Zakres stosowania zasad ochrony danych
Niniejsze zasady odnoszą się do przetwarzania danych osobowych związanego z oferowaniem użytkownikom w Polsce produktów, obsługą zamówień i płatności, organizacją dostaw, świadczeniem obsługi klienta oraz wykonywaniem pozostałych usług powiązanych z działalnością platformy.
Obejmują one dane przetwarzane w sposób zautomatyzowany, jak również dane przetwarzane niezautomatyzowanie, jeżeli stanowią lub mają stanowić część uporządkowanego zbioru danych.
Jeżeli do określonych czynności znajduje zastosowanie GDPR, określany w Polsce jako RODO, obowiązki wynikające z przepisów o ochronie danych mogą mieć zastosowanie także wtedy, gdy samo przetwarzanie odbywa się poza Europejskim Obszarem Gospodarczym, lecz pozostaje związane z oferowaniem towarów lub usług osobom znajdującym się w Polsce lub EOG albo z monitorowaniem ich zachowania w przypadkach objętych obowiązującymi przepisami.
Przetwarzanie wykonywane przez osobę fizyczną wyłącznie w ramach czynności osobistych lub domowych pozostaje poza zakresem zasad odnoszących się do komercyjnego przetwarzania danych przez platformę.
Szczegółowe informacje dotyczące tożsamości administratora danych, sposobu kontaktu z nim, konkretnych celów przetwarzania oraz pozostałych informacji wymaganych w związku z przetwarzaniem znajdują się w opublikowanej w serwisie Polityce prywatności.
Standardy stosowane przy przetwarzaniu
Dane osobowe są wykorzystywane zgodnie z GDPR/RODO, właściwymi polskimi przepisami dotyczącymi ochrony danych oraz innymi regulacjami mającymi zastosowanie do danej czynności.
Każde przetwarzanie powinno posiadać odpowiednią podstawę prawną oraz odbywać się w sposób rzetelny i przejrzysty dla osoby, której dane dotyczą.
Informacje są gromadzone dla konkretnych, wyraźnych i zgodnych z prawem celów i nie powinny być wykorzystywane w sposób niezgodny z tymi celami.
Zakres danych ogranicza się do informacji odpowiednich i koniecznych dla realizacji właściwego celu. Podejmowane są również rozsądne działania służące zapewnieniu prawidłowości danych oraz ich aktualizacji lub sprostowaniu, gdy jest to potrzebne.
Dane nie są przechowywane dłużej, niż jest to wymagane do wykonania celu przetwarzania albo realizacji odpowiednich obowiązków prawnych.
Poufność, integralność oraz bezpieczeństwo informacji są chronione za pomocą środków technicznych i organizacyjnych dostosowanych do przetwarzania oraz związanych z nim zagrożeń. Obejmuje to ochronę przed nieuprawnionym dostępem, ujawnieniem, utratą, zmianą lub innym bezprawnym wykorzystaniem danych.
Podejmowane są ponadto odpowiednie działania pozwalające wykazać zgodność prowadzonych operacji przetwarzania z wymaganiami dotyczącymi ochrony danych.
Podstawy prawne wykorzystywania informacji
Dane osobowe nie są przetwarzane bez istnienia podstawy prawnej właściwej dla konkretnej sytuacji.
W związku z dokonywaniem zakupów podstawą przetwarzania może być konieczność wykonania umowy zawartej z klientem lub przeprowadzenia na jego żądanie działań niezbędnych przed jej zawarciem.
Dane mogą być również wykorzystywane, gdy jest to konieczne do wykonania obowiązków prawnych wynikających między innymi z przepisów podatkowych, księgowych lub dotyczących ochrony konsumentów.
Jeżeli pozwalają na to przepisy, odpowiednią podstawę mogą stanowić prawnie uzasadnione interesy związane z ochroną platformy, klientów lub innych zainteresowanych stron, pod warunkiem uwzględnienia praw i interesów osób, których dane dotyczą.
W przypadkach, w których prawo tego wymaga, przetwarzanie może opierać się na ważnie wyrażonej zgodzie użytkownika. Mogą mieć zastosowanie również inne podstawy przetwarzania przewidziane przez GDPR lub właściwe przepisy.
Jeżeli podstawą jest zgoda, użytkownik może ją wycofać zgodnie z obowiązującym prawem. Cofnięcie zgody nie powoduje, że przetwarzanie wykonane przed jej wycofaniem na podstawie wcześniej ważnie udzielonej zgody staje się niezgodne z prawem.
Kontrola użytkownika nad jego danymi
Osobie, której dane dotyczą, przysługują prawa określone przez GDPR/RODO w zakresie i na warunkach przewidzianych przez przepisy.
Użytkownik ma prawo otrzymywać informacje dotyczące sposobu wykorzystywania jego danych oraz, gdy spełnione są właściwe przesłanki, uzyskać do nich dostęp.
Może także żądać sprostowania informacji nieprawidłowych lub uzupełnienia danych niekompletnych, a w przypadkach określonych prawem również ich usunięcia, określanego często jako prawo do bycia zapomnianym, albo ograniczenia dalszego przetwarzania.
W sytuacjach przewidzianych przez przepisy użytkownik może wnieść sprzeciw wobec określonych operacji przetwarzania oraz skorzystać z prawa do przenoszenia danych.
Jeżeli przetwarzanie odbywa się na podstawie zgody, użytkownik może ją wycofać.
W przypadkach objętych właściwymi regulacjami osoba, której dane dotyczą, posiada również prawa dotyczące decyzji podejmowanych wyłącznie na podstawie zautomatyzowanego przetwarzania, jeżeli decyzja taka wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa.
Użytkownik ma ponadto prawo skierować skargę do właściwego organu nadzorczego.
Poszczególne uprawnienia nie mają bezwzględnego zastosowania do każdego rodzaju przetwarzania. Ich dostępność i zakres zależą między innymi od celu wykorzystywania danych, podstawy prawnej oraz warunków i wyjątków ustanowionych przez GDPR/RODO.
Szczególna ochrona danych dzieci
Dane osobowe osób małoletnich wymagają szczególnej ochrony.
Jeżeli usługa społeczeństwa informacyjnego jest oferowana bezpośrednio dziecku, a przetwarzanie danych w danej sytuacji opiera się na jego zgodzie, w przypadku osoby poniżej 16 roku życia wymagane jest udzielenie lub zaakceptowanie zgody przez rodzica albo inną osobę sprawującą odpowiedzialność rodzicielską.
Jeżeli taka zgoda jest wymagana, podejmowane są rozsądne działania służące sprawdzeniu odpowiedniego upoważnienia, z uwzględnieniem dostępnych możliwości technicznych, charakteru przetwarzania oraz związanego z nim ryzyka.
Reguła dotycząca wieku dla zgody na określone przetwarzanie danych nie oznacza, że osoba, która nie ukończyła 18 lat, automatycznie posiada pełną zdolność do samodzielnego zawierania umów sprzedaży, zaciągania zobowiązań lub dokonywania innych czynności prawnych. Kwestie te podlegają właściwym przepisom dotyczącym zdolności do czynności prawnych.
Powierzenie przetwarzania usługodawcom
Jeżeli realizacja zamówienia, dostawy, obsługi klienta, hostingu, usług technicznych lub innych koniecznych czynności wymaga zaangażowania usługodawcy przetwarzającego dane w naszym imieniu, podmiot taki powinien działać zgodnie z odpowiednimi wymaganiami dotyczącymi powierzenia przetwarzania.
Dane mogą być przez niego wykorzystywane wyłącznie zgodnie z zgodnymi z prawem, udokumentowanymi lub możliwymi do udokumentowania instrukcjami administratora oraz w granicach uzgodnionego celu.
Osoby posiadające dostęp do powierzonych danych powinny być objęte odpowiednimi obowiązkami zachowania poufności, a usługodawca powinien stosować środki techniczne i organizacyjne odpowiadające ryzyku.
W zakresie mającym zastosowanie podmiot przetwarzający powinien również wspierać administratora przy realizowaniu praw osób, których dane dotyczą, oraz przy wykonywaniu obowiązków związanych z bezpieczeństwem informacji, naruszeniami ochrony danych i pozostałymi wymaganiami GDPR.
Po zakończeniu wykonywania usług powierzone dane powinny zostać usunięte lub zwrócone zgodnie z właściwymi postanowieniami umownymi oraz obowiązującym prawem.
Podmiot przetwarzający powinien również udostępniać administratorowi informacje racjonalnie potrzebne do wykazania wykonania odpowiednich obowiązków dotyczących ochrony danych.
Jeżeli usługodawca zamierza zaangażować dalszy podmiot przetwarzający, wymagane upoważnienie powinno zostać uzyskane w zakresie i na zasadach wynikających z odpowiednich przepisów i uzgodnień umownych.
Bezpieczeństwo informacji
Środki zabezpieczające są dobierane z uwzględnieniem charakteru i zakresu przetwarzania, jego celu oraz poziomu ryzyka dla praw i wolności osób fizycznych.
W zależności od potrzeb mogą obejmować szyfrowanie transmisji z wykorzystaniem TLS, kontrolę dostępu do systemów i kont, zarządzanie uprawnieniami, ograniczanie zakresu danych, mechanizmy monitorowania bezpieczeństwa oraz odpowiednie wewnętrzne procedury kontroli i zarządzania ryzykiem.
Stosowane zabezpieczenia mogą być dostosowywane wraz ze zmianą rzeczywistego poziomu ryzyka, rozwojem technologii lub zmianą właściwych wymagań prawnych.
Postępowanie po naruszeniu ochrony danych
Jeżeli usługodawca przetwarzający dane w naszym imieniu stwierdzi naruszenie ochrony danych osobowych, powinien poinformować o nim administratora bez zbędnej zwłoki zgodnie z wymaganiami GDPR oraz obowiązującymi ustaleniami dotyczącymi powierzenia przetwarzania.
Po uzyskaniu informacji o naruszeniu administrator ocenia jego charakter i zakres oraz możliwe konsekwencje dla praw i wolności osób, których dane dotyczą.
Jeżeli spełnione są przewidziane przez GDPR przesłanki wymagające zgłoszenia naruszenia, odpowiednia informacja jest przekazywana właściwemu organowi nadzorczemu zgodnie z obowiązującymi wymaganiami.
Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osoby fizycznej i zachodzą prawne warunki przekazania jej zawiadomienia, osoby dotknięte zdarzeniem są informowane zgodnie z właściwymi przepisami.
Dokumentowanie czynności przetwarzania
Jeżeli obowiązujące przepisy nakładają obowiązek prowadzenia rejestru czynności przetwarzania lub rejestru kategorii czynności przetwarzania, administrator oraz właściwe podmioty przetwarzające prowadzą wymaganą dokumentację.
Jej zakres jest dostosowany do wymagań mających zastosowanie w konkretnym przypadku i może obejmować informacje dotyczące celów przetwarzania, kategorii danych, kategorii odbiorców, transferów międzynarodowych, stosowanych zabezpieczeń oraz pozostałych elementów wymaganych prawem.
Obowiązek prowadzenia rejestrów nie jest w identycznym zakresie nakładany bezwarunkowo na każdy mały podmiot i każdą operację. Zakres obowiązku jest ustalany zgodnie z GDPR oraz charakterem rzeczywiście wykonywanych czynności przetwarzania.
Inspektor ochrony danych
Samo prowadzenie działalności gospodarczej lub przetwarzanie danych osobowych nie oznacza automatycznie obowiązku wyznaczenia inspektora ochrony danych, określanego jako DPO, a w Polsce jako IOD.
Administrator lub podmiot przetwarzający wyznacza IOD, jeżeli obowiązek taki wynika z GDPR lub innego właściwego przepisu.
Dotyczy to w szczególności przypadków, gdy przetwarzania dokonuje podmiot objęty odpowiednimi wymaganiami odnoszącymi się do organów lub podmiotów publicznych, gdy główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę albo gdy główna działalność obejmuje przetwarzanie na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i czynów zabronionych.
Jeżeli w konkretnym przypadku IOD zostanie wyznaczony zgodnie z wymaganiami prawa, jego dane kontaktowe są udostępniane w odpowiednim zakresie, a wymagane informacje są przekazywane właściwemu organowi nadzorczemu.
Przekazywanie informacji poza EOG
Jeżeli dane osobowe są przekazywane do państwa znajdującego się poza Europejskim Obszarem Gospodarczym lub do organizacji międzynarodowej, transfer odbywa się wyłącznie przy zastosowaniu mechanizmu uznanego przez GDPR oraz odpowiednich zabezpieczeń.
W zależności od konkretnej sytuacji podstawę takiego przekazania może stanowić decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne zatwierdzone przez Komisję Europejską albo inny zgodny z GDPR mechanizm zapewniający wymagany poziom ochrony.
Jeżeli ocena konkretnego transferu wskazuje na potrzebę zastosowania dodatkowych zabezpieczeń, mogą zostać wykorzystane odpowiednie środki techniczne i organizacyjne, takie jak szyfrowanie, ograniczenie dostępu, minimalizacja zakresu przekazywanych danych, mechanizmy uwierzytelniania lub inne kontrole bezpieczeństwa.
Międzynarodowe przekazywanie danych jest realizowane wyłącznie w zakresie, w którym istnieją wymagane podstawy prawne i odpowiednie zabezpieczenia.
Organ nadzorczy i możliwość wniesienia skargi
Właściwym polskim organem nadzorczym w sprawach ochrony danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych, czyli Prezes UODO.
Jeżeli użytkownik uważa, że dotyczące go dane są przetwarzane niezgodnie z GDPR lub innymi właściwymi przepisami o ochronie danych, może złożyć skargę do UODO albo do innego organu nadzorczego posiadającego właściwość zgodnie z prawem.
Organy nadzorcze wykonują przewidziane prawem uprawnienia kontrolne, dochodzeniowe, naprawcze oraz inne kompetencje regulacyjne.
W przypadku stwierdzenia naruszenia GDPR właściwy organ może zastosować środki przewidziane prawem, w tym, gdy zachodzą odpowiednie przesłanki, administracyjne kary pieniężne ustalane z uwzględnieniem charakteru, wagi i czasu trwania naruszenia oraz innych czynników wskazanych w obowiązujących przepisach.
Możliwość wniesienia skargi do organu nadzorczego nie ogranicza prawa osoby, której dane dotyczą, do korzystania z innych administracyjnych lub sądowych środków ochrony przewidzianych przez prawo.
Odpowiedzialne zarządzanie danymi
Platforma dąży do tego, aby dane osobowe były przetwarzane w sposób przejrzysty, bezpieczny i odpowiadający rzeczywistym potrzebom związanym ze świadczonymi usługami.
W tym celu podejmowane są odpowiednie działania służące ograniczaniu zbędnego gromadzenia i wykorzystywania informacji, ochronie danych przed nieuprawnionym dostępem lub ujawnieniem, umożliwieniu użytkownikom wykonywania przysługujących im praw oraz nakładaniu właściwych wymogów ochrony danych na usługodawców działających w charakterze podmiotów przetwarzających.
Stosowane środki bezpieczeństwa i prywatności są oceniane odpowiednio do rzeczywistych czynności przetwarzania i poziomu ryzyka, a procedury dotyczące danych mogą być dostosowywane do zmian prawa, technologii oraz sposobu prowadzenia działalności.
Żadne postanowienie niniejszych zasad nie może być interpretowane jako ograniczające lub zmniejszające prawa przysługujące osobom, których dane dotyczą, na podstawie GDPR/RODO lub innych bezwzględnie obowiązujących przepisów dotyczących ochrony danych osobowych.