Prohlášení o ochraně osobních údajů Informace k ochraně osobních údajů podle článku 13 a 14 GDPR I. Pojmy Prohlášení o ochraně osobních údajů společnosti DACHSER Czech Republic a.s. a DACHSER s.r.o. vychází z pojmů použitých evropským zákonodárcem při přijetí Obecného nařízení o ochraně osobních údajů (GDPR). Chtěli bychom Vás proto odkázat na pojmy uvedené ve článku 4 GDPR. GDPR je k dispozici na následující adrese: http://eur-lex.europa.eu/legalcontent/cs/txt/html/?uri=celex:32016r0679&qid=1526372132287&from=cs II. Jméno a adresa správce odpovědného za zpracování Správcem ve smyslu GDPR, ostatních zákonů o ochraně osobních údajů platných v členských státech Evropské unie a jiných ustanovení týkajících se ochrany osobních údajů je: DACHSER Czech Republic a.s. a DACHSER s.r.o. obě společnosti se sídlem Huťská 272, 272 01 Kladno, Česká republika Tel.: +420 312 291 811 Fax: +420 312 291 840 E-mail: DACHSER.CZECH@DACHSER.COM Webové stránky: www.dachser.cz 1
III. Všeobecné informace ke zpracování osobních údajů 1. Rozsah zpracování osobních údajů Zpracováváme osobní údaje našich obchodních partnerů pouze v případě, kdy je to nezbytné pro jednání k uzavření smlouvy nebo k provedení našich zakázek, a tím ke splnění smlouvy. Po splnění smluvních povinností zpracováváme osobní údaje pouze na základě uděleného souhlasu. Výjimkou jsou případy, když je zpracování nezbytné pro splnění právní povinnosti, která se na nás vztahuje, nebo pro účely našich oprávněných zájmů či oprávněných zájmů třetí strany. 2. Nakládání s osobními údaji Zpracovávání osobních údajů je zásadně zakázáno, ledaže zákonná norma výslovně dovoluje nakládat s těmito údaji. Osobní údaje je povoleno podle GDPR zpracovávat: při existujícím smluvním vztahu se subjektem údajů, během uzavírání nebo plnění smlouvy se subjektem údajů, pokud subjekt údajů udělil souhlas. 3. Právní základ pro zpracování osobních údajů Pokud si pro zpracování osobních údajů opatříme souhlas subjektu údajů, slouží jako právní základ čl. 6 odst. 1 písm. a) GDPR. Při zpracování osobních údajů, které jsou zapotřebí ke splnění smlouvy, jejíž smluvní stranou je subjekt údajů, slouží jako právní základ čl. 6 odst. 1 písm. b) GDPR. To platí také pro provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů. Pokud je zpracování osobních údajů nutné ke splnění právní povinnosti, která se vztahuje na naší společnost, slouží jako právní základ čl. 6 odst. 1 písm. c) GDPR. Jestliže je zpracování nutné k ochraně oprávněného zájmu naší společnosti nebo třetí osoby a zájmy, základní práva a svobody subjektu údajů nepřevažují nad prvně uvedeným zájmem, slouží jako právní základ pro zpracování čl. 6 odst. 1 písm. f) GDPR. 4. Kategorie skupin subjektů údajů a jejich údaje K výkonu obchodní činnosti a splnění s tím souvisejících povinností jsou k dispozici, pokud je to nutné, následující kategorie údajů: Údaje zákazníků a jejich kontaktních osob a údaje zaslané zákazníky, které se týkají jejich zákazníků, pokud jsou zapotřebí k provedení zakázky a péči o zákazníky. Údaje poskytovatelů služeb, dodavatelů a jejich kontaktních osob, pokud jsou nutné ke splnění zakázky vůči zákazníkům, poskytovatelům služeb a dodavatelům. 2
Při používání osobních údajů a stanovení rozsahu shromažďování těchto údajů jsou dodržována základní pravidla práva na informační sebeurčení a další zásady ochrany osobních údajů, jako zejména preventivní zásada zákazu, účelové omezení, transparentnost, informační a oznamovací povinnost, zásada obejít se pokud možno bez údajů a minimalizace údajů a práva na opravu, zablokování, výmaz a námitku. Zpracování osobních údajů se provádí v rámci platných právních předpisů. Přitom je třeba dodržovat také zvláštní podmínky pro zpracování zvláštní kategorie osobních údajů podle čl. 9 odst. 1 GDPR. Zásadně se smí zpracovávat a používat pouze takové informace, které jsou nutné ke splnění provozních úkolů a bezprostředně souvisí s účelem zpracování. Pokud budou třetí osoby požadovat informace o subjektech údajů, budou poskytnuty bez souhlasu subjektu údajů pouze v případě existence takové zákonné povinnosti nebo existuje-li legitimní zájem společnosti odůvodňující předání údajů a není pochyb o identitě žadatele. 5. Příjemce osobních údajů Osobní údaje budou poskytnuty třetím osobám výlučně za účelem splnění Vámi požadovaných logistických služeb, které se účastní na plnění smlouvy, jako např. dceřiné společnosti, obchodní partneři, subdodavatelé. Osobní údaje osob účastnících se na poskytování logistické služby se případně poskytnou objednavateli logistické služby (např. doklad o doručení). Zejména neprodáme Vaše osobní údaje třetím osobám ani je nebudeme jinak nabízet. 6. Předávání osobních údajů do třetích zemí Předávání osobních údajů do třetích zemí se uskuteční výlučně ke splnění logistických služeb, kterými budeme pověřeni. Ve smyslu minimalizace údajů se předávají tuzemským a zahraničním společnostem koncernu DACHSER a externím poskytovatelům služeb pouze údaje nutné k zaslání a doručení zboží zákazníkům objednavatelů. Předávání osobních údajů do třetí země bez přiměřené úrovně ochrany osobních údajů je nezbytné pro splnění smlouvy, která byla uzavřena mezi subjektem údajů a správcem. 7. Externí poskytovatelé služeb / zpracování zakázek / údržba S externími poskytovateli služeb existují, pokud je to zapotřebí, smlouvy podle článku 28 GDPR nebo standardní smluvní doložky EU. 3
8. Koncept IT bezpečnosti Nad rámec přijatých technických a organizačních opatření vyhotovila společnost DACHSER na základě základního významu bezpečnosti informací navíc odpovídající interní směrnice. Systém managementu bezpečnosti informací (ISMS) centrály IT společnosti DACHSER je od roku 2011 certifikovaný podle ISO 27001. 9. Výmaz osobních údajů a doba uložení Osobní údaje subjektu údajů budou vymazány nebo zablokovány, jakmile pomine důvod pro jejich uložení. K uložení může kromě toho docházet v případech, kdy tak bylo stanoveno právem Unie nebo členského státu, které se na správce vztahuje. Zablokování nebo výmaz osobních údajů se provedou také v případě, že uplyne doba pro jejich uložení předepsaná právem Unie nebo členského státu, které se na správce vztahuje, ledaže bude existovat potřeba dalšího uložení osobních údajů pro uzavření nebo splnění smlouvy. IV. Práva subjektu údajů Jestliže jsou zpracovávány Vaše osobní údaje, jste subjektem údajů ve smyslu GDPR a vůči správci máte následující práva: 1. Právo na přístup Můžete od správce požadovat potvrzení o tom, zda osobní údaje, které se Vás týkají, jsou či nejsou zpracovávány. Pokud jsou osobní údaje, které se Vás týkají, zpracovávány, máte právo získat přístup k těmto osobním údajům a k následujícím informacím: (1) účely zpracování, (2) kategorie dotčených osobních údajů, (3) příjemci, popř. kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, (4) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby, (5) existence práva na opravu nebo výmaz osobních údajů, které se Vás týkají, práva na omezení zpracování správcem nebo práva na námitku proti tomuto zpracování, (6) existence práva podat stížnost u dozorového úřadu, 4
(7) všechny dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů, (8) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4 GDPR, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů. Máte právo požadovat informaci o tom, zda osobní údaje, které se Vás týkají, jsou předávány do třetí země nebo mezinárodní organizaci. V této souvislosti můžete požadovat, abyste byli informováni o vhodných zárukách podle čl. 46 GDPR, které se vztahují na předávání. 2. Právo na opravu Máte vůči správci právo na opravu a/nebo doplnění, pokud jsou zpracovávané osobní údaje, které se Vás týkají, nepřesné nebo neúplné. Správce musí opravu provést bez zbytečného odkladu. 3. Právo na omezení zpracování Za následujících předpokladů můžete požadovat omezení zpracování osobních údajů, které se Vás týkají: (1) popíráte-li přesnost osobních údajů, které se Vás týkají, a to na dobu potřebnou k tomu, aby správce mohl přesnost osobních údajů ověřit, (2) jestliže je zpracování protiprávní a odmítnete-li výmaz osobních údajů a místo toho žádáte o omezení jejich použití, (3) správce osobní údaje pro účely zpracování již nepotřebuje, Vy je ovšem potřebujete pro určení, výkon nebo obhajobu právních nároků, nebo (4) pokud jste vznesli námitku proti zpracování podle čl. 21 odst. 1 GDPR a ještě není ověřeno, zda oprávněné důvody správce převažují nad Vašimi oprávněnými důvody. Jestliže bylo zpracování osobních údajů, které se Vás týkají, omezeno, mohou být tyto osobní údaje s výjimkou jejich uložení zpracovány pouze s Vaším souhlasem nebo z důvodu určení, výkonu nebo obhajoby právních nároků nebo k ochraně práv jiné fyzické nebo právnické osoby nebo z důvodů důležitého veřejného zájmu Unie nebo některého členského státu. Jestliže jste dosáhl omezení zpracování podle výše uvedeného, budete správcem upozorněn na to, že bude omezení zpracování zrušeno. 5
4. Právo na výmaz a. Povinnost k výmazu Můžete po správci požadovat, aby osobní údaje, které se Vás týkají, bez zbytečného odkladu vymazal, a správce je povinen tyto údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů: (1) Osobní údaje, které se Vás týkají, již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány. (2) Odvoláte svůj souhlas, na jehož základě byly osobní údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) GDPR zpracovány, a neexistuje žádný další právní důvod pro zapracování. (3) Vznesete podle čl. 21 odst. 1 GDPR námitku proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování nebo vznesete podle čl. 21 odst. 2 GDPR námitku proti zpracování. (4) Osobní údaje, které se Vás týkají, byly zpracovány protiprávně. (5) Výmaz osobních údajů, které se Vás týkají, je nutný ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje. (6) Osobní údaje, které se Vás týkají, byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle čl. 8 odst. 1 GDPR. b. Informace třetím osobám Jestliže správce zveřejnil osobní údaje, které se Vás týkají, a je podle čl. 17 odst. 1 GDPR povinen je vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že Vy jako subjekt údajů žádáte, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace. c. Výjimky Právo na výmaz se neuplatní, pokud je zpracování nezbytné (1) pro výkon práva na svobodu projevu a informace, (2) pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen, 6
(3) z důvodů veřejného zájmu v oblasti veřejného zdraví podle čl. 9 odst. 2 písm. h) a i) a dále čl. 9 odst. 3 GDPR, (4) pro účely archivace ve veřejném zájmu, pro účely vědeckého nebo historického výzkumu nebo pro statistické účely v souladu s čl. 89 odst. 1 GDPR, pokud je pravděpodobné, že by právo Unie nebo členského státu, které se na správce vztahuje, znemožnilo nebo vážně ohrozilo splnění cílů uvedeného zpracování, nebo (5) pro určení, výkon nebo obhajobu právních nároků. 5. Právo být informován Pokud jste uplatnili právo na opravu, výmaz nebo omezení zpracování vůči správci, je správce povinen sdělit všem příjemcům, kterým byly Vaše osobní údaje zpřístupněny, tuto opravu nebo výmaz údajů nebo omezení zpracování, ledaže se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí.. Správce Vás informuje o těchto příjemcích, pokud to budete požadovat. 6. Právo na přenositelnost údajů Máto právo získat osobní údaje, které se Vás týkají a které jste poskytli správci, ve strukturovaném, běžně používaném a strojově čitelném formátu. Kromě toho máte právo předat tyto údaje jinému správci, aniž by tomu správce, kterému byly osobní údaje poskytnuty, bránil, a to v případě, že (1) zpracování je založeno na souhlasu podle čl. 6 odst. 1 písm. a) GDPR nebo čl. 9 odst. 2 písm. a) GDPR nebo na smlouvě podle čl. 6 odst. 1 písm. b) GDPR a (2) zpracování se provádí automatizovaně. Při výkonu tohoto práva máte dále právo na to, aby osobní údaje, které se Vás týkají, byly předány přímo jedním správcem správci druhému, pokud je to technicky proveditelné. Tímto právem nesmí být nepříznivě dotčena práva a svobody jiných osob. Právo na přenositelnost údajů se neuplatní na zpracování osobních údajů nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen. 7. Právo vznést námitku Máte právo z důvodů týkajících se Vaší konkrétní situace kdykoliv vznést námitku proti zpracování osobních údajů, které se Vás týkají, na základě čl. 6 odst. 1 písm. e) nebo f) GDPR; platí to také pro profilování založené na těchto ustanoveních. 7
Správce již nebude zpracovávat osobní údaje, které se Vás týkají, ledaže prokáže závazné oprávněné důvody pro zpracování převažující nad Vašimi zájmy nebo právy a svobodami nebo pro určení, výkon nebo obhajobu právních nároků. Jestliže jsou osobní údaje, které se Vás týkají, zpracovávány pro účely přímého marketingu, máte právo kdykoli vznést námitku proti zpracování osobních údajů, které se Vás týkají, pro tento marketing; to platí také pro profilování, pokud se týká tohoto přímého marketingu. Jestliže vznesete námitku proti zpracování pro účely přímého marketingu, nebudou osobní údaje, které se Vás týkají, pro tyto účely již zpracovávány. Můžete v souvislosti s využíváním služeb informační společnosti aniž je dotčena směrnice 2002/58/ES uplatňovat své právo vznést námitku automatizovanými prostředky pomocí technických specifikací. 8. Právo na odvolání souhlasu podle práva pro ochranu osobních údajů Máte právo kdykoliv odvolat svůj souhlasu podle práva pro ochranu osobních údajů. Odvoláním souhlasu není dotčena zákonnost zpracování vycházejícího ze souhlasu, který byl dán před jeho odvoláním. 9. Automatizované individuální rozhodování, včetně profilování Máte právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro Vás právní účinky nebo se Vás obdobným způsobem významně dotýká. Neplatí to v případě, pokud je rozhodnutí (1) nezbytné k uzavření nebo plnění smlouvy mezi Vámi a správcem, (2) povoleno právem Unie nebo členského státu, které se na správce vztahuje, a které rovněž stanoví vhodná opatření zajišťující ochranu Vašich práv a svobod a oprávněných zájmů nebo (3) založeno na Vašem výslovném souhlasu. Tato rozhodnutí se ovšem neopírají o zvláštní kategorie osobních údajů uvedené v čl. 9 odst. 1 GDPR, pokud se neuplatní čl. 9 odst. 2 písm. a) nebo g) GDPR a nejsou zavedena vhodná opatření pro zajištění Vašich práv a svobod a oprávněných zájmů.. V případech uvedených v bodě (1) a (3) výše provede správce vhodná opatření pro ochranu Vašich práv a svobod a oprávněných zájmů, alespoň práva na lidský zásah ze strany správce, práva vyjádřit svůj názor a práva napadnout rozhodnutí. 8
10. Právo na stížnost u dozorového úřadu Aniž je dotčen jiný správní nebo soudní opravný prostředek, přísluší vám právo na stížnost u dozorového úřadu, zejména ve členském státě místa vašeho pobytu, vašeho pracoviště nebo místa údajného porušení, pokud se budete domnívat, že zpracování osobních údajů, které se vás týkají, porušuje GDPR. Dozorový úřad, u něhož byla stížnost podána, bude informovat stěžovatele o stavu a výsledcích stížnosti, včetně možnosti soudního opravného prostředku podle čl. 78 GDPR. 9