Защита на личните данни

Политика за защита на личните данни                                                                                            May 17, 2018

На 2 Л ООД

 

Дружество, което обработва вашите данни:

2 Л ООД; ЕИК 203156572;

адрес на управление, седалище и адрес за кореспонденция: София, Ул Пирин 91,

интернет страница www.osmobg.com,

имейл: Desislava_konova@abv.bg

тел. +359 887 918612

Настоящата политика има за цел да осигури защитата на данните на физическите лица от страна на 2 Л ООД, наричано за краткост Администратора.

Всички термини, използвани в този документ, са в смисъла на дефинирането им в Регламент 2016/679 на Европейския Парламент (Общ регламент относно защитата на данните – ОРЗД/GDPR).

Лични данни

Лични данни са всяка информация, свързана с определено или подлежащо на идентификация физическо лице ("субект на данните"). Разграничително физическо лице може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местоположението, онлайн идентификатор или един или повече фактори, специфични за физическите, физиологичните, генетична, умствена, икономическа, културна или социална идентичност на това физическо лице.

Субект на данните

Субект на данните е всяко идентифицирано или подлежащо на идентификация физическо лице, чиито лични данни се обработват от администратора, отговорен за обработката.

Обработка

Обработка е всяка операция или набор от операции, които се извършват на лични данни или на набори от лични данни, независимо дали чрез автоматизирани средства, като събиране, записване, организация, структуриране, съхранение, адаптиране или промяна, извличане, разкриване чрез предаване, разпространение или по друг начин предоставяне, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Ограничаването на обработката е маркирането на съхраняваните лични данни с цел да се ограничи тяхната обработка в бъдеще.

Профилиране

Профилирането означава всяка форма на автоматизирана обработка на лични данни, състояща се от използването на лични данни за оценка на определени лични аспекти, свързани с физическо лице, по-специално за анализ или предвиждане на аспекти, свързани с работата на физическото лице на работното място, икономическата ситуация, здравето, интересите, надеждността, поведението, местоположението или движенията.

Псевдономизация

Псевдонимизацията е обработката на лични данни по такъв начин, че личните данни вече не могат да се свързват с конкретно физическо лице без използване на допълнителна информация, при условие че тази допълнителна информация се води отделно и подлежи на технически и организационни мерки, за да се гарантира че личните данни не се приписват на идентифицирано или подлежащо на идентификация физическо лице.

Получател

Получателят е физическо или юридическо лице, публичен орган, агенция или друг орган, на който се разкриват личните данни, независимо дали е трета страна или не. Въпреки това публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие със законодателството на Съюза или на държавите-членки, не се считат за получатели; обработването на тези данни от тези публични органи е в съответствие с приложимите правила за защита на данните в съответствие с целите на обработката.

Трета страна

Третата страна е физическо или юридическо лице, публичен орган, агенция или орган, различен от субекта на данните, администратора лицата, които под прякото право на администратора или обслужващият лични данни имат право да обработват лични данни.

Съгласие на субекта на данните

Съгласието на субекта на данните е всяко свободно, конкретно, информирано и недвусмислено посочване на желанията на субекта на данни, с което той, чрез изявление или чрез ясни положителни действия, означава съгласие за обработването на лични данни, свързани с него.

Цели на обработването на данни

Ние събираме и обработваме лични данни, които ни се предоставят във връзка с използването на  на уебсайта и онлайнмагазина включително и за следните цели:

• Сключване и изпълнение на търговска сделка или договор с клиент – целта на тази операция е сключване и изпълнение на договор с търговски партньор или клиент и неговото администриране. В отделни случаи целта на операцията може да бъде и защита на законните интереси на дружеството по изпълнение на сделката. Предвид ограничения обхват на събираните лични данни и обстоятелството, че част от тях се събират от публично достъпни източници, провеждането на оценка на въздействието не е необходимо извършването на оценка на въздействието на операцията.

• Регистрация на потребител в електронния магазин и изпълнение на договор за покупко-продажба – целта на тази операция е създаване на профил за използване на електронния магазин за закупуване на стоки и получаване на бюлетини при изразено желание. Предоставяне на данни за контакт за извършване на доставка на закупени стоки. Предвид ограничения обхват на събираните лични данни, провеждането на оценка на въздействието не е необходимо извършването на оценка на въздействието на операцията.

• Изпращане на информационен бюлетин – целта на тази операция е администриране на процеса по изпращане на бюлетини до клиентите, които са заявили, че желаят да го получават. Предвид ограничения обхват на събираните лични данни, провеждането на оценка на въздействието не е необходимо извършването на оценка на въздействието на операцията.

• Упражняване право на отказ или извършване на рекламация – целта на тази операция е администриране на процеса по изпращане на закупени стоки до клиентите. Предвид ограничения обхват на събираните лични данни, провеждането на оценка на въздействието не е необходимо извършването на оценка на въздействието на операцията.

• Регистрация на участник в събития, семинари и др. и изпращане на информация или награди – целта на тази операция е администриране на процеса по регистрация на участници в събития и игри, и изпращане на награди от проведени игри. Предвид ограничения обхват на събираните лични данни, провеждането на оценка на въздействието не е необходимо извършването на оценка на въздействието на операцията.

• Заявка за доставка на продукт, който не е в наличност – целта на тази операция е установяване на контакт с физическото лице с цел заявка за доставка на продукт, който в момента не е в наличност. Предвид ограничения обхват на събираните лични данни, провеждането на оценка на въздействието не е необходимо извършването на оценка на въздействието на операцията.

• Ние събираме и обработваме данни във връзка с трудови и граждански договори; счетоводни и статистически цели,

• Търговска и маркетингова дейност: Продажби, фактуриране, експедиция на продукти или услуги, регистриране в мобилни приложения или уебсайтове, гаранционен срок, сервизни съобщения. Насърчаване на контакти с потребителите и/или бизнес клиентите, имейл маркетинг, проучвания на пазара, персонализиране на опит чрез представянето на продукти и оферти.

• При обработването и съхранението на личните данни, Администраторът може да обработва и съхранява личните данни с цел защита следните си легитимни интереси, както и за    изпълнение на задълженията си към НАП, НОИ, МВР и други държавни и общински органи.

Администраторът не събира и не обработва чувствителни лични данни, освен в предвидените от закона случаи: например за установяване на годността за работа в определени случаи сме длъжни да изискваме медицинско удостоверение и свидетелство за съдимост. Такива лични данни е възможно да се събират и обработват за изплащане на парични обезщетения при болест, трудоустрояване и майчинство. Администраторът не събира чувствителни лични данни извън тези, за които имам законово задължение.

Администраторът не събира и не обработва лични данни, които разкриват расов или етнически произход; разкриват политически, религиозни или философски убеждения, или членство в синдикални организации; генетични и биометрични данни, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация.

Личните данни са събрани от Администратора от лицата, за които се отнасят.

Администраторът не извършва автоматизирано взимане на решения с данни.

Администраторът не събира и обработва данни за лица под 16 години, освен с изричното съгласие на техните родители или законни представители.

Категории субекти на данни и правни основания за обработване на данните

В дейността си Администраторът има взаимодействие със следните категории субекти на данни:

-              Представители на юридически лица, информацията за които е публично достъпна в регистрите на Агенцията по вписванията

-              Физически лица – потребители на продуктите и услугите на Администратора или потенциални такива

-              Физически лица, участващи в наши презентации, бизнес събития, промоциии др.

-              Физически лица, наети по трудови договори от Администратора или в други договорни отношения с него.

Съобразно нуждите на дейността си Администраторът събира и обработва следните категории лични данни:

Обикновени лични данни – имена, адрес, електронна поща, IP адрес, телефонен номер, ID и парола при влизане в сайта ни (ако се изискват), IBAN на потребителя – за връщане на съответни суми при рекламации и/или отказ от договора.

Друга информация, споделена от субектите на данни доброволно като оценки, коментари, мнения на нашите сайтове.

Администраторът обработва обикновените лични данни и информация за следните цели и на следните основания:

Данните се обработват с цел и на основание сключване и изпълнение на договора от разстояние, сключен между Дружеството и потребител и на основание Закона за счетоводството, Закона за защита на потребителите и др., включително при упражняване на право на връщане и замяна или отказ от закупена стока. Личните данни се набират от самите потребители в специално разработен софтуер за поръчки и се съхраняват в електронен вариант за срок от 10 години, считано от 1 януари на годината, следваща годината на възникване на съответното правоотношение, на основание чл. 12, ал. 1, т. 2 от Закона за счетоводството. След изтичане на срока за съхранение и при положение, че няма документи, подлежащи на предаване в Държавния архив, всички носители на данни от регистъра се унищожават чрез подходящ метод, вкл. и изтриване на резервните електронни копия.

Данни от профили в социални мрежи (публично-достъпната информация от профилите Ви в Google+, Facebook, Instagram). Данните се събират с цел осъществяване на връзка с потребителя и изпращане на информация към него, за целите на регистрация за участие в игра, томбола, кампания и др., както и за маркетингови дейности, на основание законен интерес на Администратора. Основание за обработка на личните Ви данни – Данните Ви за записване в нашите събития, игри, кампании и др. се обработват на основание дадено от Вас изрично съгласие.

Администраторът възлага обработването на личните данни на лица, назначени по трудово правоотношение. Правата и задълженията на отделните лица, обработващи данните, се посочват в съответната длъжностна характеристика.

От съображения за сигурност при посещения в наши офиси/магазини може да се записват данни чрез видео или друго електронно, дигитално или безжично устройство или система за наблюдение (например система за видеонаблюдение).

Съгласие:

Администраторът поддържа информация за данните, събрани въз основа на съгласие на субекта, като за всеки един случай може да докаже, че даденото съгласие е:

-              свободно изразено – не дадено под натиск или заплаха от неблагоприятни последици;

-              конкретно – отделно съгласие за всяка конкретно определена цел, а когато е относимо – и за конкретна категория лични данни;

-              информирано – дадено на основата на пълна, точна и лесно разбираема информация;

-              недвусмислено – не се извлича или предполага на основата на други изявления или действия на лицето;

-              изрично изявление или ясно потвърждаващо действие – не се приема за съгласие мълчанието на даден субект на данни.

С приемането на общите условия и регистрация в електронния магазин или извършване на поръчка без регистрация, или при сключването на писмен договор, между Администратора и Вас се създава договорно отношение, на което основание обработваме Вашите лични данни. Данните Ви за изпращане на информационен бюлетин се обработват на основание дадено от Вас изрично съгласие.

Администраторът поддържа документация (на хартия или в електронен вид) за изразеното съгласие с цел доказване пред компетентните органи. Администраторът осигуряа възможност за оттегляне на дадено съгласие по всяко време толкова лесно, колкото е дадено.

Предоставяне на личните данни

Администраторът осигурява условия, при които личните данни не се разкриват на неупълномощени трети страни, което включва членове на семейството, приятели, държавни органи, дори разследващи такива, ако има основателно съмнение, че не се изискват по установения ред. Всички служители/работници трябва да бъдат предпазливи, когато им поискат да разкрият съхранявани лични данни за друго лице на трета страна. Важно е да се има предвид, дали разкриването на информацията е свързано или не с нуждите на дейността, извършвана от организацията.

Всички искания от трети страни за предоставяне на данни трябва да бъдат подкрепени с подходяща документация и всички такива разкривания на данни трябва да бъдат специално разрешени от Длъжностното лице за защита на данните.

Извън организацията Администраторът предоставя данни на следните контрагенти: Публични органи – НАП, НОИ. На други обработващи лични данни съобразно нуждите на бизнес дейността като например: Куриерска или спедиторска фирма; Счетоводна кантора; IT компании, поддържащи интернет сайтовете на Администратора, имейл платформата и информационна система.

Предаване на лични данни също може да се извършва когато: предаването е необходимо за сключването или изпълнението на договор, сключен в интерес на субекта на данните между администратора и друго физическо или юридическо лице; предаването е необходимо поради важни причини от обществен интерес; предаването е необходимо за установяването, упражняването или защитата на правни претенции; предаването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на други лица, когато субектът на данните е физически или юридически неспособен да даде своето съгласие; предаването се извършва от регистър, който съгласно правото на ЕС или правото на държавите членки е предназначен да предоставя информация на обществеността и е достъпен за справка от обществеността по принцип или от всяко лице, което може да докаже, че има законен интерес за това, но само доколкото условията за справка, установени в правото на Съюза или правото на държавите членки, са изпълнени в конкретния случай.

Съхранение и унищожение на данните

Администраторът не съхранява лични данни във вид, който позволява идентифицирането на субектите за по-дълъг период отколкото е необходимо, по отношение на целите, за които са били събрани данните.

Администраторът може да съхранява данни за по-дълги периоди единствено ако личните данни ще бъдат обработвани за целите на архивиране, за цели в обществен интерес, и за статистически цели, и само при изпълнението на подходящи технически и организационни мерки за гарантиране на правата и свободите на субекта на данните.

Личните данни ще бъдат унищожени сигурно, съгласно принципа за гарантиране подходящо ниво на сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки.

Мерки за сигурност

Администраторът осигурява съответните технически и организационни мерки за сигурност на обработваните данни. Всички служители/работници на Администратора са отговорни за гарантирането на сигурността при съхраняването на данните, за които те отговарят и които събират, както и, че данните се съхраняват сигурно и не се разкриват при каквито и да било обстоятелства на трети страни, освен ако администраторът не е дал такива права на тази трета страна с договор, включващ клауза за поверителност. Всички лични данни трябва да бъдат достъпни само за тези, които се нуждаят от тях, а достъпът може да бъде предоставен само в съответствие с изградените правила за контрол на достъпа.

Принципи при защита на данните

Администраторът извършва цялата обработка на лични данни в съответствие с принципите за защита на данните, посочени в член 5 от Регламент (ЕС) 2016/679. Политиките и процедурите на Администратора имат за цел да гарантират спазването на тези принципи.

Личните данни се обработват законосъобразно, добросъвестно и прозрачно

Законосъобразно – с идентифицирана законна основа/правно основание.

Добросъвестно – Администраторът предоставя необходимата информация на субектите на данни, доколкото това е практически възможно. Това важи независимо дали личните данни са получени директно от субектите на данни или от други източници. Всички формуляри за събиране на данни (електронни или на хартиен носител), включително изискванията за събиране на данни в новите информационни системи, трябва да включват декларация за добросъвестно обработване.

Прозрачно – във всеки един момент Администраторът може да предостави обобщена, кратка и разбираема информация чрез интернет сайта си или по друг достъпен за субектите на данни начин относно:

• идентифициране на дружеството или организацията – наименование и начин за контакт, включително с Длъжностното лице по защита на данните, ако има такова (адрес, електронна поща, телефон и т.н.);

• какви категории лични данни се събират и за какви цели се обработват;

• категории получатели на лични данни извън дружеството или организацията, както и дали ще се предават (трансферират) данни в трети страни извън ЕС;

• срок за съхранение на данните;

• съществуването на конкретни права на субектите на данните (право на достъп, коригиране или изтриване на лични данни, ограничаване на обработването, възражение срещу обработването, преносимост на данните) и реда за упражняването им;

• правото на субектите на данни да подадат жалба до КЗЛД или до съда;

• дали предоставянето на лични данни е задължително по закон или договорно изискване, както и евентуалните последствия, ако тези данни не бъдат предоставени;

• (ако е приложимо) дали има автоматизирано вземане на решения, включително профилиране.

 Ограничение на целите

Лични данни се събират само за конкретни, изрично указани и законни цели и не се обработват по-нататък по начин, несъвместим с тези цели.

По-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“)

Свеждане на данните до минимум

Личните данни трябва да бъдат адекватни, релевантни, ограничени до това, което е необходимо за обработването им със съответната цел с оглед спазване на принципа на минимално необходимото.

Администраторът не събира информация, която не е строго необходима за целта, за която тя е получена.

Точност: Личните данни трябва да бъдат точни и актуализирани във всеки един момент, и да са положени необходимите усилия, за да е възможно незабавно (в рамките на възможните технически решения) изтриване или коригиране.

Данните, които се съхраняват от администратора, трябва да бъдат преглеждани и актуализирани при необходимост. Не се съхраняват данни, в случаите, когато има вероятност да не са точни.

Длъжностното лице за защита на данните е отговорно да гарантира, че целият персонал е обучен в значението на събирането на точни данни и поддържането им.

Длъжностното лице по защита на данните носи отговорност да се гарантира, че са налице подходящи процедури и политики за поддържане на точност и актуалност на личните данни, като се отчита обемът на събраните данни, скоростта, с която може да се промени, други релевантни фактори.

Най-малко на годишна база Длъжностното лице по защита на данните ще преглежда сроковете на съхранение на всички лични данни, обработвани от администратора, като се позовава на инвентаризацията на данните и ще идентифицира всички данни, които вече не се изискват в контекста на регистрираната цел. Тези данни ще бъдат надеждно унищожени в съответствие с процедурите и правилата на администратора.

Длъжностното лице по защита на данните/отговорникът по защита на данните е отговорно за съответствие с искания за корекция на данни в рамките на един месец. Този срок може да бъде удължен с още два месеца за сложни заявки. Ако администраторът реши да не се съобрази с искането, Длъжностното лице по защита на данните трябва да отговори на субекта на данните, за да обясни мотивите си и да го информира за правото му да подаде жалба пред надзорния орган, и да потърси правна защита.

Длъжностното лице за защита на данните е отговорно за вземане на подходящи мерки, в случаите когато организациите на трети страни имат неточни или остарели лични данни, да ги информира, че информацията е неточна или остаряла и е да не се използва за вземане на решения  относно лицата, да информира съответните страни и да препраща всяка корекция на лични данни към  третите страни, където това е необходимо.

Ограничение на съхранението: Личните данни трябва да се съхраняват в такава форма, че субектът на данните може да бъде идентифициран само толкова дълго, колкото е необходимо за обработването.

Когато личните данни се запазват след датата на обработването, те ще бъдат съхранявани по подходящ начин (минимизирани), за да се защити самоличността на субекта на данните в случай на нарушение на данните.

Лични данни ще бъдат пазени в съответствие с Процедура за съхраняване и унищожаване на данните, а след като е преминал срокът им на съхранение, те трябва да бъдат надеждно унищожени по указания в тази процедура ред.

Длъжностното лице за защита на данните специално трябва да одобри всяко запазване на данни, което надхвърля срока на съхранение, дефиниран в Процедура за съхраняване и унищожаване на данните и трябва да гарантира, че обосновката е ясно определена и е в съответствие с изискванията на законодателството за защита на данните. Това одобрение трябва да бъде писмено.

Права от субектите на данните

Администраторът осигурява практическа възможност за упражняване на правата, които Регламент 2016/679 предоставя на субектите на данни:

-        право на достъп до личните данни, които се обработват от дружеството/организацията;

-        право на коригиране или допълване на неточни или непълни лични данни;

-        право на изтриване (право да бъдеш забравен) на лични данни, които се обработват незаконосъобразно или с отпаднало правно основание (изтекъл срок на съхранение, оттеглено съгласие, изпълнена първоначална цел, за която са били събрани и др.);

-        право на ограничаване на обработването – при наличие на правен спор между дружеството/организацията и физическото лице до неговото решаване и/или за установяването, упражняването или защитата на правни претенции;

-        право на преносимост на данните – ако се обработват по автоматизиран начин на основание съгласие или договор. За целта данните се предават в структуриран, широко използван и пригоден за машинно четене формат. Ако е технически осъществимо, прехвърлянето на данните може да стане пряко от един администратор към друг. Правото на преносимост обхваща само данни, предоставени лично от субекта на данни, както и лични данни, генерирани и събрани от неговата дейност.

-        право на възражение – по всяко време и на основания, свързани с конкретната ситуация на лицето, при условие, че не съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или съдебен процес;

-        право да не бъде обект на изцяло автоматизирано решение, включващо профилиране, което поражда правни последствия за субекта на данните или го засяга в значителна степен.

Администраторът има вътрешни процедури за приемане, разглеждане и отговаряне в едномесечен срок на искания от физически лица за упражняване на правата им като субекти на лични данни и създаване на организация за прилагането им на практика.

Уведомяване за нарушение на сигурността на данните: В случай на нарушение на сигурността на личните данни  Администраторът без ненужно забавяне и когато това е осъществимо — не по-късно от 72 часа, след като е разбрал за него, уведомява за нарушението на сигурността на личните данни КЗЛД като надзорен орган за Република България, компетентен в съответствие с член 55, освен ако не съществува вероятност нарушението на сигурността на личните данни да породи риск за правата и свободите на физическите лица. Уведомлението до надзорния орган съдържа причините за забавянето, когато не е подадено в срок от 72 часа.

В уведомлението се съдържа най-малко следното:

-              описание на естеството на нарушението на сигурността на личните данни, включително, ако е възможно, категориите и приблизителният брой на засегнатите субекти на данни и категориите и приблизителното количество на засегнатите записи на лични данни;

-              посочване на името и координатите за връзка на длъжностното лице по защита на данните или на друга точка за контакт, от която може да се получи повече информация;

-              описание на евентуалните последици от нарушението на сигурността на личните данни;

-              описание на предприетите или предложените от администратора мерки за справяне с нарушението на сигурността на личните данни, включително по целесъобразност мерки за намаляване на евентуалните неблагоприятни последици.

Когато и доколкото не е възможно информацията да се подаде едновременно, информацията може да се подаде поетапно без по-нататъшно ненужно забавяне.

Администраторът документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението на сигурността на личните данни, последиците от него и предприетите действия за справяне с него.

Декларация относно политиката по защита на личните данни

Ръководството на Администратора се ангажира да осигури съответствие със законодателството на ЕС и държавите-членки по отношение на обработването на личните данни и защитата на “правата и свободите” на лицата, чиито лични данни Администратора събират и обработват съгласно Общия регламент за защита на данните (Регламент (ЕС) 2016/679).

Регламент (ЕС) 2016/679 и тази политика се отнасят до всички функции по обработването на лични данни, включително тези, които се извършват относно лични данни на клиенти, служители, доставчици и партньори и всякакви други лични данни, които организацията обработва от различни източници.

Тази политика се прилага за всички служители/работници и партньори на Администратора като външни доставчици. Всяко нарушение на Общия регламент ще бъде разглеждано като нарушение на трудовата дисциплина, а в случай че има предположение за извършено престъпление, въпросът ще се предостави за разглеждане в най-кратък възможен срок на съответните държавни органи.

Партньори и трети лица, които работят с или за Администратора, както и които имат или могат да имат достъп до личните данни, ще се очаква да се запознаят, разбират и да се съобразят с тази политика. Никоя трета страна не може да има достъп до лични данни, съхранявани от Администратора, без предварително да е сключила споразумение за поверителност на данните, което налага на третата страна задължения, не по-малко обременяващи от тези, които Администратора са поели, и което дава право на АДМИНИСТРАТОРА да извършва проверки на спазването на наложените със споразумението задължения.

Бисквитки

Уебсайтът www.osmobg.com използва системни "бисквитки". "Бисквитките" са текстови файлове, които се съхраняват в компютърна система чрез интернет браузър. Използваните в WWW.OSMOBG.COM бисквитки за необходими за правилната работа на уебсайта.

Субектът на данните може по всяко време да предотврати настройването на "бисквитките" чрез съответната настройка на използвания интернет браузър и по този начин да откаже окончателно настройването на "бисквитките". Освен това, вече зададените "бисквитки" могат да бъдат изтрити по всяко време чрез интернет браузър или други софтуерни програми. Това е възможно при всички популярни интернет браузъри. Ако обектът на данните деактивира настройката на "бисквитките" в използвания интернет браузър, не всички функции на нашия уеб сайт могат да бъдат напълно използваеми.

София, 17-05-2018

•