Zakres stosowania zasad ochrony danych
Niniejsze zasady obejmują przetwarzanie danych osobowych związane z oferowaniem użytkownikom w Polsce produktów oraz z obsługą zamówień, płatności, dostaw, kontaktów z klientami i innych powiązanych usług świadczonych przez platformę.
Ochrona przewidziana przez GDPR, określane w Polsce jako RODO, może mieć zastosowanie również wtedy, gdy konkretne operacje na danych odbywają się poza Europejskim Obszarem Gospodarczym. Dotyczy to przypadków objętych terytorialnym zakresem GDPR, w szczególności związanych z oferowaniem towarów lub usług osobom znajdującym się w Polsce lub Europejskim Obszarze Gospodarczym albo z monitorowaniem ich zachowania w zakresie przewidzianym przez prawo.
Zasady te odnoszą się zarówno do danych przetwarzanych w sposób zautomatyzowany, jak i do niezautomatyzowanego przetwarzania danych stanowiących część uporządkowanego zbioru lub przeznaczonych do włączenia do takiego zbioru.
Przetwarzanie wykonywane przez osobę fizyczną wyłącznie w ramach czynności o charakterze osobistym lub domowym pozostaje poza zakresem opisanych tutaj zasad dotyczących komercyjnego przetwarzania danych przez platformę.
Informacje identyfikujące administratora danych, jego dane kontaktowe, szczegółowe cele poszczególnych operacji przetwarzania oraz dalsze informacje dotyczące wykorzystywania danych są określone w Polityce prywatności opublikowanej w serwisie.
Podstawy pozwalające na wykorzystanie danych
Dane osobowe nie są przetwarzane bez właściwej podstawy prawnej.
W zależności od charakteru konkretnej czynności przetwarzanie może być konieczne do wykonania umowy zakupu lub umowy dotyczącej odpowiedniej usługi, a także do podjęcia na żądanie klienta działań niezbędnych przed zawarciem takiej umowy.
Podstawą mogą być również obowiązki prawne dotyczące między innymi podatków, rachunkowości lub ochrony konsumentów, a także inne obowiązki wynikające z właściwych przepisów.
Jeżeli spełnione są wymagania GDPR/RODO, dane mogą być przetwarzane ze względu na prawnie uzasadniony interes związany z ochroną platformy, klientów lub innych zainteresowanych podmiotów. W odpowiednich przypadkach podstawę może stanowić również ważna zgoda użytkownika albo inna przesłanka przetwarzania dopuszczona przez GDPR lub pozostałe właściwe przepisy.
Jeżeli konkretne przetwarzanie opiera się na zgodzie, użytkownik może ją wycofać zgodnie z prawem w dowolnym czasie. Cofnięcie zgody nie powoduje, że przetwarzanie wykonane wcześniej na podstawie ważnej zgody staje się niezgodne z prawem.
Standardy stosowane wobec danych osobowych
Dane wykorzystujemy zgodnie z GDPR/RODO oraz innymi mającymi zastosowanie przepisami dotyczącymi ochrony danych.
Każda operacja powinna mieć zgodną z prawem podstawę oraz być wykonywana rzetelnie i w sposób przejrzysty dla osoby, której dotyczą dane. Informacje są zbierane dla ustalonych, wyraźnych i zgodnych z prawem celów, a zakres wykorzystywanych danych ograniczamy do tego, co jest potrzebne do realizacji odpowiedniego celu.
Podejmowane są rozsądne działania służące zachowaniu prawidłowości informacji oraz, gdy jest to potrzebne, ich aktualizacji lub poprawieniu. Dane nie są przechowywane dłużej, niż wymaga tego cel przetwarzania lub właściwy obowiązek prawny.
Poufność i integralność informacji są chronione za pomocą odpowiednich środków technicznych i organizacyjnych ograniczających ryzyko nieuprawnionego dostępu, ujawnienia, utraty, zmiany albo bezprawnego wykorzystania danych.
Stosujemy również odpowiednie środki pozwalające wykazać zgodność operacji przetwarzania z obowiązkami dotyczącymi ochrony danych.
Bezpieczeństwo stosowane w praktyce
Poziom ochrony jest dobierany z uwzględnieniem charakteru, zakresu i celu przetwarzania oraz ryzyka związanego z konkretnymi danymi.
W zależności od potrzeb zabezpieczenia mogą obejmować transmisję chronioną przy użyciu TLS, kontrolę dostępu do systemów i kont, zarządzanie uprawnieniami, ograniczanie zakresu przetwarzanych informacji, monitorowanie bezpieczeństwa oraz niezbędne działania w zakresie wewnętrznych przeglądów i zarządzania ryzykiem.
Stosowane rozwiązania są odpowiednio dostosowywane do rzeczywistego poziomu ryzyka, rozwoju technologii oraz zmieniających się wymagań prawnych.
Uprawnienia osób, których dane dotyczą
Osoba, której dane są przetwarzane, może korzystać z praw przewidzianych przez GDPR/RODO, jeżeli w konkretnym przypadku spełnione są właściwe przesłanki ustawowe.
Może to obejmować prawo do uzyskania informacji o sposobie wykorzystywania danych, dostępu do własnych danych oraz żądania poprawienia informacji nieprawidłowych lub uzupełnienia danych niekompletnych.
W sytuacjach określonych przez prawo można również żądać usunięcia danych, określanego jako prawo do usunięcia danych lub „prawo do bycia zapomnianym”, a także ograniczenia przetwarzania, skorzystać z prawa do przenoszenia danych lub wnieść sprzeciw wobec określonych operacji przetwarzania.
Jeżeli podstawę stanowi zgoda, można ją wycofać. W przypadkach objętych GDPR osobie, której dotyczą dane, mogą również przysługiwać odpowiednie prawa dotyczące decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli decyzje takie wywołują wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływają.
Możliwe jest również wniesienie skargi do właściwego organu nadzorczego.
Zakres poszczególnych uprawnień zależy od celu przetwarzania, jego podstawy prawnej oraz warunków i wyjątków ustanowionych przez GDPR/RODO. Nie każde z tych praw ma zatem charakter bezwzględny w każdej sytuacji.
Przetwarzanie danych osób małoletnich
Informacje dotyczące osób małoletnich wymagają szczególnej ochrony.
Jeżeli usługa społeczeństwa informacyjnego jest oferowana bezpośrednio dziecku, a odpowiednie przetwarzanie danych opiera się na zgodzie, w przypadku użytkownika poniżej 16 roku życia zgoda powinna zostać udzielona lub zatwierdzona przez rodzica albo inną osobę sprawującą odpowiedzialność rodzicielską, jeżeli taki wymóg ma zastosowanie.
W przypadkach wymagających takiego upoważnienia podejmujemy rozsądne działania w celu jego zweryfikowania, uwzględniając dostępną technologię, charakter przetwarzania i związane z nim ryzyko.
Wymóg dotyczący wieku w tym zakresie odnosi się do szczególnej sytuacji przetwarzania danych dziecka na podstawie zgody. Nie oznacza on, że każda osoba poniżej 18 roku życia posiada pełną, samodzielną zdolność do zawierania umów zakupu, zaciągania zobowiązań lub dokonywania innych czynności prawnych. Zagadnienia te podlegają odrębnym właściwym przepisom.
Powierzanie danych usługodawcom
Jeżeli jest to potrzebne do obsługi zamówienia, organizacji dostawy, zapewnienia usług technicznych, wsparcia klienta, hostingu strony lub wykonania innej niezbędnej usługi, przetwarzanie określonych danych może zostać powierzone odpowiednim zewnętrznym usługodawcom działającym w naszym imieniu.
Podmiot przetwarzający powinien korzystać z powierzonych informacji wyłącznie zgodnie z zgodnymi z prawem, udokumentowanymi poleceniami administratora oraz właściwymi ustaleniami dotyczącymi przetwarzania. Osoby posiadające dostęp do danych powinny podlegać odpowiednim obowiązkom zachowania poufności.
Od podmiotów przetwarzających wymaga się stosowania środków technicznych i organizacyjnych odpowiednich do ryzyka, a w zakresie mającym zastosowanie również pomocy administratorowi przy realizacji praw osób, których dane dotyczą, oraz przy wykonywaniu obowiązków związanych z bezpieczeństwem, naruszeniami ochrony danych i pozostałymi wymaganiami GDPR.
Po zakończeniu świadczenia usług powierzonych danych należy usunąć albo zwrócić zgodnie z odpowiednimi wymaganiami prawa i umowy. Podmiot przetwarzający powinien również udostępniać administratorowi informacje racjonalnie potrzebne do wykazania wykonywania obowiązków związanych z ochroną danych.
Jeżeli podmiot przetwarzający zamierza powierzyć określone operacje kolejnemu podmiotowi przetwarzającemu, wymagane upoważnienie powinno zostać uzyskane zgodnie z mającymi zastosowanie przepisami oraz właściwymi ustaleniami umownymi.
Postępowanie po naruszeniu ochrony danych
Podmiot zewnętrzny przetwarzający dane w naszym imieniu powinien po stwierdzeniu naruszenia ochrony danych osobowych zawiadomić administratora bez zbędnej zwłoki, zgodnie z GDPR oraz właściwymi warunkami dotyczącymi powierzonego przetwarzania.
Po uzyskaniu informacji o naruszeniu administrator ocenia charakter i zakres zdarzenia oraz możliwe konsekwencje dla praw i wolności osób fizycznych.
Jeżeli naruszenie powoduje obowiązek dokonania zgłoszenia na podstawie GDPR, właściwy organ nadzorczy zostanie zawiadomiony zgodnie z wymaganiami prawa.
Gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, osoby, których dane dotyczą, zostaną poinformowane bez zbędnej zwłoki, jeżeli taki obowiązek wynika z GDPR.
Dokumentowanie czynności przetwarzania
Jeżeli GDPR wymaga prowadzenia rejestru czynności przetwarzania lub kategorii czynności przetwarzania, prowadzimy odpowiednią dokumentację, a właściwi usługodawcy działający jako podmioty przetwarzające wykonują analogiczne obowiązki w zakresie, w jakim odnoszą się one do ich działalności.
Zakres dokumentacji jest ustalany zgodnie z obowiązującymi wymaganiami i może obejmować informacje dotyczące celów przetwarzania, kategorii danych, odbiorców, transferów międzynarodowych, zabezpieczeń oraz innych elementów, których zarejestrowania wymaga prawo.
Obowiązki dokumentacyjne nie mają identycznego zakresu w odniesieniu do każdej małej organizacji i każdego rodzaju przetwarzania. Ich zastosowanie ustala się zgodnie z GDPR oraz rzeczywistym charakterem wykonywanych operacji.
Inspektor ochrony danych
Wyznaczenie inspektora ochrony danych, określanego jako DPO, a w Polsce jako IOD, nie stanowi automatycznego obowiązku każdego przedsiębiorcy ani każdego współpracującego z nim podmiotu.
Jeżeli jednak GDPR lub inne mające zastosowanie przepisy wymagają wyznaczenia IOD, odpowiedni administrator lub podmiot przetwarzający dokonuje takiego wyznaczenia zgodnie z prawem.
Obowiązek może powstać w szczególności wtedy, gdy przetwarzania dokonuje organ lub podmiot publiczny objęty odpowiednimi przepisami, gdy główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę albo gdy główna działalność obejmuje przetwarzanie na dużą skalę szczególnych kategorii danych osobowych lub danych dotyczących wyroków skazujących i naruszeń prawa. Obowiązek może wynikać również z innych mających zastosowanie przepisów.
Jeżeli IOD zostanie wyznaczony na podstawie obowiązku prawnego, jego dane kontaktowe zostaną udostępnione zgodnie z właściwymi wymaganiami, a niezbędne obowiązki informacyjne wobec organu nadzorczego zostaną wykonane.
Przekazywanie informacji poza EOG
Transfer danych osobowych do państwa spoza Europejskiego Obszaru Gospodarczego lub do organizacji międzynarodowej odbywa się wyłącznie przy zastosowaniu mechanizmu zgodnego z wymaganiami GDPR i z zapewnieniem odpowiedniej ochrony.
W zależności od rzeczywistych okoliczności podstawę transferu może stanowić decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne zatwierdzone przez Komisję Europejską albo inny mechanizm zapewniający zabezpieczenia wymagane przez GDPR.
Jeżeli wymaga tego ryzyko konkretnego transferu, stosowane są również odpowiednie uzupełniające środki techniczne i organizacyjne. Mogą one obejmować szyfrowanie, ograniczenia dostępu, minimalizację danych, mechanizmy uwierzytelniania lub inne właściwe zabezpieczenia.
Dane są przekazywane międzynarodowo jedynie wtedy, gdy spełnione są odpowiednie wymagania prawne i zastosowano wymagany poziom ochrony.
Organ nadzorczy i możliwość wniesienia skargi
W Polsce organem właściwym w sprawach nadzoru nad ochroną danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych (UODO).
Osoba, która uważa, że dotyczące jej dane są przetwarzane niezgodnie z GDPR albo innymi właściwymi przepisami dotyczącymi ochrony danych, może złożyć skargę do UODO lub innego organu nadzorczego właściwego zgodnie z prawem.
Organ nadzorczy posiada przewidziane przepisami kompetencje dochodzeniowe, naprawcze i inne uprawnienia nadzorcze. W przypadku naruszenia GDPR może również, stosownie do charakteru, wagi i czasu trwania naruszenia oraz innych ustawowych okoliczności, zastosować odpowiednie środki administracyjne przewidziane przez prawo.
Możliwość skorzystania z postępowania przed organem nadzorczym nie ogranicza przysługujących osobie środków ochrony administracyjnej lub sądowej.
Podejście do zgodności i odpowiedzialności za dane
Dążymy do tego, aby dane osobowe były przetwarzane w sposób przejrzysty, odpowiedzialny i bezpieczny oraz aby użytkownicy mogli korzystać z kontroli nad swoimi informacjami w zakresie przewidzianym przez prawo.
W zależności od rzeczywistych procesów i związanych z nimi zagrożeń podejmujemy odpowiednie działania służące ograniczaniu zbierania i wykorzystywania informacji, które nie są potrzebne, ochronie danych przed nieuprawnionym dostępem lub ujawnieniem oraz zapewnianiu możliwości wykonywania praw osób, których dane dotyczą.
Wobec zewnętrznych podmiotów przetwarzających stosowane są odpowiednie wymagania dotyczące ochrony danych. Właściwe zabezpieczenia prywatności i bezpieczeństwa podlegają okresowej ocenie, a procesy dotyczące danych są odpowiednio dostosowywane do zmian prawa oraz rzeczywistego sposobu prowadzenia działalności.
Żadne postanowienie niniejszego oświadczenia nie ogranicza ani nie zmniejsza praw przysługujących osobom, których dane dotyczą, na podstawie GDPR/RODO lub innych bezwzględnie obowiązujących przepisów dotyczących ochrony danych.