Regulamin przetwarzania i ochrony danych osobowych w bazach danych osobowych będących własnością Sprzedawcy
1. Zawartość
2. Pojęcia ogólne i zakres
3. Lista baz danych osobowych
4. Cel przetwarzania danych osobowych
5. Procedura przetwarzania danych osobowych: uzyskanie zgody, powiadomienie o prawach i czynnościach z danymi osobowymi osoby, której dane dotyczą
6. Lokalizacja osobistej bazy danych
7. Warunki udostępniania danych osobowych podmiotom trzecim
8. Ochrona danych osobowych: metody ochrony, osoba odpowiedzialna, pracownicy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem swoich obowiązków służbowych, okres przechowywania danych osobowych
9. Prawa podmiotu danych osobowych
Procedura postępowania z żądaniami podmiotu danych osobowych
10. Państwowa rejestracja osobistej bazy danych
1. Pojęcia ogólne i zakres
1.1. Określenie warunków:
baza danych osobowych – nazwany zbiór uporządkowanych danych osobowych w postaci elektronicznej i/lub w postaci zbiorów danych osobowych;
osoba odpowiedzialna – wyznaczona osoba, która organizuje prace związane z ochroną danych osobowych podczas ich przetwarzania, zgodnie z przepisami prawa;
właściciel bazy danych osobowych – osoba fizyczna lub prawna, która z mocy prawa lub za zgodą osoby, której dane dotyczą, ma prawo przetwarzać te dane, wyraża zgodę na cel przetwarzania danych osobowych w tej bazie, ustala skład tych danych oraz procedury przetwarzania, o ile przepisy prawa nie stanowią inaczej;
Państwowy Rejestr Osobowych Baz Danych – jedyny państwowy system informacyjny służący do gromadzenia, gromadzenia i przetwarzania informacji o zarejestrowanych bazach danych osobowych;
publicznie dostępne źródła danych osobowych – katalogi, książki adresowe, rejestry, wykazy, katalogi, inne systematyczne zbiory jawnych informacji, które zawierają dane osobowe zamieszczone i opublikowane za wiedzą osoby, której dane dotyczą. Sieci społecznościowe i zasoby internetowe, w których podmiot danych osobowych pozostawia swoje dane osobowe (z wyjątkiem sytuacji, gdy podmiot danych osobowych wyraźnie oświadcza, że dane osobowe są publikowane w celu ich bezpłatnego rozpowszechniania i wykorzystywania) nie są uważane za publicznie dostępne źródła danych osobowych;
zgoda podmiotu danych osobowych – każde udokumentowane, dobrowolne wyrażenie przez osobę fizyczną woli wyrażenia zgody na przetwarzanie jej danych osobowych zgodnie z określonym celem ich przetwarzania;
depersonalizacja danych osobowych – usunięcie informacji pozwalających na identyfikację osoby;
przetwarzanie danych osobowych – każda czynność lub zestaw czynności wykonywanych w całości lub w części w systemie informatycznym (zautomatyzowanym) i/lub w zbiorach danych osobowych związanych z gromadzeniem, rejestracją, gromadzeniem, przechowywaniem, adaptacją, modyfikacją, odnawianiem, wykorzystanie i rozpowszechnianie (rozpowszechnianie, sprzedaż, przekazywanie), depersonalizacja, niszczenie informacji o osobie;
dane osobowe - informacja lub zbiór informacji o osobie, która jest zidentyfikowana lub można ją jednoznacznie zidentyfikować;
administrator danych osobowych – osoba fizyczna lub prawna, która ma prawo przetwarzać te dane przez właściciela bazy danych osobowych lub na mocy przepisów prawa. Administratorem bazy danych osobowych nie jest osoba, która została zlecona przez właściciela i/lub administratora bazy danych osobowych do prowadzenia prac technicznych z bazą danych osobowych bez dostępu do treści danych osobowych;
podmiot danych osobowych – osoba fizyczna, w stosunku do której jej dane osobowe są przetwarzane zgodnie z prawem;
osoba trzecia – każda osoba, z wyjątkiem osoby, której dane dotyczą, właściciela lub administratora bazy danych osobowych oraz uprawnionego organu państwowego ochrony danych osobowych, której właściciel lub administrator bazy danych osobowych przekazuje dane osobowe zgodnie z przepisami prawa;
szczególne kategorie danych – dane osobowe dotyczące pochodzenia rasowego lub etnicznego, przekonań politycznych, religijnych lub ideologicznych, przynależności do partii politycznych i związków zawodowych, a także dane dotyczące zdrowia lub życia seksualnego.
1.2. Niniejsze rozporządzenie wiąże osobę odpowiedzialną oraz pracowników Sprzedawcy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem swoich obowiązków służbowych.
2. Lista baz danych osobowych
2.1. Sprzedający posiada następujące bazy danych osobowych:
dane osobowe kontrahentów.
3. Cel przetwarzania danych osobowych
3.1. Celem przetwarzania danych osobowych w systemie jest zapewnienie realizacji stosunków cywilnych, zapewnienie, otrzymywanie i dokonywanie płatności za zakupione towary i usługi zgodnie z Kodeksem Podatkowym Ukrainy, Ustawą Ukrainy „O rachunkowości i sprawozdawczości finansowej na Ukrainie ”.
4. Procedura przetwarzania danych osobowych: uzyskanie zgody, powiadomienie o prawach i czynnościach z danymi osobowymi osoby, której dane dotyczą
4.1. Zgoda osoby, której dane dotyczą, musi być dobrowolnym wyrażeniem zgody osoby fizycznej na przetwarzanie jej danych osobowych zgodnie z podanym celem ich przetwarzania.
4.2. Zgoda osoby, której dane dotyczą, może być wyrażona w następujących formach:
dokument na papierze ze szczegółami, które pozwalają zidentyfikować ten dokument i osobę;
dokument elektroniczny, który musi zawierać obowiązkowe dane umożliwiające identyfikację tego dokumentu i osoby. Dobrowolne wyrażenie woli osoby fizycznej do wyrażenia zgody na przetwarzanie jej danych osobowych powinno być poświadczone podpisem elektronicznym osoby, której dane dotyczą;
znak na stronie elektronicznej dokumentu lub w pliku elektronicznym przetwarzanym w systemie informatycznym na podstawie udokumentowanych rozwiązań programowych i sprzętowych.
4.3. Zgoda osoby, której dane dotyczą, jest udzielana podczas rejestracji stosunków cywilnych zgodnie z obowiązującymi przepisami prawa.
4.4. Powiadomienie osoby, której dane dotyczą, o umieszczeniu jej danych osobowych w bazie danych osobowych, prawach określonych w Ustawie Ukrainy „O ochronie danych osobowych”, celu gromadzenia danych oraz osób, którym przekazywane są jego dane osobowe w trakcie rejestracja przepisów prawa cywilnego.
4.5. Przetwarzanie danych osobowych dotyczących pochodzenia rasowego lub etnicznego, przekonań politycznych, religijnych lub ideologicznych, przynależności do partii politycznych i związków zawodowych, a także danych dotyczących zdrowia lub życia seksualnego (szczególne kategorie danych) jest zabronione.
5. Lokalizacja osobistej bazy danych
5.1. Bazy danych osobowych określone w ust. 2 niniejszego Regulaminu znajdują się pod adresem Sprzedawcy.
6. Warunki udostępniania danych osobowych podmiotom trzecim
6.1. Procedurę dostępu do danych osobowych osób trzecich określają warunki zgody osoby, której dane dotyczą, udzielonej właścicielowi danych osobowych na przetwarzanie tych danych lub zgodnie z wymogami prawa.
6.2. Dostęp do danych osobowych nie jest przyznawany osobie trzeciej, jeżeli osoba ta odmawia zobowiązania się do zapewnienia zgodności z wymogami Ustawy Ukrainy „O ochronie danych osobowych” lub nie jest w stanie ich zapewnić.
6.3. Podmiot powiązań związanych z danymi osobowymi składa wniosek o udostępnienie (dalej – żądanie) danych osobowych do właściciela danych osobowych.
6.4. We wniosku stwierdza się:
nazwisko, imię i nazwisko, miejsce zamieszkania (lokalizacja) oraz dane dokumentu poświadczającego osobę fizyczną składającą wniosek (w przypadku osoby fizycznej – wnioskodawcy);
imię i nazwisko, lokalizację osoby prawnej składającej wniosek, stanowisko, nazwisko, imię i nazwisko osoby poświadczającej wniosek; potwierdzenie, że treść żądania odpowiada kompetencjom osoby prawnej (w przypadku osoby prawnej – wnioskodawcy);
nazwisko, imię i nazwisko oraz inne informacje pozwalające zidentyfikować osobę fizyczną, w stosunku do której składany jest wniosek;
informacje o bazie danych osobowych, której dotyczy żądanie, lub informacje o właścicielu lub administratorze tej bazy danych osobowych;
wykaz żądanych danych osobowych;
cel i/lub podstawa prawna żądania.
6.5. Termin rozpatrzenia wniosku o jego zaspokojenie nie może przekroczyć dziesięciu dni roboczych od dnia jego otrzymania. W tym okresie właściciel bazy danych osobowych informuje osobę zgłaszającą żądanie, że żądanie zostanie spełnione lub odpowiednie dane osobowe nie podlegają udostępnieniu, wskazując podstawy wskazane w odpowiednim akcie prawnym. Żądanie powinno zostać spełnione w ciągu trzydziestu dni kalendarzowych od dnia jego otrzymania, chyba że przepisy prawa stanowią inaczej.
6.6. Odroczenie dostępu do danych osobowych osób trzecich jest dopuszczalne w przypadku braku możliwości dostarczenia niezbędnych danych w ciągu trzydziestu dni kalendarzowych od dnia otrzymania żądania. W takim przypadku łączny termin rozstrzygnięcia spraw podniesionych we wniosku nie może przekroczyć czterdziestu pięciu dni kalendarzowych.
6.7. O odroczeniu powiadamia się osobę trzecią, która złożyła wniosek na piśmie, wyjaśniając tryb odwołania od takiej decyzji.
6.8. Zawiadomienie o odroczeniu powinno zawierać:
nazwisko, imię i patronim urzędnika;
data wysłania wiadomości;
powód odroczenia;
okres, w którym żądanie zostanie spełnione.
6.9. Odmowa dostępu do danych osobowych jest dozwolona, jeżeli dostęp do nich jest zabroniony przez prawo.
6.10. Zawiadomienie o odmowie zawiera:
nazwisko, imię, patronim urzędnika, który odmawia dostępu;
data wysłania wiadomości;
powód odmowy.
6.11. Decyzja o odroczeniu lub odmowie dostępu do danych osobowych może być zaskarżona na drodze sądowej.
7. Ochrona danych osobowych: metody ochrony, osoba odpowiedzialna, pracownicy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem swoich obowiązków służbowych, okres przechowywania danych osobowych
7.1. Właściciele osobistej bazy danych są wyposażeni w system i oprogramowanie oraz sprzęt i środki komunikacji, które zapobiegają utracie, kradzieży, nieautoryzowanemu zniszczeniu, zniekształceniu, fałszowaniu, kopiowaniu informacji oraz spełniają wymagania norm międzynarodowych i krajowych.
7.2. Osoba odpowiedzialna organizuje prace związane z ochroną danych osobowych podczas ich przetwarzania, zgodnie z przepisami prawa. Osobę odpowiedzialną określa zlecenie Właściciela bazy danych osobowych.
Obowiązki osoby odpowiedzialnej za organizację pracy związane z ochroną danych osobowych podczas ich przetwarzania określa opis stanowiska.
7.3. Osoba odpowiedzialna jest zobowiązana do:
znać ustawodawstwo Ukrainy w zakresie ochrony danych osobowych;
opracować procedury dostępu do danych osobowych pracowników zgodnie z ich obowiązkami zawodowymi, służbowymi lub zawodowymi;
zapewnienie zgodności z wymogami ustawodawstwa Ukrainy w zakresie ochrony danych osobowych oraz dokumentów wewnętrznych regulujących działalność właściciela bazy danych osobowych w zakresie przetwarzania i ochrony danych osobowych w bazach danych osobowych;
opracować procedurę (procedurę) kontroli wewnętrznej zgodności z ustawodawstwem Ukrainy w zakresie ochrony danych osobowych oraz dokumentów wewnętrznych regulujących działalność Właściciela danych osobowych w zakresie przetwarzania i ochrony danych osobowych w bazach danych osobowych, która powinna zawierać przepisy o częstotliwości takiej kontroli;
poinformowania Właściciela bazy danych osobowych o faktach naruszenia przez pracowników wymagań ustawodawstwa Ukrainy w zakresie ochrony danych osobowych oraz dokumentów wewnętrznych regulujących działalność Właściciela bazy danych osobowych w zakresie przetwarzania danych osobowych i ochrony danych osobowych bazy danych ;
zapewnić przechowywanie dokumentów potwierdzających zgodę osoby, której dane dotyczą na przetwarzanie jej danych osobowych oraz powiadomienie wskazanej osoby o przysługujących jej prawach.
7.4. W celu wykonywania swoich obowiązków osoba odpowiedzialna ma prawo do:
otrzymania niezbędnych dokumentów, w tym poleceń i innych dokumentów administracyjnych wystawionych przez Właściciela bazy danych osobowych związanych z przetwarzaniem danych osobowych;
wykonywania kopii otrzymanych dokumentów, w tym kopii plików, wszelkich zapisów przechowywanych w sieciach lokalnych i samodzielnych systemach komputerowych;
uczestniczyć w omówieniu swoich obowiązków związanych z organizacją pracy związanej z ochroną danych osobowych podczas ich przetwarzania;
zgłaszanie propozycji usprawnień działań i doskonalenia metod pracy, zgłaszanie uwag i możliwości usunięcia stwierdzonych niedociągnięć w procesie przetwarzania danych osobowych;
otrzymywać wyjaśnienia dotyczące przetwarzania danych osobowych;
podpisuje i podpisuje dokumenty w zakresie jego kompetencji.
7.5. Pracownicy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem swoich obowiązków służbowych (zatrudnieniowych), są zobowiązani do przestrzegania wymogów ustawodawstwa ukraińskiego w zakresie ochrony danych osobowych oraz dokumentów wewnętrznych dotyczących przetwarzania i ochrony dane osobowe w bazach danych osobowych.
7.6. Pracownicy, którzy mają dostęp do danych osobowych, w tym ci, którzy je przetwarzają, zobowiązani są do przeciwdziałania ujawnieniu w jakikolwiek sposób danych osobowych im powierzonych lub o których poznali w związku z wykonywaniem obowiązków służbowych, służbowych lub pracowniczych. Obowiązek ten obowiązuje po zakończeniu ich działalności związanej z danymi osobowymi, z wyjątkiem przypadków przewidzianych przepisami prawa.
7.7 Osoby, które mają dostęp do danych osobowych, w tym przetwarzają je w przypadku naruszenia wymogów Ustawy Ukrainy „O ochronie danych osobowych” ponoszą odpowiedzialność zgodnie z prawem Ukrainy.
7.8. Dane osobowe będą przechowywane nie dłużej niż jest to konieczne do realizacji celu, dla którego dane te są przechowywane, ale w każdym przypadku nie dłużej niż okres przechowywania danych określony w zgodzie osoby, której dane dotyczą, na przetwarzanie tych danych.
8. Prawa osoby, której dane dotyczą
8.1. Osobie, której dane dotyczą przysługuje prawo do:
wiedzieć o lokalizacji bazy danych osobowych zawierającej jej dane osobowe, jej celu i nazwie, lokalizacji i/lub miejscu zamieszkania (pobytu) właściciela lub administratora tej bazy danych lub wydać odpowiednie polecenie uzyskania tych informacji osobom upoważnionym, z wyjątkiem przypadków przewidzianych przez prawo;
otrzymywania informacji o warunkach udzielenia dostępu do danych osobowych, w szczególności informacji o osobach trzecich, którym przekazywane są jego dane osobowe zawarte w odpowiedniej bazie danych osobowych;
dostępu do swoich danych osobowych zawartych w odpowiedniej bazie danych osobowych;
otrzymać nie później niż trzydzieści dni kalendarzowych od dnia otrzymania żądania, z wyjątkiem przypadków przewidzianych przepisami prawa, odpowiedź, czy jego dane osobowe są przechowywane w odpowiedniej bazie danych osobowych, a także otrzymać treść przechowywanych danych osobowych;
złożyć uzasadniony wniosek ze sprzeciwem wobec przetwarzania ich danych osobowych przez organy władzy publicznej, samorządy terytorialne w ramach wykonywania uprawnień wynikających z przepisów prawa;
złożyć uzasadniony wniosek o zmianę lub zniszczenie swoich danych osobowych przez dowolnego właściciela i administratora tej bazy danych, jeżeli dane te są przetwarzane niezgodnie z prawem lub są niedokładne;
w celu ochrony ich danych osobowych przed bezprawnym przetwarzaniem oraz przypadkową utratą, zniszczeniem, uszkodzeniem w wyniku celowego zatajenia, niedostarczenia lub nieterminowego udostępnienia, a także w celu ochrony przed podaniem informacji niedokładnych lub naruszających honor, godność i reputację biznesową jednostka ;
wystąpić o ochronę swoich praw dotyczących danych osobowych do organów władzy publicznej, samorządów terytorialnych, do których kompetencji należy ochrona danych osobowych;
zastosować środki ochrony prawnej w przypadku naruszenia przepisów o ochronie danych osobowych.
9. Procedura postępowania z żądaniami osoby, której dane dotyczą
9.1. Podmiot danych osobowych ma prawo do uzyskania wszelkich informacji o sobie od dowolnego podmiotu powiązań związanych z danymi osobowymi, bez określania celu żądania, z wyjątkiem przypadków przewidzianych przepisami prawa.
9.2. Podmiot danych osobowych ma bezpłatny dostęp do danych osobowych.
9.3. Osoba, której dane dotyczą, składa wniosek o udostępnienie (dalej – żądanie) danych osobowych do właściciela bazy danych osobowych.
We wniosku stwierdza się:
nazwisko, imię i nazwisko, miejsce zamieszkania (lokalizacja) oraz szczegóły dokumentu tożsamości osoby, której dane dotyczą;
inne informacje pozwalające zidentyfikować podmiot danych osobowych;
informacje o bazie danych osobowych, w stosunku do której składane jest żądanie, lub informacje o właścicielu lub administratorze tej bazy;
wykaz żądanych danych osobowych.
9.4. Termin rozpatrzenia wniosku o jego zaspokojenie nie może przekroczyć dziesięciu dni roboczych od dnia jego otrzymania. W tym okresie właściciel bazy danych osobowych informuje osobę, której dane dotyczą, że żądanie zostanie spełnione lub odpowiednie dane osobowe nie podlegają udostępnieniu, wskazując podstawy wskazane w odpowiednim akcie prawnym.
9.5. Żądanie powinno zostać spełnione w ciągu trzydziestu dni kalendarzowych od dnia jego otrzymania, chyba że przepisy prawa stanowią inaczej.
10. Państwowa rejestracja bazy danych osobowych
10.1. Państwowa rejestracja baz danych osobowych odbywa się zgodnie z art. 9 Ustawy Ukrainy „O ochronie danych osobowych”.