Zasady zgodności z RODO

Ochrona danych osobowych stanowi istotny element organizacji procesów związanych z działalnością sklepu internetowego ARDVEXO. Niniejszy dokument przedstawia zasady zarządzania ochroną danych, podziału odpowiedzialności, oceny ryzyka oraz stosowania procedur organizacyjnych służących przestrzeganiu wymagań Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

W odróżnieniu od informacji dotyczących prywatności i plików cookies dokument koncentruje się na sposobie organizowania i nadzorowania procesów ochrony danych osobowych.

Opisane zasady odnoszą się do działalności ARDVEXO skierowanej do klientów w Polsce i są stosowane z uwzględnieniem charakteru przetwarzania, wykorzystywanych technologii oraz obowiązujących przepisów.

1. Odpowiedzialność za ochronę danych osobowych

Ochrona danych osobowych jest uwzględniana przy organizowaniu i prowadzeniu działań wymagających przetwarzania informacji o użytkownikach.

Sposób przetwarzania danych oceniany jest z uwzględnieniem:

  • Charakteru i celu wykonywanych czynności.

  • Technologii oraz narzędzi wykorzystywanych do przetwarzania danych.

  • Możliwego wpływu przetwarzania na prawa i wolności osób, których dane dotyczą.

Procedury ochrony danych mogą podlegać ponownej ocenie w przypadku zmian w procesach obsługi sklepu, stosowanych rozwiązaniach technicznych lub okolicznościach wpływających na bezpieczeństwo informacji i zgodność z przepisami.

2. Ochrona danych już na etapie projektowania

Przy wprowadzaniu nowych funkcji, narzędzi lub procesów, które mogą wiązać się z przetwarzaniem danych osobowych, uwzględniane są odpowiednie wymagania dotyczące ich ochrony.

W zależności od charakteru planowanego rozwiązania stosowane ustawienia i procedury powinny umożliwiać:

  • Ograniczenie dostępu do danych osobowych do niezbędnego zakresu.

  • Wykorzystywanie informacji wyłącznie w zakresie potrzebnym do realizacji określonych działań.

  • Ocenę ustawień domyślnych w celu ograniczenia zbędnego przetwarzania danych.

Takie podejście odpowiada zasadzie uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych, określonej w art. 25 RODO.

3. Identyfikowanie i ocena ryzyka

Działania związane z przetwarzaniem danych osobowych są oceniane pod kątem potencjalnego ryzyka dla praw i wolności użytkowników.

W analizie mogą być uwzględniane między innymi:

  • Charakter i zakres przetwarzania.

  • Ilość przetwarzanych danych.

  • Kategorie informacji.

  • Rodzaj wykorzystywanych technologii.

  • Sposób dostępu do danych.

  • Możliwe skutki nieuprawnionego wykorzystania informacji.

Ocena ryzyka służy określeniu, jakie środki organizacyjne i techniczne są odpowiednie dla konkretnego procesu.

Jeżeli określony rodzaj przetwarzania może powodować wysokie ryzyko dla praw i wolności osób fizycznych, oceniana jest konieczność przeprowadzenia oceny skutków dla ochrony danych (DPIA), zgodnie z wymaganiami RODO.

4. Ocena skutków dla ochrony danych (DPIA)

Jeżeli spełnione są przesłanki określone w RODO, ocena skutków dla ochrony danych przeprowadzana jest przed rozpoczęciem planowanych operacji przetwarzania.

Jej zadaniem jest:

  • Zidentyfikowanie zagrożeń związanych z planowanym przetwarzaniem.

  • Ocena prawdopodobieństwa wystąpienia negatywnych skutków oraz ich potencjalnej wagi.

  • Określenie środków potrzebnych do ograniczenia zidentyfikowanego ryzyka.

  • Ustalenie, czy przetwarzanie może odbywać się przy zachowaniu odpowiednich zabezpieczeń.

Jeśli ocena wykaże, że pomimo planowanych środków ochronnych pozostaje wysokie ryzyko, którego nie można odpowiednio ograniczyć, dalsze działania są rozpatrywane zgodnie z obowiązującymi przepisami.

W sytuacjach przewidzianych przez art. 36 RODO może to wymagać przeprowadzenia uprzednich konsultacji z właściwym organem nadzorczym.

5. Współpraca z podmiotami przetwarzającymi dane

W ramach obsługi sklepu ARDVEXO może korzystać z usług zewnętrznych podmiotów, które przetwarzają dane osobowe w jego imieniu.

Przy wyborze takich usługodawców uwzględniane są wymagania dotyczące ochrony danych oraz zabezpieczenia informacji powierzonych do przetwarzania.

Zakres powierzonych czynności i związane z nimi obowiązki określane są odpowiednio do charakteru świadczonej usługi.

Jeżeli wymagają tego przepisy RODO, współpraca jest regulowana umową powierzenia przetwarzania danych lub innym wiążącym prawnie instrumentem spełniającym odpowiednie wymagania.

Podmioty przetwarzające dane w imieniu ARDVEXO powinny:

  • Wykorzystywać dane wyłącznie w zakresie powierzonych im czynności.

  • Postępować zgodnie z właściwymi, udokumentowanymi instrukcjami dotyczącymi przetwarzania.

Zasady współpracy są ustalane z uwzględnieniem obowiązków wynikających z art. 28 RODO.

6. Zarządzanie uprawnieniami dostępu

Dostęp do danych osobowych jest ograniczany na podstawie rzeczywistych potrzeb związanych z wykonywanymi obowiązkami.

Uprawnienia są przydzielane odpowiednio do zakresu zadań i mogą podlegać zmianie lub cofnięciu, gdy dalszy dostęp przestaje być potrzebny.

Takie rozwiązania służą ograniczaniu ryzyka:

  • Nieuprawnionego przeglądania danych.

  • Wykorzystywania informacji poza zakresem powierzonych obowiązków.

  • Nieuprawnionej modyfikacji danych osobowych.

Samo uzyskanie dostępu do informacji nie oznacza uprawnienia do wykorzystywania ich w dowolnym celu.

7. Postępowanie w przypadku naruszenia ochrony danych

Zdarzenia mogące wpływać na bezpieczeństwo danych osobowych są analizowane z uwzględnieniem ich charakteru, zakresu oraz możliwych konsekwencji.

W przypadku wykrycia naruszenia podejmowane są odpowiednie działania zmierzające do ograniczenia jego skutków i zmniejszenia potencjalnego ryzyka.

Ocena incydentu może obejmować:

  • Rodzaj naruszenia.

  • Kategorie danych, których dotyczy zdarzenie.

  • Zakres potencjalnego wpływu na osoby fizyczne.

  • Możliwe skutki dla poufności, integralności lub dostępności informacji.

Jeżeli naruszenie podlega obowiązkowi zgłoszenia organowi nadzorczemu, stosowane są terminy wynikające z art. 33 RODO. Zgłoszenie następuje bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że spełnione są przewidziane prawem warunki zwolnienia z tego obowiązku.

Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, osoby, których dane dotyczą, są informowane bez zbędnej zwłoki, z uwzględnieniem warunków i wyjątków określonych w art. 34 RODO.

8. Dokumentowanie czynności związanych z ochroną danych

W zakresie wymaganym przez RODO prowadzone i przechowywane są dokumenty oraz zapisy pozwalające wykazać stosowanie odpowiednich zasad ochrony danych osobowych.

W zależności od charakteru i skali działalności dokumentacja może obejmować:

  • Rejestry czynności przetwarzania danych.

  • Informacje o stosowanych środkach technicznych i organizacyjnych.

  • Wyniki ocen ryzyka.

  • Dokumentację uprawnień dostępu.

  • Zapisy działań podjętych w związku z bezpieczeństwem danych.

Zakres dokumentacji jest dostosowywany do rzeczywistych czynności przetwarzania oraz obowiązków prawnych.

9. Świadomość i przygotowanie osób upoważnionych

Osoby posiadające uprawnienia do przetwarzania danych osobowych powinny znać obowiązki związane z ich ochroną oraz właściwym wykorzystywaniem.

W zależności od wykonywanych zadań działania informacyjne i szkoleniowe mogą obejmować:

  • Zachowanie poufności informacji.

  • Zasady prawidłowego dostępu do danych.

  • Postępowanie z żądaniami dotyczącymi praw osób, których dane są przetwarzane.

  • Reagowanie na wykryte lub podejrzewane incydenty bezpieczeństwa.

Dane osobowe powinny być wykorzystywane wyłącznie w zakresie udzielonego upoważnienia i do celów związanych z powierzonymi obowiązkami.

10. Inspektor ochrony danych

Obowiązek wyznaczenia inspektora ochrony danych (IOD, ang. Data Protection Officer – DPO) jest oceniany na podstawie przesłanek przewidzianych w RODO.

Przy ustalaniu, czy wyznaczenie IOD jest wymagane, uwzględniane są między innymi:

  • Charakter wykonywanych operacji przetwarzania.

  • Zakres przetwarzanych informacji.

  • Cele wykorzystywania danych.

  • Skala prowadzonych działań.

Jeśli zachodzą ustawowe przesłanki, inspektor ochrony danych jest wyznaczany zgodnie z obowiązującymi wymaganiami.

Niniejszy dokument nie stanowi potwierdzenia, że inspektor ochrony danych został już wyznaczony.

11. Współpraca z organem nadzorczym

W sprawach dotyczących ochrony danych osobowych ARDVEXO współpracuje z właściwymi organami nadzorczymi w zakresie wymaganym przez obowiązujące przepisy.

W Polsce organem nadzorczym odpowiedzialnym za ochronę danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO).

Współpraca z właściwym organem może obejmować:

  • Udzielanie odpowiedzi na żądania i zapytania organu nadzorczego.

  • Współpracę podczas kontroli i czynności sprawdzających.

  • Przekazywanie informacji i dokumentów wymaganych przepisami.

  • Obsługę oficjalnej korespondencji dotyczącej ochrony danych osobowych.

Zakres współpracy jest ustalany na podstawie charakteru danej sprawy oraz obowiązków wynikających z RODO i innych właściwych przepisów.

12. Weryfikacja zgodności i skuteczności zabezpieczeń

Procedury związane z ochroną danych osobowych mogą być poddawane ponownej ocenie, gdy nastąpią istotne zmiany w działalności sklepu, stosowanych systemach, zidentyfikowanych zagrożeniach lub obowiązujących przepisach.

Weryfikacja może obejmować:

  • Skuteczność wdrożonych środków ochrony danych.

  • Zakres i aktualność uprawnień dostępu.

  • Stosowane procedury organizacyjne.

  • Wcześniej rozpoznane oraz nowo pojawiające się zagrożenia.

Wyniki oceny mogą stanowić podstawę do wprowadzenia odpowiednich zmian w procedurach lub zabezpieczeniach.

Celem tych działań jest utrzymywanie poziomu ochrony danych odpowiadającego rzeczywistemu charakterowi przetwarzania oraz związanym z nim zagrożeniom.

13. Aktualizowanie zasad zgodności z RODO

Niniejsze zasady mogą być aktualizowane w związku ze zmianami wpływającymi na sposób organizowania ochrony danych osobowych w ARDVEXO.

Podstawą aktualizacji mogą być:

  • Zmiany obowiązujących przepisów dotyczących ochrony danych.

  • Rozwój lub zmiana stosowanych technologii.

  • Modyfikacje procedur organizacyjnych.

  • Zmiany sposobu zarządzania czynnościami przetwarzania danych osobowych.

Wprowadzanie zmian jest rozpatrywane pod kątem ich znaczenia dla zachowania spójności procedur oraz dostosowania stosowanych rozwiązań do aktualnych obowiązków prawnych i warunków działalności.

14. Pytania dotyczące zgodności z RODO

W przypadku pytań dotyczących niniejszych zasad, organizacji ochrony danych osobowych lub procedur związanych z przestrzeganiem RODO można skontaktować się z ARDVEXO za pośrednictwem oficjalnych kanałów kontaktowych.

Zgłoszenia są rozpatrywane odpowiednio do ich charakteru, zakresu oraz obowiązujących wymagań prawnych.

Jeżeli zgłoszenie dotyczy realizacji praw związanych z danymi osobowymi, jego rozpatrzenie odbywa się zgodnie z zasadami i terminami określonymi w RODO.