Zarządzanie polityką prywatności

Po co osobny dokument o zarządzaniu politykami

Art. 5 ust. 2 RODO wymaga od administratora nie tylko zgodności z prawem, lecz także możliwości jej WYKAZANIA. Polityka prywatności, której nikt nie wersjonuje i której zmiany nie są ogłaszane, tego nie wykazuje: po roku nie da się ustalić, na jaką treść zgodził się użytkownik, który zgodę wyraził wczoraj, a na jaką ten, który wyraził ją w zeszłym sezonie.

Ten dokument opisuje więc proces: kto odpowiada za treść, jak powstaje nowa wersja, kiedy zmiana wymaga ponownej zgody i jak Cię o niej zawiadamiamy.

Mapa dokumentów i ich zakres

W razie rozbieżności między dokumentami pierwszeństwo ma dokument bardziej szczegółowy dla danej powierzchni, a w sprawach ochrony danych - polityka prywatności.

• Polityka prywatności (/polityka-prywatnosci) - co przetwarzamy, po co, na jakiej podstawie i komu przekazujemy. Dokument podstawowy w rozumieniu art. 13-14 RODO.
• RODO - Twoje prawa (/rodo) - instrukcja wykonywania praw: kanały, terminy, zakres eksportu, granice usunięcia, skarga do organu.
• Polityka przetwarzania danych (/polityka-przetwarzania-danych) - warstwa operacyjna: rejestr czynności, podmioty przetwarzające, retencja, transfery, bezpieczeństwo.
• Polityka cookies (/cookies) - kategorie plików cookie i podobnych technologii wraz z centrum preferencji.
• Komunikacja i marketing (/komunikacja-i-marketing) - newsletter, powiadomienia, zgody marketingowe i rezygnacja.
• Regulamin serwisu (/regulamin), zwroty i reklamacje (/zwroty-i-reklamacje) - warstwa umowna i konsumencka.
• Moderacja treści (/moderacja-komentarzy), kluby dyskusyjne (/regulamin-klubow-dyskusyjnych), wydarzenia i bilety (/regulamin-wydarzen-i-biletow) - regulaminy powierzchni, na których przetwarzamy dane w szczególnym kontekście.

Kto odpowiada za treść

• Właścicielem merytorycznym wszystkich polityk jest New European Strategies; decyzje o zmianach zapadają na poziomie zarządu wydawcy.
• Zmianę może zainicjować redakcja, zespół produktowy albo osoba odpowiedzialna za ochronę danych - najczęściej wtedy, gdy zmienia się realny proces, a nie sama redakcja tekstu.
• Zmiany wpływające na podstawy prawne, zakres danych, odbiorców albo okresy retencji przechodzą przegląd prawny przed publikacją.
• Nie wyznaczyliśmy inspektora ochrony danych - nie zachodzi żadna z przesłanek art. 37 ust. 1 RODO. Obowiązki koordynacyjne pełni wskazana osoba w zespole wydawcy.

Wersjonowanie i rozliczalność

Każdy dokument prawny ma w systemie własną historię wersji: szkic, wersja opublikowana i wersje zarchiwizowane. W danym momencie opublikowana jest dokładnie jedna wersja dokumentu, a publikacja jest operacją atomową - nie istnieje stan, w którym pod adresem nie ma żadnej obowiązującej treści.

Wersja niesie etykietę, notatkę o zakresie zmian i datę wejścia w życie. Jeżeli w bazie nie ma opublikowanej wersji, strona renderuje treść bazową wbudowaną w kod aplikacji - dzięki temu dokument prawny jest dostępny także przy awarii warstwy danych.

• Adresy dokumentów są stałe. Zmiana treści nie zmienia adresu, więc link, który podałeś komuś rok temu, nadal prowadzi do obowiązującej wersji.
• Data „ostatnia aktualizacja” na stronie dotyczy TEGO dokumentu. Nie przesuwamy jej na dokumentach, w których nic się nie zmieniło - inaczej straciłaby wartość informacyjną.
• Zgody zbierane w serwisie są zapisywane razem z wersją treści, na którą zostały wyrażone, znacznikiem czasu i źródłem decyzji. Dzięki temu da się odtworzyć, na co dokładnie zgodziła się dana osoba.

Jak ogłaszamy zmiany

• Zmiany redakcyjne (poprawki językowe, doprecyzowania, nowe przykłady) publikujemy od razu, ze zaktualizowaną datą na stronie dokumentu.
• Zmiany istotne - nowy cel przetwarzania, nowa kategoria odbiorców, nowa podstawa prawna, wydłużenie retencji, zmiana zasad moderacji - zapowiadamy z wyprzedzeniem co najmniej 14 dni przed wejściem w życie.
• O zmianach istotnych informujemy zarejestrowanych użytkowników wiadomością na adres przypisany do konta oraz komunikatem w serwisie. To wiadomość serwisowa: dostaniesz ją niezależnie od zgód marketingowych.
• Zmiana TREŚCI ZGODY wymaga nowej decyzji. Bumpujemy wtedy wersję zgody, a poprzednia przestaje być podstawą przetwarzania - nie „dziedziczymy” starej zgody na nowy zakres.
• Jeżeli nie akceptujesz zmiany regulaminu, możesz zrezygnować z usługi przed jej wejściem w życie na zasadach opisanych w regulaminie serwisu.

Gdzie samodzielnie zarządzasz prywatnością

Centrum ustawień znajduje się na stronie „Prywatność” w profilu (/profile/privacy). Układ odpowiada rosnącej nieodwracalności decyzji: najpierw to, co zmieniasz codziennie, na końcu to, czego nie da się cofnąć.

• Widoczność i kontakt - obecność w katalogu osób, przyjmowanie zapytań, kto może rozpocząć rozmowę i zaprosić Cię do sieci kontaktów, potwierdzenia odczytu, wskaźnik pisania.
• Zgody - katalog zgód komunikacyjnych, produktowych i analitycznych wraz z historią decyzji oraz powiązanie z centrum preferencji plików cookie.
• Twoje dane - eksport kompletu danych (art. 15 i 20 RODO) oraz usunięcie konta (art. 17 RODO).
• Preferencje cookie zmienisz także bez logowania, z poziomu polityki cookies (/cookies) - banner zgód otwiera się wprost z tej strony.
• Honorujemy sygnał Global Privacy Control (GPC) wysyłany przez przeglądarkę: traktujemy go jako sprzeciw wobec przetwarzania w celach marketingowych.

Cykl przeglądu

• Pełny przegląd wszystkich polityk wykonujemy co najmniej raz na 12 miesięcy.
• Przegląd poza cyklem uruchamia każde z: wdrożenie nowego podmiotu przetwarzającego, uruchomienie powierzchni zbierającej nowe kategorie danych, zmiana przepisów lub wytycznych organów, incydent bezpieczeństwa.
• Przegląd obejmuje także zgodność deklaracji z kodem: zakres eksportu danych, katalog zgód i lista podmiotów przetwarzających są testowane automatycznie, więc rozjazd między dokumentem a systemem zatrzymuje wdrożenie.

Pytania i uwagi do polityk

Jeżeli którykolwiek fragment jest niejasny albo wygląda na rozbieżny z tym, co robi serwis, napisz na office@neweuropeanstrategies.com. Zgłoszenia o rozbieżności traktujemy jak zgłoszenie błędu: sprawdzamy proces, a nie tylko tekst.