GDPR · Soter & Partners

1. Cine suntem

Suntem SOTER & PARTNERS, un grup de companii din România care activează în domeniul serviciilor financiar-contabile, al auditului, al consultanței fiscale și al imigrării. Grupul SOTER & PARTNERS este format din următoarele companii, care desfășoară activități profesionale: SOTER SRL, SOTER HR SRL, SOTER AUDIT SRL, SOTER TAX SRL, SOTER ACT SRL, SOTER ACCOUNTING SERVICES SRL, SOTER LG SRL

Grupul SOTER & PARTNERS a numit un Consiliu pentru protecția datelor (Data Privacy Council), în care 7 membri ocupă funcții de conducere, câte unul din fiecare companie, iar 3 membri au funcții administrative. Consiliul pentru protecția datelor răspunde de implementarea, gestionarea, monitorizarea și controlul politicilor de protecție a datelor la nivelul întregului grup SOTER & PARTNERS.

2. Legislația privind protecția datelor

2.1 Regulamentul general privind protecția datelor din 2016 (GDPR) înlocuiește Directiva UE privind protecția datelor din 1995 și are prioritate față de legile statelor membre adoptate în conformitate cu Directiva 95/46/CE privind protecția datelor. Scopul său este de a proteja drepturile și libertățile persoanelor fizice (adică ale persoanelor în viață) și de a asigura că datele cu caracter personal nu sunt prelucrate fără știrea lor și, ori de câte ori este posibil, că sunt prelucrate cu consimțământul lor.

2.2 Politicile noastre de protecție a datelor sunt guvernate de legislația UE privind protecția datelor și de legislația națională în vigoare privind protecția datelor.

2.3 Definiții folosite de organizație:

Domeniul de aplicare material - GDPR se aplică prelucrării datelor cu caracter personal, integral sau parțial prin mijloace automatizate (adică pe calculator), precum și prelucrării prin alte mijloace decât cele automatizate (adică în evidențe pe hârtie) a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care sunt destinate să facă parte dintr-un sistem de evidență a datelor.

Domeniul de aplicare teritorial - GDPR se aplică tuturor operatorilor stabiliți în UE (Uniunea Europeană) care prelucrează datele cu caracter personal ale persoanelor vizate în contextul activităților acestui sediu. Se aplică și operatorilor din afara UE care prelucrează date cu caracter personal pentru a oferi bunuri și servicii persoanelor vizate care au reședința în UE sau pentru a le monitoriza comportamentul.

Sediu - sediul principal al operatorului în UE este locul în care operatorul ia deciziile principale privind scopurile și mijloacele activităților sale de prelucrare a datelor. Sediul principal în UE al unei persoane împuternicite de operator este centrul său administrativ. Dacă un operator își are sediul în afara UE, trebuie să desemneze un reprezentant în jurisdicția în care își desfășoară activitatea, care să acționeze în numele operatorului și să trateze cu autoritățile de supraveghere.

Date cu caracter personal - orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale.

Categorii speciale de date cu caracter personal - date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice ori apartenența la sindicate, precum și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală ori orientarea sexuală a unei persoane fizice.

Operator de date - persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau prin dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern.

Persoană vizată - orice persoană fizică în viață ale cărei date cu caracter personal sunt deținute de o organizație.

Prelucrare - orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea.

Încălcarea securității datelor cu caracter personal - o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate în alt mod, ori la accesul neautorizat la acestea. Operatorul are obligația de a raporta autorității de supraveghere încălcările securității datelor cu caracter personal, precum și situațiile în care încălcarea poate afecta negativ datele cu caracter personal sau viața privată a persoanei vizate.

Consimțământul persoanei vizate - orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, prelucrarea datelor cu caracter personal care o privesc.

Copil - GDPR definește copilul ca fiind orice persoană cu vârsta sub 16 ani, deși dreptul unui stat membru poate coborî această limită la 13 ani. Prelucrarea datelor cu caracter personal ale unui copil este legală numai dacă s-a obținut consimțământul părintelui sau al tutorelui. În astfel de cazuri, operatorul depune eforturi rezonabile pentru a verifica dacă consimțământul este dat sau autorizat de titularul răspunderii părintești asupra copilului.

Parte terță - o persoană fizică sau juridică, autoritate publică, agenție sau organism, altele decât persoana vizată, operatorul, persoana împuternicită de operator și persoanele care, sub directa autoritate a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze date cu caracter personal.

Sistem de evidență a datelor - orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcționale sau geografice.

3. Declarație de politică

3.1 Conducerea SOTER & PARTNERS se angajează să respecte toate legile relevante ale UE și ale statelor membre privind datele cu caracter personal, precum și să protejeze drepturile și libertățile persoanelor ale căror informații SOTER & PARTNERS le colectează și le prelucrează în conformitate cu Regulamentul general privind protecția datelor (GDPR).

3.2 Conformitatea cu GDPR și cu legislația națională privind protecția datelor este descrisă de această politică și de alte politici relevante, cum ar fi Politica de securitate a informațiilor, împreună cu procesele și procedurile aferente.

3.3 GDPR, legislația UE și cea națională privind protecția datelor și această politică se aplică tuturor activităților de prelucrare a datelor cu caracter personal ale SOTER & PARTNERS, inclusiv celor efectuate asupra datelor cu caracter personal ale clienților, angajaților, furnizorilor și partenerilor, precum și oricăror alte date cu caracter personal pe care organizația le prelucrează, din orice sursă.

3.4 SOTER & PARTNERS a stabilit obiective privind protecția datelor și confidențialitatea, consemnate în Registrul obiectivelor PIMS și GDPR.

3.5 Sistemele de gestionare a informațiilor personale (PIMS) sunt sisteme care oferă companiei noastre un control mai bun asupra datelor cu caracter personal. PIMS permit gestionarea datelor cu caracter personal în sisteme de stocare sigure, locale sau online, și partajarea lor atunci când și cu cine alege compania. Furnizorii de servicii online și agenții de publicitate trebuie să interacționeze cu PIMS dacă intenționează să prelucreze datele persoanelor.

3.6 Ca responsabil cu protecția datelor (DPO) a fost numită societatea de avocatură Dumitrache-Chironda, Ivu si Asociatii, prin domnul Marius Daniel IVU și doamna Oxana Dumitrache-Chironda, conform notificărilor depuse la ANSPDCP prin:

Cererea din 25.05.2018, cu numărul de înregistrare 0027911/132329441314 din 27.06.2018, pentru Soter SRL;
Cererea din 25.05.2018, cu numărul de înregistrare 0028094/938478035024 din 28.06.2018, pentru Soter HR SRL;
Cererea din 25.05.2018, cu numărul de înregistrare 0028098/92683328917 din 28.06.2018, pentru Soter AUDIT SRL;
Cererea din 25.05.2018, cu numărul de înregistrare 0028183/299340924439 din 28.06.2018, pentru Soter TAX SRL;
Cererea din 25.05.2018, cu numărul de înregistrare 0028109/334881586374 din 28.06.2018, pentru Soter ACT SRL;

3.7 Persoana împuternicită cu implementarea politicilor de confidențialitate este Consiliul pentru protecția datelor al companiei. Administratorul răspunde de revizuirea anuală a registrului de prelucrare, ținând seama de orice schimbări în activitățile SOTER & PARTNERS (stabilite pe baza modificărilor din registrul de inventar al datelor și din evidențele activităților de prelucrare, precum și a analizei conducerii) și de orice cerințe suplimentare identificate prin evaluările impactului asupra protecției datelor.

3.8 Această politică se aplică tuturor angajaților/personalului SOTER & PARTNERS, inclusiv furnizorilor externi. Orice încălcare a GDPR sau a PIMS va fi tratată conform politicii disciplinare a SOTER & PARTNERS și poate constitui și infracțiune, caz în care situația va fi raportată cât mai curând autorităților competente.

3.9 Partenerii și orice terți care lucrează cu sau pentru SOTER & PARTNERS și care au sau pot avea acces la date cu caracter personal trebuie să fi citit, să fi înțeles și să respecte această politică. Niciun terț nu poate accesa datele cu caracter personal deținute de SOTER & PARTNERS fără să fi încheiat în prealabil un acord de prelucrare a datelor (DPA), care îi impune obligații cel puțin la fel de stricte ca acelea asumate de SOTER & PARTNERS și care îi dă SOTER & PARTNERS dreptul de a audita respectarea acordului.

Sistemul de gestionare a informațiilor personale (PIMS)

Declarație de politică

Pentru a sprijini conformitatea cu legislația privind protecția datelor, Consiliul pentru protecția datelor a aprobat și susținut dezvoltarea, implementarea, întreținerea și îmbunătățirea continuă a unui sistem documentat de gestionare a informațiilor personale (PIMS) pentru SOTER & PARTNERS.

Toți angajații/personalul SOTER & PARTNERS trebuie să respecte această politică și PIMS-ul care o pune în aplicare. Toți angajații/personalul și anumite părți externe vor urma instruirile corespunzătoare. Consecințele încălcării acestei politici sunt stabilite în politica disciplinară a SOTER & PARTNERS pentru angajați și în contractele și acordurile cu terții.

La stabilirea domeniului de aplicare pentru conformitatea cu GDPR, SOTER & PARTNERS ia în considerare:

orice aspecte externe și interne relevante pentru scopul SOTER & PARTNERS și care îi afectează capacitatea de a atinge rezultatele urmărite prin PIMS;
nevoile și așteptările specifice ale părților interesate, relevante pentru implementarea PIMS;
obiectivele și obligațiile organizaționale;
nivelul de risc acceptabil pentru organizație;
orice obligații legale, de reglementare sau contractuale aplicabile.

Obiectivele SOTER & PARTNERS pentru respectarea legislației privind protecția datelor și a PIMS:

sunt în concordanță cu această politică
sunt măsurabile
țin seama de GDPR și de rezultatele evaluării și tratării riscurilor
sunt monitorizate
sunt comunicate
sunt actualizate după caz

SOTER & PARTNERS documentează aceste obiective în Registrul obiectivelor PIMS și GDPR.

Pentru a atinge aceste obiective, SOTER & PARTNERS a stabilit:

ce se va face
ce resurse vor fi necesare
cine va fi responsabil
când se va finaliza
cum vor fi evaluate rezultatele

4. Responsabilități și roluri conform Regulamentului general privind protecția datelor

4.1 Conform GDPR, SOTER & PARTNERS este operator pentru datele colectate de la angajați și persoană împuternicită de operator pentru datele primite de la clienți în baza contractelor de prestări servicii.

4.2 Conducerea de vârf și toți cei care ocupă funcții de conducere sau de supraveghere în cadrul SOTER & PARTNERS răspund de dezvoltarea și încurajarea bunelor practici de gestionare a informațiilor în cadrul SOTER & PARTNERS; responsabilitățile sunt stabilite în fișele individuale ale posturilor.

4.3 Consiliul pentru protecția datelor răspunde în fața acționarilor SOTER & PARTNERS pentru gestionarea datelor cu caracter personal în cadrul SOTER & PARTNERS și pentru a asigura că se poate demonstra conformitatea cu legislația privind protecția datelor și cu bunele practici. Această răspundere include:

4.3.1 dezvoltarea și implementarea GDPR, așa cum cere această politică;
4.3.2 securitatea și gestionarea riscurilor în legătură cu respectarea politicii.

4.4 Consiliul pentru protecția datelor își asumă răspunderea pentru respectarea zilnică a acestei politici de către SOTER & PARTNERS și, în special, răspunde direct de asigurarea conformității SOTER & PARTNERS cu GDPR.

4.5 Consiliul pentru protecția datelor numește o persoană cu responsabilități specifice privind procedurile, cum ar fi Procedura privind cererile de acces ale persoanelor vizate (SAR), care este primul punct de contact pentru angajații/personalul care caută lămuriri despre orice aspect al conformității cu protecția datelor.

4.6 Respectarea legislației privind protecția datelor este responsabilitatea tuturor angajaților/personalului SOTER & PARTNERS care colectează și/sau prelucrează date cu caracter personal.

4.7 Politica de instruire a SOTER & PARTNERS stabilește cerințele specifice de instruire și conștientizare pentru anumite roluri și pentru angajații/personalul SOTER & PARTNERS în general.

4.8 Angajații/personalul SOTER & PARTNERS răspund de exactitatea și actualitatea datelor cu caracter personal care îi privesc și pe care le furnizează către SOTER & PARTNERS.

5. Principiile protecției datelor

Orice prelucrare a datelor cu caracter personal trebuie efectuată în conformitate cu principiile protecției datelor stabilite la articolul 5 din GDPR. Politicile și procedurile SOTER & PARTNERS sunt concepute pentru a asigura respectarea acestor principii.

5.1 Datele cu caracter personal trebuie prelucrate în mod legal, echitabil și transparent

Legal - înainte de a prelucra date cu caracter personal, trebuie identificat un temei legal. Acestea sunt numite adesea condiții de prelucrare, de exemplu consimțământul.

Echitabil - pentru ca prelucrarea să fie echitabilă, operatorul trebuie să pună anumite informații la dispoziția persoanelor vizate, în măsura posibilului. Aceasta se aplică indiferent dacă datele cu caracter personal au fost obținute direct de la persoanele vizate sau din alte surse.

GDPR a sporit cerințele privind informațiile care trebuie puse la dispoziția persoanelor vizate, acoperite de cerința de transparență.

Transparent - GDPR cuprinde, la articolele 12, 13 și 14, reguli privind informarea persoanelor vizate în materie de confidențialitate. Acestea sunt detaliate și specifice și pun accentul pe note de informare ușor de înțeles și accesibile. Informațiile trebuie comunicate persoanei vizate într-o formă inteligibilă, folosind un limbaj clar și simplu.

SOTER & PARTNERS a stabilit Procedura privind nota de informare și Nota de informare privind prelucrarea datelor cu caracter personal.

Informațiile specifice care trebuie furnizate persoanei vizate trebuie să cuprindă cel puțin:

5.1.1 identitatea și datele de contact ale operatorului și, dacă este cazul, ale reprezentantului acestuia;
5.1.2 datele de contact ale responsabilului cu protecția datelor;
5.1.3 scopurile prelucrării pentru care sunt destinate datele cu caracter personal, precum și temeiul juridic al prelucrării;
5.1.4 perioada pentru care vor fi stocate datele cu caracter personal;
5.1.5 existența dreptului de a solicita accesul, rectificarea, ștergerea sau de a se opune prelucrării, precum și condițiile (sau lipsa lor) privind exercitarea acestor drepturi, de exemplu dacă va fi afectată legalitatea prelucrării anterioare;
5.1.6 categoriile de date cu caracter personal în cauză;
5.1.7 destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz;
5.1.8 după caz, intenția operatorului de a transfera datele cu caracter personal către un destinatar dintr-o țară terță și nivelul de protecție acordat datelor;
5.1.9 orice alte informații necesare pentru a garanta o prelucrare echitabilă.

5.2 Datele cu caracter personal pot fi colectate numai în scopuri determinate, explicite și legitime. Datele obținute în scopuri determinate nu trebuie folosite într-un scop diferit de cele notificate oficial autorității de supraveghere în registrul de prelucrare GDPR al SOTER & PARTNERS. Procedura de confidențialitate GDPR stabilește procedurile relevante.

5.3 Datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar pentru prelucrare

5.3.1 Consiliul pentru protecția datelor răspunde de asigurarea faptului că SOTER & PARTNERS nu colectează informații care nu sunt strict necesare scopului pentru care sunt obținute.
5.3.2 Toate formularele de colectare a datelor (electronice sau pe hârtie), inclusiv cerințele de colectare a datelor din sistemele informatice noi, trebuie să includă o declarație privind prelucrarea echitabilă sau o trimitere la nota de informare și trebuie aprobate de reprezentantul GDPR.
5.3.3 Consiliul pentru protecția datelor se asigură că, anual, toate metodele de colectare a datelor sunt revizuite, pentru ca datele colectate să rămână adecvate, relevante și să nu fie excesive (Procedura de evaluare a impactului asupra protecției datelor).

5.4 Datele cu caracter personal trebuie să fie exacte și actualizate, făcându-se toate eforturile pentru ștergerea sau rectificarea lor fără întârziere

5.4.1 Datele stocate de operator trebuie revizuite și actualizate după caz. Nu se păstrează date decât dacă se poate presupune în mod rezonabil că sunt exacte.
5.4.2 Responsabilul cu protecția datelor se asigură că tot personalul este instruit cu privire la importanța colectării unor date exacte și a menținerii lor.
5.4.3 Este și responsabilitatea persoanei vizate să se asigure că datele deținute de SOTER & PARTNERS sunt exacte și actualizate. Formularele de înregistrare sau de cerere completate de persoana vizată vor include o declarație că datele cuprinse sunt exacte la data depunerii.
5.4.4 Angajaților/personalului li se va cere să notifice SOTER & PARTNERS cu privire la orice schimbare de situație, pentru ca evidențele personale să poată fi actualizate în consecință. Instrucțiunile pentru actualizarea evidențelor vor fi comunicate periodic. SOTER & PARTNERS are responsabilitatea de a se asigura că orice notificare privind o schimbare de situație este înregistrată și tratată.
5.4.5 Consiliul pentru protecția datelor răspunde de existența unor proceduri și politici adecvate pentru menținerea exactității și actualității datelor cu caracter personal, ținând seama de volumul datelor colectate, de viteza cu care se pot schimba și de orice alți factori relevanți.
5.4.6 Cel puțin o dată pe an, Consiliul pentru protecția datelor revizuiește termenele de păstrare a tuturor datelor cu caracter personal prelucrate de SOTER & PARTNERS, pe baza inventarului de date, și identifică datele care nu mai sunt necesare în contextul scopului înregistrat. Aceste date vor fi șterse/distruse în siguranță, conform Procedurii de eliminare sigură a suporturilor de stocare.
5.4.7 Consiliul pentru protecția datelor răspunde la cererile de rectificare ale persoanelor vizate în termen de o lună (Procedura privind cererile de acces ale persoanelor vizate). Termenul poate fi prelungit cu încă două luni pentru cererile complexe. Dacă SOTER & PARTNERS decide să nu dea curs cererii, reprezentantul GDPR trebuie să îi răspundă persoanei vizate, explicând motivele, și să o informeze cu privire la dreptul de a depune o plângere la autoritatea de supraveghere și de a se adresa justiției.
5.4.8 Consiliul pentru protecția datelor răspunde de luarea măsurilor potrivite pentru ca, în cazul în care unor organizații terțe le-au fost transmise date cu caracter personal inexacte sau neactualizate, acestea să fie informate că informațiile sunt inexacte și/sau neactualizate și că nu trebuie folosite pentru decizii privind persoanele în cauză, precum și pentru transmiterea către terț a oricărei corecturi a datelor cu caracter personal, atunci când este necesar.

5.5 Datele cu caracter personal trebuie păstrate într-o formă care permite identificarea persoanei vizate doar atât timp cât este necesar pentru prelucrare.

5.5.1 Atunci când datele cu caracter personal sunt păstrate după data prelucrării, ele vor fi [minimizate/criptate/pseudonimizate], pentru a proteja identitatea persoanei vizate în cazul unei încălcări a securității datelor.
5.5.2 Datele cu caracter personal vor fi păstrate conform Procedurii de păstrare a evidențelor și, după expirarea termenului de păstrare, trebuie distruse în siguranță, așa cum prevede această procedură.
5.5.3 Responsabilul cu protecția datelor trebuie să aprobe în mod expres orice păstrare a datelor care depășește termenele stabilite în Procedura de păstrare a evidențelor și trebuie să se asigure că justificarea este clar identificată și în conformitate cu cerințele legislației privind protecția datelor. Această aprobare trebuie dată în scris.

5.6 Datele cu caracter personal trebuie prelucrate într-un mod care asigură securitatea corespunzătoare

Responsabilul cu protecția datelor va efectua o evaluare a riscurilor, ținând seama de toate împrejurările operațiunilor de control sau de prelucrare ale SOTER & PARTNERS.

La stabilirea caracterului adecvat, responsabilul cu protecția datelor / responsabilul GDPR ar trebui să ia în considerare și amploarea posibilelor prejudicii sau pierderi pe care le-ar putea suferi persoanele (de exemplu personalul sau clienții) în cazul unei încălcări a securității, efectul oricărei încălcări a securității asupra SOTER & PARTNERS însăși și orice prejudiciu probabil de imagine, inclusiv posibila pierdere a încrederii clienților.

La evaluarea măsurilor tehnice adecvate, responsabilul cu protecția datelor va lua în considerare următoarele:

Protejarea prin parolă;
Blocarea automată a stațiilor neutilizate;
Eliminarea drepturilor de acces pentru USB și alte suporturi de memorie;
Programe antivirus și firewall-uri;
Drepturi de acces pe roluri, inclusiv cele atribuite personalului temporar;
Criptarea dispozitivelor care părăsesc sediile organizației, cum ar fi laptopurile;
Securitatea rețelelor locale și de arie largă;
Tehnologii de protejare a vieții private, cum ar fi pseudonimizarea și anonimizarea;
Identificarea standardelor internaționale de securitate adecvate, relevante pentru SOTER & PARTNERS.

La evaluarea măsurilor organizatorice adecvate, responsabilul cu protecția datelor / responsabilul GDPR va lua în considerare următoarele:

Nivelurile adecvate de instruire în cadrul SOTER & PARTNERS;
Măsuri care țin seama de încrederea în angajați (cum ar fi recomandările etc.);
Includerea protecției datelor în contractele de muncă;
Stabilirea măsurilor disciplinare pentru încălcările securității datelor;
Monitorizarea personalului privind respectarea standardelor de securitate relevante;
Controlul accesului fizic la evidențele electronice și pe hârtie;
Adoptarea unei politici a biroului curat (clear desk);
Păstrarea datelor pe hârtie în dulapuri ignifuge care se pot încuia;
Restricționarea folosirii dispozitivelor electronice portabile în afara locului de muncă;
Restricționarea folosirii la locul de muncă a dispozitivelor personale ale angajaților;
Adoptarea unor reguli clare privind parolele;
Impunerea unor obligații contractuale organizațiilor care primesc datele, de a lua măsuri de securitate adecvate atunci când datele sunt transferate în afara SEE.

Aceste controale au fost alese pe baza riscurilor identificate pentru datele cu caracter personal și a potențialului de prejudiciu sau suferință pentru persoanele ale căror date sunt prelucrate.

5.7 Operatorul trebuie să poată demonstra respectarea celorlalte principii ale GDPR.

Responsabilitate

GDPR cuprinde prevederi care promovează responsabilitatea. Acestea completează cerințele de transparență ale GDPR. Principiul responsabilității de la articolul 5 alineatul (2) din GDPR cere să se demonstreze că operatorul respectă principiile și precizează explicit că aceasta este responsabilitatea lui.

SOTER & PARTNERS va demonstra respectarea principiilor protecției datelor prin implementarea politicilor de protecție a datelor, respectarea codurilor de conduită, implementarea măsurilor tehnice și organizatorice, precum și prin adoptarea unor tehnici ca protecția datelor începând cu momentul conceperii, evaluările impactului asupra protecției datelor (DPIA), procedurile de notificare a încălcărilor și planurile de răspuns la incidente.

6. Drepturile persoanelor vizate

6.1 Persoanele vizate au următoarele drepturi privind prelucrarea datelor și datele înregistrate despre ele:

6.1.1 Să facă cereri de acces privind natura informațiilor deținute și persoanele cărora le-au fost divulgate.
6.1.2 Să împiedice prelucrarea care le-ar putea cauza prejudicii sau suferință.
6.1.3 Să împiedice prelucrarea în scopuri de marketing direct.
6.1.4 Să fie informate despre mecanismul procesului decizional automatizat care le va afecta în mod semnificativ.
6.1.5 Să nu facă obiectul unor decizii importante care le afectează, luate exclusiv printr-un proces automatizat.
6.1.6 Să ceară despăgubiri în instanță dacă suferă un prejudiciu prin orice încălcare a GDPR.
6.1.7 Să ceară rectificarea, blocarea, ștergerea, inclusiv dreptul de a fi uitate, sau distrugerea datelor inexacte.
6.1.8 Să ceară autorității de supraveghere să evalueze dacă a fost încălcată vreo prevedere a GDPR.
6.1.9 Să primească datele cu caracter personal într-un format structurat, utilizat în mod curent și care poate fi citit automat, precum și dreptul ca aceste date să fie transmise altui operator.
6.1.10 Să se opună oricărei creări automate de profiluri care are loc fără consimțământul lor.

6.2 SOTER & PARTNERS se asigură că persoanele vizate își pot exercita aceste drepturi:

6.2.1 Persoanele vizate pot face cereri de acces la date, așa cum este descris în Procedura privind cererile de acces ale persoanelor vizate; această procedură descrie și modul în care SOTER & PARTNERS se asigură că răspunsul la cererea de acces respectă cerințele GDPR.
6.2.2 Persoanele vizate au dreptul de a depune plângere la SOTER & PARTNERS cu privire la prelucrarea datelor lor cu caracter personal, conform Procedurii de soluționare a plângerilor

7. Consimțământul

7.1 SOTER & PARTNERS consideră consimțământul ca fiind exprimat în mod explicit și liber, ca o manifestare specifică, informată și lipsită de ambiguitate a voinței persoanei vizate, prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, prelucrarea datelor cu caracter personal care o privesc. Persoana vizată își poate retrage consimțământul în orice moment.

7.2 SOTER & PARTNERS consideră că există consimțământ atunci când persoana vizată a fost pe deplin informată despre prelucrarea intenționată și și-a exprimat acordul, fiind în deplinătatea facultăților mintale și fără să se fi exercitat presiuni asupra ei. Consimțământul obținut prin constrângere sau pe baza unor informații înșelătoare nu constituie un temei valabil pentru prelucrare.

7.3 Trebuie să existe o comunicare activă între părți, care să demonstreze consimțământul activ. Consimțământul nu poate fi dedus din lipsa unui răspuns la o comunicare. Operatorul trebuie să poată demonstra că a obținut consimțământul pentru operațiunea de prelucrare.

7.4 Pentru datele sensibile trebuie obținut consimțământul explicit, în scris, al persoanelor vizate (Procedura privind consimțământul), cu excepția cazului în care există un alt temei legitim pentru prelucrare.

7.5 În majoritatea cazurilor, consimțământul pentru prelucrarea datelor cu caracter personal și a datelor sensibile este obținut în mod obișnuit de SOTER & PARTNERS prin documente standard de consimțământ.

7.6 Atunci când SOTER & PARTNERS oferă servicii online copiilor, trebuie obținută autorizarea părintelui sau a tutorelui. Această cerință se aplică copiilor cu vârsta sub 16 ani (cu excepția cazului în care statul membru a stabilit o limită de vârstă mai mică, dar nu mai mică de 13 ani).

8. Securitatea datelor

8.1 Toți angajații răspund de păstrarea în siguranță a datelor cu caracter personal deținute de SOTER & PARTNERS și pentru care sunt responsabili, iar aceste date nu se divulgă în nicio situație unei terțe părți, decât dacă acea terță parte a fost autorizată în mod expres de SOTER & PARTNERS să primească informațiile și a încheiat un acord de confidențialitate.

8.2 Toate datele cu caracter personal trebuie să fie accesibile doar celor care au nevoie să le folosească, iar accesul poate fi acordat numai conform Politicii de control al accesului. Toate datele cu caracter personal trebuie tratate cu cel mai înalt nivel de securitate și trebuie păstrate:

într-o încăpere care se poate încuia și are acces controlat;
într-un sertar sau fișet încuiat;
dacă sunt informatizate, protejate prin parolă conform cerințelor din Politica de control al accesului;
stocate pe suporturi informatice (amovibile) criptate conform Procedurii de eliminare sigură a suporturilor de stocare.

8.3 Trebuie avut grijă ca ecranele calculatoarelor și terminalele să nu fie vizibile decât pentru angajații/personalul autorizat al SOTER & PARTNERS. Toți angajații/personalul trebuie să încheie un Acord de utilizare acceptabilă înainte de a primi acces la orice fel de informații ale organizației; acordul cuprinde și reguli privind blocarea automată a ecranului.

8.4 Evidențele pe hârtie nu pot fi lăsate în locuri în care pot fi accesate de personal neautorizat și nu pot fi scoase din sediile firmei fără autorizare explicită. De îndată ce evidențele pe hârtie nu mai sunt necesare pentru sprijinul zilnic al clienților, ele trebuie mutate în arhiva securizată.

8.5 Datele cu caracter personal pot fi șterse sau eliminate numai conform Procedurii de păstrare a evidențelor. Evidențele pe hârtie al căror termen de păstrare a expirat se distrug cu tocătorul și se elimină ca deșeuri confidențiale. Hard diskurile calculatoarelor trebuie scoase și distruse imediat, înainte de casarea calculatoarelor, așa cum cere GDPR.

8.6 Prelucrarea datelor cu caracter personal în afara sediului prezintă un risc potențial mai mare de pierdere, furt sau deteriorare a datelor. Personalul trebuie să fie autorizat în mod expres pentru a prelucra date în afara sediului.

9. Divulgarea datelor

9.1 SOTER & PARTNERS trebuie să se asigure că datele cu caracter personal nu sunt divulgate unor terți neautorizați, inclusiv membrilor familiei, prietenilor, organismelor guvernamentale și, în anumite împrejurări, poliției. Toți angajații/personalul trebuie să fie precauți atunci când li se cere să divulge unui terț date cu caracter personal deținute despre o altă persoană. Angajații vor urma o instruire specifică, care să le permită să gestioneze eficient orice astfel de risc. Este important să se aibă în vedere dacă divulgarea informațiilor este sau nu relevantă și necesară pentru desfășurarea activității SOTER & PARTNERS.

9.2 Toate cererile de furnizare a datelor pentru unul dintre aceste motive trebuie susținute de documente corespunzătoare, iar toate aceste divulgări trebuie autorizate în mod expres de responsabilul cu protecția datelor (DPO).

10. Păstrarea și eliminarea datelor

10.1 SOTER & PARTNERS nu păstrează datele cu caracter personal într-o formă care permite identificarea persoanelor vizate pe o perioadă mai lungă decât este necesar în raport cu scopul (scopurile) pentru care au fost colectate inițial.

10.2 SOTER & PARTNERS poate stoca datele pe perioade mai lungi dacă datele cu caracter personal vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, cu condiția aplicării unor măsuri tehnice și organizatorice adecvate pentru protejarea drepturilor și libertăților persoanei vizate.

10.3 Perioada de păstrare pentru fiecare categorie de date cu caracter personal va fi stabilită în Procedura de păstrare a evidențelor, împreună cu criteriile folosite pentru stabilirea acestei perioade, inclusiv orice obligații legale ale SOTER & PARTNERS de a păstra datele.

10.4 Procedurile SOTER & PARTNERS de păstrare și de eliminare a datelor (Procedura de eliminare a suporturilor de stocare) se aplică în toate cazurile.

10.5 Datele cu caracter personal trebuie eliminate în siguranță, conform celui de-al șaselea principiu al GDPR (prelucrare într-un mod adecvat pentru menținerea securității), protejând astfel drepturile și libertățile persoanelor vizate. Orice eliminare a datelor se face conform procedurii de eliminare sigură.

11. Transferurile de date

11.1 Orice export de date din Spațiul Economic European (SEE) către țări din afara SEE (numite în GDPR țări terțe) este ilegal, cu excepția cazului în care există un nivel adecvat de protecție a drepturilor fundamentale ale persoanelor vizate.

11.2 Transferul datelor cu caracter personal în afara SEE este interzis, cu excepția cazului în care se aplică una sau mai multe dintre garanțiile sau excepțiile specificate:

11.2.1 O decizie privind caracterul adecvat. Comisia Europeană poate evalua și evaluează țări terțe, un teritoriu și/sau sectoare specifice din țări terțe, pentru a stabili dacă există un nivel adecvat de protecție a drepturilor și libertăților persoanelor fizice. În aceste cazuri nu este necesară nicio autorizare. Țările membre ale Spațiului Economic European (SEE), dar nu și ale UE, sunt considerate ca îndeplinind condițiile pentru o decizie privind caracterul adecvat. Lista țărilor care îndeplinesc în prezent cerințele Comisiei privind caracterul adecvat este publicată în Jurnalul Oficial al Uniunii Europene.
https://ec.europa.eu/info/law/law-topic/data-protection_en
11.2.2 Scutul de confidențialitate (Privacy Shield)
Dacă SOTER & PARTNERS dorește să transfere date cu caracter personal din UE către o organizație din Statele Unite, trebuie să verifice dacă organizația este înscrisă în cadrul Privacy Shield la Departamentul Comerțului al SUA. Obligațiile care se aplică societăților în cadrul Privacy Shield sunt cuprinse în Principiile de confidențialitate. Departamentul Comerțului al SUA răspunde de gestionarea și administrarea Privacy Shield și de asigurarea faptului că societățile își respectă angajamentele. Pentru a putea fi certificate, societățile trebuie să aibă o politică de confidențialitate conformă cu Principiile de confidențialitate, de exemplu să folosească, să stocheze și să transfere mai departe datele cu caracter personal conform unui set strict de reguli și garanții privind protecția datelor. Protecția acordată datelor cu caracter personal se aplică indiferent dacă datele privesc sau nu un rezident al UE. Organizațiile trebuie să își reînnoiască anual înscrierea în Privacy Shield. Dacă nu o fac, nu mai pot primi și folosi date cu caracter personal din UE în acest cadru.

Evaluarea caracterului adecvat de către operator
La evaluarea caracterului adecvat, operatorul exportator cu sediul în România trebuie să țină seama de următorii factori:

natura informațiilor transferate;
țara sau teritoriul de origine și de destinație finală a informațiilor;
modul în care vor fi folosite informațiile și pentru cât timp;
legile și practicile țării destinatarului, inclusiv codurile de practică relevante și obligațiile internaționale;

12. Fluxul de date / inventarul datelor

12.1 SOTER & PARTNERS a stabilit un proces de inventariere a datelor și de urmărire a fluxului de date, ca parte a abordării riscurilor și oportunităților din proiectul său de conformitate cu GDPR. Inventarul datelor și fluxul de date ale SOTER & PARTNERS stabilesc:

procesele de afaceri care folosesc date cu caracter personal;
sursa datelor cu caracter personal;
numărul persoanelor vizate;
descrierea fiecărui element de date cu caracter personal;
activitatea de prelucrare;
ține inventarul categoriilor de date cu caracter personal prelucrate;
documentează scopul (scopurile) pentru care este folosită fiecare categorie de date cu caracter personal;
destinatarii și potențialii destinatari ai datelor cu caracter personal;
rolul SOTER & PARTNERS de-a lungul fluxului de date;
sistemele și depozitele de date principale;
orice transferuri de date;
toate cerințele de păstrare și de eliminare.

12.2 SOTER & PARTNERS cunoaște riscurile asociate prelucrării anumitor tipuri de date cu caracter personal.

12.2.1 SOTER & PARTNERS evaluează nivelul de risc pentru persoane asociat prelucrării datelor lor cu caracter personal. Evaluările impactului asupra protecției datelor (DPIA) (Procedura DPIA GDPR) se efectuează pentru prelucrarea datelor cu caracter personal de către SOTER & PARTNERS și pentru prelucrările efectuate de alte organizații în numele SOTER & PARTNERS.
12.2.2 SOTER & PARTNERS gestionează orice riscuri identificate prin evaluarea riscurilor, pentru a reduce probabilitatea unei neconformități cu această politică.
12.2.3 Atunci când un tip de prelucrare, în special cel care folosește tehnologii noi, ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, SOTER & PARTNERS efectuează, înainte de prelucrare, o evaluare a impactului operațiunilor de prelucrare prevăzute asupra protecției datelor cu caracter personal (DPIA). O singură evaluare poate aborda un set de operațiuni de prelucrare similare, care prezintă riscuri ridicate similare.
12.2.4 Atunci când, în urma unei DPIA, este clar că SOTER & PARTNERS urmează să înceapă o prelucrare de date cu caracter personal care ar putea cauza prejudicii și/sau suferință persoanelor vizate, decizia privind continuarea sau nu de către SOTER & PARTNERS trebuie înaintată spre analiză responsabilului cu protecția datelor (DPO).
12.2.5 Dacă există preocupări semnificative, fie privind posibilele prejudicii sau suferințe, fie privind cantitatea de date în cauză, administratorul sesizează autoritatea de supraveghere.
12.2.6 Se vor alege și aplica controale adecvate pentru a reduce nivelul de risc asociat prelucrării datelor persoanelor la un nivel acceptabil și în conformitate cu cerințele GDPR.

Aprobare

SOTER & PARTNERS este proprietarul acestui document și răspunde de revizuirea acestei politici conform cerințelor de revizuire de mai sus.

O versiune actualizată a acestui document este disponibilă pentru tot personalul pe intranetul companiei

Această politică a fost actualizată și aprobată de Consiliul pentru protecția datelor la 21.10.2019.