(1) POLITICA DE CONFIDENȚIALITATE

În cadrul operațiunilor sale comerciale zilnice, HAIR PROFESSIONAL EOOD utilizează diverse date referitoare la persoane identificate, inclusiv date despre:

Atunci când colectează și utilizează aceste date, organizația se supune diverselor acte legislative care reglementează modul în care pot fi desfășurate aceste activități și măsurile de protecție care trebuie instituite pentru protejarea datelor.

Scopul acestei politici este de a identifica legislația relevantă și de a descrie măsurile pe care HAIR PROFESSIONAL EOOD le adoptă pentru a se asigura că organizația o respectă.

Acest control se aplică tuturor sistemelor, persoanelor și proceselor care alcătuiesc sistemele informaționale ale organizației, inclusiv angajaților, furnizorilor, clienților și altor terți care au acces la sistemele HAIR PROFESSIONAL EOOD.

Politica privind dreptul la viață privată și datele cu caracter personal

Regulamentul general privind protecția datelor din 2016 (GDPR) este unul dintre cele mai importante acte legislative care influențează modul în care HAIR PROFESSIONAL EOOD desfășoară activitățile de prelucrare a informațiilor. Se aplică amenzi semnificative dacă se constată o încălcare a regulamentului conceput pentru protejarea datelor cu caracter personal ale cetățenilor Uniunii Europene. Politica HAIR PROFESSIONAL EOOD este de a asigura respectarea Regulamentului și a celorlalte acte legislative aplicabile, iar acest lucru trebuie să fie clar și demonstrabil în orice moment printr-o responsabilizare adecvată.

În GDPR sunt enumerate numeroase definiții și nu este oportun ca acestea să fie reproduse aici. Cu toate acestea, definițiile fundamentale pentru prezenta politică sunt următoarele:

„Datele cu caracter personal” sunt definite ca:

orice informații privind o persoană fizică prin care aceasta poate fi identificată („persoană vizată”), direct sau indirect, în special prin referire la un element de identificare, precum un nume, un număr de identificare, date de localizare, un identificator online sau la unul ori mai multe elemente specifice identității fizice, fiziologice, genetice, psihice, mentale, economice, culturale sau sociale a persoanei fizice respective;

„Prelucrare” înseamnă:

orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, precum colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

„Operator” înseamnă:

persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern al unui stat membru. Operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern al unui stat membru;

Principii referitoare la prelucrarea datelor cu caracter personal

GDPR se bazează pe o serie de principii fundamentale.

Acestea sunt următoarele:

1. Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată („legalitate, echitate și transparență”);

(b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într-un mod incompatibil cu aceste scopuri; prelucrarea ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice nu este considerată, în conformitate cu articolul 89 alineatul 1, incompatibilă cu scopurile inițiale („limitări legate de scop”);

(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate („reducerea la minimum a datelor”);

(d) exacte și, în cazul în care este necesar, actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt șterse sau rectificate fără întârziere („exactitate”);

(e) păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate prevăzute în prezentul regulament în vederea garantării drepturilor și libertăților persoanei vizate („limitări legate de stocare”);

(f) prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare („integritate și confidențialitate”);

2. Operatorul este responsabil de respectarea alineatului 1 și poate demonstra această respectare („responsabilitate”).

HAIR PROFESSIONAL EOOD se va asigura că respectă toate aceste principii atât în ceea ce privește prelucrarea pe care o efectuează în prezent, cât și în cadrul introducerii unor noi metode de prelucrare, cum ar fi noile sisteme informatice.

Drepturile persoanei vizate

Persoana vizată are, de asemenea, drepturi în temeiul GDPR. Acestea sunt:

1. Dreptul de a fi informat

2. Dreptul de acces

3. Dreptul la rectificare

4. Dreptul la ștergere

5. Dreptul la restricționarea prelucrării

6. Dreptul la portabilitatea datelor

7. Dreptul la opoziție

8. Drepturi privind procesul decizional automatizat și crearea de profiluri

Fiecare dintre aceste drepturi este susținut de proceduri adecvate în cadrul HAIR PROFESSIONAL EOOD, care permit luarea măsurilor necesare în termenele prevăzute de GDPR.
Aceste termene sunt indicate în Tabelul 1 - Termene pentru solicitările persoanelor vizate

Există șase modalități alternative prin care poate fi stabilit caracterul legal al unui anumit caz de prelucrare a datelor cu caracter personal în temeiul GDPR. Politica HAIR PROFESSIONAL EOOD este de a identifica temeiul adecvat pentru prelucrare și de a-l documenta în conformitate cu regulamentul. Opțiunile sunt descrise pe scurt în secțiunile următoare.

Consimțământ

Cu excepția cazului în care prelucrarea este necesară dintr-un motiv permis de GDPR, HAIR PROFESSIONAL EOOD va obține întotdeauna consimțământul explicit al persoanei vizate pentru colectarea și prelucrarea datelor sale. În cazul copiilor cu vârsta sub 16 ani (în anumite state membre ale UE poate fi permisă o vârstă mai mică), va fi obținut consimțământul părinților. Persoanelor vizate li se vor furniza informații transparente privind utilizarea datelor cu caracter personal în momentul obținerii consimțământului și li se vor explica drepturile pe care le au cu privire la datele lor, cum ar fi dreptul de a-și retrage consimțământul. Aceste informații vor fi furnizate gratuit, într-o formă accesibilă și redactate într-un limbaj clar.

Dacă datele cu caracter personal nu sunt obținute direct de la persoana vizată, aceste informații îi vor fi furnizate într-un termen rezonabil de la obținerea datelor și, în orice caz, în decurs de o lună.

Executarea unui contract

Atunci când datele cu caracter personal colectate și prelucrate sunt necesare pentru executarea unui contract cu persoana vizată, nu este necesar consimțământul explicit. Acest lucru se întâmplă adesea atunci când contractul nu poate fi executat fără datele cu caracter personal în cauză, de exemplu, livrarea nu poate fi efectuată fără o adresă la care să fie trimisă.

Obligație legală

Dacă este necesară colectarea și prelucrarea datelor cu caracter personal pentru respectarea legii, nu este necesar consimțământul explicit. Acesta poate fi cazul anumitor date legate, de exemplu, de ocuparea forței de muncă și impozitare, precum și al multor domenii care țin de sectorul public.

Interesele vitale ale persoanei vizate

În cazurile în care datele cu caracter personal sunt necesare pentru protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane fizice, acest fapt poate fi utilizat ca temei legal pentru prelucrare. HAIR PROFESSIONAL EOOD va păstra dovezi rezonabile și documentate că aceasta este situația atunci când motivul respectiv este utilizat ca temei legal pentru prelucrarea datelor cu caracter personal. De exemplu, acesta poate fi utilizat în domeniul asistenței sociale, în special în sectorul public.

Îndeplinirea unei sarcini de interes public

Atunci când HAIR PROFESSIONAL EOOD trebuie să îndeplinească o sarcină pe care o consideră de interes public sau care face parte dintr-o obligație oficială, consimțământul persoanei vizate nu va fi solicitat. Evaluarea interesului public sau a obligației oficiale va fi documentată și prezentată ca dovadă, dacă este necesar.

Interese legitime

Dacă prelucrarea anumitor date cu caracter personal servește intereselor legitime ale HAIR PROFESSIONAL EOOD și se consideră că aceasta nu afectează în mod semnificativ drepturile și libertățile persoanei vizate, acest fapt poate fi stabilit drept motivul legal al prelucrării. Și în acest caz, argumentele care stau la baza acestei poziții vor fi documentate.

Protejarea dreptului la viață privată

HAIR PROFESSIONAL EOOD a adoptat principiul protecției vieții private prin proiectare și va asigura că definirea și planificarea tuturor sistemelor noi sau modificate în mod semnificativ care colectează ori prelucrează date cu caracter personal vor face obiectul unei analize corespunzătoare a aspectelor legate de confidențialitate, inclusiv al realizării uneia sau mai multor evaluări ale impactului asupra protecției datelor.

Evaluarea impactului asupra protecției datelor va include:

· Analizarea modului în care vor fi prelucrate datele cu caracter personal și a scopurilor prelucrării

· Evaluarea necesității și proporționalității prelucrării propuse a datelor cu caracter personal în raport cu scopul (scopurile)

· Evaluarea riscurilor pentru persoanele fizice generate de prelucrarea datelor cu caracter personal

· Stabilirea mecanismelor de control necesare pentru gestionarea riscurilor identificate și pentru demonstrarea respectării legislației

Utilizarea unor tehnici precum reducerea la minimum a datelor și pseudonimizarea va fi analizată atunci când este aplicabilă și adecvată.

Contracte care implică prelucrarea datelor cu caracter personal

HAIR PROFESSIONAL EOOD va asigura că toate relațiile sale care implică prelucrarea datelor cu caracter personal fac obiectul unui contract documentat, care include informațiile și condițiile specifice impuse de GDPR.

Transferuri internaționale de date cu caracter personal

Transferurile de date cu caracter personal în afara Uniunii Europene vor fi analizate cu atenție înainte de efectuarea transferului, pentru a se garanta că acestea se încadrează în limitele impuse de GDPR. Acest lucru depinde parțial de evaluarea Comisiei Europene privind caracterul adecvat al garanțiilor pentru datele cu caracter personal aplicabile în țara destinatară, iar această evaluare se poate modifica în timp.

Transferurile de date cu caracter personal în afara Uniunii Europene vor fi analizate cu atenție înainte de efectuarea transferului, pentru a se garanta că acestea se încadrează în restricțiile impuse de GDPR. Acest lucru depinde parțial de evaluarea Comisiei Europene privind caracterul adecvat al garanțiilor pentru datele cu caracter personal aplicabile în țara destinatară, iar această evaluare se poate modifica în timp.

Transferurile internaționale de date în cadrul unui grup vor face obiectul unor acorduri obligatorii din punct de vedere juridic, denumite "Reguli corporatiste obligatorii", care le conferă persoanelor vizate drepturi executorii.

Responsabilul cu protecția datelor

În conformitate cu GDPR, dacă o organizație este o autoritate publică, dacă efectuează monitorizare la scară largă sau prelucrează la scară largă categorii de date deosebit de sensibile, este necesară desemnarea unui responsabil cu protecția datelor (RPD). RPD trebuie să dețină un nivel adecvat de cunoștințe și poate fi fie o resursă internă, fie un furnizor extern adecvat de servicii căruia i se încredințează această funcție.

HAIR PROFESSIONAL EOOD, în calitatea sa de OPERATOR de date cu caracter personal, va desemna un responsabil cu protecția datelor dacă numărul acestora depășește 10000 de înregistrări.

Notificarea unei încălcări

Politica HAIR PROFESSIONAL EOOD este echitabilă și proporțională atunci când analizează măsurile care trebuie luate pentru a informa părțile afectate cu privire la încălcările securității datelor cu caracter personal. În conformitate cu GDPR, atunci când se constată o încălcare care poate genera un risc pentru drepturile și libertățile persoanelor fizice, autoritatea de supraveghere competentă va fi informată în termen de 72 de ore. Situația va fi gestionată în conformitate cu Procedura noastră de răspuns la incidentele de securitate a informațiilor, care stabilește procesul general de gestionare a incidentelor legate de securitatea informațiilor.

În conformitate cu GDPR, autoritatea competentă pentru protecția datelor are dreptul de a impune, pentru încălcarea regulamentelor, amenzi de până la patru procente din cifra de afaceri anuală la nivel mondial sau de douăzeci de milioane de euro, luându-se în considerare valoarea cea mai mare.

Asigurarea conformității cu GDPR

Au fost întreprinse următoarele acțiuni pentru a garanta că HAIR PROFESSIONAL EOOD respectă în permanență principiul responsabilității prevăzut de GDPR:

· Procedurile care implică date cu caracter personal sunt revizuite periodic

· Protecția dreptului la viață privată este avută în vedere pentru toate sistemele și procesele noi sau modificate

· Se păstrează următoarea documentație privind activitățile de prelucrare:

o Denumirea organizației și datele relevante

o Scopul prelucrării datelor cu caracter personal

o Categoriile de persoane și datele cu caracter personal prelucrate

o Categoriile de destinatari ai datelor cu caracter personal

o Acordurile și mecanismele de transfer al datelor cu caracter personal către țări din afara UE, inclusiv detalii privind măsurile de control implementate

o Termenele de păstrare a datelor cu caracter personal

o Măsurile de control tehnice și organizatorice existente

Aceste acțiuni sunt revizuite periodic în cadrul procesului de management aferent protecției datelor.