Najczęściej zadawane pytania dotyczące AJAX RODO

Podstawy

Czym jest RODO?

Ogólne rozporządzenie o ochronie danych (znane również jako Rozporządzenie (UE) 2016/679 lub „RODO”) to rozporządzenie prawa Unii Europejskiej dotyczące ochrony danych i prywatności w UE oraz Europejskim Obszarze Gospodarczym (EOG). Chociaż została ona opracowana i zatwierdzona przez Unię Europejską (UE), nakłada ona obowiązki ochrony danych na organizacje na całym świecie, pod warunkiem, że zwracają się one do osób w UE lub gromadzą dane o tych osobach.

Czym są dane osobowe?

Dane osobowe to wszelkie informacje dotyczące osoby fizycznej, którą można bezpośrednio lub pośrednio zidentyfikować. Gromadzenie różnych informacji i ich łączenie może doprowadzić do zidentyfikowania konkretnej osoby, co również kwalifikuje się jako dane osobowe.

Dane osobowe, które zostały zanonimizowane, zaszyfrowane lub poddane pseudonimizacji, ale mogą być użyte do ponownej identyfikacji osoby, pozostają danymi osobowymi i podlegają przepisom prawa.

Poniżej znajduje się kilka przykładów danych osobowych:

• imię i nazwisko;
• adres;
• adres e-mail;
• numer dowodu;
• dane lokalizacji;
• adres IP;
• identyfikatory plików cookie;
• identyfikator reklamowy telefonu.

Co oznacza przetwarzanie danych?

Definicja przetwarzania danych obejmuje różnorodne działania, jakie można wykonywać na danych osobowych, zarówno w sposób manualny, jak i za pomocą automatycznych procesów. Obejmuje to zbieranie, rejestrowanie, organizowanie, porządkowanie, przechowywanie, dostosowywanie lub modyfikowanie, wyszukiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez przekazywanie, rozpowszechnianie lub inne udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych osobowych. Jeśli wykonujesz któreś z powyższych działań na danych, oznacza to, że je przetwarzasz.

Jaka jest różnica między podmiotem przetwarzającym dane a administratorem danych?

Administrator danych to organizacja, instytucja lub osoba fizyczna, która ustala standardy i zasady przetwarzania danych osobowych. W praktyce oznacza to, że administrator danych jest odpowiedzialny za określenie, w jaki sposób i dlaczego dane osobowe są wykorzystywane przez organizację. Najczęściej administratorem danych jest osoba lub organizacja, która gromadzi dane i decyduje o sposobie ich wykorzystania.

W przeciwieństwie do podmiotu przetwarzającego dane. W kontekście RODO podmiotem przetwarzającym dane jest jednostka organizacyjna, instytucja lub osoba fizyczna, która implementuje procedury przetwarzania danych osobowych ustalone przez administratora danych. Zazwyczaj podmiot przetwarzający dane to strona, która przetwarza dane na polecenie i według uznania administratora danych. Podmiot przetwarzający dane nie jest właścicielem danych, które przetwarza, i nie ma nad nimi kontroli. Oznacza to, że podmiot przetwarzający dane nie może zmieniać znaczenia danych ani kierować ich wykorzystaniem i jest związany instrukcjami.

Istnieją kluczowe kwestie, które pomagają odróżnić funkcje administratora danych od funkcji podmiotu przetwarzającego dane:

Administrator danych decyduje o następujących kwestiach:

• która organizacja zbiera dane w pierwszej kolejności oraz posiada podstawę prawną do tego działania;
• do czego będą używane dane osobowe;
• czy ujawnić dane, a jeśli tak, to komu;
• czy prawo dostępu do danych oraz inne prawa osób dotyczące danych mają zastosowanie, czy też występują wyjątki;
• jak długo przechowywać dane lub czy zmieniać dane w sposób, który nie jest rutynowy.

Administrator danych decyduje o następujących kwestiach:

• metodach wykorzystywanych do gromadzenia i przechowywania danych osobowych;
• sposobie, w jaki dane są zabezpieczone;
• środkach wykorzystywanych do przekazywania danych osobowych z jednej organizacji do drugiej;
• sposobie, w jaki pozyskiwane są dane osobowe;
• metodzie zapewniającej przestrzeganie harmonogramu przechowywania;
• sposobie, w jaki dane osobowe są usuwane.

Jakie są warunki RODO dotyczące przetwarzania danych osobowych?

Artykuł 6 RODO wymienia kilka warunków (zwanych także podstawami), na podstawie których przetwarzanie danych osobowych jest legalne:

1. Zgoda. Zgoda oznacza, że osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie danych osobowych w jednym lub więcej określonych celach. Kluczowe znaczenie ma tu pojęcie celu. Jeżeli osoba, której dane dotyczą, zwana także osobą fizyczną, wyrazi zgodę na przetwarzanie bez pełnej informacji o konkretnym celu lub celach w sposób łatwy do zrozumienia, to taka zgoda nie jest podstawą prawną przetwarzania, ponieważ musi być dobrowolna, konkretna, świadoma i jednoznaczna. Ponadto zgoda nie może być łączona. Zatem w przypadku każdej czynności przetwarzania danych w ramach jednej szerszej operacji obowiązuje ogólna zasada, że dla każdej czynności wymagana jest odrębna zgoda.
2. Przetwarzanie jest konieczne do wykonania lub przygotowania do zawarcia umowy, której stroną jest osoba, której dane dotyczą. Organizacja ma prawo do odwołania się do niniejszej podstawy prawnej, w sytuacji gdy niezbędne jest przetwarzanie danych osobowych podmiotu w celu dostarczenia usługi opisanej w umowie lub w odpowiedzi na prośbę tej organizacji o zrealizowanie określonego działania przed zawarciem umowy (np. dostarczenie wyceny).
3. Przetwarzanie danych jest konieczne w celu spełnienia obowiązku prawnego. Jeśli administrator ma obowiązek prawny, dla którego przetwarzanie konkretnych danych osobowych jest niezbędne, przetwarzanie takie jest dozwolone. Obowiązek prawny musi być obowiązkiem, któremu podlega administrator danych.
4. Przetwarzanie danych jest konieczne w celu uratowania czyjegoś życia. Ta podstawa jest również znana jako „istotny interes”. W takim przypadku osoba fizyczna nie musi być podmiotem danych; może to być również inna osoba fizyczna. Oczywiście, to nie do administratora należy definiowanie, czym jest uzasadniony interes. Ta podstawa ma zastosowanie przede wszystkim do sytuacji związanych z zagrożeniem życia, w których brak innej właściwej podstawy prawnej przetwarzania. W przypadku gdy nieprzetwarzanie danych osobowych mogłoby prowadzić do realnego zagrożenia czyjegoś życia, podmiot przetwarzający jest uprawniony do podjęcia działań koniecznych w celu ratowania życia osoby, jednak musi posiadać pewną wiedzę o osobie fizycznej, która znajduje się w niebezpieczeńswie.
5. Przetwarzanie jest konieczne do wykonania zadania w interesie publicznym lub do realizacji funkcji urzędowej. Organizacja ma możliwość sięgnąć po tę podstawę prawną, kiedy niezbędne jest przetwarzanie danych osobowych „w ramach realizacji uprawnień publicznych”. Obejmuje to funkcje oraz prerogatywy publiczne zdefiniowane w przepisach prawnych, jak również realizację określonych zadań służących interesowi publicznemu, jakie zostały określone w przepisach prawa.
6. Administrator ma uzasadniony interes w przetwarzaniu danych osobowych danej osoby. Przetwarzanie danych osobowych w tym kontekście niekoniecznie musi być uzasadnione obowiązkiem prawnym lub realizowane w celu wypełnienia warunków umowy z osobą fizyczną. W takich sytuacjach przetwarzanie danych osobowych może być usprawiedliwione na podstawie istniejącego uzasadnionego interesu. Na przykład, podmiot przetwarzający ma uzasadniony interes, gdy przetwarzanie odbywa się w ramach relacji z klientem, w celach marketingu bezpośredniego, w celu zapobiegania oszustwom lub w celu zapewnienia bezpieczeństwa sieci i informacji w systemach informatycznych.

Jak działa wyrażenie zgody w ramach RODO?

Obowiązują surowe zasady dotyczące zgody osoby, której dane dotyczą, na przetwarzanie jej danych:

• Zgoda musi być „dobrowolna, konkretna, świadoma i jednoznaczna”.
• Prośby o zgodę muszą się „wyraźnie odróżniać od pozostałych kwestii” i być sformułowane „zrozumiałym i prostym językiem”.
• Osoby, których dane dotyczą, mogą w dowolnym momencie wycofać wcześniej udzieloną zgodę, a ich decyzja musi być uszanowana. Nie jest możliwa prosta zmiana podstawy prawnej przetwarzania na inne uzasadnienie.
• Należy zachować dokument potwierdzający zgodę.

Jakie prawa przysługują osobom fizycznym na mocy RODO?

RODO zapewnia następujące prawa osobom fizycznym:

1. Prawo do informacji (osoby mają prawo być informowane o tym, jak firmy zbierają i wykorzystują ich dane osobowe, jak długo planują przechowywać te dane oraz z kim będą je udostępniać);
2. Prawo dostępu (osoby mają prawo wiedzieć dokładnie, jakie informacje firmy zgromadziły, jak przechowują i przetwarzają te dane oraz co zamierzają z nimi zrobić);
3. Prawo do sprostowania (osoby fizyczne mają prawo do uzupełnienia niekompletnych danych i poprawienia nieprawidłowych danych);
4. Prawo do usunięcia danych (osoby mają prawo do trwałego usunięcia danych osobowych, zwane również „prawem do bycia zapomnianym”);
5. Prawo do ograniczenia przetwarzania (jeśli osoby fizyczne nie mogą żądać, aby administratorzy danych usunęli ich dane osobowe, mogą ograniczyć zdolność administratorów danych do przetwarzania tych danych);
6. Prawo do przenoszenia danych (osoby fizyczne mają prawo do uzyskania i ponownego wykorzystania swoich danych osobowych do własnych celów w różnych usługach);
7. Prawo do sprzeciwu (osoby mają prawo sprzeciwić się przetwarzaniu swoich danych osobowych w określonych okolicznościach);
8. Prawa związane z zautomatyzowanym podejmowaniem decyzji i profilowaniem (osoby mają prawo żądać interwencji człowieka, zamiast podejmowania ważnych decyzji przez algorytmy).

Jakie jest siedem zasad RODO?

Zgodnie z RODO istnieje siedem kluczowych zasad ochrony danych i odpowiedzialności:

1. Legalność, uczciwość i przejrzystość — przetwarzanie musi być zgodne z prawem, uczciwe i przejrzyste dla podmiotu danych.
2. Ograniczenie celu — dane muszą być przetwarzane w prawnie uzasadnionych celach określonych jednoznacznie wobec podmiotu danych w momencie ich zbierania.
3. Minimalizacja danych — należy gromadzić i przetwarzać wyłącznie tyle danych, ile jest absolutnie niezbędne do realizacji określonych celów.
4. Dokładność — dane osobowe muszą być dokładne i aktualne.
5. Ograniczenie przechowywania — dane osobowe można przechowywać tylko tak długo, jak jest to konieczne do określonego celu.
6. Integralność i poufność — przetwarzanie musi odbywać się w sposób zapewniający odpowiednie bezpieczeństwo, integralność i poufność (np. przez użycie szyfrowania).
7. Odpowiedzialność — administrator danych jest odpowiedzialny za możliwość wykazania zgodności z RODO ze wszystkimi tymi zasadami.

Czy RODO wymaga, aby dane osobowe mieszkańców UE pozostawały w UE?

RODO nie wymaga bezpośrednio, aby dane osobowe mieszkańców UE pozostawały wyłącznie w UE. Jednak ochrona danych w UE opiera się na zasadzie, że „RODO dotyczy danych”, co oznacza, że przepisy chroniące dane osobowe obowiązują niezależnie od tego, gdzie dane te trafią. Zasada ta obowiązuje również wtedy, gdy dane osobowe są przekazywane do państwa, które nie jest członkiem UE.

Przetwarzanie przez Ajax

Czy Ajax przetwarza moje dane osobowe?

Tak, Ajax może przetwarzać Twoje dane osobowe. Poniżej znajdują się główne sposoby, w jakie możemy wykorzystywać informacje o użytkowniku:

1. w naszych systemach alarmowych (na przykład za pośrednictwem Ajax Hub i innych urządzeń);
2. w naszych aplikacjach dla użytkowników końcowych i użytkowników PRO: mobilnych (Ajax Security System i Ajax PRO: Tool for Engineers), stacjonarnych (Ajax Desktop i Ajax PRO Desktop) oraz narzędziach internetowych Ajax (zwanych dalej Produktami lub Usługami);
3. kiedy odwiedzasz naszą stronę internetową pod adresem https://ajax.systems;
4. w ramach współpracy biznesowej pomiędzy Użytkownikiem a Ajax (niezależnie od tego, czy użytkownik jest bezpośrednim lub pośrednim partnerem lub podwykonawcą Ajax);
5. podczas spersonalizowanej komunikacji między użytkownikiem a Ajax (np. rozmów kwalifikacyjnych, spotkań itp.);
6. podczas świadczenia usług związanych z Rozszerzoną Funkcjonalnością Usług Ajax (w tym Ajax SIM, Ajax Cloud Storage itp.);

Jakie rodzaje moich danych mogą być przetwarzane przez Ajax?

Firma Ajax może przetwarzać różne kategorie danych, dostosowując się do określonych scenariuszy interakcji z użytkownikiem.

Za pośrednictwem naszych urządzeń alarmowych możemy przetwarzać:

• Informacje o Twoim urządzeniu Hub (takie jak jego model i numer seryjny, informacje o sieci, w tym adres IP, dzienniki aktywności urządzenia, poprzednia i bieżąca konfiguracja urządzenia oraz jego lokalizacja).
• Dane telemetryczne i środowiskowe.

Aby zapewnić użytkownikom informacje o systemie w postaci statusów i zdarzeń, przetwarzamy dane telemetryczne.

Termin „dane telemetryczne” (dalej również „telemetria”) odnosi się do danych i innych wskaźników, które są automatycznie zbierane, przesyłane i mierzone przez czujniki wbudowane w nasze urządzenia w celu określenia stanu otoczenia i sprawności działania, a także wykrywania ewentualnych anomalii w funkcjonowaniu urządzeń.

Podczas korzystania z naszych Produktów lub Usług możemy przetwarzać:

• Informacje o użytkowniku (takie jak imię, nazwisko, adres e-mail, numer telefonu i zdjęcie konta).
• Informacje, które udostępniasz nam z książki telefonicznej swojego urządzenia podczas zapraszania użytkowników do Produktu (takie jak adres e-mail lub numer telefonu osoby, którą zapraszasz do Produktu).
• Niepowtarzalne identyfikatory naszych Usług (takie jak nazwa użytkownika i hasło).
• Niepowtarzalne identyfikatory użytkowników połączonych z Produktem, takie jak nazwa użytkownika, rola użytkownika w Produkcie i jego adres e-mail; informacje o urządzeniach mobilnych i stacjonarnych, takie jak typ urządzenia, system operacyjny i język systemu.
• Dane oparte na lokalizacji w celu dostarczania przypomnień o uzbrojeniu/rozbrojeniu systemu w przypadku aktywacji funkcji Geolokalizacji w naszej aplikacji.
• W przypadku użytkowników systemu Android – wiadomości SMS z kodem autoryzacyjnym wymaganym podczas rejestracji lub zmiany konta.
• Informacje o korzystaniu z naszych Produktów i Usług (takie jak żądania z aplikacji do naszego serwera).

Gdy kontaktujesz się z naszym zespołem obsługi klienta, możemy przetwarzać nagrania dźwiękowe rozmów z naszym zespołem obsługi klienta.

Gdy odwiedzasz naszą stronę internetową, możemy przetwarzać:

• Informacje podawane podczas wypełniania formularzy, które mogą zawierać dane osobowe i dane kontaktowe.
• Identyfikatory plików cookie (za pomocą narzędzia zgodnego z RODO).
• Adres IP do określenia twojego kraju.

W przypadku współpracy biznesowej możemy przetwarzać:

• Dane osobowe i kontaktowe przedstawicieli firmy (imię i nazwisko, stanowisko, adres e-mail i numer telefonu).
• Żądania od partnerów i ich upoważnionych przedstawicieli (np. wysłane na adres e-mail wsparcia, za pośrednictwem aplikacji, komunikatorów itp.).
• Wizytówki partnerów.

Podczas spersonalizowanej komunikacji, rozmowy kwalifikacyjnej lub spotkań:

Jeśli zdecydujesz się skontaktować z nami lub ubiegać się o pracę w Ajax, oprócz danych zebranych w sposób opisany powyżej, możemy również gromadzić i przetwarzać dodatkowe dane osobowe, które udostępniasz podczas komunikacji i / lub w dostarczonych przez Ciebie dokumentach (np. CV, list motywacyjny), w tym między innymi:

• Dane osobowe (imię, nazwisko, numer telefonu, adres e-mail, zdjęcie).
• Niepowtarzalne identyfikatory (np. nazwa użytkownika, login).
• Poprzednie doświadczenie zawodowe.
• Informacje o edukacji i szkoleniach.
• Certyfikaty, dyplomy, referencje.
• Hobby, zainteresowania i pozostałe preferencje osobiste.

W przypadku takiego przetwarzania lista (zakres) danych osobowych i innych informacji może być dalej modyfikowana, uszczegóławiana lub rozszerzana w trakcie całego procesu. Jednocześnie gromadzenie i przetwarzanie niezbędnych danych osobowych jest ograniczone do celów takiego przetwarzania i odbywa się zgodnie z wymogami obowiązującego prawa.

Ponadto, podczas przetwarzania danych w kontekście komunikacji biznesowej lub spersonalizowanej, obsługi zapytań partnerów i wizytówek, prowadzenia spotkań, rozmów kwalifikacyjnych itp., a także w celu optymalizacji wewnętrznych operacji i procesów, Ajax może wykorzystywać technologie sztucznej inteligencji (dalej zwanej „AI”).

Dane przetwarzane przez sztuczną inteligencję mogą w niektórych przypadkach obejmować dane osobowe, które identyfikują osobę fizyczną, w zakresie, że takie dane:

1. są publicznie dostępne;

2. zostały przez Ciebie dobrowolnie udostępnione.

Dane te mogą być przetwarzane przez nasze narzędzia sztucznej inteligencji i podmioty przetwarzające dane w celu ułatwienia obsługi Twoich żądań. W większości przypadków oznacza to, że sztuczna inteligencja pomaga przygotować szkic odpowiedzi lub ustala odpowiednią kategorię Twojego zapytania. W ograniczonych przypadkach sztuczna inteligencja może wygenerować odpowiedź bezpośrednio dla Ciebie, a Ty zawsze możesz wybrać kontakt z pracownikiem Ajax zamiast tego. Wykorzystanie sztucznej inteligencji do przetwarzania danych nie prowadzi do podejmowania wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na Twoją sytuację.

Do określonego przetwarzania wykorzystującego sztuczną inteligencję angażujemy dostawców usług, którzy utrzymują niezbędny poziom ochrony danych osobowych.

Należy pamiętać, że przetwarzanie takich danych przez Ajax jest ograniczone i odbywa się wyłącznie w celu zwiększenia efektywności działań wewnętrznych oraz w związku z tymi celami.

Jaki jest cel i podstawa prawna przetwarzania danych?

• Wszystkie dane, które otrzymujemy za pośrednictwem naszych urządzeń zabezpieczających lub gdy używasz naszych Produktów lub Usług , są przetwarzane wyłącznie w celu świadczenia żądanych usług bezpieczeństwa. Oznacza to, że przetwarzamy wszystkie takie dane w celu wykonania umowy zawartej z użytkownikiem. Oznacza to również, że nie gromadzimy żadnych danych, które nie są nam potrzebne do świadczenia takich usług.
• Jeśli zdecydujesz się zapisać do naszego newslettera, wyślemy Ci e-maile z informacjami o nas i naszych najnowszych aktualizacjach. W tym zakresie polegamy na zgodzie użytkownika, której udziela, potwierdzając subskrypcję. Będziemy również personalizować te wiadomości e-mail na podstawie informacji, które posiadamy o użytkowniku, aby były dla niego bardziej odpowiednie i przydatne.
• Jeśli udostępniłeś dzienników operacji swojej aplikacji z powodu wystąpienia problemu, przetworzymy je w celu rozwiązania Twojego problemu technicznego oraz ulepszenia naszych Produktów i Usług. Przetwarzamy te informacje zgodnie z naszym uzasadnionym interesem, aby uczynić naszą ofertę rynkową bardziej konkurencyjną.
• Wykorzystujemy dane, którymi się z nami dzielisz z listy kontaktów na swoim urządzeniu, gdy zapraszasz użytkowników do Produktu (takie jak adres e-mail lub numer telefonu osoby, zapraszanej do Produktu), aby wysłać zaproszenie wyłącznie do tych osób.
• Wszystkie dane, które dobrowolnie nam przekazujesz — czy to przez e-mail, aplikacje lub komunikatory, czy też przez udostępnianie podań/CV — jak również dane publicznie dostępne, są przetwarzane w celu zapewnienia efektywności procesów wewnętrznych, nawiązania współpracy biznesowej oraz wsparcia spersonalizowanej komunikacji.

Gdzie przechowywane są informacje?

Dane osobowe, które Ajax może od Ciebie gromadzić, są przechowywane w chmurze zlokalizowanej w Irlandii, Niemczech i Francji (w obrębie EOG); wybór miejsca przechowywania danych w tych krajach zależy od dostępności infrastruktury AWS.

Inne dane osobowe zbierane przez Ajax mogą być również przechowywane na serwerach i/lub w chmurze, znajdujących się w różnych jurysdykcjach. Obejmuje to przechowywanie danych u podmiotów powiązanych z grupą spółek Ajax, a także u stron trzecich będących kontrahentami, dostawcami lub usługodawcami Ajax, których serwery znajdują się w krajach zapewniających odpowiedni poziom ochrony i bezpieczeństwa danych osobowych.

Chociaż przepisy dotyczące ochrony danych osobowych mogą się różnić w zależności od kraju, Ajax stosuje zabezpieczenia opisane w niniejszym dokumencie i innych dokumentach wewnętrznych niezależnie od miejsca przechowywania takich danych.

Jak długo przechowywane są informacje?

Przechowujemy dane osobowe przez cały okres współpracy z klientem, z wyjątkiem niektórych rodzajów informacji, w tym:

• lista zdarzeń w aplikacjach mobilnych i komputerowych Ajax (dla użytkowników końcowych i PRO), w tym Ajax Response:

  • ograniczone do 500 wpisów, przechowywana nie dłużej niż 2 lata; 
  • ograniczone do 4000 wpisów dla Ajax Superior MegaHub, przechowywanych nie dłużej niż 2 lata;

• Dziennik zdarzeń konta firmowego w aplikacji Ajax PRO Desktop: przechowywany przez okres do 3,5 roku. Pliki multimedialne w dzienniku zdarzeń konta firmowego są przechowywane przez okres od 7 dni do 2 lat, w zależności od ustawień profilu klienta.

Niektóre rodzaje danych — takie jak imię i nazwisko, stanowisko oraz dane kontaktowe przedstawicieli określonych w umowach — mogą być przechowywane po zakończeniu okresu współpracy. Jest to konieczne do wypełnienia naszych zobowiązań prawnych.

• Zawsze usuwamy dane osobowe po tym, jak klient zdecyduje się zamknąć swoje konto i wyśle żądanie na adres privacy@ajax.systems. W takich obudowach przestajemy świadczyć usługi dla klienta i nie mamy już potrzeby przechowywania jego danych.
• Dane mogą również pozostać w zaszyfrowanych kopiach zapasowych do 12 miesięcy, używanych wyłącznie do odzyskiwania po awarii, po czym są trwale usuwane.
• Pliki dziennika zdarzeń na naszych serwerach są przechowywane nie dłużej niż 7 dni.

Kto ma dostęp do systemu i informacji po stronie Ajax?

Ajax stosuje zasady minimalizacji dostępności i najmniejszych uprawnień w dostępie do danych. Dostęp do danych mogą zatem uzyskać jedynie pracownicy firmy Ajax odpowiedzialni za wsparcie usług i realizację projektów. Gdy pracownicy Ajax uzyskują dostęp do danych, ich sprzęt jest chroniony za pomocą szyfrowania i innych narzędzi zgodnie z najwyższymi standardami technicznymi w branży. Wszyscy pracownicy podpisali umowę o zachowaniu poufności i co roku przeprowadzają ocenę ochrony danych. Każde działanie personelu jest rejestrowane, a dzienniki są monitorowane automatycznie w czasie rzeczywistym. Jeśli podejrzewamy nadmierny dostęp, ograniczamy dostęp i natychmiast rozpoczynamy dochodzenie w tej sprawie. Niemniej jednak zwracamy uwagę, że Ajax nigdy nie uzyskuje dostępu do danych bez ważnej podstawy prawnej dla takiego dostępu. W niektórych przypadkach Ajax może zostać przez użytkownika (na jego własne ryzyko) nakierowany na przyznanie dostępu do danych użytkownika zewnętrznym dostawcom wybranym przez użytkownika (agencje ochrony, instalatorzy) za pośrednictwem aplikacji mobilnych lub komputerowych. W takich przypadkach, wybrane przez użytkownika firmy również uzyskają dostęp do danych, które użytkownik zdecydował się przekazać.

Co robi Ajax, aby zachować zgodność z globalnymi przepisami o ochronie danych? W jaki sposób Ajax wykazuje zgodność z RODO?

Aby spełnić wymagania międzynarodowych przepisów o ochronie danych, Ajax stosuje szereg istotnych środków, mechanizmów i procedur. Na przykład, Ajax wprowadza zasady ograniczania przetwarzania danych (ochrona danych osobowych w fazie projektowania i domyślnie), minimalizacji danych, kontroli dostępu oraz procedury przetwarzania danych (obejmujące zasady przechowywania, przetwarzania, usuwania itp.). W ramach przekazywania danych Ajax wdraża różnorodne metody, obejmujące zarówno środki organizacyjne, jak i techniczne, a także standardowe klauzule umowne. Więcej informacji na ten temat można znaleźć w sekcji Transfer danych.

Jak mogę skorzystać z moich praw do prywatności?

Aby skorzystać z przysługujących praw związanych z prywatnością (takich jak prawo do usunięcia, sprzeciwu, uzyskania informacji o danych osobowych czy ograniczenia przetwarzania), prosimy o kontakt z nami poprzez adres e-mailowy privacy@ajax.systems.

Transfer danych

Komu Ajax może udostępniać moje dane? Jakie rodzaje danych mogą być udostępniane i w jakich przypadkach?

Zasadniczo możemy udostępniać dane osobowe użytkownika tylko wtedy, gdy jest to konieczne do świadczenia żądanych usług. Takie dane mogą być ujawniane naszym dostawcom i usługodawcom, którzy świadczą określone usługi na potrzeby funkcjonowania naszych Produktów i Usług. Obejmuje to usługi takie jak hosting danych, wsparcie techniczne, komunikacja itp. Dbamy o to, aby tacy dostawcy chronili dane według tych samych standardów co my.

Możemy udostępniać dane kontaktowe użytkownika (takie jak numer telefonu komórkowego, pseudonim i adres e-mail) dostawcom usług ochrony fizycznej, jeśli użytkownik o to poprosi, wybierając takiego dostawcę w naszej aplikacji. Należy pamiętać, że tacy dostawcy usług będą działać jako niezależni administratorzy danych odpowiedzialni za dane osobowe użytkownika. Pomimo że wybieramy renomowanych partnerów, których usługi są dostępne w naszej aplikacji, zalecamy zapoznanie się z ich politykami prywatności przed złożeniem prośby o przekazanie twoich danych wybranym firmom.

W przypadku niektórych potrzeb Ajax może korzystać z usług zewnętrznych podwykonawców przetwarzania spoza EOG. Takie potrzeby mogą obejmować przechowywanie danych, techniczną komunikację związana z rejestracją, instalacją oraz inne działania organizacyjne, realizowane poprzez środki takie jak poczta elektroniczna czy telefon.

Ajax dokłada wszelkich starań, aby takie transfery odbywały się zgodnie ze wszystkimi obowiązującymi przepisami o ochronie danych. W związku z tym firma Ajax zawarła umowy o przetwarzaniu danych (DPA) ze wszystkimi podwykonawcami przetwarzającymi dane (w tym umowy o standardowych klauzulach ochronnych SCC) w przypadku transgranicznego przekazywania danych) oraz wdrożyła dodatkowe środki zabezpieczające dotyczące przekazywania i przetwarzania danych. Wszystkie podmioty przetwarzające na rzecz Ajax posiadają swoje indywidualne polityki prywatności oraz inne dokumenty związane z ochroną danych, które regularnie są przeglądane przez specjalistów Ajax w celu zapewnienia pełnej zgodności.

Lista podmiotów przetwarzających zatwierdzonych przez Ajax:

Czym są Standardowe klauzule umowne?

Standardowe klauzule umowne (SCC) to standaryzowane i uprzednio zatwierdzone wzorcowe postanowienia dotyczące ochrony danych, które pozwalają administratorom oraz podmiotom przetwarzającym na skuteczne wypełnienie swoich obowiązków wynikających z unijnych przepisów dotyczących ochrony danych. Mogą one zostać włączone przez administratorów i podmioty przetwarzające do ich ustaleń umownych z innymi stronami, takimi jak partnerzy handlowi. Klauzule te mogą być dobrowolnie wykorzystywane w celu potwierdzenia zgodności z wymogami ochrony danych, wymagając jednocześnie wiążącego zobowiązania umownego do ich skrupulatnego przestrzegania. Komisja Europejska jest uprawniona do przyjmowania SCC (1) w odniesieniu do relacji między administratorami i podmiotami przetwarzającymi oraz (2) do przekazywania danych osobowych do krajów spoza EOG.

Czym są Środki uzupełniające?

Środki uzupełniające to specjalnie opracowane procedury techniczne oraz organizacyjne, które są wdrożone w celu zapewnienia adekwatnego poziomu bezpieczeństwa przetwarzanych danych, porównywalnego z ochroną danych realizowaną w obszarze EOG.

Ajax wdrożył środki organizacyjne, w tym między innymi następujące:

• cykliczne szkolenia z zakresu bezpieczeństwa oraz testy wiedzy dla pracowników Ajax;
• zautomatyzowany system monitoringu w czasie rzeczywistym, śledzący potencjalne zdarzenia oraz ewentualne podatności systemu bezpieczeństwa;
• ciągłe rejestrowanie wszystkich procesów;
• cykliczne, dostosowane do potrzeb kontrole i testy systemów Ajax w zakresie bezpieczeństwa.

Ajax wdrożył środki techniczne, w tym między innymi następujące:

• Środki zapobiegające dostępowi osób nieupoważnionych do systemów przetwarzania danych znajdujących się w obiektach i obiektach (w tym baz danych, serwerów aplikacji i powiązanego sprzętu), w których przetwarzane są dane osobowe personelu, w tym tworzenie stref bezpieczeństwa, ograniczanie dostępu trasy, tworzenie uprawnień dostępu dla pracowników i osób trzecich, blokowanie drzwi (elektrozaczepy itp.).
• Środki obejmujące procedury zapobiegające wykorzystywaniu systemów przetwarzania danych przez osoby nieupoważnione, w tym procedury identyfikacji i uwierzytelniania użytkowników, procedury bezpieczeństwa identyfikatorów/haseł, szyfrowanie zarchiwizowanych nośników danych.
• Środki zapewniające, że osoby upoważnione do korzystania z systemu przetwarzania danych mają dostęp do takich danych osobowych wyłącznie zgodnie z ich prawami dostępu oraz że dane osobowe nie mogą być odczytywane, kopiowane, modyfikowane ani usuwane bez upoważnienia, w tym wewnętrzne zasady i procedury, systemy kontroli uprawnień, zróżnicowane uprawnienia dostępu (profile, role, transakcje i obiekty), monitorowanie i rejestrowanie dostępu, postępowanie dyscyplinarne wobec pracowników, którzy mają dostęp do danych osobowych bez uprawnień.
• Środki zapewniające, że dane osobowe nie mogą być odczytywane, kopiowane, modyfikowane lub usuwane bez upoważnienia podczas elektronicznego przesyłania, transportu lub przechowywania na nośnikach (ręcznych lub elektronicznych) i które można zweryfikować, w których firmach lub innych podmiotach prawnych dane osobowe są ujawniane, w tym szyfrowanie, logowanie, zabezpieczenie transportu. Wszystkie dane osobowe są zabezpieczone szyfrowaniem AES256 podczas przechowywania, a ich transmisja odbywa się za pośrednictwem HTTPS z użyciem szyfrowania AES128 oraz protokołu TLS 1.2.
• Środki obejmujące monitorowanie wprowadzania, modyfikacji oraz usuwania (kasowania) danych osobowych w systemach przetwarzania. Działania te są kontrolowane za pomocą systemów rejestracji i raportowania, ścieżek audytu oraz odpowiedniej dokumentacji.
• Środki zapewniające ochronę danych osobowych przed przypadkowym zniszczeniem lub utratą (fizyczną lub logiczną), w tym procedury tworzenia kopii zapasowych, zasilacze awaryjne (UPS), zdalne przechowywanie danych, systemy antywirusowe i zapory sieciowe, plan odtwarzania danych po awarii oraz plan zapewnienia ciągłości działania.
• Środki zapewniające, że dane osobowe gromadzone do różnych celów mogą być przetwarzane oddzielnie, w tym oddzielenie baz danych, ograniczenie wykorzystania i rozdzielenie funkcji (produkcja/testowanie).

Czym jest Ocena skutków transferu danych?

Ocena skutków transferu (TIA) to analiza przeprowadzana przez administratora danych lub podmiot przetwarzający dane dotycząca skutków dla bezpieczeństwa transferu danych osobowych do krajów spoza UE/EOG, w tym do tych, które nie są objęte decyzją stwierdzającą odpowiedni stopień ochrony.