Umowa przetwarzania danych

UMOWA PTRZETWARZANIA DANYCH

WERSJA  BPL: 27.02.2024

§ 1 Cel Umowy

(1)    Procesor świadczy usługi na rzecz Klienta (zwane dalej "Klientem") zgodnie z podstawową umową wynajmu/zakupu kopiarek wielofunkcyjnych z usługami związanego serwisu (dalej nazywaną "Podstawową Umową"). O ile świadczenie tych usług wiąże się z przetwarzaniem danych osobowych w imieniu Administratora, o którym mowa w Ogólnym Rozporządzeniu o Ochronie Danych Osobowych, które weszło w życie 25 maja 2018 roku (dalej: RODO), Strony niniejszą umową przetwarzania danych (dalej: "Umowa przetwarzania danych" lub "DPA") określają swoje odpowiednie prawa i obowiązki.
(2)    Przetwarzane dane osobowe mogą pochodzić od Administratora lub administratorów lub procesorów powiązanych z Administratorem na podstawie art. 26 lub art. 28 RODO, lub dane osobowe mogą być zbierane przez Procesora w imieniu wyżej wymienionego (wszystkie dane osobowe będą dalej łącznie nazywane "danymi osobowymi Administratora").
(3)    Rodzaj danych osobowych Administratora oraz kategorie podmiotów danych objętych przetwarzaniem, a także charakter i cel przetwarzania są określone w załączniku 1 do niniejszej DPA.
(4)    Okres przetwarzania oraz termin obowiązywania niniejszej DPA zależą od okresu obowiązywania Podstawowej Umowy(-ów), chyba że przewiduje to postanowienia, które nakładają obowiązki lub prawa w zakresie wypowiedzenia, które wykraczają poza to.

§2 Prawo do wydawania poleceń

(1)    Procesor może gromadzić, przetwarzać lub używać danych jedynie w zakresie określonym w ramach Podstawowej Umowy(-ów) i zgodnie z instrukcjami Administratora.
(2)    Instrukcje Administratora są początkowo określone w niniejszej DPA i mogą być później zmieniane, uzupełniane lub zastępowane indywidualnymi instrukcjami na piśmie lub w formie tekstowej (indywidualne instrukcje). Instrukcje ustne są natychmiast potwierdzane przez Administratora (co najmniej w formie tekstowej). Administrator ma prawo wydawać instrukcje w dowolnym czasie. Obejmuje to instrukcje dotyczące usunięcia, poprawienia i ograniczenia przetwarzania danych. Dla produktów, których używanie tego wymaga, osoby uprawnione do wydawania lub odbierania instrukcji są określone w odpowiednim załączniku 1 do niniejszej DPA.
(3)    Jeśli Procesor uważa, że instrukcja Administratora narusza przepisy dotyczące ochrony danych, Administrator musi być niezwłocznie poinformowany. Procesor ma prawo wstrzymać wykonywanie instrukcji w kwestii, która zostanie potwierdzona lub zmieniona przez Administratora. Procesor może odmówić wykonania instrukcji, która jest ewidentnie niezgodna z prawem.
(4)    Instrukcje Administratora, które wykraczają poza usługi wynikające z Podstawowej Umowy(-ów) i przetwarzanie danych niezbędne w tej sprawie, mogą podlegać osobnej opłacie dla Administratora.

§3 Środki bezpieczeństwa Procesora

(1)    Procesor zobowiązuje się do przestrzegania RODO. W swoim obszarze odpowiedzialności Procesor zaprojektuje organizację w taki sposób, aby spełniała szczególne wymagania ochrony danych. Procesor podejmie wszelkie niezbędne środki techniczne i organizacyjne w celu odpowiedniej ochrony danych osobowych Administratora zgodnie z art. 32 RODO, w szczególności co najmniej środki określone w załączniku 1. Procesor zastrzega sobie prawo do zmiany podjętych środków bezpieczeństwa, przy zachowaniu poziomu ochrony ustalonego w załączniku 1 do niniejszej DPA.
(2)    Procesor mianował Inspektora Ochrony Danych. Dane kontaktowe Inspektora Ochrony Danych są opublikowane na stronie internetowej Procesora.
(3)    Procesor nałoży obowiązek zachowania poufności (art. 28 ust. 3 lit. b RODO) na wszystkich własnych pracowników powierzonych przetwarzaniem i realizacją niniejszej DPA (zwanych dalej "pracownikami") oraz zagwarantuje przestrzeganie tego obowiązku z należytą starannością.

§4 Obowiązki Procesora

(1)    W przypadku naruszenia danych osobowych Administratora, Procesor niezwłocznie informuje Administratora na piśmie lub w formie tekstowej. Powiadomienie o naruszeniu danych osobowych powinno zawierać co najmniej opis:
(a) charakteru naruszenia danych osobowych, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę rekordów danych osobowych,
(b) nazwę i dane kontaktowe Inspektora Ochrony Danych lub innego punktu kontaktowego, pod którym można uzyskać więcej informacji,
(c) prawdopodobne skutki naruszenia danych osobowych,
(d) środki podjęte lub proponowane do podjęcia przez Administratora w celu rozwiązania naruszenia danych osobowych, w tym, jeśli jest to odpowiednie, środki mające na celu złagodzenie ewentualnych niekorzystnych skutków.
(2)    Procesor niezwłocznie podejmuje niezbędne środki w celu zabezpieczenia danych osobowych i złagodzenia ewentualnych niekorzystnych skutków dla osób, których dane dotyczą, informuje Administratora w tej sprawie i prosi o dalsze instrukcje.
(3)    Ponadto, Procesor zobowiązany jest dostarczyć Administratorowi informacje w dowolnym czasie, w miarę dotyczą one naruszenia danych osobowych, o którym mowa w ust. 1.
(4)    Jeśli dane osobowe Administratora przechowywane na terenie Procesora są zagrożone przez zajęcie lub konfiskatę, poprzez postępowanie upadłościowe lub rozliczeniowe lub przez inne wydarzenia lub środki osób trzecich, Procesor niezwłocznie informuje Administratora, chyba że jest to zabronione przez postanowienie sądowe lub urzędowe. W tym kontekście Procesor niezwłocznie informuje wszystkie właściwe organy, że ostateczna decyzja dotycząca danych leży wyłącznie po stronie Administratora w jego roli "Administratora" w rozumieniu RODO.
(5)    Procesor prowadzi rejestr działań przetwarzania dokonywanych w imieniu Administratora, zawierający wszystkie informacje wymagane przez art. 30 ust. 2 RODO.
(6)    Administrator i Procesor, na żądanie, pomagają organom nadzoru ochrony danych w wykonywaniu ich obowiązków.

§5 Prawa Administratora

(1)    Administrator przed rozpoczęciem przetwarzania danych oraz regularnie po tym terminie będzie dokonywać oceny adekwatności środków technicznych i organizacyjnych podjętych przez Procesora. W tym celu Administrator może na przykład uzyskać informacje od Procesora, przedstawić dostępne certyfikaty lub zaświadczenia od ekspertów lub, po wcześniejszym uzgodnieniu (co najmniej trzy tygodnie wcześniej), zinspirować środki techniczne i organizacyjne Procesora. Kontrole mogą być przeprowadzane w godzinach pracy osobiście lub przez kompetentną stronę trzecią. Kontrole przez strony trzecie muszą być przeprowadzane w porozumieniu z Procesorem, a strony trzecie będące w konkurencyjnym stosunku do Procesora mogą zostać odrzucone przez Procesora. Administrator przeprowadza kontrole tylko w zakresie niezbędnym i nie narusza w sposób nieproporcjonalny działalności Procesora. Każda ze stron ponosi własne koszty związane z audytami i kontrolami.
(2)    Procesor zobowiązuje się dostarczyć Administratorowi, na piśmie na jego żądanie i w rozsądnym terminie, wszystkie informacje i dowody niezbędne do przeprowadzenia audytu lub kontroli w zakresie środków technicznych i organizacyjnych podjętych przez Procesora.
(3)    Administrator dokumentuje wynik audytu lub kontroli i przekazuje go Procesorowi. W przypadku błędów lub nieprawidłowości, które Administrator stwierdzi, w szczególności w wynikach zleconego przetwarzania danych, Procesor zostaje niezwłocznie poinformowany. Jeśli audyt lub kontrola wykaże problemy, których uniknięcie w przyszłości wymaga zmian w zleceniu przetwarzania, Administrator informuje Procesora o wynikach i żądanych zmianach na piśmie lub w formie tekstowej.

§6 Zatrudnianie Podprocesorów

(1)    Podpisując niniejszą Umowę, Procesor otrzymuje ogólną upoważnienie do powoływania Podprocesorów do wykonywania Podstawowej Umowy. Powołani Podprocesorzy są wymienieni w załączniku 1.
(2)    Procesor jest upoważniony do modyfikacji istniejących stosunków z podwykonawcami lub do nawiązywania nowych stosunków. Procesor jak najszybciej informuje o tym Administratora. Administrator może zgłosić sprzeciw wobec zatrudniania nowych podwykonawców. Administrator musi zgłosić sprzeciw natychmiast; sprzeciw nie może być oparty na pozastawowych względach.
(3)    Procesor zobowiązuje się starannie wybierać podwykonawców zgodnie z ich przydatnością i rzetelnością. Jeśli są używani podwykonawcy w trzecim kraju, Procesor musi zapewnić odpowiedni poziom ochrony danych osobowych dla danego podwykonawcy (np. poprzez uzgodnienie klauzul standardowych umownych UE).
(4)    Stosunek podwykonawczy w rozumieniu tych postanowień nie istnieje, jeśli Procesor zleca osobom trzecim usługi, które są traktowane jako czysto pomocnicze. Należą do nich na przykład usługi pocztowe, transportu i dystrybucji, usługi sprzątania, usługi telekomunikacyjne bez konkretnego odniesienia do usług, które Procesor świadczy dla Administratora, oraz usługi z zakresu ochrony.

§ 7 Zapytania i prawa osób, których dane dotyczą

(1)    Jeśli to możliwe, Procesor będzie wspierać Administratora odpowiednimi środkami technicznymi i organizacyjnymi w celu spełnienia obowiązków Administratora wynikających z artykułów 12-22 i 32-36 RODO.
(2)    Jeśli osoba, której dane dotyczą, skontaktuje się bezpośrednio z Procesorem w celu wyegzekwowania swoich praw jako osoby, której dane dotyczą, na przykład w celu uzyskania informacji, sprostowania lub usunięcia swoich danych, Procesor nie będzie reagować samodzielnie. Jeśli można zidentyfikować odpowiedzialnego Administratora na podstawie wniosku osoby, której dane dotyczą, Procesor poinformuje Administratora i poczeka na jego instrukcje.

§8 Odpowiedzialność

(1)    Administrator ponosi pełną odpowiedzialność, w granicach podstawowej umowy, za wszelkie roszczenia skierowane przeciwko Procesorowi z powodu jakiejkolwiek szkody poniesionej przez osobę, której dane dotyczą, w wyniku przetwarzania danych lub korzystania z danych w trakcie przetwarzania, które jest zabronione lub nieprawidłowe zgodnie z przepisami o ochronie danych, o ile zabronione lub nieprawidłowe przetwarzanie danych jest oparte na instrukcjach wydanych przez Administratora.
(2)    Każda ze stron zwalnia odpowiednią drugą stronę od odpowiedzialności, jeśli ta druga strona może wykazać, że nie była w żadnym stopniu odpowiedzialna za okoliczności prowadzące do szkody poniesionej przez osobę, której dane dotyczą.

§9 Zakończenie Podstawowej Umowy

(1)    Po zakończeniu Podstawowej Umowy lub na żądanie odpowiedniej strony w każdym czasie, Procesor zwraca odpowiedniej stronie wszystkie dokumenty, dane i nośniki danych dostarczone przez Administratora lub - na żądanie Administratora, chyba że istnieje obowiązek przechowywania danych osobowych na mocy obowiązujących przepisów prawa - usuwa je lub nadpisuje. Dotyczy to również kopii zapasowych danych znajdujących się na terenie Procesora. Procesor jest uprawniony do wystawienia Administratorowi faktury za usunięcie lub nadpisanie danych osobowych przechowywanych na twardym dysku urządzenia wielofunkcyjnego.
(2)    Procesor jest zobowiązany do zachowania poufności w odniesieniu do danych, które stały się mu znane w związku z Podstawową Umową podczas i po zakończeniu Podstawowej Umowy. Niniejsza Umowa o przetwarzaniu danych osobowych pozostaje w mocy po zakończeniu Podstawowej Umowy, tak długo, jak Procesor ma dostęp do danych osobowych dostarczonych przez Administratora lub zebranych przez Procesora w imieniu Administratora.
§10 Postanowienia Ogólne
(1)    Zmiany i poprawki do niniejszej Umowy muszą być dokonywane na piśmie.
(2)    Niniejsza Umowa stanowi integralną część Podstawowej Umowy. Wszystkie prawa i obowiązki wynikające z Umowy, w tym ograniczenia odpowiedzialności, mają zastosowanie także do niniejszej Umowy. W przypadku sprzeczności, niezgodności lub wątpliwości między postanowieniami niniejszej Umowy a postanowieniami Podstawowej Umowy, warunki Podstawowej Umowy mają pierwszeństwo nad warunkami niniejszej Umowy.
(3)    Jeśli któreś z postanowień niniejszej Umowy jest lub staje się nieważne lub niewykonalne w całości lub w części, nie wpływa to na ważność pozostałych postanowień.
(4)    Niniejsza Umowa podlega prawu polskiemu, a w przypadku sporu sądowi właściwemu dla Konica Minolta.

Załącznik do Umowy Przetwarzania Danych Konica Minolta 

Opis środków technicznych i organizacyjnych zapewnienia bezpieczeństwa

1.    Opis charakteru i celu przetwarzania

Systemy wielofunkcyjne i/lub produkcyjne drukarki Konica Minolta przetwarzają dokumenty papierowe i elektroniczne w celu drukowania, skanowania, kopiowania i faksowania.

Przetwarzanie danych osobowych Administratora lub osób trzecich (dalej łącznie nazywanych "dane osobowe Administratora") przez Konica Minolta odbywa się wyłącznie w zakresie świadczenia usług i konserwacji systemów Konica Minolta. Dane osobowe będą przetwarzane jedynie w celu świadczenia usług i konserwacji. Nie ma miejsca dalsze zbieranie ani wykorzystywanie danych osobowych Administratora przez Konica Minolta. Konkretny charakter przetwarzania będzie zależał od opcji usługowych i usług zdalnych opisanych w tym załączniku, które zostały wybrane przez Administratora.

Przetwarzanie danych osobowych Administratora może występować podczas dostarczania i konfigurowania systemów Konica Minolta (szczególnie w kontekście połączenia sieciowego) oraz podczas fizycznej konserwacji i obsługi urządzeń.

Systemy wielofunkcyjne i produkcyjne drukarek Konica Minolta są w stanie rejestrować procesy techniczne w zaszyfrowanych plikach dziennika. Konica Minolta nie inicjuje tworzenia plików dziennika, chyba że jest to konieczne do analizy błędów. Pliki dziennika mogą być dostępne dla techników Konica Minolta na miejscu, jednak w standardowej procedurze pliki dziennika są przenoszone na serwery należące do Konica Minolta Europe (lokalizacja serwera: Niemcy) jako część usług zdalnych Konica Minolta (Konica Minolta "Remote Service Platform" - "RSP").

Ponadto usługi zdalne mogą być wykorzystywane do tworzenia kopii zapasowych konfiguracji urządzenia, które można przechowywać w formie zaszyfrowanej i chronionej hasłem, zarówno na własnych serwerach Administratora, jak i na serwerach Konica Minolta Europe (lokalizacja serwera: Niemcy).

Zarówno pliki dziennika, jak i kopie zapasowe konfiguracji urządzenia nie zawierają żadnych treści wydruków, skanów, kopii ani podobnych operacji wykonywanych na systemach.

Usługi zdalne i konserwacja systemów Konica Minolta będą przeprowadzane zgodnie z opcjami usług wybranymi przez Administratora. W tym celu Konica Minolta obsługuje "Platformę Usług Zdalnych Konica Minolta" (RSP), połączenia z panelem zdalnym, rozwiązanie "Konica Minolta Remote Support Tool" lub funkcjonalnie porównywalne rozwiązania. Podczas wykonywania konserwacji zdalnej niemożliwe jest całkowite wyeliminowanie możliwości przeglądania i w rezultacie przetwarzania danych osobowych Administratora.

W przypadku ewentualnego zwrotu systemów Konica Minolta po zakończeniu okresu głównego porozumienia, dane osobowe na dysku twardego urządzenia i w pamięci wewnętrznej zostaną albo zniszczone, albo wymazane, albo nadpisane, albo przekazane Administratorowi.

2.    Rodzaje danych osobowych

Ogólne: Dane podmiotów, do których Konica Minolta będzie miała dostęp na podstawie Umowy z Klientem.

Rodzaj danych osobowych, które mogą być zawarte w kopii zapasowej konfiguracji urządzenia: Wewnętrzna książka adresowa urządzenia (nazwy użytkowników IT i adresy e-mail), adresy IP, adresy MAC, numer seryjny.

Kategorie danych osobowych ewentualnie zawartych w plikach dziennika: Nazwy użytkowników IT (np. nazwy użytkowników systemu Windows użytkowników urządzenia), adresy e-mail użytkowników, adresy IP, adresy MAC, numer seryjny, historia przeglądarki internetowej urządzenia (odwiedzane adresy URL), historia statusu zasilania urządzenia, historia zadań druku ostatnich 150 zadań drukowania (właściciel zadania drukowania, znacznik czasu, nazwa dokumentu).

Wszystkie dane zapisane w plikach dziennika są zbierane tylko od momentu rozpoczęcia rejestrowania zdarzeń.

Dane osobowe, które mogą być przetwarzane podczas serwisu i konserwacji na miejscu:
[Rodzaj danych osobowych, które mogą być dostępne dla techników Konica Minolta, zależą od danych przetwarzanych na Systemach. Te treści mogą być oceniane tylko przez Administratora.]

☐ Dane osobowe podstawowe (np. imię i nazwisko)
☐ Dane kontaktowe (np. telefon, e-mail)
☐ Dane podstawowe dotyczące umowy (np. stosunek umowny, produkt/zainteresowanie umowne)
☐ Historia klienta (np. dane CRM)
☐ Dane dotyczące rozliczeń i płatności umowy
☐ Dane karty kredytowej i dane bankowe (numery kont bankowych)
☐ Dane planowania i kontrolowania
☐ Informacje uzyskane od stron trzecich (np. agencje kredytowe, publiczne katalogi)
☐Adresy IP, adresy MAC

 

3.    Kategorie podmiotów objętych przetwarzaniem Danych Osobowych:

Następujące kategorie osób, których Dane Osobowe mogą być przetwarzane, o których mowa w pkt. 2.1. mogą być tylko wskazane przez Administratora.

☐ Pracownicy (art. 88 RODO)
☐Klienci:
☐ Potencjalni Klienci
☐ Subskrybenci
☐   Dostawcy
☐ Kontakty biznesowe
☐ Nieletni ( w szczególności:praktykanci, stażyści)

☐ Pozostali:
 

4.    Podprocesorzy

Konica Minolta Business Solutions Europe GmbH
Europaallee 17
30855 Langenhagen
Niemcy
Opis zleconego przetwarzania:
Dostawca usług IT dla Konica Minolta Business Solutions Polska Sp. z o.o. (w tym obsługa zdalnych usług Konica Minolta i serwerów kopii zapasowych).
Wsparcie drugiego poziomu dla Konica Minolta Business Solutions Polska Sp. z o.o.
DB Schenker Sp. zo.o.
Al. Katowicka 66
05-830 Nadarzyn
Opis zleconego przetwarzania:
Dostawca usług logistycznych  (dostawa I instalacja MFP, czyszczenie twardych dysków po zakończeniu obowiązywania Umowy

4.    Środki techniczne i organizacyjne

Poufność
a) Kontrola dostępu fizycznego:
Określenie osób uprawnionych do wejścia za pomocą specyfikacji organizacyjnej
Dokumentowanie przyznawania i cofania uprawnień do wejścia
Regularna kontrola przyznawanych uprawnień dostępu
Kontrola dostępu za pomocą spersonalizowanych zdjęć tożsamości oraz karty wejściowej z kodem PIN
Dokumentowanie obecności w pomieszczeniach serwerowych
Zasady dostępu dla osób zewnętrznych
b) Kontrola dostępu do systemu:
W celu zapobieżenia nieuprawnionym osobom dostępu do systemów przetwarzania danych podjęto następujące środki:
Dostęp do systemów jest możliwy po uwierzytelnieniu za pomocą indywidualnej nazwy użytkownika i hasła
Używanie złożonych haseł składających się z co najmniej ośmiu znaków, spełniających co najmniej trzy z czterech kryteriów (wielka litera, mała litera, cyfra, znak specjalny), oraz obowiązkowa zmiana hasła co 90 dni
Zakaz ujawniania haseł
Rejestracja przyznawania uprawnień dostępu
Ograniczenie dostępu administracyjnego do minimum
Ochrona systemów przetwarzania danych przed nieautoryzowanym dostępem za pomocą odpowiednich systemów zapory ogniowej
Automatyczne blokowanie systemów po określonym okresie bezczynności
c) Kontrola dostępu do danych:
Nieuprawnione działania w systemach przetwarzania danych poza zakresem przyznanych uprawnień zostaną zakazane za pomocą praw dostępu i koncepcji autoryzacji o projektowanej na potrzeby danej sytuacji:
Ograniczenie praw dostępu do obszarów działalności
Oddzielenie uprawnień (organizacyjnych) od przyznawanych praw (technicznych)
Rejestracja zmian w prawach dostępu
Kontrola prób nieuprawnionego dostępu (IDS/IPS)
d) Kontrola separacji:
Określenie różnych profili użytkowników (poziomy administratora/użytkownika)
Specyficzne prawa dostępu odpowiadające wymaganiom dostępu do danych
Oddzielenie środowisk produkcyjnych od testowych za pomocą środków technicznych (wirtualne serwery, oddzielone systemy, segmentacja adresów IP)
Integralność
a) Kontrola transmisji:
Szyfrowanie transferu danych, zwłaszcza podczas przesyłania przez publiczne sieci (np. SSL, TLS)
Zachowanie zgodności z przepisami ochrony danych przy usuwaniu i/lub niszczeniu danych, nośników danych oraz wydrukowanych kopii zgodnie z koncepcją klasy ochrony
Szyfrowanie nośników danych
Opcja zdalnego usuwania danych dla urządzeń mobilnych
b) Kontrola wprowadzania danych:
Regularna kontrola i aktualizacja uprawnień dostępu
Rejestracja przetwarzania danych umożliwia późniejszą kontrolę i ustalenie, czy i przez kogo zostały wprowadzone, zmienione lub usunięte dane osobowe (np. dzienniki zmian danych w centralnych systemach ERP)
Rejestracja i potrzebne zachowanie odpowiednich działań przeprowadzonych na systemach (np. pliki dziennika)
Unikalna identyfikacja i oznakowanie nośników danych urządzeń MFP/PP w celu zwrotu
Dostępność i zdolność do przywracania: Kontrola dostępności i zdolności do przywracania:
Korzystanie z dwóch certyfikowanych centrów informatycznych, które są od siebie oddalone, w celu zapobieżenia przerwom w świadczeniu usług poprzez lustrzane kopiowanie (czyli zachowanie zbędnych danych)
Środki techniczne w formie systemów wczesnego ostrzegania w celu ochrony przed zakłóceniami spowodowanymi przez ogień/ciepło, wodę lub przegrzanie
Środki ochrony przed utratą zasilania i przeciążeniem prądem, np. systemy zasilania bezprzerwowego (UPS)
Planowe wykonywanie kopii zapasowych danych i dodatkowe stosowanie procedur lustrzanego kopiowania
Wielowarstwowa architektura antywirusowa/zapory ogniowej
Ustalony proces centralnego zamawiania sprzętu i oprogramowania
Możliwość szybkiego przywracania (art. 32 ust. 1 lit. c RODO) za pomocą globalnej koncepcji kopii zapasowych związanego z systemem
Kontrola porządku:
Mianowanie inspektora ochrony danych
Umowy o poziomie usług z dostawcami usług zewnętrznych zgodne z RODO
Szkolenie pracowników w zakresie przetwarzania danych osobowych
Obowiązkowe przestrzeganie przez pracowników tajemnicy danych
Zabezpieczenie techniczne za pomocą środków kontroli dostępu, separacji i wprowadzania danych
Kontrola organizacji (weryfikacja, ocena i ocena):
Ustanowienie ciągłych procesów weryfikacji i, w miarę potrzeby, dostosowywania środków ochrony danych
Procesy dotyczące przypadków ochrony danych są dostępne
Wytyczne firmy dotyczące przetwarzania danych osobowych oraz korzystania z systemów informatycznych są dostępne
Szkolenia pracowników w zakresie bezpieczeństwa IT i RODO
Zarządzanie reakcjami na incydenty