ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
Айра и Катлея Груп ЕООД
ЕИК: 208551370
Седалище и адрес на управление:
гр. Пловдив 4006, р-н Източен,
ул. „Преспа“ № 4, ет. 15, ап. 112
Управител:
Огнян Петров Димитров
ЧАСТ I
ОБЩА РАМКА, ПРАВЕН ХАРАКТЕР, ФИЛОСОФИЯ НА ЗАЩИТАТА, ПРЕДМЕТ, ЦЕЛИ И ОСНОВНИ ПРИНЦИПИ НА ОБРАБОТВАНЕТО НА ЛИЧНИ ДАННИ
Чл. 1.
Настоящата Политика за защита на личните данни представлява основен, първичен, задължителен, вътрешнообвързващ и с пряко действие нормативен акт на „Айра и Катлея Груп“ ЕООД, ЕИК 208551370, който има характер на вътрешна харта и стратегически документ от най-висок ранг в системата на вътрешното управление на дружеството и който урежда в изчерпателен, систематизиран, многопластов и максимално детайлен вид цялостната философия на защита на личните данни, приложимата правна рамка, принципите, правилата, процедурите, ограниченията, отговорностите, механизмите за контрол, системите за отчетност и доказуемост, както и всички други елементи, които имат или могат да имат значение за законосъобразното, добросъвестното, сигурното, прозрачното и дългосрочно устойчивото обработване на лични данни на физически лица във връзка с осъществяваната от дружеството дейност, предоставяните от него услуги, изпълняваните договорни и законови задължения и защитата на основните права и свободи на субектите на данни.
Чл. 2.
Настоящата Политика има характер на върхов вътрешен акт в областта на защитата на личните данни и стои на най-високо ниво в йерархията на всички вътрешни правила, процедури, инструкции, протоколи, договорни клаузи, технически стандарти и утвърдени практики на дружеството, като всяко частично или пълно отклонение от нейните разпоредби, независимо от причината, формата или степента му, се счита за нарушение с висока степен на тежест, независимо от това дали е довело до реална вреда, потенциален риск, репутационна уязвимост или формално несъответствие.
Чл. 3.
Философията на настоящата Политика се основава на разбирането, че защитата на личните данни не представлява формално административно или техническо задължение, а фундаментален елемент от професионалната етика, корпоративната отговорност, управленската зрялост, репутационната сигурност и стратегическата устойчивост на дружеството, като всяко подценяване, формализиране, механично прилагане или прехвърляне на отговорност в тази област се разглежда като системен управленски риск, способен да застраши не само отделни правоотношения, но и цялостното функциониране, общественото доверие и дългосрочното бъдеще на организацията.
Чл. 4.
Основната и водеща цел на настоящата Политика е изграждането, поддържането и гарантирането на стабилна, непротиворечива, високорегулирана, вътрешно кохерентна и напълно предвидима система за управление и защита на личните данни, в рамките на която всяко действие, всяко решение, всяка операция, всяка технология, всяка информационна система и всяко човешко поведение, свързани с лични данни, са предварително подчинени на ясно дефинирани, писмено формулирани, практически приложими и управленски контролируеми правила, чрез които се елиминира възможността за импровизация, неформални практики, произволни тълкувания, субективни решения, скрити рискове и несъзнателни нарушения.
Чл. 5.
Предметът на настоящата Политика обхваща всички аспекти на обработването на лични данни, включително, но не само, събирането, получаването, регистрирането, структурирането, съхранението, адаптирането, извличането, използването, разкриването чрез предаване, разпространяването, комбинирането, ограничаването, заличаването и унищожаването на лични данни, независимо от тяхната форма, носител, технология, физическа или дигитална среда и използван комуникационен канал.
Чл. 6.
Настоящата Политика се прилага без изключение спрямо всички дейности, процеси, услуги, проекти, кампании, вътрешни функции и организационни звена на дружеството, както и спрямо всички физически лица, чиито лични данни по какъвто и да е начин се обработват от дружеството, независимо от това дали тези лица са клиенти, потенциални клиенти, представители, контактни лица, участници или гости в събития, доставчици, подизпълнители, консултанти, партньори или трети лица.
Чл. 7.
Политиката се прилага спрямо всички лица, които по какъвто и да е начин имат достъп до лични данни или участват в процеси, свързани с тяхното обработване, независимо от вида на правоотношението, формата на ангажираност, продължителността на участието, възмездния или безвъзмездния характер на дейността, както и независимо от това дали достъпът до данните е постоянен, временен, пряк или косвен.
Чл. 8.
Незнанието на настоящата Политика, непознаването на нейните разпоредби, формалното им възприемане или неправилното им тълкуване не освобождават нито едно лице от отговорност, като всяко лице, което по какъвто и да е начин участва в процеси, свързани с лични данни, е длъжно предварително и постоянно да поддържа необходимото ниво на познание, внимание, професионална чувствителност и дисциплина, съобразени със степента на риск на извършваните от него дейности.
Чл. 9.
Настоящата Политика има за цел не само формалното осигуряване на съответствие с изискванията на Регламент (ЕС) 2016/679, Закона за защита на личните данни и приложимото национално и европейско законодателство, но и изграждането на реално функционираща вътрешна система за самоконтрол, превенция и непрекъснато усъвършенстване, която да позволява на дружеството във всеки момент да доказва пред надзорни органи, съдилища, партньори и клиенти, че защитата на личните данни е действително прилаган управленски принцип, а не формално декларирана политика.
Чл. 10.
В рамките на настоящата Политика всяко обработване на лични данни се разглежда като потенциален риск за правата и свободите на физическите лица, който следва да бъде предварително оценен, внимателно планиран, стриктно контролиран и постоянно наблюдаван, като всяко подценяване, неглижиране или формализиране на този риск се счита за организационна слабост с дългосрочни правни, финансови и репутационни последици.
Чл. 11.
Основните цели на настоящата Политика включват изграждането на цялостна, функционално завършена и управляемо устойчива архитектура за защита на личните данни, която обхваща правните основания за обработване, организационните структури и отговорности, техническите и физическите мерки за сигурност, човешкия фактор и културата на поведение, като чрез тази архитектура се цели не само предотвратяване на нарушения, но и осигуряване на пълна прозрачност, отчетност и доказуемост на всички действия, свързани с лични данни.
Чл. 12.
Настоящата Политика има стратегическа задача да интегрира защитата на личните данни във всички управленски нива и във всички етапи от дейността на дружеството, така че защитата да не съществува като отделен, изолиран или формален процес, а да бъде органична, неотделима и задължителна част от всяко планиране, всяко управленско решение, всяка услуга, всяка вътрешна процедура и всяка външна комуникация.
Чл. 13.
Дружеството възприема защитата на личните данни като непрекъснат, динамичен и еволюиращ процес, който изисква постоянна адаптация към технологичните промени, развитието на информационните системи, еволюцията на рисковете, изменението на законодателството и практиката на надзорните органи, като всяко застиване, самодоволство или отказ от развитие се разглежда като сериозен организационен и управленски дефект.
Чл. 14.
Настоящата Политика изпълнява и образователна, културна и дисциплинираща функция, като цели изграждането у всички ангажирани лица на трайна култура на защита на личните данни, при която вниманието към информацията, уважението към личната сфера, стриктността при работа с данни и чувствителността към рисковете се превръщат в ежедневна професионална практика, а не в реакция при възникване на проблем.
Чл. 15.
Дружеството изрично декларира, че не разглежда личните данни като търговски ресурс, актив за свободно разпореждане или средство за спекулативна печалба, а като поверена му отговорност, която следва да бъде защитавана със същата степен на грижа, внимание, контрол и управленска ангажираност, каквито се прилагат към собствените стратегически, финансови и репутационни активи на дружеството.
Чл. 16.
Настоящата Политика има за цел да осигури максимална яснота, предвидимост и правна сигурност относно това какви лични данни се обработват, за какви цели се обработват, на какво правно основание се обработват, за какъв срок се съхраняват, на кого могат да бъдат предоставяни и какви права имат субектите на данни, като всяка неяснота, двусмислие, празнота или противоречие се разглеждат като потенциален източник на правен и репутационен риск.
Чл. 17.
В рамките на настоящата Политика защитата на личните данни се разглежда като съвкупност от взаимносвързани принципи, правила, процедури и мерки, които не могат да бъдат прилагани избирателно, частично или формално, а само като цялостна, логически последователна и непрекъснато поддържана система.
Чл. 18.
Настоящата Политика въвежда принципа на превантивната защита, при който основният управленски фокус е насочен не към реакцията след настъпване на нарушение, а към предварителното изграждане на такава организационна, техническа и културна среда, която максимално да намали вероятността от настъпване на инциденти, изтичане на данни или неправомерно обработване.
Чл. 19.
Дружеството приема, че всяко нарушение на защитата на личните данни, независимо от неговия мащаб, продължителност или фактическо въздействие, има потенциала да причини сериозни правни, финансови и репутационни последици и следва да бъде третирано с най-висока степен на сериозност, внимание и управленска ангажираност.
Чл. 20.
Настоящата Политика има за цел да гарантира, че във всеки момент дружеството е в състояние да демонстрира пълно съответствие с принципите на отчетност и доказуемост, като всяко действие, решение или операция, свързани с лични данни, подлежат на последваща проверка, проследимост и аргументирана управленска обосновка.
ЧАСТ II
ПРАВНА РАМКА, ПРАВНИ ОСНОВАНИЯ, ЙЕРАРХИЯ НА ОСНОВАНИЯТА, СИСТЕМА НА УПРАВЛЕНИЕ, ОТГОВОРНОСТИ И ОРГАНИЗАЦИОННА АРХИТЕКТУРА НА ЗАЩИТАТА НА ЛИЧНИТЕ ДАННИ
Чл. 21.
Настоящата част урежда в изчерпателен, систематизиран и максимално детайлен вид правната рамка, в която се осъществява обработването на лични данни в дружеството, както и йерархията на правните основания, разпределението на отговорностите, управленската структура и вътрешната организационна архитектура, чрез която се осигурява устойчиво, законосъобразно и контролируемо прилагане на настоящата Политика във всички процеси и нива на дейността.
Чл. 22.
Дружеството обработва лични данни при стриктно, едновременно и кумулативно спазване на Регламент (ЕС) 2016/679, Закона за защита на личните данни, всички приложими национални и европейски нормативни актове, подзаконови разпоредби, задължителната съдебна практика, решенията и указанията на Комисията за защита на личните данни, както и всички други релевантни източници на право, имащи отношение към защитата на личните данни.
Чл. 23.
Вътрешната правна рамка на дружеството се изгражда като подчинена и допълваща система спрямо външната нормативна рамка, при която настоящата Политика, вътрешните правила, процедурите, протоколите и инструкциите имат за цел да конкретизират, операционализират и прилагат на практика законовите принципи, без да ги ограничават, изменят или дерогират.
Чл. 24.
При противоречие между разпоредбите на настоящата Политика и императивни норми на националното или европейското право, приоритет имат императивните правни норми, като дружеството е длъжно незабавно да предприеме всички необходими организационни и управленски действия за адаптиране на вътрешните си актове и възстановяване на пълното съответствие.
Чл. 25.
Дружеството изгражда и поддържа система за непрекъснато правно наблюдение и анализ, чрез която следи измененията в законодателството, практиката на надзорните органи и съдебната практика, като всяка съществена промяна се оценява от гледна точка на нейното въздействие върху вътрешните процеси и води до своевременна актуализация на настоящата Политика.
ЧАСТ III
КАТЕГОРИИ ЛИЧНИ ДАННИ, ЦЕЛИ НА ОБРАБОТВАНЕТО, СПЕЦИАЛНИ РЕЖИМИ, ПРИНЦИП НА МИНИМИЗАЦИЯ, ЖИЗНЕН ЦИКЪЛ НА ДАННИТЕ И СРОКОВЕ ЗА СЪХРАНЕНИЕ
Чл. 61.
Настоящата част урежда в изчерпателен, систематизиран, функционално обвързан и максимално детайлен вид категориите лични данни, които дружеството има право да обработва в рамките на своята дейност, целите, за които тези данни се събират и използват, специалните режими на защита при повишен риск, принципите на минимизация и пропорционалност, както и пълния жизнен цикъл на личните данни от момента на тяхното първоначално събиране до окончателното им заличаване или необратимо унищожаване.
Чл. 62.
Дружеството изгражда вътрешна класификационна система на личните данни, която има за цел да осигури ясно, недвусмислено и устойчиво разграничение между различните категории информация, различните нива на чувствителност и различните режими на защита, като тази система служи като основа за всички вътрешни процедури, регистри, инструкции, контролни механизми и управленски решения, свързани с обработването на лични данни.
Чл. 63.
Класификационната система се изгражда на принципа на функционалната необходимост и оценката на риска, при който всяка категория данни се определя не само според нейното съдържание, но и според ролята ѝ в конкретния процес, степента на въздействие върху правата и свободите на физическите лица и потенциалните последици при неправомерно обработване, загуба, изтичане или неоторизиран достъп.
Чл. 64.
Като основни категории лични данни дружеството определя, без това изброяване да има изчерпателен характер, данни за идентификация и контакт, данни за договорни и организационни параметри, финансови и счетоводни данни, комуникационни данни, визуални и аудиовизуални данни, данни за достъп и сигурност, данни за организационни предпочитания и изисквания, както и всякакви други данни, които по своето естество позволяват пряка или непряка идентификация на физическо лице.
Чл. 65.
За всяка отделна категория лични данни се определят конкретни, предварително документирани и управленски утвърдени правила относно допустимите източници на събиране, допустимите форми на предоставяне, допустимите операции по обработване, кръга от лица с достъп, нивото на защита, формата и мястото на съхранение, както и максимално допустимите срокове за съхранение.
Чл. 66.
Дружеството приема, че всяка категория лични данни поражда различен профил на риск, поради което прилага диференцирани мерки за защита, като най-високо ниво на организационна, техническа и контролна защита се прилага при данни, които могат да доведат до значителни вреди за личния живот, достойнството, сигурността, репутацията или икономическите интереси на физическите лица.
Чл. 67.
Данните за идентификация и контакт включват имена, телефонни номера, пощенски и електронни адреси и други аналогични сведения, като тези данни се обработват единствено доколкото са обективно необходими за установяване на контакт, идентификация на възложителя, коректно изпълнение на услугите и защита на дружеството при възникване на спорове или претенции.
Чл. 68.
Данните за договорни и организационни параметри включват информация за дата, час, локация, вид услуга, пакет, специални изисквания, брой участници и други подобни елементи, като тези данни се обработват като основна оперативна информация, без която изпълнението на конкретния ангажимент би било невъзможно или съществено затруднено.
Чл. 69.
Финансовите и счетоводните данни включват суми, плащания, аванси, данни за фактури, разписки и други счетоводни документи, като тези данни се обработват при строг режим на законова необходимост, отчетност и ограничен достъп, съобразно изискванията на данъчното и счетоводното законодателство.
Чл. 70.
Комуникационните данни включват съдържанието на електронна кореспонденция, съобщения и разговори, като дружеството прилага принципа на ограничено съхранение и използва тези данни единствено доколкото са необходими за доказване на договорености, защита при спорове, управление на риска и изпълнение на конкретни услуги.
Чл. 71.
Визуалните и аудиовизуалните данни, включително снимки, видеозаписи и звукозаписи, се третират като данни с повишен риск и се обработват само при наличие на ясно, валидно и документирано правно основание, прилагане на засилени защитни мерки и строго ограничен достъп.
Чл. 72.
Данните за достъп и сигурност, включително списъци за достъп, идентификатори, кодове и логове, се обработват при строг режим на контрол, кратки срокове за съхранение и ограничен достъп, с цел защита на обекти, процеси и информация.
Чл. 73.
Дружеството не събира и не обработва специални категории лични данни по смисъла на чл. 9 от Регламент (ЕС) 2016/679, освен доколкото това възниква косвено и неизбежно в контекста на траурни, възпоменателни или религиозни услуги, при което се прилагат специални, засилени и ограничителни режими на защита.
Чл. 74.
Целите на обработването на лични данни се определят предварително, ясно, конкретно и недвусмислено, като за всяка категория данни се определят допустими цели, извън които всяко обработване се счита за забранено и подлежащо на санкция.
Чл. 75.
Основните цели на обработването включват управление на запитвания и резервации, изпълнение на договорни ангажименти, логистика и координация, счетоводна отчетност, защита при спорове и управление на сигурността, както и ограничен маркетинг само при наличие на валидно съгласие.
Чл. 76.
За всяка цел се определя конкретен обхват на допустимите данни, като всяко обработване извън този обхват се счита за нарушение, независимо от това дали е довело до реална вреда.
Чл. 77.
Дружеството прилага принципа на строга целева обвързаност, при който данните, събрани за една цел, не могат да бъдат използвани за други, несъвместими цели, без ново правно основание и нова оценка на риска.
Чл. 78.
Всяка промяна в целите на обработването води до задължителна преоценка на правното основание, на рисковете за правата и свободите на физическите лица и на необходимостта от въвеждане на допълнителни защитни мерки.
Чл. 79.
Дружеството прилага принципа на минимизация на данните, при който се събират, обработват и съхраняват само онези лични данни, които са обективно необходими за постигане на конкретната, законно определена цел.
Чл. 80.
Минимизацията се прилага не само на етапа на събиране, но и на всички последващи етапи от жизнения цикъл на данните, включително съхранение, достъп, използване, разкриване и архивиране.
Чл. 81.
Всеки служител или ангажирано лице носи лична отговорност активно да ограничава обема на обработваните данни до необходимия минимум и да сигнализира при установяване на излишно или неоправдано обработване.
Чл. 82.
Дружеството въвежда специални режими при обработване на лични данни в контекста на траурни услуги, включващи повишена дискретност, ограничен достъп, забрана за публичност и кратки срокове за съхранение.
Чл. 83.
При траурни услуги се обработват само данни на възложителя, контактното лице и минимално необходимите организационни данни, като данните за покойното лице се обработват само доколкото това е абсолютно необходимо за изпълнение на услугата.
Чл. 84.
Всяка форма на използване на данни, свързани с траурни услуги, за маркетинг, портфолио или публичност е изрично забранена.
Чл. 85.
При услуги с публични личности или повишен обществен интерес се прилага специален VIP режим, при който достъпът до лични данни се ограничава до минимален кръг лица и се основава на принципа „необходимост да се знае“.
Чл. 86.
Всички визуални и комуникационни материали при VIP режим се третират като забранени, освен при изрично, предварително и писмено разрешение.
Чл. 87.
При участие на деца и непълнолетни лица се прилага засилен режим на защита, включващ минимизация, повишен контрол и специални изисквания за правно основание и съгласие.
Чл. 88.
Дружеството изгражда модел на жизнен цикъл на личните данни, който включва етапите на събиране, въвеждане, съхранение, използване, архивиране и окончателно унищожаване.
Чл. 89.
За всеки етап от жизнения цикъл се определят конкретни правила, отговорности и контролни механизми, които гарантират проследимост и отчетност.
Чл. 90.
Сроковете за съхранение се определят на принципа на законова необходимост, пропорционалност и минимален риск.
Чл. 91.
След отпадане на целта или изтичане на приложимия срок личните данни подлежат на незабавно заличаване или необратимо унищожаване.
Чл. 92.
Архивиране се допуска само когато е необходимо за доказване на права, защита при спорове или изпълнение на законови задължения.
Чл. 93.
Безсрочно съхранение на лични данни без конкретно правно основание е изрично забранено.
Чл. 94.
Всеки процес на заличаване или унищожаване се документира по начин, който позволява последваща проверка и доказуемост.
Чл. 95.
Дружеството приема, че управлението на жизнения цикъл на личните данни представлява сърцевината на ефективната защита.
Чл. 96.
Липсата на ясно определени срокове за съхранение се счита за системен риск.
Чл. 97.
Всяко отклонение от определените срокове подлежи на управленска оценка и санкция.
Чл. 98.
Настоящата част има за цел да изгради такава система, при която личните данни съществуват в организацията само доколкото са необходими и само за периода, в който са необходими.
Чл. 99.
Дружеството приема, че контролът върху обема и времетраенето на обработването е най-силната и най-ефективна форма на защита на личните данни.
У Т В Ъ Р Ж Д А В А М
Настоящият документ като официален вътрешен акт на Айра и Катлея Груп ЕООД, приет, утвърден и въведен в действие в рамките на правомощията ми като Управител и законен представител на дружеството.
Настоящият документ представлява задължителен вътрешен нормативен документ за всички лица, които по какъвто и да е начин участват в дейността на дружеството или имат достъп до неговите ресурси, документи, системи и канали за комуникация.
Всички разпоредби на настоящия документ подлежат на стриктно, добросъвестно и безусловно прилагане, като всяко отклонение, заобикаляне, неизпълнение или тълкуване в противоречие с тях се счита за нарушение и поражда дисциплинарна, имуществена, договорна и/или друга отговорност съгласно приложимото законодателство и вътрешните актове на дружеството.
Настоящият документ се счита за заключен, официален и референтен вътрешен стандарт, върху който се изграждат всички последващи вътрешни правила, процедури, политики, образци и методологии, освен ако с изрична писмена заповед на Управителя не бъде изменен или отменен.
Забранява се всяко копиране, възпроизвеждане, разпространение, публикуване, адаптиране, изменяне или използване – изцяло или частично – на настоящия документ извън рамките на дейността на дружеството и без предварително писмено разрешение на Управителя.
Настоящият документ подлежи на защита като интелектуална собственост на Айра и Катлея Груп ЕООД. Нарушенията подлежат на гражданска, административна и наказателна отговорност съгласно действащото национално и приложимо международно право.
относно формите за контакт и онлайн запитвания
на
„Айра и Катлея Груп“ ЕООД
ЕИК: 208551370
Седалище и адрес на управление:
гр. Пловдив 4006, р-н Източен, ул. „Преспа“ № 4, ет. 15, ап. 112
Управител: Огнян Петров Димитров
Настоящото допълнение като официален вътрешен акт на „Айра и Катлея Груп“ ЕООД, приет, утвърден и въведен в действие в рамките на правомощията ми като Управител и законен представител на дружеството.
Настоящият документ представлява неразделна част от Политиката за защита на личните данни и се прилага спрямо всички електронни форми, използвани в рамките на интернет страниците и дигиталните канали на дружеството.
Настоящият документ урежда обработването на лични данни, предоставяни доброволно от потребителите чрез:
форма за контакт
форма за запитване
форма за оферта
имейл кореспонденция
други електронни канали
Чрез формите могат да се събират:
Име
Имейл адрес
Телефонен номер
Съдържание на съобщението
IP адрес
Дата и час на изпращане
Обработването се извършва на основание:
Чл. 6, пар. 1, б. „b“ от GDPR – предприемане на стъпки по искане на субекта преди сключване на договор
Чл. 6, пар. 1, б. „f“ – легитимен интерес на администратора да отговори на отправено запитване
Предоставянето на данните е изцяло доброволно.
При използване на форма без изрично маркиране на отметка, се счита, че:
С натискането на бутона „Изпрати“, потребителят декларира, че доброволно предоставя личните си данни с цел получаване на отговор, запитване или оферта и е запознат с Политиката за защита на личните данни на дружеството.
Този текст следва да бъде публикуван под формата.
Данните се съхраняват:
До приключване на комуникацията
До сключване на договор (ако има такъв)
Максимум 12 месеца при липса на договорни отношения
Достъп до данните имат само:
Управителят
Оторизирани лица при необходимост
Прилагат се технически и организационни мерки за защита.
Потребителят има право на:
достъп
коригиране
изтриване
ограничаване
възражение
Искания могат да бъдат отправени на официалния адрес на дружеството.
Настоящото допълнение влиза в сила от датата на публикуване и представлява част от цялостната система за защита на личните данни на „Айра и Катлея Груп“ ЕООД.