Polityka ochrony danych („Polityka”)

Celem Polityki jest:

• i. Przestrzeganie prawa.
• ii. Stosowanie dobrych praktyk.
• iii. Ochrona klientów, personelu i innych osób.
• iv. Ochrona Spółki.

2. Wszelkie dane osobowe (w rozumieniu tego terminu określonym w ogólnym rozporządzeniu o ochronie danych („RODO”)) zbierane, przechowywane i przetwarzane przez WORKPLACED będą zbierane, przechowywane, przekazywane i przetwarzane wyłącznie zgodnie z RODO i Polityką WORKPLACED. W związku z tym niniejsza Polityka ma zastosowanie do każdego serwera, bazy danych i systemu informatycznego, który obsługuje takie dane, w tym do każdego urządzenia regularnie używanego do obsługi poczty elektronicznej, dostępu do internetu lub innych zadań związanych z pracą. Niniejszej polityce podlega również każdy użytkownik korzystający z usług informatycznych spółki. Informacje sklasyfikowane jako publiczne nie podlegają niniejszej Polityce. Inne dane mogą zostać wyłączone z Polityki przez kierownictwo WORKPLACED ze względu na konkretne potrzeby biznesowe, na przykład gdy ochrona danych jest zbyt kosztowna lub złożona.

3. Dział IT WORKPLACED („Dział IT”) odpowiada za:

• i. Informowanie Zarządu WORKPLACED o obowiązkach w zakresie ochrony danych.
• ii. Przegląd polityki ochrony danych i polityk powiązanych.
• iii. Doradzanie pozostałym pracownikom w trudnych kwestiach dotyczących ochrony danych.
• iv. Zapewnienie, że odbywa się wdrożenie i szkolenie z zakresu ochrony danych.
• v. Obsługę wniosków osób, których dane dotyczą, o dostęp do danych.
• vi. Zatwierdzanie nietypowych lub kontrowersyjnych przypadków ujawnienia danych osobowych.
• vii. Zatwierdzanie umów z Podmiotami przetwarzającymi.

4. Od wszystkich pracowników i wolontariuszy należy wymagać przeczytania, zrozumienia i zaakceptowania wszelkich polityk i procedur dotyczących danych osobowych, z którymi mogą mieć do czynienia w trakcie swojej pracy. (Od tego miejsca, gdy używane jest określenie „pracownicy”, obejmuje ono zarówno pracowników otrzymujących wynagrodzenie, jak i wolontariuszy).

5. Dział IT zapewni istnienie mechanizmów kontroli bezpieczeństwa danych, które obejmują co najmniej, lecz nie wyłącznie, logiczne rozdzielenie danych, ograniczony (np. oparty na rolach) dostęp i monitorowanie oraz stosowanie dostępnych na rynku i standardowych w branży technologii szyfrowania danych osobowych.

6. Wszystkie wiadomości e-mail zawierające dane osobowe muszą być szyfrowane.

7. WORKPLACED zapewni wszystkim pracownikom i zakontraktowanym podmiotom trzecim dostęp do informacji potrzebnych im do wykonywania obowiązków w sposób możliwie najbardziej skuteczny i efektywny. W związku z tym:

• a. Każdy użytkownik jest identyfikowany za pomocą unikalnego identyfikatora użytkownika, tak aby poszczególne osoby mogły ponosić odpowiedzialność za swoje działania.
• b. Korzystanie ze wspólnych tożsamości jest dozwolone wyłącznie tam, gdzie jest to odpowiednie, na przykład w przypadku kont szkoleniowych lub kont usługowych.
• c. Każdy użytkownik przeczyta niniejszą politykę bezpieczeństwa danych i podpisze oświadczenie, że rozumie warunki dostępu.
• d. Rejestry dostępu użytkowników mogą być wykorzystywane jako dowody w dochodzeniach dotyczących incydentów bezpieczeństwa.
• e. Dostęp jest przyznawany zgodnie z zasadą najmniejszych uprawnień, co oznacza, że każdemu użytkownikowi, aplikacji i usłudze przyznaje się najmniejszy zakres uprawnień niezbędny do wykonania ich zadań.

• a. Wszyscy pracownicy i wykonawcy otrzymują dostęp do sieci zgodnie z biznesowymi procedurami kontroli dostępu i zasadą najmniejszych uprawnień.
• b. Wszyscy pracownicy i wykonawcy mający zdalny dostęp do sieci WORKPLACED są uwierzytelniani wyłącznie za pomocą mechanizmu uwierzytelniania VPN.
• c. Segmentacja sieci jest wdrażana zgodnie z zaleceniami badań WORKPLACED dotyczących bezpieczeństwa sieci. Administratorzy sieci grupują usługi informacyjne, użytkowników i systemy informacyjne w odpowiedni sposób, aby osiągnąć wymaganą segmentację.
• d. Wdrażane są mechanizmy kontroli routingu sieciowego wspierające politykę kontroli dostępu.

• a. Wszyscy użytkownicy muszą blokować ekrany za każdym razem, gdy odchodzą od biurka, aby ograniczyć ryzyko nieuprawnionego dostępu.
• b. Wszyscy użytkownicy muszą przy wyjściu pozostawić swoje miejsce pracy wolne od jakichkolwiek informacji wrażliwych lub poufnych.
• c. Wszyscy użytkownicy muszą zachować swoje hasła w tajemnicy i nie udostępniać ich.

• a. Wszyscy pracownicy i wykonawcy WORKPLACED otrzymują dostęp do danych i aplikacji wymaganych do wykonywania ich obowiązków służbowych.
• b. Wszyscy pracownicy i wykonawcy WORKPLACED uzyskują dostęp do danych i systemów wrażliwych wyłącznie wtedy, gdy istnieje uzasadniona potrzeba biznesowa i posiadają zgodę wyższego kierownictwa.
• c. Systemy wrażliwe są fizycznie lub logicznie odizolowane w celu ograniczenia dostępu wyłącznie do upoważnionego personelu.

• a. Dostęp do danych sklasyfikowanych jako „Poufne” lub „Zastrzeżone” jest ograniczony do upoważnionych osób, których obowiązki służbowe tego wymagają, zgodnie z ustaleniami Polityki lub wyższego kierownictwa WORKPLACED.
• b. Odpowiedzialność za wdrożenie ograniczeń dostępu spoczywa na Dziale IT.

12. Danych osobowych nie wolno przekazywać na urządzenie stanowiące osobistą własność pracownika, a dane osobowe mogą być przekazywane na urządzenia należące do agentów, wykonawców lub innych podmiotów działających w imieniu WORKPLACED wyłącznie wtedy, gdy dany podmiot zgodził się w pełni przestrzegać litery i ducha niniejszej Polityki oraz AVG (RODO) (co może obejmować wykazanie WORKPLACED, że podjęto wszystkie odpowiednie środki techniczne i organizacyjne).

13. Dział IT zapewni procedury operacyjne i mechanizmy kontroli gwarantujące bezpieczne usunięcie każdej części systemów informatycznych lub każdego nośnika, tak aby wszelkie informacje lub dane w systemach informatycznych stały się nieczytelne lub niemożliwe do odzyskania, zanim zostaną one trwale usunięte z posiadania WORKPLACED lub z niego zwolnione.

14. W przypadku gdy dane osobowe mają zostać usunięte lub w inny sposób wyeliminowane z jakiejkolwiek przyczyny (w tym gdy wykonano kopie, które nie są już potrzebne), muszą zostać bezpiecznie usunięte. Kopie papierowe należy niszczyć w niszczarce, a kopie elektroniczne usuwać w sposób trwały.

15. Dział IT zapewni stosowanie odpowiednich środków technicznych i organizacyjnych w celu ochrony przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem danych osobowych oraz przed przypadkową utratą, zniszczeniem lub uszkodzeniem danych osobowych. Odpowiednio do szkody, która mogłaby wyniknąć z nieuprawnionego lub niezgodnego z prawem przetwarzania albo z przypadkowej utraty, zniszczenia lub uszkodzenia chronionych danych, oraz do charakteru chronionych danych, z uwzględnieniem stanu rozwoju technologicznego i kosztów wdrożenia środków (środki te mogą obejmować, w stosownych przypadkach, pseudonimizację i kodowanie danych osobowych, zapewnienie poufności, integralności, dostępności i odporności systemów i usług, zapewnienie dostępności danych osobowych i dostępu do nich, terminowe przywrócenie dostępności tych danych i dostępu do nich w razie incydentu oraz regularne przeglądanie i ocenianie skuteczności środków technicznych i organizacyjnych podjętych przez Komisję).

16. Wszystkie elektroniczne kopie danych osobowych muszą być bezpiecznie przechowywane z użyciem haseł i szyfrowania danych.

17. Dostęp do danych osobowych przechowywanych przez WORKPLACED mają wyłącznie Użytkownicy, którzy potrzebują dostępu do danych osobowych i korzystania z nich, aby prawidłowo wykonywać powierzone im zadania.

18. Wszyscy Użytkownicy, którzy przetwarzają dane osobowe dla WORKPLACED i w jego imieniu, podlegają postanowieniom Polityki ochrony danych WORKPLACED i muszą ich przestrzegać.