Polityka Ochrony Danych Osobowych

1. Osobami odpowiedzialnymi za wdrożenie i utrzymanie oraz nadzór i monitorowanie przestrzegania niniejszej Polityki oraz zasad ochrony danych osobowych jest Administrator: Main Partners Sp. z o.o. z siedzibą w Warszawie,
2. Za stosowanie Zbioru Polityk oraz zasad ochrony danych odpowiedzialni są wszyscy członkowie Personelu Spółki.
3. Za członków Personelu, w rozumieniu Zbioru Polityk, rozumie się następujące osoby pozostające w strukturach Administratora:
a. pracowników w rozumieniu prawa pracy
b. osoby zatrudnione na umowach cywilnoprawnych
c. współpracowników prowadzących działalność gospodarczą.
4. Członkowie Personelu określani są dalej w Zbiorze Polityk także jako „Pracownicy”/”Współpracownicy”

1. Zgodnie z przepisami RODO Administrator przetwarza dane osobowe w oparciu przede wszystkim o następujących zasady:
a. zasadę legalizmu – przetwarzanie danych odbywa się w oparciu o podstawę prawną, zgodnie z prawem oraz zachowaniem dbałości o ochronę prywatności;
b. zasadę bezpieczeństwa – zapewnienie odpowiedniego poziomu bezpieczeństwa przetwarzanym danym;
c. zasady prawidłowości, rzetelności oraz transparentności przetwarzania, dla osoby, której dane dotyczą
d. zasadę minimalizmu, co oznacza przetwarzanie:
(i) w konkretnych celach i nie więcej niż jest niezbędne dla realizacji tych celów (adekwatność)
(ii) nie dłużej niż jest to konieczne do realizacji celu (czasowość)
e. zasadę zapewnienia ochrony danych w fazie projektowania – wszelkie projekty już na etapie tworzenia winny uwzględniać obowiązek zapewnienia ochrony danych osobowych (kwestionariusze, zgody, aplikacje, itp.)
f. zasadę zapewnienia domyślnej ochrony danych – szczególnie w systemach informatycznych domyślnie przetwarzane powinny być wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia celu ich przetwarzania. Oznacza to zapewnienie ustawień zapewniających maksymalnie wysoką ochronę danych jako pierwotnych ustawień systemu informatycznego czy oprogramowania, a zmiana tych ustawień powinna następować jedynie na wyraźne żądanie Administratora.
2. Wszelkie działania dotyczące ochrony danych osobowych winny mieć na względzie sformułowaną w RODO zasadę rozliczalności, nakazującą dokumentowanie przez Administratora sposobu spełniania obowiązków tak, aby w każdej chwili móc wykazać zgodność z RODO.

1. Wszystkie osoby dokonujące przetwarzania danych osobowych mogą działać jedynie na podstawie oraz w granicach polecenia i upoważnienia wydanego przez Administratora.
2. Administrator prowadzi jest Rejestr Upoważnień.
3. Podmioty zewnętrzne (dalej: „Podmioty Przetwarzające”), a więc podmioty nie decydujące o celach i sposobach przetwarzania danych, dokonują przetwarzania danych osobowych jedynie na podstawie oraz w granicach umowy powierzenia danych osobowych zawartych z Administratorem.
4. Administrator prowadzi jest Rejestr Umów Powierzenia.

1. Wszelkie informacje kierowane do osób, których dane są przetwarzane przez lub w imieniu Administratora, winny wskazywać podstawę prawną przetwarzania. Przepisy RODO dopuszczają możliwość przetwarzania danych osobowych jedynie w ściśle określonych przypadkach, spośród których w występują następujące (należy wybrać właściwe dla danego rodzaju działalności):
• gdy osoba, której dane dotyczą, wyraziła zgodę, np. do celów marketingowych;
• gdy przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na Administratorze;
• gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej Administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
2. Administrator spełnia względem osób, których dane przetwarza, obowiązek informacyjny – przekazuje wymagane prawem informacje przy zbieraniu danych (klauzule informacyjne).
3. Klauzuli informacyjnej nie należy unikać w sytuacjach, gdy przetwarzanie jest dopuszczalne z innego tytułu, zwłaszcza jako niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
4. O fakcie profilowania należy poinformować osobę, której dane są profilowane, jak również należy uzyskać wyraźną zgodę tej osoby na profilowanie. Przez „profilowanie” rozumie się dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu tych danych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.
5. Osoba, której dane są przetwarzane, może w każdej chwili odwołać zgodę na przetwarzanie danych. Odwołanie zgody wywołuje wyłącznie skutki na przyszłość. W przypadku osób, które łączyła z Administratorem umowa, można przechowywać odpowiednio zabezpieczone dane w ilości niezbędnej do dochodzenia w przyszłości roszczeń z zawartej i realizowanej umowy, nie dłużej niż do czasu przedawnienia roszczeń lub odrębnych przepisów podatkowych.
6. W razie zajścia przypadku naruszenia ochrony danych osobowych polegającego w szczególności na:
• naruszeniu bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego prawem zniszczenia, utracenia albo zmodyfikowania danych osobowych;
• naruszeniu bezpieczeństwa prowadzącym do nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych obowiązuje ściśle określona w RODO procedura zgłaszania naruszenia danych oraz zawiadamiania osób, których dane dotyczą.
7. Osobie, której dane dotyczą, przysługuje prawo do bycia zapomnianą. Prawo to polega na:
• możliwości żądania przez osobę, której dane dotyczą, usunięcia jej danych osobowych przez Administratora,
• możliwości żądania, aby Administrator poinformował innych administratorów danych, którym udostępnił dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych lub ich kopie.
8. Osobie, której dane dotyczą, przysługuje prawo do przenoszenia danych. Prawo to polega na możliwości żądania:
• otrzymania przez osobę, której dane dotyczą, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, danych osobowych jej dotyczących, które dostarczyła Administratorowi
• prawo przesłania przez osobę, której dane dotyczą, danych osobowych jej dotyczących, które dostarczyła Administratorowi – innemu administratorowi, bez przeszkód ze strony Administratora.
9. Prawo do przenoszenia danych może być wykonane wyłącznie wtedy, gdy:
• przetwarzanie danych odbywa się na podstawie zgody lub w celu wykonania umowy oraz
• przetwarzanie danych odbywa się w sposób zautomatyzowany. Prawo do przenoszenia danych obejmuje tylko dane osobowe przetwarzane przy użyciu systemów informatycznych i nie obejmuje tradycyjnych, np. papierowych zbiorów danych.

1. Jeżeli podstawą przetwarzania danych osobowych jest zgoda, dane osobowe mogą być przetwarzane tak długo, aż zgoda nie zostanie odwołana, chyba że szczegółowe polityki stanowią inaczej, w tym procedura usuwania oraz wytyczne dotyczące przechowywania danych osobowych archiwizacji i usuwania dokumentów zawierających dane osobowe
2. Jeżeli podstawą przetwarzania danych osobowych jest wykonanie umowy, dane osobowe mogą być przetwarzane tak długo, jak jest to niezbędne do wykonania umowy, a po tym czasie przez okres wynikający z obowiązku przechowywania danych księgowych i rachunkowych (na podstawie obowiązujących przepisów) lub przez okres niezbędny do dochodzenia lub przedawnienia roszczeń, jakie może podnosić Administrator lub jakie mogą być podnoszone w stosunku do Administratora.
3. W pozostałych kwestiach okres przechowywania danych uregulowany jest osobnymi przepisami, które są respektowane przez Administratora.

1. Należy mieć na uwadze, że przepisy RODO nie wskazują konkretnych środków zabezpieczenia danych osobowych, jednakże wprowadzają zasadę, że dobór środków bezpieczeństwa powinien być oparty o:

• stan wiedzy technicznej,
• koszt wdrażania,
• charakter, zakres, kontekst i cele przetwarzania,
• ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia.

2. Administrator uwzględniając cel i kontekst przetwarzania danych osobowych, przeprowadził ocenę i analizę ryzyka jakie wiąże się z ich przetwarzaniem; na tej podstawie zastosował odpowiednie środki techniczne i organizacyjne zabezpieczające dane (w tym w szczególności procedury, polityki, środki kryptograficzne, pseudonimizację).
3. Administrator wdrożył szereg procedur mających na celu realizację ciągłości działania zgodnych z RODO i obowiązującymi przepisami.