Politica de confidențialitate

POLITICA DE SECURITATE A PRELUCRĂRII DATELOR

SCOP

Scopul acestei politici este de a stabili măsurile necesare și responsabilitățile angajaților Noumeno pentru îndeplinirea obligațiilor privind garantarea și protejarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la viață privată, familială și personală, în legătură cu prelucrarea datelor cu caracter personal.

DOMENIU DE APLICARE

Această politică se aplică tuturor Noumeno angajaților cu responsabilități de prelucrare a datelor cu caracter personal și/sau, după caz, persoanelor autorizate.

TERMENI ȘI DEFINIȚII

ANSPDCP – Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Date personale – orice informație referitoare la o persoană fizică identificată sau identificabilă; o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, prin referire la un număr de identificare sau la unul sau mai mulți factori proprii identității sale fizice, fiziologice, mentale, economice, culturale sau sociale.
Date anonime – date care, datorită originii lor sau a metodei specifice de prelucrare, nu pot fi asociate cu o persoană identificată sau identificabilă.
Controlor (Operator) – orice persoană fizică sau juridică, publică sau privată, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, care stabilește scopul și mijloacele de prelucrare a datelor cu caracter personal.
Responsabil cu securitatea datelor – persoana responsabilă de buna funcționare a sistemului de protecție a informațiilor care conține date cu caracter personal, precum și de elaborarea, implementarea și monitorizarea respectării politicii de securitate a datelor cu caracter personal.
Prelucrarea datelor cu caracter personal – orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal, fie prin mijloace automate, fie manuale, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea, modificarea, extragerea, consultarea, utilizarea, divulgarea către terți prin transmitere, diseminare sau în alt mod, combinarea, blocarea, ștergerea sau distrugerea.
Depozitare – păstrarea datelor cu caracter personal pe orice tip de suport.
Utilizator – orice persoană care acționează sub autoritatea operatorului, a persoanei autorizate sau a reprezentantului, cu drepturi recunoscute de acces la bazele de date cu caracter personal.

DOCUMENTE DE REFERINȚĂ

Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, cu modificările ulterioare.
Ordinul Avocatului Poporului nr. 52/18.04.2002 privind cerințele minime de securitate pentru prelucrarea datelor cu caracter personal.
Decizia ANSPDCP nr. 90/18.07.2006 privind cazurile în care nu este necesară notificarea prelucrării datelor cu caracter personal.
Decizia ANSPDCP nr. 100/23.11.2007 privind cazurile în care nu este necesară notificarea prelucrării datelor cu caracter personal.
Decizia ANSPDCP nr. 132/20.12.2011 privind condițiile de prelucrare a numerelor de identificare personală și a altor date cu caracter personal cu scop general.

PRINCIPII GENERALE

Noumeno a adoptat măsuri tehnice și organizatorice adecvate pentru a proteja datele cu caracter personal împotriva distrugerii, pierderii, modificării, divulgării sau accesului neautorizat accidental sau ilegal. A fost desemnat personal responsabil pentru respectarea Legii nr. 677/2001.

Sunt luate măsuri pentru a asigura stocarea în siguranță a datelor cu caracter personal, garantând un nivel adecvat de protecție în conformitate cu legislația aplicabilă.Măsurile organizatorice și tehnice se concentrează pe:

Identificarea și autentificarea utilizatorului
Tipul de acces și drepturile
Proceduri de colectare a datelor
Calculatoare și terminale de acces
Accesați fișierele jurnal
Instruirea personalului

PROCEDURI SPECIFICE

Identificarea și autentificarea utilizatorului

Accesul la sistemele de date cu caracter personal necesită autentificare folosind acreditări unice obținute în timpul integrării și gestionării identității.
Fiecare utilizator are un identificator unic (nume de utilizator) care nu poate fi partajat sau atribuit mai multor persoane.
Conturile inactive sunt dezactivate și șterse după o perioadă specificată de Noumeno.
Fiecare cont necesită autentificare cu ajutorul unei parole. Parolele sunt stocate în siguranță, actualizate periodic și mascate în timpul introducerii datelor.
Accesul este blocat automat după un număr fix de încercări de autentificare greșite.
Utilizatorii sunt obligați să păstreze confidențialitatea acreditărilor lor și sunt responsabili față de operator pentru utilizarea acestora.
Personalul autorizat gestionează suspendarea sau revocarea contului în caz de reziliere, reatribuire, utilizare necorespunzătoare sau absență prelungită.

Tip de acces

Utilizatorii pot accesa doar datele personale necesare pentru îndeplinirea atribuțiilor lor de serviciu. Drepturile de acces sunt determinate de funcționalitate (administrare, introducere date, procesare, stocare etc.) și acțiuni permise (citire, scriere, ștergere), inclusiv procedurile de aplicare a acestor limite.

Colectarea datelor

Doar personalul autorizat poate colecta și introduce date cu caracter personal în Noumeno sisteme.
Toate modificările de date sunt înregistrate cu data, ora și ID-ul utilizatorului. Datele șterse sau modificate sunt păstrate în scopuri de audit.

Calculatoare și terminale de acces

Terminalele sunt amplasate în încăperi cu acces restricționat sau în zone care pot fi încuiate.
Sesiunile inactive se deconectează automat după o perioadă prestabilită.
Serverele care găzduiesc date cu caracter personal sunt accesate numai cu permisiuni controlate.
Dispozitivele mobile de stocare care conțin date cu caracter personal nu pot părăsi incinta fără aprobare prealabilă.

Jurnalele de acces

Toate accesările la datele personale sunt înregistrate. De asemenea, sunt înregistrate încercările de acces neautorizat.
Registrele de evidență se păstrează timp de cel puțin 2 ani și pot fi folosite ca probe în cadrul investigațiilor.
Jurnalele permit identificarea utilizatorilor care au accesat date fără o justificare întemeiată.

Instruirea personalului

Angajații sunt informați cu privire la Legea nr. 677/2001, cerințele minime de securitate și riscurile asociate prelucrării datelor cu caracter personal.
Utilizatorii sunt instruiți în ceea ce privește confidențialitatea și primesc mementouri prin notificări de sistem.
Utilizatorii trebuie să se deconecteze atunci când părăsesc stațiile de lucru.

Securitatea computerelor și a datelor

Măsurile includ:

Interzicerea software-ului neautorizat.
Conștientizarea utilizatorilor cu privire la riscurile legate de programele malware și viruși.
Instalare sisteme antivirus, anti-malware și de securitate.
Restricționarea copierii/imprimării datelor cu caracter personal în afara fluxurilor normale de afaceri.

Imprimare și procesare manuală

Doar utilizatorii autorizați pot imprima date personale.
Documentele care conțin date cu caracter personal trebuie depozitate în dulapuri cu încuietoare sau returnate personalului autorizat imediat după utilizare.

PRELUCRAREA DATELOR CU CARACTER PERSONAL IDENTIFICABILE

Prelucrarea este permisă numai cu consimțământul explicit, prin prevedere legală sau cu aprobarea ANSPDCP și cu garanții adecvate.
Principii: Datele trebuie să fie relevante, limitate, exacte și prelucrate numai în scopurile specificate. Păstrarea este limitată la ceea ce este strict necesar.

DREPTURILE PERSOANELOR VIZATE

Dreptul la informație

Persoanele trebuie informate cu privire la scopul prelucrării, drepturile de care dispun în temeiul legii (acces, corectare, opoziție) și alte informații solicitate de autoritățile de supraveghere.
Consimțământul se obține înainte de colectarea datelor cu caracter personal.
Numărul de înregistrare a notificării trebuie menționat în toate documentele care colectează, stochează sau dezvăluie date cu caracter personal.

Dreptul de acces

Persoanele fizice pot solicita confirmarea, gratuit, o dată pe an, a prelucrării datelor lor.

Dreptul la rectificare sau ștergere

Persoanele fizice pot solicita corectarea, actualizarea, blocarea sau ștergerea datelor prelucrate ilegal.
Transformarea în date anonime este permisă dacă prelucrarea este neconformă.

Dreptul de a obiecta

Persoanele fizice se pot opune prelucrării datelor lor cu caracter personal în orice moment, din motive legitime. Prelucrarea trebuie să înceteze dacă obiecția este justificată, cu excepția cazului în care prevederile legale o prevalează.

Dreptul la o cale de atac în instanță

Persoanele vizate pot apela la autoritățile de supraveghere sau la instanțele judecătorești pentru a-și exercita drepturile și a solicita despăgubiri pentru daunele cauzate de prelucrarea ilegală a datelor.

DIVULGAREA DATELOR CU CARACTER PERSONAL

Datele pot fi partajate cu personal autorizat sau entități publice/private cu:
1. Consimțământ explicit și informat din partea persoanei vizate; sau
2. Autorizație legală.
Transferurile online trebuie să asigure securitatea sistemului.
Persoanele vizate care și-au exercitat dreptul de opoziție nu trebuie să le fie prelucrate datele.