Политика за поверителност
„ПЛАНИТ“ ЕООД с ЕИК 200006912, със седалище и адрес на управление в гр. Добрич, п. код 9300, ул. „Панайот Волов“ № 20 Б, представлявано от Веселин Веселинов Василев, наричано по-нататък за краткост „планИТ“, „ние“, „наш“, прие настоящата Политика за поверителност, наричана по-нататък за краткост Политиката, в съответствие с Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета от 27 април 2016, наричан по-нататък за краткост Регламента, и Законът за Защита на Личните Данни.
С настоящата Политика ние от планИТ целим да утвърдим правила относно това какви лични данни обработваме и за какви цели, на кого ги предоставяме, както и да разясним на физическите лица какви са правата им относно обработваните лични данни.
Ние от планИТ разработихме и предлагаме онлайн счетоводно Приложение от ново поколение, предоставящо услуги по организация и съхранение на документи, свързани с труд и работна заплата. И макар да сме се посветили изцяло на това, което правим най-добре, ние еднакво държим на високите стандарти за сигурност и поверителност, за да гарантираме защитата на Вашите данни на най-високо ниво, поради което и създадената от нас платформа се намира в облачното хранилище на Microsoft Azure и се съхранява в региона „West Europe“. Внедрихме множество организационни и технически мерки, за да осигурим най-модерната защита на личните данни, които получаваме чрез нашите Уебсайт (https://planit.bg) и Приложение (https://app.planit.bg).
Моля, запознайте се внимателно с тази Политика за поверителност, за да сте наясно с правата, с които разполагате, а също така и защо и как събираме, обработваме и използваме Вашите лични данни.
Определения
Тази Политика за поверителност си служи с определенията, установени в Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (GDPR).
За да гарантираме, че посетителите и абонатите на нашите Сайт и Приложение, в това число и другите наши контрагенти, са надлежно информирани за терминологията, използвана в нашата Политика за поверителност, бихме искали да обясним най-често използваните термини в нея:
1. "Лични данни" е всяка информация, отнасяща се до физическо лице („субект на данни“), което е идентифицирано или може да бъде идентифицирано, пряко или косвено, по отношение на идентификатор, включително: име, ЕГН, данни за местоположение, пол, адрес, телефонен номер, онлайн идентификатор или чрез един или повече фактори, специфични за физическата, физиологична, генетична, умствена, икономическа, културна или социална идентичност на това лице;
2. “Субект на данни” е всяко физическо лице, което може да бъде идентифицирано, чиито лични данни се обработват от администратора, отговорен за обработката;
3. "Администратор на лични данни" е физическо или юридическо лице, публичен орган, агенция или друг орган, който самостоятелно или съвместно с други определя целите и средствата за обработване на лични данни;
4. „Обработващ на лични данни“ е физическо или юридическо лице, публичен орган, агенция или друг орган, който обработва лични данни от името на администратора;
5. "Обработване" означава всяка операция или съвкупност от операции, които се извършват върху лични данни или набори от лични данни, независимо дали чрез автоматични средства, като събиране, записване, организиране, структуриране, запазване, адаптиране или модифициране, извличане, консултиране, използване, разкриване чрез прехвърляне, разпространение или по друг начин предоставяне на данните, подреждане или комбиниране, блокиране, изтриване или унищожаване;
6. “Съгласие” означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени;
7. „Бисквитките“ („cookies“) са малки текстови файлове, които се записват върху устройството на субекта на данни (компютър, смартфон, друго мобилно устройство), когато последният посещава различни уебсайтове. „Бисквитките“ позволяват на уебсайта да разпознава устройството на субекта на данните, както и неговите предпочитания, и способстват за цялостно подобряване на онлайн изживяването му. Ние използваме „бисквитки“ за подобряване на навигирането между уебстраниците на Уебсайта и Приложението, както и за отчитане и анализ на трафика.
8. “Получател” означава физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не. Същевременно публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие с правото на Съюза или правото на държава членка, не се считат за „получатели“; обработването на тези данни от посочените публични органи отговаря на приложимите правила за защита на данните съобразно целите на обработването;
9. “Трета страна” означава физическо или юридическо лице, публичен орган, агенция или друг орган, различен от субекта на данните, администратора, обработващия лични данни и лицата, които под прякото ръководство на администратора или на обработващия лични данни имат право да обработват личните данни;
10. “Ограничаване на обработването” означава обозначаването на съхранявани лични данни с цел ограничаване на обработването им в бъдеще;
11. “Абонат(и)” са всички физически или юридически лица, които са предприели действия по регистрация в платформата с цел използване на предлаганите в Приложението услуги, било то безплатно (през предоставения от нас тестови период) или платено (при заплашане на избран абонаментен план);
12. “Трети, ползващи Приложението, лица” са всички физически лица, които посещават и взаимодействат с нашия Сайт без да са се регистрирали, за да ползват Приложението;
13. „Други контрагенти“ са всички физически или юридически лица, извън кръга на абонатите на нашите услуги, с които planIT има договорни взаимоотношения (напр. консултанти, доставчици и др.)
14. “Услуги” означава всички предлагани на нашия Сайт и/или Приложение услуги.
15. „Абонаментен план“ означава избрания от абоната ценови пакет за използване на предоставяните от Приложението услуги, дължим съответно на месечна или годишна база.
Въведение
Тази Политика за поверителност се отнася до всички абонати и трети, ползващи Приложението, лица на нашите Сайт и Приложение. Тя е предназначена да ги информира относно естеството, обхвата и целите, за които събираме лични данни, и едновременно с това да обясни как събираме, запазваме, обработваме, споделяме и прехвърляме лични данни, когато субекти на данни посещават нашия Уебсайт и използват на услугите, които предлагаме чрез създаденото от нас Приложение.
Следва да имате предвид, че част от обработката на данни, описана в тази Политика, ние извършваме в качеството си на администратор на лични данни, а друга – в качеството си на обработващ на лични данни на нашите абонати. Така например, в случаите, в които сте ни предоставили Ваши лични данни по повод регистрацията Ви на нашия Сайт, с цел да ви бъде предоставен достъп до наличните в Приложението услуги (било то за времето на безплатния тестови период или при закупен абонаментен план), ние ще обработваме Вашите лични данни в качеството си на администратор. В случаите обаче, когато вие, в качеството си на наш абонат, въвеждате лични данни на трети лица, използвайки услугите и функционалностите на нашето Приложение, вие ще се явявате администратор, а ние - обработващ лични данни по отношение на данните на тези трети лица и ще извършваме обработка на техните данни изцяло по Ваше възлагане във връзка с предоставяните от нас услуги.
Контакти
Ако имате въпроси или оплаквания относно тази Политика за поверителност, или желаете да упражните своите права във връзка с извършваната обработка на личните Ви данни, моля, свържете се с нас на: gdpr@planit.bg или като ни изпратите писмо на нашия фирмен адрес:
- планИТ ЕООД
- ЕИК: 200006912
- 9300 гр.Добрич, ул. Панайот Волов 20Б
Ако не успеем да удовлетворим исканията Ви или смятате, че не сте получили навременен или задоволителен отговор на Ваше запитване, моля, свържете се с компетентния надзорен орган, както следва:
КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ:
- бул. Проф. Цветан Лазаров 2
- 1592 София
- тел. +359 2 915 3580 +359 2 915 3548
- Факс +359 2 915 3525
- Имейл: kzld@cpdp.bg
- Уебсайт: https://www.cpdp.bg/
Категории лица, чиито лизчни данни се обработват
Във връзка с осъществяване на основната си дейност Дружеството, в качеството си на Администратор, обработва лични данни относно следните категории физически лица:
- Клиенти – абонати на приложенето на Дружеството;
- Служители на Дружеството;
- Клиенти и други лица, отправящи запитвания, искания, бизнес предложения, сигнали, жалби към Дружеството или осъществяващи друга кореспонденция с Дружеството, независимо от използвания канал за комуникация;
- Трети лица, информация за които се съдържа в запитвания, искания, бизнес предложения, сигнали, жалби или друга кореспонденция, отправена към Дружеството, независимо от използвания канал за комуникация;
- Лица, които са се абонирали за получаване на определени комуникации, изпратени от нас, в това число маркетингови съобщения, информационни бюлетини (newsletters) и др., както и посетители на корпоративните социални мрежи и ползватели на информационните ресурси, достъпни в тях.
Във връзка с осъществяване на основната си дейност Дружеството, в качеството си на Обработващ, обработва лични данни относно следните категории физически лица: - Трети, ползвщи Приложението, лица – служители/работници на нашите Абонати
Как обработваме Вашите лични данни
Когато посещавате нашия Сайт и/или използвате нашето Приложение, ние обработваме Ваши лични данни. Събирането на Ваши лични данни е необходимо, за да сме в състояние да ви предоставим нашите услуги и/или някои функционалности на нашия Уебсайт, които в противен случай може да не са достъпни за Вас.
Ние събираме и съхраняваме Вашите Лични данни до степен, необходима за да Ви предоставим услугите на нашия Уебсайт и Приложение, както и да встъпим и изпълняваме нашите договорни отношения с Вас.
Ние използваме част от личните данни за статистически цели, които ни помагат да оценим интереса към нашия Уебсайт. В този случай обаче ние обработваме такива данни анонимно и не ги свързваме с Вашите идентификационни данни.
Ние не извършваме профилиране на вашето поведение на Уебсайта, а използваме само обобщените данни от статистиката.
Начините, по които събираме Ваши данни могат да бъдат обобщени в следните 3 категории:
Лични данни, които ни предоставяте директно:
В качеството ни на администратор на лични данни:
1. Когато се свържете директно с нас, посещавайки нашия Сайт и чрез формата за контакт ни предоставите Ваши лични данни, за да поискате информация за нашите услуги или за да отговорим на друго запитване от Ваша страна;
2. Когато се регистрирате, за да тествате безплатно или да закупите абонамент за нашето Приложение;
3. Когато чрез формата „Сподели твоето мнение“ попълните доброволно Ваши данни за контакт;
4. Когато предоставяте данните си при сключване на договор с нас като друг наш контрагент;
В качеството ни на обработващ лични данни:
1. Когато сте служител на наш абонат и последвате линк за регистрация в приложението, за да Ви бъде създадено и поддържано електронно трудово досие;
2. Когато Вашият работодател – наш абонат, добави информация за Вас в електронното Ви трудово досие.
Бихме искали да помолим за съдействието Ви, за да поддържаме Вашите лични данни актуални, като ни информирате за всякакви промени в тях, използвайки нашите контакти, посочени по-горе.
Лични данни, които събираме автоматично
В резултат на използването на бисквитки – чрез използване на онлайн идентификатори за събиране на информация за IP адреси, данни за бисквитки, използвана операционна система, тип браузър и вид устройство.
Тази информация е важна и полезна за нас, тъй като ни помага да разберем по-добре как използвате нашите Уебсайт и услуги. По този начин можем да Ви предоставяме възможно най-доброто изживяване, например като персонализираме съдържанието, което виждате.
За това какво представляват „бисквитките“, какви видове използваме на нашия Уебсайт и как да ги управлявате, можете да научите повече в нашата публикувана на https://planit.bg.
Лични данни, които получаваме от трети страни
Ако трети страни (напр.наши абонати или други контрагенти) извършат оторизирано въвеждане или прехвърляне на Вашите лични данни към нас или във връзка с предоставяните от нас услуги.
Ако предоставяте информация от името на друго лице, трябва да се уверите, че на това лице е предоставена тази Политика и че изискванията на приложимото законодателство са спазени, преди да предоставите тази информация.
планИТ не събира лични данни на деца и нашите услуги не са насочени към лица под 18 г. Моля, ако сте на възраст под 16 години, не ни предоставяйте Вашите данни освен ако нямате разрешение от родител или законен настойник за това.
Какви лични данни събираме
Част от обработката на данни, описана в тази Политика, ние извършваме в качеството си на администратор на лични данни, а друга – в качеството си на обработващ по силата на сключени с нашите абонати договори за предоставяне на услуги (абонамент за изпозлване на Приложението).
За Ваше удобство, и при спазване на принципите за обработка на лични данни, по-долу сме разграничили и описали подробно видовете данни, които обработваме в зависимост от качеството, в което извършваме тази дейност.
В качеството ни на администратор на лични данни и в зависимост от това дали сте посетител на нашия Уебсайт, абонат на предоставяните от нас услуги или друг тип наш контрагент можем да събираме следните категории лични данни от и за Вас:
1. По отношение на Вашата физическа самоличност – имена, ЕГН, подпис, телефон, имейл, адрес, потребителско име и парола;
2. По отношение на Вашата икономическа идентичност – информация за банкова сметка;
3. По отношение на Вашите интереси – всяка информация, която сте ни предоставили доброволно за Вашите интереси (например при кандидатстване за работа в планИТ);
4. По отношение на Вашето устройство и браузър – когато използвате бисквитки.
В качеството ни на обработващ, а именно когато абонати на нашите услуги, въвеждат в нашето Приложение лични данни на трети лица, ние обработваме следните категории лични данни за тези трети, ползващи Приложението, лица:
1. Данни за физическа самоличност – имена, ЕГН, пол, дата и място на раждане, номер на лична карта, валидност на документ за самоличност, подпис, телефон, имейл, адрес, родствени връзки;
2. Данни за граждански статус – удостоверения, актове за гражданско състояние, свидетелства;
3. Данни за образование – дипломи, приложения, удостоверения, сертификати за образователна квалификация или други доказателства за професионален опит и/или образование;
4. Данни за икономическа идентичност – информация за банкова сметка – банка и IBAN;
5. Данни за икономически статус – декларации за имуществено положение; размер на работна заплата;
6. Данни за здравен статус – болнични листи, ТЕЛК решения и др.;
7. Данни за осигурителен статус – номер на трудова книжка, трудов стаж, заемана длъжност, осигуровки, пенсионен статус, отпуски, извънреден труд.
С какви цели събираме лични данни
Когато събираме Ваши лични данни в качествоти си на администратор на лични данни, ние ги обработваме само за следните цели:
1. За предоставяне на информация, поискана от Вас чрез нашия Уебсайт. Това включва обработка и съхраняване на формуляри за запитване или споделяне на мнение с цел връзка с Вас (например предоставяне на отговор на Ваш имейл и/или обратна връзка);
2. Всички лични данни, които ни предоставяте чрез формата за контакт на Уебсайта, са необходими, за да отговорим на Вашата нужда или да Ви предоставим услуга, поискана от Вас;
3. За да упражняваме правата и задълженията си, произтичащи от сключен с Вас договор за абонаментна услуга;
4. За да изпълним наши законови задължения;
5. За да извършваме всякакви финансови и/или счетоводни дейности по повод и във връзка със сключени договори, включително получаване и нареждане на дължими суми по банкови сметки, издаване на фактури и др.;
6. За наши бизнес цели, когато имаме легитимен интерес да обработваме Вашите лични данни и това не противоречи на Вашите права – в случаите, когато предлагаме нови или подобряваме съществуващи наши услуги, при подобряване на нашия Уебсайт и/или Приложение;
7. За анализ на Уебсайта чрез бисквитки – за да го направим по-достъпен, по-ефективен и по-добре функциониращ;
8. За упражняване Вашите права като субекти на данни;
9. В случаите, когато сте ни предоставили Вашето съгласие.
Когато събираме Ваши лични данни в качествоти си на обработващ на лични данни, ние ги обработваме само за следните цели:
1. За да упражняваме правата и задълженията си в качеството ни на обработващ лични данни по силата на сключен договор за обработка на лични данни;
В планИТ не използваме процеси на автоматизирано вземане на решения, включително и не извършваме профилиране по смисъла на GDPR.
Законосъобразност на обработването
1. Когато се свържете с нас чрез формата за контакт „Изпратете съобщение“ на нашия Уебсайт и/или когато използвате формата „Сподели твоето мение“ и ни предоставите ваши лични данни за обратна връзка, както и когато се регистрирате, за да тествате безплатно нашата платформа, правното основание, въз основа на което обработваме Вашите данни, е договорно – за целите на предоставяне на безплатната версия на услугата, както и защитата на нашите легитимни интереси (чл. 6, параграф 1, буква „б“ и буква „е“ от GDPR).
2. Когато упражняваме правата и задълженията си по договори, които сме сключили с Вас, правното основание за обработването е или изпълнение на договор, или спазване на законовите ни задължения като администратор на данни (чл. 6, параграф 1, буква „б " или "c" от GDPR).
3. При извършване на финансови и/или счетоводни дейности при или по повод сключените от нас договори. Обработването се основава на нашите права и задължения, произтичащи от изпълнението на договора или спазването на нашите законови задължения като администратор на данни (чл. 6, параграф 1, буква „б“ или „в“ от GDPR).
4. Обработката на лични данни чрез бисквитки, с изключение на т.нар. Задължителни бисквитки, с цел анализ/подобряване на функционалността на нашия Уебсайт се извършва въз основа на получено от Вас съгласие (чл. 6, ал. 1, буква "а" от GDPR).
5. Правното основание за обработване на лични данни по отношение на използването на т. нар. „Задължителни бисквитки“ за осигуряване функционирането на нашия Уебсайт са законните интереси на администратора на лични данни (чл. 6, ал. 1, буква "е" от GDPR).
Колко дълго съхраняваме Вашите лични данни
В качеството ни на администратор на лични данни ние съхраняваме Вашите данни толкова дълго, колкото е необходимо с оглед на целта, за която сме ги получили. Ако Вашите лични данни се обработват за две цели, ние ще ги съхраняваме до приключване на целта с по-дълъг период на обработка.
В зависимост от законовото основание, на което обработваме Вашите лични данни, срокът за съхранението им може да варира, както следва:
1. За личните данни, които събираме и обработваме чрез контактните форми на нашия Уебсайт – докато не отговорим на вашето искане/запитване, но не по-дълго от 1 (една) година от неговото постъпване освен ако нямаме друго правно основание да продължим да ги съхраняваме – например в случай, че в резултат на Ваше запитване ние предприемаме стъпки за влизане в договорни отношения с Вас/фирмата, която представлявате.
2. За изпълнение на договор – Вашите лични данни се съхраняват от нас за срок от 5 години от прекратяването на договора.
3. За лични данни, получени чрез бисквитки - за срока на конкретната бисквитка, повече информация за което можете да откриете тук.
4. При определени обстоятелства можем да съхраняваме Вашите лични данни за по-дълги периоди от време, ако сме задължени да го направим по силата на закона, чрез акт на компетентен орган или за да имаме коректен запис на отношенията Ви с нас в случай на жалби или ако имаме основание да смятаме, че има възможност за съдебни спорове, с оглед на които ще са необходими Вашите лични данни, до изтичане на съответния давностен срок за предявяване на искове в съда.
След изтичане на посочените по-горе срокове личните данни, които вече не са необходими, се анонимизират (анонимните данни може да се съхраняват, но вече не са свързани с вас) или се унищожават.
В качеството ни на обработващ лични данни ние съхраняваме в Приложението ни въведените от нашите абонати лични данни за трети лица, както и данните, въведени от самите трети, ползващи Приложението лица, за срока на наличие на валиден абонамент на администратора за изпозлване на нашето Приложение, по силата на който се извършва обработката, както и за период от 3 месеца след изтичане на последния валиден абонамент. Ако Вие сте трето, ползващо Приложениети лице, можете да се свържете както с нас на посочените по-горе контакти, така и с Абоната, въвел данните Ви за всякакви въпроси, които имате относно Вашите лични данни, включително когато искате да упражните правата си като субект на данни по смисъла на GDPR и Закона за защита на личните данни. В случай че обработката на данни, за която се обръщате към нас, не се извършва от нас, ние ще Ви пренасочим към Абоната, въвел данните Ви.
Трансфер на лични данни извън ЕС / ЕИП
Ние не извършваме трансфер на лични данни извън ЕС и ЕИП. Нашите сървъри се намират в Западна Европа и ние съхраняваме там цялата информация и лични данни, които обработваме чрез нашите Уебсайт и Приложение.В случай че се наложи трансфер на лични данни извън рамките на Европейския съюз за изпълнение на някоя от целите, подробно описани в настоящата Политика, това ще се извърши само при наличие на:
1. Решение на надзорен орган на държавно или европейско ниво, с което се потвърждава, че дадената трета държава, територия или един или повече конкретни сектори в тази трета държава, или въпросната международна организация осигуряват адекватно ниво на защита.
или
2. Подходящи гаранции за защита на личните данни, като:
- обвързващи корпоративни правила, одобрени от съответния надзорен орган; или
- стандартни клаузи за защита на данните, приети от Комисията или приети от националния надзорен орган и одобрени от Комисията; или
- одобрен кодекс за поведение или одобрен механизъм за сертифициране, като и в двата случая трябва да са предвидени правно обвързващи и принудително изпълними задължения на администратора или обработващия в третата страна относно прилагането на подходящи мерки за защита, включително по отношение на правата на човека.
При всички случаи вашите данни няма да бъдат споделяни с лица, установени извън територията на ЕИП (ЕС, Норвегия, Исландия и Лихтенщайн), освен ако същото не е позволено изрично от местното законодателство и са налице адекватни мерки за защита.
Получатели на лични данни
За целите на сключване и изпълнение на договори с клиенти (Абонати) – потребители на Уебсайта и Приложението, установяване и поддържане на трудови взаимоотношения със служители, както и извършване на дейности в качество на обработващ на лични данни, Дружеството може да предава лични данни на следните получатели:
1. Национална Агенция за Приходите - във връзка със сключени договори; дължими данъци върху доходите, социални и здравни осигуровки; дължими обезщетения; проверки и ревизии;
2. Национален Осигурителен Институт - във връзка със социални и здравни осигуровки; дължими обезщетения; проверки и ревизии;
3. Служба за Трудова Медицина – във връзка с изпълнение на законови задължения на Дружеството по ЗЗБУТ;
4. Застрахователи – във връзка със здравни, рентни, професионални и/или други застраховки;
5. Главна Инспекция по Труда, НОИ и МВР – във връзка с трудови злополуки;
6. Други държавни и общински органи и/или институции – във връзка със законови задължения към тях или във връзка със законови искания от тях за информация, която съдържа лични данни;
7. Подизпълнители за изпълнение на договорни задължения в това число консултантски, юридически, счетоводни услуги и др.
Как защитаваме Вашите лични данни
Съобразно целите, контекста, обхвата, естеството и количеството на обработваните лични данни Дружеството, чрез своите законни представители, изготвя оценка за нивата на риска по отношение на рисковете с различна вероятност и тежест за правата и свободите на физически лица, в случай на нарушаване на сигурността на обработваните техни лични данни.
С оглед видовете обработвани от Дружеството лични данни, надлежно описани в раздел 2 от настоящата политика, Дружеството определя СРЕДНО НИВО НА РИСК, поради извършваната немащабна обработка на специални категории лични данни. Съобразно така определеното ниво на въздействие се определят надлежните мерки за защита на личните данни.
1. Имаме строго ограничен достъп на нашите служители до Вашите лични данни – достъпът се предоставя на базата на принципа „необходимост да се знае“;
2. Вашите лични данни се съхраняват по електронен път в бази данни или в споделени папки, защитени с пароли или с различни степени на оторизация;
3. Често извършваме мониторинг и имаме защита от вируси; копия и резервни копия се създават за възстановяване; нашите системи също съхраняват регистрационни файлове с история на операциите с документи;
4. Използваме дву-факторна авторизация;
5. За да предотвратим присвояването на акаунти сме интегрирали система за идентификация на устройства с 99,5% точност, като всяко неразпознато устройство изисква допълнително удостоверяване за идентичността на клиента;
6. услугата е географски недостъпна за трафик извън България, което ограничава възможностите за злонамерени атаки.
7. Спазваме принципите на Cloud Security Posture Management (CSPM) and Cloud Workload Protection Platform (CWPP) като сме интегрирали Azure Defender за in production средата.
8. Строго ограничен достъп на нашите служители до Вашите лични данни чрез въведени политики за Identify and Priviliges management. Техническите ни екипи нямат нужда от периодичен достъп до базите данни с цел обновления, благодарение на въвдените devops процеси, като обновленията на базите данни стават автоматизирано.
9. Code Security - за да сме сигурни че използваме сигурни компоненти в кода си сме интегрирали Snyk за анализ на сигурността на кода, като своевременно получаваме уведомления за компоненти в които има открити уязвимости.
Когато сигурността на личните данни е нарушена и съществува риск или висок риск за правата и свободите на засегнатите физически лица, Дружеството уведомява Комисията за защита на личните данни (КЗЛД), а в определени случаи и засегнатите лица.
Нарушение на сигурността на личните данни е налице тогава, когато нарушението води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин.
1. Когато служител на Дружеството установи или получи информация (сигнал) от физическо лице за настъпило нарушение на сигурността, служителят следва да уведоми Управителя за нарушението без ненужно забавяне;
2. Когато Дружеството е възложило на подизпълнител обработване на лични данни, на последният е вменено задължението да уведоми Дружеството за нарушението без ненужно забавяне, но не по-късно от 24 часа от установяване на нарушението на сигурността;
Дружеството реагира на всеки първоначален сигнал и установява дали в действителност има наличие на нарушение. При постъпване на сигнал се прави анализ и проследяване на събитията с цел събиране на доказателства и оценка на риска, както и с цел преценката дали е необходимо да бъде уведомена КЗЛД и физическото лице.
1. Когато се установи нарушение на сигурността, Дружеството без ненужно забавяне прави оценка дали е настъпил риск за правата и свободите на физическите лица и дали рискът е висок.
2. Риск съществува тогава, когато нарушението може да доведе до имуществени и/или неимуществени вреди за лицата, чиято сигурност на личните данни е била нарушена, като се вземе предвид видът на обработваните категории лични данни и броят на засегнатите лица.
3. При оценката на риска Дружеството следва да се съобрази с нивото на риск, определено по-горе в настоящия раздел.
Дружеството извършва уведомяване до КЗЛД, когато след оценка на риска бъде установено, че съществува вероятност нарушението на сигурността да доведе до риск или висок риск за правата и свободите на физическите лица.
1. Уведомяването на КЗЛД се извършва от Управителя в рамките на 72 (седемдесет и два) часа от момента, в който на Дружеството е станало известно за случая на нарушение на сигурността.
2. Когато Дружеството подава уведомление за нарушение към КЗЛД, то трябва да съдържа следната информация:
- описание на характера на нарушението на личните данни, включително, където е възможно, категориите и приблизителния брой засегнати физически лица, както и категориите и приблизителния брой засегнати регистри на лични данни;
- името и данните за контакт на лицето за контакт с КЗЛД, което може да предостави допълнителна информация;
- описание на вероятните последствия от нарушението на сигурността на личните данни;
- описание на предприетите или предложени от Дружеството мерки за справяне с нарушението на сигурността на личните данни, включително, където е удачно, мерки за смекчаване на възможните неблагоприятни последици.
3. Когато Дружеството не може да събере цялата нужна информация в срок до 72 часа от момента на узнаването, то уведомяването на КЗЛД започва в срок до 72 часа, като предоставянето на информация се извършва поетапно и след изтичане на този срок. В този случай, Дружеството информира КЗЛД за причините информацията да не бъде предоставена в цялост в рамките на този срок.
4. Когато уведомлението до КЗЛД не е започнало в срок от 72 (седемдесет и два) часа, към него следва да бъдат приложени обяснения относно причините за забавянето.
Когато нарушението на личните данни може да доведе до висок риск за правата и свободите на физическите лица, Дружеството незабавно съобщава за нарушението на личните данни на тези лица.
Уведомлението до физическите лица описва по ясен и точен начин съответното нарушение на сигурността, като съдържа минимум следната информация:
- описание на естеството на нарушението;
- името и данните за контакт на Управителя на едно от дружествата или друго лице за контакт, от което може да се получи повече информация;
- описание на вероятните последици от нарушението;
- описание на мерките, предприети или предложени да бъдат предприети от Дружеството за преодоляване на нарушението, включително, когато е целесъобразно, мерки за смекчаване на възможните неблагоприятни последици.
Дружеството поддържа Регистър за нарушенията сигурността на лични данни, в който документира всяко нарушение на сигурността, независимо от възникналия риск. В регистъра се вписва най-малко следната информация:
- датата, на която е установено нарушението;
- описание на нарушението;
- броят на засегнатите лица;
- протокол за констатация и оценка на последствията, дата;
- решение за превенция от бъдещи грешки, дата;
- уведомена ли е КЗЛД, дата на Уведомление;
- уведомени ли са физическите лица, дата на Уведомление;
Искания от физически лица
При постъпило искане от физическо лице, чиито лични данни се обработват, получилият искането служител и всяко лице, действащо от името на Дружеството следва незабавно да предостави на физическото лице възможност да изрази искането си. Постъпилото искане се вписва в Регистър на постъпили искания и направени уведомления, като на искането се дава пореден входящ номер. Дружеството предоставя информация и отговаря на исканията на физическите лица, без излишно забавяне, но не по-късно от един месец от датата на получаване на искането.
За да се прецени основателността на искането, се определя неговия вид, както и дали е подадено от оправомощено лице. Дружеството може да откаже да удовлетвори искането на физическо лице, когато не е в състояние да го идентифицира. При постъпило искане от физическото лице за изтриване, ограничаване или при възражение по отношение на обработваните лични данни, Дружеството съобразява искането с основанието, на което личните данни на физическото лице се обработват. Дружеството има право да откаже подобно искане в следните хипотези:
1. Доколкото обработването на личните данни на физическото лице е необходимо за спазване на правното задължение, предвидено в приложим за Дружеството нормативен акт;
2. Доколкото обработването на личните данни на физическото лице е необходимо за установяването, упражняването или защитата на правни претенции на Дружеството.
3. Доколкото обработването на личните данни на физическото лице е необходимо за упражняване на правото на свобода на изразяването и правото на информация.
4. По причини от обществен интерес в областта на общественото здраве.
5. Доколкото обработването на личните данни на физическото лице е необходимо за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели, доколкото съществува вероятност исканото право да направи невъзможно или сериозно да затрудни постигането на целите на това обработване;
При постъпило основателно искане за получаване на достъп до лични данни, освен че осигурява достъп до личните данни (например, чрез предоставяне на тяхно копие), Дружеството изпраща на физическото лице и следната информация:
1. целите на обработването;
2. съответните категории лични данни;
3. получателите или категориите получатели на личните данни (ако има такива);
4. информация относно намерението на Дружеството да предаде лични данни на трета държава или на международна организация, както и наличието на гаранции за защита на данните;
5. срока, за който Дружеството ще съхранява личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок;
6. правата му да се изиска от Дружеството коригиране или изтриване на неговите лични данни, както и правата му на ограничаване на обработването, на възражение срещу обработването, както и на преносимост на лични данни;
7. правото на жалба до надзорен орган;
8. когато личните данни не се събират от физическото лице, всякаква налична информация за техния източник;
9. наличие на автоматизирано вземане на решения, включително профилиране, както и предвидените последствия от това обработване за физическото лице.
Когато искането на физическото лице е неоснователно и/или попада в хипотезите на ограничения, предвидени в правото на ЕС или националното законодателство, следва да бъдат изпълнени следните действия:
1. на лицето се отказва изпълнение на искането;
2. лицето се уведомява за правните аргументи за отказа;
3. уведомлението се вписва в Регистър на постъпили искания и направени уведомления.
Вашите права
GDPR предоставя на субектите на данни широк спектър от права. Като администратор на данни, ние ще Ви съдействаме при всякакви искания за упражняване на някое от Вашите права по GDPR относно обработката, свързана с услугите на нашия Уебсайт и Приложение, при условие, че съществуват съответните законови основания.
Право на достъп
Имате право да получите от нас потвърждение дали личните Ви данни се обработват от нас или не, включително информация за целите, правните основания и условията за обработка, категориите релевантни лични данни и др.
Вие също имате право на достъп до Вашите лични данни.
Запазваме си правото да Ви таксуваме за подаване на заявления повече от два пъти за период от 12 месеца.
Право на поравка
Имате право да поискате от нас коригиране на неточни лични данни. Като се вземат предвид целите на обработването, имате право да попълните непълни лични данни, включително чрез предоставяне на допълнително заявление.
Право на изтриване
Имате право да поискате от нас изтриване на всички лични данни, които сме събрали и обработили за вас.
Можете да поискате изтриване на Вашите лични данни, ако:
1. Вашите лични данни вече не са необходими във връзка с целите, за които са били събрани или обработени по друг начин;
2. Вие сте оттеглили съгласието си, на което се основава обработването, и ние нямаме друго правно основание за обработването (моля, вижте точка 7 по-долу);
3. Възразявате срещу обработването за целите на директния маркетинг (моля, вижте точка 6 по-долу);
4. Вашите лични данни са били обработени неправомерно;
5. Личните данни трябва да бъдат изтрити за спазване на законово задължение в законодателството на ЕС или държавата-членка, на което администраторът на данни е обект;
Важно!
Моля, имайте предвид, че това право не се прилага в нито един от следните случаи:
1. Ние сме законово задължени да съхраняваме Вашите лични данни за определен период от време или трябва да спазваме друг закон или законово задължение;
2. Ние защитаваме правото на свобода на изразяване и информация – напр. когато гарантираме правото на друг субект на данни да упражни правото си на свобода на изразяване или съдействаме за упражняването на друго право, което има предимство пред Вашето, или съдействаме за упражняването на друго право, предвидено в закона;
3. Ние обработваме лични данни за целите на архивиране в обществен интерес, за научни или исторически изследвания или за статистически цели, доколкото е вероятно правото на изтриване да направи невъзможно или сериозно да наруши постигането на целите на тази обработка;
4. Ние обработваме Вашите лични данни за установяване, упражняване или защита на правни искове.
Право на огрничаване на обработката
Имате право да поискате от нас ограничаване на обработката на Вашите лични данни в някой от следните случаи:
1. Оспорвате точността на личните си данни и искате от нас да ограничим обработката за период, позволяващ на администратора на лични данни да провери точността на личните данни;
2. Обработката е незаконна, но Вие не искате да изтрием Вашите лични данни, а вместо това искате да ограничим използването им;
3. Вече не се нуждаем от Вашите лични данни за целите на обработването, но те са необходими за установяването, упражняването или защитата на правни искове;
4. Възразили сте срещу обработването на Вашите лични данни въз основа на нашия легитимен интерес(и) и искате от нас да ограничим обработването в очакване на проверка дали законните основания на администратора на лични данни имат предимство пред тези на субекта на данните.
Право на преносимост на данни
Имате право да получите Вашите лични данни в структуриран, често използван формат и имате право да предадете тези данни на друг администратор на данни без препятствия от наша страна, стига обработката да се извършва с автоматизирани средства и да се основава на вашето съгласие или договор, който имате с нас.
Право на възражение
Имате право по всяко време и на основания, свързани с Вашата конкретна ситуация, да възразите срещу обработването на личните Ви данни, когато обработването се извършва въз основа на легитимен интерес (чл. 6, ал. 1, буква “ е” от GDPR).
Право на оттегляне на съгласието
Имате право по всяко време да оттеглите съгласието си за обработка на личните Ви данни, след като сте ни го предоставили преди това. Оттеглянето на вашето съгласие няма да засегне законосъобразността на обработването въз основа на вашето съгласие преди неговото оттегляне.
Право на подаване на жалба до Комисия за защита на личните данни (КЗЛД)
Имате право да подадете жалба до Комисия за защита на личните данни (КЗЛД) във връзка с обработката на личните Ви данни. Данните за контакт на Комисията можете да откриете в началото на настоящата Политика или в интернет.
Всяко от горните права може да бъде упражнено, ако ни изпратите заявка на gdpr@planit.bg или като използвате адресите, посочени в раздел „Контакти“ от тази Политика за поверителност. Ние ще Ви върнем отговор не по-късно от 30 дни след получаването на Вашата заявка.
Актуализация на политиката за поверителност
планИТ може да прави изменения в тази Политика от време на време. Измененията ще влязат в сила, когато ревизираната Политика бъде публикувана на Уебсайта. Ако продължите да използвате нашия Уебсайт или Приложение след измененията, това ще се счита за приемане на изменената Политика.
Всеки път, когато правим промяна в Политиката, ние ще публикуваме кратко известие за това на нашия сайт.