Čl. 1
- Společnost WIP Reklama spol. s. r. o., IČO 00511099, se sídlem Školní 2235/3, 370 10 České Budějovice (dále jen Společnost) v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů, dále jen „GDPR“) provedla revizi vlastních postupů nakládání s osobními údaji během výkonu své podnikatelské činnosti a jako výsledek jejich sumarizace tímto deklaruje základní pravidla postupů souvisejících se zpracováním osobních údajů.
- Společnost zajišťuje dodržování těchto pravidel při zpracování osobních údajů jejími zaměstnanci, spolupracovníky, členy orgánů a v případě dodavatelů – externích zpracovatelů osobních údajů má smluvně zajištěny záruky odpovídající ochrany dle čl. 28 GDPR.
Čl. 2
- Společnost zpracovává osobní údaje výhradně v souladu s právními důvody stanovenými v čl. 6 GDPR, pouze v nezbytném rozsahu a po nezbytnou dobu. Účely zpracování osobních údajů a dobu jejich zpracování eviduje Společnost pro jednotlivé agendy v záznamech o činnostech zpracování podle čl. 30 GDPR.
- K osobním údajům mají přístup pouze osoby, které s nimi potřebují nakládat při plnění svých úkolů a povinností pro Společnost. Tyto osoby zachovávají o osobních údajích, s nimiž se seznamují, mlčenlivost, tato povinnost je smluvně garantována.
Čl. 3
- Společnost v souladu s právními předpisy a obvyklými standardními obchodními zvyklostmi garantuje příslušné zabezpečené zpracování osobních údajů a přijímá opatření k zabezpečení osobních údajů, a to zejména:
- zajištění přítomnosti osoby uvedené v čl. 2 odst. 2 v prostorách, kde jsou zpracovávány osobní údaje, po dobu, kdy jsou tyto prostory přístupné jiným osobám, popřípadě uzamykání záznamů a nosičů s osobními údaji, pokud osoba uvedená v čl. 2 odst. 2 není v této době přítomna,
- uzamykání prostor, v nichž jsou uchovávány osobní údaje,
- ochrana přístupu k výpočetní technice, jíž se zpracovávají osobní údaje, individuálními silnými hesly a ochrana těchto hesel před vyzrazením,
- ochrana výpočetní techniky antivirovými programy; to platí také pro přenosná zařízení, pokud jsou pro ně takové programy běžně dostupné,
- další vhodná opatření pro ochranu přenosné výpočetní techniky nebo přenosných úložišť dat (například neustálý dohled, zamčený přepravní obal, folie na displeji, zaheslování dat, osobní manipulace s úložištěm při kopírování dat do jiného přístroje),
- zaheslování souborů s větším množstvím osobních údajů nebo se snadno zneužitelnými nebo citlivými osobními údaji v případě elektronického odesílání souboru nebo jeho uložení na sdílené úložiště a v případě nutnosti předání těchto souborů sdělení hesla jiným komunikačním kanálem, než byly odeslány (telefon, sms).
- Společnost dbá na řádné plnění povinností podle předpisů upravujících archivnictví, dodržuje zákonné lhůty pro ukládání dokumentů a archivaci, a dále včas a řádně provádí skartační řízení.
Čl. 4
- Společnost naplňuje veškerá práva subjektů údajů. Vyřizování všech žádostí subjektů údajů je v souladu s právními předpisy.
- Společnost dále zejména:
- vede záznamy o činnostech zpracování podle čl. 30 GDPR,
- zajišťuje informování subjektů údajů podle čl. 12 až 14 GDPR.
- naplňuje další práva subjektů údajů podle čl. 15 až 22 GDPR,
- provádí ohlašování a oznámení porušení zabezpečení osobních údajů podle čl. 33 a 34 GDPR.
- Návrhy záznamů, informací, vyřízení žádostí/stížností a ohlášení a oznámení podle odstavce 2 jsou uloženy u Společnosti.
- Subjekty údajů mohou svoje žádosti/stížnosti pro uplatnění práv popsaných v odstavci 2 uplatnit u Společnosti, zejména zasláním prostřednictvím emailové adresy Společnosti či písemně na sídlo Společnosti.
Čl. 5
- Společnost provedla analýzu rizik zpracování osobních údajů a přijala přiměřená technická a organizační opatření pro zabezpečení zpracování, jak jsou popsána výše. Analýza rizik obsahovala následující závěr: zpracování osobních údajů nepředstavuje vysoká rizika pro práva a svobody dotčených subjektů údajů, a tedy není nutné vypracovat posouzení vlivu na ochranu osobních údajů („DPIA“).
- Společnost provedla posouzení zpracování osobních údajů z pohledu čl. 37 GDPR. Společnost nenaplňuje podmínky pro jmenování pověřence pro ochranu osobních údajů (dále jen „DPO“) v souladu s recitálem 91 GDPR a nemá povinnost DPO jmenovat. DPO proto nebyl jmenován.
- Společnost kromě záznamů o činnostech zpracování dle čl. 30 GDPR vede evidenci souhlasů se zpracováním osobních údajů, pokud pro zpracování osobních údajů neexistuje jiný právní titul a evidenci případů porušení zabezpečení osobních údajů.
- Společnost pravidelně, nejméně jednou ročně, vyhodnocuje plnění pravidel ochrany osobních údajů, vč. technických a organizačních opatření a přijímá opatření k nápravě, příp. dle potřeby aktualizuje interní dokumentaci související s ochranou osobních údajů.