Postanowienia ogólne

1. Polityka bezpieczeństwa zwana dalej „Polityką”, określa środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych, sposób przepływu danych pomiędzy poszczególnymi systemami, zawiera wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar (jeżeli występują), w którym przetwarzane są dane osobowe, wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych oraz opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, a także tryb postępowania w przypadku stwierdzenia naruszenia ochrony danych osobowych w systemach informatycznych, albo w sytuacji powzięcia podejrzenia o takim naruszeniu.

1. 2 „W ramach realizacji umowy z Kupującym Sklep jest upoważniony przesłać na adres poczty elektronicznej Kupującego zaproszenie do wypełnienia ankiety po sprzedażowej. Ankieta służy zbadaniu opinii o przeprowadzonej transakcji. Kupujący może dobrowolnie wypełnić ankietę.”

1. 3 Instrukcja została opracowana zgodnie z wymogami określonymi w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), ze szczególnym uwzględnieniem jego § 4.

1. zbiorze danych - rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie,
2. przetwarzaniu danych - rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które  wykonuje się w systemach informatycznych,
3. systemie informatycznym - rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych,
4. Administratorze Danych - rozumie się przez to CyberVip Anna Rzemieniecka Trzebów 5A, 69-200 Sulęcin. Administrator Danych jest osobą nadzorującą przestrzeganie zasad ochrony, która jest obowiązana zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochron. W szczególności powinna ona zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmian, utrat, uszkodzeniem lub zniszczeniem. Do jej obowiązków należy między innymi podejmowanie odpowiednich działań w przypadku stwierdzenia naruszenia ochrony danych osobowych w systemach informatycznych, a także nadzór i kontrola w zakresie określonym przepisami o ochronie danych osobowych oraz regulacjami wewnętrznymi.
5. osobie odpowiedzialnej za prawidłowe funkcjonowanie sprzętu, oprogramowania i jego konserwację - rozumie się przez to informatyka odpowiedzialnego za powyższe zadania wyznaczonego przez Właściciela, zwanego dalej „Informatykiem” (jeżeli występuje). W przypadku gdy Informatyk nie występuje jego obowiązku przejmuje Administrator Danych. 
6. komórce organizacyjnej - rozumie się przez to każdą wydzieloną organizacyjnie i funkcjonalnie komórkę wewnętrzną, zgodnie z regulaminem organizacyjnym,
7. użytkowniku – rozumie się przez to osobę wyznaczoną przez Administratora, uprawnioną do bezpośredniego dostępu do danych osobowych przetwarzanych w systemie informatycznym oraz kartotekach, posiadającą ustalony identyfikator i hasło,
8. pomieszczeniach - rozumie się przez to budynki, pomieszczenia lub części pomieszczeń określone przez Administratora Danych, tworzące obszar, w którym przetwarzane są dane osobowe z użyciem stacjonarnego sprzętu komputerowego.

1. W celu zwiększenia efektywności ochrony danych osobowych dokonano połączenia różnych zabezpieczeń w sposób umożliwiający stworzenie kilku warstw ochronnych. Ochrona danych osobowych jest realizowana poprzez: zabezpieczenia fizyczne, procedury organizacyjne, oprogramowanie systemowe, aplikacje, oraz przez użytkowników.

2. Zastosowane zabezpieczenia gwarantują:
   1. poufność danych – rozumie się przez to właściwość zapewniającą, że dane nie są udostępniane nieupoważnionym podmiotom,
   2. integralność danych - rozumie się przez to właściwość zapewniającą, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany,
   3. rozliczalność - rozumie się przez to właściwość zapewniającą, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi,
   4. integralność systemu - rozumie się przez to nienaruszalność systemu, niemożność jakiejkolwiek manipulacji,
   5. uwierzytelnianie - rozumie się przez to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu.

1. wdrożenie procedur określających postępowanie osób zatrudnionych przy przetwarzaniu danych osobowych oraz ich odpowiedzialność za bezpieczeństwo tych danych,
2. przeszkolenie użytkowników w zakresie bezpieczeństwa i ochrony danych osobowych,
3. przypisanie użytkownikom określonych atrybutów pozwalających na ich identyfikację (hasła, identyfikatory), zapewniających im dostęp do różnych poziomów baz danych osobowych – stosownie do indywidualnego zakresu upoważnienia,
4. podejmowanie niezbędnych działań w celu likwidacji słabych ogniw w systemie zabezpieczeń,
5. okresowe sprawdzanie przestrzegania przez użytkowników wdrożonych metod postępowania przy przetwarzaniu danych osobowych,
6. opracowanie procedur odtwarzania systemu w przypadku wystąpienia awarii,
7. śledzenie osiągnięć w dziedzinie bezpieczeństwa systemów informatycznych i w miarę możliwości organizacyjnych i techniczno-finansowych - wdrażanie nowych narzędzi i metod pracy oraz sposobów zarządzania systemami informatycznymi, które będą służyły wzmocnieniu bezpieczeństwa danych osobowych.

1. Za naruszenie ochrony danych osobowych uważa się w szczególności:
   1. nieuprawniony dostęp lub próbę dostępu do danych osobowych lub pomieszczeń, w których się one znajdują,
   2. wszelkie modyfikacje danych osobowych lub próby ich dokonania przez osoby nieuprawnione

3. naruszenie lub próby naruszenia integralności systemu,
4. zmianę lub utratę danych zapisanych na kopiach zapasowych,
5. naruszenie lub próby naruszenia poufności danych lub ich części,
6. nieuprawniony dostęp (sygnał o nielegalnym logowaniu lub inny objaw wskazujący na próbę lub działanie związane z nielegalnym dostępem do systemu),
7. udostępnienie osobom nieupoważnionym danych osobowych lub ich części,
8. zniszczenie, uszkodzenie lub wszelkie próby nieuprawnionej ingerencji w systemy informatyczne zmierzające do zakłócenia ich działania bądź pozyskania w sposób niedozwolony (lub w celach niezgodnych z przeznaczeniem) danych zawartych w systemach informatycznych,
9. inny stan systemu informatycznego lub pomieszczeń niż pozostawiony przez użytkownika po zakończeniu pracy.

2. Za naruszenie ochrony danych osobowych uważa się również włamanie do budynku lub pomieszczeń, w których przetwarzane są dane osobowe lub próby takich działań.

Przedsięwzięcia zabezpieczające przed naruszeniem ochrony danych osobowych

1. Każdy nowo zatrudniany pracownik - przed dopuszczeniem do dostępu do danych osobowych – podlega przeszkoleniu w zakresie przepisów o ochronie danych osobowych oraz wynikających z nich zadań oraz obowiązków.

2. Wszyscy użytkownicy podlegają okresowym szkoleniom, stosownie do potrzeb wynikających ze zmian w systemie informatycznym (wymiana sprzętu na nowszej generacji, zmiana oprogramowania) oraz w związku ze zmianą przepisów o ochronie danych osobowych lub zmian wewnętrznych regulacji.

1. Za organizację szkoleń, odpowiedzialny jest Administrator Danych.

2. Szkolenia odbywają się na wniosek Administratora Danych.

1. zwracać szczególną uwagę przy wchodzeniu i wychodzeniu z obiektu na podejrzane osoby lub samochody parkujące w pobliżu,
2. przestrzegać procedur związanych z otwieraniem i zamykaniem pomieszczeń, a także z wejściem do obszarów przetwarzania danych osobowych osób nieupoważnionych,
3. informować Administratora Danych o podejrzanych osobach, tj.:
   • osobach zachowujących się nienormalnie np. nieodpowiednio ubranych do pory roku, dnia i pogody; 
   • osobach przebywających w obiekcie bez wyraźnego celu;
   • osobach posiadających przy sobie podejrzane bagaże, w których mogą być ukryte niebezpieczne przedmioty;
4. przestrzegać zasad i procedur ochrony danych osobowych, w czasie pracy a także po jej zakończeniu.

1. ochrona obiektu przez wszystkie dni w roku,
2. wydzielanie pomieszczeń ,
3. ograniczanie i monitorowanie dostępu do bazy danych,
4. zabezpieczenie wejść do pomieszczeń odpowiednimi zamkami,

Przetwarzanie danych osobowych

1. Przetwarzanie danych osobowych z użyciem stacjonarnego sprzętu komputerowego odbywa się wyłącznie na obszarze wyznaczonym przez Administratora Danych.
2. Przetwarzanie danych osobowych za pomocą urządzeń przenośnych może odbywać się poza obszarem przetwarzania danych wyłącznie za zgodą Administratora Danych.
3. Szczegółowy wykaz pomieszczeń tworzących obszar w którym przetwarzane są dane osobowe określa załącznik Nr 1 do Polityki.

1. drzwi wejściowe były zabezpieczone tak, aby otwarcie z zewnątrz mogło nastąpić wyłącznie przez uprawnione osoby,
2. wydawanie kluczy użytkownikom do pomieszczeń podlegało rejestracji, 
3. pomieszczenia, w których znajdują się serwery były wyposażone w miarę możliwości w sprawne systemy klimatyzacji, ochrony przeciwpożarowej i przeciwwłamaniowej,
4. pracownicy Administratora Danych są zobowiązani do przestrzegania zasad określających dopuszczalne sposoby przemieszczania się osób trzecich w obrębie pomieszczeń , w których przetwarzane są dane osobowe,
5. przebywanie osób trzecich w pomieszczeniach może odbywać się wyłącznie w obecności użytkowników lub za zgodą Administratora Danych.

1. Stały dostęp do pomieszczeń , w których przetwarzane są dane osobowe, mają tylko użytkownicy oraz Informatyk.

2. Dostęp do pomieszczeń, w których przetwarzane są dane osobowe, osób innych, niż wymienione w ust. 1, jest możliwy wyłącznie w obecności, co najmniej jednego użytkownika lub za zgodą Administratora Danych.

3. Zakaz wyrażony w ust. 2 dotyczy innych, niż określeni w ust. 1, pracowników Administratora Danych oraz pracowników służb technicznych, porządkowych, itp.

4. Przebywanie użytkownika po godzinach pracy w pomieszczeniach, w których przetwarzane są dane osobowe jest dopuszczalne jedynie za zgodą Administratora Danych.

1. Administrator Danych jest odpowiedzialny za całość zagadnień dotyczących ochrony i bezpieczeństwa danych osobowych.
2. W celu sprawnego wykonywania swoich zadań Administrator Danych jest uprawniony do wyznaczania użytkownikom określonych zadań.
3. Użytkownicy zobowiązani są do przestrzegania przepisów o ochronie danych osobowych na terenie podległych komórek organizacyjnych, a także do ścisłej współpracy z Administratorem Danych. W tym celu zobowiązani są do:
   1. pisemnego wnioskowania o rejestrację nowych zbiorów danych osobowych,
   2. okresowego składania pisemnej informacji z przebiegu bieżącej kontroli i oceny funkcjonowania mechanizmów zabezpieczeń i ochrony,
   3. występowania z wnioskami w sprawie wprowadzenia niezbędnych zmian w zakresie ochrony danych osobowych.

Kontrola przestrzegania zasad zabezpieczenia ochrony danych osobowych § 19

1. Administrator Danych sprawuje nadzór nad przestrzeganiem zasad ochrony danych osobowych.
2. Administrator Danych lub osoba przez niego upoważniona dokonuje okresowych kontroli i oceny funkcjonowania mechanizmów zabezpieczeń oraz przestrzegania zasad postępowania w przypadku naruszenia ochrony danych osobowych.

3. Przedmiotem kontroli, o których mowa w ust. 2 powinno być w szczególności:
   1. funkcjonowanie zabezpieczeń systemowych,
   2. prawidłowo funkcjonowania mechanizmów kontroli dostępu do zbioru danych,
   3. funkcjonowanie zastosowanych zabezpieczeń fizycznych,
   4. zasady przechowywania kartotek,
   5. zasady i sposoby likwidacji oraz archiwizowania zbiorów archiwalnych,
   6. realizacja procedur wdrożonych przez Administratora Danych w zakresie ochrony danych.
4. Administrator Danych prowadzi rejestr dokonywanych kontroli oraz ustaleń, wniosków i zaleceń z nich wynikających, a także nadzoruje ich wykonywanie.
5. Z kontroli, o których mowa w ust. 2 należy sporządzać protokoły, które przechowuje Administrator Danych.

1. Przed przystąpieniem do pracy użytkownik obowiązany jest dokonać sprawdzenia stanu urządzeń komputerowych oraz oględzin swojego stanowiska pracy, w tym zwrócić szczególną uwagę, czy nie zaszły okoliczności wskazujące na naruszenie lub próby naruszenia ochrony danych osobowych.
2. W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia ochrony danych osobowych, użytkownik zobowiązany jest do bezzwłocznego powiadomienia o tym fakcie Administratora Danych
3. Obowiązek określony w ust. 2 ciąży równie na pozostałych  pracownikach Administratora Danych.

Obowiązek informacyjny na podstawie artykułu 13 RODO