Wprowadzenie

Brooks Espressomachines musi gromadzić i wykorzystywać pewne informacje o osobach fizycznych.

Mogą to być klienci, dostawcy, kontakty biznesowe, pracownicy i inne osoby, z którymi organizacja ma relacje lub z którymi może się kontaktować.

Polityka opisuje, w jaki sposób te dane osobowe muszą być gromadzone, przetwarzane i przechowywane w celu spełnienia standardów ochrony danych firmy - oraz w celu zachowania zgodności z prawem.

Dlaczego ta polityka istnieje

Niniejsza polityka ochrony danych zapewnia Brooks Espressomachines:

• Zgodność z przepisami o ochronie danych i przestrzeganie dobrych praktyk;

• Chroni prawa pracowników, klientów i partnerów;

• Otwarcie mówi o tym, w jaki sposób przechowuje i przetwarza dane osób fizycznych;

• Chroni się przed ryzykiem naruszenia danych;

Prawo ochrony danych

Ogólne rozporządzenie o ochronie danych opisuje, w jaki sposób organizacje - w tym Brooks Espressomachines - muszą gromadzić, przetwarzać i przechowywać dane osobowe.

Zasady te mają zastosowanie niezależnie od tego, czy dane są przechowywane elektronicznie, na papierze czy na innych materiałach.

Aby zachować zgodność z prawem, dane osobowe muszą być gromadzone i wykorzystywane w sposób uczciwy, przechowywane bezpiecznie i nie mogą być ujawniane niezgodnie z prawem.

Ogólne rozporządzenie o ochronie danych opiera się na ośmiu ważnych zasadach. Stanowią one, że dane osobowe muszą

1. Być przetwarzane rzetelnie i zgodnie z prawem;

2. Mogą być uzyskiwane wyłącznie w określonych, zgodnych z prawem celach;

3. Bądź adekwatny, odpowiedni i nie przesadzaj;

4. Być dokładne i aktualne;

5. Nie mogą być przetrzymywane dłużej niż to konieczne;

6. Przetwarzane zgodnie z prawami osób, których dane dotyczą;

7. Być chronionym w odpowiedni sposób;

8. Nie mogą być przekazywane poza Europejski Obszar Gospodarczy (EOG), chyba że dany kraj lub terytorium również zapewnia odpowiedni poziom ochrony;

Ludzie, ryzyko i obowiązki

Zakres polityki

Niniejsza polityka ma zastosowanie do:

• Siedziba Brooks Espressomachines;

• Wszystkie oddziały Brooks Espressomachines;

• Wszyscy pracownicy i wolontariusze Brooks Espressomachines;

• Wszyscy wykonawcy, dostawcy i inne osoby pracujące w imieniu Brooks Espressomachines;

Ma ona zastosowanie do wszystkich danych przechowywanych przez firmę i odnoszących się do możliwych do zidentyfikowania osób, nawet jeśli informacje te technicznie nie są objęte ustawą o ochronie danych z 1998 roku. Może to obejmować:

• Imiona i nazwiska osób;

• Adresy pocztowe;

• Adresy e-mail;

• Numery telefonów;

• Wszelkie inne informacje dotyczące osób fizycznych;

Ryzyko związane z ochroną danych

Niniejsza polityka pomaga chronić Brooks Espressomachines przed niektórymi bardzo realnymi zagrożeniami bezpieczeństwa danych, w tym:

• Naruszenia poufności. Na przykład niewłaściwe przekazywanie informacji;

• Brak możliwości wyboru. Na przykład wszystkie osoby fizyczne powinny mieć swobodę wyboru sposobu, w jaki firma wykorzystuje dotyczące ich dane.

• Szkody dla reputacji. Przykładowo, firma mogłaby ucierpieć, gdyby hakerzy uzyskali dostęp do poufnych danych.

Obowiązki

Każdy, kto pracuje dla Brooks Espressomachines lub z Brooks Espressomachines, ponosi pewną odpowiedzialność za zapewnienie, że dane są gromadzone, przechowywane i przetwarzane w odpowiedni sposób.

Każdy zespół obsługujący dane osobowe musi zapewnić, że są one obsługiwane i przetwarzane zgodnie z niniejszą polityką i zasadami ochrony danych.

Osoby te są jednak ostatecznie odpowiedzialne za zapewnienie, że Brooks Espressomachines spełnia swoje zobowiązania prawne.

Biuro Ochrony Danych, (wstawić nazwisko inspektora ochrony danych), jest odpowiedzialne za:

• Informowanie zarządu na bieżąco o obowiązkach, zagrożeniach i kwestiach związanych z ochroną danych.

• Przegląd wszystkich procedur ochrony danych i powiązanych polityk, zgodnie z ustalonym harmonogramem.

• Organizowanie szkoleń i doradztwa w zakresie ochrony danych dla osób objętych niniejszą polityką.

• Obsługa pytań dotyczących ochrony danych od pracowników i innych osób objętych niniejszą polityką.

• Rozpatrywanie wniosków osób fizycznych o wgląd do danych, które Brooks Espressomachines posiada na ich temat (zwanych również "wnioskami o dostęp do danych").

• Sprawdzanie i zatwierdzanie wszelkich umów lub porozumień ze stronami trzecimi, które mogą obsługiwać wrażliwe dane firmy.

Brooks Espressomachines jest odpowiedzialny za:

• Zapewnienie, że wszystkie systemy, usługi i urządzenia używane do przechowywania danych spełniają akceptowalne standardy bezpieczeństwa.

• Przeprowadzanie regularnych kontroli i skanowania w celu zapewnienia prawidłowego działania sprzętu i oprogramowania zabezpieczającego.

• Ocena wszelkich usług stron trzecich, które firma rozważa wykorzystać do przechowywania lub przetwarzania danych. Na przykład usługi przetwarzania w chmurze.

• Zatwierdzanie wszelkich oświadczeń o ochronie danych dołączonych do wiadomości, takich jak e-maile i listy.

• Odpowiadanie na wszelkie zapytania dotyczące ochrony danych ze strony dziennikarzy lub mediów, takich jak gazety.

• W razie potrzeby współpraca z innymi pracownikami w celu zapewnienia zgodności inicjatyw marketingowych z zasadami ochrony danych.

Ogólne wytyczne dla personelu

Jedynymi osobami mogącymi uzyskać dostęp do danych objętych niniejszą polityką powinny być osoby, które potrzebują ich do pracy.

Dane nie powinny być udostępniane nieformalnie. Gdy wymagany jest dostęp do informacji poufnych, pracownicy mogą zwrócić się o niego do swoich bezpośrednich przełożonych.

Brooks Espressomachines zapewni szkolenie wszystkim pracownikom, aby pomóc im zrozumieć ich obowiązki związane z przetwarzaniem danych.

Pracownicy powinni dbać o bezpieczeństwo wszystkich danych, stosując rozsądne środki ostrożności i przestrzegając poniższych wytycznych.

W szczególności należy używać silnych haseł i nigdy nie należy ich udostępniać.

Dane osobowe nie powinny być ujawniane nieupoważnionym osobom, ani wewnątrz firmy, ani na zewnątrz.

Dane powinny być regularnie przeglądane i aktualizowane, jeśli okażą się nieaktualne. Jeśli nie są już potrzebne, należy je usunąć i zutylizować.

Pracownicy powinni zwrócić się o pomoc do swojego bezpośredniego przełożonego lub inspektora ochrony danych, jeśli nie są pewni jakiegokolwiek aspektu ochrony danych.

Przechowywanie danych

Zasady te opisują, w jaki sposób i gdzie dane powinny być bezpiecznie przechowywane. Pytania dotyczące bezpiecznego przechowywania danych można kierować do firmy hostingowej lub administratora danych.

Jeśli dane są przechowywane na papierze, powinny być przechowywane w bezpiecznym miejscu, w którym osoby nieupoważnione nie mogą ich zobaczyć.

Wytyczne te mają również zastosowanie do danych, które są zwykle przechowywane elektronicznie, ale z jakiegoś powodu zostały wydrukowane:

• Gdy nie jest to wymagane, papierowe akta powinny być przechowywane w zamkniętej szufladzie lub szafce na dokumenty.

• Pracownicy powinni upewnić się, że papier i wydruki nie są pozostawione w miejscach, w których nieupoważnione osoby mogłyby je zobaczyć, np. na drukarce.

• Wydruki danych powinny być niszczone i bezpiecznie usuwane, gdy nie są już potrzebne.

Gdy dane są przechowywane elektronicznie, muszą być chronione przed nieautoryzowanym dostępem, przypadkowym usunięciem i złośliwymi próbami włamań:

• Dane są chronione silnymi hasłami, które są regularnie zmieniane i nigdy nie są udostępniane między pracownikami.

• Dane są przechowywane na wyznaczonych dyskach i serwerach i powinny być przesyłane wyłącznie do zatwierdzonych usług przetwarzania w chmurze.

• Serwery zawierające dane osobowe są umieszczone w bezpiecznej lokalizacji, z dala od ogólnej przestrzeni biurowej.

• Kopie zapasowe danych są tworzone często. Kopie zapasowe są regularnie testowane zgodnie ze standardowymi procedurami tworzenia kopii zapasowych firmy.

• Dane nigdy nie są zapisywane bezpośrednio na laptopach lub innych urządzeniach mobilnych, takich jak tablety czy smartfony.

• Wszystkie serwery i komputery zawierające dane są chronione przez zatwierdzone oprogramowanie zabezpieczające i zaporę sieciową.

Wykorzystanie danych

Dane osobowe nie mają żadnej wartości dla Brooks Espressomachines, chyba że firma może je wykorzystać. Jednak to właśnie wtedy, gdy dane osobowe są dostępne i wykorzystywane, mogą być najbardziej narażone na utratę, uszkodzenie lub kradzież:

• Podczas pracy z danymi osobowymi pracownicy upewniają się, że ekrany ich komputerów są zawsze zablokowane, gdy pozostają bez nadzoru.

• Dane osobowe nie są udostępniane w sposób nieformalny. W szczególności nigdy nie należy ich przesyłać pocztą elektroniczną, ponieważ ta forma komunikacji nie jest bezpieczna.

• Dane są szyfrowane przed przesłaniem ich drogą elektroniczną. Menedżer IT może wyjaśnić, jak wysyłać dane do autoryzowanych kontaktów zewnętrznych.

• Dane osobowe nigdy nie są przekazywane poza Europejski Obszar Gospodarczy.

• Pracownicy nie zapisują kopii danych osobowych na własnych komputerach. Zawsze należy uzyskiwać dostęp do centralnej kopii danych i aktualizować ją.

Dokładność danych

Prawo wymaga od Brooks Espressomachines podjęcia uzasadnionych kroków w celu zapewnienia dokładności i aktualności danych.

Im ważniejsze jest, aby dane osobowe były dokładne, tym większy wysiłek Brooks Espressomachines wkłada w zapewnienie dokładności.

Obowiązkiem wszystkich pracowników, którzy pracują z danymi, jest podjęcie uzasadnionych kroków w celu zapewnienia, że są one tak dokładne i aktualne, jak to tylko możliwe.

• Dane są przechowywane w tak niewielu miejscach, jak to konieczne. Pracownicy nie będą tworzyć żadnych niepotrzebnych dodatkowych zestawów danych.

• Pracownicy będą korzystać z każdej okazji, aby zapewnić aktualizację danych. Na przykład potwierdzając dane klienta, gdy dzwoni.

• Brooks Espressomachines ułatwi osobom, których dane dotyczą, aktualizację informacji, które Brooks Espressomachines posiada na ich temat. Na przykład za pośrednictwem strony internetowej firmy.

• Dane są aktualizowane w miarę wykrywania nieścisłości. Na przykład, jeśli nie można już skontaktować się z klientem pod zapisanym numerem telefonu, należy go usunąć z bazy danych.

Wnioski o dostęp do danych

Wszystkie osoby, których dotyczą dane osobowe przechowywane przez Brooks Espressomachines, mają prawo do:

• Zapytaj, jakie informacje na ich temat posiada firma i dlaczego.

• Zapytaj, jak uzyskać do niego dostęp.

• Dowiedz się, jak ją aktualizować.

• Informacje o tym, w jaki sposób firma wywiązuje się ze swoich zobowiązań w zakresie ochrony danych.

Jeśli osoba fizyczna skontaktuje się z firmą z prośbą o te informacje, nazywa się to wnioskiem o dostęp podmiotowy.

Wnioski o dostęp do danych od osób fizycznych powinny być składane pocztą elektroniczną na adres administratora danych w dziale wsparcia [at] brooks-espressomachines.com. Administrator danych może dostarczyć standardowy formularz wniosku, chociaż osoby fizyczne nie muszą z niego korzystać.

Dostarczanie informacji

Brooks Espressomachines dąży do zapewnienia, że osoby fizyczne są świadome, że ich dane są przetwarzane i że je rozumieją:

• W jaki sposób dane są wykorzystywane