Політика конфіденційності
ПОЛІТИКА БЕЗПЕКИ ПЕРСОНАЛЬНИХ ДАНИХ
ECOMPORATE Maksymilian Polkowski
Szlak 77/222, 31-153 Kraków
e-mail: alkogames.contact@gmail.com
www: alkogames.eu
NIP: 6821812937 | REGON: 543921159
Дата розроблення: 17.02.2026
Дата впровадження: 17.02.2026
Документ затвердив і впровадив: Maksymilian Polkowski
I. Мета, сфера застосування та визначення, що використовуються в документі
1. Мета Політики
1.1 Метою розроблення та впровадження цієї Політики безпеки є опис технічних та організаційних заходів, що застосовуються в ECOMPORATE Maksymilian Polkowski (далі - Адміністратор), які забезпечують захист оброблюваних персональних даних відповідно до ризику порушення прав і свобод у зв’язку з обробкою персональних даних.
1.2 Політика безпеки має забезпечити належне виконання обов’язків Адміністратора - ECOMPORATE Maksymilian Polkowski. Політику безпеки персональних даних розроблено відповідно до положень Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних, а також про скасування Директиви 95/46/ЄС.
1.3 Цей документ впроваджується шляхом його оприлюднення всередині організації та ознайомлення з ним осіб, уповноважених на обробку персональних даних, а також інших осіб, які мають доступ до персональних даних, що обробляються Адміністратором.
2. Сфера застосування та винятки
2.1 Політика охоплює всі персональні дані, що обробляються Адміністратором.
2.2 Положення та вимоги цієї Політики можуть бути виключені лише в тому разі, якщо чинне законодавство допускає такий виняток.
3. Визначення
3.1. Адміністратор - ECOMPORATE Maksymilian Polkowski, Szlak 77/222, 31-153 Kraków, e-mail: alkogames.contact@gmail.com, www: alkogames.eu, щодо даних, мету і способи обробки яких він визначає.
3.2. Персональні дані - будь-яка інформація про ідентифіковану фізичну особу або фізичну особу, яку можна ідентифікувати («суб’єкт даних»); фізична особа, яку можна ідентифікувати, - це особа, яку можна прямо чи опосередковано ідентифікувати, зокрема за допомогою такого ідентифікатора, як ім’я, ідентифікаційний номер, дані про місцезнаходження, онлайн-ідентифікатор, або за допомогою одного чи кількох чинників, специфічних для фізичної, фізіологічної, генетичної, психічної, економічної, культурної чи соціальної ідентичності цієї фізичної особи;
3.3. Особливі категорії персональних даних - дані, що розкривають расове чи етнічне походження, політичні погляди, релігійні чи світоглядні переконання або членство в профспілках, обробка генетичних даних, біометричних даних з метою однозначної ідентифікації фізичної особи або даних про здоров’я, статеве життя чи сексуальну орієнтацію цієї особи, а також дані про судимості та правопорушення або пов’язані з ними заходи безпеки;
3.4. Голова Управління - Голова польського Управління із захисту персональних даних;
3.5. Цілісність даних - властивість, що гарантує, що персональні дані не були неправомірно змінені або знищені;
3.6. Порушення захисту персональних даних - порушення безпеки, що призводить до випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних, які передаються, зберігаються чи іншим чином обробляються, або несанкціонованого доступу до них;
3.7. Уповноважена особа - особа, яка має повноваження на обробку персональних даних від імені Адміністратора;
3.8. Суб’єкт даних (або власник даних) - кожна фізична особа, персональні дані якої обробляються Адміністратором або за дорученням Адміністратора у зв’язку з діяльністю, яку він здійснює;
3.9. Конфіденційність даних - властивість, що гарантує, що дані не розкриваються неуповноваженим суб’єктам;
3.10. Працівник - особа, яка має доступ до персональних даних і виконує роботу на користь Адміністратора на підставі трудових відносин;
3.11. Третя сторона - фізична чи юридична особа, орган державної влади, агентство або інший суб’єкт, який не є суб’єктом даних, адміністратором, обробником або особою, яка за дорученням адміністратора чи обробника уповноважена обробляти персональні дані;
3.12. Обробник (Процесор) - юридична особа, фізична особа, організаційна одиниця без статусу юридичної особи або інший суб’єкт, який не визначає мету і засоби обробки персональних даних, якому Адміністратор доручив обробку персональних даних і з яким уклав Договір доручення обробки персональних даних у розумінні ст. 28 GDPR;
3.13. Обробка персональних даних - операція або сукупність операцій, що виконуються з персональними даними чи наборами персональних даних автоматизованими або неавтоматизованими засобами, як-от збирання, запис, упорядкування, структурування, зберігання, адаптація чи зміна, пошук, перегляд, використання, розкриття шляхом передачі, поширення чи іншого надання доступу, впорядкування чи поєднання, обмеження, видалення або знищення;
3.14. Політика - цей документ, тобто Політика безпеки персональних даних;
3.15. Підзвітність - властивість, що дає змогу підтвердити відповідність діяльності Адміністратора положенням GDPR;
3.16. GDPR або Регламент - Регламент Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних, а також про скасування Директиви 95/46/ЄС;
3.17. Псевдонімізація - обробка персональних даних у такий спосіб, щоб їх більше не можна було віднести до конкретного суб’єкта даних без використання додаткової інформації, за умови що така додаткова інформація зберігається окремо і до неї застосовуються технічні та організаційні заходи, які гарантують, що дані не будуть віднесені до ідентифікованої фізичної особи або фізичної особи, яку можна ідентифікувати;
3.18. Реєстр операцій з обробки - реєстр, який веде Адміністратор і який містить щонайменше такі дані:
a) ім’я чи найменування та контактні дані адміністратора та всіх спільних адміністраторів, а також, за наявності, представника адміністратора та інспектора із захисту даних;
b) цілі обробки;
c) опис категорій суб’єктів даних і категорій персональних даних;
d) категорії одержувачів, яким персональні дані були або будуть розкриті, включно з одержувачами в третіх країнах або міжнародними організаціями;
e) за наявності, передачу персональних даних до третьої країни або міжнародної організації, включно із зазначенням цієї третьої країни або міжнародної організації, а у разі передач, зазначених у ст. 49 ч. 1 другому підпункті, документацію належних гарантій;
f) якщо можливо, передбачені строки видалення окремих категорій даних;
g) якщо можливо, загальний опис технічних та організаційних заходів безпеки, зазначених у ст. 32 ч. 1.
3.19. Скарга - будь-яке звернення (у паперовій чи електронній формі), подане суб’єктом даних (власником даних) або Головою Управління, зі змісту якого випливає незадоволення або прохання про пояснення / інформацію щодо обробки персональних даних Адміністратором;
3.20. Інформаційна система (або ІТ-система) - сукупність взаємодіючих пристроїв, програм, процедур обробки інформації та програмних інструментів, що використовуються з метою обробки даних;
3.21. Закон - польський закон від 10 травня 2018 року про захист персональних даних;
3.22. Повноваження - одне з такого:
- письмове повноваження на обробку персональних даних, видане на підставі ст. 29 GDPR Працівнику, Співробітнику або працівнику Обробника учасником товариства,
- Договір доручення обробки персональних даних, укладений у письмовій формі в розумінні ст. 28 GDPR;
3.23. Співробітник - особа, яка має доступ до персональних даних і особисто та безпосередньо виконує завдання / надає послуги на користь Адміністратора на іншій правовій підставі, ніж трудові відносини, незалежно від назви чи виду договору, що пов’язує сторони;
3.24. Захист даних - впровадження та підтримання належних технічних і організаційних заходів, що забезпечують захист даних від їх несанкціонованої обробки;
3.25. Згода суб’єкта даних - добровільне, конкретне, поінформоване та однозначне волевиявлення, яким суб’єкт даних у формі заяви або іншої явної підтверджувальної дії дає згоду на обробку своїх персональних даних;
II. Обов’язки ECOMPORATE Maksymilian Polkowski як Адміністратора
1. Обов’язок забезпечити правові підстави для обробки персональних даних
1.1 Кожен Працівник і Співробітник перед ухваленням рішення про визначення мети обробки або розширення обсягу зібраних персональних даних понад поточну мету обробки, зазначену в Реєстрі операцій з обробки (РОО), зобов’язаний визначити та застосувати правову підставу (відповідно до GDPR), яка легалізує обробку таких даних.
2. Інформаційний обов’язок щодо суб’єкта даних відповідно до ст. 13 і ст. 14 GDPR
2.1 Кожен Працівник, Співробітник, який збирає (отримує) персональні дані, під час їх збирання безпосередньо від власника даних зобов’язаний поінформувати власника даних (наприклад, шляхом надання відповідного застереження) відповідно до підготовлених інформаційних застережень щодо ст. 13 GDPR.
2.2 У разі збирання даних від третіх осіб, тобто не безпосередньо від власника даних, після запису даних слід невідкладно поінформувати про обставини обробки відповідно до інформаційних застережень щодо ст. 14 GDPR.
2.3 У разі використання інформаційних систем, які автоматично збирають персональні дані, слід забезпечити, щоб така система надавала інформацію, зазначену в попередніх пунктах.
2.4 У разі залучення третіх суб’єктів (наприклад, маркетингових або рекрутингових агентств) слід у договорі з таким суб’єктом передбачити, щоб цей суб’єкт під час збирання персональних даних виконував інформаційний обов’язок від імені Адміністратора відповідно до п. 2.2. 1) або 2.2. 2).
3. Обов’язок дотримуватися принципів обробки, описаних у ст. 5 GDPR
3.1 Під час процесів обробки персональних даних слід виявляти особливу турботу про захист інтересів суб’єктів даних, зокрема дотримуватися принципів, зазначених у пп. 5-7 Політики. Цей обов’язок поширюється як на Працівників і Співробітників, так і на суб’єктів, які від імені Адміністратора обробляють персональні дані на підставі договорів доручення обробки персональних даних, тобто Обробників.
4. Обов’язок укласти договір доручення обробки персональних даних (ст. 28)
4.1 Якщо Адміністратор вирішить скористатися послугами третього суб’єкта і в межах надання цих послуг такий суб’єкт оброблятиме персональні дані за дорученням або від імені Адміністратора, слід забезпечити, щоб до передачі даних цьому суб’єкту було укладено «Договір доручення обробки персональних даних» відповідно до принципів, визначених у п. 6 Політики.
5. Обов’язок розглядати запити суб’єкта даних
5.1 Якщо власник даних звертається з усним чи письмовим запитом / проханням про доступ / копію даних / перенесення даних / видалення своїх даних / виправлення / обмеження / оновлення (незалежно від форми подання, паперової чи електронної), такий запит, якщо він обґрунтований, слід розглянути невідкладно, не пізніше ніж протягом 30 днів.
5.2 У будь-якому разі розгляд запиту, зазначеного в попередньому пункті, повинен здійснювати Адміністратор, який у такому разі може визначити Працівника, Співробітника або інший суб’єкт для підтримки в розгляді такого запиту.
5.3 У будь-якому разі Адміністратор сприяє власнику даних у здійсненні прав, що належать йому відповідно до ст. 15-22 GDPR. Якщо Адміністратор не може підтвердити, що не здатний ідентифікувати суб’єкта даних, він за можливості інформує про це суб’єкта даних і просить надати додаткові дані з метою встановлення особи власника даних.
5.4 Під час розгляду запиту власника даних Адміністратор діє відповідно до Процедури розгляду запитів Суб’єктів даних.
6. Обов’язок захищати дані
6.1 Кожен Працівник, Співробітник зобов’язаний застосовувати заходи захисту:
• організаційні (наприклад, політики, регламенти, процедури), чинні в організації Адміністратора, незалежно від того, яким внутрішнім документом вони описані, та
• технічні (наприклад, використання паролів доступу, зашифрованих флешок (PENDRIVE) або шифрування комп’ютерів і мобільних пристроїв). Обхід заходів захисту, визначених у внутрішніх документах або впроваджених постачальником ІТ, може становити порушення захисту персональних даних.
6.2 Обов’язок захисту даних поширюється також на Обробника. Детальні вимоги щодо захисту персональних даних Обробником мають бути визначені в Договорі доручення обробки персональних даних.
7. Обов’язок повідомляти про нову мету обробки персональних даних
7.1 Якщо Працівник або Співробітник вирішить розпочати збирання персональних даних з новою метою, він зобов’язаний до початку збирання повідомити про це Адміністратора звичайним для організації способом комунікації.
7.2 На підставі інформації від Працівника або Співробітника Адміністратор вирішує, чи підлягає ця мета внесенню до Реєстру операцій з обробки.
7.3 Працівники та Співробітники зобов’язані повідомляти безпосередньо Адміністратора про всі зміни, що стосуються операцій з обробки, описаних у Реєстрі, до впровадження цих змін.
8. Обов’язки щодо передачі до третіх країн
8.1 Перед можливим рішенням про вибір постачальника поза ЄЕЗ або про передачу даних до третьої країни Адміністратор повинен провести додатковий аналіз або отримати висновок із зовнішніх джерел щодо безпеки передачі такої інформації.
9. Обов’язки та відповідальність
9.1 Кожен Працівник і Співробітник, незалежно від посади чи завдань, зобов’язаний і несе відповідальність за:
• збереження в таємниці персональних даних і способів їх захисту,
• ознайомлення зі змістом цієї Політики та внутрішніх документів, виданих на її основі, і їх дотримання,
• письмове підтвердження ознайомлення з правилами захисту персональних даних і цією Політикою,
• дотримання правил захисту персональних даних, зокрема Закону,
• нерозголошення своїх паролів до ІТ-систем,
• ненадання персональних даних і недопущення доступу до них неуповноважених осіб,
• повідомлення про кожен виявлений інцидент / підозру на порушення захисту персональних даних або цієї Політики відповідно до процедур.
9.2 Обов’язки та відповідальність керівників
• нагляд за тим, чи застосовують підлеглі працівники принципи, описані в цій Політиці,
• потреби в інформуванні / навчанні щодо правил захисту персональних даних,
• погодження всіх змін, що стосуються цілей обробки персональних даних, до їх впровадження,
• нагляд за визначеними цілями обробки персональних даних та обсягом обробки відповідно до Реєстру операцій з обробки,
• перевірка нових ІТ-рішень, пов’язаних із передачею персональних даних третьому суб’єкту,
• забезпечення укладення Адміністратором договору доручення обробки з кожним суб’єктом, якому Адміністратор має намір доручити обробку персональних даних.
9.3 Обов’язки та відповідальність постачальника ІТ (за наявності)
Кожен працівник постачальника ІТ, призначений для співпраці з Адміністратором, зобов’язаний і несе відповідальність за:
• нагляд за тим, чи є ефективними впроваджені та підтримувані заходи захисту (фізичні, логічні, системні),
• нагляд за тим, чи є ефективними впроваджені обмеження доступу до зон обробки даних,
• врахування положень GDPR і Політики під час проєктування та впровадження нових рішень у сфері інформаційної чи фізичної безпеки,
• на запит Адміністратора підготовку висновків та інформації щодо заходів захисту, що застосовуються в організації.
10. Порядок дій у разі скарг на обробку персональних даних
10.1 Скарги / запити, подані власником даних
1) У разі письмової скарги / запиту (незалежно від способу доставки чи назви), надісланих власником даних Адміністратору, її слід розглянути невідкладно, не пізніше ніж протягом 30 днів з дати отримання.
2) Відповідь на скаргу / запит слід надати письмово (рекомендованим листом), якщо заявник вказав адресу для листування, а якщо такої адреси не вказав, тим самим шляхом, яким було подано скаргу / запит, якщо заявник не просив про іншу форму. У разі відповіді електронною поштою копію відповіді слід завжди архівувати з метою дотримання підзвітності Адміністратора персональних даних.
3) Якщо власник даних звертається із запитом, проханням про зміну або оновлення персональних даних, це слід зробити невідкладно після отримання такого запиту.
4) Якщо власник даних звертається із запитом, проханням про видалення або припинення обробки своїх даних і ці дані збиралися лише на підставі згоди цієї особи, слід невідкладно видалити його персональні дані або припинити обробку для цілей, на які він раніше дав згоду.
5) Персональні дані, що обробляються на підставі укладеного договору, після відкликання всіх згод власника даних можуть і надалі оброблятися для інших цілей (наприклад, виконання договору, податкові цілі), якщо це випливає з Реєстру операцій з обробки.
6) Якщо власник даних звертається із запитом про доступ до своїх персональних даних або отримання копії даних, на такий запит слід відповісти невідкладно, не пізніше ніж протягом 30 днів.
7) Власник даних може скористатися правом на копію даних, що обробляються на підставі договору або згоди, які власник надав адміністратору, безоплатно. За кожну наступну копію даних Адміністратор може стягнути розумну адміністративну плату, пов’язану з підготовкою такої копії даних.
10.2 Скарги, передані Головою Управління
1) У разі скарги, поданої власником даних до Голови Управління, яку орган передав Адміністратору, її слід невідкладно передати учаснику товариства.
2) Строк для надання відповіді на таку скаргу, отриману від Голови Управління, становить 7 днів (якщо Голова Управління не встановить інший).
3) Відповідь готує Працівник або Співробітник, визначений Адміністратором, або один з учасників товариства, а остаточну версію відповіді Голові Управління надсилає учасник товариства.
III. Принципи обробки персональних даних Адміністратором
1. Принцип законності, справедливості та прозорості
Персональні дані повинні оброблятися законно, справедливо та прозоро для суб’єкта даних. Не можна обробляти персональні дані без правової підстави. Перед початком обробки нової категорії персональних даних або даних з новою метою слід зазначити правову підставу для їх обробки.
2. Принцип обмеження мети
Персональні дані повинні оброблятися виключно з конкретною та чітко визначеною метою, і власник даних повинен бути поінформований про цю мету. Персональні дані повинні збиратися для конкретних, явно визначених і законних цілей і не можуть надалі оброблятися у спосіб, несумісний із цими цілями.
3. Принцип мінімізації даних
Можна збирати лише стільки даних, скільки є адекватним для досягнення мети. Не можна збирати дані «про запас» на тій підставі, що в майбутньому вони «знадобляться». Персональні дані повинні бути адекватними, доречними та обмеженими тим, що необхідно для цілей, для яких вони обробляються.
4. Принцип точності
Усі особи, уповноважені на обробку, та Обробники несуть відповідальність за фактичну правильність даних. Персональні дані повинні бути точними та за потреби оновлюватися; необхідно вжити всіх розумних заходів, щоб персональні дані, які є неточними з огляду на цілі їх обробки, були невідкладно видалені або виправлені.
5. Принцип обмеження зберігання
Персональні дані можна обробляти лише протягом часу, поки існує мета обробки, або протягом строку, визначеного законодавством. Персональні дані повинні зберігатися у формі, що дає змогу ідентифікувати суб’єкта даних, не довше, ніж це необхідно для цілей, для яких вони обробляються.
6. Принцип конфіденційності та цілісності
Персональні дані повинні оброблятися у спосіб, що забезпечує належний захист персональних даних, зокрема їх захист за допомогою відповідних технічних або організаційних заходів від несанкціонованої чи незаконної обробки, а також від випадкової втрати, знищення або пошкодження.
7. Принцип ознайомлення уповноважених осіб з внутрішніми та зовнішніми правилами у сфері захисту персональних даних
Кожна особа, уповноважена на обробку персональних даних, зобов’язана постійно ознайомлюватися з внутрішніми та зовнішніми правилами у сфері захисту персональних даних. У разі браку знань можна безпосередньо проконсультуватися з учасником товариства. Кожна уповноважена особа після ознайомлення з правилами та принципами у сфері захисту персональних даних підтверджує це власноручним підписом відповідної заяви.
8. Принцип обмеженого доступу
Доступ до персональних даних завжди повинен бути обмежений лише уповноваженими особами. Обмеження доступу може бути організаційним (наприклад, особистий нагляд, впровадження процедур), фізичним (наприклад, замикання на ключ, безконтактні картки до приміщень) або інформаційним (наприклад, використання логінів і паролів).
9. Принцип подвійного доступу
Доступ до персональних даних завжди повинен бути обмежений застосуванням щонайменше двох обмежень доступу будь-якого виду.
10. Принцип чистого столу
Після закінчення роботи на столі Працівника / Співробітника не повинно залишатися жодних документів або вільно доступних носіїв інформації, що містять персональні дані. Усі такі документи / носії повинні бути замкнені в шафах / сховищах.
11. Принцип безпечного знищення документів і носіїв даних
Видалення даних шляхом знищення документів у паперовій чи електронній формі здійснюється відповідно до «Процедури безпечного видалення даних».
12. Принцип підзвітності
Дії уповноваженої особи або Обробника з персональними даними, зокрема в інформаційних системах, завжди повинні бути однозначно віднесені лише до однієї особи, уповноваженої на обробку персональних даних. Це означає, що певний логін до ІТ-системи може бути призначений ЛИШЕ ОДНІЙ ОСОБІ. Заборонено спільне використання логінів двома і більше особами. Дії, віднесені в ІТ-системі до конкретного логіна, завжди приписуються особі, яка користувалася цим логіном. Крім того, кожна уповноважена особа під час виконання обов’язків і завдань, що випливають з положень GDPR і цієї Політики, зобов’язана підтвердити, що дотримується положень GDPR і Політики.
13. Принцип таємності та якості паролів доступу
За жодних обставин не можна розголошувати свій пароль доступу (ні керівнику, ні роботодавцю, ні будь-якій іншій особі, ні працівникам державних органів). Пароль слід змінити в той самий день після отримання його від адміністратора системи. Пароль повинен містити щонайменше 8 символів, включно з великою літерою, малою літерою, цифрою та спеціальним символом.
IV. Принципи доручення Адміністратором обробки персональних даних третім суб’єктам
1. Використання договорів доручення обробки
У разі укладення договору про надання послуг, пов’язаного з дорученням обробки персональних даних постачальнику послуги, слід укласти письмовий договір доручення обробки відповідно до ст. 28 GDPR.
2. Обов’язки та відповідальність Обробників
Під час підготовки договору доручення обробки персональних даних обов’язково слід визначити такі питання:
a) предмет і тривалість обробки, характер і мету обробки, вид персональних даних і категорії суб’єктів даних, обов’язки та права Адміністратора й Обробника,
b) Обробник обробляє персональні дані виключно на підставі задокументованих вказівок Адміністратора, що стосується також передачі персональних даних до третьої країни або міжнародної організації, якщо такий обов’язок не покладено на нього правом Союзу або правом держави-члена, якому підпорядковується обробник; у такому разі обробник перед початком обробки інформує адміністратора про цю правову вимогу, якщо таке законодавство не забороняє такого інформування з огляду на важливий суспільний інтерес,
c) Обробник забезпечує, щоб особи, уповноважені на обробку персональних даних, зобов’язалися дотримуватися конфіденційності або щоб на них поширювався відповідний законодавчий обов’язок конфіденційності,
d) Обробник вживає всіх заходів, що вимагаються відповідно до ст. 32 GDPR,
e) Обробник не залучає до обробки іншого обробника без попереднього конкретного або загального письмового дозволу адміністратора. У разі загального письмового дозволу обробник інформує адміністратора про всі заплановані зміни щодо додавання чи заміни інших обробників, надаючи тим самим адміністратору можливість заперечити проти таких змін,
f) Якщо Обробник залучає до виконання конкретних операцій з обробки від імені Адміністратора іншого обробника, на цього іншого обробника на підставі договору або іншого правового акта відповідно до права Союзу чи держави-члена покладаються ті самі обов’язки щодо захисту даних, що й ті, які визначені в договорі або іншому правовому акті між адміністратором і обробником, як зазначено вище, зокрема обов’язок надати достатні гарантії впровадження відповідних технічних та організаційних заходів, щоб обробка відповідала вимогам цього регламенту. Якщо цей інший обробник не виконує своїх обов’язків щодо захисту даних, повну відповідальність перед адміністратором за виконання обов’язків цього іншого обробника несе первинний обробник,
g) Обробник, враховуючи характер обробки, за можливості допомагає Адміністратору за допомогою відповідних технічних та організаційних заходів виконати його обов’язок реагувати на запити щодо здійснення прав суб’єкта даних, визначених у главі III GDPR,
h) Обробник, враховуючи характер обробки та доступну йому інформацію, допомагає адміністратору виконувати обов’язки, визначені в ст. 32-36 GDPR,
i) Обробник після завершення надання послуг, пов’язаних з обробкою, за рішенням адміністратора видаляє або повертає адміністратору всі персональні дані та видаляє всі наявні копії, якщо право Союзу або держави-члена не вимагає зберігання персональних даних,
j) Обробник надає адміністратору всю інформацію, необхідну для підтвердження виконання обов’язків, визначених у ст. 28 GDPR, і дає змогу Адміністратору або аудитору, уповноваженому Адміністратором, проводити аудити, у тому числі інспекції, та сприяє їх проведенню.
3. Обов’язки та відповідальність осіб, які наглядають за Обробниками
Адміністратор зобов’язаний особисто або через визначеного працівника наглядати за тим, чи виконує Обробник вимоги укладеного договору доручення обробки даних.
4. Контроль Обробників
До кожного договору доручення обробки персональних даних обов’язково включається положення про можливість проведення контролю (аудиту) відповідності обробки доручених даних Договору та законодавству. Такий контроль може проводити особа, письмово уповноважена Адміністратором.
5. Перевірка Обробника
Кожен Обробник повинен бути перевірений перед підписанням договору доручення відповідно до Процедури перевірки Постачальника.
V. Визначення технічних та організаційних заходів, необхідних для забезпечення конфіденційності, цілісності та підзвітності оброблюваних даних.
1. Організаційні заходи захисту персональних даних
З метою посилення нагляду за процесами обробки персональних даних впроваджено організаційні заходи захисту даних, описані в цьому пункті.
2. Внутрішнє навчання
Кожна особа, уповноважена на обробку персональних даних, зобов’язана проходити щонайменше одне очне або дистанційне (e-learning) навчання на рік у сфері правил захисту персональних даних.
3. Впровадження принципів і процедур
Політика безпеки персональних даних є основою для розроблення та впровадження інших процедур захисту персональних даних, запропонований перелік яких наведено в п. 9.
4. Планування резервного копіювання наборів персональних даних
Персональні дані, що обробляються в інформаційних системах, захищені за допомогою систем резервного копіювання під наглядом Керівництва або постачальника ІТ. Ці системи створюють резервні копії відповідно до графіка, визначеного Керівництвом або постачальником ІТ.
5. Мінімальні технічні заходи захисту персональних даних
Технічні заходи захисту даних, описані в цьому пункті, застосовуються до наборів персональних даних, проте не всі з них до всіх наборів. Залежно від категорії, виду, характеру та мети обробки персональних даних застосовуються відповідні заходи безпеки, що забезпечують відповідність обробки положенням GDPR.
a. Заходи фізичного захисту
1) Доступ до приміщень, у яких обробляються набори персональних даних, захищений системою доступу за допомогою дверей, що замикаються.
2) Приміщення, у якому обробляються набори персональних даних, захищене від наслідків пожежі за допомогою протипожежної системи та/або окремого вогнегасника.
b. Заходи захисту інформаційно-телекомунікаційної інфраструктури
1) Доступ до операційної системи комп’ютера, на якому обробляються персональні дані, захищений процесом автентифікації за допомогою ідентифікатора користувача та пароля.
2) Впроваджено системні механізми, що примушують до регулярної зміни паролів.
3) Впроваджено криптографічні заходи захисту персональних даних, що передаються дистанційно.
4) Впроваджено заходи захисту від шкідливого програмного забезпечення, як-от черв’яки, віруси, троянські програми, руткіти.
5) Для захисту доступу до комп’ютерної мережі використано систему Firewall.
6. Заходи захисту в ІТ-програмному забезпеченні, що використовується Адміністратором.
1) Впроваджено заходи, що дають змогу визначати права доступу до визначеного обсягу даних;
2) Доступ до персональних даних вимагає автентифікації за допомогою ідентифікатора користувача та пароля.
3) Впроваджено криптографічні заходи захисту персональних даних.
4) На робочих станціях, на яких обробляються персональні дані, встановлено заставки екрана.
5) Впроваджено механізм автоматичного блокування доступу до інформаційної системи, що використовується для обробки персональних даних, у разі тривалої неактивності користувача.