GDPR

YORNAVIK přistupuje k ochraně osobních údajů v souladu se zásadami obecného nařízení o ochraně osobních údajů (EU) 2016/679 (GDPR) a dalšími příslušnými právními předpisy.

Tento dokument popisuje organizační přístup k ochraně osobních údajů, řízení rizik, odpovědnost při zpracování údajů a postupy související s dodržováním požadavků na ochranu osobních údajů. Zaměřuje se především na organizační a kontrolní opatření, která doplňují informace o zpracování osobních údajů a používání souborů cookie.

1. Odpovědnost za ochranu osobních údajů

Ochrana osobních údajů je součástí řízení činností prováděných prostřednictvím e-shopu. Při posuzování způsobu zpracování údajů se zohledňují zejména:

  • povaha a účel příslušných činností;

  • používané technologie a nástroje;

  • možná rizika pro práva a svobody fyzických osob.

Pokud dojde ke změně provozních činností, používaných nástrojů nebo jiných okolností, které mohou ovlivnit bezpečnost či soulad s právními předpisy, příslušné postupy ochrany osobních údajů se znovu posoudí a podle potřeby upraví.

2. Ochrana osobních údajů již při návrhu a ve výchozím nastavení

Při zavádění nových funkcí, technologií nebo pracovních postupů, které zahrnují zpracování osobních údajů, se požadavky na ochranu údajů zohledňují již ve fázi návrhu, pokud je to vzhledem k dané činnosti relevantní.

Při nastavování příslušných systémů se podle okolností uplatňují zejména tyto zásady:

  • přístup k osobním údajům se omezuje na nezbytný rozsah;

  • údaje se používají pouze v rozsahu potřebném pro příslušný účel;

  • výchozí nastavení se posuzuje s ohledem na omezení zbytečného zpracování osobních údajů.

Konkrétní opatření se volí s ohledem na povahu zpracování, používané technologie a související rizika.

3. Posuzování a řízení rizik

Při posuzování činností zahrnujících osobní údaje se přihlíží k možným dopadům na práva a svobody dotčených osob.

Hodnocení rizik může zahrnovat zejména:

  • povahu a účel zpracování;

  • množství zpracovávaných údajů;

  • kategorie osobních údajů;

  • používané technologie;

  • způsob přístupu k údajům;

  • možné následky neoprávněného přístupu, použití nebo zpřístupnění údajů.

Pokud zpracování může představovat vysoké riziko pro práva a svobody fyzických osob, posoudí se podle požadavků GDPR, zda je nutné provést posouzení vlivu na ochranu osobních údajů (DPIA).

4. Posouzení vlivu na ochranu osobních údajů

Pokud jsou splněny zákonné podmínky stanovené GDPR, provádí se posouzení vlivu na ochranu osobních údajů před zahájením příslušného zpracování.

Účelem tohoto posouzení je zejména:

  • identifikovat možná rizika;

  • vyhodnotit pravděpodobnost jejich výskytu a závažnost možných následků;

  • určit opatření, která mohou rizika omezit;

  • posoudit, zda lze zpracování provádět za odpovídajících podmínek ochrany osobních údajů.

Pokud i po přijetí zamýšlených opatření přetrvává vysoké riziko, které nelze dostatečně zmírnit, postupuje se podle příslušných požadavků GDPR, včetně posouzení, zda je nutná předchozí konzultace s dozorovým úřadem.

5. Řízení vztahů s poskytovateli služeb zpracovávajícími osobní údaje

Pokud jsou ke zpracování osobních údajů využíváni externí poskytovatelé jednající jako zpracovatelé, posuzují se při jejich výběru záruky požadované příslušnými právními předpisy.

Rozsah svěřených činností a odpovědností se vymezuje podle skutečných provozních potřeb a povahy poskytovaných služeb.

Pokud to GDPR vyžaduje, vztah mezi správcem osobních údajů a zpracovatelem se upraví smlouvou nebo jiným právně závazným dokumentem splňujícím příslušné požadavky.

Pověření zpracovatelé jsou povinni zejména:

  • zpracovávat osobní údaje pouze v rozsahu svěřených úkolů;

  • postupovat v souladu s příslušnými pokyny správce a platnými právními předpisy.

6. Řízení přístupových oprávnění

Přístup k osobním údajům se omezuje podle skutečných provozních potřeb a odpovědností jednotlivých osob.

Přístupová oprávnění se přidělují podle konkrétních úkolů. Pokud již přístup není potřebný, mohou být příslušná oprávnění změněna nebo odebrána.

Cílem těchto opatření je snížit riziko, že osobní údaje budou neoprávněně zobrazeny, použity, změněny nebo zpřístupněny.

7. Řešení incidentů a porušení zabezpečení osobních údajů

Pokud dojde k události, která může ohrozit bezpečnost osobních údajů, posuzuje se zejména:

  • povaha incidentu;

  • rozsah dotčených údajů a osob;

  • možné důsledky pro dotčené osoby.

V případě zjištění porušení zabezpečení osobních údajů se přijímají přiměřená opatření k omezení incidentu a snížení jeho možných dopadů.

Pokud GDPR vyžaduje oznámení incidentu dozorovému úřadu nebo informování dotčených osob, postupuje se podle příslušných podmínek a lhůt stanovených právními předpisy. Oznámení dozorovému úřadu se podle GDPR provádí bez zbytečného odkladu, pokud možno do 72 hodin od okamžiku, kdy se správce o porušení dozvěděl, ledaže je nepravděpodobné, že by porušení představovalo riziko pro práva a svobody fyzických osob. Informování dotčených osob se řídí samostatnými podmínkami GDPR.

8. Dokumentace a záznamy o zpracování

V rozsahu vyžadovaném právními předpisy se vedou a uchovávají příslušné záznamy a dokumenty, které mohou sloužit k doložení přijatých opatření v oblasti ochrany osobních údajů.

Podle povahy a rozsahu činností může dokumentace zahrnovat zejména:

  • záznamy o činnostech zpracování osobních údajů;

  • popis přijatých technických a organizačních opatření;

  • výsledky posouzení rizik;

  • záznamy o přístupových oprávněních;

  • dokumentaci incidentů a přijatých nápravných opatření.

Rozsah dokumentace se stanovuje s ohledem na skutečné činnosti a příslušné zákonné povinnosti.

9. Informovanost a školení

Osoby, které mají oprávnění přistupovat k osobním údajům, mají být seznámeny se svými povinnostmi a s pravidly pro bezpečné zacházení s údaji.

Podle jejich pracovních úkolů může informování nebo školení zahrnovat například:

  • povinnost zachovávat důvěrnost;

  • správný způsob přístupu k osobním údajům;

  • postupy při vyřizování žádostí subjektů údajů;

  • opatření při zjištění nebo podezření na bezpečnostní incident.

Samotné přidělení přístupového oprávnění neopravňuje k používání osobních údajů mimo schválený rozsah a účel.

10. Pověřenec pro ochranu osobních údajů

Pověřenec pro ochranu osobních údajů (DPO) bude jmenován, pokud jsou splněny podmínky stanovené GDPR.

Při posuzování povinnosti jmenovat pověřence se zohledňuje zejména:

  • povaha zpracování;

  • jeho rozsah;

  • jeho účely;

  • rozsah a pravidelnost příslušných činností.

Tento dokument sám o sobě neznamená, že byl pověřenec pro ochranu osobních údajů jmenován.

11. Spolupráce s dozorovými úřady

V případech stanovených příslušnými právními předpisy se při záležitostech ochrany osobních údajů spolupracuje s příslušným dozorovým úřadem.

Pro Českou republiku je národním dozorovým orgánem Úřad pro ochranu osobních údajů (ÚOOÚ).

Spolupráce může podle konkrétní situace zahrnovat:

  • vyřizování požadavků dozorového úřadu;

  • součinnost při kontrolách a šetřeních;

  • vyřizování úřední komunikace související s ochranou osobních údajů.

Příslušnost konkrétního dozorového úřadu se určuje podle pravidel GDPR a okolností daného zpracování.

12. Kontrola a přezkum souladu

Postupy ochrany osobních údajů se podle potřeby znovu posuzují zejména při významných změnách provozních činností, používaných systémů, identifikovaných rizik nebo příslušných právních předpisů.

Přezkum může zahrnovat:

  • účinnost zavedených ochranných opatření;

  • nastavení přístupových oprávnění;

  • organizační postupy;

  • již zjištěná nebo nově vznikající rizika.

Pokud se zjistí potřeba změn, příslušné postupy se upraví tak, aby odpovídaly povaze skutečně prováděného zpracování a souvisejícím právním požadavkům.

13. Aktualizace těchto zásad

Tyto zásady mohou být aktualizovány v návaznosti na změny právních předpisů, technologií, organizačních postupů nebo způsobů zpracování osobních údajů.

Případné změny se posuzují s ohledem na potřebu zachovat přiměřený a aktuální rámec ochrany osobních údajů.

Aktualizované znění bude zveřejněno na webových stránkách a nabude účinnosti dnem uvedeným v příslušné verzi.

14. Kontaktní údaje

V případě dotazů týkajících se těchto zásad nebo organizačního zajištění ochrany osobních údajů nás můžete kontaktovat prostřednictvím následujících údajů.

Název obchodu: YORNAVIK

Kontaktní adresa: 126 Woodbridge Ct, Jacksonville, NC 28540, USA

Telefon: +1 (910) 347-6824

E-mail: supportteam@yornavik.com

Oblast obsluhy zákazníků: Česká republika