Dane osobowe i bezpieczeństwo
Centralne Biuro Ochrony Radiologicznej Spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie przy ul. Grzybowskiej 87, adres e-mail: biuro@cbor.eu, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem 0000957067, numer NIP: 527-299-19-29, REGON: 521400650, o kapitale zakładowym w wysokości 5 100 zł, której akta rejestrowe przechowywane są w Sądzie Rejonowym dla m.st. Warszawy w Warszawie w XIII Wydziale Gospodarczym Krajowego Rejestru Sądowego, przetwarza dane osobowe zgodnie z obowiązującymi przepisami i regulacjami o ochronie danych osobowych i dokłada wszelkich starań, aby zapewnić bezpieczeństwo i ochronę danych osobowych podczas przetwarzania.

RODO
RODO to Rozporządzenie Parlamentu Europejskiego i Rady (Unii Europejskiej) 2016/679 z 27 kwietnia 2016 r. Dotyczy ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i reguluje zasady swobodnego przepływu takich danych.

Obowiązywanie RODO
RODO obowiązuje od 25 maja 2018 roku.

Cele RODO

• Realizacja podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych osobowych.
• Regulacja zasad i umożliwienie swobodnego przepływu danych osobowych w UE w taki sposób, aby ochrona praw jednostki nie stała temu na przeszkodzie.
• Zgodność (harmonizacja) przepisów w UE dotyczących przetwarzania danych osobowych - RODO bezpośrednio obowiązuje we wszystkich krajach UE.

Kogo dotyczy RODO
RODO dotyczy wszystkich podmiotów, które prowadzą działalność w UE, niezależnie od tego, czy przetwarzanie danych odbywa się w UE. Dotyczy także przedsiębiorstw spoza UE, jeżeli:

• sprzedają towary lub świadczą usługi na terenie UE,
• prowadzą stały monitoring mieszkańców UE, niezależnie od tego, czy przetwarzanie odbywa się w UE.

Co musisz zrobić w związku z RODO
W związku z RODO nie musisz podejmować żadnych działań ani kontaktować z nami. Twoje dane osobowe są bezpieczne. Zachęcamy Cię do zapoznania się z poniższymi informacjami.

Kto jest Administratorem danych osobowych
Administratorem Twoich danych osobowych jest Centralne Biuro Ochrony Radiologicznej Spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie przy ul. Grzybowskiej 87, adres e-mail: biuro@cbor.eu, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem 0000957067, numer NIP: 527-299-19-29, REGON: 521400650, o kapitale zakładowym w wysokości 5 100 zł, której akta rejestrowe przechowywane są w Sądzie Rejonowym dla m.st. Warszawy w Warszawie w XIII Wydziale Gospodarczym Krajowego Rejestru Sądowego. Ustalamy po co i w jaki sposób przetwarzamy Twoje dane osobowe oraz odpowiadamy za to, aby przetwarzanie odbywało się zgodnie z przepisami prawa, zawartą umową i w bezpieczny sposób.

Organ nadzorczy RODO w Polsce
W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Organy nadzorcze w UE współpracują ze sobą i z Komisją Europejską.

Kim są podmioty przetwarzające
Aby przetwarzać dane osobowe administrator może korzystać z usług innych firm, czyli podmiotów przetwarzających (jak np. partnerzy biznesowi i podmioty świadczące na rzecz Administratora usługi, w tym w szczególności: księgowe, informatyczne, pocztowe). Podmiot przetwarzający obowiązują te same zasady co administratora.

Zasady przetwarzania danych osobowych
Zasada legalności
Przetwarzanie danych osobowych musi odbywać się na podstawie co najmniej jednej z przesłanek uprawniających do przetwarzania, wskazanych w art. 6 ust. 1 lit. a)-f) RODO, czyli:

• osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych,
• przetwarzanie jest niezbędne do wykonania umowy zawartej z osobą, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy,
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej,
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.

Zasada celowości
Aby przetwarzać dane osobowe, administrator musi mieć konkretny, wyraźny (jednoznaczny) i prawnie uzasadniony cel przetwarzania. Nie wszystkie cele przetwarzania wymagają zgody osoby, której dane dotyczą lub podlegają sprzeciwowi. Twoje dane osobowe przetwarzamy, w szczególności, w następujących celach:

• nawiązania współpracy przed zawarciem umowy,
• zawarcia i wykonywania umowy,
• wykonywania ustawowych obowiązków Administratora, w szczególności podatkowych i sprawozdawczych,
• realizacji prawnie uzasadnionego interesu Administratora w postaci zapewnienia niezbędnych rozliczeń w związku z zawartą umową, dochodzenia roszczeń oraz budowania relacji i wizerunku.

Zasada adekwatności (minimalizacji danych)
Administrator, który przetwarza dane osobowe powinien kierować się zasadą minimalizacji danych, czyli przetwarzać tyko takie dane, które są niezbędne, konieczne i proporcjonalne do realizacji danego celu przetwarzania. Zakres danych może być określony wprost przez przepisy prawa (np. ustawę z 29 listopada 2000 r. - Prawo atomowe oraz przepisy wykonawcze do niej). Jeśli nie jest - to administrator musi ocenić, czy zakres danych, które chce przetwarzać, jest niezbędny i proporcjonalny do realizacji celu przetwarzania. Zasada merytorycznej poprawności
Przetwarzane dane osobowe powinny być poprawne, a jeśli będzie taka potrzeba lub konieczność powinny być także uaktualniane. Administrator jest zobowiązany zapewnić prawidłowość, merytoryczną poprawność, zgodność ze stanem rzeczywistym, kompletność i aktualność danych. Administrator powinien ocenić wiarygodność źródła pozyskania danych, a także wdrożyć sposób weryfikacji prawdziwości przetwarzanych danych. Zasada ograniczenia przechowywania danych
Dane osobowe mogą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy niż jest to niezbędne do realizacji danego celu przetwarzania. W tym celu administrator powinien ustalić okres przechowywania danych, termin ich usuwania lub okresowego przeglądu. Okres przechowywania danych może być określony wprost przez przepisy prawa, jak np. 5 lat od końca okresu podatkowego dla danych finansowych (faktury, obsługa płatności) w ustawie z 29 sierpnia 1997 r. - Ordynacja podatkowa. Zasada integralności i poufności danych
Dane osobowe powinny być zabezpieczone przed niedozwolonym lub niezgodnym z prawem przetwarzaniem danych, ich przypadkową utratą, zniszczeniem lub uszkodzeniem. W tym celu administrator powinien stosować odpowiednie środki techniczne lub organizacyjne. Zasada rozliczalności
Administrator powinien:

• wdrożyć odpowiednie i skuteczne środki, które zapewnią przestrzeganie obowiązków i wymagań RODO,
• być w stanie wykazać, że postępuje zgodnie z zasadami dotyczącymi przetwarzania danych osobowychoraz że zastosowane środki spełniają obowiązki i wymagania RODO.

Wybór środków zależy od administratora oraz rozpoznanego i oszacowanego zagrożenia dla bezpieczeństwa danych osobowych. Zasada przejrzystości
Informacje przekazywane osobom, których dane dotyczą, powinny być łatwo dostępne, zrozumiałe oraz sformułowane jasnym i prostym językiem. Informacje mogą być przekazywane w formie pisemnej (w tym elektronicznie) lub ustnie. Administrator nie powinien pobierać opłaty za udzielanie żądanych informacji. Mogą być wyjątki- gdy żądania są ewidentnie nieuzasadnione lub nadmierne. Wtedy administrator może pobrać rozsądną opłatę.

Zgoda na przetwarzanie danych
Zgoda jest jedną z przesłanek zgodnego z prawem przetwarzania Twoich danych osobowych. Zgoda może mieć formę oświadczenia, ale również wyraźnego działania potwierdzającego. Zgoda może być zbierana w kilku różnych celach. Zawsze masz prawo do wycofania wyrażonej zgody. Wycofanie zgody nie ma wpływu na zgodność z prawem przetwarzania Twoich danych sprzed wycofania zgody.

Prawa osób, których dane przetwarzamy
Prawo dostępu do danych
Masz prawo wystąpić do nas z wnioskiem:

• o informację, czy przetwarzamy Twoje dane osobowe,
• o uzyskanie dostępu do swoich danych osobowych lub ich kopii, jeśli przetwarzanie ma miejsce.

Zakres informacji, o które możesz prosić, określa art. 15 ust. 1 i 2 RODO. Są to przede wszystkim cele przetwarzania, zakres danych osobowych, planowany okres przechowywania danych, informacje o Twoich prawach. Udzielimy Ci informacji bez opłat oraz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania wniosku. Ze względu na skomplikowany charakter żądania lub liczbę żądań termin możemy przedłużyć o kolejne dwa miesiące, ale poinformujemy o takim przedłużeniu terminu w ciągu miesiąca od otrzymania żądania. Jeśli będziesz zwracać się o kolejne kopie bardzo często (np. codziennie), to możemy pobrać opłatę w rozsądnej wysokości. Prawo do uzyskania kopii danych może zostać ograniczone w przypadku, gdy wpływałoby ono negatywnie na:

• prawa i wolności innych osób,
• tajemnice handlowe lub własność intelektualną,
• prawa autorskie chroniące oprogramowanie.

Prawo do sprostowania danych
Jako osoba, której dane dotyczą, masz prawo do żądania byśmy niezwłocznie:

• sprostowali dane osobowe, które są nieprawidłowe,
• uzupełnili niekompletne dane osobowe, po przedstawieniu dodatkowego oświadczenia.

Dane nieprawidłowe to takie, które nie odpowiadają rzeczywistemu stanowi rzeczy, czyli dane nieprawdziwe. Prawidłowość danych ocenia się z perspektywy osoby, której dane dotyczą. Dane niekompletne to dane co prawda prawidłowe, ale niepełne. Prawo do usunięcia danych
Jako osoba, której dane dotyczą masz prawo żądać usunięcia swoich danych osobowych. W przypadku, gdy skorzystasz z prawa do usunięcia danych, a Twoje dane osobowe zostały przez nas upublicznione (np. na stronie internetowej) możesz skorzystać z prawa do bycia zapomnianym - mamy obowiązek poinformować innych administratorów, że żądasz, aby administratorzy ci usunęli wszelkie łącza do tych danych osobowych, ich kopie lub replikacje. Prawo to nie musi być zrealizowane w każdym przypadku - aby je wykonać musimy podjąć rozsądne działania (w tym środki techniczne) biorąc pod uwagę dostępną technologię i koszt realizacji. Z prawa do usunięcia danych możesz skorzystać w jednej z następujących sytuacji:

• dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane,
• wycofasz zgodę, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania,
• wnosisz sprzeciw wobec przetwarzania i nie występują nadrzędne, prawnie uzasadnione podstawy przetwarzania lub przetwarzania dla celów marketingu bezpośredniego (w tym profilowania),
• dane osobowe były przetwarzane niezgodnie z prawem,
• dane osobowe muszą zostać usunięte, abyśmy wywiązali się z obowiązku prawnego.

Pamiętaj, że prawo do usunięcia danych i prawo do bycia zapomnianym nie mają charakteru bezwzględnego. Mogą być ograniczone, jeśli przetwarzanie jest niezbędne do:

• korzystania z prawa do wolności wypowiedzi i informacji,
• wywiązania się z prawnego obowiązku,
• ustalenia, dochodzenia lub obrony roszczeń.

Prawo do ograniczenia przetwarzania
Jako osoba, której dane dotyczą, masz prawo żądać, żebyśmy ograniczyli przetwarzanie danych osobowych w następujących przypadkach:

• kwestionujesz prawidłowość danych osobowych,
• przetwarzanie jest niezgodne z prawem, a Ty sprzeciwiasz się usunięciu danych osobowych,
• nie potrzebujemy już danych osobowych do celów przetwarzania, ale Ty ich potrzebujesz do ustalenia, dochodzenia lub obrony roszczeń,
• wnosisz sprzeciw wobec przetwarzania dla celów wynikających z prawnie uzasadnionych interesów realizowanych przez nas lub przez stronę trzecią do czasu stwierdzenia, czy prawnie uzasadnione podstawy po naszej stronie są nadrzędne wobec podstaw Twojego sprzeciwu.

Możesz w każdym czasie wycofać żądanie ograniczenia przetwarzania danych. Prawo do przenoszenia danych
Jako osoba, której dane dotyczą, masz prawo:

• otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego swoje dane osobowe, które nam dostarczyłeś/aś,
• przesłać dane innemu administratorowi.

Aby przenieść dane osobowe, muszą być spełnione dwa warunki:

• przetwarzanie odbywa się na podstawie zgody lub w celu wykonania umowy,
• przetwarzanie odbywa się w sposób zautomatyzowany (np. nie dotyczy danych przetwarzanych w formie papierowej).

Prawo do przenoszenia danych nie może niekorzystnie (negatywnie) wpływać na prawa i wolności innych osób. Administrator odpowiadający na wniosek o przeniesienie danych nie jest odpowiedzialny za przetwarzanie danych ani przez osobę, której dane dotyczą, ani przez administratora, do którego dane są przenoszone. Zautomatyzowane podejmowanie decyzji, w tym profilowanie
Jako osoba, której dane dotyczą, masz prawo nie podlegać decyzji, która:

• opiera się wyłącznie na zautomatyzowanym przetwarzaniu,
• wywołuje wobec Ciebie skutki prawne lub wpływa na Ciebie w istotny sposób.

Podejmowanie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych jest dopuszczalne, jeżeli decyzja spełnia przynajmniej jeden z trzech warunków:

• jest niezbędna do zawarcia lub wykonania umowy pomiędzy Tobą a nami,
• jest dozwolona przepisami prawa,
• opiera się Twojej zgodzie.

Twoje dane nie będą nie będą podlegać zautomatyzowanemu podejmowaniu decyzji, ani nie będą profilowane. Prawo do sprzeciwu
Jako osoba, której dane są przetwarzane, możesz wnieść sprzeciw wobec przetwarzania swoich danych osobowych. Prawo do sprzeciwu nie przysługuje w sytuacji, gdy dane osobowe są przetwarzane na podstawie zgody. Skarga do organu nadzorczego
Jako osoba, której dane dotyczą możesz wnieść skargę do organu nadzorczego (czyli Prezesa Urzędu Ochrony Danych Osobowych), jeżeli sądzisz, że przetwarzanie Twoich danych osobowych narusza RODO. Organ nadzorczy poinformuje Cię o postępach i efektach rozpatrywania skargi. Od decyzji organu nadzorczego przysługuje odwołanie do sądu.

Rejestr czynności przetwarzania
Jako administrator prowadzimy rejestr, w którym dokumentujemy najważniejsze czynności związane z przetwarzaniem danych osobowych. Rejestr musimy udostępnić na żądanie organu nadzorczego, czyli Prezesa Urzędu Ochrony Danych Osobowych.

Bezpieczeństwo przetwarzania danych osobowych
Jako administrator musimy zadbać o bezpieczeństwo Twoich danych osobowych. RODO nie zawiera minimalnych wymagań dotyczących zabezpieczeń - mają być odpowiednie do zagrożeń i wynikać z szacowania ryzyka. Stosowane przez nas środki bezpieczeństwa można podzielić na:

• techniczne - np. zarządzanie uprawnieniami lub hasłami w systemach informatycznych, tworzenie kopii zapasowych danych,
• organizacyjne - np. regulacje wewnętrzne (polityki, procedury, instrukcje), szkolenia, testowanie i ocena skuteczności wdrożonych zabezpieczeń.

Środki bezpieczeństwa są w razie potrzeby sprawdzane i uaktualniane. Naruszenie ochrony danych osobowych
W przypadku, gdy wystąpi naruszenie ochrony danych osobowych musimy:

• bez zbędnej zwłoki (nie później niż 72 godziny po stwierdzeniu naruszenia) zgłosić je organowi nadzorczemu, czyli Prezesowi Urzędu Ochrony Danych Osobowych. Obowiązek nie obowiązuje, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych,
• bez zbędnej zwłoki zawiadomić osobę, której dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności.

Jako administrator prowadzimy dokumentację dotyczącą naruszeń ochrony danych osobowych. Organ nadzorczy ma prawo dostępu do tej dokumentacji.

Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)
Europejski Obszar Gospodarczy (EOG) obejmuje Unię Europejską, Norwegię, Liechtenstein i Islandię. Nie przekazujemy ani nie planujemy przekazywać Twoich danych poza EOG.