http___www.uo-ivanic.hr_politika-privatnosti__1.xml
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 10.1 11.1 11.2 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 21.2 22.1 23.1 23.2 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 33.2 34.1 35.1 35.2 36.1 37.1 37.2 38.1 39.1 39.2 40.1 40.2 41.1 42.1 43.1 43.2 44.1 45.1 46.1 47.1 47.2 48.1 49.1 50.1 51.1 53.1 54.1 55.1 56.1 56.2 57.1 58.1 58.2 58.3 59.1 60.1 60.2 60.3 60.4 61.1 62.1 63.1 64.1 65.1 66.1 66.2 67.1 68.1 69.1 70.1 70.2 70.3 71.1 72.1 73.1 74.1 75.1 75.2 76.1 77.1 77.2 77.3 78.1 79.1 80.1 80.2 81.1 82.1 83.1 84.1 84.2 85.1 86.1 87.1 88.1 88.2 89.1 90.1 91.1 92.1 93.1 94.1 94.2 94.3 94.4 95.1 96.1 97.1 98.1 98.2 99.1 100.1 100.2 101.1 102.1 102.2 103.1
Personal Data Protection Policy Scope of the Privacy Policy The Company under the name “Hometel Single Member Private Company” and the distinctive title “Hometel Single Member P.C.” with its registered office in Ioannina, 8, Chanteli Street, No. 8, with a Tax Identification Number 801138234 (hereinafter the “Company”), respecting the privacy of the users and visitors of its website ” https://cityzoe.gr/ ” (hereinafter referred to as the “Website”), and in its capacity as Data Controller, communicates this legal, reasonable and transparent Privacy Policy, in order to provide visitors/users of the Website (“data subjects”) with adequate information about the personal data it collects and processes. This Policy, has been drafted taking into account the applicable National and EU legal framework for the protection of personal data and in particular the General Data Protection Regulation (EU) 2016/679 (“the Regulation”) and Law 4624/2019. Definitions For the purposes of this Policy, the following terms have the following meanings: “Personal Data”: means any information relating to an identified or identifiable natural person (“data subject”) an identifiable natural person is one whose identity can be verified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or one or more factors specific to the physical, physiological, genetic, psychological, economic, cultural or social identity of that natural person. “Processing”: means any operation or set of operations which is performed, whether or not by automated means, on personal data or on sets of personal data, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction. “Controller”: means the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data. Where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for his or her appointment may be provided for by Union or Member State law. “Processor”: means the natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller. “Data Subject”: the natural person whose personal data are processed. In this particular case, the Data Subject is considered to be any user of our Website. “Consent” of the data subject: any freely given, freely given, specific, explicit and fully informed indication of intent by which the data subject signifies his or her agreement, by declaration or by a clear affirmative action, to the processing of personal data concerning him or her. “Personal data breach”: means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access of personal data transmitted, stored or otherwise processed. “Existing legislation”: The respective national and EU legislation on personal data protection and in particular the General Data Protection Regulation (EU) 2016/679, Law 4624/2019 “Personal Data Protection Authority, measures implementing Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and transposing into national law Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of individuals with regard to the processing of personal data. General Principles for the Processing of Personal Data When Company processes personal data, it shall ensure that: To process such data lawfully, in accordance with the provisions of existing legislation and the conditions laid down therein, subjecting them to lawful and fair processing in a transparent manner in relation to the data subject (Principle of Lawfulness, Objectivity and Transparency). Process personal data only for specified, explicit and legitimate purposes and not further process them in a way incompatible with those purposes (Principle of Purpose Limitation). Be adequate, relevant and limited to what is necessary for the purposes for which they are processed (Principle of Data Minimisation). Take appropriate technical and organisational measures so that personal data are processed in a way that ensures an adequate level of protection and security of personal data, including protection against unauthorised or unlawful processing and accidental loss, destruction or damage. In addition, periodically review the adequacy and effectiveness of these measures (Integrity and Confidentiality Principle). To make the necessary efforts to ensure that the personal data it holds and processes are always accurate and up-to-date and that all reasonable steps are taken to promptly delete or correct personal data that are inaccurate in relation to the purposes of the processing (Principle of Accuracy). Not to retain the personal data collected for a period longer than the purposes for which they were collected and processed. However, it may retain them for a longer period if the processing of these data is necessary: to comply with a legal obligation that requires processing under a provision of law, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the Company, for reasons of public interest, for archiving purposes in the public interest, or for scientific or historical research purposes, or for statistical purposes, after appropriate technical and organisational measures have been taken, including pseudonymisation, and only if these purposes cannot be served by anonymisation of the data, E.for the establishment, exercise or defence of legal claims (The Limitation of Storage Period Principle). To take the necessary measures to comply with the requirements of the Existing Legislation and to be able to prove at any time that it complies with the above (Accountability Principle) Personal Data We Collect and Process, Purpose of Processing and Lawful Basis. The Company, in the context of the services and functions of this Website, may collect personal data of its visitors as follows: Personal data collected through the contact form. Through the online contact form available on the Website, the user has the possibility to contact the Company. In case the user wishes to use this service, he/she should fill in the relevant fields (a) his/her name, (b) his/her e-mail address, (c) the subject of his/her message, as well as (d) any further information he/she wishes to communicate by filling in the “Message” field. Purpose of Processing and Lawful Basis. The purpose of the collection and processing of such personal data is the provision of the Company’s services in the field of hospitality and tourism, the direct contact of the user with the Company, the Company’s optimal response to the user and its service as well as the satisfaction of the user’s requests. The legitimate basis for processing the personal data of the users is the legitimate interest of the Company to provide high quality services to the users of the Website, to facilitate communication with the community and to process the requests received in the context of its operation (G.D.P.R. article 6 paragraph 1 point f). Personal Data collected while browsing the Company’s Website. While browsing the Website, the Company may collect only certain necessary information related to the traffic on the Website, such as, but not limited to, the Internet Protocol (IP) address, the type of browser used by the visitor, and cookies. For more information regarding the use of cookies on this Website, please read the respective Cookies Policy. Purpose of Processing and Lawful Basis. The purpose of collecting and processing such personal data is to ensure the optimal operation and design of the website and to provide high quality services. The legitimate basis for the processing of users’ personal data is the legitimate interest of the Company to provide high quality services to the users of the Website (Article 6(1)(f) of the G.D.P.R.). III. Personal Data collected by subscribing to the newsletter. This Website may collect data provided by users when they subscribe to the update list, such as their full name and email address. Purpose of Processing and Lawful Basis. The purpose of the collection and processing of such personal data is the Company’s communication with users and the sending of informative material regarding the Company’s services, products and offers. The legal basis of the processing is the prior consent of the users. Data collected when making a reservation through the Website. If a reservation is made through the Website, your full name, address (street and number), city, country, telephone number, email address, credit card details (card type, card number, security code, expiry date, cardholder details), and arrival and departure date are collected. Purpose of Processing and Lawful Basis. The reservation data is collected in order to process and handle the reservation, the payment of the relevant services, fees and charges as well as the processing of customer data in case of the need for dispute resolution. The legal basis is considered to be the execution of a contract with the customer (G.D.P.R. Article 6(1)(b)) and the safeguarding of the legitimate interests of the company G.D.P.R. Article 6(1)(f)) Social media buttons. On our Website, there are social media widgets from social networks (e.g. Facebook and Instagram), through the use of which, after the user logs in to the social network, a special digital fingerprint of the user is created, for which both the Company and the social network itself act as joint controllers. For more information on the data processing policy and the configuration options of these networks, please visit the following websites: - http://www.facebook.com/about/privacy - https://twitter.com/en/privacy - https://tripadvisor.mediaroom.com/US-privacy-policy Purpose of Processing and Lawful Basis. The purpose of collecting and processing such data is to improve the services provided by us and in general the user’s experience when visiting the Website. The legitimate basis for processing the personal data of users is the legitimate interest of the Company to provide high quality services to the users of the Website (G.D.P.R. article 6(1)(f)) Personal Data of Minor Users. Company does not address minors and does not wish to collect and process personal data of minors (i.e. persons under the age of 18). However, since it is impossible to cross-check and verify the age of the users of our Website, we ask the parents/guardians of minors, in case they find any unauthorized data disclosure on behalf of minors, to immediately notify the Company, as to take the necessary protective measures (e.g. immediate deletion of their data). If the Company becomes aware that it has collected personal data of a minor, it undertakes to delete them immediately and to take all necessary measures to protect such data. Data Protection Impact Assessment (DPIA) Where a type of processing is likely to present a high risk to the rights and freedoms of natural persons, Company shall carry out, prior to the processing, an assessment of the impact of the envisaged processing operations on the protection of personal data (“impact assessment”). An impact assessment is a process designed to describe the processing, assess its necessity and proportionality and assist in risk management by evaluating and defining measures to address the risks. It is not required for every form of processing, but only in cases where a form of processing is considered high risk. The impact assessment takes into account the nature, scope, overall context and purposes of the processing in order to assess whether a risk is likely to occur, as well as its seriousness for the rights and freedoms of data subjects How do we ensure that Processors respect your Personal Data? Company, in the context of its activities, may transfer data to third parties and/or allow access to them (legal or natural persons) acting as processors and/or sub-processors, to support its operation and serve its purposes, such as, for example, transferring data to service providers, website developers, cloud service providers, application development support companies, etc. Our partner companies that act as processors and/or sub-processors on our behalf have agreed and contractually bound themselves to the Company: - maintain confidentiality and ensure data confidentiality, - process the data only for a specific purpose and for no other purpose iii. not to transmit data to third parties, - take appropriate organisational and technical security measures to ensure data protection, - comply with the legal framework for the protection of personal data and in particular the Regulation and Law 4624/2019. Transfers to third parties Users’ personal data may be transferred to public authorities, independent authorities, etc. in the exercise of their duties, either on their own initiative or at the request of a third party with a legitimate interest, following all legal procedures and subject to appropriate safeguards to ensure the protection of personal data. Company reserves the right to disclose and/or transmit personal data to a third party to whom it may transfer or merge parts of its business or assets. In the event of a change in our business, the new owners have the right to use your personal data in the same way as set out in this Policy. Transfer of Personal Data outside the EU In case of transfer of personal data of users collected through our Website to a country outside the European Union (EU) or the European Economic Area (EEA), Company will first check whether : - a) the European Commission has issued an adequacy decision for the third country to which the transfer is to be made. - b) The appropriate safeguards in accordance with the Regulation are met for the transfer of such data. Otherwise, the transfer to a third country is prohibited and the Company will not transfer users’ personal data to that country, unless one of the specific exceptions provided for in the Regulation applies (e.g. the express consent of the user and his/her information on the risks involved in the transfer, the transfer is necessary for the performance of a contract at the request of the subject, there are reasons of public interest, it is necessary to support legal claims and vital interests of the user, etc. If in the context of its lawful activities there is a need to transfer personal data outside the EU, the Company shall select the appropriate legal transfer mechanisms in full compliance with the Regulation and the Existing Legislation and shall inform the data subjects accordingly. Data Retention Period The personal data of users are collected and kept for a predetermined and limited period of time, depending on the purpose of processing, after which the data are deleted from the archives of Company. When processing is imposed as an obligation by provisions of the applicable legal framework or a specific retention period is provided, your personal data will be stored for as long as the relevant provisions require. Users’ personal data processed with consent will be kept until the consent is withdrawn, without this withdrawal affecting the lawfulness of the processing up to that point Security of Personal Data All officers and employees of Company are responsible for ensuring that the personal data held and processed by the Company are kept securely and are not disclosed or transmitted to any third party, unless the third party is authorized by the Company to receive and process such information in the context of (a) the legitimate activities of Company and if it has entered into a corresponding confidentiality agreement or (b) there is a legal obligation to do so by law or by court order or (c) there is a legal obligation to do so. Company takes all appropriate technical and organizational measures for the security of the personal data it holds and processes. Although no method of transmission over the Internet or method of electronic storage is completely secure, the Company takes all necessary digital data security measures (antivirus, firewall, etc.). Company applies, both at the time of determining the means of processing and at the time of processing, appropriate technical and organizational measures designed to apply data protection principles and incorporate the necessary safeguards in the processing in such a way as to meet the requirements of the G.D.P.R. and protect the rights of data subjects (data protection by design). Company shall implement appropriate technical and organisational measures to ensure that, by default, only personal data that are necessary for the purpose of the processing are processed (data protection by default). Company shall ensure that the personnel involved in the collection and processing of personal data are adequately informed and trained. In case of a personal data breach, the Company shall promptly inform the Personal Data Protection Authority, unless the breach is unlikely to cause a risk to the rights and freedoms of natural persons, providing all required information and documentation. If the breach is likely to pose a high risk to the rights and freedoms of natural persons, Company shall promptly notify the data subjects of the breach in question, unless such notification requires a disproportionate effort, or in the meantime the Company has implemented appropriate technical and organisational protection measures on the data affected by the breach that render it incomprehensible to unauthorised users, or in the meantime the Company has taken measures to ensure that the data affected by the breach are not accessible to unauthorised users Your Rights Company ensures that it is able to respond immediately to the requests of users, for the exercise of their rights in accordance with the Existing Legislation. In particular, each user has the following rights: a) The User has the right to access his/her Data: To request information on the processing of his/her personal data by Company To request access to his/her personal data held by Company. More specifically, he/she may request to receive a copy of his/her personal data held and to check the lawfulness of the processing. b) Right to rectification of inaccurate data: Request the correction of personal data in case they are inaccurate or incomplete. c) Right to erasure: To request the erasure of his/her personal data if their retention is not based on any legitimate basis or legitimate interest. d) Right to restriction of processing: To request restriction of the processing of his/her personal data, subject to specific conditions. e) Right to data portability: to request the portability/transmission of his/her personal data either to himself/herself or to third parties. f) Right of Withdrawal/Objection: Revoke at any time the consent given for the processing of his/her personal data, without this revocation affecting the lawfulness of the processing up to that point, to object to the processing of his/her personal data by To exercise your rights, you may contact us at info@cityzoe.gr by submitting a request: a) for the correction or deletion of the personal data you have entered or in any other way you have provided or we have collected through our Website, b) for the restriction of the processing of the personal data you have entered or in any other way you have provided or we have collected through our Website, c) to object to the processing of the personal data you have entered or in any other way you have provided or we have collected through our Website, d) to the processing of the personal data you have entered or in any other way you have provided or we have collected through our Website. In case of exercise of any of the above rights, Company shall provide the data subject with information on the processing operations upon request submitted within one (1) month from the receipt of the request and the identification of the data subject. This time limit may be extended by two (2) more months, if necessary, if the request is complex or there is a large number of requests. In this case, the Company shall, within one (1) month of receipt of the request, inform the user of the delay and the reasons for it. The Company may refuse to comply in whole or in part with a request received from the data subject only where this possibility is provided for by the Regulation or national legislation. If a request from the data subject is manifestly unfounded or excessive, in particular because of its repetitive nature, the Company may make compliance with it subject to the payment of a reasonable charge to cover the administrative costs involved in complying with it or refuse to comply with the request. Disclaimer for Third Party Websites In case of our Website contains links that redirect users to third party websites, we inform you that Company does not control and is not responsible for any risk or damage (positive/ negative) suffered by the user from the use of the content of the Website and these websites, nor for the way in which the personal data of users are processed. Company takes all necessary measures to ensure that this Website is a safe environment for users, providing them with valid, reliable and up-to-date information. Right of recourse to the Personal Data Protection Authority For any complaint regarding this Policy or personal data protection issues, if we do not satisfy your request, and you believe that your personal data protection is in any way affected, you may submit a complaint through a dedicated portal (https://www.dpa.gr/el/syndesi/prosvasi ) to the Personal Data Protection Authority (PPA) (Athens, 1-3 Kifissia Avenue, P.O. Box 115 23, tel: +30 2106475600). Detailed instructions for lodging a complaint are available on the Authority’s website (https://www.dpa.gr/el/polites/katagelia_stin_arxi ). Updates to the Privacy Policy This Privacy Policy may be amended/revised in the future, in the context of Company’s regulatory compliance and the optimization and upgrading of our Website services. We therefore recommend that you refer to the updated version of this Policy each time for your adequate information. Last Revision: July 2022
1.1 2.1 3.1 4.1 5.1 6.1 6.2 7.1 8.1 9.1 10.1 10.2 11.1 12.1 13.1 14.1 15.1 16.1 16.2 17.1 18.1 19.1 20.1 21.1 21.2 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 36.2 36.3 37.1 38.1 38.2 39.1 39.2 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 63.1 63.2 64.1 65.1 66.1 67.1 68.1 69.1 70.1 71.1 72.1 73.1 74.1 75.1 76.1 76.2 77.1 78.1 79.1 80.1 81.1 82.1 83.1 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 95.2 96.1 97.1 98.1 99.1 100.1 101.1 102.1 103.1 104.1 105.1 106.1 107.1 108.1 109.1 109.2 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 155.2 156.1 157.1 158.1 159.1 160.1 160.2 161.1 162.1 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 175.1 176.1 177.1 178.1 179.1 180.1 181.1 182.1 183.1 184.1 185.1
Na temelju Opće uredbe o zaštiti podataka 2016/679 (General Dana Protection Regulation, GDPR), Zakona o provedbi Opće uredbe o zaštiti podataka (Narodne novine broj: 42/18) i Zakona o obrtu (Narodne novine broj: 143/13), Upravni odbor Udruženja obrtnika Ivanić-Grad na sjednici održanoj 26.srpnja 2018. godine PRAVILNIK O ZAŠTITI I OBRADI OSOBNIH PODATAKA - OPĆE ODREDBE Članak 1. U postupku zaštite i obrade osobnih podataka primjenjuje se Opća uredba o zaštiti podataka 2016/679 (General Dana Protection Regulation, GDPR), Zakon o provedbi Opće Uredbe o zaštiti podataka (Narodne novine broj: 42/18) i Zakon o obrtu (Narodne novine broj: 143/13). Temeljem Opće uredbe o zaštiti podataka (GDPR), Udruženje obrtnika Ivanić-Grad obveznik je primjene ove Uredbe te je dužna nadzirati prikupljanje, obradu, korištenje i zaštitu osobnih podataka svih fizičkih osoba čije podatke uzima i koristi. Članak 2. Ovaj Pravilnik se primjenjuje na obradu osobnih podataka koja se obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koja čini dio sustava pohrane. Članak 3. Sukladno čl. 7. Opće uredbe o zaštiti podataka (GDPR) Udruženje obrtnika Ivanić-Grad je voditelj zbirke osobnih podataka te utvrđuje svrhu i način obrade osobnih podataka. Članak 4. U skladu s Općom uredbom o zaštiti podataka (GDPR) pojedini izrazi imaju sljedeće značenje: Osobni podatak označava sve podatke koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (ispitanik); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime i prezime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca. Obrada osobnih podataka znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili skupovima osobnih podataka bilo automatiziranim sredstvima ili neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje. Osobni se podaci mogu obrađivati ručno, primjenom tehničkih pomagala ili u računalnoj bazi osobnih podataka. Obrada osobnih podataka mora biti usklađena sa svrhama u koje su osobni podaci prikupljeni, odnosno svrhe obrade moraju biti izrijekom navedene i opravdane u vrijeme prikupljanja osobnih podataka. Osobni podaci trebaju biti relevantni i ograničeni na ono što je nužno za svrhe u koje se podaci obrađuju. Sustav pohrane znači svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi. Povreda osobnih podataka značisvako kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani. Voditelj obrade osobnih podataka je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima čini i utvrđuje svrhu i sredstva obrade osobnih podataka. Treća strana je fizička ili pravna osoba, tijelo javne vlasti , agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade. Primatelj osobnih podataka je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojim se otkrivaju osobni podaci, neovisno o tome je li on treća strana. Međutim, državna tijela koja mogu primiti osobne podatke u skladu s pravom Unije ili pravom države članice u okviru provođenja istrage ne smatraju se primateljima. Izvršitelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja zbirke osobnih podataka na temelju ugovora ili drugog pisanog akta kojim se utvrđuju obveze i odgovornosti izvršitelja obrade u odnosu na voditelja obrade. Privola ispitanika je svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose. Pseudonimizacija znači obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi. Službenik za zaštitu osobnih podataka je osoba imenovana od strane voditelja osobnih podataka koja vodi brigu o zakonitosti obrade osobnih podataka i ostvarivanju prava za zaštitu osobnih podataka. Članak 5. Udruženje obrtnika Ivanić-Grad podatke obrađuje zakonito, etički, objektivno i transparentno. Udruženje obrtnika Ivanić-Grad obrađuje samo primjerene i relevantne osobne podatke i to isključivo u posebne, izričite i zakonite svrhe te ih dalje ne obrađuje na način koji nije u skladu s tim svrhama. Osobni podaci koje Udruženje obrtnika Ivanić-Grad obrađuje su točni te se po potrebi ažuriraju. Podaci koji nisu točni Udruženje obrtnika Ivanić-Grad bez odlaganja briše ili ispravlja. Udruženje obrtnika Ivanić-Grad osobne podatke čuva u obliku koji omogućuje identifikaciju ispitanika i to samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju. Iznimno od stavka 5. ovog članka, osobni podaci mogu se pohraniti i na dulja razdoblja ali samo ako će se isti obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe pazeći pri tome da su ispunjene tehničke i organizacijske mjere kojima bi se zajamčilo načelo smanjenja količine podataka. Udruženje obrtnika Ivanić-Grad osobne podatke obrađuje isključivo na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu osobnih podataka, zaštitu od neovlaštene ili nezakonite obrade te zaštitu od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera. - IMENOVANJE SLUŽBENIKA ZA ZAŠTITU OSOBNIH PODATAKA Članak 6. Sukladno članku 37. Opće uredbe o zaštiti podataka (GDPR), Udruženje obrtnika Ivanić-Grad imenuje službenika za zaštitu osobnih podataka i odluku o imenovanju službenika dostavlja Agenciji za zaštitu osobnih podataka kao nadzornom tijelu. Kontakt podatke službenika Udruženje obrtnika Ivanić-Grad objavljuje na web stranici. Članak 7. Službenik za zaštitu osobnih podataka (dalje u tekstu Službenik) imenuje se na temelju stručnih kvalifikacija, a osobito stručnog znanja o pravu i praksama u području zaštite osobnih podataka te sposobnosti izvršavanja zadaća iz članka 39. Opće uredbe o zaštiti podataka (GDPR). Obveze službenika regulirane su čl. 38. i 39. Opće uredbe o zaštiti podataka. Službenik za zaštitu osobnih podataka izvršava sljedeće zadatke: – informira i savjetuje voditelja i izvršitelja obrade te osobe koje obavljaju obradu podataka; – prati kako se poštuje Uredba te drugi propisi o zaštiti podataka, podiže svijest i osposobljava osoblje koje sudjeluju u postupcima obrade; – pruža savjete, kada je to zatraženo, u pogledu procjene učinka na zaštitu podataka i prati procjenu učinka; – surađuje s Agencijom za zaštitu podataka – djeluje kao kontaktna točka za nadzorno tijelo. Službenik ne smije biti razriješen niti kažnjen zbog izvršavanja svojih zadaća, te izravno odgovara najvišoj rukovodećoj razini voditelja obrade podataka ili izvršitelja obrade. Službenik je obvezan tajnošću i povjerljivošću, a može ispunjavati i druge zadaće i dužnosti. Službenik djeluje neovisno te ne smije biti u sukobu interesa. Članak 8. Udruženje obrtnika Ivanić-Grad osigurava službeniku mogućnost pravodobnog i primjerenog informiranja o svim pitanjima vezanim za sva pitanja koja se tiču obrade osobnih podataka, te osiguravaju njegovu neovisnost u pogledu izvršavanja njegovih zadaća. - OBRADA OSOBNIH PODATAKA Članak 9. Udruženje obrtnika Ivanić-Grad osobne podatke obrađuje samo i u onoj mjeri ako je ispunjen jedan od sljedećih uvjeta: - a) da je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; - b) da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; - c) da je obrada nužna radi poštovanja pravnih obveza Udruženja obrtnika Ivanić-Grad; - d) da je obrada nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; - e) da je obrada nužna za izvršenje zadaće od javnog interesa ili pri izvršavanju službene ovlasti Udruženja obrtnika Ivanić-Grad; - f) da je obrada nužna za potrebe legitimnih interesa Udruženja obrtnika Ivanić-Grad ili treće strane, osim u slučaju kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete. Točka f) prvog stavka ne odnosi se na obradu koju provodi Udruženje obrtnika Ivanić-Grad pri izvršavanju svojih javnih ovlasti. Udruženje obrtnika Ivanić-Grad prikuplja i obrađuje osobne podatke u svrhu promicanja obrta i obrtništva, zastupanja i predstavljanja obrtnika i ostalih članova HOK-a pred državnim i drugim tijelima u zemlji i inozemstvu, pružanja pomoći prilikom osnivanja i poslovanja obrta, ugovaranja usluga i uspostavljanja poslovnog odnosa, ispunjenja ugovornih obveza, unaprjeđenja poslovnih procesa te izvršavanja zadaća od javnog interesa. Članak 10. Privola kojom ispitanik daje pristanak za obradu osobnih podataka koje se na njega odnose mora biti dobrovoljna, dana u pisanom obliku s lako razumljivim, jasnim i jednostavnim jezikom, s jasno naznačenom svrhom za koju se daje. Ispitanik u bilo kojem trenutku može povući privolu, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena. Ukoliko se radi o obradi osobnih podataka maloljetnika ispod dobne granice od 16 godina, privolu na način opisan u stavku 1. ovog članka daje nositelj roditeljske odgovornosti nad djetetom (roditelj ili zakonski skrbnik djeteta). U postupku obrade osobnih podataka Udruženje obrtnika Ivanić-Grad na odgovarajući način (pisano ili izravno usmeno) ispitaniku pruža sve informacije vezano uz obradu njegovih osobnih podataka, a osobito o svrsi obrade podataka, pravnoj osnovi za obradu podataka, legitimnim interesima Udruženja obrtnika Ivanić-Grad, namjeri predaje osobnih podataka trećim osobama, razdoblju u kojem će osobni podaci biti pohranjeni, o postojanju prava ispitanika na pristup osobnim podacima te na ispravak ili brisanje osobnih podataka i ograničavanje obrade, prava na ulaganje prigovora i dr. Članak 11. Posebne kategorije osobnih podataka su podaci koji se odnose na rasno ili etničko podrijetlo, politička stajališta, vjerska ili druga uvjerenja, sindikalno članstvo, zdravlje ili spolni život i osobni podaci o kaznenom i prekršajnom postupku. Posebne kategorije osobnih podataka prikupljaju se i dalje obrađuju: – uz privolu ispitanika samo u svrhu za koju je ispitanik dao privolu, – u slučajevima određenim zakonom odnosno u svrhu izvršavanja zakonskih obveza voditelja obrade ili ispitanika u području radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti, – u svrhu zaštite životno važnih interesa ispitanika ili drugog pojedinca ako ispitanik fizički ili pravno nije u mogućnosti dati privolu – ako se obrada provodi u sklopu legitimnih aktivnosti s – ako je ispitanik sam objavio podatke, – ako je obrada nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu; – ako je obrada nužna za potrebe značajnog javnog interesa na temelju prava Unije ili prava države članice koje je razmjerno željenom cilju te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika; – ako je obrada nužna u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu sa člankom 89. stavkom 1. Opće uredbe o zaštiti podataka ili prava države članice koje je razmjerno cilju koji se nastoji postići te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika. Članak 12. Osobni podaci fizičkih osoba mogu se iznositi iz Republike Hrvatske u druge države ili međunarodne organizacije ukoliko one osiguravaju odgovarajuću zaštitu osobnih podataka. Popis država koje osiguravaju odgovarajuću zaštitu osobnih podataka može se pronaći na web stranici Agencije: www.azop.hr. Podaci se mogu iznositi u zemlje koje ne osiguravaju odgovarajuću zaštitu osobnih podataka u sljedećim slučajevima: – postoji privola ispitanika ili – iznošenje je nužno u svrhu zaštite vitalnih interesa ispitanika ili – iznošenje se temelji na ugovoru koji pruža dovoljna jamstva za zaštitu podataka (primjerice ugovor koji je sukladan standardnim ugovornim klauzulama Europske komisije) ili – iznošenje je potrebno radi izvršenja ugovora između voditelja zbirke osobnih podataka i ispitanika ili provedbe predugovornih mjera na zahtjev ispitanika ili – iznošenje je potrebno za zaključivanje ili izvršenje ugovora između voditelja zbirke osobnih podataka i treće osobe a koji je u interesu ispitanika ili – iznošenje je potrebno ili određeno zakonom radi zaštite javnog interesa ili radi zakonskih potraživanja ili – iznošenje se obavlja iz evidencije koja je sukladno zakonu ili drugom propisu namijenjena pružanju informacija javnosti. U svakom slučaju sumnje o postojanju zaštite osobnih podataka u konkretnom slučaju Agencija na zahtjev voditelja zbirke daje mišljenje. - OBRADA OSOBNIH PODATAKA PUTEM VIDEONADZORA Članak 13. Obrada osobnih podataka putem videonadzora provodi se u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, ako ne prevladaju interesi ispitanika koji su u suprotnosti s obradom podataka putem videonadzora. Videonadzorom su obuhvaćene prostorije, dijelovi prostorija te vanjska površina Hrvatske obrtničke komore, a čiji je nadzor nužan radi postizanja svrhe iz stavka 1. ovog članka. Članak 14. Hrvatska obrtnička komora označava da je objekt odnosno pojedina prostorija u njemu te vanjska površina objekta pod videonadzorom, a oznaka je vidljiva najkasnije prilikom ulaska u perimetar snimanja. Obavijest iz stavka 1. ovog članka sadržava sve relevantne informacije sukladno odredbi članka 13. Opće uredbe o zaštiti podataka, a posebno jednostavnu i lako razumljivu sliku uz tekst kojim se ispitanicima pružaju sljedeće informacije: – da je prostor pod videonadzorom – podatke o Hrvatskoj obrtničkoj komori – podatke za kontakt putem kojih ispitanik može ostvariti svoja prava. Članak 15. Pravo pristupa osobnim podacima prikupljenim putem videonadzora ima osoba koju Hrvatska obrtnička komora ovlasti. Osobe iz stavka 1. ovog članka ne smiju koristiti snimke iz sustava videonadzora suprotno svrsi utvrđenoj u članku 11. ovog Pravilnika. Sustav videonadzora mora biti zaštićen od pristupa neovlaštenim osobama te imati automatizirani sustav zapisa za evidentiranje pristupa snimkama videonadzora koji će sadržavati vrijeme i mjesto pristupa, kao i oznaku osoba koje su izvršile pristup podacima prikupljenim putem videonadzora. Članak 16. Snimke dobivene putem videonadzora čuvaju se do mjesec dana osim ako su dokaz u sudskom, upravnom, arbitražnom ili drugom istovrijednom postupku. Članak 17. Videonadzor radnih prostorija ne smije obuhvaćati prostorije za odmor, osobnu higijenu i presvlačenje. - DAVANJE OSOBNIH PODATAKA Članak 18. Udruženje obrtnika Ivanić-Grad je ovlaštena osobne podatke dati na korištenje drugim primateljima na temelju pisanog zahtjeva ako je to potrebno radi obavljanja poslova u okviru zakonom utvrđene djelatnosti primatelja. Pisani zahtjev mora sadržavati svrhu i pravni temelj za korištenje osobnih podataka te vrstu osobnih podataka koji se traže. Članak 19. Prije davanja osobnih podataka na korištenje drugim primateljima voditelj obrade osobnih podataka dužan je informirati ispitanika o davanju osobnih podataka drugim primateljima. Članak 20. Informacije se ne moraju dati ispitaniku ako se osobni podaci daju na korištenje za potrebe obrade u statističke svrhe ili u svrhe povijesnog ili znanstvenog istraživanja ili se prikupljaju iz postojećih zbirki osobnih podataka ili ako je obrada osobnih podataka izričito određena zakonom. - PRAVA I ZAŠTITA ISPITNIKA Članak 21. Ispitanik ima pravo uvida u osobne podatke sadržane u sustavu pohrane Udruženja obrtnika Ivanić-Grad koji se na njega odnose. Ispitanik ima pravo ograničavanja obrade osobnih podataka sadržanih u sustavu pohrane koji se na njega odnose. Udruženje obrtnika Ivanić-Grad će bez odgađanja, na zahtjev ispitanika ispraviti netočne podatke koji se na njega odnose odnosno, temeljem traženja ispitanika ili iste dopuniti. Udruženje obrtnika Ivanić-Grad će bez odgađanja, temeljem zahtjeva ispitanika, provesti brisanje osobnih podataka koji se na njega odnose pod uvjetom da osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili ako ispitanik povuče privolu na kojoj se obrada temelji. Ispitanik, ako smatra da mu je povrijeđeno neko pravo zajamčeno zakonom, ima pravo na ulaganje prigovora na obradu osobnih podataka Agenciji za zaštitu osobnih podataka. Članak 22. Ispitanik svoja prava može ostvariti putem zahtjeva za prava ispitanika objavljenih na web stranici www.hok.hr. - SUSTAV POHRANE I EVIDENCIJA AKTIVNOSTI OBRADE Članak 23. Udruženje obrtnika Ivanić-Grad prikuplja i obrađuje sljedeće vrste osobnih podataka: - podatke zaposlenika Udruženja obrtnika Ivanić-Grad ; - podatke o kandidatima koji sudjeluju u natječajnom postupku za zasnivanje radnog odnosa; - podatke članova Udruženja obrtnika Ivanić-Grad; - podatke dužnosnika Udruženja obrtnika Ivanić-Grad; - podatke ispitanika na ispitima koji su u nadležnosti Hrvatske obrtničke komore; - podatke članova ispitnih komisija; - podatke o licenciranim obrtima i mentorima u obrtima i pravnim osobama; - podatke sudaca Suda časti; - podatke izmiritelja Centra za mirenje; - podatke u spisima Suda časti; - podatke u spisima Centra za mirenje; - podatke vanjskih korisnika usluga Udruženja obrtnika Ivanić-Grad; - podatke pružatelja usluga i dobavljača Udruženja obrtnika Ivanić-Grad Članak 24. Za osobne podatke navedene u članku 23. ovog članka Udruženje obrtnika Ivanić-Grad vodi evidenciju aktivnosti obrade. Evidencija aktivnosti obrade sadrži najmanje sljedeće podatke: - naziv i kontaktne podatke Udruženja obrtnika Ivanić-Grad, predstavnika Udruženja i službenika za zaštitu podataka i osobe određene za obradu podataka; - svrha obrade; - opis kategorija ispitanika i kategorija osobnih podataka; - kategorije primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama ili međunarodne organizacije; - prijenose osobnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identificiranje te treće zemlje ili međunarodne organizacije te - predviđene rokove za brisanje različitih kategorija podataka; - opći opis tehničkih i organizacijskih sigurnosnih mjera za zaštitu podataka. Članak 25. Predsjednik Udruženja obrtnika Ivanić-Grad donosi odluku o osobama zaduženim za obradu i zaštitu osobnih podataka iz članka 24. ovog Pravilnika. - ZAŠTITA OSOBNIH PODATAKA Članak 26. Da bi se izbjegao neovlašteni pristup osobnim podacima, podaci u pisanom obliku čuvaju se u registratorima, u zaključanim ormarima, a podaci u računalu zaštićuju se vatrozidom i antivirusnim softwareom te dodjeljivanjem korisničkog imena i lozinke koja je poznata zaposlenicima zaduženim za obradu podataka. U slučaju prijenosa osobnih podataka potrebno je osigurati siguran prijenos. U slučaju dostupa do osobnih podataka izvana potrebno je osigurati siguran dostup. Članak 27. Osobe zadužene za obradu osobnih podataka dužne su poduzeti tehničke, kadrovske i organizacijske mjere zaštite osobnih podataka koje su potrebne da bi se osobni podaci zaštitili od slučajnog gubitka ili uništenja, od nedopuštenog pristupa ili nedopuštene promjene, nedopuštenog objavljivanja i svake druge zlouporabe. - IZVJEŠĆIVANJE O POVREDI Članak 28. Udruženje obrtnika Ivanić-Grad može protiv onoga za koga postoji sumnja da je zlouporabio osobne podatke, ili je neovlašteno ušao u zbirku osobnih podataka, postupiti sukladno zakonu. Pod zlouporabom osobnih podataka podrazumijeva se svaka uporaba osobnih podataka u svrhe koje nisu sukladne svrsi prikupljanja određene u evidenciji zbirke osobnih podataka. Članak 29. U slučaju narušavanja sigurnosti osobnih podataka Udruženje obrtnika Ivanić-Grad će bez odlaganja, a najkasnije u roku od 72 sata po otkrivanju incidenta, o tome izvijestiti nadležno tijelo. U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, Udruženje obrtnika Ivanić-Grad bez nepotrebnog odgađanja obavješćuje ispitanika o povredi osobnih podataka. Udruženje obrtnika Ivanić-Grad dokumentira sve povrede osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, njezine posljedice i mjere poduzete za popravljanje štete. - PROCJENA UČINKA NA ZAŠTITU PODATAKA Članak 30. Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca, Udruženje obrtnika Ivanić-Grad će prije obrade provesti procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka. Procjena učinka na zaštitu osobnih podataka nužna je za: – sustavne i opsežne procjene osobnosti i izrade profila ispitanika (kod odluka koje mogu imati pravne učinke), – sustavno praćenje javno dostupnog područja u velikoj mjeri. - DIZANJE SVIJESTI Članak 31. Udruženje obrtnika Ivanić-Grad provodi redovitu i adekvatnu edukaciju o informacijskoj sigurnosti i zaštiti osobnih podataka. Odgovarajuća edukacija provodi se na početku zaposlenja, a nakon toga najmanje jednom godišnje. Službenik za zaštitu osobnih podataka osigurava odgovarajuće informacije potrebne za edukaciju radnika o postupanju sa osobnim podacima i ovlašten je za savjetovanje i koordinaciju poslova u navedenom području. - PRIJELAZNE I ZAVRŠNE ODREDBE Članak 32. U dijelu o zaštiti, nadzoru nad prikupljanjem, obradi i korištenju osobnih podataka koji nije uređen ovim Pravilnikom, neposredno se primjenjuje Opća uredbe o zaštiti osobnih podataka (GDPR). Članak 33. Ovaj Pravilnik stupa na snagu danom donošenja. Urudžbeni broj: Zagreb, Predsjednica Udruženja obrtnika Ivanić-Grad Marina Hrastić