Polityka prywatności

Wstęp

Polityka Ochrony Danych Osobowych jest dokumentem opisującym zasady ochrony danych osobowych stosowanych w Firmie KRISMAR sp. z o. o. sp. k w Kielcach w celu spełnienia wymagań ustawy i rozporządzenia.

ADMINISTRATOR – KRISMAR sp z o. o. sp. k w Kielcach z siedzibą 25-561 Kielce ul. W. Witosa 61 A wpisana do Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Kielcach, X Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0000603497, NIP 959-101-58-99

ROZPORZĄDZENIE – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych(RODO)
W powyższym rozporządzeniu ustanowione zostają przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych.

ORGAN NADZORCZY – niezależny organ publiczny ustanowiony przez Państwo członkowskie, powołany w celu spójnego stosowania rozporządzenia w całej Unii. W Polsce jest to Generalny Inspektor Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa.
PODMIOT PRZETWARZAJĄCY – podmiot, który przetwarza dane osobowe w imieniu administratora

SPIS TREŚCI

1. Cel i struktura dokumentów Polityki Bezpieczeństwa Informacji
1.1 Dokumenty powiązane
1.2 Szczegółowe cele Firmy w zakresie bezpieczeństwa informacji
1.3 Mechanizmy do realizacji
1.4 Polityka Bezpieczeństwa Informacji w KRISMAR sp. z o. o. sp. k.
2. Zakres obowiązywania Polityki Bezpieczeństwa Informacji
3. Zasady dotyczące przetwarzania danych osobowych
4. Rodzaje informacji w KRISMAR sp. z o. o. sp. k.
5. Bezpieczeństwo informacji
5.1 Zasady przyznawania praw dostępu do zbiorów danych osobowych
5.2 Zasady przetwarzania zbiorów danych osobowych
5.3 Szkolenia pracowników
6. Zasady zachowania bezpieczeństwa systemów IT
7. Postępowanie w sytuacjach kryzysowych
8. Zachowanie bezpieczeństwa przez Pracowników
9. Warunki udostępniania informacji na zewnątrz KRISMAR sp. z o. o. sp. k.
10. Sankcje wynikające z nieprzestrzegania Polityki Bezpieczeństwa Informacji obowiązującej
w KRISMAR sp. z o. o. sp. k.
11. Wykaz informacji zastrzeżonych w KRISMAR sp. z o. o. sp. k.
12. Słownik pojęć i skrótów
13. Wykaz dokumentów (załączników)
1. Cel i struktura dokumentów Polityki Bezpieczeństwa Informacji (Rozdział I RODO art. 1-4)

1.1 Dokumenty powiązane

Polityka stanowi jeden ze środków organizacyjnych, mających na celu wykazanie, że przetwarzanie danych osobowych odbywa się zgodnie z :
a) Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO),

Celem Polityki Bezpieczeństwa Informacji (dalej zw. Polityką lub PBI) jest stworzenie podstawy dla metod zarządzania, procedur i wymagań niezbędnych dla zapewnienia w firmie KRISMAR sp. z o.o. sp. k. właściwej ochrony informacji.
1. 2. Szczegółowe cele Firmy w zakresie bezpieczeństwa informacji to:
a) ochrona zasobów informacyjnych KRISMAR sp. z o. o. sp. k. i zapewnienie ciągłości działania procesów,
b) zapewnienie zgodności z prawem,
c) ochrona wizerunku KRISMAR sp. z o. o. sp. k.,
d) uzyskanie i utrzymanie odpowiednio wysokiego poziomu bezpieczeństwa zasobów,
e) wyznaczenie ogólnych kierunków rozwoju systemu informacyjnego,
f) podnoszenie kultury informacyjnej i tworzenie bezpiecznego środowiska informacyjnego.
1. 3. Mechanizmy do realizacji:
a) zapewnienie wsparcia Zarządzających dla Polityki Bezpieczeństwa Informacji,
b) właściwą organizację systemu informacyjnego,
c) właściwą ochronę informacji, a w szczególności informacji prawnie chronionych,
d) zapewnienie odpowiedniego poziomu dostępności informacji i niezawodności systemów informatycznych,
e) właściwą ochronę informacji związanych z zawartymi umowami,
f) wdrażanie i rozwój systemów informacyjnych z zachowaniem zasad bezpieczeństwa,
g) eksploatowanie systemów informacyjnych zgodnie z zasadami bezpieczeństwa,
h) stałą edukację pracowników i współpracowników systemu informacyjnego.

1. 4. Polityka Bezpieczeństwa Informacji

Polityka Bezpieczeństwa Informacji – Dokument Główny, który stanowi zestaw praw, reguł i zasad określających sposób zarządzania, ochrony i przetwarzania danych osobowych w Spółce.

2. Zakres obowiązywania Polityki Bezpieczeństwa Informacji (Rozdział I RODO art. 3)

1. Poniższa polityka ma zastosowanie w stosunku do wszystkich pracowników, osób zatrudnionych na umowę o pracę, umowę zlecenie, współpracowników, konsultantów, stażystów i innych pracowników , jak również innych osób (partnerów) mających dostęp do informacji w VIVE Biznes. W dalszej części dokumentu słowo „pracownik” będzie używane dla wspólnego określenia powyższych kategorii.
2. Polityka Bezpieczeństwa Informacji ma zastosowanie w stosunku do wszystkich informacji w postaci dokumentów papierowych, elektronicznych i innych przetwarzanych w systemach komputerowych, papierowych i komunikacyjnych będących własnością lub jedynie administrowanych przez KRISMAR sp. z o. o. sp. k

3. Zasady dotyczące przetwarzania danych osobowych (Rozdział II RODO art. 5-11)

1. Wszelkie informacje przekazywane i przetwarzane w KRISMAR sp. z o. o. sp. k., są zgodnie z prawem, rzetelnie i w sposób przejrzysty, nie oznaczone jako należące do osób trzecich, będą traktowane jako własność KRISMAR sp. z o. o. sp. k. Osoba, której dane dotyczą wyraża zgodę na przetwarzanie danych osobowych na podstawie wypełnienia formularza uczestnictwa w wersji papierowej lub rejestracji online bezpośrednio na stronie www.
2. Polityką KRISMAR sp. z o. o. sp. k. jest ochrona informacji przed nieautoryzowanym dostępem, ujawnieniem, powielaniem, modyfikacją, zniszczeniem, utratą, nieprawidłowym wykorzystaniem lub kradzieżą.
3. Dane zbierane są w konkretnych, wyraźnych i prawnie uzasadnionych celach. Adekwatne, stosowne oraz ograniczone do celów w których są przetwarzane. W razie potrzeby uaktualniane, lub usuwane, przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą przez okres nie dłuższy niż okres współpracy. Przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy.
4. KRISMAR sp. z o. o. sp. k. będzie chronić informacje będące własnością stron trzecich, o ile zostały przekazane KRISMAR sp. z o. o. sp. k. na zasadzie wzajemnego zaufania – to samo dotyczy tajemnic handlowych i innych wynikających z umów zawartych przez KRISMAR sp. z o. o. sp. k.

4. Rodzaje informacji w KRISMAR sp. z o. o . sp. k.

1. Wszystkie informacje w KRISMAR sp. z o. o. sp. k. są dzielone na jawne i zastrzeżone dla KRISMAR sp. z o. o. sp. k.
2. Klauzulę „Informacja zastrzeżona” w KRISMAR sp. z o. o. sp. k. nadaje informacjom Zarząd lub inna uprawniona przez Zarząd osoba. Informacje zastrzeżone w dowolnej postaci (np. papierowej lub elektronicznej) podlegają ochronie przed kradzieżą, nieautoryzowanym dostępem, modyfikacją, zatajeniem oraz utratą (zniszczeniem)

5. Bezpieczeństwo informacji (Rozdział IV art. 32)
Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku.
5.1 Zasady przyznawania praw dostępu do zbiorów danych osobowych

1. Dostęp do zbiorów danych osobowych w KRISMAR sp. z o. o. sp. k. przyznaje się w oparciu o rolę jaką dana osoba lub podmiot prawny wypełnia w firmie.
2. Rola jaką wypełnia dany pracownik związana jest z umową o pracę oraz zakresem jego obowiązków. W przypadku osób, które nie są pracownikami KRISMAR sp. z o. o. sp. k., role są określane na podstawie odrębnych umów.
3. Do każdej roli przypisany jest dostęp do określonych informacji zastrzeżonych oraz uprawnienia do ich przetwarzania.
4. Czas dostępu do poszczególnych informacji zastrzeżonych określony jest czasem wykonania zadania wynikającego z pełnionej roli.
5. Prawa dostępu do systemów wskazuje Zarząd lub bezpośredni Przełożony w zależności od schematu uprawnień danego stanowiska.
5.2 Zasady przetwarza nia zbiorów danyc h osobowych

1. Zarząd lub bezpośredni przełożony decyduje o zasadach przetwarzania zbiorów danych osobowych oraz o tym jakie osoby muszą mieć do nich dostęp
2. Zbiory danych osobowych mogą być przetwarzane, przechowywane lub przesyłane wyłącznie przy pomocy systemów, które spełniają warunki opisane w rozdziale: Zasady zachowania bezpieczeństwa systemów IT.
3. Zbiory danych osobowych powinny być przechowywane wyłącznie przez czas, kiedy są potrzebne.

5.3 Szkolenia pracowników

1. Każdy pracownik przed dopuszczeniem do pracy z systemem informatycznym przetwarzającym dane osobowe lub zbiorami danych osobowych w wersji papierowej winien być poddany przeszkoleniu z zasad ochrony danych osobowych i zapoznany z Polityką Bezpieczeństwa Informacji obowiązującą w KRISMAR sp. z o. o. sp. k.
2. Za przeprowadzenie szkolenia, zapoznania Polityką bezpieczeństwa informacji odpowiada Administrator Danych.
3. Zakres szkolenia/zaznajomienia obejmuje przepisy ustawy o ochronie danych osobowych oraz wydanymi na jej podstawie aktami wykonawczymi oraz dokumentacją ochrony danych osobowych, obowiązującą u Administratora Danych, a także zobowiązanie się do ich przestrzegania.
4. Po szkoleniu lub po zapoznaniu się z polityką/regulaminem ochrony danych osobowych, pracownik zobowiązany jest do podpisania Oświadczenia o poufności.
5. Oświadczenia o poufności i imienne Upoważnienia do przetwarzania danych osobowych przechowywane są w aktach osobowych pracownika i stanowią podstawę do podejmowania działań w celu nadania pracownikom uprawnień do korzystania z systemu informatycznego, w którym przetwarzane są dane osobowe.

6 . Zasady zachowania bezpieczeństwa systemów IT

1. Systemy, w których można przetwarzać dane osobowe musi spełniać następujące warunki:
1.1. Kontrola dostępu:
• System musi zapewniać mechanizm, że do informacji będą miały dostęp wyłącznie
upoważnieni pracownicy,
• System musi zapewniać, że upoważnieni pracownicy będą mogli wykonywać wyłącznie dopuszczone operacje,
1.2. Integralność systemu:
• System musi się składać wyłącznie z dopuszczonych do systemu elementów i jego stan musi być przez cały czas eksploatacji pod kontrolą.
1.3. Jednoznaczność operacji:
• System musi w jednoznaczny sposób umożliwiać identyfikację osób, które dokonały zmiany w informacji zastrzeżonej,
• Zarządzanie bezpieczeństwem,
• System musi posiadać mechanizmy pozwalające wykryć próby nieautoryzowanego dostępu do informacji lub przekroczenia przyznanych uprawnień w systemie.
1.4. Zarządzanie informacją:
• System musi zapewniać integralność danych przez cały czas przechowywania informacji,
• System musi posiadać mechanizmy bezpowrotnego niszczenia informacji.

2. System, w którym przetwarzane są zbiory danych osobowych posiada spisane procedury:
2.1. Zakładania kont użytkowników w systemie,
2.2. Modyfikacji kont użytkowników w systemie – awaryjnego odnawiania lub zmieniania atrybutów dostępu (np. zapomnianych haseł),
2.3. Usuwania kont użytkowników w systemie.
2.4. Zakładania kont administratorów w systemie
2.5. Modyfikacji kont administratorów w systemie.
2.6. Usuwania kont administratorów w systemie.
3. W/w systemy muszą posiadać spisane procedury postępowania na wypadek wystąpienia sytuacji kryzysowych.

7. Postępowanie w sytuacjach kryzysowych

1. Sytuacją kryzysową jest wystąpienie, zagrożenia lub domniemanie kradzieży, nieautoryzowanego dostępu, modyfikacji, zatajenia lub utraty (zniszczenia) przetwarzanej informacji zastrzeżonej.
2. W przypadku wystąpienia sytuacji kryzysowej Administrator danych powinien podjąć odpowiednie kroki zgodnie z wcześniej ustalonymi priorytetami:
2.1. Zachowania ciągłości działania,
2.2. Zabezpieczenia informacji przed utratą,
2.3. Zabezpieczenia informacji przed nieautoryzowanym dostępem,
2.4. Odkrycia sprawców zdarzenia.
3. Każdy incydent bezpieczeństwa musi zostać opisany i zawierać następujące dane:
3.1. Przebieg zdarzenia,
3.2. Przypuszczalny wpływ na bezpieczeństwo przetwarzanej informacji,
3.3. Kroki podjęte jako reakcja na zdarzenie,
3.4. Kroki podjęte aby zapobiec podobnym zdarzeniom w przyszłości,
3.5. Listę osób związanych ze zdarzeniem, z uwzględnieniem osób odpowiedzialnych za wystąpienie zdarzenia.

8. Zachowanie bezpieczeństwa przez Pracowników

1. Każdy pracownik otrzymuje imienne Upoważnienie do przetwarzania danych osobowych, do zbiorów do których ma mieć dostęp.
2. Prawa dostępu pracownika do zbiorów danych osobowych ustala Zarząd lub bezpośredni przełożony:
2.1. Zarząd lub bezpośredni Przełożony ustala prawa dostępu do zbiorów danych osobowych dla pracownika (na podstawie pełnionych ról/ opisu stanowiska/ zakresu współpracy).
2.2. Zarząd lub bezpośredni przełożony określa, do których systemów i na jakich prawach pracownik powinien mieć dostęp oraz czy pracownik spełnił wymagania polityki bezpieczeństwa informacji.
2.3. Zarząd lub wyznaczona osoba (bezpośredni Przełożony) wysyła Wniosek o przyznanie praw dostępu pracownikowi.
3. Pracownik podlega kontroli przez IOD przez cały czas dostępu do zbiorów danych osobowych.
4. Pracownik danego zbioru może stracić wszelkie prawa do dostępu na wniosek Przełożonego lub IOD w szczególności gdy:
4.1 Dostęp do danych osobowych znajdujących się w danym zbiorze nie będzie mu więcej potrzebny (zmieni się jego rola, stanowisko, etc.),
4.2 Naruszy Politykę Bezpieczeństwa Informacji.

9. Warunki udostępniania informacji na zewnątrz KRISMAR sp. z o. o. sp. k.

1. KRISMAR sp. z o. o. sp. k. może udostępniać informacje dot. danych osobowych przetwarzanych we własnych zbiorach) tylko osobom lub podmiotom uprawnionym do ich otrzymania na mocy przepisów prawa.
2. Zbiory danych udostępnia się na pisemny, umotywowany wniosek osoby lub podmiotu uprawnionego, chyba że odrębne przepisy prawa stanowią inaczej.
3. Wniosek powinien zawierać informacje umożliwiające wyszukanie żądanych danych osobowych w zbiorze oraz wskazywać ich zakres i przeznaczenie. Wniosek jest opiniowany przez Inspektora Ochrony Danych.
4. Decyzje w sprawie udostępnienia danych podejmuje Zarząd lub osoba z upoważnienia Zarządu
5. KRISMAR sp. z o. o. sp. k. może odmówić udostępnienia danych osobowych, jeżeli spowodowałoby to naruszenie dóbr osobistych osób, których dane dotyczą lub innych osób.
6. KRISMAR sp. z o. o. sp. k. jako administrator danych może powierzyć przetwarzanie danych osobowych innemu podmiotowi, jedynie w drodze umowy zawartej w formie pisemnej.
7. Podmiot, któremu dane zostały powierzone, przed rozpoczęciem ich przetwarzania jest zobowiązany do zastosowania środków organizacyjnych i technicznych, zabezpieczających dane przed dostępem osób nieupoważnionych.

10. Sankcje wynikające z nieprzestrzegania Polityki Bezpieczeństwa Informacji obowiązującej w KRISMAR sp. z o. o. sp. k.

Niezastosowanie się pracowników KRISMAR sp. z o. o. sp. k. do postanowień niniejszego dokumentu może stanowić ciężkie naruszenie podstawowych obowiązków pracowniczych, w rozumieniu art. 52 § 1 z Kodeksu pracy. Niezależnie od powyższego, niezastosowania się do postanowień niniejszego dokumentu przez pracowników KRISMAR sp. z o. o. sp. k. jak i współpracowników, konsultantów, stażystów może powodować odpowiedzialność cywilnoprawną i karną, określoną w przepisach prawa.

11. Wykaz informacji zastrzeżonych w KRISMAR sp. z o. o. sp. k.

1. Informacje finansowe : w tym raporty, bilanse, zestawienia wyników finansowych, wyciągi z kont i operacji bankowych, informacje dotyczące planów inwestycyjnych, informacje dotyczące kontrahentów, wartości i przedmiotu kontraktów, terminów i form płatności.
2. Informacje dotyczące klientów: wszystkie dane dotyczące klientów w tym ich dane osobowe.
3. Informacje kadrowe: zawierające dane osobowe pracowników, współpracowników, kandydatów do pracy.
4. Informacje dotyczące systemu informatycznego: informacje na temat używanego w firmie sprzętu komputerowego, oprogramowania, konfiguracji, oraz wszelkich technicznych środków łączności .
5. Informacje dotyczące bezpieczeństwa: informacje na temat dokumentacji związanej z bezpieczeństwem informacji: polityka, regulaminy, dokumentacje z audytów, dokumentacja systemu alarmowego i kontroli dostępu do pomieszczeń, hasła dostępowe do systemów.
6. Tajemnice przedsiębiorstwa: należy przez to rozumieć nieujawnione do wiadomości publicznej informacje posiadające wartość gospodarczą, co do których, podjęła działania w celu zachowania ich poufności.

12. Słownik pojęć i skrótów

1) Administrator Danych – KRISMAR sp. z o. o. sp. k. ; podmiot decydujący o celach i środkach przetwarzania danych osobowych;
2) Ustawa – Projekt ustawy o ochronie danych osobowych z dnia 14 września 2017 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych
3) Rozporządzenie – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.
4) Inspektor Ochrony Danych – osoba wyznaczona przez Administratora Danych, odpowiedzialna za nadzór nad zapewnieniem bezpieczeństwa danych osobowych;
5) Administrator Systemu Informatycznego
– osoba odpowiedzialna za sprawność, konserwację oraz wdrażanie technicznych zabezpieczeń systemu informatycznego służącego do przetwarzania danych;
6) Naruszenie zabezpieczenia – jakiekolwiek naruszenie bezpieczeństwa, niezawodności, integralności lub poufności;
7) Dane – każda informacja (tekst, cyfry, wykres, rysunek, zdjęcie, dźwięk, animacja itp.), która może być przetworzona przy użyciu systemu informatycznego, bez względu na jej rzeczywiste znaczenie; dane te przechowywane są w systemie informatycznym w postaci elektronicznej (jako tzw. pliki lub zbiory);
8) Dane osobowe
– wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej; Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
9) Przetwarzanie danych osobowych – jakiekolwiek operacje wykonywane na danych osobowych polegające na: zbieraniu, utrwalaniu, opracowywaniu, zmienianiu, przechowywaniu, analizowaniu, raportowaniu, aktualizowaniu, udostępnianiu lub usuwaniu danych osobowych, a zwłaszcza te, które wykonuje się w systemach informatycznych;
10) Usuwanie danych osobowych – zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą;
11) Zbiór danych osobowych – posiadający strukturę zestaw danych o charakterze danych osobowych, które są dostępne według określonych kryteriów, niezależnie od tego czy zestaw ten jest rozproszony lub podzielony funkcjonalnie;
12) Zabezpieczenie danych osobowych – środki administracyjne, techniczne i fizyczne wdrożone w celu zabezpieczenia zasobów technicznych oraz ochrony przed zniszczeniem, nieuprawnionym dostępem i modyfikacją, ujawnieniem lub pozyskaniem danych osobowych bądź ich utratą;
13) System informatyczny – rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, zasobów technicznych, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych.
14) Poufność danych

15) Podmiot przetwarzający

16) Odbiorca

17) Strona trzecia

18) Zgoda

19) Naruszenie Ochrony Danych

20) Organ nadzorczy – właściwość zapewniająca, że dane nie są udostępniane nieupoważnionym podmiotom.

– osoba fizyczna lub prawna, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora,

– osoba fizyczna lub prawna, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego czy jest stroną trzecią,

– oznacza osobę fizyczną lub prawną, jednostkę lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które z upoważnienia administratora lub podmiotu przetwarzającego – mogą przetwarzać dane osobowe.

– osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych,

– oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych,

– oznacza niezależny organ publiczny ustanowiony przez Państwo członkowskie zgodnie z art. 51.,