1. Podstawa prawna

1.1.  Niniejsza Polityka Ochrony Danych Osobowych (dalej: „Polityka”) stanowi ogólną regulację zasad i wymogów dotyczących ochrony danych osobowych (dalej także: „ochrona danych”) obowiązujących u Administratora: Leitz - Polska Sp. z o.o.  z siedzibą: 97-500 Radomsko, ul. Duńska 4; wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Łodzi Śródmieścia, XX Wydział Gospodarczy pod numerem KRS: 000008094, nr NIP: 7721787755, REGON: 590571866,  wysokość kapitału zakładowego i kapitału wpłaconego 400.000,00zł, tel. 044 683 03 88, e-mail: leitz@leitz.pl. (dalej „Administrator”, lub „Leitz Polska”)

1.2. Niniejsza Polityka, wraz z przywołanymi w niej dokumentami dotyczącymi ochrony danych, stanowi „politykę ochrony danych” w rozumieniu art. 24 Ogólnego Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. UE L 119, s. 1) (dalej: „RODO”).

1.3. Szczegółowe zasady ochrony danych i przyjęte procedury zostały opisane w osobnej dokumentacji będącej integralną częścią niniejszej Polityki, stanowią dowody rozliczalności o których mowa w art. 5 ust. 2 RODO.

1.4. Przez dane osobowe (dalej: „dane osobowe” lub „dane”) rozumie się, zgodnie z RODO, informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

1.5. Zgodnie z urzędową interpretacją unijnej Grupy Roboczej Art. 29 (obecnej Europejskiej Rady Ochrony Danych Osobowych), za dane osobowe w rozumieniu RODO uważa się także dane osoby fizycznej prowadzącej działalność gospodarczą.

1.6. Podmiot przetwarzający oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.

1.7. Zgoda w niniejszej Polityce rozumiana jest zgodnie z RODO, jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

1.8. Przez transgraniczne przetwarzanie danych osobowych rozumie się:

•  przetwarzanie danych osobowych, które odbywa się w Unii w ramach działalności jednostek organizacyjnych w więcej, niż jednym państwie członkowskim administratora lub podmiotu przetwarzającego w Unii posiadającego jednostki organizacyjne w więcej niż jednym państwie członkowskim; albo
• przetwarzanie danych osobowych, które odbywa się w Unii w ramach działalności pojedynczej jednostki organizacyjnej administratora lub podmiotu przetwarzającego w Unii, ale które znacznie wpływa lub może znacznie wpłynąć na osoby, których dane dotyczą, w więcej niż jednym państwie członkowskim.

1.9. Przetwarzanie danych osobowych oznacza, zgodnie z RODO, operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

1.10. Administrator nie przetwarza szczególnych kategorii danych osobowych, przez co rozumie się, zgodnie z RODO, dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne oraz dane dotyczące zdrowia, seksualności lub orientacji seksualnej. Przetwarzanie szczególnych danych jest dopuszczalne jedynie w ściśle określonych w przepisach celach i warunkach i dotyczy wyłącznie spraw kadrowych (akta osobowe) oraz gdy jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy albo do oceny zdolności pracownika do pracy.

1.11. Przetwarzanie danych dotyczących wyroków skazujących jest niedopuszczalne.

2. Podmioty odpowiedzialne

2.1. Osobami odpowiedzialnymi za wdrożenie i utrzymanie oraz nadzór i monitorowanie przestrzegania niniejszej Polityki oraz zasad ochrony danych osobowych jest Administrator: Leitz Polska sp. z o.o., Inspektor Ochrony Danych i inni członkowie personelu, zgodnie z opisanymi procedurami.

2.2. Za stosowanie Polityk oraz zasad ochrony danych odpowiedzialni są wszyscy członkowie Personelu Spółki.

2.3. Za członków Personelu, w rozumieniu niniejszej Polityki, rozumie się następujące osoby pozostające w strukturach Administratora:

• pracowników w rozumieniu prawa pracy
• osoby zatrudnione na umowach cywilnoprawnych
• współpracowników prowadzących działalność gospodarczą.

2.4. Członkowie Personelu określani są dalej w niniejszej Polityce także jako „Pracownicy”/”Współpracownicy”.

3. Zasady ochrony danych

3.1.  Zgodnie z przepisami RODO Administrator przetwarza dane osobowe w oparciu przede wszystkim o  następujących zasady:

• zasadę legalizmu – przetwarzanie danych odbywa się w oparciu o podstawę prawną,  zgodnie z prawem oraz zachowaniem dbałości o ochronę prywatności;
• zasadę bezpieczeństwa - zapewnienie odpowiedniego poziomu bezpieczeństwa przetwarzanym danym;
• zasady prawidłowości, rzetelności oraz transparentności przetwarzania, dla osoby, której dane dotyczą
• zasadę minimalizmu, co oznacza przetwarzanie:

(i) w konkretnych celach i nie więcej niż jest niezbędne dla realizacji tych celów (adekwatność)

(ii) nie dłużej niż jest to konieczne do realizacji celu (czasowość)

• zasadę zapewnienia ochrony danych w fazie projektowania - wszelkie projekty już na etapie tworzenia winny uwzględniać obowiązek zapewnienia ochrony danych osobowych (kwestionariusze, zgody, aplikacje, itp.)
• zasadę zapewnienia domyślnej ochrony danych - szczególnie w systemach informatycznych domyślnie przetwarzane powinny być wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia celu ich przetwarzania. Oznacza to zapewnienie ustawień zapewniających maksymalnie wysoką ochronę danych jako pierwotnych ustawień systemu informatycznego czy oprogramowania, a zmiana tych ustawień powinna następować jedynie na wyraźne żądanie Administratora.

3.2. Wszelkie działania dotyczące ochrony danych osobowych winny mieć na względzie sformułowaną w RODO zasadę rozliczalności, nakazującą dokumentowanie przez Administratora sposobu spełniania obowiązków tak, aby w każdej chwili móc wykazać zgodność z RODO.

3.3.  Przetwarzanie danych osobowych w Spółce oparte jest także na:

• Znajomości dokumentacji przetwarzania danych osobowych – każda osoba upoważniona do przetwarzania danych osobowych powinna zostać zapoznana z przyjętymi dokumentami stanowiącymi politykę ochrony danych przyjętą w Leitz Polska;
• Przywilejach koniecznych – każda osoba upoważniona do przetwarzania danych posiada dostęp do danych osobowych ograniczony wyłącznie do tych danych, które są konieczne do wykonywania powierzonych jej zadań;
• Usługach koniecznych – systemy informatyczne świadczą tylko takie usługi, które są konieczne do realizacji zadań biznesowych i operacyjnych.

3.4. Administrator deklaruje pełne zaangażowanie i determinację celem zapewnienia bezpieczeństwa przetwarzania danych osobowych, a także prawidłowego zabezpieczenia systemu informatycznego służącego do przetwarzania danych osobowych, jak i zabezpieczenia danych przetwarzanych w wersji papierowej.

3.5. Administrator w szczególności zapewnia:

(1) środki techniczne i organizacyjne niezbędne dla zapewnienia bezpiecznego przetwarzania danych w pomieszczeniach do tego przeznaczonych;

(2) system i sprzęt informatyczny umożliwiający bezpieczne przetwarzanie danych;

(3) że do przetwarzania danych osobowych zostały dopuszczone wyłącznie osoby posiadające upoważnienie do przetwarzania danych osobowych, wydane zgodnie z art. 29 RODO;

(4) zapoznanie z przepisami o ochronie danych osobowych każdej osoby upoważnionej do przetwarzania danych osobowych;

(5) uwzględnienie ochrony danych w fazie projektowania oraz uwzględnienie mechanizmów domyślnej ochrony zgodnie z art. 25 RODO;

(6) korzystanie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniło wymogi RODO i chroniło prawa osób, których dane dotyczą, zgodnie z art. 28 RODO;

(7) należyte i terminowe udzielanie informacji na wniosek osób, których dane są przetwarzane, w związku z realizacją ich praw wskazanych w art. 12-23 RODO;

(8) kontrolę nad tym jakie dane, kiedy i przez kogo zostały do zbiorów Administratora wprowadzone, ze zbiorów usunięte oraz komu i przez kogo przekazane, zgodnie z wymaganiami bezpieczeństwa wskazanymi w art. 32 RODO;

(9) zgłaszanie naruszeń ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych, zgodnie z art. 33 RODO oraz zawiadamianie osób, których dane dotyczą, zgodnie z art. 34 RODO

(10) prowadzenie rejestru czynności przetwarzania danych lub / i rejestru kategorii czynności przetwarzania danych, w przypadku gdy Administrator jest do tego zobowiązany, zgodnie z art. 30 RODO;

(11) dokonywanie oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO, w przypadku gdy Administrator jest do tego zobowiązany;

(12) wyznaczenie Inspektora ochrony danych, zgodnie z art. 37 RODO, w przypadku, gdy Administrator jest do tego zobowiązany.

4. Upoważnienia do przetwarzania danych

4.1. Wszystkie osoby dokonujące przetwarzania danych osobowych mogą działać jedynie na podstawie oraz w granicach polecenia i upoważnienia wydanego przez Administratora.

4.2. Administrator prowadzi jest Rejestr Upoważnień.

4.3. Podmioty zewnętrzne (dalej: „Podmioty Przetwarzające”), a więc podmioty nie decydujące o celach i sposobach przetwarzania danych, dokonują przetwarzania danych osobowych jedynie na podstawie oraz w granicach umowy powierzenia danych osobowych zawartych z Administratorem.

4.4. Administrator prowadzi Rejestr Umów Powierzenia.

5.   Obowiązki dotyczące praw osoby fizycznej

5.1. Wszelkie informacje kierowane do osób, których dane są przetwarzane przez lub w imieniu Administratora, winny wskazywać  podstawę prawną przetwarzania. Przepisy RODO dopuszczają możliwość przetwarzania danych osobowych jedynie w ściśle określonych przypadkach, spośród których w występują następujące:

• gdy osoba, której dane dotyczą, wyraziła zgodę, np. do celów marketingowych;
• gdy przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na Administratorze;
• gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

5.2. Administrator spełnia względem osób, których dane przetwarza, obowiązek informacyjny - przekazuje wymagane prawem informacje przy zbieraniu danych („klauzule informacyjne”).

5.3. „Klauzuli informacyjnej” nie należy unikać w sytuacjach, gdy przetwarzanie jest dopuszczalne z innego tytułu, zwłaszcza jako niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

5.4. O fakcie profilowania należy poinformować osobę, której dane są profilowane, jak również należy uzyskać wyraźną zgodę tej osoby na profilowanie. Przez „profilowanie" rozumie się dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu tych danych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

5.5. Osoba, której dane są przetwarzane, może w każdej chwili odwołać zgodę na przetwarzanie danych. Odwołanie zgody wywołuje wyłącznie skutki na przyszłość. W przypadku osób, które łączyła z Administratorem umowa, można przechowywać odpowiednio zabezpieczone dane w ilości niezbędnej do dochodzenia w przyszłości roszczeń z zawartej i realizowanej umowy, nie dłużej niż do czasu przedawnienia roszczeń lub odrębnych przepisów podatkowych.

5.6. W razie zajścia przypadku naruszenia ochrony danych osobowych polegającego w szczególności na:

•    naruszeniu bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego prawem zniszczenia, utracenia albo zmodyfikowania danych osobowych;
•    naruszeniu bezpieczeństwa prowadzącym do nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych obowiązuje ściśle określona w RODO procedura zgłaszania naruszenia danych oraz zawiadamiania osób, których dane dotyczą.

5.7. Osobie, której dane dotyczą, przysługuje prawo do bycia zapomnianą. Prawo to polega na:

•     możliwości żądania przez osobę, której dane dotyczą, usunięcia jej danych osobowych przez Administratora,
•     możliwości żądania, aby Administrator poinformował innych administratorów danych, którym udostępnił dane osobowe, że osoba, której dane dotyczą, żąda, by  administratorzy ci usunęli wszelkie łącza do tych danych lub ich kopie.

5.8. Osobie, której dane dotyczą, przysługuje prawo do przenoszenia danych. Prawo to polega na możliwości żądania:

•    otrzymania przez osobę, której dane dotyczą, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, danych osobowych jej dotyczących, które dostarczyła Administratorowi
•     prawo przesłania przez osobę, której dane dotyczą, danych osobowych jej dotyczących, które dostarczyła Administratorowi - innemu administratorowi, bez przeszkód ze strony Administratora.

5.9. Prawo do przenoszenia danych może być wykonane wyłącznie wtedy, gdy:

•  przetwarzanie danych odbywa się na podstawie zgody lub w celu wykonania umowy oraz
•  przetwarzanie danych odbywa się w sposób zautomatyzowany. Prawo do przenoszenia danych obejmuje tylko dane osobowe przetwarzane przy użyciu systemów informatycznych i nie obejmuje tradycyjnych, np. papierowych zbiorów danych.

6. Okres przechowywania danych osobowych

6.1. Jeżeli podstawą przetwarzania danych osobowych jest zgoda, dane osobowe mogą być przetwarzane tak długo, aż zgoda nie zostanie odwołana, chyba że szczegółowe polityki stanowią inaczej, w tym procedura usuwania oraz wytyczne dotyczące przechowywania danych osobowych  archiwizacji i usuwania dokumentów zawierających dane osobowe

6.2. Jeżeli podstawą przetwarzania danych osobowych jest wykonanie umowy, dane osobowe mogą być przetwarzane tak długo, jak jest to niezbędne do wykonania umowy, a po tym czasie przez okres wynikający z obowiązku przechowywania danych księgowych i rachunkowych (na podstawie obowiązujących przepisów) lub przez okres  niezbędny do dochodzenia lub przedawnienia roszczeń, jakie może podnosić Administrator lub jakie mogą być podnoszone w stosunku do Administratora.

6.3. W pozostałych kwestiach okres przechowywania danych uregulowany jest osobnymi przepisami, które są respektowane przez Administratora.

7. Bezpieczeństwo danych osobowych

7.1. Należy mieć na uwadze, że przepisy RODO nie wskazują konkretnych środków zabezpieczenia danych osobowych, jednakże wprowadzają zasadę, że dobór środków bezpieczeństwa powinien być oparty o:

• stan wiedzy technicznej,
• koszt wdrażania,
• charakter, zakres, kontekst i cele przetwarzania,
• ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia.

7.2. Administrator uwzględniając cel i kontekst przetwarzania danych osobowych, przeprowadził ocenę i analizę ryzyka jakie wiąże się z ich przetwarzaniem; na tej podstawie zastosował odpowiednie środki techniczne i organizacyjne zabezpieczające dane (w tym w szczególności procedury, polityki, środki kryptograficzne, pseudonimizację).