Prywatność i ochrona danych

MAR Control wspiera organizacje w dokumentowaniu procesów zgodności. W systemie mogą być przetwarzane zarówno dane użytkowników platformy, jak i dane osób objętych procesami prowadzonymi przez organizację korzystającą z usługi.

Ten dokument jest wzorcem dla środowiska testowego. Nie zastępuje informacji o przetwarzaniu przekazywanej przez konkretną instytucję osobom, których dane umieszcza ona w systemie.

• Instytucja korzystająca z platformy co do zasady samodzielnie określa cele i podstawy przetwarzania danych w swoich procesach zgodności, dlatego w tym zakresie jest administratorem danych.
• Operator platformy ma przetwarzać takie dane w imieniu instytucji, na podstawie umowy i jej udokumentowanych poleceń, jako podmiot przetwarzający.
• Operator może działać jako odrębny administrator w ograniczonym zakresie związanym z prowadzeniem kont, bezpieczeństwem usługi, rozliczalnością i obsługą zgłoszeń.

Role wynikają z rzeczywistych decyzji i działań, a nie z samej nazwy w dokumencie. Powyższy model wymaga potwierdzenia w umowach, analizie ról oraz finalnej informacji o przetwarzaniu przed wdrożeniem.

• dane konta i profilu — w celu uwierzytelniania, nadawania dostępu i obsługi użytkownika;
• dane procesów zgodności — w celu realizacji i udokumentowania obowiązków organizacji korzystającej z platformy;
• historia czynności i dane techniczne — w celu zapewnienia rozliczalności, bezpieczeństwa i diagnozowania problemów;
• treść korespondencji ze wsparciem — w celu przyjęcia i rozwiązania zgłoszenia.

Finalna informacja musi wskazywać konkretne cele i podstawy prawne dla każdej operacji. W zależności od relacji mogą nimi być między innymi obowiązek prawny, wykonanie umowy lub prawnie uzasadniony interes — po ich uprzedniej weryfikacji dla danego wdrożenia.

Dostęp do danych powinien być ograniczony do upoważnionych osób po stronie instytucji i operatora oraz zweryfikowanych dostawców infrastruktury działających na podstawie odpowiednich umów. Produkcyjna wersja tej informacji musi wymieniać kategorie odbiorców, listę podmiotów przetwarzających oraz mechanizmy dotyczące ewentualnych transferów poza Europejski Obszar Gospodarczy.

Dane należy przechowywać przez okres wynikający z celu procesu, obowiązków prawnych, uzgodnień z klientem i potrzeby obrony roszczeń, a następnie usuwać albo anonimizować. Konkretne okresy retencji nie są jeszcze zatwierdzone dla tego środowiska testowego i muszą zostać wpisane do finalnej polityki retencji.

W zależności od podstawy i okoliczności przetwarzania osobie mogą przysługiwać prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych i sprzeciwu. Żądanie dotyczące danych w procesie zgodności należy co do zasady kierować do instytucji, która ten proces prowadzi. Dane kontaktowe operatora i kontakt do IOD, jeżeli został wyznaczony, są podane w panelu obok oraz na stronie Kontakt i IOD.

Osoba ma również prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o składaniu skarg są dostępne na oficjalnej stronie uodo.gov.pl.

Finalna informacja musi wyjaśniać, które dane są wymagane prawem lub umową oraz jakie są skutki ich niepodania. W aktualnym zakresie MAR Control nie podejmuje wobec osób automatycznych decyzji wywołujących skutki prawne. Oceny i decyzje zgodności pozostają po stronie upoważnionych osób.