3 343.1 343.2 343.3 343.4 344.1 344.2 345.1 345.2 346.1 347.1 348.1 349.1 350.1 351.1 351.2 351.3 352.1 353.1 353.2 354.1 354.2 355.1 356.1 357.1 358.1 359.1 360.1 361.1 362.1 363.1 363.2 364.1 365.1 366.1 367.1 368.1 369.1 370.1 371.1 372.1 373.1 374.1 375.1 376.1 377.1 378.1 378.2 379.1 380.1 381.1 382.1 382.2 382.3 383.1 383.2 384.1 385.1 386.1 387.1 388.1 389.1 390.1 390.2 391.1 391.2 392.1 393.1 393.2 394.1
Privacy Policy Introduction This privacy policy (hereinafter: the Policy) governs the method and extent of recommended procedures for collecting, processing and storing personal information by CASALINUS d.o.o. (Hotel Šipan), Orešići 9, Zagreb OIB 2792346996, (hereinafter: the Company). This Policy defines guidelines that aim to comply, to the extent possible with regard to the circumstances of each particular case, with the Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation). The purpose of this Policy is to define standards for management personnel, employees and other associates during their employment and professional activity in the Company regarding the handling of personal data. The ultimate objective is to minimize the risk associated with any potential non-compliance with the applicable regulations, which depends on a prompt and adequate response by the employees in each individual case. Concerning this matter, employees are invited to refrain from and cease any activity, and immediately contact the competent data protection officer for further guidance and instructions in case any provisions of this Policy are not fully understood or should any ambiguity regarding its implementation or any other uncertainty in conjunction with any current and future collection, processing and storage of personal data arise. Personal data protection is one of the fundamental human rights. The Company is fully aware that reliable and safe processing of personal data of its guests, employees and other natural persons whose personal information it collects and processes is of paramount importance. With this Policy, the Company creates a unique and high protection level for the personal data that it processes. In particular, the Company ensures personal data protection in the following ways: - by adopting this Policy regulating the general rules regarding the personal data protection by the Company, - by adopting special internal regulations and protocols that govern personal data processing in more detail, - by implementing staff-related, organizational and technical measures for personal data protection, - by appointing a data protection officer, - by keeping detailed records about data processing activities, - by continuously educating its employees about the importance of data protection. Definitions and understanding key terms For better understanding of the terms used throughout numerous provisions of the Policy, the following definitions are given below: Personal data This term refers to the data of an individual whose identity has been determined or may be determined either directly or indirectly, or by using identifiers such as name, ID number, location data, network identifier or one or multiple factors that are distinctive to that individual’s physical, physiological, genetic, mental, economical, cultural or social identity. Personal data processing and storage The processing of personal data refers to any procedure or sets of procedures performed on personal data or personal data sets, that are either automated or non-automated, for the purpose of collecting, recording, organizing, structuring, storing, adapting or changing, finding, inspection, use, disclosing by means of transmitting, disseminating or making available in any other way, harmonizing or combining, limiting, deleting or destroying personal data. The collection, processing or storing of personal data may be performed on personal data in any form, either non-automated (such as forms or documents obtained from the client, employees, or by manually entering personal data), semi-automated (manually populating Excel sheets or scanning for further processing), or automated (via the electronic forms or access cards, web pages, etc.). The already processed data or the data being processed is stored within certain systems, i.e. in the structured personal data set that is accessible and classified under special criteria (personal data categories, either general or special), and irrespective of whether they are centralized, decentralized or dispersed on a functional or geographical basis. Certain exceptions may apply to the personal data being processed for scientific, public or statistical purposes. Personal data subject and recipient A personal data subject is any natural person whose information the Company collects, i.e. that submitted this information to the Company, or whose personal data is provided to the Company for legal reasons (e.g. clients, current or prospective employees of the Company, external collaborators, etc.). A recipient of personal data refers to any natural or legal person, pubic authority, agency or any other body to which personal data is being disclosed for certain reasons. Controller and processor The data processing controller is the Company that either alone or together with another data processing controller (e.g. when personal data is being collected together with a partner company) determines the purposes and means for personal data processing. The data processor is any natural or legal person, public authority, agency or any other body that processes personal data for the Company (e.g. external accounting department). Automated individual decision-making and profiling Automated individual decision-making refers to a situation when the Company’s computer program, based on its technical settings and software, processes the subject’s personal data without human intervention, i.e. only by using a pre-defined algorithm (e.g. the program that automatically accepts or declines a certain request made by the subject based on particular requirements). Profiling refers to any form of automated data processing that involves using personal data for evaluating certain aspects about an individual, and in particular for analyzing or predicting that individual’s work performance, economic status, health, personal preferences, interests, reliability, behavior, location or movement (e.g. a program that analyses consumer habits and sends offers based on them). In order to prevent any uncertainties, the Company does not use automated individual decision-making. Any decisions regarding a data subject or that may affect it in a significant way and involve legal effects are made with considerable human intervention. Pseudonymisation This term refers to the processing procedure by which personal information can no longer be traced back to an individual without using additional information, subject to condition that such additional information is being stored separately and is subject to technical and organizational measures ensuring that personally identifiable information can no longer be traced back to an individual whose identity is or may be determined. Policy use The Policy shall apply whenever personal data of natural persons is being collected or processed, irrespective of the current stage (initial preparations or under process). Personal data to which this Policy does not apply is in particular - information about legal entities (e.g. companies, associations, public bodies) - information about deceased persons, and - information by which natural persons cannot be identified either independently or by associating it with some other information (e.g. pseudonymisation). This Policy is a constitutional document of the Company and applies to any and all personal data processing activities performed by the Company, such as in particular: - processing of personal data of the employees during the conclusion, performance and processing of an employment agreement, as well as for contacting prospective employees during the selection processes before an employment agreement is concluded, - processing of personal data of the natural persons that the Company employs under a temporary service agreement, copyright agreement, or similar agreements, - processing of personal data of the personnel employed by the Company’s suppliers, - processing of personal data of the pupils and students on an internship at the Company or which perform temporary pupil or student work, as well as during the selection process, agreement conclusion and granting scholarships to the pupils and/or students by the Company, - processing of personal data of the employees’ family members to the extent necessary for implementation of the legal provisions or exercising rights under the collective agreement (e.g. right to tax relief, paid leave, reward for the birth of a child, appropriate gift for the child and such), - processing of personal data related to the conclusion, implementation and processing of the hotel services agreements with business and private users, and implementation of the appropriate advertisement and market research activities for the purpose of informing the service users and interested third parties about the services offered by the Company, - processing of personal data related to the conclusion, implementation and processing of other types of agreements whose subject matter consists of providing one of the services that fall within the scope of the registered business activities of the Company (such as catering agreements, irrespective of the nature of the contract), - processing of personal data of the Company’s stakeholders or shareholders, depending on the legal form of the Company, - any other personal data processing activities currently performed by the Company or that may be performed in the future either on a temporary or permanent basis. This Policy is binding for all organizational units of the Company. This Policy is also binding for all entities for which the Company may request to accept it (e.g. data processors). The provisions of this Policy are intended to ensure high and unique levels of protection of personal data in the Company. Any existing or future obligations under laws or regulations relating to the personal data processing and use with a broader scope than the principles set forth in this Policy, with which obligations the Company must comply with shall not be affected by this Policy. The provisions of this Policy shall not affect the applicability of the national regulations relating to the national security, defense or public safety, or for the purpose of preventing and investigating criminal offences and prosecuting perpetrators. Addressees All management personnel, employees and associates of the Company (hereinafter: the Employees) shall be the addressees of the implementation of this Policy, i.e. responsible officers when properly collecting, processing and storing personal data. In addition, the said responsibility shall be one of the work obligations of each individual employee. The stated addressees act in good faith and with due diligence when performing any of the stated and/or similar actions and/or in any of the stated situations, while simultaneously acting in the best interests of all subjects whose personal data is being collected, processed and stored, since this is an indispensable prerequisite for the proper implementation of this Policy. The rules applicable to the individual data processing areas within the Company shall be more detailedly regulated with individual rules that must comply with the relevant data protection regulations and this Policy. For the purposes of more detailedly regulating the individual data processing areas, the Company may adopt acts (e.g. an IT safety policy, regulation on personal data processing of the employees and other individuals hired by the Company, CCTV regulation, Archives and registry protection regulation, etc.). The Company may at any time adopt regulations it deems necessary in order to achieve higher personal data protection level within one business unit, and these regulations shall serve to supplement the provisions of this Policy and may not contradict them. Principles Any and all actions under this Policy are based upon the following principles which must be observed at all times when handling personal data. The principle of legal, fair and transparent data handling, according to which any handling of data must comply with the laws and other applicable regulations, as well as carried out in a fair and transparent way. In order to clarify to the data subjects that their personal information is being collected and processed, and for which purpose, the Company notifies the subjects about the purpose of the processing among other things, which includes information about what personal data is being collected, processed and used, for which applications, for how long it is stored, and which recipients this data is disclosed to. The subjects are notified through different channels, depending on the circumstances of the particular case, and these may include: notices via the Company’s web site, written notifications in the Company’s premises, written notifications on forms that the Company uses, written notifications as part of the agreement that the Company enters into with the subject, email notifications, verbal notifications by the Company’s employees, and other methods if necessary. In particular, the Company notifies the subjects about their rights and the way they may exercise them. The data protection officer’s contact information is publicly available. The principle of data collection for legal reasons only, according to which the data may be collected only for the specific, explicit and legal purposes, and may not be processed in any other way that is contrary to the indicated purposes. The principle of the data volume limit and proportionality, according to which any personal data collection must be limited to the minimum necessary and only data that is relevant and proportional to the purpose for which is are processed may be collected. The principle of data accuracy and currency, according to which the accuracy of the data being collected and entered into the databases must be verified, and necessary measures taken in order to immediately delete or rectify the incorrect information, while taking the purpose for which it is being processed into account. The principle of limited storage, according to which the need to keep the data that allows natural persons to be identified must be limited with the purpose for which the personal data is processed. Personal data may be stored in a form that enables data subjects to be identified only for as long as necessary according to the purpose for which the personal data is processed. Whenever possible, the Company may apply techniques for deleting personally identifiable information (anonymisation) or replacing the personally identifiable information with other properties (pseudonymisation). The retention periods for various personal data categories are given in the data processing activities records (if kept) for each personal data type separately. The data retention periods are determined based on the legal requirements and the needs to protect the Company’s interests. With the Archives and registry protection regulation, the Company may regulate the documentation retention periods for each individual business units of the Company. The principle of personal data safety, according to which any handling of personal data must be performed in a way that ensures the highest possible level of protection of this data, including protection against unauthorized and/or unlawful processing, accidental loss, destruction or damages by using appropriate technical and organizational measures. The purpose of personal data processing It is important that any collection or processing of personal data has its purpose, that is a reason for which that particular personal data is collected or processed. The stated reasons are determined, defined and itemized below, and must be unequivocally indicated whenever personal data processing is performed: Subject’s consent Data collection and processing is based upon the subject’s consent/approval given for one or multiple specific purposes. Contract performance Data collection and processing is necessary for the performance of the agreement to which the subject is a party, or in order to take actions upon subject’s request before the contract is entered into (e.g. for the conclusion of the agreement, the contractual parties need to be defined that may be identified by personal information only). Legal obligation of the Company The collection and processing of certain data on the part of the Company arises from the legal obligation that compels the Company to perform the aforementioned activities as well as cooperate with the public authorities (e.g. data collection about the employees for the Croatian retirement and health insurance institute, tax office, customs office, independent administration bodies, the Croatian national tourist board). Legitimate interests of the Company or third party Data collection and processing is needed for a legitimate interest of the Company or a third party, except when superseded by the interests or fundamental rights and freedoms of the subject that require the personal data protection, and especially if the subject is a child (e.g. legitimate interest of the Company to install a CCTV system to ensure safety of the surveilled area). In case when the Company processes personal information based on its legal interest that is obvious, the Company shall note the nature of its legitimate interest and circumstances based on which it concluded that its legal interest supersedes the subject’s interests, rights and freedoms in the data processing activities records, if obligated to keep them. In cases when the Company’s legitimate interest is not obvious and therefore requires a more elaborate proportionality test and a deeper analysis, the Company shall document the reasons based on which it determined that the its legal interest prevails in more detail and in written form. Data processing for the direct marketing purposes It can be reasonably assumed that the Company has a legal interest to process personal data for direct marketing purposes. In this regard, the data concerned must be personal information that was previously legally collected by the Company, and the use of data for direct marketing purposes must be in accordance with what the subject may reasonably expect based upon its relationship with the Company in its capacity as a data processing controller. As opposed to this, processing of personal data for direct marketing purposes may not be based upon the legitimate interest, but only upon the subject’s express consent. If the personal data is processed for direct marketing purposes based on the legitimate interest of the Company, the subject may appeal against the personal data processing for direct marketing purposes at any time, including profiling that is associated with such direct marketing. Not later than during the initial communication with the subject, the subject is warned about this in a clear and distinct way and separately from any other information given. If the subject opposes the data processing for direct marketing purposes, its personal information may no longer be processed for such purposes. In order to eliminate any doubt, the Company confirms that sending its different written communications (e.g. newsletter and news about the Company’s benefits and services) is only possible upon the subject’s consent given by filling out the corresponding fields on the Company’s web site after being notified about the processing of personal data and a subsequent verification by clicking on the link sent to the email address specified for receiving notifications. Except when specified by the subject itself, the Company shall not collect email addresses or other information in any other way for sending newsletters to the subjects. Any and all such communications transmitted to the subject contain a clearly highlighted unsubscription option from receiving communications. By unsubscribing, the subject’s consent is deemed as revoked. In case of unsubscribing, the Company deletes the subject’s personal data it collected for direct marketing purposes. Matter of public interest Data collection and processing is required for performing a public interest matter or when exercising official authorization. Protection of the key interests of the subject or other natural person Data collection and processing is required for the purpose of protection of the key interests of the subject or other natural person. Subject’s consent Subject’s consent is a sound basis for collecting personal data, if the said consent is communicated to the Company with a distinct confirmatory action that represents a voluntary, explicit, deliberate and unequivocal agreement by the subject that may be expressed in a written, electronic or verbal form. It is important to bear in mind that the Company bears the burden of proving that the subject actually gave its consent for collecting or processing its personal information. In view of the foregoing, obtaining a consent given only verbally is generally not recommended. Irrespective of the form of the consent, the communication with the subject relating thereto must be in an easy to understand way, using clear and simple language and without any unfair conditions. Subject’s written consent The subject may give its consent in a written form, preferably with a signature and the date of consent. Equally, in case the Company requests a consent in a written form that contains requests for information other than the consent (such as statements or other answers), the actual request must be presented in a way to allow it to be clearly distinguished from the other questions, meaning that it may not be presented in a way that could confuse the subject. Subject’s electronic consent The subject may give its consent in an electronic form. The Company’s request for consent must be clear, concise and may not unnecessarily disturb the use of the service it is used for (e.g. aggressive cookies disrupting access to the content, etc.). Taking the fact that the consent must be unequivocal and voluntary into account, it is necessary to keep in mind that it is not allowed to “force” the consent, especially by checking the consent box in advance, or in some other way that significantly affects the use of a web page, or by adjusting the technical settings, but rather the choice in hand must be “neutral”. When drawing up the consent form, it must also be considered that silence, i.e. inactivity of the subject may not be construed as consent in any case whatsoever. Voluntariness of the consent Free choice must indeed be offered to the subject in forms and requests, where rejecting the request or withdrawing the consent does not involve any consequences. In cases where the form or request to disclose personal information is closely connected with the service provision or performance of the offered contract, the Company requests only information necessary for providing the said service or performing the said contract. Procedure in case of withdrawal of consent The subject has the right to withdraw its consent, and the Company enables the subject to easily withdraw its consent at any time, which possibility is subject to a prior notification and must be enabled through simple contact with the Company, by a written instrument or via the Internet. After the consent has been revoked, any further processing of the subject’s personal data is forbidden. A potential revocation of the consent does not affect the lawfulness of the processing of data at issue prior to the revocation. Fulfilling the obligation of prior notice to the subject The Company receives the subject’s personal data from the subject itself, as well as from other sources. In both cases, the Company gives all relevant information to the subject relating to the personal data collection and processing that pertains to the subject. However, the obligation of notice must not be fulfilled if a) the subject already has such the information, b) recording and disclosure of personal information is expressly required by law, or c) providing such the information to the subject is impossible or would involve a disproportionally large effort, and if d) the personal data must remain classified under the obligation of professional secrecy, that may be prescribed by applicable regulations or the statute. Information given by the Company to the subject in case of direct data collection During the initial collection of personal data from the subject, the Company provides the following information to the subject relating to the data processing: - identity and contact information of the Company, i.e. the Company’s representative (appoint an employee to be the contact person) - contact information of the data protection officer, if appointed - the purpose of the personal data processing and the legal basis for the processing, and in case the purpose is based upon the Company’s legitimate interests, they need to be defined - recipients of the personal data, if any, i.e. entities who this personal data will be provided to, if it is intended to transfer the data outside of the Company, - if applicable, the fact that the Company intends to transfer personal data to a third country or international organization, as well as an existing or non-existing adequacy decision of the Commission for that particular country, or a reference to the appropriate and relevant protection measures, and the methods of securing the copy of the data or the place to which it is made available. - the period for which the personal data is being stored or, if this is not possible, criteria for defining that period (or for as long as the legal basis for processing or an internal limitation exists, e.g. 1 year) - inform the subject about its rights, that is the (I) right to access to, (II) right to rectification or erasure, (III) right to restriction of processing, (IV) right to object, (V) right to transfer the data to another controller, (VI) right to withdraw consent, (VII) right to object with the competent monitoring authority, as well as about how to exercise the said rights (e.g. by a written instrument, email, filling out a form, etc.) - information about whether providing personal data is a legal or contractual obligation, or a requirement necessary for concluding a contract, and whether the subject is obligated to provide personal data and what are the possible consequences in case of not providing it - information about whether an automated decision-making system is in place, including subject profiling Furthermore, in case the collected data is further processed for any purpose other than the one for which the data was initially collected, the Company is obligated to provide information about the new purpose for data processing and other relevant information given above. Information given by the Company to the subject in case of data collection from other sources In the present case, the Company provides the same information pursuant to item 8.1, except of that under h), and in addition indicates the source of the received personal information (or if the source is publicly available). The Company provides the stated information within a reasonable time, and at the latest one month from the day of receiving the corresponding subject’s personal data. However, there are two exceptions to the stated rule, in which case the procedure differs, as indicated below: - if the intended use of the collected personal data is to communicate with the subject, the Company shall provide this information to the subject when the initial communication is established at the earliest, and - if the data is intended to be disclosed to another recipient, the Company shall provide this information when the personal data is first disclosed at the latest. Furthermore, the Company shall also provide all relevant information, if the personal data at issue is subsequently processed for a purpose other than the initial. Personal data retention period With regard to the retention period for specific personal data, there is personal data for which the retention period is regulated by law (such as special regulations on job track records for students prescribing a six-year retention period for data upon termination of employment, or on accounting records prescribing an 11-year data retention period from the date of creation), and personal data for which the retention period is not regulated by law. In any case, the Company stores the data for a minimum period as allowed by law or as needed according to the Company’s business activities and deletes it immediately after. If deemed necessary, the Company may determine with an internal act which data shall be manually or automatically deleted after a certain period of time (e.g. 1 year, 2 years, etc.), or with regard to a certain occurrence (e.g. end of fiscal year). Processing of special categories of personal data In principle, the following types of personal data are not processed: data related to racial or ethnic origin, political opinions, religious or philosophical beliefs, trade union membership, genetic data, biometric data for the purpose of the unique identification of individuals and data related to health, sex life or an individual’s sexual orientation. The above-mentioned personal data categories are nevertheless processed by the Company in the following situations: - the data subject has given explicit consent to the processing of this personal data for one or more specified purposes, except when the applicable regulations provide that such the consent does not produce effect - the processing is required for the purposes of performing obligations and exercising specific rights of the Company or the subject in the field of employment and social security and social protection law in so far as it is authorized by applicable law or collective agreement - processing is necessary to protect the vital interests of the data subject or of another natural person where the data subject is physically or legally incapable of giving consent - processing relates to personal data which is manifestly made public by the data subject - processing is necessary for the establishment, exercise or defense of legal claims or whenever courts are acting in their judicial capacity - processing is necessary for reasons of substantial public interest, on the basis of applicable law, which shall be proportionate to the aim pursued, respect the essence of the right to data protection and provide for suitable and specific measures to safeguard the fundamental rights and the interests of the data subject - processing is necessary for the purposes of preventive or occupational medicine, for the assessment of the working capacity of the employee, medical diagnosis, the provision of health or social care or treatment or the management of health or social care systems and services on the basis of applicable laws. Collecting, processing or storing special categories of personal data must be carried out with special care by the employees. There is a possibility of further changes to the applicable regulations pertaining to the handling of special categories of personal data, for which purpose regular consultation with the data protection officer is needed concerning this matter. Specifics of processing of personal data obtained by CCTV The Company processes personal data obtained by CCTV only for the purpose that is necessary and justified for the protection of persons and property, while taking into account that the subjects’ interests contrary to the processing of data obtained by CCTV do not prevail. A notice carrying relevant information that the entire premises or a specific area is under video surveillance, as well as the Company’s contact information by which a subject may exercise its rights is attached in a clearly visible location. Processing of personal data of the employees obtained by CCTV is carried out only if conditions under this law are met together with the conditions under occupational safety regulations, and if the employees were individually notified in advance about this measure and only if the Company informed its employees prior to making the decision about installing a CCTV system. The said video surveillance may not be installed in the recreation rooms, personal hygiene rooms and dressing or changing rooms. Only authorized persons may access the personal data obtained by CCTV, and video footage obtained by CCTV may be stored for a period up to a maximum of 6 months, except if a longer retention period is prescribed by law or such video footage serves as a means of proof in a legal, administrative, arbitration, or other similar proceedings. Specifics of processing of biometric data and photos The Company processes biometric data only if prescribed by law and necessary for the protection of individuals, property, classified information, trade secrets, or for unique and secure identification of service users, while taking into account that the subjects’ interests contrary to the processing of biometric data referred to in this article do not prevail. The legal basis for the processing of the subject’s biometric data for secure identification is the express consent by the subject. The Company processes biometric data of its employees for the purpose of keeping records of working time, as well as entry and leaving of offices, if prescribed by law and if such processing is carried out as an alternative to another solution for keeping records of working time, i.e. entry and leaving of offices, provided that the employee has given express consent for such processing of biometric data. Processing of photos should not be considered as processing of specific categories of personal data, since, strictly speaking, these are only included under the definition of biometric data processed by special technical means, enabling a unique identification or authentication of an individual, which is why personal data of this kind must not be processed, except when permitted in special cases. Specifics of processing of personal data about children The applicable regulations provide special protection for personal data about children, especially the ones under 16, for a reason that this subject category may generally be less aware of the potential risks and consequences. The above applies in particular to the use of personal data about children for the marketing or individual or user profiling purposes, as well as the collection of personal data about children during the provision of services offered directly to children. Processing of personal data at issue is generally lawful only under the condition that the consent was given by a person having parental authority (parent, legal guardian, etc.). The Company makes a reasonable effort to, with regard to the available technology, check or verify whether the said consent of a parent or guardian exists (e.g. via the web form). However, the consent of a person having parental authority is not needed within the meaning of preventive services or counseling services offered directly to children. Procedure when the subject exercises its rights The subject has certain rights relating to its own personal data that is collected and processed by the Company, which must be respected when the subject wishes to exercise them. The Company proves the identity of the person claiming to be the data subject and requests access to personal data or assertion of other right. The identity is proven by inspecting the identity document such as an ID card, passport or driving license, or a client reference number by web identification. If deemed necessary, the Company keeps records of all inquiries and activities that have been performed relating to the said inquiries. The above procedure is performed at the expense of the Company, however, in case of multiple inquiries by one subject administrative charges may be incurred. Exercising the right to access to personal data by the subject In case of a request to access personal data in written or electronic form, the Company issues a confirmation about whether the subject’s personal data is processed, and specifies what exact data is being processed, i.e. grants access to the data (and hands over a copy of the personal data, except if the copy contains data of other subjects). In addition, the Company also specifies the information about: - the purpose of processing, - the categories of personal data at issue, - recipients or categories of recipients to which the personal data is or will be disclosed, and in particular recipients in third countries or international organizations, - the provided time period, when possible, for which the data is stored, or, when not possible, the criteria for determining such time period, - the right of the data subject to request a rectification or erasure of personal data, or restriction of processing of personal data from the Company, or to object to such processing, or the right to lodge a complaint with a supervisory authority, - any available information about the source of personal data, if not collected by the subject, - information about whether an automated decision-making system is in place, including subject profiling Procedure for exercising rights The subject may exercise its rights by sending a written request to the data protection officer by email or post. Data protection officer’s contact information is publicly available on the Company’s web site. For specific subject categories (e.g. employees), further or additional contact persons may be appointed by special regulations to whom the subjects may appeal in order to exercise their rights in the easiest possible way. In case any employee of the Company receives a data subject’s request in any form, it undertakes to immediately forward it to the data protection officer, or to notify its superior who then undertakes to forward it to the officer. The Company is obligated to instruct its employees to comply with this procedure. Exceptionally, it is not necessary to notify the officer when an authorized employee of the Company updates their personal information upon the employee’s request in the records kept by the Company. After receiving the subject’s written request, the officer undertakes to review it. Depending on the complexity of the request, the officer decides whether to reply to the request itself, or whether the draft reply upon the subject’s request shall be prepared by the Company’s employee under whose job duties the subject’s request falls. In the latter case, the officer undertakes to review the reply before dispatching the reply to the data subject. Exercising the right to rectification and erasure of personal data In case of a request in hand, the Company rectifies the incorrect personal data of the data subject without unnecessary delays, and supplements incomplete personal data upon receipt of an additional declaration by the subject. In addition to the above, the Company notifies all recipients of the personal data at issue about the rectifications, i.e. supplements performed, and notifies the subject about the said recipients upon the subject’s request. Exercising the right to erasure of personal data The Company erases personal data either upon the data subject’s express request or if one of the following conditions is met: - personal data is no longer needed for the purposes for which it was collected or otherwise processed, - the data subject has revoked its consent upon which the data processing is based and there are no further legal bases for the processing, - the data subject objects to the processing of personal data and there are no stronger legitimate reasons for processing, or the data subject objects to the processing of personal data for direct marketing purposes, - personal data is processed contrary to the legal provisions, - personal data must be erased in order to comply with the legal obligation under the applicable legal regulations, - personal data is collected relating to the offer of services by an IT company (social networks, for example). The Company erases personal data in such a way as to enable permanent deletion of the specified data from the main systems, with a record of erasure (in order to prove that the erasure procedure has been actually performed) and determined methods for data destruction (e.g. data in written form, on a USB or CD medium). In case the Company has publicly disclosed personal data, it is obligated, considering the available technology and execution costs, to take reasonable technical measures to delete any and all links to the data, i.e. copies or reconstructions thereof, and is furthermore obligated to inform any other related controllers processing the data that the data subject has requested its erasure. The Company is obligated to notify any recipients of the personal data at issue about its deletion and inform the data subject about those recipients upon data subject’s request. The Company determines the time period within which the need to process and store personal data shall be re-examined and erases the data that no longer needs to be processed or stored. Restriction of complying with the request for erasure of personal data In spite of the data subject’s request or proof of the grounds referred to in item 11.3, the Company does not perform the erasure of personal data to the extent for which the processing is necessary: - in order to comply with legal obligations under which the processing is provided and to which the Company is subject, or to perform a service of public interest, - in order to respect the right to freedom of speech and information, - for public interest in the area of public health, - for public interest, historical or scientific research, or statistical purposes, i.e. for asserting or defending legal claims. Exercising the right to restriction of processing Upon the data subject’s request, the Company restricts the processing of personal data in such a way as to allow processing of specific personal data only with the subject’s consent (with the exception of the need to assert or defend legal claims or protect other natural or legal person’s right or for an important public interest), in case that: - the subject objects to the personal data accuracy, for a time period that allows the Company to verify the accuracy of personal data, - data processing is unlawful, and the data subject objects to the erasure of personal data and requests restriction of its use instead, - the Company no longer needs the personal data for processing, but the data subject requests it for establishing, asserting or defending legal claims, - the subject has lodged a complaint with the Company and awaits confirmation of whether the data processing controller’s legitimate reasons outweigh the subject’s reasons for erasure, - the Company notifies the subject when restriction of processing has been obtained and subsequently cancelled, in which case such notification must take place prior to the cancellation. The Company notifies all recipients of the personal data at issue about the imposed restrictions of processing and informs the data subject about the said recipients upon its request. In practice, the method for restriction of processing in hand would involve temporary relocation of the selected personal data to another data processing system, making the selected data inaccessible to the users, or temporary removal of the disclosed data from the web page. In automated storage systems, the restriction of processing must be ensured through technical means by making the data unavailable for further processing and impossible to alter, and by clearly denoting that processing of the personal data at issue is restricted. Exercising the right to data portability Upon the data subject’s request, the Company delivers the requested personal data in a structured, commonly used and machine-readable format, in order to enable the data subject to easily transfer the data at issue to another potential processing controller (the subject also decides whether to request data erasure together with the transfer). Where technically possible and requested by the subject, the personal data at issue is transferred directly to another controller as selected by the subject, provided that the processing is performed automatically and is based on the subject’s consent, or if the processing is necessary for performance of a contract. However, it has to be considered that the data transfer will not be carried out if that would compromise other subjects’ personal data. Objections procedure Objection to the processing of personal data whose purpose is a legitimate interest of the Company The subject may at any time object to the processing of personal data whose purpose is the preservation of legitimate interests of the Company. In such an occurrence, the Company discontinues any processing of personal data, and conducts an assessment of the proportionality of the interests of the subject against the interests of the Company for processing personal data. If legitimate interests of the Company prevail over the data subject’s interests in any particular case, or processing of personal data is necessary for establishing, asserting or defending legal claims, the processing of personal data continues. If the data subject’s interests prevail over the legitimate interests of the Company, personal data at issue may no longer be processed. When conducting the aforementioned proportionality test, consultation with the data protection officer is absolutely necessary. Objection to processing of personal data for direct marketing purposes The data subject may at any time object to processing of personal data for direct marketing purposes, including profiling to the extent related to such direct marketing. In such a case, the Company discontinues any further processing of the personal data at issue. Specifics of automated individual decision-making, including profiling The data subject has the right that a decision based solely upon automated processing including profiling does not apply to it, which decision produces legal effects that apply to or significantly affect the data subject. The above conditions are met for example, when the Company’s computer system is, based on the technical settings and software, selecting certain subjects with regard to their data without human intervention. However, the above does not apply when the automated decision in hand is necessary for conclusion or performance of a contract between the data subject and processing controller and permitted under applicable regulations or based on the express consent of the subject (in which cases the subject is entitled to express its position or object to the decision at issue). The said decision-making is not permitted relating to the special categories of personal data, except upon data subject’s express consent or in case that proper safeguards for rights and freedoms and legitimate interests of the subject are in place and exist. When conducting an assessment whether profiling occurs in a particular case or not, it is taken into account whether the end goal is the collection of personal data based upon which a certain image of the data subject and its preferences is formed (above all, in case of tracking the data subject’s web activities) and subsequent sending of specific offers, suggestions or similar based on such an image (e.g. a profile about services that the data subject usually uses is created based on which offers that are closely related to such services are sent). If the answer to the above question is yes, the Company informs the subject relating thereto. Creation and keeping records about personal data processing activities If provided for by statutory regulations, the Company creates and keeps records of the data processing activities, in which it records all activities relating to the personal data processing that is entered, i.e. listed. This is either a written or an electronic document containing the below information: - name and contact information of the Company and, if applicable, the common data processing controller, the controller’s representative and the data protection officer, - purpose for the processing, - description of the data subject categories and personal data categories, - recipient categories to which personal data is or will be disclosed, including recipients in third countries or international organizations, - if applicable, personal data transfers to a third country or international organization, including identification of that third country or international organization, and - prescribed periods for erasure of different data categories, when possible, - description of the technical and organizational safety measures. The Company allows access to the records upon request of a supervisory authority. These records are not kept if the Company has less than 250 employees, except when the data processing performed by it may likely cause high risks for the data subjects’ rights and freedoms, if the processing of data is not periodical or if it involves special data categories, or the personal data is related to criminal convictions or offenses. Maintaining personal data security The Company pays particular attention at all times to the protection of personal data that is collected and processed, in which regard it carries out pseudonymisation and encryption of personal data, ensures permanent confidentiality, integrity, availability and reliability of the data processing systems and services, maintains archival records of personal data and accesses them in the event of physical or technical incidents (back-up servers for the personal data affected), and establishes a process for regular testing, evaluation and assessment of efficiency of the technical and organizational measures for ensuring processing security together with the potential risks such as accidental destruction or loss of personal data, unauthorized disclosure or access to the personal data that is transferred, stored or otherwise processed. Encryption If deemed necessary, the Company protects personal data with encryption, by using the so-called asymmetric encryption algorithms which may be decrypted only with a key known to authorized persons (for example, AES [Advanced Encryption Standard] or TDEA [Triple Data Encryption Algorithm] are recommended). The above applies in particular to the systematic data storage, transfer of data outside of the Company, storage of data on portable media such as USB drives etc., or to the processing of special categories of personal data. Secure access to personal data The Company keeps personal data in a physical or electronic form stored on portable media such as CD, USB or hard drives in a secure place such as archives or vaults to which only authorized personnel have access. In case of data in electronic form, they are kept in computer applications which may only be accessed by means of a secure login, password and a system requiring strict identification of authorized persons (especially in the event of special categories of personal data). It is recommended to maintain records of all personal data transfers and uploads, in order to be able to detect any possible unauthorized uses of or sending personal data, by means of a system that would automatically mark authorized persons performing the upload at issue, the location of the data, date and time stamp, and the contents of this data. Any personal data sent electronically should be transmitted only by secure HTTPS URLs, and it is recommended to provide access to the data via the web through an OAUTH authentication. Data backup system If deemed necessary, the Company shall maintain the security of personal data from accidental destruction in case of failure of the computer system or similar events, in a way as to create and commission a specific backup system for preventing this (e.g. a backup server or hard drive). Review of personal data processing and security If deemed necessary, the Company shall conduct an internal review of the personal data protection for the purpose of locating potential security-related issues and risks, and to erase personal data that no longer needs to be stored. The said internal review is performed by the Company’s authorized persons with the collaboration of the data protection officer. If necessary, the Company shall also conduct an independent review by a third party, which review may not involve persons who participated in the implementation of the security measures and personal data processing, which methodology shall determine any possible issues related to any aspect of data collection, processing and storage as well, in conjunction with the consultations on how to improve the safety and security. Procedure in case of a breach of personal data Breaches in general Despite all appropriate measures for protection of personal data implemented by the Company in order to prevent breaches of personal data, the possibility of breaching personal data cannot be ruled out completely. In addition to the protection measures that are intended for preventing breaches, the Company also takes technical measures with the goal of establishing whether a breach has occurred. The breach of personal data may involve a series of adverse consequences for the data subjects, which is why a prompt reaction by the Company to an event of breach is of utmost importance. The breach of personal data is a violation of security leading to accidental or unlawful destruction, loss, modification, unauthorized disclosure of or access to the personal data transferred, stored or otherwise processed. Data destruction implies that personal data no longer exists or does not exist in a form that the Company needs for the purposes for which it processes it. Data loss implies that personal data exists, but the Company no longer has control over or access to it, or that the Company is otherwise no longer in possession of the data. The loss may be temporary or permanent. Modification implies that the data is no longer complete, correct or up-to-date as a result of changes performed. Unauthorized disclosure of or access to personal data implies disclosure to persons that have no authorization. Reporting to the Data protection authority If the Company discovers a breach of personal data which is likely to cause risks for the subject’s rights and freedoms, the Company must immediately and without delay report to the Data protection authority, and within 72 hours at the latest (in case of a later notice, the explanation for the delay must be provided). This report must include the - description of the nature of the breach of personal data, including, where possible, the categories and approximate number of data subjects from the category and the approximate number of the related personal data records, - name and contact information of the data protection officer or other contact point from which further information may be obtained, - description of the likely consequences of the breach of personal data, - description of the measures taken or suggested by the Company for resolving the potential breach of personal data, including measures for minimizing its adverse consequences where necessary. If the Company is for whatever reason unable to provide the above information in a single report, it may provide it successively, but without unnecessary delays. The Company undertakes to document any violation of personal data, including facts relating to the breach of personal data, consequences, as well as measures taken for repairing the damage. After notifying the Authority, the Company follows any orders given by the Authority. Consultations with the competent data protection officer are also necessary in the said procedure. Reporting to the data subject The Company undertakes to immediately and without delay inform the data subject about the breach which likely represents high risk for the rights and freedoms of the affected subject. In the present notice, the Company provides a description of the breach together with the information referred to under b), c) and d), in clear and simple language. However, no notice is sent to the data subject if at least one of the below conditions is met: - appropriate technical and organizational protection measures have been taken, and in particular ones that render the data unintelligible to any person who is not authorized to access the data, such as encryption, - additional measures have been taken ensuring that high risk for the subject’s rights and freedoms is no longer probable, - disproportionally large effort is required to notify the data subject. In such a case, some sort of public notice or a similar measure must be in place for notifying the data subjects in an equally effective manner. Course of action by employees in case of a breach It is the responsibility of all employees of the Company to immediately inform the data protection officer about a breach, or the suspicion of a breach and the circumstances from which the suspicion arises. In case that the officer is absent, the person responsible for human resources and/or legal business must be notified, who takes over the officer’s responsibilities until the latter assumes its position or gives explicit instructions. Course of action by the officer in case of a breach The job of the data protection officer is to investigate the circumstances under which the breach occurred, or circumstances related to the alleged breach, within 48 hours. For that purpose, the data protection officer is authorized and obligated to conduct the necessary investigations that includes interviewing the relevant employees and other persons who may have knowledge about the breach, as well as consultations with IT experts employed with the Company. The data protection officer prepares a written report about the actions taken, which it presents to the Company management, and that must contain the information stated below among others: - a description and result of the actions and investigations conducted by the officer, - a description of the nature of the breach of personal data, including, where possible, the categories and approximate number of data subjects from the category and the approximate number of the related personal data records affected by the breach, - a description of the risk and probable consequences of the breach of personal data, - a description of the suggested measures to be taken for resolving the breach of data, including measures for minimizing its possible adverse consequences, - a concluding proposal addressed to the Company management about whether the officer deems necessary that the notification of the supervisory authority (AZOP) is advisable (which notification is not required, if it is unlikely that the breach will cause risks for the rights and freedoms of an individual), or notification of the data subject (which notification is necessary if it is likely that the breach will cause high risk for the rights and freedoms of an individual). In order to ensure greater consistency, the Company may prepare a form to be used for reporting breaches. Data protection impact assessment The Company shall perform an assessment of the impact on data protection if it is likely that the implementation of a new processing technique or type, and in particular by introducing new technologies, while taking the nature, extent, context and purposes for the processing into account, will cause high risk for the rights and freedoms of the individuals. In the process, one assessment may include a series of similar processing procedures that represent equally high risks. When performing the said assessment, the Company will call in the data protection officer. This assessment is mandatory in the following situations: - in the case of systematic and comprehensive assessment of the individual’s personal aspects based on the automated processing, including profiling, based upon which processing decisions are made that produce legal effects relating to or significantly affecting the individual - in the case of comprehensive processing of special categories of personal data or data relating to the criminal convictions or criminal acts, or - in the case of systematic monitoring of a publicly available area to a significant extent. The data protection authority and other supervisory authorities also undertake to establish and publish a list of procedures for which the said assessment needs to be performed. Contents of the assessment The assessment must contain the following information: - a detailed description of the planned processing procedures and purposes, including, if applicable, the Company’s legitimate interest, - an assessment of the necessity and proportionality of the processing procedures related to their respective purposes, - an assessment of the risk for the subjects’ rights and freedoms, i.e. assessment of the probability that the breach at issue may cause physical, material or immaterial damage or lead to discrimination, identity theft or fraud, financial loss, reputational damage, loss of confidentiality of the personal data protected with a trade secret, unauthorized reversal of pseudonymisation, or any other significant economic or company losses; or if the data subjects may be deprived of their rights and freedoms or be prevented from monitoring their personal data; if special categories of personal data are being processed; if personal aspects are being processed, in particular the analysis and the prediction of the aspects relating to the work performance, economic status, health, personal preferences or interests, reliability or behavior, location or movement for the purpose of creation and using personal profiles; if data of sensitive individuals is processed, especially children; or if the processing involves a large volume of personal data and affects a large number of data subjects, - measures provided for resolving risk issues, including protection measures, security measures and mechanisms for ensuring protection of personal data and proving compliance, with regard to the rights and legitimate interests of the subjects and other included individuals. The Company is not obligated to perform the assessment if the purpose for processing is a legal obligation of the Company and if the regulations from which the obligation arises provide for special processing procedures or sets thereof, meaning that the said assessment of the effect on data protection has already been performed, except when the applicable regulations expressly state otherwise. Consultation with the supervisory authority The Company consults the supervisory authority prior to potentially risky processing if the previously performed data protection impact assessment suggests that the processing may pose high risk, unless specific security measures are implemented. For the consultation with the supervisory authority, the following must be specified: - relevant data of the Company, common data processing controllers and data processors involved with the processing, especially for processing inside of an entrepreneurial group, - the purpose and means for the intended processing, - protection measures and other measures for safeguarding the rights and freedoms of the data subjects, - the contact information of the data protection officer, - a data protection impact assessment, - any other information that the supervisory authority requests. If the supervisory authority determines that the intended processing would violate the applicable regulations, and in particular if the risk involved is not adequately identified and minimized, the supervisory authority advises the Company in writing within eight weeks from the day of receipt of the request (this period may be extended for another six weeks) by using any of its legal powers such as direct orders, obtaining access to the personal data or conducting a review of the personal data protection. Procedure in case of transfer of personal data to third countries If the personal data being collected and processed is transferred outside of the EU in a third country or international organization (such as foreign association of hospitality companies), the Company verifies that a permission for sending personal data for that particular country exists, the so-called adequacy decision, which is made by the European Commission in the Official Journal of the European Union. In light of the above, further actions differ with regard to three potential situations: - if the adequacy decision exists, the transfer is permitted. - if the adequacy decision does not exist, the transfer is in principle not permitted, but may be possible, provided that the Company or the processor has provided for the appropriate protection measures and provided that the subjects have enforceable rights and effective judicial protection at their disposal. These measures include in particular standard data protection clauses. - even if neither such the decision nor appropriate measures referred to in b) exist, the transfer is still possible, if the subject has given its express consent to such a transfer after being informed about the potential risks, or if the transfer is necessary within the scope of contractual obligations, or relating to the establishment, assertion or defense of legal claims and if another important public interest or data subject’s interest exists. Within the meaning of item b) from the previous paragraph, the Company endeavors to favor the protection measure that provides a higher protection level (e.g. using the standard contractual clauses approved by the European Commission, or the special contractual clauses approved by the supervisory authority), except when under the circumstances of the case application of a derogation for specific situations from the Article 49 of General Regulation is more appropriate. The object of the business activities of the Company is to host guests from different countries, whereby the Company may receive personal data of its guests from foreign travel agencies or foreign online booking platform operators. In relation to the Company, the above subjects act as separate data processors, for whose actions the Company is not and cannot be held responsible. These subjects may be located in countries in which an adequate protection level is not ensured. With these partners, the Company may exchange certain personal data about guests for the purpose of billing the provided services, such as period of stay of a particular guest and information about the guest’s consumption. These exchanges of personal data with the said partners are based upon Article 49 (1) it. c) of General Regulation (the transfer is necessary for the conclusion or performance of a contract between the controller and another natural or legal person for the data subject’s interests; cf. c)). In cases where there is a doubt whether the transfer of personal data in a country that does not ensure adequate protection is permitted, it is necessary to seek advice and opinion from the data protection officer in advance. Data processor The Company may entrust a data processor with processing a portion of the personal data (e.g. auditors, lawyers, or the like). The data processor must sufficiently guarantee the observance of all appropriate technical and organizational measures compliant with the applicable data protection regulations, and act only according to the Company’s instructions. The relationships with the data processors relating to the personal data are regulated with special agreements or within the scope of basic contracts. Conclusion of contracts with data processors The Company may decide whether to entrust certain aspects of data processing to the processors who undertake to process personal data in the name and according to the instructions of the Company. The Company may engage the services of data processors that sufficiently guarantee the observance of appropriate technical and organizational measures for protection of personal data. The Company is obligated to conclude a written agreement with the data processor, by which the object and the duration of the processing, the nature of and the purpose for processing, the type of personal data and the subject category, as well as the rights and obligations of the Company and the data processor are regulated. In the context of such an agreement, the data processor gives certain guarantees to the Company relating to personal data protection. Depending on the circumstances of a particular case, and in accordance with the type and scope of processing performed by the data processor, the Company may perform investigations it considers reasonable and necessary before engaging the services of a data processor, such as: - request information whether the processor has appointed a data protection officer, - request information whether the data processor uses subcontractors, who they are and in which countries are they located, - check with the data processor whether it keeps records of data processing activities, check with the data processor whether it has any internal policies and procedures in place for personal data protection, - conduct interviews about the way in which the data processor’s relevant processes are organized, - request information whether the data processor possesses a certificate aligned with GDPR (certification is not mandatory, but is useful to specify), - request information whether the data processor has any ISO certificates in the area of IT security, - consider to what extent the Company has monitoring capabilities over the processor, - visit the data processor’s business premises, - concerning the data processor with whom the Company cooperates for a longer period of time, the data processor’s commitment and proper performance of its contractual obligations up to that moment may also be taken into account. For the purpose of continuous monitoring of the data processor, the Company may request from the data processor to provide a written declaration of compliance on a yearly basis or more frequently, if necessary. A draft declaration may be enclosed to the contract signed with the data processor by the Company. The data processor specifies the Company in the record of the data processing activity (if obligated to keep it) together with all investigations which the Company conducted prior to enlisting its services. The human resources and business activities department keeps the list of processors and the contracts with the processors. In general, the Company will avoid cooperation with the data processors who may potentially transfer personal data into a third country (outside of the EU). However, cooperation with such processors may be entered into if appropriate protection measures are implemented pursuant to Chapter V. General Regulation. Contracts that include exchange of data with other recipients When conducting its business activities, the Company may enter into legal relationships with other natural and legal persons with whom it neither acts as a common processing controller nor does it enlist their services as its data processors. In such legal relationships, certain personal information may be exchanged. Equally, personal data may be also exchanged with public authorities. In all such cases, depending on the circumstances, the Company assesses whether a written agreement defining the contracting parties’ rights and obligations needs to be concluded, as well as whether and to what extent such written contract, apart from the general provision on the contracting parties’ obligation of secrecy and confidentiality pertaining to any and all information and personal data received from each other for the purpose of performance of the respective contractual obligations, should include additional provisions on exchange of personal data. Any such additional provisions on exchange of personal data may in particular include the provisions specifying the purpose of the personal data exchange, the type of data transferred, the legal basis for the data transfer, restriction relating to the downstream recipients of personal data, the obligation of secrecy and confidentiality, the period during which the recipient will store personal data, the consequences of the personal data breach, and the like. Any and all personal data exchanged with the recipients will be limited to the minimum necessary for fulfilling the purpose for which the data is transferred. Use of cookies The Company’s web site uses cookies. Cookies are small pieces of text data stored on the visitor’s computer when visiting the web site. The purpose of the cookies is to remember the visitor and recognize it during the next visit, as well as to store its preferences. The cookies may collect information about the IP address, city and country of the web site visitor, its age and sex, as well as other data. Introductory provision of GDPR (30) expressly prescribes that network identifiers such as cookies may be used for profiling of individuals and their identification. For this reason, the Company informs the visitors of the web site about the automated processing logic and the consequences of profiling for the individuals. In order to eliminate any doubt, the Company does not aim to identify the individuals by using cookies but uses them only for the purpose of data control. The Company collects and processes personal data for the purpose of reservations and management of guests, receipts and charges, marketing campaigns, and satisfaction surveys. The data is intended for the Company and its service providers. The subject may inspect, gain access to, rectify or object to such processing by contacting our data protection officer. Using electronic communication networks for data storage or access to the stored data in the users’ terminal equipment is only permitted when the user/subject has given its consent, but only after being clearly and completely informed thereof in accordance with the special data protection regulation, and in particular about the purposes of personal data processing. In accordance with the above provision, the Company asks for the visitor’s consent prior to setting cookies. When visiting the Company’s web site, the visitor is provided information about the type of cookie used by the web site and its purpose. After that, the visitor may select the cookies whose installation it wants to permit, and cookies which he wishes to reject. On the Company’s web site, information about cookies is made available to the visitor, as well as the method for modifying the cookie settings and deletion of previously set cookies. The Company undertakes to re-examine the above course of action relating the use of cookies in a timely manner, and review if necessary, after adopting the regulation at the EU level governing the area at issue (e-privacy Regulation). Rights and obligations of the data protection officer The data protection officer acts autonomously and independently and is authorized to undertake all necessary active measures in order to ensure that the business activities of the Company are compliant with the data protection regulation. The data protection officer reports directly to the Company management for its work. When making the decision on the appointment of the data protection officer, the Company will keep in mind that the appointed person possesses the necessary expert knowledge for implementing all measures and activities for the purposes of data protection. The officer must have the necessary technical qualifications, and in particular expert knowledge about the law and practices in the area of personal data protection. Although certificates obtained by the officer may be helpful, continuing education is of much greater importance for discharging the job duties of the data protection officer, as well as knowledge of the Company’s processes and IT system, the legal framework of the Company’s business activities, and its needs for security and protection of data. It’s at the management’s discretion whether the data protection officer will enter into an employment relationship with the Company, or the services of an external service provider will be enlisted by contractual agreement. In the case of an employment relationship, the data protection officer may be a part-time or full-time employee. In addition to the job duties as a data protection officer, the officer may also perform other duties that do not conflict with the interests arising from the officer’s duties. The data protection officer is a person who must be included with any and all issues relating to the personal data protection in a Company in a proper and timely manner, which is why all personnel and third parties are referred to the data protection officer in case of any doubts relating to the data protection. The Company ensures that all its organizational units, from the management staff to the employees furthest down the hierarchy, know about the data protection officer within the Company and its duties, and the importance of informing the data protection officer during the development of new services, intended use of new technologies, new types of personal data processing, personal data breaches, and requests for the exercise of rights on data protection by the data subjects. The Company undertakes to ensure the following: - in case of planned new types of processing of personal data, or planned personal data processing for a purpose other than the current purpose, or use of new technologies, the officer must be involved in the relevant meetings at the earliest possible stage, in order to be able to express its opinion and lend its advice, - the Company shall endeavor to ensure that the officer is present at the regular management and senior management meetings, in order to be able to give its contributions to the data protection, especially at the meetings that may have influence over personal data processing, - ensuring that the officer has appropriate personnel, organizational and technical resources at its disposal, in order to be able to perform its job duties, - all organizational units of the Company are obligated to immediately inform the officer about any fluctuations and changes relating to the Company’s business that may affect personal data protection, - before amending any policies and acts relating to personal data protection, the management shall seek the officer’s opinion, - the officer may not be relieved of its duties or punished for performing its job duties. When performing its duties, the data protection officer may not receive any instructions on how to perform the duties and may not be relieved of its duties nor punished for performing these. The officer is obligated to perform its job duties personally, diligently and carefully. The data protection officer is responsible for implementing all measures and activities with the goal of achieving the objects of the Company’s privacy policy and personal data protection, and enforcing laws, regulations and other binding acts in the area of personal data protection. The obligations and duties of the data protection officer include in particular: - informing and advising the Company’s management and employees about the relevant obligations under the General Regulation and other applicable data protection laws and regulations, - continuously educating the Company’s employees in the field of data protection, in order to instruct them about the legal and the Company’s internal requirements relating to personal data protection, - conducting internal reviews for the purpose of checking whether the business activities and practices of individual organizational units comply with the requirements under the General Regulation and the Company’s internal acts, and preparing written reports on the conducted reviews, describing the results of the inspection and any possible identified deficiencies, - performing a periodical review of the Company’s policies and acts relating to personal data protection, - preparing and reviewing the documentation relating to the personal data protection (e.g. contracts with data processors, contracts with common processing controllers, contracts based upon which personal data is exchanged with the recipients, notices to the data subjects, internal policies and procedures, etc.), - reviewing any and all changes in data processing activities records and helping the responsible employees to fill them out, - preparing, i.e. reviewing written replies to the requests for the exercise of rights on data protection by the data subjects referred to in Part three of this Policy, and keeping records of received requests for the exercise of rights on data protection and replies to such the requests, - keeping records of the breaches of personal data and acting in accordance with the provisions referred to in Part six of this Policy in the event of a breach, as well as actively participating in the investigations of and reporting on the personal data breaches it finds out, - preparing data protection impact assessments referred to in Article 35 of General Regulation (when such obligation exists), - continuously upgrading its education by attending training courses for data protection officers as agreed upon with the management, as well as following the changes and the practices in the area of personal data protection by its own accord, and in particular the guidelines and opinions of AZOP, guidelines of the Working Party established under the Article 29 of Directive 95/46/EC and the Personal data protection committee established under the General Provision, - cooperating with the supervisory authority and acting as a contact person for the supervisory authority relating to the data processing, - performing other activities that contribute to the increased protection of personal data. The officer is authorized to verbally warn the employees when a course of action contrary to the General Regulation or this Policy is determined, and to instruct them on how to remedy the irregularities. The officer warns the Company management about any determined non-compliances in the area of personal data protection. The Company management subsequently decides on measures to be taken in order to eliminate such the non-compliances. If damage is incurred to data subjects, the Company, or other individuals as a result of a mistake on the part of the data protection officer, the officer may be directly held liable for the damages, if these are caused by the officer’s intent or negligence, which will be determined in accordance with the applicable legal regulations. The data protection officer is obligated to permanently keep the confidentiality of any information and personal data which it came into possession of while performing its duties. Employee education and training All employees are obligated to sign special confidentiality statements or are bound by the employment contract to permanently keep the confidentiality of personal data. However, in order to help raise awareness about the importance of data protection, the Company is obligated to educate its employees about the relevance of and methods for the personal data protection within the first month on the job. The educational training is organized by the responsible person of the HR department’s education and training unit. In accordance with the current state of personal data protection, changes in legal regulations or internal policies, the number of breaches, or otherwise upon suggestion by the data protection officer, the Company conducts periodical employee trainings during the term of the employment contract for the purpose of increasing personal data protection and raising awareness among the employees about the need to protect its secrecy. These educational courses are to be held once a year at minimum. The holding of these courses must be documented. The training program is determined by the data protection officer in coordination with the Company management, while taking the risk level of the individual workplaces into account, in order to adapt the training content to the employee’s job duties and to the scope in which the employees come into contact with personal data. In the scope of the training programs, employees are instructed to report any and all deficiencies and non-compliances relating to the personal data protection to the data protection officer. Responsibility The Company is responsible for the compliance with the applicable data protection regulations and it must be possible to prove the said compliance, that is acting in accordance with the law. Conclusion This Policy represents codified good practice relating to personal data protection and serves as a specific guidance. This Policy aims to cover most of the foreseeable situations that may occur, but this is of course not possible, which is why each situation should be evaluated based on the circumstances that are unique to each individual situation. This Policy is construed in accordance with the General Regulation and the applicable laws of the Republic of Croatia in the area of personal data protection. Any inquiries relating to this Policy may be submitted to the data protection officer who undertakes to reply to the applicant’s request in the within the shortest possible time, and within one month at the latest. To any and all possible disputes arising from the personal data breach committed by the Company the applicable laws and regulations of the Republic of Croatia shall apply, and court at the place of Company’s registered office having the subject matter jurisdiction shall be the competent court. This Policy ceases to be in force if the Company makes such a decision, or in case the Company is liquidated or some other status change occurs that results in a dissolution or termination of the Company. However, the abrogation of this Policy does not exempt the Company’s employees from their obligations of protection of personal data collected and/or processed up to that point. The subject of personal data protection is wide-ranging and complex, which is why it is of the utmost importance that all employees approach this matter seriously, diligently and composedly, since that is the only way to respond quickly to all challenges imposed by this ever-changing field to the everyday business activities of the Company.
1.1 2.1 3.1 4.1 4.2 4.3 5.1 5.2 5.3 6.1 6.2 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 22.2 23.1 24.1 25.1 26.1 27.1 27.2 28.1 29.1 30.1 31.1 31.2 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 52.2 53.1 54.1 55.1 55.2 56.1 57.1 58.1 58.2 58.3 59.1 60.1 61.1 62.1 62.2 63.1 63.2 64.1 65.1 66.1 67.1 67.2 67.3 68.1 68.2 69.1 70.1 71.1 72.1 72.2 73.1 74.1 75.1 76.1 77.1 78.1 79.1 80.1 81.1 81.2 82.1 83.1 83.2 83.3 84.1 84.2 84.3 85.1 86.1 86.2 86.3 86.4 87.1 88.1 89.1 90.1 91.1 92.1 93.1 93.2 94.1 95.1 96.1 97.1 98.1 99.1 99.2 100.1 100.2 101.1 102.1 103.1 104.1 105.1 105.2 105.3 106.1 107.1 107.2 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 127.2 128.1 129.1 130.1 131.1 132.1 133.1 133.2 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 149.2 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 159.1 159.2 159.3 160.1 161.1 162.1 162.2 162.3 162.4 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 174.2 175.1 176.1 176.2 176.3 177.1 177.2 177.3 178.1 179.1 180.1 181.1 182.1 183.1 184.1 185.1 186.1 187.1 188.1 189.1 190.1 191.1 192.1 193.1 194.1 195.1 196.1 197.1 198.1 199.1 200.1 201.1 202.1 203.1 204.1 205.1 206.1 207.1 207.2 208.1 209.1 210.1 211.1 212.1 213.1 214.1 214.2 215.1 215.2 215.3 216.1 217.1 217.2 218.1 219.1 219.2 220.1 221.1 222.1 222.2 223.1 224.1 224.2 225.1 226.1 227.1 228.1 229.1 230.1 231.1 232.1 233.1 234.1 235.1 236.1 237.1 237.2 238.1 239.1 239.2 240.1 241.1 242.1 243.1 244.1 245.1 246.1 247.1 248.1 249.1 250.1 250.2 251.1 252.1 253.1 254.1 254.2 255.1 256.1 257.1 258.1 259.1 260.1 261.1 262.1 263.1 264.1 265.1 266.1 267.1 268.1 268.2 269.1 270.1 271.1 272.1 272.2 273.1 274.1 275.1 276.1 277.1 277.2 278.1 279.1 280.1 281.1 282.1 283.1 284.1 285.1 286.1 286.2 286.3 287.1 288.1 289.1 290.1 291.1 292.1 293.1 294.1 295.1 296.1 297.1 298.1 299.1 300.1 301.1 302.1 303.1 304.1 305.1 306.1 307.1 308.1 309.1 310.1 310.2 310.3 311.1 312.1 312.2 313.1 314.1 314.2 315.1 315.2 315.3 315.4 315.5 316.1 317.1 318.1 319.1 319.2 320.1 321.1 321.2 322.1 322.2 323.1 324.1 325.1 326.1 327.1 328.1 329.1 330.1 331.1 332.1 333.1 333.2 334.1 334.2 335.1 335.2 335.3 336.1 337.1 337.2 337.3 338.1 339.1 340.1 341.1 342.1 342.2 342.3 343.1 343.2 343.3 344.1 344.2 344.3 344.4 345.1 345.2 346.1 346.2 347.1 348.1 349.1 350.1 351.1 352.1 352.2 352.3 353.1 354.1 354.2 355.1 355.2 356.1 357.1 358.1 359.1 360.1 361.1 362.1 363.1 364.1 364.2 365.1 366.1 367.1 368.1 368.2 369.1 370.1 371.1 372.1 373.1 374.1 374.2 375.1 375.2 376.1 377.1 378.1 379.1 379.2 380.1 381.1 382.1 383.1 383.2 383.3 384.1 384.2 385.1 386.1 387.1 388.1 389.1 390.1 391.1 391.2 392.1 392.2 393.1 394.1 394.2 395.1
Politika privatnosti POLITIKA ZAŠTITE OSOBNIH PODATAKA Uvod Politika zaštite osobnih podataka (dalje u tekstu: Politika) uređuje način i opseg preporučljivog postupanja pri svakom prikupljanju, obradi i pohrani osobnih podataka od strane društva CASALINUS d.o.o. (Hotel Šipan), Orešići 9, Zagreb OIB 2792346996, (dalje u tekstu: Društvo). Navedena Politika postavlja smjernice kojima se nastoji, u mjeri u kojoj je to moguće s obzirom na okolnosti svakog pojedinog slučaja, uspostaviti sukladnost s Uredbom EU 2016/679 Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i slobodnom kretanju takvih podataka od 27. travnja 2016. godine (Opća uredba o zaštiti podataka). Svrha ove Politike je uspostaviti standarde za sve rukovoditelje, zaposlenike i druge djelatnike prilikom rada i profesionalnog djelovanja u Društvu, i to u odnosu na postupanje sa osobnim podacima. Krajnji cilj bi pritom bio minimalizirati rizik vezan uz potencijalne nesukladnosti s primjenjivim propisima, a o čemu dakako ovisi pravodobna i kvalitetna reakcija zaposlenika u svakom pojedinom slučaju. S tim u vezi se zaposlenici pozivaju da, u slučaju nerazumijevanja pojedinih odredbi ove Politike, nejasnoća prilikom njihovog implementiranja u poslovanje ili bilo kakve dvojbe vezane uz trenutno ili buduće prikupljanje, obradu ili pohranu osobnih podataka, zaustave svako postupanje te da se obvezno obrate nadležnom službeniku za zaštitu podataka radi daljnjeg savjetovanja i uputa. Zaštita osobnih podataka jedno je od temeljnih ljudskih prava. Društvo je svjesno važnosti pouzdane i sigurne obrade osobnih podataka svojih gostiju, radnika i drugih fizičkih osoba čije osobne podatke prikuplja i dalje obrađuje. Ovim Politikom Društvo stvara jedinstvenu i visoku razinu zaštite osobnih podataka koje obrađuje. Društvo ostvaruje zaštitu osobnih podataka ponajprije na sljedeće načine: - usvajanjem ove Politike, kojom se reguliraju opća pravila vezana uz zaštitu osobnih podataka od strane Društva, - usvajanjem posebnih internih pravilnika ili protokola kojima se detaljnije regulira obrada osobnih podataka, - primjenom kadrovskih, organizacijskih i tehničkih mjera zaštite osobnih podataka, - imenovanjem službenika za zaštitu osobnih podataka, - ažurnim vođenjem evidencija o aktivnostima obrade podataka, - kontinuiranom edukacijom radnika o važnosti zaštite osobnih podataka. Definiranje i razumijevanje ključnih pojmova U svrhu boljeg razumijevanja pojmova koji će biti prisutni u brojnim odredbama Politike, u nastavku se navode sljedeće definicije: Osobni podaci Pod navedenim pojmom uzimaju se svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi izravno ili neizravno, odnosno uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca. Obrada i pohrana osobnih podataka Obrada osobnih podataka označava svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim ili neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje osobnih podataka. Prikupljanje, obrada ili pohrana osobnih podataka može biti izvršena nad osobnim podacima u u bilo kojem obliku, bilo neautomatiziranom (poput obrazaca, dokumenata priskrbljenih od strane klijenata, zaposlenika, ručno uvedenih zapisa o osobnim podacima), poluautomatiziranom (ručno unošenje u Excel tablice ili skeniranje, nakon čega se podaci šalju na daljnju obradu) i automatiziranom (bilo putem elektroničkih obrazaca ili pristupnih kartica, web stranica itd). Obrađeni podaci, ili oni koji su u postupku obrade, pohranjuju se u određene sustave odnosno u strukturirani skup osobnih podataka, dostupnih i klasificiranih prema posebnim kriterijima (kategorijama osobnih podataka, bilo općih ili posebnih), te novisno jesu li centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi. Određena odstupanja u vezi obrade osobnih podataka pritom postoje pri obradi u znanstvene, javne ili statističke svrhe. Ispitanik i primatelj osobnih podataka Pojam ispitanika označava fizičku osobu čije osobne podatke Društvo prikuplja, odnosno koja osoba je Društvu podnijela navedene podatke ili čiji su osobni podaci Društvu iz zakonom predviđenih razloga dostavljeni (klijenti, sadašnji ili potencijalni zaposlenici Društva, vanjski suradnici itd). Pojam primatelja osobnih podataka označava fizičku ili pravnu osobu, tijelo javne vlasti, agencija ili drugo tijelo kojem se iz određenih razloga otkrivaju osobni podaci Voditelj obrade i izvršitelj obrade Voditelj obrade je Društvo, koje samostalno ili zajedno s drugim voditeljem obrade (npr u slučaju prikupljanja osobnih podataka zajedno s drugim društvom partnerom) određuje svrhe i sredstva obrade osobnih podataka. Izvršitelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime Društva (npr vanjsko računovodstvo). Automatizirano donošenje odluka i izrada profila Automatizirano donošenje odluka označava situaciju kada računalni program Društva na temelju svojih tehničkih postavki i softvera obrađuje osobne podatke ispitanika bez ljudske intervencije, dakle isključivo na bazi nekog prethodno zadanog algoritma (primjera radi, program koji automatski prihvaća ili ne prihvaća određeni zahtjev ispitanika temeljem određenih pretpostavki). Izrada profila označava svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca (primjera radi, program koji analizira potrošačke navike ispitanika i temeljem njih šalje određene ponude). Radi izbjegavanja svake dvojbe, Društvo ne primjenjuje automatizirano pojedinačno donošenje odluka. Sve odluke koje proizvode pravne učinke koji se odnose na ispitanika ili na sličan način značajno na njega utječu donose se uz značajnu ljudsku intervenciju. Pseudonimizacija Navedeni pojam označava obradu pri kojoj se osobni podaci više ne mogu pripisati određenom pojedincu bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi Primjena Politike Politika se primjenjuje pri svakom prikupljanju i obradi osobnih podataka fizičkih osoba, neovisno u kojoj fazi, odnosno obavljaju li se tek inicijalne pripreme ili je postupak već u tijeku. Osobni podaci koji su izuzeti od primjene ovog Politike su - podaci o pravnim osobama (primjer - trgovačka društva, udruge, javna tijela) - podaci o preminulim osobama, te - podaci temeljem kojih nije moguća identifikacija fizičke osobe, niti samostalno niti dovođenjem u vezu s nekim drugim podacima (primjera radi – pseudonimizacija). Ova Politika temeljni je akt Društva primjenjiv na sve aktivnosti obrade osobnih podataka koje Društvo obavlja, a koje osobito uključuju: - obradu osobnih podataka radnika pri sklapanju, izvršavanju i obradi ugovora o radu i za kontaktiranje potencijalnih radnika u selekcijskim postupcima prije donošenja odluke o zapošljavanju, - obradu osobnih podataka fizičkih osoba koje Društvo angažira temeljem ugovora o djelu, autorskih ugovora i sličnih ugovora, - obradu osobnih podataka radnika zaposlenih kod dobavljača Društva, - obradu osobnih podataka učenika i studenata koji u Društvu obavljaju stručnu praksu ili su na povremenom učeničkom ili studentskom radu, te pri selektiranju, ugovaranju i provedbi postupaka stipendiranja učenika i/ili studenata od strane Društva, - obradu osobnih podataka članova obitelji zaposlenih radnika u dijelu koji je nužan za provedbu zakonskih obveza ili ostvarivanje nekog prava prema važećem kolektivnom ugovoru (npr. ostvarivanje prava na poreznu olakšicu, plaćeni dopust, nagradu za rođenje djeteta, pravo na prigodni dar za dijete i slično), - obradu osobnih podataka vezano za sklapanje, provedbu i obradu ugovora o hotelskim uslugama s poslovnim i privatnim korisnicima i provedbu prigodnih aktivnosti oglašavanja i ispitivanja tržišta s ciljem informiranja korisnika usluga i zainteresiranih trećih strana o uslugama koje Društvo nudi, - obradu osobnih podataka vezano za sklapanje, provedbu i obradu druge vrste ugovora čiji je predmet pružanje neke od usluga koje su u sadržaju registrirane djelatnosti Društva (kao npr. ugovor o pružanju usluga prehrane i točenja pića bez obzira na narav ugovora), - obradu podataka o udjeličarima ili dioničarima Društva, ovisno o pravnom ustroju Društva, - sve druge aktivnosti obrade osobnih podataka koje Društvo obavlja ili bi u budućnosti moglo obavljati bilo na povremenoj, bilo na kontinuiranoj osnovi. Ova Politika obvezujuća za sve organizacijske jedinice Društva. Ova Politika obvezujuća je i za sva ona društva od kojih Društvo može zahtijevati da je prihvate (npr. izvršitelje obrade). Odredbe Politike namijenjene su osiguravanju visoke i jedinstvene razine zaštite osobnih podataka u Društvu. Ova Politika nema utjecaja na postojeće ili buduće obveze ustanovljene zakonima i drugim propisima koje Društvo mora poštovati u pogledu obrade i korištenja osobnih podataka, a koja su šireg opsega od načela utvrđenih ovim Politikom. Odredbe ove Politike nemaju utjecaja na primjenjivost nacionalnog zakonodavstva donesenog u vezi s nacionalnom sigurnošću, obranom ili javnom sigurnošću ili za sprječavanje i istragu kaznenih djela i progon počinitelja kaznenih djela. Adresati Svi rukovoditelji, zaposlenici i djelatnici Društva (dalje u tekstu: Zaposlenici) adresati su primjene ove Politike, odnosno nositelji odgovornosti prilikom pravilnog prikupljanja, obrade i pohrane osobnih podataka. Navedena odgovornost pritom predstavlja i jednu od radnih obveza svakog pojedinog zaposlenika. Navedeni adresati pri svim navedenim i/ili sličnim radnjama i/ili situacijama postupaju u dobroj vjeri i s dužnom pažnjom, imajući pri tome na umu najbolji interes svih ispitanika čiji se osobni podaci prikupljaju, obrađuju i pohranjuju, što je prije svega nužni preduvjet za ispravnu primjenu ove Politike. Pravila primjenjiva na pojedina područja obrade osobnih podataka u Društvu detaljnije će se urediti pojedinačnim pravilima koja moraju biti u skladu sa svim relevantnim propisima iz područja zaštite osobnih podataka i ovom Politikom. Radi detaljnijeg reguliranja pojedinih područja obrade osobnih podataka, Društvo može donijeti akte (npr. Politiku sigurnosti informacijskog sustava, Pravilnik o obradi osobnih podataka radnika i drugih osoba koje Društvo angažira za rad, Pravilnik o video nadzoru, Pravilnik o zaštiti i obradi arhivskog i registraturnog gradiva i slično). Društvo u svako doba može donijeti pravilnike koje smatra potrebnim radi postizanja veće razine zaštite osobnih podataka na pojedinom području poslovanja, pri čemu takvi pravilnici nadopunjuju odredbe ove Politike te joj ne smiju proturječiti. Načela Osnova svih postupanja iz predmetne Politike temelje se na sljedećim načelima kojih se treba pridržavati pri svakom ophođenju sa osobnim podacima. Načelo zakonitog, poštenog i transparentnog postupanja određuje da svako postupanje mora biti u skladu sa zakonom odnosno drugim primjenjivim propisima te izvršeno na pošten i transparentan način. Kako bi ispitanicima bilo jasno da se njihovi podaci prikupljaju i obrađuju te u koje svrhe se to čini, Društvo na odgovarajući način obavještava ispitanike između ostalog o svrsi obrade, što uključuje informiranje o tome koji se podaci prikupljaju, obrađuju i koriste, za koje namjene i koliko dugo se čuvaju te kojim se primateljima podaci otkrivaju. Obavijesti ispitanicima daju se putem različitih kanala, ovisno o tome što je prema okolnostima slučaja najprikladnije, a mogu uključivati: obavijesti putem web stranice Društva, pisane obavijesti u prostorijama Društva, pisane obavijesti na obrascima koje Društvo koristi, pisane obavijesti u sklopu ugovora koje Društvo sklapa s ispitanikom, davanje obavijesti putem e-maila, usmeno davanje obavijesti od strane radnika Društva, a po potrebi i druge načine. Društvo osobito obavještava ispitanike o njihovim pravima i o načinu na koji ih mogu ostvarivati. Kontakt podaci službenika za zaštitu podataka javno su dostupni. Načelo prikupljanja podataka isključivo temeljem zakonom dopuštenih razloga određuje da se osobni podaci prikupljaju samo u posebne, izričite i zakonite svrhe te se ne smiju obrađivati na način koji nije u skladu s navedenim svrhama. Načelo ograničenja količine podataka i razmjernosti određuje da se svako prikupljanje osobnih podataka mora svesti na najnužniju mjeru te da se prikupljaju samo oni podaci koji su relevantni i razmjerni svrsi temeljem koje se obrađuju. Načelo točnosti i ažurnosti određuje potrebu da se pazi na točnost podataka koji se prikupljaju i unose u baze podataka te da je potrebno poduzeti svaku razumnu mjeru radi osiguravanja da se netočni osobni podaci bez odlaganja izbrišu ili isprave, uzimajući u obzir svrhe u koje se obrađuju. Načelo ograničenja pohrane određuje da je potreba čuvanja podataka koji omogućuju identifikaciju fizičkih osoba ograničena svrhom radi koje se osobni podaci obrađuju. Osobni podaci moraju se čuvati u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju. U slučajevima kada će to biti moguće, Društvo može primijeniti postupke za brisanje identifikacijskih obilježja ispitanika (anonimizacija) ili za zamjenu identifikacijskih obilježja drugim karakteristikama (pseudonimizacija). Rokovi čuvanja različitih kategorija osobnih podataka navedeni su u evidenciji o aktivnostima obrade (ako se vode) zasebno za različite vrste osobnih podataka. Rokovi čuvanja određuju se uzimajući u obzir zakonske zahtjeve te potrebe zaštite interesa Društva. Društvo može kroz Pravilnik o zaštiti i obradi arhivskog i registraturnog gradiva, regulirati rokove čuvanja dokumentacije po pojedinim poslovnim područjima Društva. Načelo sigurnosti osobnih podataka određuje da svako ophođenje s osobnim podacima mora biti izvršeno na način koji osigurava najviši mogući stupanj sigurnosti tih podataka, uključujući zaštitu od neovlaštene i/ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovorajućih tehničkih ili organizacijskih mjera Svrhe obrade osobnih podataka Nužno je da svako prikupljanje ili obrada osobnih podataka ima svoju svrhu, odnosno razlog temeljem kojeg se određeni osobni podaci prikupljaju odnosno obrađuju. Navedeni razlozi su određeni, definirani i taksativno navedeni te tebaju biti jasno i nedvosmisleno naznačeni pri svakoj obradi osobnih podataka: Privola ispitanika Prikupljanje i obrada podataka temelji se na privoli/pristanku ispitanika, koja je dana u jednu ili više posebnih svrha. Izvršenje ugovora Prikupljanje i obrada podataka nužni su za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora (primjera radi - za sklapanje ugovora je potrebno definirati ugovorne stranke, koje se mogu identificirati samo putem osobnih podataka) Pravna obveza Društva Prikupljanje i obrada određenih podataka od strane Društva proizlazi iz zakonske obveze koja obvezuje društvo na navedene radnje i suradnju s tijelima javne vlasti (primjera radi – prikupljanje podataka o radnicima za zavod za mirovinsko i zdravstveno osiguranje, porezna uprava, carinska tijela, neovisna upravna tijela, hrvatska turistička zajednica) Legitimni interesi Društva ili treće strane Prikupljanje i obrada podataka je nužna za potrebe legitimnih interesa Društva ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, a osobito ako je ispitanik dijete (primjera radi – legitimni interes hotela da postavi sustav videonadzora, kako bi osigurao sigurnost nadziranog prostora). U slučaju kada Društvo obrađuje osobne podatke na osnovi svog legitimnog interesa koji je očigledan, narav svog legitimnog interesa i okolnosti na temelju kojih je Društvo zaključilo da njegov legitimni interes prevladava na interesima, pravima i slobodama ispitanika navodi u evidenciji o aktivnostima obrade ukoliko ih je obvezan voditi. U slučajevima kad legitimni interes nije očigledan već zahtijeva primjenu detaljnijeg testa proporcionalnosti i dublju analizu, Društvo u pisanom obliku detaljnije dokumentira razloge na temelju kojih je utvrdilo da legitimni interes Društva prevladava. Obrada u svrhe izravnog marketinga Može se smatrati da postoji legitimni interes Društva za obradu osobnih podatka za svrhe izravnog marketinga. Pritom se treba raditi o osobnim podacima koje je Društvo prije toga zakonito prikupilo, a upotreba podataka u svrhe izravnog marketinga mora biti u okvirima onoga što ispitanik razumno može očekivati temeljem svog odnosa s Društvom kao voditeljem obrade. U protivnom, obrada osobnih podataka u svrhe izravnog marketinga ne može se temeljiti na legitimnom interesu, već samo na izričitoj privoli ispitanika. Ako se osobni podaci obrađuju za potrebe izravnog marketinga temeljem legitimnog interesa Društva, ispitanik u svakom trenutku ima pravo prigovoriti obradi osobnih podataka u svrhe izravnog marketinga, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom. Najkasnije u trenutku prve komunikacije s ispitanikom, ispitanika se na ovo pravo upozorava na jasan način i odvojeno od bilo koje druge informacije. Ako se ispitanik usprotivi obradi za potrebe izravnog marketinga, njegovi osobni podaci više se ne smiju obrađivati u takve svrhe. Radi izbjegavanja svake dvojbe, Društvo potvrđuje da je slanje različitih komunikacija (npr. newslettera i novosti o pogodnostima i uslugama Društva) moguće samo na temelju privole ispitanika, koju on izražava popunjavanjem odgovarajućih polja na web stranici Društva nakon što je obaviješten o obradi osobnih podataka te verifikacijom putem linka poslanog na e-mail kojeg je naveo za primanje obavijesti. Osim od ispitanika, Društvo neće ni na koji drugi način prikupljati e-mail adrese ni druge podatke kako bi ispitanicima slalo newslettere. U svim takvim komunikacijama koje se upućuju ispitaniku, mogućnost odjave od daljnjeg primanja komunikacija (unsubscribe) jasno je istaknuta. Odjava predstavlja povlačenje privole. U slučaju odjave, Društvo briše osobne podatke ispitanika koje je prikupilo u svrhu izravnog marketinga. Zadaća od javnog interesa Prikupljanje i obrada podataka je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti. Zaštita ključnih interesa ispitanika ili druge fizičke osobe Prikupljanje i obrada podataka je nužna u svrhu zaštite ključnih interesa ispitanika ili druge fizičke osobe. Privola ispitanika Privola ispitanika je valjana osnova za prikupljanje osobnih podataka samo ako je Društvu iskomunicirana jasnom potvrdnom radnjom kojom se izražava dobrovoljan, izričit, informiran i nedvosmislen pristanak ispitanika, i to na način koji može biti u pisanom ili elektroničkom obliku te putem usmene izjave. Važno je pritom imati u vidu činjenicu da Društvo nosi teret dokaza da je ispitanik doista dao svoju privolu za prikupljanje odnosno obradu osobnih podataka. Uzevši navedeno u obzir zaprimanje privole isključivo u usmenom obliku u pravilu nije preporučljivo. Neovisno o obliku privole, komunikacija sa ispitanikom u vezi s navedenim mora biti u lako razumljivom obliku, uz uporabu jasnog i jednostavnog jezika i to bez ikakvih nepoštenih uvjeta. Privola ispitanika u pisanom obliku Ispitanik svoju privolu može dati u pisanom obliku, u kojem obliku je poželjno da se ispitanik na kraju potpiše te naznači datum davanja privole. Isto tako, u slučaju da Društvo traži privolu u pisanom obliku u kojem se osim predmetnog zahtjeva traže i drugi podaci odnosno neke druge izjave i odgovori, potrebno je predmetni zahtjev predočiti na način da ga se može jasno razlučiti od tih drugih pitanja, odnosno da navedeno nije prezentirano na način koji bi mogao zbuniti ispitanika. Privola ispitanika u elektroničkom obliku Ispitanik svoju privolu može dati u elektroničkom obliku. Zahtjev Društva za davanjem privole pritom mora bit jasan, jezgrovit i ne smije nepotrebno ometati upotrebu usluge za koju se upotrebljava (primjera radi – agresivni cookies od kojih nije moguće pristupiti sadržaju itd). Uzevši u obzir činjenicu da privola mora biti nedvosmislena i svojevoljna, potrebno je imati na umu da nije dozvoljeno „navoditi“ na privolu, pogotovo na način da se polje kojim se daje privola unaprijed označi kvačicom, ili na neki drugi način koji bitno utječe na korištenje određene internetske stranice, odnosno biranjem tehničkih postavki, već je nužno da predmetni izbor bude „neutralan“. Također se prilikom sastavljanja navedenog treba uzeti u obzir da se šutnja odnosno neaktivnost ispitanika ne smije ni u kojem slučaju tumačiti kao davanje privole. Dobrovoljnost privole U obrascima ili zahtjevima ispitaniku treba doista biti ponuđen slobodan izbor, pri kojem je moguće odbiti zahtjev odnosno povući danu privolu bez ikakvih posljedica. U slučaju kada je obrazac ili zahtjev za otkrivanjem osobnih podataka usko povezan uz pružanje usluge ili izvršenje ponuđenog ugovora, Društvo zahtijeva samo podatke nužne za pružanje navedene usluge odnosno izvršenje ponuđenog ugovora. Postupak u slučaju povlačenja privole Ispitanik ima pravo povući danu privolu te Društvo omogućuje svakom ispitaniku da u bilo koje doba može na jednostavan način povući privolu, a o kojoj mogućnosti ispitanik mora biti prethodno obaviješten i što mu mora biti omogućeno jednostavnim kontaktiranjem Društva pisanim putem ili putem interneta. Nakon povlačenja privole zabranjena je svaka daljnja obrada osobnih podataka ispitanika. Potencijalno povlačenje privole pritom ne utječe na zakonitost obrade predmetnih podataka prije nego je privola povučena. Ispunjenje prethodne obveze informiranja ispitanika Osobne podatke ispitanika Društvo zaprima od samog ispitanika te iz drugog izvora. U oba slučaja Društvo daje obavijest ispitaniku o svim relevantnim informacijama u vezi prikupljanja i obrade osobnih podataka koji se na njega odnose. Obvezu pružanja informacija ipak nije potrebno izvršiti a) ako ispitanik već posjeduje tu informaciju, b) ako je bilježenje ili otkrivanje osobnih podataka izrijekom propisano zakonom ili c) ako je pružanje informacije ispitaniku nemoguće ili bi zahtijevalo nerazmjeran napor te ako d) osobni podaci moraju ostati povjerljivi u skladu s obvezom čuvanja profesionalne tajne, koja obveza može biti propisana primjenjivim propisima ili statutom Informacije koje Društvo pruža ispitaniku u slučaju prikupljanja podataka direktno od ispitanika Prilikom prvog prikupljanja osobnih podataka od ispitanika Društvo ispitaniku pruža sljedeće podatke vezane uz samu obradu: - identitet i kontaktne podatke Društva, odnosno predstavnika Društva (odrediti zaposlenika koji će biti kontakt osoba) - kontaktne podatke službenika za zaštitu podataka, ako je imenovan - svrhu obrade osobnih podataka kao i pravnu osnovu za obradu, a ukoliko je svrha temeljena na legitimnim interesima Društva, definirati ih - primatelje predmetnih podataka, ako postoje, odnosno kome će se sve ti osobni podaci slati ako se planiraju prenositi izvan Društva; - ako je primjenjivo, činjenicu da Društvo namjerava osobne podatke ispitanika prenijeti trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti za tu zemlju odnosno upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove kopije ili mjesta na kojem su stavljene na raspolaganje. - razdoblje u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterije kojima bi se utvrdilo to razdoblje (ili dokle god traje pravna osnova za obradu ili interno ograničenje npr. 1 godina) - obznaniti ispitaniku njegova prava odnosno da ispitanik ima (I) pravo uvida u osobne podatke koji se obrađuju, (II) pravo na ispravak ili brisanje osobnih podataka, (III) pravo na ograničavanje obrade, (IV) pravo na ulaganje prigovora na obradu, (V) pravo prenijeti podatke drugom voditelju obrade, (VI) pravo povući privolu, (VII) pravo podnošenja prigovora nadzornom tijelu, te na koji način može ostvariti navedena prava (npr. pisanim putem, e-mailom, ispunjavanjem obrasca itd.) - informaciju o tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet nužan za sklapanje ugovora te ima li ispitanik obvezu pružanja osobnih podataka i koje su moguće posljedice ako se takvi podaci ne pruže; - informaciju o tome postoji li sustav automatiziranog donošenja odluka, što uključuje izradu profila ispitanika Nadalje, u situaciji kada se prikupljeni podaci naknadno obrađuju u svrhu koja je različita od one za koju su osobni podaci prvotno prikupljeni, Društvo je dužno ispitaniku navesti novu svrhu obrade te relevantne informacije navedene kao gore. Informacije koje Društvo pruža ispitaniku u slučaju prikupljanja podataka iz izvora različitog od ispitanika U predmetnom slučaju Društvo pruža iste informacije kao pod 8.1. izuzev one pod h), te uz navedeno naznačuje i izvor dobivenih osobnih podataka (ili ako je izvor javno dostupan). Navedene informacije Društvo pruža u razumnom roku, a najkasnije mjesec dana od dana dobivanja predmetnih osobnih podataka ispitanika. Međutim, postoje dva slučaja koja odstupaju od navedenog pravila i pri kojima je postupanje drugačije, a to je: - ako se prikupljeni osobni podaci trebaju upotrijebiti za komunikaciju s ispitanikom, onda Društvo informacije pruža ispitaniku najkasnije u trenutku prve ostvarene komunikacije, te - ako je predviđeno otkrivanje podataka nekom drugom primatelju, onda Društvo informacije pruža najkasnije u trenutku kada su osobni podaci prvi put otkriveni Nadalje, i u ovom slučaju Društvo nanovo navodi sve relevantne informacije ukoliko se predmetni osobni podaci naknadno obrađuju temeljem svrhe koja je različita od one prvotne. Vrijeme pohrane osobnih podataka U odnosu na vrijeme pohrane određenih osobnih podataka, postoje osobni podaci čije je vrijeme pohrane zakonom propisano (npr. posebni propisi o radnoj evidenciji za studente određuje da se podaci ne smiju brisati 6 godina od prestanka radnog odnosa ili u vezi računovodstvenih isprava određuju da se ne smiju brisati 11 godina od nastanka) i osobni podaci čije vrijeme pohrane nije zakonom propisano. Društvo u svakom slučaju podatke pohranjuje na minimalan period koji je zakonski dozvoljen i/ili potreban u odnosu na poslovne aktivnosti Društva te ih odmah nakon toga briše. Ukoliko ocijeni potrebnim, Društvo internim aktom može odlučiti koji će se podaci brisati ručno ili automatski nakon određenog perioda vremena (npr 1 godina, 2 godine itd) ili s obzirom na određeni događaj (npr kraj fiskalne godine). Obrada posebnih kategorija osobnih podataka Načelno se ne vrši obrada sljedećih tipova osobnih podataka: podaci koji se odnose na rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja, članstvo u sindikatu, genetski podaci, biometrijski podaci u svrhu jedinstvene identifikacije pojedinca te podaci koji se odnose na zdravlje, spolni život i seksualnu orijentaciju pojedinca. Gore navedene kategorije osobnih podataka Društvo ipak obrađuje u sljedećim situacijama: - ispitanik je dao izričitu privolu za obradu tih osobnih podataka i to za jednu ili više određenih svrha, osim ako primjenjivi propisi navode da takva privola ne proizvodi učinak - obrada je nužna za potrebe izvršavanja obveza i ostvarivanja posebnih prava Društva ili ispitanika u području radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti u mjeri u kojoj je to odobreno u okviru primjenjivih propisa ili kolektivnog ugovora - obrada je nužna za zaštitu životno važnih interesa ispitanika ili drugog pojedinca ako ispitanik fizički ili pravno nije u mogućnosti dati privolu; - obrada se odnosi na osobne podatke za koje je očito da ih je objavio ispitanik - obrada je nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu; - obrada je nužna za potrebe značajnog javnog interesa na temelju primjenjivih propisa koje je razmjerno željenom cilju te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika; - obrada je nužna u svrhu preventivne medicine ili medicine rada radi procjene radne sposobnosti zaposlenika, medicinske dijagnoze, pružanja zdravstvene ili socijalne skrbi ili tretmana ili upravljanja zdravstvenim ili socijalnim sustavima i uslugama na temelju primjenjivih propisa. Svi zaposlenici moraju prilikom prikupljanja, obrade odnosno pohrane posebnih kategorija osobnih podataka postupati sa povećanom pažnjom. Prisutna je mogućnost daljnjih promjena primjenjivih propisa u pogledu postupanja sa posebnim kategorijama osobnih podataka, te je s tim u vezi potrebno savjetovati se sa službenikom za zaštitu podataka. Posebnosti obrade podataka dobivenih videonadzorom Društvo obradu osobnih podataka putem video nadzora provodi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, uzimajući u obzir da ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom podataka putem video nadzora. Društvo na vidljivom mjestu naznačuje da je objekt odnosno pojedina prostorija u njemu pod video nadzorom, zajedno sa kontakt podacima Društva putem kojih ispitanik može ostvariti svoja prava. Obrada osobnih podataka zaposlenika putem sustava video nadzora provodi se samo ako su uz uvjete utvrđene ovim zakonom, ispunjeni i uvjeti utvrđeni propisima koji reguliraju zaštitu na radu i ako su zaposlenici bili pojedinačno unaprijed obaviješteni o takvoj mjeri i ako je Društvo informiralo zaposlenike prije donošenja odluke o postavljanju sustava video nadzora. Navedeni videonadzor pritom ne smije obuhvaćati prostorije za odmor, osobnu higijenu i presvlačenje. Pravo pristupa osobnim podacima prikupljenim putem video nadzora imaju samo ovlaštene osobe te se snimke dobivene putem video nadzora mogu čuvati najviše 6 mjeseci, osim ako je drugim zakonom propisan duži rok čuvanja ili ako su dokaz u sudskom, upravnom, arbitražnom ili drugom sličnom postupku. Posebnost obrade biometrijskih podataka i fotografija Društvo provodi obradu biometrijskih podataka samo ako je navedeno propisano zakonom ili ako je nužno za zaštitu osoba, imovine, klasificiranih podataka, poslovnih tajni ili za pojedinačno i sigurno identificiranje korisnika usluga, uzimajući u obzir da ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom biometrijskih podataka iz ovog članka. Pravni temelj za obradu biometrijskih podataka ispitanika radi sigurnog identificiranja je izričita privola takvog ispitanika. Društvo provodi obradu biometrijskih podataka zaposlenika u svrhu evidentiranja radnog vremena i radi ulaska i izlaska iz službenih prostorija, ako je propisano zakonom ili ako se takva obrada provodi alternativno drugom rješenju za evidentiranje radnog vremena ili ulaska i izlaska iz službenih prostorija uz uvjet da je zaposlenik dao izričitu privolu za takvu obradu biometrijskih podataka. Obradu fotografija se ne bi trebalo smatrati obradom posebnih kategorija osobnih podataka jer su one biti obuhvaćene samo definicijom biometrijskih podataka pri obradi posebnim tehničkim sredstvima kojima se omogućuje jedinstvena identifikacija ili autentifikacija pojedinca te se takvi osobni podaci ne bi se smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima. Posebnosti obrade osobnih podataka djeteta Primjenjivi propisi posebnu zaštitu daju osobnim podacima djece, i to one mlađe od 16 godina, iz razloga što navedena kategorija ispitanika može u pravilu biti manje svjesna potencijalnih rizika i posljedica. Navedeno se posebno odnosi na upotrebu osobnih podataka djece u svrhu marketinga ili stvaranja osobnih ili korisničkih profila te prikupljanje osobnih podataka o djeci prilikom upotrebe usluga koje se izravno nude djetetu. Obrada predmetnih podataka je u pravilu zakonita samo pod uvjetom da je privolu dao nositelj roditeljske odgovornosti nad djetetom (roditelj, skrbnik, staratelj itd). Društvo ulaže razumne napore kako bi se, uzimajući u obzir dostupnu tehnologiju, provjerilo odnosno utvrdilo postoji li navedeni pristanak roditelja (putem web obrazaca npr). Međutim, privola roditeljske odgovornosti ipak nije nužna u kontekstu preventivnih usluga ili usluga savjetovanja koje su ponuđene izravno djetetu. Postupanje prilikom ostvarivanja prava ispitanika Ispitanik u pogledu vlastitih osobnih podataka koje Društvo prikuplja i obrađuje ima određena prava koja se moraju ispoštovati u slučaju zahtijevanja njihovog ostvarivanja. Društvo utvrđuje identitet osobe koja tvrdi da je ispitanik i zahtijeva uvid u osobne podatke odnosno ostvarenje drugih prava. Navedeno utvrđuje zahtijevanjem identifikacije putem službenih dokumenata poput osobne iskaznice, putovnice ili vozačke dozvole ili referentnog broja klijenta na drugačiji način web identifikacije. Društvo također, ukoliko ocijeni potrebnim, vodi evidenciju svih upita i aktivnosti provedenih u skladu s tim upitima. Navedeni postupak je na trošak Društva ali u slučaju brojnih upita istog ispitanika postoji mogućnost naplate administrativnih troškova. Ostvarivanje prava ispitanika na pristup osobnim podacima U slučaju predmetnog zahtjeva u pisanom ili elektroničkom obliku, Društvo izdaje potvrdu o tome obrađuju li se osobni podaci ispitanika, te navodi koji se točno podaci obrađuju odnosno omogućuje pristup tim podacima (i predaje presliku navedenih osobnih podataka, osim ako preslika sadrži i osobne podatke drugih ispitanika). Uz to, Društvo također navodi i informacije o: - svrsi obrade; - kategorijama osobnih podataka o kojima je riječ - primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama; - ako je to moguće, predviđenom razdoblju u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja; - postojanju prava da se od Društva zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika ili prava na prigovor na takvu obradu, odnosno prava na podnošenje prigovora nadzornom tijelu, - svakoj dostupnoj informaciji o izvoru osobnih podataka, ukoliko se oni ne prikupljaju od ispitanika; - informaciju o tome postoji li sustav automatiziranog donošenja odluka, što uključuje izradu profila ispitanika Način ostvarivanja prava Svoja prava ispitanik može ostvarivati slanjem pisanog zahtjeva službeniku za zaštitu podataka putem emaila ili poštom. Kontakt podaci službenika za zaštitu podataka su javno dostupni na web stranici Društva. Za pojedine kategorije ispitanika (npr. radnici) posebnim se pravilnikom mogu predvidjeti i druge, dodatne kontakt osobe kojima se ispitanici mogu obratiti radi što lakšeg ostvarivanja svojih prava. U slučaju da bilo koji radnik Društva primi zahtjev ispitanika u bilo kojem obliku, isti će bez odgode proslijediti službeniku za zaštitu podataka, ili će o tome obavijestiti svog nadređenog, koji će ga proslijediti službeniku. Društvo je obvezno radnike upoznati s obvezom postupanja na ovaj način. Iznimno, službenika nije potrebno obavještavati u slučajevima kada ovlašteni radnik Društva na zahtjev radnika ili drugih ispitanika ažurira njihove osobne podatke u evidencijama koje Društvo vodi. Po primitku pisanog zahtjeva ispitanika, službenik će isti razmotriti. Ovisno o složenosti zahtjeva, službenik može odlučiti da će sam izraditi odgovor na zahtjev, ili da će nacrt odgovora na zahtjev ispitanika pripremiti radnik društva uz čije je radne zadatke zahtjev ispitanika vezan. U potonjem slučaju, službenik je taj koji pregledava odgovor prije njegovog slanja ispitaniku. Ostvarivanje prava ispitanika na ispravak i brisanje osobnih podataka Društvo u slučaju predmetnog zahtjeva vrši ispravak netočnih osobnih podataka ispitanika bez nepotrebnog odgađanja, te nadopunjuje nepotpune osobne podatke na način da se zaprimi dodatna izjava ispitanika. Uz gore navedeno, Društvo obaviještava sve primatelje predmetnih osobnih podataka o poduzetim ispravcima odnosno dopunama te obaviještava ispitanika o tim primateljima ukoliko ispitanik navedeno zatraži. Ostvarivanje prava na brisanje osobnih podataka Društvo briše osobne podatke ili na izričiti zahtjev ispitanika ili ukoliko je ispunjen barem jedan od sljedećih uvjeta: - osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni; - ispitanik povuče privolu na kojoj se obrada temelji a pritom ne postoji druga pravna osnova za obradu; - ispitanik uloži prigovor na obradu osobnih podataka te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu podataka za potrebe izravnog marketinga - osobni podaci su obrađeni suprotno zakonskim odredbama; - osobni podaci moraju se brisati radi poštivanja pravne obveze temeljem primjenjivih propisa - osobni podaci prikupljeni su u vezi s ponudom usluga informacijskog društva (društvenih mreža npr). Društvo osobne podatke briše na način koji omogućuje trajno uklanjanje navedenih podataka iz glavnih sustava, te treba postojati određeni zapis o brisanju (u potrebi potencijalnog dokazivanja da je brisanje doista provedeno) i odrediti načine na koji će se određeni podaci uništiti (npr podaci u pisanom obliku, USB-u, CD-u itd). U slučaju da je Društvo javno objavilo osobne podatke, dužno je uzimajući u obzir dostupnu tehnologiju i trošak provedbe poduzeti razumne tehničke mjere da se izbrišu sve poveznice do njih, odnosno kopije ili rekonstrukcije tih osobnih podataka, te je također dužno obavijestiti i druge povezane voditelje obrade koji obrađuju te podatke da je ispitanik tražio njihovo brisanje. Društvo je dužno obavijestiti sve primatelje predmetnih osobnih podataka o brisanju navedenih te obavijestiti ispitanika o tim primateljima ukoliko ispitanik to zatraži. Društvo određuje period u kojem će se preispitivati potreba obrade i pohrane osobnih podataka te izbrisati one za koje ne postoji više potreba da se obrađuju ili pohranjuju. Ograničenje izvršavanja zahtjeva za brisanjem osobnih podataka Društvo ipak ne provodi brisanje unatoč zahtjevu ispitanika ili postojanja razloga navedenih u 11.3., u mjeri u kojoj je obrada tih osobnih podataka nužna: - radi poštovanja pravne obveze kojom se zahtijeva obrada a kojoj obvezi Društvo podliježe, ili za izvršavanje zadaće od javnog interesa - radi ostvarivanja prava na slobodu izražavanja i informiranja; - zbog javnog interesa u području javnog zdravlja - u svrhe javnog interesa, povjesnog ili znanstvenog istraživanja ili u statističke svrhe odnosno radi ostvarivanja ili obrane pravnih zahtjeva. Ostvarivanje prava na ograničenje obrade Društvo na zahtjev ispitanika vrši ograničenje obrade osobnih podataka na način da se ti određeni osobnih podaci smiju obrađivati samo uz privolu ispitanika (uz iznimku potrebe za ostvarivanje ili obranu pravnih zahtjeva ili zaštitu prava druge fizičke ili pravne osobe ili zbog važnog javnog interesa) u slučaju ako: - ispitanik osporava točnost osobnih podataka, na razdoblje kojem se Društvu omogućuje provjera točnosti osobnih podataka; - obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe; - Društvo više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva; - ispitanik je uložio prigovor Društvu i u očekivianju je potvrde u vezi toga nadilaze li legitimni razlozi voditelja obrade razloge ispitanika za brisanjem - Društvo obaviještava ispitanika u slučaju kada je ishođeno ograničenje obrade, a takvo ograničenje bude ukinuto, te takva obavijest mora uslijediti neposredno prije samog ukidanja. Društvo obaviještava sve primatelje predmetnih osobnih podataka o postavljenim ograničenjima obrade te obaviještava ispitanika o tim primateljima ukoliko ispitanik navedeno zatraži. U praksi, predmetne metode kojima se ograničava obrada osobnih podataka bi uključivale privremeno premještanje odabranih osobnih podataka u drugi sustav obrade, činjenje odabranih podataka nedostupnima za korisnike ili privremeno uklanjanje objavljenih podataka s internetske stranice. U automatiziranim sustavima pohrane ograničavanje obrade bi trebalo osigurati tehničkim sredstvima na način da osobni podaci nisu predmet daljnjih obrada i da se ne mogu mijenjati te bi u sustavu trebalo biti jasno navedeno da je obrada predmetnih osobnih podataka ograničena. Ostvarivanje prava na prenosivost podataka Društvo ispitaniku na njegov zahtjev prenosi tražene osobne podatke u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu, kako bi ispitanik predmetne podatke mogao neometano prenijeti drugom potencijalnom voditelju obrade (pritom ispitanik također odlučuje hoće li zajedno s prijenosom tražiti i brisanje podataka ili ne). Ukoliko je tehnički izvedivo i ukoliko ispitanik navedeno traži, predmetni podaci se neposredno prenose drugom voditelju obrade kojeg je ispitanik izabrao, pod uvjetom da se obrada provodi automatiziranim putem i ako se temelji na privoli ispitanika odnosno ako je obrada nužna u vezi izvršenja nekog ugovora. Pri navedenom treba uzeti u obzir da se prijenos podataka neće izvršiti ukoliko su pritom osobni podaci drugih ispitanika ugroženi. Postupak povodom prigovora Prigovor na obradu osobnih podataka čija je svrha obrade legitimni interes Društva. Ispitanik može u svakom trenutku podnijeti prigovor na obradu osobnih podataka čija je svrha obrade očuvanje legitimnih interesa Društva. U tom slučaju Društvo zaustavlja svaku obradu osobnih podataka i provodi test razmjernosti interesa ispitanika i interesa Društva za obradom osobnih podataka. Ukoliko legitimni interesi Društva prevladavaju interese ispitanika u konkretnom slučaju ili je obrada nužna radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva, obrada osobnih podataka se nastavlja. Ukoliko interesi ispitanika prevladavaju legitimne interese Društva, predmetni osobni podaci se više ne smiju obrađivati. Prilikom provođenja gore navedenog testa razmjernosti je svakako potrebno savjetovati se sa nadležnim službenikom za zaštitu podataka. Prigovor na obradu osobnih podataka u marketinške svrhe Ispitanik može u svakom trenutku podnijeti prigovor na obradu osobnih podataka u marketinške svrhe, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom. U tom slučaju Društvo prekida svaku obradu predmetnih osobnih podataka. Posebnosti automatiziranog pojedinačnog donošenja odluka, uključujući izradu profila Ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, a koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu. Navedeno je ispunjeno primjerice u situaciji kada računalni program Društva na temelju svojih tehničkih postavki i softvera izabire određene ispitanike u odnosu na njihove podatke bez ljudske intervencije. Međutim, navedeno se neće primijeniti ukoliko je predmetna automatska odluka potrebna za sklapanje ili izvršenje ugovora između ispitanika i voditelja obrade podataka; dopuštena primjenjivim propisima ili je temeljena na izričitoj privoli ispitanika (u kojim slučajevima ispitanik ima pravo izraziti svoje stajalište i osporavati predmetnu odluku). Predmetni način donošenja odluka nije dopušten u odnosu na posebne kategorije osobnih podataka, osim ako je dan izričit pristanak ispitanika i ako postoje odgovarajuće mjere zaštite prava i sloboda te legitimni interesa ispitanika. Pri procjenjivanju radi li se u konkretnom slučaju o izradi profila ili ne, uzima se u obzir je li krajnji cilj prikupljanje podataka temeljem kojih se tvori određena slika o ispitaniku i njegovim preferencijama (pogotovo u slučaju praćenja web aktivnosti ispitanika) te šalje li se onda temeljem te slike ispitaniku određene ponude, sugestije i slično (npr radi se profil o tome koje usluge ispitanik u pravilu koristi i onda se temeljem toga šalju ponude usko vezane uz te usluge). Ukoliko je odgovor na prethodno pitanje potvrdan, Društvo ispitanika obaviještava o navedenom. Izrada i vođenje evidencije aktivnosti obrade osobnih podataka Ukoliko je obvezno po pozitivnim propisima, Društvo izrađuje i vodi evidenciju aktivnosti obrade podataka, u koju evidenciju je zapisuje odnosno naznačuje sve aktivnosti obrade osobnih podataka. Predmetni dokument je ili u pisanom ili elektroničkom obliku i sadrži sljedeće podatke: - naziv i kontaktne podatke Društva i, ako je primjenjivo, zajedničkog voditelja obrade, predstavnika voditelja obrade i službenika za zaštitu podataka; - svrhe obrade; - opis kategorija ispitanika i kategorija osobnih podataka; - kategorije primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama ili međunarodne organizacije; - ako je primjenjivo, prijenose osobnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identificiranje te treće zemlje ili međunarodne organizacije te; - predviđene rokove za brisanje različitih kategorija podataka, ako je moguće; - opći opis tehničkih i organizacijskih sigurnosnih mjera Društvo predmetnu evidenciju na zahtjev nadzornog tijela podnosi na uvid. Predmetna evidencija se ne vodi ukoliko Društvo zapošljava manje od 250 zaposlenika, osim ako će obrada koju provodi vjerojatno prouzročiti visok rizik za prava i slobode ispitanika, ako obrada nije povremena ili obrada uključuje posebne kategorije podataka, ili je riječ o osobnim podacima u vezi s kaznenim osudama i kažnjivim djelima. Održavanje sigurnosti osobnih podataka Društvo u svakom trenutku posebnu pozornost pridaje zaštiti osobnih podataka koji se prikupljaju i obrađuju, a u smislu navedenog osobito provodi pseudonimizaciju i enkripciju osobnih podataka, osigurava trajnu povjerljivost, cjelovitosti, dostupnosti i otpornost sustava i usluga obrade, uspostavlja sustav ponovne dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta (back-up serveri predmetnih podataka) te uspostavlja proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade, zajedno sa potencijalnim rizicima kao što su slučajno uništenje ili gubitak osobnih podataka, njihovo neovlašteno otkrivanje ili neovlašteni pristup osobnim podacima koji su preneseni, pohranjeni ili na neki drugi način obrađeni. Enkripcija Društvo, ukoliko to ocijeni potrebnim, osobne podatke štiti enkripcijom, i to po mogućnosti tzv. asimetričnim enkripcijskim metodama, koji algoritmi bi se mogli dešifrirati samo preko ključa koji je poznat ovlaštenim osobama (primjera radi, preporuča se korištenje AES (Advanced Encryption Standard) ili TDEA (Triple Data Encryption Algorithm). Navedeno se pogotovo odnosi na sustavnu pohranu podataka, prijenos podataka izvan Društva, pohranjivanje podataka na prijenosnike poput USB itd ili na obradu posebnih kategorija osobnih podataka. Sigurnost pristupa osobnim podacima Osobni podaci u fizičkom obliku ili u elektronskom obliku pohranjeni na prijenosnike putem CD-a, USB- ili hard diskova Društvo čuva na sigurnom mjestu poput čuvanih arhiva ili sefa, a kojima je pristup dopušten samo ovlaštenim osobama. Ukoliko se radi o podacima u elektronskom obliku, navedeni se čuvaju računalnim programima kojima je pristup omogućen samo putem sigurnog log-in, lozinke i sustava koji zahtijeva strogu identifikaciju ovlaštenika (pogotovo u slučaju ako se radi o posebnim kategorijama osobnih podataka). Preporučljivo je voditi evidenciju o svim prijenosima ili otpremama osobnih podataka kako bi se mogla detektirati potencijalna neovlaštena uporaba ili slanje osobnih podataka, putem sustava koji bi automatski naznačio ovlaštenika koji je izvršio predmetnu otpremu, mjesto gdje su se predmetni podaci nalazili, datum i sat otpreme i sadržaj predmetnih podataka. Osobni podaci koji se šalju elektronskim putem trebali bi biti isključivo putem sigurnih HTTPS poveznica, a preporučljivo je pristup podacima preko weba odrediti putem OUATH informatičkog određenja pristupa. Data Backup sustav Društvo će, ukoliko ocijeni potrebnim, očuvati sigurnost osobnih podataka od potencijalnog uništenja u slučaju pada računalnog sustava ili sličnog razloga, i to na način da se sastavi i pusti u funkciju određeni back-up sistem koji bi spriječio navedeno (npr rezervni server ili hard disk). Revizija obrade i sigurnosti osobnih podataka Društvo će, ukoliko ocijeni potrebnim, vršiti internu reviziju zaštite osobnih podataka, u svrhu lociranja potencijalniih propusta i rizika u vezi sigurnosti, te kako bi se obrisali osobni podaci za kojima nema potrebe da više budu pohranjeni. Navedenu internu reviziju izvršavaju ovlaštene osobe u Društvu, i to u suradnji sa Službenikom za zaštitu podataka. Društvo će u slučaju potrebe također provesti i neovisnu reviziju od strane treće osobe, a u koju reviziju ne bi trebale biti uključene osobe koje su sudjelovale u implementaciji mjera sigurnosti i obrade osobnih podataka, i kojom metodologijom će se također utvrditi mogući propusti pri svakom aspektu prikupljanja, obrade i pohrane osobnih podataka zajedno sa savjetovanjem kako poboljšati sigurnost navedenih Postupak u slučaju povrede osobnih podataka Općenito o povredama Unatoč odgovarajućim mjerama zaštite osobnih podataka koje Društvo poduzima kako bi se spriječile povrede osobnih podataka, nije isključena mogućnost da ipak dođe do povrede osobnih podataka. Pored mjera zaštite koje bi trebale osigurati da do povrede ne dođe, Društvo poduzima i tehničke mjere kojima je cilj otkriti je li do povrede došlo. Povreda osobnih podataka može imati niz štetnih posljedica za ispitanike te je stoga od iznimne važnosti da Društvo na povrede što prije reagira. Povreda osobnih podataka znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. O uništenju osobnih podataka riječ je kad osobni podaci više ne postoje ili ne postoje u obliku u kojem su Društvu potrebni za svrhe u koje ih obrađuje. O gubitku je riječ kada osobni podaci postoje, ali je Društvo izgubio kontrolu nad njima ili mogućnost pristupa, ili podaci na drugi način više nisu u posjedu Društva. Gubitak može biti privremenog ili trajnog karaktera. O izmjeni je riječ kada zbog promjena izvršenih na njima osobni podaci više nisu potpuni, točni ili ažurni. O neovlaštenom otkrivanju ili pristupu osobnim podacima radi se kada je došlo do njihovog otkrivanja osobama koje za to nisu ovlaštene. Podnošenje izvještaja Agenciji za zaštitu osobnih podataka Ukoliko Društvo otkrije povredu zaštite osobnih podatka, a za koju povredu je vjerojatno da će prouzročiti rizik za prava i slobode ispitanika, Društvo mora odmah i bez odgađanja podnijeti izvještaj Agenciji za zaštitu osobnih podataka i to najkasnije u roku 72 sata (ukoliko se obavijest dostavi kasnije, mora se obrazložiti zakašnjenje). Predmetni izvještaj mora sadržavati - opis prirode povrede osobnih podataka, uključujući, ako je moguće, kategorije i približan broj dotičnih ispitanika te kategorije i približan broj dotičnih evidencija osobnih podataka; - ime i kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke od koje se može dobiti još informacija; - opis vjerojatnih posljedica povrede osobnih podataka; - opis mjera koje je Društvo poduzelo ili predložilo poduzeti za rješavanje potencijalne povrede osobnih podataka, uključujući prema potrebi mjere umanjivanja njezinih mogućih štetnih posljedica. Ukoliko Društvo navedene informacije iz nekog razloga nije u mogućnosti pružiti u jednom izvještaju, može ih pružati postepeno, ali bez nepotrebnog odgađanja. Društvo će dokumentirati svaku povredu osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, posljedice i mjere poduzete za popravljanje štete. Nakon obavijesti Agenciji, Društvo slijedi sve daljnje naloge koje Agencija odredi, te je u navedenom postupku također nužno savjetovanje sa nadležnim službenikom za zaštitu podataka. Podnošenje izvještaja ispitaniku čiji se podaci obrađuju Društvo će ispitanika odmah i bez odgađanja izvijestiti o povredi, ako je vjerojatno da predstavlja visok rizik za prava i slobode ispitanika kojeg se ti osobni podaci tiču. Pri navedenoj obavijesti Društvo dostavlja opis povrede zajedno sa informacijama b), c) i d) iz prethodnog članka, i to uporabom jasnog i jednostavnog jezika. Međutim, obavijest se ipak ne dostavlja ispitaniku ukoliko je ispunjen barem jedan od sljedećih uvjeta: - poduzete su odgovarajuće tehničke i organizacijske mjere zaštite, posebno one koje osobne podatke čine nerazumljivima bilo kojoj osobi koja im nije ovlaštena pristupiti, kao što je enkripcija; - poduzete su naknadne mjere kojima se osigurava da više nije vjerojatno da će doći do visokog rizika za prava i slobode ispitanika - za obavijest ispitaniku je potreban nerazmjeran napor. U takvom slučaju mora postojati neki vid javne obavijesti ili slične mjere kojom se ispitanici obavješćuju na jednako djelotvoran način. Postupanje radnika u slučaju povrede Zadaća svih radnika Društva je da bez odgode obavijeste službenika za zaštitu podataka o povredi koja se dogodila, odnosno o sumnji da je do povrede došlo i okolnostima iz kojih takva sumnja proizlazi. U slučaju da je službenik odsutan, o povredi treba obavijestiti odgovornu osobu za ljudske potencijale i/ili pravne poslove koji preuzimaju zadatke službenika dok isti ne preuzme postupanje ili da izričite upute. Postupanje službenika u slučaju povrede Zadatak službenika za zaštitu podataka je da u roku od najviše 48 sati istraži okolnosti pod kojima je došlo do povrede, odnosno okolnosti vezane uz navodnu povredu. U tu svrhu, službenik za zaštitu podataka ovlašten je i dužan poduzeti potrebne provjere koje uključuju razgovore sa relevantnim zaposlenicima i drugim osobama koje bi mogle imati saznanja o povredi te se konzultirati s pravnicima i IT stručnjacima zaposlenim u Društvu. O poduzetim radnjama, službenik za zaštitu podataka sastavlja pisano izvješće koje podnosi Upravi Društva, a koje će između ostalog sadržavati: - opis i rezultat radnji i provjera koje je službenik poduzeo, - prirodu povrede osobnih podataka uključujući, ako je moguće, kategorije i približan broj ispitanika te kategorije i približan broj evidencija osobnih podataka zahvaćenih povredom, - opisati rizik i vjerojatne posljedice povrede osobnih podataka, - opisati mjere koje predlaže poduzeti za rješavanje problema povrede osobnih podataka, uključujući mjere umanjivanja njezinih mogućih štetnih posljedica, - izvješće treba zaključiti prijedlogom Upravi o tome je smatra li potrebnim obavijestiti nadzorno tijelo - AZOP (pri čemu obavijest AZOP-u nije potrebna ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca), odnosno potrebi informiranja ispitanika (što je potrebno ako je vjerojatno da će povreda prouzročiti visoki rizik za prava i slobode pojedinaca). Radi osiguravanja veće razine konzistentnosti, Društvo može pripremiti obrazac koji će se koristiti za izvještavanje o povredama. Provođenje procjene učinka na zaštitu podataka Društvo će procjenu učinka na zaštitu podataka provesti ako je vjerojatno da će se uvođenjem neke nove tehnike i vrste obrade, a osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca. Pritom se jedna procjena može odnositi na niz sličnih postupaka obrade koji predstavljaju podjednake visoke rizike. Društvo će se pri provođenju predmetne procjen savjetovati sa službenikom za zaštitu podataka. Predmetna procjena se obvezatno provodi u sljedećim situacijama: - u slučaju sustavne i opsežne procjene osobnih aspekata u vezi s pojedincima koja se temelji na automatiziranoj obradi, uključujući izradu profila, i na temelju koje se donose odluke koje proizvode pravne učinke koji se odnose na pojedinca ili na njega značajno utječu - u slučaju opsežne obrade posebnih kategorija osobnih podataka ili podataka u vezi s kaznenim osudama i kažnjivim djelima ili - u slučaju sustavnog praćenja javno dostupnog područja u velikoj mjeri. Agencija za zaštitu osobnih podataka odnosno druga nadzorna tijela također uspostavljaju i javno objavljuju popis vrste postupaka za koji je potrebno provesti predmetnu procjenu. Sadržaj procjene Procjena mora sadržavati sljedeće informacije: - sustavan opis predviđenih postupaka obrade i svrha obrade, uključujući, ako je primjenjivo, legitimni interes Društva; - procjenu nužnosti i proporcionalnosti postupaka obrade povezanih s njihovim svrhama; - procjenu rizika za prava i slobode ispitanika odnosno procjena vjerojatnosti da bi predmetna povreda mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, ili dovesti do diskriminacije, krađe identiteta ili prijevare, financijskog gubitka, štete za ugled, gubitka povjerljivosti osobnih podataka zaštićenih poslovnom tajnom, neovlaštenog obrnutog postupka pseudonimizacije, ili bilo koje druge znatne gospodarske ili društvene štete; ili ako ispitanici mogu biti uskraćeni za svoja prava i slobode ili spriječeni u obavljanju nadzora nad svojim osobnim podacima; ako se obrađuju posebne kategorije podataka; ako se procjenjuju osobni aspekti, osobito analiza ili predviđanje aspekata u vezi s učinkom na poslu, ekonomskim stanjem, zdravljem, osobnim preferencijama ili interesima, pouzdanošću ili ponašanjem, lokacijom ili kretanjem kako bi se izradili ili upotrebljavali osobni profili; ako se obrađuju osobni podaci osjetljivih pojedinaca, osobito djece; ili ako obrada uključuje veliku količinu osobnih podataka i utječe na velik broj ispitanika - mjere predviđene za rješavanje problema rizika, što uključuje zaštitne mjere, sigurnosne mjere i mehanizme za osiguravanje zaštite osobnih podataka i dokazivanje sukladnosti, uzimajući u obzir prava i legitimne interese ispitanika i drugih uključenih osoba. Društvo ipak ne treba provesti procjenu ako je svrha predmetne obrade u pravnoj obvezi Društva te ako ti propisi na kojima se obveza temelji uređuju posebne postupke obrade ili skupina dotičnih postupaka te je procjena učinka na zaštitu podataka već provedena, osim ako primjenjivi propisi ne određuju drukčije. Postupak savjetovanja sa nadzornim tijelom Društvo se savjetuje s nadzornim tijelom prije potencijalno rizične obrade ukoliko prethodno provedena procjena učinka na zaštitu podataka navodi na to da bi obrada mogla predstavljati visoki rizik ukoliko se ne donesu određene sigurnosne mjere. Prilikom savjetovanja nadzornom tijelu potrebno je dostaviti: - odgovarajuće podatke Društva, zajedničkih voditelja obrade i izvršitelja obrade uključenih u obradu, osobito za obrade unutar grupe poduzetnika; - svrhu i sredstva namjeravane obrade; - zaštitne mjere i druge mjere za zaštitu prava i sloboda ispitanika; - kontaktne podatke službenika za zaštitu podataka; - procjenu učinka na zaštitu podataka - sve druge informacije koje nadzorno tijelo zatraži. Ukoliko nadzorno tijelo smatra da bi se namjeravanom obradom kršili primjenjivi propisi, a osobito ukoliko nije u dovoljnoj mjeri utvrđen ili umanjen rizik, nadzorno tijelo u roku od najviše osam tjedana od zaprimanja zahtjeva za savjetovanje (navedeni rok može biti produžen za daljnjih šest tjedana) pisanim putem savjetuje Društvo, pri čemu može koristiti bilo koje od svojih zakonom ustanovljenih ovlasti, poput obveznih naredbi, ishođenje pristupa osobnim podacima ili provođenja revizije zaštite osobnih podataka. Postupak u slučaju prijenosa osobnih podataka u treće zemlje Ukoliko se osobni podaci koji se prikupljaju i obrađuju prenose izvan EU u treću zemlju ili međunarodnu organizaciju (npr udruženje ugostitelja iz inozemstva), Društvo provjerava postoji li za tu određenu zemlju u koju će se predmetni podaci slati dozvola za slanje u vidu tzv. Odluke o primjerenosti, a koju Odluku izdaje Europska Komisija te koje odluke se izdaju u Službenom listu Europske Unije. U odnosu na navedeno, daljnje postupanje se diferencira s obzirom na tri potencijalne situacije: - ukoliko takva Odluka postoji, prijenos je dozvoljen. - ukoliko takva Odluka ne postoji, prijenos u načelu nije dozvoljen ali je ipak moguć pod uvjetom da je Društvo ili izvršitelj obrade predvidilo odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkovita sudska zaštita. Pod navedene mjere se osobito uzimaju standardne klauzule za zaštitu podataka - čak i u slučaju da takva Odluka ne postoji, a niti postoje odgovarajuće mjere iz b), prijenos je ipak moguć ukoliko je ispitanik dao izričiti pristanak na takav prijenos nakon što je obaviješten o potencijalnimi rizicima, ili ukoliko je prijenos nužan u sklopu ugovorne obveze odnosno u vezi postavljanja, ostvarivanja ili obrane pravnih zahtjeva te ukoliko postoji neki drugi bitni javni interes ili važan interes ispitanika. U smislu toč. b) iz prethodnog stavka, Društvo će nastojati da se prednost dade onoj zaštitnoj mjeri koja osigurava veću razinu zaštite (npr. primjena standardnih ugovornih klauzula koje je usvojila Europska komisija ili posebnim ugovornim klauzulama odobrenim od strane nadležnog tijela), osim ako je prema okolnostima slučaja očito prikladnija primjena nekog od odstupanja za posebne slučajeve iz članka 49. Opće Uredbe. Predmet poslovanja Društva je takav da ima goste iz različitih zemalja, pri čemu Društvo osobne podatke gostiju može dobiti od stranih turističkih agencija ili stranih operatora online booking platformi. U odnosu na Društvo, navedeni subjekti djeluju kao zasebni voditelji obrade te za njihove radnje Društvo nije i ne može biti odgovorno. Takvi subjekti mogu imati sjedište u zemljama koje ne osiguravaju adekvatnu razinu zaštite. Društvo s takvim partnerima može povratno razmjenjivati određene osobne podatke gostiju potrebne radi naplate pruženih usluga, kao npr. razdoblje boravka određenog gosta i podatke o potrošnji gosta. Takve povratne razmjene osobnih podataka s navedenim partnerima temelje se na članku 49. stavku 1. točki c) Opće Uredbe (prijenos koji je nužan radi sklapanja ili izvršavanja ugovora sklopljenog u interesu ispitanika između voditelja obrade i druge fizičke ili pravne osobe; kao gore pod c)). U slučaju postojanja sumnje je li prijenos osobnih podataka u zemlju koja ne osigurava adekvatnu razinu zaštite dozvoljen, potrebno je prethodno tražiti savjet i mišljenje službenika za zaštitu podataka. Izvršitelj obrade Društvo može dio obrade osobnih podataka povjeriti izvršitelju obrade (primjera radi – revizori, odvjetnici i slično). Izvršitelj obrade mora u dovoljnoj mjeri jamčiti provedbu odgovarajućih tehničkih i organizacijskih mjera koje su sukladne primjenjivim propisima o zaštiti osobnih podataka, te treba djelovati samo u skladu s uputama Društva. Odnosi sa Izvršiteljima glede zaštite osobnih podataka reguliraju se posebnim sporazumima ili u okviru osnovnih ugovora. Sklapanje ugovora s izvršiteljima obrade Društvo može odlučiti da će pojedine aspekte obrade osobnih podataka povjeriti izvršiteljima obrade, koji će osobne podatke obrađivati u ime i po uputama Društva. Društvo može angažirati jedino one izvršitelje obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera zaštite osobnih podataka. S izvršiteljem obrade Društvo obvezno sklapa sporazum u pisanom obliku kojim se regulira predmet i trajanje obrade, priroda i svrha obrade, vrsta osobnih podataka i kategorija ispitanika te prava i obveze Društva i izvršitelja obrade. U sklopu takvog sporazuma, izvršitelj obrade daje Društvu određena jamstva u pogledu zaštite osobnih podataka. Ovisno o okolnostima slučaja, a prema vrsti i opsegu obrade koju izvršitelj obrade obavlja, Društvo može prije angažiranja određenog izvršitelja obrade izvršiti provjere koje smatra razumnim i prikladnim, kao na primjer: - tražiti informaciju je li izvršitelj obrade imenovao službenika za zaštitu podataka, - tražiti informaciju o tome angažira li izvršitelj obrade podizvršitelje, koga sve i u kojim se zemljama oni nalaze, - provjeriti s izvršiteljem vodi li evidenciju o aktivnostima obrade,provjeriti s izvršiteljem ima li i kakve interne politike i procedure glede zaštite osobnih podataka, - obaviti razgovore o načinu na koji su organizirani relevantni procesi izvršitelja obrade, - tražiti informaciju ima li izvršitelj certifikat da je usklađen s GDPR-om (certificiranje nije obvezno, ali je korisno navesti ako ima), - tražiti informaciju ima li izvršitelj kakve ISO certifikate na području IT sigurnosti, - razmotriti u kojoj mjeri Društvo ima mogućnost nadzora nad izvršiteljem obrade, - posjetiti poslovne prostorije izvršitelja obrade, - ako se radi o izvršitelju obrade s kojim Društvo surađuje već duže vrijeme, u obzir se može uzeti njihova savjesnost i urednost u dosadašnjem izvršavanju ugovornih obveza. U svrhu kontinuirane provjere izvršitelja obrade, Društvo može na godišnjoj razini, a po potrebi i češće, od izvršitelja obrade tražiti dostavljanje potpisane izjave kojom izvršitelj obrade potvrđuje svoju sukladnost. Nacrt takve izjave može biti prilog ugovoru kojeg Društvo potpisuje s izvršiteljem obrade. Izvršitelje obrade društvo navodi u evidenciji o aktivnosti obrade (ukoliko je istu obvezno voditi), zajedno sa svim provjerama koje je Društvo poduzelo prije njihovog angažiranja. Sektor ljudskih potencijala i pravnih poslova vodi popis izvršitelja obrade i čuva ugovore s izvršiteljima obrade. Društvo će u pravilu izbjegavati suradnju s izvršiteljima obrade kod kojih bi trebalo doći do prijenosa osobnih podataka u treću zemlju (izvan EU). Do suradnje s takvim izvršiteljima može doći ako su primijenjene odgovarajuće zaštitne mjere sukladno Poglavlju V. Opće Uredbe. Ugovori koji uključuju razmjenu podataka s drugim primateljima Društvo u svom poslovanju može ulaziti u pravne odnose s drugim pravnim i fizičkim osobama s kojima ne djeluje kao zajednički voditelj obrade niti ih angažira kao svoje izvršitelje obrade. U takvim pravnim odnosima može doći do razmjene određenih osobnih podataka. Isto tako, do razmjene osobnih podataka može doći prema državnim tijelima. U svim takvim slučajevima, ovisno o okolnostima, Društvo procjenjuje je li potrebno sklopiti pisani ugovor kojim se pobliže definiraju prava i obveze ugovornih strana, te je li i u kojoj mjeri u takav pisani ugovor, osim opće odredbe o obvezi obiju ugovornih strana da čuvaju povjerljivost svih informacija i osobnih podataka koje jedna od druge prime radi izvršavanja ugovornih obveza, potrebno uključiti dodatne odredbe o razmjeni osobnih podataka. Takve dodatne odredbe o razmjeni osobnih podataka osobito mogu uključivati odredbe kojima se precizira svrha razmjene osobnih podataka, vrsta osobnih podataka koji se prenose, pravna osnova za prijenos podataka, ograničenje u pogledu daljnjih primatelja osobnih podataka, obveza čuvanja povjerljivosti, razdoblje tijekom kojeg će primatelj čuvati osobne podatke, posljedice povrede i slično. Osobni podaci koji se razmjenjuju s primateljima u svakom će slučaju biti ograničeni na ono što je nužno kako bi se ostvarila svrha radi koje se prijenos odvija. Upotreba kolačića (cookies) Web stranica Društva koristi kolačiće (cookies). Kolačići su malene tekstualne datoteke koje web stranice pohranjuju na računalo posjetitelja prilikom posjete web stranici. Kolačići služe tome da web stranica zapamti posjetitelja i prepozna ga prilikom sljedeće posjete te da zapamti njegove preferencije. Kolačići mogu prikupljati podatak o IP adresi, gradu i državi iz koje je posjetitelj web stranice, dobi i spolu posjetitelja, te druge podatke. Uvodna odredba (30) GDPR-a izričito propisuje da se mrežni identifikatori kao što su npr. kolačići mogu upotrijebiti za izradu profila pojedinaca i njihovu identifikaciju. Društvo stoga obavještava posjetitelje web stranice o logici automatske obrade i o posljedicama koje profiliranje na osnovi kolačića ima za pojedince. Radi izbjegavanja svake dvojbe, Društvo ne ide za time da pomoću kolačića utvrđuje identitet pojedinaca, već koristi kolačiće jedino u svrhe kontrole podataka. Društvo prikuplja i obrađuje osobne podatke za potrebe rezervacija i upravljanja gostima, računima i naplatom, marketinških akcija i ispitivanja zadovoljstva. Podaci su namijenjeni Društvu i njegovim pružateljima usluga. Ispitanik ima pravo ispitati, pristupiti, ispraviti ili prigovoriti takvoj obradi pisanim putem našem službeniku za zaštitu podataka. Korištenje elektroničkih komunikacijskih mreža za pohranu podataka ili za pristup već pohranjenim podacima u terminalnoj opremi korisnika dopušteno je samo u slučaju kada je korisnik/ispitanik dao svoju privolu, i to nakon što je dobio jasnu i potpunu obavijest u skladu s posebnim propisima o zaštiti osobnih podataka, i to osobito o svrhama obrade osobnih podataka. U skladu s navedenom odredbom, Društvo prije instalacije kolačića traži privolu posjetitelja. Prilikom posjete web stranici Društva, posjetitelju se daju informacije o vrsti kolačića koje web stranica koristi i njihovoj svrsi. Posjetitelj pritom može odabrati kolačiće čiju će instalaciju dopustiti, a koje će kolačiće odbiti. Posjetitelju su na web stranici Društva dostupne detaljnije informacije o kolačićima, kao i o načinu na koji posjetitelj može promijeniti svoje postavke kolačića i brisati ranije instalirane kolačiće. Iznad opisano postupanje u svezi korištenja kolačića Društvo će pravovremeno preispitati, a po potrebi i revidirati nakon što se na razini Europske unije donese uredba koja će regulirati predmetno područje (e-privacy Regulation). Prava i dužnosti službenika za zaštitu podataka Službenik za zaštitu podataka samostalan je i neovisan u svom radu i ovlašten je poduzimati sve potrebne aktivnosti i mjere kako bi se osigurala usklađenost poslovanja Društva s propisima o zaštiti osobnih podataka. Službenik za zaštitu podataka za svoj rad odgovara izravno Upravi Društva. Pri donošenju odluke o imenovanju službenika za zaštitu podataka Društvo će voditi računa da imenovana osoba ima odgovarajuća stručna znanja za provedbu svih mjera i aktivnosti za zaštitu osobnih podataka. Službenik mora imati potrebne stručne kvalifikacije, a osobito stručno znanje o pravu i praksama u području zaštite osobnih podataka. Iako certifikati koje je službenik ishodio mogu biti od pomoći, od veće je važnosti za obavljanje funkcije službenika kontinuirana edukacija, poznavanje procesa i razumijevanje IT sustava Društva, kao i zakonskog okvira poslovanja Društva te njegovih potreba sigurnosti i zaštite osobnih podataka. Uprava odlučuje hoće li službenik za zaštitu podataka biti u radnom odnosu s Društvom ili će se za službenika ugovorno angažirati vanjski pružatelj usluga. U slučaju radnog odnosa, službenik za zaštitu podataka može biti zaposlen na puno ili na nepuno radno vrijeme. Pored radnih zadataka koje ima kao službenik može obavljati i druge zadatke koji ne dovode do sukoba interesa s obavljanjem zadataka koji proizlaze iz funkcije službenika. Službenik za zaštitu podataka je osoba koja u svakom trenutku mora biti na primjeren i pravodoban način uključena u sva pitanja u pogledu zaštite osobnih podataka u Društvu, te se preporučuje svim radnicima i trećim osobama da se obrate navedenom u slučaju ikakve dvojbe vezano uz pitanje osobnih podataka. Društvo osigurava da sve organizacijske jedinice Društva, počevši od njihovih rukovoditelja pa naniže, budu upoznate s postojanjem Službenika u Društvu i njegovim zadacima te s važnošću obavještavanja službenika pri razvoju novih usluga, namjeravanoj upotrebi novih tehnologija, novim vrstama obrade osobnih podataka, povredama osobnih podataka i zahtjevima za ostvarivanjem prava ispitanika. Društvo je dužno osigurati kako slijedi: - u slučaju namjeravane nove vrste obrade osobnih podataka ili namjeravane obrade osobnih podataka u drugu svrhu od postojeće te upotrebe novih tehnologija, službenik treba biti uključen na relevantne sastanke u što ranijoj fazi, kako bi mogao izraziti svoje mišljenje i pomoći svojim savjetom, - Društvo će nastojati da službenik bude prisutan na redovitim sastancima uprave i višeg menadžmenta kako bi mogao dati korisne doprinose zaštiti osobnih podataka, osobito na onim sastancima koji bi mogli imati utjecaja na obradu osobnih podataka, - osiguravanjem da službenik na raspolaganju ima odgovarajuće kadrovske, organizacijske i tehničke resurse na raspolaganju kako bi mogao obavljati svoje zadatke, - sve organizacijske jedinice Društva dužne su, bez odgode, obavještavati službenika za zaštitu podataka o svim kretanjima i promjenama vezanim uz poslovanje Društva, a koje bi mogle imati utjecaja na zaštitu osobnih podataka, - prije izmjene bilo kakvih politika i pravilnika koji se odnose na zaštitu osobnih podataka, Uprava će tražiti mišljenje Službenika - službenik ne smije biti razriješen dužnosti niti kažnjen zbog obavljanja njegovih zadataka. Pri obnašanju dužnosti službenik za zaštitu podataka ne smije primati nikakve upute u pogledu izvršavanja svojih dužnosti te ne smije biti razriješen dužnosti ili kažnjen zbog izvršavanja navedenih. Službenik je svoje zadatke dužan obavljati osobno, uredno i savjesno. Službenik za zaštitu podataka odgovoran je za provođenje svih mjera i aktivnosti usmjerenih na ostvarivanje ciljeva politike zaštite privatnosti i osobnih podataka Društva, provedbu zakonskih, podzakonskih i drugih obvezujućih akata na području zaštite osobnih podataka. Obveze i zadaće službenika za zaštitu osobnih podataka osobito uključuju sljedeće: - informiranje i savjetovanje Uprave i radnika Društva o obvezama iz Opće Uredbe i drugih primjenjivih zakona i propisa o zaštiti osobnih podataka, - održavanje redovitih edukacija radnika zaposlenih u Društvu na području zaštite osobnih podataka kako bi ih se upoznalo sa zakonskim zahtjevima i internim zahtjevima Društva glede zaštite osobnih podataka, - provođenje internih revizija radi provjere usklađenosti poslovanja i prakse pojedinih organizacijskih jedinica sa zahtjevima Opće Uredbe i internih akata Društva. O provedenim revizijama službenik će sastaviti pisano izvješće u kojem mora opisati rezultate svog pregleda i eventualne uočene nedostatke, - provođenje povremenih revizija politika i pravilnika Društva o zaštiti osobnih podataka, - izrada i pregled dokumentacije vezane uz zaštitu osobnih podataka (npr. ugovori s izvršiteljima obrade, ugovori sa zajedničkim voditeljima obrade, ugovori temeljem kojih dolazi do razmjene osobnih podataka s primateljima, obavijesti ispitanicima, interne politike i procedure i slično), - pregledavanje svih izmjena u evidencijama o aktivnosti obrade i pomoć nadležnim zaposlenicima pri njihovom popunjavanju, - priprema, odnosno pregledavanje odgovora na zahtjeve za ostvarivanje prava ispitanika iz dijela trećeg ove Politike te vodi evidenciju primljenih zahtjeva za ostvarivanje prava ispitanika i odgovora na njihove zahtjeve, - vođenje evidencije o povredama osobnih podataka i postupanje u skladu s odredbama šestog dijela ove Politike u slučaju kada dođe do povrede, te se aktivno uključuje u istraživanje i izvještavanje o povredama osobnih podataka do kojih može doći, - izrada procjene učinka na zaštitu osobnih podataka iz članka 35. Opće Uredbe (kada postoji obveza izrade procjene učinaka), - redovito se usavršava pohađanjem edukacija namijenjenih službenicima za zaštitu osobnih podataka u dogovoru s Upravom, ali i samostalno prati promjene i praksu na području zaštite osobnih podataka, a osobito smjernice i mišljenja AZOP-a, smjernice Radne skupine osnovane na temelju članka 29. Direktive 95/46/EC i Odbora za zaštitu osobnih podataka osnovanog na temelju Opće Uredbe, - surađuje s nadzornim tijelom i djeluje kao kontakt točka za nadzorno tijelo u pogledu obrade, - obavljanje drugih aktivnosti koje doprinose podizanju razine zaštite osobnih podataka. Službenik je ovlašten usmeno upozoravati radnike kod kojih uoči postupanje koje nije u skladu s Općom Uredbom ili ovom Politikom te im davati upute o načinu ispravljanja uočenih nesukladnosti. O svim uočenim neusklađenostima na području zaštite osobnih podataka Službenik za zaštitu podataka upozorava Upravu Društva. Uprava Društva odlučuje o mjerama koje će se poduzeti kako bi se otklonile eventualne neusklađenosti. Dođe li uslijed propusta u radu službenika za zaštitu podataka do štete za ispitanike, Društvo ili druge osobe, službenik za zaštitu podataka može biti izravno odgovoran za štetu, što će se prosuđivati prema primjenjivim zakonskim propisima ukoliko je do istoga došlo namjerom ili krajnjom nepažnjom službenika. Službenik je dužan trajno čuvati povjerljivost svih informacija i osobnih podataka koje je saznao vezano uz obnašanje svoje funkcije. Edukacija radnika Svi radnici potpisuju posebne izjave o povjerljivosti ili ugovorom o radu preuzimaju obvezu trajnog čuvanja tajnosti osobnih podataka. Međutim, kako bi se radnike što bolje osvijestilo o važnosti zaštite podataka, Društvo je dužno obrazovati sve svoje radnike o značaju i načinima zaštite osobnih podataka unutar prvog mjeseca rada. Edukaciju organizira odgovorna osoba ustrojstvene jedinice za ljudske potencijale, za planiranje i provođenje edukacija i treninga. Sukladno analizi stanja zaštite osobnih podataka, promjenama u zakonskim propisima ili internim politikama, broju povreda ili inače na prijedlog službenika za zaštitu osobnih podataka, Društvo provodi povremene edukacije radnika tijekom trajanja ugovora o radu s ciljem podizanja razine zaštite osobnih podataka i svijesti radnika o potrebi zaštite njihove tajnosti. Ove edukacije održavaju se najmanje jednom godišnje. Održavanje edukacija potrebno je evidentirati. Program obrazovanja utvrđuje službenik za zaštitu podataka u dogovoru s Upravom Društva, vodeći računa o razini rizika za pojedina radna mjesta tako da sadržaj programa bude prilagođen radnim zadacima radnika i opsegu u kojem oni dolaze u dodir s osobnim podacima. Radnike će se na edukacijama informirati o tome da sve uočene nedostatke i nesukladnosti na području zaštite osobnih podataka mogu priopćiti službeniku ili svojim rukovoditeljima. Odgovornost Društvo je odgovorno za usklađenost sa primjenjivim propisima vezanim uz zaštitu osobnih podataka te treba biti u mogućnosti dokazati predmetnu usklađenost odnosno zakonito postupanje. Zaključak Predmetna Politika predstavlja kodificiranu dobru praksu u vezi zaštite osobnih podataka te služi kao svojevrsni putokaz. Navedena Politika nastoji pokriti većinu predvidljivih situacija koje bi mogle nastati ali to dakako nije moguće, tako da će svaku situaciju trebati procjenjivati po okolnostima koje su jedinstvene u svakom pojedinom slučaju. Ovaj Politika tumači se sukladno Općoj Uredbi i primjenjivom zakonodavstvu Republike Hrvatske na području zaštite osobnih podataka. Sva pitanja ispitanika u svezi ove Politike mogu se podnijeti službeniku za zaštitu osobnih podataka, koji će na upit podnositelja odgovoriti u što kraćem roku, a najkasnije u roku od mjesec dana. Za sve eventualne sporove proizašle iz povrede osobnih podataka koju bi počinilo Društvo primjenjuju se zakoni i drugi propisi primjenjivi u Republici Hrvatskoj, a sud nadležan za rješavanje u sporu je stvarno nadležni sud prema sjedištu Društva. Ova Politika prestaje važiti ako Društvo o tome donese odluku, odnosno ako dođe do likvidacije Društva ili do druge statusne promjene koja bi rezultirala prestankom postojanja Društva. Međutim, prestanak važenja ove Politike ne oslobađa radnike Društva obveza zaštite osobnih podataka u pogledu onih podataka koji su do tada prikupljeni i/ili obrađeni. Predmetna tematika zaštite osobnih podataka je opsežne i složene naravi te je ključno da svi radnici navedenom pristupe ozbiljno, pažljivo i staloženo, jer se jedino na taj način može odgovoriti na sve izazove koje ovo dinamično područje nameće svakodnevnom poslovanju Društva.