Политика за поверителност

I. ОБЩ

Чл. 1. (1) “Marveltech” ООД, наричано по-нататък „Дружеството“, е юридическо лице, регистрирано съгласно Търговския закон, и е вписано в Търговския регистър на Агенцията по вписванията с ЕИК: 202783376.

(2) “Marveltech” ООД има седалище и адрес на управление в: Седалище и адрес на управление: 1680, район Витоша, ул. 9А, ОФИС 3.

(3) Като юридическо лице, Дружеството обработва лични данни във връзка с дейността си и самостоятелно определя целите и средствата за тяхното обработване. В този случай Дружеството действа като администратор на лични данни.

(4) Когато Дружеството обработва лични данни за цели, определени самостоятелно от трето лице, или когато целите са определени съвместно от Дружеството и трето лице, Дружеството заема позицията на обработващ (ако целите са определени от лицето, възложило обработването) или на съвместен администратор.

Чл. 2. Тези Вътрешни правила на Дружеството уреждат организацията по обработване и защита на личните данни на служителите, включително кандидатите за работа в Дружеството, на клиентите, контрагентите и партньорите на Дружеството, както и на всички останали групи физически лица, с които Дружеството влиза в отношения при осъществяване на правомощията и дейността си.

“Лични данни” означава всяка информация, отнасяща се до идентифицирано физическо лице или до физическо лице, което може да бъде идентифицирано (“субект на данни”); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местоположение, онлайн идентификатор или чрез един или повече фактори, специфични за физическата, физиологичната, генетичната, психичната, икономическата, културната или социалната идентичност на физическо лице или на естествено или юридическо лице, или до идентичността на естествено или юридическо лице, по-специално чрез позоваване на идентификатор като име, идентификационен номер, данни за местоположение, онлайн идентификатор или на един или повече фактори, специфични за физическата, физиологичната, генетичната, психичната, икономическата, културната или социалната идентичност на физическо лице.

(2) ‘Обработване на лични данни’ означава всяка операция или съвкупност от операции, която се извършва върху лични данни или върху съвкупност от лични данни, независимо дали с неавтоматизирани или автоматизирани средства, като например събиране, записване, организиране, структуриране, съхраняване, адаптиране или промяна, извличане, консултиране, използване, разкриване чрез предаване, разпространяване или друг начин на предоставяне, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

(3) “Личен данными запис‘ е всяка структурирана съвкупност от лични данни, независимо от тяхното естество и формата, чрез която се осъществява достъпът до тях според определени критерии, било то централизиран, децентрализиран или разпределен по функционален или географски признак.

Чл. 4. (1) Дружеството е администратор на лични данни по смисъла на чл. 4, т. 7 от Общия регламент за защита на данните (ЕС) 2016/679. (2) В качеството си на администратор на лични данни, при обработването на лични данни, Дружеството спазва принципите за защита на данните, залегнали в Общия регламент за защита на данните (ЕС) 2016/679 и законодателството на Европейския съюз и на Република България.

Чл. 5. (1) Принципите за защита на личните данни са: Законосъобразност, справедливост и прозрачност – обработване при наличие на правно основание, при полагане на дължима грижа и при информиране на субекта на данните; Ограничение на целите – събиране на данни за конкретни, изрично посочени и легитимни цели и забрана на по-нататъшна обработка по начин, несъвместим с тези Цели; Свеждане на данните до минимум – данните да са подходящи, релевантни и ограничени до необходимото по отношение на целите на обработването; Точност – поддържане в актуално състояние и предприемане на всички разумни мерки за гарантиране, че неточните данни се изтриват или коригират своевременно, когато се вземат предвид целите на обработването; Ограничение на съхранението – данните да се обработват за минимален период от време, съответстващ на целите.

Съхраняването за по-дълги периоди е приемливо за целите на архивиране в обществен интерес, за научни или исторически изследвания или статистически цели, при условие че са приложени подходящи технически и организационни мерки; Цялостност и поверителност – обработване по начин, който осигурява подходящо ниво на сигурност на личните данни чрез прилагане на подходящи технически или организационни мерки; Отчетност – администраторът е отговорен и трябва да може да докаже спазването на всички принципи, свързани с обработването на лични данни.

(2) Ако конкретната цел или цели, за които личните данни се обработват от Дружеството, не изискват или вече не изискват идентифицирането на субекта на данните, Дружеството не е длъжно да поддържа, придобива или обработва допълнителна информация за идентифициране на субекта на данните с единствената цел да демонстрира съответствие с изискванията на Регламент 2016/679.

Чл. 6. Дружеството организира и предприема мерки за защита на личните данни от случайно или незаконно унищожаване, нерегламентиран достъп, промяна или разпространение, както и от други незаконни форми на обработване на лични данни. Предприетите мерки са съобразени с актуалните технологични постижения и рисковете, свързани с характера на данните, които следва да бъдат защитени.

Чл. 7. Дружеството прилага адекватна защита на личните данни, която включва: Физическа защита; Документална защита; Защита на автоматизираните информационни системи и мрежи;

Чл. 8. (1) Личните данни се събират за конкретни цели, които са законосъобразно и справедливо определени, и не се обработват по начин, който е несъвместим с тези цели. По-нататъшното обработване на лични данни за целите на архивиране в обществен интерес, за научни, исторически изследвания или за статистически цели не се счита за несъвместимо с първоначалните цели.

(2) Личните данни се съхраняват на хартиен, технически и/или електронен носител само за времето, необходимо за изпълнение на правомощията на Дружеството, законовите задължения, защитата на правата и законните интереси на Дружеството и/или нормалното му функциониране.

(3) Събирането, обработването и съхраняването на лични данни в регистрите на Дружеството се извършва на хартиени, технически и/или електронни носители по централизиран и/или разпределен начин в помещения, съобразно предвидените мерки за сигурност и оценката на подходящото ниво на сигурност на съответния регистър.

Чл. 9. При наличие на хипотезите на чл. 1, б. “б” – ”е” от Регламент 2016/679, физическите лица, чиито лични данни се обработват от Дружеството, подписват декларация за съгласие по образец.

Чл. 10. (1) Правото на достъп до регистрите с лични данни се предоставя само на упълномощените служители на Дружеството, съобразно възложените им от Дружеството правомощия, както и на обработващите лични данни, на които администраторът е възложил обработването на данни от съответния регистър по реда на чл. 28 от Общия регламент за защита на данните.

(2) Оправомощаването на служителите се основава на длъжностна характеристика или чрез изричен акт на представител на Дружеството.

(3) Служителите носят отговорност за осигуряване и гарантиране на регламентиран достъп до офис помещенията и за опазване на записите, съдържащи лични данни. Всяко умишлено нарушение на правилата и ограниченията за достъп до лични данни от страна на персонала може да бъде основание за дисциплинарни действия срещу засегнатите служители.

(4) Служителите, които имат достъп до регистрите с лични данни, не разкриват информация относно лични данни, станали им известни при или във връзка с изпълнението на техните задължения.

Чл. (1) Документите и файловете, по които е извършена работа, се архивират.

(2) Постоянното съхранение за архивни цели на документи, съдържащи лични данни, се извършва на хартиен носител в помещение, определено като архив, за срок, съответстващ на действащото законодателство. Помещението, определено като архив, е оборудвано с пожарогасител, системи за контрол на достъпа и трябва да бъде заключено.

(3) Електронните документи се съхраняват на обособени сървъри, компютърни системи и/или външни носители на информация. Архивирането на лични данни на технически носители се извършва периодично с цел поддържане на актуална информация за засегнатите лица и осигуряване на възможност за възстановяване при загуба на основния носител/система. Архивите се съхраняват на място, различно от това на компютърното оборудване, обработващо данните. Достъпът до архивите е ограничен до обработващия/оператора и упълномощени длъжностни лица.

(4) Достъпът до архивираните документи, съдържащи лични данни, се предоставя само на упълномощените лица и на представителя на Дружеството, съобразно предоставените им правомощия.

Чл. 12. (1) С цел опазване на хартиените, техническите и информационните ресурси, всички служители спазват правилата за пожарна безопасност.

(2) Служителите трябва да преминават задължително обучение за пожарна безопасност поне веднъж годишно. Съставя се протокол от инструктажа.

Чл. (1) Периодични проверки на състоянието и интегритета на личните данни, съдържащи се в картотеките, обработвани от Дружеството, се извършват най-малко веднъж годишно. Проверките се извършват от комисия, включваща представител на Дружеството и служители на Дружеството, които изготвят Протокол за резултата от проверката.

(2) Докладът, посочен в т. 1, включва оценка на необходимостта от обработка или унищожаване на личните данни. Докладите се адресират до ръководството на дружеството.

Чл. 14. (1) При регистриране на несанкциониран достъп до масивите с информация за лични данни, или при възникване на друг инцидент, нарушаващ сигурността на личните данни, служителят, установил такова нарушение/инцидент, незабавно уведомява управителя на дружеството. Уведомяването за инцидент се извършва писмено, електронно или по друг начин, който позволява да бъде констатиран инцидентът и да бъде спазено изискването за уведомяване на Комисията за защита на личните данни в срок до 72 часа от момента на узнаването за него.

(2) Процесът на докладване и управление на инциденти задължително включва записване на инцидента, времето на установяването му, лицето, което го е докладвало, лицето, на което е докладвано, неговите последици и коригиращите мерки.

Чл. 15. (1) При нарастване на нивото на чувствителност на информацията, произтичащо от промяна в нейната категория или във връзка с рисковете при обработването ѝ, Дружеството може да определи допълнителни мерки за защита на информацията в съответния регистър на личните данни.

(2) Доклади за статуса, рисковете и нивото на чувствителност на информацията се изготвят на всеки 2 години или когато настъпи промяна в естеството на обработваните лични данни.

Чл. 16. (1) След постигане на целта, за която се обработват личните данни, съдържащи се в водените от Дружеството регистри, личните данни се унищожават при спазване на процедурите, предвидени в приложимото законодателство и настоящите Вътрешни правила.

(2) В случаите, когато се налага унищожаване на носител на лични данни, Дружеството ще предприеме необходимите действия за заличаване на личните данни по начин, който изключва тяхното възстановяване и злоупотреба, като например: Личните данни, съхранявани на електронни носители и сървъри, ще бъдат унищожавани чрез трайно заличаване, включително презаписване на електронните носители или физическо унищожаване на носителите; Хартиените документи, съдържащи данни, ще бъдат унищожавани чрез шредиране.

(3) Унищожаването се извършва от служители, упълномощени с изричен писмен акт на представителя на Дружеството.

(4) Съставя се Протокол за унищожаване на лични данни и носители на лични данни, подписан от длъжностните лица по ал. 3, по образец.

Чл. 1. Достъп до лични данни се предоставя на лица само ако имат право на такъв достъп, съгласно действащото законодателство, при наличие на заявление или искане за достъп до информация и след тяхната легитимация.

(2) Дружеството трябва да съобщи своето решение за предоставяне или отказване на достъп до лични данни на засегнатото лице в срок от 1 месец от подаването на заявлението или искането.

(3) Информацията може да бъде предоставена под формата на: устен доклад; писмена справка; преглед на данните от самия човек; предоставяне на исканата информация на технически и/или електронни носители.

(4) Всяко юридическо лице, което обработва лични данни от името и под ръководството на администратора, е процесор и подписва образец на споразумение за обработка на данни, включващо клаузите, посочени в членове 28, алинеи 2 до 4 от Общия регламент за защита на данните.

(5) Трети страни получават достъп до лични данни, обработвани от Дружеството, ако има правно основание за обработването на лични данни (напр. съд, прокуратура, НАП, НОИ и др.).

II. МЕРКИ ЗА ЗАЩИТА НА ДАННИТЕ

Чл. 18. Физическата защита в Дружеството се осигурява чрез съвкупност от приложими технически и организационни мерки за предотвратяване на неоторизиран достъп и за защита на сградите и помещенията, в които се извършва обработка на лични данни.

Чл. 19. (1). Основните организационни мерки за физическа защита в Дружеството включват: идентифициране на помещенията, в които ще се обработват лични данни; идентифициране на помещенията, в които ще се намират елементите на комуникационните и информационни системи за обработване на лични данни, определяне организацията на физическия достъп;

(2) Помещенията, където ще се обработват лични данни, се определят като всички помещения, където за нормалния ход на дейността се събират, обработват и съхраняват лични данни. Достъпът до тях е физически ограничен и контролиран – само за служители за изпълнение на техните задължения и ако работното им място или длъжностната им характеристика позволяват достъп до съответните помещения и съответния регистър на лични данни. Когато такива помещения са достъпни и за външни лица, трябва да има ‘непублична’ част от помещенията, където се извършват дейности по обработка, която е физически ограничена и достъпна само за служители, които трябва да имат достъп, за да изпълняват задълженията си, и ‘публична’ част, където външни лица имат достъп и където не се извършват никакви дейности по обработка, включително съхранение на данни, независимо от тяхната среда.

(3) Използваните за обработка на лични данни комуникационни и информационни системи се разполагат в специално физически защитени помещения или сигурни шкафове, достъпът до които се ограничава само до служителите, които при изпълнение на служебните си задължения се нуждаят от такъв достъп до данните, както и до лицата, натоварени с отговорности по поддръжката на нормалното функциониране на тези системи. Последните не трябва да имат достъп до данните, съхранявани електронно.

(4) Организацията на физическия достъп до помещения, където се извършват дейности по обработване на лични данни, се основава на ограничен физически достъп (на базата на заключващи системи и механизми) до зони с ограничен достъп в помещенията, включително такива, където се намират информационните системи. Достъпът се предоставя само на служители, които се нуждаят от него за изпълнение на задълженията си.

(5) Контролирани зони за достъп са всички зони на територията на Дружеството, където се събират, обработват и съхраняват лични данни.

(6) Техническите средства, използвани за физическа защита на личните данни в Компанията, съответстват на действащото законодателство и нивото на въздействие на тези данни. Всички физически зони с хартиени и електронни записи са ограничени за служители, които трябва да имат достъп въз основа на принципа "необходимост да се знае", за да изпълняват служебните си задължения.

(7) Всички хартиени записи и документи, съдържащи лични данни, се съхраняват в заключени шкафове, които са заключени в офиси с ограничен достъп само до упълномощен персонал.

(8) Достъпът до системи, обработващи лични данни по електронен път, е ограничен чрез уникални потребителски идентификатори и пароли, а електронните носители, включително сървърите, са адекватно защитени в зони с контролиран достъп.

Чл. 20 (1). Основните технически мерки за физическа охрана в Дружеството включват: Ползване на сигнално-охранителна техника; Ползване на заключващи устройства и механизми; Оборудване на помещения със средства за пожарогасене.

(2) Документите, съдържащи лични данни, се съхраняват в заключващи се шкафове или файлови шкафове, като последните се намират в зони с ограничен (контролиран) достъп. Ключ за шкафовете имат само лицата, изрично упълномощени за това (с изрична заповед или по силата на своите задължения и длъжностна характеристика).

(3) Оборудването на помещенията, където се събират, обработват и съхраняват лични данни, трябва да включва: алармени и охранителни системи, заключващи механизми (механични или електронни) за ограничаване на достъпа само до упълномощени лица; заключващи се шкафове и противопожарна техника.

(4) Пожарните аларми и пожарогасителите се разполагат в съответствие с изискванията на приложимите наредби.

Чл. 21 (1). Основните мерки за защита на личните данни, приложими в дружеството, са: Задължение на служителите да преминават обучение и да се запознават с нормативната уредба за защита на личните данни и настоящите Вътрешни правила, като обучението и инструктажът по правилата за защита на данните се удостоверяват с подпис върху протокол за инструктаж по защита на личните данни; Осъзнаване и разбиране на рисковете за личните данни, обработвани от дружеството; Забрана за споделяне на критична информация (идентификатори, пароли и др.) между персонала и всякакви други неупълномощени лица; Деклариране на съгласие за поемане на задължение за ненарушаване на конфиденциалността на личните данни.

(2) За личните данни, оценени с по-висока степен на риск като чувствителни лични данни, в допълнение към мерките, посочени в ал. 1, и следните допълнителни мерки: Провеждане на специализирано обучение за боравене и защита на лични данни, ако спецификата на служебните задължения го изисква; Обучение на персонала за реагиране при инциденти със сигурността на данните, ако спецификата на служебните задължения го изисква.

Чл. 22 (1). Основните мерки за документална защита на личните данни са: Определяне на водените на хартия записи – на хартиен носител се съхраняват всички лични данни, които изискват попълването им на определени празни документи и/или бланки, свързани с изпълнението на изискванията на действащото законодателство или пряко свързани с осъществяването на нормалните дейности на Дружеството, сключването на договори, изпълнението на договори, упражняването на предвидени в закон права и установени от закона задължения; Определяне на условията за обработване на лични данни – личните данни се събират и се обработват само за конкретна цел, пряко свързана с изпълнението на нормативните задължения и/или нормалните стопански дейности на Дружеството, като начинът на тяхното съхранение е в съответствие със специфичните потребности при обработване и физическия носител на данните; Регламентиране на достъпа до записите с лични данни – достъпът до записите с лични данни се ограничава и се предоставя само на упълномощени служители, съгласно принципа ‘Необходимост да знаеш’; Установяване на срокове за съхранение – личните данни се съхраняват за срок, който не е по-дълъг от този, необходим за изпълнение на целта, за която са били събрани, или до изтичане на срока, предвиден в приложимото законодателство.

Процедури за унищожаване: Документи, съдържащи лични данни, чиито срокове на съхранение са изтекли и не са необходими за нормалното функциониране на Дружеството или за установяване, упражняване или защита на правни претенции, се унищожават по подходящ и сигурен начин (например изгаряне, шредиране, електронно изтриване и други подходящи методи, съобразени с физическия носител на данните).

(2) За лични данни, оценени като рискови, в допълнение към мерките, посочени в ал. 1, се прилагат следните допълнителни мерки: Контрол на достъпа до записите, ограничаване на достъпа до персонала или в ограничени случаи до други конкретно упълномощени лица, съгласно принципа ‘Необходимост да знаеш’ за изпълнение на техните задължения; Правила за възпроизвеждане и разпространение, които позволяват копирането и разпространението на лични данни само когато е необходимо за правни цели, произтича от изискване на закон и/или държавен орган, и да се предоставят само на лица, на които е необходимо във връзка с изпълнението на възложената работа. Неупълномощеното копиране и разпространение ще подлежи на дисциплинарни санкции и други мерки, ако представлява нарушение, различно от нарушаване на трудовата дисциплина.

Защитата на автоматизираните информационни системи и/или мрежи в Дружеството включва съвкупност от приложими технически и организационни мерки за предотвратяване на неоторизиран достъп до системите и/или мрежите, в които се създават, обработват и съхраняват лични данни.

(2) Основните мерки за защита на автоматизираните информационни системи и/или мрежи, обработващи лични данни, включват: Идентификация и автентикация чрез уникални потребителски акаунти и пароли за всяко лице, осъществяващо достъп до мрежата и ресурсите на Дружеството. Прилагането на тази мярка е с цел регулиране на нивата на достъп и въвеждане на достъп в съответствие с принципа “Необходимост от познаване”; Управление на записите, съобразено с ограничаване на достъпа до съответния регистър само до лица, които пряко отговарят и/или служебно са ангажирани с неговото поддържане, съхранение и обработка; Управление на външни връзки и/или свързаност, включително на свой ред: Дефиниране на обхвата на вътрешните мрежи: вътрешни мрежи се считат всички локални кабелни мрежи и/или телекомуникационни връзки точка-до-точка, които са под контрола и администрацията на Дружеството.

Външни мрежи се считат всички мрежи, включително безжични мрежи, Интернет, интернет връзки, връзки към мрежи на трети страни, мрежови сегменти от системи за хостинг на трети страни, които не са под административния контрол на Дружеството. Регламентиране на достъпа до вътрешната мрежа: Достъп до вътрешната мрежа се предоставя само на служители и/или лица, изрично упълномощени от Дружеството. Достъпът до мрежата и обработваните лични данни се предоставя с цел изпълнение на техните преки задължения и съответства на принципа “Необходимост от познаване” („Need to Know“). Минималното ниво на сигурност, изисквано за достъп до вътрешни мрежи, изисква идентификация с уникално потребителско име и парола. Администрация на достъпа до вътрешната мрежа: Отговорностите, свързани с прилагането на администрацията на достъпа, се възлагат на квалифицирани лица. Отговорностите включват също дейности, свързани с одобряването на инсталирането на всички устройства, технологии и софтуер за мрежов достъп, включително суичове, рутери, точки за безжичен достъп, точки за мрежов достъп, интернет връзки, връзки към външни мрежи и други устройства, технологии и софтуер, които могат да позволят достъп до вътрешните мрежи на Администратора. Контрол на достъпа до вътрешната мрежа: Отговорностите, свързани с прилагането на контрола на достъпа, се възлагат на квалифицирани лица. Те са длъжни да предприемат адекватни мерки за минимизиране на риска от неоторизиран (физически и/или отдалечен) достъп до мрежите на Дружеството, включително чрез използването на адекватни мерки и инструменти.

Защитата от злонамерен софтуер включва: използване на стандартни конфигурации за всяка компютърна и/или мрежова платформа, като системният и, когато е приложимо, приложният софтуер се контролира, инсталира и поддържа от лица, упълномощени от Ръководството на Компанията. Забранява се инсталирането на софтуерни продукти без изрично одобрение от Ръководството на Компанията. използване на вградените функционалности на операционната система и/или хардуера, които се конфигурират само от лица, упълномощени от Ръководството на Компанията.

Забранява се всяка модификация и/или деактивиране на системи за сигурност от неупълномощени лица. активиране на автоматична защита и сканиране за зловреден софтуер и актуализиране на антивирусните дефиниции. Забранява се на потребителите да отказват автоматични софтуерни процеси, които актуализират вирусните дефиниции. забранява се пренос на данни от заразени компютри. При съмнение или установяване на инфекция на компютърна система, лицето, което оперира компютърната система, уведомява лицата, упълномощени от Ръководството на Дружеството, и прекратява всички дейности по експлоатация и/или изпращане на информация от заразения компютър (чрез външни носители, електронна поща и/или други средства за електронно обмен на информация). До отстраняване на зловредния софтуер, заразеният компютър незабавно се изолира от вътрешни мрежи. Политика за създаване и поддържане на резервни копия за възстановяване, която регламентира: Основната цел на архивирането е свързана с предотвратяване на загуба на информация, свързана с лични данни, която би възпрепятствала нормалното функциониране на Дружеството. Начин на архивиране: информацията следва да бъде архивирана по подходящ начин и на носител извън конкретния физически компютър и да позволява пълното възстановяване на данните при загуба на основния носител. Архивирането е отговорност на обработващия данните. Периода на архивиране следва да отговаря на действащото законодателство. Съхранението на архива следва да е в друго физическо помещение.

Всички архиви, съдържащи поверителна и/или служебна информация, трябва да се съхраняват с физически контрол на достъпа. Основните носители на електронни данни са: вътрешни твърди дискове (като част от компютър и/или система за съхранение), единични и/или презаписваеми външни носители (външни твърди дискове, презаписваеми карти, флашки и други носители на данни, еднократно записваеми носители и др.) Личните данни в електронен вид се съхраняват съгласно законоустановените срокове и според спецификата и нуждите на Дружеството. Данните, които вече не са необходими за целите на Дружеството и чийто срок на съхранение е изтекъл, се унищожават по приложим метод (например чрез шредиране, изгаряне или перманентно изтриване от електронни средства).

(3) За лични данни, оценени като по-висок риск, в допълнение към мерките, посочени в параграф 2, допълнителни мерки, свързани с: Организация на телекомуникационните връзки и отдалечен достъп до вътрешните мрежи на Дружеството: Отдалечен достъп до вътрешните мрежи на Дружеството не се предоставя. Изключително, и след изрично разрешение от Ръководството на Дружеството, такъв достъп може да бъде разрешен от упълномощени лица, като се използват адекватни и приложими съвременни методи за защита на връзката и обменяната информация.

На служителите на Компанията може да бъде предоставен достъп до интернет (дистанционен достъп) до електронни записи с лични данни за целите на изпълнението на служебните им задължения. Обхватът на достъпа и видът на ресурсите, до които се осъществява достъп (включително сайтове, файлове, услуги и др.), се определят по преценка и предложение на непосредствените ръководители, след консултация с лица, упълномощени от ръководството на Компанията за степента на осъществимост, в пряка връзка с изпълняваните задължения и свързаните с достъпа рискове, и се одобряват от ръководството на Компанията. Дистанционният достъп чрез интернет до определени ресурси, включително вътрешни ресурси, може да бъде прекратен по всяко време по преценка на Компанията и в случай на заплаха за сигурността на данните. Публикуването на официална информация в интернет, под каквато и да е форма и на каквато и да е платформа, се извършва само след писмено разрешение от Ръководството на Компанията.

Мерките, свързани с текущата поддръжка и експлоатация на информационните системи и ресурси на Дружеството, включват: Оценка на сигурността, включително периодично тестване и оценка на уязвимостта на мрежите и системите на Дружеството спрямо външни и вътрешни атаки (Тест за уязвимост), включително оценка на въздействието, адекватността на прилаганите мерки и средства за защита, както и препоръки за техническото и организационно му подобряване.

Оценката трябва да включва и гореспоменатите аспекти, свързани със сигурността на събраните, обработени и съхранени лични данни. Забрана за притежание и използване от страна на персонала на Дружеството на хардуерни или софтуерни инструменти, които биха могли да бъдат използвани за компрометиране на сигурността на информационните системи. Към тази група спадат и инструменти, способни да нарушават авторски права, да разкриват тайни пароли, да идентифицират уязвимости в сигурността или да декриптират криптирани файлове. Забранява се и използването на хардуер или софтуер, който дистанционно следи мрежовия трафик или работещ компютър. Неправомерното използване на такива инструменти ще подлежи на дисциплинарни мерки, а ако нарушението не е само дисциплинарно или представлява престъпление, то се преследва по предвидения за това ред.

Мерките, свързани със създаването на физическа среда (околност), включват физически контрол на достъпа (алармени и охранителни системи, ключалки, метални решетки и други приложими средства), създаване на подходяща работна среда, включително чрез поддържане на подходящи нива на температура и влажност, както и пожарогасителна система. Те целят осигуряване на среда за нормална експлоатация, защита на ИТ оборудването от неоторизиран достъп и контрол на риска от повреди и унищожаване.

III. ОСНОВНИ ПРАВИЛА И МЕРКИ ЗА ОСИГУРЯВАНЕ НА ЗАЩИТАТА НА ЛИЧНИТЕ ДАННИ ПРИ КОМПЮТЪРНА ОБРАБОТКА

(1) Достъпът до файлове, съдържащи лични данни, чрез локалната мрежа на компютри, се осъществява само от длъжностни лица с регламентирани права, само от физическото им работно място, от компютър, специално определен за целта, и след идентификация по име и парола към системата. В края на работното време служителите изключват своя локален компютър.

(2) Компанията прилага адекватни технически и административни контролни мерки (ограничаване на IP адреси, MAC адреси, физическо местоположение, уникално потребителско име и парола, настройка на всички работни станции в режим “автоматично заключване на екрана” при липса на активност за повече от 30 секунди), като по този начин гарантира, че само упълномощени служители имат достъп до данните за изпълнение на възложените им функции.

(3) Идентифицирането на оторизираните лица за обработка на лични данни задължително включва идентификация чрез уникален потребителски акаунт, който съдържа името и паролата на потребителя, права за достъп до системата и ползване на нейните ресурси.

(1) Хардуерът, използван за съхранение и обработка на лични данни, трябва да отговаря на съвременните изисквания и да бъде способен да осигури разумна степен на отказоустойчивост, резервираност и възможности за възстановяване на данните и оперативното състояние на средата.

(2) В случай на нужда от ремонт на компютърната техника, тя се предоставя на сервизната организация без устройствата, на които се съхраняват лични данни.

Чл. 26. (1) В дружеството може да се използва само софтуер, защитен с авторски права. Забранява се инсталирането и/или използването на всякакъв друг вид софтуер с неуредени авторски права.

(2) На компютрите на Дружеството се използва само софтуер, инсталиран от лице, упълномощено от Ръководството на Дружеството. Неоторизираното инсталиране на друг вид софтуер.

(3) При внедряване на нов софтуерен продукт за обработка на лични данни, възможностите на продукта се тестват и се проверява съответствието му с изискванията на Регламент 2016/679, Закона за защита на личните данни и за осигуряване на максимална защита на данните от неправомерен достъп, загуба, повреда или унищожаване.

Чл. 27. Служителите, които са натоварени с подписването на официална кореспонденция с квалифициран електронен подпис (КЕП), нямат право да предоставят своя КЕП на трети лица или да споделят техния ПИН с трети лица.

IV. РЕГИСТРИ НА ЛИЧНИ ДАННИ И УПРАВЛЕНИЕТО ИМ

Чл. 28. /1/ Личните данни, които се поддържат от Дружеството, са: “Регистър на служители, включително кандидати за работа”, в който се записват следните видове лични данни: Физическа идентичност: име, ЕГН, данни от паспорт, адрес, телефонен номер, електронен адрес и др. Социална идентичност: информация за образование, образователна степен, професионална квалификация, познаване на чужди езици, трудов стаж преди постъпване в регистъра и др. Съдебна информация: присъди, наложени наказания; Здравна информация: медицинско свидетелство от психиатрична болница, болнични листове, решения на ТЕЛК/НЕЛК и др. Регистър на клиенти, в който се записват следните видове лични данни: Физическа идентичност – имена, данни от паспорт (ЕГН, номер на Л.К., дата и място на издаване, адрес, телефон за връзка и друга необходима идентификация на субекта на данни); Икономическа идентичност – обща банкова информация, информация за номер на банкова сметка;

Регистър на изпълнители и партньори, който отразява следните видове лични данни: Физическа самоличност – имена, паспортни данни (ЕГН, номер на ЛШ, дата и място на издаване, адрес, телефон за контакт и други необходими идентификационни данни на субекта на данните); Икономическа идентичност – обща банкова информация, информация за номер на банкова сметка. /

2/ Дружеството не обработва лични данни по чл. 9 от Регламента, освен данните за здравословното състояние на своите служители, чиято обработка е необходима за изпълнение на законовите задължения като работодател.

V. ПРАВА И ЗАДЪЛЖЕНИЯ НА ОБРАБОТВАЩИТЕ ДАННИ

Чл. 29. Определените от Ръководството на Дружеството обработващи лични данни притежават следните правомощия и задължения: осигуряват организацията по воденето на регистри, съобразно предвидените мерки за осигуряване на адекватна защита; осигуряват спазването на конкретни мерки за сигурност и контрол на достъпа, съобразно спецификата на водените регистри с лични данни; следят за спазването на изискванията за защита на регистрите, съобразно действащото законодателство и настоящите Вътрешни правила; осъществяват връзка с Комисията по защита на личните данни по предприетите мерки и средства за защита на регистрите и подадените заявления за предоставяне на лични данни; следят за спазването на потребителските права спрямо регистрите и програмно-техническите средства за тяхното обработване; специфицират програмно-техническите средства, прилагани към обработката на лични данни; осигуряват спазването на организационния ред по обработката на лични данни, включително време, място и ред на обработка, като регистрират всички извършени действия с регистрите в компютърна среда; определят реда за съхранение и унищожаване на носителите на информация; определят реда за въвеждане, ползване и промяна на пароли, както и действията при узнаване на парола и/или криптографски ключ; определят правила за периодичната поддръжка на компютърни и комуникационни средства, включително антивирусна проверка, за неправомерно инсталиран софтуер, цялостност на бази данни и архивиране на данни, актуалност на системна информация и др.; периодично следят за спазването на изискванията за защита на личните данни и при констатиране на несъответствия предприемат мерки за тяхното отстраняване; водят регистър на дейностите по обработване на лични данни в Дружеството.

Чл. 30. Служителите на Дружеството са длъжни: да обработват личните данни законосъобразно и добросъвестно; да използват личните данни, до които имат достъп, в съответствие с целите, за които са били събрани, и да не ги обработват по начин, несъвместим с тези цели; да актуализират наличните данни при необходимост; да заличават или коригират лични данни, ако се установи, че са неточни или непропорционални спрямо целите, за които се обработват; да съхраняват личните данни във форма, която позволява идентифицирането на съответните физически лица, за срок, не по-дълъг от необходимия за целите, за които данните се обработват.

Чл. (1) Работниците и служителите носят дисциплинарна отговорност за неизпълнение на разпоредбите на настоящите Вътрешни правила.

(2) Ако в резултат на действията на съответен служител при обработването на лични данни е настъпила вреда за Дружеството или за трето лице, Дружеството може да търси отговорност по общия гражданскоправен ред.

VI. ДОПЪЛНИТЕЛНИ РАЗПОРЕДБИ

Чл. 32. Всички служители на Дружеството са длъжни да се запознаят с настоящия Вътрешен правилник и да го спазват ежедневно при изпълнение на своите задължения и възложената им работа.

Чл. 33. По всички неуредени от настоящите Вътрешни правила въпроси се прилагат Общият регламент относно защитата на данните (ЕС) 2016/679, приложимото право на Европейския съюз и законодателството на Република България относно защитата на личните данни.

Чл. 34. Настоящият вътрешен правилник е одобрен със заповед от 01.01.2023 г. на представителя на „Marveltech“ ООД.