Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych objętych zbiorem pod nazwą Rejestr klientów sklepu internetowego obowiązująca w firmie : FHU onlyeko Jarosław Markuszewski Adres: ul. Goraszewska 3, 02-910 Warszawa Kontakt: tel. (+48) 509 200 228 e-mail: info@onlyeko.pl Firma wpisana do Centralnej Ewidencji i Informacji Działalności Gospodarczej (CEIDG) pod numerami: NIP: 1130191625, REGON: 142594759. Instrukcja obowiązuje w związku z przetwarzaniem danych osobowych na stronie www.sklep.onlyeko.pl. Instrukcja obowiązuje wszystkich pracowników mających dostęp do programów informatycznych, które są używane do wprowadzania i przetwarzania danych osobowych. Każdy użytkownik systemu przed przystąpieniem do przetwarzania danych zapoznaje się z: a) niniejszą instrukcją; b) procedurami określonymi przez Administratora Danych Osobowych. I. Nadzór nad bezpieczeństwem przetwarzania danych - osoby odpowiedzialne i upoważnione. 1. Funkcję Administratora Danych Osobowych (zwanym dalej ADO) oraz Administratora Bezpieczeństwa Informatycznego (ABI) w rozumieniu Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych pełni Pan Jarosław Markuszewski. 2. Administrator Danych Osobowych (ADO) przeprowadza szkolenie i wydaje upoważnienie dla pracowników firmy do zbierania i przetwarzania danych osobowych zgodnie z przywołaną w poprzednim paragrafie ustawą. ADO prowadzi ewidencję osób upoważnionych do dostępu i przetwarzania danych osobowych w firmie. Ewidencja osób upoważnionych do przetwarzania danych osobowych zawiera imię i nazwisko osoby upoważnionej; datę nadania i ustania oraz; zakres upoważnienia do przetwarzania danych osobowych; identyfikator pod jakim dana osoba jest identyfikowana w systemie informatycznym. 3. Osoby zbierające i przetwarzające dane osobowe z mocy Ustawy są zobowiązane do
zachowania tajemnicy w tym zakresie. Zbierane dane maja charakter poufny. 4. Na potrzeby systemu wolno zbierać i rejestrować wyłącznie dane osobowe służące przyjęciu i realizacji zamówienia, zaadresowaniu przesyłki z zamówionym towarem oraz wystawieniem dokumentów sprzedaży: Zakres zbieranych danych osobowych ograniczony jest poniższym wykazem: imię i nazwisko; adres zamieszkania; adres do korespondencji jeżeli jest inny; telefon; adres e-mail. 5. Nie jest dozwolone w żadnym przypadku zbieranie (zadawanie pytań ) t.zw. danych sensytywnych - dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również dane o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz dane dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także informacje o innych orzeczeniach wydanych w postępowaniu sądowym lub administracyjnym. II. Stosowane metody i środki uwierzytelniania oraz procedury związane z ich zarządzaniem i użytkowaniem. 1. Naczelną zasadą bezpieczeństwa systemów jest ochrona informacji przed nieuprawnionym dostępem, ujawnieniem, przypadkowym lub nieautoryzowanym zniszczeniem lub modyfikacją danych. 2. Realizowane jest 2 stopniowe zabezpieczenie - na każdym etapie wymagane jest podanie loginu i hasła. Loginy - różne dla różnych pracowników zapewniają jednoznaczną identyfikację oraz przydział uprawnień na każdym etapie dostępu do systemu: a) dostęp do systemu operacyjnego komputera; b) dostępu do aplikacji. 3. System automatycznie powinien wymuszać zmianę hasła nie rzadziej, niż jeden raz w miesiącu jeżeli aplikacja nie stawia takiego wymagania hasło powinno być zmieniane z inicjatywy użytkownika. Hasło musi być zmienione przez użytkownika niezwłocznie w przypadku podejrzenia lub stwierdzenia jego ujawnienia. 4. System operacyjny komputera jest zabezpieczony hasłem dostępu. Hasła dostępu ustala Administrator Danych Osobowych i podaje do wiadomości upoważnionych osób. a) ADO nadaje hasło dostępu do systemu,aplikacji sieci LAN dla nowego użytkownika albo dla użytkownika, który zapomniał swojego ostatniego hasła. b) Użytkownik po otrzymaniu od ADO informacji o założeniu konta z wymaganymi uprawnieniami: a) loguje się do systemu/aplikacji w celu sprawdzenia poprawności konta i uprawnień; b) przy pierwszym logowaniu się do systemu/aplikacji, użytkownik musi zmienić nadane mu przez ADO hasło. Hasło musi się składać z co najmniej 8 znaków w tym dużych i małych liter oraz cyfr lub znaków specjalnych. c) Użytkownik systemu w dowolnym momencie może zmienić swoje hasło dostępu do aplikacji.
d) Obowiązuje bezwzględny zakaz notowania w jakiejkolwiek formie obecnych oraz wygasłych haseł dostępu. e) ADO każdorazowo po zmianie loginu lub hasła umieszcza je na kartce w zaklejonej kopercie i przekazuje ją do depozytu właścicielowi (zarządcy) firmy. Ten może w uzasadnionych przypadkach wykorzystać kopertę i hasła dostępu w sytuacji koniecznego dostępu wobec nieobecności ADO. III. Procedury rozpoczęcia, zawieszenia i zakończenia pracy przez użytkowników systemów. 1. Procedura rozpoczęcia pracy: a) uruchomić komputer wchodzący w skład systemu informatycznego, podłączony fizycznie do sieci lokalnej i zalogować się podając własny login i hasło dostępu; b) uruchomić aplikację i zalogować się. W przypadku zauważonych nieprawidłowości - trudności z zalogowaniem lub podejrzeniem o "zainfekowanie" komputera należy niezwłocznie skontaktować się z ADO. W trakcie pracy na aplikacji nie wolno dopuścić do wglądu w monitor osób nieuprawnionych. 2. Procedura zawieszenia pracy w systemie/aplikacji. Przy każdorazowym opuszczeniu stanowiska komputerowego, należy dopilnować, aby na ekranie nie były wyświetlane informacje lub dane, poprzez zablokowanie komputera. Każdy użytkownik ma obowiązek stosowania wygaszacza ekranu zabezpieczonego hasłem lub wylogowania się z systemu. Jeżeli ekran nie jest wygaszony - musi być ustawiony tak aby uniemożliwić wgląd w ekran osobom nieuprawnionym. 3. Procedura zakończenia pracy w systemie: a) zamknąć system/aplikację; b) zamknąć system operacyjny komputera i zaczekać na jego wyłączenie; c) wyłączyć monitor. 4. Użytkownik odpowiada za uniemożliwienie dostępu osób nieuprawnionych do systemu poprzez staranne procedury logowania i wylogowania się z systemu. IV. Procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania. Procedury tworzenia kopii zapasowych danych. 1. W firmie wykorzystuje się do przetwarzania danych osobowych system w oparciu o architekturę klient - serwer. Przetwarzanie i zapisywanie danych następuje na bazach danych umieszczonych na dedykowanym serwerze (wykupione usługi hostingu). 2. Stanowiska komputerowe w lokalu firmy, do których dostęp posiadają upoważnieni pracownicy, są jedynie końcówkami klienckimi systemu komputerowego. 3. Wszelkie informacje (w tym dane osobowe) przetwarzane przy pomocy uruchamianych na poszczególnych stanowiskach aplikacjach bazodanowych są zapisywane bezpośrednio na serwerach. 4. Kopie zapasowe baz danych oraz aplikacji bazodanowych zlokalizowanych na
serwerach 5. wykonywane są: a) 1 raz na dobę - automatycznie - za pomocą programów archiwizujących dane do postaci tzw. kopii przyrostowych; b) 1 raz w tygodniu - automatycznie przy użyciu oprogramowania archiwizującego, tworzone są pełne kopie baz danych oraz aplikacji. Zasady przechowywania kopii zapasowych. Kopie zapasowe zbioru danych oraz oprogramowania i narzędzi programistycznych zastosowanych do przetwarzania danych są przechowywane w biurze firmy w zamkniętej szafie pod dostępem ADO i ABI. V. Przechowywanie nośników informacji zawierające dane oraz kopii zapasowych. 1. Elektroniczne nośniki informacji zawierające dane osobowe: a) dane w postaci elektronicznej przetwarzane w systemie zapisane na nośnikach (np. CD, DVD, zewnętrznych dyskach HD), są własnością firmy : FHU onlyeko Jarosław Markuszewski; b) wymienne elektroniczne nośniki informacji są przechowywane w biurze firmy w zamkniętej szafie; c) po zakończeniu pracy przez użytkowników systemu zewnętrzne nośniki informacji muszą być przechowywane w zamykanych szafach lub szufladach lub w kasetkach; d) elektroniczne nośniki informacji, o których mowa powyżej, powinny być oznaczone w sposób umożliwiający ich identyfikację. 2. Przekazywanie i niszczenie elektronicznych nośników informacji: a) elektroniczne nośniki informacji - w przypadku awarii - przed przekazaniem do naprawy należy usunąć z nich dane osobowe lub naprawa powinna się odbywać w obecności upoważnionej przez ADO osoby; b) dane osobowe na każdym nośniku zewnętrznym powinny być zabezpieczone przed odczytem (minimum hasłem); c) dane osobowe przenoszone za pomocą zewnętrznych nośników informacji powinny być z nich trwale usunięte po poprawnym ich przeniesieniu na docelowy sprzęt komputerowy; 1. nośniki zewnętrzne powinny być niszczone w sposób mechaniczny tak aby ich odczyt był niemożliwy. VI. Sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, o którym mowa w pkt III ppkt. 1 załącznika do rozporządzenia. 1. W systemach operacyjnych są włączone opcje firewall. Hasło dostępu do systemu zapewnia dostęp do konfiguracji firewall tylko dla ADO. W komputerach używanych do przetwarzania danych osobowych zainstalowane są programy antywirusowe. Programy są włączane automatycznie w momencie uruchomienia komputera. W programie antywirusowym uruchomiona jest opcja automatycznej aktualizacji bazy
wirusów. Administrator ADO - okresowo - co najmniej co 7 dni dokonuje sprawdzenia aktualności programu antywirusowego (aktualizacja). 2. Pracownik obsługujący komputer jest zobowiązany do powiadomienia ADO o każdym fakcie nieprawidłowego funkcjonowania komputera oraz o pojawieniu się komunikatów programu antywirusowego wskazujących na próbę dostępu nieuprawnionego oprogramowania. 3. Pracownik jest zobowiązany w przypadku wykorzystywania nośników zewnętrznych do sprawdzenia ich programem antywirusowym przed podłączeniem do komputera. 4. Nie jest dozwolone instalowanie na komputerze jakiegokolwiek oprogramowania bez zgody i akceptacji ADO. Szczególnie groźne są gry, wygaszacze ekranu itp. 5. Ochrona przed awarią zasilania: a) system, w którym przetwarzane są dane osobowe powinien posiadać mechanizmy pozwalające zabezpieczyć je przed ich utratą lub nieautoryzowaną zmianą spowodowaną awarią zasilania lub zakłóceniami w sieci zasilającej; b) dane osobowe przetwarzane w systemie chroni się stosując filtry zabezpieczające przed skutkami spadku napięcia oraz urządzenia podtrzymujące zasilanie do momentu poprawnego zapisania danych i wylogowania się użytkownika z systemu; c)komputery, na których przetwarzane są dane osobowe należy zabezpieczać przed zanikiem napięcia wykorzystując UPS. ADO odpowiada za okresowe sprawdzanie działania UPS i co najmniej 1 raz w roku poddać je czynnościom sprawdzającoobsługowym. VII - procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych 3. ADO zobowiązany jest do okresowego przegląd i konserwacji sprzętu komputerowego, służącego do przetwarzania danych osobowych. Przeglądy i konserwacja powinny być wykonywane w terminach określonych przez producenta sprzętu ale nie rzadziej niż raz na kwartał. 4. Przegląd aplikacji przeprowadzany jest w następujących przypadkach: a) zmiany wersji oprogramowania aplikacji; b) zmiany wersji oprogramowania na stanowisku komputerowym użytkownika; c) zmiany systemu operacyjnego na serwerze; d) zmiany systemu operacyjnego na stanowisku komputerowym użytkownika; e) wykonania zmian w systemie/aplikacji spowodowanych koniecznością naprawy lub modyfikacji systemu. Po dokonaniu zmian dla zapewnienia prawidłowej pracy systemu należy dokonać sprawdzenia aplikacji na testowej bazie danych: a) poprawność logowania się do systemu w zależności od posiadanych uprawnień (zasymulować pracę wszystkich typów uprawnień użytkownika); b) poprawność działania wszystkich elementów aplikacji (menu, zestawienia, formularze, raporty, itp.