Поверителност

ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

Последна актуализация: 03.09.2020г

Настоящата Политика за защита на личните данни обхваща:

1. Основните принципи, ръководещи обработката на лични данни в групата на GEFCO
2. Каква информация се събира от групата на GEFCO и целта на събиране, в зависимост от типа на субектите на данни, засегнати от обработката на лични данни
3. Начинът, по който групата на GEFCO използва тази информация
4. Начинът, по който групата на GEFCO защитава тази информация
5. Начинът, по който групата на GEFCO гарантира сигурността при прехвърляне на лични данни
6. Как субектите на лични данни могат да упражняват своите права съгласно приложимите закони за защита на данните

Тази Политика е създадена в съответствие с приложимото национално и европейско законодателство за защита на личните данни. В случай на противоречие между тази Политика и приложим национален и/или регионален закон, задължителните разпоредби на съответния закон ще имат предимство пред настоящата Политика.

1. Дефиниции

1.1. „Филиали“ означава фирми, контролирани от или под общия контрол на GEFCO SA.

1.2. Приложим(и) закон(и) за защита на данните“ означава съответните местни закони и разпоредби за защита на личните данни, за сигурност на данните, за запазване на данните и за неприкосновеност на данните, на които се подчиняват личните данни, включително ОРЗД.

1.3. Администратор“ означава физическо или юридическо лице, обществен орган, агенция или друг орган, който самостоятелно или съвместно с други, определя  целите и начините за обработка на лични данни.

1.4. Общ регламент относно защитата на данните“ или „ОРЗД“ означава Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива  95/46/EО.

1.5. Групата на GEFCO“включва GEFCO SA и/или всички негови Филиали, които обработват лични данни като Администратори или в зависимост от случая, като Обработващи лични данни.

1.6. “GEFCO SA” означава GEFCO SA, юридическо лице, регистрирано съгласно законодателството на Франция, на адрес 77/81 rue des Lilas d’Espagne, 92400 Корбевоа, Франция, с регистрационен номер RCS Nanterre B 542 050 315.

1.7.  “GEFCO” означава ЖЕФКО България ЕООД, ЕИК 201820473 - юридическо лице, регистрирано надлежно съгласно законите на Република България, част от корпоративната група на GEFCO.

1.8. Лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице /”Субект на данни“/, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. 

1.9. „Обработват“, „Обработва“, „Обработване“ и „Обработен“ означава всяка една операция или набор от операции, извършени с личните данни или набор от лични данни, независимо дали с автоматизирани средства или не, като събиране, записване, организация, структуриране, съхранение, адаптиране или изменяне, възстановяване, консултация, употреба, разкриване чрез предаване, разпространение или друго осигуряване, позициониране или комбиниране, ограничаване, изтриване или унищожаване.

1.10. „Обработващо лице“ означава физическо или юридическо лице, което обработва лични данни от името на Администратора съгласно конкретни писмени инструкции.

1.11. Чувствителни лични данни“означава лични данни, които в по-голяма степен биха могли да засегнат основните права и свободи на лицата, поради което подлежат на по-висока защита. Такива са лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в политически партии или организации, сдружения с религиозни, философски, политически или синдикални цели, генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние, данни за сексуалния живот или сексуалната ориентация на физическото лице, данни за човешкия геном.

1.12. Трета страна(и)“ означава оторизираните одитори, счетоводители, изпълнители, агенти, търговци и трети страни – доставчици на услуги на GEFCO SA и неговите филиали, които получават и обработват лични данни.

2. Основни принципи

Политиката за защита на личните данни на GEFCO е основното средство на ръководството на дружеството за осигуряване на законосъобразното обработване и защитата на личните данни, касаещи както служители на компанията, така и клиенти, доставчици и трети страни. Политиката се ползва с най-висок приоритет в дейностите на дружеството, като гарантира съответствието им с Регламент 2016/679 на Европейския Парламент и на Съвета относно защитата на данните и с релевантното българско законодателство. Обхватът на политиката включва всички процеси в дружество свързани директно или индиректно с обработване и достъп до лични данни.

2.1  Съответствие със законите за защита на данните

При боравене с лични данни в качеството си на Администратор, GEFCO, групата на GEFCO и служителите на групата на GEFCO се ангажират, че личните данни:

• ще се обработват от групата на GEFCO законосъобразно, справедливо и прозрачно, по отношение на субекта на данните („законосъобразност, справедливост и прозрачност“);
• ще се събират за конкретни, ясно формулирани и легитимни цели и няма да се обработват допълнително по начин, несъвместим с тези цели („ограничение на целите“);
• са адекватни, релевантни и ограничени до необходимото във връзка с целите, за които се обработват („минимизиране на данните“).
• са точни и когато е необходимо, се актуализират; трябва да се предприема всяка разумна стъпка, за да се гарантира, че личните данни, които са неточни по отношение на целите, за които се обработват, биват заличавани или поправяни без забавяне („точност“);
• са обработени по начин, който гарантира сигурността на личните данни, включително защита от неоторизирано или незаконно обработване и срещу случайна загуба, унищожение или увреждане, използвайки подходящи технически или организационни мерки („цялостност и поверителност“);
• се поддържат във форма, която позволява идентифицирането на субектите на данни за не по-дълъг срок от необходимия за целите, за които се обработват личните данни; личните данни може да се съхраняват за по-дълги периоди, до степента, до която те се обработват единствено за целите на архивиране, в съответствие с приложимите разпоредби („ограничаване на съхраняването“).
• Компанията носи отговорност и е в състояние да докаже спазването на горните принципи /„отчетност“/.

2.2. Законосъобразност

GEFCO и групата на GEFCO ще обработва лични данни единствено в съответствие с приложимите закони за защита на данните и по-конкретно при обстоятелства, при които:

1. Обработката е необходима за изпълнението на договор, по който субектът на данните е страна, или за да се предприемат мерки по искане на субекта на данните преди сключването на договор (като обработка на личните данни на клиенти и доставчици на Групата на GEFCO, необходими за управление на техните договорни отношения);
2. субектът на данни е дал съгласие за обработването на неговите лични данни за една или повече конкретни цели (като обработка на геолокационни данни за камиони и шофьори за проследяване на доставката на стоки в контекста на дейността на Групата на GEFCO);
3. обработката е необходима за съответствие със законно задължение на Администратора (като счетоводно отчитане, обработка на ведомостите за заплати на персонала; водене на сметки за данъчни цели или предоставяне на информация на публични органи, правоприлагащи служби или легитимни и оторизирани трети страни като адвокатите или професионалните счетоводители на Групата на GEFCO, в съответствие с приложимите закони);
4. Обработката е необходима за целите на законните интереси на Групата на GEFCO или на трета страна (като например обработка на личните данни на съответните служители от отдел „Човешки ресурси“, назначенията, прилагането на физически и логически процедури по здраве и безопасност).

2.3. Прозрачност

GEFCO и Групата на GEFCO обработва лични данни справедливо и законосъобразно, в съответствие с приложимите закон(и) за защита на данните. За тази цел, групата на GEFCO информира субектите на данните за целите, за които ще обработва техните лични данни и осигурява цялата информация, която трябва да предостави съгласно приложимите закон(и) за защита на данните, за да се гарантира, че субектите на данните са наясно как техните лични данни ще бъдат обработвани от групата на GEFCO. 

Неизчерпателни примери за обработка на лични данни, която може да бъде извършена от GEFCO и Групата на GEFCO, са посочени накратко по-долу.

2.3.1 ​​​​​. Обработване, извършвано от GEFCO и Групата на GEFCO като Администратор

GEFCO може да обработва следните категории лични данни, които може да варират в зависимост от профила на субекта на данните.

Клиенти и потенциални клиенти: С цел управление на договорните взаимоотношения на групата на GEFCO с неговите клиенти и потенциални клиенти и предоставянето на информация за неговите услуги, GEFCO обикновено обработва тяхната лична информация за контакт (име, електронна поща, телефонен номер, звание, адрес), финансова информация (информация за плащане, данни за управление на отношенията с клиентите, информация, свързана с процеса на плащане на фактурите и проследяване). 

Доставчици и подизпълнители: С цел управляване на договорните отношения на групата на GEFCO с неговите доставчици и подизпълнители, групата на GEFCO обикновено обработва тяхната лична информация за контакт (като име, електронна поща, телефонен номер, звание, адрес), финансова информация (информация за плащане, информация, свързана с процеса на плащане на фактурите и проследяване); информация за местоположението на шофьорите с цел проследяване на стоките, поверени на групата на GEFCO в контекста на неговите дейности чрез определени приложения или услуги, като GEFCO Drive и/или GEFC@NNECT.

Служители: С цел управление на назначенията и човешките ресурси в рамките на групата на GEFCO, последното обикновено обработва лична информация за контакт на кандидатите и служителите (като име, личен идентификационен номер, данни от документ за самоличност, електронна поща, телефонен номер, звание, адрес), административни данни на служителите (информация, свързана с тяхната кариера, оценка, обучение, разпределяне на IT ресурсите, коли), данни, свързани с организацията на работата на служителите (като информация за задачите на служителите, организация на бизнес пътувания);

Посетители: В контекста на контрола на достъпа до помещенията на групата на GEFCO, последният може да обработва лична информация за контакт (като име, електронна поща, телефон, име на фирмата) и изображения (заснети от системи за видеозащита и видеонаблюдение).

2.3.2 ​​​​​​​Обработка, извършвана от GEFCO и групата на GEFCO като Обработващ лични данни

В определени случаи групата на GEFCO може да обработва лични данни от името на клиентите. В този случай групата на GEFCO ще действа само в съответствие с ясните и подробни инструкции на клиента, които ще бъдат в писмена форма. Ако това не е възможно (например поради конфликт с настоящото или бъдещото законодателство), групата на GEFCO има ангажимент незабавно да информира клиента за своята невъзможност да спази неговите инструкции. При прекратяване на такова обработване, групата на GEFCO ще върне, унищожи или ще продължи да защитава всички лични данни, получени от този клиент. 

Освен ако изрично не бъде предвидено друго в споразумението, сключено между групата на GEFCO (като Обработващ данни) и съответния клиент (като Администратор на данни), групата на GEFCO има право да: (i) използва всички технически средства, които счете за уместни за предоставяне на услугите и за обработване на лични данни (като избор на подходящи софтуерни решения), в съответствие с възприетите политиките за сигурност; (ii) да ангажира обработващи лица като подизпълнители за предоставяне на части от услугите, достъп и употреба на данни за клиентите, включително извън Европейския съюз, при условие, че тези подизпълнители са обвързани с писмени споразумения, изискващи от тях да предоставят поне нивото на защита на личните данни, изискуемо от тази Политика за неприкосновеност на данните и всеки съответен механизъм съгласно раздел 2.8 (Прехвърляне на лични данни).

Когато групата на GEFCO действа като Обработващ данни, то ще сътрудничи с клиента, за да постигне съответствие с приложимите закон(и) за защита на данните, например (i) като информира клиента за дейностите по обработка, извършвани от групата на GEFCO, така че той от своя страна да информира субектите на данни за това; (ii) по искане на клиентите, като вземе разумни мерки за актуализация, корекция, анонимизация или заличаване на личните данни (съгласно определени ограничени изключения); и (iii) като изпраща на клиента всички искания, които получи от физически лица за достъп до техните лични данни, обработвани от групата на GEFCO, така че клиентът да може да отговори на тези искания.

Когато действа като Обработващ лични данни, групата на GEFCO във всички случаи ще третира тези лични данни в съответствие със своите политики и процедури за сигурност и ще прехвърля личните данни само когато клиентът се съгласи на такова прехвърляне (което може да направи предварително съгласно условията на споразумението, подписано с групата на GEFCO) и ще информира клиента, ако има настъпило нарушение на сигурността по отношение на личните данни, така че клиентът да може да уведоми субектите на данните своевременно, ако и когато е необходимо.

2.4. ​​​​​​​Ограничение на целите

Групата на GEFCO ще обработва лични данни единствено за целите (i) изложени в уведомление, изпратено до съответните субекти на данни, (ii) съгласно закона, (iii) на базата на сключен договор или (iv) със съгласието на съответните лица. Уведомление може да се даде, чрез тази Политика, уебсайта на Групата на GEFCO, договорни споразумения, билбордове, официални съобщения, брошура и др.

2.5. ​​​​​​​Достъп, коригиране, заличаване и възразяване

Субектите на данни трябва да имат достъп до техните лични данни, обработвани и/или съхранявани от GEFCO и групата на GEFCO, когато тези искания са основателни и допустими от приложимия закон за защита на данните. Групата на GEFCO се съгласява да коригира, изменя или заличава личните данни на субекта при поискване, когато те са неточни или когато са използвани в противоречие с настоящата Политика.

Субектите на данни може да възразят на обработката на техните лични данни за законосъобразни цели, до степента, изискуема или позволена от приложимите закони за защита на данните.

За да упражнят своите права, субектите на данни може да се свържат с групата на GEFCO съгласно Раздел 3 от тази Политика за защита на личните данни.

2.6. ​​​​​​​Качество и пропорционалност на данните

Личните данни трябва да бъдат точни и когато е необходимо, да се актуализират. Личните данни, съхранявани от групата на GEFCO, трябва да бъдат адекватни, релевантни и да не бъдат прекомерни и трябва да се пазят само толкова, колкото е необходимо за целите на съответната обработка, всичко в съответствие с политиките на групата на GEFCO за съхранение и изтриване и разпоредбите на приложимите закон(и) за защита на данните относно задълженията за съхранение на данните.

2.7. ​​​​​​​​​​​​​​ Сигурност и конфиденциалност

Групата на GEFCO взема отговорни предпазни мерки за гарантиране на сигурността на личните данни срещу  случайно или незаконно унищожаване или загуба, изменение, неоторизирано разкриване или достъп. Тези предпазни мерки включват технически, физически и организационни мерки за сигурност, мерки за предотвратяване на неоторизиран достъп, както и правила за реагиране в случай на инциденти. Приложимите мерки се пазят конфиденциални, но надлежно се документират в политиките за управление на риска и IT, приети от групата на GEFCO.

2.8. ​​​​​​​Прехвърляне на лични данни

GEFCO е част от мултинационална корпоративна група и споделя данни в рамките на групата, с цел управление на проекти, отчетност, обслужване на клиенти, представени в повече от една държава. Групата на GEFCO прилага еднакво ниво на защита на личните данни във всички държави, в които е представена, в това число общи политики, процедури и техническо-организационни мерки при обработване и съхранение на лични данни.

Извън рамките на групата, GEFCO предоставя данни на свои подизпълнители, обработващи лични данни, за целите на счетоводна отчетност, изпълнение на данъчни и трудово-осигурителни задължения, на базата на сключени договори за възлагане на обработване и при гарантиране на същото ниво на защита на личните данни.

В случай, че за изпълнение на законово или договорно задължение се налага трансфер на данни към трети страни, GEFCO следва да информира субектите за предстоящия трансфер, както и да осигури спазване на определеното в приложимите закон(и) за защита на данните. Ако обработката включва прехвърляне на лични данни в страна извън Европейския съюз и това не се покрива от някое от изключенията, предвидени в приложимите закони за защита на данните GEFCO се ангажира да обезпечи прехвърлянето чрез някой от следните механизми:

• Стандартни договорни клаузи, одобрени от Европейската комисия (като Стандартните договорни клаузи за администратори на данни 2004/915/ЕО или Стандартни договорни клаузи за лицата, обработващи данни 2010/87/ЕС или тяхна последваща версия);
• Обвързващи корпоративни правила: в случай че съответните трети страни са приели Обвързващите корпоративни правила на ЕС, които застъпват личните данни, обработвани от третите страни.
• Всеки друг механизъм, официално признат от приложимите закони за защита на данните, осигуряващ адекватно ниво на защита на личните данни.

3.  Контакти, въпроси и жалби

За упражняване на вашите права, за изразяване на загриженост, за повдигане на въпроси, за подаване на жалба или за получаване на допълнителна информация относно обработката на вашите лични данни от GEFCO, може да изпратите имейл на следния адрес: smb-bg-data-privacy@ gefco.net, придружен от валидно доказателство за самоличност (освен ако субектът на данните не е служител от Групата на GEFCO).

GEFCO се ангажира да отговори на вашите искания в разумен срок, до 3 месеца, в зависимост от сложността на искането и/или броя искания, които получава.

В случай на спор, субектът на данните може да подаде жалба в местния регулаторен орган за защита на данните (Комисия за защита на личните данни, Република България).

4.  Промени в тази политика

GEFCO може да изменя тази Политика за защита на личните данни периодично, за да отразява текущите практики и приложими разпоредби и техническо-организационни мерки за защита на личните данни. Насърчаваме Ви периодично да преглеждате тази Политика, за да се информирате как GEFCO защитава вашите лични данни.