Polityka ochrony
danych osobowych.

Niniejsza Polityka Ochrony Danych Osobowych, zwana dalej „Polityką”, określa zasady ochrony danych osobowych stosowane w Grupie Evolutio.

Celem Polityki jest zapewnienie zgodnego z prawem, bezpiecznego i przejrzystego przetwarzania danych osobowych oraz zapewnienie możliwości wykazania zgodności tego przetwarzania z obowiązującymi przepisami.

Polityka stanowi podstawowy dokument regulujący zasady ochrony danych osobowych w Grupie Evolutio.

Polityka została opracowana w szczególności w oparciu o:

Polityka obowiązuje wszystkie spółki i inne podmioty należące do Grupy Evolutio, zarówno istniejące w dniu wejścia w życie Polityki, jak również utworzone, nabyte, przejęte lub włączone do Grupy w późniejszym okresie.

Polityka obejmuje w szczególności podmioty prowadzące:

Polityka obowiązuje wszystkie osoby mające dostęp do danych osobowych przetwarzanych przez podmioty Grupy, w szczególności pracowników, współpracowników, członków organów, trenerów, wykładowców, praktykantów, stażystów i inne osoby dopuszczone do przetwarzania danych.

Aktualny wykaz podmiotów Grupy objętych Polityką prowadzony jest w odrębnym wykazie i nie stanowi części ograniczającej zakres niniejszej Polityki.

Dane osobowe są przetwarzane zgodnie z następującymi zasadami:

Dane mogą być przetwarzane wyłącznie w jasno określonym celu i w zakresie niezbędnym do jego realizacji.

Niedopuszczalne jest gromadzenie danych „na zapas” bez określonego celu i podstawy prawnej.

Każdy proces przetwarzania danych musi posiadać odpowiednią podstawę prawną.

W zależności od charakteru procesu podstawą może być w szczególności:

Zgoda nie może być stosowana jako automatyczna podstawa każdego rodzaju przetwarzania.

Każdy podmiot Grupy samodzielnie ustala swój status w odniesieniu do poszczególnych procesów przetwarzania.

Podmiot, który samodzielnie określa cele i sposoby przetwarzania danych, występuje jako administrator danych.

Przynależność do Grupy Evolutio nie oznacza automatycznie, że wszystkie spółki są jednym administratorem danych.

Każdy administrator odpowiada za zgodność procesów, w których występuje jako administrator.

Jeżeli kilka podmiotów wspólnie ustala cele i sposoby przetwarzania, dokonuje się oceny, czy zachodzi współadministrowanie.

Jeżeli jeden podmiot przetwarza dane w imieniu innego podmiotu, dokonuje się oceny, czy występuje relacja administrator–podmiot przetwarzający.

W przypadku powierzenia przetwarzania danych zawierana jest odpowiednia umowa zgodna z RODO.

Podmiot przetwarzający musi zapewniać odpowiednie gwarancje wdrożenia środków technicznych i organizacyjnych. Administrator powinien mieć możliwość weryfikowania zgodności procesora z wymaganiami RODO. (UODO)

Zarządy poszczególnych podmiotów Grupy odpowiadają za zapewnienie warunków organizacyjnych i technicznych umożliwiających prawidłową ochronę danych.

Do obowiązków zarządu należy w szczególności:

Odpowiedzialność za ochronę danych pozostaje po stronie administratora. Funkcja IOD, jeżeli została ustanowiona, nie przejmuje odpowiedzialności administratora. UODO wskazuje, że wdrożenie odpowiednich polityk i środków ochrony jest obowiązkiem administratora. (UODO)

Osoba mająca dostęp do danych osobowych może przetwarzać je wyłącznie w zakresie wynikającym z jej obowiązków i udzielonych uprawnień.

Osoby te zobowiązane są do:

Administrator powinien zachować kontrolę nad tym, kto, w jakim zakresie i na jakich zasadach ma dostęp do danych. (UODO)

Grupa Evolutio stosuje środki techniczne i organizacyjne odpowiednie do charakteru, zakresu, kontekstu i celu przetwarzania oraz poziomu ryzyka.

Zabezpieczenia mogą obejmować w szczególności:

Zastosowane środki podlegają okresowej ocenie pod kątem ich adekwatności do ryzyka.

Dostęp do danych otrzymują wyłącznie osoby, którym jest on niezbędny do wykonywania obowiązków.

Dostęp powinien być ograniczony zgodnie z zasadą najmniejszych uprawnień.

Uprawnienia są nadawane, zmieniane i odbierane w sposób kontrolowany.

Po zakończeniu współpracy dostęp do danych i systemów jest niezwłocznie odbierany.

Zabrania się udostępniania danych logowania innym osobom.

W przypadku działalności online Grupa stosuje zasady ochrony danych odpowiednie dla środowiska cyfrowego.

Dotyczy to w szczególności:

Dane użytkowników mogą być wykorzystywane wyłącznie zgodnie z określonym celem i podstawą prawną.

Każdy nowy system przetwarzający dane osobowe powinien zostać poddany odpowiedniej ocenie przed rozpoczęciem jego użytkowania.

Nagrywanie szkoleń, webinarów lub innych wydarzeń, podczas których mogą być utrwalane dane osobowe, wymaga uprzedniego ustalenia celu, podstawy prawnej i zakresu przetwarzania.

Nagrania muszą być odpowiednio zabezpieczone.

Udostępnienie nagrania poza pierwotnie określony zakres wymaga uprzedniej weryfikacji podstawy prawnej.

Rejestr Czynności Przetwarzania;

rejestr naruszeń;

dokumentację uprawnień;

dokumentację umów powierzenia;

dokumentację analiz ryzyka;

dokumentację ocen skutków dla ochrony danych – jeżeli wymagane;

dokumentację realizacji praw osób;

dokumentację szkoleń;

dokumentację audytów.

Administrator jest zobowiązany nie tylko przestrzegać zasad RODO, lecz również posiadać możliwość wykazania ich przestrzegania.

Dokumentacja musi odpowiadać rzeczywistym procesom zachodzącym w danym podmiocie.

Zabrania się tworzenia dokumentacji wyłącznie formalnie, bez jej stosowania w praktyce.

Grupa zapewnia realizację praw osób, których dane dotyczą, zgodnie z RODO.

Dotyczy to w szczególności prawa do:

Każdy wniosek dotyczący praw osoby powinien zostać przekazany do osoby odpowiedzialnej za jego obsługę.

Wnioski są obsługiwane z zachowaniem terminów określonych przepisami.

Każda osoba, która stwierdzi lub podejrzewa naruszenie ochrony danych osobowych, zobowiązana jest do jego niezwłocznego zgłoszenia.

Naruszeniem może być w szczególności:

Po otrzymaniu informacji o naruszeniu właściwy podmiot:

Przed rozpoczęciem współpracy z podmiotem, który może uzyskać dostęp do danych osobowych, dokonuje się odpowiedniej weryfikacji.

Dotyczy to w szczególności dostawców:

Jeżeli podmiot działa jako procesor, wymagane jest odpowiednie uregulowanie powierzenia przetwarzania danych.

Ochrona danych powinna być uwzględniana już na etapie projektowania nowych procesów, systemów i usług.

Dotyczy to w szczególności nowych:

Przed wdrożeniem procesu dokonuje się odpowiedniej oceny ryzyka.

Osoby mające dostęp do danych osobowych powinny zostać zapoznane z zasadami ochrony danych odpowiednimi do wykonywanych obowiązków.

Szkolenia obejmują w szczególności:

Przestrzeganie Polityki może podlegać okresowym audytom.

Audyt może obejmować dokumentację, systemy IT, uprawnienia, dostawców, bezpieczeństwo, procesy online oraz realizację praw osób.

W przypadku stwierdzenia niezgodności opracowuje się działania naprawcze.

Polityka jest okresowo przeglądana i aktualizowana.

Przegląd przeprowadza się w szczególności:

Niniejsza Polityka stanowi podstawowy wewnętrzny dokument ochrony danych osobowych Grupy Evolutio.

Szczegółowe procedury, instrukcje i rejestry mogą rozwijać zasady określone w Polityce.

W przypadku rozbieżności pomiędzy Polityką a bezwzględnie obowiązującymi przepisami prawa pierwszeństwo mają przepisy prawa.

Każdy podmiot Grupy jest zobowiązany do wdrożenia Polityki w zakresie odpowiadającym jego działalności i procesom przetwarzania.

Nowy podmiot włączony do Grupy zostaje objęty Polityką bez konieczności zmiany jej postanowień.

Polityka wchodzi w życie z dniem