Pravilnik o obradi i zaštiti osobnih podataka

Sukladno odredbama Zakona o zaštiti osobnih podataka (NN 103/2003, 118/2006, 41/2008, 130/2011 i 106/2012), članku 3. stavku 1. Opće uredbe o zaštiti podataka Europske unije (EU) 2016/679, uprava trgovačkog društva Smart&Simply d.o.o. sa sjedištem u Samoboru, Krešimira Purića 17, OIB:90872953085 (dalje u tekstu „Društvo“) zastupano po direktorici Mariji Bošković Belanić koja zastupa Društvo samostalno i pojedinačno donijelo je 21.05.2018. godine sljedeći

PRAVILNIK O OBRADI I ZAŠTITI OSOBNIH PODATAKA

OPĆE ODREDBE

Članak 1.

U postupku obrade osobnih podataka i zaštite pojedinaca u pogledu obrade osobnih podataka i pravila povezanih sa slobodnim kretanjem osobnih podataka vezano uz osobne podatke koje Društvo prikuplja, obrađuje, pohranjuje i prosljeđuje Društvo je obveznik primjene Opće uredbe o zaštiti podataka EU 2016/679 (u daljnjem tekstu Opća uredba).

Članak 2.

Sukladno članku 4. točki 7. Opće uredbe Društvo je voditelj obrade osobnih podataka te određuje svrhu i sredstva obrade osobnih podataka u skladu s Općom uredbom, važećim zakonodavstvom Republike Hrvatske (RH) i pravom EU.

Članak 3.

U skladu sa Općom uredbom pojedini izrazi u ovom Pravilniku imaju sljedeće značenje:

„osobni podatak“ označava sve podatke koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi

„ispitanik”; pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca; ispitanik je svaki pojedinac (fizička osoba) od kojeg Društvo prikuplja i obrađuje osobne podatke u smislu Opće uredbe;

„obrada” znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

„ograničavanje obrade” znači označivanje pohranjenih osobnih podataka s ciljem ograničavanja njihove obrade u budućnosti;

„sustav pohrane” znači svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnom ili zemljopisnom osnovu;

„izrada profila” znači svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca;

„voditelj obrade” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom EU ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom EU ili pravom države članice;

„izvršitelj obrade” je fizička ili pravna osoba, državno ili drugo tijelo, koje obrađuje osobne podatke u ime voditelja zbirke osobnih podataka;

„primatelj” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana; tijela javne vlasti koja mogu primiti osobne podatke u skladu s pravom EU ili pravom države članice u okviru provođenja određene istrage ne smatraju se primateljima;

„treća strana” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade;

„privola ispitanika“ znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;

„povreda osobnih podataka” znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani;

„pseudonimizacija” znači obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi;

„poduzeće” znači fizička ili pravna osoba koja se bavi gospodarskom djelatnošću, bez obzira na pravni oblik te djelatnosti, uključujući partnerstva ili udruženja koja se redovno bave gospodarskom djelatnošću;

„radnik“ svaka osoba zaposlena u Društvu temeljem ugovora o radu ili menadžerskog ugovora

„nadzorno tijelo“ je Agencija za zaštitu osobnih podataka.

Članak 4.

Ovaj Pravilnik o obradi i zaštiti osobnih podataka (u daljnjem tekstu Pravilnik) sadrži pravila za zaštitu osobnih podataka u postupku prikupljanja i obrade osobnih podataka, do kojih Društvo dolazi tijekom svog redovitog poslovanja, a odnosi se na fizičke osobe. Svrha zaštite osobnih podataka je zaštita privatnog života i ostalih ljudskih prava i temeljnih sloboda u prikupljanju, obradi i korištenju osobnih podataka. Zaštita osobnih podataka Društva osigurana je svakoj fizičkoj osobi bez obzira na državljanstvo i prebivalište te neovisno o rasi, boji kože, spolu, jeziku, vjeri, političkom ili drugom uvjerenju, nacionalnom ili socijalnom podrijetlu, imovini, rođenju, naobrazbi, društvenom položaju ili drugim osobinama u skladu s odredbama Opće uredbe. Pravo na zaštitu osobnih podataka pripada svim ispitanicima na jednak način i pod jednakim uvjetima i svi ispitanici su ravnopravni u njegovu ostvarivanju.

PRIKUPLJANJE I OBRADA OSOBNIH PODATAKA

Članak 5.

Osobne podatke fizičkih osoba Društvo prikuplja u svrhu s kojom je ispitanik upoznat, koja je izričito navedena i u skladu s Općom uredbom i važećim zakonodavstvom RH. Društvo neće prikupljati osobne podatke u većem opsegu nego što je to nužno da bi se postigla utvrđena svrha. Također neće prikupljati osobne podatke koji se mogu podvesti pod „posebne kategorije osobnih podataka“ u smislu članka 9. Opće uredbe. Osobni podaci se dalje obrađuju zakonito, pošteno i transparentno i samo u svrhu u koju su prikupljeni, odnosno u svrhu koja je podudarna sa svrhom prikupljanja, te se dalje ne obrađuju na način koji nije u skladu s tim svrhama. Društvo osobne podatke obrađuje isključivo na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih i organizacijskih mjera. Društvo osobne podatke čuva samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju, a protekom navedenog vremena će osobne podatke brisati. Iznimno, osobni podaci mogu se pohraniti i na dulja razdoblja, ali samo ako će se isti obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe.

Članak 6.

Društvo osobne podatke obrađuje samo i u onoj mjeri ako je ispunjen jedan od sljedećih uvjeta:

da je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha
da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka
da je obrada nužna radi poštovanja zakonskih obveza Društva
da je obrada nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe
da je obrada nužna za izvršavanje zadaće od javnog interesa
da je obrada nužna za potrebe legitimnih interesa Društva ili treće strane, osim u slučaju kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka

Članak 7.

Privola kojom ispitanik Društvu daje pristanak za obradu osobnih podataka koji se na njega odnose jest dobrovoljna, u pisanom obliku s lako razumljivim, jasnim i jednostavnim jezikom, jasno naznačenom svrhom za koju se daje i bez nepoštenih uvjeta. Ispitanik ima pravo u svakom trenutku povući svoju privolu. Povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja. Prije davanja privole, ispitanika se o tome obavješćuje.

Članak 8.

U postupku obrade osobnih podataka Društvo na odgovarajući način (pisano ili izravno usmeno) ispitaniku pruža sve informacije vezano za obradu njegovih osobnih podataka, a osobito o:

identitetu i kontakt podacima Društva kao voditelja obrade osobnih podataka
svrsi obrade podataka i kategorijama osobnih podataka koji se obrađuju
pravnom osnovu za obradu podataka
primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni
o izvoru osobnih podataka u slučaju kada se osobni podaci ne prikupljaju od ispitanika
legitimnim interesima Društva ako se obrada temelji na članku 6. stavku 1. točki (f) Opće uredbe
namjeri predaje osobnih podataka trećim osobama
razdoblju u kojem će osobni podaci biti pohranjeni
tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet nužan za sklapanje ugovora te ima li ispitanik obvezu pružanja osobnih podataka i koje su moguće posljedice ako se takvi podaci ne pruže
postojanju prava ispitanika da zatraži pristup osobnim podacima, ispravak ili brisanje osobnih podataka, prava na ograničavanje obrade podataka koji se odnose na ispitanika, prava na ulaganje prigovora na obradu takvih te prava na prenosivost podataka
namjeri dodatnog obrađivanja osobnih podataka u svrhu koja je različita od one za koju su osobni podaci prikupljeni.

PRAVA ISPITANIKA

Članak 9.

Društvo poduzima odgovarajuće mjere kako bi ispitaniku bile pružene sve informacije u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika. Informacije se pružaju u pisanom obliku ili drugim sredstvima, između ostalog, ako je prikladno, elektroničkim putem. Ako to zatraži ispitanik, informacije mogu biti pružene usmenim putem, pod uvjetom da je drugim sredstvima utvrđen identitet ispitanika. Društvo ispitaniku na zahtjev pruža informacije o poduzetim radnjama, bez nepotrebnog odgađanja i u svakom slučaju u roku od mjesec dana od zaprimanja zahtjeva. Taj se rok može prema potrebi produljiti za dodatna dva mjeseca, uzimajući u obzir složenost i broj zahtjeva. Društvo obavješćuje ispitanika o svakom takvom produljenju u roku od mjesec dana od zaprimanja zahtjeva, zajedno s razlozima odgađanja. Ako je zahtjev ispitanika podnesen elektroničkim putem, Društvo informaciju pruža elektroničkim putem ako je to moguće, osim ako ispitanik zatraži drugačije. Ako Društvo ne postupi po zahtjevu ispitanika, bez odgađanja, a najkasnije jedan mjesec od primitka zahtjeva, izvijestit će ispitanika o razlozima odbijanja zahtjeva razlozima i o mogućnosti podnošenja prijave nadzornom i traženja pravnog lijeka. Informacije pružene ispitaniku i sva komunikacija i djelovanja pružaju se bez naknade. Iznimno, ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihovog učestalog ponavljanja, Društvo može naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili obavijesti ili postupanja po zahtjevu. Teret dokaza očigledne neutemeljenosti ili pretjeranosti zahtjeva je na Društvu. Ako Društvo ima opravdane sumnje u pogledu identiteta pojedinca koji podnosi zahtjev za brisanje, ispravak, pristup podacima, može tražiti pružanje dodatnih informacija nužnih za potvrđivanje identiteta ispitanika.

Članak 10.

Ispitanik ima pravo pristupa osobnim podacima sadržanima u sustavu pohrane Društva koji se na njega odnose sukladno članku 15. Opće uredbe. Društvo će bez odgađanja na zahtjev ispitanika ispraviti netočne podatke koji se na njega odnose odnosno temeljem zahtjeva ispitanika iste dopuniti sukladno članku 16. Opće uredbe. U slučaju da Društvo utvrdi da su osobni podaci nepotpuni, netočni ili neažurni, dužan ih je sam dopuniti ili izmijeniti neovisno o zahtjevu ispitanika. Društvo će bez odgađanja, temeljem zahtjeva ispitanika, provesti brisanje osobnih podataka koji se na njega odnose, pod uvjetom da osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili ako ispitanik povuče privolu na kojoj se obrada temelji, sukladno članku 17. Opće uredbe. Ispitanik ima pravo od Društva ishoditi ograničenje obrade osobnih podataka sukladno članku 18. Opće uredbe. Društvo priopćuje svaki ispravak ili brisanje osobnih podataka ili ograničenje obrade provedeno u skladu s člankom 16., člankom 17. stavkom 1. i člankom 18. Opće uredbe svakom primatelju kojem su otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor. Društvo obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži. Ispitanik ima pravo ispisa osobnih podataka sadržanima u sustavu pohrane koji se na njega odnose radi prijenosa drugom voditelju obrade sukladno članku 20. Opće uredbe. Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega sukladno članku 21. Opće uredbe. Ispitanik koji smatra da je Društvo povrijedio neko njegovo pravo zajamčeno Općom uredbom ima pravo podnijeti zahtjev za utvrđivanje povrede prava nadležnom tijelu.

SUSTAV POHRANE

Članak 11.

Društvo prikuplja i obrađuje sljedeće vrste osobnih podataka:

osobni podaci zaposlenika Društva
osobni podaci članova tijela i osoba ovlaštenih za zastupanje Društva
osobni podaci vanjskih suradnika
osobni podaci kupaca / predstavnika dobavljača
osobni podaci posjetitelja internet stranice društva

Članak 12.

Društvo prikuplja i obrađuje osobne podatke u svrhu:

kontaktiranja članova tijela i osoba ovlaštenih za zastupanje Društva o svim bitnim informacijama za rad Društva
ispunjavanja ugovornih obveza prema ispitanicima koji su stranke u ugovorima sklopljenima s Društvom
kontaktiranja vanjskih suradnika Društva o svim bitnim informacijama za vanjskog suradnika i za rad Društva
komunikacije sa ispitanicima u slučaju ako nas isti kontaktiraju s pitanjima, prijedlozima ili primjedbama u vezi s našim proizvodima ili poslovnom djelatnošću
obrade upita i narudžbe ispitanika i isporuke naručenih proizvoda putem obrasca za narudžbu na željeno prodajno mjesto prema izboru ispitanika

Članak 13.

Svi se podaci o ispitanicima/korisnicima strogo se čuvaju i dostupni su samo djelatnicima kojima su ti podaci nužni za obavljanje posla tj. u svrhu u koju ste nas kontaktirali. Svi djelatnici tvrtke Smart&Simply d.o.o. i poslovni partneri odgovorni su za poštivanje načela zaštite privatnosti.

Prikupljamo i obrađujemo samo one osobne podatke koje ste naveli u kontakt obrascu isključivo u svrhu u koju ste nas kontaktirali. Samim kontaktiranjem dali ste privolu za obradu nužnih osobnih podataka kako bismo mogli utvrditi identitet osobe za koju odrađujemo određeni zahtjev. Ukoliko u kontakt obrascu navedete i druge osobne podatke koje nismo od vas tražili u kontakt obrascu (sve što nije navedeno ispod) samim navođenjem tih podataka dali ste nam privolu za njihovu ograničenu obradu isključivo u svrhu ispunjenja zahtjeva radi kojeg nas kontaktirate. To znači da dodatne osobne podatke koje sami navedete izvan navedenih okvira ni u kojem slučaju nećemo koristiti ni u koju drugu svrhu osim u onu zbog koje nas kontaktirate, nećemo ih zlouporabiti niti prenijeti trećim stranama koje nisu uključene u ispunjenje zahtjeva radi kojeg ste nas kontaktirali. Nad njima ne vršimo nikakve analitičke operacije niti ih koristimo za profiliranje ispitanika.

Podaci koje obrađujemo su: ime, prezime, datum rođenja, adresa elektroničke pošte, broj telefona/mobitela, adresa, mjesto, poštanski broj, županija, država.

Privola za kontaktiranje u marketinške svrhe

Ukoliko ste nam dali vašu izričitu privolu za kontaktiranje u marketinške svrhe, vaši će se osobni podaci koje ste nam predali u kontakt obrascu ili prilikom registracije (isključivši sve dodatne osobne podatke koje ste napisali u napomeni) koristiti unutar poduzeća Smart&Simply d.o.o. u sljedeće svrhe:

oglašavanje vezano za događaje (vatromete, događaje u organizaciji Društva ili u kojima Društvo direktno sudjeluje),
oglašavanje vezano za akcije, novosti i promocije proizvoda Društva
oglašavanje vezano za novosti na našoj web stranici

Članak 14.

Voditelj obrade i zaštite osobnih podataka iz čl. 13. ovog Pravilnika je direktor Društva.

Članak 15.

Društvo može, uzimajući u obzir poslovne potrebe i opravdanost, te na temelju ugovora, pojedine poslove u vezi s obradom osobnih podataka u okvirima svog poslovanja povjeriti drugoj fizičkoj ili pravnoj osobi odnosno izvršitelju obrade. U takvim slučajevima ugovor između Društva i izvršitelja obrade mora biti sklopljen u pisanom obliku. Društvo će poslove u svezi s obradom osobnih podataka povjeriti samo izvršitelju obrade koji je registriran za obavljanje takve djelatnosti i koji osigurava dovoljna jamstva u pogledu ostvarivanja odgovarajućih mjera zaštite osobnih podataka, odnosno klasificiranih podataka ukoliko ispunjava uvjete utvrđene posebnim propisima koji uređuju područje informacijske sigurnosti. Ugovorom koji Društvo sklopi sa izvršiteljem obrade uredit će se međusobna prava i obveze, a osobito obveza izvršitelja obrade da obavlja poslove na temelju naloga Društva te da ne smije osobne podatke davati na korištenje drugim primateljima niti ih smije obrađivati za bilo koju drugu svrhu osim ugovorene. Izvršitelj obrade ujedno osigurava provođenje odgovarajućih tehničkih, organizacijskih i kadrovskih mjera zaštite osobnih podataka sukladno važećim zakonskim propisima kao i zahtjevima Društva u području zaštite osobnih podataka.

MJERE ZA ZAŠTITU OSOBNIH PODATAKA

Članak 15.

Da bi se izbjegao neovlašteni pristup, podaci u računalu zaštićuju se dodjeljivanjem lozinke koja je poznata samo osobama zaduženima za obradu podataka.

Članak 16.

Društvo će po potrebi, a posebice prilikom objave podataka koji bi se mogli pripisati određenom ispitaniku, provoditi pseudonimizaciju kao jednu od tehničkih mjera zaštite osobnih podataka.

Članak 17.

Osobe zadužene za obradu osobnih podataka odgovorne su za zaštitu osobnih podataka od slučajnog gubitka ili uništenja, od nedopuštenog pristupa ili nedopuštene promjene, nedopuštenog objavljivanja i svake druge zlouporabe.

Članak 18.

Društvo osobne podatke ispitanika, koje prikuplja i obrađuje u okviru svog poslovanja, neće ustupati trećim stranama ukoliko nemaju na odgovarajući način uređenu zaštitu osobnih podataka odnosno osiguranu adekvatnu razinu zaštite sukladno Općoj uredbi. Sve pravne i/ili fizičke osobe u tijeku poslovanja s Društvom dužne su se pridržavati odredbi ovog Pravilnika, a Društvo će ih upoznati s pravilima i procesima zaštite osobnih podataka u Društvu.

ZAVRŠNE ODREDBE

Članak 19.

Ovaj Pravilnik stupa na snagu danom donošenja.

Direktorica

Marija Bošković Belanić