POLITYKA PRYWATNOŚCI

WERSJA: 11.06.2021. 1. NINIEJSZY DOKUMENT ZATYTUŁOWANY POLITYKA PRZETWARZANIA DANYCH OSOBOWYCH(DALEJ JAKO POLITYKA) MA ZA ZADANIE STANOWIĆ MAPĘ WYMOGÓW, ZASAD I REGULACJI OCHRONY DANYCH OSOBOWYCH BLUE CREATION Z SIEDZIBĄ W ODRANO WOLA, PRZY UL. LAZUROWEJ 67, POSIADAJĄCEJ NADANY NUMER NIP 5291645499 (DALEJ JAKO BLUE CREATION). NINIEJSZA POLITYKA JEST POLITYKĄ OCHRONY DANYCH OSOBOWYCH W ROZUMIENIU RODO ROZPORZĄDZENIA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 Z 27.04.2016 R. W SPRAWIE OCHRONY OSÓB FIZYCZNYCH W ZWIĄZKU Z PRZETWARZANIEM DANYCH OSOBOWYCH I W SPRAWIE SWOBODNEGO PRZEPŁYWU TAKICH DANYCH ORAZ UCHYLENIA DYREKTYWY 95/46/WE (OGÓLNE ROZPORZĄDZENIE O OCHRONIE DANYCH) (DZ. URZ. UE L 119, S. 1). POLITYKA PRZETWARZANIA DANYCH OSOBOWYCH W BLUE CREATION 2. ZA STOSOWANIE NINIEJSZEJ POLITYKI ODPOWIEDZIALNI SĄ WSZYSCY WSPÓŁPRACOWNICY BLUE CREATION. BLUE CREATION ZAPEWNIA ZGODNOŚĆ POSTĘPOWANIA SWOICH KONTRAHENTÓW Z NINIEJSZĄ POLITYKĄ W ODPOWIEDNIM ZAKRESIE, GDY DOCHODZI DO PRZEKAZANIA IM DANYCH OSOBOWYCH. 3. POLITYKA ZAWIERA W SZCZEGÓLNOŚCI OPIS ZASAD OCHRONY DANYCH OBOWIĄZUJĄCYCH I STOSOWANYCH W BLUE CREATION. 4. SKRÓTY I DEFINICJE: ● ● ● RODO - OZNACZA ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 Z 27.04.2016 R. W SPRAWIE OCHRONY OSÓB FIZYCZNYCH W ZWIĄZKU Z PRZETWARZANIEM DANYCH OSOBOWYCH I W SPRAWIE SWOBODNEGO PRZEPŁYWU TAKICH DANYCH ORAZ UCHYLENIA DYREKTYWY 95/46/WE (OGÓLNE ROZPORZĄDZENIE O OCHRONIE DANYCH). DANE - OZNACZAJĄ DANE OSOBOWE, O ILE CO INNEGO NIE WYNIKA WYRAŹNIE Z KONTEKSTU. DANE OSOBOWE - OZNACZAJĄ INFORMACJE O ZIDENTYFIKOWANEJ LUB MOŻLIWEJ DO ZIDENTYFIKOWANIA OSOBIE FIZYCZNEJ ("OSOBIE, KTÓREJ DANE DOTYCZĄ"); MOŻLIWA DO ZIDENTYFIKOWANIA OSOBA FIZYCZNA TO OSOBA, KTÓRĄ MOŻNA BEZPOŚREDNIO LUB POŚREDNIO ZIDENTYFIKOWAĆ, W SZCZEGÓLNOŚCI NA PODSTAWIE IDENTYFIKATORA TAKIEGO JAK IMIĘ I NAZWISKO, NUMER IDENTYFIKACYJNY, DANE O LOKALIZACJI, IDENTYFIKATOR INTERNETOWY LUB JEDEN BĄDŹ KILKA SZCZEGÓLNYCH CZYNNIKÓW OKREŚLAJĄCYCH FIZYCZNĄ, FIZJOLOGICZNĄ, GENETYCZNĄ, PSYCHICZNĄ, EKONOMICZNĄ, KULTUROWĄ LUB SPOŁECZNĄ TOŻSAMOŚĆ OSOBY FIZYCZNEJ. DANE KARNE - OZNACZAJĄ DANE WYMIENIONE W ART. 10 RODO, TJ. DANE DOTYCZĄCE WYROKÓW SKAZUJĄCYCH I NARUSZEŃ PRAWA. DANE DZIECI - OZNACZAJĄ DANE OSÓB PONIŻEJ 16. ROKU ŻYCIA. OSOBA - OZNACZA OSOBĘ, KTÓREJ DANE DOTYCZĄ, O ILE CO INNEGO NIE WYNIKA WYRAŹNIE Z KONTEKSTU. PODMIOT PRZETWARZAJĄCY OZNACZA ORGANIZACJĘ LUB OSOBĘ, KTÓREJ BLUE CREATION POWIERZYŁA PRZETWARZANIE DANYCH OSOBOWYCH (NP. USŁUGODAWCA IT, ZEWNĘTRZNA KSIĘGOWOŚĆ). PROFILOWANIE - OZNACZA DOWOLNĄ FORMĘ ZAUTOMATYZOWANEGO PRZETWARZANIA DANYCH OSOBOWYCH, KTÓRE POLEGA NA WYKORZYSTANIU DANYCH OSOBOWYCH DO OCENY NIEKTÓRYCH CZYNNIKÓW OSOBOWYCH OSOBY FIZYCZNEJ, W SZCZEGÓLNOŚCI DO ANALIZY LUB PROGNOZY ASPEKTÓW DOTYCZĄCYCH EFEKTÓW PRACY TEJ OSOBY FIZYCZNEJ, JEJ SYTUACJI EKONOMICZNEJ, ZDROWIA, OSOBISTYCH PREFERENCJI, ZAINTERESOWAŃ, WIARYGODNOŚCI, ZACHOWANIA, LOKALIZACJI LUB PRZEMIESZCZANIA SIĘ. PRZETWARZANIE - OZNACZA OPERACJĘ LUB ZESTAW OPERACJI WYKONYWANYCH NA DANYCH OSOBOWYCH LUB ZESTAWACH DANYCH OSOBOWYCH W SPOSÓB ZAUTOMATYZOWANY LUB NIEZAUTOMATYZOWANY, TAKĄ JAK ZBIERANIE, UTRWALANIE, ORGANIZOWANIE, PORZĄDKOWANIE, PRZECHOWYWANIE, ADAPTOWANIE LUB MODYFIKOWANIE, POBIERANIE, PRZEGLĄDANIE, WYKORZYSTYWANIE, UJAWNIANIE POPRZEZ PRZESŁANIE, ROZPOWSZECHNIANIE LUB INNEGO RODZAJU UDOSTĘPNIANIE, DOPASOWYWANIE LUB ŁĄCZENIE, OGRANICZANIE, USUWANIE LUB NISZCZENIE EKSPORT DANYCH OZNACZA PRZEKAZANIE DANYCH DO PAŃSTWA TRZECIEGO LUB ORGANIZACJI MIĘDZYNARODOWEJ. REJESTR - OZNACZA REJESTR CZYNNOŚCI PRZETWARZANIA DANYCH OSOBOWYCH. WSPÓŁPRACOWNIK - OZNACZA OSOBĘ LUB PODMIOT, KTÓRA NA MOCY ZAWARTYCH UMÓW CYWILNOPRAWNYCH LUB WSPÓŁPRACY W FORMIE BUSINESS TO BUSINESS WSPÓŁPRACUJE Z BLUE CREATION PRZY REALIZACJI

PROJEKTÓW I ZLECEŃ ORAZ MOŻE PRZETWARZAĆ DANE OSOBOWE NA PODSTAWIE UPOWAŻNIENIA LUB ZAWARTEJ UMOWY POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH. 5. OCHRONA DANYCH OSOBOWYCH W BLUE CREATION - ZASADY OGÓLNE 5.1 ZASADY OCHRONY DANYCH OSOBOWYCH W BLUE CREATION: BLUE CREATION PRZETWARZA DANE OSOBOWE W OPARCIU O ZASADY OKREŚLONE W ART. 5 RODO, TJ.: 1. ZGODNIE Z PRAWEM, W SPOSÓB RZETELNY I PRZEJRZYSTY DLA OSOBY, KTÓREJ DANE DOTYCZĄ; 2. W KONKRETNYCH, WYRAŹNYCH I PRAWNIE UZASADNIONYCH CELACH I NIE PRZETWARZA ICH DALEJ W SPOSÓB SPRZECZNY Z TYMI CELAMI; 3. W SPOSÓB ADEKWATNY I OGRANICZONY WYŁĄCZNIE DO CELÓW, W KTÓRYCH ZOSTAŁY ZEBRANE; 4. PRZETWARZA DANE WYŁĄCZNIE PRAWIDŁOWE I W RAZIE POTRZEBY UAKTUALNIANE; 5. DANE PRZECHOWYWANE W FORMIE UMOŻLIWIAJĄCEJ IDENTYFIKACJĘ OSOBY, KTÓREJ DANE DOTYCZĄ, PRZEZ OKRES NIE DŁUŻSZY, NIŻ JEST TO NIEZBĘDNE DO CELÓW, W KTÓRYCH DANE TE SĄ PRZETWARZANE; 6. W SPOSÓB ZAPEWNIAJĄCY ODPOWIEDNIE BEZPIECZEŃSTWO DANYCH OSOBOWYCH, W TYM OCHRONĘ PRZED NIEDOZWOLONYM LUB NIEZGODNYM Z PRAWEM PRZETWARZANIEM ORAZ PRZYPADKOWĄ UTRATĄ, ZNISZCZENIEM LUB USZKODZENIEM, ZA POMOCĄ ODPOWIEDNICH ŚRODKÓW TECHNICZNYCH LUB ORGANIZACYJNYCH. 5.2 SYSTEM OCHRONY DANYCH SYSTEM OCHRONY DANYCH OSOBOWYCH W BLUE CREATION SKŁADA SIĘ Z NASTĘPUJĄCYCH ELEMENTÓW: 1. REJESTR. BLUE CREATION OPRACOWUJE, PROWADZI I UTRZYMUJE REJESTR CZYNNOŚCI PRZETWARZANIA DANYCH OSOBOWYCH (REJESTR). REJESTR JEST NARZĘDZIEM ROZLICZANIA ZGODNOŚCI Z OCHRONĄ DANYCH. 2. PODSTAWY PRAWNE. BLUE CREATION ZAPEWNIA, IDENTYFIKUJE, WERYFIKUJE PODSTAWY PRAWNE PRZETWARZANIA DANYCH I REJESTRUJE JE W REJESTRZE. 3. OBSŁUGA PRAW JEDNOSTKI. BLUE CREATION SPEŁNIA OBOWIĄZKI INFORMACYJNE WZGLĘDEM OSÓB, KTÓRYCH DANE PRZETWARZA, ORAZ ZAPEWNIA OBSŁUGĘ ICH PRAW, REALIZUJĄC OTRZYMANE W TYM ZAKRESIE ŻĄDANIA, W TYM: A) OBOWIĄZKI INFORMACYJNE. BLUE CREATION PRZEKAZUJE OSOBOM PRAWEM WYMAGANE INFORMACJE PRZY ZBIERANIU DANYCH I W INNYCH SYTUACJACH ORAZ ORGANIZUJE I ZAPEWNIA UDOKUMENTOWANIE REALIZACJI TYCH OBOWIĄZKÓW. B) MOŻLIWOŚĆ WYKONANIA ŻĄDAŃ. BLUE CREATION WERYFIKUJE I ZAPEWNIA MOŻLIWOŚĆ EFEKTYWNEGO WYKONANIA KAŻDEGO TYPU ŻĄDANIA PRZEZ SIEBIE I SWOICH PRZETWARZAJĄCYCH. OBSŁUGA ŻĄDAŃ. BLUE CREATION ZAPEWNIA REALIZACJĘ ŻĄDAŃ OSÓB W TERMINACH I W SPOSÓB WYMAGANY PRZEZ RODO I UDOKUMENTOWANY. D) ZAWIADAMIANIE O NARUSZENIACH. BLUE CREATION STOSUJE METODY POZWALAJĄCE NA USTALENIE KONIECZNOŚCI ZAWIADOMIENIA OSÓB DOTKNIĘTYCH ZIDENTYFIKOWANYM NARUSZENIEM OCHRONY DANYCH. C) D) 4. MINIMALIZACJA. BLUE CREATION ZARZĄDZA MINIMALIZACJĄ NYCH (PRIVACY BY DEFAULT), W TYM: A) ADEKWATNOŚCIĄ DANYCH; B) REGLAMENTACJĄ I DOSTĘPEM DO DANYCH; C) OKRESEM PRZECHOWYWANIA DANYCH I WERYFIKACJI DALSZEJ PRZYDATNOŚCI. 5. BEZPIECZEŃSTWO. BLUE CREATION ZAPEWNIA ODPOWIEDNI POZIOM BEZPIECZEŃSTWA DANYCH, W TYM: A) PRZEPROWADZA ANALIZY RYZYKA DLA CZYNNOŚCI PRZETWARZANIA DANYCH LUB ICH KATEGORII; B) PRZEPROWADZA OCENY SKUTKÓW DLA OCHRONY DANYCH TAM, GDZIE RYZYKO NARUSZENIA PRAW I WOLNOŚCI OSÓB JEST WYSOKIE; DOSTOSOWUJE ŚRODKI OCHRONY DANYCH DO USTALONEGO RYZYKA; STOSUJE METODY POZWALAJĄCE NA IDENTYFIKACJĘ, OCENĘ I ZGŁOSZENIE ZIDENTYFIKOWANEGO NARUSZENIA OCHRONY DANYCH URZĘDOWI OCHRONY DANYCH – ZARZĄDZA INCYDENTAMI.

6. PRZETWARZAJĄCY. BLUE CREATION WERYFIKUJE PODMIOTY, KTÓRYM POWIERZA PRZETWARZANIE DANYCH OSOBOWYCH ORAZ MOŻE WERYFIKOWAĆ WYKONYWANIE PRZEZ NIE UMÓW POWIERZENIA PRZETWARZANIA DANYCH. 7. EKSPORT DANYCH. BLUE CREATION NIE PRZEKAZUJE DANYCH DO PAŃSTW TRZECICH (CZYLI POZA UE, NORWEGIĘ, LICHTENSTEIN, ISLANDIĘ) LUB DO ORGANIZACJI MIĘDZYNARODOWYCH. 8. PRIVACY BY DESIGN. BLUE CREATION ZARZĄDZA ZMIANAMI MAJĄCYMI WPŁYW NA PRYWATNOŚĆ. W TYM CELU PRZED PRZYSTĄPIENIEM DO WDRAŻANIA NOWYCH PROJEKTÓW I ROZWIĄZAŃ ORGANIZACYJNYCH, BLUE CREATION DIAGNOZUJE KONIECZNOŚĆ OCENY WPŁYWU ZMIANY NA OCHRONĘ DANYCH, ZAPEWNIENIE PRYWATNOŚCI (A W TYM ZGODNOŚCI CELÓW PRZETWARZANIA, BEZPIECZEŃSTWA DANYCH I MINIMALIZACJI) JUŻ W FAZIE PROJEKTOWANIA ZMIANY, INWESTYCJI CZY NA POCZĄTKU NOWEGO PROJEKTU. 6. INWENTARYZACJA 6.1 DANE WRAŻLIWE BLUE CREATION IDENTYFIKUJE PRZYPADKI, W KTÓRYCH PRZETWARZA LUB MOŻE PRZETWARZAĆ DANE WRAŻLIWE (DANE SPECJALNE I DANE KARNE) ORAZ ZAPEWNIA ICH PRZETWARZANIE ZGODNIE Z PRAWEM. 6.2 PROFILOWANIE BLUE CREATION NIE DOKONUJE PROFILOWANIA DANYCH OSOBOWYCH. W PRZYPADKU, W KTÓRYM DOSZŁOBY JEDNAK DO PROFILOWANIA, BLUE CREATION ZAPEWNIA ZGODNOŚĆ TEGO PROCESU Z PRAWEM. 7. REJESTR CZYNNOŚCI PRZETWARZANIA DANYCH 7.1 REJESTR STANOWI FORMĘ DOKUMENTOWANIA CZYNNOŚCI PRZETWARZANIA DANYCH, PEŁNI ROLĘ MAPY PRZETWARZANIA DANYCH I JEST JEDNYM Z KLUCZOWYCH ELEMENTÓW UMOŻLIWIAJĄCYCH REALIZACJĘ FUNDAMENTALNEJ ZASADY, NA KTÓREJ OPIERA SIĘ CAŁY SYSTEM OCHRONY DANYCH OSOBOWYCH, CZYLI ZASADY ROZLICZALNOŚCI. 7.2 BLUE CREATION PROWADZI REJESTR CZYNNOŚCI PRZETWARZANIA DANYCH, W KTÓRYM INWENTARYZUJE I MONITORUJE SPOSÓB, W JAKI WYKORZYSTUJE DANE OSOBOWE. 7.3 REJESTR PROWADZONY JEST ZGODNIE ZE WZOREM OKREŚLONYM PRZEZ PREZESA URZĘDU OCHRONY DANYCH OSOBOWYCH, STANOWIĄCYM ZAŁĄCZNIK NR 1 DO NINIEJSZEJ POLITYKI. 8. PODSTAWY PRZETWARZANIA 8.1 BLUE CREATION DOKUMENTUJE W REJESTRZE PODSTAWY PRAWNE PRZETWARZANIA DANYCH DLA POSZCZEGÓLNYCH CZYNNOŚCI PRZETWARZANIA. 9. 9.1. 9.2. 9.3. 9.4. SPOSÓB OBSŁUGI PRAW JEDNOSTKI I OBOWIĄZKÓW INFORMACYJNYCH BLUE CREATION DBA O CZYTELNOŚĆ I STYL PRZEKAZYWANYCH INFORMACJI I KOMUNIKACJI Z OSOBAMI, KTÓRYCH DANE PRZETWARZA. BLUE CREATION UŁATWIA OSOBOM KORZYSTANIE Z ICH PRAW POPRZEZ RÓŻNE DZIAŁANIA, W TYM: ZAMIESZCZENIE NA STRONIE INTERNETOWEJ SPÓŁKI INFORMACJI ZAWARTYCH W POLITYCE PRYWATNOŚCI O PRAWACH OSÓB, SPOSOBIE SKORZYSTANIA Z NICH, W TYM WYMAGANIACH DOTYCZĄCYCH IDENTYFIKACJI ORAZ METODACH KONTAKTU Z BLUE CREATION W TYM CELU. BLUE CREATION DBA O DOTRZYMYWANIE PRAWNYCH TERMINÓW REALIZACJI OBOWIĄZKÓW WZGLĘDEM OSÓB, KTÓRE ZŁOŻYŁY ŻĄDANIA SKORZYSTANIA Z PRZYSŁUGUJĄCYCH IM PRAW. BLUE CREATION DOKUMENTUJE OBSŁUGĘ OBOWIĄZKÓW INFORMACYJNYCH, ZAWIADOMIEŃ I ŻĄDAŃ OSÓB. 10. OBOWIĄZKI INFORMACYJNE 10.1. BLUE CREATION INFORMUJE OSOBĘ O PRZEDŁUŻENIU PONAD JEDEN MIESIĄC TERMINU NA ROZPATRZENIE ŻĄDANIA TEJ OSOBY. 10.2. BLUE CREATION INFORMUJE OSOBĘ O PRZETWARZANIU JEJ DANYCH, PRZY POZYSKIWANIU DANYCH OD TEJ OSOBY.

10.3. 10.4. 10.5. 11.2. 11.3. 11. ŻĄDANIA OSÓB 11.1. 11.4. 11.5. 11.6. 11.7. BLUE CREATION INFORMUJE ODBIORCÓW DANYCH O SPROSTOWANIU, USUNIĘCIU LUB OGRANICZENIU PRZETWARZANIA DANYCH (CHYBA ŻE BĘDZIE TO WYMAGAŁO NIEWSPÓŁMIERNIE DUŻEGO WYSIŁKU LUB BĘDZIE NIEMOŻLIWE). 11.8. BLUE CREATION INFORMUJE OSOBĘ, KTÓREJ DANE DOTYCZĄ O JEJ PRAWACH GWARANTOWANYCH PRZEZ RODO, W TYM PRAWIE SPRZECIWU WZGLĘDEM PRZETWARZANIA DANYCH NAJPÓŹNIEJ PRZY PIERWSZYM KONTAKCIE Z TĄ OSOBĄ. BLUE CREATION BEZ ZBĘDNEJ ZWŁOKI ZAWIADAMIA OSOBĘ O NARUSZENIU OCHRONY DANYCH OSOBOWYCH, JEŻELI MOŻE ONO POWODOWAĆ WYSOKIE RYZYKO NARUSZENIA PRAW LUB WOLNOŚCI TEJ OSOBY. NIEPRZETWARZANIE. BLUE CREATION INFORMUJE OSOBĘ O TYM, ŻE NIE PRZETWARZA DANYCH JEJ DOTYCZĄCYCH, JEŚLI TAKA OSOBA ZGŁOSIŁA ŻĄDANIE DOTYCZĄCE JEJ PRAW. ODMOWA. BLUE CREATION INFORMUJE OSOBĘ, W CIĄGU MIESIĄCA OD OTRZYMANIA ŻĄDANIA, O ODMOWIE ROZPATRZENIA ŻĄDANIA I O PRAWACH OSOBY Z TYM ZWIĄZANYCH. DOSTĘP DO DANYCH. NA ŻĄDANIE OSOBY DOTYCZĄCE DOSTĘPU DO JEJ DANYCH, BLUE CREATION INFORMUJE OSOBĘ, CZY PRZETWARZA JEJ DANE ORAZ INFORMUJE OSOBĘ O SZCZEGÓŁACH PRZETWARZANIA, ZGODNIE Z ART. 15 RODO (ZAKRES ODPOWIADA OBOWIĄZKOWI INFORMACYJNEMU PRZY ZBIERANIU DANYCH), A TAKŻE UDZIELA OSOBIE DOSTĘPU DO DANYCH JEJ DOTYCZĄCYCH. DOSTĘP DO DANYCH MOŻE BYĆ ZREALIZOWANY PRZEZ WYDANIE KOPII DANYCH, Z ZASTRZEŻENIEM, ŻE KOPII DANYCH WYDANEJ W WYKONANIU PRAWA DOSTĘPU DO DANYCH BLUE CREATION NIE UZNA ZA PIERWSZĄ NIEODPŁATNĄ KOPIĘ DANYCH DLA POTRZEB OPŁAT ZA KOPIE DANYCH. KOPIE DANYCH. NA ŻĄDANIE OSOBY, KTÓREJ DANE DOTYCZĄ BLUE CREATION WYDAJE JEJ KOPIĘ DANYCH JEJ DOTYCZĄCYCH. SPROSTOWANIE DANYCH. BLUE CREATION DOKONUJE SPROSTOWANIA NIEPRAWIDŁOWYCH DANYCH NA ŻĄDANIE OSOBY. SPÓŁKA MA PRAWO ODMÓWIĆ SPROSTOWANIA DANYCH, CHYBA ŻE OSOBA W ROZSĄDNY SPOSÓB WYKAŻE NIEPRAWIDŁOWOŚCI DANYCH, KTÓRYCH SPROSTOWANIA SIĘ DOMAGA. W PRZYPADKU SPROSTOWANIA DANYCH BLUE CREATION INFORMUJE OSOBĘ O ODBIORCACH DANYCH, NA ŻĄDANIE TEJ OSOBY. UZUPEŁNIENIE DANYCH. BLUE CREATION UZUPEŁNIA I AKTUALIZUJE DANE NA ŻĄDANIE OSOBY. USUNIĘCIE DANYCH. NA ŻĄDANIE OSOBY, BLUE CREATION USUWA DANE, GDY: 1. DANE NIE SĄ NIEZBĘDNE DO CELÓW, W KTÓRYCH ZOSTAŁY ZEBRANE ANI PRZETWARZANE W INNYCH CELACH, ZGODA NA ICH PRZETWARZANIE ZOSTAŁA COFNIĘTA, A NIE MA INNEJ PODSTAWY PRAWNEJ PRZETWARZANIA, OSOBA WNIOSŁA SKUTECZNY SPRZECIW WZGLĘDEM PRZETWARZANIA TYCH DANYCH, 4. DANE BYŁY PRZETWARZANE NIEZGODNIE Z PRAWEM, 2. 3. 5. KONIECZNOŚĆ USUNIĘCIA WYNIKA Z OBOWIĄZKU PRAWNEGO, BLUE CREATION REALIZUJE PRAWO DO USUNIĘCIA DANYCH W TAKI SPOSÓB, ABY ZAPEWNIĆ JEGO EFEKTYWNOŚĆ PRZY JEDNOCZESNYM POSZANOWANIU WSZYSTKICH ZASAD OCHRONY DANYCH, W TYM BEZPIECZEŃSTWA, A TAKŻE WERYFIKUJĄC, CZY NIE ZACHODZĄ WYJĄTKI, O KTÓRYCH MOWA W ART. 17. UST. 3 RODO. W PRZYPADKU USUNIĘCIA DANYCH BLUE CREATION INFORMUJE OSOBĘ O ODBIORCACH DANYCH, NA ŻĄDANIE TEJ OSOBY. OGRANICZENIE PRZETWARZANIA. BLUE CREATION DOKONUJE OGRANICZENIA PRZETWARZANIA DANYCH NA ŻĄDANIE OSOBY, GDY: A) OSOBA KWESTIONUJE PRAWIDŁOWOŚĆ DANYCH - NA OKRES POZWALAJĄCY SPRAWDZIĆ ICH PRAWIDŁOWOŚĆ, B) PRZETWARZANIE JEST NIEZGODNE Z PRAWEM, A OSOBA, KTÓREJ DANE DOTYCZĄ, SPRZECIWIA SIĘ USUNIĘCIU DANYCH OSOBOWYCH, ŻĄDAJĄC W ZAMIAN OGRANICZENIA ICH WYKORZYSTYWANIA, C) BLUE CREATION NIE POTRZEBUJE JUŻ DANYCH OSOBOWYCH, ALE SĄ ONE POTRZEBNE OSOBIE, KTÓREJ DANE DOTYCZĄ, DO USTALENIA, DOCHODZENIA LUB OBRONY ROSZCZEŃ, D) OSOBA WNIOSŁA SPRZECIW WZGLĘDEM PRZETWARZANIA Z PRZYCZYN ZWIĄZANYCH Z JEJ SZCZEGÓLNĄ SYTUACJĄ - DO CZASU STWIERDZENIA, CZY PO STRONIE BLUE CREATION ZACHODZĄ PRAWNIE UZASADNIONE PODSTAWY NADRZĘDNE WOBEC PODSTAW SPRZECIWU. W TRAKCIE OGRANICZENIA PRZETWARZANIA BLUE CREATION PRZECHOWUJE DANE, NATOMIAST NIE PRZETWARZA ICH (NIE WYKORZYSTUJE, NIE PRZEKAZUJE), BEZ ZGODY OSOBY, KTÓREJ DANE DOTYCZĄ, CHYBA ŻE W CELU USTALENIA, DOCHODZENIA LUB OBRONY ROSZCZEŃ, LUB W CELU OCHRONY PRAW INNEJ OSOBY FIZYCZNEJ LUB PRAWNEJ, LUB Z UWAGI NA WAŻNE WZGLĘDY INTERESU PUBLICZNEGO. BLUE CREATION INFORMUJE OSOBĘ PRZED UCHYLENIEM

11.9. 11.10. OGRANICZENIA PRZETWARZANIA. W PRZYPADKU OGRANICZENIA PRZETWARZANIA DANYCH BLUE CREATION INFORMUJE OSOBĘ O ODBIORCACH DANYCH, NA ŻĄDANIE TEJ OSOBY. PRZENOSZENIE DANYCH. NA ŻĄDANIE OSOBY BLUE CREATION WYDAJE W USTRUKTURYZOWANYM, POWSZECHNIE UŻYWANYM FORMACIE NADAJĄCYM SIĘ DO ODCZYTU MASZYNOWEGO LUB PRZEKAZUJE INNEMU PODMIOTOWI, JEŚLI JEST TO MOŻLIWE, DANE DOTYCZĄCE TEJ OSOBY, KTÓRE DOSTARCZYŁA ONA BLUE CREATION, PRZETWARZANE NA PODSTAWIE ZGODY TEJ OSOBY LUB W CELU ZAWARCIA LUB WYKONANIA UMOWY Z NIĄ ZAWARTEJ, W SYSTEMACH INFORMATYCZNYCH BLUE CREATION. SPRZECIW W SZCZEGÓLNEJ SYTUACJI. JEŻELI OSOBA ZGŁOSI UMOTYWOWANY JEJ SZCZEGÓLNĄ SYTUACJĄ SPRZECIW WZGLĘDEM PRZETWARZANIA JEJ DANYCH, A DANE PRZETWARZANE SĄ PRZEZ BLUE CREATION W OPARCIU O UZASADNIONY INTERES LUB O POWIERZONE ZADANIE W INTERESIE PUBLICZNYM, BLUE CREATION UWZGLĘDNI SPRZECIW, O ILE NIE ZACHODZĄ PO JEJ STRONIE WAŻNE PRAWNIE UZASADNIONE PODSTAWY DO PRZETWARZANIA, NADRZĘDNE WOBEC INTERESÓW, PRAW I WOLNOŚCI OSOBY ZGŁASZAJĄCEJ SPRZECIW, LUB PODSTAWY DO USTALENIA, DOCHODZENIA LUB OBRONY ROSZCZEŃ. 12. MINIMALIZACJA BLUE CREATION DBA O MINIMALIZACJĘ PRZETWARZANIA DANYCH POD KĄTEM: (I) ADEKWATNOŚCI DANYCH DO CELÓW (ILOŚCI DANYCH I ZAKRESU PRZETWARZANIA), (II) DOSTĘPU DO DANYCH, (III) CZASU PRZECHOWYWANIA DANYCH. 12.1. MINIMALIZACJA ZAKRESU BLUE CREATION ZWERYFIKOWAŁA ZAKRES POZYSKIWANYCH DANYCH, ZAKRES ICH PRZETWARZANIA I ILOŚĆ PRZETWARZANYCH DANYCH POD KĄTEM ADEKWATNOŚCI DO CELÓW PRZETWARZANIA W RAMACH WDROŻENIA RODO. BLUE CREATION DOKONUJE OKRESOWEGO PRZEGLĄDU ILOŚCI PRZETWARZANYCH DANYCH I ZAKRESU ICH PRZETWARZANIA NIE RZADZIEJ NIŻ RAZ NA ROK. BLUE CREATION PRZEPROWADZA WERYFIKACJĘ ZMIAN CO DO ILOŚCI I ZAKRESU PRZETWARZANIA DANYCH W RAMACH PROCEDUR ZARZĄDZANIA ZMIANĄ (PRIVACY BY DESIGN). 12.2. MINIMALIZACJA DOSTĘPU BLUE CREATION STOSUJE OGRANICZENIA DOSTĘPU DO DANYCH OSOBOWYCH: PRAWNE (UMOWY POWIERZENIA PRZETWARZANIA DANYCH, ZOBOWIĄZANIA DO POUFNOŚCI, UPOWAŻNIENIA), FIZYCZNE (ZAMYKANIE POMIESZCZEŃ I SZAF) I LOGISTYCZNE (OGRANICZENIA UPRAWNIEŃ DO SYSTEMÓW PRZETWARZAJĄCYCH DANE OSOBOWE I ZASOBÓW SIECIOWYCH, W KTÓRYCH REZYDUJĄ DANE OSOBOWE). 12.3. MINIMALIZACJA CZASU DANE, KTÓRYCH ZAKRES PRZYDATNOŚCI ULEGA OGRANICZENIU WRAZ Z UPŁYWEM CZASU SĄ USUWANE Z SYSTEMÓW BLUE CREATION, JAK TEŻ Z DOKUMENTACJI PAPIEROWEJ. DANE TAKIE MOGĄ BYĆ ARCHIWIZOWANE ORAZ ZNAJDOWAĆ SIĘ NA KOPIACH ZAPASOWYCH SYSTEMÓW I INFORMACJI PRZETWARZANYCH PRZEZ BLUE CREATION. 13. BEZPIECZEŃSTWO BLUE CREATION ZAPEWNIA STOPIEŃ BEZPIECZEŃSTWA ODPOWIADAJĄCY RYZYKU NARUSZENIA PRAW I WOLNOŚCI OSÓB FIZYCZNYCH WSKUTEK PRZETWARZANIA DANYCH OSOBOWYCH PRZEZ BLUE CREATION. 13.1. ANALIZY RYZYKA I ADEKWATNOŚCI ŚRODKÓW BEZPIECZEŃSTWA BLUE CREATION PRZEPROWADZA I DOKUMENTUJE ANALIZY ADEKWATNOŚCI ŚRODKÓW BEZPIECZEŃSTWA DANYCH OSOBOWYCH. W TYM CELU: 1. ZAPEWNIA ODPOWIEDNI STAN WIEDZY O BEZPIECZEŃSTWIE INFORMACJI, CYBERBEZPIECZEŃSTWIE I CIĄGŁOŚCI DZIAŁANIA - WEWNĘTRZNIE LUB ZE WSPARCIEM PODMIOTÓW WYSPECJALIZOWANYCH. 2. PRZEPROWADZA ANALIZY RYZYKA NARUSZENIA PRAW LUB WOLNOŚCI OSÓB FIZYCZNYCH DLA CZYNNOŚCI PRZETWARZANIA DANYCH LUB ICH KATEGORII. BLUE CREATION ANALIZUJE MOŻLIWE SYTUACJE I SCENARIUSZE NARUSZENIA OCHRONY DANYCH OSOBOWYCH UWZGLĘDNIAJĄC CHARAKTER, ZAKRES, KONTEKST I CELE PRZETWARZANIA, RYZYKO NARUSZENIA PRAW LUB WOLNOŚCI OSÓB FIZYCZNYCH O RÓŻNYM PRAWDOPODOBIEŃSTWIE WYSTĄPIENIA I WADZE ZAGROŻENIA. 3. BLUE CREATION USTALA MOŻLIWE DO ZASTOSOWANIA ORGANIZACYJNE I TECHNICZNE ŚRODKI BEZPIECZEŃSTWA I OCENIA KOSZT ICH WDRAŻANIA. W TYM BLUE CREATION USTALA PRZYDATNOŚĆ I STOSUJE TAKIE ŚRODKI I PODEJŚCIE JAK: A) PSEUDONIMIZACJA, B) SZYFROWANIE DANYCH OSOBOWYCH, C) INNE ŚRODKI CYBERBEZPIECZEŃSTWA SKŁADAJĄCE SIĘ NA ZDOLNOŚĆ DO CIĄGŁEGO ZAPEWNIENIA POUFNOŚCI, INTEGRALNOŚCI, DOSTĘPNOŚCI I ODPORNOŚCI SYSTEMÓW I USŁUG PRZETWARZANIA,

D) ŚRODKI ZAPEWNIENIA CIĄGŁOŚCI DZIAŁANIA I ZAPOBIEGANIA SKUTKOM KATASTROF, CZYLI ZDOLNOŚCI DO SZYBKIEGO PRZYWRÓCENIA DOSTĘPNOŚCI DANYCH OSOBOWYCH I DOSTĘPU DO NICH W RAZIE INCYDENTU FIZYCZNEGO LUB TECHNICZNEGO. 13.2. OCENY SKUTKÓW DLA OCHRONY DANYCH BLUE CREATION DOKONUJE OCENY SKUTKÓW PLANOWANYCH OPERACJI PRZETWARZANIA DLA OCHRONY DANYCH OSOBOWYCH TAM, GDZIE DOKONUJE SYSTEMATYCZNEJ, KOMPLEKSOWEJ OCENY CZYNNIKÓW OSOBOWYCH ODNOSZĄCYCH SIĘ DO OSÓB FIZYCZNYCH, KTÓRA OPIERA SIĘ NA ZAUTOMATYZOWANYM PRZETWARZANIU, W TYM PROFILOWANIU, I JEST PODSTAWĄ DECYZJI WYWOŁUJĄCYCH SKUTKI PRAWNE WOBEC OSOBY FIZYCZNEJ LUB W PODOBNY SPOSÓB ZNACZĄCO WPŁYWAJĄCYCH NA OSOBĘ FIZYCZNĄ. 13.3. ŚRODKI BEZPIECZEŃSTWA BLUE CREATION ZAPEWNIA NASTĘPUJĄCE ORGANIZACYJNE ŚRODKI OCHRONY DANYCH OSOBOWYCH: 1. OGRANICZENIE DOSTĘPU DO BIURA I POMIESZCZEŃ, W KTÓRYCH PRZETWARZANE SĄ DANE OSOBOWE DRZWI ZAMYKANE NA KLUCZ; 2. DANE OSOBOWE W FORMIE PAPIEROWEJ PRZECHOWYWANE SĄ W SZAFKACH I SZAFACH ZAMYKANYCH NA KLUCZ; 3. STOSOWANA JEST TAK ZWANA POLITYKA CZYSTEGO BIURKA; 4. WSZYSTKIE ZBĘDNE DANE OSOBOWE LUB ICH KOPIE SĄ NA BIEŻĄCO NISZCZONE. BLUE CREATION ZAPEWNIA NASTĘPUJĄCE TECHNICZNE ŚRODKI OCHRONY DANYCH: 1. PRZY KORZYSTANIU ZE STRON INTERNETOWYCH STOSOWANY JEST CERTYFIKAT SSI; 2. DOSTĘP DO SIECI WIFI W BIURZE JEST MOŻLIWY WYŁĄCZNIE POPRZEZ DODANIE KONKRETNEGO URZĄDZENIA DO SIECI PRZEZ WPISANIE ADRESU MAC DO SYSTEMU PRZEZ BLUE CREATION; 3. DANE OSOBOWE W FORMIE ELEKTRONICZNEJ PRZECHOWYWANE SĄ NA DYSKACH ZASZYFROWANYCH; 4. DOSTĘP DO KOMPUTERÓW OGRANICZONY JEST BEZPIECZNYM HASŁEM SKŁADAJĄCYM SIĘ Z CO NAJMNIEJ OŚMIU ZNAKÓW; 5. KOMPUTERY WYPOSAŻONE SĄ W AKTUALNE WERSJE OPROGRAMOWANIA ANTYWIRUSOWEGO AVAST, ZAPORY FIREWALL ORAZ VPN. 13.4. ZGŁASZANIE NARUSZEŃ BLUE CREATION STOSUJE ZASADY POZWALAJĄCE NA IDENTYFIKACJĘ, OCENĘ I ZGŁOSZENIE ZIDENTYFIKOWANEGO NARUSZENIA OCHRONY DANYCH URZĘDOWI OCHRONY DANYCH W TERMINIE 72 GODZIN OD STWIERDZENIA NARUSZENIA, ZGODNIE Z PRZEPISAMI PRAWA I WYTYCZNYMI URZĘDU OCHRONY DANYCH OSOBOWYCH. W CELU ZGŁOSZENIA PODEJRZEWANEGO NARUSZENIA DO BLUE CREATION WSPÓŁPRACOWNICY SĄ ZOBOWIĄZANI WYSŁAĆ ZGŁOSZENIE OPISUJĄCE RODZAJ PODEJRZEWANEGO NARUSZENIA, JEGO OKOLICZNOŚCI, ZASIĘG DATĘ NA ADRES E-MAIL PIOTR.LACZ@12PM.PL, NIEZWŁOCZNIE JEDNAK NIE PÓŹNIEJ NIŻ W CIĄGU 12 GODZIN OD WYSTĄPIENIA PODEJRZENIA NARUSZENIA. BLUE CREATION OCENIAJĄC RYZYKO NARUSZENIA OCHRONY DANYCH OSOBOWYCH I TO, CZY POWODUJE ONO WYSOKIE RYZYKO NARUSZENIA PRAW LUB WOLNOŚCI OSÓB, KTÓRYCH DANE DOTYCZĄ, STOSUJE METODOLOGIĘ OPRACOWANĄ PRZEZ EUROPEJSKĄ AGENCJĘ DS. BEZPIECZEŃSTWA SIECI I INFORMACJI, TJ. WYKORZYSTUJE WZÓR: WN=KPD*PI+ON, GDZIE: A) WN - OZNACZA WAGĘ NARUSZENIA; B) KPD - OZNACZA KONTEKST PRZETWARZANIA DANYCH, ROZUMIANY JAKO SUMĘ (KPD = A + B) RODZAJU DANYCH (A) I KONTEKSTU PRZETWARZANIA (B), GDZIE: RODZAJ DANYCH (A) OZNACZA I MA NASTĘPUJĄCE WARTOŚCI: DANE PODSTAWOWE: 1; DANE DOTYCZĄCE ZACHOWAŃ: 2; DANE FINANSOWE: 3; O SZCZEGÓLNE KATEGORIE DANYCH: 4; KONTEKST PRZETWARZANIA, KTÓRY W ZALEŻNOŚCI OD SYTUACJI I RODZAJU MOŻE PODWYŻSZYĆ (+) LUB OBNIŻYĆ (-) OCENĘ O 0.25 LUB 0.5: O SZEROKI ZAKRES DANYCH/WOLUMEN DANYCH (+); CHARAKTER DANYCH (+/-);

SPECYFIKA PODMIOTU DANYCH LUB ADMINISTRATORA (+/-); MOŻLIWE NEGATYWNE SKUTKI DLA PODMIOTU DANYCH (+); PUBLICZNA DOSTĘPNOŚĆ DANYCH PRZED NARUSZENIEM (-); O NIEWAŻNOŚĆ, NIEAKTUALNOŚĆ DANYCH (-); PL- OZNACZA PRAWDOPODOBIEŃSTWO IDENTYFIKACJI, KTÓRE MOŻE BYĆ I MIEĆ WARTOŚĆ: ZNIKOME = 0.25 - ZIDENTYFIKOWANE PODMIOTU DANYCH JEST PRAKTYCZNIE NIEMOŻLIWE; ● OGRANICZONE = 0.5; WYSOKIE = 0.75; MAKSYMALNE = 1 - PEŁNA IDENTYFIKACJA PODMIOTU DANYCH; D) ON - OZNACZA OKOLICZNOŚCI NARUSZENIA, KTÓRE DZIELĄ SIĘ NA I MAJĄ NASTĘPUJĄCE WARTOŚCI: NARUSZENIE POUFNOŚCI: ● O O ZNANYM ODBIORCOM DANYCH +0.25; O NIEZNANEJ ILOŚCI ODBIORCÓW DANYCH +0.5; NARUSZENIE INTEGRALNOŚCI: O MOŻLIWE JEST ODZYSKANIE DANYCH +0.25; NIEMOŻLIWE JEST ODZYSKANIE DANYCH +0.5; NARUSZENIE DOSTĘPNOŚCI: O CZASOWA NIEDOSTĘPNOŚĆ DANYCH +0.25; NIEDOSTĘPNOŚĆ DANYCH PEŁNA I BRAK MOŻLIWOŚCI ODZYSKANIA DANYCH PRZEZ PHINANCE LUB PODMIOT DANYCH +0.5; O INTENSJONALNE DZIAŁANIE SPRAWCY +0.5. WYNIK PRZEPROWADZONEJ, ZGODNIE Z METODYKĄ WYSZCZEGÓLNIONĄ POWYŻEJ, OCENY WAGI NARUSZENIA (WN) NALEŻY INTERPRETOWAĆ NASTĘPUJĄCO: A) JEŻELI WN < 2, WAGA NARUSZENIA MA POZIOM NISKI OSOBY, KTÓRYCH DOTYCZĄCE DANE OBJĘTE NARUSZENIEM NIE ZOSTANĄ DOTKNIĘTE NARUSZENIEM LUB WYWOŁA ONO DROBNE, NIEZNACZNE DOLEGLIWOŚCI, O NARUSZENIU NIE TRZEBA INFORMOWAĆ PREZESA URZĘDU OCHRONY DANYCH OSOBOWYCH ANI DO OSÓB, KTÓRYCH DOTYCZĄ DANE SĄ OBJĘTE NARUSZENIEM; B) JEŻELI 2 < WN < 3, WAGA NARUSZENIA MA POZIOM ŚREDNI - OSOBY, KTÓRYCH DOTYCZĄCE DANE OBJĘTE NARUSZENIEM MOGĄ NAPOTKAĆ NIEDOGODNOŚCI, KTÓRE SĄ MOŻLIWE DO POKONANIA, A O NARUSZENIU NALEŻY POINFORMOWAĆ PREZESA URZĘDU OCHRONY DANYCH OSOBOWYCH, ALE NIE TRZEBA OSÓB, KTÓRYCH DOTYCZĄ DANE OBJĘTE NARUSZENIEM; C) JEŻELI 3 < WN < 4, WAGA NARUSZENIA MA POZIOM WYSOKI - W STOSUNKU DO OSÓB, KTÓRYCH DOTYCZĄ DANE OBJĘTE NARUSZENIEM MOGĄ WYSTĄPIĆ KONSEKWENCJE MOŻLIWE DO POKONANIA, ALE Z POWAŻNYMI SKUTKAMI, A O NARUSZENIU NALEŻY POINFORMOWAĆ ZARÓWNO PREZESA URZĘDU OCHRONY DANYCH OSOBOWYCH, JAK I OSOBY, KTÓRYCH DOTYCZĄ DANE OBJĘTE NARUSZENIEM; D) JEŻELI 4 <WN, WAGA NARUSZENIA MA POZIOM BARDZO WYSOKI – W STOSUNKU DO OSÓB, KTÓRYCH DOTYCZĄ DANE OBJĘTE NARUSZENIEM MOGĄ WYSTĄPIĆ ZNACZĄCE, NAWET NIEODWRACALNE KONSEKWENCJE, A O NARUSZENIU NALEŻY POINFORMOWAĆ ZARÓWNO PREZESA URZĘDU OCHRONY DANYCH OSOBOWYCH, JAK I OSOBY, KTÓRYCH DOTYCZĄ DANE OBJĘTE NARUSZENIEM. 14. PRZETWARZAJĄCY BLUE CREATION STOSUJE ZASADY DOBORU I WERYFIKACJI PRZETWARZAJĄCYCH DANE NA RZECZ BLUE CREATION I PO PRZEPROWADZENIU ICH POZYTYWNEJ WERYFIKACJI ZAWIERA Z NIMI UMOWY POWIERZENIA PRZETWARZANIA DANYCH