http___metss.hr_izjava-o-privatnosti__1.xml
1.1 2.1 3.1 4.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 14.2 15.1 15.2 16.1 17.1 17.2 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 35.2 36.1 37.1 38.1 39.1 40.1 41.1 41.2 41.3 41.4 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 49.2 50.1 50.2 51.1 52.1 52.2 52.3 52.4 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 63.1 64.1 64.2 64.3 64.4 65.1 66.1 67.1 68.1 68.2 68.3 68.4 68.5 69.1 69.2 70.1 70.2 70.3 71.1 72.1 72.2 73.1 73.2 74.1 74.2 75.1 76.1 77.1 77.2 78.1 79.1 80.1 80.2 81.1 82.1 83.1 83.2 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 93.2 94.1 94.2 94.3 94.4 94.5 94.6 94.7 95.1 96.1 96.2 97.1 98.1 99.1 100.1 100.2 101.1 101.2 101.3 102.1 103.1 104.1 104.2 105.1 105.2 106.1 107.1 108.1 109.1 109.2 110.1 110.2 111.1 112.1 113.1 114.1 115.1 116.1 117.1 117.2 118.1 119.1 120.1 121.1 122.1 122.2 122.3 123.1 124.1 124.2 124.3 124.4 125.1 126.1 126.2 127.1 127.2 128.1 129.1 129.2 130.1 131.1 132.1 132.2 133.1 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 141.2 142.1 143.1 143.2 143.3 143.4 143.5 143.6 144.1 145.1 145.2 146.1 146.2 147.1 148.1 148.2 148.3 149.1 149.2 149.3 149.4 149.5 149.6 150.1 150.2 151.1
DATA PROTECTION DECLARATION Intenso International GmbH Gutenbergstraße 2 49377 Vechta, Germany E: office@intenso-international.de DATA PROTECTION OFFICER Dr. Hans Daldrop Wetterauer Str. 42897 Remscheid, Germany E: datenschutz@intenso-international.de Security and protection of your personal data We consider it as our primary task to ensure the confidentiality of the personal data provided by you and to protect this against unauthorised access. Therefore, we take the utmost care and apply the most modern security standards to ensure maximum protection of your personal data. As a company under private law, we are subject to the provisions of the European General Data Protection Regulation (GDPR) and the regulations in the German Federal Data Protection Act (BDSG). We have undertaken technical and organisational measures to ensure that the regulations regarding data protection are observed both by us and our external service providers. Definitions Legislators demand that personal data is processed in a lawful manner, in good faith and in a manner comprehensible to the affected person (“Lawful, processing in good faith, transparency”). In order to ensure this, we hereby inform you on the individual definitions of terms as used in this Data Protection Declaration: Personal data “Personal data” is all information which refers to an identified or identifiable natural person (in the following “affected person”); a natural person is viewed as identifiable if they can be identified directly or indirectly, in particular through the classification of identifiers such as names, identification numbers, location data, online identification or one or several special features which express the physical, physiological, genetic, psychological, economic, cultural or social identity of this natural person. Processing “Processing” is every executed procedure or sequence of procedures, with or without the help of automated processes, in connection with personal data such as collection, recording, organisation, sorting, storing, adaptation or changing, reading, retrieval, use, disclosure through transmission, distribution or other forms of provision, comparison or linking, restriction, deletion or destruction. Restriction of processing “Restriction of processing” is the marking of stored personal data with the objective of restricting its future processing. Profiling “Profiling” is any type of automated processing of personal data which comprises this personal data being used to evaluate certain aspects which refer to a natural person regarding the analysis or forecasting of work performance, economic situation, health, personal preferences, interests, reliability, conduct, place of residence or change of location of this natural person. Pseudonymisation “Pseudonymisation” is the processing of personal data in such a way that the personal data can no longer be attributed to a specific person without the use of additional information, if this additional information is separately stored and subject to technical and organisational measures which ensure that the personal data cannot be assigned to an identified or identifiable person. File system A “file system” is any structured collection of personal data which is accessible according to certain criteria, independent of whether this collection is managed centrally, non-centrally or according to functional or geographical aspects. Responsible person A “responsible person” is an individual or legal entity, authority, institute or other office who decides solely or jointly with others regarding the purpose and means of processing personal data; if the purpose and means of this processing are specified by union law or the law of the member state, then the responsible person or the defined criteria for their designation may be provided according to Union law or the law of the member state. Order processor An “order processor” is a natural person or legal entity, authority, institute or other office who processes personal data on behalf of the responsible person. Recipient “Recipient” is an individual or legal entity, authority, institute or other office to whom personal data is disclosed, irrespective of whether it concerns a third party or not. However, authorities which might receive personal data within the scope of a defined investigation order according to union law or the law of the member state are not deemed recipients; the processing of this data by the stated authorities occurs in harmony with the valid data protection regulations according to the purposes of the processing. Third party “Third party” is a natural or legal entity, authority, institute or other office, except the affected person, the responsible person, the order processor and the persons who are authorised under the direct responsibility of the responsible person or the order processor to process personal data. Consent The “consent” by the affected person is every voluntary, informed and unambiguous indication of wishes in a specific case made in the form of a declaration or another clearly corroborative action through which the affected person communicates that they agree with the processing of the personal data pertaining to themselves. Lawfulness of processing The processing of personal data is only lawful if a legal basis exists for this processing. A legal basis for processing acc. Article 6 Para.1 lit. a – f of the GDPR could in particular be: The affected person has issued their consent for the processing of personal data pertaining to them for one or several defined purposes; The processing is required for the fulfilment of a contract of which the affected person is a contractual party, or for the execution of pre-contractual measures which occur on request by the affected person; The processing is required for the fulfilment of a legal obligation which is incumbent on the responsible person; The processing is required to protect essential interests of the affected person or another natural person; The processing is required for the assumption of a task which is in the public interest or occurs during the exercising of official authority which is incumbent on the responsible person; The processing is required for safeguarding the legitimate interests of the responsible person or a third party, insofar as this does not outweigh the interests or basic rights and fundamental freedoms of the affected person which necessitate the protection of personal data, in particular if the affected person is a child. Information regarding the collection of personal data (1) In the following, we inform you regarding the collection of personal data when using our website. Personal data is, for example, name, address, email addresses, user behaviour. (2) In case you should contact us via email or via a contact form, the data provided by you (your email address, if applicable your name and telephone number) is stored by us in order to answer your questions. We delete data accumulating in connection with this process after the storage is no longer required, or the processing is restricted in case a legal period of retention exists. Collection of personal data during a visit to our website In case of your use of our website to obtain information, i.e. if you do not register or otherwise transmit information to us, we only collect personal data which is transmitted by your browser to our server. If you wish to view our website, we collect the following data which is technically necessary for us to display our website to you and to ensure stability and security (The legal basis is Art. 6 Para.1 S. 1 lit. f of the GPDR): - IP address - Date and time of the request - Time zone difference to Greenwich Mean Time (GMT) - Content of the request (specific page) - Access status/HTTP status code - Respectively transmitted data volume - Website from which the request comes - Browser - Operating system and its interface - Language and version of the browser software. Use of Cookies (1) In addition to the aforementioned data, cookies are stored in your computer if you use our website. Cookies are small text files which are stored on your hard drive as assigned by your browser, and through which the entity placing the cookie receive certain information. Cookies cannot execute programs or transfer viruses to your computer. They serve to make the overall range of Internet offers available to you more user-friendly and effective. (2) This website uses the following types of cookies, the scope and function of which are explained in the following: - Transient cookies (see a.) - Persistent cookies (see b.). Transient cookies are automatically deleted when you close the browser. This especially includes session cookies. These store a so-called session ID which allows different requests from your browser to be assigned for the mutual session. As a result, your computer can recognise whether you return to our website again. The session cookies are deleted when you log out or close your browser. Persistent cookies are automatically deleted after a specified time which can differ depending on the cookie. You can delete the cookies at any time in the security settings of your browser. You may configure your browser settings according to your wishes and, for example, refuse the acceptance of third-party cookies or all cookies. So-called “third-party cookies” are cookies which have been set by a third party, and subsequently not actually by the website which you are currently visiting. We hereby wish to point out that, through the deactivation of cookies, you may not be able to use all functions of the website. Further functions and offers of our website (1) We offer various services besides the purely informative use of our website, which you may use if you are interested. For this purpose, you must normally provide further personal data which we use to render the respective service and for which the aforementioned principles of data processing apply. (2) In part, we operate with external service providers for the processing of your data. These have been carefully selected and commissioned by us, are bound to our instructions and are regularly checked. (3) Furthermore, we may transfer your personal data to third parties if special offer participations, competitions, contractual conclusions or similar performances are offered by us together with mutual partners. You will receive more detailed information regarding this after stating your personal data or below, under the description of the offer. (4) If our service providers or partners have their headquarters in a state outside the European Economic Area (EEA), then we will inform you of the consequences of these circumstances in the description of the offer. Children Our offer is always directed at adults. Persons under 18 years should not transmit personal data to us without the permission of their parents or legal guardian. Rights of the affected person (1) Revocation of consent Provided the processing of personal data is based on granted consent, you have the right at any time to revoke this consent. Through the revocation of the consent, the lawfulness of prior processing based on this consent shall not be affected until revocation. You may contact us at any time to exercise your right to revocation. (2) Right to confirmation You have the right to request confirmation from the responsible person as to whether we are processing personal data pertaining to you. You may request confirmation at any time under the aforementioned contact data. (3) Right to information If personal data is processed, then you may request information regarding this personal data and regarding the following information at any time: The processing purposes; The categories of personal data which are processed; The recipient or categories of recipients to whom the personal data has been disclosed or will be disclosed, in particular in case of recipients in third countries or with international organisations; If possible the planned duration for which the personal data is stored, or if this is not possible, the criteria for the determination of this duration; The existence of a right of correction or deletion of personal data pertaining to you or to a restriction of the processing by the responsible persons or a right to revocation of this processing; The existence of a right to lodge complaints with a supervisory authority; If the personal data is not collected from the affected person, then all available information regarding the origin of this data; The existence of automated decision-making including profiling acc. Article 22 Paragraphs 1 and 4 of the GDPR and – at least in these cases – informative information regarding the involved logic and the implications and desired effects of such processing for the affected person. If personal data is transmitted to a third country or an international organisation, then you have the right to be informed of suitable guarantees acc. Article 46 of the GDPR in connection with the transmission. We provide a copy of the personal data which is the object of the processing. For all further copies which you personally request, we may demand an appropriate fee for administration costs. If you submit the application electronically, then the information is to be provided in a usual electronic format, if not otherwise stated. The right to the receipt of a copy acc. Paragraph 3 must not impair the rights and freedoms of other persons. (4) Right to correction You have the right to request from us the immediate correction of incorrect personal data pertaining to you. Under consideration of the purposes of the processing, you have the right to demand the completion of incomplete personal data– also through a supplementary declaration. (5) Right to deletion (“Right to be forgotten”) You have the right to demand from the responsible person that personal data pertaining to you is immediately deleted, and we are obligated to immediately delete personal data provided one of the following reasons applies: The personal data is no longer necessary for the purposes for which it was collected or has been otherwise processed. The affected person revokes their consent on which the processing is based acc. Article 6 Paragraph 1 Letter a or Article 9 Paragraph 2 Letter a of the GDPR, and no other legal basis for processing exists. The affected person objects acc. Article 21 Paragraph 1 of the GDPR to the processing and no overriding reasons for the processing exist, or the affected person objects acc. Article 21 Paragraph 2 of the GDPR to the processing. The personal data has been incorrectly processed. The deletion of personal data is required for compliance with legal obligations according to union law or the law of a member state to which the responsible person is subject. The personal data was collected with regard to services offered by the information Society acc. Article 8 Paragraph 1 of the GDPR. If the responsible person has disclosed personal data and is obligated acc. Paragraph 1 to its deletion, then, under consideration of the available technologies and the implementation costs, they will take appropriate measures, also of a technical nature, to inform the person responsible for processing the personal data that an affected person has demanded the deletion of all links by them regarding this personal data, or any copies or replications of this personal data. The right to deletion (“Right to be forgotten”) shall not exist if the processing is necessary for: – Exercising the right to freedom of speech and information – The fulfilment of a legal obligation required according to the law of the union or the member state to which the responsible person is subject, or for the performance of a task which is in the public interest or the exercising of official authority which is incumbent on the responsible person – Reasons of public interest in the area of public health acc. Article 9 Paragraph 2 Letters h and i and Article 9 Paragraph 3 of the GPDR – Archival purposes in the scope of public interest, scientific or historical research purposes or for statistical purposes acc. Article 89 Paragraph 1 of the GPDR, insofar as this does not foreseeably render the achievement of the processing objective to be impossible or seriously impaired – The assertion, exercising or defence of legal claims. (6) Right to restriction of processing You have the right to demand a restriction of the processing of your personal data from us if one of the following prerequisites exist: The accuracy of the personal data is disputed by the affected person, and this for a period which allows the responsible person to check the accuracy of the personal data The processing is improper and the affected person rejects the deletion of the personal data and instead demands a restriction of the use of the personal data; The responsible person no longer requires the personal data for the purposes of processing, however the affected person requires it for the assertion, exercising or defence of legal claims The affected person objects to the processing acc. Article 21 Paragraph 1 of the GDPR, provided it is not yet established whether the legitimate reasons of the responsible person do not outweigh those of the affected person. If the processing has been restricted according to the aforementioned prerequisites, then this personal data – except its storage – shall only be processed with the consent of the affected person or for the assertion, exercising or defence of legal claims or for the protection of rights of another individual or legal entity or for reasons of significant public interest of the union or a member state. To assert the right to a restriction of processing, the affected person may contact us at any time under the stated contact data. (7) Right to data portability You have the right to retain your personal data which you have provided to us in a structured, usual and machine-readable format, and you have the right to transmit this data to another responsible person without hindrance by the responsible person to whom the personal data has been provided, provided: The processing is based on consent acc. Article 6 Paragraph 1 Letter a or Article 9 Paragraph 2 Letter a or on a contract acc. Article 6 Paragraph 1 Letter b of the GDPR The processing occurs with the aid of an automated procedure. In case of exercising the right to data portability acc. Paragraph 1, you have the right to cause the personal data to be directly transmitted from one responsible person to another responsible person, if this is technically possible. Exercising the right to data portability shall not affect the right to deletion (“Right to be forgotten”). This right shall not apply for processing which is required for executing a task which is in the public interest or which occurs during the exercising of official authority which has been bestowed on the responsible person. (8) Right to object You have the right to object at any time, for reasons arising from a specific situation, to the processing of personal data pertaining to you which occurs based on Article 6 Paragraph 1 Letters e or f of the GDPR; this also applies for profiling based on these regulations. The responsible person will no longer process the personal data, unless they can verify compelling reasons for this processing worthy of protection which outweigh the interests, rights and freedoms of the affected person, or the processing serves the assertion, exercising or defence of legal claims. If personal data is processed in order to pursue direct advertising, then you have the right at any time to object to the processing of personal data pertaining to you for the purposes of such advertising; this also applies for profiling if it is in connection with such direct advertising. If you object to processing for the purposes of direct advertising, then the personal data shall no longer be processed for these purposes. In connection with the use of services of the information society, despite the Regulation 2002/58/EU, you may object through an automated procedure in which technical specifications are used. You have the right, for reasons which arise from a specific situation, to object to the processing of personal data pertaining to you which occurs for scientific or historical research purposes or for statistical reasons acc. Article 89 Paragraph 1, unless the processing is necessary for fulfilling a task which is in the public interest. You may exercise the right to object at any time by contacting the respective responsible person. (9) Automated decisions in individual cases including profiling You have the right not to be subjected to a decision exclusively based on automated processing – including profiling – which becomes legally effective against you or significantly impairs you in a similar way. This shall not apply if the decision: Is necessary for the conclusion or fulfilment of a contract between the affected person and the responsible person Is permissible due to legal stipulation of the union or the member state to which the responsible person is subject, and these legal stipulations contain appropriate measures for safeguarding the rights and freedoms and the legitimate interests of the affected person Occurs with the express consent of the affected person The responsible person shall take appropriate measures to safeguard the rights and freedoms and the legitimate interests of the affected person, such as at least including the right to cause the intervention of a person on behalf of the responsible person, to state their own point of view and to contest decisions. This right may be exercised at any time by the affected person by contacting the respective responsible person. (10) Right to complain to a supervisory authority Furthermore, irrespective of other administrative or judicial remedies, you have the right to complain to a supervisory authority, in particular in the member state of your place of residence, workplace or location of the suspected violation if the affected person is of the opinion that the processing of the personal data pertaining to them violates this regulation. (11) Right to an effective legal remedy Irrespective of an available administrative legal or extrajudicial legal remedy, including the right to complain to a supervisory authority acc. Article 77 of the GDPR , you have the right to an effective legal remedy if you are of the opinion that rights vested through this regulation have been violated as a result of not processing your personal data in harmony with this regulation. Use of Google Analytics (1) This website uses Google Analytics, a web analysis service of Google Inc. (“Google”). Google Analytics uses so-called “Cookies”, text files which are stored on your computer and which facilitate your analysis of the use of the website. The information generated by the cookie regarding your use of this website is normally transmitted to a server of Google in the USA and stored there. In case of an activation of the IP anonymisation of this website, your IP address will however previously be abbreviated by Google within the member states of the European Union or in other contractual states of the treaty regarding the European Economic Area. Only in exceptional cases is the complete IP address transmitted to a server of Google in the USA and abbreviated there. On behalf of the operator of this website, Google uses this information to analyse your use of the website, to compile reports regarding your website activities and to render further services to the website operator connected to the website usage and Internet usage. (2) The IP address transmitted from your browser within the scope of Google Analytics shall not be merged with other data from Google. (3) You can prevent the storage of cookies my adjusting the appropriate setting of your browser software; however, we hereby wish to point out that in this case you may not be able to use all functions of this website to their full extent. Furthermore, you can prevent the collection by Google of the data generated by the cookie and regarding your use of the website (incl. your IP address) and the processing of this data by Google by downloading and installing the browser plug-in available at the following link: http://tools.google.com/dlpage/gaoptout?hl=de. You can prevent the collection of data through Google Analytics by clicking on the following link. An opt-out cookie is then set which prevents the future collection of your data whilst visiting this website: Click here to deactivate Google Analytics (4) This website uses Google Analytics with the add-on “_anonymizeIp()”. As a result, IP addresses are further processed in an abbreviated state, and a personal reference can therefore be excluded. If the data collected pertaining to you incurs a personal reference, then this shall be immediately excluded and the personal data immediately deleted. (5) We use Google Analytics to facilitate analysis and regularly improve the use of our website. We can improve our offer through the statistics gained and design this to be more interesting for you as user. Regarding exceptional cases in which personal data is transmitted to the USA, Google is subject to the EU-US Privacy Shield, https://www.privacyshield.gov/EU-US framework. The legal basis for the use of Google Analytics is Art. 6 Para.1 S. 1 lit. f of the GPDR. (6) Information from third-party provider: Google Dublin, Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland, Fax: +353 (1) 436 1001. Terms and Conditions of Use: http://www.google.com/analytics/terms/de.html, overview regarding data protection: http://www.google.com/intl/de/analytics/learn/privacy.html, and the data protection declaration: http://www.google.de/intl/de/policies/privacy.
1.1 1.2 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 9.3 10.1 11.1 12.1 12.2 12.3 13.1 14.1 15.1 16.1 17.1 17.2 17.3 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 29.2 30.1 30.2 31.1 32.1 32.2 32.3 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 47.2 48.1 49.1 50.1 51.1 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 63.1 64.1 65.1 66.1 67.1 67.2 68.1 69.1 69.2 70.1 71.1 72.1 73.1 74.1 75.1 76.1 77.1 78.1 79.1 80.1 81.1 82.1 83.1 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 96.1 97.1 97.2 98.1 98.2 98.3 99.1 99.2 99.3 100.1 100.2 101.1 102.1 102.2 103.1 103.2 103.3 103.4 104.1 105.1 106.1 107.1 108.1 108.2 109.1 110.1 111.1 112.1 113.1 114.1 114.2 115.1 116.1 117.1 118.1 119.1 119.2 119.3 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 134.2 135.1 136.1 137.1 137.2 137.3 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 159.1 160.1 161.1 161.2 162.1 162.2 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 175.1 176.1 177.1 178.1 179.1 180.1 181.1 182.1 183.1 184.1 184.2 185.1 186.1 187.1 188.1 189.1 190.1 191.1 191.2 192.1 193.1 194.1 195.1 195.2 196.1 197.1 198.1 199.1 199.2 200.1 201.1 202.1 202.2 202.3 203.1 204.1 205.1 206.1 207.1 208.1 209.1 210.1 211.1 212.1 213.1 214.1 215.1 216.1
Na temelju odredbi Uredbe (EU) 2016/679 Europskog parlamenta i vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) te Zakona o radu, Uprava METSS d.o.o. donijela je, nakon dobivene prethodne suglasnosti sindikalnog povjerenika (predsjednik Nezavisnog sindikata radnika METSS d.o.o. Čakovec), dana 23. svibnja 2018. godine, sljedeći Pravilnik o postupanju s osobnim podacima Članak 1. METSS d.o.o. kao obveznik primjene Uredbe (EU) 2016/679 Europskog parlamenta i vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka (u daljnjem tekstu: Opća uredba)), ovim Pravilnikom reguliraju zaštitu pojedinaca (fizičkih osoba) u vezi s obradom njihovih osobnih podataka u samom društvu. Primjenu odredbi ovog Pravilnika, odredbi Opće uredbe kao i odredbi drugih mjerodavnih propisa koji reguliraju zaštitu pojedinaca vezano uz obradu njihovih osobnih podataka, u METSS d.o.o. dužni su osigurati te za isto snose odgovornost upravitelji radnih jedinica (svaki za svoju radnu jedinicu) te rukovoditelji i voditelji službi (svaki za svoju službu). Ovim se Pravilnikom ne obuhvaća obrada osobnih podataka koji se tiču pravnih osoba, a osobito poduzetnika koji su ustanovljeni kao pravne osobe, uključujući ime i oblik pravne osobe i kontaktne podatke pravne osobe. Članak 2. U skladu sa Općom uredbom pojedini izrazi u ovom Pravilniku imaju sljedeće značenje: • Osobni podatak – svaki podatak koji se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi. Osobni podatak je npr. ime i prezime, OIB i drugi podaci pod kojima je pojedinac registriran, adresa, mrežni identifikatori (IP adresa, identifikator kolačića i sl.) i drugi podaci svojstveni za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet pojedinca. Osobnim podacima smatraju se i podaci o plaći, bankovni račun, porezna prijava, broj putovnice ili broj osobne iskaznice i dr.; • Obrada osobnih podataka – svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima (npr. bilježenje, prikupljanje, organizacija, struktu-riranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje); • Sustav pohrane - svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi (npr. dosadašnje zbirke osobnih podataka); • Voditelj obrade – fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka. U smislu odredbi ovog Pravilnika voditeljem obrade smatraju se METSS d.o.o. (u daljnjem tekstu: Društvo); • Izvršitelj obrade – onaj tko obrađuje podatke u ime Društva (fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo); • Primatelj – fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci (neovisno o tome je li on treća strana); • Treća strana – fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, Društvo, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izvravnom nadležnošću Društva ili izvršitelja obrade; • Ispitanik – pojedinac (fizička osoba) čiji je identitet utvrđen ili se može utvrditi; • Identitet pojedinca – istovjetnost pojedinca koja ga, na osnovi oznaka koje ga karakteriziraju (dob, spol, rasa), izdvaja od ostalih pojedinaca. Identitet se najčešće utvrđuje uvidom u javne isprave, ali se može obaviti i na drugi način. Npr. oznaka fizičke osobe je ime i prezime, a njezin se identitet utvrđuje npr. uvidom u osobnu iskaznicu ili putovnicu; • Privola – svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želje ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka; • Povreda osobnih podataka – kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. Članak 3. Osobne podatke ispitanika Društvo obrađuje pridržavajući se sljedećih osnovnih načela obrade osobnih podataka predviđenih Općom uredbom: • Zakonitost, poštenost i transparentnost; • Ograničavanje svrhe; • Smanjenje količine podataka; • Točnost; • Ograničenje pohrane; • Cjelovitost i povjerljivost; • Pouzdanost. Osobne podatke ispitanika Društvo obrađuje zakonito, pošteno i transparentno. Obrađuju se samo primjereni i relevantni osobni podaci i to isključivo u posebne, izričite i zakonite svrhe te se dalje ne obrađuju na način koji nije u skladu s tim svrhama. Osobne podatke koje Društvo obrađuje su točni te se po potrebi ažuriraju. Osobni podaci koji nisu točni bez odlaganja se brišu ili ispravljaju. Društvo osobne podatke obrađuje isključivo na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih i organizacijskih mjera. Društvo osobne podatke čuva samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju. Iznimno, osobni podaci mogu se pohraniti i na dulja razdoblja, ali samo ako će se isti obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe. Radi osiguravanja da se osobni podaci ne drže duže nego što je nužno, Društvo periodično vrši provjeru daljnje potrebe pohrane tih podataka obzirom na samu svrhu njihove obrade, a radi poduzimanja od-govarajućih mjera (npr. brisanje osobnih podataka ako nema zakonske prepreke). Članak 4. Društvo osobne podatke obrađuje samo i u onoj mjeri u kojoj je ispunjen jedan od sljedećih uvjeta: − da je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha, − da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, − da je obrada nužna radi poštovanja pravnih obveza Društva, − da je obrada nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe, − da je obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti Društva, − da je obrada nužna za potrebe legitimnih interesa Društva ili treće strane, osim u slučaju kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete. Članak 5. Ako Društvo vrši obradu osobnih podataka za koju je potrebna privola ispitanika, ista privola se može dati na, za to predviđenom, obrascu „Privola za obradu osobnih podataka“ u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste), a koji obrazac ispitanik potpisuje. Obrazac privole iz prethodnog stavka sastavljen je na način da osigurava primjenu odredbi Opće uredbe vezanih uz reguliranje davanja privole, a pisani oblik služi u svrhu dokazivanja da je ispitanik dao privolu za obradu svojih osobnih podataka. Osim navedenog obrasca privolom kao i dokazom davanja iste smatrat će se i svaka izjava ili potvrdna radnja u pisanom ili u elektroničkom obliku dana Društvu od strane ispitanika, a koja po svom sadržaju predstavlja jasno ispitanikovo izražavanje dobrovoljnog, posebnog, informiranog i nedvosmislenog pristanka na obradu osobnih podataka koji se odnose na njega. Društvo vrši obradu osobnih podataka i na temelju usmene privole (izjave) ispitanika, ali pod uvjetom da Društvo može dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka u tom obliku. Privola kojom ispitanik Društvu daje pristanak za obradu osobnih podataka koji se na njega odnose mora biti dobrovoljna. Ispitanik ima pravo u svakom trenutku povući svoju privolu, a povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja. O predmetnom se ispitanik obavješćuje prije davanja privole. Povlačenje privole se može dati na, za to predviđenom, obrascu „Povlačenje privole“ u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste), a koji obrazac ispitanik potpisuje. Ako se radi o obradi osobnih podataka maloljetne osobe, privolu te povlačenje privole sukladno prethodnim stavcima ili sukladno odredbama Opće uredbe, daje ili odobrava nositelj roditeljske odgovornosti nad tom osobom (roditelj ili zakonski skrbnik). Ispitanik ima pravo uskratiti davanje privole. Članak 6. Društvo ne vrši obradu posebno osjetljivih podataka kao što su: • Rasno ili etničko podrijetlo; • Političko mišljenje; • Vjersko ili filozofsko uvjerenje; • Genetski podaci; • Biometrijski podaci (radi jedinstvene identifikacije pojedinca); • Spolni život ili seksualna orijentacija pojedinca. Društvo vrši obradu podataka o članstvu u sindikatu isključivo na temelju dane izričite privole ispitanika za obradu tih osobnih podataka. Društvo vrši obradu podataka o zdravlju ispitanika, koja obrada je nužna za potrebe izvršavanja obveza i ostvarivanja posebnih prava Društva ili ispitanika, i to na temelju Zakona o obveznom zdravstvenom osiguranju, Zakona o radu, Zakona o zaštiti na radu, Zakona o profesionalnoj rehabilitaciji i zapošljavanju osoba s invaliditetom, Zakona o hrani, Zakona o zaštiti pučanstva od zaraznih bolesti, kao i drugih mjerodavnih propisa iz područja radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti iz nadležnosti Europske unije ili Republike Hrvatske. Pod podacima koji se odnose na zdravlje, kako je to navedeno u prethodnom stavku, podrazumijevaju se osobni podaci povezani s fizičkim ili mentalnim zdravljem ispitanika. U slučaju obrade odnosno ukazane potrebe obrade posebno osjetljivih podataka u Društvu, takva obrada se može temeljiti isključivo na osnovama predviđenim Općom uredbom. Članak 7. Privole dobivene po prethodnim člancima ove glave Pravilnika odlažu se u personalne dosjee ispitanika u Službi za opće i pravne poslove. Članak 8. U postupku obrade osobnih podataka Društvo ispitaniku pruža sve informacije vezano uz obradu njegovih osobnih podataka, a osobito o svrsi obrade podataka, pravnoj osnovi za obradu podataka, legitimnim interesima Društva, namjeri predaje osobnih podataka trećim osobama, razdoblju u kojem će osobni podaci biti pohranjeni, o postojanju prava ispitanika na pristup osobnim podacima te na ispravak ili brisanje osobnih podataka i ograničavanje obrade, pravu na ulaganje prigovora kao i o svim drugim informacijama predviđenim za ispitanika sukladno odredbama Opće uredbe. Informacije iz prethodnog stavka pružaju se ispitaniku objavom ovog Pravilnika te njegovih izmjena i dopuna na oglasnim pločama Društva i radnih jedinica te neposrednim uručenjem istih akata (u pisanom ili elektroničkom obliku) ispitaniku na njegov zahtjev, kao i objavom na internetskim stranicama Društva. Predmetne informacije mogu se ispitaniku pružati i izravno usmenim putem, ako to zatraži ispitanik, i to u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste). Članak 9. U slučaju da se osobni podaci prikupljaju od ispitanika, Društvo će ispitaniku u trenutku prikupljanja osobnih podataka pružiti informacije navedene u prethodnom članku ovog Pravilnika. Takve informacije će ispitaniku Društvo dati i u slučaju da osobni podaci nisu dobiveni neposredno od njega. Primitak informacija iz prethodnog stavka ispitanik potvrđuje potpisom na za to predviđenom obrascu „Izjava o pruženim informacijama“ u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste), a koja se izjava odlaže u personalni dosje radnika u Službi za opće i pravne poslove. U slučaju da Društvo ne dobiva osobne podatke neposredno od ispitanika, informacije iz stavka 1. pružit će se ispitaniku: • odmah po primitku, a najkasnije u roku od mjesec dana od dana dobivanja osobnih podataka, • najkasnije u trenutku prve komunikacije ostvarene s ispitanikom, ako se osobni podaci trebaju upotrebljavati za komunikaciju s tim ispitanikom, • najkasnije u trenutku kada su osobni podaci prvi put otkriveni, ako je predviđeno otkrivanje podataka drugom primatelju. Kod prikupljanja osobnih podataka od ispitanika, istoga se obavještava o tome je li obvezan pružiti osobne podatke te o posljedicama koje mogu proizaći iz toga što takve podatke nije pružio. Članak 10. U okviru Društva, za obradu osobnih podataka ispitanika ovlašteni su Uprava te osobe koje Uprava Društva ovlasti posebnom odluku. Članak 11. Za potrebe ovog Pravilnika, pored pojma iz članka 2. ovog Pravilnika, pod ispitanikom podrazumijeva se osoba koja je zaposlena u Društvu, kao i osoba koja s Društvom ima poslovni odnos izvan radnog odnosa te svaka druga osoba čiji se osobni podaci obrađuju u Društvu po bilo kojoj osnovi. Članak 12. Sukladno Općoj uredbi, Društvo osigurava ispitanicima ostvarenje sljedećih prava: • Pravo na pristup; • Pravo na ispravak; • Pravo na brisanje (pravo na zaborav); • Pravo na ograničenje obrade; • Pravo na prenosivost podataka; • Pravo na prigovor. Članak 13. Društvo će odmah, a najkasnije u roku od mjesec dana od dana zaprimanja zahtjeva ispitanika ili njegovog zakonskog zastupnika ili punomoćnika: - omogućiti ispitaniku pristup njegovim osobnim podacima te ga informirati o svrsi obrade njegovih osobnih podataka, kategorijama njegovih osobnih podataka koji se obrađuju, o primateljima ili kategorijama primatelja kojima su njegovi osobni podaci otkriveni ili će im biti otkriveni, predviđenom razdoblju (odnosno kriterijima za utvrđivanje tog razdoblja) u kojem će osobni podaci biti pohranjeni te u slučaju kada se osobni podaci ne prikupljaju od ispitanika o njihovu izvoru, - informirati ispitanika o njegovom pravu na traženje ispravka ili brisanja osobnih podataka (pravo na zaborav) ili ograničavanja obrade osobnih podataka, pravu na podnošenje pritužbe Agenciji za zaštitu osobnih podataka, - ispraviti netočne osobne podatke ili uzimajući u obzir svrhe obrade dopunit nepotpune osobne podatke (npr. davanjem dodatne izjave) koji se odnose na ispitanika, - provesti brisanje osobnih podataka koji se odnose na ispitanika pod uvjetom da osobni podaci više nisu nužni za svrhu radi koje su prikupljeni ili ako ispitanik povuče privolu (ako se obrada vrši na osnovi privole ispitanika) ili ako su podaci nezakonito obrađeni ili je takva obveza određena pravom Europske unije ili Republike Hrvatske, - ograničiti obradu osobnih podataka ispitanika pod uvjetom da ispitanik osporava točnost osobnih podataka (za razdoblje dok Društvo ne izvrši provjeru točnosti osobnih podataka) ili je obrada nezakonita (ali ispitanik ne traži brisanje nego samo ograničenje uporabe) ili Društvo više ne treba osobne podatke za potrebe obrade (ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva) ili je ispitanik uložio prigovor na obradu, - dostaviti ispitaniku ispis osobnih podataka sadržanih u sustavu pohrane koji se na njega odnose ili iste podatke prenijeti ispitaniku na USB stick ili CD ili poslati elektroničkom poštom, - prestati s obradom osobnih podataka ispitanika koji se obrađuju na osnovi javnog interesa te legitimnog interesa Društva ili treće strane, osim u slučaju kad postoje opravdani razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili u slučaju postavljanja, ostvarivanja ili obrane pravnih zahtjeva. U slučaju iz alineje 1. prethodnog stavka (pravo na pristup) Društvo predaje ispitaniku presliku njegovih osobnih podataka koji se obrađuju, bez naplate troškova za prvu presliku (za svaku daljnju presliku zaračunat će se naknada sukladno članku 15. ovog Pravilnika). Preslika se podiže u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste). Ispitanik ima pravo, u slučaju iz alineje 4. stavka 1. (pravo na brisanje – pravo na zaborav), zahtijevati brisanje svog osobnog podatka (zabilježenog posredno ili neposredno) s interneta ili brisanje svih poveznica s osobnim podacima, preslike ili rekonstrukcije tih osobnih podataka. Pravo na brisanje ograničeno je ako je obrada osobnih podataka ispitanika nužna radi ostvarivanja propisanih obveza Društva ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva. Kod ograničenja obrade, u slučaju iz alineje 5. stavka 1., Društvo obradu takvih osobnih podataka smije obavljati samo uz privolu ispitanika (danoj sukladno članku 5. ovog Pravilnika) na kojeg se podaci odnose, osim ako je obrada nužna radi zaštite pravnih interesa trećih ili radi javnog interesa Eurospske unije ili Republike Hrvatske. Ograničene podatke Društvo mora premjestiti u drugi sustav obrade, učiniti ih nedostupnim za korisnike te ih ukloniti s internetskih stranica. U slučaju ograničenja obrade Društvo unaprijed izvješćuje (pisanim ili elektronskim putem) ispitanika o ukidanju istog. U slučaju iz alineje 7. stavka 1. (pravo na prigovor) Društvo provodi test razmjernosti interesa radi ocjene važnosti svojih razloga za obradu i ispitanikovih razloga protiv obrade. Članak 14. Rok iz stavka 1. prethodnog članka ovo Pravilnika može se prema potrebi produljiti za dodatna dva mjeseca, uzimajući u obzir složenost i broj zahtjeva. Društvo obavješćuje (u pisanom ili elektronskom obliku) ispitanika o svakom takvom produljenju u roku od mjesec dana od zaprimanja zahtjeva, zajedno s razlozima odgađanja. Zahtjev iz stavka 1. prethodnog članka podnosi se pisanim ili elektroničkim putem. Zahtjev se može podnijeti i na za to predviđenim obrascima Društva, a podnosi se Službi za opće i pravne poslove, upravitelju radne jedinice, rukovoditelju ili voditelju službe (i osobi koju isti ovlaste). O poduzetim radnjama povodom navedenog zahtjeva Društvo pruža informacije u pisanom obliku. Ako je zahtjev ispitanika podnesen elektroničkim putem, Društvo infor-maciju pruža elektroničkim putem ako je to moguće, osim ako ispitanik zatraži drugačije. O razlozima nepostupanja po zahtjevu ispitanika iz stavka 1. prethodnog članka ovog Pravilnika, Društvo će bez odgađanja, a najkasnije jedan mjesec od dana primitka zahtjeva, izvijestiti ispitanika (u pisanom ili elektroničkom obliku). Uvjeti navedeni u odredbama prethodnih stavaka odnose se i na ispitanikovo podnošenje prigovora na obradu njegovih osobnih podataka. Članak 15. Društvo informacije pružene u skladu s člankom 13. ovog Pravilnika pruža bez naknade. Iznimno, ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, Društvo će naplatiti razumnu naknadu uzimajući u obzir ad-ministrativne troškove pružanja informacija ili obavijesti ili postupanja po zahtjevu. Pod istim uvjetima, Društvo može i odbiti da postupi po zahtjevu ispitanika. Članak 16. Ispitanik koji smatra da mu je Društvo povrijedilo neko njegovo pravo zajamčeno Općom uredbom ima pravo podnijeti zahtjev za utvrđivanje povrede prava Agenciji za zaštitu osobnih podataka. Pored prava iz prethodnog stavka, ispitanik ima pravo i na učinkovit pravni lijek protiv Društva ili njegovih izvršitelja obrade ako smatra da mu je zbog obrade njegovih osobnih podataka protivno Općoj uredbi prekršena njegova prava iz iste uredbe. Ispitanik koji je pretrpio materijalnu ili nematerijalnu štetu zbog kršenja Opće uredbe ima pravo na naknadu od Društva ili njegovih izvršitelja obrade. Članak 17. U slučaju povrede osobnih podataka (u smislu članka 2. ovog Pravilnika) Društvo bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata nakon saznanja o toj povredi, izvješćuje Agenciju za zaštitu osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode ispitanika. U slučaju da navedeno izvješćivanje nije učinjeno unutar 72 sata, isto mora biti popraćeno razlozima za kašnjenje. Izvješće iz prethodnog stavka mora najmanje sadržavati podatke navedene u članku 20. stavku 2. ovog Pravilnika. Radi postupanja u skladu s odredbom prethodnog stavka, upravitelji radnih jedinica te rukovoditelji i voditelji služba unutar kojih je došlo do povrede osobnih podatka dužni su, odmah po saznanju o povredi osobnih podataka, o istome obavijestiti (usmeno, u pisanom ili elektroničkom obliku) Službu za opće i pravne poslove, a kako bi se pravodobno poduzele mjere predviđene Općom uredbom. Prilikom procjene da li postoji ili ne postoji vjerojatnost da će povreda osobnih podataka prouzročiti rizik za prava i slobode ispitanika (vezano uz stavak 1. ovog članka), osobito treba uzeti u obzir da li takva povreda može u konačnici prouzročiti fizičku, materijalnu ili nematerijalnu štetu ispitaniku, kao što je npr. gubitak nadzora nad osobnim podacima, ograničavanje prava, diskriminacija, krađa identiteta ili prijevara, financijski gubitak, šteta za ugled, gubitak povjerljivosti osobnih podataka zaštićenih poslovnom tajnom te bilo koja druga ekonomska ili društvena šteta za ispitanika. Članak 18. Izvršitelj obrade (u smislu članka 2. i 22. ovog Pravilnika) dužan je bez nepotrebnog odgađanja izvijestiti Društvo nakon što sazna za povredu osobnih podataka. Izvješće mora sadržavati sve elemente propisane Općom uredbom. Ispunjenje navedenih obveza izvršitelja obrade osigurava se unašanjem odgovarajuće klauzule u ugovor o obradi osobnih podataka koji Društvo sklapa s izvršiteljem obrade. Članak 19. Društvo dokumentira sve povrede osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, njezine posljedice kao i mjere poduzete za popravljanje štete, a radi omogućavanja Agenciji za zaštitu osobnih podataka provjere poštovanja Opće uredbe. Članak 20. U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinca, Društvo će bez nepotrebnog odgađanja obavijestiti ispitanika (u pisanom ili elektroničkom obliku) o povredi osobnih podataka. Obavijest iz prethodnog stavka sadržava: - opis prirode povrede osobnih podataka, - ime i kontaktne podatke Voditelja općih i pravnih poslova, u svrhu dobivanja dodatnih informacija, - opis vjerojatne posljedice povrede osobnih podataka, - opis mjera koje je Društvo poduzelo ili predložilo poduzeti za rješavanje problema povrede osobnih podataka te umanjenje štetnih posljedica povrede. Obavješćivanje ispitanika sukladno prethodnim stavcima nije obvezno u slučaju ispunjena bilo kojeg od sljedećih uvjeta: - Društvo je poduzelo odgovarajuće tehničke i organizacijske mjere zaštite koje su primijenjene na osobne podatke pogođene povredom osobnih podataka (npr. enkripcija), - Društvo je poduzelo naknadne mjere kojima se osigurava da više nije vjerojatno da će doći do visokog rizika za prava i slobode ispitanika, - time bi se zahtijevao nerazmjeran napor, a u kojem slučaju mora postojati javno obavješćivanje ili slična mjera kojom se ispitanici obavješćuju na jednako djelotvoran način. Članak 21. Društvo nije u obvezi te neće imenovati službenika za zaštitu podataka budući da sukladno odredbi članka 37. Opće uredbe: - Društvo nije tijelo javne vlasti ili javno tijelo, - osnovne djelatnosti Društva se ne sastoje od postupaka obrade koji zbog svoje prirode, opsega i/ili svrha iziskuju redovito i sustavno praćenje ispitanika u velikoj mjeri, - osnovne djelatnosti Društva se ne sastoje od opsežne obrade posebnih kategorija podataka na temelju članka 9. Opće uredbe i osobnih podataka u vezi s kaznenim osudama i kažnjivim djelima iz članka 10. Opće uredbe. Članak 22. U slučaju potrebe da obradu osobnih podataka u ime Društva provodi druga pravna ili fizčka osoba, Društvo će se koristiti jedino izvršiteljima koji u dovoljnoj mjeri jamče provedbu tehničkih i organizacijski mjera na način da je takva obrada u skladu s odredbama Opće uredbe te da se njome osigurava zaštita prava ispitanika. Obradu koju provodi izvršitelj obrade uređuje se ugovorom o obradi osobnih podataka koji izvršitelja obrade obvezuje prema Društvu, a u kojem su najmanje sadržani: - predmet obrade, - trajanje obrade, - priroda i svrha obrade, - vrsta osobnih podataka, - kategorije ispitanika, - prava i obveze voditelja obrade, - jamstva izvršitelja obrade, - obveze izvršitelja obrade. Ugovor iz prethodnog stavka sklapa se u pisanom obliku. Članak 23. Društvo vrši obrade sljedećih vrsta osobnih podatka: - osobni podaci radnika Društva (evidencije radnika i radnog vremena, plaće radnika i dr.), - osobni podaci umirovljenika Društva, - osobni podaci učenika i studenata koji rade ili obavljaju praksu u Društvu temeljem učeni-kih i studentskih ugovora te uputnica škole/fakulteta, - osobni podaci osoba na stručnom osposobljavanju za rad, - osobni podaci članova nadzornog i revizorskog odbora Društva, - osobni podaci kandidata koji sudjeluju u selekcijskom postupku za zasnivanje radnog odnosa, - osobni podaci dioničara Društva, - osobni podaci kupaca, dobavljača i poslovnih partnera Društva, - osobni podaci prikupljeni sustavom video nadzora u Društvu, - drugi osobni podaci koji se u Društvu prikupljaju u skladu s člankom 6. Opće uredbe. O osobnim podacima iz prethodnog stavka, kao i o svim drugim osobnim podacima, koji su prikupljeni u skladu s člankom 6. Opće uredbe, Društvo vodi evidencije aktivnosti obrade osobnih podataka, uvid u koje evidencije ispitanici mogu izvršiti u Službi za opće i pravne poslove Društva. Članak 24. Vođenje evidencija aktivnosti obrade osobnih podataka iz prethodnog članka raspodijeljeno je po radnim jedincima te po službama i ovlaštenim osobama za obradu podataka. Evidencija aktivnosti obrade sadrži najmanje sljedeće podatke: - naziv i kontaktne podatke Društva, - ovlaštene osobe za zastupanje Društva, - naziv radne jedinice te službe Društva, - ovlaštenu osobu za obradu osobnih podataka, - svrhu obrade, - kategoriju ispitanika - kategoriju osobnih podataka, - kategorije primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, - predviđene rokove za brisanje osobnih podataka (ako je to moguće), - opći opis tehničkih i organizacijskih sigurnosnih mjera za zaštitu podataka (ako je moguće). Prema potrebi, evidencija aktivnosti obrade osobnih podataka može sadržavati i druge podatke. Svaka ovlaštena osoba za obradu osobnih podataka u Društvu dužna je odmah po izmjeni postojeće ili uvođenju nove evidencije aktivnosti obrade, bez nepotrebnog odgađanja obavijestiti Službu za opće i pravne poslove kako bi se moglo postupiti u skladu s odredbom članka 8. ovog Pravilnika. Članak 25. Osobni podaci ispitanika koji se obrađuju u Društvu moraju biti odgovarajuće zaštićeni od slučajnog ili nezakonitog uništenja, gubitka, izmjena, neovlaštenog otkrivanja ili pristupa. Osobni podaci obrađuju se uz poštovanje sigurnosti i povjerljivosti osobnih podataka kroz sprečavanje neovlaštenog pistupa osobnim podacima i opremi kojom se Društvo koristi pri obradi podataka ili njihove neovlaštene upotrebe. Članak 26. Ovlaštene osobe za obradu osobnih podataka u Društvu iz članka 10. ovog Pravilnika, odgovorne su za zaštitu osobnih podataka ispitanika od slučajnog ili nezakonitog uništenja, gubitka, izmjena, neovlaštenog otkrivanja ili pristupa. Povreda odredbe prethodnog stavka kao i povreda odredbi Opće uredbe predstavlja povredu obveze iz radnog odnosa radi koje se odgovornim osobama iz prethodnog stavka može otkazati ugovor o radu. U svrhu osiguranja postupanja sukladno odredbama prethodnih stavaka, osobe navedene u stavku 1. ovog članka, podnose, na za to predviđenom obrascu, izjavu o povjerljivosti u Službi za opće i pravne poslove, koja izjava se odlaže u personalni dosje radnika u Službi za opće i pravne poslove. Uprava može zatražiti i od drugih osoba zaposlenih u Društvu podnošenje izjave o povjerljivosti, a sve u cilju osiguranja pridržavanja odredbi Opće uredbe. I svi drugi radnici u Društvu koji tijekom radnog odnosa, u obavljanju poslova svog radnog mjesta, izravnim ili neizravnim putem saznaju za osobne podatke nekog ispitanika, dužni su ih čuvati kao strogu tajnu i ne smiju ih na bilo koji način prenijeti trećim (neovlaštenim) osobama. Ugovorom o obradi osobnih podataka sklopljenim s izvršiteljima obrade osigurava se Društvu podnošenje izjave o povjerljivosti od strane nadležnih osoba izvršitelja obrade. Članak 27. Kao jedna od mjeri zaštite osobnih podataka osigurano je da je ulazak u sjedište Društva fizički zaštićen zaposlenicima zaštitarske službe. Članak 28. Osobni podaci ispitanika u pisanom obliku čuvaju se u omotima spisa odnosno u registratorima koji se odlažu u zaključane ormare ili se odlažu u prostorije koje se zaključavaju. Postupanje iz prethodnog stavka primjenjuje se tijekom radnog vremena, uslijed privremenog napuštanja radnog mjesta te po završetku radnog vremena. Pod istim uvjetima mora se osigurati da u radnim prostorijama ne budu izloženi te dostupni neovlaštenim osobama dokumenti koji sadrže osobne podatke (npr. ostavljanjem pisanog dokumenta na radnom stolu prilikom napuštanja kancelarije i sl.). Ispis dokumenata koji sadrže osobne podatke ispitanika mora se svesti na najmanju moguću mjeru, a isti dokumenti se po prestanku svrhe ili pravne osnove za njihovu pohranu uništavaju. Ovlaštene osobe za obradu osobnih podataka u Društvu dužne su zaključavati zaslon kad završe s upotrebom svog računala (tijekom radnog vremena) ili isključiti svoje računalo (tijekom i po završetku radnog vremena). Članak 29. Osobni podaci ispitanika u računalu zaštićuju se dodjeljivanjem lozinke za ulaz u računalo, koja je poznata samo ovlaštenoj osobi za obradu osobnih podataka u Društvu, a pohranjena u servisu „Active directory“ pod enkripcijom. Daljnja zaštita osigurana je dodjeljivanjem lozinke za ulaz u sustav programa ERP, a koja je također poznata samo ovlaštenoj osobi za obradu osobnih podataka u Društvu. Lozinka za elektroničku poštu čuva se u programu zaštićenom enkripcijom te lozinkom za ulazak u taj program. Pristup osobnim podacima u računalnom sustavu bilježi se putem logova. Osobni podaci ispitanika se preslikavaju radi stvaranja sigurnosnih kopija („back up“). Računalna oprema na kojoj se pohranjuju podaci („serveri“) nalazi se u ormaru pod ključem (koji se odlaže u prostoriju pod ključem) te je onemogućen pristup neovlaštenim osobama. „Off site“ poslužitelj za sigurnosne kopije nalazi se u zaključanoj prostoriji. Svi poslužitelji („serveri“) i računala u Društvu međusobno su povezana u lokalnoj mreži koja je zaštićena od vanjske mreže (Internet) s „vatrozidom“ („firewall“) te su zaštićeni i sigur-nosnim rješenjem („endpoint security“). Članak 30. Na sve vezano uz obradu osobnih podataka ispitanika u Društvu, a što nije regulirano ovim Pravilnikom, primjenjuju se odredbe Opće uredbe te odredbe drugih mjerodavnih propisa. Društvo će pojedine obrade osobnih podataka regulirati zasebnim pravilnicima (npr. Pravilnik o korištenju sustava video nadzora i dr). Članak 31. Ovaj Pravilnik se objavljuje na način propisan Pravilnikom o načinu objave pravilnika o radu. Zbog dislociranosti radnih jedinica Društva, a temeljem odredbi Pravilnika o načinu objave pravilnika o radu svaki radnik ima pravo uvida u ovaj Pravilnik kod svojeg upravitelja, odnosno rukovoditelja ili voditelja službe radnim danom od 08,00 do 12,00 sati ili u Službi za opće i pravne poslove od 08,00 do 14,00 sati. Osim gore navedenog, Pravilnik se sukladno članku 8. objavljuje i na internetskim stranicama Društva, a sve s ciljem informiranja ispitanika čiji se osobni podaci obrađuju. Članak 32. Izmjene i dopune ovoga Pravilnika donose se na način propisan Zakonom o radu za donošenje pravilnika o radu. Članak 33. Ovaj Pravilnik se dostavlja upraviteljima RJ, rukovoditeljima i voditeljima službi i sindikal-nom povjereniku. Svakome radniku upravitelj RJ, rukovoditelj ili voditelj službe, sindikalni povjerenik i referent općih poslova moraju na njegov zahtjev omogućiti uvid u ovaj Pravilnik. Članak 34. Ovaj Pravilnik stupa na snagu i primjenjuje se od 25. svibnja 2018. godine Član uprave: Branko Grašić, dipl.iur. Ovaj Pravilnik objavljen je, dana 23. svibnja 2018 . godine, na oglasnim pločama Društva i radnih jedinica.