1. Pregled

1.1 SVRHA

Albaugh (u daljnjem tekstu „Društvo“) politika upravljanja Zahtjevima Subjekata Podataka (DSR - „Data Subject Request“) i kolačićima uređuje primitak, procjenu, odgovor i vođenje evidencije Albaugha u vezi sa zahtjevima DSR. Zahtjevi DSR mogu se podnijeti Albaughu prema različitim primjenjivim zakonima, a ova politika je uspostavljena kako bi regulirala proces zaprimanja i odgovora na takve zahtjeve u skladu s primjenjivim zakonima. Dodatno, politika pruža smjernice kada je potrebno dobiti suglasnost, koji jezik treba koristiti te kako dokumentacija treba biti održavana.

1.2 PODRUČJE PRIMJENE

Ova politika odnosi se na sve članove radne snage Albaugha, uključujući ugovorene radnike i konzultante. Albaugh će zahtijevati da sve treće strane koje koriste Albaughovu opremu, softver, mreže, aplikacije, podatke, intelektualno vlasništvo i sve povezane resurse poštuju primjenjive pravne standarde. Ova politika primjenjuje se na Albaugh i njegove pridružene tvrtke.

2. Definicije

Primjenjivi zakon(i) - Bilo koji državni, saveznički ili strani zakon(i), pravilo(i) ili propis(i) koji se odnose na obradu osobnih podataka.

Kontrolor - Subjekt koji određuje svrhe i načine obrade osobnih podataka. Kontrolor se može nazivati i „Poslovanjem“ prema primjenjivim zakonima.

Subjekt podataka – Identificirana ili moguće identificirana osoba na koju se odnose osobni podaci.

Zahtjev Subjekta Podataka (DSR) – Način na koji subjekti podataka traže da organizacija otkrije koje osobne podatke posjeduje o njima i kako ih organizacija koristi ili namjerava koristiti.

Osobni podaci („PI“) – Bilo koja informacija vezana uz fizičku osobu ili „subjekta podataka“, koja može izravno ili neizravno identificirati osobu. Osobni podaci mogu biti poznati i kao „osobni podaci“ ili „podaci koji osobno identificiraju“ (PII) u nekim jurisdikcijama.

Obrada – Bilo koja operacija ili skup operacija koje se provode nad osobnim podacima, bilo automatski ili ne, poput prikupljanja, bilježenja, organiziranja, pohrane, prilagodbe ili izmjene, dohvaćanja, konzultacije, objavljivanja prijenosom, širenja ili na drugi način dostupnih, usklađivanja ili kombiniranja, blokiranja, brisanja ili uništavanja.

Obrađivač – Subjekt koji obrađuje osobne podatke u ime Kontrolora. Obrađivač se može nazivati i „Pružateljem usluge“ prema primjenjivim zakonima.

3. Zahtjevi Subjekata Podataka

3.1 Zahtjevi u opsegu

Ovisno o primjenjivom zakonu na mjestu prebivališta subjekata podataka (npr. klijenti, potrošači, zaposlenici itd.), subjekti podataka mogu ostvariti sljedeća prava u vezi s osobnim podacima:

• Pristup i prenosivost: Pravo zatražiti od Albaugha izvještaj o osobnim podacima koje društvo posjeduje. Izvještaj može sadržavati:

• Kategorije osobnih podataka koje je Albaugh prikupio o tom potrošaču;

• Kategorije izvora s kojih su osobni podaci prikupljeni;

• Poslovni ili komercijalni razlog za prikupljanje ili prodaju osobnih podataka;

• Kategorije trećih strana s kojima Albaugh dijeli osobne podatke;

• Specifični osobni podaci koje je Albaugh prikupio o tom potrošaču.

• Ispravak: Pravo zatražiti od Albaugha ispravak netočnih ili nepotpunih osobnih podataka.

• Brisanje: Pravo zatražiti brisanje ili uklanjanje osobnih podataka od strane Albaugha.

• Na primjer, zahtjevi mogu biti odbijeni ako je zadržavanje osobnih podataka potrebno u određenim okolnostima, uključujući, ali ne ograničavajući se na:

• ispunjavanje zakonske obveze;

• utvrđivanje, izvršavanje ili obranu pravnih zahtjeva;

• obavljanje zadatka u javnom interesu ili pri vršenju službene ovlasti;

• Povlačenje suglasnosti: Pravo povući suglasnost za obradu osobnih podataka od strane Albaugha (vidi odjeljak „Upravljanje kolačićima i suglasnošću“ niže).

• Marketinške komunikacije: Pravo odjaviti se s primanja marketinških komunikacija od Albaugha.

• Prigovor: Pravo subjekata podataka da ulože prigovor na obradu njihovih osobnih podataka.

• Ograničenje obrade: Pravo ograničiti ili prigovoriti na obradu ili prijenos osobnih podataka od strane Albaugha u određenim okolnostima.

• Automatizirano donošenje odluka: Pravo da ne budu podložni odluci doneseno isključivo na automatiziranoj obradi osobnih podataka, uključujući profiliranje.

• Ne diskriminacija: Pravo na nediskriminaciju zbog ostvarivanja gore navedenih prava. Albaugh neće poduzimati osvetničke ili diskriminatorne mjere protiv potrošača koji odluče ostvariti bilo koje od ovih prava. Stoga Albaugh ne može odbiti pružanje svojih proizvoda i usluga pojedincima. Primjenjivi zakon može zabraniti praksu koja je iskorištavajuća, prisilna ili nepravedna u tom pogledu.

3.2 Zahtjevi za DSR

Bez obzira na propis pod kojim je DSR podnesen, postoje zajednički elementi Albaughovog programa odgovora na DSR-ove; gdje je zakonski primjenjivo, Albaugh će ih provoditi kako slijedi:

1. Zaprimanje

Proces podnošenja DSR-ova pojedincima Albaughu naveden je i dostupan kroz javno objavljene Izjave o privatnosti Albaugha.

2. Dokumentacija i praćenje zaprimljenih zahtjeva

Albaugh će osigurati da svi zaprimljeni DSR-ovi budu dokumentirani u svrhu internih potvrda primitka. Također će pratiti status dovršetka (od primitka do odbijanja ili ispunjenja) svakog zahtjeva kako bi osigurao zadovoljavajući odgovor u skladu s regulatornim zahtjevima i rokovima.

3. Obuka i osviještenost

Albaugh osigurava da su svi pojedinci odgovorni za obradu DSR zahtjeva i vanjskih upita (gdje je potrebna suradnja trećih strana) upoznati sa svim primjenjivim regulatornim zahtjevima i internim postupcima Albaugha.

4. Rokovi za odgovor i potvrdu

Albaugh će odgovarati na zahtjeve u skladu s relevantnim regulatornim rokovima. To može uključivati potvrdu primitka zahtjeva prije donošenja odluke o prihvaćanju ili odbijanju i prije ispunjenja zahtjeva.

5. Procjena pravne osnove

Kao dio procesa odgovora na DSR, Albaugh će prihvatiti ili odbiti DSR na temelju procjene pravne osnove zahtjeva prema primjenjivim zakonima. U slučaju odbijanja DSR-a, Albaugh će obavijestiti subjekt podataka o razlozima nepostojanja pravne obveze za ispunjenje zahtjeva.

6. Provjera identiteta

Utvrđivanje pravne osnove zahtjeva i svaki naknadni odgovor podnositelju zahtjeva uključivat će, prema potrebi i primjenjivom zakonu, postupak provjere identiteta prije otkrivanja bilo kakvih informacija.

7. Pravna procjena i provjera identiteta kod zahtjeva treće strane

Kada subjekt podataka koristi zastupnika za podnošenje DSR-a, Albaugh može zahtijevati dodatne korake od subjekta podataka radi održavanja usklađenosti.

8. Odbijanje zahtjeva

Albaugh osigurava da su sve informacije vezane uz odluku o odbijanju zahtjeva, koje je potrebno pružiti prema primjenjivim zakonima, dostavljene podnositelju zahtjeva i pohranjene u skladu s regulatornim zahtjevima. Razlozi za odbijanje mogu uključivati nemogućnost potvrde identiteta subjekta podataka i druge pravne prepreke u skladu s primjenjivim zakonima (npr. zakoni EU, savezni zakoni SAD itd.).

9. Ispunjavanje zahtjeva

Albaugh ima politike i procedure koje osiguravaju da se odgovarajuća izvješća (ili modifikacije) osobnih podataka unutar organizacije izvrše kako bi se osiguralo ispunjenje DSR procesa. Također Albaugh osigurava da njegovi sustavi i primjenjive treće strane pravilno izvršavaju obveze DSR procesa odobrenog od strane Albaugha.

10. Protudiskriminacija

Albaugh ne diskriminira pojedince koji ostvaruju bilo koje od prava zajamčenih primjenjivim propisima u svim okolnostima. To uključuje, ali nije ograničeno na, ne odbijanje pružanja proizvoda ili usluga podnositelju zahtjeva; ne naplaćivanje različitih cijena ili stopa za proizvode ili usluge, uključujući popuste ili druge pogodnosti; ne nametanje kazni; i ne pružanje različite razine ili kvalitete proizvoda ili usluga, niti davanje do znanja da će pojedinci primiti drugačiju cijenu, stopu, razinu ili kvalitetu proizvoda ili usluga zbog ostvarivanja svojih prava.

Dodatno, regionalni IT i službenici za usklađenost surađivat će s grupnim IT i službenikom za usklađenost u grupi radi ispunjavanja specifičnih zahtjeva lokalnih zakona u svakoj regiji.

4. Kolačići i suglasnost

4.1 REGULATORNA PITANJA

Izraz „suglasnost“ pojavljuje se u gotovo svim propisima o zaštiti podataka diljem svijeta. Većina zemalja, osim Sjedinjenih Država, zahtijeva „opt-in“ suglasnost slobodno dano od strane subjekta podataka od kojeg Albaugh prikuplja informacije. Primjenjivi zakoni obično definiraju „suglasnost“ kao „bilo koju slobodno danu, specifičnu, informiranu i nedvosmislenu izjavu subjekta podataka kojom on ili ona, putem izjave ili jasne afirmativne radnje, izražava suglasnost za obradu osobnih podataka koji se odnose na njega ili nju“.

Primjenjivi zakoni određuju pravne osnove koje organizacija može navesti pri prikupljanju i obradi osobnih podataka, uključujući „suglasnost“. Albaugh mora osigurati da, ako navodi „suglasnost“ kao pravnu osnovu za određenu aktivnost obrade podataka, razlog bude dosljedan tijekom cijelog procesa i ne može se naknadno promijeniti u drugu pravnu osnovu (međutim, u početku se može navesti više pravnih osnova).

Primjenjivi zakoni propisuju sljedeće uvjete za „suglasnost“:

• Slobodno dana:

• Ispunjavanje usluge ne smije zahtijevati suglasnost za obradu osobnih podataka koji nisu nužni za tu uslugu.

• Subjektu podataka mora biti ponuđen pravi ili slobodan izbor.

• Specifična:

• Ako je suglasnost zatražena u pisanom dokumentu koji se odnosi i na druge stvari, odjeljak o suglasnosti mora biti jasno odvojen od ostatka teksta.

• Subjekti podataka moraju posebno pristati na svaku aktivnost obrade podataka.

• Informirana:

• Subjekti podataka moraju biti jasno obaviješteni, na jednostavnom jeziku, tko obrađuje njihove podatke, koje aktivnosti obrade će biti provedene i svrhu obrade; to se mora izraziti prije nego što se suglasnost zatraži.

• Jasna i nedvosmislena:

• Suglasnost subjekta podataka za obradu njihovih osobnih podataka mora biti dokaziva.

• Šutnja ili neaktivnost nisu prihvatljivi; subjekt podataka mora svjesno „optirati“ jasno označavanjem polja, odabirom tehničke postavke ili davanjem jasne izjave o suglasnosti.

• Mora se moći povući:

• Subjekt podataka mora imati pravo jednostavno povući svoju suglasnost (tj. odjaviti se) u bilo kojem trenutku; to pravo mora biti jasno istaknuto prije početnog prikupljanja suglasnosti.

4.2 „PRODAJA“ OSOBNIH PODATAKA

„Prodaja“ se odnosi na prodaju, najam, otpuštanje, objavljivanje, širenje, omogućavanje, prijenos ili na drugi način usmenu, pisanu ili elektroničku komunikaciju osobnih podataka koje potrošač nije namjerno namjeravao dijeliti s trećom stranom. Prijenosi osobnih podataka trećim stranama, bez obzira na novčanu naknadu, mogu se smatrati „prodajom“ prema primjenjivim zakonima. Stoga „prodaja“ osobnih podataka zahtijeva suglasnost.

4.2.1 Pravilo o zabrani prodaje

Prema određenim primjenjivim zakonima, potrošači imaju pravo zatražiti od tvrtki da ne „prodaju“ njihove osobne podatke. Specifični zahtjevi Pravila o zabrani prodaje uključuju sljedeće:

• Sve web stranice moraju imati stranicu pod nazivom „Ne prodaj moje osobne podatke“ koja omogućuje potrošačima da se odjave iz „prodaje“ njihovih osobnih podataka.

• Veza do stranice „Ne prodaj moje osobne podatke“ mora biti prisutna na početnoj stranici weba (najbolja praksa je da veza bude vidljiva na svim stranicama).

• Potrošači se moraju moći odjaviti bez kreiranja računa na web stranici.

• Pravila o privatnosti web stranice moraju uključivati jezik koji opisuje prava potrošača i link na stranicu „Ne prodaj moje osobne podatke“.

• Nakon što se potrošač odjavi, ne smije se tražiti da se njegovi osobni podaci „prodaju“ tijekom 12 mjeseci.

Albaugh ne prodaje osobne podatke. Ako neka Albaugh web stranica prikuplja osobne podatke radi prodaje trećim stranama, web stranica mora sadržavati stranicu „Ne prodaj moje osobne podatke“.

4.2.2 Maloljetnici i prodaja osobnih podataka

Albaugh ne smije namjerno prodavati osobne podatke potrošača mlađih od 16 godina. Potrošači između 13 i 16 godina ili roditelji/skrbnici (za potrošače mlađe od 13 godina) moraju posebno „optirati“ ili dati „suglasnost“ za prodaju svojih (ili dječjih) osobnih podataka.

Albaughove usluge i proizvodi nisu namijenjeni osobama mlađim od 18 godina. Albaugh ne prikuplja niti koristi osobne podatke maloljetnika svjesno.

4.3 Zahtjevi politike

Albaugh mora dobiti suglasnost subjekata podataka u skladu s primjenjivim zakonima. Kad je potrebna suglasnost, mora biti osigurano sljedeće:

• Mogućnost dokazivanja da je subjekt podataka izričito dao suglasnost za obradu svojih osobnih podataka.

• Mogućnost dokazivanja da je subjekt podataka pristao na obradu osobnih podataka za jednu ili više specifičnih svrha.

• Suglasnost je jasno odvojena od ostalih pitanja vezanih uz subjekt podataka.

• Suglasnost je u razumljivom i lako dostupnom obliku, korištenjem jasnog i jednostavnog jezika.

• Subjekt podataka je obaviješten o pravu na povlačenje suglasnosti prije nego ju je dao.

• Obrada podataka ograničena je na svrhe definirane izričitom suglasnošću subjekta podataka.

• Evidencija o suglasnosti se čuva, gdje je to primjenjivo, u skladu s internim politikama čuvanja podataka i regulatornim obvezama.

Dodatno, regionalni IT i regionalni službenik za usklađenost provjerit će postupke suglasnosti Albaugha u odnosu na dodatne primjenjive lokalne zakone i propise.

4.4 Iznimke

Bilo kakve iznimke od politike moraju odobriti Glavni pravni savjetnik.

4.5 Provedba politike

Svakom zaposleniku koji prekrši ovu politiku mogu biti izrečene disciplinske mjere, uključujući i otkaz.

5. Povijest revizija dokumenta i odobrenje