Politica de confidențialitate

POLITICA DE SECURITATE A DATELOR CU CARACTER PERSONAL

ECOMPORATE Maksymilian Polkowski
Szlak 77/222, 31-153 Kraków
e-mail: alkogames.contact@gmail.com
www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu

NIP: 6821812937 | REGON: 543921159

Data elaborării:	17.02.2026
Data implementării:	17.02.2026
Documentul a fost aprobat și implementat de:	Maksymilian Polkowski

I. Scop, domeniu de aplicare și definițiile utilizate în document

1. Scopul Politicii

1.1 Scopul elaborării și introducerii prezentei Politici de securitate este descrierea măsurilor tehnice și organizatorice aplicate în cadrul ECOMPORATE Maksymilian Polkowski (în continuare: Operatorul), care asigură protecția datelor cu caracter personal prelucrate, adecvate riscului de încălcare a drepturilor și libertăților în legătură cu prelucrarea datelor cu caracter personal.

1.2 Politica de securitate are rolul de a permite îndeplinirea corespunzătoare a obligațiilor Operatorului – ECOMPORATE Maksymilian Polkowski. Politica de securitate a datelor cu caracter personal a fost elaborată în conformitate cu dispozițiile Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și de abrogare a Directivei 95/46/CE.

1.3 Prezentul document va fi implementat prin publicarea sa în cadrul organizației și prin aducerea sa la cunoștința persoanelor autorizate să prelucreze date cu caracter personal, precum și a altor persoane care au acces la datele cu caracter personal prelucrate de Operator.

2. Domeniul de aplicare și excluderi de la aplicare

2.1 Politica cuprinde în domeniul său de aplicare toate datele cu caracter personal prelucrate de către Operator.

2.2 Prevederile și cerințele prezentei Politici pot fi excluse numai în cazul în care dispozițiile legale în vigoare prevăd o astfel de excludere.

3. Definiții

1.	Operator	ECOMPORATE Maksymilian Polkowski, Szlak 77/222, 31-153 Kraków, e-mail: alkogames.contact@gmail.com, www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu, în ceea ce privește datele pentru care decide cu privire la scopurile și mijloacele de prelucrare
2.	Date cu caracter personal	înseamnă orice informații privind o persoană fizică identificată sau identificabilă („persoană vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;
3.	Categorii speciale de date cu caracter personal	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate, prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice sau de date privind sănătatea, viața sexuală sau orientarea sexuală ale unei persoane fizice, precum și date privind condamnările penale și infracțiunile sau măsurile de securitate conexe;
4.	Președintele Oficiului	Președintele Oficiului polonez pentru Protecția Datelor cu Caracter Personal;
5.	Integritatea datelor	proprietatea care asigură că datele cu caracter personal nu au fost modificate sau distruse în mod neautorizat;
6.	Încălcarea protecției datelor cu caracter personal	înseamnă o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod;
7.	Persoană autorizată	persoană care deține autorizația de a prelucra date cu caracter personal în numele Operatorului
8.	Persoană vizată (sau titular al datelor)	orice persoană fizică ale cărei date cu caracter personal sunt prelucrate de Operator sau la solicitarea Operatorului în legătură cu activitatea pe care o desfășoară;
9.	Confidențialitatea datelor	proprietatea care asigură că datele nu sunt puse la dispoziția unor entități neautorizate,
10.	Angajat	persoană care are acces la datele cu caracter personal și prestează muncă în folosul Operatorului în baza unui raport de muncă;
11.	Terț	înseamnă o persoană fizică sau juridică, autoritate publică, agenție sau organism, altul decât persoana vizată, operatorul, persoana împuternicită de operator și persoanele care, sub autoritatea directă a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze date cu caracter personal;
12.	Persoană împuternicită de operator (Procesor)	persoană juridică, persoană fizică, unitate organizatorică fără personalitate juridică sau altă entitate care nu decide cu privire la scopurile și mijloacele de prelucrare a datelor cu caracter personal, căreia Operatorul i-a încredințat spre prelucrare date cu caracter personal și cu care a încheiat un Contract privind încredințarea prelucrării datelor cu caracter personal în sensul art. 28 din RGPD;
13.	Prelucrarea datelor cu caracter personal	înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;
14.	Politica	prezentul document, adică Politica de securitate a datelor cu caracter personal
15.	Responsabilitate	proprietatea care permite demonstrarea conformității Operatorului cu dispozițiile RGPD;
16.	RGPD sau Regulamentul	Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și de abrogare a Directivei 95/46/CE;
17.	Pseudonimizare	înseamnă prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără utilizarea unor informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate separat și să facă obiectul unor măsuri tehnice și organizatorice care să asigure că datele cu caracter personal nu sunt atribuite unei persoane fizice identificate sau identificabile;
18.	Registrul activităților de prelucrare	registru ținut de Operator, care conține cel puțin următoarele informații: a) numele și datele de contact ale operatorului și ale oricărui operator asociat și, după caz, ale reprezentantului operatorului și ale responsabilului cu protecția datelor; b) scopurile prelucrării; c) o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal; d) categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizațiile internaționale; e) după caz, transferurile de date cu caracter personal către o țară terță sau o organizație internațională, inclusiv identificarea țării terțe sau a organizației internaționale respective și, în cazul transferurilor menționate la art. 49 alin. 1 al doilea paragraf, documentația care atestă existența unor garanții adecvate; f) dacă este posibil, termenele-limită preconizate pentru ștergerea diferitelor categorii de date; g) dacă este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la art. 32 alin. 1.
19.	Reclamație	orice document (pe suport de hârtie sau electronic) transmis de persoana vizată (titularul datelor) sau de Președintele Oficiului, din al cărui conținut rezultă nemulțumirea sau cererea de lămuriri / informații privind prelucrarea datelor cu caracter personal de către Operator
20.	Sistem informatic (sau sistem IT)	ansamblu de echipamente, programe, proceduri de prelucrare a informațiilor și instrumente software care cooperează între ele, utilizate în scopul prelucrării datelor;
21.	Legea	Legea poloneză din 10 mai 2018 privind protecția datelor cu caracter personal;
22.	Autorizare	una dintre următoarele: - autorizație scrisă emisă în temeiul art. 29 din RGPD pentru prelucrarea datelor cu caracter personal, acordată Angajatului, Colaboratorului sau angajatului Persoanei împuternicite de asociatul societății, - Contract privind încredințarea prelucrării datelor cu caracter personal încheiat în scris în sensul art. 28 din RGPD;
23.	Colaborator	persoană care are acces la datele cu caracter personal și execută personal și direct sarcini / servicii în folosul Operatorului pe un alt temei juridic decât un raport de muncă, indiferent de denumirea sau tipul contractului care leagă părțile;
24.	Securitatea datelor	implementarea și exploatarea unor măsuri tehnice și organizatorice adecvate care asigură protecția datelor împotriva prelucrării neautorizate;
25.	Consimțământul persoanei vizate	înseamnă orice manifestare de voință liber exprimată, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;

II. Obligațiile ECOMPORATE Maksymilian Polkowski în calitate de Operator

1. Obligația de a îndeplini temeiurile juridice pentru prelucrarea datelor cu caracter personal

1.1 Fiecare Angajat și Colaborator este obligat, înainte de a decide stabilirea unui scop de prelucrare sau extinderea sferei datelor cu caracter personal colectate peste scopul de prelucrare actual specificat în Registrul activităților de prelucrare (RAP), să indice și să aplice temeiul juridic (din RGPD) care legitimează prelucrarea acestor date.

2. Obligația de informare față de persoana vizată conform art. 13 și art. 14 din RGPD

2.1 Fiecare Angajat, Colaborator care colectează (obține) date cu caracter personal este obligat, în momentul colectării lor direct de la titularul datelor, să informeze titularul datelor (de exemplu prin prezentarea unei clauze corespunzătoare) în conformitate cu clauzele informative pregătite privind art. 13 din RGPD.

2.2 În cazul colectării datelor de la terți, deci nu direct de la titularul datelor, trebuie să se informeze fără întârziere, după înregistrarea datelor, cu privire la circumstanțele prelucrării, în conformitate cu clauzele informative privind art. 14 din RGPD.

2.3 În cazul utilizării sistemelor informatice care colectează automat date cu caracter personal, trebuie asigurat ca acest sistem să furnizeze informațiile menționate la punctele de mai sus.

2.4 În cazul recurgerii la terți (de exemplu agenții de marketing, de recrutare), trebuie asigurat în contractul cu un astfel de terț ca, în timpul colectării datelor cu caracter personal, acesta să îndeplinească obligația de informare în numele Operatorului, în conformitate cu punctul 2.2. 1) sau 2.2. 2).

3. Obligația de a respecta principiile prelucrării descrise la art. 5 din RGPD

3.1 În timpul proceselor de prelucrare a datelor cu caracter personal trebuie depusă o diligență deosebită pentru protejarea intereselor persoanelor vizate, în special pentru respectarea principiilor stabilite la punctele 5–7 din Politică. Această obligație privește atât Angajații și Colaboratorii, cât și entitățile care prelucrează date cu caracter personal în numele Operatorului în baza contractelor privind încredințarea prelucrării datelor cu caracter personal, adică Persoanele împuternicite.

4. Obligația de a încheia un contract privind încredințarea prelucrării datelor cu caracter personal (art. 28)

4.1 Dacă Operatorul decide să recurgă la serviciile unei entități terțe, iar în cadrul prestării acestor servicii această entitate va prelucra date cu caracter personal la solicitarea sau în numele Operatorului, trebuie asigurat ca, înainte de transmiterea datelor către această entitate, să fie încheiat „Contractul privind încredințarea prelucrării datelor cu caracter personal” în conformitate cu principiile stabilite la punctul 6 din Politică.

5. Obligația de a soluționa cererile persoanei vizate

5.1 Dacă titularul datelor se adresează cu o cerere / solicitare verbală sau scrisă de acces / copie a datelor / portare a datelor / ștergere a datelor sale / rectificare / restricționare / actualizare (indiferent de forma depunerii, pe hârtie sau electronic), o astfel de cerere, dacă este întemeiată, trebuie soluționată fără întârziere, cel târziu în termen de 30 de zile.

5.2 În orice caz, soluționarea unei astfel de cereri, menționate la punctul de mai sus, ar trebui efectuată de Operator, care în acest caz poate desemna un Angajat, un Colaborator sau o altă entitate pentru a sprijini soluționarea unei astfel de cereri.

5.3 În orice caz, Operatorul facilitează titularului datelor exercitarea drepturilor care îi revin în temeiul art. 15–22 din RGPD. Dacă Operatorul nu poate demonstra că nu este în măsură să identifice persoana vizată, îl informează în limita posibilităților pe aceasta despre acest lucru și solicită completarea datelor pentru a face posibilă stabilirea identității titularului datelor.

5.4 Operatorul, soluționând cererea titularului datelor, acționează în conformitate cu Procedura de gestionare a cererilor Persoanelor vizate.

6. Obligația de a asigura securitatea datelor

6.1 Fiecare Angajat, Colaborator este obligat să aplice măsuri de securitate:

· organizatorice (de exemplu politici, regulamente, proceduri) în vigoare în organizația Operatorului, indiferent de documentul intern în care sunt descrise, precum și

· tehnice (de exemplu utilizarea parolelor de acces, PENDRIVE criptat sau criptarea computerelor și a dispozitivelor mobile). Ocolirea măsurilor de securitate stabilite în documentele interne sau implementate de furnizorul IT poate constitui o încălcare a protecției datelor cu caracter personal.

6.2 Obligația de a asigura securitatea datelor privește și Persoanele împuternicite. Cerințele detaliate privind securizarea datelor cu caracter personal de către Persoana împuternicită trebuie stabilite în Contractul privind încredințarea prelucrării datelor cu caracter personal.

7. Obligația de a notifica un nou scop al prelucrării datelor cu caracter personal

7.1 Dacă un Angajat sau un Colaborator decide să înceapă colectarea de date cu caracter personal pentru un scop nou, este obligat să informeze Operatorul despre acest fapt înainte de începerea colectării, prin forma de comunicare utilizată în mod obișnuit în organizație.

7.2 Pe baza informațiilor de la Angajat sau Colaborator, Operatorul decide dacă scopul respectiv este supus obligației de înregistrare în Registrul activităților de prelucrare.

7.3 Angajații și Colaboratorii sunt obligați să comunice direct Operatorului orice modificări privind activitățile de prelucrare descrise în Registru, înainte de introducerea acestor modificări.

8. Obligații la transferul către țări terțe

8.1 Înainte de o eventuală decizie privind alegerea unui furnizor din afara SEE sau transferul de date către o țară terță, Operatorul ar trebui să efectueze o analiză suplimentară sau să solicite opinii din surse externe privind securitatea transferului unor astfel de informații.

9. Obligații și răspundere

9.1 Fiecare Angajat și Colaborator, indiferent de funcție sau sarcini, este obligat să respecte și răspunde pentru:

· păstrarea confidențialității datelor cu caracter personal și a modului de securizare a acestora,

· luarea la cunoștință și respectarea prevederilor prezentei Politici și ale documentelor interne emise în baza prezentei Politici,

· confirmarea în scris a luării la cunoștință a dispozițiilor privind protecția datelor cu caracter personal și a prezentei Politici,

· respectarea dispozițiilor privind protecția datelor cu caracter personal, în special a Legii,

· nedivulgarea parolelor sale către sistemele IT,

· nepunerea la dispoziție și neasigurarea accesului la datele cu caracter personal către persoane neautorizate,

· raportarea fiecărui incident / suspiciuni de încălcare a protecției datelor cu caracter personal sau a prezentei Politici observate, în conformitate cu procedurile.

9.2 Obligațiile și răspunderea personalului de conducere

· supravegherea angajaților subordonați cu privire la aplicarea principiilor descrise în prezenta Politică,

· nevoile de informare / instruire în domeniul dispozițiilor privind protecția datelor cu caracter personal,

· aprobarea tuturor modificărilor privind scopurile prelucrării datelor cu caracter personal înainte de introducerea lor,

· supravegherea scopurilor atribuite ale prelucrării datelor cu caracter personal și a sferei prelucrării în conformitate cu Registrul activităților de prelucrare,

· verificarea noilor soluții informatice care implică transferul de date cu caracter personal către o entitate terță,

· asigurarea încheierii de către Operator a unui contract privind încredințarea prelucrării cu fiecare entitate căreia Operatorul intenționează să îi încredințeze prelucrarea datelor cu caracter personal.

9.3 Obligațiile și răspunderea furnizorului IT (dacă există)

Fiecare angajat al furnizorului IT desemnat să colaboreze cu Operatorul este obligat să respecte și răspunde pentru:

· supravegherea eficacității măsurilor de securitate implementate și menținute (fizice, logice, de sistem),

· supravegherea eficacității restricțiilor de acces implementate pentru zonele de prelucrare a datelor,

· luarea în considerare a dispozițiilor RGPD și ale Politicii în timpul proiectării și implementării unor noi soluții privind securitatea informatică sau fizică,

· la solicitarea Operatorului, elaborarea de opinii și informații privind măsurile de securitate aplicate în organizație.

10. Reguli de procedură în cazul reclamațiilor privind prelucrarea datelor cu caracter personal

10.1 Reclamații / cereri depuse de titularul datelor

1) O reclamație / cerere scrisă (indiferent de forma de transmitere sau de denumire) trimisă Operatorului de titularul datelor trebuie examinată fără întârziere, în termen de cel mult 30 de zile de la data primirii.

2) Răspunsul la reclamație / cerere trebuie dat în scris (prin scrisoare recomandată) dacă petentul a indicat o adresă de corespondență, iar în absența unei astfel de adrese, pe aceeași cale prin care a fost depusă reclamația / cererea, cu excepția cazului în care solicitantul a cerut o altă formă. În cazul răspunsului prin poștă electronică, o copie a răspunsului trebuie arhivată în orice caz pentru îndeplinirea responsabilității Operatorului datelor cu caracter personal.

3) Dacă titularul datelor se adresează cu o cerere, o solicitare de modificare sau actualizare a datelor cu caracter personal, aceasta trebuie efectuată fără întârziere după primirea unei astfel de cereri.

4) Dacă titularul datelor se adresează cu o cerere, o solicitare de ștergere sau de încetare a prelucrării datelor sale, iar aceste date au fost colectate doar pe baza consimțământului acelei persoane, datele sale cu caracter personal trebuie șterse fără întârziere sau prelucrarea trebuie încetată pentru scopurile pentru care și-a exprimat anterior consimțământul.

5) Datele cu caracter personal prelucrate în baza unui contract încheiat pot fi prelucrate în continuare, după retragerea tuturor consimțămintelor titularului datelor, pentru alte scopuri (de exemplu executarea contractului, scopuri fiscale), dacă acestea rezultă din Registrul activităților de prelucrare.

6) Dacă titularul datelor se adresează cu o cerere de acces la datele sale cu caracter personal sau de obținere a unei copii a datelor, la o astfel de cerere trebuie să se răspundă fără întârziere, în termen de cel mult 30 de zile.

7) Titularul datelor poate exercita dreptul la o copie a datelor prelucrate în baza unui contract sau a consimțământului, care au fost furnizate de titular operatorului în mod gratuit. Pentru fiecare copie ulterioară a datelor, Operatorul poate percepe o taxă administrativă rezonabilă legată de pregătirea unei astfel de copii a datelor.

10.2 Reclamații transmise de Președintele Oficiului

1) În cazul unei reclamații depuse de titularul datelor la Președintele Oficiului, pe care autoritatea a transmis-o Operatorului, aceasta trebuie transmisă fără întârziere asociatului societății.

2) Termenul de răspuns la o astfel de reclamație comunicată de Președintele Oficiului este de 7 zile (cu excepția cazului în care Președintele Oficiului stabilește un alt termen).

3) Răspunsul este pregătit de un Angajat sau Colaborator desemnat de Operator ori de unul dintre asociații societății, iar versiunea finală a răspunsului este adresată Președintelui Oficiului de asociatul societății.

III. Principiile prelucrării datelor cu caracter personal de către Operator

1. Principiul legalității, echității și transparenței

Datele cu caracter personal trebuie prelucrate în mod legal, echitabil și transparent pentru persoana vizată. Nu este permisă prelucrarea datelor cu caracter personal fără temei juridic. Înainte de începerea prelucrării unei noi categorii de date cu caracter personal sau a datelor pentru un nou scop, trebuie indicat temeiul juridic al prelucrării lor.

2. Principiul limitării scopului

Datele cu caracter personal trebuie prelucrate exclusiv pentru un scop concret și clar definit, iar titularul datelor trebuie informat despre acest scop. Datele cu caracter personal trebuie colectate în scopuri determinate, explicite și legitime și nu trebuie prelucrate ulterior într-un mod incompatibil cu aceste scopuri.

3. Principiul reducerii la minimum a datelor

Pot fi colectate doar atâtea date câte sunt adecvate pentru realizarea scopului. Nu se pot colecta „pe stoc” pe motiv că în viitor „vor fi de folos”. Datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate.

4. Principiul exactității

Toate persoanele autorizate să prelucreze date și Persoanele împuternicite răspund pentru corectitudinea de fond a datelor. Datele cu caracter personal trebuie să fie exacte și, dacă este necesar, actualizate; trebuie luate toate măsurile rezonabile pentru ca datele cu caracter personal care sunt inexacte, în raport cu scopurile în care sunt prelucrate, să fie șterse sau rectificate fără întârziere.

5. Principiul limitării stocării

Datele cu caracter personal pot fi prelucrate doar atât timp cât există scopul prelucrării sau cât prevăd dispozițiile legale. Datele cu caracter personal trebuie păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate.

6. Principiul integrității și confidențialității

Datele cu caracter personal trebuie prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, distrugerii sau deteriorării accidentale, prin luarea unor măsuri tehnice sau organizatorice corespunzătoare.

7. Principiul informării persoanelor autorizate cu privire la reglementările interne și externe din domeniul protecției datelor cu caracter personal

Fiecare persoană autorizată să prelucreze date cu caracter personal este obligată să se informeze permanent cu privire la reglementările interne și externe din domeniul protecției datelor cu caracter personal. În lipsa cunoștințelor, se poate consulta direct cu asociatul societății. Fiecare persoană autorizată, după ce a luat cunoștință de dispozițiile și principiile din domeniul protecției datelor cu caracter personal, confirmă acest fapt prin semnarea în scris a unei declarații corespunzătoare.

8. Principiul accesului limitat

Accesul la datele cu caracter personal trebuie să fie întotdeauna limitat doar la persoanele autorizate. Limitarea accesului poate fi organizatorică (de exemplu supraveghere personală, introducerea de proceduri), fizică (de exemplu încuierea cu cheie, carduri de proximitate pentru încăperi) sau informatică (de exemplu utilizarea de conturi și parole).

9. Principiul accesului dublu

Accesul la datele cu caracter personal trebuie să fie întotdeauna limitat prin aplicarea a cel puțin două restricții de acces de orice fel.

10. Principiul biroului curat

După terminarea lucrului, pe biroul Angajatului / Colaboratorului nu pot rămâne documente sau suporturi informatice general accesibile care conțin date cu caracter personal. Toate aceste documente / suporturi trebuie încuiate în dulapuri / debarale.

11. Principiul distrugerii în siguranță a documentelor și a suporturilor de date

Ștergerea datelor prin distrugerea documentelor pe suport de hârtie sau în formă electronică se efectuează în conformitate cu „Procedura de ștergere în siguranță a datelor”.

12. Principiul responsabilității

Acțiunile persoanei autorizate sau ale Persoanei împuternicite asupra datelor cu caracter personal, în special în sistemele informatice, trebuie să fie întotdeauna atribuite în mod univoc unei singure persoane autorizate să prelucreze date cu caracter personal. Aceasta înseamnă că un anumit cont de acces la un sistem IT poate fi atribuit NUMAI UNEI SINGURE PERSOANE. Este interzisă partajarea conturilor de acces de către două sau mai multe persoane. Acțiunile atribuite în sistemul IT unui anumit cont de acces vor fi întotdeauna atribuite persoanei care a utilizat acel cont. În plus, în îndeplinirea obligațiilor și sarcinilor care decurg din dispozițiile RGPD și din prezenta Politică, fiecare persoană autorizată este obligată să demonstreze că respectă dispozițiile RGPD și ale Politicii.

13. Principiul secretului și al calității parolelor de acces

Sub nicio formă nu se poate dezvălui propria parolă de acces (nici superiorului, nici angajatorului, nici vreunei alte persoane, nici măcar angajaților autorităților de stat). Parola primită de la administratorul sistemului trebuie schimbată în aceeași zi. Parola trebuie să aibă minimum 8 caractere, inclusiv o literă mare, o literă mică, o cifră și un caracter special.

IV. Reguli privind încredințarea de către Operator a prelucrării datelor cu caracter personal către entități terțe

1. Utilizarea contractelor de încredințare

În cazul încheierii unui contract de prestări servicii care este legat de încredințarea prelucrării datelor cu caracter personal furnizorului de servicii, trebuie încheiat un contract scris de încredințare a prelucrării, în conformitate cu art. 28 din RGPD.

2. Obligațiile și răspunderea Persoanelor împuternicite

La elaborarea contractului privind încredințarea prelucrării datelor cu caracter personal trebuie neapărat consemnate următoarele aspecte:

a) obiectul și durata prelucrării, natura și scopul prelucrării, tipul de date cu caracter personal și categoriile de persoane vizate, obligațiile și drepturile Operatorului și ale Persoanei împuternicite,

b) Persoana împuternicită prelucrează datele cu caracter personal numai în baza instrucțiunilor documentate ale Operatorului – inclusiv în ceea ce privește transferurile de date cu caracter personal către o țară terță sau o organizație internațională – cu excepția cazului în care această obligație îi revine în temeiul dreptului Uniunii sau al dreptului intern, care se aplică persoanei împuternicite; în acest caz, înainte de prelucrare, persoana împuternicită informează operatorul cu privire la această cerință legală, cu excepția cazului în care legea respectivă interzice o astfel de informare din motive importante de interes public,

c) Persoana împuternicită asigură faptul că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate,

d) Persoana împuternicită adoptă toate măsurile necesare în temeiul art. 32 din RGPD,

e) Persoana împuternicită nu recurge la o altă persoană împuternicită fără o autorizație prealabilă specifică sau generală, în scris, a operatorului. În cazul unei autorizații generale în scris, persoana împuternicită informează operatorul cu privire la orice modificări preconizate privind adăugarea sau înlocuirea altor persoane împuternicite, oferind astfel operatorului posibilitatea de a se opune acestor modificări,

f) Atunci când persoana împuternicită recurge la o altă persoană împuternicită pentru a desfășura anumite activități de prelucrare în numele Operatorului, aceleași obligații în materie de protecție a datelor ca cele prevăzute în contractul sau în alt act juridic încheiat între operator și persoana împuternicită, astfel cum se menționează mai sus, se impun celeilalte persoane împuternicite prin intermediul unui contract sau al unui alt act juridic în temeiul dreptului Uniunii sau al dreptului intern, în special obligația de a oferi garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să îndeplinească cerințele prezentului regulament. În cazul în care cealaltă persoană împuternicită nu își îndeplinește obligațiile în ceea ce privește protecția datelor, persoana împuternicită inițială rămâne pe deplin răspunzătoare față de operator pentru îndeplinirea obligațiilor celeilalte persoane împuternicite,

g) Persoana împuternicită, ținând seama de natura prelucrării, sprijină, în măsura posibilului, Operatorul prin măsuri tehnice și organizatorice adecvate pentru îndeplinirea obligației acestuia de a răspunde cererilor privind exercitarea drepturilor persoanei vizate prevăzute în capitolul III din RGPD,

h) Persoana împuternicită, ținând seama de natura prelucrării și de informațiile care îi sunt disponibile, sprijină operatorul în îndeplinirea obligațiilor prevăzute la art. 32–36 din RGPD,

i) Persoana împuternicită, la alegerea operatorului, șterge sau returnează operatorului toate datele cu caracter personal după încetarea furnizării serviciilor legate de prelucrare și șterge toate copiile existente, cu excepția cazului în care dreptul Uniunii sau dreptul intern impune stocarea datelor cu caracter personal,

j) Persoana împuternicită pune la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din RGPD și permite Operatorului sau unui auditor autorizat de Operator să efectueze audituri, inclusiv inspecții, și contribuie la acestea.

3. Obligațiile și răspunderea persoanelor care supraveghează Persoanele împuternicite

Operatorul este obligat să supravegheze personal sau prin intermediul unui angajat desemnat dacă Persoana împuternicită respectă cerințele contractului încheiat privind încredințarea prelucrării datelor.

4. Controlul Persoanelor împuternicite

În fiecare contract privind încredințarea prelucrării datelor cu caracter personal se aplică obligatoriu o prevedere privind posibilitatea efectuării unui control (audit) al conformității prelucrării datelor încredințate cu Contractul și cu dispozițiile legale. Un astfel de control poate fi efectuat de o persoană autorizată în scris de Operator.

5. Verificarea Persoanei împuternicite

Fiecare Persoană împuternicită trebuie verificată, înainte de semnarea contractului de încredințare, conform Procedurii de verificare a Furnizorului.

V. Stabilirea măsurilor tehnice și organizatorice necesare pentru asigurarea confidențialității, integrității și responsabilității datelor prelucrate.

1. Măsuri organizatorice de securizare a datelor cu caracter personal

În scopul consolidării supravegherii proceselor de prelucrare a datelor cu caracter personal, au fost introduse măsurile organizatorice de securizare a datelor descrise în prezentul punct.

2. Instruiri interne

Fiecare persoană autorizată să prelucreze date cu caracter personal este obligată să urmeze cel puțin o instruire la fața locului sau de tip e-learning pe an în domeniul dispozițiilor privind protecția datelor cu caracter personal.

3. Introducerea principiilor și procedurilor

Politica de securitate a datelor cu caracter personal oferă baza pentru elaborarea și implementarea altor proceduri de protecție a datelor cu caracter personal, a căror listă propusă a fost introdusă la punctul 9.

4. Planificarea efectuării copiilor de rezervă ale seturilor de date cu caracter personal

Datele cu caracter personal prelucrate în sistemele informatice sunt securizate prin sisteme de copii de rezervă supravegheate de Conducere sau de furnizorul IT. Aceste sisteme creează copii de rezervă conform programului stabilit de Conducere sau de furnizorul IT.

5. Măsuri tehnice minime de securizare a datelor cu caracter personal

Măsurile tehnice de securizare a datelor descrise în prezentul punct se aplică seturilor de date cu caracter personal, însă nu toate tuturor seturilor. În funcție de categoria, tipul, natura și scopul prelucrării datelor cu caracter personal, se aplică măsuri de securitate adecvate care asigură conformitatea prelucrării cu dispozițiile RGPD.

a. Măsuri de protecție fizică

1) Accesul în încăperile în care se prelucrează seturi de date cu caracter personal este controlat printr-un sistem de acces cu uși care se încuie cu cheie.

2) Încăperea în care se prelucrează seturi de date cu caracter personal este protejată împotriva efectelor incendiului printr-un sistem de protecție împotriva incendiilor și/sau un extinctor de sine stătător.

b. Măsuri de securizare a infrastructurii informatice și de telecomunicații

1) Accesul la sistemul de operare al computerului pe care se prelucrează date cu caracter personal este securizat printr-un proces de autentificare cu utilizarea unui identificator de utilizator și a unei parole.

2) Au fost aplicate mecanisme de sistem care impun schimbarea periodică a parolelor.

3) Au fost aplicate măsuri criptografice de protecție a datelor cu caracter personal transmise prin teletransmisie.

4) Au fost aplicate măsuri de protecție împotriva software-ului malițios, cum ar fi, de exemplu, viermii, virușii, caii troieni, rootkit-urile.

5) A fost utilizat un sistem Firewall pentru protejarea accesului la rețeaua de calculatoare.

6. Măsuri de protecție în software-ul IT utilizat de Operator.

1) Au fost aplicate măsuri care permit stabilirea drepturilor de acces la un anumit domeniu de date;

2) Accesul la datele cu caracter personal necesită autentificare cu utilizarea unui identificator de utilizator și a unei parole.

3) Au fost aplicate măsuri criptografice de protecție a datelor cu caracter personal.

4) Au fost instalate screensavere pe stațiile de lucru la care se prelucrează date cu caracter personal.

5) A fost aplicat un mecanism de blocare automată a accesului la sistemul informatic utilizat pentru prelucrarea datelor cu caracter personal în caz de inactivitate prelungită a utilizatorului.

Țară/Regiune

Politica de confidențialitate