Polityka Prywatności

1. Administratorem Pani/a danych osobowych jest GBF Sp. z o.o., z siedzibą pod adresem Al. Solidarności 68/121, 00-240 Warszawa, NIP: 5252847201.
   
   
2. Dane będą przetwarzane w celu zawarcia i wykonania umowy sprzedaży towaru a także realizacji obowiązków posprzedażowych. Podstawą przetwarzania danych jest niezbędność danych dla wykonania umowy na rzecz Klienta.
   
   
3. Dane mogą być udostępniane: Agencja Brandless (Brandless Maciej Lange) z siedzibą w Redzie, Poczta Polska S.A., DPD Polska sp. z o. o., oraz firmie zajmującej się obsługą księgową Administratora, w celu prawidłowej realizacji umowy oraz dalszych usług związanych z realizacją zamówienia.
   
   
4. Dane będą przechowywane przez okres do maksymalnie 5 lat - realizacja usług posprzedażowych i wymogi podatkowe.
   
   
5. Ma Pan/i prawo dostępu do swoich danych osobowych, ich sprostowania, usunięcia, żądania ograniczenia przetwarzania.
   
   
6. Ma Pan/i prawo do wniesienia sprzeciwu wobec dalszego przetwarzania, a w przypadku wyrażenia zgody na przetwarzanie danych do jej wycofanie. Skorzystanie  prawa cofnięcia zgody nie ma wpływu na przetwarzanie, które miało miejsce do momentu wycofania zgody.
   
   
7. Ma Pan/i także prawo do przenoszenia danych. (w szczególności historii transakcji)
   
   
8. Przysługuje Pani/u prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych.
   
   
9. Podanie danych osobowych jest wymogiem ustawowym (fakturowanie) lub warunkiem zawarcia umowy. W przypadku braku podania danych nie będzie możliwe zawarcie i realizacja umowy a także realizacja obowiązków fiskalnych.
   
   
   

Polityka bezpieczeństwa informacji GBF Sp. z o.o., z siedzibą pod adresem Al. Solidarności 68/121, 00-240 Warszawa, NIP: 5252847201.

Niniejsza Polityka Bezpieczeństwa Informacji (dalej: Polityka) została przygotowana w celu wykazania, że dane osobowe są przetwarzane i zabezpieczane zgodnie z wymogami prawa, dotyczącymi zasad przetwarzania i zabezpieczenia danych w GBF Sp. z o.o., z siedzibą pod adresem Al. Solidarności 68/121, 00-240 Warszawa, NIP: 5252847201., w tym w szczególności zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - dalej RODO).

Rozdział I
Definicje bezpieczeństwa informacji, ogólne cele i zakres oraz znaczenie bezpieczeństwa

§ 1
1. Celem polityki bezpieczeństwa, jest wskazanie działań, jakie należy wykonać oraz ustanowienie zasad i reguł postępowania, które należy stosować, aby właściwie wykonać obowiązki administratora danych w zakresie zabezpieczenia danych osobowych;
2. Polityką bezpieczeństwa objęte są dane osobowe, którymi zgodnie z RODO są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej; możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

§ 2
Cele Polityki realizowane są poprzez zapewnienie danym osobowym następujących cech:
a) zgodność z prawem, rzetelność i przejrzystość — właściwości zapewniającej, że przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą;
b) ograniczenie celu — właściwości zapewniającej, że dane osobowe są zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami;
c) minimalizacja danych — właściwości zapewniającej, że przetwarzanie danych jest adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane;
d) prawidłowość - właściwości zapewniającej, że dane są prawidłowe i w razie potrzeby uaktualniane;
e) ograniczenie przechowywania - właściwości zapewniającej, że dane przechowywane są w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane;
f). integralność i poufność - właściwości zapewniającej, że dane przetwarzane są w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych;
g). rozliczności - co oznacza, że administrator danych jest odpowiedzialny za przestrzeganie w/w zasad i jest w stanie to wykazać.

§ 3

Definicje:
1. Administrator Danych Osobowych (dalej: Administrator) – GBF Sp. z o.o., z siedzibą pod adresem Al. Solidarności 68/121, 00-240 Warszawa, NIP: 5252847201.,
2. rozporządzenie – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE,
3. dane osobowe - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby,
4. zbiór danych - każdy uporządkowany zestaw danych o charakterze osobowym, dostępny wedle określonych kryteriów,
5. osoba upoważniona – osoba posiadająca pisemne upoważnienie do przetwarzania danych osobowych nadane przez Administratora,
6. osoba nieupoważniona – osoba nieposiadająca pisemnego upoważnienia do przetwarzania danych osobowych nadanego przez Administratora oraz osoba, która nie otrzymała zgody Administratora na udostępnienie danych osobowych w trybie i na zasadach określonych w RODO,
7. podmiot przetwarzający - oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Podmiotem przetwarzającym jest w szczególności: Agencja Reklamowa Brandlessdhosting.pl (Maciej Lange Brandless) z siedzibą w Redzie, Poczta Polska S.A., DPD Polska sp. z o. o., biuro księgowe. Ze wszystkimi podmiotami przetwarzającymi Administrator posiada umowy (pisemne lub w formie elektronicznej), określające zasady powierzania i przetwarzania danych osobowych w imieniu Administratora.
8. organ nadzorczy - Prezes Urzędu Ochrony Danych Osobowych
9. system informatyczny – zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych osobowych;
10. obszar bezpieczeństwa – pomieszczenia użytkowane przez Administratora, w których przetwarzane są dane osobowe gromadzone przez Administratora.

Rozdział II
Oświadczenie o intencjach administratora

§ 4
Administrator danych do właściwej i skutecznej ochrony danych osobowych deklaruje:
a) zamiar podejmowania wszystkich działań niezbędnych dla ochrony praw i usprawiedliwionych interesów jednostki związanych z bezpieczeństwem danych osobowych;
b) zamiar podejmowania w niezbędnym zakresie współpracy z instytucjami powołanymi do ochrony danych osobowych.

§ 5
Dla skutecznej realizacji polityki bezpieczeństwa Administrator zapewnia:
a) odpowiednie do zagrożeń i kategorii danych objętych ochroną, środki techniczne i rozwiązania organizacyjne;
b) okresowe szacowanie ryzyka zagrożeń dla zbiorów danych;
c) monitorowanie zastosowanych środków ochrony.

§ 6
Administrator danych realizując politykę bezpieczeństwa stosuje odpowiednie środki informatyczne, techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpieczając dane osobowe przed:
a) udostępnieniem ich osobom nieupoważnionym,
b) zabraniem ich przez osobę nieuprawnioną,
c) przetwarzaniem danych z naruszeniem ustawy o ochronie danych osobowych,
d) zmianą, utratą, uszkodzeniem lub zniszczeniem danych.

§ 7
1. Administrator danych realizując politykę bezpieczeństwa dąży do systematycznego unowocześniania stosowanych na jego terenie informatycznych, technicznych i organizacyjnych środków ochrony tych danych.
2. Administrator danych zapewnia aktualizacje informatycznych środków ochrony danych osobowych pozwalającą na zabezpieczenie przed wirusami, nieuprawnionym dostępem oraz innymi zagrożeniami danych, płynącymi z funkcjonowania systemu informatycznego oraz sieci telekomunikacyjnych.

Rozdział III
Wyjaśnienie polityki bezpieczeństwa, zasad, standardów i wymagań zgodności mających szczególne znaczenie dla instytucji

§ 8
Administrator zapewnia zgodność niniejszej polityki bezpieczeństwa z przepisami określającymi zasady przetwarzania danych osobowych, w szczególności Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE oraz przepisami wykonawczymi.

Rozdział IV
Definicje ogólnych i szczególnych obowiązków w odniesieniu do zarządzania bezpieczeństwem informacji

§ 9
Wszelkie dane osobowe przetwarzane są z poszanowaniem zasad przetwarzania danych przewidzianych przez przepisy prawa:
a). istnieje podstawa przetwarzania danych,
b). dane są przetwarzane rzetelnie i przejrzyście,
c). dane są zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, i przetwarzane w sposób zgodny z tymi celami,
d). dane osobowe są przetwarzane w takim zakresie, jaki jest niezbędny dla osiągnięcia celu ich przetwarzania,
e). dane są prawidłowe i uaktualniane,
f). czas przechowywania danych jest ograniczony do okresu ich przydatności do celów w których zostały zebrane, po tym okresie są anonimizowane lub usuwane,
g). wobec osoby której dotyczą, wykonywany jest obowiązek informacyjny, zgodnie z art. 13 i 14 RODO,
h). dane są zabezpieczone przed naruszeniem zasad ich ochrony.

§ 10
Podział zagrożeń:
a) zagrożenia losowe zewnętrzne (np. klęski żywiołowe, przerwy w zasilaniu) - ich występowanie może prowadzić do utraty integralności danych, ich zniszczenia i uszkodzenia infrastruktury technicznej systemu; ciągłość systemu zostaje zakłócona, nie dochodzi do naruszenia poufności danych.
b) zagrożenia losowe wewnętrzne (np. niezamierzone pomyłki operatorów, administratora, awarie sprzętowe, błędy oprogramowania, pogorszenie jakości sprzętu i oprogramowania) - może dojść do zniszczenia danych, może zostać zakłócona ciągłość pracy systemu, może nastąpić naruszenie poufności danych.
c) zagrożenia zamierzone - świadome i celowe działania powodujące naruszenia poufności danych, (zazwyczaj nie następuje uszkodzenie infrastruktury technicznej i zakłócenie ciągłości pracy), zagrożenia te możemy podzielić na:
nieuprawniony dostęp do systemu z zewnątrz (włamanie do systemu),
nieuprawniony dostęp do systemu z jego wnętrza,
nieuprawnione przekazanie danych,
bezpośrednie zagrożenie materialnych składników systemu (np. kradzież sprzętu).

§ 11
1. Naruszenie lub podejrzenie naruszenia systemu informatycznego, w którym przetwarzane są dane osobowe następuje w sytuacji:
a) losowego lub nieprzewidzianego oddziaływania czynników zewnętrznych na zasoby systemu jak np.: wybuch gazu, pożar, zalanie pomieszczeń, katastrofa budowlana, napad, działania terrorystyczne, itp.,
b) niewłaściwych parametrów środowiska, jak np. nadmierna wilgotność lub wysoka temperatura, oddziaływanie pola elektromagnetycznego, wstrząsy lub wibracje pochodzące od urządzeń przemysłowych,
c) awarii sprzętu lub oprogramowania, które wyraźnie wskazuje na umyślne działanie w kierunku naruszenia ochrony danych,
d) pojawienia się odpowiedniego komunikatu alarmowego,
e) podejrzenia nieuprawnionej modyfikacji danych w systemie lub innego odstępstwa od stanu oczekiwanego,
f) naruszenia lub próby naruszenia integralności systemu lub bazy danych w tym systemie,
g) pracy w systemie wykazującej odstępstwa uzasadniające podejrzenie przełamania lub zaniechania ochrony danych osobowych - np. praca osoby, która nie jest formalnie dopuszczona do obsługi systemu,
h) ujawnienia nieautoryzowanych kont dostępu do systemu,
i) naruszenia dyscypliny pracy w zakresie przestrzegania procedur bezpieczeństwa informacji (np. nie wylogowanie się przed opuszczeniem stanowiska pracy, pozostawienie danych osobowych w drukarce, itp.).
2. Za naruszenie ochrony danych uważa się również stwierdzone nieprawidłowości w zakresie zabezpieczenia fizycznego miejsc przechowywania i przetwarzania danych osobowych np.:
a) niezabezpieczone pomieszczenia,
b) nienadzorowane, otwarte szafy, biurka, regały,
c) niezabezpieczone urządzenia archiwizujące,
d) pozostawianie danych w nieodpowiednich miejscach – kosze, stoły itp.

§ 12
1. W przypadku stwierdzenia naruszenia:
a) zabezpieczenia systemu informatycznego,
b) technicznego stanu urządzeń,
c) zawartości zbioru danych osobowych,
d) jakości transmisji danych w sieci telekomunikacyjnej mogącej wskazywać na naruszenie zabezpieczeń tych danych,
d) innych zdarzeń mogących mieć wpływ na naruszenie danych osobowych (np. zalanie, pożar, kradzież itp.),
administrator danych zapoznaje się z zaistniałą sytuacją i dokonuje oceny, czy zaistniałe naruszenie mogło spowodować naruszenie praw lub wolności osób fizycznych.
2. W związku ze stwierdzeniem naruszenia należy:
a) niezwłocznie podjąć czynności niezbędne dla powstrzymania niepożądanych skutków zaistniałego naruszenia, o ile istnieje taka możliwość, a następnie uwzględnić w działaniu również ustalenie przyczyn lub sprawców,
b) rozważyć wstrzymanie bieżącej pracy na komputerze lub pracy biurowej w celu zabezpieczenia miejsca zdarzenia,
c) zaniechać - o ile to możliwe - dalszych planowanych przedsięwzięć, które wiążą się z zaistniałym naruszeniem i mogą utrudnić udokumentowanie i analizę zdarzenia,
d) podjąć stosowne działania, jeśli zaistniały przypadek jest określony w dokumentacji systemu operacyjnego lub aplikacji użytkowej,
e) zastosować się do innych instrukcji i regulaminów, jeżeli odnoszą się one do zaistniałego przypadku.
3. Po ujawnieniu naruszenia ochrony danych osobowych, Administrator:
a) zapoznaje się z zaistniałą sytuacją i dokonuje wyboru metody dalszego postępowania,
b) może żądać dokładnej relacji z zaistniałego naruszenia od każdej osoby, która może posiadać informacje związane z zaistniałym naruszeniem,
c) jeżeli zachodzi taka potrzeba zleca usuniecie występujących naruszeń, oraz powiadamia odpowiednie instytucje.
5. W każdej sytuacji, w której zaistniałe naruszenie mogło spowodować ryzyko naruszenia praw lub wolności osób fizycznych, Administrator danych zgłasza ten fakt organowi nadzorczemu, bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Wzór zgłoszenia określa załącznik nr 1 do niniejszej Polityki.
6. Jeżeli ryzyko naruszenia praw i wolności jest wysokie, Administrator zawiadamia także o zdarzeniu osobę, której dane dotyczą.

Rozdział V
Wykaz budynków i pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe

§ 13
1. Przetwarzanie danych osobowych, zarówno w formie tradycyjnej, jak i w systemie informatycznym, może odbywać się wyłącznie w obszarach do tego celu przeznaczonych (Obszar bezpieczeństwa).
2. Dane osobowe w formie elektronicznej gromadzone są także na serwerze podmiotu przetwarzającego, z którym Administrator zawarł pisemną umowę w zakresie powierzenia przetwarzania danych osobowych.
3. Wykaz budynków i pomieszczeń tworzących Obszar bezpieczeństwa stanowią załącznik nr 2 do niniejszej Polityki. Załącznik ten określa również lokalizację serwerów.
§ 14
Dostęp do pomieszczeń, w których przetwarzane są dane osobowe oraz do pomieszczeń, w których znajdują się serwery baz danych lub przechowywane są kopie zapasowe mogą mieć wyłącznie osoby, które posiadają do tego upoważnienie.

Rozdział VI
Rodzaj przetwarzanych danych

§ 15
Dane osobowe, uzyskane od osób fizycznych, przetwarzane przez Administratora to:
- imię i nazwisko,
- adres e-mail,
- numer rachunku bankowego,
- dane adresowe (adres domowy bądź adres formowy),
- numer telefonu,
- data urodzenia.

Rozdział VII
Określenie środków technicznych i organizacyjnych zapewniających ochronę danych osobowych

§ 16
Zabezpieczenia przed nieautoryzowanym dostępem do zbioru danych:
a) podłączenie urządzenia końcowego (komputera, terminala, drukarki) do sieci komputerowej dokonywane jest przez administratora sieci,
b) stosowanie programu antywirusowego z zaporą antywłamaniową na komputerach z systemem operacyjnym Windows, w szczególności Windows Defender oraz Kaspersky,
c) zabezpieczenie hasłami kont na komputerach, używanie kont z ograniczonymi uprawnieniami do ciągłej pracy,
d) zabezpieczenia stosowane przez podmioty przetwarzające - w szczególności: Agencja Reklamowa Brandlessdhosting.pl (Maciej Lange Brandless) z siedzibą w Redzie, Poczta Polska S.A., DPD Polska sp. z o. o., biuro księgowe, które jako podmioty przetwarzające, którym powierzono przetwarzanie danych osobowych, w razie przetwarzania danych na ich serwerach stosują środki i metody zabezpieczenia, wymienione w umowie z podmiotem przetwarzającym,
e) pomieszczenie, w którym przetwarzany jest zbiór danych osobowych wyposażone są w zabezpieczenia przeciwwłamaniowe - dane przechowywane są w zamykanych i zabezpieczonych pomieszczeniach - drzwi zamykane są na klucz w poszczególnych pomieszczeniach,
f) pozbawienie zapisu danych, a w przypadku gdy nie jest to możliwe, uszkodzenie nośników zawierających dane osobowe w sposób uniemożliwiający ich odczytanie, w przypadku ich likwidacji, przekazania podmiotowi nieuprawnionemu lub naprawy,
g) niszczenie nieaktualnych lub błędnych wydruków zawierających dane osobowe są niszczone mechanicznie.
h) ustawienie monitorów stanowisk przetwarzania danych osobowych w sposób uniemożliwiający wgląd w dane osobom nieupoważnionym.

§ 17
Zabezpieczenia przed nieautoryzowanym dostępem do baz danych poprzez Internet opiera się na firewall oraz szyfrowaniu połączeń i autoryzacji dostępów do baz danych. Bazy danych znajdują się na serwerze podmiotów przetwarzających i przez nie zabezpieczonych.

§ 18
Zabezpieczenia przed utratą danych osobowych w wyniku awarii, są następujące:
a) odrębne zasilanie sprzętu komputerowego,
b) zapewnienie właściwej temperatury i wilgotności powietrza dla pracy sprzętu komputerowego.
§ 19

Administrator prowadzi także Rejestr Czynności Przetwarzania danych osobowych.

Załączniki:
1. Zgłoszenie incydentu naruszenia danych osobowych;
2. Wykaz budynków o pomieszczeń tworzących Obszar bezpieczeństwa oraz wykaz lokalizacji serwerów.