Zásady ochrany osobních údajů společnosti AVEFLOR, a.s.
vydané v souvislosti s Obecným nařízením o ochraně osobních údajů (GDPR)
Obsah
1. Definice pojmů
1.1. Pro účely těchto zásad jsou definovány následující pojmy:
„Nařízení“ je Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů – General data protection regulation).
„Osobní údaje“ jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě; identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.
„Zpracování“ je jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.
„Subjekt údajů“ se ve vztahu ke Společnosti rozumí její zaměstnanci, zákazníci, obchodní partneři, smluvním strany a osoby, jejichž osobní údaje Společnost získá a zpracovává v rámci své činnosti.
„Správce“ je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení, přičemž pro účely těchto zásad je správcem osobních údajů Společnost.
„Zpracovatel“ je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce, přičemž v případě Společnosti se jedná zejména o externího správce informačních technologií, externí účetní, auditory a advokáty.
„Společnost“ je obchodní společnost AVEFLOR a.s., IČ: 64259838, se sídl. Budčeves 26, 50732 Budčeves, zapsaná v obchodním rejstříku u Krajského soudu v Hradci Králové pod sp.zn. B 1284.
„Souhlas“ je subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.
„Porušení zabezpečení Osobních údajů“ je porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů.
„Bezpečnostní incident“ událost, která může Společnosti způsobit újmu, která se týká narušení bezpečnosti a ochrany osobních údajů, ohrožení fyzické bezpečnosti subjektu údajů a případů neoprávněného vstupu nepovolených osob do objektů užívaných Společností
„Dozorový úřad“ je Úřad pro ochranu osobních údajů se sídl. Pplk. Sochora 27, 17000 Praha 7.
1.2. Tyto zásady užívají pojmů vztahujících se k problematice osobních údajů tak, jak jsou tyto pojmy definované v čl. 4 Nařízení. Pro pojmy těmito zásadami nevymezenými se proto poměrně užije ust. čl. 4 Nařízení.
2. Úvod a účel zásad
2.1. Společnost těmito zásadami poskytuje subjektům údajů informace o tom, jakým způsobem získává a zpracovává osobní údaje těchto osob v souvislosti s plněním zákonných a smluvních povinností a současně těmito zásadami sděluje subjektům údajů, jaká jsou jejich práva a povinnosti vyplývající z ochrany jejich osobních údajů.
2.2. Zpracování osobních údajů probíhá především v souvislosti s obchodní činností společnosti, nabídkami a poptávkami v rámci obchodního vztahu, objednávkami a dodávkami zboží a stanoveným účelem zpracování osobních údajů. Společnost nabízí své zboží také prostřednictvím svých internetových stránek na adrese www.aveflor.cz a obchod.aveflor.cz, na kterých jsou obsaženy kompletní informace o daném produktu, jakož i kompletní informace o ochraně osobních údajů formou odkazu na obchodní podmínky společnosti a formou odkazu na znění těchto zásad.
2.3. Tyto zásady jsou pravidelně aktualizovány, aby odpovídali platné a účinné právní úpravě, přičemž aktuální znění je vždy zveřejněno na internetových stránkách společnosti.
2.4. Pro účely zajištění bezpečnosti osobních údajů byla provedena v souladu s č. 24, 25 a 32 analýza a posouzení působení hrozeb na zpracování osobních údajů a analýza a posouzení hrozeb ve vztahu k právům a svobodám subjektů údajů a byl navržen soubor technických a bezpečnostních opatření, které Společnost zavedla ve svých interních pokynech a postupech.
2.5. Osobní údaje jsou společností chráněni vždy v nejvyšší možné míře, která odpovídá technické úrovni dostupných prostředků. V rámci společnosti je vydán zvláštní vnitřní pokyn, kterým jsou stanovena závazná pravidla a povinnosti zaměstnanců Společnosti k ochraně osobních údajů všech subjektů údajů. Společnost má dále uzavřeny smlouvy o zpracování osobních údajů s jednotlivými zpracovateli.
2.6. Společnost při nakládání s osobními údaji dbá na dodržení základních zásad při nakládání s osobními údaji, a to zejména:
a) zpracovává osobní údaje korektním a transparentním způsobem;
b) před každým zpracováním stanoví účel a právní důvod tohoto zpracování;
c) zpracovává osobní údaje pouze v nezbytném rozsahu a po dobu nezbytnou k danému účelu;
d) zpracovává osobní údaje řádně a včas je aktualizuje;
e) zajišťuje náležité zabezpečení osobních údajů.
2.7. Společnost nemá povinnost jmenovat pověřence pro ochranu osobních údajů, ani tuto funkci nejmenovala dobrovolně.
2.8. Společnost shromažďuje osobní údaje, nakládá s nimi a nese odpovědnost za jejich řádné a zákonné zpracování, přičemž subjekt údajů je oprávněn uplatnit svá práva způsobem uvedeným dále v těchto zásadách.
3. Rozsah osobních údajů a účel jejich zpracování
3.1. Společnost zpracovává pouze takové údaje, které jsou nezbytné pro řádné a včasné plnění smluvního vztahu, jednání vedoucí ke vzniku tohoto smluvní vztahu a plnění zákonných povinností společnosti. Zpracovávané osobní údaje jsou zpracovány dále uvedenými způsoby ke konkrétním účelům a dle uvedených právních důvodů. Kategorie zpracovávaných osobních údajů a účel jejich zpracování slouží pro informovanost subjektu údajů a transparentnost při zpracování osobních údajů.
3.2. Smluvní vztah mezi společností a subjektem údajů:
a) identifikační a kontaktní údaje:
- Jedná se zpravidla o jméno, příjmení, titul, adresa pro dodání zboží, resp. fakturační adresa, e-mail, telefonní číslo, IČO, DIČ, údaje o obsahu nákupu a provedených platbách, číslo bankovního účtu či identifikátor jiného platebního styku;
- Zpracovávané na základě smluvní vztahu – uzavřené kupní smlouvy a společnost je vyžaduje pro zpracování dané objednávky zboží, zaslání potvrzení o učiněné objednávce, zaslání informace o plánované době doručení zboží a případné komunikace se subjektem údajů pro řádné a včasné splnění smluvní povinnosti prodávajícího, a to prostřednictvím objednávkového formuláře na internetových stránkách společnosti, prostřednictvím elektronické či obyčejné pošty, telefonicky prostřednictvím zákaznické linky, popř. osobně v provozovně společnosti či prostřednictvím obchodního zástupce společnosti. Bez poskytnutí těchto údajů není společnost schopna dostát svým smluvním povinnostem, a tedy dodat subjektu údajů objednané zboží.
b) údaje ze vzájemné komunikace:
- Jedná se zpravidla o jméno, příjmení, titul, adresa pro dodání zboží, resp. fakturační adresa, e-mail, telefonní číslo, IČO, DIČ, údaje o obsahu nákupu a provedených platbách, číslo bankovního účtu či identifikátor jiného platebního styku;
- Zpracovávané na základě vzájemné komunikace mezi společností a subjektem údajů zejména související s poptávkou zboží společnosti, dotazy či požadavky k objednanému zboží, připomínky k poskytnutému zboží či službě, vyřizování reklamačních nároků apod.
c) identifikační a transakční údaje:
- Jedná se zpravidla o jméno, příjmení, titul, e-mail, telefonní číslo, IČO, DIČ, údaje o obsahu nákupu a provedených platbách, číslo bankovního účtu či identifikátor jiného platebního styku, údaje o úhradě či vratce kupní ceny, provedených a uznaných reklamačních nárocích, započtení pohledávek apod.;
- zpracovávané na základě plnění zákonných, zejména daňových povinností společnosti, kterou jsou jí uloženy právní řádem.
d) výkon práv:
- Zpravidla jméno, příjmení, titul, e-mail, telefonní číslo, IČO, DIČ, údaje o obsahu nákupu a provedených platbách, číslo bankovního účtu či identifikátor jiného platebního styku, údaje o úhradě či vratce kupní ceny, uznaných reklamačních nárocích, započtení pohledávek, záznam z kamerového systému apod.
- Zpracovaný zejména pro případný spor mezi společností a subjektem údajů, obhájení nároků Společnosti a vedení případného soudního sporu.
3.3. Komerční a reklamní komunikace mezi společností a subjektem údajů:
a) komunikace na základě oprávněného zájmu společnosti (bez souhlasu subjektu):
- Společnost je oprávněna po dobu smluvního vztahu využít možnosti přímého marketingu v souladu s Nařízením i zákona č. 480/2004 Sb., o některých službách informační společnosti a zasílat subjektům údajů bez jejich předchozího souhlasu na poskytnutý e-mail obchodní sdělení týkající se shodných či obdobných výrobků a služeb za podmínky, že subjekt údajů využití podrobností elektronického kontaktu pro zasílání těchto obchodních sdělení původně neodmítl. Za obchodní sdělení se považují i informace o nových výrobcích a službách a akční nabídky týkající se shodných či obdobných výrobků a služeb.
- Společnost je povinna ukončit zasílání takových obchodních sdělení v okamžiku, kdy je ze strany subjektu údajů vysloven nesouhlas, který je subjekt oprávněn učinit jednoduchým způsobem, zdarma nebo na účet odesílatele.
- Obchodní sdělení není společnost oprávněna subjektu údajů zasílat v případě, že subjekt v rámci objednávky sdělí společnosti, že nemá zájem o zasílání obchodních sdělení či nabídek zboží na poskytnutý elektronický kontakt. Tuto možnost odmítnout zasílání obchodních sdělení může učinit subjekt údajů při zadání objednávky prostřednictvím internetových stránek společnosti aktivním zvolením a současně na základě elektronické zprávy [MVP1] společnosti, ve které bude objednávka potvrzena s poučením o odmítnutí zasílání obchodních sdělení, a to prostým sdělením v odpovědi na tuto zprávu, že subjekt nemá zájem o zasílání těchto obchodních sdělení.
- Subjekt údajů je dále oprávněn vznést námitku proti zpracování svých osobních údajů za účelem komerční a reklamní komunikace, jak je uvedeno dále v čl. 8.6. těchto zásad. Vznese-li subjekt údajů tuto námitku, nebude mu již více obchodní sdělení zasíláno.
b) komunikace na základě uděleného souhlasu:
- V případě, že nejsou splněny podmínky pro komerční a reklamní komunikaci se subjektem údajů dle předchozího čl. 3.3. písm. a), je společnost oprávněna zasílat tato obchodní sdělení pouze po předchozím souhlasu subjektu údajů; znění souhlasu je dostupné na internetových stránkách společnosti.
- Subjekt údajů je oprávněn udělit společnosti souhlas se zpracováním osobních údajů také při registraci stálého zákazníka na internetových stránkách společnosti.
- Souhlas je udělen vždy dobrovolně a může být subjektem údajů kdykoli odvolán. Odvolání souhlasu působí pouze do budoucna, tedy jím není dotčena zákonnost předchozího zpracování osobních údajů na základě tohoto souhlasu.
- Obdobně je postupováno i v případě soutěží a anketách společnosti. Soutěžní a anketní otázky jsou zasílány subjektu údajů na jeho elektronickou adresu po udělení jeho předchozího souhlasu. Subjekt údajů se může dále zúčastnit soutěže či ankety na internetových stránkách společnosti. Účelem této činnosti společnosti je vyhodnocování doručených odpovědí na dotazy společnosti, které se týkají spokojenosti zákazníků s jejími produkty a službami, poptávce zákazníků apod.
- Pro ztotožnění osoby udělující souhlas zpracovává společnost zejména jméno, příjmení, titul, e-mail, telefonní číslo, datum narození a bydliště subjektu údajů.
- Jediným důsledkem neudělení souhlasu je, že subjekt údajů neobdrží obchodní sdělení, zejména akční nabídky, informace o nových produktech a službách, soutěžích a anketách apod. Neudělení souhlasu nemá vliv na objednání zboží či využívání jiných služeb, které společnost nabízí.
- Souhlas je platný po dobu 10 let nebo po dobu trvání uživatelského účtu a následně další 3 roky (popř. do doby, než bude subjektem údajů souhlas odvolán).
c) telefonické komunikace:
- V případě, že subjekt údajů kontaktuje společnost prostřednictvím bezplatné telefonní linky určené pro objednávky zboží, je subjekt upozorněn, že hovor je monitorován, přičemž společnost je oprávněna nahrávat záznamy všech hovorů na své bezplatné lince.
- Záznamy hovorů se subjektem údajů slouží výhradně k zadání a vyřízení objednávky zboží jako důkaz o uzavřené kupní smlouvě mezi společnosti a subjektem údajů.
- Společnost zpracovává zpravidla jméno, příjmení, titul, adresu pro dodání zboží, resp. fakturační adresu, e-mail, telefonní číslo, IČO, DIČ, údaje o obsahu nákupu a provedených platbách.
3.4. Společnost má uzavřeny zvláštní smlouvy s externími subjekty a zpracovateli v rámci své podnikatelské činnosti, kterým poskytuje pro nezbytnou dobu některé osobní údaje subjektu údajů, jak je dále uvedeno v 6. těchto zásad. Zpravidla se jedné o jméno, příjmení, titul, adresa pro dodání zboží, resp. fakturační adresu, e-mail, telefonní číslo, IČO, DIČ, které bezprostředně souvisí s uzavřenými smluvními vztahy se subjekty údajů a jejich plněním. Osobní údaje jsou uchovány pouze po dobu trvání smluvní vztahu, popř. zákonných povinností Společnosti.
3.5. Společnost aktivně nevyhledává žádné osobní údaje z veřejných zdrojů či od třetích osob.
3.6. Společnost nezpracovává zvláštní kategorie osobních údajů, za které se považují:
a) genetické údaje, které se týkají zděděných nebo získaných genetických znaků fyzické osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku dotčené fyzické osoby;
b) biometrické údaje, které vyplývají z konkrétního technického zpracování týkající se fyzických či fyziologických znaků nebo znaků chování fyzické osoby, které umožňuje nebo potvrzuje jedinečnou identifikaci, například zobrazení obličeje nebo daktyloskopické údaje;
c) údaje o zdravotním stavu, které se týkají tělesného nebo duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu.
3.7. Soubory cookies:
a) Společnost může zpracovávat osobní údaje prostřednictvím tzv. cookies. Cookies jsou malé datové soubory, na základě kterých si subjektem údajů navštívené internetové stránky pamatují úkony a nastavení jednotlivých uživatelů, které na nich provedli, takže se tyto údaje nemusí zadávat opakovaně. Soubory cookies se ukládají do jednotlivých zařízení subjektu údajů pomocí webového prohlížeče. Cookies nepředstavují nebezpečí, neslouží k získávání jakýchkoli citlivých osobních údajů, mají však význam pro ochranu soukromí.
b) Společnost neužívá cookies pro zjištění totožnosti uživatelů internetových stránek ani ke zneužití přihlašovacích údajů. Soubory cookies užívá společnost k rozpoznání stávajícího uživatele jejích internetových stránek (opětovné přihlášení registrovaného uživatele, autorizace plateb apod.), přizpůsobení určité služby uživatelských preferencí a k zobrazování tzv. behaviorálně cílené on-line inzerce na internetových stránkách společnosti i mimo ně. Vytváření a distribuce inzerce relevantní k zájmům uživatele, tzv. behaviorálně cílená on-line inzerce je způsob zobrazování reklamy na navštívených internetových stránkách tak, aby reklama více odpovídala zájmům uživatelů a byla tak pro ně maximálně relevantní. Takto získané údaje neumožňují identifikovat uživatele jako fyzickou osobu v reálném světě a jsou sbírána a analyzována striktně anonymně. Uživatelé mají kdykoli možnost volby mezi využitím nebo nevyužitím výhod relevantnějšího zobrazování reklamy přihlášením nebo odhlášením se z behaviorálního cílení na adrese www.youronlinechoices.com/cz/vase-volby.
c) V případě cookies třetích stran společnost není schopna zajistit přístup ke čtení nebo zápisu těchto údajů.
4. Právní důvod pro zpracování osobních údajů
4.1. Základními právními důvody, na základě kterých je společnost oprávněna zpracovávat osobní údaje dle čl. 6 Nařízení jsou:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
c) zpracování je nezbytné pro splnění právní povinnosti, která se na společnost vztahuje;
d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen společnosti;
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
4. 2. Osobní údaje jsou společností zpracovány v převážné většině na základě plnění právní povinnosti společnosti, která je dána jednotlivými právními předpisy a plnění povinností vyplývajících z uzavřeného smluvního vztahu. Osobní údaje zpracovávané na základě těchto právních důvodů jsou subjekty údajů povinny poskytnout a společnost je oprávněna takové osobní údaje požadovat, neboť jsou nezbytné pro plnění zákonných povinností společnosti a pro plnění uzavřeného smluvního vztahu. Bez jejich poskytnutí by nemohl být smluvní vztah se společností uzavřen či řádně plněn. Vyjma tohoto důvodu zpracovává společnost osobní údaje z oprávněného zájmu společnosti a dle dobrovolného souhlasu subjektu údajů.
5. Příjemci osobních údajů
5.1. Společnost zpracovává osobní údaje v nezbytném rozsahu daném legislativou a je oprávněna poskytnout osobní údaje jiným zpracovatelům, se kterými společnost uzavřela smlouvu o zpracování osobních údajů. Společnost dbá na výběr těchto zpracovatelů, kteří vždy musí prokázat zajištění technických a organizačních zabezpečení osobních údajů, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k těmto osobním údajům či k jejich jinému zneužití, a současně jsou vázáni povinností mlčenlivosti a povinností neužívat poskytnuté údaje k jiným účelům než smluveným.
5.2. Společnost poskytuje osobní údaje dle povahy služby, kterou subjekt údajů využívá nebo využíval, zpracovatelům:
a) kterým společnost poskytuje údaje za účelem analýzy návštěvnosti svých internetových stránek;
b) provozovatelům technologií, kteří pro společnost zajišťují technický provoz určité služby a zajišťují dostatečné zabezpečení a integritu služeb a internetových stránek a toto zabezpečení také pravidelně testují;
c) které doručují zboží společnosti, výhry či dárky v rámci marketingových akcí;
d) poskytovatelům platebních brán (poskytovatelům platebních karet);
e) obchodním partnerům či sponzorům, kteří se podílejí na organizaci akcí, konferencí, seminářů atd.
f) inkasním agenturám za účelem vymáhání či inkasa pohledávek společnosti;
g) provozovatelům reklamních systémů v souvislosti s cílenou reklamou.
5.3. V nezbytném rozsahu daném legislativou mohou být osobní údaje poskytnuty orgánům finanční správy a kontroly, správy sociálního zabezpečení, orgánům činným v trestním řízení včetně specializovaných útvarů, zdravotním či smluvním pojišťovnám, orgánů kontroly čerpání případných dotačních titulů nebo zadavatelům veřejných zakázek.
6. Doba uložení osobních údajů
6.1. Osobní údaje jsou zpracovány po dobu nezbytně nutnou, za kterou se považuje doba, po kterou je dán stanovený účel zpracování osobních údajů či po kterou existuje zákonný důvod pro jejich zpracování, kdy se zpravidla jedná o dobu trvání smluvního vztahu se subjektem údajů, archivační dobu či dobu trvání souhlasu subjektu souhlasů. Po ukončení smluvního vztahu je se všemi zpracovávanými osobními údaji naloženo v souladu s archivačními a skartačními pravidly společnosti.
6.2. Osobní údaje jsou zpracovány po celou dobu trvání smluvního vztahu a na základě uděleného souhlasu po dobu 10 let, nebude-li tento souhlas se zpracováním osobních údajů odvolán.
6.3. Osobní údaje, které jsou nezbytné pro řádné plnění smluvních povinností, ať již tyto povinnosti vyplývají ze smlouvy či z obecně závazných právních předpisů je společnost povinna zpracovávat bez ohledu udělený souhlas po dobu stanovenou příslušnými právními předpisy či v souladu s nimi i po případném odvolání tohoto souhlasu.
6.4. Osobní údaje, které společnost získá v rámci registrace k uživatelskému účtu subjektu údajů (tj. i bez souhlasu se zpracováním osobních údajů), zpracovává společnost po dobu využívání této služby a dále obvykle 3 roky po jejím zrušení. Následně společnost uchovává po přiměřenou dobu pouze základní identifikační údaje a údaj o tom, z jakého důvodu byla registrace ukončena či údaje tvořící součást provozních záloh.
6.5. Osobní údaje, které společnost získá v rámci prostřednictvím kontaktního formuláře, resp. v souvislosti se zasláním dotazu zpracovává a uchovává společnost obvykle po dobu 1 roku od získání těchto údajů.
7. Práva Subjektů údajů
7.1. Právo na přístup: Subjekt údajů má právo na potvrzení od společnosti, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a dále zejména k informacím. o účelu zpracování, kategorii dotčených osobních údajů, jejich příjemcích, plánované době, po kterou budou osobní údaje uloženy a další v souladu s čl. 15 Nařízení.
7.2. Právo na opravu: Subjekt údajů má právo na to, aby společnost bez zbytečného odkladu opravila nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.
7.3. Právo na výmaz: Subjekt údajů má právo na výmaz osobních údajů, pokud není dán právní důvod jejich zpracování dle čl. 6 a čl. 17 Nařízení, zejména nejsou-li osobní údaje již potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány, subjekt údajů odvolal svůj souhlas s jejich zpracováním či vznesl námitky proti jejich zpracování nebo byly zpracovány protiprávně. Uvedené se neužije, je-li zpracování osobních údajů nezbytné pro výkon práva na svobodu projevu a informace, pro splnění právní povinnosti nebo splnění úkolu provedeného ve veřejném zájmu nebo pro určení, výkon nebo obhajobu právních nároků společnosti.
7.4. Právo na omezení zpracování: Subjekt údajů má v souladu s čl. 18 Nařízení právo na to, aby společnost omezila zpracování jeho osobních údajů, popírá-li subjekt údajů přesnost osobních údajů na dobu potřebnou ke zpracování, zpracování je protiprávní a subjekt údajů odmítá výmaz svých osobních údajů, společnost již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků nebo subjekt údajů vznesl námitku proti zpracování.
7.5. Právo na přenositelnost údajů: Subjekt údajů má v souladu s čl. 20 Nařízení právo získat osobní údaje, které se ho týkají a které společnosti poskytl, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci, a to v případě, že zpracování je založeno na souhlasu nebo na smlouvě o zpracování osobních údajů nebo se zpracování provádí automatizovaně.
7.6. Právo vznést námitku: Subjekt údajů má v souladu s čl. 21 Nařízení z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které jsou společností zpracovány z důvodu splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci anebo pro účely oprávněných zájmů společnosti či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů. Společnost osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků. Pokud se osobní údaje zpracovávají pro účely přímého marketingu, má subjekt údajů právo vznést kdykoli námitku proti zpracování osobních údajů, které se ho týkají, pro tento marketing a společnost povinnost osobní údaje pro tyto účely již nezpracovávat.
7.7. Právo odvolat souhlas se zpracováním osobních údajů: Udělil-li subjekt údajů souhlas se zpracováním osobních údajů, má subjekt údajů právo kdykoli tento souhlas odvolat, a to písemným oznámením doručeným společnosti, resp. osobě pověřené zpracováním osobních údajů.
7.8. Právo přezkoumat postup společnosti při zpracování osobních údajů: Subjekt údajů má dále právo podat stížnost k Dozorovému úřadu, je-li přesvědčen, že společnost zpracovává jeho osobní údaje v rozporu s Nařízením.
7.9. Právo na informaci při porušení zabezpečení: Subjekt údajů má právo obdržet informaci o porušení zabezpečení jeho osobních údajů, je-li pravděpodobné, že toto porušení bude mít riziko pro jeho práva a svobody.
8. Řešení porušení zabezpečení osobních údajů
8.1. Společnost má přijata opatření k zamezení neoprávněného nebo nahodilého přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Stejná opatření společnost vyžaduje od dalších zpracovatelů osobních údajů, se kterými uzavřela smlouvu o zpracování osobních údajů.
8.2. Jakékoli porušení zabezpečení osobních údajů Společnost bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděla, ohlásí Dozorovému úřadu, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení Dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.
8.3. Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí společnost toto porušení bez zbytečného odkladu příslušnému subjektu údajů.
8.4. Společnost je povinna při porušení zabezpečení osobních údajů přijmout nápravná opatření zamezující opakování bezpečnostního incidentu s termínem realizace tohoto opatření a určit zaměstnance k provedení tohoto opatření.
9. Závěrečná ustanovení
9.1. Pozbude-li některé ustanovení těchto zásad platnosti či účinnosti, nebo ukáže-li se některé ustanovení tohoto pokynu neplatným nebo neúčinným, zůstávají ostatní ustanovení těchto zásad v platnosti a místo neplatných nebo neúčinných ustanovení těchto zásad se použijí ustanovení obecně závazného právního předpisu; na platnost a účinnost celého pokynu nemá platnost či neúčinnost některého ustanovení žádný vliv a tyto zásady jako celek zůstává platnou a účinnou.
9.2. Tento pokyn nabývá platnosti a účinnosti dnem podpisu představenstvem společnosti a jeho následným zveřejněním.
V Budčevsi dne: 23. 5. 2018
AVEFLOR a.s.
Ing. Jan Zubatý
místopředseda představenstva
