Стандарт конфиденциальности Uni Direct Limited

1. Интерпретация

- Определения:

Автоматизированное принятие решений (ADM): когда принимается решение, основанное исключительно на автоматизированной обработке (включая профилирование), которое влечет за собой юридические последствия или существенно влияет на человека. GDPR запрещает автоматизированное принятие решений (если не соблюдены определенные условия), но не автоматизированную обработку.
Автоматизированная обработка: любая форма автоматизированной обработки Личных данных, заключающаяся в использовании Личных данных для оценки определенных личных аспектов, касающихся отдельного лица, в частности, для анализа или прогнозирования аспектов, касающихся его работы, экономического положения, здоровья, личных предпочтений, интересов, надежности, поведения, местонахождения или передвижения. Профилирование является примером автоматизированной обработки.
Название компании: Uni Direct Limited
Персонал компании: все сотрудники, работники [подрядчики, агенты, консультанты,] директора, члены и другие.
Согласие: согласие, которое должно быть свободно выраженным, конкретным, информированным и представлять собой недвусмысленное выражение желания Субъекта данных, посредством которого он заявлением или четким позитивным действием выражает согласие на обработку относящихся к нему Персональных данных.
Контролер данных: лицо или организация, определяющая, когда, зачем и как обрабатывать личные данные. Он несет ответственность за установление практики и политики в соответствии с GDPR. Мы являемся контролером всех персональных данных, относящихся к персоналу нашей компании, а также персональных данных, используемых в нашем бизнесе для собственных коммерческих целей.
Субъект данных: живое, идентифицированное или поддающееся идентификации лицо, о котором мы имеем Персональные данные. Субъекты данных могут быть гражданами или резидентами любой страны и могут иметь законные права в отношении своих персональных данных.
Оценка воздействия на конфиденциальность данных (DPIA): инструменты и оценки, используемые для выявления и снижения рисков деятельности по обработке данных. DPIA может быть проведена как часть Privacy by Design и должна проводиться для всех крупных системных или бизнес-программ, связанных с обработкой персональных данных.
Сотрудник по защите данных (DPO): лицо, которое должно быть назначено в определенных обстоятельствах в соответствии с GDPR. Если обязательный DPO не назначен, этот термин означает менеджера по защите данных или иное добровольное назначение DPO или относится к команде по защите данных компании, отвечающей за соблюдение требований по защите данных.
ЕЭЗ: 28 стран ЕС, а также Исландия, Лихтенштейн и Норвегия.
Явное согласие: согласие, которое требует очень четкого и конкретного заявления (то есть не просто действия).
Общее положение о защите данных (GDPR): общее положение о защите данных ((EU) 2016/679). Персональные данные подлежат юридическим гарантиям, указанным в GDPR.
Личные данные: любая информация, идентифицирующая Субъекта данных, или информация, относящаяся к Субъекту данных, которую мы можем идентифицировать (прямо или косвенно) по этим данным отдельно или в сочетании с другими идентификаторами, которыми мы обладаем или к которым можем получить разумный доступ. Личные данные включают чувствительные личные данные и псевдонимизированные личные данные, но не включают анонимные данные или данные, в которых личность человека была окончательно удалена. Личные данные могут быть фактическими (например, имя, адрес электронной почты, местонахождение или дата рождения) или представлять собой мнение о действиях или поведении этого человека.
Нарушение персональных данных: любое действие или бездействие, которое ставит под угрозу безопасность, конфиденциальность, целостность или доступность персональных данных или физические, технические, административные или организационные гарантии, которые мы или наши сторонние поставщики услуг установили для их защиты. Потеря или несанкционированный доступ, раскрытие или получение Личных данных является Нарушением Личных данных.
Privacy by Design: эффективное внедрение соответствующих технических и организационных мер для обеспечения соответствия GDPR.
Уведомления о конфиденциальности (также называемые Уведомлениями о добросовестной обработке) или Политиками конфиденциальности: отдельные уведомления, содержащие информацию, которая может быть предоставлена Субъектам данных, когда Компания собирает информацию о них. Эти уведомления могут иметь форму общих заявлений о конфиденциальности, применимых к определенной группе лиц (например, уведомления о конфиденциальности сотрудников или политика конфиденциальности веб-сайта), или же это могут быть отдельные, единовременные заявления о конфиденциальности, охватывающие обработку, связанную с конкретной целью.
Обработка или процесс: любая деятельность, связанная с использованием персональных данных. Она включает в себя получение, запись или хранение данных, а также выполнение любой операции или набора операций с данными, включая их организацию, изменение, поиск, использование, раскрытие, стирание или уничтожение. Обработка также включает в себя передачу или перенос Персональных данных третьим лицам.
Псевдонимизация или псевдонимизация: замена информации, прямо или косвенно идентифицирующей личность, одним или несколькими искусственными идентификаторами или псевдонимами, так что лицо, к которому относятся данные, не может быть идентифицировано без использования дополнительной информации, которая должна храниться отдельно и в безопасности.
Соответствующие политики: политики, операционные процедуры или процессы Компании, связанные с настоящим Стандартом конфиденциальности и направленные на защиту Персональных данных, которые могут действовать время от времени и предоставляться по запросу.
Чувствительные личные данные: информация, раскрывающая расовое или этническое происхождение, политические взгляды, религиозные или сходные убеждения, членство в профсоюзе, состояние физического или психического здоровья, сексуальную жизнь, сексуальную ориентацию, биометрические или генетические данные, а также личные данные, касающиеся уголовных преступлений и приговоров.

2. Введение

Настоящий Стандарт конфиденциальности устанавливает, как Uni Direct Limited («мы», «наш», «нас», «Компания») обрабатывает личные данные наших клиентов, поставщиков, сотрудников, работников и других третьих лиц.

Настоящий стандарт конфиденциальности применяется ко всем обрабатываемым нами персональным данным, независимо от того, на каком носителе они хранятся и относятся ли они к прошлым или настоящим сотрудникам, работникам, клиентам, заказчикам или поставщикам, акционерам, пользователям веб-сайтов или любым другим субъектам данных.

Настоящий Стандарт конфиденциальности применяется ко всем сотрудникам компании («вы», «ваш»). Вы должны прочитать, понять и соблюдать настоящий Стандарт конфиденциальности при обработке персональных данных от нашего имени, а также пройти обучение по его требованиям. В настоящем Стандарте конфиденциальности изложены требования, которые мы ожидаем от вас в целях соблюдения Компанией действующего законодательства. Соблюдение вами настоящего Стандарта конфиденциальности является обязательным. Для того чтобы помочь вам интерпретировать и действовать в соответствии с настоящим Стандартом конфиденциальности, существуют соответствующие политики. Вы также должны соблюдать все такие связанные политики. Любое нарушение данного Стандарта конфиденциальности может привести к дисциплинарному взысканию.

Настоящий Стандарт конфиденциальности (вместе с соответствующими политиками) является внутренним документом и не может быть передан третьим лицам, клиентам или регулирующим органам без предварительного разрешения DPO.

3. Область применения

Мы понимаем, что правильное и законное обращение с Личными данными поддерживает доверие к организации и обеспечивает успешное ведение бизнеса. Защита конфиденциальности и целостности Личных данных — это важнейшая обязанность, к которой мы всегда относимся со всей серьезностью. За несоблюдение положений GDPR компания может быть оштрафована на сумму до 20 миллионов евро (около 18 миллионов фунтов стерлингов) или на 4 % от общего годового оборота по всему миру, в зависимости от того, что больше, и в зависимости от нарушения.

Все директора и руководители несут ответственность за то, чтобы весь персонал компании соблюдал данный Стандарт конфиденциальности, и должны внедрять соответствующие методы, процессы, средства контроля и обучения для обеспечения такого соблюдения.

DPO отвечает за надзор за соблюдением настоящего Стандарта конфиденциальности и, при необходимости, за разработку соответствующих политик.

Пожалуйста, обращайтесь к DPO с любыми вопросами о действии настоящего Стандарта конфиденциальности или GDPR, а также если у вас есть опасения, что настоящий Стандарт конфиденциальности не соблюдается или не был соблюден. В частности, вы должны всегда обращаться к DPO в следующих случаях:

если вы не уверены в законном основании, на которое опирается компания при обработке Личных данных (включая законные интересы, используемые компанией) (см. раздел 5.1 ниже);
если вам нужно полагаться на Согласие и/или необходимо зафиксировать явное Согласие (см. раздел 5.2 ниже);
если вам необходимо составить уведомления о конфиденциальности или уведомления о добросовестной обработке (см. раздел 5.3 ниже);
если вы не уверены в сроке хранения обрабатываемых персональных данных (см. раздел 9 ниже);
если вы не уверены в том, какие меры безопасности или другие меры, которые необходимо принять для защиты Личных данных (см. раздел 10.1 ниже);
если произошла утечка персональных данных(раздел 10.2 ниже);
если вы не уверены, на каком основании передавать Личные данные за пределы ЕЭЗ (см. раздел 11 ниже);
если вам нужна помощь в решении вопросов, связанных с правами Субъекта данных (см. раздел 12);
если вы осуществляете значительную новую или измененную деятельность по обработке, которая может потребовать проведения DPIA (см. раздел 13.4 ниже), или планируете использовать личные данные в целях, отличных от тех, для которых они были собраны;
Если вы планируете осуществлять любую деятельность, связанную с автоматизированной обработкой, включая профилирование или автоматизированное принятие решений (см. раздел 13.5 ниже);
Если вам нужна помощь в соблюдении действующего законодательства при осуществлении деятельности по прямому маркетингу (см. раздел 13.6 ниже); или
если вам нужна помощь по любым договорам или другим вопросам, связанным с передачей Личных данных третьим лицам (в том числе нашим поставщикам) (см. раздел 13.7 ниже).

4. Принципы защиты персональных данных

Мы придерживаемся принципов обработки персональных данных, изложенных в GDPR, которые требуют, чтобы персональные данные были:

Обработка осуществляется законным, справедливым и прозрачным образом (законность, справедливость и прозрачность).
Собирается только для определенных, явных и законных целей (Purpose Limitation).
Адекватная, релевантная и ограниченная тем, что необходимо в связи с целями, для которых она обрабатывается (минимизация данных).
Точность и, при необходимости, постоянное обновление (Accuracy).
Не хранить данные в форме, позволяющей идентифицировать субъекта данных, дольше, чем это необходимо для целей обработки данных (ограничение хранения).
Обрабатывается таким образом, чтобы обеспечить его безопасность с использованием соответствующих технических и организационных мер для защиты от несанкционированной или незаконной обработки, а также от случайной потери, уничтожения или повреждения (безопасность, целостность и конфиденциальность).
Не передается в другую страну без соответствующих гарантий (Transfer Limitation).
Предоставляется Субъектам Данных, и Субъекты Данных могут осуществлять определенные права в отношении своих Персональных Данных (Права и Запросы Субъекта Данных).

Мы несем ответственность за соблюдение перечисленных выше принципов защиты данных (Accountability) и должны быть в состоянии продемонстрировать их соблюдение.

5. Законность, справедливость, прозрачность

- Законность и справедливость

Персональные данные должны обрабатываться законным, справедливым и прозрачным образом по отношению к Субъекту данных.

Вы можете собирать, обрабатывать и передавать Личные данные только на законных основаниях и для определенных целей. GDPR ограничивает наши действия в отношении Личных данных указанными законными целями. Эти ограничения не направлены на предотвращение обработки, но обеспечивают справедливую обработку персональных данных без негативного влияния на субъекта данных.

GDPR разрешает обработку данных в определенных целях, некоторые из которых приведены ниже:

Субъект данных дал свое согласие;
обработка необходима для выполнения контракта с Субъектом данных;
для выполнения наших обязательств по соблюдению законодательства;
для защиты жизненно важных интересов Субъекта Данных; или
преследовать наши законные интересы в целях, когда они не отменяются, поскольку обработка наносит ущерб интересам или фундаментальным правам и свободам Субъектов данных. Цели, для которых мы обрабатываем Личные данные в соответствии с законными интересами, должны быть указаны в соответствующих Уведомлениях о конфиденциальности или Уведомлениях о добросовестной обработке.

Вы должны определить и задокументировать правовое основание, на которое опирается каждое действие по обработке.

Согласие

Контролер данных должен обрабатывать личные данные только на основании одного или нескольких законных оснований, изложенных в GDPR, которые включают Согласие.

Субъект данных дает согласие на обработку своих персональных данных, если он ясно выражает свое согласие либо заявлением, либо положительным действием на обработку. Согласие требует утвердительных действий, поэтому молчание, предварительно поставленные галочки или бездействие вряд ли будут достаточными. Если Согласие дается в документе, который касается других вопросов, то Согласие должно храниться отдельно от этих других вопросов.

Субъекты данных должны иметь возможность легко отозвать согласие на обработку в любое время, и отзыв должен быть незамедлительно выполнен. Согласие может потребовать обновления, если вы намерены обрабатывать личные данные для другой и несовместимой цели, которая не была раскрыта при первом согласии Субъекта данных.

Если мы не можем полагаться на другую правовую основу обработки, то для обработки чувствительных персональных данных, автоматизированного принятия решений и трансграничной передачи данных обычно требуется явное согласие. Обычно мы полагаемся на другую правовую основу (и не требуем явного согласия) для обработки большинства типов чувствительных данных. Если требуется явно выраженное согласие, вы должны направить субъекту данных уведомление о добросовестной обработке, чтобы получить явно выраженное согласие.

Вам нужно будет подтвердить получение Согласия и вести учет всех Согласий, чтобы компания могла продемонстрировать соблюдение требований Согласия.

Прозрачность (уведомление субъектов данных)

GDPR требует от контролеров данных предоставлять субъектам данных подробную и конкретную информацию в зависимости от того, была ли информация собрана непосредственно от субъекта данных или из других источников. Такая информация должна предоставляться в виде соответствующих уведомлений о конфиденциальности или уведомлений о добросовестной обработке, которые должны быть краткими, прозрачными, понятными, легкодоступными и изложены ясным и понятным языком, чтобы Субъект данных мог легко их понять.

Если мы собираем личные данные непосредственно у субъектов данных, в том числе в целях управления персоналом или трудоустройства, мы должны предоставить субъекту данных всю информацию, требуемую GDPR, включая информацию о личности контролера данных и DPO, о том, как и почему мы будем использовать, обрабатывать, раскрывать, защищать и сохранять эти личные данные, посредством уведомления о справедливой обработке, которое должно быть представлено субъекту данных, когда он впервые предоставляет личные данные.

Если Личные данные собираются косвенным путем (например, от третьей стороны или из общедоступного источника), вы должны предоставить Субъекту данных всю информацию, требуемую GDPR, в кратчайшие сроки после сбора/получения данных. Вы также должны убедиться, что Персональные данные были собраны третьей стороной в соответствии с GDPR и на основании, которое предусматривает предлагаемую нами обработку этих Персональных данных.

6. Ограничение цели

Личные данные должны собираться только для определенных, явных и законных целей. Они не должны подвергаться дальнейшей обработке каким-либо способом, несовместимым с этими целями.

Вы не можете использовать личные данные для новых, иных или несовместимых целей, чем те, которые были раскрыты при их первом получении, если вы не проинформировали Субъекта данных о новых целях, и он, при необходимости, дал свое согласие.

7. Минимизация данных

Личные данные должны быть адекватными, релевантными и ограничиваться тем, что необходимо в связи с целями, для которых они обрабатываются.

Вы можете обрабатывать личные данные только тогда, когда этого требуют ваши должностные обязанности. Вы не можете обрабатывать личные данные по любой причине, не связанной с вашими должностными обязанностями.

Вы можете собирать только те личные данные, которые необходимы вам для выполнения своих должностных обязанностей: не собирайте избыточные данные. Убедитесь, что все собранные личные данные адекватны и соответствуют поставленным целям.

Вы должны обеспечить удаление или обезличивание Личных данных, если они больше не нужны для указанных целей, в соответствии с правилами Компании по хранению данных.

8. Точность

Личные данные должны быть точными и, при необходимости, поддерживаться в актуальном состоянии. В случае неточности они должны быть исправлены или удалены без промедления.

Вы будете следить за тем, чтобы используемые и хранимые нами Личные данные были точными, полными, актуальными и соответствовали целям, для которых мы их собрали. Вы должны проверять точность любых Личных данных в момент их сбора и через регулярные промежутки времени после этого. Вы должны предпринять все разумные меры для уничтожения или изменения неточных или устаревших Личных данных.

9. Ограничение хранения

Личные данные не должны храниться в идентифицируемой форме дольше, чем это необходимо для целей, для которых эти данные обрабатываются.

Вы не должны хранить Личные данные в форме, позволяющей идентифицировать Субъекта данных, дольше, чем это необходимо для законной деловой цели или целей, для которых мы первоначально их собрали, в том числе для удовлетворения любых юридических, бухгалтерских или отчетных требований.

Компания будет придерживаться политики и процедур хранения, обеспечивающих удаление Личных данных по истечении разумного срока, необходимого для целей, для которых они хранились, за исключением случаев, когда закон требует хранить такие данные в течение минимального срока.

Вы предпримите все разумные меры для уничтожения или удаления из наших систем всех Личных данных, которые нам больше не нужны, в соответствии со всеми применимыми графиками и политиками Компании по хранению записей. Это включает в себя требование к третьим сторонам удалить такие данные, если это применимо.

Вы обеспечите информирование Субъектов данных о сроке хранения данных и о том, как этот срок определяется, в любом применимом Уведомлении о конфиденциальности или Уведомлении о добросовестной обработке.

10. Целостность и конфиденциальность безопасности

- Защита персональных данных

Персональные данные должны быть защищены с помощью соответствующих технических и организационных мер от несанкционированной или незаконной обработки, а также от случайной потери, уничтожения или повреждения.

Мы будем разрабатывать, внедрять и поддерживать меры безопасности, соответствующие нашему размеру, масштабу и бизнесу, имеющимся ресурсам, объему персональных данных, которыми мы владеем или храним от имени других лиц, и выявленным рискам (включая использование шифрования и псевдонимизации, если это применимо). Мы будем регулярно оценивать и проверять эффективность этих мер предосторожности для обеспечения безопасности нашей обработки Личных данных. Вы несете ответственность за защиту хранящихся у нас Персональных данных. Вы должны применять разумные и надлежащие меры безопасности против незаконной или несанкционированной обработки Личных данных, а также против случайной потери или повреждения Личных данных. Вы должны проявлять особую осторожность при защите чувствительных личных данных от потери и несанкционированного доступа, использования или раскрытия.

Вы должны следовать всем процедурам и технологиям, которые мы внедряем для обеспечения безопасности всех Личных данных с момента их сбора до момента уничтожения. Вы можете передавать Личные данные только сторонним поставщикам услуг, которые согласны соблюдать требуемые политики и процедуры и которые согласны принять адекватные меры в соответствии с запросом.

Вы должны обеспечивать безопасность данных, защищая конфиденциальность, целостность и доступность Личных данных, которые определяются следующим образом:

Конфиденциальность означает, что доступ к личным данным имеют только те люди, которые должны их знать и уполномочены на их использование.
Целостность означает, что личные данные являются точными и пригодными для целей, для которых они обрабатываются.
Доступность означает, что авторизованные пользователи могут получить доступ к Личным данным, когда они необходимы им для авторизованных целей.

Вы должны соблюдать все применимые аспекты нашей политики информационной безопасности и политики соответствия GDPR, действующей время от времени, а также соблюдать и не пытаться обойти административные, физические и технические меры защиты, которые мы применяем и поддерживаем в соответствии с GDPR и соответствующими стандартами для защиты личных данных.

Сообщение о нарушении персональных данных

GDPR требует, чтобы контролеры данных уведомляли о любой утечке персональных данных соответствующий регулирующий орган и, в некоторых случаях, субъекта данных.

Мы разработали процедуры для реагирования на любые подозрения в нарушении персональных данных и уведомим субъектов данных или любой применимый регулирующий орган, если это требуется по закону.

Если вы знаете или подозреваете, что произошла утечка персональных данных, не пытайтесь расследовать это дело самостоятельно. Немедленно свяжитесь с человеком или командой, назначенной ключевым контактным лицом по вопросам нарушения персональных данных, и следуйте плану реагирования на нарушение безопасности. Вы должны сохранить все доказательства, связанные с возможным нарушением персональных данных.

11.Ограничение передачи

GDPR ограничивает передачу данных в страны за пределами ЕЭЗ, чтобы не нарушить уровень защиты данных, обеспечиваемый GDPR для отдельных лиц. Вы передаете личные данные, полученные в одной стране, через границу, когда вы передаете, отправляете, просматриваете или получаете доступ к этим данным в другой стране или в другой стране.

Вы можете передавать Личные данные за пределы ЕЭЗ только при соблюдении одного из следующих условий:

Европейская комиссия приняла решение, подтверждающее, что страна, в которую мы передаем Личные данные, обеспечивает адекватный уровень защиты прав и свобод Субъектов данных;
наличие соответствующих гарантий, таких как обязательные корпоративные правила (BCR), стандартные договорные положения, одобренные Европейской комиссией, утвержденный кодекс поведения или механизм сертификации, копию которого можно получить у DPO;
Субъект данных дал явное согласие на предлагаемую передачу после того, как был проинформирован о любых потенциальных рисках; или
передача необходима по одной из других причин, указанных в GDPR, включая выполнение контракта между нами и Субъектом данных, по причинам общественного интереса, для установления, осуществления или защиты законных требований или для защиты жизненно важных интересов Субъекта данных, если Субъект данных физически или юридически не способен дать Согласие, и, в некоторых ограниченных случаях, в наших законных интересах.

Вы должны соблюдать правила компании по передаче данных за границу.

12. Права и запросы Субъекта данных

Субъекты данных имеют права, когда речь идет о том, как мы обрабатываем их личные данные. К ним относятся права на:

отозвать Согласие на обработку в любое время;
получать определенную информацию о деятельности Контролера данных по обработке данных;
запросить доступ к своим личным данным, которые находятся у нас;
не допускать использования нами их личных данных в целях прямого маркетинга;
попросить нас удалить личные данные, если в них больше нет необходимости в связи с целями, для которых они были собраны или обработаны, или исправить неточные данные, или заполнить неполные данные;
ограничить обработку в определенных обстоятельствах;
вызов Обработка, которая была оправдана на основе наших законных интересов или в общественных интересах;
запросить копию соглашения, в соответствии с которым Личные данные передаются за пределы ЕЭЗ;
возражать против решений, основанных исключительно на автоматизированной обработке, включая профилирование (ADM);
предотвратить обработку, которая может нанести ущерб или причинить страдания Субъекту данных или кому-либо еще;
получать уведомление о нарушении персональных данных, которое может привести к высокому риску для их прав и свобод;
подать жалобу в надзорный орган; и
в ограниченных обстоятельствах получать или запрашивать передачу своих Личных данных третьей стороне в структурированном, общепринятом и машиночитаемом формате.

Вы должны проверить личность человека, запрашивающего данные в соответствии с любым из перечисленных выше прав (не позволяйте третьим лицам убедить вас раскрыть личные данные без соответствующего разрешения).

Вы должны немедленно направить любой полученный вами запрос от субъекта данных своему руководителю и соблюдать установленный в компании порядок реагирования на него.

13. Подотчетность

- Контролер данных должен эффективно применять соответствующие технические и организационные меры для обеспечения соблюдения принципов защиты данных. Контролер данных несет ответственность за соблюдение принципов защиты данных и должен быть в состоянии продемонстрировать их соблюдение.

Компания должна располагать достаточными ресурсами и средствами контроля для обеспечения и документирования соответствия GDPR, включая:

назначение DPO с соответствующей квалификацией (при необходимости) и руководителя, ответственного за конфиденциальность данных;
внедрение Privacy by Design при обработке персональных данных и заполнение DPIA в случаях, когда обработка представляет высокий риск для прав и свобод Субъектов данных;
включение вопросов защиты данных во внутренние документы, включая настоящий Стандарт конфиденциальности, соответствующие политики, уведомления о конфиденциальности или уведомления о добросовестной обработке;
регулярное обучение персонала компании по GDPR, настоящему Стандарту конфиденциальности и соответствующим политикам, а также по вопросам защиты данных, включая, например, права Субъекта данных, Согласие, правовую основу, DPIA и Нарушения персональных данных. Компания должна вести учет посещаемости тренингов персоналом Компании; и
регулярное тестирование применяемых мер по обеспечению конфиденциальности и проведение периодических проверок и аудитов для оценки соответствия, включая использование результатов тестирования для демонстрации усилий по улучшению соответствия.

Ведение учета

GDPR требует, чтобы мы вели полный и точный учет всех наших действий по обработке данных.

Вы должны вести и поддерживать точную корпоративную документацию, отражающую нашу обработку, включая записи о Согласиях Субъектов Данных и процедурах получения Согласий.

Эти записи должны включать, как минимум, имя и контактную информацию Контролера данных и DPO, четкое описание типов персональных данных, типов Субъектов данных, действий по обработке, целей обработки, сторонних получателей персональных данных, мест хранения персональных данных, передачи персональных данных, срока хранения персональных данных и описание принятых мер безопасности. Для создания таких записей необходимо создать карты данных, которые должны включать вышеуказанные детали вместе с соответствующими потоками данных.

Обучение и аудит

Мы обязаны обеспечить, чтобы все сотрудники компании прошли соответствующее обучение, позволяющее им соблюдать законы о конфиденциальности данных. Мы также должны регулярно проверять наши системы и процессы на соответствие требованиям.

Вы должны пройти все обязательные тренинги, связанные с конфиденциальностью данных, и проследить за тем, чтобы ваши сотрудники прошли аналогичные обязательные тренинги.

Вы должны регулярно проверять все системы и процессы, находящиеся под вашим контролем, на предмет их соответствия настоящему Стандарту конфиденциальности, а также проверять наличие адекватных механизмов управления и ресурсов для обеспечения надлежащего использования и защиты Личных данных.

Privacy By Design и оценка воздействия на защиту данных (DPIA)

При обработке личных данных мы обязаны применять меры по принципу «Конфиденциальность по замыслу», применяя соответствующие технические и организационные меры (например, псевдонимизацию) эффективным образом, чтобы обеспечить соблюдение принципов конфиденциальности данных.

Вы должны оценить, какие меры Privacy by Design могут быть реализованы во всех программах/системах/процессах, обрабатывающих персональные данные, принимая во внимание следующее:

состояние дел;
стоимость реализации;
характер, объем, контекст и цели обработки; и
риски различной степени вероятности и серьезности для прав и свобод Субъектов Данных, возникающие в результате Обработки.

Контролеры данных также должны проводить DPIA в отношении обработки с высоким уровнем риска.

Вам следует провести DPIA (и обсудить результаты с DPO) при реализации крупных системных или бизнес-программ, связанных с обработкой персональных данных, в том числе:

использование новых технологий (программ, систем или процессов) или изменение технологий (программ, систем или процессов);
Автоматизированная обработка, включая профилирование и ADM;
крупномасштабная обработка чувствительных данных; и
Крупномасштабный систематический мониторинг общедоступной территории.

DPIA должен включать в себя:

описание обработки, ее целей и законных интересов Контролера данных, если это необходимо;
оценка необходимости и соразмерности обработки по отношению к ее цели;
оценка риска для отдельных лиц; и
меры по снижению рисков и демонстрация их соблюдения.

Автоматизированная обработка (включая профилирование) и автоматизированное принятие решений

Как правило, ADM запрещено, когда решение имеет юридическое или аналогичное значительное влияние на человека, за исключением случаев, когда оно не имеет юридической силы:

Субъект данных дал явное согласие;
Обработка разрешена законом; или
обработка необходима для выполнения или заключения договора.

Если обрабатываются определенные типы чувствительных данных, то основания (b) или (c) не будут разрешены, но такие чувствительные данные могут обрабатываться, если это необходимо (если не могут быть использованы менее интрузивные средства) для обеспечения значительных общественных интересов, например, для предотвращения мошенничества.

Если решение принимается исключительно на основе автоматизированной обработки (включая профилирование), то Субъекты данных должны быть проинформированы при первом общении с ними об их праве на возражение. Это право должно быть явно доведено до их сведения и представлено четко и отдельно от другой информации. Кроме того, должны быть приняты соответствующие меры для защиты прав и свобод Субъекта данных и его законных интересов.

Мы также должны проинформировать Субъекта данных о логике принятия решения или профилирования, значении и предполагаемых последствиях, а также предоставить Субъекту данных право попросить вмешательства человека, выразить свою точку зрения или оспорить решение.

DPIA должен быть проведен до начала любой автоматизированной обработки (включая профилирование) или деятельности ADM.

Прямой маркетинг

При маркетинге для наших клиентов мы подчиняемся определенным правилам и законам о конфиденциальности.

Например, для электронного прямого маркетинга (например, с помощью электронной почты, текстовых сообщений или автоматических звонков) требуется предварительное согласие субъекта данных. Ограниченное исключение для существующих клиентов, известное как «мягкое согласие», позволяет организациям отправлять маркетинговые тексты или электронные письма, если они получили контактные данные в ходе продажи этому лицу, они рекламируют аналогичные продукты или услуги, и они предоставили человеку возможность отказаться от маркетинга при первом сборе данных и в каждом последующем сообщении.

Право на возражение против прямого маркетинга должно быть явно предложено Субъекту данных в понятной форме, чтобы его можно было четко отличить от другой информации.

Возражение Субъекта данных против прямого маркетинга должно быть незамедлительно удовлетворено. Если клиент отказывается в любой момент, его данные должны быть уничтожены как можно скорее. Подавление предполагает сохранение достаточного количества информации, чтобы обеспечить соблюдение маркетинговых предпочтений в будущем.

Обмен персональными данными

Как правило, мы не имеем права передавать личные данные третьим лицам, если не предусмотрены определенные меры предосторожности и договорные отношения.

Вы можете передавать хранящиеся у нас Персональные данные другому сотруднику, агенту или представителю нашей группы (которая включает наши дочерние компании и нашу конечную холдинговую компанию вместе с ее дочерними компаниями) только в том случае, если получатель имеет служебную необходимость знать эту информацию и передача соответствует любым применимым ограничениям на трансграничную передачу.

Вы можете передавать хранящиеся у нас личные данные третьим лицам, например нашим поставщикам услуг, только в том случае, если:

им необходимо знать эту информацию для целей предоставления услуг по контракту;
использование Личных данных в соответствии с Уведомлением о конфиденциальности, предоставленным Субъекту данных, и, если требуется, было получено Согласие Субъекта данных;
третья сторона согласилась соблюдать требуемые стандарты, политики и процедуры безопасности данных и принять адекватные меры безопасности;
передача соответствует любым применимым ограничениям на трансграничную передачу; и
получен полностью оформленный письменный договор, содержащий одобренные GDPR положения о третьих сторонах.

Изменения в настоящем Стандарте конфиденциальности

Мы оставляем за собой право вносить изменения в настоящий Стандарт конфиденциальности в любое время без предварительного уведомления, поэтому, пожалуйста, регулярно возвращайтесь к нему, чтобы получить последнюю копию настоящего Стандарта конфиденциальности.

Настоящий Стандарт конфиденциальности не отменяет действующих национальных законов и нормативных актов о конфиденциальности данных в странах, где работает компания.