1. Pregled

1.1 NAMEN

Albaugh (v nadaljevanju »Družba«) politika upravljanja zahtevkov podatkovnih subjektov (DSR - »Data Subject Request«) ter piškotkov in soglasij ureja prejemanje, ocenjevanje, odgovarjanje in vodenje zapisov v zvezi z DSR-ji v podjetju Albaugh. DSR-je lahko vložijo podatkovni subjekti skladno z različnimi veljavnimi zakoni, ta politika pa določa proces sprejema in obravnave takšnih zahtevkov v skladu z veljavnimi predpisi. Poleg tega politika določa smernice, kdaj je potrebno pridobiti soglasje, kakšen je obvezni jezik in kako se mora dokumentacija voditi.

1.2 OBSEG

Ta politika velja za vse člane delovne sile Albaugh, vključno z zunanjimi sodelavci in svetovalci. Albaugh zahteva, da vsi tretji izvajalci, ki uporabljajo Albaugh-ovo strojno opremo, programsko opremo, omrežja, aplikacije, podatke, intelektualno lastnino in povezane vire, spoštujejo veljavne zakonske standarde. Politika velja za Albaugh in njegove hčerinske družbe.

2. Definicije

Veljavni zakon(i) – Vsak državni, zvezni ali tuji zakon(i), pravilo(i) ali predpis(i), ki urejajo obdelavo osebnih podatkov.

Upravljavec – Subjekt, ki določa namene in sredstva obdelave osebnih podatkov. Upravljavec je lahko označen tudi kot »poslovni subjekt« v skladu z veljavnimi zakoni.

Podatkovni subjekt – Identificirana ali prepoznavna oseba, na katero se nanašajo osebni podatki.

Zahtevek podatkovnega subjekta (DSR) – Način, s katerim podatkovni subjekti zahtevajo, da organizacija razkrije, katere osebne podatke o njih hrani in kako jih uporablja ali namerava uporabiti.

Osebni podatki (PI) – Vsaka informacija, ki se nanaša na fizično osebo ali »podatkovni subjekt«, ki jo je mogoče neposredno ali posredno uporabiti za identifikacijo osebe. V nekaterih jurisdikcijah se osebni podatki imenujejo tudi »osebni podatki« ali »osebni podatki, ki omogočajo identifikacijo« (PII).

Obdelava – Vsaka operacija ali niz operacij, izvedenih nad osebnimi podatki, ne glede na to, ali poteka samodejno, kot so zbiranje, beleženje, organizacija, shranjevanje, prilagajanje ali spreminjanje, pridobivanje, posvetovanje, razkritje z oddajanjem, širjenje ali na drug način omogočanje dostopa, usklajevanje ali združevanje, blokiranje, izbris ali uničenje.

Obdelovalec – Subjekt, ki obdeluje osebne podatke v imenu upravljavca. Obdelovalec je lahko označen tudi kot »ponudnik storitev« v skladu z veljavnimi zakoni.

3. Zahtevki podatkovnih subjektov

3.1 Zahtevki v obsegu

Glede na veljavne zakone v jurisdikciji, kjer prebivajo podatkovni subjekti (npr. stranke, potrošniki, zaposleni itd.), imajo podatkovni subjekti naslednje pravice v zvezi z osebnimi podatki:

• Dostop in prenosljivost: pravica zahtevati, da Albaugh posreduje poročilo o osebnih podatkih, ki jih podjetje hrani. Poročilo lahko vključuje:

• Kategorije osebnih podatkov, ki jih je Albaugh zbral o tem potrošniku;

• Kategorije virov, iz katerih so osebni podatki zbrani;

• Poslovni ali komercialni namen zbiranja ali prodaje osebnih podatkov;

• Kategorije tretjih oseb, s katerimi Albaugh deli osebne podatke;

• Specifične osebne podatke, ki jih je Albaugh zbral o tem potrošniku.

• Popravek: pravica zahtevati popravek napačnih ali nepopolnih osebnih podatkov.

• Izbris: pravica zahtevati izbris osebnih podatkov.

• Zahtevki so lahko zavrnjeni, če je hranjenje osebnih podatkov potrebno v določenih okoliščinah, vključno, a ne omejeno na:

• izpolnjevanje pravne obveznosti;

• vzpostavljanje, uveljavljanje ali obramba pravnih zahtevkov;

• izvajanje naloge v javnem interesu ali pri izvajanju uradne pristojnosti;

• Umik soglasja: pravica umakniti soglasje za obdelavo osebnih podatkov pri Albaugh (glej poglavje »Piškotki in upravljanje soglasij« spodaj).

• Marketinške komunikacije: pravica, da se odjavite od prejemanja marketinških sporočil podjetja Albaugh.

• Ugotavljanje ugovora: pravica podatkovnih subjektov, da nasprotujejo obdelavi osebnih podatkov, ki se jih ti podatki nanašajo.

• Omejitev obdelave: pravica omejiti ali ugovarjati obdelavi oziroma prenosu osebnih podatkov v določenih okoliščinah.

• Avtomatizirano posamezno odločanje: pravica, da ne boste predmet odločitve, ki temelji izključno na avtomatizirani obdelavi osebnih podatkov, vključno s profiliranjem.

• Nediskriminacija: pravica, da ne boste deležni diskriminacije zaradi uveljavljanja zgoraj navedenih pravic. Albaugh ne bo izvajal povračilnih ali diskriminatornih ukrepov proti kateremukoli potrošniku, ki uveljavlja svoje pravice. Posledično Albaugh ne more posameznikom zavrniti svojih storitev in izdelkov. Veljavni zakoni lahko prepovedujejo kakršnokoli prakso, ki je izkoriščevalska, prisilna ali nepravična.

3.2 Zahteve glede DSR

Ne glede na zakonodajo, na podlagi katere je zahtevek vložen, obstajajo skupni elementi programa obravnave DSR-jev pri Albaugh, ki jih bo podjetje izvajalo v skladu z zakonodajo:

1. Prejem zahtevkov

Proces za oddajo DSR zahtevkov s strani posameznikov podjetju Albaugh je opisan v javno dostopnih obvestilih o zasebnosti Albaugh.

2. Dokumentacija in spremljanje prejetih zahtevkov

Albaugh zagotavlja, da so vsi prejeli DSR zahtevki dokumentirani za notranje potrjevanje prejema. Podjetje spremlja status izpolnitve zahtevkov (od prejema do zavrnitve ali izpolnitve), da zagotovi pravočasen odgovor skladno z zakonskimi roki.

3. Usposabljanje in ozaveščanje

Albaugh zagotavlja, da so vse osebe, odgovorne za obravnavo vhodnih DSR zahtevkov in zunanjih poizvedb (vključno z zahtevki, ki zahtevajo sodelovanje tretjih oseb), seznanjene z veljavnimi zakonskimi zahtevami in notranjimi postopki podjetja.

4. Časovni okviri za odgovor in potrditev

Albaugh bo na zahtevke odgovoril v skladu z veljavnimi zakonskimi roki. To lahko vključuje potrditev prejema zahtevka pred odločitvijo o njegovi sprejemljivosti in pred izpolnitvijo zahtevka.

5. Ocena pravne podlage

V postopku obravnave DSR-jev bo Albaugh sprejel ali zavrnil zahtevke glede na oceno pravne podlage zahtevka v skladu z veljavnimi zakoni. V primeru zavrnitve bo Albaugh podatkovnemu subjektu sporočil razlog za neizpolnitev zahtevka.

6. Preverjanje identitete

Določitev pravne podlage in odgovor na zahtevek vključujeta, kjer je to potrebno po zakonu, tudi preverjanje identitete pred razkritjem informacij.

7. Pravna ocena zahtevkov tretjih oseb in preverjanje identitete

Če podatkovni subjekt uporablja zastopnika za vložitev zahtevka, lahko Albaugh zahteva dodatne korake za zagotavljanje skladnosti.

8. Zavrnitev zahtevka

Albaugh zagotavlja, da so vsi podatki, povezani z odločbo o zavrnitvi zahtevka, ki jih zahteva zakonodaja, posredovani vlagatelju zahtevka in ustrezno arhivirani. Razlogi za zavrnitev vključujejo med drugim nezmožnost preverbe identitete podatkovnega subjekta in druge omejitve skladnosti z zakonodajo (npr. zakoni EU, ZDA itd.).

9. Izpolnitev zahtevka

Albaugh ima vzpostavljene politike in postopke, ki zagotavljajo, da se zahtevani podatki ustrezno sporočijo ali prilagodijo znotraj organizacije ter da sistemi in zunanji izvajalci pravilno izvedejo obveznosti iz DSR postopka.

10. Protidskriminacija

Albaugh ne diskriminira posameznikov, ki uveljavljajo svoje pravice v skladu z veljavnimi predpisi. To vključuje prepoved zavrnitve storitev ali blaga, prepoved zaračunavanja drugačnih cen ali pogojev in zagotavljanje enake kakovosti storitev za vse zahtevke. Regionalni IT in uslužbenci za skladnost bodo sodelovali z IT in skladnostjo skupine za uresničitev specifičnih lokalnih zahtev.

4. Piškotki in soglasje

4.1 REGULATIVNA VPRAŠANJA

Izraz »soglasje« se pojavlja v skoraj vseh zakonih o varstvu podatkov po svetu. Večina držav, razen Združenih držav, zahteva »aktivno privolitev« (opt-in) podatkovnega subjekta, od katerega Albaugh zbira podatke. Veljavni zakoni definirajo »soglasje« kot »prostovoljno, specifično, informirano in nedvoumno izraženo željo podatkovnega subjekta, s katero ta izjavi ali s jasnim dejanjem soglaša z obdelavo njegovih osebnih podatkov«.

Veljavni zakoni določajo pravne osnove, ki jih lahko organizacija navaja pri zbiranju in obdelavi osebnih podatkov, vključno s »soglasjem«. Albaugh mora zagotoviti, da če trdi, da je »soglasje« pravna osnova za določeno obdelavo, je razlog dosleden skozi celoten postopek in se kasneje ne spremeni (lahko pa navede več pravnih osnov na začetku).

Veljavni zakoni določajo naslednje pogoje glede soglasja:

• Prostovoljno dano:

• Izdaja storitve ali dobava ne sme zahtevati soglasja za obdelavo osebnih podatkov, ki niso potrebni za izvedbo storitve.

• Podatkovnemu subjektu mora biti dana resnična možnost izbire.

• Specifično:

• Če je soglasje zajeto v pisni izjavi, ki obravnava tudi druge zadeve, mora biti del o soglasju jasno ločen od ostale vsebine.

• Podatkovni subjekti morajo soglasje dati za vsako obdelavo posebej.

• Informirano:

• Podatkovni subjekti morajo biti jasno in razumljivo obveščeni, kdo obdeluje njihove podatke, katere obdelave se izvajajo in za kakšen namen, in to pred pridobitvijo soglasja.

• Nedvoumno:

• Soglasje podatkovnega subjekta mora biti dokazljivo.

• Tišina ali neaktivnost nista sprejemljiva; podatkovni subjekt mora aktivno »opt-in« npr. z označitvijo polja, izbiro nastavitve ali jasnim izjavljenim soglasjem.

• Preklicljivo:

• Podatkovni subjekt ima vedno pravico enostavno preklicati soglasje (opt-out) kadarkoli; ta pravica mora biti izražena že pred pridobitvijo soglasja.

4.2 »PRODAJA« OSEBNIH PODATKOV

»Prodaja« pomeni prodajo, oddajanje v najem, razkritje, širjenje, omogočanje dostopa, prenos ali kakršnokoli drugo komuniciranje osebnih podatkov tretjim osebam, ki jih potrošnik ni namerno usmeril k deljenju. Prenosi osebnih podatkov tretjim osebam, ne glede na finančni nadomestilo, se lahko štejejo kot »prodaja« po veljavnih zakonih. Zato prodaja osebnih podatkov zahteva soglasje.

4.2.1 Pravilo »Ne prodajajte mojih osebnih podatkov«

Po določenih zakonih imajo potrošniki pravico zahtevati od podjetij, da ne »prodajajo« njihovih osebnih podatkov. Zahteve vključujejo:

• Vse spletne strani morajo imeti stran z naslovom »Ne prodajajte mojih osebnih podatkov«, ki omogoča odjavo od »prodaje« osebnih podatkov.

• Povezava do te strani mora biti vidna na domači strani spletnega mesta (priporočljivo je tudi na vseh drugih straneh).

• Potrošniki se morajo lahko odjaviti brez registracije na spletni strani.

• Politika zasebnosti mora vsebovati opis pravic potrošnikov in povezavo do strani »Ne prodajajte mojih osebnih podatkov«.

• Po odjavi potrošnika mu ne smejo 12 mesecev ponujati prodajo njegovih podatkov.

Albaugh ne sodeluje v prodaji osebnih podatkov. Če katerakoli Albaugh spletna stran zbira osebne podatke za prodajo tretji osebi, mora vključevati stran »Ne prodajajte mojih osebnih podatkov«.

4.2.2 Mladoletniki in prodaja osebnih podatkov

Albaugh ne sme namerno »prodajati« osebnih podatkov potrošnikov, mlajših od 16 let. Potrošniki med 13 in 16 leti oziroma njihovi starši/skrbniki (za mlajše od 13 let) morajo posebej »opt-in« ali dati soglasje za »prodajo« svojih ali otrok osebnih podatkov.

Albaugh storitve in izdelki niso namenjeni osebam, mlajšim od 18 let. Albaugh ne zbira in ne uporablja osebnih podatkov mladoletnikov zavedno.

4.3 Zahteve politike

Albaugh mora pridobiti soglasje podatkovnih subjektov v skladu z veljavnimi zakoni. Če je soglasje potrebno, mora biti zagotovljeno naslednje:

• Dokazilo, da je podatkovni subjekt izrecno dal soglasje za obdelavo osebnih podatkov.

• Dokazilo, da je podatkovni subjekt soglašal z obdelavo osebnih podatkov za enega ali več specifičnih namenov.

• Soglasje je jasno ločeno od drugih vsebin, ki zadevajo podatkovni subjekt.

• Soglasje je v razumljivi in lahko dostopni obliki, uporabljajoč jasen in enostaven jezik.

• Podatkovni subjekt je bil obveščen o pravici do preklica soglasja pred njegovim dajanjem.

• Obdelava podatkov je omejena na pogodbeno zavezujočo uporabo, za katero je bilo soglasje dano.

• Zapisi soglasij se hranijo v skladu z internimi politikami hranjenja podatkov in zakonskimi zahtevami.

Regionalni IT in regionalni uslužbenec za skladnost bodo preverili postopke Albaugh glede soglasij tudi glede dodatnih lokalnih zakonov in predpisov.

4.4 IZJEME

Vsaka izjema od politike mora biti odobrena s strani generalnega pravnega svetovalca.

4.5 IZVRŠEVANJE POLITIKE

Kršitve politike lahko za zaposlene pomenijo disciplinske ukrepe, vključno z odpustom.

5. Zgodovina sprememb in odobritve dokumenta