Przetwarzanie danychi RODO

Tłumaczenie pomocnicze. W przypadku rozbieżności wiążąca jest wersja angielska.

Niniejsza strona podsumowuje publiczne stanowisko Altovar w zakresie RODO i przetwarzania danych, przeznaczone do celów zamówień publicznych, przeglądów prawnych, bezpieczeństwa oraz ochrony prywatności. Ma na celu udzielenie odpowiedzi na powtarzające się pytania pojawiające się podczas wdrażania dostawców, badań due diligence oraz ocen bezpieczeństwa.

Strona ta uzupełnia — lecz nie zastępuje — Politykę Prywatności, Politykę Plików Cookie, Regulamin Świadczenia Usług oraz wszelkie zawarte umowy powierzenia przetwarzania danych (DPA).

Altovar jako administrator: W odniesieniu do danych osobowych zbieranych za pośrednictwem naszej strony internetowej, działań sprzedażowych, administrowania kontem, fakturowania, korespondencji z działem wsparcia oraz preferencji marketingowych, Altovar działa jako niezależny administrator danych.

Altovar jako podmiot przetwarzający: W przypadku gdy klient korzysta z usług Altovar w celu przechowywania, analizowania, przesyłania lub innego przetwarzania danych osobowych w jego imieniu, Altovar działa jako podmiot przetwarzający, a klient pozostaje administratorem, chyba że w umowie lub architekturze usługi określono inny podział ról.

Podział ról jest dodatkowo doprecyzowany we właściwym formularzu zamówienia (Order Form), dokumentacji usługi oraz umowie powierzenia przetwarzania danych (DPA).

Altovar ma siedzibę w Europie i projektuje swoją strategię infrastrukturalną w sposób zachowujący kontrolę jurysdykcyjną UE, niskie ryzyko związane z transferem danych oraz przejrzystość operacyjną.

Nasze standardowe podejście do świadczenia usług zakłada hosting w UE. Główne obciążenia aplikacyjne, bazy danych, kopie zapasowe i systemy operacyjne są dobierane tak, aby dane produkcyjne pozostawały na terenie EOG wszędzie tam, gdzie pozwala na to architektura produktu. W przypadkach, gdy narzędzia do dostarczania treści (edge-delivery) lub wsparcia technicznego wprowadzają punkt styku z państwem trzecim, Altovar stosuje udokumentowane zabezpieczenia i ogranicza dostęp do niezbędnego minimum.

Altovar udostępnia umowę powierzenia przetwarzania danych (DPA) w scenariuszach, w których pełni rolę podmiotu przetwarzającego. W przypadku planów Business i Enterprise postanowienia DPA mogą być zawarte bezpośrednio w formularzu zamówienia lub umowie ramowej o świadczenie usług. Pozostałym klientom standardowa umowa DPA jest udostępniana na żądanie.

DPA obejmuje instrukcje dotyczące przetwarzania, poufność, dalsze podmioty przetwarzające, środki bezpieczeństwa, powiadamianie o naruszeniach, pomoc w realizacji praw osób, których dane dotyczą, usuwanie / zwrot danych oraz współpracę przy audytach w granicach uzasadnionych handlowo.

Prośby o zawarcie DPA lub aneksu do umowy można kierować na adres [email protected].

Altovar stosuje kontrolowany proces weryfikacji dostawców w zakresie infrastruktury, płatności, komunikacji oraz wspomagających usług bezpieczeństwa. Każdy podmiot przetwarzający lub dalszy podmiot przetwarzający jest oceniany pod kątem dopasowania technicznego, implikacji jurysdykcyjnych, mechanizmów kontroli bezpieczeństwa, zakresu umownego oraz dojrzałości w zakresie reagowania na incydenty, zanim zostanie dopuszczony do wykorzystania produkcyjnego.

Dalsze podmioty przetwarzające są związane pisemnymi umowami odzwierciedlającymi — tam, gdzie ma to zastosowanie — wymogi art. 28 RODO. Altovar prowadzi wewnętrzny rejestr dalszych podmiotów przetwarzających i informuje o istotnych zmianach za pośrednictwem mechanizmów umownych określonych w DPA lub umowie z klientem.

Altovar stosuje wielowarstwowe środki techniczne i organizacyjne odpowiednie do wrażliwości danego obciążenia oraz poziomu (tier) świadczonej usługi. Środki te obejmują zazwyczaj kontrolę dostępu, administrację opartą na zasadzie najmniejszych uprawnień, uwierzytelnianie wieloskładnikowe (MFA) w systemach wewnętrznych, szyfrowaną transmisję, szyfrowane przechowywanie danych tam, gdzie ma to zastosowanie, rejestrowanie zdarzeń audytowych, zarządzanie podatnościami, kontrolę kopii zapasowych oraz segregację środowisk.

Nasze środki są weryfikowane w miarę rozwoju produktów. Jeżeli klient wymaga podsumowania środków technicznych i organizacyjnych (TOMs) do celów zamówień publicznych lub audytu, Altovar może udostępnić aktualny przegląd na podstawie umowy o zachowaniu poufności (NDA) lub w ramach procesu DPA / przeglądu bezpieczeństwa.

Gdy Altovar działa jako administrator, odpowiadamy bezpośrednio na żądania dostępu, sprostowania, usunięcia, sprzeciwu, przenoszenia danych oraz ograniczenia przetwarzania, zgodnie z naszą Polityką Prywatności.

Gdy Altovar działa jako podmiot przetwarzający, wspieramy klienta — w granicach możliwości usługi i ram umownych — tak, aby mógł on wypełnić własne obowiązki wobec osób, których dane dotyczą. Może to obejmować wsparcie przy eksporcie danych, procesy usuwania danych, rejestrowanie dostępu lub koordynację operacyjną za pośrednictwem kanałów wsparcia i ochrony prywatności.

Altovar stosuje procedury zarządzania incydentami dotyczącymi bezpieczeństwa, dostępności, poufności i integralności, mające wpływ na dane klienta lub dane korporacyjne.

Gdy Altovar, działając jako podmiot przetwarzający, poweźmie wiadomość o naruszeniu ochrony danych osobowych mającym wpływ na dane klienta, powiadamiamy klienta bez zbędnej zwłoki, tak aby mógł on ocenić własne obowiązki powiadomienia organu nadzorczego lub osób, których dane dotyczą. Gdy Altovar działa jako administrator, samodzielnie ocenia i realizuje obowiązki powiadomienia zgodnie z RODO oraz właściwym prawem krajowym.

Altovar nie traktuje transferów do państw trzecich jako domyślnego modelu działania. Jeżeli konkretna zależność usługowa, proces wsparcia lub funkcja dostarczania treści (edge-delivery) tworzy scenariusz transferu danych, Altovar opiera się na zidentyfikowanym prawnym mechanizmie transferu oraz proporcjonalnych środkach dodatkowych, zanim dojdzie do wykorzystania produkcyjnego.

W zależności od dostawcy i kontekstu przetwarzania, zabezpieczenia te mogą obejmować decyzje stwierdzające odpowiedni stopień ochrony, standardowe klauzule umowne, minimalizację dostępu, szyfrowanie oraz przeprowadzenie oceny skutków transferu danych (TIA).

Zgodności z RODO nie osiąga się wyłącznie dzięki postawie dostawcy. Klienci pozostają odpowiedzialni za wybór właściwej podstawy prawnej, zgodną z prawem konfigurację swoich środowisk, ustalenie zasad retencji zgodnych z ich obowiązkami oraz wydawanie ważnych instrukcji w scenariuszach, w których Altovar działa jako podmiot przetwarzający.

Altovar zapewnia ramy umowne i techniczne niezbędne do zgodnego z prawem korzystania z usług, jednak każdy klient pozostaje odpowiedzialny za sposób, w jaki korzysta z usługi we własnym kontekście, w tym za dostęp pracowników, przesyłane treści, wybory dotyczące retencji danych oraz integracje z podmiotami trzecimi.