Zgodność z RODO

Wprowadzenie

Livappy OÜ (Lõkke 12, 10122 Tallinn, Estonia) zobowiązuje się do pełnej zgodności z ogólnym rozporządzeniem Unii Europejskiej o ochronie danych (RODO) we wszystkich obszarach swojej działalności. Niniejsza Polityka zgodności z RODO stanowi zarówno wewnętrzną wytyczną, jak i publiczne oświadczenie o tym, w jaki sposób Livappy zapewnia ochronę danych i prywatności zgodnie z RODO.

W przypadku jakichkolwiek pytań lub wątpliwości dotyczących niniejszej polityki albo ochrony danych w Livappy prosimy o kontakt pod adresem info@livappy.com.

Zakres

Niniejsza polityka ma zastosowanie do wszystkich czynności przetwarzania danych osobowych prowadzonych przez Livappy OÜ w związku z oferowaniem usług osobom fizycznym w Unii Europejskiej. Jako spółka mająca siedzibę w UE, Livappy podlega jurysdykcji RODO w zakresie każdego przetwarzania danych osobowych osób przebywających w UE¹. W praktyce oznacza to, że wszelkie informacje osobowe zbierane, wykorzystywane, przechowywane lub w inny sposób przetwarzane przez Livappy – niezależnie od tego, czy pochodzą od klientów, użytkowników, pracowników czy partnerów z całej UE – są przetwarzane zgodnie z wymogami RODO.

Livappy dokłada starań, aby zasady i przepisy RODO regulowały wszystkie istotne czynności przetwarzania danych, niezależnie od kraju UE, w którym mieszka osoba, której dane dotyczą. Zdajemy sobie sprawę, że RODO chroni podstawowe prawa do prywatności osób fizycznych w UE i nakłada na nas obowiązki zawsze, gdy mamy do czynienia z danymi osobowymi z UE².

W ramach niniejszej polityki działania Livappy objęte RODO obejmują (ale nie ograniczają się do): zbieranie danych osobowych od użytkowników i klientów, przechowywanie lub hostowanie tych danych (na przykład na naszych serwerach w chmurze), analizowanie danych osobowych do celów biznesowych oraz udostępnianie danych upoważnionym dostawcom usług. Wszystkie takie działania są prowadzone zgodnie z RODO i na terenie Europejskiego Obszaru Gospodarczego (EOG) lub w oparciu o zatwierdzone mechanizmy przekazywania danych, gdy dane są przekazywane poza EOG. Podsumowując, jeżeli Livappy przetwarza dane osobowe osoby fizycznej z UE, przetwarzanie to jest objęte zakresem niniejszej polityki i zgodnością z RODO.

Przejrzystość

Livappy przestrzega zasady przejrzystości, jasno informując osoby, których dane dotyczą, o tym, w jaki sposób zbieramy, wykorzystujemy i udostępniamy ich dane osobowe. RODO wymaga od organizacji otwartości i uczciwości w odniesieniu do zbieranych danych osobowych oraz celów, w jakich są one wykorzystywane³. Zgodnie z tym Livappy przekazuje osobom, których dane dotyczą, kompleksowe informacje o prywatności zawsze, gdy zbieramy dane osobowe. Informacje te (takie jak nasza Polityka prywatności) szczegółowo opisują wszystkie wymagane elementy, w tym:

Tożsamość administratora:

Wskazujemy Livappy OÜ jako administratora danych i podajemy nasze dane kontaktowe (adres i adres e-mail) we wszystkich komunikatach dotyczących prywatności.

Zbieranie i wykorzystywanie danych:

Wyjaśniamy, jakie dane osobowe zbieramy oraz w jaki sposób i dlaczego je zbieramy. Obejmuje to kategorie danych (np. imię i nazwisko, dane kontaktowe, dokumenty tożsamości itp.) oraz cele, w jakich są one przetwarzane (takie jak świadczenie naszych usług, weryfikacja tożsamości, obsługa klienta, marketing itp.).

Podstawy prawne:

Dla każdej czynności przetwarzania określamy podstawę prawną wynikającą z RODO, która ją uzasadnia – na przykład to, czy opieramy się na zgodzie użytkownika, niezbędności do wykonania umowy, obowiązku prawnym czy prawnie uzasadnionych interesach. Zapewniamy, że żadne dane osobowe nie są przetwarzane bez ważnej podstawy prawnej wynikającej z art. 6 i 9 RODO.

Przechowywanie danych:

Informujemy osoby fizyczne, jak długo przechowujemy dane osobowe. Livappy przestrzega zasady ograniczenia przechowywania, co oznacza, że przechowujemy dane osobowe wyłącznie tak długo, jak jest to niezbędne do realizacji wskazanych celów lub wymagane przez prawo, po czym dane są bezpiecznie usuwane lub anonimizowane.

Odbiorcy danych:

Ujawniamy wszelkie podmioty trzecie lub partnerów, którzy mogą otrzymywać dane osobowe. Obejmuje to wskazanie, czy dane osobowe są udostępniane naszym dostawcom usług lub podmiotom przetwarzającym (na przykład dostawcom hostingu w chmurze, usługom weryfikacji tożsamości, narzędziom analitycznym), oraz zapewnienie, że osoby fizyczne znają kategorie odbiorców.

Prawa i kontakt:

Informujemy osoby fizyczne o przysługujących im na mocy RODO prawach osoby, której dane dotyczą (opisanych w kolejnej sekcji), oraz przekazujemy jasne instrukcje dotyczące korzystania z tych praw, w tym kontaktu z nami pod adresem info@livappy.com. W naszych informacjach o prywatności zamieszczamy również informację o prawie do wniesienia skargi do organu nadzorczego oraz inne wymagane informacje.

Wszystkie informacje dotyczące prywatności są przedstawiane w zwięzłej, przejrzystej i łatwo dostępnej formie, z użyciem jasnego języka, zgodnie z wymogami RODO. Livappy przekazuje te informacje w momencie zbierania danych (lub, jeżeli dane pochodzą od podmiotów trzecich, przy najbliższej możliwej okazji, zgodnie z art. 13 i 14 RODO). Zobowiązujemy się do aktualizowania naszych informacji o prywatności zawsze, gdy zmieniają się nasze praktyki przetwarzania danych, i niezwłocznie poinformujemy o wszelkich istotnych zmianach, aby zapewnić nieprzerwaną przejrzystość. W istocie Livappy dąży do tego, aby osoby fizyczne nigdy nie pozostawały w niewiedzy co do sposobu przetwarzania ich danych, wzmacniając zaufanie i spełniając wysokie standardy przejrzystości wynikające z RODO³.

Prawa osób, których dane dotyczą

Na mocy RODO osobom fizycznym (osobom, których dane dotyczą) przysługują szerokie prawa dotyczące ich danych osobowych, a Livappy w pełni angażuje się w umożliwianie korzystania z tych praw i ich respektowanie. Prawa przysługujące osobom, których dane dotyczą, obejmują: prawo do informacji, prawo dostępu, prawo do sprostowania, prawo do usunięcia danych („prawo do bycia zapomnianym”), prawo do ograniczenia przetwarzania, prawo do przenoszenia danych, prawo do sprzeciwu wobec przetwarzania oraz prawo do tego, by nie podlegać decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu)⁴. Uznajemy wszystkie te prawa i wdrożyliśmy procedury ułatwiające korzystanie z nich.

Korzystanie z praw

Livappy stosuje przyjazne dla użytkownika procedury umożliwiające osobom fizycznym korzystanie z praw wynikających z RODO. Osoby, których dane dotyczą, mogą w każdej chwili składać żądania, kontaktując się z nami pod adresem info@livappy.com. Udostępniamy również formularze online lub ustawienia w aplikacji (tam, gdzie ma to zastosowanie), aby usprawnić składanie żądań dostępu, sprostowania, usunięcia itp.

Po otrzymaniu żądania Livappy:

Zweryfikuje żądanie:

Ze względów bezpieczeństwa możemy potrzebować zweryfikować tożsamość osoby składającej żądanie, aby zapewnić, że dane osobowe nie zostaną ujawnione osobie nieupoważnionej. Może to obejmować prośbę o dodatkowe informacje lub uwierzytelnienie, jeżeli żądanie zostało złożone z adresu e-mail lub konta, które nie jest nam wcześniej znane.

Odpowie w odpowiednim terminie:

Odpowiadamy na wszystkie żądania osób, których dane dotyczą, bez zbędnej zwłoki i w terminie jednego miesiąca od ich otrzymania, zgodnie z wymogami RODO⁶. Jeżeli żądanie jest skomplikowane lub żądań jest wiele, możemy przedłużyć ten termin o kolejne dwa miesiące, informując o przedłużeniu i jego przyczynach osobę składającą żądanie w pierwotnym terminie jednego miesiąca. W każdym przypadku status i wynik rozpatrzenia żądania zostaną jasno zakomunikowane.

Zrealizuje żądanie, gdy jest to możliwe:

Jeżeli żądanie jest zasadne i nie ma zastosowania żadne wyłączenie prawne, Livappy je zrealizuje. Na przykład udostępnimy kopię przetwarzanych przez nas danych osobowych danej osoby (prawo dostępu), poprawimy wszelkie nieścisłości (sprostowanie), usuniemy dane na żądanie, jeżeli nie stoi temu na przeszkodzie nadrzędna podstawa prawna (usunięcie danych), albo zaprzestaniemy określonego przetwarzania w odpowiedzi na sprzeciw lub żądanie ograniczenia – wszystko zgodnie z warunkami RODO. W przypadku żądania przeniesienia danych przekażemy dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.

Wyjaśni każdą odmowę lub ograniczenie:

W rzadkich przypadkach, gdy nie możemy zrealizować żądania (na przykład gdy zastosowanie ma wyłączenie albo gdy żądanie jest ewidentnie nieuzasadnione lub nadmierne), poinformujemy osobę fizyczną o konkretnej przyczynie, dla której nie możemy zrealizować żądania, oraz o prawie do wniesienia skargi do organu nadzorczego. Nie pobieramy żadnych opłat za rozpatrywanie żądań dotyczących praw, chyba że żądanie jest powtarzające się lub nadmierne (w takim przypadku ewentualna opłata lub odmowa będzie ściśle zgodna z tym, co dopuszcza RODO).

Ułatwi i udokumentuje:

Wewnętrzne procedury Livappy zapewniają, że personel jest przeszkolony w zakresie rozpoznawania i właściwej obsługi żądań osób, których dane dotyczą⁷. Prowadzimy rejestr żądań i odpowiedzi, aby wykazać naszą zgodność z przepisami. W razie potrzeby powiadamiamy również odpowiednie podmioty przetwarzające będące osobami trzecimi lub odbiorców (na przykład jeżeli dane zostały udostępnione i muszą zostać usunięte lub sprostowane, przekażemy żądanie tym podmiotom zgodnie z wymogami).

Livappy głęboko szanuje kontrolę osób fizycznych nad ich danymi osobowymi. Respektując te prawa i upraszczając całą procedurę, wykazujemy naszą rozliczalność i zaangażowanie w umacnianie pozycji osób, których dane dotyczą, przewidziane w RODO. Nasz zespół jest zawsze gotowy pomóc osobom fizycznym w zrozumieniu i korzystaniu z przysługujących im praw.

Ochrona danych w fazie projektowania i domyślna ochrona danych

Livappy przyjmuje uwzględnianie ochrony danych w fazie projektowania oraz domyślną ochronę danych jako podstawowe zasady we wszystkich naszych produktach, usługach i procesach biznesowych. Oznacza to, że już od samego początku każdego projektu lub systemu uwzględniamy kwestie ochrony danych i zapewniamy, że zabezpieczenia prywatności są wbudowane domyślnie, a nie dodawane w późniejszym czasie⁸. Nasze podejście obejmuje następujące praktyki:

Uwzględnianie na etapie projektowania:

Zawsze, gdy tworzymy lub aktualizujemy oprogramowanie, aplikacje albo procesy biznesowe obejmujące dane osobowe, proaktywnie oceniamy ryzyka dla prywatności i wdrażamy środki ochronne już na etapie projektowania. Na przykład ograniczamy zbieranie danych wyłącznie do tego, co jest niezbędne do określonego celu (minimalizacja danych) i wybieramy architektury systemów chroniące dane osobowe (takie jak stosowanie pseudonimizacji lub technik agregacji tam, gdzie jest to właściwe).

Domyślne ustawienia prywatności:

Usługi Livappy są skonfigurowane z ustawieniami domyślnymi przyjaznymi prywatności. Oznacza to, że jeżeli użytkownik aktywnie nie zdecyduje inaczej, zbierana i wykorzystywana jest minimalna niezbędna ilość danych osobowych. Wszelkie funkcje, które mogą wpływać na prywatność, są domyślnie ustawione na najbardziej ochronne opcje⁹. Użytkownicy nie muszą wyrażać zgody na dodatkowe zbieranie danych, aby usługa działała – prywatność jest ustawieniem standardowym.

Oceny skutków dla ochrony danych (DPIA):

Przeprowadzamy oceny skutków dla ochrony danych w odniesieniu do wszelkich nowych lub istotnie zmienionych czynności przetwarzania, które mogą powodować wysokie ryzyko dla prywatności osób fizycznych. Dzięki DPIA wcześnie identyfikujemy potencjalne problemy dotyczące prywatności i rozwiązujemy je, dostosowując nasz projekt lub wdrażając dodatkowe zabezpieczenia. Proces ten zapewnia zgodność z art. 35 RODO i wykazuje nasze wnikliwe, uprzednie rozważenie ryzyk dla prywatności.

Szkolenia i świadomość:

Nasze zespoły inżynieryjne i produktowe przechodzą szkolenia z zasad uwzględniania ochrony danych w fazie projektowania. Budujemy wewnętrzną kulturę, w której pracownicy i współpracownicy są świadomi obowiązków w zakresie prywatności i konsekwentnie stosują myślenie skoncentrowane na prywatności podczas przetwarzania danych osobowych. Przed uruchomieniem nowych funkcji przeprowadzamy przeglądy prywatności lub listy kontrolne, aby upewnić się, że mechanizmy zgodności są wdrożone.

Bieżące przeglądy i usprawnienia:

Uwzględnianie ochrony danych w fazie projektowania nie jest działaniem jednorazowym. Livappy stale monitoruje i przegląda swoje systemy, aby zapewnić utrzymanie standardów prywatności w czasie. Przeprowadzamy okresowe audyty i aktualizacje zabezpieczeń oraz mechanizmów ochrony prywatności, dostosowujemy się do nowych wytycznych regulacyjnych i uwzględniamy opinie użytkowników w celu poprawy ochrony danych. W przypadku zmian technologii lub sposobu wykorzystania danych ponownie analizujemy nasze projekty, aby domyślnie utrzymać najwyższy poziom ochrony danych.

Wpisując prywatność w strukturę naszej działalności, Livappy nie tylko spełnia wymóg RODO dotyczący uwzględniania ochrony danych w fazie projektowania i domyślnej ochrony danych, ale także buduje zaufanie użytkowników. Naszym celem jest zapewnienie, że prywatność stanowi integralną część innowacji i usług naszej firmy – chroniąc dane osobowe od podstaw i domyślnie w każdym przypadku.

Środki techniczne i organizacyjne

Livappy wdrożyło kompleksowy zestaw technicznych i organizacyjnych środków bezpieczeństwa w celu ochrony danych osobowych i zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku, zgodnie z wymogami art. 32 RODO¹¹. Zdajemy sobie sprawę, że ochrona danych osobowych ma nadrzędne znaczenie, i stosujemy najlepsze praktyki branżowe, aby zapobiec nieuprawnionemu dostępowi, ujawnieniu, modyfikacji lub utracie danych. Kluczowe środki obejmują:

Szyfrowanie:

Wszystkie dane osobowe przetwarzane przez Livappy są chronione silnym szyfrowaniem, zarówno podczas przesyłania, jak i w spoczynku. Stosujemy aktualne protokoły szyfrowania (takie jak TLS) dla danych przesyłanych w sieciach oraz solidne algorytmy szyfrowania do szyfrowania danych przechowywanych w naszych bazach danych i kopiach zapasowych. Zapewnia to, że nawet gdyby dane zostały przechwycone lub udostępnione bez upoważnienia, pozostałyby nieczytelne i bezpieczne¹². Tam, gdzie jest to wykonalne, oferujemy mechanizmy bezpiecznego zarządzania kluczami szyfrującymi, aby zapobiec powstaniu pojedynczego punktu kompromitacji.

Kontrola dostępu:

Livappy egzekwuje ścisłe mechanizmy kontroli dostępu, aby zapewnić, że dane osobowe są dostępne wyłącznie dla upoważnionego personelu na zasadzie wiedzy koniecznej. Wdrożyliśmy kontrolę dostępu opartą na rolach oraz systemy uwierzytelniania użytkowników (w tym uwierzytelnianie wieloskładnikowe dla systemów wrażliwych), aby ograniczyć krąg osób mających dostęp do danych. Dostęp personelu do danych osobowych jest przyznawany w oparciu o pełnioną funkcję i niezwłocznie cofany lub dostosowywany w przypadku zmiany ról. Każdy pracownik lub współpracownik mający dostęp do danych osobowych jest zobowiązany do zachowania poufności i przechodzi szkolenie z bezpieczeństwa danych.

Rejestrowanie i monitorowanie:

Prowadzimy szczegółowe rejestrowanie dostępu do systemów i czynności przetwarzania danych. Każdy dostęp do repozytoriów danych osobowych, a także istotne działania podejmowane na danych osobowych, są rejestrowane w bezpiecznych ścieżkach audytu. Livappy stosuje narzędzia monitorujące do przeglądania logów i wykrywania wszelkich nietypowych lub nieuprawnionych działań. Pomaga to nie tylko zapobiegać potencjalnym incydentom bezpieczeństwa i je identyfikować, ale również stanowi zapis audytowy pozwalający wykazać rozliczalność w zakresie dostępu do danych i ich modyfikacji.

Bezpieczna infrastruktura (chmura AWS):

Nasze usługi są hostowane w Amazon Web Services (AWS), renomowanego dostawcy chmury o wysokich standardach bezpieczeństwa i praktykach zgodnych z RODO. Korzystamy z funkcji bezpieczeństwa i certyfikatów zgodności AWS. Na przykład wybieramy regiony centrów danych w Europie do przechowywania danych osobowych z UE, wykorzystujemy wbudowane zapory sieciowe i zabezpieczenia sieciowe AWS oraz regularnie instalujemy poprawki i aktualizacje oprogramowania. AWS zapewnia silne gwarancje i opcje ochrony danych (w tym kontrolę klienta nad lokalizacją danych, szyfrowaniem i zarządzaniem dostępem)¹², które wykorzystujemy do wzmocnienia naszego ogólnego poziomu bezpieczeństwa.

Bezpieczeństwo sieci i systemów:

Livappy chroni swoje systemy informatyczne za pomocą takich środków jak zapory sieciowe, systemy wykrywania i zapobiegania włamaniom (IDS/IPS), ochrona przed złośliwym oprogramowaniem oraz bezpieczna architektura sieci. Rozdzielamy środowiska (np. deweloperskie, testowe, produkcyjne), aby ograniczyć ryzyko, i stosujemy praktyki zarządzania podatnościami, w tym regularne skanowanie podatności i testy penetracyjne. Wszelkie zidentyfikowane problemy bezpieczeństwa są niezwłocznie usuwane.

Polityki organizacyjne i szkolenia:

Ustanowiliśmy wewnętrzne polityki bezpieczeństwa i ochrony danych, których muszą przestrzegać wszyscy pracownicy i współpracownicy. Polityki te obejmują właściwe postępowanie z danymi osobowymi, korzystanie z urządzeń, procedury zgłaszania incydentów i inne kwestie. Prowadzimy regularne programy szkoleniowe i podnoszące świadomość, aby nasz zespół pozostawał czujny i dobrze poinformowany o najlepszych praktykach w zakresie cyberbezpieczeństwa i prywatności. Dostęp do danych osobowych wymaga przestrzegania tych polityk, a ich naruszenia mogą skutkować konsekwencjami dyscyplinarnymi.

Regularne audyty i oceny:

Livappy okresowo audytuje swoje środki ochrony danych i przeprowadza oceny ryzyka, aby zapewnić ich stałą skuteczność. Regularnie weryfikujemy uprawnienia dostępu użytkowników, testujemy nasze plany reagowania na incydenty i możemy angażować niezależnych audytorów do oceny naszych zabezpieczeń. Wszelkie zidentyfikowane słabości lub możliwości poprawy są niezwłocznie usuwane. Audyty te pomagają nam utrzymywać zgodność i stale dostosowywać się do zmieniających się standardów bezpieczeństwa i wytycznych regulacyjnych.

Ciągłość działania i kopie zapasowe:

Aby chronić się przed utratą lub zniszczeniem danych, utrzymujemy bezpieczne procedury tworzenia kopii zapasowych i posiadamy plany odtwarzania po awarii. Kopie zapasowe krytycznych danych osobowych są szyfrowane i bezpiecznie przechowywane (w tym poza siedzibą lub w chmurze), a odtwarzanie danych jest okresowo testowane. W razie jakiejkolwiek awarii systemu lub katastrofy Livappy może odtworzyć dane osobowe, aby zapobiec ich trwałej utracie, zgodnie z wymogami integralności i dostępności.

Pseudonimizacja i minimalizacja danych:

Wszędzie tam, gdzie jest to właściwe, Livappy stosuje pseudonimizację danych osobowych – zastępując pola identyfikujące sztucznymi identyfikatorami – aby ograniczyć ryzyko w przypadku nieuprawnionego dostępu. Ściśle przestrzegamy również zasady minimalizacji danych, zbierając i przechowując wyłącznie te dane osobowe, które są niezbędne do naszych określonych celów¹⁰. Ograniczając ilość przechowywanych danych oraz rozdzielając lub anonimizując dane tam, gdzie to możliwe, ograniczamy skutki ewentualnego problemu z bezpieczeństwem.

Dzięki tym i innym środkom Livappy zapewnia, że dane osobowe są zawsze chronione już w fazie projektowania i domyślnie¹³. Nieustannie oceniamy nowe technologie i praktyki bezpieczeństwa, aby wzmacniać nasze zabezpieczenia. Naszym zobowiązaniem jest utrzymywanie nowoczesnych ram bezpieczeństwa, które spełniają lub przewyższają wymogi RODO w zakresie bezpieczeństwa danych, chroniąc tym samym zaufanie, jakim obdarzają nas nasi użytkownicy i klienci.

Inspektor ochrony danych (DPO)

RODO wymaga od niektórych organizacji wyznaczenia inspektora ochrony danych, gdy spełnione są określone kryteria, na przykład gdy główna działalność polega na przetwarzaniu na dużą skalę danych wrażliwych albo na regularnym i systematycznym monitorowaniu osób fizycznych na dużą skalę¹⁹. Livappy OÜ nie wyznaczyło dotychczas inspektora ochrony danych, ponieważ obecna skala i charakter przetwarzania danych nie czynią tego obowiązkowym wymogiem na mocy art. 37 RODO. W szczególności główna działalność Livappy nie obejmuje obecnie przetwarzania na dużą skalę szczególnych kategorii danych ani regularnego monitorowania osób fizycznych na dużą skalę, co prawnie wymuszałoby wyznaczenie DPO¹⁹. Oceniliśmy nasze obowiązki i ustaliliśmy, że na chwilę obecną formalne wyznaczenie DPO nie jest wymagane.

Livappy pozostaje jednak czujne w odniesieniu do tego wymogu. Zobowiązujemy się do wyznaczenia wykwalifikowanego DPO w przyszłości, jeżeli nasza działalność lub obowiązki prawne zmienią się w taki sposób, że DPO stanie się konieczny. Na przykład jeżeli działalność Livappy rozszerzy się o przetwarzanie na dużą skalę danych osobowych o wysokim stopniu wrażliwości albo jeżeli rozpoczniemy szeroko zakrojone działania profilujące lub monitorujące, ponownie rozważymy potrzebę wyznaczenia DPO i niezwłocznie dokonamy takiego wyznaczenia zgodnie z postanowieniami RODO.

Obecne środki ochrony danych

Nawet w braku formalnie wyznaczonego DPO Livappy zapewnia, że obowiązki w zakresie ochrony danych są jasno przypisane w organizacji:

Posiadamy dedykowany zespół (lub osobę) ds. prywatności i zgodności, który nadzoruje przestrzeganie RODO i doradza w sprawach ochrony danych. Zespół ten monitoruje nasze działania w zakresie ochrony danych, udziela wskazówek dotyczących obowiązków wynikających z RODO i pełni rolę wewnętrznego rzecznika prywatności użytkowników.
Udostępniamy dane kontaktowe (info@livappy.com) do wszelkich zapytań lub żądań dotyczących ochrony danych i traktujemy tę korespondencję z taką samą starannością i uwagą, jak gdyby DPO był wyznaczony. Wszelkie otrzymane zapytania lub skargi są rozpatrywane rzetelnie, a w razie potrzeby przekazywane kierownictwu lub doradcom prawnym specjalizującym się w prywatności.
W razie potrzeby utrzymujemy otwarte kanały komunikacji z organami nadzorczymi i śledzimy wytyczne regulacyjne, aby zapewnić nieprzerwaną zgodność.

Livappy rozumie wartość, jaką może wnieść DPO, nawet jeżeli nie jest to ściśle wymagane – taką jak niezależny nadzór i ekspercka wiedza w zakresie prywatności. Będziemy nadal monitorować nasze obowiązki i nie zawahamy się wyznaczyć DPO, gdy warunki lub nasz rozwój uczynią to właściwym. W międzyczasie naszym zobowiązaniem jest, aby wszystkie zasadnicze funkcje DPO (monitorowanie zgodności, doradztwo w zakresie DPIA, szkolenie personelu itp.) były realizowane poprzez nasze wewnętrzne struktury zarządcze.

Zgłaszanie naruszeń ochrony danych osobowych

Pomimo silnych zabezpieczeń Livappy przyjmuje do wiadomości, że incydenty bezpieczeństwa mogą potencjalnie wystąpić. W przypadku naruszenia ochrony danych osobowych (incydentu bezpieczeństwa prowadzącego do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych) posiadamy jasną procedurę zarządzania naruszeniem i wypełniania obowiązków zgłoszeniowych wynikających z RODO. Nasz plan reagowania na naruszenia ochrony danych obejmuje następujące kroki, zgodne z art. 33 i 34 RODO:

Natychmiastowe wykrycie i alert wewnętrzny:

Posiadamy systemy i procesy umożliwiające wykrywanie potencjalnych naruszeń ochrony danych i alarmowanie o nich. Nasi pracownicy są przeszkoleni w zakresie rozpoznawania i eskalowania incydentów bezpieczeństwa. Z chwilą podejrzenia lub zidentyfikowania naruszenia powiadamiany jest nasz wewnętrzny zespół reagowania (w skład którego wchodzą pracownicy IT, bezpieczeństwa i kierownictwa). Wyznaczamy konkretnego menedżera incydentu, który nadzoruje dochodzenie.

Ograniczenie skutków i ocena:

Livappy szybko ograniczy skutki naruszenia, aby zapobiec dalszemu wyciekowi danych (na przykład poprzez izolowanie dotkniętych systemów, unieważnienie skompromitowanych danych uwierzytelniających lub wyłączenie określonych funkcji). Następnie badamy incydent, aby ustalić charakter i zakres naruszenia, jakie dane i osoby zostały nim dotknięte oraz jakie są potencjalne ryzyka dla osób, których dane dotyczą. W ramach tej oceny szacujemy prawdopodobieństwo i powagę ewentualnych szkód.

Zgłoszenie do organów (72 godziny):

Jeżeli naruszenie może powodować ryzyko naruszenia praw i wolności osób fizycznych, Livappy zgłosi je właściwemu organowi nadzorczemu bez zbędnej zwłoki i, w miarę możliwości, w ciągu 72 godzin od stwierdzenia naruszenia¹⁴. Ponieważ Livappy ma siedzibę w Estonii, naszym wiodącym organem nadzorczym jest prawdopodobnie estoński Inspektorat Ochrony Danych (Andmekaitse Inspektsioon), chyba że naruszenie dotyczy osób, których dane dotyczą, w kilku krajach UE (w takim przypadku będziemy współpracować z organem wiodącym w ramach mechanizmu kompleksowej współpracy).

Nasze zgłoszenie naruszenia do organów będzie zawierać wszystkie wymagane informacje (charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów danych, których dotyczy naruszenie, prawdopodobne konsekwencje, środki zastosowane lub proponowane w celu zaradzenia naruszeniu itp.). Jeżeli nie będziemy w stanie przekazać wszystkich informacji w ciągu 72 godzin, przekażemy je etapami, w dopuszczalnym zakresie, wraz z wyjaśnieniem przyczyn opóźnienia^15,16.

Zawiadomienie osób, których dotyczy naruszenie:

Jeżeli naruszenie może powodować wysokie ryzyko dla danych osobowych lub prywatności osób fizycznych, zawiadomimy o naruszeniu bez zbędnej zwłoki również osoby, których dane dotyczą¹⁷. Komunikat ten zostanie sporządzony jasnym i prostym językiem, opisując charakter naruszenia i przekazując tym osobom zalecenia dotyczące ograniczenia potencjalnych negatywnych skutków (na przykład możemy zalecić zresetowanie haseł lub zachowanie czujności wobec phishingu, jeżeli ujawnione zostały dane uwierzytelniające). Nie będziemy zawiadamiać osób fizycznych, jeżeli ze względu na skuteczne środki techniczne (takie jak szyfrowanie danych) lub inne czynniki dane objęte naruszeniem są nieczytelne albo ryzyko jest niskie, chyba że organy polecą nam to uczynić.

Usuwanie skutków i zapobieganie na przyszłość:

Livappy niezwłocznie podejmie kroki w celu usunięcia przyczyny naruszenia. Może to obejmować usunięcie podatności oprogramowania, zaostrzenie kontroli dostępu, ulepszenie szyfrowania lub inne działania naprawcze zapewniające, że podobny incydent się nie powtórzy. Udokumentujemy również wyciągnięte wnioski i odpowiednio zaktualizujemy nasze polityki bezpieczeństwa i szkolenia. Kierownictwo wyższego szczebla jest informowane o wszystkich naruszeniach i postępach działań naprawczych, co zapewnia rozliczalność i wsparcie dla niezbędnych usprawnień.

Dokumentacja:

Zgodnie z art. 33 ust. 5 RODO Livappy dokumentuje wszystkie naruszenia ochrony danych, niezależnie od tego, czy wymagają one zgłoszenia. Ten wewnętrzny rejestr naruszeń zawiera okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze. Taka dokumentacja pozwala organom nadzorczym zweryfikować naszą zgodność z przepisami i pomaga nam stale doskonalić reagowanie na incydenty bezpieczeństwa. Nawet w przypadku drobnych incydentów prowadzimy zapis w ramach naszych obowiązków w zakresie rozliczalności¹⁸.

Stosując to ustrukturyzowane podejście, Livappy zapewnia, że każde naruszenie ochrony danych jest obsługiwane szybko i przejrzyście, a ostatecznym celem jest ochrona danych i praw naszych użytkowników. Nasza całodobowa gotowość do reagowania na incydenty oraz zaangażowanie w dotrzymanie 72-godzinnego terminu zgłoszenia odzwierciedlają powagę, z jaką traktujemy bezpieczeństwo danych osobowych i nasze obowiązki wynikające z RODO.

Umowy powierzenia przetwarzania danych

Livappy korzysta z określonych zaufanych zewnętrznych dostawców usług (podmiotów przetwarzających), którzy wspierają nasze usługi – na przykład dostawców infrastruktury chmurowej, usług weryfikacji tożsamości i platform analitycznych. Zgodnie z wymogami RODO Livappy podpisuje umowy powierzenia przetwarzania danych (DPA) ze wszystkimi zewnętrznymi podmiotami przetwarzającymi, które przetwarzają dane osobowe w naszym imieniu²⁰. Umowy te są formalnymi kontraktami zapewniającymi, że każdy podmiot przetwarzający jest zobowiązany do przestrzegania RODO i chroni dane osobowe zgodnie z tymi samymi wysokimi standardami, które stosujemy my. Kluczowe aspekty naszego podejścia do umów DPA obejmują:

Obowiązkowe umowy DPA ze wszystkimi podmiotami przetwarzającymi:

Obowiązuje u nas zasada, że żadne dane osobowe nie zostaną udostępnione ani powierzone zewnętrznemu podmiotowi przetwarzającemu, o ile nie zostanie zawarta zgodna z RODO umowa DPA. Dotyczy to głównych partnerów, takich jak Amazon Web Services (AWS) w zakresie hostingu w chmurze, Veriff w zakresie usług weryfikacji tożsamości, Google w zakresie narzędzi chmurowych lub analitycznych oraz każdego innego dostawcy lub wykonawcy przetwarzającego dane. Każdy z tych podmiotów przetwarzających zobowiązał się umownie do przestrzegania wymogów RODO, przetwarzania danych wyłącznie na udokumentowane polecenie Livappy oraz wdrożenia odpowiednich środków bezpieczeństwa.

Zapewnienia i wystarczające gwarancje:

Zgodnie z art. 28 i motywem 81 RODO Livappy korzysta wyłącznie z podmiotów przetwarzających, które zapewniają wystarczające gwarancje zdolności do ochrony danych osobowych²¹. Nasze umowy powierzenia przetwarzania danych stanowią, że podmioty przetwarzające muszą wdrożyć wszystkie odpowiednie środki techniczne i organizacyjne w celu zabezpieczenia danych (np. szyfrowanie, kontrolę dostępu, obowiązki zachowania poufności) oraz w razie potrzeby wspierać Livappy w realizacji żądań osób, których dane dotyczą, i zgłaszaniu naruszeń²². Przed nawiązaniem współpracy starannie weryfikujemy nowych dostawców pod kątem ich praktyk w zakresie ochrony danych i reputacji.

Kluczowe postanowienia umów DPA:

Każda umowa DPA podpisywana przez Livappy zawiera wszystkie klauzule wymagane na mocy art. 28 ust. 3 RODO. Obejmują one między innymi: podmiot przetwarzający przetwarza dane osobowe wyłącznie na polecenie Livappy; osoby przetwarzające dane są zobowiązane do zachowania poufności; podmiot przetwarzający pomaga zapewnić zgodność z wymogami bezpieczeństwa oraz wspiera realizację praw osób, których dane dotyczą, i przeprowadzanie DPIA; podprzetwarzający nie mogą zostać zaangażowani bez naszego upoważnienia i muszą być związani tymi samymi obowiązkami; podmiot przetwarzający zwraca lub usuwa dane osobowe po zakończeniu współpracy; a także podmiot przetwarzający musi poddać się audytom i przedstawić dowody zgodności²². Te postanowienia umowne dają Livappy i naszym użytkownikom pewność, że dane osobowe pozostają chronione również wtedy, gdy są przetwarzane przez podmioty trzecie.

Monitorowanie i egzekwowanie:

Livappy prowadzi ewidencję wszystkich obecnych podmiotów przetwarzających oraz statusu zawartych z nimi umów. Monitorujemy zgodność naszych podmiotów przetwarzających – na przykład poprzez przegląd ich certyfikatów bezpieczeństwa, raportów z audytów lub przestrzegania kodeksów postępowania. Jeżeli podmiot przetwarzający nie wywiązuje się ze swoich obowiązków w zakresie ochrony danych, podejmujemy niezwłoczne działania, które mogą obejmować żądanie naprawy, zawieszenie przetwarzania danych, a nawet rozwiązanie umowy. Ponadto nasze umowy DPA nakładają na podmioty przetwarzające odpowiedzialność za ochronę danych, co oznacza, że muszą one zwolnić Livappy (a ostatecznie naszych użytkowników) z odpowiedzialności za wszelkie szkody spowodowane przetwarzaniem niespełniającym standardów RODO.

Podprzetwarzający:

Jeżeli nasze podmioty przetwarzające dalej podzlecają jakiekolwiek przetwarzanie (na przykład gdy AWS korzysta z podwykonawców przy utrzymaniu centrów danych), nasze umowy DPA wymagają, aby ci podprzetwarzający byli związani takimi samymi standardami. Umowy Livappy zapewniają istnienie łańcucha zgodnych z RODO obowiązków na wszystkich poziomach przetwarzania danych.

Uwaga: Livappy zawarło umowę powierzenia przetwarzania danych (DPA) z Google Ireland Limited w zakresie świadczenia usług Google Workspace (poczta e-mail, kalendarz, chmura). Google działa jako podmiot przetwarzający w imieniu Livappy, a całe przetwarzanie jest zgodne z RODO, w tym ze standardowymi klauzulami umownymi (SCC) w przypadkach, gdy dane mogą być przekazywane poza UE.

Utrzymując rygorystyczne umowy powierzenia przetwarzania danych, Livappy wypełnia swój obowiązek jako administrator danych, polegający na współpracy wyłącznie z podmiotami przetwarzającymi, które mogą zagwarantować ochronę danych osobowych²³. Ta staranność umowna stanowi fundamentalny element naszego programu zgodności z RODO i daje naszym klientom oraz użytkownikom pewność, że ich dane będą bezpiecznie przetwarzane nie tylko przez Livappy, ale również przez każdego partnera lub dostawcę zaangażowanego w świadczenie naszych usług. Regularnie przeglądamy i aktualizujemy nasze umowy DPA zgodnie z rozwojem przepisów prawa oraz zapewniamy, że każda nowa współpraca rozpoczyna się od zawarcia solidnej umowy o ochronie danych.

Dane kontaktowe

Adres e-mail do kontaktu: info@livappy.com

Data wejścia w życie: 10 września 2025 r.

Operator: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Zarejestrowana w Wydziale Rejestrowym Sądu Okręgowego w Tartu, karta rejestru handlowego nr 1

Data wejścia w życie i przegląd

Niniejsza Polityka zgodności z RODO obowiązuje od dnia publikacji i została zatwierdzona przez kierownictwo Livappy. Będziemy dokonywać przeglądu polityki co najmniej raz w roku, a dodatkowo w razie potrzeby, aby odzwierciedlić wszelkie zmiany w naszych praktykach lub w przepisach prawa. Aktualizacje będą publikowane, aby pracownicy, klienci i partnerzy byli na bieżąco informowani o tym, w jaki sposób Livappy realizuje swoje zobowiązanie do przestrzegania RODO.

Źródła

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/