1. Postanowienia ogólne.

1.1. Niniejszy dokument określa politykę EUROPE PROSPERITY SP. Z O.O. (dalej w tekście - przedsiębiorstwo, kontroler lub podmiot przetwarzający dane), dotyczącą przetwarzania danych osobowych (dalej Polityka).
1.2. Polityka ma zastosowanie do przetwarzania danych osobowych w kontekście działalności prowadzonej przez jednostkę organizacyjną kontrolera lub podmiotu przetwarzającego dane w Unii Europejskiej, niezależnie od tego, czy samo przetwarzanie ma miejsce w Unii Europejskiej.
1.3. Polityka ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub integralną część zbioru danych, z wyjątkiem przypadków przewidzianych w Rozporządzeniu nr 2016/679 Parlamentu Europejskiego i Rady Unii Europejskiej „O ochronie osób fizycznych w związku z przetwarzaniem danych osobowych i w związku ze swobodnym przepływem takich danych“ z dnia 27.04.2016 r. (dalej w tekście - Rozporządzenie GDPR).
1.4. Niniejsza Polityka jest ogólnodostępna i znajduje się na stronie internetowej https://tiande.eu.
1.5. Polityka została zatwierdzona w zarządzeniu Prezesa Zarządu przedsiębiorstwa i obowiązuje do odwołania lub do chwili jej zastąpienia przez inny analogiczny dokument wewnętrzny.
1.6. Akty lokalne i inne dokumenty regulujące przetwarzanie danych osobowych są opracowywane przy uwzględnieniu niniejszej Polityki.
1.7. Wszelkie kwestie, które nie zostały uregulowane w niniejszej Polityce, są rozstrzygane zgodnie z przepisami prawa Polski i Unii Europejskiej.

2. Podstawowe pojęcia używane w Polityce.

2.1. W niniejszym dokumencie stosuje się następujące pojęcia:
- dane osobowe - oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („podmiot danych”);
- możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy (identyfikator online) lub jeden bądź kilka wskaźników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość danej osoby fizycznej;
- podmiot danych osobowych - osoba fizyczna, która jest bezpośrednio lub pośrednio identyfikowana lub możliwa do zidentyfikowania za pomocą danych osobowych;
- podmiot przetwarzający dane - osoba fizyczna lub prawna, która przetwarza dane osobowe w imieniu i na zlecenie kontrolera
podmiot przetwarzający dane - EUROPE PROSPERITY SP. Z O.O.
Adres siedziby: POLSKA 02-486 Warszawa Al. Jerozolimskie 214 lok. 10.
NIP: PL1090002485 REGON: 145928422
Adres faktyczny: POLSKA 02-486 Warszawa Al. Jerozolimskie 214 lok. 10.
NIP: PL1090002485 REGON: 145928422
E-mail: support.pl@tiande.eu
Telefon kontaktowy: +48 22 45 25 120;
- kontroler - osoba fizyczna lub prawna, która samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W przypadku, gdy cele i sposoby takiego przetwarzania są określone w przepisach prawa Polski lub Unii Europejskiej, to kontroler, albo konkretne kryteria jego wyznaczania mogą być przewidziane w przepisach prawa Unii Europejskiej lub Polski.
kontroler - EUROPE PROSPERITY SP. Z O.O.
Adres siedziby: POLSKA 02-486 Warszawa Al. Jerozolimskie 214 lok. 10.
NIP: PL1090002485 REGON: 145928422
Adres faktyczny: POLSKA 02-486 Warszawa Al. Jerozolimskie 214 lok. 10.
NIP: PL1090002485 REGON: 145928422
E-mail: support.pl@tiande.eu
Telefon kontaktowy: +48 22 45 25 120;
- organ nadzorczy - oznacza niezależny kompetentny organ państwowy utworzony w Polsce;
- odbiorca - osoba fizyczna lub prawna, uprawniona na mocy umów zawartych z kontrolerem do dostępu do danych osobowych, niezależnie od tego, czy jest stroną trzecią;
- przetwarzanie danych osobowych - każda operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taka jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, wyszukiwanie i pobieranie, ekspertyza, wykorzystywanie, ujawnianie poprzez przekazywanie, przesyłanie lub innego rodzaju udostępnianie, grupowanie lub łączenie, selekcjonowanie, usuwanie lub niszczenie;
- zautomatyzowane przetwarzanie danych osobowych - przetwarzanie danych osobowych za pomocą środków techniki komputerowej;
- rozpowszechnianie danych osobowych - działania skierowane na ujawnienie danych osobowych nieokreślonej liczbie osób;
- udostępnienie danych osobowych - działania skierowane na ujawnienie danych osobowych określonej osobie lub liczbie osób;
- blokowanie danych osobowych - tymczasowe zaprzestanie przetwarzania danych osobowych (z wyjątkiem przypadków, gdy przetwarzanie jest konieczne do sprecyzowania danych osobowych);
- zniszczenie danych osobowych - działania, w wyniku których niemożliwe jest przywrócenie danych osobowych w systemie informatycznym danych osobowych i (lub) w wyniku których zostały zniszczone materialne nośniki danych osobowych;
- pseudonimizacja danych osobowych - działania w wyniku których bez dodatkowych informacji niemożliwe jest przypisanie danych osobowych do konkretnego podmiotu danych osobowych;
- system informatyczny danych osobowych - zbiór technologii i środków technicznych znajdujących się w bazach danych, zapewniających przetwarzanie danych osobowych;
- transgraniczne przekazywanie danych osobowych - przekazywanie danych osobowych na terytorium innego państwa organowi władzy innego państwa, zagranicznej osobie fizycznej lub zagranicznej osobie prawnej.

3. Podstawowe prawa i obowiązki podmiotów danych osobowych.

3.1. Podmioty danych osobowych mają prawo:
- do nieodpłatnego dostępu do danych osobowych, z wyjątkiem przypadków przewidzianych w przepisach prawa Polski i Unii Europejskiej;
- do żądania sprostowania, blokowania i usunięcia danych (prawo do zapomnienia);
- do ograniczenia przetwarzania danych;
- do przeniesienia danych;
- do wniesienia sprzeciwu wobec przetwarzania danych osobowych, w tym profilowania;
- do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu danych, z wyjątkiem przypadków, jeśli decyzja jest konieczna dla zawarcia lub wykonania umowy;
- do wniesienia skargi na działania lub brak działań kontrolera i podmiotu przetwarzającego dane do uprawnionego organu ds. ochrony praw podmiotów danych osobowych lub do sądu;
- do ochrony swoich praw i prawnie uzasadnionych interesów, w tym do odszkodowania i (lub) rekompensaty za straty moralne przed sądem;
- do uzyskania informacji, dotyczących przetwarzania swoich danych osobowych, w tym informacji zawierających:
informacje o celach i sposobach przetwarzania, zakładanym okresie przechowywania danych osobowych, danych kontaktowych kontrolera, odbiorcach i kategorii danych osobowych, o zamiarze kontrolera do przekazania danych odbiorcy w państwie trzecim lub organizacji międzynarodowej, o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony, albo wzmiankę o odpowiednich lub właściwych gwarancjach i środkach, za pomocą których można uzyskać kopie danych lub o miejscu udostępnienia danych, o prawie wniesienia skargi do organu nadzorczego, o zastosowaniu zautomatyzowanego sposobu podejmowania decyzji, o źródłach pozyskania danych osobowych (pod warunkiem, że takie dane nie zostały uzyskane od samego podmiotu danych osobowych), a także inne informacje przewidziane w przepisach prawa Polski i Unii Europejskiej.
3.2. Podmioty danych osobowych są zobowiązane:
- do przekazywania prawdziwych informacji o sobie i przekazywania dokumentów, zawierających dane osobowe, których zbiór jest określony w przepisach prawa Polski i Unii Europejskiej, lokalnych dokumentach kontrolera w zakresie niezbędnym do celów przetwarzania;
- do informowania podmiotu przetwarzającego dane o specyfikacji (aktualizacji, zmianie) swoich danych osobowych;
- do wykonywania innych obowiązków przewidzianych w przepisach prawa Polski i Unii Europejskiej.
3.3. We wszystkich innych przepadkach, które nie zostały przewidziane w niniejszej Polityce, zasady realizacji praw podmiotów danych w odniesieniu do ich danych osobowych oraz warunków ograniczenia danych praw są uregulowane w Rozporządzeniu GDPR.

4. Podstawowe prawa i obowiązki kontrolera.

4.1. Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, wielkość, kontekst i cele przetwarzania oraz zarówno prawdopodobieństwo wystąpienia ryzyka, jak i zagrożenia naruszenia praw lub wolności osób fizycznych, mogących mieć miejsce przy przetwarzaniu kontroler jest zobowiązany:
- wdrożyć odpowiednie środki techniczne i organizacyjne, aby zabezpieczyć i móc potwierdzić, że przetwarzanie jest realizowane zgodnie z niniejszą Polityką. Tymi środkami mogą być pseudonimizacja, minimalizacja danych, oraz środki, mające na celu nadanie przetwarzaniu niezbędnych zabezpieczeń tak, by spełnić wymogi niniejszej Polityki oraz chronić prawa podmiotów danych osobowych. Środki te powinny być poddawane weryfikacji i aktualizacji w niezbędnych przypadkach. Wykaz takich środków znajduje się w ppkt 11.5 niniejszej Polityki;
- wdrożyć odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania;
- wspierać realizację praw podmiotu danych osobowych przewidzianych w pkt 3.1. niniejszej Polityki, z wyjątkiem przypadków, gdy kontroler udowodni, że nie jest w stanie zidentyfikować tego podmiotu danych osobowych;
- bez zbędnej zwłoki na żądanie podmiotu danych (uprawnionego przedstawiciela podmiotu danych osobowych) udostępnić informacje o podjętych działaniach, a w każdym przypadku w ciągu miesiąca od otrzymania takiego żądania, z wyjątkiem przypadków przewidzianych w Rozporządzeniu GDPR;
- prowadzić rejestr przetwarzania danych, za które jest odpowiedzialny. Taki rejestr powinien zawierać wszystkie niżej wymienione informacje:
(a) nazwę i dane kontaktowe kontrolera oraz gdy ma to zastosowanie - współdziałającego z nim kontrolera (współkontrolera);
(b) cele przetwarzania;
(c) opis kategorii podmiotów danych osobowych oraz kategorii danych osobowych;
(d) kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;
(e) gdy ma to zastosowanie, o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazania danych osobowych do celów wykonania umowy między podmiotem danych osobowych a kontrolerem lub w celu wykonania czynności przed zawarciem umowy podjętych na żądanie podmiotu danych osobowych - dokumentację odpowiednich zabezpieczeń;
(f) przewidziany termin usunięcia różnych kategorii danych, jeśli jest to możliwe;
(g) ogólny opis środków technicznych i organizacyjnych do celów bezpieczeństwa,
przewidzianych w Rozporządzeniu GDPR.
Zapisy rejestru, wspomniane zapisy wskazane w niniejszym punkcie powinny być przechowywane w formie pisemnej, w tym w formie elektronicznej, udostępniane do dyspozycji organów nadzorczych na ich żądanie;
- bez zbędnej zwłoki i, jeśli jest to wykonalne, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia ochrony danych osobowych zawiadomić o tym kompetentny organ nadzorczy, oprócz przypadków, gdy jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeśli zgłoszenie do organu nadzorczego zostało przekazane po upływie 72 godzin, należy załączyć wyjaśnienie przyczyn opóźnienia. Kontroler powinien prowadzić dokumentację wszelkich naruszeń ochrony danych osobowych, opisującą fakty, dotyczące naruszeń ochrony danych osobowych, ich konsekwencje oraz działania podjęte w celu usunięcia skutków naruszeń. Taka dokumentacja powinna umożliwiać organowi nadzorczemu sprawdzenie przestrzegania niniejszych wymagań.
4.2. Kontroler ma prawo:
- zlecić przetwarzanie danych osobowych innej osobie fizycznej lub prawnej za zgodą podmiotów danych osobowych na podstawie zawieranych umów.
4.3. Jeżeli co najmniej dwóch kontrolerów wspólnie ustala cele i sposoby przetwarzania, to są oni współkontrolerami. Odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z niniejszej Polityki, są ustalane w sposób przejrzysty (transparentny). Uzgodnienia te w należyty sposób odzwierciedlają odpowiednie zadania oraz relacje pomiędzy współkontrolerami a podmiotami danych osobowych. Zasadnicza treść uzgodnień powinna być udostępniona podmiotom danych osobowych. Niezależnie od warunków takich uzgodnień, podmiot danych osobowych może wykonywać przysługujące mu prawa wynikające z niniejszej Polityki wobec każdego z kontrolerów oraz przeciw każdemu z kontrolerów.
4.4. Kontroler ma inne prawa i obowiązki nieprzewidziane w niniejszej Polityce, wynikające z przepisów prawa Polski i Unii Europejskiej.

5. Status prawny podmiotu przetwarzającego dane.

5.1. Jeżeli przetwarzanie jest dokonywane w imieniu kontrolera, to korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych w taki sposób, by przetwarzanie spełniało wymogi niniejszej Polityki i chroniło prawa podmiotów danych osobowych.
5.2. Podmiot przetwarzający dane lub dowolna osoba trzecia, działająca w imieniu kontrolera lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, powinni przetwarzać takie dane wyłącznie na polecenie kontrolera, chyba że wymaga tego od nich prawo Polski lub Unii Europejskiej.
5.3. Przetwarzanie danych przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego zgodnie z prawem Polski lub Unii Europejskiej, które wiąże podmiot przetwarzający i kontrolera i które określa przedmiot i okres przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie podmiotów danych osobowych, a także obowiązki i prawa kontrolera. Wymagania dotyczące treści takiej umowy lub innego instrumentu prawnego są określone zgodnie z Rozporządzeniem GDPR. Umowa lub inny instrument prawny wymieniony w niniejszym punkcie winny być sporządzone w formie pisemnej, w tym w formie elektronicznej.
5.4. Podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody kontrolera. W przypadku ogólnej pisemnej zgody podmiot przetwarzający informuje kontrolera o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym kontrolerowi możliwość wyrażenia sprzeciwu wobec takich zmian.
5.5. Jeżeli do wykonania w imieniu kontrolera konkretnych czynności przetwarzania podmiot przetwarzający korzysta z usług innego podmiotu przetwarzającego, na ten inny podmiot przetwarzający nałożone zostają – na mocy umowy lub innego aktu prawnego, które podlegają prawu Unii Europejskiej lub Polski - te same obowiązki ochrony danych jak w umowie lub innym akcie prawnym między kontrolerem a podmiotem przetwarzającym, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie odpowiadało wymogom Rozporządzenia GDPR. Jeżeli inny podmiot przetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec kontrolera za wypełnienie obowiązków tego innego podmiotu przetwarzającego spoczywa na pierwotnym podmiocie przetwarzającym.
5.6. Podmiot przetwarzający dane osobowe, w zależności od celów przetwarzania wymienionych w pkt 6. niniejszej Polityki, ma prawo:
- otrzymywać dokumenty zawierające dane osobowe.
5.7. Podmiot przetwarzający dane osobowe, w zależności od celów przetwarzania wymienionych w pkt 6. niniejszej Polityki, ma obowiązek:
- przetwarzać dane osobowe, które zostały mu ujawnione na mocy przepisów prawa;
- umożliwić podmiotowi danych osobowych (uprawnionemu przedstawicielowi podmiotu danych osobowych) nieodpłatny dostęp do jego przetwarzanych danych osobowych;
- za zgodą kontrolera podejmować działania, mające na celu specyfikację, zniszczenie danych osobowych podmiotu danych osobowych w związku z jego (jego uprawnionego przedstawiciela) wynikającymi z przepisów prawa i uzasadnionymi żądaniami.
- niezwłocznie informować kontrolera, jeśli jego zdaniem polecenia naruszają
Rozporządzenie GDPR lub inne postanowienia w zakresie ochrony danych Unii Europejskiej lub Polski;
- zagwarantować, że on i osoby upoważnione do przetwarzania danych osobowych zobowiązują się przestrzegać poufności informacji;
- w miarę możliwości za pomocą odpowiednich środków technicznych i organizacyjnych pomagać kontrolerowi w pełnieniu jego obowiązków, odpowiadać na zapytania, dotyczące realizacji praw podmiotu danych, zgodnie z decyzją kontrolera usunąć lub zwrócić kontrolerowi wszystkie dane osobowe po zakończeniu świadczenia usług związanych z przetwarzaniem oraz usunąć istniejące kopie, chyba że prawo Unii europejskiej lub prawo Polski nakłada na niego obowiązek przechowywania danych osobowych;
- udostępnić do dyspozycji kontrolera wszystkie informacje potrzebne do wykazania spełnienia swoich obowiązków oraz umożliwiające i wspierające przeprowadzenie audytu, w tym inspekcji realizowanych przez kontrolera lub innego upoważnionego przez niego audytora;
- prowadzić rejestr wszystkich kategorii przetwarzania danych realizowanego w imieniu kontrolera, zawierający:
(a) nazwę i dane kontaktowe podmiotu przetwarzającego oraz gdy ma to zastosowanie - współdziałającego z nim podmiotu przetwarzającego (podmiotu współprzetwarzającego dane);
(b) cele przetwarzania;
(c) opis kategorii podmiotów danych osobowych oraz kategorii danych osobowych;
(d) kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;
(e) gdy ma to zastosowanie, o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazania danych osobowych do celów wykonania umowy między podmiotem danych osobowych a kontrolerem lub w celu wykonania czynności przed zawarciem umowy podjętych na żądanie podmiotu danych osobowych - dokumentacja odpowiednich zabezpieczeń;
(f) przewidziany termin usunięcia różnych kategorii danych, jeśli jest to możliwe;
(g) ogólny opis środków technicznych i organizacyjnych do celów bezpieczeństwa, przewidzianych w Rozporządzeniu GDPR.
Zapisy rejestru, wspomniane zapisy wskazane w niniejszym punkcie powinny być przechowywane w formie pisemnej, w tym w formie elektronicznej, udostępniane do dyspozycji organów nadzorczych na ich żądanie;
5.8. Podmiot przetwarzający ma inne prawa i obowiązki nieprzewidziane w niniejszej Polityce, wynikające z przepisów prawa Polski i Unii Europejskiej.

6. Cele zbierania danych osobowych.

6.1. Zgodnie z niniejszą Polityką dane osobowe są przetwarzane w następujących celach:
- zapewnienie przestrzegania przepisów prawa Polski i Unii Europejskiej;
- wykonanie aktów sądowych, aktów innych organów lub osób decyzyjnych, które podlegają wykonaniu zgodnie z przepisami prawa Polski i Unii Europejskiej;
- świadczenie podmiotowi danych osobowych usług, realizacja zamówień, umożliwienie korzystania z serwisów, prowadzenie kampanii reklamowych, udostępnienie reklamy targetowanej i serwisów;
- prowadzenie badań statystycznych i analizy uzyskanych danych statystycznych;
- umożliwienie udziału w przedsięwzięciach aktywizacyjnych, konkursach i innych podobnych przedsięwzięciach;
- prowadzenie postępowań kadrowych i osobistych spraw pracowników;
- udzielanie pracownikom urlopów i kierowanie ich w podróż służbową;
- organizacja i wypłata pracownikom wynagrodzeń i nagród;
- załatwianie formalności związanych z wydaniem paszportu zagranicznego i wiz oraz ubezpieczeń medycznych dla osób wyjeżdżających za granicę.
- organizacja indywidualnego (spersonalizowanego) rejestru pracowników w systemie obowiązkowego ubezpieczenia emerytalnego;
- wypełnienie i przekazanie do organów władzy wykonawczej i innych upoważnionych organizacji wymaganych form sprawozdawczości;
- przygotowanie, zawarcie, wykonanie i rozwiązanie umów cywilno-prawnych.

7. Podstawy prawne przetwarzania danych osobowych.

7.1. Podstawy prawne przetwarzania danych osobowych stanowi zbiór normatywnych aktów prawnych, dla których wykonania i zgodnie z którymi podmiot przetwarzający przetwarza dane osobowe, w tym:
- przepisy prawa Polski;
- Rozporządzenie nr 2016/679 Parlamentu Europejskiego i Rady Unii Europejskiej „O ochronie osób fizycznych w związku z przetwarzaniem danych osobowych i w związku ze swobodnym przepływem takich danych“ z dnia 27.04.2016 r.;
- inne przepisy prawa Unii Europejskiej.
7.2. W szczególności, zgodnie z celami określonymi w pkt 6 niniejszej Polityki, podstawą przetwarzania danych osobowych podmiotów zgodnie z prawem niezależnie od sposobu pozyskania jest jeden z następujących warunków:
- podmiot wyraził zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
- przetwarzanie jest niezbędne do wykonania umowy, której stroną jest podmiot danych osobowych lub do podjęcia działań na żądanie podmiotu danych osobowych przed zawarciem umowy.

8. Zakres i kategorie przetwarzanych danych osobowych, kategorie podmiotów danych osobowych.

8.1. W zależności od celów przewidzianych w pkt 6 niniejszej Polityki przetwarzane mogą być dane osobowe następujących kategorii podmiotów:
8.1.1. Użytkownicy strony internetowej https://tiande.eu, którzy przeszli procedurę rejestracji i złożyli zamówienie na towar:
- imię i nazwisko, imię po ojcu;
- rok i miejsce urodzenia;
- dane kontaktowe;
8.1.2. Osoby ubiegające się o pracę w organizacji kontrolera:
- imię i nazwisko, imię po ojcu;
- płeć;
- wiek;
- wykształcenie, kwalifikacje, przygotowanie zawodowe i informacje o podniesieniu kwalifikacji;
8.1.3. Pracownicy kontrolera:
- imię i nazwisko, imię po ojcu;
- płeć;
- wiek;
- wizerunek (fotografia);
- dane dowodu osobistego;
- adres zameldowania i zamieszkania;
- numer identyfikacyjny płatnika podatków;
- osobisty numer identyfikacyjny;
- wykształcenie, kwalifikacje, przygotowanie zawodowe i informacje o podniesieniu kwalifikacji;
- sytuacja rodzinna, dzieci, pokrewieństwo;
- informacje o działalności pracowniczej, w tym o wsparciu finansowym, wynagrodzeniu i/lub karach dyscyplinarnych;
- dane o małżeństwie;
- informacje o służbie wojskowej;
- informacje o grupie inwalidzkiej;
- informacje o potrąceniach alimentów;
- informacje o dochodzie z poprzedniego miejsca pracy;
- inne dane osobowe udostępniane przez pracowników zgodnie z wymaganiami prawa pracy Polski i Unii Europejskiej.
8.2. Biometryczne dane osobowe (informacje charakteryzujące cechy biologiczne i fizjologiczne człowieka, na podstawie których można zidentyfikować jego tożsamość) są przetwarzane zgodnie z prawem Polski i Unii Europejskiej.
8.3. Podmiot przetwarzający dane nie przetwarza danych osobowych specjalnych kategorii, dotyczących przynależności rasowej, etnicznej, poglądów politycznych, religijnych lub światopoglądowych, stanu zdrowia, życia intymnego, karalności.

9. Zasady i ogólne warunki przetwarzania danych osobowych.

9.1. Dane osobowe są przetwarzane za zgodą podmiotów danych osobowych, jeśli w przepisach prawa Polski i Unii Europejskiej nie przewidziano inaczej.
9.2. Dane osobowe mogą być przetwarzane za pomocą środków techniki komputerowej (przetwarzanie zautomatyzowane) lub ręcznie bez użycia środków techniki komputerowej (przetwarzanie niezautomatyzowane).
9.3. Dane osobowe mogą przetwarzać tylko ci pracownicy kontrolera, do których obowiązków zawodowych należy przetwarzanie danych osobowych. Wskazani pracownicy mają prawo otrzymywać tylko te dane osobowe, które są im niezbędne do wykonania swoich obowiązków zawodowych.
9.4. Przetwarzanie danych osobowych jest realizowane przez:
- otrzymywanie informacji zawierających dane osobowe w formie ustnej, pisemnej i elektronicznej bezpośrednio od podmiotów danych osobowych;
- udostępnienie przez podmioty danych osobowych oryginałów potrzebnych dokumentów;
- otrzymanie poświadczonych na określonych zasadach kopii dokumentów, zawierających dane osobowe lub kopiowanie oryginałów dokumentów;
- otrzymanie danych osobowych przy kierowaniu zapytań do organów władzy państwowej, organów samorządowych, organizacji komercyjnych i niekomercyjnych, osób fizycznych w przypadkach i porządku określonych w przepisach prawa Polski i Unii Europejskiej;
- pozyskanie danych osobowych z ogólnodostępnych źródeł;
- utrwalenie (rejestrację) danych osobowych w czasopismach, książkach i innych nośnikach informacji;
- wykorzystanie innych środków i sposobów utrwalenia danych osobowych.
9.5. Dane osobowe są przetwarzane do momentu wycofania zgody podmiotu danych osobowych oraz przez okres potrzebny do realizacji celów, dla których dane osobowe są przetwarzane. Po osiągnięciu celów przetwarzania danych osobowych oraz w przypadku wycofania przez podmiot danych osobowych zgody na ich przetwarzanie dane podlegają zniszczeniu, jeśli umowa między kontrolerem a podmiotem danych osobowych oraz przepisy prawa Polski i Unii Europejskiej nie przewidują inaczej.
9.6. Dane osobowe mogą być przekazywane osobom trzecim (w tym przekazywanie transgraniczne) za pisemną zgodą podmiotów danych osobowych, z wyjątkiem przypadków, gdy jest to konieczne do celów zapobiegania zagrożeniu życia i zdrowia podmiotów danych osobowych oraz w innych przypadkach określonych w przepisach prawa Polski i Unii Europejskiej.
Przy przekazywaniu danych osobowych osobom trzecim zgodnie z zawartymi umowami zapewnia obowiązkowe spełnienie wymagań przepisów prawa Polski i Unii Europejskiej w zakresie ochrony danych osobowych. Dane osobowe są przekazywane do upoważnionych organów władzy państwowej i samorządowej zgodnie z wymaganiami przepisów prawa Polski i Unii Europejskiej w zakresie danych osobowych. Każde przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko w przypadkach, gdy jest to dopuszczalne zgodnie z prawem Polski i Unii Europejskiej, z zastrzeżeniem, że kontroler i podmiot przetwarzający spełniają odpowiednie warunki. Wszystkie warunki Rozporządzenia GDPR regulujące takie przekazanie danych należy stosować z myślą o zapewnieniu, by nie został naruszony stopień ochrony osób fizycznych zagwarantowany w Rozporządzeniu GDPR.
9.7. Aby uzyskać dodatkowe informacje o zasadach przetwarzania danych osobowych zgodnie z niniejszą Polityką, należy wysłać wiadomość na adres poczty elektronicznej: support.pl@tiande.eu.

10. Procedura przekazywania informacji podmiotom w związku z ich pytaniami w sprawie przetwarzania danych osobowych.

10.1. Informacje dotyczące przetwarzania danych osobowych podmiotu są przekazywane podmiotowi danych osobowych lub jego przedstawicielowi po otrzymaniu przez kontrolera lub podmiot przetwarzający dane żądania podmiotu danych osobowych lub jego przedstawiciela.
10.2. Żądanie powinno zawierać informacje pozwalające kontrolerowi na zidentyfikowanie podmiotu danych osobowych (dane podstawowego dokumentu tożsamości podmiotu danych osobowych lub jego przedstawiciela, informacje potwierdzające udział podmiotu danych osobowych w stosunkach z kontrolerem (numer umowy, data zawarcia umowy, umowne oznaczenie słowne i (lub) inne informacje), albo informacje w inny sposób potwierdzające fakt przetwarzania danych osobowych, podpis (w tym elektroniczny) podmiotu danych osobowych lub jego przedstawiciela. Żądanie może być wysłane w postacie dokumentu elektronicznego i podpisane za pomocą podpisu elektronicznego zgodnie z przepisami prawa Polski i Unii Europejskiej.
10.3. Najpóźniej w terminie jednego miesiąca, z wyjątkiem innego terminu przewidzianego w Rozporządzeniu GDPR, od dnia otrzymania przez kontrolera żądania od podmiotu danych osobowych odnośnie jego praw wymienionych w pkt 3 niniejszej Polityki, kontroler zobowiązuje się udzielić odpowiednich informacji o działaniach podjętych w związku z żądaniem oraz podejmuje rozsądne kroki w celu powiadomienia osób trzecich, którym zostały przekazane dane osobowe tego podmiotu.
10.4. Udzielane przez kontrolera informacje oraz inne wiadomości dotyczące przetwarzania danych osobowych są przekazywane w sposób zwięzły, przejrzysty, zrozumiały i łatwo dostępny oraz są sformułowane jasnym i prostym językiem. Informacje są udzielane w formie pisemnej, albo innymi środkami, w tym środkami elektronicznymi, jeśli to konieczne. Jeśli podmiot danych przekazał swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że podmiot danych osobowych zażąda innej formy. Jeżeli podmiot danych tego zażąda, informacje mogą być udzielone w formie ustnej, o ile tożsamość podmiotu danych zostanie potwierdzona innymi środkami.
10.5. Jeżeli kontroler nie podejmuje działań w związku z żądaniem podmiotu danych, to niezwłocznie – najpóźniej w terminie miesiąca od otrzymania żądania – informuje podmiot danych o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. W przypadku, jeśli żądania podmiotu danych osobowych są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter, kontroler może:
(a) pobrać rozsądną opłatę, uwzględniając administracyjne koszty udzielenia informacji lub podjęcia żądanych działań; albo
(b) odmówić podjęcia działań w związku z żądaniem.
Prawo podmiotu danych osobowych do dostępu do jego danych osobowych może zostać ograniczone zgodnie z przepisami prawa Polski i Unii Europejskiej, w tym jeśli dostęp podmiotu danych osobowych do jego danych osobowych narusza prawa i legalne interesy osób trzecich.
10.6. Jeżeli kontroler otrzyma od podmiotu danych żądanie usunięcia jego danych osobowych, to bez zbędnej zwłoki zobowiązany jest usunąć dane osobowe i zapewnić zaprzestanie ich przetwarzania (jeśli dane były przetwarzane przez inną osobę), jeśli zaistnieje jedna z następujących podstaw: podmiot danych osobowych wycofał zgodę na przetwarzanie jego danych osobowych, jeśli przechowywanie danych osobowych nie jest dalej konieczne do celów przetwarzania danych osobowych, jeśli dane osobowe były przetwarzane niezgodnie z prawem lub powinny być usunięte zgodnie z przepisami prawa Polski i Unii Europejskiej, niszczy dane osobowe lub zapewnia ich zniszczenie (jeśli dane osobowe były przetwarzane przez inną osobę, działającą na polecenie kontrolera) najpóźniej w terminie jednego miesiąca od dnia wycofania zgody, jeśli w przepisach prawa Polski i Unii Europejskiej nie przewidziano inaczej.
10.7. Żądania oraz inne wiadomości odnośnie przetwarzania danych osobowych są wysyłane na adres poczty elektronicznej: support.pl@tiande.eu w przejrzystej formie, jednak z zastrzeżeniem spełnienia wymagań wobec nich wskazanych w pkt 10.2. niniejszej Polityki.

11. Wymagania dotyczące ochrony danych osobowych.

11.1. Bezpieczeństwo danych osobowych podczas ich przetwarzania jest zapewniane zgodnie z przepisami prawa Polski i Unii Europejskiej.
11.2. Kontroler podejmuje niezbędne środki organizacyjne i techniczne, mające na celu ochronę danych osobowych przed przypadkowym lub niezgodnym z prawem dostępem, zniszczeniem, zmianą, zablokowaniem dostępu i innymi nielegalnymi działaniami.
11.3. Od daty wejścia w życie niniejszej Polityki kontroler będzie wdrażać i utrzymywać środki bezpieczeństwa wymienione w niniejszym punkcie. Kontroler ma prawo aktualizować i zmieniać takie środki bezpieczeństwa, jeśli taka aktualizacja i modyfikacja nie będą stanowić zagrożenia dla ogólnego bezpieczeństwa przetwarzania danych osobowych.
11.4. Niemniej jednak kontroler nie może zagwarantować, że podjęte środki bezpieczeństwa, mające na celu ochronę i przekazywanie danych i informacji uzyskanych w sposób zautomatyzowany, zapobiegną lub wykluczą wszelkie ryzyko niezgodnego z prawem dostępu lub utraty danych, jeśli ochrona danych została naruszona z winy ich właściciela. Celowe jest, aby na komputerze podmiotu danych osobowych było zainstalowane oprogramowanie, chroniące przekazywanie, pozyskiwanie danych sieciowych (np. aktualna wersja programu antywirusowego) oraz aby dostawca usługi internetowej podjął odpowiednie kroki w celu zapewnienia bezpieczeństwa przekazywania danych sieciowych (np. zapory sieciowe i filtry spamu).
11.5. Środki ochrony realizowane przez kontrolera podczas przetwarzania danych osobowych obejmują:
- przyjęcie lokalnych aktów i innych dokumentów wewnętrznych w zakresie przetwarzania i ochrony danych osobowych;
- zapewnienie kontroli bezpieczeństwa podmiotów przetwarzających dane, dalszych podmiotów przetwarzających dane przed rozpoczęciem, a także w procesie przetwarzania danych w sposób całkowicie lub częściowo zautomatyzowany, poprzez przeprowadzenie audytu bezpieczeństwa i poufności informacji w zależności od stopnia, który jest wymagany dla dostępu do przetwarzania;
- wyznaczenie osób odpowiedzialnych za zapewnienie bezpieczeństwa danych osobowych;
- zapewnienie organizacji szkoleń i przeprowadzenie prac metodycznych z pracownikami przetwarzającymi dane osobowe;
- kontrola stworzenia przez podmiot przetwarzający dane niezbędnych warunków do pracy z nośnikami materialnymi i systemami informatycznymi, w których są przetwarzane dane osobowe oraz warunków ich ewidencji i przechowywania, zapewniających ochronę danych osobowych i wykluczających nieautoryzowany dostęp do takich danych;
- wyodrębnienie danych osobowych, które są przetwarzane w sposób niezautomatyzowany, spośród innych informacji;
- zapewnienie osobnego przechowywania materialnych nośników danych osobowych, na których znajdują się dane osobowe różnych kategorii lub dane osobowe, które są przetwarzane w różnych celach;
- określenie zakazu przekazywania danych osobowych przez otwarte kanały łączności, sieci komputerowe i sieć Internet bez podjęcia środków zapewniających bezpieczeństwo danych osobowych;
- zapewnienie ochrony dokumentów zawierających dane osobowe na nośnikach papierowych i innych nośnikach materialnych przy ich przekazaniu osobom trzecim za pośrednictwem poczty;
- wewnętrzna kontrola przestrzegania przez wszystkie podmioty, uczestniczące w przetwarzaniu danych, przepisów prawa Polski i Unii europejskiej oraz lokalnych aktów kontrolera przy przetwarzaniu danych osobowych, włącznie z niniejszą Polityką..

12. Odpowiedzialność za naruszenie zasad przetwarzania danych osobowych podmiotów.

12.1. Każdy kontroler uczestniczący w przetwarzaniu danych osobowych winien ponosić odpowiedzialność za szkody spowodowane przetwarzaniem danych, które narusza przepisy prawa Polski i Unii Europejskiej. Podmiot przetwarzający dane winien ponosić odpowiedzialność za szkody spowodowane przetwarzaniem danych tylko, jeśli nie wykonał obowiązków, które zgodnie z niniejszą Polityką dotyczą konkretnie podmiotów przetwarzających dane lub gdy działał niezgodnie lub naruszył wytyczne kontrolera.
12.2. Ogólne warunki nakładania administracyjnych kar pieniężnych i ich wysokość są określone zgodnie z przepisami prawa Polski i Unii Europejskiej.

Treść została zatwierdzona
9 kwietnia 2018 r.

Prezes Zarządu
EUROPE PROSPERITY SP. Z O.O.
Jerzy Jurecki