Polityka RODO

Niniejszy dokument opisuje ramy organizacyjne stosowane przez GORQELON w celu zarządzania ochroną danych osobowych zgodnie z zasadami wynikającymi z rozporządzenia (UE) 2016/679 (RODO).

Dokument koncentruje się na sposobie organizacji zgodności, podziale odpowiedzialności, zapobieganiu ryzyku oraz procedurach związanych z ochroną danych osobowych.

1. Odpowiedzialność za ochronę danych

Ochrona danych osobowych stanowi istotny element działań prowadzonych za pośrednictwem strony.

Sposób przetwarzania danych jest oceniany z uwzględnieniem w szczególności:

  • charakteru danej czynności;

  • wykorzystywanych technologii;

  • możliwego ryzyka dla praw i wolności osób, których dane dotyczą.

Jeżeli zmienią się wykonywane działania, stosowane narzędzia lub inne okoliczności mogące wpływać na bezpieczeństwo i zgodność przetwarzania, odpowiednie procedury ochrony danych mogą zostać ponownie ocenione.

2. Ochrona danych na etapie projektowania

Przy wprowadzaniu nowych funkcji, narzędzi lub procesów, które mogą wiązać się z przetwarzaniem danych osobowych, wymagania dotyczące ochrony danych są uwzględniane już na etapie ich projektowania.

W odpowiednich przypadkach konfiguracja systemów opiera się na zasadach mających na celu:

  • ograniczenie dostępu do danych osobowych do zakresu rzeczywiście niezbędnego;

  • ograniczenie wykorzystania danych do poziomu koniecznego do realizacji określonych działań.

Oceniane są również ustawienia domyślne, aby w możliwym zakresie ograniczać niepotrzebne przetwarzanie danych osobowych.

3. Ocena i zarządzanie ryzykiem

Czynności obejmujące przetwarzanie danych osobowych są oceniane z uwzględnieniem ryzyka, jakie mogą powodować dla praw i wolności osób, których dane dotyczą.

Przy ocenie ryzyka mogą być brane pod uwagę między innymi:

  • charakter przetwarzania;

  • ilość przetwarzanych danych;

  • rodzaj danych;

  • wykorzystywane technologie;

  • sposób dostępu do danych;

  • możliwe skutki nieuprawnionego wykorzystania danych.

Jeżeli dana czynność może wiązać się z wysokim ryzykiem, oceniana jest konieczność przeprowadzenia oceny skutków dla ochrony danych, czyli DPIA (Data Protection Impact Assessment), zgodnie z wymaganiami RODO.

4. Ocena skutków dla ochrony danych

Jeżeli spełnione są przesłanki określone w RODO, ocena skutków dla ochrony danych może zostać przeprowadzona przed rozpoczęciem odpowiedniej czynności przetwarzania.

Jej głównym celem jest:

  • identyfikacja ryzyka;

  • ocena prawdopodobieństwa oraz możliwej skali jego skutków;

  • określenie środków potrzebnych do ograniczenia ryzyka;

  • ocena, czy dane przetwarzanie może być prowadzone przy zapewnieniu odpowiedniego poziomu ochrony danych.

Jeżeli po przeprowadzeniu oceny nadal występuje ryzyko, którego nie można wystarczająco ograniczyć za pomocą odpowiednich środków, dalsze działania są rozpatrywane zgodnie z wymaganiami obowiązujących przepisów.

5. Zarządzanie podmiotami przetwarzającymi dane

Jeżeli GORQELON korzysta z usług zewnętrznych podmiotów, które przetwarzają dane osobowe w jego imieniu, przy ich wyborze uwzględniane są zabezpieczenia wymagane przez mające zastosowanie przepisy o ochronie danych.

Zakres powierzonych czynności jest określany odpowiednio do rzeczywistych potrzeb oraz przypisanych obowiązków.

Jeżeli wymaga tego RODO, relacja z podmiotem przetwarzającym dane osobowe w imieniu GORQELON jest regulowana za pomocą umowy lub innego prawnie wiążącego dokumentu spełniającego obowiązujące wymagania.

Upoważnione podmioty powinny przetwarzać dane:

  • wyłącznie w zakresie powierzonych im czynności;

  • zgodnie z mającymi zastosowanie instrukcjami.

6. Uprawnienia i kontrola dostępu

Dostęp do danych osobowych jest ograniczany zgodnie z rzeczywistą potrzebą wynikającą z wykonywanych obowiązków.

Uprawnienia są przydzielane odpowiednio do zakresu odpowiedzialności i mogą zostać zmienione lub odebrane, gdy przestają być potrzebne.

Celem takiego podejścia jest ograniczenie ryzyka nieuprawnionego przeglądania, wykorzystywania lub modyfikowania danych osobowych.

7. Postępowanie w przypadku naruszenia ochrony danych

Zdarzenia, które mogą wpływać na bezpieczeństwo danych osobowych, są oceniane z uwzględnieniem:

  • charakteru zdarzenia;

  • jego zakresu;

  • możliwych konsekwencji.

W przypadku stwierdzenia naruszenia ochrony danych podejmowane są odpowiednie działania mające na celu ograniczenie jego skutków oraz, w miarę możliwości, zmniejszenie potencjalnego ryzyka.

Jeżeli obowiązujące przepisy wymagają zgłoszenia naruszenia właściwemu organowi nadzorczemu lub poinformowania osób, których dane dotyczą, obowiązki te są realizowane na warunkach i w terminach wynikających z RODO.

8. Rejestry i dokumentacja dotycząca przetwarzania

W zależności od charakteru i skali prowadzonej działalności, a także w przypadkach wymaganych przez prawo, prowadzone mogą być odpowiednie rejestry i dokumentacja pozwalające wykazać zastosowanie środków wymaganych przez RODO.

Dokumentacja może dotyczyć w szczególności:

  • czynności przetwarzania danych osobowych;

  • zastosowanych środków technicznych i organizacyjnych;

  • ocen ryzyka;

  • nadanych uprawnień dostępu;

  • działań podjętych w związku z ochroną danych osobowych.

9. Świadomość i szkolenie

Osoby posiadające uprawnienia do dostępu do danych osobowych powinny znać obowiązki związane z ich właściwym wykorzystywaniem.

W zależności od zakresu wykonywanych czynności działania informacyjne lub szkoleniowe mogą obejmować:

  • obowiązek zachowania poufności;

  • prawidłowe zasady dostępu do danych;

  • sposób obsługi żądań osób, których dane dotyczą;

  • działania wymagane w przypadku wystąpienia lub podejrzenia incydentu bezpieczeństwa.

Uzyskanie dostępu do danych osobowych nie oznacza prawa do wykorzystywania ich w celach wykraczających poza zakres przyznionych uprawnień.

10. Inspektor ochrony danych

Inspektor ochrony danych (DPO) zostanie wyznaczony, jeżeli spełnione zostaną warunki, w których obowiązek taki wynika z RODO.

Konieczność wyznaczenia DPO jest oceniana z uwzględnieniem między innymi:

  • charakteru przetwarzania;

  • zakresu przetwarzania;

  • celu przetwarzania;

  • skali prowadzonych czynności.

Niniejszy dokument sam w sobie nie stanowi oświadczenia, że inspektor ochrony danych został już wyznaczony.

11. Współpraca z organem nadzorczym

Jeżeli wymagają tego obowiązujące przepisy, GORQELON współpracuje z właściwym organem nadzorczym w sprawach związanych z ochroną danych osobowych.

W odniesieniu do działań podlegających polskim przepisom dotyczącym ochrony danych właściwym krajowym organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO).

Współpraca może obejmować w szczególności:

  • udzielanie odpowiedzi na żądania organu nadzorczego;

  • współpracę podczas kontroli lub czynności sprawdzających;

  • obsługę wymaganej prawem korespondencji.

12. Przegląd zgodności

Procedury związane z ochroną danych osobowych mogą być ponownie analizowane w przypadku istotnych zmian dotyczących:

  • wykonywanych działań;

  • wykorzystywanych systemów;

  • zidentyfikowanych ryzyk;

  • obowiązujących przepisów.

Przegląd może obejmować między innymi:

  • skuteczność zastosowanych zabezpieczeń;

  • uprawnienia dostępu do danych;

  • procedury organizacyjne;

  • wcześniej zidentyfikowane i nowe ryzyka.

Jeżeli jest to konieczne, odpowiednie rozwiązania mogą zostać dostosowane tak, aby poziom ochrony danych odpowiadał rzeczywistemu charakterowi wykonywanych działań.

13. Aktualizacja zasad zgodności z RODO

Niniejszy dokument może być aktualizowany w związku ze zmianami dotyczącymi:

  • obowiązujących przepisów;

  • stosowanych technologii;

  • organizacji procesów;

  • sposobu zarządzania czynnościami przetwarzania danych osobowych.

Zmiany są uwzględniane wtedy, gdy jest to potrzebne do zachowania spójności oraz odpowiedniego poziomu organizacji ochrony danych.

14. Kontakt

W sprawach dotyczących niniejszych zasad zgodności z RODO lub organizacji ochrony danych osobowych można skontaktować się za pomocą poniższych danych:

Nazwa sklepu: GORQELON

Adres kontaktowy:
628 N Augusta Ave
Baltimore, MD 21229
USA

Telefon:
+1 (410) 728-4617

E-mail:
service@gorqelon.com

Obsługiwany rynek: Polska