Standard Privasi Terhad Uni Direct -

Standard Privasi Terhad Uni Direct

1. Tafsiran

- Definisi:

Pembuatan Keputusan Automatik (ADM): apabila keputusan dibuat yang hanya berdasarkan Pemprosesan Automatik (termasuk pemprofilan) yang menghasilkan kesan undang-undang atau memberi kesan yang ketara kepada individu. GDPR melarang Pembuatan Keputusan Automatik (melainkan syarat tertentu dipenuhi) tetapi bukan Pemprosesan Automatik.
Pemprosesan Automatik: sebarang bentuk pemprosesan automatik Data Peribadi yang terdiri daripada penggunaan Data Peribadi untuk menilai aspek peribadi tertentu yang berkaitan dengan individu, khususnya untuk menganalisis atau meramalkan aspek berkenaan prestasi individu itu di tempat kerja, keadaan ekonomi, kesihatan, pilihan peribadi, minat, kebolehpercayaan, kelakuan, lokasi atau pergerakan. Pemprofilan ialah contoh Pemprosesan Automatik.
Nama syarikat: Uni Direct Limited
Kakitangan Syarikat: semua pekerja, pekerja [kontraktor, pekerja agensi, perunding,] pengarah, ahli dan lain-lain.
Persetujuan: perjanjian yang mesti diberikan secara bebas, khusus, dimaklumkan dan menjadi petunjuk yang jelas tentang kehendak Subjek Data yang mana mereka, melalui pernyataan atau tindakan positif yang jelas, menandakan persetujuan kepada Pemprosesan Data Peribadi yang berkaitan dengannya.
Pengawal Data: orang atau organisasi yang menentukan bila, sebab dan cara memproses Data Peribadi. Ia bertanggungjawab untuk mewujudkan amalan dan dasar selaras dengan GDPR. Kami adalah Pengawal Data bagi semua Data Peribadi yang berkaitan dengan Kakitangan Syarikat kami dan Data Peribadi yang digunakan dalam perniagaan kami untuk tujuan komersial kami sendiri.
Subjek Data: individu yang masih hidup, dikenal pasti atau boleh dikenal pasti tentang siapa kami memegang Data Peribadi. Subjek Data mungkin warganegara atau penduduk mana-mana negara dan mungkin mempunyai hak undang-undang berkenaan Data Peribadi mereka.
Penilaian Kesan Privasi Data (DPIA): alat dan penilaian yang digunakan untuk mengenal pasti dan mengurangkan risiko aktiviti pemprosesan data. DPIA boleh dijalankan sebagai sebahagian daripada Privasi oleh Reka Bentuk dan harus dijalankan untuk semua sistem utama atau program perubahan perniagaan yang melibatkan Pemprosesan Data Peribadi.
Pegawai Perlindungan Data (DPO): orang yang perlu dilantik dalam keadaan tertentu di bawah GDPR. Jika DPO mandatori belum dilantik, istilah ini bermaksud pengurus perlindungan data atau pelantikan sukarela DPO lain atau merujuk kepada pasukan privasi data Syarikat yang bertanggungjawab untuk pematuhan perlindungan data.
EEA: 28 negara di EU, dan Iceland, Liechtenstein dan Norway.
Persetujuan Eksplisit: persetujuan yang memerlukan pernyataan yang sangat jelas dan khusus (iaitu, bukan hanya tindakan).
Peraturan Perlindungan Data Umum (GDPR): Peraturan Perlindungan Data Umum ( (EU) 2016/679 ). Data Peribadi tertakluk kepada perlindungan undang-undang yang dinyatakan dalam GDPR.
Data Peribadi: sebarang maklumat yang mengenal pasti Subjek Data atau maklumat yang berkaitan dengan Subjek Data yang kami boleh kenal pasti (secara langsung atau tidak langsung) daripada data itu sahaja atau digabungkan dengan pengecam lain yang kami miliki atau boleh akses secara munasabah. Data Peribadi termasuk Data Peribadi Sensitif dan Data Peribadi Pseudonimed tetapi tidak termasuk data atau data tanpa nama yang identiti individu telah dialih keluar secara kekal. Data peribadi boleh menjadi fakta (contohnya, nama, alamat e-mel, lokasi atau tarikh lahir) atau pendapat tentang tindakan atau kelakuan orang itu.
Pelanggaran Data Peribadi: sebarang tindakan atau peninggalan yang menjejaskan keselamatan, kerahsiaan, integriti atau ketersediaan Data Peribadi atau perlindungan fizikal, teknikal, pentadbiran atau organisasi yang kami atau penyedia perkhidmatan pihak ketiga kami sediakan untuk melindunginya. Kehilangan, atau akses tanpa kebenaran, pendedahan atau pemerolehan, Data Peribadi adalah Pelanggaran Data Peribadi.
Privasi oleh Reka Bentuk: melaksanakan langkah teknikal dan organisasi yang sesuai dengan cara yang berkesan untuk memastikan pematuhan dengan GDPR.
Notis Privasi (juga dirujuk sebagai Notis Pemprosesan Adil) atau Dasar Privasi: notis berasingan yang menyatakan maklumat yang mungkin diberikan kepada Subjek Data apabila Syarikat mengumpul maklumat tentang mereka. Notis ini mungkin dalam bentuk pernyataan privasi umum yang terpakai kepada kumpulan individu tertentu (contohnya, notis privasi pekerja atau dasar privasi tapak web) atau ia mungkin berdiri sendiri, satu kali kenyataan privasi yang meliputi Pemprosesan yang berkaitan dengan tujuan tertentu.
Pemprosesan atau Proses: sebarang aktiviti yang melibatkan penggunaan Data Peribadi. Ia termasuk mendapatkan, merekod atau menyimpan data, atau menjalankan sebarang operasi atau set operasi pada data termasuk menyusun, meminda, mendapatkan semula, menggunakan, mendedahkan, memadam atau memusnahkannya. Pemprosesan juga termasuk menghantar atau memindahkan Data Peribadi kepada pihak ketiga.
Nama Samaran atau Nama Samaran: menggantikan maklumat yang secara langsung atau tidak langsung mengenal pasti individu dengan satu atau lebih pengecam atau nama samaran tiruan supaya orang itu, kepada siapa data berkaitan, tidak boleh dikenal pasti tanpa menggunakan maklumat tambahan yang bertujuan untuk disimpan secara berasingan dan selamat.
Polisi Berkaitan: dasar Syarikat, prosedur operasi atau proses yang berkaitan dengan Piawaian Privasi ini dan direka bentuk untuk melindungi Data Peribadi, yang mungkin ada dari semasa ke semasa dan tersedia atas permintaan.
Data Peribadi Sensitif: maklumat yang mendedahkan asal usul kaum atau etnik, pendapat politik, agama atau kepercayaan yang serupa, keahlian kesatuan sekerja, keadaan kesihatan fizikal atau mental, kehidupan seksual, orientasi seksual, data biometrik atau genetik, dan Data Peribadi yang berkaitan dengan kesalahan dan sabitan jenayah.

2. Pengenalan

Standard Privasi ini menetapkan cara Uni Direct Limited (“kami”, “kami”, “Syarikat”) mengendalikan Data Peribadi pelanggan, pembekal, pekerja, pekerja dan pihak ketiga kami yang lain.

Piawaian Privasi ini terpakai kepada semua Data Peribadi yang kami Proses tanpa mengira media tempat data tersebut disimpan atau sama ada ia berkaitan dengan pekerja, pekerja, pelanggan, pelanggan atau pembekal, pemegang saham, pengguna tapak web atau mana-mana Subjek Data yang lain.

Piawaian Privasi ini terpakai kepada semua Kakitangan Syarikat (“anda”, “anda”). Anda mesti membaca, memahami dan mematuhi Piawaian Privasi ini semasa Memproses Data Peribadi bagi pihak kami dan menghadiri latihan mengenai keperluannya. Piawaian Privasi ini menetapkan perkara yang kami harapkan daripada anda agar Syarikat mematuhi undang-undang yang terpakai. Pematuhan anda dengan Standard Privasi ini adalah wajib. Polisi Berkaitan tersedia untuk membantu anda mentafsir dan bertindak menurut Piawaian Privasi ini. Anda juga mesti mematuhi semua Polisi Berkaitan tersebut. Sebarang pelanggaran Standard Privasi ini boleh mengakibatkan tindakan tatatertib.

Standard Privasi ini (bersama Polisi Berkaitan) ialah dokumen dalaman dan tidak boleh dikongsi dengan pihak ketiga, pelanggan atau pengawal selia tanpa kebenaran terlebih dahulu daripada DPO.

3. Skop

Kami menyedari bahawa layanan Data Peribadi yang betul dan sah akan mengekalkan keyakinan dalam organisasi dan akan menyediakan operasi perniagaan yang berjaya. Melindungi kerahsiaan dan integriti Data Peribadi adalah tanggungjawab kritikal yang kami ambil serius pada setiap masa. Syarikat terdedah kepada potensi denda sehingga EUR20 juta (kira-kira £18 juta) atau 4% daripada jumlah perolehan tahunan di seluruh dunia, yang mana lebih tinggi dan bergantung kepada pelanggaran, kerana kegagalan mematuhi peruntukan GDPR.

Semua pengarah dan pengurus bertanggungjawab untuk memastikan semua Kakitangan Syarikat mematuhi Piawaian Privasi ini dan perlu melaksanakan amalan, proses, kawalan dan latihan yang sesuai untuk memastikan pematuhan tersebut.

DPO bertanggungjawab untuk mengawasi Piawaian Privasi ini dan, sebagaimana yang berkenaan, membangunkan Polisi Berkaitan.

Sila hubungi DPO dengan sebarang soalan tentang pengendalian Piawaian Privasi ini atau GDPR atau jika anda mempunyai sebarang kebimbangan bahawa Piawaian Privasi ini tidak sedang atau tidak dipatuhi. Khususnya, anda mesti sentiasa menghubungi DPO dalam keadaan berikut:

jika anda tidak pasti tentang asas sah yang anda harapkan untuk memproses Data Peribadi (termasuk kepentingan sah yang digunakan oleh Syarikat) (lihat bahagian 5.1 di bawah);
jika anda perlu bergantung pada Persetujuan dan/atau perlu mendapatkan Persetujuan Eksplisit (lihat bahagian 5.2 di bawah);
jika anda perlu merangka Notis Privasi atau Notis Pemprosesan Adil (lihat bahagian 5.3 di bawah);
jika anda tidak pasti tentang tempoh pengekalan untuk Data Peribadi sedang Diproses (lihat bahagian 9 di bawah);
jika anda tidak pasti tentang keselamatan atau langkah lain yang anda perlu laksanakan untuk melindungi Data Peribadi (lihat bahagian 10.1 di bawah);
jika terdapat Pelanggaran Data Peribadi ( bahagian 10.2 di bawah);
jika anda tidak pasti atas dasar apa untuk memindahkan Data Peribadi ke luar EEA (lihat bahagian 11 di bawah);
jika anda memerlukan sebarang bantuan untuk menangani sebarang hak yang digunakan oleh Subjek Data (lihat bahagian 12 );
setiap kali anda terlibat dalam aktiviti Pemprosesan baharu atau perubahan penting yang berkemungkinan memerlukan DPIA (lihat bahagian 13.4 di bawah) atau merancang untuk menggunakan Data Peribadi untuk tujuan selain daripada tujuan pengumpulan data tersebut;
Jika anda bercadang untuk menjalankan sebarang aktiviti yang melibatkan Pemprosesan Automatik termasuk pemprofilan atau Pembuatan Keputusan Automatik (lihat bahagian 13.5 di bawah);
Jika anda memerlukan bantuan untuk mematuhi undang-undang yang terpakai semasa menjalankan aktiviti pemasaran langsung (lihat bahagian 13.6 di bawah); atau
jika anda memerlukan bantuan dengan mana-mana kontrak atau bidang lain berkaitan dengan perkongsian Data Peribadi dengan pihak ketiga (termasuk vendor kami) (lihat bahagian 13.7 di bawah).

4. Prinsip perlindungan data peribadi

Kami mematuhi prinsip yang berkaitan dengan Pemprosesan Data Peribadi yang ditetapkan dalam GDPR yang memerlukan Data Peribadi:

Diproses secara sah, adil dan telus (Lawfulness, Fairness and Transparency).
Dikumpul hanya untuk tujuan tertentu, eksplisit dan sah (Penghadan Tujuan).
Mencukupi, relevan dan terhad kepada apa yang perlu berhubung dengan tujuan ia diproses (Pengurangan Data).
Tepat dan jika perlu sentiasa dikemas kini (Ketepatan).
Tidak disimpan dalam bentuk yang membenarkan pengecaman Subjek Data lebih lama daripada yang diperlukan untuk tujuan data diproses (Had Penyimpanan).
Diproses dengan cara yang memastikan keselamatannya menggunakan langkah teknikal dan organisasi yang sesuai untuk melindungi daripada Pemprosesan yang tidak dibenarkan atau menyalahi undang-undang dan daripada kehilangan, kemusnahan atau kerosakan yang tidak disengajakan (Keselamatan, Integriti dan Kerahsiaan).
Tidak dipindahkan ke negara lain tanpa perlindungan yang sesuai (Had Pemindahan).
Disediakan kepada Subjek Data dan Subjek Data yang dibenarkan untuk melaksanakan hak tertentu berhubung dengan Data Peribadi mereka (Hak dan Permintaan Subjek Data).

Kami bertanggungjawab dan mesti dapat menunjukkan pematuhan dengan prinsip perlindungan data yang disenaraikan di atas (Accountability).

5. Kewajaran, keadilan, ketelusan

- Kebenaran dan keadilan

Data peribadi mesti diproses secara sah, adil dan telus berhubung dengan Subjek Data.

Anda hanya boleh mengumpul, Memproses dan berkongsi Data Peribadi secara adil dan sah serta untuk tujuan tertentu. GDPR mengehadkan tindakan kami berkenaan Data Peribadi kepada tujuan sah yang ditetapkan. Sekatan ini tidak bertujuan untuk menghalang Pemprosesan, tetapi memastikan kami Memproses Data Peribadi secara adil dan tanpa menjejaskan Subjek Data.

GDPR membenarkan Pemprosesan untuk tujuan tertentu, beberapa daripadanya dinyatakan di bawah:

Subjek Data telah memberikan Persetujuannya;
Pemprosesan adalah perlu untuk melaksanakan kontrak dengan Subjek Data;
untuk memenuhi kewajipan pematuhan undang-undang kami.;
untuk melindungi kepentingan penting Subjek Data; atau
untuk mengejar kepentingan sah kami untuk tujuan yang tidak ditindih kerana Pemprosesan menjejaskan kepentingan atau hak asasi dan kebebasan Subjek Data. Tujuan kami memproses Data Peribadi untuk kepentingan yang sah perlu dinyatakan dalam Notis Privasi atau Notis Pemprosesan Adil yang berkenaan.

Anda mesti mengenal pasti dan mendokumenkan asas undang-undang yang dipercayai untuk setiap aktiviti Pemprosesan.

Persetujuan

Pengawal Data hanya boleh memproses Data Peribadi berdasarkan satu atau lebih asas yang sah yang ditetapkan dalam GDPR, yang termasuk Persetujuan.

Subjek Data bersetuju untuk Memproses Data Peribadi mereka jika mereka menunjukkan persetujuan dengan jelas sama ada melalui kenyataan atau tindakan positif kepada Pemprosesan. Persetujuan memerlukan tindakan afirmatif jadi senyap, kotak pra-tanda atau tidak aktif mungkin tidak mencukupi. Jika Persetujuan diberikan dalam dokumen yang berkaitan dengan perkara lain, maka Persetujuan mesti dipisahkan daripada perkara lain tersebut.

Subjek Data mesti boleh dengan mudah menarik balik Persetujuan Pemprosesan pada bila-bila masa dan penarikan balik mesti segera dihormati. Persetujuan mungkin perlu dimuat semula jika anda berhasrat untuk Memproses Data Peribadi untuk tujuan yang berbeza dan tidak serasi yang tidak didedahkan apabila Subjek Data mula-mula bersetuju.

Melainkan kita boleh bergantung pada asas undang-undang Pemprosesan yang lain, Persetujuan Eksplisit biasanya diperlukan untuk Memproses Data Peribadi Sensitif, untuk Pembuatan Keputusan Automatik dan untuk pemindahan data rentas sempadan. Biasanya kami akan bergantung pada asas undang-undang lain (dan tidak memerlukan Persetujuan Eksplisit) untuk Memproses kebanyakan jenis Data Sensitif. Di mana Persetujuan Eksplisit diperlukan, anda mesti mengeluarkan Notis Pemprosesan Adil kepada Subjek Data untuk mendapatkan Persetujuan Eksplisit.

Anda perlu membuktikan Persetujuan ditangkap dan menyimpan rekod semua Persetujuan supaya Syarikat dapat menunjukkan pematuhan dengan keperluan Persetujuan.

Ketelusan (memberitahu subjek data)

GDPR memerlukan Pengawal Data untuk memberikan maklumat terperinci dan khusus kepada Subjek Data bergantung pada sama ada maklumat itu dikumpulkan terus daripada Subjek Data atau dari tempat lain. Maklumat sedemikian mesti diberikan melalui Notis Privasi yang sesuai atau Notis Pemprosesan Adil yang mesti ringkas, telus, boleh difahami, mudah diakses dan dalam bahasa yang jelas dan jelas supaya Subjek Data boleh memahaminya dengan mudah.

Setiap kali kami mengumpul Data Peribadi terus daripada Subjek Data, termasuk untuk tujuan sumber manusia atau pekerjaan, kami mesti memberikan Subjek Data semua maklumat yang diperlukan oleh GDPR termasuk identiti Pengawal Data dan DPO, cara dan sebab kami akan menggunakan, Memproses, mendedahkan, melindungi dan mengekalkan Data Peribadi itu melalui Notis Pemprosesan Adil yang mesti dikemukakan apabila Subjek Data mula-mula memberikan Data Peribadi.

Apabila Data Peribadi dikumpul secara tidak langsung (contohnya, daripada pihak ketiga atau sumber yang tersedia secara umum), anda mesti memberikan Subjek Data semua maklumat yang diperlukan oleh GDPR secepat mungkin selepas mengumpul/menerima data. Anda juga mesti menyemak bahawa Data Peribadi telah dikumpul oleh pihak ketiga menurut GDPR dan atas dasar yang mempertimbangkan Pemprosesan Data Peribadi yang dicadangkan oleh kami.

6. Had tujuan

Data Peribadi mesti dikumpul hanya untuk tujuan yang dinyatakan, jelas dan sah. Ia tidak boleh diproses selanjutnya dalam apa-apa cara yang tidak serasi dengan tujuan tersebut.

Anda tidak boleh menggunakan Data Peribadi untuk tujuan baharu, berbeza atau tidak serasi daripada yang didedahkan semasa ia mula-mula diperoleh melainkan anda telah memaklumkan Subjek Data tentang tujuan baharu dan mereka telah Bersetuju jika perlu.

7. Pengecilan data

Data Peribadi mestilah mencukupi, relevan dan terhad kepada apa yang perlu berhubung dengan tujuan ia Diproses.

Anda hanya boleh Memproses Data Peribadi apabila melaksanakan tugas kerja anda memerlukannya. Anda tidak boleh Memproses Data Peribadi atas sebarang sebab yang tidak berkaitan dengan tugas pekerjaan anda.

Anda hanya boleh mengumpul Data Peribadi yang anda perlukan untuk tugas kerja anda: jangan kumpul data yang berlebihan. Memastikan sebarang Data Peribadi yang dikumpul adalah mencukupi dan relevan untuk tujuan yang dimaksudkan.

Anda mesti memastikan bahawa apabila Data Peribadi tidak lagi diperlukan untuk tujuan tertentu, ia dipadamkan atau dirahasiakan menurut garis panduan penyimpanan data Syarikat.

8. Ketepatan

Data Peribadi mestilah tepat dan, jika perlu, sentiasa dikemas kini. Ia mesti diperbetulkan atau dipadam tanpa berlengah-lengah apabila tidak tepat.

Anda akan memastikan bahawa Data Peribadi yang kami gunakan dan simpan adalah tepat, lengkap, dikemas kini dan berkaitan dengan tujuan kami mengumpulnya. Anda mesti menyemak ketepatan mana-mana Data Peribadi di tempat pengumpulan dan pada selang masa yang tetap selepas itu. Anda mesti mengambil semua langkah yang munasabah untuk memusnahkan atau meminda Data Peribadi yang tidak tepat atau lapuk.

9. Had penyimpanan

Data Peribadi tidak boleh disimpan dalam bentuk yang boleh dikenal pasti lebih lama daripada yang diperlukan untuk tujuan data diproses.

Anda tidak boleh menyimpan Data Peribadi dalam bentuk yang membenarkan pengenalpastian Subjek Data lebih lama daripada yang diperlukan untuk tujuan perniagaan yang sah atau tujuan yang asalnya kami mengumpulnya termasuk untuk tujuan memenuhi sebarang keperluan undang-undang, perakaunan atau pelaporan.

Syarikat akan mengekalkan dasar dan prosedur pengekalan untuk memastikan Data Peribadi dipadamkan selepas masa yang munasabah untuk tujuan ia dipegang, melainkan undang-undang menghendaki data sedemikian disimpan untuk masa yang minimum.

Anda akan mengambil semua langkah yang munasabah untuk memusnahkan atau memadamkan daripada sistem kami semua Data Peribadi yang tidak lagi kami perlukan menurut semua jadual dan dasar penyimpanan rekod yang berkenaan oleh Syarikat. Ini termasuk menghendaki pihak ketiga memadamkan data tersebut jika berkenaan.

Anda akan memastikan Subjek Data dimaklumkan tentang tempoh data disimpan dan cara tempoh itu ditentukan dalam mana-mana Notis Privasi atau Notis Pemprosesan Adil yang berkenaan.

10. Integriti keselamatan dan kerahsiaan

- Melindungi Data Peribadi

Data Peribadi mesti dilindungi dengan langkah teknikal dan organisasi yang sesuai terhadap Pemprosesan yang tidak dibenarkan atau menyalahi undang-undang, dan terhadap kehilangan, kemusnahan atau kerosakan yang tidak disengajakan.

Kami akan membangunkan, melaksanakan dan mengekalkan perlindungan yang bersesuaian dengan saiz, skop dan perniagaan kami, sumber kami yang tersedia, jumlah Data Peribadi yang kami miliki atau selenggara bagi pihak orang lain dan risiko yang dikenal pasti (termasuk penggunaan penyulitan dan Pseudonymation jika berkenaan). Kami akan sentiasa menilai dan menguji keberkesanan perlindungan tersebut untuk memastikan keselamatan Pemprosesan Data Peribadi kami. Anda bertanggungjawab untuk melindungi Data Peribadi yang kami pegang. Anda mesti melaksanakan langkah keselamatan yang munasabah dan sesuai terhadap Pemprosesan Data Peribadi yang menyalahi undang-undang atau tidak dibenarkan dan terhadap kehilangan, atau kerosakan kepada, Data Peribadi secara tidak sengaja. Anda mesti berhati-hati dalam melindungi Data Peribadi Sensitif daripada kehilangan dan akses, penggunaan atau pendedahan tanpa kebenaran.

Anda mesti mengikuti semua prosedur dan teknologi yang kami sediakan untuk mengekalkan keselamatan semua Data Peribadi dari titik pengumpulan hingga ke tahap pemusnahan. Anda hanya boleh memindahkan Data Peribadi kepada penyedia perkhidmatan pihak ketiga yang bersetuju untuk mematuhi dasar dan prosedur yang diperlukan dan yang bersetuju untuk meletakkan langkah yang mencukupi, seperti yang diminta.

Anda mesti mengekalkan keselamatan data dengan melindungi kerahsiaan, integriti dan ketersediaan Data Peribadi, yang ditakrifkan seperti berikut:

Kerahsiaan bermakna hanya orang yang mempunyai keperluan untuk mengetahui dan diberi kuasa untuk menggunakan Data Peribadi boleh mengaksesnya.
Integriti bermaksud Data Peribadi adalah tepat dan sesuai untuk tujuan ia diproses.
Ketersediaan bermakna pengguna yang diberi kuasa boleh mengakses Data Peribadi apabila mereka memerlukannya untuk tujuan yang dibenarkan.

Anda mesti mematuhi semua aspek berkenaan Dasar Keselamatan Maklumat dan Dasar Pematuhan GDPR kami yang sedia ada dari semasa ke semasa dan mematuhi serta tidak cuba memintas perlindungan pentadbiran, fizikal dan teknikal yang kami laksanakan dan selenggara mengikut GDPR dan piawaian yang berkaitan untuk melindungi Data Peribadi.

Melaporkan Pelanggaran Data Peribadi

GDPR memerlukan Pengawal Data untuk memaklumkan sebarang Pelanggaran Data Peribadi kepada pengawal selia yang berkenaan dan, dalam keadaan tertentu, Subjek Data.

Kami telah menyediakan prosedur untuk menangani sebarang Pelanggaran Data Peribadi yang disyaki dan akan memberitahu Subjek Data atau mana-mana pengawal selia yang berkenaan di mana kami dikehendaki berbuat demikian secara sah.

Jika anda mengetahui atau mengesyaki bahawa Pelanggaran Data Peribadi telah berlaku, jangan cuba menyiasat perkara itu sendiri. Segera hubungi orang atau pasukan yang ditetapkan sebagai titik hubungan utama untuk Pelanggaran Data Peribadi dan ikuti pelan tindak balas pelanggaran keselamatan. Anda harus mengekalkan semua bukti yang berkaitan dengan potensi Pelanggaran Data Peribadi.

11. Had pemindahan

GDPR mengehadkan pemindahan data ke negara di luar EEA untuk memastikan tahap perlindungan data yang diberikan kepada individu oleh GDPR tidak terjejas. Anda memindahkan Data Peribadi yang berasal dari satu negara merentas sempadan apabila anda menghantar, menghantar, melihat atau mengakses data tersebut di dalam atau ke negara lain.

Anda hanya boleh memindahkan Data Peribadi di luar EEA jika salah satu syarat berikut dikenakan:

Suruhanjaya Eropah telah mengeluarkan keputusan yang mengesahkan bahawa negara tempat kami memindahkan Data Peribadi memastikan tahap perlindungan yang mencukupi untuk hak dan kebebasan Subjek Data;
perlindungan yang sesuai telah disediakan seperti peraturan korporat yang mengikat (BCR), klausa kontrak standard yang diluluskan oleh Suruhanjaya Eropah, tatakelakuan yang diluluskan atau mekanisme pensijilan, yang salinannya boleh diperolehi daripada DPO;
Subjek Data telah memberikan Persetujuan Eksplisit kepada pemindahan yang dicadangkan selepas dimaklumkan tentang sebarang potensi risiko; atau
pemindahan itu perlu untuk salah satu sebab lain yang dinyatakan dalam GDPR termasuk pelaksanaan kontrak antara kami dan Subjek Data, sebab kepentingan awam, untuk mewujudkan, melaksanakan atau mempertahankan tuntutan undang-undang atau untuk melindungi kepentingan penting Subjek Data di mana Subjek Data secara fizikal atau undang-undang tidak berupaya memberikan Persetujuan dan, dalam beberapa kes terhad, untuk kepentingan sah kami.

Anda mesti mematuhi garis panduan Syarikat mengenai pemindahan data rentas sempadan.

12. Hak dan permintaan Subjek Data

Subjek Data mempunyai hak dalam hal cara kami mengendalikan Data Peribadi mereka. Ini termasuk hak untuk:

menarik balik Persetujuan Pemprosesan pada bila-bila masa;
menerima maklumat tertentu tentang aktiviti Pemprosesan Pengawal Data;
meminta akses kepada Data Peribadi mereka yang kami pegang;
menghalang kami menggunakan Data Peribadi mereka untuk tujuan pemasaran langsung;
meminta kami untuk memadamkan Data Peribadi jika ia tidak lagi diperlukan berhubung dengan tujuan ia dikumpul atau Diproses atau untuk membetulkan data yang tidak tepat atau untuk melengkapkan data yang tidak lengkap;
menyekat Pemprosesan dalam keadaan tertentu;
cabaran Pemprosesan yang telah dibenarkan berdasarkan kepentingan sah kami atau demi kepentingan awam;
meminta salinan perjanjian di mana Data Peribadi dipindahkan ke luar EEA;
membantah keputusan berdasarkan Pemprosesan Automatik semata-mata, termasuk pemprofilan (ADM);
menghalang Pemprosesan yang mungkin menyebabkan kerosakan atau kesusahan kepada Subjek Data atau sesiapa sahaja;
dimaklumkan tentang Pelanggaran Data Peribadi yang berkemungkinan mengakibatkan risiko tinggi terhadap hak dan kebebasan mereka;
membuat aduan kepada pihak berkuasa penyeliaan; dan
dalam keadaan terhad, terima atau minta Data Peribadi mereka dipindahkan kepada pihak ketiga dalam format berstruktur, biasa digunakan dan boleh dibaca mesin.

Anda mesti mengesahkan identiti individu yang meminta data di bawah mana-mana hak yang disenaraikan di atas (jangan benarkan pihak ketiga memujuk anda supaya mendedahkan Data Peribadi tanpa kebenaran yang sewajarnya).

Anda mesti memajukan segera sebarang permintaan Subjek Data yang anda terima kepada penyelia anda dan mematuhi proses respons Subjek Data syarikat.

13. Akauntabiliti

- Pengawal Data mesti melaksanakan langkah teknikal dan organisasi yang sesuai dengan cara yang berkesan, untuk memastikan pematuhan dengan prinsip perlindungan data. Pengawal Data bertanggungjawab untuk, dan mesti dapat menunjukkan, pematuhan dengan prinsip perlindungan data.

Syarikat mesti mempunyai sumber dan kawalan yang mencukupi untuk memastikan dan mendokumentasikan pematuhan GDPR termasuk:

melantik DPO yang berkelayakan sesuai (jika perlu) dan eksekutif yang bertanggungjawab untuk privasi data;
melaksanakan Privasi melalui Reka Bentuk semasa Memproses Data Peribadi dan melengkapkan DPIA di mana Pemprosesan memberikan risiko tinggi kepada hak dan kebebasan Subjek Data;
menyepadukan perlindungan data ke dalam dokumen dalaman termasuk Piawaian Privasi ini, Polisi Berkaitan, Notis Privasi atau Notis Pemprosesan Adil;
kerap melatih Kakitangan Syarikat tentang GDPR, Piawaian Privasi dan Polisi Berkaitan ini serta perkara perlindungan data termasuk, sebagai contoh, hak Subjek Data, Persetujuan, asas undang-undang, DPIA dan Pelanggaran Data Peribadi. Syarikat mesti mengekalkan rekod kehadiran latihan oleh Kakitangan Syarikat; dan
kerap menguji langkah privasi yang dilaksanakan dan menjalankan semakan dan audit berkala untuk menilai pematuhan, termasuk menggunakan keputusan ujian untuk menunjukkan usaha penambahbaikan pematuhan.

Penyimpanan rekod

GDPR memerlukan kami menyimpan rekod penuh dan tepat bagi semua aktiviti Pemprosesan data kami.

Anda mesti menyimpan dan mengekalkan rekod korporat yang tepat yang mencerminkan Pemprosesan kami termasuk rekod Persetujuan Subjek Data dan prosedur untuk mendapatkan Persetujuan.

Rekod ini hendaklah mengandungi, sekurang-kurangnya, nama dan butiran hubungan Pengawal Data dan DPO, penerangan yang jelas tentang jenis Data Peribadi, jenis Subjek Data, aktiviti Pemprosesan, Tujuan Pemprosesan, penerima pihak ketiga Data Peribadi, lokasi penyimpanan Data Peribadi, pemindahan Data Peribadi, tempoh penyimpanan Data Peribadi dan perihalan langkah keselamatan yang ditetapkan. Untuk mencipta rekod sedemikian, peta data harus dibuat yang harus merangkumi butiran yang ditetapkan di atas bersama-sama dengan aliran data yang sesuai.

Latihan dan audit

Kami dikehendaki memastikan semua Kakitangan Syarikat telah menjalani latihan yang mencukupi untuk membolehkan mereka mematuhi undang-undang privasi data. Kami juga mesti kerap menguji sistem dan proses kami untuk menilai pematuhan.

Anda mesti menjalani semua latihan berkaitan privasi data mandatori dan memastikan pasukan anda menjalani latihan mandatori yang serupa.

Anda mesti sentiasa menyemak semua sistem dan proses di bawah kawalan anda untuk memastikan ia mematuhi Piawaian Privasi ini dan menyemak bahawa kawalan dan sumber tadbir urus yang mencukupi disediakan untuk memastikan penggunaan dan perlindungan Data Peribadi yang betul.

Privasi Mengikut Reka Bentuk dan Penilaian Kesan Perlindungan Data (DPIA)

Kami dikehendaki melaksanakan langkah Privasi melalui Reka Bentuk apabila Memproses Data Peribadi dengan melaksanakan langkah teknikal dan organisasi yang sesuai (seperti Pseudonymation) dengan cara yang berkesan, untuk memastikan pematuhan terhadap prinsip privasi data.

Anda mesti menilai langkah Privasi oleh Reka Bentuk yang boleh dilaksanakan pada semua program/sistem/proses yang Memproses Data Peribadi dengan mengambil kira perkara berikut:

keadaan seni;
kos pelaksanaan;
sifat, skop, konteks dan tujuan Pemprosesan; dan
risiko kebarangkalian dan keterukan yang berbeza-beza untuk hak dan kebebasan Subjek Data yang ditimbulkan oleh Pemprosesan.

Pengawal data juga mesti menjalankan DPIA berkenaan dengan Pemprosesan berisiko tinggi.

Anda harus menjalankan DPIA (dan membincangkan penemuan anda dengan DPO) apabila melaksanakan sistem utama atau program perubahan perniagaan yang melibatkan Pemprosesan Data Peribadi termasuk:

penggunaan teknologi baharu (program, sistem atau proses), atau mengubah teknologi (program, sistem atau proses);
Pemprosesan Automatik termasuk pemprofilan dan ADM;
Pemprosesan Data Sensitif berskala besar; dan
pemantauan berskala besar dan sistematik bagi kawasan yang boleh diakses oleh orang ramai.

DPIA mesti mengandungi:

perihalan Pemprosesan, tujuannya dan kepentingan sah Pengawal Data jika sesuai;
penilaian tentang keperluan dan perkadaran Pemprosesan berhubung dengan tujuannya;
penilaian risiko kepada individu; dan
langkah-langkah pengurangan risiko yang sedia ada dan demonstrasi pematuhan.

Pemprosesan Automatik (termasuk pemprofilan) dan Pembuatan Keputusan Automatik

Secara amnya, ADM dilarang apabila keputusan mempunyai kesan perundangan atau kesan ketara yang serupa terhadap individu melainkan:

Subjek Data telah Bersedia Secara Jelas;
Pemprosesan dibenarkan oleh undang-undang; atau
Pemprosesan adalah perlu untuk melaksanakan atau memasuki kontrak.

Jika jenis Data Sensitif tertentu sedang diproses, maka alasan (b) atau (c) tidak akan dibenarkan tetapi Data Sensitif tersebut boleh Diproses di mana perlu (melainkan cara yang kurang mengganggu boleh digunakan) untuk kepentingan awam yang besar seperti pencegahan penipuan.

Jika keputusan adalah berdasarkan Pemprosesan Automatik semata-mata (termasuk pemprofilan), maka Subjek Data mesti dimaklumkan apabila anda mula-mula berkomunikasi dengan mereka tentang hak mereka untuk membantah. Hak ini mesti secara eksplisit dibawa kepada perhatian mereka dan dibentangkan dengan jelas dan berasingan daripada maklumat lain. Selanjutnya, langkah yang sesuai mesti dilaksanakan untuk melindungi hak dan kebebasan Subjek Data dan kepentingan sah.

Kami juga mesti memaklumkan Subjek Data tentang logik yang terlibat dalam membuat keputusan atau pemprofilan, kepentingan dan akibat yang dijangkakan dan memberi Subjek Data hak untuk meminta campur tangan manusia, menyatakan pandangan mereka atau mencabar keputusan itu.

DPIA mesti dijalankan sebelum sebarang Pemprosesan Automatik (termasuk pemprofilan) atau aktiviti ADM dijalankan.

Pemasaran langsung

Kami tertakluk kepada peraturan dan undang-undang privasi tertentu apabila memasarkan kepada pelanggan kami.

Contohnya, persetujuan terlebih dahulu Subjek Data diperlukan untuk pemasaran langsung elektronik (contohnya, melalui e-mel, teks atau panggilan automatik). Pengecualian terhad untuk pelanggan sedia ada yang dikenali sebagai “pilihan lembut” membenarkan organisasi menghantar teks pemasaran atau e-mel jika mereka telah memperoleh butiran hubungan semasa jualan kepada orang itu, mereka memasarkan produk atau perkhidmatan yang serupa, dan mereka memberi orang itu peluang untuk menarik diri daripada pemasaran apabila mula-mula mengumpulkan butiran dan dalam setiap mesej berikutnya.

Hak untuk membantah pemasaran langsung mesti ditawarkan secara jelas kepada Subjek Data dengan cara yang boleh difahami supaya ia boleh dibezakan dengan jelas daripada maklumat lain.

Bantahan Subjek Data terhadap pemasaran langsung mesti diterima dengan segera. Jika pelanggan menarik diri pada bila-bila masa, butiran mereka harus dihalang secepat mungkin. Penindasan melibatkan mengekalkan maklumat yang mencukupi untuk memastikan pilihan pemasaran dihormati pada masa hadapan.

Berkongsi Data Peribadi

Secara amnya kami tidak dibenarkan berkongsi Data Peribadi dengan pihak ketiga melainkan perlindungan dan pengaturan kontrak tertentu telah dilaksanakan.

Anda hanya boleh berkongsi Data Peribadi yang kami pegang dengan pekerja lain, ejen atau wakil kumpulan kami (yang termasuk anak syarikat kami dan syarikat induk utama kami bersama-sama anak syarikatnya) jika penerima mempunyai keperluan berkaitan pekerjaan untuk mengetahui maklumat tersebut dan pemindahan itu mematuhi sebarang sekatan pemindahan rentas sempadan yang berkenaan.

Anda hanya boleh berkongsi Data Peribadi yang kami pegang dengan pihak ketiga, seperti pembekal perkhidmatan kami jika:

mereka mempunyai keperluan untuk mengetahui maklumat bagi tujuan menyediakan perkhidmatan yang dikontrakkan;
berkongsi Data Peribadi mematuhi Notis Privasi yang diberikan kepada Subjek Data dan, jika perlu, Persetujuan Subjek Data telah diperolehi;
pihak ketiga telah bersetuju untuk mematuhi piawaian, dasar dan prosedur keselamatan data yang diperlukan dan meletakkan langkah keselamatan yang mencukupi;
pemindahan itu mematuhi sebarang sekatan pemindahan rentas sempadan yang berkenaan; dan
kontrak bertulis yang dilaksanakan sepenuhnya yang mengandungi klausa pihak ketiga yang diluluskan GDPR telah diperolehi.

Perubahan kepada Piawaian Privasi ini

Kami berhak untuk menukar Piawaian Privasi ini pada bila-bila masa tanpa notis kepada anda jadi sila semak semula dengan kerap untuk mendapatkan salinan Piawaian Privasi ini yang terkini.

Piawaian Privasi ini tidak mengatasi mana-mana undang-undang dan peraturan privasi data negara yang berkenaan di negara tempat Syarikat beroperasi.