Polityka prywatności

Niniejsza Polityka Prywatności (dalej jako „Polityka”), została sporządzona celem wdrożenia obowiązków i zasad przetwarzania oraz zabezpieczenia danych osobowych zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako „RODO”).

Administratorem danych osobowych jest Michał Szczurtek jako właściciel przedsiębiorstwa ATVteam.pl Michał Szczurtek z siedzibą w Szynkielewie (95-200), Szynkielew 31E, NIP: 7282398542 (dalej jako „Administrator”).

DEFINICJE:

Określenia użyte w Polityce Prywatności oznaczają:

Administrator – osoba fizyczna decydująca o celach i środkach przetwarzania danych osobowych. Administratorem danych jest właściciel przedsiębiorstwa, który przetwarza dane osobowe uzyskane we własnym imieniu od osób trzecich będących osobami fizycznymi, w tym dane uzyskane od klientów, pracowników i współpracowników, którzy na podstawie odpowiednich umów powierzyli swoje dane osobowe niezbędne do świadczenia usług i sprzedaży towarów.

Dane osobowe – wszelkie informacje związane z osobą fizyczną, umożliwiające identyfikację i weryfikację tej osoby (podawane m.in. podczas rejestracji, logowania, składania zamówienia i inicjowania płatności), w tym imię i nazwisko, miejsce zamieszkania, adres pocztowy (w tym adres rozliczeniowy i adres wysyłki), adres e-mail, numer telefonu, a także „Dane wrażliwe”, które mogą być uznane za szczególnie chronione dane osobowe tj. obywatelstwo, numer dokumentu tożsamości, numer PESEL, numer karty płatniczej, inne informacje finansowe dotyczące numeru konta bankowego lub dane uwierzytelniające wydane przez organ administracji państwowej (np. numer prawa jazdy, numer dowodu osobistego, numer paszportu, wykorzystywane do weryfikacji Użytkownika, zapewnienia bezpieczeństwa finansowego i zmniejszenia ryzyka popełnienia oszustwa lub przeciwdziałania praniu pieniędzy lub finansowaniu terroryzmu).

Naruszenie ochrony danych osobowych – każde zdarzenie prowadzące do przypadkowego lub bezprawnego zniszczenia, utraty, zmiany, ujawnienia nieuprawnionych osób danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych, a także do nieuprawnionego dostępu do takich danych.

Obszar przetwarzania danych osobowych – obszar, w którym przetwarzane są Dane osobowe, w tym w szczególności dyski komputerowe, sieć internet oraz pomieszczenia w siedzibie Administratora.

Przetwarzanie danych osobowych – wszelkie operacje wykonywane na danych osobowych, takie jak gromadzenie, zapisywanie, przechowywanie, rozwijanie, zmienianie, udostępnianie, usuwanie. Działania te mogą być wykonywane zarówno w systemie informatycznym, jak i sposobem tradycyjnym (papierowym).

System informatyczny – system przetwarzania informacji z powiązanymi użytkownikami i zasobami technicznymi, finansowymi, które dostarczają i rozpowszechniają informacje.

ZAŁOŻENIA POLITYKI PRYWATNOŚCI:

1. Dokument ten ma na celu wyjaśnienie i uregulowanie kwestii związanych z bezpieczeństwem informacji, w szczególności danych osobowych, gromadzonych i przetwarzanych w systemie informatycznym, a także stacjonarnie w siedzibie Administratora (w formie papierowej) lub innych procedur przetwarzania danych przez Administratora i poświadcza, że Administrator, jak i podmioty z nim współpracujące wypełniają zobowiązania wynikające z przepisów RODO oraz zachowują należytą staranność w przetwarzaniu danych osobowych.
2. Niniejsza Polityka dotyczy wszystkich danych osobowych przetwarzanych przez Administratora w związku z prowadzoną działalnością gospodarczą, w tym danych osób fizycznych, podających swoje dane Administratorowi w jakiejkolwiek formie (papierowej lub elektronicznej), w celu skorzystania z usług, dokonania zakupu towarów oraz nawiązania współpracy w dowolnej formie. Przetwarzanie danych osobowych w sklepie i serwisie naprawczym Atvteam.pl jest niezbędne do prawidłowego świadczenia usług i realizowania sprzedaży na rzecz klientów.
3. Polityka jest częścią Regulaminu Sklepu Internetowego – https://atvteam.pl/, przechowywana jest w wersji elektronicznej, dostępnej na stronie internetowej Administratora oraz w wersji papierowej w siedzibie Administratora.
4. Polityka jest publicznie dostępna do wglądu osobom, których dane mogą być przetwarzane przez Administratora, a także osobom, którym ma zostać nadane upoważnienie do przetwarzania danych osobowych, celem zapoznania się z jej treścią.
5. W zakresie przetwarzania danych pozyskanych w związku z wykonywaniem czynności objętych tajemnicą handlową Administrator stosuje się do wszelkich przepisów dotyczących zachowania tajemnicy.
6. Dla skutecznej realizacji Polityki Administrator zapewnia:
7. środki techniczne i rozwiązania organizacyjne odpowiednie do eliminowania ewentualnych zagrożeń oraz adekwatne do kategorii danych objętych ochroną,
8. kontrolę i nadzór nad przetwarzaniem danych osobowych,
9. monitorowanie zastosowanych środków ochrony.
10. Administrator Danych zapewnia, że czynności wykonywane w związku z przetwarzaniem i zabezpieczeniem danych osobowych są zgodne z niniejszą Polityką oraz odpowiednimi przepisami prawa.
11. Monitorowanie przez Administratora zastosowanych środków ochrony obejmuje m.in. działania Klientów, pracowników i współpracowników Administratora, naruszenie zasad dostępu do danych, zapewnienie integralności plików oraz ochronę przed atakami zewnętrznymi oraz wewnętrznymi.
12. Administrator nie podejmuje czynności przetwarzania, które mogłyby się wiązać z poważnym prawdopodobieństwem wystąpienia wysokiego ryzyka dla praw i wolności osób. W przypadku planowania takiego działania Administrator wykona czynności określone w art. 35 i nast. RODO.
13. Administrator zapewnia zastosowanie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności, rozliczalności i ciągłości przetwarzanych danych. W przypadku planowania nowych czynności przetwarzania Administrator dokonuje analizy ich skutków dla ochrony danych osobowych oraz uwzględnia kwestie ochrony danych w fazie ich projektowania.
14. Dane osobowe przetwarzane są za pośrednictwem sieci Internet oraz na terenie obejmującym pomieszczenia biurowe w siedzibie Administratora. Dodatkowo obszar, w którym przetwarzane są dane osobowe, stanowią wszystkie komputery przenośne oraz inne nośniki danych znajdujące się poza obszarem wskazanym powyżej, użytkowane przez Administratora.
15. Wszystkie dane osobowe u Administratora są przetwarzane z poszanowaniem zasad przetwarzania przewidzianych przez przepisy prawa:

1. w każdym przypadku występuje chociaż jedna z przewidzianych przepisami prawa podstaw dla przetwarzania danych;
2. dane przetwarzane są rzetelnie i w sposób przejrzysty, a w razie potrzeby uaktualniane;
3. dane osobowe zbierane są w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami;
4. dane osobowe są przetwarzane jedynie w takim zakresie, jaki jest niezbędny dla osiągnięcia celu przetwarzania danych;
5. czas przechowywania danych jest ograniczony do okresu ich przydatności do celów, do których zostały zebrane, a po tym okresie są one anonimizowane bądź usuwane;
6. wobec osoby, której dane dotyczą, wykonywany jest obowiązek informacyjny zgodnie z treścią rozporządzenia RODO;
7. dane są zabezpieczone przed naruszeniami zasad ich ochrony.

13. ZASADY PRZETWARZANIA DANYCH OSOBOWYCH

a.       Cele przetwarzania danych w sklepie internetowym:

• Realizacja umowy sprzedaży:
  • Zbieranie danych kontaktowych (imię, nazwisko, adres, e-mail, telefon) w celu realizacji zamówienia i wysyłki towaru.
  • Przechowywanie danych o zakupionych produktach dla celów gwarancji i obsługi posprzedażowej.
• Obsługa klienta:
  • Odpowiadanie na pytania i reklamacje klientów.
  • Rozwiązywanie problemów związanych z zamówieniami.
• Marketing:
  • Przesyłanie informacji o nowych produktach, promocjach i ofertach specjalnych (po uzyskaniu zgody klienta).
  • Optymalizacja oferty produktowej i działań marketingowych.
  • Poprawa jakości obsługi klienta.

b.      Cele przetwarzania danych w serwisie naprawczym:

• Realizacja umowy o naprawę pojazdu:
  • Zbieranie danych dotyczących pojazdu oraz danych kontaktowych klienta w celu przeprowadzenia naprawy i informowania o jej postępach.
  • Przechowywanie historii napraw dla celów gwarancyjnych i statystycznych.
  • Zbieranie danych o usterkach i przeprowadzonych naprawach w celu ulepszenia usług serwisowych.
• Kontakt z klientem:
  • Informowanie o kosztach naprawy, terminie jej zakończenia oraz możliwości odbioru pojazdu.

c.       Rodzaje przetwarzanych danych:

• Dane identyfikacyjne: imię, nazwisko, adres, e-mail, numer telefonu.
• Dane dotyczące pojazdu: model, numer seryjny, VIN, data produkcji, opis usterki.
• Dane dotyczące płatności: numer konta, dane karty płatniczej.
• Dane dotyczące historii zakupów i napraw.

d.      Podstawy prawne przetwarzania danych:

• Wykonanie umowy: przetwarzanie danych jest niezbędne do realizacji umowy sprzedaży lub umowy o wykonanie usługi.
• Uzasadniony interes administratora: przetwarzanie danych jest niezbędne do prowadzenia działalności gospodarczej, np. rozliczeń, analizy sprzedaży, marketingu.
• Zgoda: przetwarzanie danych w celach marketingowych wymaga wyraźnej zgody klienta.

14. Administratoruzyskuje informacje i dane osobowe Klientów przekazywane poprzez dobrowolnie wprowadzone dane w formularzach kontaktowych, na etapie rejestracji Konta Klienta, przy składaniu zamówienia, a także w innych formach, takich jak wiadomości e-mail lub informacje udzielane telefonicznie pracownikom Działu Obsługi Klienta lub stacjonarnie w siedzibie.
15. Administrator może przetwarzać informacje o parametrach połączenia internetowego w przypadku kontaktu z Klientem z wykorzystaniem sieci Internet (oznaczenie czasu, adres IP).
16. Klient oraz każda inna osoba fizyczna, której dane są przetwarzane przez Administratora ma prawo do nieograniczonego dostępu do swoich danych i informacji o przetwarzaniu danych, które jej dotyczą. Dane przetwarzane przez Administratora i informacje o tych danych nie są udostępniane podmiotom trzecim, za wyjątkiem osób współpracujących z Administratorem, z którymi podpisane zostały stosowne umowy o powierzeniu przetwarzania lub podmiotów upoważnionych, o których mowa w punkcie 23 poniżej.
17. Na żądanie osoby dotyczące dostępu do jej danych, Administrator informuje osobę, czy przetwarza jej dane oraz informuje o szczegółach przetwarzania, zgodnie z art. 15 rozporządzenia RODO, a także udziela osobie dostępu do danych jej dotyczących. Dostęp do danych może być zrealizowany przez wydanie kopii danych. Wydając osobie kopię danych jej dotyczących Administrator odnotowuje fakt wydania pierwszej kopii danych.
18. Administrator dokonuje sprostowania nieprawidłowych danych i uzupełnienia danych niepełnych. Administrator ma prawo odmówić sprostowania danych, chyba że osoba w rozsądny sposób wykaże nieprawidłowości danych, których sprostowania się domaga. W przypadku sprostowania danych Administrator informuje osobę o odbiorcach danych, na żądanie tej osoby.
19. Administrator uzupełnia i aktualizuje dane na żądanie osoby. Administrator ma prawo odmówić uzupełnienia danych, jeżeli uzupełnienie byłoby niezgodne z celami przetwarzania danych. Administrator może polegać na oświadczeniu osoby co do uzupełnionych danych, chyba że będzie to niewystarczające w świetle przyjętych procedur (np. co do pozyskiwania takich danych), prawa lub zaistnieją podstawy, aby uznać oświadczenie za niewiarygodne.
20. Na żądanie osoby fizycznej, Administrator usuwa dane, gdy:
21. dane nie są niezbędne do celów, w których zostały zebrane,
22. zgoda na ich przetwarzanie została cofnięta, a nie ma innej podstawy prawnej przetwarzania,
23. osoba wniosła skuteczny sprzeciw względem przetwarzania tych danych,
24. dane były przetwarzane niezgodnie z prawem,
25. konieczność usunięcia wynika z obowiązku prawnego,
26. żądanie dotyczy danych dziecka zebranych na podstawie zgody w celu świadczenia usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku (np. profil dziecka na portalu społecznościowym).
27. Administrator zastrzega możliwość odmowy usunięcia danych, które ma prawny obowiązek przechowywać m.in. w celach podatkowych. Administrator realizuje prawo do usunięcia danych w taki sposób, aby zapewnić efektywną realizację tego prawa przy poszanowaniu wszystkich zasad ochrony danych, w tym bezpieczeństwa, a także weryfikację, czy nie zachodzą wyjątki, o których mowa w art. 17. ust. 3 RODO.
28. Administrator dba o minimalizację przetwarzania danych pod kątem:
    1. adekwatności danych do celów (ilości danych i zakresu przetwarzania),
    2. dostępu do danych,
    3. czasu przechowywania danych.
29. Odbiorcami danych osobowych przechowywanych i przetwarzanych przez Administratora mogą być:
30. organy kontrolne, które ze względu na pełnione funkcje mają prawo wglądu do dokumentacji zawierającej dane osobowe tj. Urząd Skarbowy, Ministerstwo Finansów, Główny Urząd Statystyczny, Policja, kontroler posiadający upoważnienie Prezesa Urzędu Ochrony Danych Osobowych, funkcjonariusze Agencji Celnej, Agencji Bezpieczeństwa Wewnętrznego, funkcjonariusz Centralnego Biura Antykorupcyjnego, sąd, upoważniony inspektor ZUS, przedstawiciel Państwowej Inspekcji Pracy lub inny uprawniony organ administracji publicznej;
31. podmioty prowadzące działalność pocztową lub kurierską;
32. podmioty przetwarzające dane w imieniu Administratora na podstawie umowy powierzenia (np. biuro rachunkowe, kancelaria prawna), a także pracownicy i współpracownicy Administratora posiadający pisemne upoważnienie.

NARUSZENIE OCHRONY DANYCH OSOBOWYCH

24. W przypadku stwierdzenia naruszenia danych osobowych, Administrator powinien:
25. Niezwłocznie podjąć działania mające na celu ograniczenie skutków naruszenia.
26. Dokonać oceny ryzyka.
27. Zgromadzić niezbędną dokumentację.
28. Zgłosić naruszenie UODO.
29. W razie potrzeby powiadomić osoby, których dane dotyczą.
30. Za naruszenie lub próbę naruszenia zasad przetwarzania i ochrony danych osobowych uważa się w szczególności:
31. naruszenie bezpieczeństwa Systemów informatycznych, w których przetwarzane są dane osobowe, w razie ich przetwarzania w takich systemach;
32. udostępnianie lub umożliwienie udostępniania danych osobom lub podmiotom do tego nieupoważnionym;
33. zaniechanie, choćby nieumyślne, dopełnienia obowiązku zapewnienia danym osobowym ochrony;
34. niedopełnienie obowiązku zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia;
35. przetwarzanie danych osobowych niezgodnie z założonym zakresem i celem ich zbierania;
36. spowodowanie uszkodzenia, utraty, niekontrolowanej zmiany lub nieuprawnione kopiowanie danych osobowych;
37. naruszenie praw osób, których dane są przetwarzane.
38. Administrator zapewnia bezpieczeństwo danych osobowych dzięki odpowiednim środkom technicznym oraz organizacyjnym, mającym na celu zapobieżenie bezprawnemu przetwarzaniu danych oraz ich przypadkowej utracie, zniszczeniu oraz uszkodzeniu.
39. Administrator informuje, że nawet w przypadku, gdy zostały podjęte środki zmierzające do zabezpieczenia danych przekazywanych przez Klienta za pomocą sieci Internet, nie można wyeliminować szczególnych zagrożeń, które są związane z korzystaniem z usługi świadczonej drogą elektroniczną. Administrator zidentyfikował następujące takie zagrożenia:
40. możliwość otrzymania spamu;
41. obecność i działanie oprogramowania typu malware, w tym: wirusów komputerowych;
42. obecność i działanie robaków internetowych (worm);
43. możliwość zadziałania oprogramowania typu spyware;
44. możliwość bycia narażonym na cracking lub phishing (łowienie haseł);
45. Piractwo
46. Sniffing;
47. możliwość wprowadzenia przez inne osoby korzystające z systemu teleinformatycznego i/lub sieci telekomunikacyjnej nielegalnych urządzeń dających nieuprawniony dostęp do usług podlegających ochronie;
48. możliwość bycia narażonym na działania innego niechcianego lub „złośliwego” oprogramowania, wykonującego czynności niezamierzone przez użytkownika, nie zaliczane do wymienionych powyżej, a występujące np. pod nazwami: wabbit, trojan, backdoor, exploit, rootkit, keylogger, dialer, hoax itp.

W przypadku stwierdzenia, że ​​występuje jedna lub więcej sytuacji naruszenia ochrony danych osobowych  należy niezwłocznie powiadomić Administratora Danych.

28. W przypadku stwierdzenia naruszenia ochrony danych Administrator ma następujące obowiązki:
29. Zabezpieczenie danych – podjęcie działań przeciwdziałających dalszym naruszeniom, ograniczenie skutków naruszenia;
30. Udokumentowanie naruszenia: Administrator musi prowadzić dokumentację dotyczącą naruszenia, w której opisuje: okoliczności naruszenia, jego skutki, podjęte działania zaradcze;
31. Ocena ryzyka: Administrator musi ocenić, czy naruszenie stwarza ryzyko dla praw lub wolności osób fizycznych. Jeśli tak, musi podjąć odpowiednie działania.
32. Powiadomienie osób, których dane dotyczą: W niektórych przypadkach administrator musi poinformować osoby, których dane zostały naruszone.
33. Współpraca z organem nadzorczym: Administrator musi współpracować z UODO w trakcie postępowania wyjaśniającego.
34. Administrator Danych jest zobowiązany do powiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych o wysokim ryzyku naruszenia praw i wolności osoby, której dane dotyczą, w szczególności w przypadku utraty kontroli przez Administratora Danych nad przetwarzonymi danymi osobowymi lub narażenia osoby, której dane zostały przetworzone na:

• dyskryminację;
• ograniczenie jej praw;
• kradzież;
• oszustwo;
• fałszowanie tożsamości;
• stratę finansową;
• uszkodzenie reputacji;
• naruszenie poufności danych osobowych chronionych tajemnicą zawodową;
• wszelkie inne znaczące szkody gospodarcze lub społeczne.

30. W szczególnych przypadkach, jeśli wynika to z obowiązków zakresu ochrony danych osobowych przez postanowienia RODO lub inne powszechnie obowiązujące przepisy prawa, fakt naruszenia może być zgłoszony do Prezesa Urzędu Ochrony Danych Osobowych (UODO) bez zbędnej zwłoki, a w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Obowiązek ten dotyczy sytuacji, gdy naruszenie stwarza ryzyko naruszenia praw lub wolności osób fizycznych.
31. Administrator Danych przygotowuje raport o naruszeniu i dokumentuje incydent w Rejestrze Naruszeń, w którym rejestr zawiera w szczególności: opis naruszenia i podjęte działania, konsekwencje naruszenia, dane użytkowników lub inne osoby odpowiedzialne za naruszenie, wnioski i propozycje działań mających na celu poprawę bezpieczeństwa danych osobowych, informacje o skali naruszenia, informacje o tym, czy naruszenie zostało zgłoszone osobie, której dane dotyczą.
32. Do obowiązków Administratora w zakresie zatrudniania pracowników lub współpracowników (osób podejmujących czynności na rzecz Administratora na podstawie innych umów cywilnoprawnych) należy dopilnowanie, by:
33. pracownicy byli odpowiednio przygotowani do wykonywania swoich obowiązków, w tym przeszkoleni w zakresie ochrony danych osobowych,
34. pisemnie upoważnieni do przetwarzania danych osobowych zgodnie z „Upoważnieniem do przetwarzania danych osobowych”,
35. każdy pracownik zobowiązał się do zachowania danych osobowych w tajemnicy i znał mechanizmy ochrony danych.
36. Pracownicy Administratora zobowiązani są do przetwarzania i ochrony danych osobowych zgodnie z przepisami, zgłaszania incydentów związanych z naruszeniem bezpieczeństwa danych oraz niewłaściwym funkcjonowaniem systemu.
37. Administrator Danych organizuje cykliczne szkolenia z zakresu ochrony danych osobowych oraz procedur przetwarzania danych osobowych dla wszystkich pracowników i współpracowników.
38. Kontakt z Administratorem Danych jest możliwy w formie korespondencji mailowej pod adresem: salon@atvteam.pl