RODO

1. Wstęp

Administrator Danych Osobowych ustanawia Politykę Ochrony Danych Osobowych, określającej standardy, systemy zabezpieczeń oraz sposoby postępowania w przypadkach naruszenia bezpieczeństwa danych osobowych, jednocześnie zobowiązując wszystkie osoby których ona dotyczy w całości lub we fragmentach do przestrzegania jej postanowień.

2. Podstawy prawne

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (zwane dalej RODO)

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst pierwotny: Dz. U. 2018 r. poz. 1000)

Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. 2004 nr 100 poz. 1024)

3. Administrator Danych Osobowych, Administrator Systemów Informatycznych

Administratorem Danych Osobowych w rozumieniu przepisów powołanych wyżej jest Mega Trailers, Sp. z o.o, z siedzibą w Bełchatowie, Ludwików 1 A, 97-400 Bełchatów, wpisaną do rejestru przedsiębiorców prowadzone przez Sąd Rejonowy dla Łodzi Śródmieścia w Łodzi, XX Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS: 0000412247 posiadającą NIP: 7692219680, REGON 101372019

W celu usprawnienia realizacji obowiązków ochrony danych osobowych tworzy się dedykowany adres mailowy iod@enaczepy.pl

W obrębie struktury ochrony danych osobowych wyodrębnia się także Administratora Systemów Informatycznych, odpowiedzialnego za techniczną stronę wdrożenia, utrzymania i rozwoju systemu bezpieczeństwa danych osobowych w obrębie spółki.

4. Cele system ochrony danych i ich realizacja

System ochrony danych osobowych funkcjonujący w Mega Trailers ma na celu zabezpieczenie interesów osób których dane osobowe są przetwarzane przed nieautoryzowanym dostępem, zmianą, zniszczeniem lub zagubieniem jak również utrzymywanie ich w zgodzie ze stanem faktycznym. Dane o których mowa powyżej są gromadzone zgodnie z obowiązującymi przepisami prawa I przetwarzane w sposób minimalizujący ryzyka. W celu realizacji tych celów wprowadza się środki organizacyjne, prawne, strukturalne oraz informatyczne dostosowane do specyfiki przetwarzanych danych oraz działalności Administratora. Integralnym elementem strategii postępowania w zakresie ochrony danych osobowych są szkolenia pracowników oraz spójne procedury postępowania w przypadkach ryzyka naruszenia integralności I bezpieczeństwa danych osobowych.

5. Zabezpieczenie systemów informatycznych

Systemy informatyczne Mega Trailers spełniają standardy przetwarzania danych zapewniające wysokie bezpieczeństwo przechowywanych w nich danych. Systemy te są kontrolowane a ich funkcjonowanie objęte jest monitoringiem wykwalifikowanych pracowników. Celem utrzymywanie systemów w należytym stanie oraz reagowanie na pojawiające się nowe zagrożenia i trendy oraz wdrażanie adekwatnych środków zabezpieczeń.

6. Definicje

7. Wykaz stref przetwarzania

8. Wykaz zbiorów danych

1. Dane klientów
   1. Imię i nazwisko
   2. Dane adresowe
   3. NIP, REGON
   4. Adres e-mail
   5. Numer telefonu
   6. Numer konta bankowego

2. Dane reklamacyjne klientów
   1. Imię i nazwisko
   2. Dane adresowe
   3. Adres e-mail
   4. Numer telefonu
   5. Numer konta bankowego

3. Dane pracownicze (kadrowe)
   1. Imię i nazwisko
   2. Imiona rodziców
   3. Dane adresowe
   4. Numer PESEL
   5. Numer NIP *
   6. Imię i nazwisko współmałżonka
   7. Imiona dzieci
   8. Numer konta bankowego
   9. Informacje o sądowych / komorniczych obciążeniach konta
   10. Informacje o stanie zdrowia (zwolnienia lekarskie, wyniki badań wstępnych / okresowych pracowników)
   11. Dane urzędu skarbowego
   12. Adres e-mail
   13. Numer telefonu

9. Przypadki zagrożeń

W związku z faktem, że Mega Trailers przetwarza dane osobowe w ograniczonym zakresie, który nie stwarza na chwilę obecną wysokiego ryzyka naruszenia praw lub wolności osób fizycznych, nie realizuje procesów zautomatyzowanego przetwarzania ani nie przetwarza szczególnych kategorii danych nie zachodzą przesłanki art. 35 RODO zobowiązujące Administratora do dokonania przed rozpoczęciem przetwarzania oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Według oceny Administratora wspartego wstępną analizą działalności w przypadku Mega Trailers można wyodrębnić następujące przypadki zagrożeń o niskim prawdopodobieństwie, na które narażone mogą być dane osobowe:

10. Upoważnienia

Osoby zatrudnione przy przetwarzaniu danych osobowych Mega Trailers w zakresie poszczególnych lub wszystkich zbiorów danych osobowych przechodzą szkolenie z zasad i technik przetwarzania danych oraz o zachowaniu poufności. Po zrealizowaniu szkolenia pracownik podpisuje następujące oświadczenia:

• zobowiązanie do przestrzegania procedur bezpieczeństwa przetwarzania danych osobowych zgodnych z instrukcjami i regulaminami obowiązującymi w Mega Trailers;
• o zachowaniu poufności w zakresie pozyskanych danych osobowych i uzyskanych informacji
• o realizacji szkolenia z zakresu ochrony i bezpieczeństwa danych osobowych
• o odpowiedzialności (w szczególności administracyjnej, dyscyplinarnej oraz karnej) grożącej z tytułu naruszenia procedur ochrony i bezpieczeństwa danych osobowych

1. Za nadawanie upoważnień do przetwarzania danych osobowych odpowiada Administrator, który zleca to zadanie wskazanej przez siebie osobie
2. Przetwarzanie danych odbywa się na polecenie administratora, które może mieć formę pisemną, ustną, lub też wynikać z umowy o pracę i określonych tam zakresów obowiązków;
3. Upoważnienia nadawane są do zbiorów na wniosek przełożonych osób. Nadane upoważnienia wynikają z przydzielonego pisemnie zakresu obowiązków.
4. Upoważnienia mogą być także nadawane w formie poleceń, pisemnego polecenia administratora lub w postaci umowy powierzenia

11. Procedura postępowania z incydentami bezpieczeństwa

1. W przypadku stwierdzenia wystąpienia któregokolwiek z poniższych przypadków należy powiadomić pracodawcę lub osobę upoważnioną w zakresie bezpieczeństwa przetwarzania danych
   1. brak zabezpieczenia systemów informatycznych
   2. niezamknięte pomieszczenia w których przetwarzane są dane osobowe
   3. ignorowanie zaleceń w zakresie przetwarzania danych osobowych
   4. wystąpienie zdarzenia losowego
   5. wystąpienie incydentu typu włamanie, kradzież, wyciek danych
   6. ujawnienie danych osobom nieupoważnionym
   7. celowe lub przypadkowe zniszczenie dokumentów osobowych
   8. awaria systemu informatycznego lub infekcja wirusem komputerowy
2. Pracownik który stwierdza jakąkolwiek sytuację mogącą grozić naruszeniem ochrony danych osobowych zgłasza ją na adres iod@mega-trailers.pl
3. Administrator lub upoważniona osoba dokumentuje powyższe naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania mające na celu minimalizację skutków zdarzenia
4. W przypadku naruszenia ochrony danych osobowych skutkującego ryzykiem naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu.

12. Procedura przywrócenia dostępności danych osobowych

Administrator wdrożył rozwiązania proceduralne i techniczne umożliwiające szybkie przywrocenie dostępności danych osobowych w razie incydentu fizycznego lub technicznego. Procedury przywracania opisane są w procedurze przywrócenia dostępności danych osobowych.

13. Regulamin ochrony danych osobowych

Administrator ustanawia Regulamin Ochrony Danych Osobowych, stanowiący załącznik do niniejszego dokumentu. Każda osoba upoważniona do przetwarzania danych osobowych zobowiązana jest zapoznać się z Regulaminem oraz do potwierdzenia znajomości tych zasad i deklaracji ich stosowania.

14. Szkolenia

W celu minimalizacji ryzyka związanego z naruszeniem bezpieczeństwa danych osobowych przeprowadza się cykliczne szkolenia w tym zakresie.

Program szkoleń obejmuje wszystkie stanowiska związane z przetwarzaniem danych osobowych i składa się z następujących elementów:

1. system ochrony fizycznej miejsc przetwarzania danych osobowych
2. system bezpieczeństwa sieci komputerowej
3. przetwarzanie danych osobowych w systemach komputerowych
4. główne postanowienia Ustawy o Ochronie Danych Osobowych oraz RODO
5. sposób postępowania na wypadek naruszenia zabezpieczeń systemu ochrony danych osobowych (Instrukcja)
6. sposób pracy w systemie informatycznym
7. procedura przesyłania danych przy użyciu nośników przenośnych

Za przeprowadzanie szkoleń odpowiada Administrator lub wskazana przez niego osoba. Przeprowadzanie szkoleń pracowników może być również powierzone osobie przeprowadzającej szkolenie wdrożeniowe nowego pracownika w oparciu o plan szkolenia i materiał szkoleniowy.

15. Rejestr czynności przetwarzania

Zgodnie z obowiązującym prawem, Mega Trailers, jako podmiot który nie spełnia przesłanek art 30 RODO nie jest zobowiązane rejestrować czynności przetwarzania.

16. Audyty i aktualizacja Polityki

W celu zapewnienia poziomu zabezpieczeń adekwatnego do poziomu ryzyka regularnie testuje się, mierzy i ocenia skuteczność stosowanych zabezpieczeń w zakresie systemów przetwarzania danych osobowych. Audyty przeprowadza Administrator lub wskazana przez niego osoba.

Jednocześnie ustanawia się mechanizm aktualizacji Polityki Bezpieczeństwa pod kątem aktualności i stosowalności nie rzadziej niż raz do roku. Przeglądu dokonuje Administrator lub wskazana przez niego osoba.

17. Wykaz zabezpieczeń

Określenie zabezpieczeń adekwatnych do zagrożeń i ryzyka: