Politika zasebnosti

Na podlagi 24. in 25. člena Zakona o varstvu osebnih podatkov (ZVOP-1) in uredbe (EU) 2016/679 Evropskega parlamenta in sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu osebnih podatkov oz. GDPR), direktor družbe Ham, d.o.o., Gerbičeva ulica 102, 1000 Ljubljana, matična številka 5376491000, davčna številka SI 70000891 (v nadaljevanju družba), Tomaž Ham, sprejemam naslednji:

PRAVILNIK O POSTOPKIH IN UKREPIH ZA VAROVANJE OSEBNIH PODATKOV

1. člen

Vsebina in namen pravilnika

1. S tem pravilnikom se določajo tehnični in organizacijski ukrepi za zavarovanje osebnih podatkov v družbi da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo podatki. Namen družbe je preprečiti slučajno ali namerno nepooblaščeno uničevanje podatkov, njihovo spremembo ali izgubo, kakor tudi nepooblaščen dostop, obdelavo, uporabo ali  posredovanje osebnih podatkov tretji osebi.
2. Zaposleni in zunanji pogodbeni sodelavci, ki pri svojem delu obdelujejo in uporabljajo osebne podatke, morajo biti seznanjeni z Zakonom o varstvu osebnih podatkov (ZVOP-1) in Splošno uredbo o varstvu osebnih podatkov ter z vsebino tega pravilnika.
3. V zadevah, ki jih ne ureja ta pravilnik, se neposredno uporabljajo določbe Zakona o varstvu osebnih podatkov (ZVOP-1) in Splošne uredbe o varstvu osebnih podatkov.

2. člen

Pomen izrazov

1. V tem pravilniku uporabljeni izrazi imajo naslednji pomen:

• »nacionalna zakonodaja« predstavlja trenutno veljavno državno zakonodajo (ZVOP-1 – Zakon o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/2007. 67/2007 in 94/2007);

• Splošna uredba  EUR o varstvu osebnih podatkov (2016/679) oz. GDPR;
• »osebni podatek« pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika;
• »obdelava«  – pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;
• »zbirka« pomeni vsak strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi;
• »upravljavec« – pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice;
• »obdelovalec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca;
• »uporabnik« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Vendar pa se javni organi, ki lahko prejmejo osebne podatke v okviru posamezne poizvedbe v skladu s pravom Unije ali pravom države članice, ne štejejo za uporabnike; obdelava teh podatkov s strani teh javnih organov poteka v skladu z veljavnimi pravili o varstvu podatkov glede na namene obdelave;
• »privolitev posameznika, na katerega se nanašajo osebni podatki« pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj;
• »nosilec podatkov« so vse vrste sredstev, na katerih so zapisani ali posneti podatki (listine, akti, gradiva, spisi, računalniška oprema vključno s magnetni, optični ali drugi računalniški mediji, fotokopije, zvočno in slikovno gradivo, mikrofilmi, naprave za prenos podatkov, ipd.).

II. NAČELA

3. člen

Načela v zvezi z obdelavo osebnih podatkov

1. Osebni podatki so:

• obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki („zakonitost, pravičnost in preglednost“);
• ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“), kar pomeni, da so obrazci s polji vnaprej določeni in ne zbiramo niti hranimo nepotrebnih osebnih podatkov;
• hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo;
• obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi („celovitost in zaupnost“);
• v določenih poslovnih procesih psevdonimizirani v izogib tveganju za njihovo razkritje. Na mestih v poslovnih procesih, kjer je dešifriranje psevdonimizacije potrebno za izvajanje pogodbene dolžnosti, imajo avtorizirane osebe dostop do razširjenih podatkov o posamezniku – seveda na podlagi unikatnega uporabniškega imena in gesla, ki določa stopnjo avtorizacije – s čimer zagotavljamo »privzeto varstvo podatkov«. Privzeto varstvo osebnih podatkov zagotavljamo na podlagi organizacijskih in tehničnih ukrepov. Vsak način obdelave osebnih podatkov ima različno vsebino privzetih osebnih podatkov posameznika, da se obdelujejo le podatki, ki so nujno potrebni za posamezni način in namen obdelave.

4. člen

Zakonitost obdelave

V zbirki osebnih podatkov se obdelujejo samo tisti osebni podatki, ki imajo ustrezno zakonsko podlago po določilih GDPR in ZVOP-1 ter so s strani upravljavca dokazljivi:

• obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
• obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
• legitimni interes;
• posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov.

III. PRAVICE POSAMEZNIKA

5. člen

Preglednost podanih informacij in načinov za uresničevanje pravic posameznika

Upravljalec posamezniku zagotovi naslednje informacije v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku:

• identiteto in kontaktne podatke upravljavca,
• namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo,
• obdobje hrambe osebnih podatkov oz. merila, ki se uporabljajo za določitev obdobja,
• obstoj pravice, da od upravljavca zahteva dostop do osebnih podatkov in popravek ali izbris ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo podatki, ali obstoj pravice do ugovora obdelavi,
• obstoj pravice, da lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica,
• pravico do vložitve pritožbe pri nadzornem organu.

6. člen

Pravica dostopa posameznika

Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

• namene obdelave,
• vrste zadevnih osebnih podatkov,
• če je mogoče, predvideno obdobje hrambe podatkov,
• obstoj pravice od upravljavca zahteva dostop do osebnih podatkov in popravek ali izbris ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo podatki, ali obstoj pravice do ugovora obdelavi,
• pravico do vložitve pritožbe pri nadzornem organu,
• kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom.

Upravljavec bo zahtevane informacije posredoval brez nepotrebnega odlašanja, v vsakem primeru pa v enem mesecu po prejemu zahteve.

Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo in je brezplačna. Za dodatne kopije, ki jih zahteva posameznik, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju pravnih stroškov.

7. člen

Postopek uveljavljanja pravic posameznika

Osebni podatki se posredujejo le tistim uporabnikom, ki se izkažejo z ustrezno zakonsko podlago ali s pisno zahtevo oz. privolitvijo posameznika, na katerega se podatki nanašajo.

Za vsako posredovanje osebnih podatkov mora posameznik vložiti pisno vlogo, vsako posredovanje pa se beleži v evidenco posredovanj (kateri podatki, komu, kdaj in na kakšni podlagi). Nikoli se ne posredujejo originali dokumentov, razen v primeru pisne odredbe sodišča. Originalni dokument v družbi v času odsotnosti nadomestimo s kopijo.

Upravljavec vsakemu uporabniku, ki so mu bili osebni podatki razkriti, sporoči vse popravke ali izbrise osebnih podatkov ali omejitev obdelave, razen če se to izkaže za nemogoče ali vključuje nesorazmeren napor.

Upravljavec o teh uporabnikih obvesti posameznika, na katerega se nanašajo osebni podatki, če ta posameznik tako zahteva.

7a. člen

Postopek za podajanje informacij o obdelavi

Po ustni ali pisni zahtevi in identifikaciji posameznika, se posamezniku posredujejo naslednje informacije v tiskani ali pdf obliki: namen obdelave njegovih osebnih podatkov, vrste zadevnih osebnih podatkov, predvideno obdobje hrambe (če je mogoče), obstoj pravice, da zahteva popravek ali izbris ali omejitev obdelave ali ugovarja obdelavi osebnih podatkov, obstoj pravice, da vloži pritožbo pri pristojnem organu. Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo in je brezplačna. Za dodatne kopije, ki jih zahteva posameznik, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju pravnih stroškov.

7b. člen

Postopek uveljavljanja pravice do popravka

Po ustni ali pisni zahtevi in identifikaciji posameznika, se zbrani netočni podatki upravljavca brez nepotrebnega odlašanja popravijo. Posameznik na katerega se nanašajo osebni podatki, ima ob upoštevanju namenov obdelave, pravico do dopolnitve nepopolnih osebnih podatkov.

7c. člen

Postopek uveljavljanja pravice do izbrisa (»pozabe«)

Po ustni ali pisni zahtevi in identifikaciji posameznika, se zbrani podatki upravljavca brez nepotrebnega odlašanja izbrišejo, če:

• zbrani osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani,
• posameznik prekliče privolitev, na podlagi katere poteka obdelava njegovih podatkov in kadar za obdelavo ne obstaja nobena druga pravna podlaga,
• posameznik obdelavi ugovarja (po GDPR Oddelek 4, člen 21 (1) ali (2)), za obdelavo ne obstaja nobena druga pravna podlaga,
• jih je potrebno izbrisati za izpolnitev pravne obveznost v skladu s pravom Unije ali nacionalne zakonodaje, ki velja za upravljavca.

Podatki bodo iz zbirke trajno odstranjeni. V zbirkah X in Y je funkcija »izbriši«, ki bo osebne podatke na zahtevo posameznika anonimizirala, pustila pa je tiste, ki jih potrebujemo za letne finančne oz. poslovne analize. Postopek izvaja pooblaščena oseba upravljavca. Zbirka Z je kadrovska zbirka, ki je trajna in se podatkov ne briše. Zbirke A, B in C omogočajo brisanje podatkov. Za to skrbi pooblaščena oseba upravljavca, ki se po potrebi za sodelovanje obrne na skrbnika pogodbe pri podobdelovalcu. Zbirka video po 12 mesecih sama briše posnetke, če bi bilo potrebno kakšen posnetek izbrisati prej, to stori pooblaščena oseba upravljavca.

7č. člen

Postopek uveljavljanja pravice do omejitve obdelave

Po ustni ali pisni zahtevi in identifikaciji posameznika, se zbranim podatkom upravljavca brez nepotrebnega odlašanja omeji obdelava, če:

• posameznik oporeka točnosti podatkov, in sicer za obdobje, ki upravljavcu omogoča preveriti točnost osebnih podatkov,
• posameznik nasprotuje izbrisu osebnih podatkov ter namesto tega zahteva omejitev njihove obdelave,
• upravljavec osebnih podatkov ne potrebuje več za namene obdelave, temveč jih posameznik potrebuje za uveljavljanje. Izvajanje ali obrambo pravnih zahtevkov,
• je posameznik vložil ugovor v zvezi z obdelavo, dokler se ne preveri, ali zakoniti razlogi upravljavca prevladajo nad razlogi posameznika.

7d. člen

Postopek uveljavljanja pravice do prenosljivosti podatkov

Po ustni ali pisni zahtevi in identifikaciji posameznika, se konkurenčni družbi, ki ga določi stranka, posredujejo informacije, ki jih je posredoval upravljavcu. Konkurenčna družba jih prejme v strukturirani, splošno uporabljani in strojno berljivi obliki (*.pdf). Njegova pravica je, da te podatke posreduje drugemu upravljavcu, brez da ga oviramo, kadar obdelava temelji na privolitvi posameznika ali na pogodbi in če se obdelava izvaja z avtomatiziranimi sredstvi.

7e. člen

Postopek uveljavljanja pravice do ugovora

Po ustni ali pisni zahtevi in identifikaciji posameznika, upravljavec zaključi z obdelavo osebnih podatkov, vključno z oblikovanjem profilov, če jih oblikuje in neposrednim trženjem. Izjema je, če upravljavec dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Če posameznik ugovarja namenu neposrednega trženja, se njegovi podatki ne obdelujejo več v ta namen oz. v kakršen koli drug namen, ki mu posameznik nasprotuje. Posameznik je na to pravico  izrecno opozorjen najpozneje ob prvem komuniciranju – jasno in ločeno od drugih informacij.

IV. OBVEZNOSTI UPRAVLJAVCA IN OBDELOVALCA

8. člen

Odgovornost upravljavca in čas hranjenja

Upravljavec izvede tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu z veljavno uredbo.

V času določanja sredstev in v času same obdelave upravljavec izvaja ustrezne tehnične in organizacijske ukrepe, za učinkovito izvajanje načel varstva podatkov, kot npr. načelo najmanjšega obsega podatkov, ter v obdelavo vključi potrebne zaščitne ukrepe, da se izpolnijo zahteve veljavne uredbe in zaščitijo pravice posameznikov, na katere se nanašajo osebni podatki. S tem predvsem zagotovi, da osebni podatki niso samodejno dostopni nedoločenemu številu posameznikov brez posredovanja zadevnega posameznika.

Osebni podatki se bodo hranili in obdelovali najmanj za zakonsko določeno časovno obdobje glede na namen zbiranja podatkov. Sicer bo hranjenje neomejeno oz. do preklica privolitve posameznika. Po preklicu soglasja bodo podatki učinkovito in trajno izbrisani ali anonimizirani.

Če se pri upravljavcu spremenijo nameni hranjenja in obdelave osebnih podatkov, bo zbirke podatkov s spremenjenim namenom učinkovito in trajno izbrisane oz. anonimizirane.

9. člen

Odgovornosti obdelovalca

Kadar se obdelava izvaja v imenu upravljavca, ta sodeluje zgolj z obdelovalci, ki zagotovijo zadostna jamstva za izvedbo ustreznih tehničnih in organizacijskih ukrepov na tak način, da obdelava izpolnjuje zahteve veljavne uredbe in zagotavlja varstvo pravic posameznika, na katerega se nanašajo osebni podatki.

Obdelovalec ne zaposli drugega obdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca.

Obdelavo s strani obdelovalca ureja pogodba v skladu s pravom Unije, v kateri so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov ter obveznosti in pravice upravljavca.

V. KATERE OSEBNE PODATKE ZBIRAMO IN S KAKŠNIM NAMENOM

10. člen

Pri poslovnih procesih na določenih mestih zbiramo naslednje podatke o uporabnikih in zaposlenih (včasih vse navedene, pri posameznih procesih pa le kakšnega izmed zabeleženih):

• ime in priimek,
• podjetje
• naslov,
• telefonsko številko in
• e-naslov,
• opombe,
• … .

Navedene podatke uporabimo za izvajanje naslednjih aktivnosti in namene pri posameznih poslovnih procesih:

Osebne podatke (ime in priimek, naslov, telefonska številka, elektronski naslov, v primeru podjetja tudi davčna številka) zbiramo z namenom, da vam lahko omogočimo naročilo in dostavo naročenih izdelkov. Vaše osebne podatke shranimo in jih uporabljamo izključno za potrebe izpolnitve naročila (pošiljanje računov, dostava blaga) in ostalo potrebno komunikacijo. Vaše podatke bomo v zbirki osebnih podatkov hranili do preklica vašega soglasja za obdelavo osebnih podatkov oziroma dokler bo potrebno, da se doseže namen, za katerega so bili pridobljeni.

Neposredno obveščanje o ponudbi, ugodnostih:

• pošiljanje e-novic, e-tiskovin in akcijskih vsebin družbe, za obveščanje o izdelkih, storitvah in ugodnostih, rezultatih kvizov, nagradnih iger, po elektronski pošti.
• izvajanje neposrednega trženja preko telefonskih klicev ali navadne pošte npr tiskovine, za namene obveščanja o ugodnostih, izdelkih in storitvah. 

Od neposrednega obveščanja se lahko kadarkoli odjavite na info@rolljet.com

Osnovno prilagojeno komuniciranje (preko emaila, SMS, telefonskih klicev, pošte, obvestil preko brskalnika, informacij na spletnem mestu, socialnih omrežij) s popusti, ponudbami in vsebinami. V okviru osnovnega prilagojenega komuniciranja vam skušamo predstaviti ustrezne ponudbe, popuste in druge vsebine, ki bi vam lahko bile zanimive na podlagi vaših preteklih interakcij z nami. Od osnovnega prilagojenega komuniciranja se lahko vedno odjavite na info@rolljet.com.

Statistične analize o kupcih, njihovih naročili in potencialnih kupcev za namen internih analiz prodaje, ponovnih nakupov, agregiranih podatkov obnašanja kupcev, optimizacije oglaševanja in poslovne optimizacije:  

• spremljamo prodajo po naših prodajnih kanalih (internet, trgovina), 
• spremljamo koliko kupcev izvaja ponovne nakupe, kako hitro in v kolikšni vrednosti, 
• spremljamo splošne statistične prodajne podatke (povprečna vrednost košarice, število izdelkov v naročilu), 
• spremljamo odzive na elektronsko pošto, SMS, telefonske klice (radijski oglasi, spletni oglasi) in na podlagi tega optimiramo svoje oglaševanje z namenom nuditi kvalitetne storitve in izdelke na podlagi zakonitega interesa.
• sledenje klikom (na spletni strani in v e-mailih) in odpiranjem e-mailov za izboljševanje vsebine e-mailov. 

Ponovno trženje: Ham d.o.o. uporablja tudi piškotke za sledenje trženju tretje stranke, vključno z Google Ads piškotki za sledenje. To omogoča, da lahko ponudimo posebne ponudbe in še naprej tržimo naše storitve in izdelke tistim, ki so pokazali zanimanje za naše storitve in izdelke. Spoštujemo vašo zasebnost in ne zbiramo nobenih prepoznavnih podatkov z uporabo Googlovega ali katerega koli drugega sistema za ponovno trženje tretjih oseb.

E-mail marketing

V kolikor želite prejemati e-novice, morate izpolniti obrazec na spletni strani: www.rolljet.com. Z izpolnitvijo tega obrazca in potrditvijo posredujete elektronski naslov. Za upravljanje seznama naročnikov email trženja in za pošiljanje e-pošte našim naročnikom uporabljamo Mailerlite. MailerLite je ponudnik tretjih oseb, ki lahko obdeluje vaše podatke s pomočjo industrijskih standardnih tehnologij, ki nam pomagajo spremljati in izboljševati naša email sporočila.Politika zasebnosti MailerLite je na voljo na https://www.mailerlite.com/privacy-policy. Od naših email sporočil se lahko odjavite s klikom na povezavo za odjavo, ki je na koncu vsakega glasila.

Dostop do socialnih omrežij

Naša spletna stran lahko vsebuje povezave do drugih spletnih mest in gumbov za skupno rabo (kot so Instagram, Facebook, Youtube ali Vimeo), ki ne delujejo v imenu Ham d.o.o.. Vsako izmed navedenih socialnih omrežij pri zagotavljanju svojih storitev deluje skladno s pogoji uporabe in svojimi politikami zasebnosti. Ham d.o.o. v zvezi z uporabo socialnih omrežij, za katere omogoča dostop preko svoje spletne strani ne prevzema nobene odgovornosti. Vprašanja je potrebno nasloviti na posamično družabno omrežje. 

Piškotki

Naša spletna stran za svoje nemoteno delovanje uporablja piškotke, ki se odlagajo na napravi uporabnika. Piškotki so majhne datoteke, ki jih naložimo na vaš računalnik z namenom prepoznavanja posameznih naprav, ki ste jih uporabili pri dostopu.

11. člen 

Uporaba spletnih piškotkov je običajna in zaželena. Z njo je namreč omogočena višja raven storitev, kot so shranjevanje potrdila o registraciji, uporaba spletne trgovine, preprečevanje pretiranega prikazovanja oglasnih pasic in podobno. Interakcija med spletnim uporabnikom in spletnim mestom je zaradi njih hitrejša in enostavnejša. Z njihovo pomočjo je brskanje po spletnih mestih bolj učinkovito in prijazno.

Uporabljamo piškotke, da z njimi:

• štejemo število obiskovalcev strani,
• raziskujemo, kako se obiskovalci premikajo po strani, da prilagodimo prikaz vsebine glede na pretekle obiske,
• ohranjamo vašo prijavo, kjer je ta potrebna,
• prepoznavamo vašo napravo (mobitel, računalnik, tablica) in ji prilagajamo prikaz vsebine,
• omogočamo delovanje spletne trgovine.

V kolikor boste dali soglasje za piškotke in si kasneje premislili, lahko nastavitve kadarkoli spremenite. Navodila za spremembo nastavitev za spletne brskalnike:

Crome
Internet Explorer, Windows 10, Windows 8,1, Windows 7
Firefox
Opera

Safari

V poslovniku so opisane vse zbirke podatkov družbe, v njih pa so predstavljene kategorije posameznikov, vrste in izvor podatkov, namen obdelave, pravna podlaga za obdelavo, komu se posredujejo, predvideni rok hrambe, kako je dosežen pregled nad tokom osebnih podatkov ter kje zbirko hranimo.

V poslovniku je naveden seznam vseh spletnih mest na spletnih straneh, kjer se zbirajo podatki, kot npr.:

• prijava na novice;
• naročilo katalogov;
• oddaja povpraševanja;
• naročilo produktov;
• itd. … .

VI. POPIS POSLOVNIH PROCESOV, KI SO V STIKU Z OSEBNIMI PODATKI

12. člen

V družbi zaposleni zaradi narave dela pridejo v stik s posameznimi osebnimi podatki posameznikov. Po področjih in poslovnih procesih je stik razdelan v poslovniku.

VII. OPIS SISTEMA

13. člen

Infrastruktura sistema

Infrastruktura informacijskega sistema je sestavljena iz naslednjih elementov: strojna oprema, omrežna oprema in povezave med njimi.

Strojno opremo sestavljajo lokalni server, komunikacijsko vozlišče in posamezni računalniki v pisarnah.

Omrežno opremo sestavljajo lokalni server, router ponudnika in brezžični router za internet. Podatki se shranjujejo centralno na lokalnem serverju v šifrirani obliki – na njem in prav tako v šifrirani obliki se izvaja tudi izdelava varnostnih kopij.

Vzdrževanje, nadgradnje in ostali potrebni posegi v informacijski sistem so redni in sledljivi (iz zapisnikov). Dovoljeno je le pooblaščenim serviserjem, organizacijam oz. posameznikom, ki imajo z družbo sklenjeno ustrezno pogodbo. Izvajalci morajo spremembe in dopolnitve sistemske ali aplikativne programske opreme ustrezno dokumentirati. Prav tako mora biti v času servisa ves čas prisoten pooblaščeni delavec družbe, ki skrbi, da ne pride do nedopustnega ravnanja z osebnimi podatki.

14. člen

Politika varovanja informacij

V družbi imamo sprejeto politiko varovanja informacij. V ta namen sta pripravljena dva pravilnika, ki ju vsak obstoječi in novo zaposleni prebere in podpiše, da se z njima strinja:

• Pravilnik o ravnanju v družbi,
• Pravilnik o varovanju osebnih podatkov.

VIII. DOSTOP DO SISTEMA

15. člen

Avtentikacija uporabnikov

V družbi uporabljamo avtentikacijo uporabnikov z uporabniškim imenom v kombinaciji z geslom.

Identifikacija do različnih zbirk podatkov je različna, uporabnik se mora v vsako posebej prijaviti s svojim edinstvenim uporabniškim imenom in geslom. Uporabniško ime je posameznikom dodeljeno, geslo pa določi posameznik.

Za izbiro gesla obstajajo pravila, da je geslo dovolj močno in ne enostavno uganljivo. Predpisana je dolžina gesel z vsaj 6 znaki, prav tako struktura, da je v geslu vsaj ena številka in en znak. Dodatno zaposlene spodbujamo k uporabi velikih in malih črk. Gesla se ne morejo ponoviti.

Geslo ostaja enako, dokler odgovorna oseba ne določi spreminjanja gesel. Gesla sama ne potečejo in samodejne sistemske menjave gesla ne uporabljamo.

16. Člen

Avtorizacija uporabnikov

Dolžnosti in odgovornosti zaposlenih se dodelijo in vzpostavijo na začetku dela in ob uvajanju.

Pri posameznih zbirkah osebnih podatkov je določena odgovorna oseba in uporabniki, ki imajo pravico dostopa do posamezne zbirke osebnih podatkov.

Pri dostopu do sistema obstaja delitev vlog na uporabnike in skrbnike, pri katerih imajo slednji drugačne avtorizacije od uporabnikov.

Dodeljevanje, spreminjanje in odvzemanje uporabniških pooblastil je v domeni skrbnikov. Ob prihodu novega zaposlenega in končanem uvajanju, posameznik prejme svoje uporabniško pooblastilo, ki se tekom dela aktivno spreminja, kadar se uporabniku spremenijo potrebe po dostopu. To vključuje tudi odvzem uporabniških pravic in njihovo zaklepanje od odhodu zaposlenega.

Pregled pooblastil uporabnikov je veliko primerih že privzeto določen pri posamezni zbirki dodatkov, tako da pregled ni zahteven in ga je možno izvesti hitro.

17. člen

Sledljivost dostopov do podatkov

Vsak dostop do podatkov se zabeleži, tako uporabniški kot administratorski, tudi če je šlo le za prijavo in pregledovanje podatkov. Prav tako je omogočena sledljivost opravljenih sprememb podatkov, torej kaj se je spremenilo in kateri uporabnik je to storil.

Revizijske sledi dostopov do podatkov se hranijo v posamezni zbirki in niso dostopne vsem uporabnikom, temveč le administratorjem. Spreminjanje, brisanje in izklop beleženja revizijskih sledi v posameznih zbirkah niso mogoči – niti administratorjem.

Tudi dostopi do revizijskih sledi se beležijo, kot vsi ostali dostopi. Redno pregledovanje ni na našem urniku, imamo pa ob kakršni koli težavi ali povzročenem sumu omogočeno možnost pregleda in interne preiskave. Ker gre za manjše in ne pogosto uporabljene zbirke osebnih podatkov, ne uporabljamo posebnih orodij za upravljanje revizijskih sledi.

Nadzor dostopov do podatkov in še prej do sistema je urejen tako da se je možno do zbirk prijaviti le na službenih računalnikih. Oddaljeni dostop zaposlenih uporabnikov na službenih računalnikih se izvede s pomočjo tehnologije VPN, kar velja izključno za tehnični sektor družbe.

IX. FIZIČNO IN TEHNIČNO VAROVANJE PROSTOROV TER VAROVANJE PRED VPLIVI OKOLJA

18. člen

Fizični dostop

Prostori, v katerih se nahajajo nosilci osebnih podatkov, strojna in programska oprema, so varovani s tehničnimi in organizacijskimi ukrepi, ki onemogočajo dostop do podatkov nepooblaščenim osebam. Dostop je mogoč le v rednem delovnem času, izven tega časa pa samo na podlagi dovoljenja zakonitega zastopnika. Varovani prostori ne smejo ostati nenadzorovani in se morajo zaklepati ob odsotnosti delavcev, ki jih sicer nadzorujejo.

Najpomembnejša dela, server in komunikacijsko vozlišče, sta pod ključem. Do njiju lahko dostopa samo pooblaščena oseba za vzdrževanje strojne opreme in najeti servisi v primeru posodobitev in reševanja težav.

Ključi varovanih prostorov se uporabljajo in hranijo v skladu s hišnim redom, ne puščamo jih v ključavnici.

Za nadzor dostopa uporabljamo alarmni sistem, varnostne ključavnice, mehanske ovire na oknih in video nadzor (glej Pravilnik o izvajanju videonadzora). Nadzor dostopa zaposlenih se vodi s pomočjo alarmnega sistema, saj ima vsak od njih svoje osebno geslo.

Omenjene protivlomne in varnostno-nadzorne sisteme vzdržujejo zunanji vzdrževalci, ki so seznanjeni  s svojimi dolžnostmi in odgovornostmi glede varovanja naših podatkov ter imajo z družbo sklenjeno ustrezno pogodbo. Kakršno koli poseganje vanje je dovoljeno le ob prisotnosti zakonitega zastopnika.

Izven delovnega časa morajo biti omare in pisalne mize z nosilci osebnih podatkov zaklenjene, računalniki in druga strojna oprema pa izklopljeni in fizično ali programsko zaklenjeni. Izven delovnega časa nima nihče dostopa v poslovne prostore, še manj do zbirk osebnih podatkov.

V prostorih, ki so namenjeni poslovanju s strankami, morajo biti nosilci podatkov in računalniški prikazovalniki nameščeni tako, da stranke in druge nepooblaščene osebe nimajo vpogleda vanje.

19. člen

Varovanje pred vplivi okolja

Zbirke osebnih podatkov varujemo tudi z mehanizmi proti vplivu okolja. Uporabljamo protipožarni sistem in javljalnike dima.

X. VAROVANJE PODATKOV

20. člen

Kontrole proti zlonamerni kodi

Na vseh računalnikih v družbi uporabljamo antivirusni program in požarni zid ESET ENDPOINT ANTIVIRUS + FILE SECURITY, ki ga redno posodabljamo. Nameščanje novih verzij je na letni ravni, vsakoletno pa se obnovijo licence.

Uporablja se sistem za zaznavo vdora z geslom, kjer se vsi poskusi prijav beležijo, poskuse vdora pa se blokira.

Vsebina diskov mrežnega sistem in lokalnih delovnih postaj, kjer se nahajajo osebni podatki, se vsakodnevno preverja z vidika prisotnosti računalniških virusov. Ob pojavu računalniškega virusa bi se ga čim prej odpravilo s pomočjo ustrezne strokovne službe, obenem pa ugotovilo vzrok pojava virusa v računalniškem informacijskem sistemu.

Vsi osebni podatki in programska oprema, ki so namenjeni uporabi v računalniškem informacijskem sistemu in prispejo v družbo na medijih za prenos računalniških podatkov ali preko telekomunikacijskih kanalov, morajo biti pred uporabo preverjeni in testirani na prisotnost računalniških virusov.

Zaposleni ne smejo nameščati programske opreme brez vednosti osebe, zadolžene za delovanje računalniškega informacijskega sistema. Prav tako ne smejo odnašati programske opreme iz prostorov družbe brez odobritve vodje organizacijske enote in odgovorne osebe.

21. člen

Varnostne kopije

Za vse zbirke podatkov in vsebino mrežnega strežnika ter lokalnih postaj se za potrebe neprekinjenega ter nemotenega poslovanja družbe ter potrebe restavriranja računalniškega sistema delajo varnostne kopije, če se podatki tam nahajajo. Varnostne kopije se delajo vsakodnevno v nočnem času, ko je sistem v družbi prost in se ne posodablja. Kopije se naredijo v treh izvodih in se nahajajo na treh različnih, geografsko ločenih lokacijah, ki so ognjevarne, zavarovane proti poplavam, elektromagnetnim motnjam, temperaturnim spremembam in so varno zaklenjene.

Kopiranje je avtomatsko in poteka lokalno na serverju ter preko oblačnih povezav, zato osebni prenos ni potreben. Varnostne kopije se hranijo na diskih, njihov skrbnik pa je pooblaščena oseba, ki je vedno samo ena. Izvirna kopija se vsak dan posodablja in ne zastari, zato postopka uničenja za stare nimamo, saj je kopija ena in vedno posodobljena.

22. člen

Ravnanje z nosilci podatkov

Nosilce podatkov po vsaki uporabi zaposleni varno formatirajo, da na njih ne ostanejo osebni podatki. Prav tako jih je potrebno varno hraniti, dokler so na njih podatki, da do možnosti nepooblaščenega dostopa do njih sploh ne pride. Varno hranjenje pomeni v omari in pod ključem.

23. člen

Uničevanje podatkov

Preden se nosilec podatkov uniči, je potrebno trajno uničiti vse podatke, ki so bili na njem. Pri digitalnih poskrbimo za trajni izbris, tako da je restavracija vseh ali dela podatkov na njem nemogoča. Podatki na klasičnih tiskanih medijih (listine, kartoteke, seznam, register …) se uničijo s pomočjo uničevalnika  dokumentov, ki onemogoči branje vseh ali dela podatkov. Na enak način se uniči pomožno gradivo.

V koše za smeti je prepovedano odlagati odpadne nosilce podatkov z osebnimi podatki. Pri prenosu nosilcev osebnih podatkov na mesto uničenja ter uničevanje nadzoruje posebna interna komisija, ki o uničenju sestavi ustrezni zapisnik.

24. člen

Ravnanje z občutljivimi osebnimi podatki

Podatkov, ki spadajo v kategorijo občutljivih osebnih podatkov, ne zbiramo. Torej ne zbiramo podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, niti ne obdelujemo genetskih in biometričnih podatkov za namen edinstvene identifikacije posameznika, ali podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

XI. UPRAVLJANJE VARNOSTNIH INCIDENTOV

25. člen

Nanaša se na upravljanje varnostnih incidentov, ki imajo vpliv na raven zavarovanja osebnih podatkov. Protokol poročanja za zaposlene je:

• način poročanja je v prvi vrsti ustni,
• da informacija čim prej doseže odgovorno osebo v družbi,
• poroča oseba, ki je varnostni incident zaznala,
• poročati je potrebno, takoj ko se zaposleni zave, da obstaja možnost nepooblaščenega dostopa v zbirko osebnih podatkov oz. je do njega že prišlo, ko odkrije nepooblaščeno uničenje, prilaščanje, spreminjanje ali poškodovanje zbirke podatkov oz. posameznih podatkov v njej,
• sam pri tem naredi vse v svoji moči, da takšno aktivnost prepreči,
• ob poročanju je potrebno odgovorni osebi sporočiti, na katero zbirko osebnih podatkov se incident nanaša, kako je do njega prišlo, kdaj je do njega prišlo in vse ostale pomembne podatke, ki bi lahko pomagali pri hitrejšem reševanju incidenta,
• odgovorna oseba po seznanitvi takoj prijavi incident Informacijskemu pooblaščencu.

XII. ČLOVEŠKI VIRI

26. člen

Zaposleni

Zaposleni morajo pri svojem delu slediti in upoštevati ta pravilnik o postopkih in ukrepih za zavarovanje osebnih podatkov, ki je prilagojen dejanskemu stanju v družbi.

Vsak zaposleni je z določili seznanjen in v ta namen podpiše izjavo o seznanjenosti. Pravilnik je objavljen in vedno dosegljiv na skupnem disku, v tiskani verziji pa pri nadrejenem.

Izobraževanje glede varstva osebnih podatkov vključujemo na redna srečanja družbe (sestanki) in o njih govorimo, da se informacije in pravila ne pozabijo ter se redno izvajajo.

Vsak, ki obdeluje osebne podatke, je dolžan izvajati predpisane postopke in ukrepe za zavarovanje podatkov in varovati podatke, ki jih je izvedel oz. bil z njimi seznanjen pri opravljanju svojega dela. Obveza varovanja podatkov ne preneha s prenehanjem delovnega razmerja.

Za kršitev določil so zaposleni disciplinsko odgovorni, bivši zaposleni kazensko odgovorni, zunanji izvajalci pa so odgovorni na temelju pogodbenih obveznosti.

27. člen

Politika čiste mize

Politika čiste mize je v družbi zelo pomembna, pomeni pa, da dokumenti z osebnimi podatki (tiskani, podatkovni nosilci …) niso nikoli »na razstavi« na mizi, ampak so v zaklenjenih predalih/omarah vedno, ko nas ni zraven.

28. člen

Politika čistega zaslona

Politika čistega zaslona je drugo pravilo, ki ga v družbi dosledno upoštevamo. Odprte zbirke podatkov redno zapiramo, ko jih ne potrebujemo več. Računalniki so zaklenjeni vedno, ko ob njih ni zaposlenih. Računalnik enostavno zaklenemo s tipko WIN+L. Za dodatno zaščito, se po določenem času neaktivnosti vklopi ohranjevalnik zaslon, ki ga ne odstranimo le s premikom miške, ampak zanj potrebujemo tudi pravo geslo, ki ga ima le uporabnik.

29. člen

Raba službenih elektronskih sredstev

Na službena elektronska sredstva je prepovedano shranjevanje podatkov družbe, poslovnih skrivnosti in še posebej kakršnih koli osebnih podatkov. Službena elektronska sredstva se za obdelavo takih podatkov lahko uporabljajo le v prostorih družbe in na skupni zaščiteni lokalni mreži.

Če pride do izgube, kraje ali poškodbe kakršnega koli službenega elektronskega sredstva, do incidenta s področja osebnih podatkov ne more priti, saj naprava ne vsebuje nobenih podatkov, niti nima direktnega dostopa do zbirk podatkov brez ustrezne interne mreže, programov, edinstvenih uporabniških imen in gesel.

30. člen

Zunanji izvajalci – pogodbeni obdelovalci osebnih podatkov

Zunanji izvajalci se z leti menjajo in niso stalni. V družbi v katerem koli trenutku pripravimo seznam vseh pogodbenih obdelovalcev osebnih podatkov, ki bo vedno posodobljen. Seznam trenutnih pogodbenih obdelovalcev je priložen pravilniku.

Z vsakim ob zunanjih izvajalcev imamo sklenjeno pogodbo o sodelovanju in obdelovanju osebnih podatkov, v kateri so določeni postopki in ukrepi za zavarovanje osebnih podatkov, da je zagotovljena  najvišja možna stopnja informacijske varnosti. Opredeljene so tudi storitve oz. vrste obdelav osebnih podatkov, ki jih zagotavlja posamezni izvajalec. Vedno lahko delujejo samo v skladu z našimi pooblastili in podatkov ne smejo obdelovati ali drugače uporabljati za noben drugi namen. Imeti morajo vsaj enako strog način varovanja osebnih podatkov, kakor ga predvideva ta pravilnik in podpisana pogodba.

Enako velja za zunanje osebe, ki vzdržujejo strojno in programsko opremo ter izdelujejo ali nameščajo novo strojno ali programsko opremo.

V družbi pri izbiri pogodbenega obdelovalca sledimo naslednjim politikam:

• skrbna izbira obdelovalca, zlasti glede varovanja podatkov,
• predhodni pregled in dokumentiranje varnostnih ukrepov, ki jih je obdelovalec sprejel,
• pisna navodila obdelovalcu (pogodba),
• dolžnost zaposlenih pri obdelovalcu o ne razkritju podatkov,
• obdelovalec je vzpostavil funkcijo odgovorne osebe za varstvo podatkov,
• zagotovitev vračila/uničenja podatkov po prenehanju pogodbe,
• določena pravica upravljavca o nadzoru obdelovalca (preverjanje obdelovalca in njegovih dejavnosti),
• pogodbene kazni za kršitve.

XIII. ODGOVORNOST ZA IZVAJANJE VARNOSTNIH UKREPOV IN POSTOPKOV

31. člen

Za izvajanje postopkov in ukrepov za zavarovanje osebnih podatkov ter tega pravilnika so odgovorne pooblaščene osebe, ki jih imenuje zakoniti zastopnik.

XIV. KONČNA DOLOČILA

32. člen

Pravilnik je poslovna tajnost.

Pravilnik je na vpogled vsem zaposlenim v fizični obliki pri direktorju.

Pravilnik začne veljati s 1. oktobrom, 2020. Informacija se objavi na pri delodajalcu običajen način.

V Ljubljani, dne 20. september, 2020                                                                       Direktor Tomaž Ham