Oświadczenie o ochronie danych osobowych Informacje dotyczące ochrony danych zgodnie z art. 13 i 14 RODO I. Definicje Oświadczenie DACHSER DACHSER Sp. z o.o. o ochronie danych osobowych opiera się na definicjach, które zastosował europejski ustawodawca przy wydawaniu ogólnego rozporządzenia o ochronie danych (RODO). W związku z tym prosimy odnieść się do definicji zawartych w art. 4 RODO. Treść RODO jest dostępna pod adresem: http://eur-lex.europa.eu/legal-content/pl/txt/pdf/?uri=celex:32016r0679&from=pl. II. Nazwa i adres administratora i inspektora ochrony danych Funkcję administratora w rozumieniu RODO, innych przepisów o ochronie danych obowiązujących w państwach członkowskich Unii Europejskiej i innych regulacjach dotyczących ochrony danych pełni: DACHSER Sp. z o.o. Sosnowiec 15B 95-010 Stryków Polska Tel.: +48 42 279 02 00 E-mail: dachser.lodz@dachser.com Strona internetowa: www.dachser.pl Imię i nazwisko oraz dane kontaktowe inspektora ochrony danych DACHSER Sp. z o.o. DACHSER Sp. z o.o. E-mail: rodo.lodz@dachser.com 1
III. Ogólne informacje dotyczące przetwarzania danych 1. Zakres przetwarzania danych osobowych Gromadzimy i wykorzystujemy dane osobowe naszych partnerów handlowych zasadniczo tylko w zakresie wymaganym do zawierania umów lub realizacji naszych zamówień i umów. Po spełnieniu zobowiązań umownych przetwarzamy dane wyłącznie po uzyskaniu zgody. Wyjątek stanowią sytuacje, gdy wcześniejsze uzyskanie zgody jest niemożliwe z przyczyn faktycznych lub gdy przetwarzanie danych jest dozwolone bądź określone na mocy przepisów ustawowych. 2. Postępowanie z danymi osobowymi Gromadzenie, przetwarzanie lub wykorzystywanie danych osobowych jest zasadniczo zabronione, chyba że norma ustawowa wyraźnie dopuszcza posługiwanie się danymi osobowymi. Zgodnie z RODO dane osobowe mogą być zasadniczo gromadzone, przetwarzane lub wykorzystywane: - w ramach istniejącego stosunku umownego z osobą, której dane dotyczą; - w trakcie zawierania lub realizacji umowy z osobą, której dane dotyczą; - o ile osoba, której dane dotyczą, wyraziła zgodę na przedmiotowe czynności. 3. Podstawa prawna przetwarzania danych osobowych O ile osoba, której dane dotyczą, wyrazi zgodę na przetwarzanie swoich danych osobowych, podstawę prawną stanowi art. 6 ust. 1 lit. a) RODO. W przypadku przetwarzania danych osobowych, które są niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, podstawę prawną stanowi art. 6 ust. 1 lit. b) RODO. Dotyczy to również operacji przetwarzania, które są niezbędne do podjęcia działań przed zawarciem umowy. W przypadku, gdy przetwarzanie danych osobowych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na naszym przedsiębiorstwie, podstawę prawną stanowi art. 6 ust. 1 lit. c) RODO. W przypadku, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez nasze przedsiębiorstwo lub przez stronę trzecią oraz gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, podstawę prawną przetwarzania stanowi art. 6 ust. 1 lit. f) RODO. 2
4. Kategorie grup osób, których dane dotyczą, oraz ich danych Na potrzeby prowadzenia działalności gospodarczej oraz wypełnienia wszelkich powiązanych zobowiązań wyróżnia się, o ile jest to wymagane, następujące kategorie danych: - dane klientów i ich osób kontaktowych oraz przekazane przez klientów dane ich klientów, o ile są one niezbędne do realizacji zleceń i obsługi klientów; - dane usługodawców, dostawców i ich osób kontaktowych, o ile są one niezbędne do realizacji zleceń wobec klientów, usługodawców i dostawców. Podczas przetwarzania danych osobowych oraz postępowania ze zgromadzonymi danymi przestrzegamy podstawowych zasad wynikających z prawa do decydowania o wykorzystywaniu własnych danych oraz innych norm ochrony danych, a w szczególności prewencyjnej zasady zakazu, ograniczenia celu, zasady przejrzystości, obowiązków informacyjnych, zasad unikania przesyłu danych i minimalizacji danych oraz praw do sprostowania, blokowania i usuwania danych i prawa sprzeciwu wobec przetwarzania. Gromadzenie i przetwarzanie danych osobowych odbywa się w ramach dozwolonych przepisami prawnymi. Wymagane jest przy tym również spełnienie szczególnych warunków gromadzenia i przetwarzania danych wrażliwych zgodnie z art. 9 ust. 1 RODO. Zasadniczo mogą być przetwarzane i wykorzystywane tylko takie informacje, które są niezbędne do wykonania obowiązków służbowych i są bezpośrednio powiązane z celem przetwarzania. W przypadku, gdy inne podmioty żądają informacji dotyczących osób, których dane dotyczą, takie informacje są przekazywane bez zgody tych osób wyłącznie wtedy, gdy wynika to z obowiązku prawnego lub gdy przedsiębiorstwo ma uzasadniony i zgodny z prawem interes w przekazaniu danych i gdy tożsamość podmiotu żądającego nie pozostawia wątpliwości. 5. Odbiorcy danych osobowych Dane osobowe są przekazywane wyłącznie do celów świadczenia zleconych usług logistycznych na rzecz stron trzecich uczestniczących w wykonaniu umowy, np. spółek zależnych, partnerów, podwykonawców. Dane osobowe podmiotów uczestniczących w świadczeniu usług logistycznych mogą zostać przekazane osobie, która zleciła usługę logistyczną (np. potwierdzenie dostawy). W szczególności zapewniamy, że nie będziemy sprzedawać ani w inny sposób wprowadzać na rynek pozyskanych danych osobowych. 3
6. Przekazywanie danych do państw trzecich Dane są przekazywane do państw trzecich wyłącznie do celów świadczenia zleconych usług logistycznych. Zgodnie z zasadą minimalizacji danych dane niezbędne do wysyłki i dostarczania towarów klientom zleceniodawców są przekazywane wyłącznie spółkom krajowym i zagranicznym należącym do koncernu DACHSER i usługodawcom zewnętrznym. Przekazywanie danych do państwa trzeciego bez odpowiedniego poziomu ochrony danych jest dozwolone do celów wykonania umowy pomiędzy osobami, których dane dotyczą, a podmiotem odpowiedzialnym za przetwarzanie, o ile przekazywanie danych jest niezbędne do wykonania umowy. 7. Usługodawcy zewnętrzni / przetwarzanie zleceń / konserwacja Z usługodawcami zewnętrznymi muszą zostać zawarte porozumienia zgodnie z art. 28 RODO lub unijnymi standardowymi klauzulami umownymi, o ile takie porozumienia są wymagane. 8. Koncepcja bezpieczeństwa IT Oprócz przedsięwzięcia odpowiednich środków technicznych i organizacyjnych koncern Dachser wydał dodatkowe wytyczne, które opierają się na zasadniczym znaczeniu bezpieczeństwa informacji. System zarządzania bezpieczeństwem informacji (ISMS) centrali DACHSER IT został certyfikowany w 2011 r. zgodnie z ISO 27001. 9. Usuwanie danych i okres przechowywania Dane osobowe osób, których dane dotyczą, zostają usunięte lub zablokowane, jak tylko przestanie istnieć cel przechowywania. Dane mogą być przechowywane dłużej, o ile europejski lub krajowy ustawodawca przewidział dłuższy okres przechowywania danych w rozporządzeniach unijnych, ustawach lub innych przepisach, którym podlega administrator. Dane zostają usunięte lub zablokowane również wtedy, gdy upłynął okres przechowywania określony we wspomnianych normach, chyba że istnieje konieczność dalszego przechowywania danych do celów zawarcia lub wykonania umowy. IV. Prawa osób, których dane dotyczą W przypadku przetwarzania Państwa danych osobowych są Państwo osobami, których dane dotyczą, w rozumieniu RODO oraz przysługują Państwu następujące prawa wobec administratora: 1. Prawo dostępu Mogą Państwo zażądać od administratora potwierdzenia, czy dane osobowe, które Państwa dotyczą, są przez nas przetwarzane. 4
Jeżeli Państwa dane osobowe są przez nas przetwarzane, mogą Państwo zażądać od administratora informacji na temat: (1) celów przetwarzania danych osobowych; (2) kategorii przetwarzanych danych osobowych; (3) odbiorców lub kategorii odbiorców, którym Państwa dane osobowe zostały lub zostaną ujawnione; (4) zaplanowanego okresu przechowywania Państwa danych osobowych, a gdy nie jest to możliwe, kryteriów ustalenia tego okresu; (5) prawa do sprostowania lub usunięcia Państwa danych osobowych, prawa do ograniczenia przetwarzania przez administratora lub prawa do sprzeciwu wobec przetwarzania Państwa danych osobowych; (6) prawa do wniesienia skargi do organu nadzorczego; (7) wszystkich dostępnych informacji dotyczących źródła danych, jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą; (8) zautomatyzowanego podejmowania decyzji, w tym profilowania, o którym mowa w art. 22 ust. 1 i 4 RODO, oraz przynajmniej w tych przypadkach istotnych informacji o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Mogą Państwo zażądać również informacji o tym, czy Państwa dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej. W związku z tym mają Państwo prawo zostać poinformowani o odpowiednich zabezpieczeniach, o których mowa w art. 46 RODO, związanych z przekazaniem. 2. Prawo do sprostowania danych Przysługuje Państwu prawo do sprostowania i/lub uzupełnienia danych wobec administratora, jeżeli przetwarzane dane osobowe, które Państwa dotyczą, są nieprawidłowe lub niekompletne. Administrator musi niezwłocznie dokonać sprostowania. 3. Prawo do ograniczenia przetwarzania Mogą Państwo zażądać ograniczenia przetwarzania danych osobowych, które Państwa dotyczą, w następujących przypadkach: (1) jeżeli kwestionują Państwo prawidłowość swoich danych osobowych na okres pozwalający administratorowi sprawdzić prawidłowość tych danych; 5
(2) przetwarzanie jest niezgodne z prawem, a Państwo sprzeciwiają się usunięciu swoich danych osobowych, żądając w zamian ograniczenia ich wykorzystywania; (3) administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one Państwu potrzebne do ustalenia, dochodzenia lub obrony roszczeń; lub (4) jeżeli wnieśli Państwo sprzeciw na mocy art. 21 ust. 1 RODO wobec przetwarzania do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw Państwa sprzeciwu. Jeżeli przetwarzanie Państwa danych osobowych zostało ograniczone, takie dane można przetwarzać z wyjątkiem przechowywania wyłącznie za Państwa zgodą lub w celu ustalenia, dochodzenia bądź obrony roszczeń lub w celu ochrony praw innej osoby fizycznej bądź prawnej lub z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego. Przed uchyleniem ograniczenia przetwarzania administrator poinformuje o tym Państwa, jeżeli przetwarzanie zostało ograniczone zgodnie z powyższymi kryteriami. 4. Prawo do usunięcia danych a. Obowiązek usunięcia danych Mają Państwo prawo zażądać od administratora niezwłocznego usunięcia danych osobowych, które Państwa dotyczą, a administrator ma obowiązek bez zbędnej zwłoki usunąć te dane, jeżeli zachodzi jedna z następujących okoliczności: (1) dane osobowe, które Państwa dotyczą, nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; (2) cofnęli Państwo zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) RODO, i nie ma innej podstawy prawnej przetwarzania; (3) wnoszą Państwo sprzeciw na mocy art. 21 ust. 1 RODO wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub wnoszą Państwo sprzeciw na mocy art. 21 ust. 2 RODO wobec przetwarzania; (4) dane osobowe, które Państwa dotyczą, były przetwarzane niezgodnie z prawem; (5) dane osobowe, które Państwa dotyczą, muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; (6) dane osobowe, które Państwa dotyczą, zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1 RODO. 6
b. Przekazywanie informacji stronom trzecim Jeżeli administrator upublicznił dane osobowe, które Państwa dotyczą, a na mocy art. 17 ust. 1 RODO ma obowiązek usunąć te dane osobowe, to biorąc pod uwagę dostępną technologię i koszt realizacji podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że żądają Państwo, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje. c. Wyjątki Prawo do usunięcia danych nie występuje w zakresie, w jakim przetwarzanie jest niezbędne: (1) do korzystania z prawa do wolności wypowiedzi i informacji; (2) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; (3) z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3 RODO; (4) do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1 RODO, o ile prawdopodobne jest, że prawo, o którym mowa w lit. a), uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania; lub (5) do ustalenia, dochodzenia lub obrony roszczeń. 5. Prawo do uzyskania informacji Jeżeli skorzystają Państwo z prawa do sprostowania lub usunięcia danych lub ograniczenia przetwarzania wobec administratora, administrator jest zobowiązany do poinformowania każdego odbiorcy, któremu ujawnione zostały dane osobowe, które Państwa dotyczą, o takim sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku. Administrator ma obowiązek poinformować Państwa o tych odbiorcach, jeżeli Państwo tego zażądają. 6. Prawo do przenoszenia danych Mają Państwo prawo otrzymać dane osobowe, które Państwa dotyczą, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego. Mają Państwo 7
również prawo przesłać te dane osobowe innemu administratorowi bez przeszkód ze strony administratora, któremu dostarczono te dane osobowe, jeżeli: (1) przetwarzanie odbywa się na podstawie zgody w myśl art. 6 ust. 1 lit. a) RODO lub art. 9 ust. 2 lit. a) RODO lub na podstawie umowy w myśl art. 6 ust. 1 lit. b) RODO oraz (2) przetwarzanie odbywa się w sposób zautomatyzowany. Wykonując prawo do przenoszenia danych, mają Państwo prawo zażądać, by dane osobowe, które Państwa dotyczą, zostały przesłane przez administratora bezpośrednio innemu administratorowi, o ile jest to technicznie możliwe. Prawo to nie może niekorzystnie wpływać na prawa i wolności innych. Prawo do przenoszenia danych nie ma zastosowania do przetwarzania, które jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. 7. Prawo do sprzeciwu Mają Państwo prawo w dowolnym momencie wnieść sprzeciw z przyczyn związanych ze swoją szczególną sytuacją wobec przetwarzania swoich danych osobowych opartego na art. 6 ust. 1 lit. e) lub f) RODO, w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać danych osobowych, które Państwa dotyczą, chyba że wykaże on istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec Państwa interesów, praw i wolności lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Jeżeli dane osobowe, które Państwa dotyczą, są przetwarzane na potrzeby marketingu bezpośredniego, mają Państwo prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania swoich danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Jeżeli wniosą Państwo sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych, które Państwa dotyczą, nie wolno już przetwarzać do takich celów. W związku z korzystaniem z usług społeczeństwa informacyjnego i bez uszczerbku dla dyrektywy 2002/58/WE mogą Państwo wykonać prawo do sprzeciwu za pośrednictwem zautomatyzowanych środków wykorzystujących specyfikacje techniczne. 8. Prawo do wycofania zgody na przetwarzanie danych osobowych Mają Państwo prawo w dowolnym momencie wycofać swoją zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. 8
9. Zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach, w tym profilowanie Mają Państwo prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec Państwa skutki prawne lub w podobny sposób istotnie na Państwa wpływa. Powyższe nie ma zastosowania, jeżeli ta decyzja: (1) jest niezbędna do zawarcia lub wykonania umowy między Państwem a administratorem; (2) jest dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony Państwa praw, wolności i prawnie uzasadnionych interesów; lub (3) opiera się na Państwa wyraźnej zgodzie. Decyzje te nie mogą opierać się na szczególnych kategoriach danych osobowych, o których mowa w art. 9 ust. 1 RODO, chyba że zastosowanie ma art. 9 ust. 2 lit. a) lub g) RODO i istnieją właściwe środki ochrony Państwa praw, wolności i prawnie uzasadnionych interesów. W przypadkach, o których mowa w pkt (1) i (3), administrator wdraża właściwe środki ochrony Państwa praw, wolności i prawnie uzasadnionych interesów, w tym co najmniej prawa do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji. 10. Prawo do wniesienia skargi do organu nadzorczego Bez uszczerbku dla innych środków administracyjnych lub środków ochrony prawnej przed sądem mają Państwo prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzą Państwo, że przetwarzanie danych osobowych, które Państwa dotyczą, narusza przepisy RODO. Organ nadzorczy, do którego wniesiono skargę, informuje skarżącego o postępach i efektach rozpatrywania skargi, w tym o możliwości skorzystania z sądowego środka ochrony prawnej na mocy art. 78 RODO 9