Polityka prywatności

POLITYKA
BEZPIECZEŃSTWA DANYCH OSOBOWYCH
w PHARMACON Nicolas Obeid

 

 

Polityka bezpieczeństwa danych osobowych

Niniejszą politykę bezpieczeństwa danych osobowych obowiązującą w PHARMACON Nicolas Obeid, wprowadza się w oparciu o wymogi bezpieczeństwa informacji określone w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. 2004 r, Nr 100, poz. 1024), zwanym dalej Rozporządzeniem.

 

Zasady ogólne
§ 1

1. Firma PHARMACON Nicolas Obeid dokłada wszelkich starań, aby skutecznie zabezpieczyć przetwarzane zbiory danych osobowych. Stosuje środki techniczne i organizacyjne, adekwatne do potencjalnych zagrożeń, zapewniające ochronę przetwarzanych danych osobowych na poziomie wysokim, w tym w szczególności zabezpiecza je przed udostępnieniem osobom nieuprawnionym, kradzieżą, uszkodzeniem lub zniszczeniem.

2. Celem zabezpieczenia systemu informatycznego jest gromadzenie i przetwarzanie danych osobowych, w taki sposób, aby fakt zniszczenia lub utraty tych danych nie mógł zaistnieć w zwykłych warunkach funkcjonowania systemu, a tylko na skutek nadzwyczajnego zbiegu niekorzystnych okoliczności tak, aby wszelkie próby o charakterze przestępczym pozyskania, włamania lub zniszczenia danych były w najwyższym stopniu utrudnione. Celem jest także zapewnienie wysokich standardów bezpieczeństwa w procesie komunikacji on-line, podczas realizacji usług opartych na systemach rozproszonych, ich weryfikowania oraz przetwarzania zgodnie z polskim prawodawstwem.

3. Strategią postępowania w zakresie zabezpieczenia systemu informatycznego używanego przez PHARMACON Nicolas Obeid jest równoległe zastosowanie zabezpieczeń prawnych, organizacyjnych, sprzętowych oraz informatycznych w celu ochrony danych, a w szczególności, wprowadzenie systemu szkoleń pracowników i współpracowników mających dostęp do danych osobowych w celu podnoszenia ich kwalifikacji w zakresie ochrony danych, stworzenie spójnych procedur i instrukcji formalnie zobowiązujących użytkowników do przestrzegania ustawy o ochronie danych osobowych.

4. Polityką w zakresie zabezpieczania systemu informatycznego jest stała kontrola i monitorowanie funkcjonowania istniejącego systemu informatycznego służącego do przetwarzania danych. Nieodzownym składnikiem polityki w zakresie zabezpieczenia danych osobowych jest wyodrębnienie w strukturach firmy funkcji Administratora Bezpieczeństwa Informacji (ABI) oraz przypisanie do niej stosownych do zakresu praw i obowiązków zawodowych. Administrator Bezpieczeństwa Informacji będzie odpowiedzialny za przestrzeganie celu, strategii oraz polityki bezpieczeństwa danych we wszystkich aspektach działalności firmy.

 

Wykaz budynków, w którym przetwarzane są dane osobowe

§ 2

Definiuje się następujące obszary przetwarzania danych osobowych w PHARMACON Nicolas Obeid:

Siedziba firmy przy w budynku przy ulicy Mirska 3, 04-253 Warszawa.

 

Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych, opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi

§ 3

Zostały zidentyfikowane następujące zbiory danych osobowych przetwarzanych w firmie PHARMACON Nicolas Obeid:

• Siedziba firmy przy w budynku przy ulicy Mirska 3, 04-253 Warszawa.

 

Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych, opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi

§ 3

Zostały zidentyfikowane następujące zbiory danych osobowych przetwarzanych w firmie PHARMACON Nicolas Obeid:

1. Zbiór danych osobowych „Klienci sklepu internetowego Dermocosmetic”, przetwarzany w bazie danych na serwerze oraz na stacjach roboczych.

2. Struktura zbioru obejmuje: imię i nazwisko, adres zamieszkania lub pobytu, numer telefonu.

 

Określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

§ 4

PHARMACON Nicolas Obeid stosuje środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. Wszystkie bazy danych przetwarzające dane osobowe spełniają wymogi wysokiego poziomu bezpieczeństwa według § 6 Rozporządzenia Ministra Spraw Wewnętrznych i Administracji.

Administrator danych prowadzi ewidencję wszystkich osób upoważnionych do przetwarzania danych osobowych. Dostęp do serwerów mają wyłącznie upoważnieni administratorzy.

Aby rozpocząć pracę w panelu sklepu internetowego Dermocosmetic.eu należy podać własną, unikalną nazwę użytkownika i hasło. Stacje robocze chronione są systemem antywirusowym. Zbiór danych osobowych w systemie informatycznym zapewnia poufność, integralność, rozliczalność, niezawodność i niezaprzeczalność przetwarzanych danych.

Wszystkie dokumenty związane z ochroną danych osobowych (ewidencja osób uprawnionych do przetwarzania danych osobowych, upoważnienia) przechowywane są w siedzibie firmy przy ulicy Mirskiej 3 w Warszawie.

Wszystkie serwery są chronione przed niepowołanym dostępem za pomocą firewall’a oraz specjalistycznego oprogramowania. Dostęp do pomieszczeń firmy jest ograniczony. Goście firmy (dostawcy, kurierzy, klienci) mogą przebywać w pomieszczeniach firmy wyłącznie w obecności pracownika PHARMACON Nicolas Obeid, obowiązuje zasada „aktywnej asysty”.

 

Identyfikacja i analiza zagrożeń i ryzyka

§ 5

Zidentyfikowane zagrożenia i ryzyka związane z przetwarzaniem danych osobowych w firmie PHARMACON Nicolas Obeid:

- włamanie do biura połączone z kradzieżą lub zniszczeniem komputerów, na których przechowuje się i/lub przetwarza się dane osobowe,
- zniszczenie lub uszkodzenie komputerów z danymi osobowymi na skutek klęski żywiołowej, jak pożar, powódź, uderzenie pioruna lub innych zdarzeń losowych,
- przechwycenie lub uszkodzenie bazy danych przez hackera lub osoby nieuprawnione w trakcie dostępu fizycznego do serwera lub stacji roboczych,
- nieautoryzowane lub nielegalne podłączenie się z poziomu sieci wewnętrznej biura do sieci publicznej Internet,
- działanie wirusa komputerowego,
- działanie osób nie będących pracownikami PHARMACON Nicolas Obeid, które znalazły się na terenie jego siedziby, polegające na wejściu, pod nieobecność upoważnionych pracowników na obszar, gdzie przetwarzane są dane i kradzież lub uszkodzenie danych,
- wejście nieuprawnionych osób na obszar, gdzie przetwarza się dane osobowe, w trakcie nieobecności pracowników uprawnionych, w celu skopiowania lub uszkodzenia danych,
- wejście nieuprawnionych osób na obszar, gdzie przetwarza się dane osobowe, w momencie, gdy dane są widoczne na ekranie monitora, w celu odczytania i skopiowania danych,
- uszkodzenie lub zniszczenie danych przez pracowników zatrudnionych, na skutek nieumiejętnej obsługi lub niedbalstwa,
- przekazanie danych osobowych razem z nośnikami danych przeznaczonymi do naprawy,
- utrata zasilania w trakcie przetwarzania danych.

 

Określenie potrzeb w zakresie zabezpieczenia zbiorów danych osobowych i systemów informatycznych

§ 6

PHARMACON Nicolas Obeid jako Administrator Danych Osobowych dąży do doskonalenia zabezpieczeń zbiorów danych osobowych oraz systemów informatycznych. Celem, który sobie stawia, jest stosowanie bezpiecznych i optymalnych zabezpieczeń, takich jak uniemożliwienie nieuprawnionego dostępu do danych osobowych klientów i użytkowników systemu podczas sesji internetowych, a w przypadku konieczności przesyłania jakichkolwiek danych osobowych z wykorzystaniem nośników elektronicznych i optycznych zostaje zastosowana procedura transportu nośnika danych z zaszyfrowanymi danymi oraz zabezpieczenia pliku hasłem dostępowym.

W ramach „Analizy ryzyka i zagrożeń administratora danych osobowych” wdrożono System Bezpieczeństwa Danych Osobowych (SBDO), składający się z odpowiednich procedur bezpieczeństwa, gwarantujących wysoki poziom bezpieczeństwa.

Do SBDO zalicza się następujące procedury, regulaminy oraz instrukcje opisane w II części Polityki: „System Bezpieczeństwa Danych Osobowych”:

1. „Zarządzanie systemem informatycznym”

Sposób zarządzania systemem informatycznym, ze szczególnym uwzględnieniem wymogów bezpieczeństwa informacji.

2. ”Instrukcja postępowania w sytuacji naruszenia systemy bezpieczeństwa”

Instrukcja określająca zasady postępowania w sytuacjach naruszenia, bądź podejrzenia naruszenia bezpieczeństwa danych osobowych.

3. „Instrukcja szkoleniowa - bezpieczeństwo i ochrona danych osobowych”

Instrukcja określająca procedurę i zakres programu szkoleniowego dla wszystkich osób, które maja dostęp do danych osobowych.

4. „Prawa i obowiązki Administratora Bezpieczeństwa Informacji”

Instrukcja określające prawa i obowiązki ABI w aspekcie odpowiedzialności i relacji z użytkownikami systemu informatycznego.

5. „Oświadczenie”, „Upoważnienie”

Dokumentacja wymagana ustawą o ochronie danych osobowych prowadzona przez ABI.