1. Postanowienia wstępne i zagadnienia definicyjne

 

1.1.  Administratorem Państwa danych osobowych, w rozumieniu przepisów o ochronie danych osobowych, jest VELMA ESG spółka z ograniczoną odpowiedzialnością z siedzibą w Poznaniu (61-131), przy ul. Milczańskiej 22/104, wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy Poznań- Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS: 0000933214, NIP: 7822904079 (dalej zwana: „VELMA ESG”).

1.2.  Administratorem Systemów Informatycznych (ASI) jest osoba wyznaczona przez Administratora, koordynująca działania związane z zapewnieniem bezpieczeństwa systemów informatycznych, w tym również odpowiadająca za nadzór nad zabezpieczeniem danych osobowych przetwarzanych w systemach informatycznych wykorzystywanych przez Administratora.

1.3.  Dane osobowe oznaczają, wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (np.: imię i nazwisko, adres, adres poczty elektronicznej, numer konta, adres IP). Informacje, których nie można powiązać z Państwa tożsamością (np. informacje statystyczne) nie są uznawane za dane osobowe.

1.4.  Organem nadzorczym jest niezależny organ publiczny w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem oraz ułatwiania swobodnego przepływu danych osobowych w Unii, powołany w każdym państwie członkowskim Unii, którego podstawowym zadaniem jest monitorowanie stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1) – dalej zwanego „RODO”.

1.5.  Niniejszy dokument (dalej zwany: Polityką Prywatności) jest informacją na temat zasad przetwarzania i ochrony danych osobowych zbieranych przez VELMA ESG od Państwa w szczególności w związku z nabywaniem produktów VELMA ESG, korzystaniem z usług VELMA ESG (w tym świadczonych drogą elektroniczną), zapytaniami kierowanymi do VELMA ESG (w tym za pośrednictwem formularzy kontaktowych), procesem ofertowania, udziałem w wydarzeniach organizowanych przez VELMA ESG, udziałem w procesie rekrutacji pracowników VELMA ESG, wymianą korespondencji.

1.6.  Bardzo poważnie traktujemy ochronę Państwa prywatności i Państwa danych osobowych. Zbieramy, przechowujemy i wykorzystujemy Państwa dane osobowe wyłącznie zgodnie z treścią niniejszej polityki prywatności i obowiązującymi przepisami o ochronie danych osobowych, w szczególności zgodnie z RODO..

1.7.  Polityka Prywatności ma charakter informacyjny i nie stanowi źródła obowiązków dla osób, których dane osobowe są przetwarzane zgodnie jej postanowieniami, a jedną z jej głównych funkcji jest wypełnianie obowiązku informacyjnego, o którym mowa w art. 13 i art. 14 RODO.

1.8.  Żądania informacji, usunięcia lub aktualizacji danych przeprowadzane będą niezwłocznie, z zastrzeżeniem ustawowych okresów przechowywania.

1.9.  Niniejsza Polityka Prywatności nie obejmuje przetwarzania danych osobowych użytkowników strony internetowej velmaesg.com, dla którego obowiązuje odrębna polityka prywatności.

 

2. Cel i podstawa przetwarzania danych osobowych

 

2.1.  Posiadamy Państwa dane, jeżeli sami je udostępniliście VELMA ESG, w szczególności w związku z nabywaniem produktów VELMA ESG lub korzystaniem z usług VELMA ESG albo dostawą lub świadczeniem usług na rzecz VELMA ESG, a także w związku z kierowanymi do VELMA ESG zapytaniami, procesem ofertowania, udziałem w organizowanych przez VELMA ESG wydarzeniach, udziałem w procesie rekrutacji, wymianą korespondencji oraz wykonywaniem pracy na rzecz VELMA ESG.

2.2.  Zapisy niniejszej Polityki Prywatności stosuje się odpowiednio do osób, których dane osobowe VELMA ESG pozyskała od innej osoby niż ta, której dane dotyczą, a także do przetwarzania danych osobowych tychże osób.

2.3.  Dane osobowe pozyskiwane od Państwa przez VELMA ESG przetwarzane są zgodnie z zasadami przetwarzania danych osobowych określonych a art. 5 RODO. Oznacza to, że dane przetwarza się:

a             zgodnie z prawem, w oparciu o co najmniej jedną przesłankę legalności przetwarzania danych osobowych wskazaną w art. 6 lub 9 RODO (zasada legalności),

b             w sposób rzetelny przy uwzględnieniu interesów i rozsądnych oczekiwań osób, których dane dotyczą (zasada rzetelności),

c              w sposób przejrzysty dla osób, których dane dotyczą (zasada przejrzystości),

d             w konkretnych, wyraźnych i prawnie uzasadnionych celach (zasada ograniczenia celu),

e             w zakresie adekwatnym, stosownym oraz niezbędnym dla celów, w których są przetwarzane (zasada minimalizacji danych),

f               przy uwzględnieniu ich prawidłowości i ewentualnego uaktualniania (zasada prawidłowości),

g             przez okres nie dłuższy, niż jest to niezbędne dla celów, w których są przetwarzane (zasada ograniczenia przechowywania),

2.4.  Dane osobowe przetwarza się w następujących celach, zależnie od sytuacji, w której dane zostały podane:

a             zawarcia i wykonania umowy zawartej z VELMA ESG (niezależnie od formy jej zawarcia) – w zakresie niezbędnym do nawiązania, ukształtowania treści, zmiany, rozwiązania i prawidłowej realizacji umowy;

b             wykonania ciążących na VELMA ESG obowiązków prawnych, np. wystawianie i przechowywanie faktur oraz dokumentów księgowych, udzielanie odpowiedzi na reklamacje, realizacja obowiązków wynikających z rękojmi za wady produktów, zapewnienie bezpieczeństwa świadczonych usług;

c              ustalenia, obrony i dochodzenia roszczeń;

d             marketingu bezpośredniego naszych produktów i usług,

e             tworzenia raportów, analiz i statystyk na nasze potrzeby wewnętrzne, obejmujące w szczególności raportowanie, badania marketingowe, planowanie rozwoju usług, prace rozwojowe w systemach informatycznych.

2.5.  Dane osobowe przetwarzane są przez VELMA ESG w związku z prowadzeniem przez nią działalności gospodarczej.

2.6.  W zakresie, w jakim przetwarzanie Państwa danych osobowych jest niezbędne do:

a             wykonania umowy zawartej z Państwem lub do podjęcia działań na Państwa żądanie przed zawarciem umowy – podstawą prawną przetwarzania Państwa danych osobowych przez VELMA ESG jest umowa;

b             wypełnienia obowiązku prawnego ciążącego na VELMA ESG – podstawą prawną jest ten obowiązek prawny;

c              celów wynikających z prawnie uzasadnionych interesów realizowanych przez VELMA ESG, w tym wskazanych w pkt. 2.4. lit. c-e – podstawą prawną jest prawnie uzasadniony interes VELMA ESG.

2.7.  Jeżeli wykorzystanie przez nas Państwa danych nie jest konieczne do wykonania umowy, realizacji obowiązku prawnego lub nie stanowi naszego prawnie uzasadnionego interesu, możemy prosić o wyrażenie zgody na określone sposoby wykorzystania Państwa danych. Udzieloną zgodę mogą Państwo w każdej chwili wycofać (nie będzie to wpływać na zgodność z prawem wykorzystania Państwa danych przed cofnięciem takiej zgody).

2.8.  Dane osobowe nie są wykorzystane do celów innych niż określone w Polityce Prywatności, chyba że VELMA ESG uzyska od Państwa zgodę na przetwarzanie danych w innych celach, lub też inny sposób wykorzystania tych informacji będzie wymagany lub dopuszczony przez przepisy prawa.

2.9.  Podanie przez Państwa danych osobowych nie jest obowiązkowe, jednakże ich niepodanie spowoduje, że VELMA ESG nie będzie w stanie wykonać działań, na potrzeby których dane są wymagane.

 

3. Przysługujące Państwu uprawnienia

 

3.1.  Każda osoba, której dane osobowe są przetwarzane przez VELMA ESG ma prawo dostępu do treści swoich danych osobowych oraz niezwłocznego sprostowania danych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania, osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia.

3.2.  W razie udzielenia przez Państwa zgody na przetwarzanie danych, zgoda może być przez Państwa cofnięta w każdym czasie.

3.3.  Osoba udostępniające swoje dane osobowe VELMA ESG ma prawo żądania od VELMA ESG niezwłocznego usunięcia dotyczących jej danych osobowych, a VELMA ESG ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:

a             dane osobowe nie są już niezbędne do celów, w których zostały zebrane;

b             osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania;

c              osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania;

d             dane osobowe były przetwarzane niezgodnie z prawem;

e             dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego. któremu podlega VELMA ESG.

3.4.  Osoby udostępniające swoje dane osobowe VELMA ESG mają prawo żądać ograniczenia przetwarzania danych osobowych w przypadku, gdy:

a             osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający VELMA ESG sprawdzić prawidłowość tych danych;

b             przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;

c              VELMA ESG nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;

d             osoba, której dane dotyczą, wniosła sprzeciw wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie VELMA ESG są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.

3.5.  Jeżeli przetwarzanie danych osobowych przez VELMA ESG odbywa się w sposób zautomatyzowany na podstawie zgody lub umowy, osoba, której dane dotyczą ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe jej dotyczące, które dostarczyła VELMA ESG, oraz ma prawo przesłać te dane osobowe innemu administratorowi. Osoba, której dane dotyczą, ma prawo żądania, by dane osobowe zostały przesłane przez VELMA ESG bezpośrednio innemu administratorowi, o ile jest to technicznie możliwe. W celu realizacji tych uprawnień można skontaktować się z VELMA ESG w sposób wskazany w pkt. 7.

3.6.  VELMA ESG poinformuje o sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania, których dokonała na Państwa żądanie, każdego odbiorcę, któremu ujawniono dane osobowe, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku.

3.7.  W związku z przetwarzaniem Państwa danych osobowych przez VELMA ESG przysługuje Państwu prawo wniesienia skargi do organu nadzorczego

 

4. Okres przechowywania danych osobowych

 

Państwa dane osobowe będą przechowywane nie dłużej niż jest to konieczne do realizacji celów ich przetwarzania, tj.:

a             w przypadku zawarcia z nami umowy lub zamiaru doprowadzenia do zawarcia umowy – przez czas trwania umowy i rozliczeń po jej zakończeniu lub do upływu terminu przedawnienia roszczeń wynikających z takiej umowy;

b             przez czas trwania okresu rękojmi za wady lub gwarancji jakości udzielonej w umowie – zakresie niezbędnym do świadczenia gwarancji lub rękojmi;  

c              w przypadku przetwarzania Państwa danych do celów ustalenia, dochodzenia lub obrony roszczeń – przez okres, po którym dane roszczenia się przedawnią;

d             w przypadku przetwarzania przez nas danych osobowych na podstawie Państwa zgody na określone sposoby wykorzystania danych, Państwa dane będą przetwarzane w okresie wskazanym przy uzyskaniu zgody, a w razie braku takiego wskazania – do czasu wycofania przez Państwa zgody;

e             w przypadku wypełniania obowiązku prawnego ciążącego na VELMA ESG – przez czas wykonywania tych obowiązków oraz przez czas, w którym przepisy nakazują przechowywanie danych;

f               dla celów wynikających z prawnie uzasadnionych interesów realizowanych przez VELMA ESG – przez czas zasadny do ich realizacji.

 

5. Powierzenie danych osobowych

 

5.1.  Administrator realizując Politykę Prywatności dopuszcza, by dane osobowe, których jest administratorem były przetwarzane poza własnymi strukturami organizacyjnymi. Może się to odbywać wyłącznie na drodze powierzenia danych, w określonym celu i zakresie, podmiotowi przetwarzającemu na mocy umowy powierzenia przetwarzania danych osobowych lub innego instrumentu prawnego.

5.2.  Państwa dane przekazujemy podmiotom przetwarzającym dane w naszym imieniu, uczestniczącym w wykonywaniu naszych czynności:

a             partnerom handlowym, agencjom reklamowym i innym podmiotom pośredniczącym w sprzedaży produktów i usług VELMA ESG lub organizacji akcji marketingowych;

b             podmiotom świadczącym nam usługi doradcze, konsultacyjne, audytowe, pomoc prawną, podatkową, rachunkową, agencjom badawczym działającym na zlecenie VELMA ESG.

5.3.  Państwa dane przekazujemy administratorom danych, przetwarzającym dane we własnym imieniu:

a             podmiotom prowadzącym działalność pocztową lub kurierską;

b             podmiotom nabywającym wierzytelności lub zajmującym się ich windykacją – w razie nieuregulowania przez Państwa należnych płatności w terminie;

c              podmiotom współpracującym z VELMA ESG przy obsłudze spraw podatkowych, lub prawnych, niezależnym audytorom lub biegłym rewidentom – w zakresie, w jakim staną się niezależnym administratorem danych.

5.4.  Obecnie VELMA ESG nie planuje przekazywać Państwa danych poza Europejski Obszar Gospodarczy (EOG).

5.5.  VELMA ESG może udostępnić dane osobowe na wniosek władz lub organów ścigania, lub gdy jest to wymagane przez stosowne ustawy, wyroki sądowe lub inne przepisy państwowe. Konieczność udostępnienia danych osobowych może być również spowodowana przeprowadzaniem audytów w zakresie prywatności danych lub bezpieczeństwa i/lub podczas rozpatrywania skarg lub podejmowania działań związanych z zagrożeniem bezpieczeństwa.

5.6.  VELMA ESG nie sprzedaje danych osobowych osobom trzecim.

 

6. Zabezpieczanie danych osobowych

 

6.1.  VELMA ESG oświadcza, iż dokłada starań, aby zapewnić wysoki poziom bezpieczeństwa przetwarzanych przez siebie danych osobowych. Wszelkie zdarzenia mające wpływ na bezpieczeństwo danych, w tym również dotyczące podejrzenia udostępniania plików zawierających wirusy i innych plików o podobnym charakterze lub innych, aniżeli pliki mechanizmów destrukcyjnych należy zgłaszać na adres e-mail wskazany w pkt 11. poniżej.

6.2.  VELMA ESG stosuje środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpiecza dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem obowiązujących przepisów oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

6.3.  Ponadto VELMA ESG dokłada szczególnej staranności, żeby informacje osobowe były:

a             poprawne i przetwarzane w sposób zgodny z prawem,

b             uzyskane tylko dla określonych celów i nie przetwarzane dalej w sposób niezgodny z tymi celami,

c              adekwatne, odpowiednie i nie nadmiarowe,

d             dokładne i aktualne,

e             nie przechowywane dłużej niż to konieczne,

f               przetwarzane zgodnie z prawami przysługującymi osobom (których dotyczą), w tym zgodnie z prawem do zastrzeżenia udostępniania,

g             bezpiecznie przechowywane,

h             nie transferowane bez odpowiedniej ochrony.

6.4.  Dane osobowe są przechowywane w bazie danych, w której zastosowano środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych zgodne z wymaganiami określonymi przez powszechnie obowiązujące przepisy prawa dotyczące ochrony danych osobowych. Dostęp do bazy mają jedynie osoby, posiadające upoważnienia nadane przez Administratora.

6.5.  Przebywanie osób nieuprawnionych do przetwarzania danych w pomieszczeniu, w którym przetwarzane są dane osobowe jest dopuszczalne tylko w obecności osoby upoważnionej do ich przetwarzania, chyba, że dane te są w odpowiedni sposób zabezpieczone przed dostępem.

6.6.  Pracownicy mający dostęp do danych osobowych nie mogą ich ujawniać zarówno w miejscu pracy, jak i poza nim, w sposób wykraczający poza czynności związane z ich przetwarzaniem, w zakresie obowiązków służbowych, w ramach udzielonego upoważnienia do przetwarzania danych.

6.7.  Pracownicy przechowujący dane osobowe zobowiązani są do zabezpieczenia materiałów zawierających dane w sposób uniemożliwiający dostęp do nich osobom nieuprawnionym.

6.8.  Niedopuszczalnym jest wynoszenie materiałów zawierających dane osobowe poza obszar ich przetwarzania bez związku z wykonywaniem czynności służbowych. Za bezpieczeństwo i zwrot materiałów zawierających dane osobowe odpowiada w tym przypadku osoba dokonująca ich wyniesienia oraz jej bezpośredni przełożony.

6.9.  Nikomu nie należy udostępniać indywidualnych haseł i identyfikatorów do systemów informatycznych.

6.10.                    Wysyłanie seryjnych wiadomości e-mail wymaga zastosowania opcji kopia ukryta.

6.11.                    Nie można udzielać informacji dotyczących danych osobowych innym podmiotom na podstawie prośby o takie dane skierowanej w formie zapytania telefonicznego.

6.12.                    W miejscu przetwarzania danych osobowych utrwalonych w formie papierowej pracownicy zobowiązani są do stosowania zasady tzw. czystego biurka, która oznacza niepozostawianie materiałów zawierających dane osobowe w miejscu umożliwiającym fizyczny dostęp do nich osobom nieuprawnionym. Za realizację powyższej zasady odpowiedzialny jest na swym stanowisku każdy z pracowników. Nie należy pozostawiać danych osobowych w miejscach ogólnodostępnych takich jak np. biurka, blaty, parapety.

6.13.                    Niszczenie brudnopisów, błędnych lub zbędnych kopii materiałów zawierających dane osobowe odbywać się musi w sposób uniemożliwiający odczytanie zawartej w nich treści, np. z wykorzystaniem niszczarek.

6.14.                    Za bezpieczeństwo przetwarzania danych osobowych w określonym zbiorze indywidualną odpowiedzialność ponosi przede wszystkim każdy pracownik mający dostęp do danych.

6.15.                    W czasie chwilowej nieobecności pracowników w pomieszczeniach, w godzinach pracy jak i po zakończeniu pracy, są oni zobowiązani do zamykania na klucz pomieszczeń lub budynków wchodzących w skład obszarów, w których przetwarzane są dane osobowe.

6.16.                    Klucze do pomieszczeń, w których przetwarzane są dane osobowe nie mogą być pozostawione w zamku w drzwiach. Pracownicy zobowiązani są do dołożenia należytej staranności w celu zabezpieczenia kluczy przed udostępnieniem ich osobom nieupoważnionym.

6.17.                    Przed wyjściem z pomieszczenia, w którym przechowywane są dane osobowe należy upewnić się, że zostało ono odpowiednio zabezpieczone (zamknięte okna, drzwi).

6.18.                    Po zakończeniu pracy w systemie informatycznym, w którym przechowywane są dane osobowe, należy wylogować się z systemu.

6.19.                    Osoba użytkująca komputer przenośny zawierający dane osobowe zobowiązana jest do zachowania szczególnej ostrożności podczas jego transportu, przechowywania i użytkowania poza obszarem, w którym przetwarzane są dane osobowe.

6.20.                    Na pracowniku pracującym zdalnie spoczywa obowiązek odpowiedniego zabezpieczenia danych tak, aby osoby trzecie nie miały dostępu do danych osobowych.

6.21.                    Dane osobowe przesyłane elektronicznie powinny być zabezpieczone hasłem. Hasło to powinno być wysyłane oddzielnym kanałem telekomunikacyjnym.

 

7. Struktura organizacji ochrony danych osobowych

 

7.1.  Za przetwarzanie danych osobowych oraz ich ochronę wdrożonych w VELMA ESG odpowiada Administrator, Administrator Systemów Informatycznych oraz osoby upoważnione do przetwarzania danych osobowych.

7.2.  Administrator odpowiedzialny jest za:

a             zapewnienie odpowiednich środków organizacyjnych i technicznych w celu zapewnienia i wykazania przetwarzania danych osobowych zgodnie z określonymi w RODO zasadami przetwarzania danych osobowych,

b             wdrożenie odpowiednich procedur ochrony danych osobowych,

c              informowanie o obowiązkach wynikających z RODO oraz innych właściwych przepisów Unii lub państw członkowskich o ochronie danych osobowych oraz doradzanie w tym zakresie,

d             jeśli uzna to za konieczne, stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji, jako element dla stwierdzenia przestrzegania przez Administratora ciążących na nim obowiązków,

e             zapewnienie środków umożliwiających prawidłową realizację praw osób, których dane dotyczą,

f               działania zwiększające świadomość pracowników Administratora w zakresie obowiązków wynikających z RODO lub przyjętych procedur,

g             przeprowadzanie audytów w zakresie przestrzegania RODO i wdrożonych procedur ochrony danych osobowych,

h             prowadzenie rejestru czynności przetwarzania danych osobowych,

i                prowadzenie rejestru kategorii przetwarzania dokonywanych w imieniu innego administratora,

j                współpracę z organem nadzorczym w ramach wykonywania przez niego swoich zadań,

k              pełnienie funkcji punktu kontaktowego dla osób, których dane dotyczą, we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy RODO.

l                wdrożenie odpowiednich środków organizacyjnych i technicznych, aby zapewnić stopień bezpieczeństwa odpowiadający istniejącemu ryzyku naruszenia praw lub wolności osób, których dane dotyczą,

m           zgłaszanie naruszenia ochrony danych osobowych właściwemu organowi nadzorczemu, a w przypadku, gdy zajdą ku temu odpowiednie przesłanki, również osobie, której dane dotyczą,

n             dokumentowanie wszelkich naruszeń ochrony danych osobowych, w tym okoliczności naruszenia, jego skutków oraz podjętych działań zaradczych,

o             zapewnienie odpowiednich środków w celu dokonania oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych w sytuacji, jeżeli dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w tym, jeżeli zajdą ku temu odpowiednie przesłanki, konsultację z organem nadzorczym,

p             nadawanie upoważnień do przetwarzania danych osobowych oraz prowadzenie ewidencji osób upoważnionych do przetwarzania danych osobowych,

q             zapewnienie legalności przekazywania danych osobowych do podmiotów trzecich.

7.3.  Funkcję Administratora Systemów Informatycznych pełni osoba wyznaczona przed Administratora. W przypadku braku jej wyznaczenia, funkcję tę pełni Administrator.

7.4.  Do zadań Administratora Systemów Informatycznych należy:

a             prowadzenie rejestru nadanych uprawnień do systemów informatycznych,

b             nadzór nad stosowaniem środków zapewniających bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych, a w szczególności przeciwdziałających dostępowi osób niepowołanych do tych systemów,

c              podejmowanie odpowiednich działań w przypadku wykrycia naruszeń w systemie zabezpieczeń,

d             identyfikacja i analiza zagrożeń oraz ocena ryzyka, na które może być narażone przetwarzanie danych osobowych w systemach informatycznych,

e             sprawowanie nadzoru nad kopiami zapasowymi,

f               inicjowanie i nadzór nad wdrażaniem nowych narzędzi, procedur organizacyjnych oraz sposobów zarządzania systemami informatycznymi, które mają doprowadzić do wzmocnienia bezpieczeństwa przy przetwarzaniu danych osobowych,

g             podejmowanie innych czynności w zakresie zabezpieczenia przetwarzania danych w systemach informatycznych,

h             dokonywanie cyklicznych przeglądów aktualności i stosowania procedur z zakresu przetwarzania danych w systemach informatycznych, na podstawie opracowanego planu przeglądów.

7.5.  VELMA ESG nie powołała Inspektora Ochrony Danych Osobowych.

 

8. Osoby upoważnione do przetwarzania danych osobowych

 

8.1.  Administrator realizując Politykę Prywatności, w zakresie udostępniania danych osobowych w ramach własnej (wewnętrznej) struktury, zezwala na ich przetwarzanie w systemie informatycznym lub w wersji papierowej wyłącznie osobom, które uzyskały uprzednie, stosowne upoważnienie do przetwarzania danych osobowych.

8.2.  Upoważnienie do przetwarzania danych osobowych, nadawane jest indywidualnie, z wyraźnym wskazaniem, jakie zbiory danych obejmuje swoim zakresem.

8.3.  Każda osoba, która uzyskała upoważnienie do przetwarzania danych, zobowiązana jest do ich ochrony w sposób zgodny z przepisami prawa powszechnie obowiązującego oraz postanowieniami Polityki Prywatności.

8.4.  Osoba upoważniona zobowiązana jest do zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia. Obowiązek ten istnieje także po ustaniu zatrudnienia.

8.5.  Naruszenie obowiązku ochrony danych osobowych, a w szczególności obowiązku zachowania danych osobowych w tajemnicy skutkuje poniesieniem odpowiedzialności karnej na podstawie przepisów ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. oraz stanowi ciężkie naruszenie obowiązków pracowniczych i może być podstawą rozwiązania stosunku pracy w trybie art. 52 ustawy z dnia 26 czerwca 1974 r. Kodeks Pracy, bądź rozwiązania stosunku cywilnoprawnego.

 

9. Rejestr przetwarzania danych
   1.   Administrator prowadzi:

a             rejestr czynności przetwarzania danych osobowych, których jest administratorem,

b             rejestr kategorii czynności przetwarzania dokonywanych w imieniu administratorów, którzy powierzyli mu przetwarzanie danych.

9.2.  Rejestr, o którym mowa w pkt 9.1. lit. a zawiera co najmniej następujące informacje:

a             nazwę oraz dane kontaktowe Administratora oraz wszelkich współadministratorów,

b             gdy ma to zastosowanie imię, nazwisko lub nazwę oraz dane kontaktowe swojego przedstawiciela,

c              cele przetwarzania,

d             opis kategorii osób, których dane dotyczą,

e             opis kategorii danych osobowych,

f               kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych,

g             jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych,

h             ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

9.3.  Rejestr, o którym mowa w pkt. 9.1.lit. b zawiera co najmniej następujące informacje:

a             nazwę oraz dane kontaktowe Administratora,

b             imię i nazwisko lub nazwę oraz dane kontaktowe każdego administratora, w imieniu którego działa Administrator,

c              gdy ma to zastosowanie, imię, nazwisko lub nazwę oraz dane kontaktowe przedstawiciela każdego administratora, w imieniu którego działa Administrator,

d             kategorie przetwarzań dokonywanych w imieniu każdego z administratorów,

e             ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

9.4.  Administrator prowadzi rejestry, o których mowa w pkt. 9.1. w formie elektronicznej.

9.5.  W przypadku zgłoszenia przez organ nadzoru żądania w tym zakresie, Administrator Danych udostępnia mu prowadzone przez siebie rejestry.

 

10. Sposób postępowania w przypadku incydentów i naruszeń

 

10.1.                   Za incydenty bezpieczeństwa danych rozumie się działanie niezgodne z wymaganiami prawnymi oraz zasadami wdrożonymi w VELMA ESG, które mogły doprowadzić do utraty poufności, integralności lub dostępności danych.

10.2.                   Każda osoba, w przypadku zidentyfikowania incydentu bezpieczeństwa informacji lub naruszenia ochrony danych, ma obowiązek zgłoszenia tego faktu niezwłocznie na adres e-mail wskazany w pkt. 11 Polityki Prywatności.

10.3.                   W przypadku otrzymania informacji o zajściu incydentu Administrator niezwłocznie ustala stan faktyczny, starając się uzyskać informacje na temat :

a             procesu, w którym doszło lub mogło dojść do zdarzenia,

b             rodzaju zabezpieczenia, które zawiodło,

c              osoby odpowiedzialnej za procesy,

d             osób, których zdarzenie dotyczy,

e             zakresu danych oraz ich ilości,

f               konsekwencji zdarzenia – w pierwszej kolejności, czy doszło już do szkody lub krzywdy którejkolwiek z osób, których dane dotyczą;

10.4.                   W przypadku otrzymania informacji o zajściu incydentu Administrator niezwłocznie ustala jakie działania należy podjąć w celu minimalizacji skutków.

10.5.                   W przypadku ustalenia konsekwencji zdarzenia, którym nie udało się zapobiec albo których wystąpienia nie można wykluczyć Administrator:

a             ocenia, czy doszło do naruszenia praw i wolności osób fizycznych;

b             zawiadamia organ nadzorczy a o wystąpieniu naruszenia oraz zawiadamia osoby poszkodowane, w terminie zgodnym z wymogami prawa.

10.6.                   W przypadku wystąpienia zdarzenia, którego skutki mogą wpłynąć na bezpieczeństwo danych powierzonych VELMA ESG do przetwarzania, Administrator:

a             dokonuje weryfikacji zapisów umowy powierzenia przetwarzania danych zawartej z ich administratorem lub administratorami;

b             w zależności od brzmienia zapisów w umowach powierzenia – zawiadamia niezwłocznie administratora/ów danych albo wyłącznie w przypadku, w którym ustalił, że konsekwencją incydentu było naruszenie praw i wolności osób;

10.7.                   W przypadku wystąpienia zdarzenia na danych powierzonych do przetwarzania, Administrator wykonuje czynności zgodnie z zasadami obowiązującymi dla danych, których VELMA ESG jest administratorem, po konsultacji z administratorem danych, które zostały powierzone.

 

11. Kontakt

W sprawach związanych z przetwarzaniem danych osobowych mogą Państwo skontaktować się z VELMA ESG jako ich administratorem, pod adresem: ul. Milczańska 22/104, 61-131 Poznań, lub pisząc na adres: lidia@velmaesg.com

 

12. Zmiany w Polityce Prywatności

 

VELMA ESG może wprowadzać zmiany w niniejszym dokumencie, które stanowią odzwierciedlenie aktualnej Polityki Prywatności. W przypadku modyfikacji, zmienia się również data ostatniej aktualizacji, widniejąca poniżej.

 

Data ostatniej aktualizacji:

21.01.2022r.