http___metss.hr_izjava-o-privatnosti__1.xml
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 14.2 15.1 16.1 17.1 18.1 18.2 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 33.2 33.3 34.1 35.1 35.2 35.3 36.1 37.1 37.2 37.3 38.1 38.2 39.1 40.1 41.1 41.2 41.3 42.1 43.1 44.1 45.1 45.2 45.3 46.1 47.1 47.2 47.3 48.1 49.1 49.2 49.3 50.1 51.1 52.1 53.1 53.2 54.1 55.1 56.1 57.1 58.1 58.2 59.1 60.1 61.1 62.1 63.1 64.1 65.1 66.1 67.1 67.2 68.1 69.1 70.1 71.1 71.2 71.3 72.1 73.1 73.2 73.3 74.1 75.1 76.1 77.1 78.1 78.2 78.3 78.4 79.1 80.1 81.1 82.1 82.2 83.1 83.2 84.1 85.1 85.2 85.3 85.4 85.5 86.1 87.1 88.1 88.2 88.3 88.4 88.5 89.1 90.1 90.2 91.1 92.1 93.1 94.1 94.2 94.3 95.1 96.1 97.1
Privacy Policy of CAT EYE SYNDROME INTERNATIONAL Onlus Premise Cat Eye Syndrome International Onlus (hereinafter also “Cat Eye Syndrome International” or “CESI onlus”) is aware of the importance of safeguarding privacy and the rights of people and because the Internet is a potentially powerful tool for the circulation of your data personal, wanted to seriously engage in complying with rules of conduct – in line with European Regulation 679/2016 of the European Parliament and of the Council, of 27 April 2016, concerning the protection of natural persons with regard to the processing of personal data, as well as to the free circulation of such data (hereinafter “GDPR”) – which guarantee a safe, controlled and reserved web navigation. This policy of protecting the confidentiality of information may change over time, also depending on the integrations and legislative and regulatory changes on the subject or for our institutional decisions, therefore, we invite you to periodically consult this section of our site. Thank you, therefore, for seeing the rules that our organization has imposed on us in collecting and processing personal data and always providing a satisfactory service to the users of our sites. Basic principles of the privacy policy of CESI onlus carry out the processing (article 4, paragraph 2, GDPR: “any operation or set of operations, carried out with or without the aid of automated processes and applied to personal data or sets of personal data, such as collection, registration, or ‘organization, structuring, conservation, adaptation or modification, extraction, consultation, use, communication by transmission, dissemination or any other form of provision, comparison or interconnection, the limitation, cancellation or destruction “) of personal data (art. 4, paragraph 1, GDPR:” any information concerning an identified or identifiable natural person (“interested”); the natural person who can be identified can be directly identified or indirectly, with particular reference to an identifier such as the name, an identification number, location data, an online identifier or one or more elements characteristic of his physical, physiological, genetic, mental, economic, cultural or social identity “) exclusively for the purposes and according to the methods illustrated in the information to be provided which are presented to the user from time to time who accesses a section of the site in the which is expected to provide, directly or indirectly, personal data; - use the data that was spontaneously released by the user; - use technical cookies to facilitate site navigation and analytical cookies for statistical purposes; - use profiling cookies only if the user has consented to such use; - transmit the data to third parties (data processors – Article 4, paragraph 8, GDPR: “Article 4, paragraph 8, GDPR:” the natural or legal person, public authority, service or other body that processes data personal data on behalf of the data controller “) exclusively for instrumental purposes to those expressly requested and carefully selected by us; - communicate the data to third parties for activities related to what is of interest or if this is imposed by law, regulation or legislation; - if applicable and subject to explicit consent (art. 4, paragraph 11, GDPR: “any manifestation of free, specific, informed and unequivocal will of the interested party, with which he expresses his consent, by unequivocal declaration or positive action, that the personal data concerning him are subject to processing “), communicate the data to third parties for their independent processing; - respond to requests for access to personal data, rectification or cancellation of the same, of exercising the right to oblivion, limitation of treatment or the right to oppose their treatment. Ensure the exercise of the right to data portability as well as oppose the processing of data for informational communication purposes on our projects and requests for economic contributions in support of our institutional activities, surveys and research, make known the possibility of making a complaint to the supervisory authority; - ensure a correct and lawful processing of your data, safeguarding your confidentiality, as well as applying appropriate security measures to protect the confidentiality, integrity and availability of the data. - Purposes of data processing and processing methods – legal basis of processing – data collection criteria Purpose of data processing As better explained in the sections that allow you to adhere – by releasing your personal data – to the services reserved to the users of our site, the requested data is used to respond to requests expressly made by the user. In particular, all data collection and subsequent processing activities are aimed at pursuing the institutional aims of CESI onlus and, in particular for: - regular and one-off donations, performed in various ways (credit card, bank direct debit, PayPal or other); - request for collaboration with CESI onlus; - signing of petitions, initiatives or specific projects and activities of CESI onlus; - information on testamentary legacies; - to know how to donate the 5xmille to CESI onlus in the context of its own tax return and to make use of the related tax deductions; - request for information; - direct the user to our social channels; - comply with laws, regulations and legislation; - send promotional, advertising material about our mission and awareness actions / projects, carry out surveys and research; As reported in the list above, personal data may be processed for purposes other than those for which the user has issued them. In any case, CESI onlus will not use the data provided for purposes other than those connected to the service to which the user has subscribed, and, in any case, only within the limits indicated from time to time in the information to be provided pursuant to art. Data processing methods All processing operations performed on this site will be carried out using both paper and electronic or telematic tools, with logic related to the purposes for which the data was collected and in compliance with the applicable safety standards, for the purposes specified by time in time in the information to be provided pursuant to art. Data collection criteria The forms to be filled out – online or to be downloaded – include both data that are strictly necessary to adhere to what is of interest and whose non-indication does not allow the request to be executed, and optional conferment data. Therefore, the user is free to provide personal data contained in the application forms or indicated in contacts with CESI onlus non-profit organization to request information or for other purposes first listed. In these cases of mandatory data provision, their absence may make it impossible to obtain what is requested. Criteria used to define the limit of data retention The data will be kept in our archives (Article 4, paragraph 6, GDPR: “any structured set of personal data accessible according to specific criteria, regardless of whether this set is centralized, decentralized or distributed in a functional or geographical manner”) according to criteria variable according to the data category, the nature of the processing and the purposes of the processing itself. The precise conservation criteria or limit are described in the information to be provided pursuant to art. 13, GDPR when providing personal data. In principle, the following evaluation by CESI onlus is valid to establish the data retention criterion: all the data with respect to the various forms of donation are kept as long as the relationship remains active and for a number of years equal to that which laws, regulations, even community ones, impose for administrative and accounting purposes. Furthermore, they will be kept for the time strictly necessary to pursue the legitimate interest of CESI onlus non-profit organization in the case of enforcing or defending a right in a court of law or otherwise ordered by law enforcement, judiciary and control bodies for their institutional activities. For administrative and accounting purposes, the data will be kept for no. 10 (ten) years. After the above periods have elapsed, the identification data are transformed into anonymous form and used only for statistical reports that do not allow to trace the identity of the person but which are useful for adapting the projects, initiatives and actions for the realization and achievement of the statutory and institutional objectives of CESI onlus. Personal data (personal identification data) will therefore be destroyed. For purposes related to the provision of the service to which the user has adhered, the data could be made available to third parties, which will act as autonomous data controllers, and which provide instrumental services to satisfy the user’s request (for example, credit institutions or credit card issuers to manage donation payments) or to whom the communication of data is necessary to comply with laws or regulations. Place of data processing The processing operations connected to the web services of this site take place at the aforementioned CESI onlus headquarters and are handled by authorized technical personnel. In case of need, the connected data can be processed by the personnel of third-party companies that take care of the maintenance of the technological part of the site (data controller in accordance with art. 28, GDPR), at its offices. Data controller Cat Eye Syndrome International Onlus – with registered office in Via Molteni 149, 00125 Rome (RM) – is the data controller (Article 4, paragraph 7, GDPR: “the natural or legal person, the public authority, the service or other body that, individually or together with others, determines the purposes and means of processing personal data of personal data “), pursuant to and for the purposes of the GDPR, since it decides how and for what reasons, communicated in the information to provide to the interested parties, collect and use the personal data provided by the user, as well as with which tools to treat them and which security procedures to activate to guarantee the integrity, confidentiality and availability, subjecting to the obligations and responsibilities provided by the art. Data Protection Officer The Data Protection Officer is the person that CESI onlus involves in many questions regarding the protection of personal data and that supports CESI onlus in controlling, where required, how to treat and protect data. It is also the point of contact for interested parties who want to know details about the processing of their data. The Data Protection Officer of CESI onlus can be contacted at dpo@cateyesyndrome.info Data processors and authorized persons for treatment If deemed necessary, your personal data may be processed, either manually or electronically or telematically, either directly by CESI onlus or by third parties who, having experience, technical skills, professionalism and reliability, carry out processing operations on our behalf, in respect of the security and confidentiality of the information and constantly monitored by us in their work. The controller is “the natural or legal person, public authority, service or other body that processes personal data on behalf of the data controller” (Article 4, paragraph 8, GDPR) will be bound by CESI onlus contractually, with definition of the operational limits on the data, of the data that can be processed and of the categories of data subjects to which they refer, of the nature and purpose of the processing, of the limits of data storage, of the obligations and rights that SI has towards the manager , and with the prohibition of using them differently from the assignment. It may, if authorized, formally, generally or specifically, by CESI onlus, make use of other managers, who are contractually bound by the initial manager directly appointed by CESI onlus: the violations committed by these other managers fall under the responsibility of the initial manager and not of CESI onlus. The complete and up-to-date list of data processors (and, if applicable, the managers appointed by the initial manager, subject to our authorization) can be requested at privacy@cateyesyndrome.info (alternatively, by writing to Cat Eye Syndrome International Onlus ℅ Sylvie Renault – Via Molteni 149, 00125 Rome (RM). The personal data collected will be made available to persons authorized by CESI onlus pursuant to art. 29, GDPR that carry out indispensable processing activities for the pursuit of the purposes indicated above; the categories of persons authorized to treat are, from time to time, specified in the information to be provided pursuant to art. In general, these are the persons in charge of providing specific services, administration, management of information services, relations with actual and potential donors, organizers of information campaigns on our actions or projects. Third parties to whom your data is communicated For purposes related to the provision of the service to which the user has adhered, the data could be made available to third parties, which will act as autonomous data controllers, and which provide instrumental services to satisfy the user’s request (for example, credit institutions or credit card issuers to manage donations) or to whom the communication of data is necessary to comply with laws or regulations. Your data may also be made available to control bodies, police forces and the judiciary by virtue of laws and regulations that provide for their communication and for carrying out their institutional activities. Furthermore, the data may be disclosed to third-party non-profit organizations, project partner companies, organizations, for autonomous use (as independent data controllers) for their institutional purposes: this “communication” will only take place if the interested party has expressed your explicit consent. The dissemination of the data, subject to the explicit consent of the user, could be consequent to the type of service or initiative to which the user has adhered (eg: list of the subscribers of an online petition). Transfer of personal data to third countries The eventual transfer of personal data to third countries (outside the EU), for instrumental treatments for the management of the user’s action or adhesion or for reasons of data processing optimization, will take place by adopting the contractual clauses prescribed by the decision 05/02 / 2010 of the European Commission, as a mechanism allowed by law as an alternative to the explicit consent of the interested party, as well as in order to provide appropriate and appropriate guarantees pursuant to articles 46 or 47 or 49 of the GDPR. Other third parties that work with Cat Eye Syndrome International CESI onlus, in the context of its own activities of awareness raising and presentation of its mission, as well as to improve the services rendered to people who have relationships with CESI onlus or in any case interested and close to the institutional principles of CESI onlus, can turn to third-party services that they collaborate with and receive information and data from CESI onlus held in their own archives. Here it is clarified that these transmissions of information and data always take place in an anonymous way or with “pseudonymisation” techniques (art. 4, paragraph 5, GDPR (“the processing of personal data so that personal data can no longer be attributed to a specific interested party without the use of additional information, provided that such additional information is stored separately and subject to technical and organizational measures intended to ensure that such personal data is not attributed to an identified or identifiable natural person “). anonymized data are treated, by way of example and not limited to: Facebook (privacy policy at https://it-it.facebook.com/policy.php) Mailchimp (privacy policy at https://mailchimp.com/legal/privacy/) Twitter (privacy policy at https://twitter.com/it/privacy) Rights of data subjects with respect to the data concerning them You can exercise, at any time, at privacy@cateyesyndrome.info (alternatively, by writing to Cat Eye Syndrome International Onlus ylv Sylvie Renault – Via Molteni 149, 00125 Rome (RM)) the rights ex artt.15- 22, GDPR below: Right of access (article 15, GDPR) The person has the right to request if his personal data is being processed and, therefore, has the right to access the information concerning him and to have news on: purpose of the processing (eg: management of a donation); categories of personal data; (ex .: personal data, behavioral data); recipients or categories of recipients to whom personal data have been or will be communicated, in particular if they are recipients of third countries or international organizations; when possible, the period of storage of personal data provided or, if this is not possible, the criteria used to determine this period; existence of the right to request the rectification or cancellation of personal data or the limitation of the processing of personal data or to oppose their processing; right to lodge a complaint with a supervisory authority; if the data is not collected directly by the person, all the information available on their origin; Right of rectification (Article 16, GDPR) The person has the right to obtain the rectification of inaccurate personal data concerning him without undue delay. Taking into account the purposes of the processing, the person has the right to obtain the integration of incomplete personal data, even providing a supplementary declaration. Right to cancellation (“right to oblivion” – “right to be forgotten”) (article 17, GDPR) The person has the right to obtain the deletion of the personal data concerning him and he has the obligation to delete personal data without unjustified delay, for one of the following reasons: personal data are no longer necessary with respect to the purposes for which they were collected or otherwise processed; the consent on which the treatment is based is revoked and if there is no other legal basis for the processing (eg .: own legitimate interest, regulatory or contractual obligations); we oppose the processing for marketing and profiling purposes and there is no legitimate prevailing reason to proceed with the treatment; personal data have been processed illegally; personal data must be deleted in order to fulfill a legal obligation under the law of the Union or of the Member State to which one is subject. Right to limitation of treatment (article 18, GDPR) The person has the right to obtain the limitation of the processing of his personal data when one of the following reasons exists: the person disputes the accuracy of personal data; the processing is unlawful and the person opposes the deletion of personal data and instead requests that its use be limited; (eg: does not intend that the processing is carried out for marketing purposes but only for management and administrative purposes) although data are no longer needed for the purposes of processing, personal data is necessary for the person to ascertain, exercise or defend a right in court; the person has opposed the treatment if the treatment is based on their own legitimate interests, pending verification regarding the possible prevalence of their legitimate reasons with respect to those of the person. Obligation to notify in the event of rectification or cancellation of personal data or limitation of processing (article 19, GDPR) The person has the right to request that the correction or deletion of the data or limitation of the processing be communicated by CESI onlus to other subjects to whom the data may have been communicated. CESI onlus may not comply with the request, if the means to be used are disproportionate with respect to the right to privacy invoked by the person. Right to data portability (“data portability”) (article 20, GDPR) This right allows the person to receive in a structured format, commonly used and readable by automatic device, the personal data concerning him provided to a subject who submits his data to treatment and has the right to want to transmit such data to a subject for use of the latter without impediments on the part of the person to whom it was supplied. This right can be exercised in the following cases: the treatment is based on the consent or on a contract or on pre-contractual measures requested by the same person and, at the same time the processing is carried out by automated means. The person has the right to obtain that his data is transferred directly from one person to another (from the one to whom he gave them to the one he wants to be transmitted to), if technically possible. Opposition right (Article 21, GDPR) The person has the right to object to the processing of his / her data for the pursuit of the legitimate interest of CESI onlus or third parties, provided that the interests or the fundamental rights and freedoms of the person that require the protection of personal data do not prevail, even to profiling purposes. If personal data are processed for marketing purposes, the person has the right to object at any time to the processing of personal data concerning them for such purposes, including profiling to the extent that it is connected to such marketing activity. Automated decision-making related to individuals, including profiling (Article 22, GDPR) The person has the right not to be subjected to a decision based solely on automated processing, including profiling, which produces legal effects that concern him or that significantly affects his person. In particular, it has the right to oppose the profiling to which it is subjected through automated processes. This right cannot be exercised if the decision: it is necessary for the conclusion or execution of a contract; is authorized by the law of the Union or of the Member State to which one is subject, which also specifies appropriate measures to protect the rights, freedoms and legitimate interests of the person; is based on explicit consent. The person has the right to express his opinion and to challenge the decision of CESI Onlus. Complaint to the supervisory authorities You can contact the supervisory authority that for Italy is the Guarantor for the Protection of Personal Data according to the methods indicated on the website of the Guarantor for the Protection of Personal Data accessible at: www.garanteprivacy.it. What are cookies and how they are used by Cat Eye Syndrome International Cookies are information stored on the hard disk of your PC and are sent from your browser to a Web server and refer to your use of the network. As a result, they allow to know the services, the sites visited and the options that, surfing the net, have been manifested. This information is therefore not provided spontaneously and directly, but leaves a trace. The data collected through the cookies will be used for technical needs, in order to guarantee an easier, immediate and rapid access to the site and its services and an easy navigation to the individual user. Profiling cookies may also be used, subject to the user’s consent, to create user profiles based on the sections of the site or the actions performed by the user on this site or by surfing the net. The use of c.d. session cookies (which are not stored permanently on the user’s computer and are automatically deleted when the browser is closed) is strictly limited to the transmission of session identifiers (consisting of random numbers generated by the server) necessary to allow the safe and efficient site exploration. I c.d. Session cookies that are used on this site avoid the use of other IT techniques that are potentially prejudicial to the privacy of users’ browsing and do not allow the acquisition of personal identification data of the user. Vice versa, profiling cookies allow users to know how to browse the web and detect their interests, expressed needs and preferences and then allow them to create advertising campaigns or create profiles to better target promotional and institutional communications in a personalized way and awareness. In any case, you can configure the browser so that you are notified when a cookie is received and then decide whether to accept it. To learn about our policy on cookies and third-party cookies policies, we invite you to read the relevant extended information available on the site. Navigation data The computer systems and software procedures used to operate this site acquire, during their normal operation, some personal data whose transmission is implicit in the use of Internet communication protocols. This information is not collected to be associated with identified users, but by their very nature could, through processing and association with data held by third parties, allow identification of the users themselves. This category of data includes the IP addresses or domain names of the computers used by users connecting to the site, the URI (Uniform Resource Identifier) addresses of the requested resources, the time of the request, the method used to submit the request to the server, the size of the file obtained in response, the numeric code indicating the status of the response given by the server (successful, error or similar) and other parameters relating to the operating system and the user’s computer environment. These data are only used to obtain anonymous statistical information on the use of the site and to check its correct functioning and are deleted immediately after processing. The data could be used to ascertain responsibility in case of hypothetical computer crimes against the site. The security of your personal data CESI onlus adopts suitable and preventive security measures designed to safeguard the confidentiality, integrity, completeness and availability of your personal data. As established by the regulatory provisions governing the security of personal data, technical, logistical and organizational measures are developed which aim to prevent damage, even accidental losses, alterations, improper and unauthorized use of the data concerning you. Similar preventive safety measures are adopted by third parties (data processors) which CESI onlus has entrusted with processing operations of your data for its own account. On the other hand, CESI onlus does not hold itself responsible for the untruthful information sent directly by the user (example: correctness of the e-mail address or postal address or other personal data), as well as information concerning him and which are been provided by a third party, even fraudulently. Credit card and financial information necessary for the donation In the case of a donation made by credit card, CESI onlus guarantees maximum confidentiality and security. The financial information of the credit card (number, expiration, general information of the holder) may be known exclusively by the issuing institution. CESI onlus will have knowledge only of a code (“token”) that has no possibility of tracing back to the identity of the credit card holder or to the credit card details. Similarly, the same criteria of confidentiality and confidentiality will be maintained in the event of a donation made by bank transfer, for which only a “causal code” is requested when making the transfer. If the donation is made through PayPal, you will be redirected to the PayPal site and, therefore, the criteria of confidentiality and security compete exclusively with PayPal, excluding any liability on the part of CESI onlus. In general, finally, CESI onlus does not assume any responsibility with regard to unauthorized or fraudulent use by third parties of information pertaining to the instruments used for the transaction connected to the donation.
1.1 1.2 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 9.3 10.1 11.1 12.1 12.2 12.3 13.1 14.1 15.1 16.1 17.1 17.2 17.3 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 29.2 30.1 30.2 31.1 32.1 32.2 32.3 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 47.2 48.1 49.1 50.1 51.1 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 63.1 64.1 65.1 66.1 67.1 67.2 68.1 69.1 69.2 70.1 71.1 72.1 73.1 74.1 75.1 76.1 77.1 78.1 79.1 80.1 81.1 82.1 83.1 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 96.1 97.1 97.2 98.1 98.2 98.3 99.1 99.2 99.3 100.1 100.2 101.1 102.1 102.2 103.1 103.2 103.3 103.4 104.1 105.1 106.1 107.1 108.1 108.2 109.1 110.1 111.1 112.1 113.1 114.1 114.2 115.1 116.1 117.1 118.1 119.1 119.2 119.3 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 134.2 135.1 136.1 137.1 137.2 137.3 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 159.1 160.1 161.1 161.2 162.1 162.2 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 175.1 176.1 177.1 178.1 179.1 180.1 181.1 182.1 183.1 184.1 184.2 185.1 186.1 187.1 188.1 189.1 190.1 191.1 191.2 192.1 193.1 194.1 195.1 195.2 196.1 197.1 198.1 199.1 199.2 200.1 201.1 202.1 202.2 202.3 203.1 204.1 205.1 206.1 207.1 208.1 209.1 210.1 211.1 212.1 213.1 214.1 215.1 216.1
Na temelju odredbi Uredbe (EU) 2016/679 Europskog parlamenta i vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) te Zakona o radu, Uprava METSS d.o.o. donijela je, nakon dobivene prethodne suglasnosti sindikalnog povjerenika (predsjednik Nezavisnog sindikata radnika METSS d.o.o. Čakovec), dana 23. svibnja 2018. godine, sljedeći Pravilnik o postupanju s osobnim podacima Članak 1. METSS d.o.o. kao obveznik primjene Uredbe (EU) 2016/679 Europskog parlamenta i vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka (u daljnjem tekstu: Opća uredba)), ovim Pravilnikom reguliraju zaštitu pojedinaca (fizičkih osoba) u vezi s obradom njihovih osobnih podataka u samom društvu. Primjenu odredbi ovog Pravilnika, odredbi Opće uredbe kao i odredbi drugih mjerodavnih propisa koji reguliraju zaštitu pojedinaca vezano uz obradu njihovih osobnih podataka, u METSS d.o.o. dužni su osigurati te za isto snose odgovornost upravitelji radnih jedinica (svaki za svoju radnu jedinicu) te rukovoditelji i voditelji službi (svaki za svoju službu). Ovim se Pravilnikom ne obuhvaća obrada osobnih podataka koji se tiču pravnih osoba, a osobito poduzetnika koji su ustanovljeni kao pravne osobe, uključujući ime i oblik pravne osobe i kontaktne podatke pravne osobe. Članak 2. U skladu sa Općom uredbom pojedini izrazi u ovom Pravilniku imaju sljedeće značenje: • Osobni podatak – svaki podatak koji se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi. Osobni podatak je npr. ime i prezime, OIB i drugi podaci pod kojima je pojedinac registriran, adresa, mrežni identifikatori (IP adresa, identifikator kolačića i sl.) i drugi podaci svojstveni za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet pojedinca. Osobnim podacima smatraju se i podaci o plaći, bankovni račun, porezna prijava, broj putovnice ili broj osobne iskaznice i dr.; • Obrada osobnih podataka – svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima (npr. bilježenje, prikupljanje, organizacija, struktu-riranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje); • Sustav pohrane - svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi (npr. dosadašnje zbirke osobnih podataka); • Voditelj obrade – fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka. U smislu odredbi ovog Pravilnika voditeljem obrade smatraju se METSS d.o.o. (u daljnjem tekstu: Društvo); • Izvršitelj obrade – onaj tko obrađuje podatke u ime Društva (fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo); • Primatelj – fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci (neovisno o tome je li on treća strana); • Treća strana – fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, Društvo, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izvravnom nadležnošću Društva ili izvršitelja obrade; • Ispitanik – pojedinac (fizička osoba) čiji je identitet utvrđen ili se može utvrditi; • Identitet pojedinca – istovjetnost pojedinca koja ga, na osnovi oznaka koje ga karakteriziraju (dob, spol, rasa), izdvaja od ostalih pojedinaca. Identitet se najčešće utvrđuje uvidom u javne isprave, ali se može obaviti i na drugi način. Npr. oznaka fizičke osobe je ime i prezime, a njezin se identitet utvrđuje npr. uvidom u osobnu iskaznicu ili putovnicu; • Privola – svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želje ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka; • Povreda osobnih podataka – kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. Članak 3. Osobne podatke ispitanika Društvo obrađuje pridržavajući se sljedećih osnovnih načela obrade osobnih podataka predviđenih Općom uredbom: • Zakonitost, poštenost i transparentnost; • Ograničavanje svrhe; • Smanjenje količine podataka; • Točnost; • Ograničenje pohrane; • Cjelovitost i povjerljivost; • Pouzdanost. Osobne podatke ispitanika Društvo obrađuje zakonito, pošteno i transparentno. Obrađuju se samo primjereni i relevantni osobni podaci i to isključivo u posebne, izričite i zakonite svrhe te se dalje ne obrađuju na način koji nije u skladu s tim svrhama. Osobne podatke koje Društvo obrađuje su točni te se po potrebi ažuriraju. Osobni podaci koji nisu točni bez odlaganja se brišu ili ispravljaju. Društvo osobne podatke obrađuje isključivo na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih i organizacijskih mjera. Društvo osobne podatke čuva samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju. Iznimno, osobni podaci mogu se pohraniti i na dulja razdoblja, ali samo ako će se isti obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe. Radi osiguravanja da se osobni podaci ne drže duže nego što je nužno, Društvo periodično vrši provjeru daljnje potrebe pohrane tih podataka obzirom na samu svrhu njihove obrade, a radi poduzimanja od-govarajućih mjera (npr. brisanje osobnih podataka ako nema zakonske prepreke). Članak 4. Društvo osobne podatke obrađuje samo i u onoj mjeri u kojoj je ispunjen jedan od sljedećih uvjeta: − da je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha, − da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, − da je obrada nužna radi poštovanja pravnih obveza Društva, − da je obrada nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe, − da je obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti Društva, − da je obrada nužna za potrebe legitimnih interesa Društva ili treće strane, osim u slučaju kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete. Članak 5. Ako Društvo vrši obradu osobnih podataka za koju je potrebna privola ispitanika, ista privola se može dati na, za to predviđenom, obrascu „Privola za obradu osobnih podataka“ u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste), a koji obrazac ispitanik potpisuje. Obrazac privole iz prethodnog stavka sastavljen je na način da osigurava primjenu odredbi Opće uredbe vezanih uz reguliranje davanja privole, a pisani oblik služi u svrhu dokazivanja da je ispitanik dao privolu za obradu svojih osobnih podataka. Osim navedenog obrasca privolom kao i dokazom davanja iste smatrat će se i svaka izjava ili potvrdna radnja u pisanom ili u elektroničkom obliku dana Društvu od strane ispitanika, a koja po svom sadržaju predstavlja jasno ispitanikovo izražavanje dobrovoljnog, posebnog, informiranog i nedvosmislenog pristanka na obradu osobnih podataka koji se odnose na njega. Društvo vrši obradu osobnih podataka i na temelju usmene privole (izjave) ispitanika, ali pod uvjetom da Društvo može dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka u tom obliku. Privola kojom ispitanik Društvu daje pristanak za obradu osobnih podataka koji se na njega odnose mora biti dobrovoljna. Ispitanik ima pravo u svakom trenutku povući svoju privolu, a povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja. O predmetnom se ispitanik obavješćuje prije davanja privole. Povlačenje privole se može dati na, za to predviđenom, obrascu „Povlačenje privole“ u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste), a koji obrazac ispitanik potpisuje. Ako se radi o obradi osobnih podataka maloljetne osobe, privolu te povlačenje privole sukladno prethodnim stavcima ili sukladno odredbama Opće uredbe, daje ili odobrava nositelj roditeljske odgovornosti nad tom osobom (roditelj ili zakonski skrbnik). Ispitanik ima pravo uskratiti davanje privole. Članak 6. Društvo ne vrši obradu posebno osjetljivih podataka kao što su: • Rasno ili etničko podrijetlo; • Političko mišljenje; • Vjersko ili filozofsko uvjerenje; • Genetski podaci; • Biometrijski podaci (radi jedinstvene identifikacije pojedinca); • Spolni život ili seksualna orijentacija pojedinca. Društvo vrši obradu podataka o članstvu u sindikatu isključivo na temelju dane izričite privole ispitanika za obradu tih osobnih podataka. Društvo vrši obradu podataka o zdravlju ispitanika, koja obrada je nužna za potrebe izvršavanja obveza i ostvarivanja posebnih prava Društva ili ispitanika, i to na temelju Zakona o obveznom zdravstvenom osiguranju, Zakona o radu, Zakona o zaštiti na radu, Zakona o profesionalnoj rehabilitaciji i zapošljavanju osoba s invaliditetom, Zakona o hrani, Zakona o zaštiti pučanstva od zaraznih bolesti, kao i drugih mjerodavnih propisa iz područja radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti iz nadležnosti Europske unije ili Republike Hrvatske. Pod podacima koji se odnose na zdravlje, kako je to navedeno u prethodnom stavku, podrazumijevaju se osobni podaci povezani s fizičkim ili mentalnim zdravljem ispitanika. U slučaju obrade odnosno ukazane potrebe obrade posebno osjetljivih podataka u Društvu, takva obrada se može temeljiti isključivo na osnovama predviđenim Općom uredbom. Članak 7. Privole dobivene po prethodnim člancima ove glave Pravilnika odlažu se u personalne dosjee ispitanika u Službi za opće i pravne poslove. Članak 8. U postupku obrade osobnih podataka Društvo ispitaniku pruža sve informacije vezano uz obradu njegovih osobnih podataka, a osobito o svrsi obrade podataka, pravnoj osnovi za obradu podataka, legitimnim interesima Društva, namjeri predaje osobnih podataka trećim osobama, razdoblju u kojem će osobni podaci biti pohranjeni, o postojanju prava ispitanika na pristup osobnim podacima te na ispravak ili brisanje osobnih podataka i ograničavanje obrade, pravu na ulaganje prigovora kao i o svim drugim informacijama predviđenim za ispitanika sukladno odredbama Opće uredbe. Informacije iz prethodnog stavka pružaju se ispitaniku objavom ovog Pravilnika te njegovih izmjena i dopuna na oglasnim pločama Društva i radnih jedinica te neposrednim uručenjem istih akata (u pisanom ili elektroničkom obliku) ispitaniku na njegov zahtjev, kao i objavom na internetskim stranicama Društva. Predmetne informacije mogu se ispitaniku pružati i izravno usmenim putem, ako to zatraži ispitanik, i to u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste). Članak 9. U slučaju da se osobni podaci prikupljaju od ispitanika, Društvo će ispitaniku u trenutku prikupljanja osobnih podataka pružiti informacije navedene u prethodnom članku ovog Pravilnika. Takve informacije će ispitaniku Društvo dati i u slučaju da osobni podaci nisu dobiveni neposredno od njega. Primitak informacija iz prethodnog stavka ispitanik potvrđuje potpisom na za to predviđenom obrascu „Izjava o pruženim informacijama“ u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste), a koja se izjava odlaže u personalni dosje radnika u Službi za opće i pravne poslove. U slučaju da Društvo ne dobiva osobne podatke neposredno od ispitanika, informacije iz stavka 1. pružit će se ispitaniku: • odmah po primitku, a najkasnije u roku od mjesec dana od dana dobivanja osobnih podataka, • najkasnije u trenutku prve komunikacije ostvarene s ispitanikom, ako se osobni podaci trebaju upotrebljavati za komunikaciju s tim ispitanikom, • najkasnije u trenutku kada su osobni podaci prvi put otkriveni, ako je predviđeno otkrivanje podataka drugom primatelju. Kod prikupljanja osobnih podataka od ispitanika, istoga se obavještava o tome je li obvezan pružiti osobne podatke te o posljedicama koje mogu proizaći iz toga što takve podatke nije pružio. Članak 10. U okviru Društva, za obradu osobnih podataka ispitanika ovlašteni su Uprava te osobe koje Uprava Društva ovlasti posebnom odluku. Članak 11. Za potrebe ovog Pravilnika, pored pojma iz članka 2. ovog Pravilnika, pod ispitanikom podrazumijeva se osoba koja je zaposlena u Društvu, kao i osoba koja s Društvom ima poslovni odnos izvan radnog odnosa te svaka druga osoba čiji se osobni podaci obrađuju u Društvu po bilo kojoj osnovi. Članak 12. Sukladno Općoj uredbi, Društvo osigurava ispitanicima ostvarenje sljedećih prava: • Pravo na pristup; • Pravo na ispravak; • Pravo na brisanje (pravo na zaborav); • Pravo na ograničenje obrade; • Pravo na prenosivost podataka; • Pravo na prigovor. Članak 13. Društvo će odmah, a najkasnije u roku od mjesec dana od dana zaprimanja zahtjeva ispitanika ili njegovog zakonskog zastupnika ili punomoćnika: - omogućiti ispitaniku pristup njegovim osobnim podacima te ga informirati o svrsi obrade njegovih osobnih podataka, kategorijama njegovih osobnih podataka koji se obrađuju, o primateljima ili kategorijama primatelja kojima su njegovi osobni podaci otkriveni ili će im biti otkriveni, predviđenom razdoblju (odnosno kriterijima za utvrđivanje tog razdoblja) u kojem će osobni podaci biti pohranjeni te u slučaju kada se osobni podaci ne prikupljaju od ispitanika o njihovu izvoru, - informirati ispitanika o njegovom pravu na traženje ispravka ili brisanja osobnih podataka (pravo na zaborav) ili ograničavanja obrade osobnih podataka, pravu na podnošenje pritužbe Agenciji za zaštitu osobnih podataka, - ispraviti netočne osobne podatke ili uzimajući u obzir svrhe obrade dopunit nepotpune osobne podatke (npr. davanjem dodatne izjave) koji se odnose na ispitanika, - provesti brisanje osobnih podataka koji se odnose na ispitanika pod uvjetom da osobni podaci više nisu nužni za svrhu radi koje su prikupljeni ili ako ispitanik povuče privolu (ako se obrada vrši na osnovi privole ispitanika) ili ako su podaci nezakonito obrađeni ili je takva obveza određena pravom Europske unije ili Republike Hrvatske, - ograničiti obradu osobnih podataka ispitanika pod uvjetom da ispitanik osporava točnost osobnih podataka (za razdoblje dok Društvo ne izvrši provjeru točnosti osobnih podataka) ili je obrada nezakonita (ali ispitanik ne traži brisanje nego samo ograničenje uporabe) ili Društvo više ne treba osobne podatke za potrebe obrade (ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva) ili je ispitanik uložio prigovor na obradu, - dostaviti ispitaniku ispis osobnih podataka sadržanih u sustavu pohrane koji se na njega odnose ili iste podatke prenijeti ispitaniku na USB stick ili CD ili poslati elektroničkom poštom, - prestati s obradom osobnih podataka ispitanika koji se obrađuju na osnovi javnog interesa te legitimnog interesa Društva ili treće strane, osim u slučaju kad postoje opravdani razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili u slučaju postavljanja, ostvarivanja ili obrane pravnih zahtjeva. U slučaju iz alineje 1. prethodnog stavka (pravo na pristup) Društvo predaje ispitaniku presliku njegovih osobnih podataka koji se obrađuju, bez naplate troškova za prvu presliku (za svaku daljnju presliku zaračunat će se naknada sukladno članku 15. ovog Pravilnika). Preslika se podiže u Službi za opće i pravne poslove, kod upravitelja radne jedinice, rukovoditelja ili voditelja službe (i osoba koje isti ovlaste). Ispitanik ima pravo, u slučaju iz alineje 4. stavka 1. (pravo na brisanje – pravo na zaborav), zahtijevati brisanje svog osobnog podatka (zabilježenog posredno ili neposredno) s interneta ili brisanje svih poveznica s osobnim podacima, preslike ili rekonstrukcije tih osobnih podataka. Pravo na brisanje ograničeno je ako je obrada osobnih podataka ispitanika nužna radi ostvarivanja propisanih obveza Društva ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva. Kod ograničenja obrade, u slučaju iz alineje 5. stavka 1., Društvo obradu takvih osobnih podataka smije obavljati samo uz privolu ispitanika (danoj sukladno članku 5. ovog Pravilnika) na kojeg se podaci odnose, osim ako je obrada nužna radi zaštite pravnih interesa trećih ili radi javnog interesa Eurospske unije ili Republike Hrvatske. Ograničene podatke Društvo mora premjestiti u drugi sustav obrade, učiniti ih nedostupnim za korisnike te ih ukloniti s internetskih stranica. U slučaju ograničenja obrade Društvo unaprijed izvješćuje (pisanim ili elektronskim putem) ispitanika o ukidanju istog. U slučaju iz alineje 7. stavka 1. (pravo na prigovor) Društvo provodi test razmjernosti interesa radi ocjene važnosti svojih razloga za obradu i ispitanikovih razloga protiv obrade. Članak 14. Rok iz stavka 1. prethodnog članka ovo Pravilnika može se prema potrebi produljiti za dodatna dva mjeseca, uzimajući u obzir složenost i broj zahtjeva. Društvo obavješćuje (u pisanom ili elektronskom obliku) ispitanika o svakom takvom produljenju u roku od mjesec dana od zaprimanja zahtjeva, zajedno s razlozima odgađanja. Zahtjev iz stavka 1. prethodnog članka podnosi se pisanim ili elektroničkim putem. Zahtjev se može podnijeti i na za to predviđenim obrascima Društva, a podnosi se Službi za opće i pravne poslove, upravitelju radne jedinice, rukovoditelju ili voditelju službe (i osobi koju isti ovlaste). O poduzetim radnjama povodom navedenog zahtjeva Društvo pruža informacije u pisanom obliku. Ako je zahtjev ispitanika podnesen elektroničkim putem, Društvo infor-maciju pruža elektroničkim putem ako je to moguće, osim ako ispitanik zatraži drugačije. O razlozima nepostupanja po zahtjevu ispitanika iz stavka 1. prethodnog članka ovog Pravilnika, Društvo će bez odgađanja, a najkasnije jedan mjesec od dana primitka zahtjeva, izvijestiti ispitanika (u pisanom ili elektroničkom obliku). Uvjeti navedeni u odredbama prethodnih stavaka odnose se i na ispitanikovo podnošenje prigovora na obradu njegovih osobnih podataka. Članak 15. Društvo informacije pružene u skladu s člankom 13. ovog Pravilnika pruža bez naknade. Iznimno, ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, Društvo će naplatiti razumnu naknadu uzimajući u obzir ad-ministrativne troškove pružanja informacija ili obavijesti ili postupanja po zahtjevu. Pod istim uvjetima, Društvo može i odbiti da postupi po zahtjevu ispitanika. Članak 16. Ispitanik koji smatra da mu je Društvo povrijedilo neko njegovo pravo zajamčeno Općom uredbom ima pravo podnijeti zahtjev za utvrđivanje povrede prava Agenciji za zaštitu osobnih podataka. Pored prava iz prethodnog stavka, ispitanik ima pravo i na učinkovit pravni lijek protiv Društva ili njegovih izvršitelja obrade ako smatra da mu je zbog obrade njegovih osobnih podataka protivno Općoj uredbi prekršena njegova prava iz iste uredbe. Ispitanik koji je pretrpio materijalnu ili nematerijalnu štetu zbog kršenja Opće uredbe ima pravo na naknadu od Društva ili njegovih izvršitelja obrade. Članak 17. U slučaju povrede osobnih podataka (u smislu članka 2. ovog Pravilnika) Društvo bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata nakon saznanja o toj povredi, izvješćuje Agenciju za zaštitu osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode ispitanika. U slučaju da navedeno izvješćivanje nije učinjeno unutar 72 sata, isto mora biti popraćeno razlozima za kašnjenje. Izvješće iz prethodnog stavka mora najmanje sadržavati podatke navedene u članku 20. stavku 2. ovog Pravilnika. Radi postupanja u skladu s odredbom prethodnog stavka, upravitelji radnih jedinica te rukovoditelji i voditelji služba unutar kojih je došlo do povrede osobnih podatka dužni su, odmah po saznanju o povredi osobnih podataka, o istome obavijestiti (usmeno, u pisanom ili elektroničkom obliku) Službu za opće i pravne poslove, a kako bi se pravodobno poduzele mjere predviđene Općom uredbom. Prilikom procjene da li postoji ili ne postoji vjerojatnost da će povreda osobnih podataka prouzročiti rizik za prava i slobode ispitanika (vezano uz stavak 1. ovog članka), osobito treba uzeti u obzir da li takva povreda može u konačnici prouzročiti fizičku, materijalnu ili nematerijalnu štetu ispitaniku, kao što je npr. gubitak nadzora nad osobnim podacima, ograničavanje prava, diskriminacija, krađa identiteta ili prijevara, financijski gubitak, šteta za ugled, gubitak povjerljivosti osobnih podataka zaštićenih poslovnom tajnom te bilo koja druga ekonomska ili društvena šteta za ispitanika. Članak 18. Izvršitelj obrade (u smislu članka 2. i 22. ovog Pravilnika) dužan je bez nepotrebnog odgađanja izvijestiti Društvo nakon što sazna za povredu osobnih podataka. Izvješće mora sadržavati sve elemente propisane Općom uredbom. Ispunjenje navedenih obveza izvršitelja obrade osigurava se unašanjem odgovarajuće klauzule u ugovor o obradi osobnih podataka koji Društvo sklapa s izvršiteljem obrade. Članak 19. Društvo dokumentira sve povrede osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, njezine posljedice kao i mjere poduzete za popravljanje štete, a radi omogućavanja Agenciji za zaštitu osobnih podataka provjere poštovanja Opće uredbe. Članak 20. U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinca, Društvo će bez nepotrebnog odgađanja obavijestiti ispitanika (u pisanom ili elektroničkom obliku) o povredi osobnih podataka. Obavijest iz prethodnog stavka sadržava: - opis prirode povrede osobnih podataka, - ime i kontaktne podatke Voditelja općih i pravnih poslova, u svrhu dobivanja dodatnih informacija, - opis vjerojatne posljedice povrede osobnih podataka, - opis mjera koje je Društvo poduzelo ili predložilo poduzeti za rješavanje problema povrede osobnih podataka te umanjenje štetnih posljedica povrede. Obavješćivanje ispitanika sukladno prethodnim stavcima nije obvezno u slučaju ispunjena bilo kojeg od sljedećih uvjeta: - Društvo je poduzelo odgovarajuće tehničke i organizacijske mjere zaštite koje su primijenjene na osobne podatke pogođene povredom osobnih podataka (npr. enkripcija), - Društvo je poduzelo naknadne mjere kojima se osigurava da više nije vjerojatno da će doći do visokog rizika za prava i slobode ispitanika, - time bi se zahtijevao nerazmjeran napor, a u kojem slučaju mora postojati javno obavješćivanje ili slična mjera kojom se ispitanici obavješćuju na jednako djelotvoran način. Članak 21. Društvo nije u obvezi te neće imenovati službenika za zaštitu podataka budući da sukladno odredbi članka 37. Opće uredbe: - Društvo nije tijelo javne vlasti ili javno tijelo, - osnovne djelatnosti Društva se ne sastoje od postupaka obrade koji zbog svoje prirode, opsega i/ili svrha iziskuju redovito i sustavno praćenje ispitanika u velikoj mjeri, - osnovne djelatnosti Društva se ne sastoje od opsežne obrade posebnih kategorija podataka na temelju članka 9. Opće uredbe i osobnih podataka u vezi s kaznenim osudama i kažnjivim djelima iz članka 10. Opće uredbe. Članak 22. U slučaju potrebe da obradu osobnih podataka u ime Društva provodi druga pravna ili fizčka osoba, Društvo će se koristiti jedino izvršiteljima koji u dovoljnoj mjeri jamče provedbu tehničkih i organizacijski mjera na način da je takva obrada u skladu s odredbama Opće uredbe te da se njome osigurava zaštita prava ispitanika. Obradu koju provodi izvršitelj obrade uređuje se ugovorom o obradi osobnih podataka koji izvršitelja obrade obvezuje prema Društvu, a u kojem su najmanje sadržani: - predmet obrade, - trajanje obrade, - priroda i svrha obrade, - vrsta osobnih podataka, - kategorije ispitanika, - prava i obveze voditelja obrade, - jamstva izvršitelja obrade, - obveze izvršitelja obrade. Ugovor iz prethodnog stavka sklapa se u pisanom obliku. Članak 23. Društvo vrši obrade sljedećih vrsta osobnih podatka: - osobni podaci radnika Društva (evidencije radnika i radnog vremena, plaće radnika i dr.), - osobni podaci umirovljenika Društva, - osobni podaci učenika i studenata koji rade ili obavljaju praksu u Društvu temeljem učeni-kih i studentskih ugovora te uputnica škole/fakulteta, - osobni podaci osoba na stručnom osposobljavanju za rad, - osobni podaci članova nadzornog i revizorskog odbora Društva, - osobni podaci kandidata koji sudjeluju u selekcijskom postupku za zasnivanje radnog odnosa, - osobni podaci dioničara Društva, - osobni podaci kupaca, dobavljača i poslovnih partnera Društva, - osobni podaci prikupljeni sustavom video nadzora u Društvu, - drugi osobni podaci koji se u Društvu prikupljaju u skladu s člankom 6. Opće uredbe. O osobnim podacima iz prethodnog stavka, kao i o svim drugim osobnim podacima, koji su prikupljeni u skladu s člankom 6. Opće uredbe, Društvo vodi evidencije aktivnosti obrade osobnih podataka, uvid u koje evidencije ispitanici mogu izvršiti u Službi za opće i pravne poslove Društva. Članak 24. Vođenje evidencija aktivnosti obrade osobnih podataka iz prethodnog članka raspodijeljeno je po radnim jedincima te po službama i ovlaštenim osobama za obradu podataka. Evidencija aktivnosti obrade sadrži najmanje sljedeće podatke: - naziv i kontaktne podatke Društva, - ovlaštene osobe za zastupanje Društva, - naziv radne jedinice te službe Društva, - ovlaštenu osobu za obradu osobnih podataka, - svrhu obrade, - kategoriju ispitanika - kategoriju osobnih podataka, - kategorije primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, - predviđene rokove za brisanje osobnih podataka (ako je to moguće), - opći opis tehničkih i organizacijskih sigurnosnih mjera za zaštitu podataka (ako je moguće). Prema potrebi, evidencija aktivnosti obrade osobnih podataka može sadržavati i druge podatke. Svaka ovlaštena osoba za obradu osobnih podataka u Društvu dužna je odmah po izmjeni postojeće ili uvođenju nove evidencije aktivnosti obrade, bez nepotrebnog odgađanja obavijestiti Službu za opće i pravne poslove kako bi se moglo postupiti u skladu s odredbom članka 8. ovog Pravilnika. Članak 25. Osobni podaci ispitanika koji se obrađuju u Društvu moraju biti odgovarajuće zaštićeni od slučajnog ili nezakonitog uništenja, gubitka, izmjena, neovlaštenog otkrivanja ili pristupa. Osobni podaci obrađuju se uz poštovanje sigurnosti i povjerljivosti osobnih podataka kroz sprečavanje neovlaštenog pistupa osobnim podacima i opremi kojom se Društvo koristi pri obradi podataka ili njihove neovlaštene upotrebe. Članak 26. Ovlaštene osobe za obradu osobnih podataka u Društvu iz članka 10. ovog Pravilnika, odgovorne su za zaštitu osobnih podataka ispitanika od slučajnog ili nezakonitog uništenja, gubitka, izmjena, neovlaštenog otkrivanja ili pristupa. Povreda odredbe prethodnog stavka kao i povreda odredbi Opće uredbe predstavlja povredu obveze iz radnog odnosa radi koje se odgovornim osobama iz prethodnog stavka može otkazati ugovor o radu. U svrhu osiguranja postupanja sukladno odredbama prethodnih stavaka, osobe navedene u stavku 1. ovog članka, podnose, na za to predviđenom obrascu, izjavu o povjerljivosti u Službi za opće i pravne poslove, koja izjava se odlaže u personalni dosje radnika u Službi za opće i pravne poslove. Uprava može zatražiti i od drugih osoba zaposlenih u Društvu podnošenje izjave o povjerljivosti, a sve u cilju osiguranja pridržavanja odredbi Opće uredbe. I svi drugi radnici u Društvu koji tijekom radnog odnosa, u obavljanju poslova svog radnog mjesta, izravnim ili neizravnim putem saznaju za osobne podatke nekog ispitanika, dužni su ih čuvati kao strogu tajnu i ne smiju ih na bilo koji način prenijeti trećim (neovlaštenim) osobama. Ugovorom o obradi osobnih podataka sklopljenim s izvršiteljima obrade osigurava se Društvu podnošenje izjave o povjerljivosti od strane nadležnih osoba izvršitelja obrade. Članak 27. Kao jedna od mjeri zaštite osobnih podataka osigurano je da je ulazak u sjedište Društva fizički zaštićen zaposlenicima zaštitarske službe. Članak 28. Osobni podaci ispitanika u pisanom obliku čuvaju se u omotima spisa odnosno u registratorima koji se odlažu u zaključane ormare ili se odlažu u prostorije koje se zaključavaju. Postupanje iz prethodnog stavka primjenjuje se tijekom radnog vremena, uslijed privremenog napuštanja radnog mjesta te po završetku radnog vremena. Pod istim uvjetima mora se osigurati da u radnim prostorijama ne budu izloženi te dostupni neovlaštenim osobama dokumenti koji sadrže osobne podatke (npr. ostavljanjem pisanog dokumenta na radnom stolu prilikom napuštanja kancelarije i sl.). Ispis dokumenata koji sadrže osobne podatke ispitanika mora se svesti na najmanju moguću mjeru, a isti dokumenti se po prestanku svrhe ili pravne osnove za njihovu pohranu uništavaju. Ovlaštene osobe za obradu osobnih podataka u Društvu dužne su zaključavati zaslon kad završe s upotrebom svog računala (tijekom radnog vremena) ili isključiti svoje računalo (tijekom i po završetku radnog vremena). Članak 29. Osobni podaci ispitanika u računalu zaštićuju se dodjeljivanjem lozinke za ulaz u računalo, koja je poznata samo ovlaštenoj osobi za obradu osobnih podataka u Društvu, a pohranjena u servisu „Active directory“ pod enkripcijom. Daljnja zaštita osigurana je dodjeljivanjem lozinke za ulaz u sustav programa ERP, a koja je također poznata samo ovlaštenoj osobi za obradu osobnih podataka u Društvu. Lozinka za elektroničku poštu čuva se u programu zaštićenom enkripcijom te lozinkom za ulazak u taj program. Pristup osobnim podacima u računalnom sustavu bilježi se putem logova. Osobni podaci ispitanika se preslikavaju radi stvaranja sigurnosnih kopija („back up“). Računalna oprema na kojoj se pohranjuju podaci („serveri“) nalazi se u ormaru pod ključem (koji se odlaže u prostoriju pod ključem) te je onemogućen pristup neovlaštenim osobama. „Off site“ poslužitelj za sigurnosne kopije nalazi se u zaključanoj prostoriji. Svi poslužitelji („serveri“) i računala u Društvu međusobno su povezana u lokalnoj mreži koja je zaštićena od vanjske mreže (Internet) s „vatrozidom“ („firewall“) te su zaštićeni i sigur-nosnim rješenjem („endpoint security“). Članak 30. Na sve vezano uz obradu osobnih podataka ispitanika u Društvu, a što nije regulirano ovim Pravilnikom, primjenjuju se odredbe Opće uredbe te odredbe drugih mjerodavnih propisa. Društvo će pojedine obrade osobnih podataka regulirati zasebnim pravilnicima (npr. Pravilnik o korištenju sustava video nadzora i dr). Članak 31. Ovaj Pravilnik se objavljuje na način propisan Pravilnikom o načinu objave pravilnika o radu. Zbog dislociranosti radnih jedinica Društva, a temeljem odredbi Pravilnika o načinu objave pravilnika o radu svaki radnik ima pravo uvida u ovaj Pravilnik kod svojeg upravitelja, odnosno rukovoditelja ili voditelja službe radnim danom od 08,00 do 12,00 sati ili u Službi za opće i pravne poslove od 08,00 do 14,00 sati. Osim gore navedenog, Pravilnik se sukladno članku 8. objavljuje i na internetskim stranicama Društva, a sve s ciljem informiranja ispitanika čiji se osobni podaci obrađuju. Članak 32. Izmjene i dopune ovoga Pravilnika donose se na način propisan Zakonom o radu za donošenje pravilnika o radu. Članak 33. Ovaj Pravilnik se dostavlja upraviteljima RJ, rukovoditeljima i voditeljima službi i sindikal-nom povjereniku. Svakome radniku upravitelj RJ, rukovoditelj ili voditelj službe, sindikalni povjerenik i referent općih poslova moraju na njegov zahtjev omogućiti uvid u ovaj Pravilnik. Članak 34. Ovaj Pravilnik stupa na snagu i primjenjuje se od 25. svibnja 2018. godine Član uprave: Branko Grašić, dipl.iur. Ovaj Pravilnik objavljen je, dana 23. svibnja 2018 . godine, na oglasnim pločama Društva i radnih jedinica.