http___lily-tours.com_politika-zastite-osobnih-podataka-klijenata__1.xml
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 8.2 9.1 9.2 10.1 11.1 13.1 14.1 15.1 16.1 16.2 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 24.2 24.3 25.1 26.1 27.1 28.1 29.1 30.1 31.1 31.2 32.1 33.1 33.2 34.1 34.2 35.1 36.1 37.1 38.1 39.1 40.1 41.1 41.2 42.1 43.1 45.1 46.1 47.1 48.1 49.1 50.1 50.2 51.1 52.1 53.1 54.1 55.1 56.1 56.2 57.1 57.2 57.3 58.1 59.1 60.1 61.1 62.1 63.1 63.2 64.1 65.1 67.1 68.1 69.1 70.1 71.1 72.1 73.1 74.1 75.1 76.1 78.1 79.1 80.1 81.1 82.1 83.1 84.1 84.2 85.1 86.1
Privacy About this Policy - Windmill Organics Limited which operates under several brands including including Biona, Raw Health, Amisa, Profusion, BIOFair and Bonsan (“we” or “us”) complies with law and regulations relating to the privacy and protection of personal data and takes these obligations seriously. - This policy sets out the principles which we apply in processing personal data of employees, customers, contacts, consultants and business partners and sets out the obligations of our staff in relation to personal data which we hold or process. - This policy applies to all of our employees and staff including both employed and self-employed staff. - This policy is prepared in compliance with the EU General Data Protection Regulation (the “GDPR”). What is Personal Data - This policy relates to ‘personal data’. Personal data means any information relating to an identified or identifiable natural person ("Data Subject") who may be identified, directly or indirectly by reference to an identifier such as a name, an identification number, location data, online information (e.g. an IP address) or to one or more factors relating to that person. - Sensitive Personal Data is any data which by its nature is particularly sensitive including personal data relating to or including racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation. This is also referred to as “Special Category” data under the GDPR. Data Processing Principles - Under Article 5(2) of the GDPR we are required to be able to demonstrate compliance with the data protection principles. The data protection principles are: - Lawfulness, Fairness and Transparency Personal data must be processed lawfully, fairly and in a transparent manner. - Limitation Personal data must be collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes - Minimal Processing Personal data must be adequate, relevant, and limited to what is necessary in relation to the purposes for which they are processed. We must apply anonymisation to personal data if possible to reduce the risks to the data subjects concerned. - Accuracy Personal data must be accurate and, where necessary, kept up to date; reasonable steps must be taken to ensure that personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or rectified in a timely manner. - Storage Period Limitation Personal data must be kept for no longer than is necessary for the purposes for which the personal data are processed. - Integrity and confidentiality appropriate technical or organisational measures must be adopted to ensure security of personal data, including protection against accidental or unlawful destruction, loss, alternation, unauthorized access to, or disclosure. - Accountability Data controllers must be responsible for and be able to demonstrate compliance with the principles outlined above. How we ensure that data is processed fairly Privacy Notices - Either before or at the time of collection of any personal data by us, we are required to inform data subjects about what kind of personal data we collect, the reason for collecting the data, the purposes of the processing, the legal basis which we are relying on, the data subjects rights in relation to that data, security measures taken in relation to data, whether we transfer data to third parties, the retention period and any potential transfers of data outside of the EEA. We provide this information to data subjects in our Privacy Notice. We are required to ensure that the Privacy Notice is kept up to date. We may be required to prepare more than one Privacy Notice if we are processing different categories of data. The Privacy Notices will be reviewed by our data protection manager at least annually and in any event will be reviewed if we undertake any new product or service or if we are undertaking new activities which involve the processing of personal data. Our data protection manager is Donata Berger. Authority for Processing Data - Personal data must only be processed if this is authorised by the board of directors or our data protection manager and such processing is within the scope of our Privacy Notice. - If you are undertaking the processing of personal data and you do not believe it is within the scope of our Privacy Notice, please contact our data protection manager. Sensitive Personal Data - Where sensitive personal data is being collected, the data protection manager must make sure that the Privacy Notice explicitly states the purpose for which this sensitive personal data is being collected and the consent of the Data Subject will be required to process this data unless the data protection manager agrees otherwise. We do not generally process sensitive personal data. Consent - Whenever personal data processing is based on the data subject's consent the data protection manager is responsible for retaining a record of such consent. The data protection manager is responsible for providing data subjects with options to provide the consent and must inform and ensure that their consent (whenever consent is used as the lawful ground for processing) can be withdrawn. - Personal data must only be processed for the purpose for which they were originally collected. In the event that we wish to process personal data for another purpose, we may require the consent of the data subject concerned. - Now and in the future, the data protection manager must ensure that collection methods and consent statements are compliant with relevant law, good practices and industry standards. Children - Where collection of personal data relates to a child under the age of 16, and we are relying on consent to process that data we must ensure that parental consent is given prior to the collection. Data Subject Rights - Data Subjects are entitled to the following rights and we agree to honour those rights and comply with requests made by data subjects under those rights: - We are required to provide data subjects with a reasonable access mechanism to enable them to access their personal data, and must allow them to update, rectify, erase, or transmit their Personal Data, if appropriate or required by law. - When requests to access, correct, amend or destroy personal data records are received, the data protection manager must ensure that these requests are handled within a reasonable time frame. The data protection manager must also record the requests and keep a log of these. Transfer of Data to Third Parties - If we are using any third-party supplier or business partner to process personal data on our behalf, the data protection manager is responsible for ensuring that the processor has agreed to adopt security measures to safeguard personal data that are appropriate to the associated risks. We will also require in the contract with that supplier that: - the supplier provides an adequate level of data protection; - the supplier will only process personal data in accordance with our instructions or to carry out its obligations to us and not for any other purposes. - If we are processing personal data jointly with an independent third party, we must explicitly agree with that third party our and their respective responsibilities in the relevant contract. Transfer of Data outside of the EEA - Before transferring personal data out of the European Economic Area (EEA) we must ensure that adequate safeguards are in place which may include the signing of a relevant agreement or ensuring that an adequacy notice is in place. Before transferring personal data outside of the EEA you must check with the data protection manager whether or not the relevant transfer meets relevant requirements. Data Retention - In the event, for any category of document not specifically defined in this Policy and unless otherwise specified by applicable law, the required retention period for any document will be deemed to be 7 years from the date of creation of the document. - The data protection manager will determine the time period for which documents and electronic records should be retained, these periods are set out in the Data Retention Schedule below. - Retention periods within Data Retention Schedule can be prolonged in the event that legal proceedings apply to the data or if there is an on-going investigation. - Any data held electronically will be subject to procedures and systems to ensure that the data is accessible during the retention period - We and our employees should therefore, on a regular basis, review all data which includes personal data, whether held electronically or on paper, to decide whether to destroy or delete any data once the purpose for which the documents were created is no longer relevant. The Data Retention Schedule sets out the default retention periods. - Once the decision is made to dispose of data, the data should be deleted, shredded or otherwise destroyed to the extent possible. The method of disposal varies and is dependent upon the nature of the document. For example, any documents that contain sensitive or confidential information (and particularly sensitive personal data) must be disposed of as confidential waste and be subject to secure electronic deletion. - Appropriate controls shall be in place that prevent the permanent loss of essential information as a result of malicious or unintentional destruction of information. Data Retention Schedule Please note that these are default retention periods and there may be circumstances in which the records are kept for a shorter or longer period. Data Security - The need to ensure that personal data is kept securely means that precautions must be taken against loss or damage of data, accordingly both access and disclosure must be restricted. - We will take steps to ensure that there are adequate technical measures to secure personal data held by us and the data protection manager will be responsible for maintaining and reviewing our technical measures. We will also take steps as an organisation to ensure that staff are aware of our and their obligations in relation to personal data generally and to take security precautions. - Employees are responsible for ensuring that they take steps to secure personal data which is under their control. - Please refer to our cyber-security policy which sets out in more detail the relevant precautions you are required to take. All staff are responsible for ensuring that: - All personal data must be kept secure at all times; - Access to any physical location or building should be monitored and controlled; - Any personal data which they hold is kept, managed, transferred and destroyed in a secure manner – this includes data held electronic and in hard copy; - Personal information should not be disclosed to any unauthorised third party unless this is within the scope of our Privacy Notice and we have adequate safeguards in place; - All PCs and devices should be shut down properly when staff leave their desks for prolonged periods; - All devices on which personal data is stored should be password and passcode protected. - Passwords and passcodes should be changed regularly. - Memory stick usage should be minimised and all memory sticks with personal data stored on them must be password protected. Data Breaches and Notification A data breach includes but is not limited to the following: - Unauthorised disclosure of sensitive / personal data - Loss or theft of confidential or sensitive data; - Loss or theft of equipment on which personal data is stored (e.g. loss of laptop, USB stick, iPad/tablet device, or paper record) - Unauthorised use of, access to or modification of IT, data or information systems (e.g. via a hacking attack) - Attempts (failed or successful) to gain unauthorised access to IT, data or information systems. - If any member of staff learns of a suspected or actual personal data breach, it must be reported to the data protection manager immediately. The report should include full details of the incident, when the breach occurred (dates and times), the nature of the information concerned, and how many individuals are involved. - The data protection manager will perform an internal investigation and take appropriate remedial measures in a timely manner. - Where there is any risk to the rights and freedoms of data subjects, we must notify the relevant data protection authorities without undue delay and, when possible, within 72 hours.
1.1 2.1 3.1 4.1 5.1 6.1 7.1 7.2 8.1 8.2 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 17.2 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 46.2 47.1 48.1 49.1 50.1 51.1 51.2 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 59.2 59.3 59.4 60.1 61.1 62.1 63.1 64.1 65.1 66.1 66.2 67.1 68.1 69.1 70.1 70.2 71.1 72.1 72.2 72.3 73.1 74.1 75.1 76.1 77.1 78.1 78.2 78.3
UVODNE ODREDBE Turistička agencija „Lily Tours“ pridaje posebnu pažnju zaštiti osobnih podataka svojih klijenata, u skladu s najboljom poslovnom praksom i važećim hrvatskim i europskim propisima, uključujući i Opću uredbu o zaštiti podataka (Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016.) Cilj ove politike je pružiti svim zainteresiranim stranama sve potrebne informacije o načinu obrade i zaštite osobnih podataka i pravima koje klijenti u vezi obrade osobnih podataka imaju. PODRUČJE PRIMJENE Politika se primjenjuje na sve osobne podatke klijenata koje Turistička agencija „Lily Tours“ prikuplja i obrađuje i podataka koje prikupljaju i obrađuju partneri Turističke agencije „Lily Tours“ u ime i za potrebe „Lily Tours-a“. Klijentom se smatra osoba koja je od Turističke agencije „Lily Tours“ zatražila uslugu ili ponudu za uslugu. Osobni podatak je svaki podatak koji se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi (Članak 4. Opće uredbe o zaštiti podataka). Obrada podataka znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka (Članak 4. Opće uredbe o zaštiti podataka). NAČELA OBRADE OSOBNIH PODATAKA Zakonita, poštena i transparentna obrada Podatke obrađujemo u skladu s važećim zakonima koji se odnose na obradu osobnih podataka i u skladu s najboljom poslovnom praksom zaštite podataka. Obrada u skladu sa svrhom prikupljanja podataka Prikupljene podatke obrađujemo samo u skladu sa svrhom za koje su ti podaci prikupljeni. Ograničenje količine podataka Prikupljamo i obrađujemo samo one podatke koji su nužni za postizanje svrhe obrade. Točnost podataka Posebnu pažnju pridajemo točnosti prikupljenih podataka. Korisnik u svakom trenutku ima pravo uvida u podatke i ispravka svojih podataka. Ograničavanje vremena obrade i čuvanja podataka Podatke obrađujemo i čuvamo samo onoliko dugo koliko je potrebno za ispunjenje svrhe za koju su podaci prikupljeni ili koliko nalažu primjenjivi propisi. Sigurnost osobnih podataka Pridajemo najveću moguću pažnju sigurnosti osobnih podataka. PRAVA KLIJENATA U skladu s Općom uredbom o zaštiti podataka, klijent ima sljedeća prava: Pravo na pristup podacima Klijent ima pravo dobiti potvrdu obrađujemo li njegove osobne podatke, te ako obrađujemo, ima pravo dobiti sljedeće informacije: informaciju o svrsi obrade, o kategoriji osobnih podataka koje obrađujemo, o primateljima ili kategorijama primatelja podataka koje obrađujemo, o predviđenom razdoblju u kojem će podaci biti pohranjeni ili kriterijima za utvrđivanje tog razdoblja, o pravu da zatraži ispravak, brisanje i ograničenje obrade podataka, o pravu na podnošenje tužbe nadzornom tijelu, , informacije o sustavu za automatizirano odlučivanje, poput izrade profila, o zaštitnim mjerama ako se podaci prenose u treću zemlju. Pravo na ispravak i brisanje Klijent ima pravo ishoditi ispravak netočnih podataka. Klijent ima pravo ishoditi brisanje podataka, osim ako su podaci nužni za svrhu za koju su prikupljeni ili ih je potrebno čuvati prema važećim zakonskim propisima. Turistička agencija „Lily Tours“ ima obvezu obavijestiti klijenta o promjeni ili brisanju podataka napravljenih na zahtjev klijenta. Pravo na ograničenje obrade Klijent ima pravo ishoditi ograničenje obrade podataka, pod uvjetima definiranima u Općoj uredbi o zaštiti podataka. Turistička agencija „Lily Tours“ ima obvezu obavijestiti klijenta o ograničenju obrade napravljenom na zahtjev klijenta. Pravo na prenosivost podataka Klijent ima pravo zaprimiti podatke koje nam je dostavio u strukturiranom, uobičajenom i strojno čitljivom formatu, te ih prenijeti drugom voditelju obrade bez ograničenja. Pravo na prigovor Klijent ima u svakom trenutku pravo na prigovor na obradu osobnih podataka. Klijent ima u svakom trenutku pravo na prigovor na izravni marketing, u kom slučaju podatke više nećemo koristiti u tu svrhu. Automatizirano donošenje odluka uključujući izradu profila Klijent ima pravo da se na njega ne odnose odluke temeljene na automatiziranoj obradi, uključujući izradu profila. NAČIN PRIKUPLJANJA OSOBNIH PODATAKA Podatke o svojim klijentima prikupljamo na sljedeće načine: Prikupljanje podataka u poslovnicama Prilikom izrade rezervacije ili ponude, tražimo od korisnika osobne podatke potrebne za rezervaciju ili ponudu. Korisnik svoje podatke može ostaviti osobno, ili u ime korisnika to može napraviti druga osoba, ili nam korisnik podatke može javiti telefonom ili mailom. Privola klijenta Privola klijenta znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose (Članak 4. Opće uredbe o zaštiti podataka). Bez privole klijenta nikad nećemo upotrebljavati osobne podatke klijenta ni u kakve svrhe za koje je prema važećim propisima nužna privola. VRSTE OSOBNIH PODATAKA KOJE PRIKUPLJAMO Prikupljamo samo one podatke koji su nužni za izvršenje svrhe prikupljanja podataka i u skladu s važećim zakonskim propisima. Podaci koje prikupljamo su: ime i prezime, datum rođenja djece radi ostvarivanja popusta, broj telefona i e-mail adresu radi kontakta, lokacija, spol, državljanstvo, broj putovnice ili drugog odgovarajućeg osobnog dokumenta tamo gdje je to potrebno radi izvršenja zakonskih obveza (npr. kod prelaska granice), broj kreditne kartice ili podatke o drugom sredstvu plaćanja. Zbog prirode putničkih usluga može se dogoditi potreba za obradom posebno zaštićenih kategorija osobnih podataka koji otkrivaju, primjerice, vjerska ili filozofska uvjerenja, članstvo u sindikatu i podataka koji se odnose na zdravlje klijenta i to isključivo u svrhu izvršenja ugovora između Turističke agencije „Lily Tours“ i klijenta, odnosno obavljanja radnji koje prethode sklapanju ugovora. Smatrat će se da je klijent koji je Turističkoj agenciji „Lily Tours“ dao podatak iz posebne kategorije osobnih podataka time izričito iskazao svoju privolu na obradu takvih podataka. SVRHA PRIKUPLJANJA OSOBNIH PODATAKA Osobne podatke prikupljamo u sljedeće svrhe: Radi izvršenja ugovora ili pripreme za izvršenje ugovora Osobne podatke prikupljamo kako bismo mogli izvršiti uslugu prema klijentu ili kako bismo mogli napraviti ponudu za uslugu klijentu. Radi obavještavanja korisnika o uslugama i proizvodima Ako je klijent dao privolu, podatke klijenta možemo upotrebljavati kako bismo klijenta upoznali s našim uslugama i proizvodima koji mogu biti zanimljivi klijentu. Za interne potrebe Podatke klijenta čuvamo kako bismo zaštitili legitimne interese klijenta ili naše legitimne interese, a u skladu s važećim zakonskim propisima. To na primjer može uključivati čuvanje podataka klijenta kako bismo na najbolji način mogli odgovoriti na eventualne prigovore klijenata, upotrebu podataka klijenata radi sprječavanja, otkrivanja i procesuiranja zloupotreba na štetu klijenata ili Turističke agencije „Lily Tours“, osiguravanja sigurnosti zaposlenika, klijenata, proizvoda i usluga Turističke agencije „Lily Tours“, kreiranja usluga i ponuda koje odgovaraju potrebama i željama klijenata, osiguravanja vrhunskog korisničkog iskustva, personalizirane korisničke podrške, istraživanja i analize tržišta, optimizacije prodajnih kanala itd. Pravna osnova za obradu podataka u ove svrhe jest legitiman interes Turističke agencije „Lily Tours“, osim kad su od tog interesa jači interes ili temeljna prava i slobode koje zahtijevaju zaštitu podataka klijenta i/ili pravna osnova zaštite ključnih interesa klijenta ili druge fizičke osobe. Iznimka su slučajevi kada je pravna osnova privola. U svrhu ispunjenja zakonskih obveza Na temelju pisanog zahtjeva utemeljenog na važećim propisima, Turistička agencija „Lily Tours“ je nadležnim državnim tijelima (npr. sudovima, policiji, turističkoj inspekciji itd.) obvezna dostaviti ili omogućiti pristup određenim osobnim podacima klijenata. Pravna osnova za obradu podataka u ove svrhe jest ispunjavanje zakonskih obveza Turističke agencije „Lily Tours“. PROSLJEĐIVANJE PODATAKA TREĆIM STRANAMA Podatke klijenata prosljeđujemo trećim stranama u sljedećim slučajevima: U svrhu izvršenja ugovora ili priprema za izvršenje ugovora s klijentom Podatke prosljeđujemo trećoj strani kad je to potrebno da bismo klijentu pružili ugovorenu uslugu ili tražene informacije. To na primjer uključuje slanje podataka klijenta hotelu ili prijevozniku, kada je to potrebno da bi se izvršila usluga ili napravila ponuda za uslugu. Kada je korisnik dao privolu Podatke prosljeđujemo trećoj strani ako je to potrebno za svrhu za koju je korisnik dao izričitu privolu. Kada za obavljanje pojedinih poslova angažiramo podizvođače Ako za obavljanje pojedinih poslova angažiramo podizvođače kao izvršitelje obrade, u tom slučaju prosljeđujemo osobne podatke podizvođaču. Pritom koristimo podizvođače isključivo s prostora EU i ti podizvođači rade isključivo po nalogu Turističke agencije „Lily Tours“ i po ugovoru sklopljenim s Turističkom agencijom „Lily Tours“, što osigurava mjere zaštite podatka kao da podatke obrađuje Turistička agencija „Lily Tours“. ZAŠTITA OSOBNIH PODATAKA U svrhu zaštite osobnih podataka svojih klijenata koristimo najbolje poslovne prakse u području turizma i informacijsko-komunikacijskih tehnologija. Kontinuirano prilagođavamo naše interne procese kako bismo postigli optimalnu razinu zaštite osobnih podataka. Pritom koristimo različite organizacijske mjere i tehnička sredstva zaštite podataka korisnika od neovlaštenog uvida, promjene, gubitka, krađe ili druge zloupotrebe podataka. KONTAKT Klijent može ostvariti svoja prava iz Opće uredbe o zaštiti podataka podnošenjem zahtjeva na adresu elektroničke pošte info@lily-tours.com Ako klijent sumnja na povredu svojih osobnih podataka, može poslati prijavu na adresu elektroničke pošte info@lily-tours.com Klijent također može prijavu podnijeti Agenciji za zaštitu osobnih podataka. Izmjene, dopune i prijelazne odredbe Politike Politika stupa na snagu i počinje se primjenjivati na dan objave te je dostupna na internetskim stranicama i na prodajnim mjestima Turističke agencije „Lily Tours“. O mogućim izmjenama i dopunama Politike klijenti će biti pravovremeno obaviješteni, uključujući i putem objave na internetskim stranicama. Pravo na prenosivost osobnih podataka, brisanje podataka i ograničenje obrade osobnih podataka klijent ima najkasnije od početka primjene Opće uredbe o zaštiti osobnih podataka, tj. od 25. svibnja 2018. godine.