Polityka Retencji Danych

Okresy retencji — tabela podsumowująca

1. Wprowadzenie i Podstawa Prawna

Bennovate sp. z o.o. (ul. Christiana Andersena 25, 94-118 Łódź, Polska; KRS: 0000597272; NIP: 7272799328; REGON: 363700466), działająca pod marką Avantwerk (dalej: „Spółka", „Administrator"), przetwarza dane osobowe z poszanowaniem zasad ochrony danych oraz w zgodzie z obowiązującymi przepisami prawa.

Niniejsza Polityka Retencji Danych („Polityka") określa zasady przechowywania różnych kategorii danych przez Spółkę jako administratora danych własnych oraz jako podmiotu przetwarzającego dane w imieniu klientów biznesowych.

Podstawa prawna

• Art. 5 ust. 1 lit. e Rozporządzenia (UE) 2016/679 (RODO) — zasada ograniczenia przechowywania, stanowiąca, że dane osobowe muszą być przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane;
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych — polska ustawa implementująca RODO;
• Ustawa z dnia 29 września 1994 r. o rachunkowości — w zakresie przechowywania dokumentacji finansowej;
• Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy — w zakresie dokumentacji pracowniczej;
• Ordynacja podatkowa — w zakresie zobowiązań podatkowych i dokumentacji podatkowej.

2. Zakres Stosowania

Niniejsza Polityka ma zastosowanie do:

• wszelkich danych osobowych przetwarzanych przez Spółkę jako administratora (dane klientów, kontrahentów, pracowników, kandydatów do pracy, odwiedzających stronę internetową);
• danych przetwarzanych przez Spółkę jako podmiot przetwarzający (w imieniu klientów-administratorów korzystających z Platformy Avantwerk);
• danych przechowywanych we wszystkich systemach i narzędziach wykorzystywanych przez Spółkę, w tym u podwykonawców wymienionych w Liście Podwykonawców Przetwarzania Danych.

3. Definicje

4. Zasady Przetwarzania Danych

Spółka przetwarza dane osobowe zgodnie z następującymi zasadami wynikającymi z art. 5 RODO:

1. Zgodność z prawem, rzetelność i przejrzystość — dane są przetwarzane zgodnie z obowiązującymi przepisami prawa i w sposób transparentny.
2. Ograniczenie celu — dane są zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie są przetwarzane w sposób niezgodny z tymi celami.
3. Minimalizacja danych — dane są adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane.
4. Prawidłowość — dane są prawidłowe i w razie potrzeby uaktualniane.
5. Ograniczenie przechowywania — dane są przechowywane nie dłużej, niż jest to niezbędne do celów, w których są przetwarzane (zasada będąca przedmiotem niniejszej Polityki).
6. Integralność i poufność — dane są przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo.

5. Kategorie Danych i Okresy Retencji

5.1 Dane konta klienta

5.2 Dane kontaktowe CRM Klienta

5.3 Dokumenty finansowe i płatnicze

5.4 Zgłoszenia wsparcia technicznego

5.5 Logi bezpieczeństwa i audytu

5.6 Dane marketingowe i zgody

5.7 Dane pracowników i współpracowników

5.8 Korespondencja prawna i dokumentacja umowna

5.9 Dane analityczne i techniczne

6. Procedury Usuwania i Anonimizacji Danych

6.1 Automatyczne usuwanie

Spółka wdrożyła zautomatyzowane procedury usuwania danych po upływie okresu retencji dla następujących kategorii:

• dane kontaktów CRM Klienta (po 30 dniach od rozwiązania umowy);
• logi bezpieczeństwa i audytu (po 12 miesiącach);
• dane diagnostyczne i błędy (po 6 miesiącach).

Automatyczne usunięcie jest weryfikowane kwartalnie przez osobę odpowiedzialną za ochronę danych lub wyznaczonego administratora systemów.

6.2 Ręczne usuwanie

Kategorie danych nieobejmowane automatycznymi procesami są usuwane w ramach rocznego przeglądu prowadzonego przez osobę odpowiedzialną za ochronę danych, z zastosowaniem bezpiecznych metod trwałego usunięcia danych cyfrowych (np. nadpisywanie, kryptograficzne kasowanie kluczy).

6.3 Anonimizacja jako alternatywa usunięcia

W przypadkach, gdy dane muszą być przechowywane dłużej dla celów statystycznych lub analitycznych, Spółka stosuje anonimizację danych w sposób nieodwracalny. Dane po anonimizacji nie są objęte przepisami RODO.

6.4 Utylizacja nośników fizycznych

Wszelkie nośniki fizyczne (dyski twarde, nośniki USB, dokumenty papierowe) zawierające dane osobowe są niszczone zgodnie z normą DIN 66399 lub równoważną, z zachowaniem dokumentacji procesu niszczenia.

7. Eksport Danych Klienta po Rozwiązaniu Umowy

7.1 Prawo do eksportu

Po rozwiązaniu lub anulowaniu umowy subskrypcji Klient ma prawo wyeksportować wszystkie swoje Dane Klienta z Platformy Avantwerk.

7.2 Termin na eksport

Klient ma 30 dni od daty rozwiązania umowy na dokonanie eksportu danych za pomocą narzędzi eksportowych dostępnych w panelu administracyjnym Platformy.

7.3 Usunięcie danych po upływie terminu

Po upływie 30-dniowego okresu eksportu Dane Klienta przechowywane na Platformie zostaną trwale usunięte z systemów produkcyjnych w terminie kolejnych 60 dni, to jest najpóźniej do 90. dnia od daty rozwiązania umowy. Kopie zapasowe zawierające te dane wygasają zgodnie z 30-dniowym cyklem rotacji, najpóźniej do 120. dnia od rozwiązania umowy; do czasu wygaśnięcia pozostają zaszyfrowane i nie są wykorzystywane w bieżącej eksploatacji.

7.4 Potwierdzenie usunięcia

Na wniosek Klienta złożony przed upływem terminu na eksport, Spółka wyśle pisemne potwierdzenie trwałego usunięcia Danych Klienta z systemów Spółki, z wyłączeniem danych, których przechowywanie jest wymagane przez obowiązujące przepisy prawa.

8. Prawo do Usunięcia Danych (art. 17 RODO)

8.1 Treść prawa

Zgodnie z art. 17 RODO, każda osoba, której dane dotyczą, ma prawo żądania od Spółki niezwłocznego usunięcia dotyczących jej danych osobowych.

8.2 Zakres prawa

Prawo do usunięcia danych przysługuje w szczególności, gdy:

• dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
• osoba, której dane dotyczą, cofnęła zgodę stanowiącą podstawę przetwarzania i nie istnieje inna podstawa prawna przetwarzania;
• osoba, której dane dotyczą, wniosła sprzeciw wobec przetwarzania i nie istnieją nadrzędne prawnie uzasadnione podstawy przetwarzania;
• dane osobowe były przetwarzane niezgodnie z prawem.

8.3 Sposób złożenia żądania

8.4 Termin realizacji

Spółka rozpatruje żądanie usunięcia danych bez zbędnej zwłoki i informuje osobę, której dane dotyczą, o podjętych działaniach w terminie miesiąca od otrzymania żądania. Z uwagi na skomplikowany charakter żądania lub liczbę żądań termin ten może zostać przedłużony o kolejne dwa miesiące; o przedłużeniu wraz z jego przyczynami Spółka informuje w terminie miesiąca od otrzymania żądania. Podstawa: art. 12 ust. 3 RODO.

9. Wyjątki od Prawa do Usunięcia

Prawo do usunięcia danych nie przysługuje w zakresie, w jakim przetwarzanie jest niezbędne do:

W przypadku odmowy realizacji żądania usunięcia, Spółka informuje osobę, której dane dotyczą, o przyczynach odmowy oraz o prawie do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

10. Przechowywanie Danych przez Podwykonawców

Spółka korzysta z podwykonawców przetwarzania danych wymienionych w Liście Podwykonawców Przetwarzania Danych. Każdy podwykonawca jest zobowiązany umownie do:

• przechowywania danych wyłącznie przez czas niezbędny do świadczenia usług na rzecz Spółki lub przez czas wynikający z obowiązujących przepisów prawa;
• stosowania bezpiecznych metod usuwania danych po upływie okresu retencji;
• niezwłocznego poinformowania Spółki o wszelkich naruszeniach bezpieczeństwa danych.

Spółka weryfikuje praktyki retencji danych podwykonawców podczas corocznych przeglądów umów z podwykonawcami.

11. Naruszenia Bezpieczeństwa i Incydenty

Obowiązki Spółki zależą od tego, w jakiej roli występuje wobec danych objętych naruszeniem:

1. Gdy Spółka jest administratorem — powiadomi Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia, jeżeli jest prawdopodobne, że spowoduje ono ryzyko naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO).
2. Gdy Spółka jest podmiotem przetwarzającym — zawiadomi Klienta będącego administratorem bez zbędnej zwłoki po stwierdzeniu naruszenia, zgodnie z art. 33 ust. 2 RODO. Termin 72 godzin nie ma tu zastosowania: biegnie on administratorowi, a nie podmiotowi przetwarzającemu, więc zwłoka po naszej stronie zużywałaby okno, którym dysponuje Klient.
3. Poinformuje osoby, których dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności (art. 34 RODO) — w roli administratora; w roli podmiotu przetwarzającego wspiera w tym Klienta.
4. Udokumentuje każde naruszenie, niezależnie od wymogu zgłoszenia, w wewnętrznym rejestrze naruszeń przechowywanym przez 5 lat (art. 33 ust. 5 RODO).

12. Przegląd i Aktualizacja Polityki

Niniejsza Polityka jest przeglądana raz w roku lub w każdym przypadku:

• zmiany obowiązujących przepisów prawa dotyczących ochrony danych osobowych;
• zmiany w strukturze przetwarzania danych przez Spółkę lub wprowadzenia nowych kategorii danych;
• decyzji lub wytycznych wydanych przez Prezesa UODO lub Europejską Radę Ochrony Danych;
• znaczących zmian w stosowanych systemach informatycznych lub liście podwykonawców.

13. Kontakt ds. ochrony danych

Spółka prowadzi adres kontaktowy do spraw ochrony danych, na który można kierować wszelkie pytania dotyczące ochrony i retencji danych osobowych.

14. Dane Kontaktowe

W sprawach dotyczących niniejszej Polityki oraz praw wynikających z RODO prosimy o kontakt.