Политика — Политика защиты данных GDPR

 

Вы должны прочитать эту политику, потому что она содержит важную информацию о:

 

• принципы защиты данных, которым должна соответствовать Фирма;

• что подразумевается под личной информацией (или данными) и конфиденциальной личной информацией (или данными);

• как мы собираем, используем и (в конечном счете) удаляем личную информацию и конфиденциальную личную информацию в соответствии с принципами защиты данных;

• где можно найти более подробную информацию о конфиденциальности, например, о личной информации, которую мы собираем и используем о вас, о том, как она используется, хранится и передается, для каких целей, о шагах, предпринятых для обеспечения безопасности этой информации, и о том, как долго она хранится;

• ваши права и обязанности в отношении защиты данных; и

• последствия несоблюдения этой политики.

 

1. Вступление

 

1. Фирма получает, хранит и использует личную информацию (также называемую данными) о претендентах на работу, а также о нынешних и бывших сотрудниках, временных и заемных работниках, подрядчиках, стажерах, волонтерах и учениках для ряда конкретных законных целей, как указано в Уведомления фирмы о конфиденциальности в отношении защиты данных, касающиеся найма и трудоустройства.

 

1. Эта политика определяет, как мы соблюдаем наши обязательства по защите данных и стремимся защитить личную информацию, относящуюся к нашей рабочей силе. Его цель также состоит в обеспечении того, чтобы сотрудники понимали и соблюдали правила, регулирующие сбор, использование и удаление личной информации, к которой они могут иметь доступ в ходе своей работы.

 

1. Мы стремимся соблюдать наши обязательства по защите данных, а также быть краткими, четкими и прозрачными в отношении того, как мы получаем и используем личную информацию, относящуюся к нашей рабочей силе, и как (и когда) мы удаляем эту информацию, когда она больше не требуется.

 

1. Сотрудник Фирмы по защите данных отвечает за информирование и консультирование Фирмы и ее сотрудников в отношении их обязательств по защите данных, а также за контроль за соблюдением этих обязательств и политик Фирмы. Если у вас есть какие-либо вопросы или комментарии по содержанию этой политики или если вам нужна дополнительная информация, вам следует связаться с сотрудником по защите данных по электронной почте:dpo@confirmsend.co.

 

1. Объем

 

1. Эта политика распространяется на личную информацию кандидатов на работу, а также нынешних и бывших сотрудников, включая сотрудников, временных и агентских работников, стажеров, волонтеров и учеников.

 

1. Персонал должен ознакомиться с Уведомлением Фирмы о защите данных и, при необходимости, с другими соответствующими политиками, в том числе в отношении Интернета, электронной почты и коммуникаций, мониторинга, социальных сетей, информационной безопасности, хранения данных и сведений о судимости, которые содержат дополнительную информацию о защита личной информации в этих контекстах.

 

1. Мы будем регулярно пересматривать и обновлять эту политику в соответствии с нашими обязательствами по защите данных. Он не является частью трудового договора какого-либо сотрудника, и мы можем время от времени изменять, обновлять или дополнять его. Мы будем распространять любую новую или измененную политику среди сотрудников до ее принятия.

 

1. Определения

 

1. Информация о судимости

означает личную информацию, касающуюся уголовных приговоров и правонарушений, заявлений, разбирательств и связанных с ними мер безопасности;

 

1. Данные нарушения

означает нарушение безопасности, ведущее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к личной информации;

 

1. Субъект данных

означает физическое лицо, к которому относится личная информация;

 

1. Персональная информация

(иногда называемые персональными данными) означает информацию, относящуюся к физическому лицу, которое может быть идентифицировано (прямо или косвенно) по этой информации;

 

1. Обработка информации

означает получение, запись, организацию, хранение, изменение, извлечение, раскрытие и/или уничтожение информации, а также использование или любые действия с ней;

 

1. Псевдонимизированный

означает процесс, при котором личная информация обрабатывается таким образом, что ее нельзя использовать для идентификации лица без использования дополнительной информации, которая хранится отдельно и подлежит техническим и организационным мерам, гарантирующим, что личная информация не может быть отнесена к идентифицируемое лицо;

 

1. Конфиденциальная личная информация

(иногда называемая «специальными категориями персональных данных» или «конфиденциальными персональными данными») означает личную информацию о расе, этническом происхождении, политических взглядах, религиозных или философских убеждениях, членстве (или не членстве) в профсоюзах, генетической информации, биометрическая информация (если используется для идентификации личности) и информация, касающаяся здоровья, сексуальной жизни или сексуальной ориентации человека.

 

1. Принципы защиты данных

 

1. Фирма будет соблюдать следующие принципы защиты данных при обработке личной информации:

 

1. мы будем обрабатывать личную информацию законно, справедливо и прозрачно;

 

1. мы будем собирать личную информацию только для определенных, явных и законных целей и не будем обрабатывать ее способом, несовместимым с этими законными целями;

 

1. мы будем обрабатывать только ту личную информацию, которая является адекватной, актуальной и необходимой для соответствующих целей;

 

1. мы будем хранить точную и актуальную личную информацию и предпринимать разумные шаги для обеспечения того, чтобы неточная личная информация была удалена или исправлена без промедления;

 

1. мы будем хранить личную информацию в форме, позволяющей идентифицировать субъектов данных, не дольше, чем это необходимо для целей, для которых обрабатывается информация; и

 

1. мы предпримем соответствующие технические и организационные меры для обеспечения безопасности и защиты личной информации от несанкционированной или незаконной обработки, а также от случайной потери, уничтожения или повреждения.

 

1. Основание для обработки личной информации

 

1. В отношении любой деятельности по обработке мы будем, прежде чем обработка начнется в первый раз, а затем регулярно, пока она продолжается:

 

1. рассмотреть цели конкретной деятельности по обработке и выбрать наиболее подходящее законное основание (или основания) для этой обработки, т. е.:

 

1. что субъект данных дал согласие на обработку;

 

1. что обработка необходима для выполнения договора, стороной которого является субъект данных, или для принятия мер по запросу субъекта данных до заключения договора;

 

1. что обработка необходима для соблюдения юридического обязательства, которому подчиняется Фирма;

 

1. что обработка необходима для защиты жизненно важных интересов субъекта данных или другого физического лица;

 

1. что обработка необходима для выполнения задачи, выполняемой в общественных интересах

 

1. что обработка необходима для целей законных интересов Фирмы или третьей стороны, за исключением случаев, когда эти интересы перевешивают интересы основных прав и свобод субъекта данных — см. пункт 5.2 ниже.

 

1. за исключением случаев, когда обработка основана на согласии, убедиться в том, что обработка необходима для целей соответствующих законных оснований (т. е. нет другого разумного способа для достижения этой цели);

 

1. задокументировать наше решение относительно применимого законного основания, чтобы продемонстрировать соблюдение нами принципов защиты данных;

 

 

1. включать информацию как о целях обработки, так и о законных основаниях для нее в наши соответствующие уведомления о конфиденциальности;

 

1. если обрабатывается конфиденциальная личная информация, также определите законное особое условие для обработки этой информации (см. параграф 6.2.2 ниже) и задокументируйте его; и

 

1. если обрабатывается информация об уголовном преступлении, также определите законные условия для обработки этой информации и задокументируйте ее.

 

1. При определении того, являются ли законные интересы Фирмы наиболее подходящим основанием для законной обработки, мы:

 

1. провести оценку законных интересов (LIA) и вести ее учет, чтобы убедиться, что мы можем обосновать свое решение;

 

1. если LIA обнаружит значительное влияние на конфиденциальность, подумайте, нужно ли нам также проводить оценку воздействия на защиту данных (DPIA)

 

1. держите LIA в поле зрения и повторяйте его, если обстоятельства изменятся; и

 

1. включить информацию о наших законных интересах в наше соответствующее уведомление о конфиденциальности.

 

1. Конфиденциальная личная информация

 

1. Конфиденциальную личную информацию иногда называют «особыми категориями персональных данных» или «конфиденциальными персональными данными».

 

1. Время от времени Фирме может потребоваться обработка конфиденциальной личной информации. Мы будем обрабатывать конфиденциальную личную информацию только в том случае, если:

 

1. у нас есть законное основание для этого, как указано в параграфе 5.1.1 выше, например, это необходимо для выполнения трудового договора, для соблюдения юридических обязательств Фирмы или для целей законных интересов Фирмы; и

 

1. применяется одно из особых условий обработки конфиденциальной личной информации, например:

 

1. субъект данных дал явное согласие;

 

1. обработка необходима для осуществления трудовых прав или обязанностей Фирмы или субъекта данных;

 

1. обработка необходима для защиты жизненно важных интересов субъекта данных, и субъект данных физически не способен дать согласие;

 

1. обработка относится к персональным данным, которые явно обнародованы субъектом данных;

 

1. обработка необходима для установления, осуществления или защиты юридических требований; или же

 

1. обработка необходима по причинам, представляющим значительный общественный интерес.

 

1. Перед обработкой любой конфиденциальной личной информации сотрудники должны уведомить сотрудника по защите данных о предлагаемой обработке, чтобы сотрудник по защите данных мог оценить, соответствует ли обработка указанным выше критериям.

 

1. Конфиденциальная личная информация не будет обрабатываться до тех пор, пока:

 

1. проведена оценка, указанная в пункте 6.3; и

 

1. физическое лицо было должным образом проинформировано (посредством уведомления о конфиденциальности или иным образом) о характере обработки, целях, для которых она осуществляется, и правовых основаниях для нее.

 

1. Фирма не будет осуществлять автоматическое принятие решений (включая профилирование) на основе конфиденциальной личной информации какого-либо лица.

 

1. В Уведомлении Фирмы о защите данных о конфиденциальности указаны типы конфиденциальной личной информации, которую обрабатывает Фирма, для чего она используется, а также законные основания для обработки.

 

1. В отношении конфиденциальной личной информации Фирма будет соблюдать процедуры, изложенные в пунктах 6.8 и 6.9 ниже, чтобы убедиться, что она соответствует принципам защиты данных, изложенным в пункте 4 выше.

 

1. Во время процесса найма: Менеджер-офицер под руководством сотрудника по защите данных обеспечит (за исключением случаев, когда законом разрешено иное):

 

1. на этапах составления короткого списка, собеседования и принятия решения не задаются вопросы, касающиеся конфиденциальной личной информации, например, о расе или этническом происхождении, членстве в профсоюзе или состоянии здоровья;

 

1. если получена конфиденциальная личная информация, например, заявитель предоставляет ее без запроса в своем резюме или во время собеседования, запись об этом не ведется, и любая ссылка на нее немедленно удаляется или редактируется.

 

1. любая заполненная форма мониторинга равных возможностей хранится отдельно от формы заявления отдельного лица, и ее не может видеть лицо, включающее в окончательный список, проводящее собеседование или принимающее решение о приеме на работу;

 

1. Проверка «права на работу» проводится до того, как предложение о работе делается безоговорочно, а не на более ранних этапах составления короткого списка, собеседования или принятия решения;

 

1. мы не будем задавать вопросы о здоровье в связи с приемом на работу или задавать вопросы о здоровье только после того, как будет сделано предложение о работе.

 

1. Во время работы: офис-менеджер под руководством сотрудника по защите данных будет обрабатывать:

 

1. медицинская информация для целей управления выплатами по болезни, ведения записей об отсутствии по болезни, контроля за посещаемостью персонала и облегчения связанных с работой пособий по болезни и здоровью;

 

1. конфиденциальная личная информация для целей мониторинга равных возможностей и отчетности о равенстве в оплате труда. По возможности эта информация будет обезличена; и

 

1. информация о членстве в профсоюзе для целей управления персоналом и проведения «отметок».

 

 

1. Информация о судимости

 

1. Информация о судимостях будет обрабатываться в соответствии с Политикой компании в отношении информации о судимости.

 

1. Оценка воздействия на защиту данных (DPIA)

 

1. Если обработка может привести к высокому риску прав человека на защиту данных (например, если Фирма планирует использовать новую форму технологии), перед началом обработки мы проведем DPIA для оценки:

 

1. является ли обработка необходимой и соразмерной по отношению к ее цели;

 

1. риски для физических лиц; и

 

1. какие меры можно принять для устранения этих рисков и защиты личной информации.

 

1. Прежде чем внедрять какую-либо новую форму технологии, ответственный менеджер должен связаться с сотрудником по защите данных, чтобы можно было провести DPIA.

 

1. В ходе любого DPIA Партнер будет обращаться за советом к сотруднику по защите данных, а также за мнением любых других соответствующих заинтересованных сторон.

 

1. Документация и записи

 

1. Мы будем вести письменный учет действий по обработке данных, которые сопряжены с высоким риском, т. е. могут привести к риску для прав и свобод людей или включать конфиденциальную личную информацию или информацию о судимости, в том числе:

 

1. название и реквизиты организации работодателя (и, где применимо, других контролеров, представителя работодателя и DPO)

 

1. цели обработки;

 

1. описание категорий физических лиц и категорий персональных данных;

 

1. категории получателей персональных данных;

 

1. в соответствующих случаях, сведения о передачах в третьи страны, включая документацию о действующих гарантиях механизма передачи;

 

1. по возможности, графики хранения; и

 

1. по возможности описание технических и организационных мер безопасности.

 

1. В рамках нашего отчета об обработке мы документируем или ссылаемся на документацию по:

 

1. информация, необходимая для уведомлений о конфиденциальности;

 

1. записи о согласии;

 

1. контракты контроллер-процессор;

 

1. местонахождение личной информации;

 

1. DPIA; и

 

1. записи об утечках данных.

 

1. Если мы обрабатываем конфиденциальную личную информацию или информацию о судимости, мы будем вести письменные записи о:

 

1. соответствующие цели, для которых осуществляется обработка, в том числе (при необходимости, почему это необходимо для этой цели;

 

1. законная основа для нашей обработки; и

 

1. сохраняем ли мы и удаляем личную информацию в соответствии с нашим политическим документом, и, если нет, причины несоблюдения нашей политики.

 

1. Мы будем проводить регулярные проверки личной информации, которую мы обрабатываем, и соответствующим образом обновлять нашу документацию. Это может включать:

 

1. проведение информационных аудитов для выяснения того, какой личной информацией владеет Фирма;

 

1. распространение анкет и общение с сотрудниками Фирмы, чтобы получить более полное представление о нашей деятельности по обработке данных; и

 

1. пересмотр наших политик, процедур, контрактов и соглашений в таких областях, как хранение, безопасность и совместное использование данных.

 

1. Уведомление о конфиденциальности

 

1. Фирма будет время от времени выпускать уведомления о конфиденциальности, информируя вас о личной информации, которую мы собираем и храним в отношении вас, о том, как вы можете ожидать, что ваша личная информация будет использоваться и для каких целей.

 

1. Мы примем соответствующие меры для предоставления информации в уведомлениях о конфиденциальности в краткой, прозрачной, понятной и легкодоступной форме, используя четкий и простой язык.

 

1. Индивидуальные права

 

1. Вы (вместе с другими субъектами данных) имеете следующие права в отношении вашей личной информации:

 

1. получать информацию о том, как, почему и на каком основании обрабатывается эта информация — см. Уведомление Фирмы о защите данных о конфиденциальности;

 

1. получить подтверждение того, что ваша информация обрабатывается, и получить доступ к ней и определенной другой информации, сделав запрос на субъектный доступ — см. Политику запросов на субъектный доступ Фирмы;

 

1. на исправление данных, если они неточны или неполны;

 

1. удалить данные, если они больше не нужны для той цели, для которой они были первоначально собраны/обработаны, или если для обработки нет преимущественных законных оснований (это иногда называют «правом на забвение»);

 

1. ограничить обработку личной информации, если точность информации оспаривается, или обработка является незаконной (но вы не хотите, чтобы данные были удалены), или если работодателю больше не нужна личная информация, но вы требуете, чтобы данные устанавливать, осуществлять или защищать судебный иск; и

 

1. временно ограничить обработку личной информации, если вы не считаете ее точной (и работодатель проверяет ее точность) или если вы возражаете против обработки (и работодатель рассматривает вопрос о том, превалируют ли законные основания организации над вашими интересами ).

 

1. Если вы хотите воспользоваться какими-либо правами, указанными в пунктах с 11.1.3 по 11.1.6, обратитесь к сотруднику по защите данных.

 

1. Индивидуальные обязательства

 

1. Физические лица несут ответственность за помощь Фирме в обновлении их личной информации. Вы должны сообщить Офис-менеджеру, если информация, которую вы предоставили Фирме, изменится, например, если вы переедете или измените реквизиты счета в банке или строительном кооперативе, на который вы получаете оплату.

 

1. Вы можете иметь доступ к личной информации других сотрудников, поставщиков и клиентов Фирмы в ходе вашей работы или участия. Если это так, Фирма ожидает, что вы поможете выполнить свои обязательства по защите данных перед этими лицами. Например, вы должны знать, что они также могут пользоваться правами, изложенными в пункте 11.1 выше.

 

 

1. Если у вас есть доступ к личной информации, вы должны:

 

1. получать доступ только к той личной информации, на доступ к которой у вас есть полномочия, и только в разрешенных целях;

 

1. разрешать другим сотрудникам Фирмы доступ к личной информации только в том случае, если у них есть соответствующие полномочия;

 

1. разрешать лицам, не являющимся сотрудниками Фирмы, доступ к личной информации только в том случае, если у вас есть на это особые полномочия от сотрудника по защите данных;

 

1. хранить личную информацию в безопасности (например, соблюдая правила доступа в помещения, доступа к компьютеру, защиты паролем и безопасного хранения и уничтожения файлов, а также другие меры предосторожности, изложенные в Политике информационной безопасности Фирмы);

 

1. не удалять личную информацию или устройства, содержащие личную информацию (или которые могут быть использованы для доступа к ней), из помещений Фирмы, если не приняты соответствующие меры безопасности (такие как псевдонимизация, шифрование или защита паролем) для защиты информации и устройства; и

 

1. не хранить личную информацию на локальных дисках или личных устройствах, используемых в рабочих целях;

 

1. Вам следует связаться с сотрудником по защите данных, если вы обеспокоены или подозреваете, что произошло (или происходит или может произойти) одно из следующих действий:

 

1. обработка персональных данных без законного основания для их обработки или, в случае конфиденциальной личной информации, без выполнения одного из условий пункта 6.2.2;

 

1. любое нарушение данных, как указано в пункте 15.1 ниже;

 

1. доступ к личной информации без надлежащего разрешения;

 

1. личная информация не хранится или не удаляется безопасным образом;

 

1. удаление личной информации или устройств, содержащих личную информацию (или которые могут быть использованы для доступа к ней), из помещений Фирмы без принятия соответствующих мер безопасности;

 

1. любое другое нарушение настоящей политики или любого из принципов защиты данных, изложенных в пункте 4.1 выше.

 

1. Информационной безопасности

 

1. Фирма будет использовать соответствующие технические и организационные меры в соответствии с Политикой информационной безопасности Фирмы для обеспечения безопасности личной информации и, в частности, для защиты от несанкционированной или незаконной обработки и от случайной потери, уничтожения или повреждения. К ним могут относиться:

 

1. обеспечение того, чтобы, где это возможно, личная информация была псевдонимизирована или зашифрована;

 

1. обеспечение постоянной конфиденциальности, целостности, доступности и отказоустойчивости систем обработки и услуг;

 

1. обеспечение своевременного восстановления доступности и доступа к личной информации в случае физического или технического инцидента; и

 

1. процесс регулярного тестирования, анализа и оценки эффективности технических и организационных мер по обеспечению безопасности обработки.

 

1. В тех случаях, когда Фирма использует внешние организации для обработки личной информации от своего имени, в договорах с этими организациями необходимо предусмотреть дополнительные меры безопасности для обеспечения безопасности личной информации. В частности, контракты с внешними организациями должны предусматривать, что:

 

1. организация может действовать только по письменному указанию Фирмы;

 

1. лица, обрабатывающие данные, обязаны хранить конфиденциальность;

 

1. принимаются соответствующие меры для обеспечения безопасности обработки;

 

1. субподрядчики привлекаются только с предварительного согласия Фирмы и по письменному договору;

 

1. организация будет помогать Фирме в предоставлении предметного доступа и разрешении физическим лицам осуществлять свои права в отношении защиты данных;

 

1. организация будет помогать Фирме в выполнении ее обязательств в отношении безопасности обработки, уведомления об утечке данных и оценки воздействия на защиту данных;

 

1. организация удалит или вернет всю личную информацию Фирме в соответствии с запросом в конце контракта; и

 

1. организация будет подвергаться аудитам и инспекциям, предоставлять Фирме любую информацию, которая ей необходима, чтобы гарантировать, что они оба выполняют свои обязательства по защите данных, и немедленно сообщает Фирме, если ее просят сделать что-то, нарушающее закон о защите данных.

 

1. Прежде чем будет заключено какое-либо новое соглашение, связанное с обработкой личной информации внешней организацией, или будет изменено существующее соглашение, соответствующий персонал должен запросить утверждение его условий у сотрудника по защите данных;

 

1. Хранение и хранение личной информации

 

1. Личная информация (и конфиденциальная личная информация) будет надежно храниться в соответствии с Политикой информационной безопасности Фирмы.

 

1. Личная информация (и конфиденциальная личная информация) не должна храниться дольше, чем это необходимо. Срок хранения данных будет зависеть от обстоятельств, в том числе от причин, по которым была получена личная информация. Персонал должен следовать Политике хранения документации Фирмы, в которой указан соответствующий срок хранения или критерии, которые следует использовать для определения срока хранения. В случае возникновения какой-либо неопределенности персонал должен проконсультироваться [со специалистом по защите данных;

 

1. Личная информация (и конфиденциальная личная информация), которая больше не требуется, будет безвозвратно удалена из наших информационных систем, а любые печатные копии будут надежно уничтожены.

 

1. Утечки данных

 

1. Утечка данных может принимать различные формы, например:

 

1. потеря или кража данных или оборудования, на котором хранится личная информация;

 

1. несанкционированный доступ или использование личной информации сотрудником или третьей стороной;

 

1. потеря данных в результате отказа оборудования или систем (включая аппаратное и программное обеспечение);

 

1. человеческая ошибка, такая как случайное удаление или изменение данных;

 

1. непредвиденные обстоятельства, такие как пожар или наводнение;

 

1. преднамеренные атаки на ИТ-системы, такие как взлом, вирусы или фишинг; и

 

1. «разоблачение» преступлений, когда информация получена путем обмана организации, которая ее хранит.

 

1. Фирма будет:

 

1. без неоправданной задержки и, по возможности, в течение 72 часов после того, как стало известно об этом, направить требуемый отчет об утечке данных в Управление Уполномоченного по информации, если это может привести к риску для прав и свобод людей; и

 

1. уведомить затронутых лиц, если утечка данных может привести к высокому риску для их прав и свобод, и уведомление требуется по закону.

 

1. Международные переводы

 

1. Фирма может передавать личную информацию за пределы Европейской экономической зоны (ЕЭЗ) (в которую входят страны Европейского Союза, а также Исландия, Лихтенштейн и Норвегия) на том основании, что эта страна, территория или организация имеют достаточный уровень защиты или что организация, получающая информацию, обеспечила надлежащие гарантии посредством обязательных корпоративных правил или стандартных положений о защите данных, или соблюдения утвержденного кодекса поведения, или с явного согласия клиента.

 

1. Тренировка

 

1. Фирма гарантирует, что сотрудники должным образом обучены своим обязанностям по защите данных. Лица, чьи роли требуют регулярного доступа к личной информации или которые несут ответственность за реализацию этой политики или ответы на запросы субъекта о доступе в соответствии с этой политикой, пройдут дополнительное обучение, которое поможет им понять свои обязанности и способы их выполнения.

 

1. Последствия несоблюдения

 

1. Фирма очень серьезно относится к соблюдению этой политики. Несоблюдение политики:

 

1. подвергает риску лиц, чьи персональные данные обрабатываются; и

 

1. несет риск значительных гражданских и уголовных санкций для физического лица и Фирмы; и

 

1. может, в некоторых обстоятельствах, приравниваться к уголовному правонарушению со стороны лица.

 

1. Из-за важности этой политики несоблюдение сотрудником любого из ее требований может привести к дисциплинарным мерам в соответствии с нашими процедурами, и это действие может привести к увольнению за грубые нарушения. Если лицо, не являющееся сотрудником, нарушает эту политику, его контракт может быть расторгнут с немедленным вступлением в силу.

 

1. Если у вас есть какие-либо вопросы или опасения по поводу чего-либо в этой политике, не стесняйтесь обращаться к сотруднику по защите данных;

 

 

 

Я прочитал и понял эту политику и согласен соблюдать ее условия.

 

Подпись ................................................................ ................................................. .