POLITICA DE CONFIDENŢIALITATE - POLITICA DE PROTECȚIE A DATELOR CU CARACTER PERSONAL

Cuprins:

1. Introducere
În conformitate cu prevederile Regulamentului nr. 679 din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor), ale Legii nr. 190 din 18 iulie 2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 și ale Legii nr. 506 din 2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, S.C. GMB COMPUTERS S.R.L. a elaborat, aplică și respectă prevederile prezentei politici de protecție a datelor cu caracter personal.
1.1Termeni și definiții
"Date cu caracter personal" înseamnă orice informaţii privind o persoană fizică identificată sau identificabilă ("persoana vizată"); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identităţii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale.
“Categorii speciale de date cu caracter personal” - date cu caracter personal care dezvăluie originea rasială sau etnică, opinii politice, convingeri religioase sau filosofice sau apartenența sindicală și prelucrarea datelor genetice, date biometrice în scopul identificării unice a unei persoane fizice, date privind sănătatea sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice.
"Operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenţie sau alt organism care, singur sau împreună cu altele, stabileşte scopurile şi mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile şi mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern.
“Persoana vizată” - orice persoană vie care face obiectul datelor cu caracter personal deținute de o organizație.
"Prelucrare" înseamnă orice operaţiune sau set de operaţiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziţie în orice alt mod, alinierea sau combinarea, restricţionarea, ştergerea sau distrugerea.
"Creare de profiluri" înseamnă orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau prevedea aspecte privind performanţa la locul de muncă, situaţia economică, sănătatea, preferinţele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana fizică respectivă sau deplasările acesteia. "Incălcarea securităţii datelor cu caracter personal" înseamnă o încălcare a securităţii care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea.
"Consimţământ" al persoanei vizate înseamnă orice manifestare de voinţă liberă, specifică, informată şi lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declaraţie sau printr-o acţiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate. ,,Copil” - GDPR definește un copil drept orice persoană cu vârsta sub 16 ani, deși acest lucru poate fi redus la 13 de legislația statelor membre. Prelucrarea datelor cu caracter personal ale unui copil este legală numai dacă a fost obținut consimțământul părinților sau a reprezentanților legali. Operatorul va depune eforturi rezonabile pentru a verifica, în astfel de cazuri, dacă titularul răspunderii părintești asupra copilului acordă sau autorizează acordul. „Parte terţă" înseamnă o persoană fizică sau juridică, autoritate publică, agenţie sau organism altul decât persoana vizată, operatorul, persoana împuternicită de operator şi persoanele care, sub directa autoritate a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze date cu caracter personal.
"Sistem de evidenţă a datelor" înseamnă orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcţionale sau geografice.
2. Politica de confidențialitate
2.1. Conducerea S.C. GMB Computers S.R.L., cu sediul în Constanța, str. Traian nr. 68 A, se angajează să respecte toate legile relevante ale UE și ale statelor membre cu privire la datele cu caracter personal și protecția "drepturilor și libertăților" persoanelor ale căror informații S.C. GMB Computers S.R.L. le colectează și procesează, în conformitate cu Regulamentul general privind protecția datelor (GDPR).
2.2. Conformitatea cu GDPR este descrisă de această politică și de alte politici relevante, cum ar fi Politica de Securitate a Informațiilor, împreună cu procesele și procedurile conexe.
2.3. Politica de protecție a datelor cu caracter personal va fi aplicată de toate persoanele din cadrul S.C. GMB Computers S.R.L. care prelucreaza date cu caracter personal, inclusiv toate persoanele din cadrul S.C. GMB Computers S.R.L. care proceseaza datele personale ale clienților, angajaților, furnizorilor și partenerilor, precum și orice alte date personale pe care organizația le procesează de la orice sursă.
2.4. Responsabilul pentru protecția datelor este responsabil pentru revizuirea anuală a Registrului de evidenț[ a activităților de prelucrare a datelor privind orice modificări ale activităților S.C. GMB Computers S.R.L. (determinată de schimbările înregistrate în registrul de cartografiere a datelor) și de orice cerințe suplimentare identificate prin evaluări ale impactului protecției datelor. Acest registru trebuie să fie disponibil la cererea autorității de supraveghere.
2.5. Această politică se aplică tuturor angajaților/personalului și părților interesate din cadrul S.C. GMB Computers S.R.L., cum ar fi furnizorii externalizați. Orice încălcare a GDPR va fi tratată conform politicii disciplinare a S.C. GMB Computers S.R.L. și poate fi, de asemenea, o contravenție, caz în care problema va fi raportată cât mai curând posibil autorităților competente.
2.6. Se așteaptă ca partenerii și orice terțe părți care lucrează cu sau pentru S.C. GMB Computers S.R.L. și care au sau ar putea avea acces la date personale să fi citit, înțeles și să respecte această politică. Nicio terță parte nu poate accesa datele cu caracter personal deținute de S.C. GMB Computers S.R.L. fără să fi încheiat în prealabil un acord de confidențialitate a datelor, care impune terței părți obligații nu mai puțin oneroase decât cele pe care le respecta S.C. GMB Computers S.R.L. și care conferă S.C. GMB Computers S.R.L. dreptul de a verifica respectarea acordului.
3. Responsabilități și roluri în temeiul Regulamentului General Privind Protecția Datelor:
3.1 S.C. GMB Computers S.R.L. este operator de date cu caracter personal și are în Registrul General al A.N.S.P.D.C.P. nr. 38465 din 17.09.2018.
3.2 Top managementul și toți cei cu roluri de conducere sau de supraveghere din cadrul S.C. GMB Computers S.R.L. sunt responsabili pentru dezvoltarea și încurajarea practicilor de gestionare a informațiilor în cadrul societății; responsabilitățile sunt stabilite în fișele de post individuale.
3.3 Fișa post și descrierea ocupației pentru Responsabilul cu Protecția Datelor, un rol specificat în GDPR. DPO răspunde în fața administratorului S.C. GMB Computers S.R.L. pentru gestionarea datelor cu caracter personal în cadrul S.C. GMB Computers S.R.L. și se asigură că respectarea legislației privind protecția datelor și a bunelor practici pot fi demonstrate.
Această responsabilitate include:
3.3.1 Elaborarea și punerea în aplicare a acestei politici în conformitate cu GDPR și
3.3.2 Gestionarea securității și a riscurilor în ceea ce privește respectarea politicii.
3.4 A fost desemnat Responsabilul Pentru Protecția Datelor, care este considerat de către administrtorul societății calificat și cu experiență adecvată, pentru a-și asuma răspunderea pentru respectarea continuă de către S.C. GMB Computers S.R.L. a prezentei politici și de a asigura conformitatea cu GDPR.
3.5 Responsabilul cu Protecția Datelor are responsabilități specifice în ceea ce privește procedurile, precum procedura de solicitare a accesului persoanei vizate, și reprezintă primul punct de contact pentru angajați/personal care solicită clarificări cu privire la orice aspect al respectării protecției datelor.
3.6 Conformitatea cu legislația privind protecția datelor este responsabilitatea tuturor angajaților din S.C. GMB Computers S.R.L. care procesează datele cu caracter personal.
3.7 Politica de instruire a S.C. GMB Computers S.R.L. stabilește cerințe specifice de formare și conștientizare a personalului S.C. GMB Computers S.R.L. în legătură cu rolurile specifice în domeniul protecției datelor.
3.8 Angajații/Personalul organizației sunt responsabili pentru a se asigura că datele personale pe care le-au furnizat către S.C. GMB Computers S.R.L. sunt corecte și actualizate.
4. Principii legate de prelucrarea datelor cu caracter personal
Prelucrarea datelor cu caracter personal se desfășoară în conformitate cu principiile de protecție a datelor, prevăzute la articolul 5 din GDPR. Politica și procedurile S.C. GMB Computers S.R.L. sunt concepute astfel încât să asigure respectarea acestor principii.
,,Art. 5: Principii legate de prelucrarea datelor cu caracter personal
(1)Datele cu caracter personal sunt:
a) prelucrate în mod legal, echitabil şi transparent faţă de persoana vizată ("legalitate, echitate şi transparenţă");
b) colectate în scopuri determinate, explicite şi legitime şi nu sunt prelucrate ulterior într-un mod incompatibil cu aceste scopuri; prelucrarea ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare ştiinţifică sau istorică ori în scopuri statistice nu este considerată incompatibilă cu scopurile iniţiale, în conformitate cu articolul 89 alineatul (1) ("limitări legate de scop");
c) adecvate, relevante şi limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate ("reducerea la minimum a datelor");
d) exacte şi, în cazul în care este necesar, să fie actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt şterse sau rectificate fără întârziere ("exactitate"); e) păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depăşeşte perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare ştiinţifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1), sub rezerva punerii în aplicare a măsurilor de ordin tehnic şi organizatoric adecvate prevăzute în prezentul regulament în vederea garantării drepturilor şi libertăţilor persoanei vizate ("limitări legate de stocare");
f) prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecţia împotriva prelucrării neautorizate sau ilegale şi împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare ("integritate şi confidenţialitate").
(2) Operatorul este responsabil de respectarea alineatului (1) şi poate demonstra această respectare ("responsabilitate").
Art. 6: Legalitatea prelucrării
(1) Prelucrarea este legală numai dacă şi în măsura în care se aplică cel puţin una dintre următoarele condiţii:
a) persoana vizată şi-a dat consimţământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
c) prelucrarea este necesară în vederea îndeplinirii unei obligaţii legale care îi revine operatorului;
d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;
e) prelucrarea este necesară pentru îndeplinirea unei sarcini care serveşte unui interes public sau care rezultă din exercitarea autorităţii publice cu care este învestit operatorul;
f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terţă, cu excepţia cazului în care prevalează interesele sau drepturile şi libertăţile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.
4.1 Datele personale trebuie prelucrate în mod legal, echitabil şi transparent
Legal - identificați o bază legală înainte de a putea prelucra datele personale. Acestea sunt adesea denumite "condițiile de procesare".
Echitabil - pentru ca prelucrarea să fie echitabilă, operatorul de date trebuie să pună la dispoziția persoanelor vizate anumite informații cât mai practic posibil. Aceasta se aplică dacă datele cu caracter personal au fost obținute direct de la persoanele vizate sau din alte surse. "Transparență" - GDPR include reguli privind furnizarea catre persoanele vizate de informații privind confidențialitatea, conform articolelor 12, 13 și 14. Acestea sunt detaliate și specifice, punând accentul pe faptul că notificările privind confidențialitatea sunt înțelese și accesibile.
Informațiile sunt comunicate persoanei vizate într-o formă inteligibilă, folosind un limbaj clar și simplu. Informațiile specifice care trebuie furnizate persoanei vizate trebuie să includă cel puțin:
4.1.1 identitatea și datele de contact ale operatorului și, dacă este cazul, ale reprezentantului operatorului;
4.1.2 datele de contact ale responsabilului cu protecția datelor;
4.1.3 scopul prelucrării pentru care sunt destinate datele cu caracter personal, precum și temeiul juridic al prelucrării;
4.1.4 perioada pentru care vor fi stocate datele cu caracter personal;
4.1.5 existența drepturilor de a solicita accesul, rectificarea, ștergerea sau opoziția față de prelucrare și condițiile (sau lipsa) de exercitare a acestor drepturi, cum ar fi afectarea legalității prelucrării anterioare;
4.1.6 categoriile de date cu caracter personal prelucrate;
4.1.7 destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz;
4.1.8 intenția operatorului de a transfera date cu caracter personal unui destinatar dintr-o țară terță și nivelul de protecție acordat datelor;
4.1.9 orice informații suplimentare necesare pentru a garanta o prelucrare corectă.
4.2 Datele personale pot fi colectate doar în responsabilitatea S.C. GMB Computers S.R.L., care se asigură că orice notificare privind modificările este înregistrată și operată.
4.4.5 Responsabilul pentru Protecția Datelor este responsabil de asigurarea aplicării procedurilor și politicilor adecvate pentru păstrarea datelor cu caracter personal corecte și actualizate, ținând cont de volumul de date colectate, de viteza cu care s-ar putea modifica și de orice alți factori relevanți.
4.4.6 Cel puțin o dată pe an, responsabilul cu protecția datelor va examina datele păstrate a tuturor persoanelor vizate, prelucrate de S.C. GMB Computers S.R.L., în inventarul de date și va identifica orice date care nu mai sunt necesare în contextul scopului înregistrat. Aceste date vor fi șterse/distruse în siguranță, în conformitate cu procedura de ștergere/distrugere în siguranță a suporturilor de stocare.
4.4.7 Responsabilul pentru Protecția Datelor răspunde solicitărilor de rectificare de la persoanele vizate în termen de o lună (Procedura de Solicitare a Accesului persoanei vizate). Aceasta poate fi extinsă la încă două luni pentru solicitări complexe.
Dacă S.C. GMB Computers S.R.L. decide să nu se conformeze cererii, responsabilul cu protecția datelor trebuie să răspundă persoanei vizate pentru a-și explica raționamentul și să o informeze cu privire la dreptul de a depune o plangere autorității de supraveghere și de a solicita căi de atac.
4.4.8 Responsabilul cu Protecția Datelor este responsabil de luarea măsurilor adecvate care, în cazul în care organizațiile terțe părți ar fi primit date cu caracter personal inexacte sau neactualizate, să le informeze că acestea sunt inexacte și/sau expirate și nu trebuie să fie utilizate. Responsabilul cu Protecția Datelor este responsabil și pentru transmiterea oricărei corecții a datelor cu caracter personal părții terțe în cazul în care acest lucru este necesar.
4.5 Datele cu caracter personal sunt păstrate într-o formă care să permită identificarea persoanei vizate numai atâta timp cât este necesar pentru prelucrare.
4.5.1 În cazul în care datele cu caracter personal sunt păstrate peste data prelucrării, acestea vor fi minimizate/criptate/pseudonimizate pentru a proteja identitatea persoanei vizate în cazul unei încălcări a datelor.
4.5.2 Datele cu caracter personal sunt păstrate în conformitate cu procedura de păstrare a înregistrărilor și, odată ce data de păstrare a fost depășită, aceste date trebuie să fie distruse în siguranță, așa cum se prevede această procedură.
4.5.3 Responsabilul cu protecția datelor trebuie să aprobe în mod specific orice păstrare a datelor care depășește perioadele de păstrare definite în Procedura de păstrare a înregistrărilor și trebuie să se asigure că justificarea este făcută în mod clar și în conformitate cu cerințele legale privind protecția datelor. Această aprobare se va face în scris.
4.6 Datele personale sunt prelucrate într-o manieră care să asigure securitatea corespunzătoare.
Responsabilul cu protecția datelor va efectua o evaluare a riscurilor, luând în considerare toate circumstanțele operațiunilor de procesare a S.C. GMB Computers S.R.L..
La determinarea caracterului adecvat, responsabilul cu protecția datelor ar trebui să ia în considerare, de asemenea, amploarea eventualelor daune sau pierderi care ar putea fi cauzate persoanelor (de exemplu, personalului sau clienților) în cazul unei încălcări a securității, efectul oricărei încălcări a securității asupra S.C. GMB Computers S.R.L., și orice daune reputaționale posibile, inclusiv pierderea posibilă a încrederii clienților.
La evaluarea măsurilor tehnice adecvate, responsabilul cu protecția datelor va lua în considerare cel puțin următoarele:
- Protecția prin parolă;
- Blocarea automată a terminalelor (calculator/laptop etc.) când nu sunt folosite (idlestate);
- Limitarea/Eliminarea drepturilor de acces pentru USB și alte suporturi de memorie;
- Software de verificare a virușilor și firewall-uri;
- Drepturile de acces în funcție de roluri, inclusiv cele atribuite personalului temporar;
- Criptarea dispozitivelor care părăsesc sediile organizației, cum ar fi laptopurile;
- Securitatea rețelelor locale și WAN;
- Tehnologii de îmbunătățire a confidențialității, cum ar fi pseudonimizarea și anonimizarea;
- Identificarea standardelor internaționale de securitate relevante pentru S.C. GMB Computers S.R.L..
La evaluarea măsurilor organizatorice adecvate, responsabilul cu protecția datelor va lua în considerare și următoarele:
• Nivelurile potrivite de instruire în cadrul S.C. GMB Computers S.R.L.;
• Includerea măsurilor privind protecția datelor în contractele de muncă;
• Identificarea măsurilor de acțiune disciplinară pentru încălcarea datelor;
• Monitorizarea personalului pentru respectarea standardelor de securitate relevante;
• Controlul accesului fizic la înregistrările electronice și pe hârtie;
• Stocarea datelor pe suport de hârtie în dulapuri securizate;
• Restricționarea utilizării dispozitivelor electronice portabile în afara locului de muncă;
• Restricționarea folosirii dispozitivelor personale ale angajatului la locul de muncă;
• Adoptarea unor reguli clare despre parole;
• Realizarea de copii de rezervă periodică a datelor personale;
• Impunerea obligațiilor contractuale asupra organizațiilor importatoare de a lua măsuri de securitate corespunzătoare atunci când transferă date în afara SEE.
S.C. GMB Computers S.R.L. acordă o atenţie deosebită identificării riscurilor pe care le prezintă prelucrarea datelor, care pot duce la prejudicii aduse persoanelor fizice ale căror date sunt prelucrate.
4.7 S.C. GMB Computers S.R.L./Operatorul trebuie să poată demonstra conformitatea cu celelalte principii ale GDPR (responsabilitatea). GDPR include prevederi care promovează responsabilitatea și guvernanța. Acestea completează cerințele de transparență ale GDPR. Principiul responsabilității prevăzut la articolul 5 alineatul (2) impune să demonstrăm că respectăm principiile și afirmăm în mod explicit că aceasta este responsabilitatea noastră.
S.C. GMB Computers S.R.L. va demonstra conformitatea cu principiile protecției datelor prin implementarea politicilor de protecție a datelor, respectarea codurilor de conduită, punerea în aplicare a măsurilor tehnice și organizatorice, precum și adoptarea unor tehnici precum protecţia datelor începând cu momentul conceperii, realizarea analizelor de impact, când situația o impune, adoptarea procedurilor de notificare a încălcărilor de protecție a datelor și a planurilor de răspuns la incidentele de securitate.
5. Drepturile persoanelor vizate Persoanele vizate au următoarele drepturi în ceea ce privește prelucrarea datelor și înregistrările acestor date:
5.1 Dreptul la informare (art. 13 și art. 14 din Regulament).
5.2 Dreptul de acces cu privire la informațiile deținute și referitoare la cei cărora le-au fost dezvăluite (art. 15 din Regulament). 5.3 Dreptul la rectificarea datelor (art. 16);
5.4 Dreptul la ștergere („dreptul de a fi uitat” – art. 17);
5.5 Dreptul la restricționarea prelucrării (art. 18);
5.6 Dreptul la portabilitatea datelor (art. 20);
5.7 Dreptul la opoziția prelucrării datelor (art. 21);
5.8 Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată (art. 22); 5.9 Dreptul de a depune o plângere la o autoritate de supraveghere (art. 77), respectiv Autoritatea Națională de Supraveghere și Protecție a Datelor cu Caracter Personal
(A.N.S.P.D.C.P.), b-dul G-ral Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București România, email: anspdcp@dataprotection.ro, tel. +40.318.059.211,
+40.318.059.212, cabinet președinte +40.318.059.220 și fax +40.318.059.602.
5.10 Dreptul la o cale de atac judiciară eficientă împotriva unei autorităţi de supraveghere/dreptul de a se adresa instanței de judecată (art. 78).
Pentru exercitarea acestor drepturi, este necesar ca persoanele vizate să adreseze o cerere operatorului în acest sens. Operatorul furnizează persoanei vizate informaţii privind acţiunile întreprinse în cel mult o lună de la primirea cererii. Această perioadă poate fi prelungită cu două luni atunci când este necesar, ţinându-se seama de complexitatea şi numărul cererilor.
6. Consimțământul
6.1 S.C. GMB Computers S.R.L. înțelege conform art. 4 pct. 11 din Regulamanetul 679/2016 "consimțământul" ca fiind orice manifestare de voinţă liberă, specifică, informată şi lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declaraţie sau printr-o acţiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate. Persoana vizată își poate retrage consimțământul în orice moment.
6.2 S.C. GMB Computers S.R.L. înțelege că prin "consimțământ" persoana vizată a fost pe deplin informată cu privire la prelucrarea datelor personale și a solicitat acordul în timp ce se află întro stare de spirit adecvată pentru a face acest lucru și fără a se exercita presiuni asupra ei.
Consimțământul obținut sub presiune sau pe baza unor informații înșelătoare nu va constitui o bază valabilă pentru procesare.
6.3 Trebuie să existe o comunicare activă între părți pentru a demonstra consimțământul activ. Consimțământul nu poate fi dedus din lipsa de răspuns la o comunicare. Operatorul trebuie să poată demonstra obținerea consimțământului pentru operațiunea de procesare.
6.4 Pentru datele sensibile, trebuie obținut un acord scris explicit a persoanelor vizate, cu excepția cazului în care există o bază legala de procesare alternativă.
6.5 În majoritatea cazurilor, consimțământul de prelucrare a datelor personale și sensibile este obținut în mod obișnuit de S.C. GMB Computers S.R.L. utilizând declarațiile de consimțământ standard.
6.6 În cazul în care S.C. GMB Computers S.R.L. oferă servicii on-line copiilor, trebuie obținut consimțământul părintelui sau al reprezentantului legal al copilului. Această cerință se aplică copiilor cu vârsta sub 16 ani (cu excepția cazului în care statul membru prevede o limită de vârstă mai mică, care nu poate fi mai mică de 13).
7. Securitatea datelor
7.1 Toți angajații/personalul sunt responsabili pentru a asigura că toate datele personale pe care S.C. GMB Computers S.R.L. le deține și pentru care este responsabilă, sunt păstrate în siguranță și nu sunt divulgate în niciun fel unei terțe părți decât dacă acea terță parte a fost autorizată în mod specific prin S.C. GMB Computers S.R.L. să primească aceste informații și a încheiat un acord de confidențialitate.
7.2 Toate datele personale sunt accesibile numai celor care au nevoie să le folosească și accesul poate fi acordat numai în conformitate cu Politica de control al accesului. Toate datele cu caracter personal sunt procesate în siguranță și sunt păstrate:
- într-o cameră închisă cu acces controlat; și/sau
- într-un sertar închis sau într-un dulap; și/sau
- dacă sunt păstrate pe computere, protejate prin parolă în conformitate cu cerințele organizației din Politica de control al accesului și / sau - stocate pe suporturi (detașabile) care sunt criptate.
7.3 S.C. GMB Computers S.R.L. are grijă ca ecranele și terminalele PC să nu fie vizibile decât angajaților/personalului autorizați al S.C. GMB Computers S.R.L.. Toți angajații/personalul sunt obligați să încheie un acord de utilizare acceptabilă înainte de a li se permite accesul la informațiile organizaționale de orice fel, care detaliază normele privind timpul în care ecranul intră în idle (lock).
7.4 Înregistrările în format fizic nu pot fi lăsate acolo unde pot fi accesate de personal neautorizat și nu pot fi înlăturate/scoase din sediu fără autorizație explicită/scrisă. Imediat ce înregistrările în format fizic nu mai sunt necesare pentru clienții de zi cu zi, acestea trebuie să fie distruse în siguranță, în conformitate cu o anumită procedură.
7.5 Datele personale pot fi șterse sau eliminate numai în conformitate cu procedura de păstrare a înregistrărilor. Înregistrările în format fizic care au ajuns la scadență, vor fi mărunțite și aruncate ca "deșeuri confidențiale".
7.6 Prelucrarea datelor cu caracter personal "în afara sediului" prezintă un risc potențial mai mare decat pierderea, furtul sau deteriorarea datelor cu caracter personal. Personalul este autorizat în mod specific să proceseze datele în afara sediului.
8. Divulgarea datelor
8.1 S.C. GMB Computers S.R.L. se asigură că datele cu caracter personal nu sunt divulgate terților neautorizați, care includ membri ai familiei, prieteni, organisme guvernamentale și, în anumite circumstanțe, Poliția. Toți angajații/personalul trebuie să fie atenți atunci când sunt rugați să dezvăluie datele personale deținute de o altă persoană unei terțe părți și vor fi obligați să participe la o formare specifică care să le permită să gestioneze eficient astfel de riscuri. Este important să se țină seama de faptul conform căruia divulgarea informațiilor este sau nu relevantă pentru desfășurarea activității S.C. GMB Computers S.R.L..
8.2 GDPR permite anumite dezvăluiri fără consimțământ atâta timp cât informațiile sunt solicitate pentru unul sau mai multe din următoarele scopuri:
8.2.1 - protejarea securității naționale;
8.2.2 - prevenirea sau depistarea infracțiunilor, inclusiv reținerea sau urmărirea penală a infractorilor;
8.2.3 - îndeplinirea funcțiilor de reglementare (include sănătatea, siguranța și bunăstarea persoanelor la locul de muncă);
8.2.4 - pentru a preveni vătămarea gravă a unui terț; și
8.2.5 - pentru a proteja interesele vitale ale individului, aceasta se referă la situațiile de viață și de moarte.
8.3 Toate solicitările de furnizare a datelor pentru unul dintre aceste motive trebuie să fie susținute de o documentație adecvată, iar toate aceste dezvăluiri trebuie să fie autorizate în mod specific de către Responsabilul pentru Protecția Datelor.
9. Păstrarea și eliminarea datelor
9.1 S.C. GMB Computers S.R.L. nu va păstra datele cu caracter personal într-o formă care să permită identificarea persoanelor vizate pentru o perioadă mai lungă decât este necesar, în raport cu scopul (scopurile) pentru care datele au fost colectate inițial.
9.2 S.C. GMB Computers S.R.L. poate stoca date pentru perioade mai lungi în cazul în care datele cu caracter personal vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri științifice sau istorice de cercetare sau în scopuri statistice, sub rezerva punerii în aplicare a măsurilor tehnice și organizatorice adecvate pentru protejarea drepturilor și libertăților persoanei vizate.
9.3 Perioada de păstrare pentru fiecare categorie de date cu caracter personal va fi stabilită în
Procedura de păstrare a înregistrărilor împreună cu criteriile utilizate pentru stabilirea acestei perioade, inclusiv obligațiile legale ale S.C. GMB Computers S.R.L. care trebuie să păstreze datele.
9.4 Procedurile de păstrare a datelor și procedurile de ștergere a datelor ale S.C. GMB Computers S.R.L. se vor aplica în toate cazurile.
9.5 Datele cu caracter personal vor fi eliminate în siguranță, în conformitate cu al șaselea principiu al GDPR - prelucrate într-un mod adecvat pentru a menține securitatea, protejând astfel "drepturile și libertățile" persoanelor vizate. Orice eliminare a datelor se va face în conformitate cu procedura de ștergere.
10. Transferuri de date
S.C. GMB Computers S.R.L. nu transferă date cu caracter personal în străinătate.
11. Sistemul de evidenţă a activităţilor de prelucrare și cartografierea datelor
11.1 S.C. GMB Computers S.R.L. a stabilit un Sistem de evidenţă a activităţilor de prelucrare și CARTOGRAFIERE A DATELOR, ca parte a strategiei sale de abordare a riscurilor și a oportunităților în cadrul proiectului său de conformitate cu GDPR. Sistemul de evidenţă a a activităţilor de prelucrare și cartografierea datelor se referă la:
- procesele care utilizează date cu caracter personal;
- - sursa datelor personale;
- volumul de date corespunzătoare persoanelor vizate;
- descrierea fiecărui element de date cu caracter personal;
- activitățile de prelucrare;
- menținerea inventarului de categorii de date prelucrate;
- documentarea scopului (scopurilor) pentru care se utilizează fiecare categorie de date cu caracter personal;
- destinatarii și potențialii beneficiari ai datelor cu caracter personal;
- rolul S.C. GMB Computers S.R.L. pe întregul flux de date;
- sisteme de stocare;
- - orice transfer de date; și
- toate cerințele privind păstrare și ștergerea datelor cu caracter personal.
11.2 S.C. GMB Computers S.R.L. este conștientă de orice riscuri asociate procesării anumitor tipuri de date cu caracter personal.
11.2.1 S.C. GMB Computers S.R.L. evaluează nivelul riscului pentru procesarea datelor cu caracter personal ale persoanelor vizate. Evaluările impactului privind protecția datelor (DPIA) se efectuează ținând seama de prelucrarea datelor cu caracter personal de către S.C. GMB Computers S.R.L. și de prelucrarea efectuată de alte organizații în nume S.C. GMB Computers S.R.L.
11.2.2 S.C. GMB Computers S.R.L. gestionează riscurile identificate pentru a reduce probabilitatea neconformității cu această politică.
11.2.3 Având în vedere natura, domeniul de aplicare, contextul şi scopurile prelucrării, în cazul în care un tip de prelucrare, în special cel bazat pe utilizarea noilor tehnologii, este susceptibil să genereze un risc ridicat pentru drepturile şi libertăţile persoanelor fizice, S.C. GMB Computers S.R.L. efectuează, înaintea prelucrării, o evaluare a impactului operaţiunilor de prelucrare prevăzute asupra protecţiei datelor cu caracter personal.
11.2.4 În cazul în care, rezultatul DPIA relevă faptul că S.C. GMB Computers S.R.L. este pe cale să înceapă o prelucrare a datelor cu caracter personal care ar putea cauza daune și/sau prejudicii persoanelor vizate, decizia de a începe procesarea de către S.C. GMB Computers S.R.L. revine responsabilului cu protecția datelor.
11.2.5 Responsabilul cu protecția datelor trebuie sa anunțe această situație autorității de supraveghere, în cazul în care există motive de îngrijorare semnificative, fie în legătură cu daune și/sau prejudicii, fie cu volumul de date.
11.2.6 Alegerea de Standarde de securitate adecvate (ex: ISO 27001, etc.) și aplicarea lor pentru a reduce nivelul de risc asociat procesării datelor individuale la un nivel acceptabil. S.C. GMB Computers S.R.L. a implementat Sistemul de Management al Securității Informațiilor conform Standardului ISO CEI 27001 din 2013.
11.2.7 În conformitate cu prevederile Standardului ISO CEI 27001 din 2013, în domeniul protecției informațiilor și implicit a datelor cu caracter personal SC GMB Computers SRL aplică principiul potrivit căruia ,, Totul este interzis, dacă nu este permis în mod explicit de către o persoană cu putere de decizie din cadrul organizației, conform procedurilor interne”.
11.2.8 Cum ne poți contacta?
Ne poți contacta cu întrebări legate de protecția datelor tale personale și cu orice solicitare privind exercitarea drepturilor tale menționate la capitolul Drepturi folosind căile de mai jos: Prin email la adresa: dpo@gmb.ro
Prin curier sau poștă la adresa: Constanța, str. Traian nr. 68A, cod poștal 900716; Prin telefon la numărul 0241/619.222 int. 54. Aprobarea procedurii. Acest document a fost aprobat de către administratorul S.C. GMB Computers S.R.L.. Responsabilul cu Protecția Datelor va urmări ca prezenta procedura să fie revizuită în conformitate cu cerințele Regulamentului General de Prelucrare a Datelor (EU GDPR).